（应用数学专业论文）统一认证、授权和审计平台设计与研究.pdf

北京邮电大学硕i j 学位论文统一认证、授权和审计平台设计与研究 统一认证、授权和审计平台设计与研究 摘要 随着网络技术的迅速发展和i n t e m e t 的普及，信息安全现在己成为一个研究 的热点。而各企业的业务系统的安全又是网络安全研究的重中之重。但是，当前 的各种业务系统存在很多缺陷：弱认证机制、无权限控制、互操作性不好、管理 混乱等。如何对多种业务系统进行统一的身份认证、授权管理和审计，减轻系统 管理员的维护工作，避免重复开发，同时实现业务系统间的互访问能力，是当前 信息安全研究的需要解决的难点。 本文分析了p k i 和p m i 的系统组织结构，设计了一个集成身份认证和权限 管理的统一认证、授权和审计平台( a a a 平台) 。系统以公钥证书进行身份认证， 使用属性证书进行权限管理，灵活方便的实现了网络资源的安全访问控制。本文 主要研究内容集中于a a a 平台最主要的两个方面：身份认证和权限管理。 身份认证是指计算机及网络系统确认操作者身份的过程。本文对常用的身份 认证方式主要有基于口令的认证方法、挑战握手认证协议、双因子认证、s k e y 认证协议、k e r b e r o s 认证系统、基于生物特征识别的身份认证等进行优缺点分析 的基础上，提出了一种在统一用户认证、授权和审计平台中使用的身份认证机制 并设计了相应的用户登录和注销协议，在此基础上实现了单点登录。 权限管理是指用户经过身份认证以后，资源的分配与校验问题。目前比较 成熟的权限管理方案有k e r b e r o s 、基于策略服务器方案和基于p k i 的p m i 方案 等。对资源的校验目前比较成熟的是基于角色的访问控n ( r b a c ) 。本文结合p m i 和r b a c 给出了一种在统一用户认证、授权和审计平台中使用权限管理的办法。 统一用户认证、授权和审计平台对用户进行统一的身份认证、资源访问授权 和系统日志审计，大大简化管理员的工作，增强了业务系统的安全性，方便了业 务系统的扩展。能够满足用户对统一安全管理的需求。 关键词：p k ia 从身份认证授权管理单点登录k e r b e r o s 第1 页 i ! 童坚生盔兰堡兰些堡皇 竺二坠塑：堡坚塑皇生! 鱼堡生皇婴塞 t h ed e s i g na n ds t u d yo ft h ei n t e r g a t e d p l a t f o r mo fa u t h e n t i c a t i o n 、 a u t h o r i z a t i o na n da u d i t a b s t r a c t i n f o r m a t i o ns e c u r i 小fb e c o m e so n eo ft h ei n v e s t i g a t i v eh o t s p o t sa tp r e s e n tw i t h t h er a p i dd e v e l o p m e n to fw i d ea p p l i c a t i o no fn e t w o r kt e c h n o l o g y , t h es e c u r i t yo f e n t e r p r i s ea p p l i c a t i o ns y s t e m i sa i le m p h a s e smi n f o r m a t i o ns e c u r i t y t h e r ea r em a n y p r o b l e m s i n e n t e r p r i s ea p p l i c a t i o ns y s t e m ，s u c h a sw e a k a u t h e n t i c a t i o n ，n o n e a u t h o r i z a t i o n ，b a di n t e r o p e r a b i l i t y a n dc o n f u s e dm a n a g e m e n t i ti st h er e s e a r c h h o t s p o t so f r e s e a r c ha tp r e s e n tt h a th o wt ou n i t ea u t h e n t i c a t i o no fv a r i o u ss y s t e m s ， h o wt or e d u c es y s t e ma d m i n i s t r a t o r sw o r k ，h o wt oa v o i dr e p e a t i n gd e v e l o p m e n to f s y s t e m s a n dh o wt oi m p l e m e n ti n t e r o p e r a b i l i t yo f t h e s es y s t e m s t h i st h e s i sd e s i g na l li n t e g r a t e dp l a t f o r mo fa u