（计算机应用技术专业论文）一卡通平台的整体性研究与实现.pdf

沈阳理工大学硕士学位论文 摘要 随着数字化校园建设的逐步完善和发展，各种基于校园网的应用系统风起云 涌。它们独立认证的弊端使得校园网络集中管理难以实现，因此，建立一个统一 身份认证系统，对网络用户实行统一认证，统一授权和统一管理是数字化校园信 息安全体系建设中的一个重要内容。 本文首先研究了认证过程中的安全技术，w e b 服务的技术构成，包括w e b 服务 的基础技术一x 砌教术、w e b 服务的依赖协议、组件开发技术e j b 和j a v aw e b 服务开 发框架a p a c h e 的a x i s 。在此基础上，本文提出了基于w e b 服务和e j b 的统一认证框 架方案。该方案主要围绕用户认证、单点登陆、用户分组授权和用户信息管理等 关键问题进行分析并实现。认证设计采用了d e s 加密算法和基于x 5 0 9 的安全认证 机制，在传输过程中采用了s o a p 技术对服务进行加密，这样就解决了认证平台的 安全性问题；分组和管理设计采用了基于j 2 e e 规范的e j b 技术，这样既保证了系统 的松散耦合，也有利于系统的集成；客户端程序使用的开发工具是i ) e l p h i 6 0 ，即 客户端是基于o b j e c tp a s c a l 语言的。随着统一身份认证系统的逐步完善，它将在 数字化校园的信息安全体系中发挥着重要的作用。 目前，使用本文提出的统一身份认证平台方案己经在实验环境中获得成功， 并且己经在河北农业大学等投入试运行。 关键词：数字化校园；w e b 服务；s o a p ；a x i s ；单点登陆 沈阳理工大学硕士学位论文 a b s t r a c t w i t hg r a d u a lc o n s t r u c t i o na n d d e v e l o p m e n to fd i g l t a l i z c dc a m p u s ，v a r i o u s k i n d s o fn e t w o r k - b a s e da p p l i c a t i o n sa r em u s h r o o m i n 昏b c c a l mo ft h ed i s a d v a n t a g e so f d i f f e r e n t s y s t e m s i n d e p e n d e n t a u t h e n t i c a t i o no f a p p l i c a t i o n , t h e c e n t r a l i z e d m a n a g e m e n to fc a m p u sn e t w o r ki sd i f f i c u l tt or e a l i z e s o ，i th a sb e e na ni m p o r t a n t m e a s u r ei nt h ec o n s t r u c t i o no fi n f o r m a t i o ns e c u r i t ys y s t e mo fd i g l t i z e dc a m p u st o c o n s t r u c ta l lu n i f i e di d e n t i t ya u t h e n t i c a t i o ns y s t e m ，w h i c hi su s e df o rm a n a g i n gt h e n e t w o r ku s e ri nu n i f y i n ga u t h e n t i c a t i o n ，a u t h o r i z a t i o na n dm a n a g e m e n t t h i sp a p e rs t u d i e st h es e c u r i t yt e c h n o l o g yi na u t h e n t i c a t i o np r o c e s sa n dt h e t e c h n o l o g ys t r u c t u r eo fw e bs e r v i c e s i n c l u d i n gx m l w h i c hi st h eb a s i ct e c h n o l o g yo f w c bs e r v i c e s , a x i sw h i c hi st h ej a v aw e bs e r v i c e sd e s i g n i n gf r a m e w o r ko fa p a c h e o nt h eb a s i so ft h e s et e c h n o l o g i e s ，t h i sp a p e rp u t sf o r w a r dau n i f y i n gs y s t e ms c h e m eo f a u t h e n t i c a t i o nf r a m e w o r kb a s e do nw c bs e r v i c