论文部分内容阅读
TCP／IP协议在基于IP的信息社会中得到了广泛的应用，但TCP／IP协议由于其开放性，存在着不少安全问题。本文的目的在于提出IP层安全体系结构模型，并用此模型去指导IP层安全的实践。 作者首先深入分析了针对TCP／IP协议的典型攻击，总结归纳了IP层的脆弱性及安全威胁，这是后面几章研究的基础。 作者回顾了IP层安全体系结构研究的历史，简要介绍了IPSO、swIPe及IPv6，之后作者重点对IP层安全的事实标准IPSec进行了分析和评价，指出了它的优点及存在的问题和不足，作者提出了在对ESP／隧道模式增加压缩并适当改变认证的内容之后，可以去掉其它三种模式而只保留此种模式的观点。 在IP层安全体系结构模型研究中，针对IPSec在与组播、NAT协同工作等方面存在的问题以及IPSec不能很好解决QoS等方面的问题，作者结合国家863高技术项目的研究提出了解决方案：在NAT协同工作方面作者提出了采用UDP封装、配合使用DHCP配置IPSec隧道并用ESP NULL封装代替AH的方案；在与组播协同工作方面作者提出了基于ESPv3和AHv2的IPSec组播安全处理以及基于完全二又树的组播密钥管理的方案；在解决QoS问题方面作者提出了采用分类器1和分类器2的两级分类以及具有加密调度器和转发调度器的两级调度的技术方案；同时作者提出了IPSec与PKI技术紧密结合，能使IPSec安全通信更加灵活和方便实用。 在前述研究的基础上，作者对IP层的安全风险进行了分析，结合OSI安全体系结构模型提出了TCP／IP安全体系结构，给出了作者对在IP层可以实施的安全服务及安全机制的建议，提出了IP层安全体系结构模型，利用该模型作者回答了哪些安全处理应该在IP层实施这一具有重要现实意义的问题。 作者结合“十五”国家密码发展基金项目的研究，给出了IP层安全体四川大学博士学位论文系结构的实践，设计了高速IP一VPN设备，提出了多系统流式并行处理结构MSSPPS以解决系统总线瓶颈的方案，理论分析和实践证明是正确的;在IP一VPN设备安全规则设置方面，作者提出了无重叠规则表的概念，进而提出了基于稀疏矩阵的访问控制表搜索技术，并对访问控制表的搜索算法进行了讨论。