導航：安全管理網>> 安全論文>> 綜合安全論文>>正文

基于匹配策略的安全協議重構分析

文檔作者：朱雨雯，張紅旗，包義保，杜學繪文檔來源：解放軍信息工程大學		點擊數：	更新時間： 2022年04月11日
下載地址：點擊這里	文件大小： 252.61 KB 共3頁	文檔格式： PDF	下載點數： 1 點（VIP免費）

全屏查看

內容預覽 [文件共3頁]

本文件共3頁，如需編輯使用，請下載。

注：預覽效果可能會出現部分文字亂碼（如口口口）、內容顯示不全等問題，下載是正常的。

	文件大小：252.61 KB 共3頁文件格式：PDF 下載點數：1 點（VIP會員免費）

下一篇：互斥協議的安全性分析

上一篇：網絡安全協議分析方法研究

文本預覽

僅提取頁面文字內容，供快速閱讀使用。

第32卷第4期計算機應用研究V01．32 No．4
2015年4月Application Research of Computers Apr．2015
基于匹配策略的安全協議重構分析
朱雨雯，張紅旗，包義保，杜學繪
(解放軍信息工程大學河南省信息安全重點實驗室，鄭州450004)
摘要：可重構安全協議對提高安全系統的靈活性和適應能力具有重要意義，它可根據具體上下文環境進行配
置、移植，極大增強了系統的安全性，目前基于軟件構件的協議重構方法無法滿足安全協議對安全性和計算性的
特殊要求。針對安全協議的安全性和高密度計算特性，提出了一種針對現有資源選擇重構元的解決方法，給出
協議可重構元匹配和基于QoS的重構元質量滿意度的協議重構選擇算法，使系統可以盡快按照重構協議需求選
擇滿意的可重構元。通過實例說明該方法的執行過程，應用結果表明該方法能夠有效提高重構效率和重構準
確度。
關鍵詞：可重構安全協議；協議可重構元；匹配策略
中圖分類號：TP393．08 文獻標志碼：A 文章編號：1001-3695(2015)04·1154—03
doi：10．3969／j．issn．1001·3695．2015．04．046
Establishment of reconfigurable security
protocols based on matching policies
ZHU Yu-wen，ZHANG Hong—qi，BAO Yi-bao，DU Xue—hui
(Henan Provincial Key Laboratory ofInformation Security，PLA Information Engineering Umvers毋，Zhengzhou 450004，Ch／na)
Abstract：Capable of being configured and ported according to spec訪c contexts，the reconfigurable security protocols Call
greatly enhance system security，and therefore are of great si耐cance to the flexibility and adaptability of security system．
However．up till now，all reconfigurable protocols have been based on software components，thus fail to meet the special requirements
of securi竹protocols on security and computability．In consideration of the characteristics of secufity and hish-density，
this paper put forward a new solution to find quickly the reconfigurable protocol units according tO the existing resources，
which could offer the QoS．．based algorithm of the suitable reconfigurable protocols and allowed the system to choose the desira．．
ble reconfigurable components in accordance to its needs．Throngh tlIe illustration of the executive process of this new method．
the result shows tllat this algorithm Can effectively improve the reconfiguration efficiency and accuracy．
Key words：reconfigurable security protocols；protocol reconfigurable unit；matching policy
安全協議是安全系統的重要組成部分，是實現網絡與系統
安全的關鍵要素。安全協議種類繁多，數量巨大，傳統的安全