e sa n de j b t h i sd e s i g ni sa n a l y z e da n d i m p l e m e n t e db yf o c u s i n go l lt h ek e yi s s u e ss u c ha su s e ra u t h e n t i c a t i o n , s i n g l es i g n - o n , u s e rg r o u p i n ga n da u t h o r i z a t i o n ，a n dm a n a g e m e n to fu s e ri n f o r m a t i o n b yu s i n gd e s e n c r y p t i o na l g o r i t h ma n ds e c u r i t ya u t h e n t i c a t i o nm e c h a n i s m sb a s e do nt h ex 5 0 9f i r s ti n a u t h e n t i c a t i o nd e s i g na n dt h e ns o a pt oe n c r y p ts e r v i c e sd u r i n gt r a n s m i s s i o n , i ts o l v e s t h es e c u r i t yp r o b l e mo fa u t h e n t i c a t i o np l a t f o r m ；b ya d o p t i n ge i bb a s e do nj 2 e ei n g r o u p i n ga n dr e g u l a t i o nd e s i g n , i tg u a r a n t e e sal o o s ec o u p l i n go ft h es y s t e ma n dm a k e s f o rt h ei n t e g r a t i o no fs y s t e m ；t h ep r o g r a ma tc l i e n t , b a s e du p o no b j e c tp a s c a ll a n g u a g e ， i sd e v e l o p e di nd e l p h i w i t ht h eg r a d u a li m p r o v e m e n to fu n i f i e di d e n t i 哆a u t h e n t i c a t i o n s y s t e m ，i tw i l lp l a ya ni m p o r t a n tr o l ea m o n gt h ei n f o r m a t i o ns a f es y s t e mo fd i 百t a l i z e d c a m p u s s of a r , t h eu n i f o r mi d e n t i t ya u t h e n t i c a t i o np l a t f o r md e s i g na c c o r d i n gt ot h i sp a p e r h a sb e e nr u n n i n gs u c c e s s f u l l yi nt h el a ba n dh e b e i a g r i c u l t u r a lu n i v e r s i t y k e yw o r d s ：d i g i t i z e dc a m p u s ；w e bs e r v i c e ；s o a p ；a x i s ：s i n g l es i g n o n 沈阳理工大学 硕士学位论文原创性声明 本人郑重声明：本论文的所有工作，是在导师的指导下，由作者本 人独立完成的。有关观点、方法、数据和文献的引用已在文中指出， 并与参考文献相对应。除文中己注明引用的内容外，本论文不包含任 何其他个人或集体已经公开发表的作品成果。对本文的研究做出重要 贡献的个人和集体，均己在文中以明确方式标明。本人完全意识到本 声明的法律结果由本人承担。 作者( 签字) ： 日期： 王易哀 阳年；月j ；日 学位论文版权使用授权书 本学位论文作者完全了解沈阳理工大学有关保留、使用学位论文 的规定，即：沈阳理工大学有权保留并向国家有关部门或机构送交学 位论文的复印件和磁盘，允许论文被查阅和借阅。本人授权沈阳理工 大学可以将学位论文的全部或部分内容编入有关数据库进行检索，可 以采用影印、缩印或其它复制手段保存、汇编学位论文。 ( 保密的学位论文在解密后适用本授权书) 学位论文作者签名：互焉岳 日期：纠；b 指导教师签名：f 乏啪 日 期：声p 7 ；， 第1 章绪论 1 1 课题背景及意义 第1 章绪论 “数字化校园”是目前现代化学校建设的主要目标，是传统信息化管理系统的 进一步深化和延伸。这一理念的提出，意味着以信息化为标志的现代教学管理模 式在教育行业己经确立，也意味着更先进的学校管理理念向信息化系统的建设工 作提出更高的要求。 