（微电子学与固体电子学专业论文）异构网络切换协同认证系统关键技术研究.pdf

一i y l l l l l l l l l l 独创性( 或创新性) 声明 本人声明所呈交的论文是本人在导师指导下进行的研究工作及取得的研究 成果。尽我所知，除了文中特别加以标注和致谢中所罗列的内容以外，论文中不 包含其他人已经发表或撰写过的研究成果，也不包含为获得北京邮电大学或其他 教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任 何贡献均已在论文中作了明确的说明并表示了谢意。 申请学位论文与资料若有不实之处，本人承担一切相关责任。 本人签名：j 乙磊 日期：加p ，o 关于论文使用授权的说明 学位论文作者完全了解北京邮电大学有关保留和使用学位论文的规定，即： 研究生在校攻读学位期间论文工作的知识产权单位属北京邮电大学。学校有权保 留并向国家有关部门或机构送交论文的复印件和磁盘，允许学位论文被查阅和借 阅；学校可以公布学位论文的全部或部分内容，可以允许采用影印、缩印或其它 复制手段保存、汇编学位论文。( 保密的学位论文在解密后遵守此规定) 保密论文注释：本学位论文属于保密在年解密后适用本授权书。非保密论 文注释：本学位论文不属于保密范围，适用本授权书。 本人签名：至盈 导师签名：弘 日期：塑2 ：! ：! 里 日期：独f 皇：! 堑 一 异构网络切换协同认证系统关键技术研究 摘要 随着用户需求的增加，集成各种无线通信技术来提供具有无缝移 动性的统无线接入已成为下一代无线通信系统的目标之一。当移动 设备在通信会话过程中发生接入点改变时，相关的切换过程将影响服 务的连续性，而切换过程中需要认证机制来保证资源的安全配置和分 发。通常，对于移动节点的认证需要和家乡中心认证服务器进行多次 信令交互，此过程产生的切换时延己成为影响快速切换性能的瓶颈因 素。 本文分析了当前最新的切换认证机制的技术背景，在已有研究成 果的基础上，提出一种层次化的联合认证架构，并提出一种具有e a p ( 扩展认证协议，e x t e n s i b l ea u t h e n t i c a t i o np r o t o c 0 1 ) 重认证特性的 e a p 预认证方法，可以显著降低移动设备发生域间和域内切换时的认 证差异性。本文提出的认证策略通过由一个本地中心认证服务器统一 协调触发域内重认证和域间预认证过程，来达到降低切换时延的目 的，同时又与底层接入技术无关。 本文还重点解决了联合认证系统中的难点问题：一方面，通过引 入机器学习相关理论和实验方法，提出了判定密钥生存周期的最优化 方法，确定相关参数，模拟分析了多种情况下的密钥周期自动调节机 制，改进了系统性能。另一方面，本文结合关联规则算法，采用预测 分析的手段判断移动对端的移动轨迹，动态的减少预认证初始阶段选 出的候选认证端的数量，从而减少预认证初始化阶段的信令开销，也 降低了移动设备的功耗。最后，本文研究了新型认证系统内的网络配 置管理问题，并设计了基于新型网络管理协议的原型验证系统。 关键词异构网络e a p 重认证e a p 预认证网络管理 k e yt e c h n o l o g yo ft h es y n e r g y h e t e r o g e n e o u sh a n d o v e ra u t h e n t i c a t i o n s y s t e m w i t ht h ei n c r e a s eo fu s e r sd e m a n d ，i n t e g r a t i n gd i f f e r e n tk i n d so f w i r e l e s sc o m m u n i c a t i o nt e c h n o l o g i e st op r o v i d es e a m l e s sm o b i l i t yw i t h u n i f i e dw i r e l e s sa c c e s sh a sb e c o m et h eg o a lo fn e x t g e n e r a t i o nw i r e l e s s c o m m u n i c a t i o ns y s t e m 。