基于IPSec安全性研究ISCSI协议

第ｌ６卷第２期　

２０１３年４月　

西安文理学院学报：自然科学版　

Ｊｏｕｒｎａｌ　ｏｆ　Ｘｉ’ａｎ　Ｕｎｉｖｅｒｓｉｔｙ　ｏｆ　Ａｒｔｓ＆Ｓｃｉｅｎｃｅ（Ｎａｔ　Ｓｃｉ　Ｅｄ）　

Ｖｏ１．１６　Ｎｏ．２　

Ａｐｒ．２０１３　

文章编号：１００８—５５６４（２０１３）０２－００６７－０４　

基于ＩＰＳｅｃ安全性研究ＩＳＣＳＩ协议　

吴玉芹　

（宁德师范学院计算机与信息工程系，福建宁德３５２１００）　

摘要：通过分析ＩＰｓｅｃ，尝试使用其他的安全机制来代替ＩＰＳｅｅ，进而分析和对比它们对存储系统　

安全与性能的影响，在此基础上对ＩＰＳｅｃ改进，从而可以在ＩＳＣＳＩ的安全和性能之间找到一个较好的平　

衡点．　

关键词：ＩＳＣＳＩ协议；数据加密；ＳＳＨ；Ｒｓｙｎｃ算法　

中图分类号：ＴＰ３９３．０８　文献标志码：Ａ　

Ｒｅｓｅａｒｃｈ　ｏｎ　ＩＳＣＳＩ　Ｐｒｏｔｏｃｏｌ　Ｂａｓｅｄ　ｏｎ　ｔｈｅ　Ｓｅｃｕｒｉｔｙ　ｏｆ　ＩＰＳＥＣ　

ＷＵ　Ｙｕ—ｑｉｎ　

（Ｄｅｐａｒｔｍｅｎｔ　ｏｆ　Ｃｏｍｐｕｔｅｒ　ａｎｄ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｅｎｇｉｎｅｅｒｉｎｇ，Ｎｉｎｇｄｅ　Ｎｏｒｍａｌ　Ｕｎｉｖｅｒｓｉｔｙ，Ｎｉｎｇｄｅ　３５２１００，Ｃｈｉｎａ）　

Ａｂｓｔｒａｃｔ：Ｗｅ　ｇｉｖｅ　ａｎ　ａｎａｌｙｓｉｓ　ｏｆ　ＩＰＳｅｃ　ａｎｄ　ｅｘｐｌｏｒｅ　ｏｔｈｅｒ　ｐｏｓｓｉｂｌｅ　ｓｅｃｕｒｉｔｙ　ｍｅｃｈａｎｉｓｍｓ　ｔｏ　ｒｅ—　

ｐｌａｃｅ　ＩＰＳｅｃ．Ｗｅ　ａｌｓｏ　ｃｏｍｐａｒｅ　ｔｈｅｉｒ　ｅｆｆｅｃｔｓ　ｏｎ　ｔｈｅ　ｓａｆｅｔｙ　ａｎｄ　ｐｅｒｆｏｒｍａｎｃｅ　ｏｆ　ｓｔｏｒａｇｅ　ｓｙｓｔｅｍｓ　ｉｎ　

ａｎ　ｅｆｆｏｒｔ　ｔｏ　ｉｍｐｒｏｖｅ　ＩＰＳｅｃ．Ｗｅ　ａｔｔｅｍｐｔ　ｔｏ　ｏｂｔａｉｎ　ａ　ｒｅａｓｏｎａｂｌｅ　ｂａｌａｎｃｅ　ｂｅｔｗｅｅｎ　ｔｈｅ　ｓａｆｅｔｙ　ａｎｄ　

