Linux2.4内核下IPSec加密卡的实现研究

第２１卷第７期　

计算机技术与发展　

ＣＯＭＰＵＴＥＲ　ＴＥＣＨＮＯＬＯＧＹ　ＡＮＤ　ＤＥＶＥＬＯＰＭＥＮＴ　

Ｖ０１．２１　Ｎｏ．７　

２０ｌ１年７月　

Ｊｕｌｙ　２０１Ｉ　

Ｌｉｎｕｘ２．４内核下Ｉ　ＰＳｅｃ加密卡的实现研究　

黄兴利　，蔡国强　，于红毅　

（１．温州大学商学院，浙江温州３２５０００；　

２．西北工业大学网络环境下复杂系统控制实验室，陕西西安７１００７２）　

摘要：在综合考虑安全性、处理速度及开发周期的基础上，针对Ｌｉｎｕｘ２．４内核提出了将ＩＰＳｅｃ协议分解为由主处理器实　

现的计算复杂型操作和由硬件加密卡实现的计算密集型操作的方案。主处理器进行协议解析、数据包的封装等操作，专　

用加密卡实现加解密、认证等高强度计算，并给出了相关的接口函数方便用户进行二次开发。专门设计了Ｌｉｎｕｘ操作系统　

下加密卡的驱动，实现了高速稳定的ＤＭＡ数据传输。实验结果表明该方案具有高安全性、高速及良好的可扩展性等优　

点，具有良好的应用前景。　

关键词：Ｌｉｎｕｘ；网络协议安全；加密卡；驱动设计；接口函数　

中图分类号：ＴＰ３９３．０８　文献标识码：Ａ　文章编号：１６７３—６２９Ｘ《２０１１）０７—０１６１—０４　

Ｒｅｓｅａｒｃｈ　ａｎｄ　Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ　ｏｆ　ＩＰＳｅｃ　Ｅｎｃｒｙｐｔｉｏｎ　Ｃａｒｄ　

ｏｎ　Ｌｉｎｕｘ　２．４　Ｋｅｒｎｅｌ　

ＨＵＡＮＧ　Ｘｉｎｇ—ｌｉ’

ＣＡ［Ｇｕｏ—ｑｉａｎｇ　，ＹＵ　Ｈｏｎｇ—ｙｉ　

，

（１．Ｂｕｓｉｎｅｓｓ　Ｃｏｌｌｅｇｅ。Ｗｅｎｚｈｏｕ　Ｕｎｉｖｅｒｓｉｔｙ－Ｗｅｎｚｈｏｕ　３２５０００。Ｃｈｉｎａ；　

２．Ｎｅｔｗｏｒｋ－ｂａｓｅｄ　Ｃｏｍｐｌｅｘ　Ｓｙｓ￣ｍ　Ｃｏｎ￣ｏｌ　Ｌａｂ。Ｎｏｒｔｈｗｅｓｔｅｒｎ　Ｐｏｌｙｔｅｃｈｎｉｃａｌ　Ｕｎｉｖｅ￣ｉｔｙ。Ｘｉ’ａｌｌ　７１００７２，Ｃｈｉｎａ）　

Ａｂｓｔｒａｃｔ：Ａｆｔｅｒ　ｔａｋｉｎｇ　ｓａｆｅｔｙ，ｐｒｏｃｅｓｓｉｎｇ　ｓｐｅｅｄ　ａｎｄｄｅｖｅｌｏｐｍｅｎｔ　ｃｉｒｃｌｅ　ｉｎｔｏ　ｃｏｎｓｉｄｅｒａｔｉｏｎ，ａ　ｎｅｗ　ｐｒｏｊｅｃｔ　ｂａｓｅｄ　ＯｎＬｉｎｕｘ２．４　ｋｅｒｎｅｌｄｉｖｉｄ－　

ｉｎｇ　ＩＰＳｅｅ　ｐｒｏｔｏｃｏｌ　ｉｎｔｏ　ｃｏｍｐｌｅｘ　ｃｏｍｐｕｔａｔｉｏｎａｌ　ｏｐｅｒａｔｉｏｎ　ａｎｄ　ＣＰＵ－ｂｏｕｎｄ　ｏｐｅｒａｔｉｏｎ　ｉｓ　ｇｉｖｅｎ　ｉｎ　ｔｈｅ　ｐａｐｅｒ．Ｏｐｅｒａｔｉｏｎｓ　ａｂｏｕｔ　ｐｒｏｔｏｃｏｌ　ａ．　

