基于Linux的IPSec VPN网关中IKE协议的设计

介绍了在IPSec VPN（IP Security Virtual Private Net）安全网关中动态密钥交换协议IKE（Internet Key Exchange）的设计方法．深入研究了IKE协议组成、协商过程、密钥管理等若干问题,对IKE的系统设计提出全新的模块架构和实现方案。     

IKE协议阶段1安全性分析

章主要分析了IKE协议阶段1的各种鉴别方式的消息交换，比较不同鉴别方式密钥的机密性强度及身份鉴别特点．最后讨化了阶段1中存在的缺陷．     

IPSec协议相关问题探讨

IPSec协议可以在IP层提供身份鉴别、数据加密和数据完整性保护,使端对端用户完成安全的通信,也成为构建VPN的一个基本协议．IPSec协议是一个复杂的协议,本文对其在加密算法、安全关联、IKE协议等方面的问题进行了探讨,并给出了一些建议．     

基于亲密伙伴安全通信方案的移动扩展研究

在对原有亲密伙伴安全通信方案及IPSec协议深入研究的基础上,结合移动IPv6网络中移动节点的特性,提出了一种基于移动IPv6网络的安全通信扩展方案.通过使用IKE移动性支持协议 (Mobile IKE,MOBIKE) 、在移动网络中构造动态分布式管理节点,解决了原方案不能直接运用于移动网络以及网络带宽利用率低的问题,使IPSec策略在移动IPv6网络中得到了灵活的应用.最后,通过对新方案进行仿真和分析证明了该方案的可行性.     

基于SRP-6协议的认证与密钥交换方案

针对Web服务中身份认证的问题,分析了SRP-6(Secure Remote Password-6)协议的密钥交换机制,提出了一种基于简单对象访问协议(SOAP)和SRP-6协议的认证与密钥交换方案(SRP-over-SOAP).该方案将SOAP消息进行扩展,通过在SOAP头中加入标记,实现了SOAP消息对SRP认证信息的传递.文中还将该方案用于Web服务,实现了服务器和客户机间的双向身份认证.     

IP Sec下安全关联协商的实现环境

IP Sec是IP协议层的安全体系结构，是构筑虚拟专网(Virtual Private Networks，VPNs)的基本规范；它是通过安全关联(Seeurity Association，SA)的约定和协商来实现对通信实体间通信过程的保护．目前，在该领域中尚有诸如IP Sec下安全关联的协商机制等问题有待进一步探讨．首先分析IP Sec安全关联及其协商的实现条件和相应的保护环境，即ISAKMP SA，然后讨论在IKE协议中协商ISAKMP SA过程存在的安全关联载荷认证缺陷，并以主模式下预共享密钥方式交换过程为例，针对该缺陷对IKE协议交换过程中验证参数的计算提出了改进方案．     

IKE协议中基于预共享密钥验证的主模式研究

IKE协议已成为因特网上最具应用前景的密钥交换协议.简要介绍IKE的工作机制之后,对其消息交换的全过程给出了安全性分析.针对现有协议存在的不足,对基于预共享密钥验证的主模式交换过程给出了新的改进模型,提出了身份散列载荷的概念以及进行两次认证的思想,保护了预共享密钥的安全,进而也增强了抵御中间人攻击和DoS攻击的能力.最后,结合freeS/WAN源代码,修改和增加了相应的函数,将改进思想融入其中.     

基于单向密钥链树的组播密钥更新协议

分析基于层次K叉树(HKT)的组播密钥更新协议,提出了组员加入和离开通信组时,基于单向密钥链树(OKCT)的组播密钥更新协议,分析了该协议的性能.结果表明,在不增加组控制者和组员密钥存储空间的基础上,该协议将组员加入和离开通信组的密钥更新消息包数分别减少到logk n和(k-1)logk n-1,并且降低了组控制者加密和组员解密密钥更新消息的计算量.     