肠c at h em o b i l ed e v i c ec h a n g e st h ea c c e s sp o i n t d u r i n gt h ec o m m u n i c a t i o ns e s s i o n ，t h eh a n d o v e rp r o c e s sw i l la f f e c tt h e s e r v i c ec o n t i n u i t y , a n dt h ea u t h e n t i c a t i o nm e c h a n i s mi sn e e d e dt oe n s u r e t h es e c u r i t yo fc o n f i g u r a t i o na n dd i s t r i b u t i o no fr e s o u r c e si nt h i sp r o c e s s g e n e r a l l y , t h e r ea r ean u m b e ro fs i g n a l i n gi n t e r a c t i o n sb e t w e e nt h e m o b i l en o d ea n dt h ea u t h e n t i c a t i o ns e r v e r , a n dt h ed e l a yi nt h e s e i n t e r a c t i o n sh a sb e c o m eab o t t l e n e c kt h a ta f f e c t st h ep e r f o r m a n c eo ff a s t h a n d o v e r t h i sp a p e ra n a l y z e dt h el a t e s ta u t h e n t i c a t i o nm e c h a n i s m ，p r o p o s e da h i e r a r c h i c a la u t h e n t i c a t i o n a r c h i t e c t u r e a n dp r o p o s e d a ne a p ir e a u t h e n t i c a t i o nm e t h o dt h a t h a st h ef e a t u r eo ft h ee a p r e a u t h e n t i c a t i o n ，b a s e do nt h ec u r r e n tr e s e a r c hr e s u l t s t h ep r o p o s e d a u t h e n t i c a t i o n s y s t e mw o u l dr e d u c e t h ea u t h e n t i c a t i o nd i f f e r e n c e s b e t w e e nt h ei n t r a d o m a i nh a n d o v e ra n dt h ei n t e r d o m a i nh a n d o v e r i n o r d e rt oa c h i e v et h ep u r p o s eo fr e d u c i n gh a n d o f f d e l a y , t h ea u t h e n t i c a t i o n s t r a t e g yp r o p o s e di nt h i sp a p e ru s e s al o c a la u t h e n t i c a t i o ns e r v e r t o c o o r d i n a t ee a pr e a u t h e n t i c a t i o na n de a pp r e a u t h e n t i c a t i o np r o c e s s t h i sa r t i c l ea l s of o c u s e do ns o l v i n gt h ed i f f i c u l tp r o b l e m si nt h i s s y s t e m o nt h eo n eh a n d ，t h i sp a p e rp r o p o s e da no p t i m i z a t i o nm e t h o dt o d e t e r m i n et h ek e yl i f ec y c l eb a s e do nt h em a c h i n el e a r n i n gt h e o r i e sa n d e x p e r i m e n t a lm e t h o d s ，t h es i m u l a t i o ne x p e r i m e n ti nt h i sp a p e ra n a l y z e d t h ea u t o m a t i ca d j u s t m e n tp r o c e s so ft h ek e yl i f ec y c l eu n d e rav a r i e t yo f s i t u a t i o n s ，a n dt h i so p t i m i z a t i o nm e t h o do fk e yl i r ec y c l ee n h a n c e dt h e n s y s t e mp e r f o r m a