随着信息化应用程度的不断推广和深入，基于数字化校园的应用和服务越来 越多，如网上教学、虚拟社区、数字图书、视频会议、视频点播、一卡通系统日 渐涌现；另外，网上用户、主机数目和网络带宽需求的急剧膨胀等，都对数字化 校园的管理提出了挑战，特别体现在网络安全方面。近几年来各类计算机病毒的 肆虐、黑客入侵、网络攻击、信息窃取等不安全因素的存在，都充分暴露了i n t e r a c t 这个开放型网络系统的不安全，也进一步对数字化校园的安全体系建设敲响了警 钟。同时，信息的共享、可访问性与信息的保密这一对固有的内在矛盾，使得网 络信息的保密管理日趋艰难。由此，建立一套适应数字化校园的安全运营的信息 系统体系是目前数字化校园建设中急需解决的一个热点问题。 数字化校园是利用计算机技术、网络技术、通讯技术对学校与教学、科研、 管理和生活服务有关的所有信息资源进行全面的数字化；并用科学规范的管理对 这些信息资源进行整合和集成，以构成统一的用户管理、统一的资源管理和统一 的权限控制，因此在数字化校园内建设一个安全的统一身份认证平台对于一卡通 平台的整体性研究和实现起着至关重要的作用。 1 2 研究现状及存在问题 1 2 1 研究现状 由于身份认证的重要性，所以近年来在技术上得到了飞速的发展。从一般常 用的静态口令、动态口令、双因数身份认证，到近来在研究和开发上比较热的p k i 沈阳理工大学硕士学位论文 数字证书和生物特征技术。但从国外的应用情况及我国的国情来看，与其他几种 技术相比较而言，基于口令的身份认证技术使用相对比较广泛，原因在于口令认 证使用方便、管理简单、成本低廉。而对于那些要涉及机密数据或者敏感数据的 系统，就往往需要采用更高强度的认证技术。 从服务器端认证实现方式来看，或者说从各个应用系统之间如何交互身份信 息角度看，可以把身份认证分为独立认证和统一认证。现在许多应用系统具有一 套独立的身份认证子系统，即独立认证，但从安全性、通用性、及时性和权威性 来看，都不能令人满意，而且存在很大的安全隐患。 目前，为解决上述问题。微软和自由联盟( l i b e r t ya l l i a n c e ) i e 在致力于基于 w e b 方式的统一身份认证服务的研究，如微软的n e tp a s s p o r t 和s u n 的i d e n t i t y s e r v e r 。 n e tp a s s p o r t 是微软倡导的n e t 框架的核心组件之一，是一组联机验 证服务的集合。其目的是让w e b 的服务，它们的设计目标是简化对安全数据的访 问和传输。它把用户的个人注册信息全部存储在微软的服务器上。所有的p a s s p o r t 验证都是通过微软自己的服务器来完成m 当用户使用电子邮件地址和密码登陆到 允许p a s s p o r t 的w e b 站点和服务后，如果还需要访问其他支持p a s s p o r t 的站点， 就无需再次登陆就可以使用，因此用户无需记住每个网站的不同的登录名和密码。 这就实现了所谓的单点登录( s i n g l es i g n - o n , s s o ) 。 自由联盟是用户认证技术的标准化团体，致力于身份鉴定技术。s u n 与其他微 软的对手己经开始与微软的p a s s p o r t 展开竞争，为用户提供一个在i n t e m e t 上的数 字身份。l i b e r t y 反映出两个或多个企业形成一个信任的关系。这种信任可通过企 业安排或者合同来缔结。l i b e 啊信任关系意味着一个企业信任另一个企业的用户 认证和身份鉴别。这种信任关系使得用户在一个网站注册后，可以访问另一个网 站。因此，l i b e r t y 的关键目的在于促进针对于多个站点或者w e b 服务单一登录“r 。 n e t p a s s p o r t 和l i b e r t y 标准主要是为在因特网大环境中进行的商务活动和个 人的网上冲浪而设计的，如b 2 c ，b 2 b ，对于数字化校园这种特定的小环境还不适 用。一方面，数字化校园的很多应用系统不是面向大众的，比如人事工资系统， 档案管理系统所以这些专用系统是不能加入到l i b e r t y 或者p a s s p o r t 中；另一方面， 这类统一身份认证系统只是适合基于w e b 应用的统一认证，而数字化校园中有很 多应用系统是非w e b 方式的应用，如果使用现有的统一认证服务来进行集成，其 2 第1 章绪 论 移植成本和整合难度必然很高。 1 2 。2 存在问题 但我们也看到，用户在登录系统时要提供口令信息，并且由于信息交换是基于 传统的c s 模式，这也存在着一些局限性，仍急需解决几个问题： 1 2 2 1 单点登录的问题 在传统模式下，用户登录到每一个应用系统，都要输入一遍帐号和口令信息， 然后交由统一身份认证系统来进行身份认证，既显得麻烦，也存在一些安全隐患： 1 帐号和口令在网络中重复传输，使得口令泄露的风险增加。尽管可以采用 一些加密算法来避免口令在网上的直接明文传输，但仍不能保证不会被攻破。在 统一认证模式下，这种风险是可怕的，一旦泄露，黑客分子就可以冒充该用户登 录所有的应用系统。 