| 引 言
IPSe[1]作為一種實(shí)現(xiàn)VPN的安全協(xié)議體系,目前已在VPN設(shè)備中廣泛使用。但是,隨著千兆位高速網(wǎng)絡(luò)的技術(shù)發(fā)展,對VPN設(shè)備在時效性等方面提出了更高的要求。因此,必須從體系結(jié)構(gòu)等方面,研究新的技術(shù)方法實(shí)現(xiàn)IPSec。在IPSec安全設(shè)備中,SoC技術(shù)將是一種較好的選擇。soC將系統(tǒng)的CPU、I/O接口、存儲器、算法、協(xié)議處理等模塊全部集成到單一半導(dǎo)體芯片上,實(shí)現(xiàn)IPSec協(xié)議的全部功能,成為構(gòu)筑IPSec安全設(shè)備的核心部件,極大地提高了高速V。PN網(wǎng)絡(luò)的安全性、可靠性、時效性以及較高的性能價格比。
1 IPSec協(xié)議
IPSec協(xié)議是因特網(wǎng)工程任務(wù)組(IETF)針對TCP/IP協(xié)議沒有安全機(jī)制的嚴(yán)重缺陷而專門制定的IP安全標(biāo)準(zhǔn),用以在IP層實(shí)現(xiàn)訪問控制、無連接完整性、數(shù)據(jù)源驗(yàn)證、抗重播、數(shù)據(jù)加密和有限的業(yè)務(wù)流機(jī)密性等多種安全服務(wù)。該標(biāo)準(zhǔn)由一系列協(xié)議組成,各協(xié)議之間的關(guān)系如圖1所示。
*基金項(xiàng)目：“十五”期間國家密碼發(fā)展基金密碼理論研究課題“密碼soc芯片的體系結(jié)構(gòu)和安全性研究”。
有關(guān)協(xié)議的解釋如下：
①AH[2] (Authentication Header)是一個安全協(xié)議頭,在傳輸模式下為IP層數(shù)據(jù)流提供數(shù)據(jù)完整性、數(shù)據(jù)源身份認(rèn)證、一些可選的和有限的抗重播服務(wù)。
②EsP[3] (Encapsulating Security Payload)是一個插入到IP數(shù)據(jù)報內(nèi)部的協(xié)議頭,為IP層流量數(shù)據(jù)提供機(jī)密性、數(shù)據(jù)源身份認(rèn)證、抗重播以及數(shù)據(jù)完整性等安全服務(wù)。
③認(rèn)證與加密算法是IPSec實(shí)現(xiàn)安全數(shù)據(jù)傳輸?shù)暮诵?其中,加密算法用于ESP,可以采用DES、IDEA等密碼算法;認(rèn)證算法用于AH,可以采用3DES、RC5等算法。
④IKE[4](Internet Key Exchange)是密鑰交換協(xié)議,用于在IPSec通信雙方建立共享安全參數(shù)及驗(yàn)證過的密鑰,以建立一種安全關(guān)聯(lián)關(guān)系。
⑤DoI(Domain of Interpretation)是一個單獨(dú)的文檔,用于存放IKE協(xié)商的參數(shù)。
⑥SA(Security ASSOCiation)是安全關(guān)聯(lián)協(xié)議,是主機(jī)、路由器兩個應(yīng)用IPS ec實(shí)體之間的一種單向邏輯連接。sA有安全策略庫(sPDB)和安全關(guān)聯(lián)庫(sADB),存儲了安全策略的具體細(xì)節(jié),包括保護(hù)的內(nèi)容、保護(hù)的方式、保護(hù)通信數(shù)據(jù)的主體等策略。
2 SoC技術(shù)
目前,SoC平臺主要用于CSoC、SoPC、EPGA等芯片開發(fā)。其中,CSoC稱為可配置系統(tǒng)級芯片,一般包括1個處理器內(nèi)核、可編程邏輯陣列和其它一些通用部件;SoPC是可編程的單芯片系統(tǒng),如Altera的Nios內(nèi)核模塊;EPGA是以FPGA為主體的SoC芯片。使用這些SoC開發(fā)平臺,可以充分利用系統(tǒng)級芯片集成度高和性能優(yōu)越的特點(diǎn),靈活設(shè)計(jì)開發(fā)各種專用Soc芯片。
(1)開發(fā)平臺的選擇