ｎａｌｙｓｉｓ　ａｓ　ｗｅｌｌ　ａｓ　ｄａｔａ　ｐａｃｋａｇｉｎｇ　ａｒｅ　ｆｕｌｉｌｆｌｅｄ　ｂｙ　ｍａｉｎ　ｐｒｏｃｅｓｓｏｒ，ｗｈｉｌｅ　ｏｐｅｒａｔｉｎｓ　ａｂｏｕｔｏ　ｅｎｃｒｙｐｔｉｎ。ｄｅｃｒｙｐｔｏｉｏｎ　ａｎｄ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ　ａｒｅ　

ｉｍｐｌｅｍｅｎｔｅｄ　ｂｙ　ｓｐｅｃｉｌ　ａｈａｒｄｗａｒｅｅｎｃｒｙｐｔｉ０ｎ　ｃａｒｄ．ａｎｄｍｏｒｅｏｖｅｒ，ｍｉｍｅｄｉｎｔｅｒｆａｃｅｆｕｎｃｔｉｏｎｓ　ａｌｅ　ｓｈｏｗｎ　ｃｌｅａｒｌｙｗｈｉｃｈｉｓｈｅｌｐｆｕｌｆｏｒＩｅ—ｄｅ—　

ｖｅｌｏｐｍｅｎｔ．Ｓｐｅｃｉｌ　ｄｒｉａｖｅｒ　ｓｙｓｔｅｍ　ｉｓ　ｄｅｓｉｇｎｅｄ　ｕｎｄｅｒ　Ｌｉｎｕｘ　ｏｐｅｒａｔｉｏｎ　ｓｙｓｅｍ。ａｔｎｄ　ｈｉｇｈ　ｓｐＰ￣ｄ　ａｓ　ｗｅｌｌ　ａｓ　ｓｔａｂｌｅ　ＤＭＡ　ｄａｔａ　ｔｒａｎｓ￣ｒ　ｉｓ　ｉｍｐｌｅ—　

ｍｅｎｔｅｄ．Ｉｔｉｓｉｌｌｕｍｉｎａｔｅｄｆｒｏｍｔｈｅ　ｅｘｐｅｒｉｍｅｎｔ　ｒｅｓｕｌｔｓｔｈａｔｔｈｉｓ　ｐｒｏｊｅｃｔ　ｈａｓ　ｇｏｏｄｍｅｒｉｓｔ　ｓｕｃｈ　ａｓｈｉｇｈ　ｓｅｃｕｒｉｔｙ，ｈｉｇｈ　ｓｐｅｅｄａｎｄ　ｐｅｒｆｅｃｔ　ｅｘ—　

