动态密钥协商协议IKEv2研究与分析

合集下载

密钥交换协议之IKEv2

密钥交换协议之IKEv21. IKEv21.1 IKEv2简介IKEv2（Internet Key Exchange Version 2，互联⽹密钥交换协议第 2 版）是第 1 版本的 IKE 协议（本⽂简称 IKEv1）的增强版本。

IKEv2与 IKEv1 相同，具有⼀套⾃保护机制，可以在不安全的⽹络上安全地进⾏⾝份认证、密钥分发、建⽴ IPsec SA。

相对于 IKEv1， IKEv2 具有抗攻击能⼒和密钥交换能⼒更强以及报⽂交互数量较少等特点。

1.2 IKEv2的协商过程要建⽴⼀对 IPsec SA， IKEv1 需要经历两个阶段，⾄少需要交换 6 条消息。

在正常情况下， IKEv2只需要进⾏两次交互，使⽤ 4 条消息就可以完成⼀个 IKEv2 SA 和⼀对 IPsec SA 的协商建⽴，如果要求建⽴的 IPsec SA 的数⽬⼤于⼀对，则每增加⼀对 IPsec SA 只需要额外增加⼀次交互，也就是两条消息就可以完成，这相⽐于 IKEv1 简化了设备的处理过程，提⾼了协商效率。

IKEv2 定义了三种交互：初始交换、创建⼦ SA 交换以及通知交换。

下⾯简单介绍⼀下 IKEv2 协商过程中的初始交换过程。

如上图所⽰，IKEv2的初始交换过程中包含两个交换：IKE_SA_INIT交换（两条消息）和 IKE_AUTH交换（两条消息）。

IKE_SA_INIT 交换：完成 IKEv2 SA 参数的协商以及密钥交换；IKE_AUTH 交换：完成通信对等体的⾝份认证以及 IPsec SA 的创建。

这两个交换过程顺序完成后，可以建⽴⼀个 IKEv2 SA 和⼀对IPsec SA。

创建⼦ SA 交换：当⼀个 IKE SA 需要创建多个 IPsec SA 时，使⽤创建⼦ SA 交换来协商多于⼀个的 SA，另外还可⽤于进⾏ IKE SA 的重协商功能。

通知交换：⽤于传递控制信息，例如错误信息或通告信息。

1.3 IKEv2 引⼊的新特性1.3.1 IKEv2 ⽀持DH猜想在 IKE_SA_INIT 交换阶段，发起⽅采⽤“猜”的办法，猜⼀个响应⽅最可能使⽤的 DH 组携带在第⼀条消息中发送。

新一代动态密钥协商协议IKEv2的研究与分析

新一代动态密钥协商协议IKEv2的研究与分析作者：周耀鹏, 李志华来源：《电脑知识与技术》2009年第14期摘要:IKE协议作为IPSec体系中动态密钥协商机制,极大地增强了IPSec体系的安全性。

而IEKv2作为IKE的替代者,对原有的IKE协议进行了诸多方面的改进。

本文首先简单介绍了IKE协议,然后重点分析了IKEv2具体协商过程,最后阐述了IKEv2的发展趋势。

关键词:IP安全(IPSec);Internet动态密钥交换(IKE);IKE第二版本(IKEv2);动态密钥协商中图分类号:TP393文献标识码:A文章编号:1009-3044(2009)14-3657-02Research and Analysis about the New Generation Dynamic Key Negotiation Protocol IKEv2ZHOU Yao-peng1,2, LI Zhi-hua1(1.Jiangnan University, School of Information Technology, Wuxi 214122, China; 2.Wuxi Professional College of Science and Technology, Wuxi 214028, China)Abstract: As the dynamic key negotiation mechanism in the IPSec system,IKE improves the safety of the IPSec system greatly. Being a substitute,IKEv2 makes IKE be improved in many aspects.This paper introduces the IKE protocol in brief, and emphatically analyzes the concrete negotiation process of IKEv2,finally elaborates the IKEv2 trend of development.Key words: IP Security(IPSec); Internet Key Exchange(IKE); version 2 of Internet Key Exchange(IKEv2); dynamic key negotiation1 引言目前网络安全的重要性日益突出,IKE协议作为IPSec体系的组成部分,极大地增强了网络通讯的安全性。

