因特网通信子网典型路由协议的安全性研究

发布时间：2017-04-20 00:14

  本文关键词：因特网通信子网典型路由协议的安全性研究，，由笔耕文化传播整理发布。

【摘要】：随着互联网技术的发展,网络应用已从经济、工业、政治、文化和军事悄然深入到人类社会的方方面面。正因为如此,网络的安全性问题也同时威胁着人类社会的各个方面,由此而吸引了全球大量研究力的投入。当前,除了研究以全新的网络架构来解决因特网所面临问题(包括安全问题)的下一代Internet (NGI) (?)卜、,大多数网络安全的研究工作则主要聚焦于提高现有因特网的安全性上。作为四川省网络通信重点实验室NGI研究的一部分,本人的博士论文大体上也主要集中在研究如何提高现存因特网架构的安全性上。对现有网络安全研究工作的分析表明：大多数研究工作都是针对特定的安全问题进行的。本论文的研究则从因特网体系结构和系统互联的视角出发,分析网络安全问题。对通信子网的体系结构分析表明：OSI/RM和类OSI/RM的Internet体系结构隐式地沿用了带内信令的观点,将通信子网描述为最多三层结构,从而掩盖了用户数据传输与交换平台和信令与管理数据传输平台在功能、层次结构上的差异以及不同平台上安全问题的差异。本文利用带外信令的观点,将Internet的通信子网归纳为最多三层的“用户数据传输与交换平台”(U-P)和涉及传送层和其上的专用信令控制管理协议的“信控管理平台”(SM-P),后者涉及OSI/RM的7层(Internet的5层)。由于不同平台职责不同、协议层次也不同,其安全性也存在很大的差异,由此引入了平台安全的概念。从Internet是由不同管理域的“自治系统”(AS)互联而成的复杂系统的观点出发,将研究对象的安全问题归结为系统内部安全性和边界安全性问题,由此引入和强调了边界安全的概念。将两种安全视角相结合,通过对资源子网和通信子网两类典型实例的分析,本文将研究重点锁定在目前研究相对较少的通信子网的SM-P上的两个重要协议,即AS之间通信的外部网关协议(BGP)和AS内部使用最为广泛使用的开放式最短路径优先协议(OSPF)。上述内容的详细讨论在本论文第二章中进行。本文第三章到第六章致力于BGP和OSPF的安全性研究,是本论文的主要研究成果的集中体现。本文的第三章旨在提高BGP经典安全解决方案S-BGP'‘验证机制”的有效性问题。在确保参与者的身份不可伪造,IP地址前缀的真实性,AS_PATH不可篡改以及KN之间的相互信任的前提下,减少系统开销,提高验证效率。由此,给出了全新的轻量级的验证算法SR-KN。仿真结果表明在110个AS规模的网络中,与S-BGP相比,网络收敛时间大约降低了一半。而当网络规模达到11038时,证书规模大约减少为原有规模的千分之七。传统BGP安全解决方案采用了“集中式”的认证模型,使得方案难以部署和扩展。基于信任者转化模型(TTM)的SE-BGP在一定程度上解决了这个问题,但是SE-BGP却无法验证跨联盟者(CAA)的身份及行为授权,也无法抵御他们的主动攻击。由此,为了解决以上安全问题,第四章给出跨联盟的认证算法和主动攻击防御算法,进而提出一种新的解决方案SCA-BGP。理论上证明,SCA-BGP的安全性完全能够满足安全需求。仿真结果表明,SCA-BGP的可扩展性和网络性能均优于S-BGP和SE-BGP。鉴于SCA-BGP中跨联盟者间缺少协同机制,第五章着重于解决SCA-BGP的资源分配及健壮性提升问题。笔者提出了借助多个关键节点(KN)分摊信任转化任务的分布式信任者转化模型(DTTM),并基于邻居环建立了修复机制和信任评估机制,最终提出并实现了一种新的BGP安全解决方案——协同安全BGP(CS-BGP)。理论证明,CS-BGP解决了资源分配问题,有效提高了系统的健壮性。实验结果表明：CS-BGP与笔者提出的SCA-BGP类似,同样具有良好的可扩展性和网络收敛性。第六章将研究工作转向AS内部的安全问题,着重讨论OSPF的安全性。通过将OSPF的二层结构拓展为三层等级结构,借鉴现有的多成员组之间的通信方法,给出了适宜于OSPF区域结构的高效的安全解决方案HS-OSPF。HS-OSPF保障了“洪泛”过程中“信息的机密性、真实性和完整性”,参与者“身份的不可否认性”,“身份的不可伪造性”及安全威胁的“可控性”安全特点。仿真结果进一步表明,HS-OSPF获取密钥和验证的总时间远小于传统方案。如果将规模为1000的OSPF网络划分为10个区域,密钥的存储量也将降为传统方案的十二分之一。综上所述,本论文从笔者提出的平台视角和互联视角出发,通过对两类典型系统安全性问题的分析,最后以通信子网中的两类路由协议BGP和OSPF为对象较为深入地研究了其安全性问题,提出了多种改进方案。实验结果表明：笔者提出的不同安全性方案为解决相关协议的安全性,提高系统处理效率和系统的可扩展性等方面均作出了较大的贡献。应当指出；通信子网“信控和管理平台”的安全性涉及了其平台上的多种协议,因时间和精力所限,本文研究仅涉及信令平台上的两种典型的路由协议。但是,笔者相信：该平台上的其他协议,如网络管理(SNMP)和域名系统(DNS)等都可以从平台安全和互联安全两个视角出发开展相关的研究。
【关键词】：通信子网 平台安全 边界安全 BGP安全 OSPF安全
【学位授予单位】：西南交通大学
【学位级别】：博士
【学位授予年份】：2015
【分类号】：TP393.08
【目录】：

