（通信与信息系统专业论文）基于授权的主动网络安全防护技术研究.pdf

电子科技大学博士论文 摘要 主动网络( a n ，a c t i v en e t w o r k s ) 是一种新型的网络体系，它允许用户或第 三方软件开发商对网络进行客户化编程。这种新型的网络体系把更多的计算处理 任务放到廉价的网络节点中，可实现网络性能优化，加速新技术、新协议标准的 开发和应用，具有广阔的前景。它对i n t e r n e t 遗留的问题能提供有效的解决方 法，被称为2 l 世纪的网络。 在主动网中，授权用户具有了以往只有系统管理员才具有的网管权利，授权 用户能够管理配置主动节点的资源。主动数据包中携带了能对网络节点资源进行 访问的程序，它们在很大程度上可以对资源进行分配、修改等操作，所有这些都 可能使网络受到恶意程序和有缺陷代码的攻击或影响。因此，如何构造一个安全 的主动网络环境是主动网能够得以推广实用的前提保障。目前主动网的安全性问 题尚未完全解决，本文在深入研究主动网的安全威胁和已有安全防护技术基础 上，综合了当前各种a n 安全体系结构和实现机制提出并设计实现了一个强认证 与访问控制授权相结合的能够支持安全服务定制的主动网安全授权原型系统。主 要工作包括以下几个方面： 系统详尽地分析了主动网的安全威胁和当前主动网安全防护技术研究现 状，综合了当前流性的a n s a 和a b o n e 安全体系结构、各种网络安全机制、现 有主动网模型、主动网的各种实现方法以及主动网的可信模型等各项技术，提出 了一个抽象的具有一般意义的安全防护模型，为实现主动网安全授权原型系统提 供了框架和指南。 在深入研究主动网认证方法的基础上，提出并设计了一个主动网络强认证 模型。由于主动网络环境与传统网络环境的差异性，在主动网中对网络实体 ( e n t i t y ) 及网络主体( p r i n t c i p a l ) 进行认证将面临更多的挑战。本文在深入研究主 动网认证需求的基础上，从逐跳( h o p - b y h o p ) 和端到端( e n d t o - e n d ) 两个层面 来为主动网提供认证服务，以及主动网通信信息的数据完整性、机密性和不可抵 赖性安全服务。 提出了一个基于k t c 的主动节点密钥建立协议k e p ，用来使主动网络节 点或主体之间建立共享密钥和交换证书，也可咀用于确认相邻主动节点和启动失 电子科拄大学博士论文 败时进行恢复认证。 详细研究了各种网络访问控制技术，提出了一种基于能力( c a p a b i l i 可) 与访问控制链表a c l ( a c c e s sc o m r o ll i s t ) 相结合的主动网络访问控制模型。并 对传统能力和访问监控器的原理和机制进行了主动性扩展，设计了一个主动能力 a c ( a c t i v ec a p a b i l i t y ) 原型和一个主动访问控制引擎a a c ( a c f i v ea c c e s s c o n t r o l l e r ) 。已有的主动网访问控制模型基本上没有考虑对普通i p 包的处理或者 是采用单一的访问控制机制，这对于基于p 环境的主动网来说显然不是最佳的。 我们的a a c 充分考虑了在i p 网络环境中实现主动访问控制的特点，提出了用 a c l 实施普通i p 分组访问控制，而用a c 实施主动分组访问控制相结合的方法。 设计并实现了一个安全授权系统原型s d a t s ( s e c u r ed y n a m i ca c t i v e t o o l k i ts y s t e m ) 。该原型系统具体实现了我们提出的认证与访问控制模型。利用 j a v a 的平台独立性以及j a v a 2 良好的安全性，使我们的原型系统具有良好的可移 植性，动态代码装载协议为a c 的传输提供了智能性和安全性保障。我们的原型 利用j n i 技术与本地系统服务紧密结合，实现了在用户空间对分组的截获功能。 此外还实现了：认证代理与a c 结构。动态代码装载，主动分组的格式设计，g s s a p i 的设计，管理配置和日志与审计。 在s d a t s 的基础上实现了一个安全主动过滤器s a f 。s a f 可以动态地安 装、运行在网络中的任意主动节点上，实现满足用户特定需求的包过滤。论文同 时分析比较了这种基于主动网络的安全机制的优越性与传统防火墙的局限性，展 示了基于主动网络的安全服务的诱人前景。并对系统性能和安全性进行了实验和 形式化评估。 