ｐａｎｄａｂｉｌｉｔｙｗｉｔｈ　ａ　ｐｒｏｍｉｓｉｎｇ　ａｐｐｌｉｃａｔｉｏｎ　ｐｒｏｓｐｅｃｔ．　

Ｋｅｙ　ｗｏｒｄｓ：Ｌｉｎｕｘ；ｌＰＳｅｃ；ｅｎｃｒｙｐｔｉｎ　ｃａｒｄ；ｄｒｏｉｖｅｒ　ｄｅｓｉｇｎ；ｉｎｔｅｒｆａｃｅ　ｆｕｎｃｔｉｏｎ　

Ｏ　引　言　

网络技术和Ｉｎｔｅｍｅｔ的快速发展使网络应用渗透　

到现代人生活的方方面面，然而随之而来的互联网安　

全问题也日渐成为困扰企业及个人的重要问题，Ｉｎｔｅｒ－　

ｎｅｔ工程任务组（ｒｏＴＥ）在Ｉｎｔｅｍｅｔ标准（草案ＲＦＣ　。　）　

中定义了网络ＩＰ层上的安全体系结构——ＩＰＳｅｃ（Ｉｎ—　

ｔｅｌ＇ｎｅｔ　Ｐｒｏｔｏｃｏｌ　Ｓｅｃｕｒｉｔｙ），它在不改变用户应用程序的　

核下普遍采用的ＩＰＳｅｃ实现方案是ＦｒｅｅＳ／Ｗａｎ，即纯软　

件方案，用主机或服务器上的ＣＰＵ来完成全部操作，　

简单易行、开发周期短，但是网络设备负载明显提高，　

关键网络设备的处理性能降低，在速度和实时性上不　

能满足要求；目前常用的纯硬件方案采用通用结构处　

理器与ＦＰＧＡ相结合的处理形式　，将整个ＩＰＳｅｃ交　

由硬件实现，具有高速、低延时、对用户透明、安全性好　

情况下，提供对网络数据的保密和认证服务　，实现网　

络信息的安全传输　。　

目前ＩＰＳｅｃ的设计实现大致有三种方案　：纯软　

等优点，但它的开发周期长，不支持用户在此基础上的　

再次开发　；文中“ＩＰＳｅｃ加密卡”采用软硬件协同方　

案实现，将ＩＰＳｅｃ中涉及到加密、认证等高位数据的密　

集运算交由专门设计的硬件加密卡执行，而将协议处　

理、密钥管理、安全策略管理等复杂运算交由主机或服　

务器上的ＣＰＵ来执行　，这种实现将软件开发的高效　

率及灵活性与硬件开发的高速率结合，可有效缩短开　

发周期，并且软硬件结合时各种接口的明确定义使用　

户可以在此基础上进行再次开发，实现定制功能。　

件方案，纯硬件方案及软硬件协同方案。Ｌｉｎｕｘ２．４内　

收稿日期：２０ｌ０一ｌ１—３０；修回日期：２０１１－０２－１５　

基金项目：温州市科技计划项目（Ｇ２００９０１１３）　

作者简介：黄兴利（１９８１一），男，硕士研究生，讲师，研究方向为计算　

机网络、数据库。　

・

１６２・　计算机技术与发展　第２ｌ卷　

ｌ系统整体设计　

ＩＰＳｅｃ加密卡采用软硬件结合的设计方案，用软件　

在具体实现上，分为总线控制逻辑、数据接口、安　

全处理控制单元和安全处理单元等。　

其中：　

实现ＩＰＳｅｃ安全体系，用硬件实现加密模块及认证模　

块的设计，整体结构框图如图１所示。　

总线控制逻辑（状态、地址和总线控制）和数据寄　

罔　、

、　

．．．．．．　．

一／　

＜圣　

容。　

存器共同完成与ＣＰＵ等的接口逻辑；指令译码器把指　

令翻译成微指令序列通过微指令总线传送到安全处理　

控制器；状态寄存器指示加密卡当前状态，包括忙、错　

误、准备好、使能等；标签寄存器指示当前寄存器的内　

安全处理单元作为加密卡的核心，由算法寄存器、　

