透过IP端到端身份互信测试 解读西电捷通TISec 技术

随着计算机网络的发展和网络互连共享程度的扩大，因特网日益成为信息交换的主要手段。与此同时，大规模的网络安全事件频发，诸如数据泄露、泄露、删除等网络安全问题频频发生，给社会带来了严重的经济损失。如何确保网络通信的安全？归本溯源，让我们不妨先从互联网协议谈起。说起互联网协议，当前最广泛使用的互联网协议就是传输控制协议/互联网络协议（Transmission Control Protocol/ Internet Protocol，TCP /IP），也即地球人都知道的TCP /IP协议了。
TCP/IP网络协议结构分为四层，包括网络访问层、互联网层、传输层和应用层，每一层负责不同的功能，在不同的层次提供不同角度的安全保障。1995年互联网层安全技术IPsec诞生，该技术采用两元模型的鉴别机制，其设计目标是解决TCP/IP中最基础的IP协议安全问题。尽管IPsec协议已经演进至第三版，不过因为受制于历史遗留和其自身的安全架构设计问题，IPsec协议所期望的身份鉴别和数据通信的安全性问题仍然没有得到根本解决。基于上述技术现状，西电捷通公司基于三元对等架构研发出一种全新的IP安全可信技术（Trust of IP Security，TISec）。TISec技术围绕互联网层安全通信的挑战，提供网络接入身份鉴别服务、平台可信鉴别服务和IP数据安全服务。具体来说，TISec技术是基于三元对等安全架构（Tri-element Peer Architecture，TePA）的安全技术，通过双向鉴别、加解密、密钥管理、隧道等一系列创新技术，构建网络任意两个节点之间逻辑链路的安全、可信连接，同时具有跨共享网络或公共网络的身份鉴别、加解密和封装专用网络的扩展能力。TISec技术解决方案包括TISec服务器及TISec 主机、行业终端、安全网关等多种类型产品，其部署场景为政府、企业及行业等，可为其加固IP网络通信安全，提供远程、移动安全接入及身份鉴别等技术支撑。

TISec技术的核心功能是在IP端到端之间建立了身份互信和数据传输安全。 身份互信一项，包含身份鉴别和平台鉴别，其中身份鉴别采用TePA技术，而平台鉴别使用平台鉴别基础结构（Platform Authentication Infrastructure，PAI）协议。在数据传输安全方面，TISec技术采用隧道通用封装 (Tunnel Universal Encapsulating ,TUE)协议，该协议主要为IP协议分组提供完整性、机密性、抗重放攻击等安全服务。本测试实战将选择IP端到端身份互信的建立功能进行验证。图1为TISec安全系统组成原理图：

图1 TISec安全系统组成原理图

IP端到端建立身份互信的功能测试
TISec安全技术设计重点考虑了IP网络的安全(Security)和可信(Trust)，建立身份互信分为两个阶段，身份鉴别阶段和平台鉴别阶段，所以IP端到端建立身份互信的测试范围也从这两个方面考虑。
1、身份鉴别测试
身份鉴别测试是指证实用户的真实身份与其所声称的身份是否相符的过程。在计算机网络世界中，用户的身份信息都是用一组特定的数据来表示。计算机只能识别用户的数字身份，并且基于用户数字身份进行授权。如何保证数字身份操作者是这个数字身份的合法拥有者，本质上其实是身份鉴别要解决的问题。可见，作为防护数据安全的第一道关口，身份鉴别发挥着举足轻重的作用。
2、平台鉴别测试
平台鉴别是验证被鉴别方的平台信息与鉴别方所提供合法平台信息是否相符的过程。TISec提供的平台可信安全鉴别服务，通过实现平台身份鉴别、平台完整性评估，对底层进行防护，通过底层平台的可信鉴别，为其上运行的服务提供更强的安全防护，构建可信网络连接。所以平台鉴别重点是对平台信息及原始评估文件进行测试。
3、测试说明
TISec建立身份互信的过程相当于对被测对象的身份信息和合法性进行验证，TISec客户端和服务器均为被测试的对象。TISec客户端是身份鉴别的请求者（Requester，REQ），负责发起身份鉴别请求；TISec服务器包括鉴别访问控制器（Authentication access controller，AAC）、鉴别服务器（Authentication server，AS）、平台鉴别服务器（Platform authentication server，PAS），AAC负责接收转发REQ身份鉴别请求，并发起平台鉴别请求；AS负责身份信息鉴别；PAS负责平台信息鉴别。分别对身份信息和平台信息状态（合法和非法）进行排列组合，最后验证每种组合测试结果。

