三級(jí)網(wǎng)絡(luò)課堂：基于SoC的IPSec協(xié)議實(shí)現(xiàn)技術(shù)

　　引 言 

　　IPSe[1]作為一種實(shí)現(xiàn)VPN的安全協(xié)議體系，目前已在VPN設(shè)備中廣泛使用。但是，隨著千兆位高速網(wǎng)絡(luò)的技術(shù)發(fā)展，對(duì)VPN設(shè)備在時(shí)效性等方面提出了更高的要求。 因此，必須從體系結(jié)構(gòu)等方面，研究新的技術(shù)方法實(shí)現(xiàn)IPSec。在IPSec安全設(shè)備中，SoC技術(shù)將是一種較好的選擇。soC將系統(tǒng)的CPU、I/O接口、存儲(chǔ)器、算法、協(xié)議處理等模塊全部集成到單一半導(dǎo)體芯片上，實(shí)現(xiàn)IPSec協(xié)議的全部功能，成為構(gòu)筑IPSec安全設(shè)備的核心部件，極大地提高了高速V。PN網(wǎng)絡(luò)的安全性、可靠性、時(shí)效性以及較高的性能價(jià)格比。

　　1 IPSec協(xié)議 

　　IPSec協(xié)議是因特網(wǎng)工程任務(wù)組(IETF)針對(duì)TCP/IP協(xié)議沒(méi)有安全機(jī)制的嚴(yán)重缺陷而專門制定的IP安全標(biāo)準(zhǔn)，用以在IP層實(shí)現(xiàn)訪問(wèn)控制、無(wú)連接完整性、數(shù)據(jù)源驗(yàn)證、抗重播、數(shù)據(jù)加密和有限的業(yè)務(wù)流機(jī)密性等多種安全服務(wù)。該標(biāo)準(zhǔn)由一系列協(xié)議組成，各協(xié)議之間的關(guān)系如圖1所示。 

　　*基金項(xiàng)目：“十五”期間國(guó)家密碼發(fā)展基金密碼理論研究課題“密碼soc芯片的體系結(jié)構(gòu)和安全性研究”。 

　　有關(guān)協(xié)議的解釋如下： 

　　①AH[2] (Authentication Header)是一個(gè)安全協(xié)議頭，在傳輸模式下為IP層數(shù)據(jù)流提供數(shù)據(jù)完整性、數(shù)據(jù)源身份認(rèn)證、一些可選的和有限的抗重播服務(wù)。 
　�、贓sP[3] (Encapsulating Security Payload)是一個(gè)插入到IP數(shù)據(jù)報(bào)內(nèi)部的協(xié)議頭，為IP層流量數(shù)據(jù)提供機(jī)密性、數(shù)據(jù)源身份認(rèn)證、抗重播以及數(shù)據(jù)完整性等安全服務(wù)。 
　�、壅J(rèn)證與加密算法是IPSec實(shí)現(xiàn)安全數(shù)據(jù)傳輸?shù)暮诵�，其中，加密算法用于ESP，可以采用DES、IDEA等密碼算法；認(rèn)證算法用于AH，可以采用3DES、RC5等算法。 
　�、躀KE[4](Internet Key Exchange)是密鑰交換協(xié)議，用于在IPSec通信雙方建立共享安全參數(shù)及驗(yàn)證過(guò)的密鑰，以建立一種安全關(guān)聯(lián)關(guān)系。 
　　⑤DoI(Domain of Interpretation)是一個(gè)單獨(dú)的文檔，用于存放IKE協(xié)商的參數(shù)。 
　�、轘A(Security ASSOCiation)是安全關(guān)聯(lián)協(xié)議，是主機(jī)、路由器兩個(gè)應(yīng)用IPS ec實(shí)體之間的一種單向邏輯連接。sA有安全策略庫(kù)(sPDB)和安全關(guān)聯(lián)庫(kù)(sADB)，存儲(chǔ)了安全策略的具體細(xì)節(jié)，包括保護(hù)的內(nèi)容、保護(hù)的方式、保護(hù)通信數(shù)據(jù)的主體等策略。

　　2 SoC技術(shù) 

　　目前，SoC平臺(tái)主要用于CSoC、SoPC、EPGA等芯片開(kāi)發(fā)。其中，CSoC稱為可配置系統(tǒng)級(jí)芯片，一般包括1個(gè)處理器內(nèi)核、可編程邏輯陣列和其它一些通用部件；SoPC是可編程的單芯片系統(tǒng)，如Altera的Nios內(nèi)核模塊；EPGA是以FPGA為主體的SoC芯片。使用這些SoC開(kāi)發(fā)平臺(tái)，可以充分利用系統(tǒng)級(jí)芯片集成度高和性能優(yōu)越的特點(diǎn)，靈活設(shè)計(jì)開(kāi)發(fā)各種專用Soc芯片。

　　(1)開(kāi)發(fā)平臺(tái)的選擇 

　　SoC平臺(tái)開(kāi)發(fā)套件包括：各種工具與資源軟件、可以重構(gòu)的硬件電路結(jié)構(gòu)驗(yàn)證平臺(tái)和使用說(shuō)明書等。其可用軟件資源包括：供選用的多種嵌入式處理器核，硬件模塊設(shè)計(jì)語(yǔ)言及其編譯器，仿真、綜合和布局、布線工具等；設(shè)計(jì)語(yǔ)言包括HDL、C/C++等。開(kāi)發(fā)平臺(tái)的選擇取決于器件的來(lái)源：當(dāng)選用商品化器件時(shí)，可以選擇Altera的SOPC開(kāi)發(fā)環(huán)境QUARTUSII；當(dāng)選擇自主研發(fā)Soc時(shí)，應(yīng)使用相關(guān)的專用開(kāi)發(fā)平臺(tái)。

希望與更多計(jì)算機(jī)等級(jí)考試的網(wǎng)友交流，請(qǐng)進(jìn)入計(jì)算機(jī)等級(jí)考試論壇

更多信息請(qǐng)?jiān)L問(wèn)：考試吧計(jì)算機(jī)等級(jí)考試欄目