关键词：主动网，安全防护，认证，授权，c a p a b i l i t y , a c ，e n d - t o - e n d ，h o p b y - h o p 皇王型苎查兰堕圭堡苎； a b s t r a c t a c t i v en e t w o r k s ( a n ) a r can e wa p p r o a c ht on e t w o r ka r c h i t e c t u r ew h i c h a l l o wu s e r so rt h et h i r d p a r t s o f t w a r e p r o v i d e r s t o p e r f o r m c u s t o m i z e d p r o g r a m m i n g t h e n e w t y p e a r c h i t e c t u r eo fn e t w o r k sc a r l o p t i m i z e t h e p e r f o r m a n c e + o fn e t w o r k s ，a c c e l e r a t i n gt h ed e v e l o p m e n ta n da p p l i c a t i o no f n e w t e c h n o l o g i e sa n dp r o t o c o l sb yd i s t r i b u t i n gl o t so fc o m p u t i n g t a s k si n t ot h ec h e a p n o d e so fn e t w o r k s a n dh a s p r o m i s i n g d i r e c t i o n i tc a np r o v i d ee f f i c i e n t s o l u t i o n st ot h ep r o b l e m sf r o mi n t e r n e t t h e ni ti sc a l l e dt h en e t w o r k so f2 1 5 c e n t u r y 。 i na n s ，t h ea u t h o r i z e du s e rh a st h em a n a g e m e n tr i g h to fn e t w o r kw h i c h u s e dt ob ep o s s e s s e do n l yb yt h es y s t e ma d m i n i s t r a t o r , a n dc a r la d m i n i s t r a t i n g a n dc o n t r o lt h er e s o u r c e so ft h ea c t i v en o d e s t h ea c t i v ep a c k e t sw i t he x e c u t a b l e c o d e sc a na c c e s st h er e s o u r c e so ft h en o d e s a n dc a na l l o c a t e & m o d i f yt h e r e s o u r c e si nm o s td e g r e e a l lo ft h e s em a yb r i n gt h ed a n g e r sf r o mt h em a l i c i o u s o rd e f e c tc o d e s h o wt oc o n s t r u c tas e c u r ee n v i r o n m e n tf o ra c t i v en e t w o r k si s t h ep r e r e q u i s i t eo fa n st ob ep o p u l a r i z e di np r a c t i c e c u r r e n t l yt h es e c u r i t y i s s u e so fa n sa r cs t i l lu n s o l v e de n t i r e l y t h i st h e s i sb e g i n sw i t ha no v e r v i e wo f t h et h r e a t sa n ds e c u r i t yt e c h n o l o g i e so fa c t i v en e t w o r k s ，d r a w i n gl e s s o n sf r o m a l lo fo t h e rs e c u r i t ya r c h i t e c t u r e sa n dm e c h a n i s m sf o ra n s ，t h e np r e s e n t sa d e s i g na n dd 6 s c r i p t i o n o ft h ei m p l e m e n t a t i o no fas e c u r ea u t h o r i z a t i o np r o t o t y p e f o ra n s ，w h i c hc o m b i n e sw i t ht h es t r o n ga u t h e n t i c a t i o na n da c c e s sc o n t r o l a u t h o r i z a t i o n u s i n g a c t i v e n e t w o r k i n gp r i n c i p l e s t h e s e c u r ea u t h o r i z