（计算机应用技术专业论文）基于aaa认证的可信报业网络研究与实现.pdf

山东大学硕士学位论文 摘要 随着计算机网络技术的不断发展和网络应用的迅速增加，计算机网络的规模 也越来越大，结构也越来越复杂。连入网络的各种设备如主机、集线器、路由器、 交换机种类繁多，网络上的信息流急速增长，因此安全问题也更加突出，而传统 的网络安全技术解决这些问题有些力不从心。为克服传统网络安全技术的不足， 本文对可信计算、可信网络等最新网络安全理论进行了研究。 根据可信网络的特性分析，要加强企业局域网络的安全性，关键是增加对企 业网络的可控性和可审计性，认证、授权和审计协议( 从a ：a u t h e n t i c a t i o n a u t h o r i z a t i o na c c o u n t i n g ) f 毙够满足对企业网络的可控性和可审计性要求。本文对 r a d i u s 协议的认证技术、数据包加密方式等进行了详细的讨论。基于上述分析 之后，提出了基于a 从认证的可信报业网络模型。通过在报业网络中增加a 从 认证功能，解决了报业网络的可控性问题，增强了报业核心网络的可信度。本文 对模型的核心组成部分进行了分析、设计和实现，并叙述了用户认证流程。 根据基于a a a 认证的可信报业网络模型思想，通过研究大众报业网络的现 状及特点，设计了基于a a a 认证的大众报业网络平台。在大众报业网络中，提 出了防火墙和从a 协议在报业网络中的联合应用方法，采用挑战握手认证协议 和数字证书方式访问机密财务网络区域，经实践表明，增强了报业办公网络平台 的可信度。 目前，可信网络平台的研究还处于起步阶段，本文针对大中型企业网络的可 信网络架构提出了自己的观点。并在大众报业集团的网络建设中进行了实际应 用，对大中型企业网络的安全建设具有一定的指导意义。 关键词：可信网络；可信计算；a 从协议：网络安全 山东大学硕士学位论文 a b s t r a c t w i t ht h ed e v e l o p m e n to ft h et e c h n o l o g yo fc o m p u t e rn e t w o r k sa n dt h eg r o w i n g a p p l i c a t i o no l lc o m p u t e rn e t w o r k s t h es c a l eo fc o m p u t e ru e t w o r k si sg e t t i n gb u l k y a n dc o m p l e x , t h ec a t e g o r i e so ft h ed e v i c e sa r em u l t i p l e ，s u c ha sh o s t s ，h u b s ，r o u t e r s a n ds w i t c h e s ，w h i c ha r ec o n n e c t e dw i t hn e t w o r k s ，a n dt h ei n f o r m a t i o nf l o w so nt h e n e t w o r k sa r ei n c r e a s i n gr a p i d l y t h e r e f o r e , s e c u r i t yo ft h ec o m p u t e rn e t w o r kb e c o m e av e r yi m p o r t a n ti s s u e b u t , t r a d i t i o n a ls e c u r i t yt e c h n o l o g yo fn e t w o r kc a l ln o ts o l v e t h e s ep r o b l e m se f f i c i e n t l y i no r d e rt oo v e r c o m et h ee x i s t i n gd e f i c i e n c yo ft r a d i t i o n a l s e c u r i t yt e c h n o l o g y t h i sp a p e ra n a l y s e ss o m en e w t h e o r i e so fn e t w o r ks e c u r i t y , s u c h a st r u s t e dc o m p u t i n ga n dt r u s t e dn e t w o r k o nt h eb a s i so fc h a r a c t e r i s t i ca n a l y s i sf o rt r u s t e dn e t w o r k ，i no r d e rt os t r e n g t h e n