t h e n t i c a t i o n 、a u t h o r i z a t i o na n d a u d i ta n da n a l y s i st h ea r c h i t e c t u r eo fp k ia n dp m ii n f r a s t r u c t u r e t h ep l a t f o r m i m p l e m e n ta c c e s sc o n t r o ln e a t l yw i t ha u t h e n t i c a t i o nb a s e d o n p u b l i cc e r t i f i c a t ea n d a u t h o r i z a t i o nb a s e do na t t r i b u t ec e r t i f i c a t e t h i st h e s e sm a i n l yr e s e a r c ho i lt h et w o m a j o rf a c t o ro f a a ap l a t f o r m ：a u t h e n t i c a t i o na n d a u t h o r i z a t i o n a u t h e n t i c a t i o ni st oa f f i r mt h eo p e r a t o ro fc o m p u t e ra n dn e t w o r kd e v i c e t h i s t h e s i si n t r o d u c es e v e r a l p o p u l a r a u t h e n t i c a t i o n t y p e s ，i n c l u d i n g p a s s w o r d a u t h e n t i c a t i o np r o t o c o l ( p a p ) ，c h a l l e n g e h a n d s h a k ea u t h e n t i c a t i o n p r o t o c o l ( c h a p ) ，t w o f a c t o ra u t h e n t i c a t i o n ，s k e y , k e r b e m sa n db i o m e t r i c a u t h e n t i c a t i o n w i t ht h e a n a l y s e s o ft h e s e a u t h e n t i c a t i o nt y p e s ，w ep o i n to u tan e wt y p e o f a u t h e n t i c a t i o n w h i c hi su s e do na a a p l a t f o r ma n d v e ed e s i g nas e to fu s e rl o g i na n d i o g o n tp r o t o c o l w i t hw h i c ht h ep l a t f o r mi m p l e m e n ts i n g l es i g no n a u t h o r i z a t i o ni st h ea l l o c a t i o na n dv a l i d a t i o no fr e s o u r c e sa f t e ra u t h e n t i c a t i o n t h e r ea r es e v e r a lp r i v i l e g em a n a g e m e n th a sb e e np r o p o s e d ，e g 第1 1 页 北京邮电大学硕士学位论文统一认证、授权和审计平台设计与研究 k e r b e r o s ，p o l i c y b a s e ds e r v e rs c h e m ea n dp m is c h e m eb a s e d0 i i p k i am a t u r e s c h e m eo fv a l i d a t i o nr e s o u r c e si sr o l eb a s e da c c e s sc o n t r o l ( r b a c ) t h et h e s i s p r o p o s e s as o l u t i o no fa u t h o r i z a t i o nw i mr b a ca n dp m ii na a a p l a t f o r m t h ei n t e g r a t e dp l a t f o r mo fa u t h e n t i c a t k m 、a u t h o r i z a t i o na n da u d i tc a l lu n i f i e d a u t h e n t i c a t e 、a u t h o r i z ea n da u d i t i tr e d u c e st h ew