劉婭+仲兆滿

摘 要： 在網(wǎng)絡(luò)信息安全問題日益突出的背景下，研究了網(wǎng)絡(luò)隱蔽信道的通信機制。提出一種基于多重協(xié)議建立網(wǎng)絡(luò)隱蔽信道的方法：通信雙方通過ICMP協(xié)議進(jìn)行密鑰協(xié)商，用協(xié)商密鑰加密傳輸?shù)碾[蔽信息，加密后的信息寫入TCP協(xié)議的32位序列號字段，加密后的會話密鑰寫入IP協(xié)議的16位標(biāo)識位字段。該方法在Linux平臺下實現(xiàn)并檢驗。實驗結(jié)果表明，此隱蔽信道隱蔽性高、傳輸速度快、切實可行，為防范隱蔽信道的惡意攻擊提供了理論依據(jù)和技術(shù)支持。

關(guān)鍵詞： 隱蔽信道； ICMP； TCP； 網(wǎng)協(xié)

中圖分類號： TN711?34； TP393.08 文獻(xiàn)標(biāo)識碼： A 文章編號： 1004?373X（2017）08?0019?03

Design and implementation of network covert channel based on multi?protocol

LIU Ya1， ZHONG Zhaoman2

（1. Lianyungang Campus of Jiangsu Normal University， Lianyungang 222006， China；

2. School of Computer Engineering， Huaihai Institute of Technology， Lianyungang 222006， China）

Abstract： Under the background that the network information security problem is serious increasingly， the communication mechanism of the network covert channel is studied. A method for establishing a network covert channel on the basis of multiple protocols is proposed， in which the communicating parties makes a key agreement according to ICMP protocol， and the covert information is encrypted with the agreed key. The encrypted information is written into the 32 bit serial number field of the TCP protocol. The encrypted session key is written into the 16 bit serial number field of the IP protocol. The method was implemented and tested on the Linux platform. The experimental results show this covert channel has high concealment property and high transmission speed， and is feasible. It provides theoretical basis and technical support for the prevention of malicious attacks.

Keywords： convert channel； ICMP； TCP； Internet Protocol

0 引 言

1987年，GIRLING首次提出了網(wǎng)絡(luò)隱蔽信道的概念，現(xiàn)公認(rèn)的定義為[1]：“在該信道中主機沒有安全級別的定義，這種信道的兩端主機甚至可能是被允許通信的，該信道只是期望在通信鏈路上再附加一層隱蔽通信”。網(wǎng)絡(luò)隱蔽信道利用公開合法的信道隱蔽傳遞秘密信息，現(xiàn)已成為木馬、病毒等惡意程序使用的重要技術(shù)，嚴(yán)重威脅著網(wǎng)絡(luò)信息的安全。1985年，美國《可信計算機安全評估標(biāo)準(zhǔn)》明確規(guī)定：隱蔽信道的研究和分析是系統(tǒng)安全等級達(dá)到B2級的必要條件。因此，研究網(wǎng)絡(luò)隱蔽信道，檢驗入侵檢測系統(tǒng)和防火墻對其防護(hù)的能力，是評估計算機系統(tǒng)安全的重要手段。

目前，建立網(wǎng)絡(luò)隱蔽信道主要通過TCP/IP模型中某層次的某個協(xié)議實現(xiàn)。如文獻(xiàn)[2]提出在傳統(tǒng)IP時間隱蔽信道的基礎(chǔ)上利用在固定時間窗口內(nèi)發(fā)送的IP數(shù)據(jù)包數(shù)量作為載體傳輸隱蔽信息。文獻(xiàn)[3]提出的基于傳輸層TCP協(xié)議的網(wǎng)絡(luò)隱蔽信道實現(xiàn)方法，通過將信息寫入TCP協(xié)議首部的方法達(dá)到隱藏信息的目的。文獻(xiàn)[4]提出基于TCP時間戳選項的時間隱蔽信道方法。文獻(xiàn)[5]提出使用DNS協(xié)議建立隱蔽信道。

本文在現(xiàn)有的基于單一協(xié)議的網(wǎng)絡(luò)隱蔽信道設(shè)計基礎(chǔ)上，從分析網(wǎng)絡(luò)隱蔽信道的通信模型入手，提出一種基于多重協(xié)議的網(wǎng)絡(luò)隱蔽信道設(shè)計方法。該方法利用ICMP，TCP和IP協(xié)議傳遞隱蔽信息，并對隱蔽信息進(jìn)行加密，保證了傳輸信息的機密性和完整性。實驗表明，該方法能繞過大部分安全檢測措施，且第三方無法獲得信息內(nèi)容。

1 網(wǎng)絡(luò)隱蔽信道通信模型

Simmons提出的“囚犯模型”是網(wǎng)絡(luò)隱蔽信道的經(jīng)典通信模型[6]。如圖1所示，在該模型中Alice和Bob是兩個監(jiān)獄中的囚犯，他們試圖協(xié)商逃出監(jiān)獄，但看守人Wendy監(jiān)視著他們的言行。為了防止被Wendy發(fā)現(xiàn)，他們需要在合法的言行中隱藏協(xié)商越獄的秘密信息。Handel等人將這個模型引入計算機網(wǎng)絡(luò)[7]，Alice和Bob變成了聯(lián)網(wǎng)的兩臺計算機。它們之間可以建立看似合法的公開信道，但在這條公開信道中隱藏著一條隱蔽信道，用以傳遞秘密信息。

2 基于多重協(xié)議的網(wǎng)絡(luò)隱蔽信道