基于嵌入式LINUX安全操作系统的研究

收稿日期：2011-08-29

作者简介：何忠悦（1978－），男，湖南郴州人，讲师，学士，研究方向为嵌入式系统设计与开发。

0 引言

Linux 作为一种操作系统广为流行．不仅因其源码开放，而且GNU(一套完全自由的操作系统)的大多数程序都可以在它下面进行编译开发再利用。111目前在Linux 基础上开发的系统在计算机领域，尤其是网络管理等方面得到广泛应用。Linux 网关是指利用Linux 作为底层操作系统。在其上进行系统开发。建立一个具有网络管理功能的网关服务器。相对于Windows 系统．其安全性和可靠性都有较大提高。

而在计算机的操作系统中，虚拟专用网络(virtual private network ，VPN)的操作性和适用性很强，如果能够将VPN 技术模块成功移植到Linux 系统中也是有着很大的适用前景的，首先能够利用VPN 技术模块灵活而区域覆盖广泛的特点对传统的技术进行修正，并且能够在Linux 系统中很大的抵御住安全隐患的入侵，相对来说安全性大大提高，所以这种移植很有研究的前景。

1 相关技术概述

IPSec 协议的目的是为了对IP 层传输提供各种安全服务，其安全协议主要由ESP 协议与AH 协议组成，ESP 协议涉及净负荷封装与加密，AH 协议涉及数据确证，根据需要可选择之一或皆选。IPSec 协议在IP 端主机间或安全网关间执行，对

基于嵌入式LINUX安全操作系统的研究

LINUX based embedded security operating system research

何忠悦，孙小进，胡 志

HE Zhong-yue, SUN Xiao-jin, HU Zhi

（湖南信息职业技术学院，长沙 410200）

摘 要： 目前，网络上最大的安全风险来自两方面：一方面信息在传输时被窥探或非法修改；另一

方面公网对内网的非法访问和攻击。对此的解决措施主要在于加密技术和防火墙技术的应用。VPN（Virtual Private Network）网关就是一种综合以上两种技术的安全措施。VPN 通过采用加密、认证、存取控制、协议封装等技术在Internet上构筑安全通道，为处于公共网络两端的内网中的用户建立可信安全连接。文中首先就Linux内核移植与构建进行了重点阐述；然后在分析IKEv2协议基础上，按照协议的“最小化实现”规范，提出了总体设计方案，重点设计并实现了PF_KEY V2协议；最后对系统进行测试，测试结果表明：移植的嵌入式Linux系统运行良好，完全满足VPN网关对系统平台的要求。

关键词： 嵌入式Linux；IPSec；VPN网关；PowerPC；IKEv2；PF_KEY

中图分类号：TP316 文献标识码：Ａ 文章编号：1009-0134(2011)11(下)-0153-04Doi: 10.3969/j.issn.1009-0134.2011.11(下).47

IP 传输进行保护。

ESP 协议与AH 协议支持两种模式的使用：隧道模式与传输模式。使用传输模式，协议主要提供对高层协议的保护，而在隧道模式下，对整个IP 信包进行保护和隧道传输。隧道在两点或两端间建立通信，在点到点隧道中，隧道由远程用户的PC 延伸到企业内网中的服务器，两边的设备负责隧道的建立以及两点之间的信包的加密和解密；在端到端隧道中，隧道终止于两端局域网的VPN 安全网关设备，连接起异地的两个局域网。使用隧道模式的安全网关对IP 包的保护更为全面，我们对基于IPSec 协议的Linux VPN 安全网关原型设计采用了隧道模式。在VPN 安全网关间的隧道通信中，使用IPSec 协议保证了数据的安全性和一致性。具有ESP 头并加密和封装后的信包经过隧道可以放心地在Internal 上传送。即使有人截获了数据信包，由于没有加密密钥，截获数据对其毫无用处。企业或组织使用VPN 安全网关可以放心地通过公用网络这一廉价的媒体，建立自己的虚拟专用网。

使用隧道模式的安全网关组成了虚拟专用网VPN ，左侧及右侧的本地Internel 上传输的是普通IP 信包，在安全网关上进行IPSec 处理后，安全网关1与安全网关2间在隧道模式下传送的信包

的协议头字段变为：

(新IP头)(ESP头)(原IP头)(高层协议头)

(隧道加密传送时使用)

或(新IP头)(AH头)(原IP头)(高层协议头) (数据确证时使用)

