下一代密钥交换协议分析
摘 要：介绍了第一代密钥交换协议，并分析了它的缺点。同时介绍了第二代交换协议IKEv2和JFK，并做了对比。
关键词：IPSec 密钥交换协议 JFK 安全关联 拒绝服务
TCP/IP互联网的先天缺陷主要源自IP协议的无连接、完全开放、无任何安全措施等特性上，所以必须对IP协议进行安全处理。在此背景下，1992年年底，IETF针对Internet的安全问题，成立了IP安全小组，着手对IP安全协议(IPSec)和Internet密钥管理协议(IKMP)进行标准化。1998年IETF对IPSec进行了复审，并将其纳入下一代IP即IPv6中。从此IPSec协议作为IP安全标准规范被确定下来。IPSec作为一种协议套件可以“无缝”地为IP引入安全特性，并提供数据源/目的身份鉴别、数据完整性检查以及机密性保护机制，保证协议和数据的安全。
由于IPSec提供的安全服务如源认证和完整性等都需要用到共享密钥，所以协议还强制了一种机制，即能够为这些服务手工地添加密钥。同时，还定义了一种添加密钥的标准方式，用来动态地鉴别IPSec通信参与方的身份和协商所需的安全服务以及生成共享密钥。这种密钥管理协议称为IKE(Internet密钥交换协议)。
1 第一代密钥交换协议
现有的IPsec中采用的第一代密钥交换协议IKE，即RFC2409-IKEv1。ESP、AH协议根据SA规定的参数为IP数据报提供安全服务。IKE就是IPsec规定的用来自动管理SA的协议，包括建立、协商、修改和删除SA等。
1.1 IKE的交换模式
IKE使用了两个阶段的ISAKMP。第一阶段建立IKE安全关联，第二阶段利用这个安全关联，为IPSec协商具体的安全关联。有两种阶段1交换、一种阶段2交换以及一个新组交换(用于对安全关联的正确维护)。对阶段1交换来说，IKE采用的是身份保护交换，以及根据基本ISAKMP文档制定的野蛮交换。对此，分别叫做“主模式”和“野蛮模式”。对阶段2来说，IKE则定义了一种快速交换模式，其作用是为除IKE之外的其他协议协商安全服务(特别是IPSec)。
为了最终建立IKE SA，主模式有三个往返(共使用六条消息)，分别是模式协商、一次Diffie-Hellman交换和nonce交换以及对对方身份的鉴别。主模式的特点包括身份保护和对ISAKMP协商能力的完全利用。由于在Diffie-Hellman交换之后，双方建立了一个共享的密钥，只是没有通过验证，因此必须对共享的密钥进行认证。IKE规定了四种认证方式：基于数字签名的认证、基于公开密钥的认证、基于修正过的公开密钥的认证以及预共享认证。所以就有四种类型的主模式交换。
野蛮模式只需用到主模式一半的步骤。由于对消息的数量进行了限制，野蛮模式同时也限制了它的协商能力，而且不提供身份保护功能。
当通过阶段1建立好IKE SA之后，可以用快速模式为其他安全协议(如IPSec)生成相应的SA，并将其填入SADB。对一次快速模式交换来说，它是在以前建立好的IKE SA的保护下完成的，这些保护包括对快速模式交换的加密和对交换的鉴别。
1.2 IKEv1的缺点
IKEv1的主要缺点是：
(1)算法复杂。(2)往返消息数目太多(多达9条消息)，不安全。(3)易受DoS攻击。这是因为响应者具有有限的内存和计算能力。攻击者可以通过随机IP地址发送虚假连接请求，用尽响应者进程中用于连接的内存，以及用于加密的计算能力。这样响应者就无法为合法的用户提供服务。
2 下一代IKE协议
IKE协议用于交换和管理密钥，但是IETF安全专家担心IKEv1过于复杂，以至于难以证明它是安全的。因此推荐新的协议来代替IKEv1，并将其称为下一代IKE(Son of IKE)。现在专家正在研究的有IKEv2和JFK(Just Fast Keying)。
2.1 IKEv2
IKEv2是在IKEv1的基础之上进行改进的结果。它保留了版本1中的大部分特性，如身份隐藏、PFS、两个阶段协商，同时重新设计了强壮性、高效性、安全性。
2.1.1 IKEv2的特点
IKEv2的特点包括：(1)简单性。基于IKEv1的协议复杂度及安全性而提出。取消了阶段1中的野蛮模式。(2)减少了潜伏期。阶段1交换只需要2个往返的消息对，如图1所示。建立IPsec SA不是通过阶段2来协商，而是搭载阶段1的消息而建立。(3)允许无状态cookie。这样可以预防DoS的攻击，响应者在没有接收到合法的cookie之前，将不保留cookie的任何状态，