2 用户和应用系统直接连接，假如应用系统是不可信的，或是该应用系统没 有足够的安全措旋来保护用户的口令等信息，那么也有可能导致口令被不法分子 窃取。 1 2 2 2 与现有应用系统的整合 由于采用了统一的身份认证方式，各个应用系统不需要使用自己的安全认证 系统，统一身份认证系统作为网络安全防护的第一道屏障，其他应用系统都需要 从它那里得到用户的认证或授权信息，以便实施对该用户的安全策略，或是统计 分析该用户对网络资源的使用情况。比如，网络安全系统可能需要知道用户登录 的资料，以便在出现安全问题时能很快地找到导致安全问题的用户，从根本上杜 绝安全隐患。 因此，如何实现统一身份认证系统与其他系统之间的无缝整合，使双方能够 方便地交换信息是另一个需要解决的问题。另外，为防止对应用系统做大量的改 动，应将统一身份认证系统封装为一个服务，其他应用系统只需按照一定的规范 调用这个服务就行了。 3 沈阳理工大学硕士学位论文 1 2 2 3 对新的应用系统的集成能力m 当一个新的应用系统被建立起来后，它希望利用现有的统一身份认证系统对 所属用户群进行身份鉴别和授权。在现有模式下，它可能需要和这个认证系统的 管理方进行协商，建议管理人员对数据库作出相应的改变以集成该应用系统。但 这样做往往费时费力。 一个比较好的做法是，统一身份认证系统提供一个应用系统集成的接口，新的 应用系统只要提供特定用户群的信息和用户授权策略，认证系统就能对数据库做 出相应的改动以支持新的应用系统。 1 2 2 4 系统间的耦合度问题 由于现有的大多数认证系统采用c s 结构的认证模式，这样带来的一个问题 是，一旦服务端的系统结构发生了变化，客户端必须重新调整自己的系统以适应 这种变化。如果调用该服务的应用系统数量比较多的话，那么服务端的改变所带 来的代价是巨大的和不可接受的。 因此，应尽可能地降低统一身份认证系统和其他应用系统间的耦合度，实现 松散藕合，保证服务端的修改不会影响到其他应用系统对该服务的调用。 1 3 独立认证的局限性 数字化校园是一个整体的概念，具有统一性、一致性两大特点，这与应用系 统的独立性、多样性等特点存在矛盾，其中最显著、最直观、最容易发现的就是 用户身份认证和管理的统一。由于各应用系统各具一套安全策略和用户授权的方 法，使得用户不得不记忆不同应用系统的帐号和口令。这种独立认证的方式不论 对于用户还是应用系统的开发都是一件十分麻烦的事情。 独立认证的弊端主要体现在以下两个方面： 1 每个应用系统都各自拥有一套相互独立的用户身份认证和管理系统，其 中必有些信息相互重叠，又相互冲突，如果在日常运行过程中无法及时沟通与统 一，必然会产生严重的差异。而当我们把所有的应用系统进行整合时，所有的差 异都会爆发出来，最终不仅破坏“数字化校园”的管理职能，甚至可能破坏所有 4 蔓! 童堕堡 应用系统的工作基础，导致系统崩溃。具体来讲，有以下几点： ( 1 ) 用户身份严重不一致：同一个用户在不同的应用系统中可能存在完全不同 的属性，可能拥有完全不同的权限和优先级定义，相互矛盾，相互制约，最终造 成同一个用户在“数字化校园”中同时有多个不同身份； ( 2 ) 用户信息无法统一：当个用户的属性发生改变时，她的身份限信息只在 系统中被更改，很多其他系统无法及时得到通知，也无法自动更正，最终造成用 户信息无法统一； ( 3 ) 应用系统无法整合：由于各业务应用系统无法共享用户信息，而且又各自 维护各自的身份认证管理功能，就如在一个统一系统中私自设了许多关卡，每个 关卡对待用户的态度完全不同，最终造成“数字化校园”无法真正整合所有应用 系统； ( 4 ) 信息重复情况严重：在整个系统中，同一个用户的信息反复存放，数据冗 余量过大，最终会造成所有系统信息管理成本上升，性能下降。甚至影响正常运 行； ( 5 ) 对信息系统的管理难度增加：“数字化校园”的建设目标之一就是加强对 下属各应用系统的管理，如果连系统用户都无法直接管理，无法想象如何保证管 理效能。 2 如果各业务系统采用独立分离的身份认证管理系统，对系统的用户也会带 来许多麻烦，直接导致操作、管理和安全方面的许多问题，表现在： ( 1 ) 增加用户操作的复杂性：用户在使用不同应用系统时，必须反复登录，而 且必须采用相应的正确登录信息，否则就会被系统阻拦，操作极其麻烦； ( 2 ) 严重破坏系统安全性：同一个用户为进入众多应用系统，必须记忆和采用 大量不同的密码和身份信息，为了防止遗忘密码，必定会大量使用重复的密码和 身份信息，而这些信息又分散在各个应用系统的数据库中，一旦泄密，系统安全 荡然无存； ( 3 ) 增加用户信息的维护难度：当用户状况变更时，需要同时修改不同应用系 统中的大量条目，这无疑增加了“数字化校园”的管理难度。 5 沈阳理工大学硕士学位论文 1 4 统一身份的必要性 在现实校园中，每一成员都有一个固定的身份，其身份决定了该用户在校园 空间所享有的权限。数字校园是现实校园在数字空间的映射，因此作为数字校园 中的一个成员，同样需要一个能唯一标识自己的电子身份。对于数字校园来讲， 就是要建立一套统一的身份认证管理系统，学校的每个成员都有一个与之对应的 数字身份，凭借它来访问数字校园中有权访问的网络资源。 电子身份的确认需要某种身份认证技术。而身份认证一般与授权控制是相互 联系的，授权控制“。