基于IPsec的密钥交换协议(IKEv2)的研究与实现

收稿１期：０１３— ５３２１ —００基金项目：开封市科技攻关项目（ｏ１４１０２）
ＩＥｌＫｖ的协商流程非常复杂，采用两个阶段，四种模式．在第一阶段中选择使用主模式或野蛮模式，其中在主模式中需要六条交换消息，第二阶段的快速模式需要三条交换消息．Ｅ２中仍保留两个阶段，ＩｖＫ其三种交换类型的命名能更准确地反映交换的特征，而且交换消息的条数也得到了精简，第一阶段减少为四条，第二阶段减少为两条．１３栽荷的精简与重组．（）信选择符（）１通定义了传送到新建立ｓＡ的数据包的选择标准（地址和端口范围等）在ＩＥｌ．Ｋｖ中，这些参数是固定的，而且目的端没有选择，参ＩＳ数的能力．这会导致删除一些合法的数据包，比如在目的端的，ＩＳ参数范围比源端小的情况下，就会引起错误而丢弃该数据包．Ｅ２对此进行了改进，ＩｖＫ在ＩＥ２，Ｋｖ中目的端可以选择初始端所提议的，ＩＳ的一个非空子集．ＩＥ２，Ｋｖ对ＩＳ的另一个重要的改变是在ＩＥ２Ｋｖ中１Ｓ是作为一个单独的，ＩＳ载荷出现的，在协商它ＣＩ — ＨＬＳＤＡ时使用．而在ＩＥｌＫｖ中它是Ｉ载荷的一部Ｉ）分．（）Ｅｌ提案载荷、２Ｉｖ中，Ｋ转换载荷、属性载荷的内部关系复杂，不利于理解和实现．Ｅ２Ｉｖ则取消了Ｋ这三种载荷，使其作为安全联盟载荷（Ａｐｙａ）Ｓａｏｄ的ｌ不同子结构（ｂｔｃ结合在一起．ｓｓｔｕｍ）一个ＳＡ载荷可以包含多个按顺序排列的提案子结构，一个提案可以包含多个Ｉｓｃ协议（：Ｋ、Ｓ、Ｈ）一个协议Ｐｅ如ＩＥＥＰＡ，又可以包含多个转换子结构（：Ｈ，如Ｄ）而每个转换

EAP-IKEv2协议研究和安全分析

（ｅｒｅｔｏｏｐｔＳｉｃＤｐｔｎｆＣｍｕｅｃｎａｍｒｅｅ＆＿ｇｚｒｇＴｇｎｓＺ，￣ａｇａ＃ｌ０，ＰＣｉ）Ｆ／＃ｎ，ｏｌｉ／ｙｈｎｈｌＯＳ４ｈａｎ）／ｅｎ／Ｕｖｗｎ
Ａｂｔａｔ：ＡｕｈｎｉａｉｎｓｎｏｔｅｓｒｃｔｅｔｃｔｉｏｏｅｆｈｍｏｔｍｐｒａｔｅｕｉｙｅｖｃｓｆｓｉｏｔｎｓｃｒｓｒｉｏＷＬＡＮ，ＥＡｔｅＰ－Ｉ２ＳｎｗｕｈｎｉａｉｎｎｋｙｇｒｅｎＫＥｖｉａｅａｔｅｔｃｔａｄｅａｅｍｅｔｏ
一
般采用基于ＥＡＰ…协议来进行认证。本文在概述ＥＡＰ
和ＩＫＥｖ２协议基础上，介绍一种新的ＥＡＰ协议ＥＡＰ— Ｉｖ，并利用ＡＶＩＰ验证其安全性。ＫＥ２ＳＡ
认证方式延后，这样就允许认证者在决定采用何种认证机
学术．技术
ＥＰＩＥ２协议研究和安全分析Ａ－Ｋｖ
王晔澄，谭成翔
（同济大学，上海２１０）０８４
摘要：认证是无线局域网的一种最重要的服务。ＥＰＫｖ是一个新的基于ＥＰ协议的认证和密钥分配协议。该文详细分析Ａ —ＩＥ２Ａ
ｅｓｒｔｅｎｕｅｈｍｕｕＩｕｈｎｉａｉｎｅｗｅｎＡｒｅｖｒｎＥｃｅｔｓｇＶＩＰｔａａｔｅｔｃｔｂｔｅＥｓｒｅａｄＡｒｌｎｕｉＡＳＡａａｙｉＯ１ｏｉｎｎｌｓｔＯ．ｓ

