信息系統(tǒng)認(rèn)證體系結(jié)構(gòu)及相關(guān)技術(shù)研究.pdf

1、隨著信息系統(tǒng)應(yīng)用的不斷普及和深化，信息安全問題越來越受到重視。為實(shí)現(xiàn)信息系統(tǒng)的安全目標(biāo)，需要系統(tǒng)能夠提供相關(guān)的安全服務(wù)：身份標(biāo)識與認(rèn)證服務(wù)、授權(quán)與訪問控制服務(wù)、非否認(rèn)服務(wù)、機(jī)密性服務(wù)、完整性服務(wù)。其中，認(rèn)證服務(wù)是其他安全服務(wù)的基礎(chǔ)。 世界各國信息安全領(lǐng)域的研究，已經(jīng)從早期的通信保密到信息安全發(fā)展到目前的信息保障階段。為保障信息系統(tǒng)的安全，美國國家安全局推出了<<信息保障技術(shù)框架(IATF)3．0>>，國內(nèi)信息安全專家沈昌祥院士也

2、提出了“三縱三橫兩個中心”的信息安全三重保障體系結(jié)構(gòu)。信息安全保障體系結(jié)構(gòu)對構(gòu)建安全的信息系統(tǒng)具有重大的指導(dǎo)意義和實(shí)用價值。 依據(jù)信息安全保障體系不難得出：只有立足于終端，從源頭抓起，在信息系統(tǒng)各個應(yīng)用區(qū)域邊界對其保護(hù)的資源采用不同的安全保護(hù)措施，才能構(gòu)筑起全面高效的安全防護(hù)系統(tǒng)。正是在這種背景下，人們逐漸認(rèn)識到終端安全的重要意義，終端安全的思想也逐漸被重視。1999年成立的可信計算平臺聯(lián)盟提出了“可信計算”概念，其思路就是從終

3、端安全入手，針對目前通用計算平臺由于硬件體系結(jié)構(gòu)的簡化和操作系統(tǒng)內(nèi)在的脆弱性而引起的諸多安全問題，引入可信平臺模塊TPM以及相關(guān)的軟件作為系統(tǒng)的可信根，通過信任的傳遞過程，確保計算平臺和應(yīng)用程序的可信賴性，提高終端平臺的安全性。但是，要想獲得TCG定義的各種安全特性，就必須替換平臺主板。而且，TCG定義的可信計算忽略了對終端用戶的可信認(rèn)證。 應(yīng)用區(qū)域邊界作為信息系統(tǒng)安全保護(hù)的一個控制點(diǎn)，常采用防火墻技術(shù)對應(yīng)用環(huán)境進(jìn)行保護(hù)，保證合

4、法的訪問請求才能進(jìn)入邊界，并對離開區(qū)域邊界的信息進(jìn)行控制。目前網(wǎng)絡(luò)層的防火墻、VPN設(shè)備，實(shí)現(xiàn)的訪問控制策略主要基于主機(jī)地址、協(xié)議類型、端口號等信息，不能實(shí)現(xiàn)基于實(shí)際用戶身份、應(yīng)用協(xié)議、甚至命令的細(xì)粒度控制；防火墻和VPN可以和其他用戶認(rèn)證技術(shù)結(jié)合，但認(rèn)證方法是與IP通信相獨(dú)立的，即不能在后續(xù)的通信中維持認(rèn)證結(jié)果。 另一方面，應(yīng)用環(huán)境中的各應(yīng)用服務(wù)由于其安全要求不同，要求使用不同的認(rèn)證方法對發(fā)起訪問請求的主體的身份進(jìn)行認(rèn)證。不同

5、的應(yīng)用采用不同的認(rèn)證方法，其結(jié)果是用戶的身份管理與配置也越來越復(fù)雜。造成這種結(jié)果的主要原因在于將各種應(yīng)用服務(wù)的用戶認(rèn)證孤立起來考慮，而沒有從體系結(jié)構(gòu)的角度出發(fā)考慮建立整個信息系統(tǒng)的認(rèn)證體系。論文在“三縱三橫兩個中心”的信息安全保障技術(shù)框架的指導(dǎo)下，圍繞上述認(rèn)證所存在的問題展開研究和實(shí)踐，最終目的是保證信息系統(tǒng)中每一個用戶都是經(jīng)過認(rèn)證的，并以此為基礎(chǔ)，保障整個信息系統(tǒng)的安全。論文取得了以下主要成果： (1)在分析信息系統(tǒng)的組成以及

6、為達(dá)到信息系統(tǒng)安全目標(biāo)所需的保障措施基礎(chǔ)上，在<<信息保障技術(shù)框架(IATF)3．0>>及“三縱三橫兩個中心”的信息安全保障技術(shù)框架指導(dǎo)下，給出了信息系統(tǒng)認(rèn)證體系結(jié)構(gòu)。該體系結(jié)構(gòu)由三個層次組成：終端操作平臺用戶的可信認(rèn)證、用戶訪問本地應(yīng)用域中被保護(hù)應(yīng)用服務(wù)時的認(rèn)證以及用戶訪問遠(yuǎn)程應(yīng)用域中被保護(hù)資源時的認(rèn)證。通過這三個層次相對獨(dú)立又相互關(guān)聯(lián)的認(rèn)證，為信息系統(tǒng)提供全面、完整的認(rèn)證體系結(jié)構(gòu)。 (2)解決平臺不可信的一種辦法是對計算平臺