協議又面臨如復雜度高、難配置、易出錯等無法克服的問題。
將可重構思想引入安全協議設計，可有效提高安全協議靈活
性、適應性和安全服務能力，有效提高計算效率，抵御不同類型
的攻擊，對提高安全系統的可配置性和安全性具有重要意義。
雖然安全協議可重構在可重構系統研究中占有重要地位，
但是可重構計算在安全協議設計與實現研究領域文獻較少，與
其相關的研究主要有網絡協議和協議棧重構等。文獻[1]提
出了一種應用于移動網絡環境下的通用協議重構體系架構，給
出了相應的軟件層面的協議重構和綜合機制；文獻[2]提出了
一個基于組件的協議重構框架，支持兩個不同通信協議棧中對
等協議組件的同步重構；3c獻[3]提出一種高級建模語言SDL
形式化地描述協議棧規范，并在此基礎上實現協議重構、性能
評估與優化，最終生成協議重構配置文件。
國內在安全協議重構方面的研究也相對較少，主要集中于
基于軟件構件的協議重構方法研究H。“。雖然為可重構安全協
議研究提供了參考，但無法滿足安全協議對安全性能和計算性
能的特殊要求，因而無法直接適用于安全協議可重構研究領域。
因此，針對安全協議在安全性和高密度計算方面的特性，研究相
應的可重構理論和技術，為安全協議重構技術提供支撐。
1 協議可重構元與可重構元匹配
自20世紀60年代美國加利福尼亞大學計算機專家Estrin
等人哺。提出可重構計算的初步設想以來，可重構技術得到了學
術界和工業界的廣泛關注，目前在信息安全領域，主要表現在面
對新的應用環境、安全威脅與安全需求能夠靈活適應環境需求
并提供柔性的安全服務。協議可重構元(protocol reconfigurable
uIlit)是在可重構計算的基礎上提出的，它由不同的提供者發
布和創建，用戶可以通過一定的機制來調用執行。由于網絡環
境的時時動態性，原本協議中的某個功能模塊可能不再適合目
前使用或是為了提高系統的健壯性和靈活性，需要用其他可重
構元替換，使系統繼續安全運行，因此引出基于功能匹配和
收稿日期：2014—04—09；修回日期：2014·06·01 基金項目：國家“973”計劃資助項目(2011CB311801)；國家“863”計劃資助項目
(2012AA012704)；河南省科技創新人才計劃資助項目(114200510001)
作者簡介：朱雨雯(1991一)，女，河南鄭州人，碩士研究生，主要研究方向為可重構安全協議、網絡和信息安全等(zhuyuwen0609@163．com)；
張紅旗(1962·)，男，河北唐山人，教授，博導，博士，主要研究方向為信息安全；包義保(1976·)，男，$1>博士，主要研究方向為可重構安全計算、
信息安全；杜學繪(1968·)，女，教授，博導，主要研究方向為多級安全、網絡和信息安全．
萬方數據
第4期朱雨雯，等：基于匹配策略的安全協議重構分析·1155·
QoS評估的協議可重構策略生成方法研究。本文所采用的匹
配是基于應用的輸入、輸出參數的名稱和數據類型，以及可重
構元的類型和角色，這些都是描述一個可重構元最基本的信
息。為了提高相應功能查找的效率，在每個可重構元發布時就
將這些信息保存在系統中。
定義1協議可重構元(protocol reconfigurable unit)，用五
元組PR=(ID，Type，Role，Detal，Status)來表示，下面簡稱可
重構元(圖1)。其中：ID用于區別不同可重構元；Type∈D指
每個可重構元的類型，其中D是可重構元類型的集合；Role E
R指每個可重構元的角色，其中R是可重構元角色的集合；
Detal是每個可重構元中m個輸入參數、It個輸出參數所包含具
體參數的數據類型和數值；Status是當前可重構元的狀態。
Ready表明已接收到任務，等待處理；Processed表明已經觸發
相應的應用需求，即已經處理完畢。
定義2匹配關系。如果可重構元A滿足可重構元B的
所有功能要求，則稱A匹配于B，記為A ocB，其中0C稱為匹配
關系，其滿足非對稱性、自反性、傳遞性。
本文認為兩個可重構元之間的匹配應當滿足三個層次上
的要求：可重構元類型等同、角色的匹配和參數的匹配。分別
用r、R、P表示每個可重構元類型、角色、參數的集合。
第一個層次是可重構元類型匹配。
定義3如果可重構元A與可重構元曰的類型相同，則稱
A匹配于B，記為A*曰，其滿足非對稱性、自反性、傳遞性。
第二個層次是角色的匹配。
定義4角色。可重構元的某一類功能行為稱為一個角
色，它可以表示每個可重構元的功能和安全屬性。
角色是一個層次結構，子角色具有父角色的所有功能并對
其進行相應的擴充，因此角色是向上兼容的。對于角色^∈
R，r2∈R，如果r2是r。的本身或子角色，則稱r2匹配于r。，記為
r2“7l o
第三個層次是參數的匹配。參數的匹配包括可重構元參
數數目匹配、參數名稱的匹配和參數數據類型的匹配三個方
面，分別用Ⅳ、M表示每個可重構元名稱集合和數據類型集合。
對于ItI∈N，，12∈N，如果n2 in synonymy(rtl)，其中synonymy
(It，)表示It，的同義詞集合，則稱心匹配于Itl，記為心0Cit。。
同角色的可重構元數據類型相似，層次也是向上兼容的，
對于m．∈M，m：∈M，如果m：是m。的本身或子類型，則稱％
