輕量級(jí)IPsec在嵌入式系統(tǒng)中的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、隨著網(wǎng)絡(luò)技術(shù)在嵌入式系統(tǒng)中的成功應(yīng)用，越來(lái)越多的嵌入式設(shè)備連接到Internet。因?yàn)榍度胧较到y(tǒng)資源受限的特點(diǎn)，當(dāng)前廣泛應(yīng)用的輕量級(jí)TCP/IP協(xié)議棧并沒有考慮到網(wǎng)絡(luò)安全因素，特別是在較低端的嵌入式設(shè)備中更是如此，這使得相應(yīng)的嵌入式系統(tǒng)完全暴露在安全威脅之中。因此，在連接到Internet的嵌入式系統(tǒng)上實(shí)現(xiàn)IPsec安全協(xié)議勢(shì)在必行。
　　考慮到低端嵌入式系統(tǒng)主要應(yīng)用于控制領(lǐng)域，一般不涉及大量信息的傳遞，且部分嵌入式平臺(tái)對(duì)網(wǎng)絡(luò)數(shù)據(jù)

2、傳遞的速率要求并不十分明顯，這些特點(diǎn)使得在嵌入式系統(tǒng)上應(yīng)用IPsec實(shí)現(xiàn)網(wǎng)絡(luò)安全保護(hù)成為可能。
　　本論文重點(diǎn)討論如何在較低端的嵌入式平臺(tái)上實(shí)現(xiàn)輕量級(jí)的IPsec協(xié)議棧，將其嵌入到現(xiàn)有的嵌入式網(wǎng)絡(luò)設(shè)備上，或者添加到新的嵌入式設(shè)備中，使之無(wú)縫銜接。本論文以lwIP協(xié)議棧為支撐，對(duì)標(biāo)準(zhǔn)的IPsec進(jìn)行裁剪，在設(shè)計(jì)SPD和SAD數(shù)據(jù)庫(kù)查找時(shí)采用靜態(tài)添加方案，在內(nèi)存管理上采用零拷貝技術(shù)和動(dòng)態(tài)調(diào)整數(shù)據(jù)包大小的方案，在算法設(shè)計(jì)上采用就地處理的

3、方案來(lái)提高代碼的執(zhí)行效率和內(nèi)存空間的利用率。為了能夠應(yīng)用于現(xiàn)有設(shè)備，采用IPsec虛擬設(shè)備的方式將整個(gè)代碼嵌入式到現(xiàn)有軟件系統(tǒng)中。
　　整個(gè)系統(tǒng)實(shí)現(xiàn)了IPsec的隧道模式下的ESP和AH數(shù)據(jù)包封裝方法、并提供了SHA1和MD5認(rèn)證算法和DES和3DES加密算法實(shí)現(xiàn)代碼，整個(gè)IPsec代碼大小在120KB以內(nèi)。最后在以硬件平臺(tái)為S3C2440（ARM9內(nèi)核）為CPU和PIC16F877（16位單片機(jī)）為CPU，操作系統(tǒng)為ucOSII

4、V2.80的嵌入式平臺(tái)上進(jìn)行整體測(cè)試。在10M以太網(wǎng)接口、CPU主頻設(shè)置為20M時(shí)使用 AH封裝的數(shù)據(jù)包（最大為1280byte）往返回時(shí)間在120ms以內(nèi)，使用ESP封裝的數(shù)據(jù)包（最大為1280byte）往返時(shí)間為1000ms以內(nèi)，因此，基本滿足特定的嵌入式設(shè)備對(duì)網(wǎng)絡(luò)傳輸效率和數(shù)據(jù)處理能力的需求。
　　基于以上討論，本論文所設(shè)計(jì)的IPsec協(xié)議棧能夠嵌入到現(xiàn)有的部分嵌入式系統(tǒng)中，并能夠應(yīng)用于新型嵌入式設(shè)備中，為其提供網(wǎng)絡(luò)安全服務(wù)