7、實(shí)施完整性校驗(yàn)。TCG將可信的概念引入到通用計算平臺中，試圖從系統(tǒng)完整性角度來解決平臺可信問題。但是，TCG所定義的可信計算平臺的實(shí)施，需要在平臺上增加稱為TPM的硬件模塊。對于目前通用平臺而言，要想獲得TCG定義的各種安全特性，就必須替換平臺主板，對信息系統(tǒng)原有的投資造成很大的浪費(fèi)，其通用性不好。而且，TCG所定義的基于TPM的可信引導(dǎo)沒有對用戶的可信進(jìn)行驗(yàn)證。論文針對這兩個問題，研究了將具有可信平臺模塊功能的設(shè)備通過通用USB接口連

8、到平臺的辦法，通過設(shè)計相關(guān)軟件，解決了通用計算平臺可信機(jī)制的提供以及用戶的可信驗(yàn)證問題，其中包括引導(dǎo)階段用戶的可信認(rèn)證以及操作系統(tǒng)運(yùn)行階段用戶的可信認(rèn)證。 (3)為保護(hù)本地應(yīng)用域的服務(wù)資源免受非授權(quán)用戶的訪問，需在信息系統(tǒng)的邊界設(shè)置應(yīng)用邊界安全設(shè)備。為提供單一域內(nèi)資源訪問的單點(diǎn)登錄功能，在服務(wù)端，應(yīng)用邊界代理應(yīng)用服務(wù)對訪問共享資源的用戶進(jìn)行認(rèn)證和相關(guān)的訪問控制和審計。在客戶端，應(yīng)用邊界代理用戶終端發(fā)起對資源的訪問請求。用戶終端和

9、應(yīng)用邊界間存在代理關(guān)系，需要考慮用戶終端與應(yīng)用邊界間的互認(rèn)證以及身份傳遞問題。針對這個問題，考慮到使用Kerberos進(jìn)行實(shí)體互認(rèn)證時存在的口令易被攻擊的安全隱患，設(shè)計了基于U-Key的雙因子認(rèn)證以及會話密鑰的協(xié)商方法，實(shí)現(xiàn)了用戶身份和信息資源的安全傳輸。針對應(yīng)用區(qū)域邊界環(huán)境下客戶和應(yīng)用邊界之間的代理關(guān)系，為防止應(yīng)用邊界代理客戶行使職權(quán)時存在的不可辨認(rèn)性和可否認(rèn)性等問題，采用基于身份的公鑰體制設(shè)計了代理簽名以及指定驗(yàn)證者代理簽名方案。

10、 (4)域間資源訪問時的用戶認(rèn)證涉及應(yīng)用邊界間的互認(rèn)證以及會話密鑰的協(xié)商。用戶的身份和權(quán)限信息經(jīng)由本地應(yīng)用邊界傳遞給遠(yuǎn)程的應(yīng)用邊界，代理用戶實(shí)現(xiàn)對具體應(yīng)用資源的訪問請求。各應(yīng)用服務(wù)由于其安全性需求不同，要求應(yīng)用邊界相應(yīng)地能提供不同的對用戶的認(rèn)證方法。針對普通用戶名/口令的認(rèn)證方法存在的安全問題，論文設(shè)計了增強(qiáng)的用戶名/口令的認(rèn)證；針對應(yīng)用邊界環(huán)境下直接應(yīng)用Kerberos協(xié)議進(jìn)行域間互認(rèn)證所存在的連接限制問題，對Kerberos

11、域間認(rèn)證協(xié)議進(jìn)行了修改，設(shè)計了應(yīng)用邊界環(huán)境下的域間互認(rèn)證及信息的安全傳輸協(xié)議；針對應(yīng)用邊界環(huán)境下域間使用改進(jìn)的Kerberos協(xié)議進(jìn)行信息傳輸時信息在客戶端和應(yīng)用邊界之間存在信息泄露的問題，對ElGamal代理加密進(jìn)行改進(jìn)，并將改進(jìn)的ElGamal代理加密機(jī)制應(yīng)用到域間信息安全傳輸中，保證了客戶端到應(yīng)用之間全程信息的安全傳輸。 (5)針對終端平臺引導(dǎo)階段對用戶的可信認(rèn)證需求，設(shè)計并實(shí)現(xiàn)了實(shí)模式下的U-Key驅(qū)動。該驅(qū)動具有與具體

12、操作系統(tǒng)無關(guān)的特性。針對U-Key存儲容量小的缺點(diǎn)，設(shè)計并實(shí)現(xiàn)了既具有大容量，又具有防篡改(Tamper Resistant)特性的USB安全存儲設(shè)備。借鑒cookie技術(shù)，使用USB安全存儲設(shè)備，從而克服了Socksv5協(xié)議中身份認(rèn)證過程存在的冗余缺點(diǎn)，實(shí)現(xiàn)了應(yīng)用邊界的認(rèn)證原型系統(tǒng)。 綜上所述，本文探討了信息系統(tǒng)認(rèn)證體系結(jié)構(gòu)以及相關(guān)的技術(shù)，建立了實(shí)用模型的原型系統(tǒng)，其研究成果為建立具有自主知識產(chǎn)權(quán)的基于U-Key和安全U盤的認(rèn)