a t i o n p r o t o t y p ec a ns u p p o r tc u s t o m i z e ds e c u r i t ys e r v i c e s t h em a i n c o n t r i b u t i o n so f t h et h e s i sa r es u m m a r i z e da sf o l l o w s ： e x a m i n e st h et h r e a tm o d e i a n dt h er e s e a r c hs t a t u s o f s e c u r i t y t e c h n o l o g i e si m p l i c i ti na c t i v en e t w o r k sf i r s t l y a f t e rc o n s i d e r i n gt h ef a v o r i t e s e c u r i t ya r c h i l e c t u r eo f a n s aa n da b o n e ，t h ev a r i o u ss e c u r i t ym e c h a n i s m s ，t h e 电子科技大学博士论文 c u r r e n tm o d e l s ，t h ev a r i o u si m p l e m e n t i n gm e t h o d sa n dt h et r u s tm o d e l so f a n s ， w ep r o p o s ea na b s t r a c ts e c u r i t ym o d e lf o ra n s ，w h i c hc a n p r o v i d eag u i d ea n d f r a m e w o r kf o ro u r p r o t o t y p e p r e s e n t i n g a s t r o n g a u t h e n t i c a t i o nm o d e lf o ra n sa f t e r d e e p l y r e s e a r c h i n gt h ev a r i o u sa u t h e n t i c a t i o nm e t h o d so fa n s s i n c et h ed i f f e r e n c e s b e t w e e nt h ea c t i v en e t w o r k sa n d p a s s i v en e t w o r k s ，t h e a u t h e n t i c a t i o no f p r i n c i p a l s o re n t i t i e si na c t i v en e t w o r k sw i l lm e e tm o r e c h a l l e n g i n g a f t e r d e e p l yr e s e a r c h i n gt h ee s s e n t i a ls e c u r i t yr e q u i r e m e n t so fa n s ，w ep r o p o s ea s t r o n ga u t h e n t i c a t i o nm o d e lc o m b i n i n gw i t hh o p - b y h o pa n de n d - t o e n ds e c u r i t y , w h i c hc a na l s o p r o v i d ei n t e g r i t y , c o n f i d e n t i a l i t ya n dn o n r e p u d i a t i o ns e c u r i t y s e r v i c e s p r e s e n t i n g ak t c b a s e dk e ye s t a b l i s h m e n t p r o t o c o lb e t w e e n a c t i v en o d e s w h i c hc a nb eu s e dt oa l l o wt w o p r i n c i p a l si nt h en e t w o r k t oe s t a b l i s hs e c r e tk e y s a n de x c h a n g ec e r t i f i c a t e s t h ep r o t o c o lc a l la l s ob eu s e di n n e i g h b o rn o d e s d i s c o v e r ya n db o o t s t r a pf a i l u r e r e c o v e r y a f t e r a n a l y z i n gv a r i o u sn e t w o r k a c c e s sc o n t r o lt e c h n o