是指一旦用户的身份通过认证以后，具体负责确定该用户可以 访问哪些资源，有什么样的操作权限等。因此，在数字化校园建设中，应该有一 个统一的身份认证系统供各应用系统使用，并且有单一的注册中心统一为各部门 服务。 建立统一身份认证系统后，用户每次要访问网络资源之前，必须先到认证系 统认证身份，经确认后才能使用相应的网络资源。这样可以方便地实现对用户的 统一管理。统一身份认证系统的优越性体现在： 1 对身份认证数据规定统一的格式，便于扩充和修改； 2 采用统一的身份信息数据库，避免了在各个应用系统的身份信息数据库的 数据同步更新，同时也提高了数据的安全性； 3 采用统一的认证机制和接口，避免了各种应用系统的重复开发； 4 便于在不同的应用系统之间建立联系，符合应用的实际情况。 1 5 研究内容和论文结构 1 5 1 研究内容 针对目前身份认证系统的现状，以及校园网对身份认证的需求，有必要设计 一个适合数字化校园的统一身份认证与用户管理系统，来对用户进行统一的授权、 统一的认证和统一的管理。 本文在研究和比较统一身份认证所采用的安全加密和认证技术，w e b 服务技 术，e j b 技术，a x i s 技术等基础上，提出了一个新的基于单点登陆( s s o ) ， 6 笙! 童缝堡 w e b s e r v i c e s 和e j b 技术的统一身份认证架构，主要包括： 1 用户登陆时进行严格地安全加密认证的单点登陆方式的分析和设计； 2 利用s o a p 和x m l 技术方便地实现了用户、应用系统、认证系统之间的 信息交换，解决了跨平台的局限性； 3 利用e j b 技术设计并实现了统一身份平台的认证和管理接口，设计中采用 了比较常用的工厂，单例模式： 4 利用a x i s 技术在j b o s s 应用服务器上的进行服务发布； 5 设计并实现了一个基于d e l p h i 语言的第三方应用程序软件对服务器发布出 的服务进行调用，解决了统一身份认证平台的集成问题。 1 5 2 论文结构 第l 章：介绍了课题的背景和意义，并且分析了国内外现状以及独立身份认证 的局限性和统一身份的必要性，还有论文的研究内容； 第2 章：主要介绍身份认证所采用的安全加密技术、认证技术以及常用的认证 机制，s s l 协议及相关安全性分析： 第3 章：介绍实现w e b 服务所采用的相关技术还有e j b 技术的工作原理，根据 他们极其相关技术提出基于w e b 服务和e j b 技术的统一认证平台框 架。 第4 章：结合前面章节介绍的安全认证，s s l 协议，w e b 服务e j b 等相关技术， 设计并逐步实现统一身份认证平台系统，包括平台的认证安全性以及 认证后用户信息管理： 第5 章：图形化地介绍了统一身份平台的登陆认证和具体子功能的实现过程； 结论：分析本文的创新点，提出进一步的研究工作和应用前景。 7 第2 章认证过程中的安全技术 第2 章认证过程中的安全技术 涉及到信息安全或者网络安全时，一般应考虑以下几个安全的要素： 1 机密性( c o n f i d e n t i a l i t y ) ：只能被授权的成员解码的数据交换，确保信息不暴露 给未授权的实体或进程； 2 完整性( d a t a i a t e g r i t y ) ：只有得到允许的人才能修改数据，并且能够判别出数据 是否己被篡改。确保数据只要没有检测到被更改，就认定没有被篡改； 3 可用性( a v a i l a b i l i t y ) ：又称为有效性，是指得到授权的实体在需要时可访问数 据，即攻击者不能占用所有的资源而阻碍授权者的工作； 4 可控性( c o n t r o l l a b i l i t y ) ：可以控制授权范围内的信息流向及行为方式； 5 可审查性：对出现的网络安全问题提供调查的依据和手段； 6 不可抵赖( n o n - r e p u d i a t i o n ) ：保证信息的发送者不能抵赖或否认对信息的发送； 7 认证( a u t h e n t i c a t i o n ) ：对系统用户身份进行鉴定，以保证信息来源的合法性， 是密码系统的主要功能； 前三个常被称为c i a 三元组，所有的安全性控制必须符合这些法则”1 。 2 1 安全加密技术 密码技术是保障信息安全的核心技术。密码技术在古代就已经得到应用，但 仅限于外交和军事等重要领域。随着现代计算机技术的飞速发展，密码技术正在 不断向更多其他领域渗透。它是集数学、计算机科学、电子与通信等诸多学科于 一身的交叉学科。密码技术不仅能够保证机密性信息的加密，而且还具有数字签 名、身份验证、系统安全等功能。所以，使用密码技术不仅可以保证信息的机密 性，而且可以保证信息的完整性和可靠性，防止信息被篡改、伪造和假冒。 数据加密m ”是通过e x t r a n e t 和i n t e r a c t 进行安全的信息交换的基础。它的实质 是对原来为明文的文件或数据按某种算法进行处理，成为不可读的一段代码，通 常称为“密文”，使得只有在输入相应的密钥之后才能显示出本来内容，通过这 样的途径来达到保护数据不被非法人窃取、阅读的目的。