匹配于ml，記為m2 oc
ritl。
對于P1∈P，P2∈P，如果np2 ocnpl Amp2 ocrapl，則稱P2匹配
于p。，記為p2 ocp。，其中npi、mpi表示參數P。的名稱、數據類型。
用ls標志可重構元的集合，對于參數集sp。CP，sp：CP，
如果Vpi了pi(乃ocp。Api Espl Api∈印2)，則稱Sp2匹配于印1，
記為sp2。cspl。
對于sl ES，52∈S，如果tl 0Ct2 A1“r2 Aspijl 0CSp‘』2 A
Sp。j2 oCsp。jl則稱s2匹配于s1，表示為s2 oCsl，其中島、‘2、^、
r2、印；_sl、卻；一s2、Sp。一sl、卻。-s：分別表示可重構元sl、s2的類
型、層次、輸入和輸出參數的集合。
對于一個可重構元s；E s，按照上述方法可能存在許多與
它匹配的其他可重構元，因此需要進行相應的評估來決定哪個
重構元是最適合此次系統運行的。
2 基于QoS的可重構元評價與選擇
2．1 可重構元評價參數選擇
第1章對于可重構元參數匹配的研究，只對參數名稱、參
數數據類型和參數數目進行了相應的匹配，而對參數的數量值
沒有考慮。根據可重構元在安全協議中一般的應用需求，下面
定義幾個基本的可重構元評價參數及其量化要求：
a)可重構元響應時間Q，。它是指從系統發出調用該可重
構元與開始應用的時間。
b)可重構元的資源需求Q。。它反映了被選中匹配的可重
構元對系統各類型資源的需求，Q。本身也構成集合，Q。=
{R。，R。，?}每個元素代表相應的資源類型。
協議中的可重構元參數數量眾多，系統評價對各參數的權
值也不同，以上只是本文中提出的一些通用的可重構元性能衡
量標準，針對不同的安全協議功能，可重構元參數也可以發生
不同的約束變化，在此不一一列舉。但是由以上對可重構元參
數舉例分析可見，在對可重構元匹配的過程中，可重構元參數
本身度量單位不一致，其取值和權重可能是模糊表示，使得匹
配過后擇優選取較為復雜，這大大影響了系統對可重構元的快
速提取，難以達到全局化的匹配，所以要對可重構元參數進行
歸一計算、比較。為便于形式化描述問題，本文假定相關參數
值都是經過模糊處理后所得到的相對量化值。
2．2基于OoS的可重構元評價模型
定義5重構元評價參數(船)。描述一個可重構元在系
統中應用的參數稱為重構元評價參數，可用一個三元組S=
{ID，OS，OV)來表示，ID表示可重構元標志號，SⅣ表示參數名
稱集，sQ表示重構質量參數值集合。SN={rt。，It：，n，，?，n。}，
SQ={q。，q：，q，，?，‰}，其中i=1，2，?，m，m為參數個數。可
重構元評價參數可表示為
船=㈠引㈩
定義6協議評價參數(耶)。描述協議在系統中對可重
構元各項參數指標的期望值和偏好程度信息稱為系統評價參
數，可表示為
f職nl∞l e1 1
ES=l ； i ；I
【，lm ∞m em J
(2)
其中：ei表示協議對可重構元相應參數R的希望值，吡表示第
i個參數在所屬可重構元中相對權重，PR表示協議P和可重
構元R。
定義7可重構元接受域(sD)。描述當前協議對可重構
元各項參數指標可接受范圍的模型稱為可重構元接受域，其表
示形式如式(3)所示。區間[fJ，ri]表示協議對可重構元參數^
取值的接受范圍。用戶元和可重構元一環境域組成用戶策略。
f PR nl [11 r1]1
SD=l ：；!I (3)
【n。[2。k]J
對于確定協議，每個候選可重構元s相應的參數J的肯定
萬方數據
·1156· 計算機應用研究第32卷
性滿意度可表示為
Ri(訕-1+翳(4)
同理，對于確定協議，每個候選可重構元．s相應的參數J
的否定性滿意度可表示為
剮址=1+翳(5)
在本文中采用相對參數：
Ri(t|，)：1‘1翳I (6)
其中：i=1，2，?，n；j=1，2，?，m；n為候選可重構元個數，m為
可重構元評價參數個數。
協議對不同的參數指標有不同的需求，可重構元i的所有
11．個不同評價參數對于協議的綜合滿意度足可以表示為
Ri=Σ=(ojRq i=1，2，?，n (7)
計算完R之后，對其進行比較，選擇綜合滿意度R最大的
值確定為最佳候選可重構元。
3 實例分析
本章對于SSL協議在不同的安全需求和應用場景中采用
不同的加密算法對數據包進行加密為例進行匹配分析。
由表1中類型信息，DES、3DES、AES-128、AES一192、AES·
256為文件加／解密算法，RSA、hash為簽名算法，由角色信息
DES(10．01)、3DES(10．01．01)可以看出它們有繼承關系。
表1可重構元注冊信息表
堡查耋型魚魚魚整塑△壟鍪笪坐壘鏊
0l E 10．01 DES input，key，blocldength output
02 E 10．01．0l 3DES input，key，bloddeagth output
03 E 10．02．Ol AES一128 input，key，blocklength output
04 E 10．02．02 AES一192 input，key，bloddength output
05 E 10．02．03 AES-256 input，key，blocklength output