s e c u r i wo fe n t e r p r i s en e t w o r k s i ti si m p o r t a n tt h a tw es t r e n g t h e nc o n t r o la n da u d i tt o e n t e r p r i s en e t w o r k s a u t h e n r i c a t i o l la u t h o r i z a t i o na c c o u n t i n gp r o t o c o l ( a a a ) c a n m e e tt h e s er e q u i r e m e n t s t h i sp a p e ra l s oi n t r o d u c e sr e m o t ea u t h e n t i c a t i o nd i a li n u s e rs e r v i c e ( r a d i u s ) p r o t o c o la n dd a t ap a c k e te n c r y p t i o ni nd e t a i l b a s e do nt h e a b o v er e s e a r c h ，t h i sp a p e rp u t sf o r w a r dt r u s t e dn e w s g r o u pn e t w o r km o d e lb a s e do n a a ap r o t o c 0 1 b ya d d i n ga a a p r o t o c o lf u n c t i o ni nl o c a la r e an e t w o r k 皿a n ) ， s t r e n g t h e nc o n t r o la n da u d i ti nn e w s g r o u pn e t w o r k s a f t e ra d o p t i n gt h em e t h o d , w e s t r e n g t h e nt r u s t e dd e g r e eo fn e w s g r o u pc o r en e t w o r k t h i sp a p e ra n a l y s e s ，d e s i g n s a n dr e a l i z e st h ek e yp a r to ft h em o d e l a n dt h ep a p e ra l s oi n t r o d u c ea u t h e n t i c a t i o n p r o c e d u r eo f u s e r a c c o r d i n g t ot r u s t e dc o r p o r a t i o nn e t w o r km o d e lb a s e do na a ap r o t o c o l ，a f t e r s t u d ) 7 i n g c h a r a c t e r i s t i co fd a z h o n gn e w s g r o u pn e t w o r k , w ed e s i g nd a z h o n g n e w s g r o u pn e t w o r kp l a t f o r mb a s e do na a ap r o t o c 0 1 c o m b i n a t i o na p p l i c a t i o no f f i r e w a l la n da a ap r o t o c o li nt h en e w sn e t w o r ki sp u tf o r w a r d w i t hc h a l l e n g e h a n d s h a k ea u t h e n t i c a t i o np r o t o c o l ( c h a p ) a n dd i g i t a ls i g n a t u r e , t e r m i n a lm a c h i n e s a c c e s ss e c r e tn e t w o r ko ff i n a n c i n g p r a c t i c ei nd a z h o n gn e w s g r o u pn e t w o r kp r o v e s t h a tt h em e t h o ds t r e n g t h e n st r u s t e dd e g r e eo f n e w s g r o u pn e t w o r k a tp r e s e n t ，t h es t u d i e so nt r u