通信學(xué)論文-移動(dòng)IP中AAA體系結(jié)構(gòu)的研究與改進(jìn).doc

通信學(xué)論文-移動(dòng)IP中AAA體系結(jié)構(gòu)的研究與改進(jìn)摘要當(dāng)前移動(dòng)通信的發(fā)展進(jìn)入了一個(gè)新時(shí)代，AAA協(xié)議必將發(fā)揮更大的作用。因特網(wǎng)工程任務(wù)組IETF提出的移動(dòng)IP下的AAA體系結(jié)構(gòu)，但是當(dāng)移動(dòng)節(jié)點(diǎn)在不同網(wǎng)絡(luò)間切換時(shí)，對(duì)移動(dòng)節(jié)點(diǎn)的認(rèn)證會(huì)帶來很大延遲問題。鑒于此，提出一種新的網(wǎng)絡(luò)信任模型簡(jiǎn)化網(wǎng)絡(luò)中的密鑰管理，并在此基礎(chǔ)上提出一種新的認(rèn)證方案來提高認(rèn)證效率，減小延遲。關(guān)鍵字AAA移動(dòng)IP認(rèn)證引言個(gè)人通信技術(shù)的發(fā)展最終目標(biāo)是能夠讓人們隨時(shí)隨地訪問網(wǎng)絡(luò)，移動(dòng)IP1技術(shù)恰恰將這個(gè)目標(biāo)變成了現(xiàn)實(shí)。移動(dòng)IP技術(shù)允許移動(dòng)節(jié)點(diǎn)在移動(dòng)位置的過程中不中斷正在進(jìn)行的通信，這給用戶帶來了很大的方便。AAA2技術(shù)是認(rèn)證、授權(quán)和記帳三種技術(shù)的結(jié)合。IETF的移動(dòng)IP工作組將該技術(shù)移植到移動(dòng)IP中，并提出了模型來實(shí)現(xiàn)移動(dòng)IP中的認(rèn)證、授權(quán)和記帳。這模型的提出，解決了原有移動(dòng)IP協(xié)議無法解決的問題，完善了移動(dòng)IP的功能。但是每次移動(dòng)節(jié)點(diǎn)進(jìn)入一個(gè)新的外地網(wǎng)絡(luò)時(shí)，新的外地網(wǎng)絡(luò)必須要向移動(dòng)節(jié)點(diǎn)的家鄉(xiāng)網(wǎng)絡(luò)進(jìn)行認(rèn)證請(qǐng)求，得到家鄉(xiāng)網(wǎng)絡(luò)的認(rèn)證，移動(dòng)節(jié)點(diǎn)才能進(jìn)入外地網(wǎng)絡(luò)。這樣移動(dòng)節(jié)點(diǎn)在進(jìn)行切換時(shí)就帶來了很大的延遲，對(duì)于實(shí)時(shí)系統(tǒng)來說基本不可行。在本文中，提出了一種新的網(wǎng)絡(luò)信任模型。在該模型中，當(dāng)移動(dòng)節(jié)點(diǎn)進(jìn)入外地網(wǎng)絡(luò)中時(shí)，不需要向它的家鄉(xiāng)網(wǎng)絡(luò)發(fā)出認(rèn)證請(qǐng)求，而是向移動(dòng)節(jié)點(diǎn)先前所在的外地網(wǎng)絡(luò)發(fā)出認(rèn)證請(qǐng)求，大大提高了認(rèn)證效率。1移動(dòng)IP下的AAA體系結(jié)構(gòu)圖1AAA在移動(dòng)IP中應(yīng)用模型AAA在移動(dòng)IP中應(yīng)用的基本模型圖1所示。從圖中可以看出，家鄉(xiāng)域中包含家鄉(xiāng)代理和家鄉(xiāng)AAA服務(wù)器AAAH。同樣，外地域中有外地代理和外地AAA服務(wù)器AAAL。模型中實(shí)線代表相關(guān)實(shí)體之間的安全協(xié)定SA4。安全協(xié)定是兩個(gè)節(jié)點(diǎn)在數(shù)據(jù)發(fā)送前商定的發(fā)送者如何對(duì)數(shù)據(jù)進(jìn)行密碼變換的協(xié)定。也就是說安全協(xié)定包含了告訴接收者如何解密和驗(yàn)證消息中的認(rèn)證數(shù)據(jù)的必要信息。與通常的移動(dòng)IP技術(shù)不同的是，在該模型中移動(dòng)節(jié)點(diǎn)只和AAAH間有安全協(xié)定，以此來表明移動(dòng)節(jié)點(diǎn)屬于家鄉(xiāng)域，而和家鄉(xiāng)代理之間沒有安全協(xié)定?；灸Ｐ偷木W(wǎng)絡(luò)接入服務(wù)器是外地代理，由外地代理向AAA服務(wù)器發(fā)送接入請(qǐng)求。2已有的密鑰產(chǎn)生機(jī)制現(xiàn)在移動(dòng)IP下的AAA架構(gòu)是由IETF工作組制定的。AAAH代表了在家鄉(xiāng)網(wǎng)絡(luò)的服務(wù)器，AAAL代表了外地網(wǎng)絡(luò)的AAA服務(wù)器,同時(shí)不論在外地網(wǎng)絡(luò)實(shí)時(shí)家鄉(xiāng)網(wǎng)絡(luò)都有安全的通道連接AAA服務(wù)器和家鄉(xiāng)代理或者是外地代理。同時(shí)，在AAAL和AAAH之間也假設(shè)有一個(gè)安全的通道。