安全加密路由器淺析

2019-11-05 00:44:53

字體：大中小

供稿：網(wǎng)友

　　21 世紀(jì) 即將到來(lái)，互聯(lián) 網(wǎng) 的熱潮沖擊著整個(gè) 世界。所有發(fā) 達(dá) 國(guó) 家都已建成了多個(gè)、多種國(guó) 家級(jí) 的計(jì) 算機(jī) 網(wǎng) 絡(luò)，并互聯(lián) 成覆蓋全球的計(jì) 算機(jī) 網(wǎng) 絡(luò)。據(jù) 統(tǒng) 計(jì) 入網(wǎng) 主機(jī) 數(shù) 量超過(guò)4000 萬(wàn) 臺(tái)，連入的計(jì) 算機(jī) 子網(wǎng) 已達(dá)60 多萬(wàn) 個(gè)，Internet 迅速商業(yè) 化并在社會(huì) 中大量應(yīng) 用，它已成為現(xiàn) 代社會(huì) 的重要信息基礎(chǔ) 設(shè) 施之一。
　　
　　----隨著Internet 技術(shù) 的迅猛發(fā) 展，網(wǎng) 絡(luò) 規(guī) 模不斷擴(kuò) 大，網(wǎng) 絡(luò) 結(jié) 構(gòu) 更加復(fù) 雜。目前，組建大型計(jì) 算機(jī) 信息網(wǎng) 絡(luò) 的關(guān) 鍵技術(shù) 是TCP/ip 網(wǎng) 絡(luò) 互聯(lián) 和路由器技術(shù)，特別是在Internet 中，路由器起著重要的作用。著眼于國(guó) 家信息安全，1997 年“ 國(guó) 務(wù) 院信息化工作領(lǐng) 導(dǎo) 小組辦公室” 提出了國(guó) 際聯(lián) 網(wǎng) 安全研究項(xiàng) 目，在網(wǎng) 絡(luò) 安全關(guān) 鍵設(shè) 備和網(wǎng) 絡(luò) 安全關(guān) 鍵技術(shù) 兩類10 多個(gè) 課題中，就包括了國(guó) 產(chǎn) 安全（加密）路由器設(shè) 備的研究。
　　
　　----當(dāng) 前，國(guó) 內(nèi) 市場(chǎng) 所流通的（包括國(guó) 產(chǎn) 的和國(guó) 外的）幾乎都是“ 普通路由器” 和“ 不具有加密功能的安全路由器”。這些路由器有的只有路由功能而沒(méi) 有安全、加密功能；有的只增加了包過(guò) 濾功能。下面我們要討論集常規(guī) 路由器和安全、加密功能于一體的內(nèi) 嵌式“ 安全（加密）路由器”。
　　
　　解決的主要問(wèn) 題
　　----網(wǎng) 絡(luò) 已從單個(gè) 的、封閉的計(jì) 算機(jī) 網(wǎng) 發(fā) 展為開(kāi) 放的互聯(lián) 網(wǎng)。并由此帶來(lái) 以下變化：
　　
　　----封閉網(wǎng) 到開(kāi) 放網(wǎng)：社會(huì) 的發(fā) 展和人們工作、生活的需求，是網(wǎng) 絡(luò) 技術(shù) 發(fā) 展的動(dòng) 力；網(wǎng) 絡(luò) 技術(shù) 的發(fā) 展又進(jìn) 一步刺激著人們工作、生活模式的變更。單個(gè) 的Intranet 網(wǎng) 在很多情況下已不能滿足（或不能很好地滿足）人們工作和生活的需要，網(wǎng) 絡(luò) 由封閉走向互聯(lián) 和開(kāi) 放已成趨勢(shì)。
　　