IKE协议认证方式分析和改进

IKE协议作为IP Sec协议组的重要组成部分,在保证因特网的安全通信方面起着重要的作用。在分析IKE协议定义认证方式及其改进方案的基础上,我们对基于IKE协议抵御拒绝服务攻击的认证方式改进作了进一步的探讨。     

一种移动IPv6与多协议标签交换融合的新方案

针对现有的移动IP与多协议标签交换(MPLS)融合方案存在建立标签交换路径(LSP)所需时延大、信令冗余多等问题,提出了一种新的融合方案.该方案定义了一种新的IPv6逐跳可选报头——MPLS报头,来携带LSP的建立或维护信息,通过将MPLS报头包含在MIPv6的绑定更新消息中,使收到消息的网络节点可根据MPLS报头来建立或维护LSP,实现了绑定更新过程与LSP的建立或维护过程同时进行.此外,所提方案还能与微移动协议自然地融合,使LSP在主机发生域内切换后能快速地重建.仿真分析表明,所提方案的切换时延小于现有方案,其LSP建立时延随着通信双方距离的增大而增加的幅度也小于现有方案.     

基于公钥签名的IKE分析与改进

研究了Internet密钥交换协议中基于公钥签名的身份认证技术，针对DSS公钥签名幂运算量过大的缺点，将MQV认证密钥协商协议引入到：IKE(Internet Key Exchange)身份认证技术中，新的认证方法减少了幂运算的次数，从而提高了IKE密钥协商的效率．     

面向 IPSec 的关联数据库结构的研究

在分析IP安全机制、网络密钥交换和安全关联的基础上，确定了基于IP安全机制的关联数据库所应包含的基本数据结构，并给出了在Linux环境下的结构说明及其中每个参数的具体含义和作用.     

基于PDS的IKE安全协议形式化分析

介绍了支持复杂协议形式化并行推导的PDS协议衍生推导系统和IKE协议.给出了使用PDS形式化衍生IKE协议的核心认证部分的方法.     

基于预共享密钥IKE SA的分析与改进

分析了基于预共享密钥IKESA协商过程中存在的安全问题，提出了改进HASH计算的新方法，分析表明，该方法降低了对内存的消耗，提高了IKESA协商过程的安全性。     

一种组认证密钥协商协议的安全分析及改进

针对"开端"多方认证密钥协商协议N-Party EKE-U给出一种有效攻击和一个缺陷.一种攻击是指基于"开端"协议参与主体的未限制的特殊性,它不能抵制服务器的有限协同攻击;一个缺陷是指协议消息主体身份不确定性而导致协议不能正常进行.分析这些安全缺陷产生的原因,并给出一种改进的协议N-PartyEKE-UI.改进后的N-Party EKE-UI协议在RO模型中不但是可证安全的,而且随参与方数量的增加通信轮数复杂度并未增加,同时采用基于口令的密钥协商的方便认证模式,对于解决开端安全协议的实际应用问题具有现实意义.     

量子安全直接通信?

"墨子"号量子科学实验卫星的发射,进一步吸引了人们对量子通信的关注.自1984年IBM的Bennett和加拿大蒙特利尔大学的Brassard提出第一个量子密钥随机分配协议以来,量子通信能否进行机密信息的安全直接传输一直是困扰量子通信界的一个难题.2000年,清华大学龙桂鲁等萌芽了量子安全直接通信的初步思想,随后的几年,我们建立了量子安全直接通信的完整理论,创建了4个判据,构造了2个最早期完整的量子安全直接通信代表性方案,为量子安全直接通信方案设计及其应用提供了物理原理依据,吸引了众多学者的关注与投入,促进了这一领域的发展.本文首先以第一个量子秘钥随机分配协议为例介绍量子通信如何为经典保密通信服务;随后,以最早期完整的2个量子安全直接通信方案为基础,阐述了为什么可以进行量子安全直接通信,并介绍量子安全直接通信的物理原理.     

Integration of naval distributed tactical training simulation system based on advanced message queuing protocol①

Aiming at the problems of unreliable data transmission , poor steadiness , nonsupport of complex data types , direct couple between data transmission and exchange , a high-level method based on ad-vanced message queuing protocol ( AMQP) is proposed to integrate naval distributed tactical training simulation system after serious consideration with current information exchange features of military combat system .Transferring layer in traditional user datagram protocol is implemented by publishing and subscribing scheme of message middleware .By creating message model to standardize message structure , integration architecture is formulated to resolve potential information security risks from in-consistent data type and express data transmission .Meanwhile , a communication model is put for-ward based on AMQP , which is in the center position of the whole transmission framework and re-sponsible for reliably transferring battlefield data among subsystems .Experiments show that the method can accurately post amounts of data to the subscriber without error and loss , and can get ex-cellent real-time performance of data exchange .