该过程的逆过程为解密， 9 沈阳理工大学硕士学位论文 即将该编码信息转化为其原来数据的过程( 如图2 1 所示) ： p 为明文，c 为密文，k e 为加密密钥，k d 为解密密钥 图2 1 数据加密与解密过程 假设e 为加密算法，d 为解密算法，则数据的加密解密数学表达式为： p = - d ( k d ，e ( k e ，p ” 从密码体制方面而言，密码体制有对称密钥密码技术和非对称密钥密码技术， 对称密钥密码技术要求加解密双方拥有相同的密钥。而非对称密钥密码技术是加 密解密双方拥有不同的密钥，在不知道信息的情况下，加密密钥和解密密钥在计 算上是不能相互算出的。 2 1 1 对称加密算法 对称密钥算法又称为私有密钥算法、专有密钥算法或者单密钥算法。就是加 密和解密都是使用同个密钥。使用如下公式来进行加密和解密操作： m 一明文，c 一密文，l r 密钥 加密：e k ( m ) = c 解密：d k ( c ) = m 、 典型的对称密钥算法是d e s ( 数据加密标准) ，d e s 是分组加密算法，使用6 4 位的密钥，除去8 位奇偶校验位，共有5 6 位有效的密钥长度。它把明文以6 4 位 分组来对数据加密，末尾不足6 4 位的需要填充”，。加密算法分三步：第一步分组密 码通过一个初始的置换，将明文分成左半部分和右半部分，各3 2 位；第二步，进 行1 6 轮完全相同的函数f 运算，在运算过程中数据与密钥结合。f 函数运算即：每 轮中密钥位要移位并选出4 8 位，数据右半部分扩展置换成4 8 位，然后与密钥相 异或，此4 8 位通过8 个s 一盒替代成3 2 位，再置换一次。f 函数的结果与数据的左 半部分相异或作为结果的右半部分，原有的右半部分作为结果的左3 2 位，这样就 完成了轮运算；第三步，经过1 6 轮后，左右半部分结合在起经过一个末置换 l o 第2 章认证过程中的安全技术 就完成了加密运算( 如图2 2 所示) 。解密算法和加密算法完全相同，只是密钥使 用的的次序相反。 图2 2d e s 加密过程 d e s 算法的工作模式有四种，分别是电码本( e c b ) 、密码块链接( c b c ) ，输出 反馈( o f b ) 和密文反馈( c f b ) “。为了实现的方便住和安全性，d e s 也有一些变种， 如d e s x , g d e s ，r d e s 和多重d e s 等。 单密钥的最大问题是密钥管理安全性问题，特别是在多方通信的情况下。还 有就是如何保证密钥的安全交换，比如通信双方相距太远，不能见面，密钥的安 全交换或者更新就成了对称密钥算法障碍。然而，由于对称加密算法具有算法公 开、计算量小、加密速度快、加密效率高的优点，仍被广泛地运用于军事、外交 与商业等领域。 2 1 2 非对称加密算法 由于对称密钥算法，其加密和解密密钥均是相同的，因此必须严格保密，且 要经安全渠道配发，这在跨越很大的地理位置上应用是一个难以解决的问题。1 9 7 6 年有人提出了公共密钥密码体制，其原理是加密密钥和解密密钥分离。这样，一 个具体用户就可以将自己设计的加密密钥和算法公诸于众，而只保密解密密钥。 任何人利用这个加密密钥和算法向该用户发送的加密信息，该用户均可以将之还 原。因此，人们通常也将这种密码体制称为双密钥密码体制。 r s a 算法是目前最通用、最著名的非对称加密算法，既能用于数据加密，又 能用于数字签名。r s a 的理论依据为；寻找两个大素数比较简单，而将它们的乘 沈阳理工大学硕士学位论文 积分解开则异常困难。在r s a 算法中，包含两个密钥：加密密钥和解密密钥，加密 密钥是公开的，其原理为”： 1 任意选取两个不同的大素数p 和q ，计算乘积r = p * q 2 任意选取一个大整数e ，e 与( p - 1 ) ( q - 1 ) 互质，整数e 用做加密密钥。注意：e 的 选取是很容易的，例如，所有大于p 和q 的质数都可用 3 确定解密密钥d ：扩e = l m o dq - - 1 ) + ( q 1 ) 根据e ，p 和q 可以容易地计算出d 4 公开整数r 和e ，但是不公开d 5 将明文p ( 假设p 是一个小于r 的整数) 加密为密文c ，计算方法为：c = p e m o dr 6 将密文c 解密为明文p ，计算方法为：p - - c dm o dr 然而只根据r 和eo 和q 保密) 要计算出d 是不可能的。因此，任何人都可对明文 进行加密，但只有授权用户( 知道d ) 才可对密文解密。 非对称加密算法的优点是能适应网络的开放性要求，密钥管理简单，并且可 方便地实现数字签名和身份认证等功能，是目前电子商务等技术的核心基础。其 缺点是算法复杂，加密数据的速度和效率较低。如果r s a 和d e s 结合使用，则正好 弥补r s a 的缺点。即d e s 用于明文加密，r s a 用于d e s 密钥的加密。由于d e s 加密 速度快，适合加密较长的报文：而r s a 可解决d e s 密钥分配的问题。 2 2 认证技术 信息的可认证性是信息安全的另一个重要方面。认证是网络通信中建立可信 安全通信信道的重要过程，是安全信息系统的“门禁”模块。认证的目的有两个： 一个是验证信息发送者的真实性，确认他没有被冒充；另一个是验证信息的完整 性，确认被验证的信息在传递或存储过程中没有被篡改、重组或延迟。认证是防 止敌手对系统进行主动攻击( 如伪造、篡改信息等) 的一种重要技术。 