IP网络安全可信技术之西电捷通TISec技术让TCPIP协议更安全

《IP网络安全可信技术之西电捷通TISec技术让TCPIP协议更安全》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、IP网络安全可信技术西电捷通TISec技术让TCP/IP协议更安全1导读互联网协议以TCP/IP协议最为人们所熟知。从1973年开始，TCP/IP成为整个互联网的核心协议。不过，随着网络技术的迅速发展，互联网的应用场景日益复杂,TCP/IP协议暴露出不少安全方面的短板，诸如IP伪造欺骗、数据完整性、隐私性遭到破坏、通信节点平台不可信等安全问题不绝于耳。基于此，1995年基于对等实体鉴别机制的IPsec诞生，以解决TCP/IP中最基础的IP协议安全问题。时至今日，尽管IPsec协议已经演进至第三版，不过因为受制于历史遗留和其自身的安全架构设计问题，IPsec协议所提供的功能性和安全性仍

2、然没有发生变化。一种基于三元对等架构设计思路的全新IP网络安全技术——TISec于2008年在西电捷通问世”并且正在引领IP网络安全可信技术的一场变革。TISec（IP网络安全可信技术，TrustofIPSecurity,简称TISec）是一项用来保护IP通信安全的协议技术，是三元对等安全架构在IP安全领域的应用实例。它不但为通过对流经网络的每个IP数据包进行身份验证和加密，在网络层为IP协议提供安全服务z还通过引入在线第三方实体为通信节点的身份安全和平台安全提供安全服务，进而解决IP协议的完整性、安全性、抗重放、通信节点身份鉴别和平台可信等网络安全隐患。2TISec技术架构基于三元

3、对等架构TISec技术是一组公开的技术标准，是多种技术的组合应用”它不仅包含了对TCP/IP协议基础安全保护”还包括节点身份鉴别、IP地址漫游、第三方在线鉴别架构以及可信连接架构等多种服务能力，着力从协议安全性、功能性及适用性等多个维度满足TCP/IP基础安全。TISec安全工作于IP层，在保障通信端点之间的身份安全和IP数据安全的同时，可构建更为灵活的IP安全可信网络，全面满足IPv4和IPv6网络的安全性和功能性需求。TISec协议包括AKE、TCA、TUE以及DR等多个子协议，其中AKE提供基于共享密钥和证书的鉴别、密钥交换方法，并为TUE协议提供安全关联所需的相关算法及其他能

4、力参数；TCA为提供网络节点的可信安全接入服务；DR为网络节点提供自动的数据转交服务；TUE为IP数据提供机密性、源发鉴别、数据完整性及抗重放保护；其它组件包括密码算法、安全关联参数、数据压缩等系列辅助技术内容。图1TISec技术框架示意图同时，TISec采用了三元对等架构TePA(Tri-elementPeerArchitecture)技术提供基于身份的鉴别方法，保障终端设备和接入控制设备身份合法性，终端和接入网络两方身份同时交由第三方在线设备认证,解决传统两元实体认证存在安全问题。3TISec提供三大安全磁码nternetlnt『anetAfbV打:心別卜机AAfAfKHULBI

5、F^lHcade-rIP^DataIF^HcaderIPsfiDatalnt『anet图2TISec的安全狂码磋码一:TISec阻止网络节点的非法接入TISec能够阻止任何网络节点通信过程中外部的非法接入，从而保障系统中网络设备身份和平台本身的合法性。同时为IP通信提供端到端的保密通信服务,通过IP数据秘密性保护、完整性保护、抗重放以及数据混淆服务等，抵御来自外部网络在IP层的各种威胁,让IP网络通信在安全通道中进行。袪码二:TISec提供的安全隧道服务，构建虚拟专网VPN服务TISec所提供的通信节点网络层数据代理和转发机制,实现IP数据的跨子网转发能力，解决了路由转发的技术缺点，

6、屏蔽了外部网络复杂的拓扑结构,实现节点只是私有网直联的虚拟专网结构，同时采用IP转交的IP漫游技术，为网络节点提供跨网络的IP游牧漫游能力。磋码三：TISec提供的平台可信安全鉴别服务TISec提供的平台可信安全鉴别服务，能够结合TCM/TPCM等可信基础芯片,满足平台的可信安全接入能力,通过实现平台身份鉴别和平台完整性评估,在底层逬行防护,通过底层平台的可信鉴别,为其上运行的服务提供更强的安全防护，构建可信网络连接。4TISec与IPsec的技术对比复杂性是安全最大的敌人，作为一个安全协议，IPsec的复杂性由来已久zIPsec的复杂性在于，它包含有太多的选项和太多的灵活性。这种复

7、杂性引起了大量的歧义、矛盾、低效和缺陷。其密钥交换协议的模式组合繁多,共享密钥、公钥对、数字证书等多种凭证更是增加了协议的复杂性,可用性变差。数据封装协议由于早期美国对密码算法对外出口的限制也存在多种模式，这些因素综合导致了IPsec协议本身和应用上存在安全问题和应用场景限制。同时由于IPsec技术未定义VPN数据转交方式，被保护两端网络构建VPN必须为不同的子网。而TISec协议设计包含了IP地址漫游技术和DR数据转交技术”这两种技术主要解决VPN组网时