基于葱头路由技术和MPLS的隐匿通信模型.pdf

《基于葱头路由技术和MPLS的隐匿通信模型.pdf》由会员分享，可在线阅读，更多相关《基于葱头路由技术和MPLS的隐匿通信模型.pdf（7页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、收稿日期：!#$%$!基金项目：国家自然科学基金资助项目（&%!()）；国家部委重点实验室基金资助项目（%*+&,(,#,-.#!）作者简介：吴振强（#%&/$），男，陕西师范大学讲师，西安电子科技大学硕士研究生0基于葱头路由技术和!#$的隐匿通信模型吴 振 强#，!，杨波#（#,西安电子科技大学 通信工程学院，陕西 西安#；!,陕西师范大学 计算机科学学院，陕西 西安#&#）摘要：葱头路由技术是为了阻止在公用网络上进行窃听和流量分析，提供双向、实时的匿名连接，可以在公开的计算机网络中隐蔽网络的结构，然而其实现效率太低0结合 123+的优势，文中提出了一种安全、高效的隐匿通信模型，并给出了模型

2、在 425 和 26 防火墙上的应用0关键词：葱头路由；网络安全；隐匿通信；123+中图分类号：75%#/,#文献标识码：8文章编号：#$!)（!）)$9#($9!#$%&#()*#*+#,-.#,*/.)0/#*1)-%$#*#*/#*(#,0/*2)*$3456!#$%&()*&+#，!，,-./01!（#0+:;=7?=?:ABC:DECBF GBHCB?ICBH，JCKCDB LBCM0，JCNDB#，6;CBD；!0+:;=6OAE?I+:CB?:?，+;DDBPC 5ID=LBCM0，JCNDB#&!，6;CBD）!1-0().0：QBCB II OICMDE?:ABC:DECB

3、M?I D OAR=C:B?ESIT，DBK CE OIMCK?F DBBUAF:BB?:ECBF E;DE DI?FEIBH=U I?FCFEDBE E RE;?DM?FKIC:DBD=UFCF0 QBCB IAECBHVF DBBUAF:BB?:ECBF DI?RCKCI?:ECBD=DBK B?DI I?D=$EC?，DBK E;?:BB?:ECIDECB:DB R?;CKK?B0 WS?M?I，E;?BCBIC:C?B:U CF=S0 7;CF ODO?I K?F:ICR?F D I DBBUAF:ABC:DECB RDF?K B BCB IAECBH DBK E;?123+VF DK

4、MDBEDH?，DF S?=DF F?M?ID=DOO=C:DECI 425 DBK F?:AI?2607%+8#($-：BCB IAECBH；B?ESIT F?:AICEU；DBBUAF:ABC:DECB；123+各种研究表明，在 XBE?IB?E 的 X2 层、762YL-2 层和应用层都存在安全缺陷，利用密码技术虽然可以防止敌手的监听和窜改，但其包含的节点地址等信息却必须公开，攻击者仍能从中得出安全网络的结构信息，实施诸如网络入侵等主动攻击0为此 6;DA 在#中定义了一个经过多个中间节点转发数据的多级目标路径，称为混淆（1CP?F）0为了隐蔽接收者，发送者可选定.个连续目标，其中之一为

5、真正接收者，窃听者在一段链路上获取真正接收者的概率为#2.，并且中间节点在传送消息时可采取重新排序、延迟和填充手段使获取真正目标的概率更低，从而加大攻击者进行流量分析的难度0类似地可隐蔽发送者0为实现上述混淆，必须满足以下两个条件：!所选目标能可靠地完成上述工作且彼此间存在安全通道；中间节点必须知道整个路径结构才能重新排序0再者，上述延迟虽然可以防止敌手的跟踪，但也可能为攻击者进行攻击提供时间0针对以上(个问题，文献!，(提出了采用葱头路由技术分别实现匿名连接和隐蔽网络结构的连接方案，满足了对所传数据的网络结构都要实现隐藏的要求；文献)对此方案进行了改进，应用群签名认证技术弥补了其安全可靠性差