n c e o nt h eo t h e rh a n d ，t h i sp a p e ru s e da s s o c i a t i o nr u l e s a l g o r i t h ma n dp r e d i c t i v ea n a l y s i sm e a n st od e t e r m i n et h em o v e m e n t t r a j e c t o r yo fm o b i l en o d e s ，w h i c hw i l ld y n a m i c a l l yr e d u c et h en u m b e ro f a u t h e n t i c a t i o nc a n d i d a t e si nt h ei n i t i a l i z a t i o np h a s eo fo r e a u t h e n t i c a t i o n t h e r e b yi t n o to n l yr e d u c e dt h es i g n a l i n go v e r h e a di nt h ei n i t i a l i z a t i o n p h a s eo ft h ep r e - a u t h e n t i c a t i o nb u ta l s or e d u c e dt h ep o w e rc o n s u m p t i o n o fm o b i l e d e v i c e s f i n a l l y , t h i sp a p e rf o c u s e do nt h e n e t w o r k m a n a g e m e n tp r o b l e m si nt h ea u t h e n t i c a t i o ns y s t e m ，a n dd e s i g n e dan e w p r o t o t y p es y s t e mb a s e do nt h en e wn e t w o r km a n a g e m e n tp r o t o c 0 1 k e yw o r d s h e t e r o g e n e o u sn e t w o r k e a pr e a u t h e n t i c a t i o ne a p p r e - a u t h e n t i c a t i o n n e t w o r k m a n a g e m e n t 目录 第一章绪论1 1 1 异构融合环境下的网络安全问题1 1 1 1 异构移动网络的安全挑战1 l - 1 2 下一代异构移动网络的安全机制3 1 2 基于p a n a 和d i a m e t e r 协议的a a a 过程3 1 2 1 通埘a a a 系统框架3 1 2 2a a a 系统前端p a n a 协议及后端d i a m e t e r 协议5 1 3 可扩展认证协议( e a p ) 7 1 4 异构环境下切换过程的认证机制- 8 第二章基于扩展e a p 协议的异构网络切换联合认证机制1 0 2 1 联合切换认证体系结构1 0 2 1 1 当前研究现状1 0 2 1 2 新型系统架构设计l o 2 2 域内切换的e a p 重认证机制n 2 2 1 域内e a p 重认证流程1 1 2 2 2 域内e a p 重认证机制1 4 2 3 域间切换的e a p 预认证机制2 0 2 3 1 当前i e t f 提出的预认证问题2 0 2 3 2 分层切换预认证方案2 3 2 4 联合切换认证系统的关键问题2 6 2 5 系统验证2 7 第三章联合认证过程中的密钥管理及其最优化方法3 2 3 1 密钥管理架构3 2 3 1 1 加密方法独立性与联合密钥生成3 2 3 1 2 酬s k 子密钥导出机制3 3 3 1 3 脚s k 和u s r k 名字的导出3 5 3 1 4d s 账及其子密钥的导出3 5 3 2 密钥生存期的最优化问题研究3 6 3 2 1 机器学习中的分类决策方法3 6 3 2 2 决策树算法在联合认证系统密钥周期优化中的应用3 8 3 3 仿真验证3 9 3 3 1 模拟不同场景的网络参数3 9 3 3 2 程序仿真4 3 3 4 小结5 2 第四章预认证过程中的动态网络邻居发现和移动路径判断5 3 4 1 系统中的动态网络邻居发现5 3 4 1 1 预认证系统对邻居发现机制的需求5 3 4 1 2 邻居发现协议的功能简介5 5 4 2 移动对端的运动路径分析及候选认证端的选取5 6 4 2 1 关联规则算法在移动轨迹判断中的应用5 6 4 2 2 联合认证系统中移动路径建模5 7 i v 4 3 仿真验证5 9 4 4 小结6 2 第五章联合认证系统中的新型网络管理6 3 5 1 本文所提系统面临的网络管理需求6 3 5 