＜置

图１　ＩＰＳｅｃ加密卡整体框图　

一

寄存器栈、操作数栈和数据总线接口单元等基本单元　

构成，负责微指令的处理。为了实现对网络数据包的　

安全快速处理，安全处理单元中重点实现了加密算法　

模块（包括ＡＥＳ对称加密算法）、消息认证模块（包括　

消息摘要和安全散列算法ＨＭＡＣ—ＭＤ５和ＨＭＡＣ—ＳＨＡ　

１模块）。　

由上图可以看出，ＩＰＳｅｃ数据包的处理是由控制层　

面与数据层面相结合实现的，控制层面即软件部分实　

现ＩＰＳｅｃ协议的处理过程，而数据层面即硬件部分实　

现繁琐的加解密处理及认证部分处理，　

二者分工明确，共同实现ＩＰＳｅｃ数据包　

的处理过程。　

２软件处理部分　

在Ｌｉｎｕｘ系统中已经固化实现了　

ＩＰＳｅｃ协议，采用ＦｒｅｅＳ／ＷＡＮ　处理　

ＩＰＳｅｃ协议中的所有任务，在本项目中，　

ＦｒｅｅＳ／ＷＡＮ仅负责协议处理的复杂型　

计算，加密及认证等密集型任务则交由　

加密卡实现。　

该软件由如下几个模块“　组成：　

（１）ＫＬＩＰＳ模块——运行在操作系统内核空间，　

图２硬件加密卡体系结构图　

以该体系结构为基础实现的加密卡可以直接用于　

ＩＰＳｅｃ协议的加速处理，也可与网络处理单元配合使　

用，构成具有ＩＰＳｅｃ协议处理功能的安全网卡、安全交　

换机和安全路由器等网络设备。　

主要负责安全联盟和密钥的管理工作，以及对数据报　

的加密、解密的处理工作，实现对进入或外出ＩＰ包的　

安全处理；　

（２）Ｐｌｕｔｏ模块——运行在用户空间的守护进程，　

实现ＩＫＥ协议，主要负责安全联盟的协商工作；　

（３）ＰＦ—ＫＥＹ模块——实现ｐｆｋｅｙ２协议，完成上　

４驱动设计与实现　

４．１整体驱动流程　

述两个模块间关于ＳＡ的通信。　

具体而言，ＫＬＩＰＳ模块以ｍｏｄｕｌｅ形式加载在操作　

系统内核，对输入和输出的数据包进行ＡＨ或ＥＳＰ协　

驱动程序的设计是一个模块化设计过程，图３给　

出了驱动程序的整体设计流程。　

４．２完整模块设计　

完整的模块设计如下所示：　

ｉｎｔ　ｉｎｉｔＰｌｘ

ｉｎｉｔ

ｍｏｄｕｌｅ（ｖｏｉｄ）　

—＿

｝义处理，并提供ＳＰＤＢ（安全策略库）和ＳＡＤＢ（安全关　

联数据库），而Ｐｌｕｔｏ模块作为用户模块，提供ＩＫＥ驻　

留模块以及策略管理驻留模块，为通信双方协商密钥　

并对ＩＰＳｅｃ的实现方式等进行设置，ＰＦ—ＫＥＹ模块相　

当于沟通内核空间及用户空间的桥梁。　

｝　

／／初始化代码　

ｍｏｄｕｌｅ（ｖｏｉｄ）　

ｖｏｉｄ　ｅｘｉｔ　Ｐｌｘ

ｃｌｅａｎｕｐ

＿

＿

｛　

３硬件加密卡部分的设计与实现　

基于ＩＰＳｅｅ的加密卡的体系结构如图２所示。　

／／清除代码　

｝　

第７期　黄兴利等：Ｌｉｎｕｘ２．４内核下ＩＰＳｅｃ加密卡的实现研究　・１６３・　

）　

。

＝＝＝］＝＝。

’、

＝工　

。

三　．　

嚣

．

—　

ｌ　｛三　三　ｌ　ｌ　

Ｄｉｓｐａ

誉ｔｃｈ　ｌ枞ｏＣｏｎ　