6、的不足，解决了扰乱性攻击问题0但是所有这些方案都未考虑实现效率0公钥算法的计算耗费大量62L 时间，当信息量大时，性能会下降，葱头路由器会成为网络的瓶颈0目前路由器的发展趋势是第三层的路由技术和第二层的交换技术相结合，主干上出现了吉（太）位线速的路由交换机，基于葱头路由技术的路由器只能用于规模小的网络；因此要进入主干路由器还必须加以改进0文中分析了葱头路由技术和多协议标记交换技术（123+）的工作原理，分析了葱头路由技术的缺陷和!年/月第!%卷第)期西安电子科技大学学报（自然科学版）%&()*#&+,-.-*)-/0($-128AH0!4=0!%50)万方数据!#$实现隐匿的技术优势，在此基础

7、上给出葱头路由技术和!#$相结合的隐匿通信模型，并从安全性和效率两个方面进行了分析，说明模型在%&和 防火墙上的应用(!葱头路由和#$%技术原理!葱头路由技术简介葱头路由技术是为了阻止在公用网络上进行窃听和流量分析，以提供双向、实时的匿名连接，可以在公图)葱头路由代理技术过程开的计算机网络中隐藏网络的结构，对在互联网上进行的跟踪、窃听和流量分析有很强的抵抗作用，是通信双方用葱头包代替通常的*+,数据包，利用代理技术实现与目标系统间的连接(这种葱头路由代理技术（-./0.1023/.4 5067，简称-1）的实现过程见图)(该图的通信过程可以简单地描述如下：当主机!要与主机进行通信时，主机!向代

8、理路由器#发送一个数据包，代理路由器对该数据进行封装，封装是按分层进行，首先是对代理路由器$的地址和要发送的数据进行封装，把刚封装好的包与路由器%的地址再进行二次封装，然后再把所得的包与路由器&的地址进行图 8葱头数据包的形式封装，这样封装好的数据包类似于洋葱的结构，故称之为葱头，见图 8当代理路由器#把这个葱头传到路由器&时，路由器&用自己的密钥对所得的数据包进行解密，得出下一站是路由器%，于是路由器&就剥掉包中指明%的地址及包头信息，仅把数据负载部分传到下一个路由器%，这个过程就像剥掉了洋葱的最外面一层路由器%收到了葱头后，按照同样的原理把变小的葱头又传到了终点路由器，即代理路由器$同样地

9、用自己的密钥解包，得到主机 的地址后，直接把数据包发送给主机 外部的窃听者如果监听链路中的某一个节点，如路由器%，只能得到葱头是从路由器&发来的以及下一站是路由器$的信息，不可能得到其他任何信息(为了防止流量分析，在节点转发时可加以填充技术，把剥掉最外层的葱头连同产生的随机数组成与原来同样大小的葱头数据包，这样在中间的任何一个路由器上看到的信息都不相同，但包的大小相同，从而加大了攻击者分析的难度(利用这种技术可以很好地实现隐匿通信(!#葱头路由技术代理接口为了解决葱头路由技术与,.395.93 的兼容，设计时采用了代理技术，由应用层代理实现应用层与网络层的接口；当然中间的路由器&和%也可以充当

10、代理路由器(通过路由器代理实现的路由技术由以下:步组成：定义路由；建立匿名连接；通过匿名连接传输数据；撤消匿名连接(定义路由是由发送方主机!的代理路由器#根据路由信息来建立一个葱头包，其形式如图 8 所示(图;葱头数据包传输过程建立匿名连接和传输数据的过程如图;，撤消匿名连接，当通信结束时，发送方、接收方或中间路由器中任何一方都可以发送撤消匿名连接的消息，并且所有的路由节点都要强制清除路由信息(!$多协议标记交换（%&(）的工作原理多协议标记交换（!#$）是通信领域中的一项新技术，它是将第三层,技术与第二层的硬件交换技术结合在一起，并且使用一个定长的标记作为分组在!#$网络中传输时所需处理的惟

