引 言

    ipse[1]作為一種實現(xiàn)vpn的安全協(xié)議體系，目前已在vpn設(shè)備中廣泛使用。但是，隨著千兆位高速網(wǎng)絡(luò)的技術(shù)發(fā)展，對vpn設(shè)備在時效性等方面提出了更高的要求。因此，必須從體系結(jié)構(gòu)等方面，研究新的技術(shù)方法實現(xiàn)ipsec。在ipsec安全設(shè)備中，soc技術(shù)將是一種較好的選擇。soc將系統(tǒng)的cpu、i/o接口、存儲器、算法、協(xié)議處理等模塊全部集成到單一半導(dǎo)體芯片上，實現(xiàn)ipsec協(xié)議的全部功能，成為構(gòu)筑ipsec安全設(shè)備的核心部件，極大地提高了高速v。pn網(wǎng)絡(luò)的安全性、可靠性、時效性以及較高的性能價格比。

    1 ipsec協(xié)議

    ipsec協(xié)議是因特網(wǎng)工程任務(wù)組(ietf)針對tcp/ip協(xié)議沒有安全機(jī)制的嚴(yán)重缺陷而專門制定的ip安全標(biāo)準(zhǔn)，用以在ip層實現(xiàn)訪問控制、無連接完整性、數(shù)據(jù)源驗證、抗重播、數(shù)據(jù)加密和有限的業(yè)務(wù)流機(jī)密性等多種安全服務(wù)。該標(biāo)準(zhǔn)由一系列協(xié)議組成，各協(xié)議之間的關(guān)系如圖1所示。

    *基金項目：“十五”期間國家密碼發(fā)展基金密碼理論研究課題“密碼soc芯片的體系結(jié)構(gòu)和安全性研究”。

    有關(guān)協(xié)議的解釋如下：

    ①ah[2] (authentication header)是一個安全協(xié)議頭，在傳輸模式下為ip層數(shù)據(jù)流提供數(shù)據(jù)完整性、數(shù)據(jù)源身份認(rèn)證、一些可選的和有限的抗重播服務(wù)。

    ②esp[3] (encapsulating security payload)是一個插入到ip數(shù)據(jù)報內(nèi)部的協(xié)議頭，為ip層流量數(shù)據(jù)提供機(jī)密性、數(shù)據(jù)源身份認(rèn)證、抗重播以及數(shù)據(jù)完整性等安全服務(wù)。

    ③認(rèn)證與加密算法是ipsec實現(xiàn)安全數(shù)據(jù)傳輸?shù)暮诵模�其中，加密算法用于esp，可以采用des、idea等密碼算法；認(rèn)證算法用于ah，可以采用3des、rc5等算法。

    ④ike[4](internet key exchange)是密鑰交換協(xié)議，用于在ipsec通信雙方建立共享安全參數(shù)及驗證過的密鑰，以建立一種安全關(guān)聯(lián)關(guān)系。

    ⑤doi(domain of interpretation)是一個單獨(dú)的文檔，用于存放ike協(xié)商的參數(shù)。

    ⑥sa(security association)是安全關(guān)聯(lián)協(xié)議，是主機(jī)、路由器兩個應(yīng)用ips ec實體之間的一種單向邏輯連接。sa有安全策略庫(spdb)和安全關(guān)聯(lián)庫(sadb)，存儲了安全策略的具體細(xì)節(jié)，包括保護(hù)的內(nèi)容、保護(hù)的方式、保護(hù)通信數(shù)據(jù)的主體等策略。

    2 soc技術(shù)

    目前，soc平臺主要用于csoc、sopc、epga等芯片開發(fā)。其中，csoc稱為可配置系統(tǒng)級芯片，一般包括1個處理器內(nèi)核、可編程邏輯陣列和其它一些通用部件；sopc是可編程的單芯片系統(tǒng)，如altera的nios內(nèi)核模塊；epga是以fpga為主體的soc芯片。使用這些soc開發(fā)平臺，可以充分利用系統(tǒng)級芯片集成度高和性能優(yōu)越的特點(diǎn)，靈活設(shè)計開發(fā)各種專用soc芯片。

    (1)開發(fā)平臺的選擇

    soc平臺開發(fā)套件包括：各種工具與資源軟件、可以重構(gòu)的硬件電路結(jié)構(gòu)驗證平臺和使用說明書等。其可用軟件資源包括：供選用的多種嵌入式處理器核，硬件模塊設(shè)計語言及其編譯器，仿真、綜合和布局、布線工具等；設(shè)計語言包括hdl、c/c++等。開發(fā)平臺的選擇取決于器件的來源：當(dāng)選用商品化器件時，可以選擇altera的sopc開發(fā)環(huán)境quartusii；當(dāng)選擇自主研發(fā)soc時，應(yīng)使用相關(guān)的專用開發(fā)平臺。

    (2)lp庫的選擇

    ip庫的選擇應(yīng)針對器件類型，選擇通用的ip核。對安全性要求較高的算法模塊，應(yīng)采取訪問控制、抗解剖分析等技術(shù)措施；對可變邏輯模塊，應(yīng)采用fpga，以保證可編程的特點(diǎn)。

    (3)芯片結(jié)構(gòu)的選擇

    soc的主體部分由cpu和asic組成。在設(shè)計過程中，芯片結(jié)構(gòu)的選擇應(yīng)從系統(tǒng)應(yīng)用規(guī)劃、協(xié)議處理速度要求、便于實現(xiàn)、vetilog hdl編程實現(xiàn)結(jié)構(gòu)化，以及所用邏輯模塊的實際結(jié)構(gòu)等幾個角度入手。

    altera的soc芯片[5]構(gòu)成如圖2所示。

    (4)軟硬件系統(tǒng)設(shè)計

    soc的基本結(jié)構(gòu)是具有一個成多個微處理器，以及可編程硬件邏輯，因此，在soc設(shè)計中必須進(jìn)行軟硬件的協(xié)同設(shè)計。軟硬件協(xié)同設(shè)計的技術(shù)性很強(qiáng)，它既有soc設(shè)計的靈活性，又有soc設(shè)計中難以揣摩、充滿變數(shù)的復(fù)雜性，將涉及到硬件資