s t e dn e t w o r kp l a t f o r ma r ei nt h ee x p l o r i n g p h a s e t h i sp a p e rp r o p o s e st h ev i e w p o i n t so nt h et r u s t e dn e t w o r kp l a t f o r mf o r m e d i u m - a n d b i gs i z ee n t e r p r i s e s w ea p p l yt h i sm o d e lt on e t w o r kc o n s t r u c t i o no f i i 山东大学硕士学位论文 d a z h o n gn e w s g m u p t h i sp a p e rh o l d sc e r m i nr e f e r e n t i a lv a l u ea n dp r a c t i c a l s i g n i f i c a n c ei nn e p o r ks e c u f i l ) ro f m e d i u m - a n d b i gs i z ee n t e r p r i s e s k e y w o r d s ：t r u s t e dn e t w o r k ：t r u s t e do o m p u t i n g ；a a a p r o t o o o i ：n e t w o r k s c o u r i t y i l l 原创性声明和关于论文使用授权的说明 原创性声明 本人郑重声鹱：所呈交的学位论文，是本人在导赠的指导下， 独立进行研究所取得的成果。除文中已经注明引用的内容外，本 论文不包含任何其他个人或集体已经发表或撰写过的科研成果。 对本文麴研究骰出麓要贡献静个入和集体，均已在文巾以臻确方 式标明。本声明的法律责任由本人承担。 论文作者签名：! 自! ：壬日期： 2 ”口6 她够 关手学位论文使甩授权的声噢 本人宪全了解山东火学有关保留、使用学位论文的规定，同意学校保留或向国家 有关部髓或机构送交论文的复印件和电子版，允许论文被套阅和借阅；本人授权山东大 学可以将本学位论文的垒部或部分内容缡入有关数舞瘁避行检索，可班采用影印、缩印 或其他复制手段保存论文和汇编本学位论文 ( 保密论文在解密聪应遵守诧规定) 论文作者签名： 自：叠导耀签名；基鬃；主堕：! ! ：竺 山东大学硕士学位论文 1 1 研究背景 第1 章绪论 随着计算机网络技术的迅速发展和网络应用的迅速增加，网络系统的规模越 来越大，计算机网络已经渗透到人们生活的方方面面。尽管计算机网络给人类社 会经济生活提供了极大地便利，但同时人们也面临者越来越多的网络安全问题， 例如恶意攻击、垃圾邮件、计算机病毒、木马程序、流氓软件等等，导致人们对 网络的不信任。出现如此众多的攻击和破坏行为的最主要、最根本原因是网络系 统存在可以被渗透的脆弱性，或称作安全漏洞。脆弱性的来源是多方面的，存在 于系统设计、实现、运行和管理的各个环节。由于早期设计的t c p m 、以太网 等网络协议主要考虑了如何提高数据传输的效率，对安全问题考虑不足，加之计 算机网络的开放性，使得网络威胁防不胜防，如何有效地解决网络威胁成为人们 关注的焦点问题。 1 2 传统网络安全技术的问题 对于网络安全系统建设，人们往往采用“堵漏洞、筑高墙、防外攻”的方式， 其结果还是收效不大。以防火墙为代表的网络安全保护只能有效阻止来自外部的 非法攻击，而被大多数人忽视的内部窥窃和攻击才是发生信息安全事故最多的环 节。计算机网络安全的“软肋”在源头! 计算机网络安全防护体系通常分为内外两层：第一层是阻挡黑客、病毒攻击 等来自互联网络攻击的外部防护体系，如防火墙、入侵检测系统等；第二层是防 止内部信息偷窥、盗窃等直接从电脑盗窃资料的内部防护体系。人们对外防护投 入的产品比较多，对内仅有杀毒软件等较少的安全产品，事实上，一个进入办公 室的普通人比一个技术一流的网上黑客的潜在威胁要大的多。就整体网络安全而 言，分散孤立的应对方式显然不可取。如何在网络复杂异构的环境下，提供一致 的安全服务体系结构，如何在网络固有的脆弱性、人为的操作失误和管理漏洞以 及网络攻击和破坏客观存在的状况下，保障网络服务的可生存性，如何在保证网 山东大学硕士学位论文 络高效互通基础上，提供强大的监控能力，都是必须综合考虑的重要问题。总而 言之，计算机网络系统能够提供高可信的网络服务，构建一个安全、可生存和可 控的可信网络成为人们目前研究的热点问题”。 1 3 可信网络溯源及研究现状 2 0 世纪7 0 年代初期，a n d e r s o nj p 首次提出可信系统的概念，由此开始了 人们对可信系统的研究。