申请中断，注册中断　

处理程序　

是ｔ　

中断处理模块　

————　＝＝　

．．．　．．．．．．．．．．．．．．　

Ｉ１．．．．．．　．．．．．一　

释放设备模块　

图３加密卡驱动程序设计流程　

驱动程序模块加载人内核时，内核会调用模块中　

的初始化函数Ｐｌｘ—ｉｎｉｔ—ｍｏｄｕｌｅ，它负责注册和初始化　

模块所提供的所有资源和功能。但在卸载该模块时，　

内核会调用函数Ｐｌｘ—ｃｌｅａｎｕｐ—ｍｏｄｕｌｅ。模块所注册的　

每一项都需要在此函数里注销，返还给系统所有曾申　

请的资源　。。。　

４．２．１初始化设备模块　

此模块的功能为：　

（１）通过内核函数ｐｃｉ　ｐｒｅｓｅｎｔ检查ＰＣＩ总线是否　

被Ｌｉｎｕｘ内核支持；　

（２）搜索检查驱动支持的设备，保存配置空间中　

的所需信息；　

（３）激活ＰＣＩ设备。　

模块主要完成了建立设备驱动程序接口，注册驱　

动程序，寻找设备，挂载设备及为设备分配缓存等工　

作。　

４．２．２打开设备模块　

在该模块中，驱动程序主要完成了以下工作：　

（１）检查读写模式，申请对设备的控制权；　

（２）分配并填写被置于ｆｉｌｐ－＞ｐｒｉｖａｔｅ—ｄａｔａ里的数　

据结构；　

（３）申请ＰＣＩ设备ＶＯ资源的占用；　

（４）实现中断申请，注册中断处理程序；　

（５）增加对该驱动模块的引用计数。　

４．２．３控制信息模块　

实际上控制信息模块完成了对绝大部分设备的操　

作，包括设备查询、ｃＩ寄存器访问、ｃＩ空间映射、Ｓｅｒｉａｌ　

ＥＥＰＲＯＭ访问、１０端口的访问、ＰＣＩ物理内存分配、中　

断、ＶＰＤ、ＰＣＩ内存与本地总线之间的读写、ＤＭＡ等，其　

中最关键的操作即ＤＭＡ数据传输操作。　

驱动程序中ＤＭＡ实现流程如图４所示。　

４．２．４释放设备模块　

释放设备模块是调用ＤｉｓｐａｔｃｈＴａｂｌｅ结构中的Ｄｉｓ—　

ｐａｔｃｈ　ｒｅｌｅａｓｅ方法来实现的，Ｄｉｓｐａｔｃｈ—ｒｅｌｅａｓｅ函数实　

现释放设备模块操作，其作用正好与打开设备相反。　

主要完成的工作包括：　

初始化ＤＭＡ通道　

写入参数　

：　

＇３－开ＤＭＡ通道　

ＰｌｘＰｃｉ　ＤｍｔｔＣｈａｎｎｅｌＯｐｅｎ　

Ｉ　

写入传输参数　

执行块传输　

ＰｌｘＰｅｉ

ＤｍａＴｒａｎｓｆｅｒｌ￣ｌｏｃｋ　

—

Ｉ查询等待。ＭＡ结束ｆ　

关闭ＤＭＡ通道　

ＰｌｘＰｃｉ

Ｄｒｅ．ａＣｈａｎｎｅｌＣｌｏｓｅ　

图４　ＤＭＡ实现流程　

（１）释放对设备的控制权；　

（２）释放由ｏｐｅｎ分配的、保存在ｆｌｉｐ－＞ｐｒｉｖａｔｅ＿ｄａｔａ　

中的所有内容；　

（３）释放中断；　

（４）释放ＰＣＩ设备Ｉ／Ｏ资源的占用权。对Ｉ／Ｏ内　

存资源，同时释放其内存映射；　

（５）释放设备驱动程序占用的内存；　

（６）注销设备驱动程序。　

４．３接口函数描述　

为了简化函数的调用过程，充分考虑到用户的使　

用习惯并为上层ＩＰＳｅｃ软件提供接口，需要将ＤＭＡ函　

