??? 摘? 要: 移動IP注冊過程的安全，主要是通過認證和消息完整性保護實現的，因此，密鑰的安全有效分發便成為保證注冊過程安全的關鍵。根據注冊過程中的密鑰要求，提出了基于Diffie-Hellman密鑰協商機制和橢圓曲線密碼算法的主密鑰" title="主密鑰">主密鑰分發方案，并運用SVO邏輯對該方案進行了安全性分行。分析結果表明,該方案實現了密鑰分發過程中雙方的身份認證以及密鑰的確認性和新鮮性。
??? 關鍵詞: 安全需求? 主密鑰? 橢圓曲線密碼? SVO邏輯
?
??? 現有的IP協議最初是為固定網絡設計的，并不支持主機的移動接入。IETF(Internet Engineering Task Force)為了解決移動主機" title="移動主機">移動主機訪問網絡的問題，使IP網絡支持漫游功能，制定了移動IP(Mobile IP)協議，它是Internet支持主機移動的網絡層解決方案。移動IP主機可以通過一個永久的IP地址連接到任何一個鏈路上，當移動主機切換到新鏈路上時，仍然能保持正在進行的通信。
??? 移動IP定義了三個新的實體[1]：移動節點" title="移動節點">移動節點 MN(Mobile Node)、家鄉代理HA(Home Agent)和外地代理FA(Foreign Agent)。移動IP中的安全威脅很大一部分來自于移動節點向家鄉代理的注冊過程。在注冊過程中,攻擊者可以通過向家鄉代理發送偽造的注冊請求,把自己的IP地址當作某個移動節點的轉交地址。注冊成功后,發往該移動節點的消息均由攻擊者接收,而真正的移動節點卻被拒絕服務。攻擊者還可以通過竊聽會話,截取數據包,把一個有效的注冊請求信息儲存起來,然后利用儲存的注冊請求向家鄉代理注冊偽造的轉交地址。因此,注冊過程中移動用戶認證、消息的完整性保護是移動IP安全的核心問題之一。
1 移動IP注冊過程的安全分析
1.1 安全威脅和解決措施
??? 在移動IP協議中，移動節點向家鄉代理注冊需要通過哈希函數對注冊信息進行計算，得到一個定長的信息摘要，并將這個摘要添加到注冊消息的認證擴展域中，產生一個注冊消息，然后再由移動節點將這個消息發送給家鄉代理。R.Molva、Stuart Jacobs等人曾對注冊過程中移動用戶的認證方法[2]和移動IP的安全性[3]進行了討論，指出用認證機制來保護移動IP的安全的前提是移動節點和家鄉代理之間共享密鑰消息。
??? 在移動IP環境中，移動主機大多數運行于無線環境下，無線鏈路的特點是帶寬低、誤比特率高。因此在無線環境下不適合一次性分配大量的密鑰，一般是分發少量的主密鑰，通過對主密鑰進行計算，產生一些子密鑰，這些子密鑰被用于加密或身份認證的系統密鑰。因此主密鑰的安全是整個系統的安全基礎。在移動IP環境中，主密鑰的分發是通過移動節點和家鄉代理進行密鑰協商完成的。
1.2 主密鑰安全分發的要求
??? 移動IP的主密鑰保護著整個認證過程，因此主密鑰的安全性顯得尤為重要。在本方案中，安全分發主密鑰應滿足以下要求：
??? (1)通信實體之間的相互認證：移動節點和家鄉代理雙方各自都要對對方的身份進行認證，以證明對方的合法身份。
??? (2)密鑰確認性:通過密鑰驗證，移動節點和家鄉代理都能證明雙方擁有相同的密鑰, 而且只有移動節點和家鄉代理知道該密鑰。
??? (3)密鑰的新鮮性：經過協商生成的密鑰應該具有新鮮性。新鮮性能保證密鑰的完美向前性。主密鑰只有移動節點和家鄉代理擁有，任何第三者都不能利用先前截獲的消息對其進行計算從而得到主密鑰。密鑰的新鮮性可以有效地防御重放攻擊，同時也保證了方案的完美向前性。
??? (4)安全方案運行的高效率:移動節點絕大多數運行于無線環境中，無線鏈路的帶寬比較低，同時移動節點的計算能力和存儲能力也十分有限，因此需要考慮方案在移動IP環境中的執行效率。
2 安全分發主密鑰方案
??? 根據移動IP注冊過程的安全分析和安全要求，提出了基于Diffie-Hellman密鑰協商機制和橢圓曲線的可認證密鑰協商的主密鑰分發方案。本方案在不需要第三方介入的情況下，通過空中下載方式為移動節點分發主密鑰。
??? 選取有限域Fq，在域上隨機生成一條橢圓曲線E(Fq)，保證橢圓曲線群上的離散對數是難解的；然后選取點P作為基點，P的階數為n，n為大素數，P公開。
??? 定義：zn是由模n剩余類構成的集，則zn是一個阿貝爾群，若t+r=0modn，則稱r為t的逆元，記為r=-tmodn。在此，n是橢圓曲線E(Fq)上點P的階。
??? 方案的前提：MN和HA共享一個口令S，MN和HA計算兩個整數t和-t，t是根據預先設定的方法由S計算得到的，并假設由S只能得到惟一的t。
??? 安全分發主密鑰方案如圖1所示，具體描述如下：
?