SoC平臺開發(fā)套件包括：各種工具與資源軟件、可以重構(gòu)的硬件電路結(jié)構(gòu)驗(yàn)證平臺和使用說明書等。其可用軟件資源包括：供選用的多種嵌入式處理器核,硬件模塊設(shè)計(jì)語言及其編譯器,仿真、綜合和布局、布線工具等;設(shè)計(jì)語言包括HDL、C/C++等。開發(fā)平臺的選擇取決于器件的來源：當(dāng)選用商品化器件時,可以選擇Altera的SOPC開發(fā)環(huán)境QUARTUSII;當(dāng)選擇自主研發(fā)Soc時,應(yīng)使用相關(guān)的專用開發(fā)平臺。
(2)lP庫的選擇
IP庫的選擇應(yīng)針對器件類型,選擇通用的IP核。對安全性要求較高的算法模塊,應(yīng)采取訪問控制、抗解剖分析等技術(shù)措施;對可變邏輯模塊,應(yīng)采用FPGA,以保證可編程的特點(diǎn)。
(3)芯片結(jié)構(gòu)的選擇
SoC的主體部分由CPU和ASIC組成。在設(shè)計(jì)過程中,芯片結(jié)構(gòu)的選擇應(yīng)從系統(tǒng)應(yīng)用規(guī)劃、協(xié)議處理速度要求、便于實(shí)現(xiàn)、Vetilog HDL編程實(shí)現(xiàn)結(jié)構(gòu)化,以及所用邏輯模塊的實(shí)際結(jié)構(gòu)等幾個角度入手。
Altera的SoC芯片[5]構(gòu)成如圖2所示。
(4)軟硬件系統(tǒng)設(shè)計(jì)
SoC的基本結(jié)構(gòu)是具有一個成多個微處理器,以及可編程硬件邏輯,因此,在SoC設(shè)計(jì)中必須進(jìn)行軟硬件的協(xié)同設(shè)計(jì)。軟硬件協(xié)同設(shè)計(jì)的技術(shù)性很強(qiáng),它既有SoC設(shè)計(jì)的靈活性,又有SoC設(shè)計(jì)中難以揣摩、充滿變數(shù)的復(fù)雜性,將涉及到硬件資源的規(guī)劃和整個系統(tǒng)性能的實(shí)現(xiàn)。
(5)系統(tǒng)集成設(shè)計(jì)
系統(tǒng)集成設(shè)計(jì)的關(guān)鍵技術(shù),主要是IP核的無縫連接系統(tǒng)設(shè)計(jì)和相關(guān)的可測試技術(shù),包括緊密耦合、傳輸特性、時鐘綜合和測試接口等。
(6)低功耗管理設(shè)計(jì)
低功耗設(shè)計(jì)是對有相關(guān)要求的器件進(jìn)行的一種設(shè)計(jì)技術(shù),設(shè)計(jì)中主要通過一些系統(tǒng)狀態(tài)、橋接控制等來實(shí)現(xiàn)。
3 基于SoC的IPSec實(shí)現(xiàn)技術(shù)
3.1 基本結(jié)構(gòu)
以SoC實(shí)現(xiàn)IPSec的多協(xié)議模塊包括：①IPSec協(xié)議輸入、輸出引擎,是通過協(xié)議解析,決定數(shù)據(jù)流程的處理;②安全關(guān)聯(lián)、密鑰交換、密碼算法等,其中,安全關(guān)聯(lián)模塊為其直接提供所需參數(shù),密鑰交換模塊用于IKE自動管理的SAD,算法模塊是實(shí)現(xiàn)IP數(shù)據(jù)加解密和認(rèn)證的基本模塊;③接口模塊,是IPSec與IPV4/IPv6協(xié)議的接口界面。SoC中的CPU核,實(shí)施系統(tǒng)管理、策略管理和密鑰管理等功能。
基于SoC的IPSec協(xié)議結(jié)構(gòu)如圖3所示。
IPSec的主體部分是多協(xié)議處理的硬件模塊。在SoC設(shè)計(jì)過程中,應(yīng)通過優(yōu)化設(shè)計(jì),以滿足IPSec的功能和性能要求;采用片上操作系統(tǒng),以滿足設(shè)計(jì)的靈活性、可繼承性和可復(fù)用性等IP特性;結(jié)合CPU的結(jié)構(gòu)、性能和指令系統(tǒng),進(jìn)行軟硬件系統(tǒng)設(shè)計(jì),以達(dá)到各個模塊之間的通信、傳輸和控制等一體化設(shè)計(jì)。
基于SoC的IPSec芯片結(jié)構(gòu)如圖4所示。
|
66821730(技術(shù)支持)
