基于改进IKE的网络制造安全分析与研究精要.pptx

基于改进IKE的网络制造安全分析与研究 姓名：陈永前 指导老师：刘丹 2014.11.17 网络化制造是指通过采用先进的网络技术、制造技术和其它相关技术, 构建面向企业特定需求的基于网络的制造系统, 并在系统的支持下, 突破空间对企业生产经营范围和方式的约束, 开展覆盖产品整个生命周期全部或部分环节的企业业务活动(如产品设计、制造、销售、采购、管理等) , 实现企业间的协同和各种社会资源的共享与集成, 高速度、高质量、低成本地为市场提供所需的产品和服务。 何为网络化制造？ 突破空间地域对企业生产经营范围和方式的约束 实现企业间的协同生产 使各种社会资源的共享与集成 能高速度、高质量、低成本地为市场提供所需的产品和服务 网络化制造的优点 网络制造成功案例 1.协作性不强，公司盲目地开发生产 2.在许多企业中的硬件设施还达不到要求 3.许多技术不达标，工人们对此技术掌握度不够 4.数据安全性是一大隐患 存在的问题 网络制造数据安全性要求 Intenet密钥交换协议(IKE)是用于 交换和管理在虚拟专用网（VPN）中使用的加密密钥的。 它属于一种混合型协议，由Internet安全联盟和密钥管理协议（ISAKMP）和两种密钥交换协议OAKLEY与SKEME组成。IKE协议运用了Diffie-Hellman秘钥交换算法、OAKLEY协议完成通信双方秘钥的分发，其整个过程在ISAKMP协议的框架上完成。 Internet 秘钥交换协议（IKE） 第一阶段（main mode） 主要功能： 验证双方并确定会话秘钥  IKE常常分为两个阶段工作 第二阶段（quick mode） 主要功能：协商数据的IP层协议安全结构（IPSec SA） 第一阶段（quick mode）中，由于ID有效负载被加密，双方不知道在与谁交流，双方都只能根据IP地址来确定身份，因此这将成为攻击者的攻击目标。 IKE协议的漏洞 首先，A发送消息（1），而入侵者C截获该消息，然后C就知道了接受方B的IP地址，然后他只转发这个消息给B。B接到C转发过来的消息（1）后，就发回一个带自己SA的消息（2）C截获该消息后就知道了A的IP地址，此时，攻击人就假冒B发送一个消息把自己的SA发给A。 然后，A发出消息（3），C收到后就用A的IP假冒A将消息（3）发送给B，并在消息中使用自己的KEI，B接收到消息（3）后，发回消息（4）给C，C就在消息（4）中用自己的KEr发给A，这样在A与C，C与B之间就建立了各自的密钥和共享密钥，而A与B之间却以为是在他们之间建立的，这样，那些加密的信息就会被C所解密。 在传统的IKE协议中，数据交换双方对彼此并不了解，仅仅通过一个通道来传输数据，因此攻击者就可以在传输过程中进行攻击，而该过程对于数据传输双方并不知情。因此，我们可以在IKE系统的消息服务器模块中添加一个处理子模块和一个具有IKE协商数据包转发处理功能的服务模块。 处理子模块的功能是对第一阶段的协商消息进行过滤处理，检查发送消息的目的地址和接收消息是否包含有目的地选项报头。IKE协商数据包转发处理模块功能是验证主机的合法性和转发IKE数据包。 对协议进行优化 (1) A向服务器发送需要和B建立安全关联的请求，内容包含B的IP地址，服务器将会检查B的IP是否在其节点地址列表内，如果在则允许建立连接，否则向A返回无法建立连接； (2) 在建立连接后，进入IKE的第一阶段。A将发送第一条消息发往第三方服务器，并给消息添加一个目的地选项报头，在目的地选项报头内添加一条预定义的IKE协商选项类型，选项值为B的IP地址，并将此数据包通过预先与服务器建立的加密通道发送给服务器； 改进后数据交换过程 (3) 服务器接收到该数据包后先解密该数据包，根据扩展报头机制检查目的地选项扩展头，如果包含预定义的IKE协商选项类型，则修改原地址为服务器的IP地址。将目的地址改为B的IP地址，将该数据包通过预先与节点B建立的加密通道再次将此数据包转发给B;  (4) B收到此数据包后，通过检查目的地的地址报头里的IKE协商选项类型知道这一条IKE协商的交换消息，并由该选项值获得A的IP地址，再根据IKE协商机制处理后将选定的协商结果写入发往可信第三方服务器的数据包，同样给该数据包添加一个目的地选项报头，在目的地选项报头内添加IKE协商选项类型及包含A的IP地址的选项值； (5) 服务器收到该数据包解密后，修改源地址为服务器的IP地址，将目的地地址改