基于移动代理的主动网络安全架构的研究

基于移动代理的主动网络安全架构的研究作者：王斌李杰来源：《现代电子技术》2008年第12期摘要：将移动代理和主动网络思想融入到下一代网络的研究中，提出基于移动代理的主动网络的概念和模型，但同时也引入了传统安全领域中所没有的安全问题。

为解决MANet （mobile agents based acitve network）面临的安全威胁，对基于移动代理的主动网络安全架构模型进行了研究，讨论移动代理的安全技术和主动网络中的安全问题，重点讨论主动结点的安全问题，设计了一个通用性的主动结点安全性框架模型。

一个良好的安全机制已经成为衡量网络好坏的一个重要指标。

关键词：移动代理；主动网络；安全机制；主动结点(College of Information Science and Engineering,Central SouthUniversity,Changsha,410075,China)Abstract：Mobile agent and active idea into next generation network architecture is introduced,the concept and framework of mobile agent-based active network are put forward,while the security of the new network architecture is also proposed.In order to solve security threat ofsecurity technology of mobile agent and the security problems of active network,the security problem of acitve node are discussed,and a universal security framework of active node is designed.A goodeywords：mobile agent;acitve network;security mechanism;active node1 引言随着网络技术的飞速发展，网络正影响并改变着人们生活的方方面面，现有的传统网络的功能单一而封闭，对网络内部结点的功能开发很少，服务只能在端系统实现，使现有服务的优化和扩展、新服务的开发等受到很大的限制。

因此DARPA（美国国防部高级研究计划署）提出一种新型的网络体系结构[CD2]主动网络。

而具有跨平台移动机制的移动代理技术为计算机网络环境中的许多领域提供了新的解决方案，特别是移动代理技术与主动网络的结合正在逐步受到关注，但相应的安全问题日益突出。

本文主要以移动代理系统的安全问题和主动网络安全的问题来展开，提出一种基于移动代理的主动网络安全架构，并给出了一些相应的策略。

2 基于移动代理的主动网络安全问题2.1 移动代理移动代理是能在异构网络主机之间自主地进行迁移的有名字的程序，程序能自主地决定在什么时候迁移到什么地方。

在移动时，它能在程序运行的任意点上挂起，然后迁移到另一台主机上重新开始或接着这一点继续往下执行，最后返回结果和消息。

移动代理也能克隆自己或者产生子代理，迁移到其他主机上以共同协作完成复杂的任务。

移动代理系统是指能创建、解释、执行、传送和终止代理的平台，它由名称和地址惟一标志。

每个系统都可以运行多个代理。

代理通过和主机服务进行交互来获得所需的服务。

移动代理的2大特点就是移动性和自主性。

2.2 MANet主动节点的结构在MANet中，每个内部网络结点都是一个具有计算能力的主动结点。

每个主动结点不仅具有有相当功能的处理器，而且也具备由多种存储设备组成的多级存储系统。

实际上它是一个由网络硬件设备、处理机以及相应的软件所组成的系统，如图1所示。

虚拟网络层完成传统网络中数据链路层的功能，它通过网络设备接收数据包，对数据包的格式进行识别，并依据数据包格式对其进行分解，然后将数据包所携带的代码和数据等传送给移动代理运行环境MAE,MAE将程序代码作为代理装载运行。

代理实现的是客户化的协议程序，它在运行过程中可能还要和基础网络服务，部分进行交互，调用最基本的网络服务，如获取本地以及相邻结点的信息、下一转发结点的地址以及本地结点状态的存取等。

经过代理处理后的数据交由虚拟网络层重新封装，然后通过网络设备发送给下一个主动网络结点(或几个网络结点。

MAE是一个基本的移动代理执行环境，它从虚拟网络层接收数据包并对其进行分析和分解，将其中的程序代码装载执行。

同时，它还要监视代理的运行状态，在要执行的程序代码尚未装载时，通过CodeBroker搜索并装载相应的代码块。

MAE也要为主动网络系统的安全性提供诸如身份验证、授权以及代码的安全运行等有效的支持。

基础网络服务主要是为主动数据包提供最基本的网络协议功能，如本地环境的存取、路由控制以及转发等。

它有效地减少了数据包所携带代码的长度，提高了主动网络系统的性能。

甚至较为上层的常用网络协议，如TCP，UDP和IP等，也可以作为基础网络服务的一部分以实现与传统网络的兼容性和提高主动网络的性能。

2.3 基于移动代理的主动网络系统MANet(Mobile Agents Based Active Network是一个以移动代理系统为基础，通过将主动数据包封装成移动代理来实现利用移动代理系统处理主动网络数据包的主动网络。

