23、智能卡防火墙再探

智能卡防火墙再探

1. 论文概述

本文的组织架构如下：
- 首先探讨网络防火墙所需的网络架构，并说明即便未来智能卡仅具备单一网络连接，该架构如何在智能卡上实现。
- 接着提出一个可在智能卡上运行的简单防火墙设计方案。
- 然后总结所做的所有安全假设，并讨论智能卡防火墙所能达到的安全级别。
- 随后列举一些应用场景，以说明智能卡防火墙的使用情况。
- 最后回顾相关工作并得出研究结论。

2. 网络架构

目标是将所有（或至少与安全相关的）防火墙操作从不可信的主机系统转移到智能卡上。为实现网络防火墙功能，所有传入和传出的互联网数据包都需通过智能卡，卡上的防火墙将根据本地存储的规则集决定数据包的路由或丢弃。

2.1 新兴的“联网”智能卡

联网智能卡通过实现卡内 TCP/IP 堆栈，原生支持 TCP/IP 连接，并提供通用串行总线（USB）连接器用于外部连接。这意味着无需在 PC 上安装额外的硬件或软件，支持即插即用（PnP）的操作系统会在智能卡插入 USB 端口时自动检测并将其安装为网络设备。操作系统可能还会通过系统的常规网络连接路由 TCP/IP 消息。

联网智能卡通常通过以下方式之一为主机提供单一网络连接：
1. USB → 封装串行 → PPP → RAS
2. USB → 远程 NDIS2
3. USB → CDC3 以太网仿真模型（EEM）→ 以太网驱动

联网智能卡的网络连接通过 USB 实现，具有无需对主机系统进行大量修改的优势，因为它依赖大多数操作系统支持的标准，提供了互操作性和移动性。

一