基于IKEv2的物联网认证与密钥协商协议

基于IKEv2的物联网认证与密钥协商协议马巧梅【期刊名称】《计算机与数字工程》【年(卷),期】2013(041)004【摘要】在物联网中,关键的安全认证协议主要位于服务器与节点之间的通信中,一旦节点的身份被假冒,则服务器会接收到错误的数据；一旦服务器的身份被假冒,则节点反馈给服务器的信息将被泄露.论文针对物联网中存在的以上攻击,改进了Internet密钥交换协议IKEv2,进一步完善了其认证功能,更好地保证了服务器与节点之间的安全通信.%The key security authentication protocol communicates mainly between the server and the nodes in the IOT. Once the identity of node is faked, the server will receive the wrong data, once the identity of the server was faked, the information of the node feedback to the server will be leaked. Aimed at the existing above attack of IOT, the Internet key exchange protocol based on IKEv2 is improved in this paper, further perfecting the authentication function of IKEv2, in order to better ensure the secure communication between the server and the node.【总页数】3页(P628-630)【作者】马巧梅【作者单位】宝鸡文理学院计算机科学系宝鸡721016【正文语种】中文【中图分类】TP393【相关文献】1.一种轻量级的动态化密钥协商的物联网身份认证协议研究 [J], 崔维;张国山;李晖2.一个基于身份的密钥隔离认证密钥协商协议 [J], 朱国斌;赵洋;熊虎;秦志光3.工控物联网认证协议与密钥协商算法研究 [J], 贡春燕;朱建勇4.一种面向物联网设备的口令认证密钥协商协议 [J], 肖帅;张翰林;咸鹤群;陈飞5.物联网安全网关认证与密钥协商协议设计 [J], 杜大海;范红;王冠;李程远因版权原因，仅展示原文概要，查看原文内容请购买。

IPSecIKEvVPN安全协议

IPSecIKEvVPN安全协议IPSec IKEv2 VPN安全协议引言近年来，随着互联网的迅猛发展，保护网络数据安全已经成为亟待解决的问题之一。

在企业和个人使用的虚拟专用网络（VPN）中，IPSec IKEv2（Internet Protocol Security Internet Key Exchange version 2）协议作为一种安全性较高的选项，得到了广泛的应用。

本文将探讨IPSec IKEv2 VPN安全协议的原理、功能和应用。

一、IPSec IKEv2概述IPSec IKEv2是一种用于建立和管理VPN连接的协议。

它在Internet Engineering Task Force（IETF）的RFC7296标准中有详细的介绍。

IPSec IKEv2通过提供身份认证、密钥交换和数据加密等功能，实现了对VPN连接的保护。

它是IPSec协议族中的一员，能够确保数据在传输过程中的机密性、完整性以及可靠性。

二、IPSec IKEv2的原理1. 身份认证IPSec IKEv2协议使用证书、预共享密钥或者用户名/密码等方式进行身份认证。

其中，证书认证通常被认为是最安全的方式，它可以提供更高的认证强度和防止身份伪冒的能力。

2. 密钥交换IPSec IKEv2使用Diffie-Hellman算法来执行密钥交换，以确保在安全的通信通道上进行密钥协商。

这种算法使得传输的密钥只能在参与交换的两个实体之间得到，从而有效地防止第三方对密钥的截获和破解。

3. 数据加密IPSec IKEv2使用对称加密算法对数据进行加密，以保护传输的数据免受未经授权访问和篡改的风险。

常见的加密算法包括AES （Advanced Encryption Standard）和3DES（Triple Data Encryption Standard）等。