　　----集團(tuán) 通信到個(gè) 人通信：以前，計(jì) 算機(jī) 網(wǎng) 絡(luò) 通信幾乎都是集團(tuán)（部門、單位、企業(yè) 等）的行為，個(gè) 人行為是微乎其微的。隨著網(wǎng) 絡(luò) 技術(shù) 的發(fā) 展和人們工作、生活等各方面需求的變更，個(gè) 人通信在增加，所占比例越來(lái) 越大。
　　
　　----有中心網(wǎng) 到無(wú) 中心網(wǎng)：從網(wǎng) 絡(luò) 體系來(lái) 講，封閉的Intranet 網(wǎng) 是有中心網(wǎng)（一級(jí) 網(wǎng)、二級(jí) 網(wǎng) 等）；而互聯(lián) 網(wǎng) 屬無(wú) 中心網(wǎng)，網(wǎng) 絡(luò) 之間可以自由通信、自由交互、自由往來(lái)。
　　
　　----網(wǎng) 絡(luò) 安全問(wèn) 題更加突出：由于互聯(lián) 網(wǎng) 是無(wú) 中心網(wǎng)，網(wǎng) 絡(luò) 之間可以自由通信、自由交互、自由往來(lái)，因此，網(wǎng) 絡(luò) 安全問(wèn) 題更加突出。如何保證網(wǎng) 絡(luò) 設(shè) 備自身的安全以及存儲(chǔ) 在其上或通過(guò) 其傳輸的敏感信息的安全，就成為必須解決的問(wèn) 題。
　　
　　----安全（加密）路由器是保證互聯(lián) 網(wǎng)（同時(shí) 也包括Intranet 和 Extranet ）信息安全的關(guān) 鍵設(shè) 備之一, 它需要解決的主要問(wèn) 題是：
　　
　　----防止虛假路由信息的接收和路由器的非法接入
　　
　　----發(fā) 送虛假路由信息，使路由器路由混亂、阻塞，從而導(dǎo) 致網(wǎng) 絡(luò) 癱瘓是黑客可用的手段之一, 黑客也常常將“ 自制路由器” 接入到網(wǎng) 絡(luò) 之中。安全（加密）路由器應(yīng) 當(dāng) 對(duì) 路由器具有鑒別功能，能夠阻止路由器的非法接入。在 Intranet/Extranet 網(wǎng) 中需要解決和保證虛假路由信息的辨認(rèn)，對(duì) 虛假路由信息拒收。
　　
　　----防止非授權(quán) 人員的入侵
　　
　　----非授權(quán) 人員，從路由器的操作系統(tǒng) 入手，從“ 后門” 侵入路由器，從而更改路由表或竊取有用信息，是需要特別加以防范的。
　　
　　----對(duì) 路由信息和IP 數(shù) 據(jù) 報(bào) 的加密保護(hù)
　　
　　----路由器是網(wǎng) 絡(luò) 的轉(zhuǎn) 接設(shè) 備，它不斷地接收和發(fā) 送路由信息和IP 數(shù) 據(jù) 報(bào)。因此，路由信息和敏感的IP 數(shù) 據(jù) 報(bào) 的安全保護(hù) 就成為極其重要的問(wèn) 題。安全（加密）路由器應(yīng) 當(dāng) 具有對(duì) 路由信息和敏感IP 數(shù) 據(jù) 報(bào) 的加密保護(hù) 功能。它涉及加密算法、密鑰、數(shù) 據(jù) 完整性和數(shù) 字簽名等問(wèn) 題。
　　
　　----加密算法的選擇：出于對(duì) 國(guó) 家信息安全的考慮和對(duì) 國(guó) 外安全產(chǎn) 品是否留有“ 陷門” 的憂慮，并遵守國(guó) 家有關(guān) 政策、法規(guī)，設(shè) 備應(yīng) 當(dāng) 選擇我國(guó) 有關(guān) 部門批準(zhǔn) 的加密算法。在進(jìn) 行加密作業(yè) 時(shí)，則盡量做到一次一密。
　　
