移動IP中AAA體系結構的研究與改進

1、挪動IP中AAA體系布局的研究與革新摘要當前挪動通訊的生長進入了一個新期間，aaa協(xié)議必將發(fā)揮更大的作用。因特網(wǎng)工程使命組ietf提出的挪動ip下的aaa體系布局，但是當挪動節(jié)點在差異網(wǎng)絡間切換時，對挪動節(jié)點的認證會帶來很大耽誤題目。鑒于此，提出一種新的網(wǎng)絡信托模子簡化網(wǎng)絡中的密鑰辦理，并在此底子上提出一種新的認證方案來進步認證服從，減小耽誤。關鍵字aaa挪動ip認證弁言小我私家通訊技能的生長終極目的是可以或許讓人們隨時隨地拜候網(wǎng)絡，挪動ip1技能恰好將這個目的釀成了實際。挪動ip技能容許挪動節(jié)點在挪動位置的歷程中不停頓正在舉行的通訊，這給用戶帶來了很大的便利。aaa2技能是認證、授權和記帳三

2、種技能的結合。ietf的挪動ip事情組將該技能移植到挪動ip中，并提出了模子來實現(xiàn)挪動ip中的認證、授權和記帳。這模子的提出，辦理了原有挪動ip協(xié)議無法辦理的題目，美滿了挪動ip的成效。但是每次挪動節(jié)點進入一個新的外地網(wǎng)絡時，新的外地網(wǎng)絡必必要向挪動節(jié)點的故土網(wǎng)絡舉行認證哀求，得抵故土網(wǎng)絡的認證，挪動節(jié)點才氣進入外地網(wǎng)絡。如許挪動節(jié)點在舉行切換時就帶來了很大的耽誤，對付及時體系來說根本不成行。在本文中，提出了一種新的網(wǎng)絡信托模子。在該模子中，當挪動節(jié)點進入外地網(wǎng)絡中時，不必要向它的故土網(wǎng)絡發(fā)出認證哀求，而是向挪動節(jié)點先前地點的外地網(wǎng)絡發(fā)出認證哀求，大大進步了認證服從。1挪動ip下的aaa體系布

3、局圖1aaa在挪動ip中應用模子aaa在挪動ip中應用的根本模子圖1所示。從圖中可以看出，故土域中包羅故土署理和故土aaa辦事器aaah。同樣，外地區(qū)中有外地署理和外地aaa辦事器aaal。模子中實線代表相干實體之間的寧靜協(xié)定sa4。寧靜協(xié)定是兩個節(jié)點在數(shù)據(jù)發(fā)送前商定的發(fā)送者怎樣對數(shù)據(jù)舉行暗碼變更的協(xié)定。也就是說寧靜協(xié)定包羅了報告吸收者怎樣解密和驗證消息中的認證數(shù)據(jù)的需要信息。與通常的挪動ip技能差異的是，在該模子中挪動節(jié)點只和aaah間有寧靜協(xié)定，以此來表白挪動節(jié)點屬于故土域，而和故土署理之間沒有寧靜協(xié)定。根本模子的網(wǎng)絡接入辦事器是外地署理，由外地署理向aaa辦事器發(fā)送接入哀求。2已有的密鑰

4、產(chǎn)生氣制如今挪動ip下的aaa架構是由ietf事情組訂定的。aaah代表了在故土網(wǎng)絡的辦事器，aaal代表了外地網(wǎng)絡的aaa辦事器,同時豈論在外地網(wǎng)絡及時故土網(wǎng)絡都有寧靜的通道毗連aaa辦事器和故土署理大概是外地署理。同時，在aaal和aaah之間也假設有一個寧靜的通道。根據(jù)根本的挪動ip協(xié)議，在hn和n之間有一個sa1，根據(jù)此sa產(chǎn)生ha和n之間的密鑰以及fa和n之間的密鑰,密鑰的產(chǎn)生根據(jù)ietf的尺度步伐所產(chǎn)生詳細步調(diào)如下：n發(fā)送一個nnerequest3給fa來哀求一個隨機數(shù)以產(chǎn)生ha與n密鑰、fa與n密鑰。而且根據(jù)sa，一個a值信息認證碼被盤算出附在哀求消息中.fa將此消息發(fā)送給aaa

5、l，由于aaal沒有充足的信息來對認證該挪動節(jié)點，隨后由aaal發(fā)送給aaah。aaah查抄a，假設合規(guī)矩產(chǎn)生一個隨機數(shù),而且將此隨機數(shù)通過預先存在的寧靜通道送給ha，如許故土署理就可以產(chǎn)生ha與n之間的密鑰。通過aaah和aaal之間的寧靜通道以及aaal和外地署理fa的寧靜通道，aaah發(fā)送另一個隨機數(shù)給aaal，隨后轉至fa。如許外地署理也產(chǎn)生了fa與n之間的密鑰。兩個隨機數(shù)通過注冊應答消息加密后傳送給n，如許在挪動節(jié)點處就產(chǎn)生了n與fa、n與ha之間的密鑰。這些密鑰就通過n和署理所收到的隨機數(shù)而產(chǎn)生。ietf發(fā)起利用brker2布局。brker是和通訊兩邊都創(chuàng)立了信托干系的第三方實體，

