薛樂梅

摘要：自治域間的互通通常采用邊界網(wǎng)關(guān)協(xié)議BGP協(xié)議。本文分析了跨自治域通信所面臨的安全問題，并提出了對(duì)應(yīng)的解決方案。

關(guān)鍵詞：自治域系統(tǒng);網(wǎng)絡(luò)安全;加密;云

中圖分類號(hào)：TP393.1 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1007-9416（2018）11-0175-02

0 引言

目前，因特網(wǎng)協(xié)議（IP，Internet Protocol）骨干網(wǎng)絡(luò)多采用外部邊界網(wǎng)關(guān)協(xié)議（EBGP，External Border Gateway Protocol）實(shí)現(xiàn)不同自治系統(tǒng)（AS，Autonomous System）間的互通，采用內(nèi)部邊界網(wǎng)關(guān)協(xié)議（IBGP，Inner Border Gateway Protocol）實(shí)現(xiàn)自治系統(tǒng)內(nèi)部的業(yè)務(wù)承載。

網(wǎng)絡(luò)技術(shù)的發(fā)展就像一把雙刃劍，一方面帶給用戶前所未有的便利，另一方面也引入了不可低估的安全威脅。從網(wǎng)絡(luò)安全而言，跨自治域通信易出現(xiàn)信息泄露或被非法篡改。為了確保自治域內(nèi)的資源安全性，通常僅在域內(nèi)分享需要進(jìn)行安全保障的信息，在域間分享的為普通信息，導(dǎo)致自治域外部用戶僅能訪問普通信息。然而，隨著網(wǎng)絡(luò)應(yīng)用與業(yè)務(wù)的縱深發(fā)展，自治域間需要實(shí)現(xiàn)關(guān)鍵業(yè)務(wù)的交互。因此，如何改善自治系統(tǒng)間的訪問安全是本領(lǐng)域的當(dāng)務(wù)之急。

1 自治系統(tǒng)面臨的主要安全威脅

基于自治系統(tǒng)網(wǎng)絡(luò)的特點(diǎn)，其面臨的網(wǎng)絡(luò)安全威脅主要包括：自治域內(nèi)部安全、域內(nèi)主節(jié)點(diǎn)故障導(dǎo)致的安全威脅、跨域訪問安全、節(jié)點(diǎn)接入安全等。

目前，通過IPSec、L2TP等確保數(shù)據(jù)傳輸安全。然而，通過預(yù)配置模式配置的IPSec策略存在更新慢、易于出錯(cuò)等問題。本文提出基于云的跨自治域安全訪問策略，其能夠確?？缬蛟L問信息的安全性，并能夠?qū)崿F(xiàn)安全策略的實(shí)時(shí)動(dòng)態(tài)更新。

2 解決方案

2.1 可信云服務(wù)器系統(tǒng)策略

自治域間各邊界節(jié)點(diǎn)基于BGP協(xié)議進(jìn)行跨域消息轉(zhuǎn)發(fā)的過程中，存在消息泄露或被篡改的風(fēng)險(xiǎn)，因此，可考慮配置如圖1所示的基于云的集中控制轉(zhuǎn)發(fā)系統(tǒng)，以配置用于集中控制轉(zhuǎn)發(fā)的云服務(wù)器系統(tǒng)，云服務(wù)器系統(tǒng)中各云服務(wù)器互為冗余備份，且在云服務(wù)器間進(jìn)行主、備選舉，可選取性能最優(yōu)的云服務(wù)器作為主用云服務(wù)器，其余均配置為備用云服務(wù)器，主用云服務(wù)器和其余備用云服務(wù)器組成保護(hù)組，保護(hù)組內(nèi)的云服務(wù)器間采取雙向認(rèn)證策略，以確保云服務(wù)器系統(tǒng)的安全、可信。進(jìn)一步，為了提高數(shù)據(jù)處理能力，可以設(shè)置保護(hù)組集群，當(dāng)處理任務(wù)超過本保護(hù)組最大處理能力閾值時(shí)，將處理任務(wù)切換至其他保護(hù)組集群處理。

2.2 基于云的集中控制轉(zhuǎn)發(fā)策略

當(dāng)自治域系統(tǒng)內(nèi)的節(jié)點(diǎn)需要訪問域外的資源時(shí)，則通過本域邊界節(jié)點(diǎn)統(tǒng)一將消息發(fā)送至云服務(wù)器系統(tǒng)，云服務(wù)器系統(tǒng)中的主用服務(wù)器接收到消息后，將消息進(jìn)一步轉(zhuǎn)發(fā)至目的自治域，最終，由目的自治域的邊界節(jié)點(diǎn)將消息發(fā)送至本域內(nèi)的目的節(jié)點(diǎn)。

考慮到消息轉(zhuǎn)發(fā)過程中的信息泄露威脅，主用云服務(wù)器在系統(tǒng)初始化時(shí)，可將安全策略分發(fā)至各個(gè)自治域的邊界節(jié)點(diǎn)，各自治域邊界節(jié)點(diǎn)在進(jìn)行自身安全策略的配置的同時(shí)，通過廣播消息將安全策略廣播至域內(nèi)節(jié)點(diǎn)，域內(nèi)節(jié)點(diǎn)在完成安全策略的配置后，發(fā)送配置完成響應(yīng)消息至邊界節(jié)點(diǎn)，最終，各邊界節(jié)點(diǎn)向主用云服務(wù)器反饋本域安全策略配置完成消息。

