關鍵詞：移動IP；AAA協議；PKIIKE；IPSec；AES
1.前言
隨著移動通信和互聯網的高速發展，兩者顯現出相互融合的趨勢，通過無線移動的方式訪問互聯網已經成為可能，並且無線移動運營商已推出相應的產品。但是當前應用模型存在的安全漏洞，成為阻礙移動IP進入信息化應用領域的最大障礙，也是用戶不願采用移動IP的主要理由。對移動IP安全性的需求日益緊迫。
2.移動IP技術及其安全問題分析
2.1移動IP技術
移動IP技術是IP技術和移動通信技術的完美結合，它將實現人類在任何時間、任何地點、利用任何一種媒體與任何一個人進行通信的夢想。但移動IP不是移動通信技術和互聯網技術的簡單疊加，也不是無線話音和無線數據的簡單疊加，而是移動通信和基於IP的互聯網技術的深層融合，是現有移動通信方式的一場深刻變革。ITU、IETF等國際標準化組織已經或正在製定相應的通信協議。移動IP技術使用了代理發現機製、位置注冊機製、隧道技術等技術，因篇幅限製不做詳細論述，僅介紹移動IP基本工作原理如下。
（1）移動代理（即外地代理和家鄉代理）通過“代理通告”報文廣播其存在。移動主機通過“代理請求”報文，可有選擇地向本地移動代理請求“代理通告”報文。
（2）移動主機收悉這些“代理通告”後，決定其是在家鄉鏈路上，還是在某一外地鏈路上。
（3）當移動主機檢測到它位於家鄉鏈路上時，那麼它不需要移動性服務就可工作。假如移動主機從登記的其他外地鏈路返回家鄉鏈路時，通過交換“登記請求”和“登記答複”報文，移動主機需要向其家鄉代理注銷其外地鏈路的登記信息。
（4）當移動主機檢測到其已漫遊到某一外地鏈路時，它獲得該外地鏈路上的一個轉交地址。這個轉交地址可能通過外地代理的通告獲得，也可能通過外部分配機製獲得，如DHCP（一個駐留本地的轉交地址）。
（5）然後，離開家鄉鏈路的移動主機通過交換“登記請求”和“登記答複”報文向家鄉代理登記其獲得的轉交地址，也可能借助於外地代理向家鄉代理進行登記。
（6）發往移動主機家鄉地址的數據包被其家鄉代理截收，家鄉代理利用隧道技術封裝該數據包，並將封裝後的數據包發送到移動主機的轉交地址，由隧道終點（外地代理或移動主機本身）接收，解除封裝，並最終傳送到移動主機。
（7）在相反方向，使用標準的IP選路機製，移動主機發出的數據包被傳送到其目的地，無需通過家鄉代理的轉發。
2.2移動IP的安全問題分析
通過對上述移動IF工作原理的分析，可以發現若網絡中存在惡意的攻擊者，能夠在家鄉鏈路、移動主機所在的外地鏈路、通信節點所在鏈路或移動主機與通信節點間的任何地點發動攻擊。具體的攻擊形式可分為：
（1）拒絕服務攻擊（DoS）：攻擊者冒充移動主機，告訴家鄉鏈路上的家鄉代理已回到本地，綁定的轉交地址被取消，家鄉代理終止向漫遊到外地的移動主機提供服務，產生拒絕服務攻擊；
（2）中途攻擊：攻擊者與移動主機同在家鄉鏈路，它先阻塞再冒充通信節點，告訴移動主機它是移動的並恰好與移動主機同在一個鏈路上通信節點，然後向真正的通信節點發綁定更新消息，注冊自己的地址為轉交地址，這樣攻擊者將自己置於移動主機和通信節點之間，產生中途攻擊；
（3）路由優化取消：攻擊者向通信節點發送，ICMP移動主機不可到達報文，通信節點刪除綁定更新，取消與移動主機的直接路由，報文改為經家鄉代理發往移動主機，路由優化取消。
以上出現的種種安全威脅，歸根結底是通信節點、移動主機、代理服務器間缺乏充分信任，在它們之間建立較強安全關聯是解決上述種種安全威脅的關鍵。
3.移動IP安全體係模型
3.1與移動IP安全體係模型相關的技術
3.1.1公開鑰體係結構（PKl）
公開鑰體製主要是針對於開放型大型互聯網絡的應用環境而設計的。由一個通信雙方都信任的第三方來證明通信雙方公開鑰的可靠性，發放經過其數字簽名的證書。移動IP安全體係模型中用到的基於X.509證書的PKI，即後麵介紹的AAA服務器間的信任關係建立在PKI基礎上。
3.1.2互聯網密鑰交換（IKE）
IKE采用Diffie-Hellman交換來建立共享密鑰，用數字簽名等技術來對共享密鑰進行認證。Diffie-Hellman交換技術可以在一個不安全的通信信道上、在交換雙方之間，建立起一個安全的共享密鑰K，用這個共享密鑰保護通信。這個共享密鑰是後麵建立IPSec安全關聯的基礎。
3.1.3IP安全性IPSec
IP層的安全包含了三個功能域：鑒別、機密性和密鑰管理。鑒別機製保證收到的分組確實是由分組首部的源站地址字段聲明的實體傳輸過來的，通過認證頭（AH）協議實現，另外，這個機製還能保證分組在傳輸過程中沒有被篡改。機密性機製使得通信結點可以對報文加密以防第三方竊聽，通過封裝安全載荷（ESP）實現。密鑰管理機製是處理密鑰的安全交換的。需要著重強調，安全關聯是在發送者和為進出通信量提供安全服務的接收者之間的一種單向的關係。如果需要一個對等的關係用於雙向的安全交換，就要有兩個安全關聯。安全關聯的建立正是通過IKE機製實現。