l o g i e s w ep r o p o s e ac a p a b i l i t ya n da c c e s sc o n t r o ll i s tc o m b i n e da c t i v ea c c e s sc o n t r o lm o d e l w e e x t e n dt h ep r i n c i p l e sa n dm e c h a n i s m so ft r a d i t i o n a l c a p a b i l i t ya n dr e f e r e n c e m o n i t o r , d e s i g n i n ga na c ( a c t i v ec a p a b i l i t y ) s t r u c t u r ea n da na c t i v ea c c e s s c o n t r o le n g i n e a a c ( a c t i v ea c c e s sc o n t r o l l e r ) t h ec u i t e n ta c c e s sc o n t r o l m o d e l sf o ra n se i t h e ri g n o r et h ea c c e s sc o n t r o lo fn o r m a li pp a c k e t so ro n l y p e r f o r ma c c e s sc o n t r o lb ys i n g l ea c c e s sc o n t r o lm e c h a n i s m i ti so b v i o u s l yn o t e f f i c i e n tf o rt h ei pb a s e da c t i v en e t w o r k s 1 h ea a ch a sc o n s i d e r e de n o n g bt h e f e a t u r e so fi m p l e m e n t i n ga c t i v ea c c e s sc o n t r o li ni pn e t w o r ke n v i r o n m e n t i t p e r f o r m st h ea c c e s sc o n t r o ll i s tf o rn o r m a li pp a c k e t sw h i l ep e r f o r m i n gt h ea c a c c e s sm e c h a n i s mf o ra c t i v ep a c k e t s p r e s e n t i n gas e c u r ea u t h o r i z a t i o np r o t o t y p e s d a t s ( s e c u r ed y n a m i c a c t i v et o o l k i ts y s t e m ) i ti m p l e m e n t so u ra u t h e n t i c a t i o na n da c c e s sc o n t r o l m o d e ld e s c r i b e da b o v e t h ej a v a - b a s e dp r o t o t y p ei s h i g h l yt r a n s p l a n t a b l eb y m e a n so ft h ei n d e p e n d e n c ea n ds e c u r i t yf e a t u r e so fj a v a 2 t h ed y n a m i cc o d e 宴! 型塑彗竖i 唑苎 l o a d p r o t o c o lp r o v i d e s t h e i n t e l l i g e n c e a n d s e c u r i t y f o r t r a n s p o r t i n g a c s i n t e r c e p t i n gp a c k e t s i s i m p l e m e n t e db y m e a n so fj n i t e c h n o l o g i e s t h e a u t h e n t i c a t i o na g e n t ，a cs t r u c t u r e ，c a p s u l ef o r m a t g s sa p t ，m a n a g e m e n ta n d l o ga c c o u n t i n ge t c a r ea l s od e s i g n e di no u rp r o t o t y p e p r e s e n t i n gas e c u r ea c t i v ef i l t e r ( s a f lb a s e do ns d a t s s a fc a nb e i n s t a l l e d d y