数及加密流程进一步封装，在不同层面上使用不同的　

表１接１３＇函数表　

函数名称　函数功用　

把字符串密钥转换为０一Ｆ十　

ａｓｃ

—

ｔｏ　ｘｘ（ｋｅｙ，ｋｋｓ。１６）　六进制数字符　

ｍａｋｅＫｅｙ（ｋｋｓ，ｋ，ｋｅｙｌｅｎｇｔｈ）　

把０一Ｆ十六进制数字符转换　

为３２位数据　

Ｗ

ｒｉｔｅｌｎｖ（ｐＤｅｖｉｃｅ，ｋｉｖｅｃ）　入向量寄存器　

以３２位为单位将初始向量写　

Ｒｅａｄｌｎｖ（ｐＤｅｖｉｃｅ）　读向量寄存器进行校验　

ＷｒｉｔｅＫｅｙ（ｐＤｅｖｉｃｅ，ｋｅｙｌｅｎｇｔｈ，　以３２位为单位将密钥写入密　

ｋ、　钥寄存器　

ＲｅａｄＫｅｙ（ｐＤｅｖｉｃｅ，ｋｅｙｌｅｎｇｔｈ）　读密钥寄存器进行校验　

Ｅｎｃｒｙｐｔｌｎｉｔ（ｐＤｅｖｉｃｅ，ｍｏｄｅ，　确定加解密模式及发送加解　

ｅｎｃ）　密命令　

ＣｉｐｈｅｒＣｏｍｐｕｔｅ（ｐＤｅｖｉｃｅ，ｉｎ—　进行ＤＭ

ｐｕｔ。ｌｅｎｇｔｈ，ｏｕｔｐｕｔ）　

Ａ传输　

・

ｌ６４・　计算机技术与发展　第２ｌ卷　

接口函数（见表１）。　的接口函数允许用户在此基础上进行二次开发，具有　

高安全性、高速及可扩展性等优点。　

５性能测试　

在Ｌｉｎｕｘ２．４内核下，采用手动配置ＩＰＳｅｃ密钥的　

方式，在ＥＳＰ隧道模式下利用两网关互ｐｉｎｇ的方式　ｕ　

参考文献：　

［１］蔡集明，陈林．对ＩＰＳｅｃ中ＡＨ和ＥＳＰ协议的分析与建议　

进行ＩＰＳｅｃ加密卡的性能测试，并使用ｅｔｈｅｒｅａｌ进行网　

［Ｊ］．计算机技术与发展，２００９，１９（１１）：１５—１７．　

关间抓包¨　对数据进行加解密及散列分析（测试结果　

［２］ＲＦＣ２４０１：Ｓｅｃｕｒｉｔｙ　Ａｒｃｈｉｔｅｃｔｕｒｅ　ｆｏｒ　ｔｈｅ　Ｉｎｔｅｒｎｅｔ　Ｐｒｅｔｏｃｄ［Ｓ］．　

１９９８．　

见表２）。　

［３］　Ｋｅｎｔ　Ｓ，Ａｔｋｉｎｓｏｎ　Ｒ．ＲＦＣ　２４０１　Ｓｅｃｕｒｉｔｙ　Ａｒｃｈｉｔｅｃｔｕｒｅ　ｆｏｒ　ｔｈｅ　

表２　网关互ｐｉｎｇ测试结果　

Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ［Ｓ］．１９９８．　

处理形式　吞吐率（／Ｍｂｐｓ）　数据安全性　

［４］罗恒洋．ＩＰＳｅｃ在ＭＰＬＳ　ＶＰＮ中的应用［Ｊ］．计算机技术与　

ＡＥＳ＋ＭＤ５　３８．１４７　数据流保密　

发展，２００９，１９（３）：１６８－１￣１．　

ＡＥＳ＋ＳＨＡ１　３６．２３５　数据流保密　

［５］孙黎．ＩＰＳｅｃ安全芯片的设计与实现［Ｄ］．西安：西北工　

业大学，２００７．　

对加密卡性能进行单独测试，主要性能参数是实　

［６］Ｈａｍｅｄ　Ｈ．Ｍｏｄｅｌｉｎｇ　ａｎｄ　ｖｅｒｉｉｆｃａｔｉｏｎ　ｏｆ　ＩＰＳｅｃ　ａｎｄ　ＶＰＮ　ｓｅｃｕｒｉ—　

现加解密及认证的速率，结果见表３。　

ｔｙ　ｐｏｌｉｃｉｅｓ［Ｃ］／／１３ｔｈ　ＩＥＥＥ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ．［ｓ．Ｉ．］：　