11、一标志，类似于邮政服务中的邮政编码，以前是靠收信人的地址分检，现在变成按邮编自动分检，效率高(!#$技术具有,的灵活:)西安电子科技大学学报（自然科学版）第 8=卷万方数据性、可扩展性与高性能，是一种理想的!骨干技术#，$；它在以下方面的功能非常适合于隐匿路由信息%!&(是一种隧道技术，&(网络内部节点并不关心网络层的地址和内容，从标识也无法获得网络层的地址，在一定程度上保证了&(传输的安全性和隐匿性，用&(实现)*简单且效率高%&(具有标记合并功能，标记交换路由器（(+）将出入口相同的标记归为相同的转发等价类（,-.），当不同的分组到达某一(+时，输出分组将使用相同的标记%这一技术可以很好地

12、实现./012 所定义的混淆（&3456）功能%#&(在网络中的分组转发是基于定长标签，由此简化了转发机制，使得转发路由器容量很容易扩展到太比特级%$&(网中直接使用显式路由，支持流量工程，且与链路层技术无关；支持 789:，帧中继，;，=?=&等，保证多种网络的互通，将各种不同的网络传输技术统一在同一个&(平台%!#葱头路由技术的缺陷目前的几种实现方案9，:都加大了敌手攻击的难度，但在实现时还有以下缺陷：!路径信息可以隐蔽，但代理路由器!和 易成为攻击的重点，尤其是主机#至!，至主机$之间是以明文传输，即使采用应用层加密，但传输层的口地址和!层的!地址却是公开的，缺乏端点的安全机制，一旦攻破

13、!或 节点，则路由器上的链路状态和节点信息将全部公开了%所有方案都采用了公钥密码机制，当主机节点增多且数据流量增大时，路由器上解密的时间长，占用大量的.A 资源，路由器的转发效率下降，路由器将成为网络的瓶颈%#所有节点必须把公私钥、认证码、可信标识、连接的链路信息、存取控制策略、链路当前状态等信息存放在数据库中，当节点%很大时，维护和管理链路的数据库变得庞大，存取路由信息的时延也加大&因此要满足可接受的效率，%的规模要受到限制，如第一代模型只有:个节点，第二代模型只有 BB 个节点C；具体的性能分析见第 D 部分%$单一类型的链路效率低，由于葱头路由是面向连接的技术，而实际的应用是各不相同的；

14、有些连接是短暂的，如，而有些连接是长时间的，如+EF!*和-*-建立短期连接，而+EF!*，-*-则建立长期连接%EN3ON 管理层负责对上层来的数据进行加密封装，它不对沿途所有的路由结点进行封装，而是只对进出&(系统前后的路由节点进行 EN3ON 封装，&(系统内采用标记路由%这种在服务器上集成了&(=协议，使得计算机可以直接支持&(功能（相当于完成了-+功能），这样:B:第 期吴振强等：基于葱头路由技术和&(的隐匿通信模型万方数据图!带标记交换的葱头路由器模型可直接连到#$%的$%&，实现网络第二层交换功能图!是带有标记交换的葱头路由器模型，它将路由计算、控制等非实时任务同包转发的实时任务

15、分开，具有链路标记的包在第二层的标记交换层实现数据包的交换转发，一般采用(%)*硬件（称为包转发器）实现；对不带标记的数据包，则上传到第三层进行路由，由*#+运行相应的软件完成路由，可以对目前普遍使用的路由软件如&)#，,-#，.%#/等进行扩充，加上.0120&234105 的路由策略，只需对收到的)#包进行判断，以决定采用何种策略进行路由转发此模型兼顾了主干路由的灵活性和高效性，同时也达到了与目前的路由器的兼容性问题!模型分析!#安 全 性由于模型采用分段的思想，在网络的边缘是由葱头包来保证其安全性，在#$%网络内部，由于#$%的标准未提供安全措施，建议由)#%6*来保证该模型把#$%看作

