IMS安全问题分析

　　每个SEG负责建立和维护与其对等SEG之间的IPSec SA。这些SA使用因特网密钥交换(IKE)协议进行协商，其中的认证使用保存在SEG中的长期有效的密钥来完成。每个对等连接的两个SA都是由SEG维护的：一个SA用于入向的业务流，另一个用于出向的业务流。另外，SEG还维护了一个单独的因特网安全联盟和密钥管理协议(ISAKMP)SA，这个SA与密钥管理有关，用于构建实际的对等主机之间的IPSec SA。对于ISAKMP SA而言，一个关键的前提就是这两个对等实体必须都已经通过认证。在NDS/IP中，认证是基于预先共享的密钥。

　　NDS/IP中用于加密、数据完整性保护和认证的安全协议是隧道模式的IPSec ESP。在隧道模式的ESP中，包括IP头的完整的IP数据包被封装到ESP分组中。对于三重DES加密(3DES)算法是强制使用的，而对于数据完整性和认证，MD5和SHA-1都可以使用。

　　4.5　IPSec安全体系中的几个重要组成和概念

　　1)IPSec：IPSec在IP层(包括IPv4和IPv6)提供了多种安全服务，从而为上层协议提供保护。IPSec一般用来保护主机和安全网关之间的通信安全，提供相应的安全服务。

　　2)ISAKMP：ISAKMP用来对SA和相关参数进行协商、建立、修改和删除。它定义了SA对等认证的创建和管理过程以及包格式，还有用于密钥产生的技术，它还包括缓解某些威胁的机制。

　　3)IKE：IKE是一种密钥交换协议，和ISAKMP一起，为SA协商认证密钥材料。IKE可以使用两种模式来建立第一阶段ISAKMP SA，即主模式和侵略性模式。两种模式均使用短暂的Diffie-Hellman密钥交换算法来生成ISAKMP SA的密钥材料。

　　4)ESP：ESP用来在IPv4和IPv6中提供安全服务。它可以单独使用或与AH一起使用，可提供机密性(如加密)或完整性(如认证)或同时提供两种功能。ESP可以工作在传送模式或隧道模式。在传送模式中，ESP头插入到IP数据报中IP头后面、所有上层协议头前面的位置;而在隧道模式中，它位于所封装的IP数据报之前。

　　5. 结束语

　　标准化组织对IMS的安全体系和机制做了相应规定，其中UE和P-CSCF之间的安全由接入网络安全机制提供，IMS网络之上的安全由IP网络的安全机制保证，UE与IMS的承载层分组网络安全仍由原来的承载层安全机制支持。所有IP网络端到端安全基于IPSec，密钥管理基于IKE协议。对于移动终端接入IMS之前已经进行了相应的鉴权，所以安全性更高一些。但是对于固定终端来说，由于固定接入不存在类似移动网络空中接口的鉴权，P-CSCF将直接暴露给所有固定终端，这使P-CSCF更易受到攻击。为此，在IMS的接入安全方面有待于进一步的研究，需要不断完善IMS的安全机制。

上一页  [1] [2] [3]