较早期学者对可信系统研究( 包括系统评估) 的内容主 要集中在操作系统自身安全机制和支撑它的硬件环境，此时的可信计算被称为 “可靠计算”，与容错计算领域的研究密切相关【2 l 。 1 9 8 3 年美国国防部推出了“可信计算机系统评估标准( t c s e c ：t r u s t e d c o m p u t e rs y s t e me v a l u a t i o nc r i t e r i a ) ”，它首次提出了可信计算机( t c b ：t r u s t e d c o m p u t i n gb a s e ) 的概念【3 j o 这些研究主要是通过保持最小可信组件集合及对数 据的访问权限进行控制来实现系统的安全，从而达到系统可信的目的。 1 9 9 9 年i e e e 太平洋沿岸国家容错系统会议改名为“可信计算会议”，并由 i b m 、h p 、i n t e l 、微软等著名企业于2 0 0 0 年1 2 月1 1 日成立可信计算平台联盟 ( t c p a ：t r u s t e dc o m p u t i n gp l a t f o r ma i l i a n c e ) ，2 0 0 3 年改组为可信计算组织 ( t c g ：t r u s t e dc o m p u t i n gg r o u p ) ，可信计算从学术界一步步走向产业界。该组 织致力于促进新一代具有安全、信任能力的硬件运算平台。 目前的研究热点集中在增强计算机终端可信性的可信计算，但国内外对可信 网络平台的研究还处于起步阶段。2 0 0 4 年1 2 月1 8 日，中国信息产业商会信息 安全产业分会在北京首次正式发布了“可信网络平台( t n p ：t r u s t e dn e t w o r k p l a t f o r m ) ”概念。屈延文教授认为，可信计算平台强调的是计算机操作系统、 计算机底层技术的安全，即系统的完整性要求。可信网络平台概念则是从网络的 角度，倡导的安全模型。二者互为补充。 国际上的一些机构也从不同的角度出发，试图描述可信网络。例如，d a 强a 的c h a t ( c o m p o s a b l eh i g h a s s u r a n c et r u s t w o r t h ys y m e m ) 项目，就探讨了如何 在对安全性、可靠性、可生存性及其它必要属性具有严格要求的条件下，得到可 以验证的可信系统和网络【4 】。卡耐基梅隆大学也在推动t r i a d ( t r u s t w o r t h y r e f i n e m e n tt h r o t i g hi n t r u s i o n - a w a r ed e s i g n ) 项目，研究如何通过入侵检测来 山东大学硕士学位论文 提高网络系统的可信性”。杜克大学的y u m e r e f e n d i 和c h a s e 将可审计性作为可信 网络系统设计的核心目标，认为可审计系统的行为、状态和动作应该是不可否认 的、可确认的和防篡改的1 6 l 。哈佛大学的j e a n 则提出，下一代i n t e r n e t 可信系统 必须建立在从社会科学中获得的人类信任的概念之上，可信互连网络将具有私 密、安全和可靠等多个尺度，必须将它们集中到信任这个统一目标上，才能有效 保障网络的安全可信m 。 1 4 本文主要工作 针对目前传统网络安全技术所遇到的问题，利用最新可信网络平台的概念， 建立了一种基于a 从认证的可信报业网络模型。本文主要工作如下： ( 1 ) 深入透析可信计算平台的工作原理，研究分析了可信网络平台的体系 结构。比较了r a d i u s ( r e m o t ea u t h e n t i c a t i o n d i a li nu s e rs e r v i c e ) 和 t a c a c s + m r m i n a la c c e s sc o n t r o l l e ra c c e s sc o n l r o ls y s t e m ) 这两种常用的 a a a ( a u t h e n t i c a t i o na u t h o r i z a t i o na c c o u n t i n g ) 协议，详细讨论了r a d i u s 在认证、 记账、审计、限制用户访问资源的权限以及用户管理等方面的功能和应用能力， 以便进步发掘r a d i u s 的强大功能。 ( 2 ) 分析报业局域网络的安全现状，结合w e b p o r t a l 认证方式，把r a d i u s 协议引入到报业局域网络架构中去，以加强报业网络的可控性和可审计性。采用 分而治之的思想，划分整个报业集团网络为几个不同安全级别的可信网络区域， 建立了基于a 从认证的可信报业网络模型，并着重探讨网络模型的组成部分和 模型工作机理。 ( 3 ) 根据本文的基于a 从认证的可信报业网络模型，设计了基于a 从认 证的大众报业网络平台。