Page 187 - 大数据背景下网络安全问题研究

» 第六章 网络数据采集及安全研究

进行传输。在到达目的地之前，一条消息可能要经过许多通信链路的传输。
由于在每一个中间传输节点消息均被解密后重新进行加密，因此包括路由信息在
内的链路上的所有数据均以密文形式出现。这样，链路加密就掩盖了被传输消息的源
点与终点。由于填充技术的使用以及填充字符在不需要传输数据的情况下就可以进行
加密，这使得消息的频率和长度特性得以掩盖，从而可以防止对通信业务进行分析。

尽管链路加密在计算机网络环境中使用得相当普遍，但它并非没有问题。链路
加密通常用在点对点的同步或异步线路上，它要求先对在链路两端的加密设备进行同
步，然后使用一种链模式对链路上传输的数据进行加密。这就给网络的性能和可管理

性带来了副作用。
一方面，在线路信号经常不通的海外或卫星网络中，链路上的加密设备需要频繁
地进行同步，带来的后果是数据丢失或重传。另一方面，即使仅一小部分数据需要进
行加密，也会使得所有传输数据被加密。

在一个网络节点，链路加密仅在通信链路上提供安全性，消息以明文形式存在，
因此所有节点在物理上必须是安全的，否则就会泄漏明文内容。然而保证每一个节点
的安全性需要较高的费用，为每一个节点提供加密硬件设备和一个安全的物理环境所

需要的费用由以下几部分组成保护节点物理安全的雇员开销，为确保安全策略和程序
的正确执行而进行审计时的费用以及为防止安全性被破坏时带来损失而参加保险的
费用。
在传统的加密算法中，用于解密消息的密钥与用于加密的密钥是相同的，该密钥
必须被秘密保存，并按一定规则进行变化。这样，密钥分配在链路加密系统中就成了

一个问题，因为每一个节点必须存储与其相连接的所有链路的加密密钥，这就需要对
密钥进行物理传送或者建立专用网络设施。而网络节点地理分布的广阔性使得这一过
程变得复杂，同时增加了密钥连续分配时的费用。

（2）节点加密
尽管节点加密能给网络数据提供较高的安全性，但它在操作方式上与链路加密
是类似的两者均在通信链路上为传输的消息提供安全性；都在中间节点先对消息进行
解密，然后进行加密。因为要对所有传输的数据进行加密，所以加密过程对用户是透

明的。
然而，与链路加密不同，节点加密不允许消息在网络节点以明文形式存在，它先
把收到的消息进行解密，然后采用另一个不同的密钥进行加密，这一过程是在节点上
的一个安全模块中进行。

节点加密要求报头和路由信息以明文形式传输，以便中间节点能得到如何处理消
息的信息。因此，这种方法对于防止攻击者分析通信业务是脆弱的。

• 175 •