2 2 1 消息摘要 消息摘要n o ，就是一个数据块的数字指纹。即对一个任意长度的数据块进行计 算，产生一个唯一指印。消息摘要主要用于保证数据的完整性，我们经常听到的 、 1 2 第2 章认证过程中的安全技术 校验和就是消息摘要的一个特例。它有两个基本的属性：一是两个不同的报文难以 生成相同的摘要；二是难以对指定的摘要生成一个报文，而由该报文反推算出该 指定的摘要。 消息摘要的算法是使用一个哈希函数。即把需要进行完整性检查的消息块或 者文件作为哈希函数的输入，通过单向哈希函数运算，输出固定长度的字符串， 即为消息摘要码。安全的哈希函数的存在性依赖于单项函数的存在性。己知h a s h 函数值，构造一个消息，使其h a s h 函数值相同，应具有计算复杂性意义下的不可 行性。从理论上来讲，攻击者不可能制造一个替用的消息来产生一个完全相同的 消息摘要。更深一步，密钥可以加密消息摘要形成数字签名。常用的消息摘要算 法有m d 5 和s h a 1 。 m d 5 的算法原理是对消息块按5 1 2 位进行处理。首先对消息块进行填充，使信 息的长度等于5 1 2 的倍数，然后对信息依次每次处理5 1 2 位，每次进行4 轮，每轮1 6 步总共6 4 步的信息变换处理，每次输出结果为1 2 8 位，然后把前一次的输出作为下 一次信息变换的输入初始值( 第一次初始值算法己经固定) ，这样最后输出一个1 2 8 位的杂凑结果。现已经在很多应用中被当成标准使用。s h a 是由美国国家标准和 技术协会开发的，有多种版本，如s h a 1 ，s h a - 2 5 6 等，分别生成不同位数的消息 摘要，执行速度较慢，但安全性更高。 2 2 2 数字签名 公开密钥的加密机制虽然提供了良好的保密性，但难以鉴别发送者，即任何 得到公开密钥的人都可以生成和发送报文。数字签名机制提供了一种鉴别方法， 可以有效地防止原始文档被污染或变更，防止别有用心者使用他人名字散布欺骗 性消息，以及提供谁是文件原作者的证据等等。 数字签名( d i g i t a ls i g n a t u r e 简称d s ) 是通过某种加密算法在一条地址消息的尾 部添加一个字符串，而收件人可以根据这个字符串验明发件人身份的一种技术m ，。 数字签名使用了消息摘要算法和公开密钥技术。首先对消息进行哈希运算， 产生消息摘要，发送者用自己的私钥加密消息摘要后产生一段字串，然后把此字 串附加到要发送的消息之后传给接收者，接收者用发送者的公钥按照相反的过程 解密，就可确定消息来自于谁，同时也是对发送者发送的信息完整性的一个证明。 1 3 沈阳理工大学硕士学位论文 由于发送者的私钥是私有保密的，发送者对所发信息不能抵赖。 数字签名虽然可以有效地保证数据的真实传送，但仍存在一些不足： 1 若发送方想抵赖发送某一消息时，可能会声称其私有密钥丢失或被窃，是 他人伪造了他的签名； 2 通常需要采用与私钥安全性相关的行政管理手段来制止或削弱这种情况， 但威胁在某种程度上依然存在： 3 改进的方式：如可以要求被签名的信息含一个时间戳，并将己暴露的密钥报 告给一个授权中心。 2 2 3 数字证书 用公钥作认证的一个主要问题是：我们怎么知道自己拿到的公钥是属于某个 特定的人呢? 这种情况下，我们必须依赖一个信任的第三方，由它来确认该公钥确 实属于特定的持有者。 数字证书是目前国际上最成熟并得到广泛应用的信息安全技术。数字证书是 一个经证书授权中心数字签名的包含公开密钥拥有者信息和公开密钥的文件。数 字证书将身份和一对可以用来加密和签名的电子密钥相绑定。数字证书以密码学 为基础，采用数字签名、数字信封、时间戳服务等技术，在i n t e r n e t 上建立起有效 的信任机制。数字证书能够验证一个人使用给定密钥的权利，这有助于防止他人 利用假密钥冒充其他用户。数字证书与加密一起使用，可以提供一个更加完整的 解决方案，确保交易双方的真实身份1 。 数字证书由认证中心( c a ) 发放，最简单的证书包含一个公开密钥、名称以及 证书授权中心的数字签名。一般情况下证书中还包括密钥的有效时间、发证机关 ( 证书授权中心) 的名称、该证书的序列号等信息，证书的格式遵循x 5 0 9 国际标准。 目前x 5 0 9 有不同的版本，例如x 5 0 9v 2 和x 5 0 9v 3 都是目前比较新的版本，但都是 在原有版本基础上进行的功能扩充，其中每一版本必须包含下列信息： 1 证书版本号( v e r s i o n ) ：版本号指明x ，5 0 9 证书的格式版本，目前其值可以取0 ， 1 ，2 ： 2 证书序列号( s e r i a l n u m b e r ) ：序列号指定由c a 分配给证书的唯一的数字型标 识符。当证书被取消时，实际上是将此证书的序列号放入f l j c a 签发的c r l ( 证书废 1 4 第2 章认证过程中的安全技术 除列表) 中，这也是序列号唯一的原因； 3 签名算法标识符( s i g n a t u r e ) ：签名算法标识用来指定p h c a 签发证书时所使用 的签名算法。郎用来指定c a 签发证书时所使用的公开密钥算法和h a s h 算法，须内 国际知名标准组织( 如i s o ) 注册； 4 签发机构名( i s s u e r ) ：用于标识签发证书的c a 的x 5 0 9d n 名字。