Hình 1.13 là mô hình chức năng của hệ thống bảo vệ gói IP bằng kỹ thuật mật mã. Các thành phần của mô hình bao gồm:
- Module thiết lập liên kết an toàn: Có chức năng thoả thuận các liên kết an toàn SA giữa hai hệ thống bao gồm các thông tin nh− dịch vụ an toàn cần cài đặt, thuật toán mã hoá, thuật toán xác thực, các khoá mã và khoá xác thực... Việc quản lý khoá bao gồm các công việc nh− tính toán, l−u trữ, phân phối, thay đổi, huỷ khoá ... .Liên kết an toàn có thể đ−ợc tạo bằng ph−ơng pháp thủ công, hoặc ph−ơng pháp tự động. Module này có hai giao diện chính là Giao diện quản lý khoá và Giao diện quản lý chính sách an toàn. Giao diện quản lý khoá th−ờng là các file chứa các thông tin về khoá. Để tiến hành các thao tác mật mã đ−ợc nhanh chóng, một bản sao của các khoá mật mã sẽ đ−ợc l−u trong một vùng nhớ đệm của nhân hệ điều hành.
- Các module mật mã: Bao gồm các module mã hoá nh− IDEA, Blowfish và các hàm xác thực nh− SHA, MD5 ... đ−ợc dùng để bảo vệ các thành phần của gói IP. - Module cài đặt dịch vụ an toàn: Có chức năng chặn bắt, mã hoá, biến đổi xác thực và đóng gói lại gói IP dựa theo đặc tr−ng của các dịch vụ an toàn. Cách thức xử lý gói IP đ−ợc điều khiển bởi ng−ời quản trị hệ thống thông qua “Giao diện quản lý chính sách an toàn”. Một “Cơ sở dữ liệu chính sách an toàn” sẽ quyết định thao tác đối với gói IP nh− không mã, huỷ, hoặc gửi tới các module mật mã để cài đặt dịch vụ an toàn. Danh sách điều khiển truy nhập đ−ợc quản lý bởi các công cụ mức ng−ời dùng.
Nguyên tắc hoạt động của mô hình nh− sau:
Đầu tiên, hai hệ thống cần thoả thuận với nhau để có các liên kết an toàn SA. Việc thoả thuận này có thể thực hiện bằng thủ công hoặc tự động. Trong ph−ơng pháp thủ công, hai bên thoả thuận tr−ớc với nhau về cách thức bảo vệ gói IP, các khoá mã và khoá xác thực sẽ đ−ợc trao đổi với nhau theo một kênh an toàn. Với ph−ơng pháp tự động, hai hệ thống dùng một giao thức mật mã để thoả
thuận về các liên kết an toàn SA. Các liên kết an toàn cũng sẽ đ−ợc thay đổi định kỳ một cách tự động.
Gói IP chứa dữ liệu ứng dụng đ−ợc chuyển tới tầng IP có cài đặt giao thức IPSP. Tại đây, căn cứ vào cơ sở dữ liệu chính sách an toàn, hệ thống sẽ có những thao tác phù hợp đối với gói IP (chuyển đi không mã, huỷ, cài đặt dịch vụ an toàn,...). Những gói IP cần cài đặt dịch vụ an toàn sẽ đ−ợc xử lý bởi “Module cài đặt dịch vụ an toàn” và “ Các Module mật mã” bao gồm các thao tác nh− mã hoá, chèn header an toàn, chèn dữ liệu xác thực,... sau đó đ−ợc chuyển xuống tầng truy nhập mạng để đi ra kênh công khai. Tại nơi nhận, gói IP lại đ−ợc xử lý bằng kỹ thuật mật mã theo trình tự ng−ợc lại.