o r ko fa d m i n i s t r a t o rg r e a t l y , a n d e n h a n c e st h es e c u r i t yo fe n t e r p r i s e a p p l i c a t i o ns y s t e m ，a n di se a s yt o e x t e n dn e w e n t e r p r i s ea p p l i c a t i o ns y s t e m t h ep l a t f o r m c a ns a tis f yt h en e e d so fu n i f i e d s e c u r i t ym a n a g e m e n t o fc u s t o m e r s k e y w o r d s - p k ia a aa u t h e n t i c a t i o na u t h o r i z a t i o ns s 0 k e r b e r o s 第1 i i 页 独创性( 或创新性) 声明 本人声明所呈交的论文是本人在导师指导下进行的研究工作及取得的研究 成果。尽我所知，除了文中特别加以标注和致谢中所罗列的内容以外，论文中不 包含其他人已经发表或撰写过的研究成果，也不包含为获得北京邮电大学或其他 教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任 何贡献均已在论文中作了明确的说观并表示了谢意。 申请学位论文与资料若有不实之处 本人签名：地盘醯 本人承担一切相关责任。 日期：型堕i ：! ! 关于论文使用授权的说明 学位论文作者完全了解北京邮电大学有关保留和使用学位论文的规定，即： 研究生在校攻读学位期间论文工作的知识产权单位属北京邮电大学。学校有权保 留并向国家有关部门或机构送交论文的复印件和磁盘，允许学位论文被查阅和借 阅：学校可以公布学位论文的全部或部分内容，可以允许采用影印、缩印或其它 复制手段保存、汇编学位论文。( 保密的学位论文在解密后遵守此规定) 保密论文注释：本学位论文属于保密在年解密后适用本授权书。非保密论 文注释：本学位 本人签名： 导师签名： 适用本授权书。 日期：塑堕：! ：! ! 日期：驰乒毒刊 北京邮电大学颈：e 学位论文 统一认证、授权年丌审汁平台设计与研究 1 1 信息安全现状 第一章绪论 随着i n t e m e t 的发展，网络丰富的信息资源给用户带来了极大的方便，但同 时也给上网用户带来了安全问题。根据资讯周：1 ：u ( i n f o r m a t i o n w e e k ) 的全球安全调 查报告指出，2 0 0 4 全球各地企业由于安全入侵、病毒感染等原因产生的修复或 营运停摆，已造成1 6 万亿美元的利润损失，但是同一份调查指出，仅有3 8 的 企业相信其安全性政策相当符合其营运目标的需求。也就是说，另外有将近2 3 的企业正处于众多安全性入侵的威胁下。由于i n t e m e t 的开放性和超越组织与无 国界等特点，使它在安全性上存在一些隐患。随着安全威胁的增加，信息安全的 内涵也发生了根本的变化。它不仅从一般性的防卫变成了一种非常普通的防范， 而且还从一种专门的领域变成了无处不在， 信息安全是一个综合的、交叉学科的领域，通过综合利用数学、物理、通 信和计算机等诸多学科的长期知识积累和最新发展成果，进行自主创新研究，提 出系统、完整、协同的解决方案。与其他学科相比，信息安全的研究更强调自主 性和创新性，自主性可以杜绝后门，保护国家主权；而创新性可以抵抗各种攻击， 适应技术发展的需求。如何利用现有的信息安全技术，设计和实现一个完整、全 面的计算机网络解决方案，是当今信息安全界需要思考的一个问题。一个有效的 业务系统面对的通用技术和产品对象包括：硬件平台、操作系统、应用软件、网 络架构、网络应用、网络管理、数据库应用、m i s 系统等；它的专用安全技术和 产品包括：数据加密技术、防火墙、入侵检测、防病毒、p k i 、p m i 、身份认证、 访问控制、流量监测、网络扫描等；安全问题是一个动态的、整体的、持续性的 问题。基于以上共识，设计和实现一个完整、全面的计算机网络解决方案需要各 种网络安全产品的有效集成和有效的安全策略。 针对影响网络边际安全的病毒破坏、黑客入侵、黄色站点、非法邮件、数 据窃听等不安全因素，提供集成的防病毒网关、内容过滤以及v p n 、入侵检测 等安全技术可以解决网络的边际安全。在实现了边际安全之后，业务和应用的安 全问题开始浮出水面。统一认证、授权和审计平台能整合业务流程，防止重要资 北京邮电大学硕士学位论文统一认证、授权和审计平台设计与研究 源不被非法访问。 1 2 统一认证、授权和审计平台的引入的必要性 随着i n t e r n e t 的飞速发展和国内电子商务和电子政务系统的建设，越来越多 的企业和政府部门的用户认识到了信息技术的快速发展给传统的手工业务模式 带来的巨大改变。 