表３加密卡性能测试结果　

『Ｓ．ｎ．１，２００５．　

处理方式　吞吐率（ＩＭｂｐｓ）　时钟频率（ＭＨｚ）　

［７］林建德．北京：中国ＶＰＮ市场研究年度报告［Ｒ］．北京：　

ＡＥＳ（ＥＣＢ）　５４９．８６８　９８．８　

［出版者不详］，２００５．　

ＡＥＳ（ＣＢＣ）　４７７．４３４　９３．２５　

［８］高振栋．动态ＩＰ环境下ＩＫＥｖ２扩展设计与改进［Ｊ］．计算　

机技术与发展，２００８，１８（１２）：１６２－１６５．　

ＨＭＡＣ—ＳＨＡ１　２９３　４７．５１　

［９］Ｗｉｌｓｏｎ　Ｃ，Ｐｅｔｅｒ　Ｄ．虚拟专用网的创建与实现［Ｍ］．北京：机　

ＨＭＡＣ—ＭＤ５　２５３　３３．６２　

械工业出版社，２０００．　

实验结果表明，硬件实现ＩＰＳｅｃ协议都可以保证　

［１０］Ｒｕｂｍｉ，Ｊｏｎａｔｈａｎ．１ｉｎｕｘ设备驱动程序［Ｍ］．魏永明，译．北　

数据的高速安全传输，完全满足高速网络的需求。　

京：中国电力出版社，２００２．　

［１１］杨黎斌，慕德俊，蔡晓妍，等，基于硬件加密的嵌入式ＶＰＮ　

６结束语　

网关的实现［Ｊ］．计算机工程与应用，２００７，４３（４）：１２２—　

１２５．　

ＩＰＳｅｃ协议对于保证虚拟专用网的网络安全性具　

［１２］顾文婷，潘雪增，楼学庆，等，面向ＩＰｓｅｃ安全策略的ＶＰＮ　

有极其重要的意义。文中实现了基于开源Ｌｉｎｕｘ操作　

性能评估模型［Ｊ］．计算机工程与应用，２００９，４５（３６）：７８－　

系统的ＩＰＳｅｃ硬件加速，适用于ＶＰＮ数据安全传输；采　

８１．　

用软硬件结合的方式，极大地缩短了开发周期，而完善　

（上接第１６０页）　

构，在低成本ＦＰＧＡ上成功实现了ＤＥＳ算法的功能。　

出版社，２００９．　

通过综合仿真和硬件实现验证了算法的正确性和实用　

［６］Ｄｒｉｍｅｒ　Ｓ．Ｓｅｃｕｒｉｔｙ　ｏｆｒ　Ｖｏｌａｔｉｌｅ　ＦＰＧＡｓ［Ｄ］．Ｌｏｎｄｏｎ：Ｐｈｉｌｏｓｏ—　

性。　

ｐｈｙ　ｔｏ　ｔｈｅ　Ｕｎｉｖｅｒｓｉｔｙ　ｏｆ　Ｃａｍｂｒｉｄｇｅ，Ｄａｒｗｉｎ　ＣｏＲｅｇｅ，２００９．　

［７］Ｋａｈａｔｅ　Ａ．密码学与网络安全［Ｍ］．邱仲，译．北京：清　

参考文献：　

华大学出版社，２００５．　

［８］　陈雪林，王毅．ＤＥＳ算法的ｓ盒分析［Ｊ］．内肛科技，　

［１］刘涛，胡佳伟．校园网络环境下数据加密的研究与设计　

２００７，８（７）：１３９－１４０．　

［Ｊ］，计算机技术与发展，２００８，１８（１）：１７１－１７４．　

［２］王衍波，薛通．应用密码学［Ｍ］．北京：机械工业出版　

［９］　曹建国，王丹，王威．基于ＲＳＡ公钥密码安全性的研　

究［Ｊ］．计算机技术与发展，２００７，１７（１）：１７２－１７３．　

社，２００３．　

［３］普运伟，耿植林，楼静．从ＤＥＳ算法论分组密码的设计　

［１Ｏ］Ｒａｐｈａｅｌ　Ｃ．Ｒｅｄｕｃｉｎｇ　ｔｈｅ　ｅｘｈａｕｓｔｉｖｅ　ｋｅｙ　ｓｅａｒｃｈ　ｏｆ　ｔｈｅ　ｄａｔａ　

ｅｎｃｒｙｐｔｉｏｎ　ｓｔａｎｄａｒｄ［Ｒ］．Ｍａｌａｙｓｉａ：Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ　Ｒｅ—　

原则［Ｊ］．微机发展（现更名：计算机技术与发展），２００５，　

ｓｅａｒｃｈ　Ｌａｂ，Ｓｗｉｎｂｕｒｉｌｅ　Ｕｎｉｖｅｒｓｉｔｙ　ｏｆ　ＴｅｅｈｎｏＭｇｙ，２００６．　

ｌ５（５）：５７—５９．　

［４］Ｌａｇｇｅｒ　Ａ．Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ　ｏｆ　ＤＥＳ　Ａｌｇｏｒｉｔｈｍ　Ｕｓｉｎｇ　ＦＰＧＡ　

［１１］张春辉．ＤＥＳ算法原理及改进［Ｊ］．电脑知识与技术，　

Ｔｅｃｈｎｏｌｏｇｙ［Ｒ］．［ｓ．１．］．Ｍｉｃｒｏｅｌｅｃｔｒｏｎｉｃ　Ｓｙｆｌｅｍｓ　Ｌａｂｏｒａｔｏｒｙ　

２００９，５（２２）：６１７３—６１７４．　

Ｗｉｎｔｅｒ　ｅＳｍｅｓｔｅｒ　Ｐｒｏｊｅｃｔ，２００２．　

［１２］李辉．基于ＦＰＧＡ的数字系统设计［Ｍ］．西安：西安电子　

［５］金晨辉，郑浩然，张少武，等．密码学［Ｍ］．北京：高等教育　

科技大学出版社，２００８．