MoIPS cung cấp một vớ dụ tốt nhất về phương phỏp khoỏ cụng cộng chỳng ta gặp phải đối với an ninh và nhận thực trong mụi trường Mobile IP. Vỡ vậy cần xỏc định một vài thành phần then chốt của kiến trỳc an ninh này.
1. Như chỳng ta đó thấy, tại mức giao thức Internet, MoIPS ỏp dụng biến thể ESP của IPSec và ISAKMP cựng với Mobile IP. Cỏc mở rộng định tuyến tối ưu tới Mobile IP được trợ giỳp.
2. Đối với cỏc chứng nhận số khoỏ cụng cộng, MoIPS sử dụng đặc tả X.509 Version 3 với danh sỏch chứng nhận revocation Version 2 (CRL: Certificate Revocation List). Đối với kho chứa chứng nhận, những người thiết kế của MoIPS sử dụng hệ thống tờn miền (DNS: Domain Name System) Internet chuẩn. Theo cỏc tỏc giả, phương phỏp này cú vài ưu điểm: (1) sử dụng hệ thống DNS được biết rừ và được sử dụng rộng rói giỳp giải quyết vấn đề phỏt hiện server; (2) cỏc chứng nhận cụng cộng loại bỏ yờu cầu về truyền dẫn thời gian thực cỏc khoỏ, vỡ sẽ cần thiết với một cơ sở hạ tầng của trung tõm phõn phối khoỏ (KDC: Key Distribution
89 Center), vỡ cú thể thực hiện với Kerberos; và (3) yờu cầu về phương phỏp cú tớnh mở rộng cao: “chỳng ta phải cú một cụng nghệ cú thể thiết lập cỏc bớ mật được chia sẻ giữa một số lớn cỏc node trải rộng nhiều miền Internet”
3. Phõn cấp CA theo MoIPS giảđịnh một kiến trỳc nhiều cõy. Mỗi cõy trong cấu trỳc cú một CA đỉnh (TLCA: Top-Level CA), cỏc CA ở cỏc mức giữa (MLCA: Middle-Level CA) hoặc mức 0, và một tầng cỏc CA mức thấp hơn. Cỏc CA mức thấp hơn chịu trỏch nhiệm về một khối cỏc địa chỉ kề nhau và phỏt hành cỏc chứng nhận MoIPS tới cỏc thực thể Mobile IP mà cú cỏc địa chỉ IP rơi vào phạm vi đú (chẳng hạn, tất cả cỏc node trờn một mạng cho trước sẽ cú khả năng được phục vụ bởi cựng một CA). Việc xỏc nhận chộo được cho phộp giữa cỏc TLCA và cỏc MLCA.
4. Việc tham gia vào MoIPS yờu cầu việc sở hữu một chứng nhận. Mỗi thực thể muốn tham gia vào trong cỏc phiờn truyền thụng trong mụi trường MoIPS – dự là MH, FA, HA hay CH cú khả năng nhận biết tớnh di động - phải đảm bảo an toàn một chứng nhận X.509 V3 với một profile cụ thể được xỏc định cho MoIPS. Cỏc chứng nhận cho cỏc CH chỉ là một yờu cầu khi MoIPS trợ giỳp Mobile IP định tuyến tối ưu hoỏ an toàn.
5. Trong cỏc chứng nhận MoIPS, địa chỉ IP của thực thể được sử dụng như trường tờn chủđề chứng nhận cho cỏc MH, FA, HA và cỏc CH. Khi điều này cú nghĩa là chứng nhận phải được phỏt hành lại khi cú sự thay đổi địa chỉ IP bởi một thực thể thỡ nú cho phộp một hệ thống mỏy tớnh hoạt động, chẳng hạn như cả HA và FA nằm trờn cỏc giao diện khỏc nhau. Ngược lại trong trường hợp CA, tờn miền theo qui tắc tiờu chuẩn được sử dụng như là tờn chủ đề trờn chứng nhận, loại bỏ yờu cầu về tra tờn miền trong trường hợp này.