2n e t c o n f 新型网络管理协议6 4 5 2 1n e t c 0 n f 协议简述6 4 5 2 2n e t c o n f 协议模型6 6 5 2 3n e t c o n f 配置数据集和c a p a b i l i t y 交互6 7 5 3 新型网络管理协议在认证系统中的应用6 8 5 4 原型系统的设计开发7 0 5 4 1 系统包含的核心模块7 0 5 4 2 系统运行示例( 以联合认证系统为例) 7 2 第六章总结与展望：7 5 参考文献7 7 5 付录8 0 致谢8 4 作者攻读学位期间发表的学术论文目录8 5 v 第一章绪论 本章首先介绍了未来异构网络环境下的安全需求，分析了对移动泛在网络安 全机制研究的重大理论价值和意义。介绍了相关基础协议，包括d i a m e t e r 、e a p ， 及其相关的认证密钥，加密算法的管理。 1 1 异构融合环境下的网络安全问题 1 1 1 异构移动网络的安全挑战。 在异构融合的网络环境中，最重要的是创建一个让服务使用者放心且安全的 环境，使其能够随时随地、方便的通过网络来处理事务。而安全机制主要包括两 个层面的意思：首先要保证合法用户得到合法安全的服务，另一方面要防止非法 用户或合法用户越权使用和破坏网络资源。 安全在下一代移动系统与应用的运行中至关重要。网络面临的威胁越来越 大，从病毒、欺诈，到直接破坏网络系统，而这些威胁正在扩展到快速发展的移 动无线网络上，当下一代移动网络大规模应用时，它将成为威胁和破坏的目标。 其次，在基础技术方面，下一代移动网络所具有的异构性、泛在性决定了它将比 以往各代移动网络更加开放l l 埘。 技术的开放性存在于系统的各个层面，并由不同的因素驱动。首先，移动系 统的终端设备具有开放和可扩展特性，以满足不断发展的新应用需求，以及降低 系统维护与软件更新的成本。但是，终端的这种开放和灵活同时增加了系统关键 部位遭受安全威胁的可能性，而一些用户敏感的个人信息通常会存储在这些关键 部位。 在接入网部分，将异构设备和无线技术集成起来，以提供更高的数据传输速 率和泛在业务，则意味着具有不同安全能力的无线接入网络将成为系统的一部 分。而在核心网络部分，基于口的网络的驱动因素包括：与i n t e r a c t 无缝集成的 需要：标准口设备的大规模应用，可降低成本支出；网络管理过程简单，大大 降低了运营费用。所有这些因素都减弱了当前蜂窝网络中的安全保障。而在应用 层，下一代移动网络的整体设计，要求网络具有开放性和可编程性，开放性和可 编程性有利于创新业务的快速部署，但同时可以看到，允许第三方开放业务增加 了操作失误和恶意安全故障的概率，应用越复杂越高级，对安全威胁的应对能力 越脆弱。综上所述，从终端用户、第三方业务和内容提供商的角度来看，安全己 成为一个关键的区分标准。事实上，安全凭借其特殊的作用，可能会以信任业务 的方式，成为未来的利润增长点。 移动泛在网络中，通信系统通过各异构子网络之间的联合，支持不同程度的 移动与无缝连接。移动泛在网络具有泛在性、异构性、环境感知性、自组织、自 愈性、开放性、透明性、移动性、宽带性、多媒体、联合性、融合性等特点，其 安全性与同构移动网络技术的安全需求相比有较大的差别，因此，在支持泛在的、 异构的、具有自组织和自适应的移动性管理技术中，在安全机制方面，将面临融 合和高效的移动接入认证技术、引入a dh o e 技术与其他网络相结合的新型组网 方式中的终端间认证技术、公钥密码技术的合理应用等挑战。 异构移动网络的安全问题突出表现在以下几个方面【3 l ： 1 ) 网络间的认证：提供可靠、高效、合理的身份确认是实现跨网络连接的 一个极其关键的问题。当用户在网络间漫游时，需要有一个简单可靠的鉴别方法。 第二代移动通信技术技术解决了网络对终端的认证，而第三代移动通信技术解决 了网络和用户终端之间的双向认证机制，他们使用的方法都是基于共享私钥的安 全机制。在移动泛在的网络中，用户需要频繁使用不同网络间的业务，这就要求 除了网络和用户间的相互认证之外，还必须要进行异构网络间的相互认证以及用 户与为其服务的终端之间的相互认证，这样才能保证一个安全的网络环境。因此， 与2 g 、3 g 中的安全问题相比，在研究异构网络的安全问题时，应增加异构网络 之间的安全认证机制。 异构网络融合的认证技术，要满足用户在异构网络间移动接入和业务访问的 需求。同时，对终端的认证是移动终端实现在不同网络间移动接入、切换的重要 前提之一。最大限度的降低网间切换时延，减少认证过程所需时间，是目前安全 接入领域研究的重点之一。 2 ) 用户为中心的信任域：移动泛在网络中的节点具有动态性、智能性，且 多种接入方式和多种承载方式融合在一起以实现无缝接入。信任域管理具有动态 性质。移动泛在网络的动态性是指以用户为中心的信任域中，终端会随时加入或 退出，此时为有效的保障用户隐私，要保证前向安全性和后向安全性，要求新加 入的终端不知道进入信任域之前的任何信息，同时，终端退出后也不知道信任域 中的信息交流和业务来往。 