16、是一个隧道，由于葱头包自身是层加密，内部的信息是安全的，惟一暴露的是#$%出口$6&的)#地址，所以观察者只可获得此包是发往某一$6&，无法确定发送者和接收者的信息，所以整个模型的安全性不低于原葱头路由器网络的安全性若考虑在#$%内部的隐藏出入口的)#地址，只需在#$%网出入口的$6&再一次进行端至端加解密，此时模型的隐匿性更强!$效率模型的效率可以从协议效率和传输效率两方面进行分析，在文献 7 中的信元头有8,94:，信元为;78,94:，.0120 层的包头是;7,94:，假设所采用的种子密钥和证书等信息为;（;78=8=;7!;!），其中!为经过的路由器数，则协议的效率近似为?ABC D

17、 BEAC 然而实际的网络中路由器数多数都超过了;；利用 0:44FGH:软件测得发往 1HF2I2J4 公司图 发往 1HF2I2J4 公司的包经过的路数的路由器数为;K，见图，若采用葱头路由技术，则协议效率仅为 77A7C 由此可见，这种路由协议的效率是随着路由器数目的不同而变化的根据葱头包的设计思想，为了更好地实现隐匿性，最好利用填充技术使得所有葱头包的大小在线路不同段上都相同，达到了混淆的效果，加大了分析者分析的难度所以葱头包一般都按最大可能的路由器数进行设计，实际上通信的路由器数不会超过 B7;E，若按最大数B7 计算，要在)04:F0:4 上采用葱头路由算法实现隐匿技术，则其协议效

18、率只有;BA7C 若利用文中提出的模型，从图 可以看出，从主机发出的包经过 7个路由器就出了$(L，进入 M(L，实际上大多数的$(L 采用 7 级结构，若收发双方的$(L 内的路由器都按 7 级计算，中间以#$%的标记进行交换，则文中模型的协议效率稳定在!?A8C，优于目前的葱头路由方案传输效率主要取决于延迟时间，延迟时间主要是由在路由器上的排队等待时间与葱头变换时间构成，在收发双方的$(L 内 7 个路由器上两种方案相同，只需比较中间主干上的差别葱头路由器进行传输，每个路由器上要进行排队，还要进行葱头包的解密变换，根据#NO 公式;，葱头包的延迟时间取决于数据包到达率的平均值以及包发送时间

19、的平均值和方差，当通信强度!趋近于;时，延迟时间将无限增大，且在每个葱头路由器上要进行公钥解密变换，此变换是耗时间的；而#$%网络由于是采用交换原理，在包到达交换机时只需概括根据标记查找很小的标记库$),，建立入口和出口的连接，不需对包进行存贮转发，而是直接交换，不对包作任何变换；在延迟时间上#$%与葱头路由相比，#$%完全可以忽略不计所以该模型的传输效率在路由器数!#?时明显优于葱头路由技术;!西安电子科技大学学报（自然科学版）第 7 卷万方数据!#$作为网络骨干技术，从提出就受到我国电信界的关注，已提出了我国的!#$标准，并在几个大城市进行模拟试验，可以预计在不久的将来，随着!#$的普及，

20、文中所提的隐匿模型将会得到广泛应用%!应用文中提出的隐匿通信模型，可以在&()管理层中加入密钥和认证策略，除了可以防范窃听这样的被动攻击外，同时还可防范攻击者的主动攻击%下面给出该模型的两个应用：!*+（*(,-./0,(1/-2+2-3),4）应用，*+利用 5-2,2-技术和低廉的成本帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输%利用文中提出的主机通信模型，很容易实现远程访问的*+，&()管理层就提供端至端的数据加密，并且只有特定的接收者才能解密%另外由于代理系统提供安全的通信信道，用户无需安装专门的*+软件%由于代理系统位于网络层之上