三、IPSec IKEv2的功能1. 机密性IPSec IKEv2使用加密算法对数据进行加密，确保传输过程中的机密性。

Internet密钥交换协议IKEv2研究

维普资讯
＇
第２５卷第２期
２００８年２月
计算机应用与软件
ＣｏｕｅｐｉａｉｎｎｏｔｒｍｐｔｒＡｐｌｔｏｓａｄＳｆｃｗａｅ
Ｖｏ．５Ｎｏ２１２．
Ｆｂ．０８ｅ２０
ＩＫＥｖ６。２＿ｊ
接不同的载荷；
３Ａ：全关联载荷，于协商Ｓ）Ｓ安用Ａ的属性；
ＩＥ２无疑将取代ＩＥ得到广泛应用，ＫｖＫ因此深入了解
４Ｅ密钥交换载荷，）Ｋ：主要包含ＤＨ交换的公开参数；．５Ｄ：）Ｉ身份标识载荷；
同时简化了原版本的复杂性。对ＩＥ２协议的密钥协商机制进行了分析。Ｋｖ
关键词ＩＥ２ＩＥＩＳｃ密钥交换ＫｖＫＰｅ安全关联
ＲＥＳＥＡＲＣＨｏＮＮＴＥＲＮＥＴＩＫＥＹＥＸＣＨ［ＡＮＧＥＰＲｏＴｏＣｏＬＫＥｖＩ２
Ｉｔｒｅ密钥交换协议ＩｖｎｅｎｔＫＥ２研究
陈卓张正文
（湖北工业大学计算机学院湖北武汉４０６３０８）
摘
要
２００５年１２月发布的Ｉｔｎｔｎｅｅ密钥交换协议ＩＥ（ｎｅｅＫｙＥｃａｇ）ｒＫＩｔｒｔｅｘｈｎｅ第二版ＩＥ２在安全性和实现效率上得到提高，ｎＫｖ
ＣｈｎＺｈｏＺｈｎｅｇｎｅｕａｇＺｈｎｗｅ
（ｃｏｌｆＣｍｕｅ，ｂｉｎｖｒｏＴｃｎｌｙＷｈｎ４０６Ｈｕｅ，ｈｎＳｈｏｏｐｔＨｕｅＵｉｓｆｅｈｏｏ，ｕａ３０８，ｂｉＣｉｏｒｅｇａ）

IKEv安全协议分析

IKEv安全协议分析在现代计算机网络中，安全性是至关重要的一个方面。

保护数据的机密性、完整性和可用性对于用户和组织来说都至关重要。

在网络通信中，IKEv（Internet Key Exchange version）安全协议被广泛应用于虚拟专用网络（VPN）和其他安全通信场景中，以确保通信的安全性。

本文将对IKEv安全协议进行分析，了解其工作原理和安全性。

一、IKEv协议简介IKEv是一种用于建立和管理虚拟专用网络的协议，它的主要功能是协商和建立安全关联，以便在IP网络上进行安全通信。

IKEv有两个主要版本，分别是IKEv1和IKEv2。

在IKEv协议中，对称加密算法、非对称加密算法和哈希算法等密码学原语被用于确保通信的机密性和身份验证。

二、IKEv协议流程在IKEv协议中，通信的两端称为Initiator（发起者）和Responder （响应者）。

下面是IKEv协议的主要流程：1. 初始化：发起者向响应者发送SA（Security Association）请求，以协商两端之间的安全参数。

2. 安全参数协商：发起者和响应者之间进行协商，选择使用的加密算法、身份验证方法和密钥长度等参数。

3. 身份验证：发起者和响应者通过交换认证信息来进行身份验证，以确保通信的双方都是可信的。

4. 密钥协商：在身份验证成功后，发起者和响应者使用Diffie-Hellman密钥交换协议来生成共享密钥，用于后续的数据加密和解密。

5. 完成协议：发起者和响应者交换最终的确认信息，以表示IKEv协议的成功完成。

通过以上流程，IKEv协议成功建立了安全关联，并确保通信的机密性、完整性和可用性。

三、IKEv协议的安全性分析1. 机密性保证：IKEv协议使用对称加密算法来保证数据的机密性。

在协商阶段，双方协商选择一种对称加密算法，并生成共享密钥。

之后，使用该共享密钥进行数据加密和解密操作，从而保证数据传输的机密性。

只有具有正确密钥的接收方才能解密数据，从而提升了数据的保密性。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