n a m i c a l l y o n a n ya c t i v en o d e s ，w h i c h c a n p r o v i d ea p p l i c a t i o n s p e c i f i cp a c k e t sf i l t e r i n g b yc o m p a r i n gt h e s a fa n dt r a d i t i o n a l f i r e w a l l ，i t s h o w st h ew o n d e r f u lp r o s p e c to fa c t i v es e c u r i t ys e r v i c e si na n s f i n a l l yt h e p e r f o r m a n c eo f t h ep r o t o t y p ei st e s t e da n di t ss e c u r i t yi sf o r m a l l ya n a l y z e d k e y w o r d s ：a c t i v en e t w o r k s - s e c u r i t y ta u t h e n t i c a t i o n - a u t h o r i z a t i o n c a p a b i l i b , ，a c ，e n d t o e n d ，h o p b y h o p 独创性声明 本人声明所呈交的学位论文是本人在导师指导下进行的研究工作及取得的研究成 果。据我所知，除了文中特别加以标注和致谢的地方外，论文中不包含其他人已经发表 或撰写过的研究成果，也不包含为获得电子科技大学或其它教育机构的学位或证书而使 用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确的说 明并表示谢意。 签名： 凌宣日期：妒j 年牛月，7 日 关于论文使用授权的说明 本学位论文作者完全了解电子科技大学有关保留、使用学位论文的规定，有权保留 并向国家有关部门或机构送交论文的复印件和磁盘，允许论文被查阅和借阅。本人授权 电子科技大学可以将学位论文的全部或部分内容编入有关数据库进行检索，可以采用影 印、缩印或扫描等复制手段保存、汇编学位论文。 ( 保密的学位论文在解密后应遵守此规定) 签名：虚宣翩签名：班 日期：o ；年争月f7 日 电子私拮太学博士论文 符号说明 本文中约定下列符号： k ：d e a 密钥； v ：6 4 位密钥种子； d t ：时间矢量，每次密钥产生时被更新： i ：计算中间值； r ：6 4 位矢量； t a ：通信a 方的标识： t b ：通信b 方的标识； r a ：a 方产生的随机数： r b ：b 方产生的随机数； n a ：公证密钥； + ：异或； e ：加密： d ：解密： e d e ( y ，x ) ：y 在密钥x 下的多重e d a 加密； c t ( ) ：计算密钥偏移的计数器； p r k ：私钥； p u k ：公钥； i d t g s ：tgs 身份码 ， i d v ：服务器v 身份码 i d c ：客户机身份码 o p t i o n ：提供用户要求在返回票据中附加的某中标志 r e a l m ：指示用户的独立区 t i m e s ：要求t i c k e t 的起、止及延长的终止时间 n o n c e ：随机值，防止重发 s u b k e y ：用户选项，要求在特定会话时保护消息的加密密钥，缺省 从t i c k e t 取k c , v 作会话密钥。 s e q # ：用户选项，限定服务器送给用户的消息开始的序号，用于检 测重发。 电了科技上学博十论文 k e 1 9 s ：客户与tgs 共享密钥 k e ：k e r b e r o s 与客户的共享密钥 l i f e t i m e ：有效期限 ts ：时戳i 电子科技太学博士论文 1 1 研究背景 1 1 1 传统网络的局限性 第一章绪论 传统的计算机网络中的网络节点( 路由器、网关、交换机) 实现的功能本质上讲 仅仅是实现数据包的存储转发。因而传统的网络只能被动地将数据从一个节点或终端 传输到另一个节点或终端，网络节点只处理数据报头而对数据本身不会进行新的计算 或改变。这样的网络又称为被动网络( p a s s i v en e t w o r k ) d a n 9 9 7 。 典型的例子如i n t e m e t ，是基于端到端服务的，也就是说诸如各种服务之类的复杂 计算是放在终端计算机上完成的 c h 。0 0 ，网络节点只进行路由转发这样单纯的计算。 然而随着网络技术和应用的迅猛发展，新腑技术层出不穷，如第三层交换、w d m 、 网络安全技术( 如防火墙、v p n ) 等的出现使得这种被动的网络体系越来越难以适应 新的需求，因为这些新技术设备是各自独立地“堆积”在网络中，为了能构架一个通 用网络基本设施来实现这些新功能、新技术，就要求未来的网络体系结构应是开放的、 可扩展的和可编程的。通信硬件( 如交换机，路由设备等) 与控制软件的分离是使网 络可编程的基本要素。但在当前的交换机和路由器集成体系中这种分离难以实现。