移動網(wǎng)絡安全協(xié)議研究.pdf

1、在下一代網(wǎng)絡協(xié)議(IPv6)中，業(yè)界普遍接受的IP安全方案是IPsec。然而IPsec在設計之初僅針對有線網(wǎng)絡，并未考慮節(jié)點和網(wǎng)絡的移動性。如果在同一個“通信會話”中某一方IP地址發(fā)生改變，原有的IPsec安全關聯(lián)(SA)將無法繼續(xù)使用，通信雙方必須重新協(xié)商新的SA，這將對IP網(wǎng)絡服務質量產生嚴重影響。因此支持移動性的IPsec對于移動網(wǎng)絡至關重要。
　　 在全面分析IPsec、IKEv2和ESP等安全相關協(xié)議的基礎上，結合MI

2、Pv6和NEMO兩大移動網(wǎng)絡場景，針對上述安全問題，本文對IPsec提出一種改進方案，即利用綁定機制維持雙方已有的IPsec SA，避免重新協(xié)商過程。
　　 對于MIPv6應用場景，本文主要針對兩個關鍵環(huán)節(jié)提出IPsec改進措施：家鄉(xiāng)代理(HA)注冊和通信對端(CN)注冊。在HA注冊過程中，移動節(jié)點(MN)與HA通過“在家鄉(xiāng)網(wǎng)絡建立的IPsec SA”保護綁定消息。接收到綁定更新消息(BU)之后，HA必須將“匹配的SPD表項”中

3、的目的IP地址替換為MN申請注冊的轉交地址(CoA)；接收到BA消息后，MN必須將“匹配的SPD表項”中的源IP地址更新為其申請注冊的CoA。在CN注冊過程中，MN和CN同樣通過“在家鄉(xiāng)網(wǎng)絡建立的IPsec SA”安全傳輸綁定信令；與HA注冊不同的是，雙方并不修改原有的SA，而是以此為模板重構一份新的SPD記錄，并將其中的“針對MN的地址”改為申請注冊的CoA。
　　 對于NEMO應用場景，本文主要針對兩個關鍵環(huán)節(jié)提出IPsec

4、改進措施：HA注冊和移動路由器(MR)認證。這里的HA注冊主要針對MR的綁定過程，具體步驟與MIPv6中的HA注冊過程一致。MR認證則主要針對嵌套網(wǎng)絡移動場景，即漫游到本地網(wǎng)絡中的外地節(jié)點或子網(wǎng)首先必須與MR建立IKE會話，相互認證對方的身份，認證通過后最終建立IPsec SA。在該SA的保護下，外地節(jié)點或者外地網(wǎng)絡方可采用MIPv6場景中的HA注冊和CN注冊過程將各自的IPsec SA平滑切換到新的CoA。
　　 通過采用改進