TCP/IP协议安全问题的防范 - tcp安全问题剖析

　TCP/IP协议安全问题的防范

　　TCP协议安全问题的防范

　　对于SYN Flood攻击，目前还没有完全有效的方法，但可以从以下几个方面加以防范：

　　1. 对系统设定相应的内核参数，使得系统强制对超时的SYN请求连接数据包的复位，同时通过缩短超时常数和加长等候队列使得系统能迅速处理无效的SYN请求数据包。

　　2. 建议在该网段的路由器上做些配置的调整，这些调整包括限制SYN半开数据包的流量和个数。

　　3. 建议在路由器的前端多必要的TCP拦截，使得只有完成TCP三次握手过程的数据包才可以进入该网段，这样可以有效的保护本网段内的服务器不受此类攻击。

　　IP协议安全问题的防范

　　1. 抛弃基于地址的信任策略。这是最简单的方法。

　　2. 进行包过滤。如果网络是通过路由器接入Internet的，那么可以利用路由器来进行包过滤。确认只有内部LAN可以使用信任关系，而内部LAN上的主机对于LAN以外的主机要慎重处理。路由器可以过滤掉所有来自于外部而希望与内部建立连接的请求。

　　3. 使用加密技术。阻止IP欺骗的一种简单的方法是在通信时要求加密传输和验证。当有多种手段并存时，加密方法可能最为适用。

　　TCP/IP各层的安全性和提高各层安全性的方法

　　1. 网络层的安全性

　　在过去的十年里，已经提出了一些方案对网络层的安全协议进行标准化。例如，安全协议3号（SP3）就是美国国家安全局以及标准技术协会作为安全数据网络系统（SDNS）的一部分而制定的。网络层安全协议（NLSP）是由国际标准化组织为无连接网络协议（CLNP）制定的安全协议标准。集成化NLSP（I-NLSP）是由美国国家科技研究所提出的包括IP和CLNP在内的统一安全机制。SWIPE是另一个网络层的安全协议，由Ioannidis和Blaze提出并实现原型。所有这些提案的共同点多于不同点。事实上，他们用的都是IP封装技术。其本质是，纯文本的包被加密，封装在外层的IP报头里，用来对加密的包进行Internet上的路由选择。到达另一端时，外层的IP报头被拆开，报文被解密，然后送到收报地点。

　　网络安全性的主要优点是它的透明性，也就是说，安全服务的提供不需要应用程序、其他通信层次和网络部件做任何改动。它最主要的缺点是：网络层一般属于不间进程和相应条例的包不做区别。对所有去往同一地址的包，它将按照同样的加密密钥和访问控制策略来处理。这可能导致提供不了所需要的功能，也会导致性能下降。针对面向主机的密钥分配的这些问题，RFC 1825允许（甚至可以说是推荐）使用面向用户的密钥分配，其中，不同的连接会得到不同的加密密钥。但是，面向用户的密钥分配需要对相应的操作系统内核作比较大的改动。

　　简而言之，网络层是非常适合提供基于主机对主机的安全服务的。相应的安全协议可以用来在Internet上建立安全的IP通道和虚拟私有网。例如，利用它对IP包的加密和解密功能，可以简捷地强化防火墙系统的防卫能力。RSA数据安全公司已经发起了一个倡议，来推进多家防火墙和TCP/IP软件厂商联合开发虚拟私有网，该倡议被称为S-WAN（安全广域网）倡议，其目标是制定和推荐网络层的安全协议标准。

　　2. 传输层的安全性

　　在网络应用编程中，通常使用广义的进程间通信（IPC）机制来与不同层次的安全协议打交道。在Internet中提供安全服务的首先一个想法便是强化它的IPC界面，如BSD、Sockets等，具体做法包括双端实体的认证，数据加密密钥的交换等。Netscape通信公司遵循了这个思路，制定了建立在可靠的传输服务（如TCP/IP所提供）基础上的安全接层协议（SSL）。

　　网络安全机制的主要优点是它的透明性，即安全服务的提供不要求应用层做任何改变。这对传输层来是说是做不到的。原则上，任何TCP/IP应用，只要应用传输层安全协议，比如说SSL或IPC，就必定要进行若干修改以增加相应的功能，并使用不同的IPC界面。于是，传输层安全机制的主要缺点就是要对传输层IPC界面和应用程序两端都进行修改。可是，比起Internet层和应用层的安全机制来，这里修改还是相当小的。另一个缺点是，基于UDP的通信很难在传输层建立起安全机制来。同网络层安全机制相比，传输层安全机制的主要优点是它提供基于进程对进程的（而不是主机对主机的）安全服务。这一成就如果再加上应用级的安全服务，就可以再向前跨越一大步了。

　　3. 应用层的安全性

　　网络层的安全协议允许为主机（进程）之间的数据通道增加安全属性，这以为着真正的数据通道还是建立在主机（或进程）之间，但却不可能区分在同一通道上传输的一个具体文件的安全性要求。比如说，如果一个主机与另一个主机之间建立起一条安全的IP通道，那么所有在这条通道上传输的IP包就到要自动的被加密。同样，如果一个进程和另一个进程之间通过传输层安全协议建立起了一条安全的数据通道，那么两个进程间传输的所有消息就都要自动的被加密。

　　一般来说，在应用层提供安全服务有几种可能的做法，一个是对每个应用（及应用协议）分别进行修改。一些重要的TCP/IP应用已经这样做了。在RFC1421至1424中，IETF规定了私用强化邮件（PEM）来为基于SMTP的电子邮件系统提供安全服务。Internet业界采纳PEM的步子太慢的原因是PEM依赖于一个既存的、完全可操作的PKI（公钥基础结构）。建立一个符合PEM规范的PKI需要多方在一个共同点上达成信任。作为一个中间步骤，Phil Zimmermann开发了一个软件包，叫做PGP（Pretty Good Privacy）。PGP符合PEM的绝大多数规范，但不必要求PKI的存在。相反，它采用了分布式的信任模型，即由每个用户自己决定该信任哪些其他用户。因此，PGP不是去推广一个全局的PKI，而是让用户自己建立自己的信任之网。

　　总结：

　　总起来说，TCP/IP安全性的进展实际上与ICA思想的安全保证是有所协同与汇聚的，比起防火墙等措施来已更上一层楼。因此，基于TCP/IP协议的安全计算问题应以科学求实、积极创新的原则而努力推进，决不能不求创新，甚至悲观失望。