• 摘要8-10
• Abstract10-16
• 缩略语表16-20
• 第1章 绪论20-27
• 1.1 本项研究的背景20-22
• 1.2 本论文的研究内容与特点22-23
• 1.3 本论文的主要成果23-25
• 1.4 本文的组织结构25-27
• 第2章 因特网的安全性分析27-48
• 2.1 引言27
• 2.2 网络体系结构、带外信令与网络平台安全27-29
• 2.3 网络的自治系统(AS)及边界安全29-30
• 2.4 通信子网安全问题浅析及论文主要研究对象界定30-33
• 2.4.1 狭义AS典型实例——通信子网安全问题分析30-31
• 2.4.2 广义AS典型实例——资源子网安全问题分析31-32
• 2.4.3 对本论文主要研究对象的界定32-33
• 2.5 BGP安全问题33-37
• 2.5.1 BGP基本原理33-35
• 2.5.2 BGP安全问题35-37
• 2.6 OSPF安全37-38
• 2.6.1 OSPF介绍37
• 2.6.2 OSPF安全问题37-38
• 2.7 相关工作进展38-46
• 2.7.1 域间路由协议BGP安全的相关工作38-45
• 2.7.2 域内路由协议OSPF安全的相关工作45-46
• 2.8 待解决的问题46
• 2.9 本章小结46-48
• 第3章 基于关键节点的域间路由安全机制48-60
• 3.1 引言48
• 3.2 经典方案验证机制分析48-50
• 3.3 基于关键节点的安全路由50-57
• 3.3.1 关键节点的定义50-53
• 3.3.2 安全验证机制53-57
• 3.4 分析与实验57-59
• 3.4.1 安全性分析57-58
• 3.4.2 网络收敛性能分析58
• 3.4.3 证书规模58-59
• 3.5 本章小结59-60
• 第4章 穿越自治系统联盟的域间路由安全60-77
• 4.1 引言60
• 4.2 BGP典解决方案S-BGP认证模式60-61
• 4.3 SE-BGP解决方案61-64
• 4.3.1 Rich-Club现象61
• 4.3.2 AS联盟61-62
• 4.3.3 TTM62-63
• 4.3.4 SE-BGP63
• 4.3.5 安全漏洞63-64
• 4.4 SCA-BGP安全机制64-71
• 4.4.1 CAHS结构分析65
• 4.4.2 护照证书签证65-67
• 4.4.3 主动攻击防御机制67-71
• 4.5 方案分析71-76
• 4.5.1 安全性分析71-72
• 4.5.2 可扩展性分析72-75
• 4.5.3 网络收敛性75-76
• 4.6 本章小结76-77
• 第5章 基于分布式多关键节点协同的域间路由安全77-93
• 5.1 引言77
• 5.2 待解决问题77-78
• 5.3 基于分布式多关键节点协同的域间路由安全机制78-87
• 5.3.1 分布式多关键节点结构DMHS78-81
• 5.3.2 DTTM81-82
• 5.3.3 关键节点的失效修复机制及其健壮性82-84
• 5.3.4 关键节点之间的监管和激励84-86
• 5.3.5 CS-BGP86-87
• 5.4 实验和分析87-91
• 5.4.1 方案的安全性评估87-88
• 5.4.2 可扩展性88-90
• 5.4.3 网络收敛性90-91
• 5.5 本章小结91-93
• 第6章 OSPF安全93-106
• 6.1 引言93
• 6.2 区域结构93-94
• 6.3 OSPF安全解决方案94-102
• 6.3.1 三层等级结构94-95
• 6.3.2 基于哈希函数的密钥链生成95-96
• 6.3.3 密钥分配96-100
• 6.3.4 安全通信100-102
• 6.4 方案分析102-105
• 6.4.1 安全性102-103
• 6.4.2 存储量103
• 6.4.3 系统开销和实时性103-105
• 6.5 本章小结105-106
• 第7章 总结和展望106-109
• 7.1 主要研究成果106-107
• 7.2 进一步研究工作与展望107-109
• 致谢109-111
• 参考文献111-119
• 攻读博士学位期间发表的论文及科研成果119-120
• 读博期间论文发表情况119
• 读博期间参与的科研项目119-120

【相似文献】

中国期刊全文数据库 前10条

1 刘熙,韩兆轩,康继昌;航空电子综合化系统通信子网设计研究[J];航空学报;1992年04期

2 曾华q

本文编号：317497