基于SoC的IPSec协议实现技术

　　引 言 

　　IPSe[1]作为一种实现VPN的安全协议体系，目前已在VPN设备中广泛使用。但是，随着千兆位高速网络的技术发展，对VPN设备在时效性等方面提出了更高的要求。 因此，必须从体系结构等方面，研究新的技术方法实现IPSec。在IPSec安全设备中，SoC技术将是一种较好的选择。soC将系统的CPU、I/O接口、存储器、算法、协议处理等模块全部集成到单一半导体芯片上，实现IPSec协议的全部功能，成为构筑IPSec安全设备的核心部件，极大地提高了高速V。PN网络的安全性、可靠性、时效性以及较高的性能价格比。

　　1 IPSec协议 

　　IPSec协议是因特网工程任务组(IETF)针对TCP/IP协议没有安全机制的严重缺陷而专门制定的IP安全标准，用以在IP层实现访问控制、无连接完整性、数据源验证、抗重播、数据加密和有限的业务流机密性等多种安全服务。该标准由一系列协议组成，各协议之间的关系如图1所示。 

　　*基金项目：“十五”期间国家密码发展基金密码理论研究课题“密码soc芯片的体系结构和安全性研究”。 

　　有关协议的解释如下： 

　　①AH[2] (Authentication Header)是一个安全协议头，在传输模式下为IP层数据流提供数据完整性、数据源身份认证、一些可选的和有限的抗重播服务。 

　　②EsP[3] (Encapsulating Security Payload)是一个插入到IP数据报内部的协议头，为IP层流量数据提供机密性、数据源身份认证、抗重播以及数据完整性等安全服务。 

　　③认证与加密算法是IPSec实现安全数据传输的核心，其中，加密算法用于ESP，可以采用DES、IDEA等密码算法；认证算法用于AH，可以采用3DES、RC5等算法。 

　　④IKE[4](Internet Key Exchange)是密钥交换协议，用于在IPSec通信双方建立共享安全参数及验证过的密钥，以建立一种安全关联关系。 

　　⑤DoI(Domain of Interpretation)是一个单独的文档，用于存放IKE协商的参数。