 

图2 TISec身份鉴别和平台鉴别流程图

第一阶段：IP端到端身份鉴别
IP端到端身份鉴别基于TePA技术，采用证书鉴别机制，实现请求者、鉴别访问控制器和鉴别服务器三方身份的双向鉴别。
该项测试的主要目的在于验证TISec产品证书使用的合法性，测试过程中采用排列组合方式，分别使用不同状态证书（证书状态包括已授权合法证书、无证书、已过期证书、恶意修改的证书、已吊销证书、被禁用证书），执行证书鉴别。
1、在TISec客户端中输入密码并登入，TISec客户端使用操作系统随机分配的UDP端口发起注册请求，TISec服务器（鉴别访问控制器，AAC）注册认证端口接收到客户端注册请求并响应注册请求。

 

图3 TISec客户端准备发起注册请求

2、当客户端收到AAC响应注册数据后，将自己身份信息及密钥信息提交给AAC的注册认证端口，AAC通过注册认证端口将客户端证书信息及自身身份信息提交给服务器（鉴别服务器，AS）的身份鉴别端口，AS服务器将客户端和AAC身份验证结果返回给AAC，最后AAC将AS反馈的身份验证结果返回给客户端，身份鉴别完成。图3、4是使用数据捕获工具捕获部分消息交互报文：

图4 客户端请求

 

图5 服务器响应

验证结果显示（表1），TISec产品在身份鉴别过程中对客户端、鉴别访问控制器和证书鉴别服务器三方身份证书进行双向鉴别，任意一方的证书是无效或非法的均无法鉴别通过，安全性高于传统上只验证客户端身份的单向鉴别机制。

表1 身份鉴别验证结果

第二阶段：平台鉴别
TISec平台鉴别采用自主研发的PAI协议，平台鉴别过程对请求者、鉴别访问控制器和平台鉴别服务器三者平台信息合法性双向鉴别，任意一方平台信息不合法平台鉴别失败。
该项测试的主要目的是验证TISec产品平台合法性。
1、进入平台鉴别服务器（Platform authentication server，PAS）平台鉴别管理页面中，开启平台鉴别策略功能；
2、使用专用原始评估文件生成工具imcfile.exe，imcfile.exe的功能是对TISec产品中的程序文件使用签名算法进行计算，并生成一个原始评估文件。执行imcfile.exe并选择程序文件存储文件，输入版本信息、日期、时间、操作系统平台及版本信息，生成对应原始评估文件；

 

图6 评估文件生成过程

3、将客户端、鉴别访问控制器和平台鉴别服务器原始评估文件导入至平台鉴别服务器中，并添加测试客户端、鉴别访问控制器和平台鉴别服务器平台、版本信息。以下是平台鉴别服务器部分功能界面：

图7 导入原始评估文件

 

图8客户端版本与平台版本信息添加

客户端执行注册登入操作，当验证通过身份鉴别之后，鉴别控制访问器（AAC）开始向客户端发起平台鉴别请求，客户端接收到AAC的平台鉴别请求后，将自身平台验证提交给AAC，AAC将自身和客户端平台验证信息数据递交给平台鉴别服务器(PAS)，PAS将客户端和AAC平台验证结果数据返回给AAC，AAC接收到PAS返回的平台验证结果传递给客户端，当客户端接收到平台验证结果后，最后将自己平台验证结果返回给AAC，平台鉴别过程结束。
验证结果显示（表2），TISec产品在平台鉴别过程中需对客户端、鉴别访问控制器和证书鉴别服务器三方平台信息进行相互鉴别，任意一方的原始评估文件不匹配并且任意一方程序被恶意修改，平台鉴别都无法鉴别通过 。这种采用三方平台互相鉴别安全机制相比双方平台鉴别机制要更安全。

表2 平台鉴别验证结果

总结

西电捷通TISec安全技术的设计目标是保障IP网络的安全通信，其核心技术路径是基于身份鉴别技术、平台可信鉴别技术。通过对以上两种技术的测试结果分析，TISec技术能够满足IP端到端之间的安全接入的要求。通过TISec技术的应用，可构建自主、可信的IP安全网络，从而保障IP网络数据的安全传输。