结合大众报业网络的实际情况，提出了防火墙和a a a 协议在报业网络中的联合应用方法，探讨了从a 协议和数字证书在报业网络中 的联合应用方法，并给出具体实现技术方案和效果分析。经实践表明，增强了报 业办公网络平台的可信度。 1 5 本文组织结构 本文的组织结构如下： 山东大学硕士学位论文 第l 章：简要介绍了计算机网络安全的研究背景，对国内外的研究历史和现 状做了介绍，对可信网络作了简要介绍，并确定了本文的研究方向及目标。 第2 章：本章作为本文研究基础，介绍了可信计算和可信网络的概念、体系 结构及工作原理。说明从a 协议的框架体系，对重要的a 从协议之一的 r a d i u s 协议的数据结构、认证方式、包加密方式等进行了详细的介绍。 第3 章：根据可信计算组织定义的可信网络平台架构，把a a a 协议引入到 报业网络中，建立了基于a a a 认证的可信报业网络模型，它包括网络可信接入 认证模块、可信网络平台、可信终端三部分，并详细描述了模型的工作机理。 第4 章：根据基于a 从认证的可信报业网络模型，分析了大众报业集团网 络的特点及现状，设计和实现了基于从a 认证可信报业网络，提出了防火墙和 a a a 协议在报业网络中的联合应用方法，探讨了a a a 协议和数字证书在报业网 络中的联合应用方法，大大加强了大众报业集团网络的可信度。 第5 章：总结与展望。本章对论文的内容进行了总结，并展望了今后需要进 一步完善和开展的工作。 4 山东大学硕士学位论文 第2 章可信网络的研究基础 2 1 可信网络技术介绍 在i s o i e c l 5 4 0 8 标准中，对可信性作了如下定义：一个可信的组件、操作 或过程的行为在任意操作条件下是可预测的，并能很好地抵抗应用程序、病毒以 及一定物理干扰造成的破坏。从广义方面来说，可信网络包括可信终端和可信网 络平台两部分，建立可控可信的企业网络系统也应从这两方面来考虑。 2 1 1 可信计算定义 一般意义上，增加了任何安全措施的普通计算机都可以成为安全计算机，而 可信计算平台则是具有比较完整理论体系的终端计算机概念，可以说安全计算机 是可信计算平台的一个实现局部功能的实例。可信计算平台是这样一台完整的含 操作系统的计算机【8 1 ： ( 1 ) 可信计算平台能够对用户身份进行鉴别，用户身份认证不再依赖操作 系统，使用户身份信息的假冒非常困难。 ( 2 ) 可信计算平台内部各元素之间进行严密的互相认证，从系统的启动开 始，b i o s 软件、操作系统装载模块、操作系统等都要被验证，确保平台启动链 中的软件未被篡改。 ( 3 ) 可信计算平台具备在网络上的唯一的身份标识，由权威机构颁发的唯 一的身份证书的可信计算平台，可以准确地提供自己的身份证明，不再依赖现有 不固定也不唯一的口地址 9 1 。 可信计算中居于领先地位的是可信计算平台联盟( t c p a ：t r u s t e dc o m p u t i n g p l a t f o r ma l l i a n c e ) 和微软提出的下一代安全计算基( n g s c b ：n e x tg e n e r a t i o n s e c u r ec o m p u t i n gb a s e ) 。t c p a 和n g s c b 的工作原理是一致的，两者的区别在于 t c p a 主要是一个硬件平台”1 规范；n g s c b t “1 是一个特定的适用于未来w i n d o w s 操作系统的硬件与软件相结合的平台规范，而其硬件基础依赖于t c p a 硬件。可 以说，n g s c b 是t c p a 的一个超集。 山东大学硕士学位论文 2 1 2t o p 体系结构 t c p a 体系结构包含四点要素 1 2 1 ： ( 1 ) t p m ( t r u s t e dp l a t f o r mm o d u l e ) 。它是硬件级安全架构的核心。具有 生成加密密钥、进行高速的数据加密解密，以及辅助保护b i o s 和o s 不被修 改的功能。 ( 2 ) c r t m ( c o r er o o tt r u s tm o d u l e ) 。初始化整个系统、认证系统b i o s 、 硬件配置等。 ( 3 ) t c p ao s 。支持这些硬件模块的t c p a 操作系统。在t c p a 平台上， t c p a 的控制作用必须通过操作系统来展开，包括到外部实体的认证、不同应用 的区分等。 ( 4 ) 兼容性。t c p a 允许现有的计算机系统硬件基础继续存在。 可信计算平台的核心部件是可信平台模块( t p m ：t r u s t e d p l a t f o r m m o d u l e ) ， 它是可信计算平台的计算模块，通常具有密码运算能力和存储能力的芯片，在可 信子系统中起核心的控制作用1 1 3 l 。 