06 A 20．Ol RSA input．key output
!! 皇!!：!!墊生!!型：!翌竺塵竺
在匹配過程中首先對協議需求信息進行解析，按照類型、
角色、參數分別進行匹配，得到三個輸人參數為(input，key，
blocklength)，輸出參數為(output)的重構元s。、s2、S，，它們的
角色分別為10．02．叭，10．02．02，10．02．03。
本文選擇文獻[9]中提出的可重構硬件電路分別實現
AES-128、AES．192、AES-256，對SSL數據包進行加密。由于參
數種類繁多，符號各不相同，在此將具體參數(吞吐率、資源需
求、安全性)的最大值作為基數進行歸一化處理后結果如表2
所示。
表2文獻[9]表3中AES參數歸一化處理表
表3是在本應用實例中根據環境需求，自定義的對重構后
協議各規約參數的希望接受值。
表3可重構元參數接受域
根據表2、3中參數信息，采用上文中提出的基于QoS的可
重構元選擇算法，運用式(6)對其結果進行歸一化處理，得到
可重構元i的參數J相對于其他可重構元的滿意度，結果如表
4中前三列數據所示。采用式(7)對相對吞吐率、資源需求、安
全性三個約束量加權處理后，最終得到AES一128、AES一192、
AES-256基于本實例的綜合評價參數。
表4候選可重構元的相對評價參數和綜合評價參數
從表4中可以看出，AES．192的綜合評價參數最高為
0．8333，說明本次對于SSL協議數據包加密算法匹配重構過程
中，基于所選實例中的參數數據，運用上文提出的QoS的可重
構元選擇算法，AES．192最符合當前協議環境需求。由于目前
在可重構協議研究方面，對于可重構元的匹配選擇算法較少，
大多使用人工選擇的方法，從表3中可以看出吞吐率、資源需
求、安全性三個參數權重分別為0．2500、0．2500和0．5000，而
AES．192在這三種密鑰長度不同的AES算法中吞吐率、資源需
求和安全性剛好適中，根據約束條件應該人工選擇AES一192，
從而證明了本算法的正確性和實用性。
4結束語
本文在可重構安全計算背景下，提出了一種針對現有資源
選擇協議重構元的解決方法，給出協議可重構元匹配和基于
QoS的重構元質量滿意度的協議重構算法。通過實例說明該
方法的執行過程，應用結果表明該方法有效提高了重構效率和
重構準確度。下一步的工作是在可重構元匹配過程中引入智
能優化的方法，簡化重構過程。
參考文獻：
[1]ALONISTIOTI N，PATOUNI E，GAZIS V．Genetic architecture and
mechanisms for protocol t∞onflguration[J]．Mobile Networks and
Applications，2006，1 1(6)：917-934．
[2] NIAMANESH M，SABETGHADAM S，YOUSEFZADEHRAHAGHI
R，et a1．Design and implementation ofa dynamic reconflgurable archi—
tecture for protocol stack[C]／／Prec of International Symposium on
Fundamentals of Software Engineering．2007：396—403．
[3]CHEN Hui，ZHOU Chun-jie，HUANG Xiong—feng，et以．Management
of the reconfiguraMe protocol stack based on SDL for networked con·
trol systems[J]．Information Technology Journal，2010，9(5)：
849．863．
[4]蔡衍文，陳天洲，吳朝暉．面向通信設備的網絡協議構件化[J]．計
算機應用研究，2004，21(12)：253-256．
[5]張建輝，于婧，汪斌強，等．可重構路由協議構件研究[J]．信息工
程大學學報，2009，10(1)：109—114．
【6]宋麗華，張曉彤，王沁，等．嵌入式協議棧可重構性分析與設計實
現[J]．計算機科學，2007，34(9)：69-76．
[7]CHENG Shang-wen，GARIAN D，SCHMERL B，et a1．Using architec—
tural style∞a basis for system self-repair[C]／／Proc of Working
IEEE／IFIP Conference on Software Architecture．2002：45—59．
[8]ESTRIN G，BUSSELL B，TURN R，et a1．Parallel processing in a re—
strueturable computer system[J]．IEEE Trans on Electronic Computers，
1963，12(5)：747-755．
[9]謝惠敏，郭東輝．可重構的串行高級加密標準加解密電路設計
[J]．計算機應用，2013，8,3(2)：450—454．

網友評論 more

綜合安全論文最新內容

04-10