21、，它不仅能对 5 地址进行认证，还能对个人用户的身份进行认证%6 防火墙（$27.,2 6）应用，传统意义下的防火墙是从保护#8+的角度出发设计的，认为#8+内部是安全的，目的是防止#8+受到来自互联网的攻击，是网关型的防火墙%而 6 防火墙是全面考虑#8+内主机系统的网络信息，甚至系统所采用的软件，它与网关型防火墙的不同是后者是由专业的网络管理员管理，而6 机的用户一般不具备专业知识，这部分工作应由系统本身来提供%文中的代理服务器模型若作为主机用时，其应用过滤层可以对进出的应用设置过滤，而&()管理层提供安全保障，从而达到了对系统本身的保护%结 束 语目前的隐匿系统要么难以阻止复杂的攻击，要

22、么是占用大量带宽%笔者结合!#$的优势提出了一种安全、高效的隐匿通信模型，并从安全性和效率两个方面进行了分析，分析结果表明模型的安全性不低于原葱头路由器网络的安全性，模型的协议效率优于目前的葱头路由方案%最后给出了模型在*+和 6 防火墙上的应用%参考文献：9 6:/.;02?027-,)(7!/(0，2-.,8AA,2BB2B，/A(C(-/0 B2.A)D;B E%6);.(7/-()B)F-:2 86!，9GH9，IJ（I）：HJKHH%I 22A!L，$D12,B)M，L)0AB7:0/C !%8)D;).B 6)27-()B/A&().-(C E%5?E).,/0)$2027-2A

23、8,2/B(6);.(7/-()K$N27(/0 5BB.2)6)ND,(C:-/A,(1/7D,)-27-()，9GGH，9O（J）：JHIKJGJ%P L)0AB7:0/C !，22A!L，$D12,B)M%Q(A(C).-(C 5F),;/-()8%5F),;/-()Q(A(C：#+6$6%R2,0(：$N,(C2,K*2,0/C，9GGO%9PSK9TU%J 赵福祥，王育民，王常杰 V 可靠洋葱路由方案的设计与实现 E V 计算机学院，IUU9，IJ（T）：JOPKJOS%T L)0AB7:0/C !，22A!L，$D12,B)M%&().-(C F),8)D;).B/A,(1/-2

24、5-2,2-6)27-()B E%6);.(7/-()B)F-:286!，9GGG，JI（I）：PGKJ9%O$D12,B)M，WB.A(4 L，22A!L%W)3/,AB/8/0DB(B)F&().-(C$27.,(-D 8%,)722A(CB)F-:2 X),4B:)N)B2,1/(0(-D 6%R2,4202D：B%，IUUU%S 吴江，赵慧玲 V 下一代的 5 骨干网络技术 多协议标记交换!V 北京：人民邮电出版社，IUU9%H 5?WM!#$工作组草案 VA,/F-K(2-FK;N0BK0B,K;(KUH%-Y-$%IUUI%G 5?WM!#$标记栈编码 VA,/F-K(2-FK;N

25、0BK0/20K27/NBKUJV-Y-$%9GGJ%9U6/,-2,，6,)1200/!%D/;(7$2,12,$2027-()=B(C D/;(7/-:6:/,/7-2,(Z/-()(X(A2K8,2/+2-3),4B 8%,)722A(CB)F-:29GGS 5?5+M&6&!6)F2,272 6%+23),4：5?，9GGS%99谢希仁 V 计算机网络!V 第二版 V 北京：电子工业出版社，9GGG%（编辑：李维东）S9T第 J 期吴振强等：基于葱头路由技术和!#$的隐匿通信模型万方数据基于葱头路由技术和MPLS的隐匿通信模型基于葱头路由技术和MPLS的隐匿通信模型作者：吴振强，杨波作