6、是兩邊通訊的前言，可以對信息舉行轉發(fā).brker和它所毗連的全部aaa辦事器以及上一級brker之間都有寧靜協(xié)定。由于一樣平常brker安插在n的四周，大大收縮了認證信息的傳輸途徑，如容許以或許節(jié)流大量認證時間。brker同時還可以擺設成一個分層布局，更高條理的brker可以覆蓋更大的地區(qū)，它可以或許為快速挪動節(jié)點辦事。但是，當n挪動出現(xiàn)有的brker域到一個新的brker域，它仍舊必要同故土網(wǎng)絡接洽以得到認證消息。全部的這類模型都必要不停頓的和aaah接洽，因此服從仍舊比力低。3一種新的aaa架構3.1新的信托模子本來的aaa架構引起很長的認證耽誤的緣故原由是關于網(wǎng)絡信托干系的假設。它假設網(wǎng)

7、絡中對挪動節(jié)點的認證信息的泉源只能是故土網(wǎng)絡，如圖2所示?？v然是brker的認證消息也來至aaah。假設一個外地網(wǎng)絡對挪動節(jié)點的認證消息泉源不是故土網(wǎng)絡，而是挪動節(jié)點先前地點的外地網(wǎng)絡，如許的認證將會非常的有服從。圖2舊網(wǎng)絡信托模子圖3新網(wǎng)絡信托模子圖2、3表現(xiàn)了兩種網(wǎng)絡信托模子的差異之處。在圖三的信托模子中，外地網(wǎng)絡對挪動節(jié)點的認證消息來至挪動節(jié)點先前地點的外地網(wǎng)絡。在這里我們假設每一其中心的外地網(wǎng)絡不提供偽造大的認證信息。在這個新的模子中，網(wǎng)絡的密鑰辦理比有brker的分層模子簡樸的多，一個網(wǎng)絡只必要它四周相鄰的網(wǎng)絡列表，密鑰的互換只在它和它的相鄰網(wǎng)路互換。而且可以通過互換鄰人列表來得到整

8、個網(wǎng)絡的漫衍。這里必要一個pki5的存在以支持網(wǎng)絡密鑰的分發(fā)。每一個外地網(wǎng)絡通過本身的私鑰對要傳送的密鑰舉行加密，以后各個實體間再傳送信息就可以利用這個傳送來的密鑰。3.2密鑰的產(chǎn)生根據(jù)hn和n之間的sa產(chǎn)生了ha-n和fa-n之間的密鑰。一旦ha-n之間的密鑰產(chǎn)生以后，當n又挪動到一個新的外地網(wǎng)絡時，就不必要產(chǎn)生新的ha-n的密鑰了。唯一必要產(chǎn)生就是外地署理和挪動節(jié)點之間的密鑰。因此，在我們新的信托模子的底子上，我們提出了一種新的產(chǎn)生fa-n之間密鑰的方案當挪動節(jié)點挪動出故土網(wǎng)絡進入第一個外地網(wǎng)絡fn0時，將會根據(jù)尺度的ietf所劃定的步伐產(chǎn)生出fa與n,ha與n之間的密鑰。此時在這個外地網(wǎng)

9、絡中的aaal辦事器必要保存fa與n之間的密鑰，在n挪動到下一個外地網(wǎng)絡時，必要該信息幫助下一個外地網(wǎng)絡對n的認證。n進入到下一個外地網(wǎng)絡fnn時發(fā)送nnerequest3給外地署理fan.對整個哀求內(nèi)容利用前一個外地網(wǎng)絡和挪動節(jié)點間的存在的fa與n之間的密鑰，通過ha-d5機制盤算出一個認證數(shù)據(jù)，連同nnerequest一起發(fā)送給外地署理fan。在哀求包中，還必要附上先前一個外地網(wǎng)絡的aaa辦事器aaaln-1的地點。外地署理fan將此哀求轉送給aaa辦事器aaaln。aaaln吸收到該哀求后，而且獲知了挪動節(jié)點先前一個外地網(wǎng)絡的aaa辦事器aaaln-1的地點，而且aaaln將隨機數(shù)哀求n

10、nerequest傳送給aaaln-1。aaaln-1辦事器的通過查抄認證數(shù)據(jù)，如通過認證，那么產(chǎn)生確認的消息，并通過寧靜渠道發(fā)送給aaaln。該消息中包羅一個加密過的隨機數(shù)和一個未加密的，該隨機數(shù)將來用來產(chǎn)生n和fan之間的密鑰。加密的隨機數(shù)是用fan-1和n之間的密鑰舉行加密。在收到確認的消息后，aaaln解密后，通過寧靜渠道傳送給當?shù)氐耐獾厥鹄韋an，而且有fan通過注冊應答消息將加密后的隨機數(shù)傳送給挪動節(jié)點。挪動節(jié)點解密隨機數(shù)后，根據(jù)必然的規(guī)矩產(chǎn)生n-fa之間的密鑰。4結論革新挪動ip下的aaa體系布局黑白常需要的，尤其在當今多種網(wǎng)絡并存的環(huán)境下，對付減小挪動節(jié)點在跨網(wǎng)絡挪動時所產(chǎn)生的耽誤起到非常緊張的作用。在本文中我們提出了一個新的網(wǎng)絡信托模子，并在此底子上提出了一個新的密鑰辦理方案，該方案使得挪動ip實體間更新密鑰越發(fā)高效，使得外地網(wǎng)絡對挪動節(jié)點的認證越發(fā)高效。參考文獻1.perkins,ed.ipbilitysupprtfripv4.srf3344,august20022glasss.bileipauthentiatin,authrizatin,andauntingrequireents.srf2977,20003.perkins,ed.authentiat