ｐｅｒｆｏｒｍａｎｃｅ　ｏｆ　ＩＳＣＳＩ．　

Ｋｅｙ　ｗｏｒｄｓ：ＩＳＣＳＩ　ｐｒｏｔｏｃｏｌ；ｄａｔａ　ｅｎｅｒｙｐｔｉｏｎ；ＳＳＨ；Ｒｓｙｎｃ　ａｌｇｏｒｉｔｈｍ　

１　ＩＳＣＳＩ安全的关键技术　

ＩＳＣＳ１支持很多种认证方法及安全级别，从没有安全验证到使用公钥、私钥都要支持¨　．ｏｐｅｎ—　

ｓｏｕｒｃｅ提供的代码中使用的是ＣＨＡＰ认证方式．　

（１）ＣＨＡＰ　

ＣＨＡＰ　Ｅ　不在线路上发送明文密码，只发送经过摘要算法加工过的随机序列，也称“挑战字符串”．　

同时，身份认证可以随时进行，双方正常通信过程也包括在内．非法用户就算截获并成功破解了一次密　

码，密码也将在一段时间内失效．　、　

ＳＲＰ抵制（ｐａｓｓｗｏｒｄ　ｓｎｉｆｉｆｎｇ）口令监听攻击．一个使用了ＳＲＰ认证的会话，监听者不会监视到任何网　

络中传送的口令．远程登陆软件，明文的密码传送是最大的安全漏洞．任何人都可以用一个简单的嗅探　

器得到你登陆到远程系统的密钥；ＳＲＰ抵制字典攻击．ＩＳＣＳＩ也允许不使用任何认证方式，一般不这样　

收稿日期：２０１３－０１－０８　

基金项目：福建省宁德市科技局资助项目（２０１１０１２６）；福建省教育厅Ｂ科研类项目（ＪＢ０９２３６）　

作者简介：吴玉芹（１９７９一），女，内蒙古赤峰人，宁德师范学院计算机与信息工程系讲师，主要从事计算机网络与通　

信研究．　

６８　

做，否则网络上会存在很大危险．　

（２）数据的加密和完整性　

西安文理学院学报：自然科学版　第ｌ６卷　

以网络作为连接的ＩＳＣＳＩ，为资源共享而开放，同样对存在着各种意图的攻击者也是开放的，所以在　

网络上传输的数据必须加密．针对数据的加密，ＩＥＴＦ　ＲＦＣ推荐使用ＩＰＳｅｃ，也可以通过ＳＳＬ安全机制来　

实现数据的加密的，但是，当用ＳＳＬ　来加密ＩＳＣＳＩ数据包时，则需要修改ＩＳＣＳＩ驱动，实现起来相对比　

较麻烦．　

２　ＩＰＳｅｃ简介　

ＩＰＳｅｅ是ＩＥＴＦ（因特网工程任务组）发布的ＩＰ安全标准，期望能为ＩＰ以及上层协议提供访问控制、　

无连接完整性、数据源认证、重放攻击保护及有限的传输流机密性等安全服务．　

ＩＰＳｅｃ是一个协议簇，包括以下基础协议：　

（１）头部认证协议（ＡＨ）和封装安全负载协议（ＥＳＰ）为传输安全协议，直接的提供与ＩＰ传输相关的　

安全服务；ＡＨ提供完整性，ＥＳＰ提供完整性和机密性；　

（２）因特网密钥交换协议（ＩＫＥ）为ＩＰＳｅｃ缺省的自动密钥管理协议，主要给传输安全协议提供所需　

的密钥管理服务，依据安全策略（ＳＰ）协商、建立和维护安全关联（ＳＡ）；安全关联是ＩＰＳｅｃ的基础概念，　

代表着通信实体之间的关系，由安全参数索引（ＳＰＩ）、目的ＩＰ地址和传输安全协议（ＡＨ或ＥＳＰ）标志符　

组成的一个３元组惟一地址．在１ＰＳｅｃ实现系统中，安全关联数据库（ＳＡＤ）与安全策略数据库（ＳＰＤ）之　

间的映射是密钥管理与传输安全模块进行信息传递及行为约束的纽带．　

３　ＩＰＳｅｃ改进　

在ＩＳＣＳＩ层与ＴＣＰ层之间嵌入一安全层，使其与ＩＳＣＳＩ层完全融合，在保证安全性的同时，尽可能　

的降低以上所提的问题对ＩＳＣＳＩ存储系统的性能影响．ＩＰＳｅｃ下ＩＳＣＳＩ的协议模型如图１所示．　

运用了ＩＰＳＥＣ安全机制后：ＩＳＣＳＩ就可以运用ＩＰＳＥＣ　

［　豆二］

二［　亘］

的安全服务功能，这样可以简化了ＩＳＣＳＩ的安全实现．ＩＰ．　

［二

～　＼　

ＳＥＣ变成了ＩＳＣＳＩ协议栈的单独一部分，这就使得ＩＳＣＳＩ　

固

ＰＤＵ要经过ＴＣＰ层的拆包处理、ＩＰ层处理以后，ＩＰＳＥＣ　

［■　了『■］

匣　圈　ｓ　ｓｓｉ（）ｒ　一　回

［　Ⅱ二］　

［　妇　

厂■霹　＿］　

匣三　

／　

一　

对每一个小包进行认证和加解密处理．ＩＰＳｅｃ下ＴＳＣＳＩ的　

性能分析．　

影响性能的关键因素：ＩＰＳＥＣ位于较为底层，ＴＣＰ／ＩＰ　

的拆包重组＋ＩＰＳｅｃ的额外加解密处理会明显降低ＩＳＣＳＩ　

的性能（一些实验中也证明了此结论）．在ＩＳＣＳＩ层与ＴＣＰ层之间嵌入一安全层，使其与ＩＳＣＳＩ层完全融　

合：多队列算法通过参考访问次数将数据块从比较高一级的队列降低到比较低一级的队列中．算法为每　

图１　ＩＰＳｅｃ下ＩＳＣＳＩ的协议模型　

］　

个数据块设置一个生存时间（ＥｘｐｉｒｅＴｉｍｅ）参数，生存时间决定数据块是否被降级到下一级队列中．如果　

一

个数据块在某个队列中停留的时间超过了一个允许的时间（ＬｉｆｅＴｉｍｅ）且在此时间内没有被访问过　

时，则将此数据块降级到下一级队列中．比较高级队列中数据块的ＬｉｆｅＴｉｍｅ比较低一级队列中数据块的　

ＬｉｆｅＴｉｍｅ长．目的是在保证安全性的同时，尽可能地降低以上所提的问题对ＩＳＣＳＩ存储系统的性能影响．　

ｉｐｓｅｃ改进的安全ＩＳＣＳＩ方案中，ＩＳＣＳＩ命令和数据的处理是在ＴＣＰ层进行的，这样，对数据包进行加密　

处理的次数远远小于在ＩＰ层对ＩＰ包进行加密处理的次数，这就可以保证在同样安全性能的情况下，减　

小因安全机制而产生的系统开销．　

４试验与结果　

４．１试验环境　

使用２台普通的Ｐｃ机，一台作为启动器，一台作为目标器．实验平台配置如表１所示．