IKEv2协议安全性分析与改进

简单介绍了新一版密钥交换协议草案IKEv2,对IKEv2密钥协商机制的安全性进行分析。通过分析,发现其EAP交换过程繁琐且身份信息不易隐藏;证书验证中可能受到假冒证书攻击;为避免安全隧道非授权访问而需要重新认证等几处安全问题。针对这几处安全问题提出了改进建议和解决方法。

IKEv2实现方案研究

分析了IKEv1中面临的一些问题,结合IKEv2所做的改进工作,提出了对新版本IKE的实现方案。

Internet密钥交换协议IKEv2研究

2005年12月发布的Internet密钥交换协议IKE(InternetKey Exchange)第二版IKEv2在安全性和实现效率上得到提高,同时简化了原版本的复杂性。对IKEv2协议的密钥协商机制进行了分析。

一种改进的IKEv2协议及其形式化验证

针对IKEv2协议在系统开销和发起方身份保护方面的不足,提出了一种改进协议的方案。新的协议采用基于超椭圆曲线的W eil对技术进行数字签名认证,并且首先认证响应方身份。通过该方案,改进后的协议降低了系统开销,实现了对发起方身份的主动保护。最后,基于应用pi演算的方法对协议进行了建模,并定义和分析了协议的安全属性。结果表明,改进后的协议具有更好的安全性和实用性。

基于SPIN的IKEv2协议高效模型检测

论文先简单介绍了互联网密钥交换协议IKEv2,然后利用著名的模型检测工具SPIN对其进行了建模和分析。在建模的过程中,作者发现现有的建模方法很难对结构复杂的协议IKEv2进行建模,而且用现有的建模方法建立的模型可读性差、自动化程度不高,验证效率也比较低,因此现有的建模方法只适用于对简单协议进行建模。针对这些不足之处,提出了一种程序可读性、自动化程度及验证效率均较好的建模方法,而且这种建模方法特别适合对复杂的安全协议进行建模。最后利用SPIN对IKEv2协议的模型进行了验证,发现IKEv2协议不能抵御主动攻击,并给出了两个攻击序列图。针对IKEv2协议不能保护发起者身份的缺陷,提出了自己的一种改进意见。

IPSec下IKEv2协议的实现

本文根据IKEv2密钥交换机制的特点,设计了实现IKEv2的框架结构和模块构成;通过建立交换状态与消息操作之间的转换关系,确定了消息处理的步骤和密钥交换的流程;并对各个功能模块的具体实现给出了详细的阐述。

可信计算环境下的IKEv2协议扩展方案

在IKEv2协议基础上,利用ISO/IEC 9798-3:1998/Amd 1:2010中的认证机制,提出了一种可信计算环境下的IKEv2协议扩展方案,实现了发起者和响应者之间的双向身份认证和平台认证,并建立了它们之间的会话密钥,且与IKEv2协议是向后兼容的,其中可信第三方(TTP)负责它们的身份证书验证、平台证明身份密钥(AIK)证书验证和平台完整性评估,它们的存储完整性度量日志(SML)被加密传输给可信第三方,从而有效地解决了现有可信计算环境下IKE协议扩展方案所存在的问题.此外,利用针对可信网络连接协议的串空间模型证明了该IKEv2协议扩展方案是安全的.

中间人攻击下增强身份保护的IKEv2改进

首先探讨了IKEv2协议可能遭受中间人攻击和密钥生成方案面临蜕化消息攻击的缺陷,针对退化消息攻击的威胁提出了基于共享密钥的密钥生成方案。针对存在的身份保护缺陷进行了分析,并相应地对IKEv2协议进行改进,提出的方案能够有效地进行身份保护。改动后的实现代价并不大,也不破坏ISAKMP框架及交换的对称性。

一种基于IKEv2的IPsec远程访问实现方案

虚拟专用网VPN用于企业间进行安全数据通信的优势日趋凸显,而远程访问是IPsec VPN的典型应用之一。本文分析了目前基于IKEv1的远程访问配置方案的缺陷,提出了一种基于IKEv2协议的改进型配置方案,并给出了具体实现过程。

VPN安全网关IKEv2-EAP／SIM扩展研究与设计

以往安全网关的实现偏重于单一功能,且认证方式不够灵活。该文对最新IKEv2动态密钥协商机制进行研究和分析,结合EAP可扩展认证机制的优点,提出将EAP/SIM认证框架引入IKE认证体系的思路,给出实现方案,设计了基于EAP/SIM的增强型可扩展IKEv2系统。IKEv2-EAP系统以RADIUS为认证服务器实现AAA功能,使用新的IKEv2-EAP/SIM交互建立了安全的IPSec隧道,使VPN网关功能更趋灵活、强大及多样化。

