[科普中國]-節(jié)點加密

基本內(nèi)容

節(jié)點加密需要對數(shù)據(jù)進行加密和解密，每兩個節(jié)點用同一個密鑰加密數(shù)據(jù)。在節(jié)點加密中，除了發(fā)送節(jié)點和接收節(jié)點以明文的形式出現(xiàn)，在中間節(jié)點則是進行密鑰的轉(zhuǎn)換，即在節(jié)點處采用一個與節(jié)點機相連的密碼裝置，密文在該裝置中被解密并被重新加密，明文不通過節(jié)點機，避免了鏈路加密節(jié)點處易受攻擊的缺點。

盡管節(jié)點加密能給網(wǎng)絡數(shù)據(jù)提供較高的安全性，但它在操作方式上與鏈路加密是類似的兩者均在通信鏈路上為傳輸?shù)南⑻峁┌踩?，都在中間節(jié)點先對消息進行解密,然后進行加密。因為要對所有傳輸?shù)臄?shù)據(jù)進行加密,所以加密過程對用戶是透明的。1

然而，與鏈路加密不同，節(jié)點加密不允許消息在網(wǎng)絡節(jié)點以明文形式存在，它先把收到的消息進行解密,然后采用另一個不同的密鑰進行加密，這一過程是在節(jié)點上的一個安全模塊中進行。

節(jié)點加密要求報頭和路由信息以明文形式傳輸，以便中間節(jié)點能得到如何處理消息的信息。因此這種方法對于防止攻擊者分析通信業(yè)務是脆弱的。1

數(shù)據(jù)加密數(shù)據(jù)加密是指將一個信息經(jīng)過加密鑰匙及加密的轉(zhuǎn)換，變成不能直讀的密文，而接收方則將此密文經(jīng)過解密函數(shù)，解密鑰匙還原成明文，因此加密是保護數(shù)據(jù)安全的一種有效手段。在網(wǎng)絡中，數(shù)據(jù)的頻繁傳輸應用，使數(shù)據(jù)極易被截獲或修改，只有綜合采用加密技術，才能有效地防止數(shù)據(jù)泄露。加密的安全保障來源于加密算法的抗破譯強度，即使是世界著名的DES數(shù)據(jù)標準加密法和分開密鑰體制的抗破譯水平，也只能保留在商業(yè)標準。尋求一種安全的加密算法是對敏感數(shù)據(jù)提供安全保障的根本要求。2

在計算機網(wǎng)絡中，加密可分為“通信加密”（即傳輸過程中的數(shù)據(jù)加密）和“文件加密”（即存儲數(shù)據(jù)加密）。通信加密又有鏈路加密，節(jié)點加密和端-端加密三種。2

與鏈路加密的異同節(jié)點加密與上面介紹的鏈路加密有相同的地方，也有一些不同。相同的是它與鏈路加密一樣，是基于數(shù)據(jù)鏈路層的加密，兩者均在通信鏈路上為傳輸?shù)南⑻峁┌踩?，而且都需要在中間節(jié)點上先對消息進行解密，然后進行加密（因為不同鏈路上的加密密鑰不一樣，所以要先解密，然后再加密）；不同的是，節(jié)點加密的加密功能是由節(jié)點自身的安全模塊完成的（通常是集成在網(wǎng)卡中，而鏈路加密需要由專門的加密設備或者集成在網(wǎng)卡中的安全模塊來完成加密功能），而且消息在節(jié)點中處于加密狀態(tài)，而鏈路加密中間節(jié)點中的消息是以明文形式存在的。節(jié)點加密不同的只是不再用加密機了，而是在節(jié)點上安裝了加密系統(tǒng)。3

節(jié)點加密不允許消息在網(wǎng)絡節(jié)點以明文形式存在，消息到達節(jié)點時，先把收到的消息進行解密，然后采用另一個不同的密鑰進行加密，再繼續(xù)進行數(shù)據(jù)傳輸，依此類推。因此，總的來說，它較鏈路加密更安全。但由于在節(jié)點加密方式中要對所有傳輸?shù)臄?shù)據(jù)進行加密，并且包括節(jié)點和傳輸鏈路都是加密的，所以要求報頭和路由信息以明文形式傳輸，以便中間節(jié)點能得到如何處理消息的信息。這樣就帶來了一定的安全風險，特別是對于通信業(yè)務分析類型的攻擊。再由于也是需要對每條鏈路分別加密，所以節(jié)點加密也比較適合于經(jīng)過較少鏈路的兩端點間通信，如專線接入、幀中ATM等接入方式，或者局域網(wǎng)內(nèi)部端點間的通信。3

三種數(shù)據(jù)加密優(yōu)缺點比較鏈路加密優(yōu)點

1)所有的信息都加密，包括消息頭和路由信息

2)單個密鑰泄漏不會危及全網(wǎng)安全；每對網(wǎng)絡節(jié)點可使用截然不同的密鑰

3)加密對用戶是透明的

缺點

1)消息以明文形式通過每個節(jié)點

2)由于所有網(wǎng)絡節(jié)點都必須獲得密鑰，密鑰分發(fā)和密鑰管理困難

3)由于每條保密通信鏈路上都需要兩臺設備，密碼設備費用高

節(jié)點加密優(yōu)點

1)消息的解密和加密在保密模塊內(nèi)完成，無暴露消息內(nèi)容之虞

2)加密對用戶是透明的

缺點

1)某些信息(如消息頭和路由信息，必須以明文形式傳輸

2)由于所有的網(wǎng)絡節(jié)點都必須獲得密鑰，密鑰分發(fā)和密鑰管理困難

端一端加密優(yōu)點

1)異常靈活；加密可由用戶控制，而且并非所有信息都得加密

2)數(shù)據(jù)經(jīng)網(wǎng)絡從源到目的地都受到保護

3)加密對網(wǎng)絡節(jié)點是透明的，而且在網(wǎng)絡重組期間也可以使用

缺點

1)每個系統(tǒng)都必須能夠進行相同類型的加密

2)某些信息(如消息頭和路由信息)可以明文形式發(fā)送

3)要求復雜的密鑰分發(fā)和密鑰管理技術