2 1 1 2 下一代异构移动网络的安全机制 下一代异构移动网络的安全机制主要涉及如下方面1 3 j ： 1 ) 身份认证与授权： 用户访问网络，网络需要认证其身份，以便网络和业务能够识别其是否有权 限访问所申请的资源和业务。目前用于身份识别的技术多种多样，如身份识别模 块( s i m 卡) 、智能卡、用户名n 令、消息认证码等等。为了使用户能够无缝透 明的使用网络业务，需要在用户与各个网络和业务之间建立一种信任关系。 当用户需要访问信任域实体时，需要进行单向或双向认证，请求实体需要与 被访问实体的认证服务器互相交换认证凭证，只有通过身份认证的请求访问实 体，才能接入网络。同时，根据安全策略，通过认证的请求者只能根据授权使用 被访问实体上指定的资源和业务。现有的认证与授权技术主要包括：c h a p 、e a p 、 p a n a 、r a d i u s 、d i a m e t e r 、l d a p 、k e r b e r o s 、3 g p p a k a 、i e e e8 0 2 1 x 等1 ) i 。 2 ) 传输安全机制：在下一代网络体系架构中，采用v p n 技术保证信令信息 的安全，四层v p n 技术主要为传输层安全( t l s ) ，t l s 在传输控制协议( t c p ) ， 或流控制传输协议( s c r p ) 上传送，三层v p n 技术为i p s e c ，i p s e c 在口层上 传送，用于信任域内及不同安全域间，保证信息安全性和完整性。 3 ) 访问控制：通常与身份认证和授权机制结合在一起，能够有效地防止非 授权用户或设备使用网络资源、系统、信息和业务，同时，也能够防止授权用户 或设备非法访问未授权的网络资源、系统、信息和业务。 4 ) 密钥交换与管理：密钥生成、存储和交换方式的安全性和证书格式、证 书验证方式是信息网络安全性研究的核心内容之一，下一代网络中支持采用预共 享密钥和公私密钥对两种加密方式，支持现有的各种密钥交换与管理机制。 5 ) 网络管理系统：为了规避安全问题，减少安全漏洞，同时也为了能够更 好的监控网络中的设备，需要采用网络管理系统对网络参数进行配置和管理，并 动态的调整，同时，设备上还需要配置物理的或逻辑的接入控制措施；网络管理 系统和被管理实体间的信息传递可以采用v p n 技术实现安全性，并采用s n m p ， 心0 n f 等网络管理协议进行动态配置和监控。 1 2 基于p a n a 和d ia m e t e r 协议的a a a 过程 1 2 1 通用a r i a 系统框架 尽管不同网络a a a 系统之间存在诸多差别，但任何a a a 系统都遵循一个 3 通用的框架，如图1 - 1 所示【2 j ： 图1 - 1 a a a 系统通用框架 在这种框架中，一种实体是客户端，连接到网络并发送数据包，客户端通常 使用一组证书( 用户名和密码) 进行配置，这些证书主要用于网络连接过程中的 认证和授权阶段，客户端也应该使用业务选择标准，客户端必须知道如何能在众 多的可用业务中挑选一种业务，这些业务可能在能力和成本开销上会有所不同。 在a a a 通用框架中的另一端是丸认服务器。实体通过认证和授权来验证 和授权客户机的合法性，以确定它是否可以接入网络业务，同时收集计费信息， 丸蚺服务器负责对其客户机的证书和相关授权信息进行维护，在执气服务器及 其客户机之间存在一种预先设定的信任关系，当客户机请求接入网络时，它与 a a a 服务器协商开始验证过程。这些服务器通常配置在位于多级安全保护后的 数据中心内部。 框架中的第三个实体是网络接入服务器( n c t w o z k a c c e s ss e r v e r ，n a s ) ，充 当客户端和a a a 服务器间的中间组件，n a s 位于接入网中，如w l a n 的a p 或3 g p p 2 接入路由器( a r ) ，n a s 从客户端获取证书的子集，并与后端a a a 服务器协商，通过认证和授权来决定是否允许客户端接入网络，n a s 与a a a 服 务器维持一种定向或重定向的信任关系，来参与安全的a a a 过程。授权过程成 功后，n a s 主要负责通知允许客户机数据流通过被访问网络的适当的策略执行 点，并负责收集使用信息。 客户机、n a s 和a a a 服务器位于网络中的不同节点。这种分离需要一组通 信协议用于在各实体之间传输a a a 数据流。客户机仅仅与n a s 进行交互，这 可以看做是凡执进程的前端，且有多种协议来处理，如点对点协议、i e e e8 0 2 1 x 和用于为网络接入传送认证信息的协议( p r o t o c o lf o rc a r r y i n ga u t h e n t i c a t i o nf o r n e t w o r ka c c e s s ，p a n a ) ，而n a s 与a a a 服务器的信令交互则看作是a a a 后 端，使用不同的协议，如远程接入拨号用户业务( m 如i u s ) 或d i a m e t e r 。