新一代动态密钥协商协议IKEv2的研究与分析周耀鹏1,2,李志华1(1.江南大学信息工程学院，2.无锡科技职业学院,江苏无锡 214122)摘要: IKE协议作为IPSec体系中动态密钥协商机制，极大地增强了IPSec体系的安全性。

而IEKv2作为IKE的替代者，对原有的IKE协议进行了诸多方面的改进。

本文首先简单介绍了IKE协议，然后重点分析了IKEv2具体协商过程，最后阐述了IKEv2的发展趋势。

关键词：IP安全(IPSec)；Internet动态密钥交换(IKE)；IKE第二版本（IKEv2）；动态密钥协商中图分类号：TP393.08文献标识码：AResearch and Analysis about the New Generation Dynamic KeyNegotiation Protocol IKEv2Zhou Yao-peng,Li Zhi-hua(1.Jiangnan University,School of Information Technology,2.Wuxi ProfessionalCollege of Science and Technology,Jiangsu,Wuxi 214028，China) Abstract: As the dynamic key negotiation mechanism in the IPSec system,IKE improves the safety of the IPSec system greatly.Being a substitute,IKEv2 makes IKE be improved in many aspects.This paper introduces the IKE protocol in brief, and emphatically analyzes the concrete negotiation process of IKEv2,finally elaborates the IKEv2 trend of development.Key words:IP Security（IPSec）；Internet Key Exchange（IKE）；version 2 of Internet Key Exchange（IKEv2）；dynamic key negotiation引言目前网络安全的重要性日益突出，IKE协议作为IPSec体系的组成部分，极大地增强了网络通讯的安全性。

但是IKE协议具有很多缺陷，为此新的IKEv2协议在IKE的基础之上进行了大量的改进，从而进一步增强IPSec体系的安全性，为上层网络的安全性提供了保障。

1 IKE简介IKE协议属于整个IPSec体系结构中的动态密钥协商部分，它是多种动态密钥交换机制之一，也是目前事实上的工业标准。

IKE协议主要用于进行虚拟专用网VPN的认证与SA会话密钥的协商。

它可以动态地建立安全关联，为通信双方提供IPSec安全通信所需的相关信息，例如加密算法、会话密钥、通信双方身份认证等。

IKE机制协商的目的是产生一个通过验证的密钥和提供双方同意的安全服务，即最终提供IPSec 安全关联（IPSec SA），使进行通讯的IPSec VPN之间能够建立安全的数据通讯隧道。

IKE主要通过两个阶段的协商过程来建立IPSec安全关联（IPSec SA）。

第一阶段建立ISAKMP SA，第二阶段利用第一阶段得到的ISAKMP SA进一步协商从而建立IPSec SA。

IKE是一种混合型协议，其复杂性一直受到业界广泛的批评。

另外，IKE还存在很多问题。

2 IKEv2简介为了解决原有IKE的诸多缺点，IKE的第二版本IKEv2主要对IKE进行了以下改进：（1）克服了原先IKE协议分散在各个文档的缺点，例如原有的RFC2407（IPSec DOI）、RFC2408（ISAKMP）、RFC2409（IKE）以及随后补充的关于NAT穿透、扩展认证和获取远程访问地址等分散的文档。

采用了统一的文档定义了IKEv2。

（2）IKEv2采用了4条消息交换取代了原有的9条消息，提高了协商效率。

（3）IKEv2删除了原有IKE协议中功能不强且难以理解、容易混淆的数据结构。

（4）修复了多处公认的安全缺陷和漏洞。

（5）定义了新的通讯量选择载荷，增加了协议灵活性。

IKEv2主要协商过程主要分为初始交换、协商子SA交换、信息交换三部分。

2.1 初始交换IKEv2将初始阶段的IKE_SA_INIT和IKE_AUTH两个消息交换取代原有IKE第一阶段的3次消息交换。

IKE_SA_INIT交换中的消息没有进行加密处理，它协商了IKE_SA中包含的各种安全参数，其中包括密码学相关算法，并且进行Nonce值以及Diffle-Hellman交换，最后建立IKE_SA。

