《TISec技术保障IP端到端数据安全能传输力实测》由会员分享，可在线阅读，更多相关《TISec技术保障IP端到端数据安全能传输力实测（7页珍藏版）》请在金锄头文库上搜索。
1、技 术 观 察 IP 网 络 安 全 TISec版权所有2017【内部资料】 TISec 技 术 保 障 IP 端 到 端 数 据 安 全 能 传 输 力 实 测 西电捷通安全测试研究 【摘 要 】IP网络安全可信技术（Trust of IP Security，简称 TISec）是一项用来保护 IP网络通信安全的技术，基于三元对等身份鉴别技术、平台可信鉴别和 IP数据安全服务技术。它的核心功能是在 IP端到端之间建立了身份互信和数据传输安全。通过对 IP数据安全服务技术的测试结果分析，表明 TISec技术能够满足 IP端到端之间的安全数据传输的要求。 【关 键 词 】三元对等，数据传输安全，网
2、络协议，TISec在因特网诞生之初，其网络协议重点考虑的是数据传输的可用性，在设计初期并未充分考虑到演进的安全需求，所以在其协议设计时并未考虑协议安全性。事实上，在 TCP/IP协议中，IP协议本身并不提供任何安全特性。 在逐渐意识到此种局限之后，IETF（The Internet Engineering Task Force，国际互联网工程任务组）工作组在 90年代初期，依托美国海军研究所的成果开展了 IP安全项目，组织制定了IPSec（Internet Protocol Security，因特网协议安全）协议。但 IPS ec的设计思路假设的前提是对用户而言，网络（对端）是完全可信的。但随
3、着“中间人攻击” 、假基站等诸多安全问题的爆发，这种思路的弊端再次显露无疑。 针对以上安全问题，西电捷通公司基于三元对等（Tri- element Peer Architecture，TePA）网络安全技术架构研发出一种全新的 IP安全可信技术（Trust of IP Security，TISec） 。TISec技术针对 I P层安全通信的挑战，提供网络接入身份鉴别服务、平台可信鉴别服务和 IP数据安全服务。具体来说，TISec技术是基于 TePA安全架构的网络层安全协议，通过对等双向鉴别、加解密、 密钥管理、 隧道等一系列创新技术， 构建网络任意两个节点之间逻辑链路的安全、 可信连接，同时具
4、有跨共享网络或公共网络的身份鉴别、加解密和封装专用网络的扩展能力。TISec技术解决方案包括 TISec服务器及 TISec主机、行业终端、安全网关等多种类型产品，其部署场景为政府、企业及行业等，可为其加固 IP网络通信安全，提供远程、移动安全接入及身份鉴别等技术支技 术 观 察 IP 网 络 安 全 西 电 捷 通 TISec版权所有2017（内部资料） 1 撑。 TISec技术的核心功能是在 IP端到端之间建立了身份互信和数据传输安全。 身份互信包含身份鉴别和平台鉴别，其中身份鉴别采用 TePA三元对等鉴别技术，而平台鉴别使用平台鉴别基础结构（Platform Authentication
5、 Infrastructure，PAI）协议。在数据传输安全方面，TISec技术采用自主提出的隧道通用封装(Tunnel Universal Encapsulating， TUE) 协议， 该协议主要为 IP协议分组提供完整性、 机密性、抗重放攻击等安全服务。在本文描述的测试实例中， 将针对 TISec系统的 IP数据安全传输功能进行验证。图 1为 TISec安全系统组成原理图： 图 1 TISec安全系统组成原理图 IP 数 据 安 全 传 输 功 能 测 试 TISec系统采用的 TUE协议，其核心功能是在两个可信网络节点间建立一条安全虚拟隧道，实现数据通信安全。 所以 IP数据安全传输功
6、能测试从以下两个方面进行： 一方面是隧道内数据加密传输测试，另一方面是隧道自身的安全性测试。 1、 隧 道 数 据 加 密 传 输 测 试 隧道技术是一种通过公众信息网络基础设施在网络之间传递数据的技术。TISec系统采用自主研发的 TUE协议， 该协议是对使用隧道传递的数据进行封装， 被封装的数据在隧道的两个端点即服务器和客户端之间传输。 传输过程采用国家密码管理局规定的SM4密码算法进行数据加密。 2、 隧 道 自 身 的 安 全 性 测 试 技 术 观 察 IP 网 络 安 全 西 电 捷 通 TISec版权所有2017（内部资料） 2 隧道安全性测试是对 TISec系统隧道抗重放攻击功