要建 立通过n a s 的客户机与服务器间的a a a 会话，既需要前端协议又需要后端协 议。a a a 会话的初始阶段主要是通过一种认证方法，来完成对客户机的认证， 如c h a p 或t l s 等等，而使用一种扩展认证协议( e a p ) ，则可将这些认证方法 4 封装到前端和后端a a a 协议中，以保证数据的一致性。 在丸蛆过程中，必须在n a s 和客户机之间生成一种本地信任关系，其形 式是使用共享密钥的安全关联( s e c u r i t ya s s o c i a t i o n ，s a ) 。发送主密钥是a a a 过程的一部分。这些密钥与客户端和n a s 之间的交换协议联合使用，生成用于 加密数据流的密钥。如果缺乏这种密码绑定的技术或部署，则任何无线接入网络 都无法实现真正的安全性。 1 2 2a a a 系统前端p a n a 协议及后端d i a n e t e r 协议 下一代移动网络最基本的特性为网络的异构型，接入网络将合并一系列无线 电接入技术、用户类型和网络策略。当前网络中的a a a 系统并不完善，各种网 络的a a a 实现方案和使用的证书有较大差别。对于用户来说，不得不维护多组 证书来处理不同的用户接口，同时协议的多样性和a a a 系统的断开和连接是开 销很大的工作，因此统一的a a a 是异构网络的必备条件之一。 在网络接入中，实现统一的a a a 缺少的是通用的前端协议，这种协议需要 能够在任意链路层上传输e a p 消息。这种需求促使了p a n a 协议的开发。p a n a 目前主要设计用作链路层不可知的网络接入认证协议，其设计目标是支持各种链 路层类型上的任何认证方法( p a n a 可用于任何链路层，而i e e e8 0 2 1 x 只能应 用于i e e e8 0 2 链路层中) 。这主要可以通过在口层上传输e a p 消息来实现。p a n a 同时引入了多种功能强大的特征( 如支持安全e a p 消息交换，凡蛆和接入控制 实体的灵活部署，支持快速重认证等等) 。基于以上特性，p a n a 有望成为基于 “ 坤的下一代移动网络不可或缺的安全协议。 p a n a 协议运行于p a n a 客户机( p a c ) 和认证代理( p a a ) 之间的m 最 后一跳，图1 2 所示为p a n a 框架： 么。抖$ 实传。：、 p 篡2 溉 j lh 臂协议执t j 国簟， 一，画 。 图1 - 2 p a n a 认证框架 p a n a 认证代理( p a n aa u t h e n t i c a t i o na g e n t ，p a a ) 位于接入网络的n a s 处，n a s 通过使用p a n a 和r a d i u s d i a m e t e r 协议来完成客户机和a a a 服务 器之间的a a a 会话。p a n a 框架同时还定义了一种称为执行点( e n f o r c e m e n t 5 p o i n t ，e p ) 的实体，它通过使用数据包的过滤机制来实现接入控制功能( 如i p s e c 的接入控制) 。e p 位于网络的瓶颈口处，在许多配置情况下，p a a 和e p 实体通 常部署在同一位置( 例如在基于m e e8 0 2 i x 的网络中) 。同时p a n a 也允许将 p a a 和e p 分离开，此时，一旦p a a 完成对新客户的认证并允许其接入网络， 可以使用网络管理协议( s n m p n e t c o n f ) 执行控制策略。 作为a a a 系统的后端协议，目前广泛采用的r a d i u s 存在固有的缺陷，为 此i e t f 开发了d i a m e t e r 协议并将其作为下一代网络的a a a 后端协议，d i a m e t e r 定义了一种a a a 的体系结构，它由一个基本协议和一组扩展协议组成( 比如 m o b i l e 应用、n a s l 也q 应用等等) ，通用的功能( 比如传输控制和流量控制) 在 基本协议中定义，而特定的应用功能在相应的扩展中进行说明。d i a m e t e r 具有如 下优势1 4 j ： ( 1 ) 轻量级而且易于实现：d i a m e t e r 基本协议的目标是为各种应用扩展协议 提供安全、可靠、快速的传输平台，因此必须是轻量级的和易于实现的。 ( 2 ) 大的属性数据空间：在d i a m e t e r 中；数据对象是封装在a v p ( a t t r i b u t e v a l u ep a i r ，属性值对) 中的。d i a m e t e r 的属性空间足够大，可以满足未来大型复 杂网络的需要。 ( 3 ) 支持同步的大量用户请求：r a d i u s 可以支持2 5 5 个用户，而d i a m e t e r 则可以同时支持2 3 2 个用户的接入请求。 ( 4 ) 可靠的、基于s c t p 的传输机制和错误恢复机制。 结合上面讨论的p a n a 和d i a m e t e r ，图1 3 给出了一种统一a a a 的协议栈 框架结构： 氍施。，曼塞彦撼。蚴；。压 认证方法 e a p n 蝴 i p 链路层 图1 3 统一a a a 协议栈结构 综上所述，p a n a 和d i a m e t e r 共同组成了未来异构网络环境下的统一诋 架构雏形，并作为具体认证方法的承载协议，在未来异构的、链路层无关的网络 接入认证过程中发挥重要作用。本论文后面讨论的基于e a p 及其扩展协议的各 6 种方法和策略将可以无缝的集成在这个统一的a a a 框架之中。 1 3 可扩展认证协议( e a p ) 本论文的目标是设计一种用于减少切换过程中认证开销和时延的机制，将用 到基于b 廿及其相关扩展协议，因此，本节首先介绍可扩展认证协议( e x t e n s i b l e a u t h e n t i c a t i o np r o t o c 0 1 ) 的相关思想和机制i 引。 可扩展认证协议( e a p ) 是一种支持多种认证方法的认证框架，设计的基本 思路是，只要网络能够传送e a p 数据包，则它可以使用任何能够通过e a p 方法 实现的认证方法。在异构网络的环境下，各网络接入技术、用户配置文件、接入 设备以及网络策略都不尽相同，其中i e e e 8 0 2 1 体系结构采用e a p 作为其i e e e 8 0 2 1 x 协议的一部分。通过在链路层上传输e a p 数据，目前约有5 0 种认证方 法可以在网络上使用，这些方法的可用性不考虑基本接入技术( 链路层和物理层) 是否发生改变。而之前讨论的a a a 前端p a n a 协议的发展，使得e a p 可以传 输于口层之上，与链路层进一步分离，对网络异构性的兼容更加突出。 e a p 的实体框架如下所述： 对等实体( e a pp e e r ) 是参与认证过程的以获取接入网络权利的客户机，对 等实体需要与e a p 服务器进行一次e a p 会话。 e a p 认证服务器( e a ps e r v e r ) 认证对等实体并对其进行授权，使其接入网 络业务。 认证者( a u t h e n t i c a t o r ) 充当e a p 中继的角色，它位于接入网络。认证者在 对等实体与e a p 服务器之间转发数据包。 图1 - 4 为基于e a p 的中继认证者场景： 么二。尊簟认涯霉，一。a l 队p 层 i 队p 层 l 队盹层 r ， 图1 4 基于e a p 的中继认证者场景 考虑到a a a 框架，对等实体一般位于客户机处，认证者位于n a s 处，p a p 服务器位于a a a 服务器处，每个协议实体都实现了一个e a p 栈，e a p 层负责 在e a p 方法和低层之间传送e a p 消息。最后由e a p 方法执行认证算法。例如， 7 e a p m d 5 实现了基于m d 5 的挑战响应认证方法；e a p t i _ s 实现了基于公钥的 透明局域网认证。 e a p 一旦被嵌入体系结构，增强新型的认证方法只需在对等实体和e a p 服 务器上增加新的e a p 方法即可。由于无需对接入网络的认证者进行修改，因而 使得i n t e r n e t 范围内的变化更加便于管理。 当前，常规e a p 机制存在着一些问题，例如：e a p 的基于证书的认证方法 ( 如硼) 具有较高的时延，在对等实体及其e a p 服务器之间，可能需要进行 近2 0 次的往返信息交换，且对等实体及其e a p 服务器可能相距多跳，这种时延 极易对无缝移动性业务形成瓶颈。这也是本文所要解决的问题，因为在切换过程 中很重要的就是保持会话的连续性，如果切换认证过程时延较大，则会造成通信 中断。另一个重要的问题是缺乏将认证结果和授权结果分开的能力，这种分离能 够促使客户机和接入网络之间进行更多信息的交互。 针对e a p 的另一个重要研究方面是新型e a p 方法的设计，例如；在异构网 络中，无论客户机是接入g p r s 网络还是接入w l a n ，都用同一种方式对客户 机进行认证，这种需求导致e a p s i m 认证方法的出现，实现了各种接入技术下 的a a a 的统一。另一个有代表性的实例是e a p - a r c h i e 方法，与其前任e a p m d 5 类似，这种方法主要基于静态的预先共享的密钥，但e a p - a r c h i e 的改进之处在 于它具备导出会话密钥的功能，这些密钥主要用于将数据流与客户机认证在密码 上绑定起来。 1 4 异构环境下切换过程的认证机制 在异构融合环境下，在线访问热点地区的数据业务时，应当允许用户自由的 访问不同的接入网络。在下一代移动网络中，各种辅助的无线接入网( 包括 、m a n ) 将与4 gr a n 一起提供全覆盖业务。在这些异构环境中实现无缝通信， 需要有效的垂直切换保障技术【2 1 。 