在ESP头后面的字段都进行了封装加密。根据这样的方案，在协议头字段中，外层新IP头包含了进行IPSec处理的源与目的安全网关IP结点地址，内层IP头为IPSec处理前的原IP头，包含了该信包的最终目的IP地址。安全协议头ESP或AH 位于外层新IP头之后、内层原IP头之前，外层新IP头里的“协议”域指明后面紧跟ESP头还是AH头（ESP-50，AH-51)。

2 嵌入式Linux的系统开发流程

嵌入式系统是把计算机直接嵌入到应用系统

中，它融合了计算机软/硬件技术、通信技术和微电子技术。随着微电子技术和半导体技术的高速发展，超大规模集成电路技术和深亚微米制造工艺已十分成熟，从而使高性能系统芯片的集成成为可能，并推动着嵌入式系统向最高级构建形式，即片上系统SOC（System on a Chip）的水平发展，进而促使嵌入式系统得到更深入、更广阔的应用。嵌入式技术的快速发展不仅使其成为当今计算机技术和电子技术的一个重要分支，同时也使计算机的分类从以前的巨型机/大型机/小型机/微型机变为通用计算机/嵌入式计算机（即嵌入式系统）。

当代码从一种体系结构移植到另外一种不同的体系上叫做移植，而其方便程度即是内核的可移植性程度。Linux是一个可移植性非常好的操作系统，它广泛支持了许多不同体系结构的计算机，其单体内核结构的基础上采用分层结构、模块化设计和面向列象等思想机制，在一定程度上弥补了单体内核裁减、配置能力差，系统升级难等弱点。

首先，对于本设计的内核运用分层设计，分层设计采用了硬件抽象层HAL。这样能够提高操作系统的可移植性能，而且其代码页可以重复使用，硬件相关部分尽量的独立并且与其他部分关系清晰，使得可以将内核移植的工作控制在内核的某一个层次来进行，从而增加了系统的可移植性。

Linux内核的代码编译的工作量大，且模块调用也很麻烦，所以要进行提取详情后的重点分析。

在Linux中，对PowerPC体系结构下各种开发板支持的实现采用了函数指针的方式。这些函数指针定义在一个结构体中，该结构体定义在include/asm-ppc/machdep.h中，具体如下：

struct machdep_calls{

char *name;

int ppc_machine;

void (*init)(void);

void (*restart)(char *cmd);

void (*pcibios_flxup_resourees)(struct pci_ dev *);

void (*pcibios_flxup_bus)(struct pci_bus *);

int (*pcibios_enable_device hook)(struet pci_dev *,int initial);

unsigned char (*pci_swizzle)(struct pci_dev *,unsigned char *);

i n t(*p c i_m a p_i r q)(s t r u c t p c i_d ev *,unsigned char,unsigned char);

int (*pci_exclude_device)(unsigned char,unsigned char);

}

machdep_calls 结构中主要包含了与硬件平台操作相关的函数指针，主要包括以下五个方面：体系结构初始化，开发板初始化，中断初始化，时钟初始化，PCI初始化等。

建立文件arch/ppc/platforms/4xx/te40x.h。

在文件arch/ppc/syslib/ppc4xx_setup.c中定义了一个该结构的全局变量_result，所有内核中调用此变量的地方都要根据开发板只体的定义进行修改。

图1 Linux内核硬件相关图

建立文件arch/ppc/platforms/4xx/te40x.c。

在te40x.c中定义了TE-40X开发板特定功能的具体实现，如PCI中断表设置、PCI地址映射、串口初始化、开发板与体系结构相关的初始化，并在函数platform_init()对ppc_md中的函数指针进行具体赋值。

修改头文件include/asm-ppe/ibm4xx.h。

该头文件中主要包含了各开发板的头文件和开发板初始化函数的声明。这里将TE-40X开发板的头文件include进该文件：

#if defined(CONFIG_TE40X)

#include

#endif

bd_t结构的全局变量_result中各数据项的赋值是在arch/ppc/boot/simple/embed_config.c中进行的。而其相关的各种硬件参数的计算与开发板硬件具体相关，这需要对开发板上的各种硬件配置和硬件参数的计算方法有一定的了解。其中主要作改动的是以太网MAC地址的计算和赋值部分，具体的参照bd_t开发板中对以太网MAC地址的数掘格式的定义进行相应的改动。

3 安全操作的实现与应用

IKE系统的总体设计基本框架如图2所示。能分为系统管理模块、配置接口模块、内核消息处理模块等八大模块。

图3 IKEv2功能模块划分

动态建立SA时常常用到IKE。其是代表了IPSec对SA进行协商，并对SADB进行填充。1KE的协商交换分为两个阶段：首先是通信各方彼此间建立了一个已通过身份认证和安全保护的隧道，即建立IKE SA。然后就是利用既定的SA，为IPSec连接协商具体的SA。IKE保证了动态地建立SA和建立过程的安全。