t c p a 子系统采用了硬件和软件技术相结合的方式来保证系统可信。一台符 合t c p a 规范的计算机的启动遵从如下流程： ( 1 ) 计算机被加电： ( 2 ) t c p a 认证的b i o s 启动模块( b i o sb o o tb l o c k ) 和t p m 建立一个 通话，确保b i o s 是可信赖的； ( 3 ) b i o s 确认用户的使用授权； ( 4 ) b i o s 与t p m 和o sl o a d e r 通信，确保o sl o a d e r 是可信的： ( 5 ) 然后o sl o a d e r 与o sk e r n e l 建立通话。o sk v r n d 装入以后，它就知道 在它之前有哪些软件被运行f l4 】。 可以看出，在t p m 的控制下，b i o s 将信任传递给b o o t l o a d e r ，b o o t l o a d e r 将信任传递给o sl o a d e r ，o sl o a d e r 将信任传递给o s ，o s 同样可以将信任传递 给应用程序。 2 1 3 可信网络研究现状 信息安全研究领域近来取得的一个新共识，可信的企业网络应该具有如下特 山东大学硕士学位论文 性1 5 1 ：( 1 ) 实现传统意义上的安全性，即系统和信息的保密性( c o n 翩e r n i a l i t y ) 、 完整性( i n t e g r i t y ) 、可用性( a v a i l a b i l i t y ) ；( 2 ) 真实性( a u t h e n t i c i t y ) ，即用户身份、 信息来源、信息内容的真实性：( 3 ) 可审计性( a c c o u n t a b i l i t y ) ，即网络实体发起的 任何行为都可追踪到实体本身；( 4 ) 私密性( p r i v a c y ) ，即用户的隐私是受到保护 的，某些应用是可匿名的：( 5 ) 抗毁性( s u r v i v a b i l i t y ) ，在系统故障、恶意攻击的环 境中，能够提供有效的服务：( 6 ) 可控性( c o n t r o l l a b i l i t y ) ，是指对违反网络安全政 策( s e c u r i t yp o l i c y ) 的行为具有控制能力。从理论上讲，企图设计并实现绝对安全 的企业网络是不切实际的，但需要从体系结构上入手，提高用户对企业网络的可 信度。 目前的研究和应用产品大多集中在对接入终端机器的控制上，如国际巨头思 科公司推出的自防御计划中核心部分网络准入控制系统( n a c ：n e t w o r ka c c e s s c o n t r 0 1 ) 。n a c 主要功能是为企业提供一个强化的主机接入政策，规范那些不服 从者，限制或者干脆禁止其接入企业网，比如说，凡是没有打上补丁和安装杀毒 软件的主机禁止进入企业网络。它主要由以下几部分构成：思科可信代理 ( c t a ：c i s c ot r u s ta g e n t ) 软件、网络访问设备、策略服务器、管理系统。可信 网络平台框架是中国信息产业商会信息安全产业分会2 0 0 2 年提出，它的定义是： 网络中的行为和行为的结果总是预期和可控的，那么网络是可信的。下面对信息 安全产业分会提出的可信网络的特征和架构作一下介绍。 可信网络应该具有如下特征1 1 6 l ： ( 1 ) 网络中的行为和行为中的结果总是可以预知与可控的； ( 2 ) 网内的系统符合指定的安全策略，相对于安全策略是可信的、安全的： ( 3 ) 随着端点系统的动态接入，具备动态扩展性。 根据可信网络的特征，可以通过在网络与系统上针对业务与技术的行为与行 为结果提供行为控制、行为监管、行为认证、行为管理和行为对抗的充分能力， 并建立相应的体系，维护网络的可信性。 可信网络架构( t n a ：t r u s t e dn e t w o r ka r c h i t e c t u r e ) 是一个通过对现有网络 安全产品和网络安全子系统的有效整合和管理，并结合可信网络的接入控制机 制、网络内部信息的保护和信息加密传输机制，实现全面提高网络整体安全防护 能力的可信网络安全技术体系。 7 山东大学硕士学位论文 图2 1网络安全体系 可信网络架构体系主要从以下几个视角来考虑网络整体的防御能力，如图 2 1 所示。 ( 1 ) 如何有效管理和整合现有安全资源。期望从全局角度对网络安全状况 进行分析、评估与管理，获得全局网络安全视图：通过制定安全策略指导或自动 完成安全设施的重新部署或响应。 ( 2 ) 如何构筑“可信网络”安全边界。通过可信终端系统的接入控制，实 现“可信网络”的有效扩展，并有效降低不可信终端系统接入网络所带来的潜在 安全风险。 ( 3 ) 如何实现网络内部信息保护，谨防机密信息泄露。 