包括国家、 省市、地区、组织机构、单位部门和通用名； 5 有效期( v a l i d i t y ) ：指定证书的有效期，包括证书开始生效的日期和时间以及 失效的日期和时间。每次使用证书时，需要检查证书是否有效； 6 证书用户名( s u b j e c t ) ：指定证书持有者的x 5 0 9 唯一名字。包括国家、省市、 地区、组织机构、单位部门和通用名，还可包含。m a i l 地址等个人信息； 7 证书持有者公开密钥信息( s u b j e c t p u b l i c k e y i n f o ) ：包含两个重要信息，证书 持有者的公开密钥的值；公开密钥使用的算法标识符；此标识符包含公开密钥算 法和h a s h 算法； 8 签名值( i s s u e r ss i g n a t u r e ) ：书签发机构对证书上述内容的签名值。一个完 整的数字证书验证步骤如下n ，： ( 1 ) 将客户端发来的数据解密( 如解开数字信封) ； ( 2 ) 将解密后的数据分解成原始数据、签名数据和客户证书三部分： ( 3 ) c a 根证书验证客户证书的签名完整性； ( 4 ) 检查客户证书是否有效( 是否在证书结构中的所定义的有效期内) ； ( 5 ) 检查客户证书是否作废； ( 6 ) 验证客户证书结构中的证书用途； ( 7 ) 客户证书验证原始数据的签名完整性。 2 2 4 生物识别 生物识别技术( b i o m e t r i ci d e n t i f i c a t i o nt e c h n o l o g y ) 是利用人体生物特征进行 身份认证的一种技术。生物特征是唯一的，可以被测量或可自动识别和验证的生 理特性或行为方式。这种特征可以是生理上的，如指纹，也可以是行为上的，如 笔迹、声音、步态等。 传统的身份鉴定方法包括身份标识物品( 如钥匙、证件、a t m 卡等) 和身份标 1 s ：鲨堕里三奎堂堡主兰壁堡茎 识知识( 如用户名和密码) ，但由于主要借助体外事物，一旦证明身份的标识物品 和标识知识被盗或遗忘，其身份就容易被他人冒充或取代。 生物识别技术无须要记住复杂的密码和帐号，也无须随身携带钥匙、智能卡 之类的东西，因而比传统的认证方式更安全、更方便。此外，生物识别技术产品 均借助于现代计算机技术实现，很容易与安全、监控、管理系统进行整合，实现 自动化管理。因此可以预见，生物识别技术的应用将在未来的安防领域中占据身 份验证识别市场的主导地位。 目前，有很多的生物测定技术可用于身份认证。如虹膜识别技术、面部识别、 声音识别技术、指纹识别系统等。其原理是对生物特征进行取样，提取其唯一的 特征，转化成数字代码，并进一步将这些代码组成特征模板加以存储。当人们同 识别系统交互进行身份认证时，识别系统获取其特征并与数据库中的特征模板进 行比对，以确定是否匹配，从而决定接受或拒绝该人。 2 3 认证实现机制 对于一些计算机资源，只有经过授权的合法用户才能访问，而如何正确鉴别 用户的真实身份是问题的关键。用户认证，也称为用户鉴别，就是用户向服务系 统以一种安全的方式提交自己的身份证明，由服务系统确认用户的身份是否真实， 然后才能实现对于不同用户的访问控制和记录。身份认证是实现网络安全的重要 机制之一。 一般而言，认证的机制分为两类“叱简单认证机制和强认证机制。简单的认证 中只有名字和1 2 1 令被服务系统所接受。由于明文的密码在网上传输极容易被窃听 截取，一般的解决办法是使用一次性口令( o t p ，o n e - t i m ep a s s w o r d ) 机制。这种机 制的最大优势是无须在网上传输用户的真实口令，而且由于具有一次性的特点， 可以有效防止重放攻击( r e p l a ya t t a c k ) 。根据一次性口令生成机制的不同，通常 可分为t i m es y n c h r o n i z a t i o n 的s e c u r ei d ( 安全标志符) ，h a l l e n g e - r e s p o n s e 的c r y p t o c a r d ( 密码卡) 和增强的s k e y ( 安全密钥) 等。强认证机制一般运用多种加密手段来 保护认证过程中相互交换的信息，其中，k e r b e r o s 协议是此类认证协议中比较完善、 较具优势的协议，得到了广泛的应用。 下面讨论几种常用的身份认证机制，并对他们的安全性进行分析。 1 6 第2 章认证过程中的安全技术 2 3 1 基于口令的传统认证机制 传统的认证技术主要采用基于口令的认证方法，其认证过程大致是这样的： 当用户需要访问系统资源时，系统提示用户输入用户名和口令。系统采用加 密方式或明文方式将用户名和口令传送到认证中心，并和认证中心保存的用户信 息进行比对。如果验证通过，系统允许该用户进行随后的访问操作，否则拒绝用 户的进一步访问操作。 基于口令的传统认证一般应用于早期的计算机系统，当然，在目前一些比较 简单的系统或安全性要求不高的系统中也有应用，例如p c 机的开机口令、l r n i x 系 统中用户的登录、w i n d o w s 用户的