在现有的各类大中型业务系统中，业务系统和用户之间存在着比较复杂的关 系，其结构模型如下图所示： 图1 1传统模式的多业务系统梗型 其主要特点如下： 越来越多的用户需要使用业务系统 越来越多的用户账号需要管理 越来越多的资源需要进行有效控制 越来越多的业务需要在网络上进行 越来越多的设备需要进行统一安全管理 越来越多的潜在客户系统通过电子化方式与你联系 但是，目前的业务系统都是分散管理的，而且往往是由不同的厂商进行开发 和实施的，系统的安全性依赖于厂家对于安全的把握和认识，缺乏统一的安全策 略，造成各个业务系统的安全强度参差不齐，甚至有些业务系统基本没有任何安 第2 页 北京i | | j 屯大学硕士学位论文统一认证、授权和审计平台设计与研究 全措施。缺乏面向各类业务和多种设备的集中统一的安全平台解决方案，使目前 的业务系统和设备在安全管理上各自为政每一个系统都存在独立的授权认证与 审计系统。这种分散的授权认证审计管理模式，给系统的管理人员和使用者带来 了更多的问题： 管理成本的增加 扩展新业务变得负责和困难 随着业务的增多，系统安全性逐步降低 难以实施统一的安全策略 合作伙伴发现交流非常的困难 降低了使用的者的效率 作为信息系统的管理者和使用者，理想的结构是： 图1 - 2 集成统一安全平台的多业务模型 此种模型具有如下优点： 充分降低运营成本 提高使用者的效率 减少管理员系统维护的负担 能够统一管理多种业务 方便的拓展新业务 统一的安全策略 第3 页 北京邮电大学硕= b 学位论文统一认证、授权和审计平台设计与研究 统一认证、授权和审计平台可以对多种业务系统、设备、服务器和数据库进 行统一集中的认证、授权和审计，为上层应用提供底层的应用安全基础平台。它 可以根据际需要，提供高强度的身份认证( 一次性口令和基于数字证书的认证) ， 为用户提供单点登录功能。当用户登录n - 个应用系统时，他不需要再次登录其 他应用系统就可以访问这些应用系统中有权限的系统资源。可以对用户的资源访 问权限进行集中控制。它还提供了日志的集中审计，将用户所有的操作日志集中 记录、管理和分析，便于对用户行为进行监控，并可阻根据审计日志追究安全事故 责任。它也可以将设备、服务器主机和数据库也纳入到集中的认证、授权和审计 的安全平台中。所有的设备、服务器主机和数据库管理员必须经过平台的身份认 证才能够登录进行系统维护，有效的遏制了非法用户登录从事恶意行为的情况；而 且平台对管理员的维护命令操作权限进行了限制，不同的管理员具有不同的可操 作的命令集。同样的，平台也会对管理员的登录和命令操作进行详细的e l 志记录。 1 3 统一认证、授权和审计平台的主要研究方向 统认证、授权和审计平台以公钥证书进行身份认证，使用属性证书进行权 限管理，灵活方便的实现了网络资源的安全访问控制。主要用的安全技术有身份 认证、权限管理和日志审计。本文重点研究前两个方面。 1 3 1 身份认证的重要性 对要访问企业资源的用户进行身份验证一个企业来说是至关重要的。保存 重要数据的计算机系统必须建立完善的身份验证机制，以防止内部和外部未经授 权的访问。但是，目前绝大部分的计算机系统忽略了身份认证的重要性，用户使 用诸如简单的静态口令等原始方法对系统进行身份验证，给系统带来许多安全隐 患。例如：很多用户为了方便记忆，1 ：3 令中含有自己的生活信息( 如姓名、生日、 电话号码等、，这在有经验的破解者面前不堪一击。 用户长期使用同一口令，被破解的危险性与日俱增，且多个系统可能使用同 一口令，一个系统的非法登录成功很容易对其他系统的安全性造成威胁。大多数 远程应用系统的口令通过明文传输，容易在传输线路上被窃取。口令的存放或者 输入可能会不经意泄漏。调、离职人员熟悉原来使用的系统，很容易非法进入系 第4 页 北京懈电大学顿上学位论文统一认证、授权和审计平台设计与研究 统进行数据窃取和破坏。 中国利用计算机网络进行各类违法行为以每年3 0 的速度递增。中国8 2 的与i n t e m e t 相连的网络管理中心都遭到过境内外黑客的攻击或入侵，其中银行、 金融和证券机构是受攻击的重点，而此领域的黑客犯罪案件总涉案金额已高达数 亿元，其中很大部分原因就是身份认证机制不完善。这对信息安全尤其是身份 认证系统是一个十分严峻的考验。 另外，在电子商务和电子政务应用日益广泛的今天，从某种意义上说，身 份认证技术可能比信息加密本身更加重要，很多情况下客户并不要求购物信息保 密，只要确认网上商店未被假冒或者交换的信息未被第三方篡改或伪造。同理， 商家也希望能确认参与交易的用户个人身份的真实性，从而保护自己的合法利 益。这就需要安全可靠的身份认证手段。 1 3 2 权限管理问题的重要性 在大型的网络系统中，随着业务系统的迅速发展，各种应用支撑系统和用户 数量不断增加，网络规模不断扩大，信息安全问题愈见突出，原有的信息安全管 理措施不能满足未来业务发展的需要。主要表现在以下几方面：大量设备、主机 系统、业务系统分属不同的部门，每个部门有独立的用户管理系统，也就是说不 同应用系统都有一套认证、授权和审计系统，并由相应的系统管理员来管理和维 护。当维护人员对多个业务系统进行维护时，工作复杂度成倍增加。 用户数目不断增加。用户树木的增加带来管理上的复杂，用户在访问业务 系统时导致系统管理人员工作负荷增大，没有太多精力保障系统的安全。 用户对业务系统访问权限的变化越来越频繁。工作岗位、工作职责的变化需要及 时对业务系统的权限进行调整，如不及时调整会影响用户工作的正常进行。