基本介紹
- 中文名：DTLS
- 外文名：Datagram Transport Layer Security
- 基礎：充分認識到這個局限性的嚴重程度
- 支持：數據報傳輸的版本
簡介,設計概述,
簡介
1. DTLS(Datagram Transport Layer Security)
1.1 引言
近年來出現了許多實用數據報傳輸的應用程式。這些套用包括實時視頻會議，internet電話和線上遊戲，比如Quack和Starcraft。這些套用都是延遲敏感的，並且使用了不可靠的數據報傳輸。TCP之上的套用可以用TLS來保證安全，但是TLS不能用來保證UDP的安全。Datagram TLS試圖在現存的TLS協定架構上提出擴展，使之支持UDP，即成為TLS的一個支持數據報傳輸的版本。DTLS 1.0 基於 TLS 1.1, DTLS 1.2 基於TLS 1.2.
1.2 基礎： TLS簡介
當部署TLS的時候，大家還沒有充分認識到這個局限性的嚴重程度，因為當時大多數套用運行在TCP之上。即使今天也是這樣。然而情況正在改變。在過去幾年中，不斷增長的套用層協定，比如SIP (session initial protocol)，RTP (real time protocol), MGCP (the Media Gateway Control Protocol)，還有許多遊戲協定都基於UDP傳輸而設計。
目前，這些套用的設計者面對著許多用來保證安全性的選擇，但卻無法令人滿意。首先，他們可以使用IPsec。然而，IPsec不適合於Client-Server套用模型，且難以同應用程式結合，因為IPsec運行在系統核心。有很多文獻詳細討論了為什麼IPsec為什麼不是一個令人滿意的選擇。其次，他們自己設計一個特有的套用層安全協定。例如，SIP使用了S/MIME的一個變體來保證安全通信。將S/MIME嫁接到SIP中比使用TLS上的TCP版本的SIP變體更費勁。第三，可以把套用移植到TCP之上，然後使用TLS。不幸的是，許多這樣的套用依賴於UDP語義，當運行在諸如TCP之類的流協定上性能將無法令人接受。
最為明顯的選擇是設計一個通用的信道安全協定，它可以使用數據報傳輸，就像TCP上的TLS。這樣一個協定可以在用戶空間中實現，這樣便於安裝，但是要足夠靈活和通用，能夠向許多面向數據報的應用程式提供數據傳輸安全保障。儘管認為這個方案將是一個巨大和困難的規劃項目。但是構造一個可以工作的協定相當直接，尤其是有了TLS的起點和IPsec的參考。本文介紹了這個新的協定，我們稱為 “Datagram TLS “, DTLS是TLS的一個修改版本， 這樣函式能夠運行在數據報通信上。相對於上面的方案，該方法有兩個主要優勢：首先，既然DTLS非常類似於TLS，可以重用以前的協定架構和實現方法。為了便於展示，我們通過對OpenSSL庫的添加實現了DTLS。我們總共添加了7000行代碼，其中的60%從OpenSSL剪下和貼上。其次，既然DTLS向通用安全層提供了相似的接口，就易於調整協定來使用它。TLS的經驗顯示，這種易於調整性是擴大部署的關鍵。