26、者单位：吴振强(西安电子科技大学,通信工程学院,陕西,西安,710071;陕西师范大学,计算机科学学院,陕西,西安,710061)，杨波(西安电子科技大学,通信工程学院,陕西,西安,710071)刊名：西安电子科技大学学报(自然科学版)英文刊名：JOURNAL OF XIDIAN UNIVERSITY年，卷(期)：2002,29(4)被引用次数：18次 参考文献(11条)参考文献(11条)1.IETF MPLS标记栈编码 19942.IETF MPLS工作组草案 20023.吴江;赵慧玲 下一代的IP骨干网网络技术-多协议标志交换 20014.谢希仁 计算机网络 19995.Carter R;

27、Crovella M Dynamic Server Selection Using Dynamic Path Characterization in Wide-AreaNetworks 19976.Syverson P F;Tsudik G;Reed M G Towards an Analysis of Onion Routing Security 20007.Goldschlag D M;Reed M G;Syverson P F Onion Routing for Anonymous and Private Internet Connections外文期刊 1999(02)8.赵福祥;王育

28、民;王常杰 可靠洋葱路由方案的设计与实现期刊论文-计算机学报 2001(05)9.Goldschlag D M;Reed M G;Syverson P F Hiding Routing Information 199610.Reed M G;Syverson P F;Goldschlag D M Anonymous Connections and Onion Routing外文期刊 1998(04)11.CHAUM D Untraceable Electronic Mail,Return Addresses,and Digital Pseudonyms外文期刊 1981(02)引证文献(18条

29、)引证文献(18条)1.周彦伟.吴振强.江景祥.王宁 基于Tor的Internet集成匿名浏览系统设计与实现期刊论文-信息与电子工程2009(3)2.陆天波.时金桥.程学旗 基于互联网的匿名技术研究期刊论文-计算机科学与探索 2009(1)3.陆天波.时金桥.程学旗 基于互联网的匿名技术研究期刊论文-计算机科学与探索 2009(1)4.李龙海.XIAO Guo-zhen 具有可撤销匿名性的混合网期刊论文-西安电子科技大学学报（自然科学版）2008(4)5.李楠 二代洋葱路由技术Tor控制平台的设计与实现期刊论文-商洛学院学报 2008(2)6.李龙海.付少锋.肖国镇 对一种(t,N-2)弹性M

30、ix Net的密码学分析期刊论文-西安电子科技大学学报（自然科学版）2007(6)7.陈智俐 匿名通信技术的研究现状和发展趋势期刊论文-电脑知识与技术（学术交流）2007(1)8.宋虹.杨路明.王伟平.段桂华 通用匿名系统结构的研究与设计期刊论文-计算机工程 2006(20)9.朱娜斐.陈松乔.眭鸿飞.陈建二 匿名通信概览期刊论文-计算机应用 2005(11)10.吴振强.马建峰 一种基于IPSec的宽带无线IP网络匿名方案与实现期刊论文-计算机应用 2005(1)11.唐石 匿名通信技术及组播匿名协议研究学位论文硕士 200512.吴炜 基于隧道的VPN分类研究及其网络性能测试学位论文硕士 200513.高智世 混合匿名通信系统的设计与分析学位论文硕士 200514.崔海燕 移动IP中的几个安全问题研究学位论文硕士 200515.吴振强 匿名技术的抗攻击性研究期刊论文-陕西师范大学学报(自然科学版)2004(1)16.王伟平 匿名通信系统性能及可扩展性研究学位论文博士 200417.张莉.吴振强 一种分布式的洋葱路由新机制期刊论文-计算机应用 2003(12)18.吴振强 匿名通信技术的研究现状与展望期刊论文-陕西师范大学学报(自然科学版)2002(4)本文链接：http:/