6. MoIPS sử dụng thuật toỏn băm SHA-1 để tạo cỏc chữ ký số trờn cỏc chứng nhận X.509. MoIPS sử dụng một kỹ thuật giống Diffie-Helman (DH) để tạo cỏc khoỏ mật mó, như cỏc khoỏ phiờn. Mỗi chứng nhận MoIPS chứa cỏc giỏ trị cụng cộng DH cần thiết để hỗ trợ trao đổi tạo khoỏ Diffie-Helman. Bớ mật Diffie-Helman và sự lặp lại số nhận dạng bảo vệ chống tấn cụng được đưa vào hàm HMAC (MoIPS sử dụng hàm HMAC- MD5) như cỏc thành phần “khoỏ” và “bản tin” tương ứng. Đầu ra sau đú được sử dụng trong quỏ trỡnh nhận thực cỏc bản tin điều khiển Mobile IP bằng cỏch trả lại chuỗi đầu ra và bản tin điều khiển thụng qua hàm HMAC.
90
7. MoIPS sử dụng RSA CryptoKi CAPI (Cryptographic Application Program Interface: Giao diện lập trỡnh ứng dụng mật mó) như một cơ chế qua đú truy nhập cỏc engine mật mó. Cũng được trợ giỳp là PF Key CAPI dành cho quản lý cỏc khoỏ ngắn hạn (như cỏc khoỏ phiờn) và cỏc liờn kết an ninh. Những người thiết kế MoIPS đó tạo ra một API thứ ba, được gọi là Cert_API, nhằm cung cấp một tuyến giữa cỏc module quản lý khoỏ và cỏc bộ xỏc nhận chứng nhận của hệ thống.
8. MoIPS sử dụng cỏc trường mở rộng chớnh sỏch khoỏ trong cỏc chứng nhận để truyền thụng tin cần cho điều khiển truy nhập theo Mobile IP.
9. Theo Mobile IP, đường hầm IPSec an toàn cú thể được thiết lập từ MH đến FA, từ MH tới HA, và từ FA tới HA. Ngoài ra, ngoài tầm ảnh hưởng của MoIPS/Mobile IP cú thể thiết lập một đường hầm an ninh giữa MH và CH nhằm cung cấp mật mó đầu cuối đến đầu cuối và an toàn thụng tin. Cỏc thực thể Mobile IP hoạt động trong mụi trường MoIPS cú thể yờu cầu thiết lập cỏc đường hầm IPSec bằng cỏch thờm một trường mở rộng chọn đường hầm IPSec vào cỏc bản tin Khẩn nài tỏc nhõn Mobile IP (Mobile IP Agent Solicitation), Quảng cỏo tỏc nhõn, và yờu cầu đăng ký chuẩn. Chi tiết vềđường hầm được thiết lập sau đú được đàm phỏn giữa cỏc thực thể thụng qua ISAKMP.
Một nguyờn mẫu ban đầu của mụi trường MoIPS, được phỏt triển bởi cỏc nhà nghiờn cứu BBC và việc tỏi sử dụng cỏc module hệ thống sớm được phỏt triển tại CMU và đại học State Porland được hoàn thành vào năm 1997. Những điểm then chốt là: (1) khả năng nhận được cỏc chứng nhận X.509 và cỏc danh sỏch thu hồi từ cỏc server DNS như là cỏc bản ghi tài nguyờn X509CCRRL; (2) khả năng xỏc nhận cỏc chứng nhận X.509 và CRL bằng cỏch đi theo phõn cấp CA nhiều cõy; (3) khả năng nhận thực cỏc bản tin đăng ký Mobile IP được cấu tạo theo đặc tả IETF thụng qua cỏc khoỏ phiờn được tạo ra bởi thuật toỏn khoỏ cụng cộng đó được mụ tảở trờn; và (4) việc tớch hợp MH tới cỏc đường hầm CH IPSec với việc định hướng lại cỏc gúi tin Mobile IP. Sơ đồ khối minh hoạ cỏc module hệ thống của nguyờn mẫu MoIPS xem hỡnh 4.4.
91 C e rt A P I P F -K e y A P I C ryp to K i C A P I
Hỡnh 4.4:Sơđồ khối của nguyờn mẫu mụi trường MoIPS(Lấy từ Zao và et al)
Cỏc ứng dụng mục tiờu cho cỏc phiờn bản tăng cường của MoIPS gồm việc thực hiện mở rộng cỏc hỗ trợ IPSec và Mobile IP định tuyến tối ưu hoỏ cho cỏc mạng riờng ảo chứa cỏc MH. Cỏc tỏc giả xỏc định một yờu cầu cho việc điều tra về việc quản lớ vị trớ nhanh và quản lý tinh vi hơn cỏc liờn kết an ninh.