业务 系统的增多，是用户经常需要在多个系统间切换，每从一个系统切换到另一个业 务系统时，都需要输入用户名和口令。给用户带来不便，影响工作效率。用户记 忆口令会设置简单的口令或各个业务系统使用同一个口令，危害系统全局的安全 性。 总之，缺乏安全高效的权限管理，系统安全受到威胁，系统管理成本居高不 下，无法适应业务系统的快速发展和用户的增加。由此可见逐步建立和完善统一 第5 页 北京i l | | i 电大学硕士学位论文 统一认证、授权和审计平台设计与研究 的权限管理体系是刻不容缓的紧急任务。 1 4 本文的研究范围 本文在集中分析多种流行的身份认证和权限管理机制优缺点的基础上，结合 所开发的应用安全平台a a a 平台中的的身份认证和权限管理实现机制。应用安 全平台是本人在过去多个项目中与人协作开发的网络安全平台，集成公钥基础设 施、特权管理基础设施、数字证书、单点登录等多种技术手段，将各种业务系统 的身份认证、业务授权控制和日志审计三大部分统一实现，既减轻了系统管理员 的工作，又缩减了业务系统的开发周期，具有很高的实用价值。需要说明的是， 整个应用安全平台的安全性是基于p k i 的，因此本文将简单介绍p k i 的基础概 念。对p k i 理论、体系构架以及对文中涉及的密码学理论和各种算法的研究和 探讨并不在本文论述的范围之内。 另外，认证主要包括对通信内容的认证( 信息认证) 和对通信对象的认证( 身 份认证) 。信息认证是指在两个通信者之间建立通信联系后，每个通信者对收到 的信息进行验证，以保证所收到信息的真实性的过程。身份认证是指验证一个最 终用户或设备( 例如客户机、服务器、交换机、路由器、防火墙等) 所声明身份的 过程。本文中提及的所谓“认证”，指的是对身份信息的确认，至于保护数据信 息以使其不至于被篡改或者非法获取，如采用s s l 技术对传输的数据部分进行 加密等，并不是本文研究范围的重点。 权限管理是指用户经过身份认证以后，资源的分配与校验问题。目前比较成 熟的权限管理方案有k e r b e r o s 、基于策略服务器方案和基于p k i 的p m i 方案等。 对资源的校验目前比较成熟的是基于角色的访问控s f j ( r b a c ) 。本文结合p m i 和 r b a c 给出了一种在统一用户认证、授权和审计平台中使用权限管理的办法。 1 5 本文的组织结构 论文共分成六章，各章的说明如下： 第一章：说明本论文的研究背景与动机，并叙述论文的主要目的与架构。 第二章：探讨a a a 平台的系统模型。 第三章：探讨本论文研究主题所需的p k i 技术，对p k i 组成、结构、证书 第6 页 北京邮电大学硕+ 学位论文统一认征、授权和审计平台设计与研究 管理、进行了研究。 第四章：探讨身份认证现状及发展和a a a 平台中身份认证所采用的方法。 第五章：探讨权限管理的现状及发展和a a a 平台中权限管理所采用的方法。 第六章：总结本论文的成果，并提出未来的研究方向。 1 6 小结 网络安全问题是当前社会信息化过程中的热点问题，而其中的如何保证企业 业务系统的安全是近年来信息安全领域研究的热点。本章首先信息安全的现状做 了一个简单的分析，接着说明了统一认证、授权和审计平台引入的必要性。并指 出a a a 平台研究的主要方向，指出身份认证和权限管理的重要性。接着明确了 本文研究重点和文章的组织结构，指出本文将集中探讨应用安全平台的关键组件 a a a 系统的身份认证实现机制和权限管理机制，对p k i 理论、体系构架以及对 文中涉及的密码学理论和各种算法的研究和探讨并不在本文论述的范围之内。 第7 页 北京邮电大学颂：卜学位论文统一认证、授权承1 审计平台设计与研究 第二章a a a 平台的系统模型简介 2 1a 从平台的技术简介 为解决企业业务系统的安全问题，世界各国的科研人员长期以来一直在进 行着不懈的研究。由于企业业务系统的复杂性多样性，而目前的各种信息安全技 术和产品都是针对某种或某类具体的应用，这便导致了解决方案的多样性和局限 性，且依赖于具体应用环境，采用不透明的技术实现。实际应用中往往存在许多 问题。因此怎样构造一个对具体应用系统透明的，并且能够提供全面安全服务的 安全平台便成了当前研究的热点问题。 2 1 1a a a 平台的技术体系 i n t e m e t 信息安全技术在近几年内迅速发展，已经形成了若干国际标准和体 系。其中广泛使用的是p k i 技术。采用公钥密码体制构建公钥基础设施p k i 是 在大型开放网络环境下解决信息安全问题最可行、最有效的办法。网络中的访问 控制、加密通信、数字签名等功能在数字证书和p k i 技术的支持下实现。用户 和访问权限的管理，以及所涉及到的认证( a u n l e n t i c a t i o n ) 、授权( a u t h o r i z a t i o n ) 和审计( a u d i t ) 技术是企业业务系统安全的主要问题，近几年，国际上提出了 特权管理基础设施( p r i v i l e g em a n a g e m e n ti n f r a s t r u c t u r e ，p m i ) 的思想，包括： ( 1 ) 实现对安全策略的管理； ( 2 ) 支持多种身份认证技术，特别是基于p k i 技术的高强度认证技术； ( 3 ) 实现授权的集中管理，包括对网络资源、用户和访问权限的动态的、集 中的管理； ( 4 ) 实现与应用系统和应用程序之间的统一接口； ( 5 ) 实现事件报告和审计。 