摘要：文章主要分析了攻击的种类及安全协议中普遍存在的dos（denial of service）隐患，通过对当前防范dos攻击的方法进行分析，得出该方法所能防范的攻击类型，并对各方法进行比较。
 
    关键词：安全协议；拒绝服务（dos）；安全协议
 
    一、问题的提出
 
    随着互联网的普及，网络资源在实现高度共享的同时，也存在很多安全隐患。其中，拒绝服务攻击以其危害最为广泛，最难以防御而受到人们越来越多的关注。dos（denial of service）是攻击者利用协议或系统中的缺陷，向提供服务的主机进行攻击，试图通过耗尽服务方的计算、内存等资源的手段，从而使服务提供方无法向合法的授权用户提供服务。这种攻击通常会导致服务器瘫痪，许多正常的工作无法展开。采用何种方法有效地对dos攻击和分布式dos攻击进行防范是当前人们研究的重点。
 
    二、攻击的分类
 
    目前的网络攻击以其多方位，手段化而让人防不胜防。从最高层次上来说，攻击可分为主动攻击和被动攻击。其中，主动攻击指攻击者访问所需信息的一种故意行为而被动攻击主要是收集信息而不是进行访问。可以看出，主动攻击容易被发现而被动攻击被发现的机会几乎是零。在大多数情况下，主动攻击和被动攻击是联合使用对攻击对象进行入侵。常见的主动攻击有远程登录到指定机器的端口并找出公司运行的邮件服务器的信息、伪造无效的ip地址去连接服务器，使接受到错误ip地址的系统浪费时间去连接某个非法地址。主动攻击包括拒绝服务攻击、信息篡改、资源使用、欺骗等攻击方法。被动攻击包括嗅探、信息收集等攻击方法。攻击的下一层次的分类就非常灵活了，可以从攻击的目标、攻击的切入点、实施过程等方面进行分类。我们可以得出，拒绝服务攻击是一种主动攻击，它利用协议或系统中的漏洞，对服务提供方发动攻击，使其无法响应合法的授权用户的服务请求。
 
    三、安全协议中存在的dos隐患
 
    安全协议是建立在密码机制基础上的一种基于消息交换的协议，它运行在计算机通信网络或分布式网络系统中，与之相对应的是dos和分布式dos，安全协议的执行过程是借助密码学问题的解决来实现密钥分配、身份认证、信息保密以及电子交易的安全进行。攻击者可以冒充协议的发起方向提供服务的服务器发送大量的认证请求，如果安全协议在设计时未考虑dos攻击的威胁，则很可能使响应方因为要计算庞大的数学问题而耗尽其计算或内存资源，从而导致拒绝服务。
 
    我们以iso/iec11770-3密钥密匙交换协议为例，来说明安全协议中存在的dos隐患。该协议描述如下所示：
 
    msg1：aàb:a,na
 
    msg2：àa:{nb,na,a，{b,kba}ka}kb-1
 
    msg3：aàb:{na,nb,b，{a,kab}kb}ka-1
 
    该协议采用传统的alice-and-bob标记方式，包含三条消息msg1、msg2和msg3，其中的a与b表示参与协议执行的主体，ka、kb表示相应主体的公钥，ka-1、kb-1表示相应主体的私钥，{x}k表示对x用公钥k加密，{x}k-1表示对x用私钥k-1签名。na与nb为现时（nonce），kba和kab为双方各自产生的密钥，协议运行完成后，每个参与方都要将kab和kba进行散列运算后得到会话密钥。
 
    攻击者可以不必考虑kba的生成及公钥加密和签名运算，它仅仅只需要冒充发起方a发出大量的虚假消息msg1，可以看到响应方不做任何判断就开始进行kba的生成以及一次公钥加密和一次签名运算，而后两个运算的代价都是比较昂贵的，同时响应方还要保存a、na、nb、kab等状态信息，攻击者可以在短时间内冒充任意的发起方向响应方发送这会样的大量消息，可以看到，响应方耗费了大量的计算资源，同时也会耗费大量的内存资源，这样使得该协议就同时受到内存资源耗尽和计算耗尽的dos攻击。
 
    四、防范dos攻击的方法
 
    通过上一节的说明，我们看到安全协议中存在着dos的隐患，攻击者可以通过假冒协议的发起者向响应方发送大量请求，从而导致相应方无法向合法用户提供安全服务（见图1）。目前，国内外解决安全协议dos隐患的方法主要有三大类：无状态、弱认证和增加发起代价。其中，无状态指协议主体在执行发起方的服务请求之前不会保存每个发起方的当前会话状态，这样就可避免内存资源耗尽的拒绝服务攻击。弱认证是指响应方先对发起方进行一个初步的认证，判断其是否为合法用户，弱认证通过后再执行协议中比较耗费系统资源的强认证部分。增加发起代价是针对发起方发动dos攻击时发送大量消息的特点，适当增加发起方的资源耗费代价，使得dos攻击的发起难度增大。
 
    在介绍各防范方法之前，我们假设攻击者可以窃听、拦截、篡改、伪造和重放系统中的部分消息；假设协议主体的运行环境有一定的物理安全保障措施和足够的网络带宽。
 
    （