　　----密鑰的管理：密鑰是加密作業(yè) 中最活躍的因素，所謂“ 一次一密”，簡(jiǎn) 言而之，就是每次加密所用的密鑰互不相同。因此，從某種意義上說(shuō)，保密的關(guān) 鍵是密鑰，它應(yīng) 考慮以下幾個(gè) 方面：密鑰種子、密鑰的隨機(jī) 性；密鑰的種類和層次；密鑰長(zhǎng) 度；密鑰生成算法的復(fù) 雜度；密鑰（含密鑰生成算法及密鑰自身）保護(hù)；密鑰的存儲(chǔ)、傳輸、更換和廢除以及密鑰的管理方式等。
　　
　　----數(shù) 據(jù) 完整性驗(yàn) 證：嚴(yán) 密的設(shè) 計(jì) 應(yīng) 當(dāng) 考慮 IP 數(shù) 據(jù) 報(bào) 完整性驗(yàn) 證，當(dāng) 然，也可以對(duì) 傳送的密鑰做完整性驗(yàn) 證，或者兩者都做。在某些應(yīng) 用環(huán) 境或考慮到某些因素的情況下，也可以不進(jìn) 行數(shù) 據(jù) 完整性驗(yàn) 證。
　　
　　----數(shù) 字簽名：這是對(duì) 發(fā) 報(bào) 者的確認(rèn)，也是發(fā) 報(bào) 者自身嚴(yán) 肅性的體現(xiàn)。采用加密技術(shù) 做數(shù) 字簽名，對(duì) 很多作業(yè) 來(lái) 說(shuō) 是需要的。但同數(shù) 據(jù) 完整性驗(yàn) 證一樣，在某些應(yīng) 用環(huán) 境或考慮到某些因素的情況下，也可以不進(jìn) 行數(shù) 字簽名。
　　
　　----復(fù) 雜網(wǎng) 絡(luò) 加密的正確性和系統(tǒng) 的可用性
　　
　　----這是指解決多個(gè) 路由器、一次一密的情況下，相互通信（一對(duì) 多）的正確性。
　　
　　----由于加密是一個(gè) 完整的流程，相對(duì) 不加密來(lái) 說(shuō)，必然也必須附加一些動(dòng) 作，因此，效率的降低（甚至是明顯的降低）也是必然的。一方面，要盡量使所設(shè) 計(jì) 的安全（加密）路由器機(jī) 制效率更高；再者，要對(duì) 系統(tǒng) 進(jìn) 行綜合考慮，在保密和效率之間進(jìn) 行權(quán) 衡。
　　
　　內(nèi) 嵌式設(shè) 計(jì) 框架
　　　
　　----對(duì) 安全（加密）路由器的設(shè) 計(jì)，這里不展開(kāi) 敘述，只是討論它的設(shè) 計(jì) 框架。
　　
　　----產(chǎn) 品定位（功能設(shè) 計(jì)）
　　
　　----路由器和安全加密模件有機(jī) 集成內(nèi) 嵌式的安全（加密）路由器，這樣的路由器具有以下功能和特點(diǎn)：
　　
　　----1 內(nèi) 嵌式體系結(jié) 構(gòu)
　　
　　----將加密模件放在路由器里，路由器與加密模件集成為一體，進(jìn) 行內(nèi) 部交互。這與路由器外掛加密機(jī) 的外掛式體系結(jié) 構(gòu) 有著明顯的區(qū) 別。
　　
　　----保密性：一般來(lái) 說(shuō)，內(nèi) 嵌式路由器結(jié) 構(gòu) 較外掛式好。路由器大都設(shè) 有多個(gè)（低端路由器為2 ～3 個(gè)）廣域口，外掛式解決多個(gè) 廣域口的保密問(wèn) 題比較復(fù) 雜，內(nèi) 嵌式相對(duì) 來(lái) 說(shuō) 要簡(jiǎn) 單一些；再者，外掛式的加密在路由器外部進(jìn) 行，內(nèi) 嵌式的加密是在路由器內(nèi) 部進(jìn) 行的；第三，內(nèi) 嵌式比外掛式較為容易實(shí) 現(xiàn) 一次一密。
