《网络5.0产业技术创新联盟:网络5.0参考架构v1.0(23页).pdf》由会员分享,可在线阅读,更多相关《网络5.0产业技术创新联盟:网络5.0参考架构v1.0(23页).pdf(23页珍藏版)》请在三个皮匠报告上搜索。
1、端到端通信业务安全端到端网络通信在 IP 地址真实性、隐私保护与可审计性的平衡、密钥安全交换、拒绝服务攻击等方面存在较大的安全威胁。面对以上安全威胁,未来网络可根据安全目标及需求划分不同的安全域,将不可信、攻击流量阻断在安全域外,将域内安全问题控制在安全域内、限制安全问题的扩散。如图所示,在划分安全域的基础上,通过在不同安全域中的网络元素及协议中内嵌关键安全技术,提供可信身份管理、真实身份验证、审计追踪溯源、访问控制、密钥管理等安全模块,实现端到端通信的身份/IP 真实可靠性、个人隐私信息最小化、不合法行为可追踪溯源、DDOS 攻击可追级防御、密钥安全可信等特性。在未来网络中,通过内生以下关键
2、安全技术,实现网络端到端通信业务的内生安全目标:快速高效的身份验证技术:攻击者可以在其数据包的头部信息中使用伪造的源 IP 地址,实施流量攻击(隐藏真实源头)或者反射式攻击(放大攻击流量)等。在未来的网络架构中,在安全域内提供可信身份管理功能,为域内实体分发兼顾隐私和真实性的 ID/IP 及凭证,基于轻量级或高效的密码技术,在 IP 报文中内生 IP 源地址的真实性凭据信息,实现逐包级的真实 ID/IP 的快速验证:在源 AS 域内实施 IP 源地址真实性验证,对其出口流量提供IP 地址真实性保障,在目的 AS 域提供快速的域身份验证。另外,在目的端提供端身份鉴别,从而保证发送端标识符及地址的
3、真实性。 隐私性与可审计性兼顾技术:当前 IP 网络的数据包头部的 IP 地址、端口号等关于通信节点隐私的信息通常暴露在开放网络中,暴露了通信端的隐私。而移动主机频繁更换的地址又降低了网络的可审计性。学术界传统观点认为隐私性和可审计性彼此对立,难以兼顾。未来网络可根据安全特性需求,基于加密和匿名等技术,设计内生隐私特性的 ID/IP 地址生成、分发、撤销等全生命周期安全方案,将网络划分不同隐私披露程度的隐私域,对 ID/IP等隐私信息实施分级的隐私保护,在域间实现域 ID 的追踪,在源域实现真实身份和位置的识别、追踪和定位。 多级 DDoS 防御架构:DDoS 攻击是当前网络中最顽固的安全危害
4、之一。这些 DDoS 攻击有些针对某些协议的脆弱性,有些则采用暴力流量攻击,难以识别、过滤和追溯。当前网络面对DDoS 攻击基本没有任何系统的防御能力,只能依靠服务端不断扩大能力池,与攻击方展开“军备竞赛”。未来网络可通过设计流量智能化分类和甄别、虚假流量过滤和重定向等内生的多级DDoS 防御能力,能够在攻击发生时,在贴近攻击源处过滤流量、在被攻击网络边界对攻击流量进行分类分流和限速,在被攻击者处通过流量重定向和关键流量重规划路径等方式,确保关键流量可达。并能结合审计追踪技术,在事中溯源由源头切断流量、边界限制流量,在事后溯源追责。 去中心化的安全密钥交换技术:为了保护端到端的通信数据,通信两端需要进行密钥协商,并使用IPSec 或TLS 等安全通信协议对通信数据的机密性、完整性等进行保护。当前的密钥交换方法都存在一定的问题:预先静态配置存在配置开销大、易出错、不可扩展等问题,利用 PKI 系统存在着中心化的问题,Diffie-Hellman 算法存在中间人攻击问题。密钥安全是多种安全技术的基础。未来网络中,对于安全域内密钥,需要提供安全的密钥管理技术来保障密钥的全生命周期安全。对于域间实体的密钥安全交换,可基于去中心化的不可篡改、可验证数据记录库来保障交换密钥的真实性,利用基于身份的加密和签名等密码技术,保证协商密钥的两端以真实的身份密钥协商会话密钥。