p m i 授权服务体系是采用适当的用户身份信息( 主要是p k i 体系下的数字 证书) 来实现用户认证并且管理用户授权信息，将授权管理功能从传统的应用系 统中分离出来，以独立服务的方式面向整个网络，统一为各应用系统提供授权管 理服务。p k i 与p m i 之间的主要区别在于：p m i 主要进行授权管理，证明这 第8 页 北京邮电大学硕士学位论文统一认证、授权和审计平台设计与研究 个用户有什么权限，能干什么；p k i 主要进行身份鉴别，证明用户身份。 本文所讨论的a a a 平台基于p k i 和p m i 的技术体系，它实现x 5 0 9 标准 证书的发放和管理、安全通信协议、p k c s 拌7 数字签名标准等系列安全标准。采 用高度集中的用户身份管理和访问权限设定，以及审计技术，为复杂网络系统和 多种不同应用提供可管理的复合安全技术，实现身份认证、访问控制和信息加密， 保证应用系统的安全运行。 2 2a a a 平台的组成和功能 2 2 1a a a 平台的结构 a a a 平台的建设性工作是利用p i g 技术在网络内的设备之间建立和维持一 个统一的相互信任体系，利用p k i 技术来实现用户身份认证，利用p m i 技术实 现用户授权和访问权限管理及服务，同时还利用集中的审计技术来监视整个系统 的安全运行。这项中心技术使a a a 安全平台成为一个平台级的产品，区别于通 常所说的“完整解决方案”。 a a a 平台由多种信息安全技术、多种安全模块、设备和软硬件组成。这些 模块之间相互配合，协调工作，在平台内部组成一个完整的、以p k i 和p m i 为 中心的体系这些模块共同工作，通过对外提供函数接口为应用程序提供多种类型 的安全服务。如图2 1 所示 图2 1a a a 平台结构模型 第9 页 北京i i | | f 电火学硕士学位论文统一认证、授权和审汁平台设计与研究 1 p k i 基础设施 整个平台的以p k i 基础设施为基础，p k i 基础设施的核心是c a 认证系统， c a 认证系统是为各业务系统的运行提供安全保障。c a 系统主要为应用系统的 各类网络设备、服务器、终端和用户提供证书的申请、签发、发布、查询、废除， 以及用户密钥管理等服务。 2 p m i 基础设施 整个平台的以p m i 基础设施为基本组成部分，p m i 基础设施的核心是a a 授权系统是为各业务系统的运行权限分配。a a ( a t t r i b u t e a u t h o r i t y ) 系统主要为应 用系统的用户提供属性证书的申请、签发、发布、查询、废除等服务。 3 aaa 平台 认证授权审计( a a a ) 平台为各个业务系统提供了统一、集中的身份认证、授 权控制和日志审计的底层基础平台，主要为上层业务系统提供认证授权审计接 口。认证授权审计平台( a a a ，a u t h e n t i c a t i o n ，a u t h o r i z a t i o n & a u d i t ) 是应用安全平 台的核心组件，为各个业务系统提供了统、集中的身份认证、权限控制和日 志审计的底层基础平台。它包括三个功能模块： 认证( a u t h e m i c a t i o n ) ：确认访问者的身份信息是否合法的过程。 授权( a u t h o r i z a t i o n ) ：允许访问者访问其权限范围内的资源。 审计( a c c o u n t i n g ) ：对合法的、非法的访问行为进行详细记录。 2 2 2a a a 平台提供的安全服务 a a a 平台提供的主要安全服务有： ( 1 ) 证书服务，数字证书是a a a 平台实现身份认证和信任管理的主要手段， 由c a 服务器签发，证书服务与其它各类服务有密切的关系，支持它们的实 现；属性证书是权跟管理的主要内容，由a a 服务器签发，a a a 服务器验证。 ( 2 ) 用户认证服务，安全平台提供集中式的用户管理、授权和认证服务，认 证凭证主要是数字证书和受口令保护的u s bt o k e n ，也可以集成口令密码、 动态口令和指纹识别等其它方式； ( 3 ) 审计服务，安全平台实现集中审计，各个安全服务器都向审计中心提供 审计日志，由审计中心完成数据集中、分析、报警和报表生成。 第1 0 页 北京邮电大学硕l 学位论文统一认证、授权和审计平台设计与研究 2 2 3a a a 平台模块结构 a a a 平台采用模块化的技术实现，把基础功能集成在p k i 中和统一地实现 成为安全核心模块。在这一核心安全模块之上，一方面根据本设计开发各种安全 服务功能，形成多种安全服务功能模块和主要安全设备，另一方面为应用系统提 供一些编程接口来实现安全服务。舢蚣平台模块结构主要分为一个核心模块( 提 供底层密码和证书服务) 和应用模块。应用模块分为三个子模块：身份认证、授 权管理和日志审计。 图2 - 2a ，平台的模块接口和多种功能模块 核心安全模块可以完成证书管理、数字签名验证、资料加密、完整性检验等 多种基础功能。