IKE_SA_INIT交换过程如图1所示。

第一条消息中的HDR表示IKEv2消息头，SAi1包含了发起者针对IKE_SA的提案建议，提案中包括加密算法、认证算法、DH组等内容。

KEi包含了发起者的Diffle-Hellman公开值，Ni则表示发起者的Nonce值。

由此可以看出，IKEv2将IKE第一阶段前两次交互过程精简为一次IKE_SA_INIT交换，从而提高了协商的效率。

图1 IKE_SA_INIT交换过程协商响应者接收到发起者发送的消息后在SAi1中选择某种提案形成反馈提案SAr1，并且将KEr和Nr分别作为响应者的Diffle-Hellman公开值以及Nonce值反馈给发起者。

在响应消息中，响应者还可以发送可选的证书请求载荷CERTREQ。

IKE_SA_INIT交换过程完成之后，协商双方可以计算种子密钥SKEYSEED以得到其他7个秘密：SK_d、SK_ai、SK_ar、SK_ei、SK_er、SK_pi和SK_pr。

（1）SK_d是建立在该IKE_SA基础上的各个CHILD_SA派生新的密钥材料。

（2）SK_ai和SK_ar分别应用于发起者和响应者方向的认证算法。

（3）SK_ei和SK_er分别用于发起者和响应者方向后继消息的加密。

（4）SK_pi和SK_pr分别用于发起者和响应者方向认证载荷的计算。

IKE_SA_INIT交换过程最终协商得到IKE_SA。

这个IKE_SA是一种安全关联，它包含了一些安全参数用于保护随后进行的IKE_AUTH交换过程。

IKE_AUTH交换过程在协商过程中使用认证载荷对已经结束的IKE_SA_INIT交换过程进行认证，并且最终协商得到第一个CHILD_SA，即IPSec SA。

如图2所示，IKE_AUTH交换过程中的2条消息是由IKEv2消息头HDR和一个加密载荷组成，在这个加密载荷中包含了身份载荷（ID）、可选的证书载荷（CERT）以及证书请求载荷（CERTREQ）、认证载荷（AUTH）、安全关联载荷（SA）、流量选择载荷（TS）等。

SK{}表示被包含的载荷均被相应方向的SK_e和SK_a加密和认证保护。

图2 IKE_AUTH交换过程2.2 协商子SA交换初始交换结束之后，协商双方可以开始协商子SA交换过程，即CREATE_CHILD_SA交换阶段。

CREATE_CHILD_SA交换过程对应原有IKE的第二阶段，它由初始阶段建立的安全关联保护，最终建立起CHILD_SA，即IPSec SA。

这一交换过程作为有额外的IPSec SA或完美向前保密（PFS）需求时的一种交换类型，可由任一协商方在初始交换完成之后发起。

如图3所示，该交换过程包含了两条消息，第一条消息由协商发起方向协商对方发送SA提案或者建议，并且交换Nonce和流量选择符TSi 和TSr。

第二条消息是协商响应方对SA提案和流量选择符进行选择并且反馈，同时交换Nonce 值，另外可以根据PFS的需要可选地进行Diffie-Hellman交换。

图3 CREATE_CHILD_SA交换过程生成CHILD_SA的密钥材料的计算方法有以下两种情况：（1）如果交换过程中进行了Diffle-Hellman交换，则CHILD_SA的密钥材料计算方法如下：KEYMAT = prf+(SK_d, gir(new) | Ni | Nr )其中gir(new)是从临时Diffle-Hellman交换中获得的共享秘密。

（2）如果交换过程中没有进行Diffle-Hellman交换，那么交换消息中不需要密钥载荷（KE），则CHILD_SA的密钥材料计算方法如下：KEYMAT = prf+(SK_d, Ni | Nr)其中prf+含义如下：prf+(K,S) = T1 | T2 | T3 | T4 | ...T1 = prf(K, S | 0x01)T2 = prf(K, T1 | S | 0x02)T3 = prf(K, T2 | S | 0x03)T4 = prf(K, T3 | S | 0x04)一次CHILD_SA协商可以得到多个安全关联，而ESP和AH安全关联是成对出现的，而且每个方向都有一个，所以一次CHILD_SA协商可以得到4个安全关联，即进入ESP SA、进入AH SA、外出ESP SA、外出AH SA。

2.3 信息交换在IKEv2交换过程中，经常需要在协商双方之间交换一些控制消息，例如发送一些错误或者通知事件的信息。

为此，在IKEv2中专门定义了消息交换来满足这种需求。