基于增强型IKEv2的IPSec VPN网关设计

IKE(Internet Key Exchange)协议是IPsec协议簇的重要组成部分,用来动态地建立和维护安全关联SA,是IPsec VPN安全传输的先决条件和保证。在研究IKEv2协议的基础上,将公钥基础设施PKI体系引入其中,对在IKEv2中使用PKI身份认证进行研究。并针对IKEv2中数据通信的特点,将在线证书状态协议OCSP(Online Certificate Status Protocol)与IKEv2协议结合起来,设计了一个基于PKI身份认证的增强型IKEv2协议,从而有效提高系统的效率和部署的可扩展性。最后给出了一个基于Linux2.6内核的IPSec-VPN设计方案。

基于扩展Spi演算的IKEv2协议形式化分析与改进

安全性是新一代密钥交换协议的关键,而Spi演算是研究协议安全性的一种形式化方法,文中采用Spi演算研究了IKEv2协议的安全属性。针对Spi演算不能形式化定义Diffie-Hellman密钥交换和密钥生成的问题,扩展了Spi演算的语法和语义。基于扩展的Spi演算形式化分析了IKEv2协议,分析结果表明协议满足认证性和私密性,但不能保护相对重要的发起方身份。针对IKEv2协议的不足,提出了一种基于Weil对签名算法的改进方案。改进后的协议解决了发起方身份保护问题,具有更好的安全性。

密钥交换协议IKEv2的一种实现方案

基于新一版密钥交换协议IKEv2的新特性,提出了一种Linux操作系统下IKEv2的实现方案.设计和开发中充分借鉴了面向对象的程序设计思想,将整个系统进行了合理的分割与抽象,提高了程序代码的可读性、可维护性、可复用性和可扩展性.

基于IPsec的密钥交换协议(IKEv2)的研究与实现

分析了IKEv2的新特性和对前一版本做出的改进。在此基础上提出了一套IKEv2的实现方案.此方案对整个系统进行合理性的分割和抽象,能够在IPSec通信双方之间建立安全关联关系.

IKEv2协议对DoS攻击的防范

对IKEv2协议的交换过程和主要工作原理进行分析,得出其存在着内存耗尽型和基于分片的DoS攻击的安全缺陷,针对内存耗尽型DoS攻击通过改进初始交换过程,增加Cookie信息来认证发起方杜绝IP欺骗引起的耗尽型DoS攻击,针对基于分片的DoS攻击采用增加IP地址分片重组列表的方案来进行抵御,这些针对DoS攻击的防范进一步增强了IKEv2的安全性。

IKEv2协议中消息协商的一种实现方案

IKEv2协议中最重要的内容是消息的协商,消息协商系统也是整个IKEv2系统中的难点。本文实现的方案中,根据协商消息的转换定义了多个状态值和状态转换表,通过对状态转换的跟踪,完成整个协商交换。并使用交换得到的信息生成安全传输所需的密钥种子和各种密钥,成功建立IKE_SA和CHILD_SA。

IKEv2中Diffie-Hellman密钥交换算法的改进

IKEv2密钥协商过程能够增强IPSecVPN网关之间隧道建立过程的安全性。Diffie—Hellman算法作为IKEv2协商过程中的重要组成部分，它的安全可靠性就显得非常重要。本文针对Diffie-Hellman算法存在的若干缺陷，提出一种与预共享密钥、密钥共享等思路结合的改进方案，从而进一步提高该算法的安全性，最终确保整个IKEv2和VPN的可靠性。

基于IKEv2的物联网认证与密钥协商协议

在物联网中,关键的安全认证协议主要位于服务器与节点之间的通信中,一旦节点的身份被假冒,则服务器会接收到错误的数据;一旦服务器的身份被假冒,则节点反馈给服务器的信息将被泄露。论文针对物联网中存在的以上攻击,改进了Internet密钥交换协议IKEv2,进一步完善了其认证功能,更好地保证了服务器与节点之间的安全通信。

新一代动态密钥协商协议IKEv2的研究与分析

IKE协议作为IPSec体系中动态密钥协商机制,极大地增强了IPSec体系的安全性。而IEKv2作为IKE的替代者,对原有的IKE协议进行了诸多方面的改进。本文首先简单介绍了IKE协议,然后重点分析了IKEv2具体协商过程,最后阐述了IKEv2的发展趋势。

IKEv2协议的分析与改进

IKEv2协议中的预共享密钥认证方式容易受到中间人攻击和离线字典攻击,从而泄漏发起方的身份信息和通信双方的预共享密钥。针对上述2种攻击,提出将数字签名认证方式与预共享密钥认证方式相结合的防御措施,引入公钥口令的思想,避免建立公钥基础设施带来的额外负担。分析结果表明,改进后的协议能够避免中间人攻击和离线字典攻击,防止通信双方身份的泄漏和预共享密钥的破解。