核心模块之下，通过接口可以选择接入各种不同的专用加密硬件， 用来调用受硬件保护的多种国产密码算法，按照国家有关部门在密码方面的规 定，实现高安全度的密码算法功能。在核心模块之上的安全服务功能以软件模块 实现，与核心模块一起组成单一功能或复合功能的客户端和安全服务器设备，根 据需要分布配置在业务系统内，共同完成信息安全工作。 第l l 页 北京| | j | j 电火学_ 0 礓士学位论文 统一认证、授权和审计平台设计与研究 图2 - 3m a 平台的安全服务核心模块 多种安全模块在构成a a a 平台时可以被划分为以下几个大组： ( 1 ) 安全管理中心。 包括c a 服务器、a a 服务器、用户信息管理服务器和审计服务器器。主 要完成数字证书的发放和吊销和基于角色的用户权限管理的属性证书管理 和集中的审计服务。 ( 2 ) 安全服务端。 包括用户认证服务、用户权限控制和安全通信服务服务等。 ( 3 ) 安全客户端。 包括各种智能卡安全套件，主要提供多种安全服务：例如身份认证和加 密传输、登录认证和加密通信、数字签名验证等。 2 2 4a a a 平台接口设计 a a a 平台运行于网络信息系统原有的计算机网络平台之上，充分适应各种 不同的网络结构和计算机硬件设各。我们认为a a a 平台与应用系统及应用程序 之间只有两种简单的接口关系：网络接口和程序接口。网络接口是指应用程序与 安全设备( 例如c a 服务器) 通过网络通信得到c a 安全服务，两者的软件程序 间并不直接发生调用关系；程序接口分为无须附加编程的插接接口和需要一些编 程工作的接口。插接方式对于应用程序来讲是透明的，例如操作系统a p i 安全 模块、服务器安全模块和客户智能卡套件等；a p i 接口则需要编程和调用。上述 第1 2 页 北京邮电大学颂士学位论文统一认证、授权和审计平台设计与研究 方式保证了安全平台可以为不同类型计算机内不问操作系统下的多种应用程序 提供安全服务。 2 3 安全平台的工作方式 图2 - 3a a a 安全平台的工作方式 ( 1 ) 证书发放和管理系统。 证书服务器c a 是应用安全平台体系的核心部分。服务器所实现的标准服 务有：p k i c a 通过服务器和安全通信方式提供服务，接收浏览器和w e b s s l 各 类服务器发出的证书申请，审批证书申请，保存和管理用户信息，签发格式的多 种不同用途的证书，支持证书x 5 0 9 v 3 扩展项，支持证书查询，发布黑名单，通 过服务器发布l d a p 用户证书，支持证书审批过程的客户化调整，支持多级证 书服务器的配置方式等。在此基础上，具有特色和创新的其它功能包括： 1 ) 采用国产加密硬件板卡( 加密机) 产生、保存和使用c a 服务器 的主密钥，使用此主密钥签发各类证书，主密钥长度为r s a20 4 8 b i t 2 ) 可以支持直接向智能卡片内发放证书。 3 ) 管理员通过自己的卡片登录到服务器后，为客户发放证书；支持 对管理员的管理和审计，完成证书发放过程的严格审计。 4 ) 具有多个外部接口，实现与安全平台内其它设备，如用户管理服 务器、多种安全服务器及审计服务器的通信连接和资料交换。 ( 2 ) 用户管理服务器和用户认证服务器系统， a a a 平台的一个重要特点是实现对安全策略、设备、资源和用户的集中 第1 3 页 北京邮电大学硕士学位论文统一认证、授权和审计平台设计与研究 管理。集中用户管理将由用户管理服务和用户认证服务器共同完成。用户管理服 务器安放于安全管理中心内，实现用户登记和分组、访问权限设置和修改、策略 调整等功能。用户认证服务器安放于多功能安全服务器( 组) 内、应用服务器者 网络内适当的位置，直接为应用程序提供对用户认证的服旁、或务。用户管理服 务器和用户认证服务器之间可进行安全通信和交换资料。平台内可以配置多台用 户认证服务器，一台用户认证服务器可为多个应用同时提供服务。在用户管理服 务器内，对于每一个用户首先建立用户信息，包括用户姓名、单位、地址、电话、 邮件地址等详细信息，以及对应的用户名和1 ：3 令。当用户口令在这台服务器上注 册时，可采取“强化口令检查机制”，剔除易破口令。如果该用户有个人证书， 将存放他的证书信息来作为个人的身份认证凭证。然后为每个用户建立一个访问 权限表，定义该用户对于不同的应用具体访问权限。用户访问权限表建立之后， 将安全( 签字和加密) 传输到用户认证服务器内。应用程序需要与认证服务器建 立通信关系，每当一个用户登录到应用服务器时，应用服务器需要将该用户的登 录信息( 例如用户名、口令或证书、数字签名、指纹等) 提交到认证服务器，由 该模块认证通过后，返回给应用服务器该用户此时对于应用的访问权限，实现集 中方式的用户权限设置和分布方式的访问控制。用户管理服务器和用户认证服务 器都可以通过l d a p 协议或其它的数据库访问协议( 可选) 来为应用程序服务。 当应用程序本身也采用l d a p 协议管理用户时( 例如l o t u sn o t e s ) ，它们之间 可以直接通过l d a p 协议来实现对用户权限设置的数据一致和同步。 ( 3 ) 集中审计系统。 在a a a 平台中，安全审计是指对与安全有关的事件进行审查、记录、写入 审计文件中并进行核对、分析、产生报表等。