　　
　　----靈活性：內(nèi) 嵌式可以由用戶自行設(shè) 置要加密的客戶機(jī) 和（或）服務(wù) 器，而外嵌式則對(duì) 經(jīng) 過(guò) 路由器的所有客戶機(jī) 和服務(wù) 器的IP 數(shù) 據(jù) 報(bào) 都要加密；從密鑰管理來(lái) 看，內(nèi) 嵌式亦較外掛式優(yōu) 越，在設(shè) 置分布式密鑰管理機(jī) 制情況下，可不專設(shè) 密鑰管理中心。
　　
　　----經(jīng) 濟(jì) 性：由于內(nèi) 嵌式是將加密模件集成到路由器里，而不是像外掛式那樣，做成一臺(tái) 獨(dú) 立的機(jī) 器，因此，成本較低；第二，設(shè) 計(jì) 成分布式密鑰管理時(shí)，可不加配密鑰管理中心，系統(tǒng) 集成比較經(jīng) 濟(jì)。
　　
　　----效率：內(nèi) 嵌式安全（加密）路由器的加密模件集成在安全( 加密) 路由器里，可以將加密做成硬件，和路由器進(jìn) 行內(nèi) 部交互（這種交互是比較多的）連接，加密速度較快；另外，采用分布式密鑰管理機(jī) 制，不用與密鑰管理中心進(jìn) 行交互。因此，內(nèi) 嵌式的效率一般來(lái) 說(shuō) 要比外掛式高。
　　
　　----2 加密算法和密鑰
　　
　　----這是一個(gè) 敏感而又重要的問(wèn) 題，必須按國(guó) 家的有關(guān) 政策和法規(guī) 辦事。
　　
　　----加密算法：采用經(jīng) 過(guò) 國(guó) 家密碼管理部門批準(zhǔn) 的多種加密算法。
　　
　　----密鑰：多級(jí)、多種密鑰；主、副密鑰機(jī) 制，一次一密；分布式密鑰管理，不另設(shè) 密鑰管理中心，具有密鑰靈活配置和自動(dòng) 更換功能。
　　
　　----3 加密
　　
　　----實(shí) 現(xiàn) 對(duì) 路由信息和IP 數(shù) 據(jù) 報(bào) 的加密（具有節(jié) 點(diǎn) 加密機(jī) 功能）；
　　
　　----具有路由器的身份鑒別功能；
　　
　　----用戶自行配置要加密IP 數(shù) 據(jù) 報(bào) 的客戶機(jī) 和（或）服務(wù) 器。
　　
　　----4 其他特點(diǎn)
　　
　　----支持數(shù) 據(jù) 完整性驗(yàn) 證和數(shù) 字簽名；支持通用的安全保密框架IPSec、隧道技術(shù) 和VPN（虛擬專網(wǎng)）構(gòu) 建。
　　
　　---- 加密機(jī) 制設(shè) 計(jì)
　　
　　----基于加密技術(shù) 的路由器身份鑒別機(jī) 制的設(shè) 計(jì)，包括：消息密鑰的生成、工作密鑰的生成、密鑰的加密傳送、IP 報(bào) 加密、數(shù) 據(jù) 完整性驗(yàn) 證以及數(shù) 字簽名等。
　　
　　----硬件接口設(shè) 計(jì)
　　
　　----該設(shè) 計(jì) 包括路由器與加密模件的連接方法、
　　
　　----硬件連接信號(hào) 及交互方式的確定。
　　
　　----軟件接口設(shè) 計(jì)
　　
　　----該設(shè) 計(jì) 包括路由器與加密模件的連接方式、連接函數(shù) 的設(shè) 計(jì)、控制命令的設(shè) 計(jì) 等。
　　
　　----安全防護(hù) 設(shè) 計(jì)
　　
　　----這主要指加密模件自身安全防護(hù) 的設(shè) 計(jì)，包括：加密算法正確性驗(yàn) 證、加密算法存放的安全性、密鑰的安全性、異常情況處理以及物理防范措施等。