7、能进行验证。 重放攻击(Replay Attacks)又称重播攻击、回放攻击，是指攻击者发送一个目的主机已接收过的包， 来达到欺骗系统的目的。 重放攻击可以由发起者也可以由拦截并重发该数据的敌方进行。攻击者利用网络监听或者其他方式获取数据包信息，之后再把它重新发给对端。重放攻击在任何网络通信过程中都可能发生，是常用的攻击方式之一。 3、 测 试 过 程 说 明 隧道数据安全传输测试使用报文捕获分析工具对 TISec客户端隧道建立前、后的用户数据分别进行报文捕获，并对两种测试环境的报文进行对比分析。其中报文捕获分析工具选用目前行业内主流的报文捕获工具。 隧道抗重放攻击功能测试，采用报文捕获分析工
8、具捕获 TISec客户端隧道建立前、后报文并进行重放攻击测试。 图 2 TISec 建立数据安全传输流程图 隧 道 数 据 安 全 传 输 测 试 该项测试的主要目的是验证 TISec产品 TUE隧道数据加密功能。 技 术 观 察 IP 网 络 安 全 西 电 捷 通 TISec版权所有2017（内部资料） 3 1 、在 TISec客户端中输入密码并登入，TISec客户端使用操作系统随机分配的 UDP端口发起注册请求，TISec服务器接收到客户端登入请求并响应登入请求，身份鉴别平台鉴别完成后，开始隧道建立，客户端成功登入，隧道建立完成。 图 3 TISec客户端准备发起注册请求 2 、当客户端
9、接收到服务器响应数据包后，更新自身隧道建立参数，更新完成后将结果反馈给服务器，开始建立隧道，最终完成隧道建立。图 4 、5 、6是使用数据捕获工具捕获消息交互报文，其中图 4为未经过隧道封装的明文数据报文，图 6为经过隧道封装的加密数据报文： 图 4 隧道建立前未加密数据 从图 4可以看出未经过隧道封装加密的数据报文，使用数据捕获工具可以直接获取其明文信息，这样会导致用户数据信息泄露，产生安全隐患。 图 5 客户端已安全登入 技 术 观 察 IP 网 络 安 全 西 电 捷 通 TISec版权所有2017（内部资料） 4 图 6 隧道建立后加密数据 从图 6可以看出经过隧道封装加密的数据报文，
10、虽然使用数据捕获工具可以获取其数据信息，但是经过隧道封装加密后，无法识别真实用户数据信息，用户数据安全得到保障。 经过以上 TIsec产品实际测试，采用 TUE的技术 TISec系统实现隧道内数据加密传输，保证了传输中的数据安全性。 隧 道 安 全 性 测 试 该项测试的主要目的是验证 TISec产品 TUE隧道自身安全性。 抗重放攻击测试主要是通过修改数据报文、修改中间加密字段、修改校验字段、数据报文重放、伪造数据传输、剩余重放等方式进行重放攻击测试，测试结果达到预期。具体方法如下： 第一种是直接重放，即重放给原来的验证端，直接重放的发送方和接收方均不变； 第二种是反向重放，将原本发给接收方
11、的消息反向重放给发送方； 第三种是第三方重放，将消息重放给域内的其他验证端。 图 7获取数据报文信息 技 术 观 察 IP 网 络 安 全 西 电 捷 通 TISec版权所有2017（内部资料） 5 图 8 重放攻击测试 在 TISec客户端中输入密码并登入，客户端登入成功，在此过程中使用数据捕获工具获取到数据交互报文，将捕获报文数据导入重放攻击工具中，在重放攻击工具中添加至发送列表，单击开始发包按钮，开始重放攻击，具体测试结果见表 1 ： 表 1 重放攻击测试 数 据 报 文 流 向 数 据 报 文 说 明 结 果 发送方向接收方 原始报文 检测到重放攻击 接收方向发送方 原始报文 检测到重
12、放攻击 发送方向第三方 原始报文 检测到重放攻击 发送方向接收方 修改后异常报文 检测到重放攻击 接收方向发送方 修改后异常报文 检测到重放攻击 发送方向第三方 修改后异常报文 检测到重放攻击 技 术 观 察 IP 网 络 安 全 西 电 捷 通 TISec版权所有2017（内部资料） 6 图 9 审计系统记录日志 经过对 TIsec产品实际测试，采用 TUE隧道封装技术的 TISec系统，具备抵御重放攻击的能力，有较高的安全性。 总 结 西电捷通 TISec安全技术的设计目标是保障 IP网络的安全通信， 其核心技术路径是基于三元对等身份鉴别技术、平台可信鉴别和 IP数据安全服务技术。通过对 IP数据安全服务技术的测试结果分析， 表明 TISec技术能够满足 IP端到端之间的安全数据传输的要求。 通过 TISec技术的应用，可构建自主、可信的 IP安全网络，从而保障 IP网络数据的安全传输。
