劉婭+仲兆滿

摘 要： 在網(wǎng)絡(luò)信息安全問(wèn)題日益突出的背景下，研究了網(wǎng)絡(luò)隱蔽信道的通信機(jī)制。提出一種基于多重協(xié)議建立網(wǎng)絡(luò)隱蔽信道的方法：通信雙方通過(guò)ICMP協(xié)議進(jìn)行密鑰協(xié)商，用協(xié)商密鑰加密傳輸?shù)碾[蔽信息，加密后的信息寫入TCP協(xié)議的32位序列號(hào)字段，加密后的會(huì)話密鑰寫入IP協(xié)議的16位標(biāo)識(shí)位字段。該方法在Linux平臺(tái)下實(shí)現(xiàn)并檢驗(yàn)。實(shí)驗(yàn)結(jié)果表明，此隱蔽信道隱蔽性高、傳輸速度快、切實(shí)可行，為防范隱蔽信道的惡意攻擊提供了理論依據(jù)和技術(shù)支持。

關(guān)鍵詞： 隱蔽信道； ICMP； TCP； 網(wǎng)協(xié)

中圖分類號(hào)： TN711?34； TP393.08 文獻(xiàn)標(biāo)識(shí)碼： A 文章編號(hào)： 1004?373X（2017）08?0019?03

Design and implementation of network covert channel based on multi?protocol

LIU Ya1， ZHONG Zhaoman2

（1. Lianyungang Campus of Jiangsu Normal University， Lianyungang 222006， China；

2. School of Computer Engineering， Huaihai Institute of Technology， Lianyungang 222006， China）

Abstract： Under the background that the network information security problem is serious increasingly， the communication mechanism of the network covert channel is studied. A method for establishing a network covert channel on the basis of multiple protocols is proposed， in which the communicating parties makes a key agreement according to ICMP protocol， and the covert information is encrypted with the agreed key. The encrypted information is written into the 32 bit serial number field of the TCP protocol. The encrypted session key is written into the 16 bit serial number field of the IP protocol. The method was implemented and tested on the Linux platform. The experimental results show this covert channel has high concealment property and high transmission speed， and is feasible. It provides theoretical basis and technical support for the prevention of malicious attacks.

Keywords： convert channel； ICMP； TCP； Internet Protocol

0 引 言

1987年，GIRLING首次提出了網(wǎng)絡(luò)隱蔽信道的概念，現(xiàn)公認(rèn)的定義為[1]：“在該信道中主機(jī)沒(méi)有安全級(jí)別的定義，這種信道的兩端主機(jī)甚至可能是被允許通信的，該信道只是期望在通信鏈路上再附加一層隱蔽通信”。網(wǎng)絡(luò)隱蔽信道利用公開(kāi)合法的信道隱蔽傳遞秘密信息，現(xiàn)已成為木馬、病毒等惡意程序使用的重要技術(shù)，嚴(yán)重威脅著網(wǎng)絡(luò)信息的安全。1985年，美國(guó)《可信計(jì)算機(jī)安全評(píng)估標(biāo)準(zhǔn)》明確規(guī)定：隱蔽信道的研究和分析是系統(tǒng)安全等級(jí)達(dá)到B2級(jí)的必要條件。因此，研究網(wǎng)絡(luò)隱蔽信道，檢驗(yàn)入侵檢測(cè)系統(tǒng)和防火墻對(duì)其防護(hù)的能力，是評(píng)估計(jì)算機(jī)系統(tǒng)安全的重要手段。

目前，建立網(wǎng)絡(luò)隱蔽信道主要通過(guò)TCP/IP模型中某層次的某個(gè)協(xié)議實(shí)現(xiàn)。如文獻(xiàn)[2]提出在傳統(tǒng)IP時(shí)間隱蔽信道的基礎(chǔ)上利用在固定時(shí)間窗口內(nèi)發(fā)送的IP數(shù)據(jù)包數(shù)量作為載體傳輸隱蔽信息。文獻(xiàn)[3]提出的基于傳輸層TCP協(xié)議的網(wǎng)絡(luò)隱蔽信道實(shí)現(xiàn)方法，通過(guò)將信息寫入TCP協(xié)議首部的方法達(dá)到隱藏信息的目的。文獻(xiàn)[4]提出基于TCP時(shí)間戳選項(xiàng)的時(shí)間隱蔽信道方法。文獻(xiàn)[5]提出使用DNS協(xié)議建立隱蔽信道。

本文在現(xiàn)有的基于單一協(xié)議的網(wǎng)絡(luò)隱蔽信道設(shè)計(jì)基礎(chǔ)上，從分析網(wǎng)絡(luò)隱蔽信道的通信模型入手，提出一種基于多重協(xié)議的網(wǎng)絡(luò)隱蔽信道設(shè)計(jì)方法。該方法利用ICMP，TCP和IP協(xié)議傳遞隱蔽信息，并對(duì)隱蔽信息進(jìn)行加密，保證了傳輸信息的機(jī)密性和完整性。實(shí)驗(yàn)表明，該方法能繞過(guò)大部分安全檢測(cè)措施，且第三方無(wú)法獲得信息內(nèi)容。

1 網(wǎng)絡(luò)隱蔽信道通信模型

Simmons提出的“囚犯模型”是網(wǎng)絡(luò)隱蔽信道的經(jīng)典通信模型[6]。如圖1所示，在該模型中Alice和Bob是兩個(gè)監(jiān)獄中的囚犯，他們?cè)噲D協(xié)商逃出監(jiān)獄，但看守人Wendy監(jiān)視著他們的言行。為了防止被Wendy發(fā)現(xiàn)，他們需要在合法的言行中隱藏協(xié)商越獄的秘密信息。Handel等人將這個(gè)模型引入計(jì)算機(jī)網(wǎng)絡(luò)[7]，Alice和Bob變成了聯(lián)網(wǎng)的兩臺(tái)計(jì)算機(jī)。它們之間可以建立看似合法的公開(kāi)信道，但在這條公開(kāi)信道中隱藏著一條隱蔽信道，用以傳遞秘密信息。

2 基于多重協(xié)議的網(wǎng)絡(luò)隱蔽信道