　　
　　應(yīng) 用建議
　　----本節(jié) 主要討論安全（加密）路由器的用途。通過(guò) 下面的應(yīng) 用建議，我們將可以了解到，安全（加密）路由器不僅是一臺(tái) 安全路由器，而且是一臺(tái)“ 節(jié) 點(diǎn) 加密機(jī)”，它支持隧道加密方式，并可以方便地構(gòu) 建VPN（虛擬專網(wǎng)），對(duì) 兩個(gè) 網(wǎng) 段（可以跨廣域網(wǎng)/ 互聯(lián) 網(wǎng)）客戶/ 服務(wù) 器之間傳輸的敏感信息進(jìn) 行加密保護(hù)。
　　----組成Intranet 網(wǎng)
　　----全部使用安全（加密）路由器，可以組成 Intranet 網(wǎng)。
　　-與普通路由器互聯(lián) 組網(wǎng)
　　
　　----安全（加密）路由器可以與普通路由器互聯(lián) 組網(wǎng)，當(dāng) 與普通路由器通信時(shí)，自動(dòng) 屏蔽加密功能。
　　----對(duì) 指定的服務(wù) 器/ 客戶機(jī) 的IP 數(shù) 據(jù) 報(bào) 加密
　　
　　----由用戶自行配置要加密的服務(wù) 器/ 客戶機(jī)，協(xié) 議支持TELNET、E-mail、FTP、WWW 等。
　　
　　----① Intranet
　　----在安全（加密）路由器的配置表上，將S 和 W 配置為加密狀態(tài)，此時(shí)，S 和W 經(jīng) 過(guò) 安全路由器傳送出去的IP 數(shù) 據(jù) 報(bào) 均被加密，防止了敏感數(shù) 據(jù) 的泄露。而未被配置成加密狀態(tài) 的S/W，經(jīng) 過(guò) 安全路由器傳送出去的IP 數(shù) 據(jù) 報(bào) 均不做加密，這就起到節(jié) 點(diǎn) 加密的作用。
　　----② 跨普通路由器或廣域/ 互聯(lián) 網(wǎng) 到安全（加密）路由器（目標(biāo)）的連接
　　----從安全（加密）路由器發(fā) 送出去的被加密的IP 數(shù) 據(jù) 報(bào) 可以透明地穿過(guò) 普通路由器和廣域網(wǎng)/Internet，到達(dá) 目標(biāo) 安全（加密）路由器解密目標(biāo) 點(diǎn)。此時(shí)，傳輸過(guò) 程中間傳送的IP 數(shù) 據(jù) 報(bào) 均為加密的，防止了敏感信息的泄露。
　　
　　----支持隧道加密方式，隱蔽S/W 的IP 地址
　　
　　----安全（加密）路由器支持隧道加密方式。在這種情況下，可對(duì)S/W 原IP 地址進(jìn) 行加密，隱蔽S/W 的原IP 地址。
　　
　　----構(gòu) 建VPN
　　
　　----VPN（虛擬專網(wǎng)）實(shí) 際上是跨公網(wǎng)（例如 Internet）的私網(wǎng)。加密技術(shù) 和隧道技術(shù) 是構(gòu) 建VPN（IP VPN）的基本技術(shù) 和形式，加密技術(shù) 提供了傳送數(shù) 據(jù) 的安全保護(hù)，隧道技術(shù) 則可以在國(guó) 際標(biāo) 準(zhǔn) 化組織（ISO）規(guī) 定的網(wǎng) 絡(luò) 層上實(shí) 現(xiàn) 與 IP 協(xié) 議兼容，同時(shí) 隱蔽Intranet 專用的IP 地址。

上一篇：淺談路由器的安全配置

下一篇：設(shè)置路由器門限值預(yù)防DDoS攻擊