利用移动代理来实现主动数据包的封装和运行，不仅可以充分利用移动代理的自主性和可移动性，而且提供了更好的主动网络可编程性和灵活性。

将主动网络数据包所携带的程序和数据封装成移动代理，使得数据包具有很好的主动性和处理能力。

例如，主动数据包可以利用代理的克隆及子代理的生成和分发来实现多路分发等。

另一方面，移动代理系统也提供了一些相对于主动网络来说多余的功能，例如，移动代理能在程序运行的任意点上挂起，并在迁移到另一台主机后接着这一点继续往下执行。

为了提高整个主动网络系统的性能，要针对主动网络的特性对移动代理系统进行修改，以去除不必要的功能，从而提高系统的性能。

事实上，包括本文系统在内的许多基于Java的移动代理系统，如Aglets，Odyssey，D'agent等，由于Java语言本身所存在的程序运行状态的获取问题，都未能实现断点式的代理迁移。

此外，支持主动数据包之间的通信对于主动网络来说，开销也太大。

2.4 基于移动代理的主动网络的安全性问题把具有自主性和移动性的移动代理系统放置在开放性极高的主动网络中，其安全隐患是不言而喻的，因此安全性能成为衡量基于移动代理的主动网络的首要指标。

根据移动代理在主动网络中的位置，我们可以把主动网络的安全问题分为2个方面：一是保护主动结点不受恶意代理的侵犯；二是代理在网络中传输过程中，保护代理不受恶意主动网络结点的窃听或拒绝。

迄今为止，移动代理安全领域所做的研究工作为主动结点运行环境的安全提供了基础，但是由于主动网络系统的安全性还存在许多缺陷和不足以及移动代理是在应用层主动节点上运行的，需要使用主机资源，并对其进行存储，因此安全解决方案应该是双向的，既要保证系统不受恶意的代理和主动包的攻击，也要保证代理和主动包不受执行环境（EE）的非法侵害。

针对以上的安全问题，本文提出一些相应的策略。

带有主动包的移动代理在网络中传输，利用现在安全移动代理可以确保移动代理不受其他恶意网络结点的窃听或拒绝。

比如通过加密和数字签名技术可以确保主动分组的安全。

下面重点讨论在移动代理停留在主动结点中，保护主动节点不受恶意代理的侵犯，提出一些相应的策略。

3 基于移动代理的主动网络安全框架模型基于移动代理的主动网络MABAN（Mobile Agent Based Active Network）是以移动代理系统为基础，通过将主动封包程序封装成移动代理，从而实现利用移动代理系统来处理主动封包的网络。

MABAN的可移动代码在主动结点上运行不可避免的引入了安全性问题。

MABAN的安全问题主要包括主动结点、主动封包和端用户等方面。

本文主要研究主动结点的安全问题，而主动封包和端用户的安全性研究则是更具挑战性的一项工作。

为解决MABAN中主动结点的安全问题，现设计一个通用的MABAN结点的安全性框架MANSF（Mobile Agent -Based Active Network node Security Framework）。

此规范符合主动网络安全工作组提出的主动网络结点的安全规范，而且具有可扩展性和通用性等特点。

MANSF结点的安全框架图见图2。

由图2可见，MANSF主要包括认证授权模块，移动代理执行环境及访问控制模块。

MANSF使用上述模块处理主动封包的流程是：（1）封包到达结点，进入网络设备通道，如果是主动封包，则转入认证授权模块，否则在虚拟网络层处理；（2）认证授权模块对封包数据进行完整性检查，并协同域授权中心对用户身份进行认证,提取代码，转入MAEE；（3） MAEE执行移动代理，实现数据的客户化定制，当需要访问结点资源时转入（4）；（4）访问控制模块根据用户的访问权限，决定是否满足用户的资源访问要求；（5）用户程序完成，结点将改动过的数据重新封包并通过网络设备通道发送给下一个结点。

3.1 认证授权模块采用非对称双向认证协议来解决移动代理在主动结点中的运行安全性问题：站-站协议可以使通信双方互相鉴证身份，较好地解决了传输数据的加密和中间插入攻击。

如果移动代理能够通过使用用户的私有密钥签名，则站-站协议可以很好地解决鉴证和消息加密和摘要的工作。

但是处于安全性考虑，不应该让移动代理携带着它们用户的私有密钥在网络中迁移。

因为这种策略尽管可以使移动代理在任一结点证明自己的身份，但不幸的是，它实际上在所有经过的结点上暴露了它用户的私有密钥。

该问题在非对称鉴证协议中用下述方式解决：(1 当一个移动代理被用户在某个主动结点上启动后,本地文件系统使用移动代理的私有密钥对移动代理的名字空间(Namespace定义(文件进行加密(Sigm(Namespace，产生移动代理的活动签名(Agent Activity Signature,AAS。

该签名在该代理的整个生命周期中是保持不变的，它确切定义了该代理所要使用的各种资源。

(2 移动代理不携带用户的私有密钥在网络中迁移。

[JP3](3 移动代理在与主动结点的双向鉴证中，只传送其公开密钥。

由于本系统中的加/解密算法公开,即用私有密钥进行签字，用公开密钥进行验证，所以在移动代理与主动结点的双向鉴证中不必传送解密算法，而只需传送公开密钥。

(4 移动代理也有私有密钥和公开密钥。