具體的安全策略可配置為：（1）加解密策略;（2）完整性檢測(cè)策略。

（1）加解密策略：當(dāng)本域內(nèi)節(jié)點(diǎn)需要跨域訪問目的節(jié)點(diǎn)時(shí)，使用云服務(wù)器下發(fā)的安全策略中的會(huì)話密鑰將消息明文加密為消息密文，并使用云服務(wù)器下發(fā)的公鑰加密會(huì)話密鑰以生成密鑰密文，將消息密文、密鑰密文打包為數(shù)據(jù)包，發(fā)送至邊界節(jié)點(diǎn)，邊界節(jié)點(diǎn)識(shí)別數(shù)據(jù)包的目的節(jié)點(diǎn)為域外節(jié)點(diǎn)，則使用hash算法生成本域ID的運(yùn)算值以及目的域ID的運(yùn)算值，將本域ID的運(yùn)算值以及目的域ID的運(yùn)算值添加至數(shù)據(jù)包中提交給云服務(wù)器;云服務(wù)器接收到數(shù)據(jù)包后，基于本地存儲(chǔ)的可信安全域列表匹配本域ID的運(yùn)算值以及目的域ID的運(yùn)算值，當(dāng)匹配成功時(shí)，則表明本域、目的域均為可信安全域，再利用各域ID的運(yùn)算值與轉(zhuǎn)發(fā)路徑的映射表，將目的域ID的運(yùn)算值與該映射表進(jìn)行匹配，匹配成功后，將數(shù)據(jù)包按照匹配到的路徑轉(zhuǎn)發(fā)至目的域邊界節(jié)點(diǎn)，目的域邊界節(jié)點(diǎn)接收到數(shù)據(jù)包后，使用自身私鑰解密密鑰密文，以得到會(huì)話密鑰，再使用會(huì)話密鑰解密消息密文，以得到消息明文。由于消息在傳輸中均以密文經(jīng)打包后進(jìn)行傳輸，且域ID在傳輸中以域ID的運(yùn)算值進(jìn)行傳輸，降低了消息以及域ID被泄露的風(fēng)險(xiǎn)。

（2）為了確保消息在傳輸中沒有被篡改，在目的節(jié)點(diǎn)接收到消息后，對(duì)消息執(zhí)行完整性檢測(cè)。云服務(wù)器向各節(jié)點(diǎn)下發(fā)的安全策略中要求各節(jié)點(diǎn)在發(fā)送消息時(shí)配置本地時(shí)間戳，因此，目的節(jié)點(diǎn)可基于接收到的消息中的時(shí)間戳來對(duì)消息完整性進(jìn)行驗(yàn)證。

2.3 動(dòng)態(tài)安全策略更新技術(shù)

云服務(wù)器系統(tǒng)能夠?qū)崟r(shí)動(dòng)態(tài)的對(duì)安全策略進(jìn)行更新，通過各自治域反饋的安全漏洞以及通過遠(yuǎn)程數(shù)據(jù)中心實(shí)現(xiàn)安全策略的動(dòng)態(tài)實(shí)時(shí)更新。

2.4 基于令牌和保活協(xié)議的身份認(rèn)證技術(shù)

考慮到云服務(wù)器系統(tǒng)安全，可進(jìn)一步配置CA服務(wù)器對(duì)云服務(wù)器系統(tǒng)中各云服務(wù)器進(jìn)行安全身份認(rèn)證，在認(rèn)證通過后，CA服務(wù)器向云服務(wù)器下發(fā)帶有期限的令牌，且云服務(wù)器需要定時(shí)向CA服務(wù)器發(fā)送攜帶有所述安全令牌的心跳消息，CA服務(wù)器能夠基于所述心跳消息對(duì)云服務(wù)器的性能狀態(tài)進(jìn)行監(jiān)測(cè)，當(dāng)未接收到云服務(wù)器的心跳消息時(shí)，進(jìn)行保護(hù)組內(nèi)的冗余切換;當(dāng)發(fā)現(xiàn)令牌過期時(shí)，需要重新對(duì)云服務(wù)器進(jìn)行身份認(rèn)證。當(dāng)CA服務(wù)器接收到當(dāng)前保護(hù)組內(nèi)主用云服務(wù)器所反饋的處理任務(wù)超過最大處理能力閾值的消息時(shí)，CA服務(wù)器將任務(wù)切換至其他保護(hù)組處理。

3 結(jié)語(yǔ)

本文從跨自治域訪問的安全角度簡(jiǎn)要闡述了自治域網(wǎng)絡(luò)的特點(diǎn)，以及跨自治域訪問所面臨的網(wǎng)絡(luò)安全威脅，然后針對(duì)安全威脅提出了對(duì)應(yīng)的安全方案。

參考文獻(xiàn)

[1]石穎.基于SSL協(xié)議的VPN技術(shù)的研究與實(shí)現(xiàn)[J].電腦知識(shí)與技術(shù)，2009，5（19）：5121-5123.

[2]賈亞軍 等.局域網(wǎng)環(huán)境下安全準(zhǔn)入認(rèn)證方法的研究[J].計(jì)算機(jī)系統(tǒng)應(yīng)用，2007，26（4）：5-8.

[3]王瑞，等.入侵檢測(cè)系統(tǒng)模型研究與分析[J].計(jì)算機(jī)工程與應(yīng)用，2003，30（17）：143-149.

Research on cloud-based cross-autonomous security access strategy

XUE Le-mei

（Patent examination cooperation guangdong center of the patent office， CNIPA，Guangzhou Guangdong? 510530）

Abstract：Interworking between autonomous domains usually uses the Border Gateway Protocol. This paper analyzes the security issues faced by cross-autonomous communication and proposes corresponding solutions.

Key words：autonomous system; network security; encryption; cloud