IKE是一种混和协议，混和协议的复杂性使其不可避免地带来一些安全及性能上的缺陷，导致其成为整个IP-Sec实现中的瓶颈。为此，IETF一直对现有版本不合理部分积极征集修改意见，陆续推出了新的IKE草案，并于2005年12月26日正式推出了新的IKE协议标准——IKEv2。为了提高IKE的实现效率，简化实现的复杂度，IKEv2对原有版本进行了以下一些改进：

IKEv2将整个IKE协议的定义放在一个单一的文档中，这个文档代替了原有的RFC2407，2408以及2409，并且还包含了后来对IKE的各种修改，例如对NAT穿越，可扩展认证，以及远程地址获取等的支持。

在IKE第一版本中，对消息交换的定义非常复杂。为了使得IKE的定义更加简洁，实现的速度更快，IKEv2将原来IKE第一阶段的8种不同的初始化交换简化为一种交换方式，并且将原先在主模式下需要的6条消息减化为4条消息，还将原版本中第二阶段快速交换模式的3条消息简化为2条。

在IKEv2的初始化交换中，由于通信双方只需要两轮交换(即4条消息)，降低了实施IKE的时间，又由于IKEv2在初始化交换完成后就能建立起第一个Child SA(如IPsecSA)，如果用户程序只需要新建一个IPSec-SA的话，就不需要再进行

图2 IKEv2总体设计的基本框架

在整个系统中，协商处理模块是系统的中心模块，围绕该模块的分别有一系列的阶段和事件算法等：状态库、交换阶段、超时事件、密码算法、网络接口和PF_KEY接口。为了能够更加直观，可以具体如图3所示。

在图3中，整个系统按照功能来实现分类，比起上面的算法等分类更加的易于理解，按照功

第二阶段为创建Child SA而发起的交换，这样减少了消息交换的次数，从而进一步降低了延迟。

在上述的过程中，数据可以发现IKEv2守护进程对于两个阶段的SA协商都能够准确的完成，并能够通过交互的PF_KEY套接字与内核数据库进实现对SA的管理和维护，基本满足设计要求。

整个内核消息处理模块各实现函数之间关系以及与PF_KEY消息机制的交互关系。按照实现函数功能可将内核消息处理模块具体的分为如下四个模块：初始化模块、消息处理模块、消息创建模块和PF_KEY交互模块。

PF_KEY协议族定义在中，与其它的协议族同样的风格。应用程序使用PF_KEY 不能依靠关键字AF_KEY是否可用，但是内核的实现最好定义AF_KEY。

密钥管理套接字的建立如下：

#include

#include

#include

int s;

s = socket(PF_KEY, SOCK_RAW, PF_KEY_V2);

PF_KEY守护进程目前只能支持SOCK_RAW 套接字。协议域必须设置为PF_KEY_V2，否则将返回错误EPROTONOSUPPORT。只有可信的特权进程能够建立PF_KEY套接字。UNIX系统的惯例，特权进程是指用户标识符为零的进程。在分离式工作站（CMWs）或者其它声称提供多级安全（MLS）的系统上，一个进程必须拥有“密钥管理特权”才能打开PF_KEY套接字[DIA]。当前没有上述特权的MLS系统为了符合本规范必须增加上述特权给PF_KEY。一些系统，尤其是在一些流行的个人电脑上，没有普通用户的概念。这些系统应该设法限制应用程序访问PF_KEY API。

4 结论

Linux作为一种操作系统广为流行．不仅因其源码开放，而且GNU(一套完全自由的操作系统)的大多数程序都可以在它下面进行编译开发再利用。111目前在Linux基础上开发的系统在计算机领域，尤其是网络管理等方面得到广泛应用。Linux网关是指利用Linux作为底层操作系统。在其上进行系统开发。建立一个具有网络管理功能的网关服务器。相对于Windows系统．其安全性和可靠性都有较大提高。

参考文献：

[1] Ruohomaa S, Kutvonen L.Trust Management Survey[M].

Berlin, Germany: Springer-Verlag, 2005: 77-92.

[2] 何宝宏. IP虚拟专用技术[M]. 北京:人民邮电出版社,

2002.

[3] 戴宗坤, 唐三平. VPN与网络安全[M]. 北京: 电子工业出

版社, 2002: 5-14.

[4] Karim Yaghmour. 构建嵌入式Linux系统[M]. 中国电力出

版社, 2004.

[5] 李善平, 刘文峰, 李程远, 等. Linux内核2.4版源代码分

析大全[M]. 北京: 机械工业出版社, 2002 .