当用户基于w l a n 使用口语音( v 0 l p ) 业务时，用户在由一个a p 移动到 另一个a p ，需要切换支持来保持语音的连接。其他应用( 如视频应用) ，当发生 切换过程时，也需要无缝连接来保证通信质量。 为了给交互式v o 口和流媒体业务提供所希望的q o s ，u t 和n u e 标准 都定义了可接受的时延值，例如，对于大部分应用来说r r u t g l l 4 建议的单向 时延上限为1 5 0 m s ，通常4 0 0 m s 即为不可接受的时延。而视频会议的单向时延范 围为2 0 0 3 0 0 m s ，在一定门限后接收到的乱序分组则认为已丢失。 8 韭盛唑生太堂亟土硒红生堂焦途塞 爰控鲤络翅迭迹幽达适丕箜羞丝拉丕鲤至t ， 目前，现有的安全机制还不足以支持w l a n 的无缝连接，当终端由一个a p 移动到另一个a p 时，w l a n 不具备任何协调功能，对用户和设备的接入需要重 新进行完整认证，从而造成在切换时连接的时延较大甚至连接中断。当前在接入 w l a n 时，广泛采用i e e e8 0 2 1 x 的认证方法，主要用于传送可扩展认证协议 ( e a p ) 。但在e a p 的认证方法中，a p 和e a p 服务器之间的通信相当耗时，i e e e 8 0 2 1 x 的处理时间可能无法满足实时应用连接的时延要求，而且当处理在进行 时，实时应用的数据包无法进行传输，因而许多数据包将会在a p 或用户侧被丢 弃或丢失，因此为保证实时应用连接，减少认证过程的时间是非常必要的。 最初的i e e e8 0 2 1 1 标准使用预认证来减少认证处理时间，预认证机制使用 i e e e8 0 2 1 x 协议，漫游节点通过旧a p 发送一条e a p 启动信息，通过分发系统， 到达新的a p 。同时，漫游节点通过当前a p ( a p l ) 可以获取基于i e e e8 0 2 i x 的目标a p ( a p 2 ) 的认证信息。 此外i e e e8 0 2 1 1 还确立了a p 内部协议( i n t e r - a c e s sp o i n tp r o t o c a l ，脚p ) 标准，其主要思想就是让当前a p 将客户机的安全环境信息传递给目标a p 。目 标a p 将安全环境信息缓存起来，因而旦站点移动到目标a p ，站点能够进行 快速重关联。该方案主要取决于移动性预测，也取决于当前a p 附近都有哪些 a p ，而且，还要求目标a p 的覆盖区域应与当前a p 的覆盖区域有所交叠，否则 无法进行切换 在链路层无关的p a n a 协议发展过程中，也有相关研究涉及到预认证，如 上下文传输机制，将相关密钥材料在当前和目的认证者之间传输，以进行快速预 认证。 以上方法是相关研究机构针对切换认证时延过大提出的一些解决方案，但是 各种方案都有其局限和适用范围，如i e e e8 0 2 1 x 的特定链路层要求，p a n a 上 下文传输机制所带来的安全隐患等等，本文在后面章节将结合最新的相关e a p 扩展协议，提出一套用于链路层无关的异构环境下的切换认证机制，并作出相关 实验分析。 9 第二章基于扩展e a p 协议的异构网络切换联合认证机制 本章提出一种层次化的认证架构，通过将无线网络的覆盖区域划分为多个认 证域，减少了域内切换认证与域间切换认证的差异，在域内切换时进行重认证过 程，在域间切换时进行预认证过程。本章详细描述了此联合协调的新型认证系统， 对域间和预内切换的认证过程进行了详细描述，对所涉及的技术细节也进行了详 述。 2 1 联合切换认证体系结构 2 1 1 当前研究现状 当移动终端设备在通信会话过程中发生接入点改变时，相关的切换过程将影 响服务的连续性，而切换过程中需要认证机制来保证资源的安全配置和分发。通 常，对于移动节点的认证需要和家乡中心认证服务器进行多次信令交互，此过程 产生的切换时延已成为影响快速切换性能的瓶颈因素。 切换过程中的快速认证机制已成为当前研究的热点：目前b 廿预认证( b 廿 p r c a u t h e n t i c a t i o n ，简称e p ) 机制的研究仍在讨论中【1 3 1 4 l ；而e a p 重认证协议 ( b 廿r c a u t h e n t i c a t i o n ，简称e r ) 虽然重点解决了基于e a p 的快速重认证问 题以及相关的密钥管理机制，但现阶段还只适用于域内切换【1 5 d 8 】；i e t f 提出了 p a n a 协议的预认证扩展及其预认证过程中密钥管理的上下文传输( c o n t e x t t r a n s f e r ) 机制，但这种基于c o n t e x tt r a n s f e r 的预认证机制并不是i e t f 推荐使 用的方法，原因在于其面临的独特的安全威胁【1 9 2 1 】。在这些研究中讨论的切换认 证机制应用场景各有不同，但都具有各自的制约条件，且