根據(jù)基本的移動(dòng)IP協(xié)議，在HN和MN之間有一個(gè)MSA1，根據(jù)此MSA產(chǎn)生HA和MN之間的密鑰以及FA和MN之間的密鑰,密鑰的產(chǎn)生按照IETF的標(biāo)準(zhǔn)程序所產(chǎn)生具體步驟如下：MN發(fā)送一個(gè)NonceRequest3給FA來請(qǐng)求一個(gè)隨機(jī)數(shù)以產(chǎn)生HA與MN密鑰、FA與MN密鑰。并且根據(jù)MSA，一個(gè)MAC值（信息認(rèn)證碼）被計(jì)算出附在請(qǐng)求消息中.FA將此消息發(fā)送給AAAL，因?yàn)锳AAL沒有足夠的信息來對(duì)認(rèn)證該移動(dòng)節(jié)點(diǎn)，隨后由AAAL發(fā)送給AAAH。AAAH檢查MAC，如果合法則產(chǎn)生一個(gè)隨機(jī)數(shù),并且將此隨機(jī)數(shù)通過預(yù)先存在的安全通道送給HA，這樣家鄉(xiāng)代理就可以產(chǎn)生HA與MN之間的密鑰。通過AAAH和AAAL之間的安全通道以及AAAL和外地代理FA的安全通道，AAAH發(fā)送另一個(gè)隨機(jī)數(shù)給AAAL，隨后轉(zhuǎn)至FA。這樣外地代理也產(chǎn)生了FA與MN之間的密鑰。兩個(gè)隨機(jī)數(shù)通過注冊(cè)應(yīng)答消息加密后傳送給MN，這樣在移動(dòng)節(jié)點(diǎn)處就產(chǎn)生了MN與FA、MN與HA之間的密鑰。這些密鑰就通過MN和代理所收到的隨機(jī)數(shù)而產(chǎn)生。IETF建議使用Broker2結(jié)構(gòu)。Broker是和通信雙方都建立了信任關(guān)系的第三方實(shí)體，是雙方通信的媒介，可以對(duì)信息進(jìn)行轉(zhuǎn)發(fā).Broker和它所連接的所有AAA服務(wù)器以及上一級(jí)Broker之間都有安全協(xié)定。因?yàn)橐话鉈roker布置在MN的附近，大大縮短了認(rèn)證信息的傳輸路徑，這樣能夠節(jié)省大量認(rèn)證時(shí)間。Broker同時(shí)還可以安排成一個(gè)分層結(jié)構(gòu)，更高層次的Broker可以覆蓋更大的地域，它能夠?yàn)榭焖僖苿?dòng)節(jié)點(diǎn)服務(wù)。但是，當(dāng)MN移動(dòng)出現(xiàn)有的Broker域到一個(gè)新的Broker域，它仍然需要同家鄉(xiāng)網(wǎng)絡(luò)聯(lián)系以獲得認(rèn)證消息。所有的這類模型都需要不間斷的和AAAH聯(lián)系，因此效率仍然比較低。3一種新的AAA架構(gòu)3.1新的信任模型原來的AAA架構(gòu)引起很長(zhǎng)的認(rèn)證延遲的原因是關(guān)于網(wǎng)絡(luò)信任關(guān)系的假設(shè)。它假設(shè)網(wǎng)絡(luò)中對(duì)移動(dòng)節(jié)點(diǎn)的認(rèn)證信息的來源只能是家鄉(xiāng)網(wǎng)絡(luò)，如圖2所示。即使是Broker的認(rèn)證消息也來至AAAH。如果一個(gè)外地網(wǎng)絡(luò)對(duì)移動(dòng)節(jié)點(diǎn)的認(rèn)證消息來源不是家鄉(xiāng)網(wǎng)絡(luò)，而是移動(dòng)節(jié)點(diǎn)先前所在的外地網(wǎng)絡(luò)，這樣的認(rèn)證將會(huì)非常的有效率。圖2舊網(wǎng)絡(luò)信任模型圖3新網(wǎng)絡(luò)信任模型圖2、3顯示了兩種網(wǎng)絡(luò)信任模型的不同之處。在圖三的信任模型中，外地網(wǎng)絡(luò)對(duì)移動(dòng)節(jié)點(diǎn)的認(rèn)證消息來至移動(dòng)節(jié)點(diǎn)先前所在的外地網(wǎng)絡(luò)。在這里我們假設(shè)每一個(gè)中間的外地網(wǎng)絡(luò)不提供偽造大的認(rèn)證信息。在這個(gè)新的模型中，網(wǎng)絡(luò)的密鑰管理比有Broker的分層模型簡(jiǎn)單的多，一個(gè)網(wǎng)絡(luò)只需要它周圍相鄰的網(wǎng)絡(luò)列表，密鑰的交換只在它和它的相鄰網(wǎng)路交換。并且可以通過交換鄰居列表來獲得整個(gè)網(wǎng)絡(luò)的分布。這里需要一個(gè)PKI5的存在以支持網(wǎng)絡(luò)密鑰的分發(fā)。每一個(gè)外地網(wǎng)絡(luò)通過自己的私鑰對(duì)要傳送的密鑰進(jìn)行加密，以后各個(gè)實(shí)體間再傳送信息就可以使用這個(gè)傳送來的密鑰。3.2密鑰的產(chǎn)生根據(jù)HN和MN之間的MSA產(chǎn)生了HA-MN和FA-MN之間的密鑰。一旦HA-MN之間的密鑰產(chǎn)生以后，當(dāng)MN又移動(dòng)到一個(gè)新的外地網(wǎng)絡(luò)時(shí)，就不需要產(chǎn)生新的HA-