服 务提供者不能控制改变交换栅路由器的运行环境( 如a s 的l o s 操作系统) 、算法 ( 如路由协议) 或状态( 如路由表、流量表) ，这使得开发新的网络服务几乎不可能。 综合起来，传统网络的局限性表现在f f a n g o l a 】：第一，一个新技术从提出到推广 应用一般要经过以下几个过程：协议的标准化、进入硬件供应商的产品、相关程序的 开发和安装调试，因而新的协议、标准往往得不到快速应用或推广；第二，采用协议 重叠( o v e r l a y ) 的方式开发应用新的协议技术增加了协议层闻的冗余开销喇氐了网 络的性能；第三，对数据本身的处理计算工作都限制在终端上，不能充分乖惘网络的 计算能力。而与此同时，软硬件技术的迅猛使得节点的计算能力越来越强大，而花销 却越来越低。 鉴于上述原因，人们提出了可编程网络或主动网络( a n ，a 枷v e 铆o r 虹) 的概 念。主动网络是种新型的网络体系，它允许用户或第三方软件开发商对网络进行客户 化编程。利用开放的可编程接口( 如网络a p i s ) 和一系列服务组件方渤t 工具，可编 程网络的体系结构能够被定制。迅速创造、开发和管理新的服务是导致可编程网络研 究的关键因素。这种新型的网络体系把更多的计算处理任务放判廉价的网络节点中， 第一章绪论 可实现网络性自e 优化，加速新技术、新协议标准的开发和应用，具有广阔的前景。 从应用的角度看，主动网络的优势将主要表现在四个层面上：( 1 ) 可编程网的诸 多技术能有效地改善网络性能，它对i n t e m e t 遗留的问题能提供有效的解决方法。( 2 ) 缩减网络服务提供者开发和实施新的网络服务的时间。( 3 ) 可以使用户或第三方在一 个更细的粒度层面上创建和裁减服务。例如在军事对抗中，可以采用快速更改网络服 务机制的方法避免敌方窃取或攻击我们的网络信息。( 4 ) 为测试新的网络服务提供了 非常便利的平台，大大降低了网络实施和管理的开销。 1 1 2 主动网研究的内容 定义1 1 ：主动阿：g 务黾这样一类网络，它具有允许网络中间节点( 如路由器等) 进 行从链路层到应用层的功能计算，从而使用户可以定制网络功能和服务。这类网络最 根本的特点是可编程性。 a n 的主动性体现在两个方面：1 ) 主动节点能对通过的主动包和普通包进行( 更 为复杂) 的计算；2 ) 用户可以向网络中插入客户化程序( 节点法、主动包法，结合法) 。 因此a n 与传统网络最本质的区别在于：传统网络实现“存谇转发”，而a n 实现“存 佛计算_ 转发”。 主动网的研究内容可分为以下几个方面： ( 1 ) 体系结构。即怎样构架一个主动两络，如何支持网络的可扩展或可裁减如 何开放编程接口等基本组成要素方面的问题。本文的第二章将主要针对安全性讨 论主动网的体系结构。 ( 2 ) 安全性。主动网络作为一个可编程系统，其安全性问题具有至关重要的意 义。通常，一个系统的安全性可分为i s f i - 方n f p s o 洲s 9 9 1 ：1 ) 合法用户操作出错 时引发的系统安全性( s a l t y ) 问题，这通常是由如系统误操作等非恶意行为带来 的安全性问题，我们把有关这类安全问题的保护技术称为安全容错技术。这类问 题可以通过增强系统的可靠性、容错性加以解决咖5 】。2 ) 非法用户入侵或超 越权限使用所引发的系统安全性( s e c u r i t y ) 问题m 删1 ，如窃取、假冒、破 坏等恶意行为引发的安全性行为 a f i o s l ，我们把有关这类安全问题的保护技术称 为安全防护技术。第二类安全性导致了网络安全服务包括五个方面刚j r l 9 0 0 1 ：认 证、访问控制、机密性衄9 刁、完整性和不可抵赖性。本文主要讨论第二类安全 问题。 ( 3 ) 应用。利用主动网络的基础设旌更好地解决诸多遗留的网络问题，是主动网 研究的另一个重点。已有的研究成果已经在网络管理、拥塞控制、多目传输和 w e bc a c h e 等方面取得了可喜的成果。本文的第六章拇静踣生动网特有的安全机 一 电子科技大学博士谚文 制在实际中的应用。 ( 4 ) 可编程性。如何具体实现主动网的可编程性，如何描述和解释编程服务，如 何管理和配置各种编程服务是主动网研究的又一个重要内容。目前采用类型语 言 l o w g g l 如j a v a 语言 g s 9 8 h c c g s ( 详见第五章分析) 等在主动网的研究中得 到了广泛的应用，但是否还有更好的更适合于主动网的编程语言，尚待人们进一 步研究。 1 1 3 主动网的安全威胁 在主动网中，授权用户具有了以往只有系统管理员才具有的部分网管权利，授权 用户能管理配置主动节点的资源i p r a s k 啪s 3 ，因此这对网络的安全性提出了新的挑战。 主动数据包中携带了对网络节点资源进行访问的程序，它们在很大程度上可以对资源 进行分配、修改等操作。所有这些都可自b 使网络受到恶意程序和有缺陷代码的攻击或 影响。因此，如何构造一个安全的主动网络环境，例如，如何认证信息的源端、如何 保护信息不被修改，如何保证主动节点不被侵犯等等，所有这些安全问题的研究是主 动网技术中的个重要内容。