网络5.0产业技术创新联盟：网络5.0参考架构v1.0（23页）.pdf

1、端到端通信业务安全端到端网络通信在 IP 地址真实性、隐私保护与可审计性的平衡、密钥安全交换、拒绝服务攻击等方面存在较大的安全威胁。面对以上安全威胁，未来网络可根据安全目标及需求划分不同的安全域，将不可信、攻击流量阻断在安全域外，将域内安全问题控制在安全域内、限制安全问题的扩散。如图所示，在划分安全域的基础上，通过在不同安全域中的网络元素及协议中内嵌关键安全技术，提供可信身份管理、真实身份验证、审计追踪溯源、访问控制、密钥管理等安全模块，实现端到端通信的身份/IP 真实可靠性、个人隐私信息最小化、不合法行为可追踪溯源、DDOS 攻击可追级防御、密钥安全可信等特性。在未来网络中，通过内生以下关键

2、安全技术，实现网络端到端通信业务的内生安全目标：快速高效的身份验证技术：攻击者可以在其数据包的头部信息中使用伪造的源 IP 地址，实施流量攻击(隐藏真实源头)或者反射式攻击(放大攻击流量)等。在未来的网络架构中，在安全域内提供可信身份管理功能，为域内实体分发兼顾隐私和真实性的 ID/IP 及凭证，基于轻量级或高效的密码技术，在 IP 报文中内生 IP 源地址的真实性凭据信息，实现逐包级的真实 ID/IP 的快速验证：在源 AS 域内实施 IP 源地址真实性验证，对其出口流量提供IP 地址真实性保障，在目的 AS 域提供快速的域身份验证。另外，在目的端提供端身份鉴别，从而保证发送端标识符及地址的

3、真实性。 隐私性与可审计性兼顾技术：当前 IP 网络的数据包头部的 IP 地址、端口号等关于通信节点隐私的信息通常暴露在开放网络中，暴露了通信端的隐私。而移动主机频繁更换的地址又降低了网络的可审计性。学术界传统观点认为隐私性和可审计性彼此对立，难以兼顾。未来网络可根据安全特性需求，基于加密和匿名等技术，设计内生隐私特性的 ID/IP 地址生成、分发、撤销等全生命周期安全方案，将网络划分不同隐私披露程度的隐私域，对 ID/IP等隐私信息实施分级的隐私保护，在域间实现域 ID 的追踪，在源域实现真实身份和位置的识别、追踪和定位。 多级 DDoS 防御架构：DDoS 攻击是当前网络中最顽固的安全危害

4、之一。这些 DDoS 攻击有些针对某些协议的脆弱性，有些则采用暴力流量攻击，难以识别、过滤和追溯。当前网络面对DDoS 攻击基本没有任何系统的防御能力，只能依靠服务端不断扩大能力池，与攻击方展开“军备竞赛”。未来网络可通过设计流量智能化分类和甄别、虚假流量过滤和重定向等内生的多级DDoS 防御能力，能够在攻击发生时，在贴近攻击源处过滤流量、在被攻击网络边界对攻击流量进行分类分流和限速，在被攻击者处通过流量重定向和关键流量重规划路径等方式，确保关键流量可达。并能结合审计追踪技术，在事中溯源由源头切断流量、边界限制流量，在事后溯源追责。 去中心化的安全密钥交换技术：为了保护端到端的通信数据，通信两端需要进行密钥协商，并使用IPSec 或TLS 等安全通信协议对通信数据的机密性、完整性等进行保护。当前的密钥交换方法都存在一定的问题：预先静态配置存在配置开销大、易出错、不可扩展等问题，利用 PKI 系统存在着中心化的问题，Diffie-Hellman 算法存在中间人攻击问题。密钥安全是多种安全技术的基础。未来网络中，对于安全域内密钥，需要提供安全的密钥管理技术来保障密钥的全生命周期安全。对于域间实体的密钥安全交换，可基于去中心化的不可篡改、可验证数据记录库来保障交换密钥的真实性，利用基于身份的加密和签名等密码技术，保证协商密钥的两端以真实的身份密钥协商会话密钥。