??? （1）MN：選擇隨機數dA∈[1,n-1]，計算QA=(dA+t)P，MN→HA:QA。
??? （2）HA：選擇隨機數dB∈[1,n-1]，計算QB=(dB+t)P，Y=QA+(-t)P=dAP,KB=dBY=dAdBP和tKB=tdAdBP,HA→MN：QB,tKB。
??? （3）MN計算X=QB+(-t)P=dBP,KA=dAX=dAdBP，tKA和tdBP，驗證tKB是否等于tKA，如果驗證成功，MN→HA：tdBP。
??? （4）HA驗證tdBP，如果驗證成功，則通知MN。HA→MN：success。
??? 至此，移動節點和移動代理成功協商了主密鑰，K=KA=KB=dAdB P。
3 方案分析
3.1 形式化安全分析
??? 形式化的分析方法就是采用各種形式化的語言或者模型，為安全協議" title="安全協議">安全協議建立模型，并按照規定的假設和分析、驗證方法證明協議的安全性，這類方法中最著名的就是BAN類邏輯。SVO形式化驗證方法是在綜合和優化BAN、GNY、AT、VO邏輯的基礎上提出來的，它提取了四種邏輯的主要特點，提出了惟一的、相對較為簡單的分計算模型形式化驗證方法。SVO仍屬于BAN類邏輯。
??? 在形式化語義方面，SVO邏輯對一些概念作了重新定義(有別于AT邏輯)，從而取消了AT邏輯系統中的一些限制。SVO邏輯所用的記號與BAN邏輯、AT邏輯是相似的，仍用符號
分別表示相信、接收到、發送過、剛發送過、管轄、擁有、新鮮與等價。另外，SVO邏輯還有自己所特有的12個符號。此外，SVO邏輯還有21條公理，用于邏輯推理過程。
??? 使用SVO邏輯對一個安全協議進行形式化分析的步驟如下：
??? (1)給出該協議的初始化假設集：即用SVO邏輯語言表示各主體的初始信念、接收到的報文、對所收到報文的理解和解釋；
??? (2)給出該協議可能或應該達到的目標集，即用SVO邏輯語言表示的一個公式集。
??? (3)在SVO邏輯中證明結論是否成立。若成立，則說明該協議達到了預期的設計目標，協議的設計是成功的。
??? 首先對安全分發主密鑰方案進行理想化：
??? 
??? 然后給出方案的初始化假設集，對各主體的初始信念、接收到的報文、對所收到報文的理解和解釋用SVO邏輯語音表示：
?????? 
?
??? 再給出方案的目標集：
??? 
??? 目標集（1）和（3）表明MN和HA都相信K是雙方確認的共享的密鑰；（2）和（4）表明了密鑰的新鮮性。
??? 運用SVO的邏輯推理規則和21條邏輯公理進行推理，可以得到目標集。因推理過程太長，在此省略了詳細的推理過程。
??? 結果分析表明，移動節點和家鄉代理都相信主密鑰K是適合他們雙方通信的確認共享密鑰。K是確認共享密鑰表明了雙方都相信自己擁有合法的密鑰，同時都相信雙方的身份，也就是在主密鑰協商下實現了雙方的身份認證，最終擁有主密鑰的實體就是合法的移動節點和家鄉代理。協商的主密鑰具有新鮮性，即整個協商過程具有完美向前性，同時也能抵御重放攻擊。
3.2 方案的執行效率分析
??? 本方案的主密鑰分發是基于橢圓曲線密碼系統的可認證密鑰協商的。橢圓曲線密碼ECC（Elliptic Curves Cryptography）和傳統的公鑰" title="公鑰">公鑰密碼在移動環境下相比有很大的優勢，這是本方案采用ECC的原因。160bit的ECC相當于1024bit的RSA和DSA。同樣安全強度的ECC、RSA和DSA相比，ECC的計算開銷遠小于其他密碼算法，使得ECC可以在很短的時間內產生符合條件的密鑰，可以在ROM中執行，不需要額外的硬件。其他公鑰體制由于產生密鑰所需的計算非常復雜，在計算能力受限的情況下很難產生合適的密鑰。當傳送短消息時，ECC比其它公鑰算法節省帶寬。綜上分析，ECC與其他公鑰加密系統相比，能提供更好的加密強度、更快的執行速度和更小的密鑰長度，在移動環境下，移動節點的計算能力比較弱，同時帶寬受限，對密碼算法要求計算量、存儲量、帶寬和時延比較小。因此ECC和傳統公鑰密碼相比較更適合于移動IP環境。
??? 本文提出的方案有效地解決了移動主機注冊過程中的主密鑰分發問題，滿足了注冊過程中主密鑰分發的安全要求，具有較高的安全性，并且在保證方案的安全性的基礎上減少了方案的運算開銷，具有良好的執行效率。本方案分發的主密鑰通過計算可以產生用于移動IP注冊過程的認證和消息完整性保護的子密鑰，可以有效地解決移動IP中的一些安全問題。
參考文獻
[1] RFC2002: IP Mobility Support. IETF, 1996.
[2] MOLVA R, SMAFAT D, TSUDIK G. Authentication of mobile users. IEEE,1994,(3):26.
[3] JACOBS S, CIRINCIONE G. Security of current mobile IP solutions. IEEE,1997,6:1122.
[4]?卿斯漢.安全協議的設計與邏輯分析.軟件學報，2003，14:1300.
[5] 張險峰，秦志光，劉錦德. 橢圓曲線加密系統的性能分析. 電子科技大學學報，2001，(2):144.