主动网面临的各种攻击可以划分为以下几种方式 s h i r e y 0 0 ： 抵赖否认。通信中的方拒绝承认参与了通信。 非授权泄露。包括：无安全保护的信息暴露；被未授权用户搭线窃听：被未 授权用户入侵而泄露信息。 伪装掩盖( d e c e p t i o n ) 攻击。包括：假冒和恶意逻辑，替换或者插入伪造物 等。 瓦解性( d i s r u p t i o n ) 攻击。包括：是登录或访问失效；使发生讹误；以干扰 或过载的方式使系统功能停止。 侵占窃取( u s m 删o n ) 。包括：侵入系统盗用服务或数据；串改、滥用和超越 许可权限使用未受权服务。 所有t 述攻击直接威胁着主动网环境中的各类网络实体，这些遭受安全威胁的主 动网实体大致e 可以分为四类： 1 ) 主动节点自身：主动节点的资源可能遭受未授权的使用，节点提供的服务可 能遭到破坏，节点的状态可能被改变或泄露。这些破蚜；源可能来自执行环境e e ，或者 主动包的发送者，亦或主动代码。通过实施各种安全保护可以防止这些安全隐患。 2 ) 主动环境e e ：对既的安全威胁可能来自同一节点的其它旺，可胄皂来自主动 包的发送者，以及它所执行韵主动代码。因此也需要对e e 进行安全保护。然而，既 无法防止来自节点内核的安全威胁，因为髓是建蜊i 点内核基础匕的。 第一章绪论 3 ) 主动分组携带的数据：主动分组在网络传输中面临完整性和机密性的挑战， 主动分组中的一些属性如生存期等可能遭到更改。这些威胁可能来自节点中另外的主 动代码，也可能来自e e 或节点内核。尤其是来自e e 或节点内核的威胁难以控制，而 只能采取使主动代码避免在不可信节点或e e 上执行的方法来免除这些威胁。 4 ) 主动代码：由于主动代码在e e 中执行时，其刨建的状态可以被其它主动代码 共享。也可能被其它主动代码调用，主动代码需要保护它的共享数据和主动分组负荷 数据不被非授权泄露或更改，保护它的服务不被非授权使用。这些威胁可能来冉t 动 分组，或者其它主动代码也可能来自髓或节点内核。对于来自主动分组或其它主动 代码的威胁可以通过限制它在可信髓和节点上执行来加以保护，而对于来自e e 或节 点的威胁则只能通过限制它不要转发到不可信节点或e e 上来进行保护。 在具体实现上，综翎垂用完整性保护、认证、访问控制以及机密性保护等安全服 务可以有效地防止对上述实体的各种方式的攻击。 1 2 主动网安全防护技术研究现状 上动网的安全性是它能够得以推广实用的基础保障。目前国内对于主动煳蛋全性 的研究成果尚f 多见，但国岁 已在这方面作了大量工作，并推出了相应的示范系统。 虽然目前有关主动网的研究机构或研究小组对主动网的安全性研究已做了大量工 作 a l e x a n d e r 9 8 c a s p b e l l 0 0 s i t h 9 9 ，并且o p f _ n s i g b i 刚a s 9 埽射i 肝组织也专 门成立了有关标准化小组负责规范主动网及其安全体系结构标准，但能充分利用主动 网络基础设施实现动态、可配置、支持特定应用的安全服务的原型系统还很少。即便 已经提出了大量的安全策略和安全机制 s w i t c h w m e 实现方法，但它们仅仅以静态方式 在网络系统中实现，因此，主动网的安全性问题仍然被视为尚未解决的问题之一。 目前，从不同角度出发，主动网络研究界将主动网的安全防护技术分为两类 脚删s 9 9 】：基于系统授权的安全防护技术和基于编程语言的安全防护技术。本论文研 究基于授权的主动网络的安全防护( s c r 岭) 技术。 1 2 1 基于授权韵安全防护技术 基于授权的安全防护技术主要解决有关发起请求的主体是否可信以及是否允许执 行该主体的请求操作方面的问题。酗这个角度考虑，主动网的安全防护技术包括两方 面内容： 保护网络中主动节点的资源不被恶意的主动代码攻击和盗用。由于主动回络 中传输的报文携带有可执行代码，入侵者可利用主动节点软件环境( 操作系 4 电子科技大学博士论文 统主动代码执行环境等) 的安全漏洞对主动代码进行篡改，以达到非法访 问网络资源( 如c p u ，内存等) 的目的。因此为了保障主动节点的安全性， 必须对主动节点实施相应的安全机制。 保护主动分组不受恶意网络节点的攻击，保证代码在传输过程中的完整性、 可靠性以及数据的机密性。其中，最重要的是在主动节点上如何保证主动代 码的安全，因为在传输过程中的主动代码的可靠性和完整性可以通过加密和 认证得到保证。而在主动节点上主动代码执行时其内容对执行环境是公开的， 这给恶意的主动节点提供了可乘之机。对此，可以采用主动节点和主动代码 的双向认证来保障主动代码的安全。 当前，常用的安全防护机制主要有： a n 分组认证：主动代码携带采用了某种算法( 如基于公钥密码体制的数字签名) 的证书 c o m 8 9 【c 盯l 明，主动节点据此来验证主动代码开发者或发送者的身份。这种技 术可以防止来自非法用户的主动分组对主动节点侵害，但不能保汪代码本身可能对主 动节点的带来的危害。 访问控制技术：主动节点上的监控程序负责监视主动分组，防止非法访问系统信 息、资源和服务。监控系统根据主动分组的认证证书和系统安全簏略呻珊9 】决定主动 代码访问权限，任何未被授权的行为将被监控系统所阻止。