怎样实现家庭网络的安全架构.docVIP

家庭网络安全框架是指保护家庭网络的安全服务框架。这种框架在家庭网络、因特网、以及防火墙之间使用安全信道来确保家庭网关免受拒绝服务（DoS）的攻击。 同时它还能够对家庭内部无限局域网中的各种移动设备进行入侵检测和访问控制。本文提出了一种完整的安全管理框架来保护家庭网络，使之免受内部或外部的攻击。 1、简介 　　现在的家庭中，不仅有计算机而且还有其它信息设备组成的网络。当这些信息设备与因特网连接时，它们很容易暴露在多种攻击之下。而用户并不想因此泄漏他们的个人隐私。所以这些家庭网络环境需要一个安全、可靠的解决方案。目前，虽然有很多家庭网络安全产品，比如说防火墙、虚拟个人网络（Virtual Private Network（VPN））、安全无线局域网（wireless LAN security）等[1]，但是还缺少一种综合的安全解决方案来保护家庭网络免受有线和无线攻击。 　　对于家庭网络安全需求，我们主要考虑以下因素：（1）传输数据的安全。很多情况下，用户需要从家庭外部使用移动设备来控制家庭内部的设施；（2）对家庭网关的监测和控制；（3）对家庭内部无线局域网的访问控制和入侵检测；（4）用户管理。基于以上因素，本文阐述一个管理家庭网络安全的解决方案。 　　本文结构如下：第二节综述安全管理框架；第三节阐述我们的家庭网关安全方案；第四节讨论本方案的实现方法；第五节总结本文并指出下一步研究工作。 2、综述安全管理框架 　　为满足上述安全需求，我们设计并实现了一个家庭网络安全框架。本框架是一个基于Open Service Gateway initiative（OSGi）[2]的家庭网络中间件。OSGi为家庭网络定义了一个开放的共同体系结构，详细定义了服务网关的标准。OSGi通过其基础系统来联结各种中间件并支持各种接口。OSGi定了自己的安全服务，但是这些方法还有不足之处。本文使用在OSGi服务结构体系之上增加了4种家庭网络安全服务。 　　一是家庭网络外的移动设备对家庭内的设施进行安全控制服务。二是通过对防火墙通的通信量的进行实时控制和监测来防止拒绝服务攻击。三是无线局域网安全服务。通过使用家庭无线局域网来进行无线入侵检测和移动设备的访问控制。四是使用家庭设备进行用户管理服务。 3、家庭网络安全服务 　　3.1　家庭设备安全控制服务 　　从家庭外部网络访问和控制家庭设备时，控制请求必须通过因特网。但因特网并不是一个安全的区域。因此我们设计了一套针对家庭设施的安全控制服务。这个服务在移动设备和家庭网关之间建立了一个安全信道。 　　Type字段定义了信息包的类型。序列号（Sequence Number）和端口号（Port）用于防止MITM攻击。Integrity用于检查数据的完整性。操作程序如下：首先，客户端向服务器端发送认证包。服务器收到后，认证用户。如果该用户是注册的用户，服务器返回信息接受；否则拒绝。客户端只有在收到接受信息后才能继续与服务器通信。 　　经过以上程序，所有家庭网关和PDA之间传输的信息将通过SEED block cipher Algorithm加密。除加密外，所有加密数据附带Integrity值以确保数据的完整性。我们使用MD5 hash算法计算Integrity值。 　　3.2　基于传输状态的防火墙 　　基于传输状态的防火墙能够检测并控制网络传输。它可以保护家庭网络免受拒绝服务（Denial of Service（DoS））的攻击，同时还可以拒绝或接收来自特定IP地址和端口号的数据。 　　我们使用安全状态图表[4][5]检测传输。基于这个原理，我们实现了一个传输检测引擎。这个引擎由一个传输状态信息收集器和安全策略管理器构成。 　　传输状态信息收集器以状态单元（State Unit）的形式收集通信信息并使用统计方法对其进行分析。状态单元包括传输模式和相应的统计信息。安全策略管理器通过使用安全状态图表建立安全策略。它能反映所有出现在网络上的通信状态。安全状态图表根据传输的状态转移来相应地改变安全策略。过滤规则发生器将新的安全策略转换成过滤规则。传输控制器使用该规则控制传输。当状态转移信号发生器发送状态转移信息给状态表时，代表传输状态的S1状态将检测自身状况，看是否能接受状态转移信号。这个引擎能有效进行网络安全管理以应对迅速变化的传输状况。管理员可以保存并通过图形界面分析传输信息和安全策略日志。基于传输状态的防火墙根据家庭网关中的IP地址列表来控制数据传输并能拒绝或允许来自用户指定的特定IP地址和端口的信息包。 　　3.3　无线局域网安全服务 　　无线局域网安全服务[6]具备入侵检测[7]和访问控制的能力。入侵检测系统包括代理搜集和入侵检测服务器。代理搜集监察和收集接入点信息以及通过无线网络传送数据