本设计中的各个安全服务器和安全 模块都有能力产生审计日志，这些数据被统一编码并提交给安全审计服务器。如 果一些应用服务器也可以提供审计数据时，可以通过a p i 接口将数据提交给审 计服务器。 2 4a 从平台方案的特点和技术优势 a a a 平台是在各种应用和操作系统的底层构造的，为应用程序、应用服务 器和应用系统提供全面的安全服务。它可以适应多种网络环境，可以提供完整的 第1 4 页 北京邮电大学硕二l 学位论文 统一认证、授权和审计平台设计与研究 信息安全服务，安全平台对于应用系统是完全透明的，接口简单、标准，从而为 电子商务和电子政务应用系统的建设提供了完整的安全解决方案。它具有如下的 优点： ( 1 ) 充分适应应用系统的多样性 对于应用系统采用浏览器w e b 服务器工作方式、客户软件服务器软件工作 方式等，安全平台可以同时提供安全服务。 ( 2 ) 充分适应计算机类型和操作系统的多样性 当应用系统采用u n i x 、l i n u x 等操作系统的大中型计算机，或w i n d o w s 操 作系统的中小型计算机时，安全平台都可以为它们服务。 ( 3 ) 充分适应网络系统的多样性 安全平台在内部局域网络、广域网络、i n t e m e t 等类型的网络系统内均可以 工作和提供安全服务。 ( 4 ) 统一的核心模块 在实现上述广泛适用性的同时，安全平台的开发实现了技术上的一致性，其 关键技术就是统一的核心模块，它完成多种基于硬件密码算法的安全功能。 ( 5 ) 为应用提供技术一致性好的接口 安全平台与应用程序之间有插接接口和一些a p i 接口。这些接口的设计满 足简单、易用、统一、安全的原则。 ( 6 ) 提供多样性、多安全级别的技术和选择 根据不同应用的安全需求，安全平台可以提供多种安全技术，例如简单的口 令登录、对用户口令的强化限定、动态口令、数字证书、智能卡技术、指纹 识别技术等。 ( 7 ) 安全模块的自由组合 安全平台包含多种功能软件模块，或软件与硬件组合而形成的功能模块，这 些模块可以自由地进行组合、扩充、重新布局等，可以充分适应网络和应用 系统的扩展和变化。 2 5 结束语 本章从a a a 平台的技术体系、组成和功能和其工作方式等三个大的方面对 第1 5 页 北京邮电大学坝j ：学位论文统一认证、授权和审计平台设计与研究 a a a 平台进行了探讨，最后对a a a 平台的优点进行了总结和分析。 第1 6 页 北京邮电火学硕士学位论文统一认证、授权和审计平台设计与研究 3 1p k i 简介 第三章p i g 基础 p k i 是对于公钥密码体制中的公钥信息的管理，由证书将用户的公钥与用 户其他信息绑定在一起，用以身份认证、访问授权等。公钥密码体制是一种密码 系统，它使用一对数学相关的密钥来加密和解密信息。在公钥密码体制中，一个 密钥用来加密或解密信息，另一个密钥用来执行相反的操作。其中一个密钥必须 保密，称为保密密钥；另一个密钥可以分发给任何人，称为公开密钥。在公钥基 础设施中，证书有自己特定的数据结构。最为广泛使用的证书格式是i t u 定义 的x 5 0 9 证书。证书机构是可信任的实体，用来为公钥基础设施中的用户发放证 书，提供c a 发放的证书的状态信息。 公钥证书就是一个用户的身份与他所持有的公钥的结合，在结合之前由一个 可信任的权威机构c a 来证实用户的身份，然后由其对该用户身份及对应公钥相 结合的证书进行数字签名，以证髓其证书的有效性。p k i 规定了必须具有权威认 证机构c a 在公钥加密技术基础上对证书的产生、管理、存档、发放以及作废进 行管理，包括实现这些功能的全部硬件、软件、人力资源、相关政策和操作程序， 以及为p k i 体系中的各成员提供全部的安全服务。如：实现通信中各实体的身 份认证、保证数据的完整、抗否认性和信息保密等。 3 2p k i 相关的密码学概念 公开密钥基础设施( p ) 是以公开密钥密码学为基础的，因此，它用到了 大量的密码学知识，下面仅介绍与p k i 技术相关的公钥密码学基本概念。 3 2 1 对称密钥加密 密码算法也叫密码，是用于加密和解密的数学函数，简单地说，密码就是 一组含有参数止的变换e 。通常情况下，有两个相关的函数：一个用作加密，另 个用作解密。 例如，明文用m 表示，密文用c 表示，加密函数e 作用于m 得到密文乙 第1 7 页 北京邮电人学硕：e 学位论文统一认证、授权和审计平台设计与研究 可用数学。公式表示为：( 参数k 称为密钥) ek ( m ) = c 相反地，解密函数d 作用于c 产生m ，可用数学公式表示为： d k ( c ) = m 先加密再解密，原始的明文将恢复，故下面的等式成立： d k ( ek ( m ) ) = m 如图3 1 所示： 国子i 豫_ 乎国 图3 - 1 对称密钥加密 对称密钥技术的最大优势是加解密速度快，适合于对大量数据进行加密，但 密钥管理较为因难。对称密钥技术要求通信双方事先交换密钥，当系统用户多时， 例如，在网上购物的环境中，商家需要与成千上万的购物者进行交易，若采用简 单的对称密钥加密技术，商家需要成千上万与不同对象通信的密钥，不仅存储开 销非常巨大，而且也难以进行管理。随着密码技术的不断