监控系统可以对系统中的 文件、通信主体( 蜘m 砸| l s ) 、内存、外设、系统配置信息等进行保护，但仍不能保证 主动代码本身具有安全缺陷。 限制技术：包括限制主动代码生存时间和执行范围，即时间限制和范围限制。前 者根据主动代码携带的参考执行时问和节点系统性能确定主动代码在节点上的执行时 间：后者根据主动分组头的信息决定主动分组所能传输经过的最大节点数、主动分组 所能被复制的最大次数等，防i e 主动分组过多消耗网络( 节点) 资源。 代码验证( p c c j r o o fo 岍卿吨c o d e ) ：代码验证程宁在主动代码执行前首先验 证代码的正确性，发现代码中的缺陷或非法指令，防止对执行环境e e ( e x e c u t i o n e n v i r o m e a t ) 的破坏。例如，在j a v a 虚拟机( m ) 中，首先使用字节代码检验程序 进行检验，通过检验后，j a v a 程序执行环境s a n d b o x 对外来j a v a 程序授予一定执行权 限，对不能确定安全性的外来代码将被限制在s m t t x m 中执行。 加密技术：加密主要用在主动报文e ，主动代码和数据经加密后在主动网上传输， 实现主动分组的机密性等安全保护嗍。 怎样改进和综合运用各种安全机制以充分保护主动网络的安全是本文研究的重 点。 1 2 2 基于编程语言前安全防护技术 5 第一章绪论 基于编程语言的安全防护技术主要从程序员的角度解决有关程序设计、执行等方 面的安全问题。一个适于主动网络的设计良好的程序语言可以解决诸多有关主动网安 全方面的问题。例如，具有充分安全i 生的程序代码可以不需要或只需要极少的运行时 安全检查，进尔大大提高系统性能。因此，通过为主动网络设计合适的编程语言可以 为主动网提供良好的安全保障，还能有效保证其性能。 从这个角度考虑，有关的技术包括：对程序语言操作行为的定义：对程序语言操 作对象的限制；程序代码的灵活易用性；程序代码的优化，如减小内存空间的占用， 减少进程开销等等。具体机制有： 限制内存访问为间接方式。程序不允许直接访问系统内存，而只能通过一个 安全的执行环境间接访问。如，j a v a 程序是在一个被称为沙盒( s a n d b o x ) 保 护环境中执行。而c 语言等能够直接访问内存，因此不适合作为主动网的编 程语言。 对内存使用量和子进程数的限制。由于主动节点上可能运行多个协议或主动 应用进程，而每个应用进程又可能创建多个子进程，因此必须对其数量加以 限制，否则回出现资源饥饿。 尽量减少或消除运行时( r u n t i m e ) 安全检查。因为对程序本身的安全性( 包 括s a a y ) 检查会大大增加程序执行的开销，在某些时候对性能的影响甚至是 不可接受的，因此需要设计良好的类型语言 m w c c 0 8 使2 _ 不再需要这些运行 时检查。 分隔处理轻量级( l i g h t w e i t h t ) 计算与重量级( h e a v y w e i g h t ) 计算。对于如 分组转发这样的轻量级包处理我们让它从快速通道处理，而对于如主动分组 认证所需的加解密计算等重量级计算，我们让它在另一个通道执行。 基于上述原因，a n 编程语言通常采用类型语言( t y p e dl a n g u a g e ) ，如 p i a n a l e a r b 9 8 、j a v a p s o m i s 9 9 、c a r o l m i c h a e l 9 8 。这类语言在设计时考虑了对不同程序 访问控制的权限限制，避免非法访问系统资源。a n 编程语言的研究者认为一个良好 的a n 编程语言不仅能够解决安全体系中所要考虑的诸多安全性问题还能够减少主动 报文处理时间，提高a n 的性能。 由于我们论文的研究目标是怎样为主动网提供安全保障，具体实现上，就是在原 始主动网系统基础上提供安全服务或安全机制使之具备良好的安全防护能力。那么， 究竟选择哪一个主动网原型作为我们的实验平台昵? 在下一节我们将对当前主动网原 型系统的情况做一个综合的介绍。 1 3 国内外著名研究项目 6 电子科技大学博士论文 目前，国内对主动网的研究还基本处于起步阶段，但已经引起了有关方面的注意。 例如，国家“十五8 6 3 计划中“信息技术领域通信技术主题课题申请指南”的“新 一代信息网创新技术研究( 开放课题) ”中将主动网技术列为其中一个方向，其它支持 主动网研究的基金项目或受资助单位还有：国家自然科学基金( 上海交大、北邮国家 重点实验室) 、国家“9 7 3 ”信息技术与哥| 生能软件基础规划项目( 东南大学) 、国防科 研基金( 电子科大光线传输与通信系统技术实验室) 。南京大学、西安交通大学等单位 或组织己开发出自己的主动网原型系统，但由于这些原型在整个主动网国际研究界中 影响甚小，故这里暂不做介绍。以下是国际上几个知名的主动网研究成果，其中的大 部分后来相继成为o p e n s i g 组织的i e e e p 系列标准之一或i e t f 组织的r f c 规范( 草 案) 。 a n t s ( a c t i v en e t w o r kt r a n s f e rs y s