可信网络架构的推出，可以有效地解决用户所面l i 右的具体安全需求与问题： ( 1 ) 设备接入过程( 设备、人员、行为) 是否可信? ( 2 ) 设备的安全策略的执行过程是否可信? ( 3 ) 安全制度的执行过程是否可信? ( 4 ) 系统使用过程中操作人员的行为是否可信? ( 5 ) 信息传输过程是否可信? ( 6 ) 信息的访问过程是否可信? 在实现整合用户现有网络资源的同时，有效地提升用户网络的安全防御能 山东大学硕士学位论文 力。 2 2a 从协议的工作模型 a 从是认证( a u t h e n t i c a t i o n ) ，授权( a u t h o r i z a t i o n ) ，审计( a c c o u n t i n g ) 的简称。认证即辨别用户是谁的过程，通常该过程通过输入有效的用户名和密码 实现，通常使用r a d i u s 协议或t a c a c s + 协议；授权是对完成认证过程的用户 授予相应权限，解决他能做什么的问题。在一些身份认证的实现中，认证和授权 是统一在一起的；审计是记录用户使用网络资源的情况。 2 2 1m 模型的框架 3 a 通过认证、授权和审计集成控制了用户在自己特定角色特点所遵循的原 则下，如何访问多个网络、特定网络下的某个平台和某种应用服务。3 a 服务器 都具有用户认证、授权处理用户请求以及收集用户使用情况的相关数据的功能。 对一个服务提供商来说，这样的a 从服务器应该有一个应用型的特定模式的应 用界面( 接口) ，通过这个界面( 接口) 的服务必须通过授权。在实际使用中， a a a 服务器都带有一个用户数据库( 可以是某系统用户数据库或独立的数据库 系统) ，这个数据库中含有用户的初始化信息，它可以反映合法的属性值以及每 个用户所享有的权限。通过它和客户端软件的数据交流来实施相关操作【l ”。 e n dt l s e f 图2 - 2 从a 模型框架图 9 由东大学硕士学彼论文 网络访问服务器( n a s ：n e t w o r k a c c e s ss e r v e r ) 主要作为一个网络的入c 】， 它可能魑一台路由器，线是鼹火壤，或是男一台瓣主掇。在a a a 服务器模式下 承担客户髑的功能。 2 2 2r a d i u s 协议和t a c a c s + 协议概述 远程认证拨号用户服务协议( r a d i u s ：r e m o t ea u t h e n t i c a t i o nd i a li nu s e r s e r v i c e ) 是一种应用广泛的认证、记赞协议，r a d i u s 是应用层的协议，在传输 层它斡缀文披封装在u d p 撇q a ，送嚣舅装进糟霞hs l 。r a d i u s 汲涯使用1 8 1 2 端口，计费使用1 8 1 3 端口。 以太网上的r a d i u s 封装后的包结构“9 1 ： r a d i u s 数据包静椿式舞下； c o d ei d e n t i f i e r l e n g t h a u t h e n t i c a t o r a t t r i b u t e s r a d i u s 数据包分为5 个部分脚l # ( 1 ) c o d e ：1 个字节，用于区分r a d i u s 包的类型。常用类型有接入请求 ( a c c e s s - r e q u e s t ) ，c o d e = l ；按入癜答( a c c e s s - a c c e p t ) ，c o d e = 2 , 攘入燕德 ( a c c e s s r e j e c t ) ，c o d e = 3 ；计费请求( a c c o u n t i n g - r e q u e s t ) ，c o d e = 4 等。 ( 2 ) i d e n t i f i e r ：一个字节，用于请求和应答能的匹配。 ( 3 ) l e n g t h ：秀令字蔫，表示r a d i u s 数搽嚣( 包括c o d e , i d e n t i f i e r , l e n g t h , a u t h e n t i c a t o r , a t t r i b u t e s ) 的长度，单位是字节，最小为2 0 ，最火为4 0 9 6 。 ( 4 ) a u t h e n t i c a t o r ：1 6 个字节，用于验证服务器端的应答，另外还用予用 户鏊令戆麴密。r a d i u s 缀务器嚣n a s 豹共享密镪( s h a r e ds e c r e t ) 与 毒求谈 垂褥 ( r e q u e s ta u t h e n t i c a t o r ) 和应答认证码( r e s p o n s ea u t h e n t i c a t o r ) ，必f 阿支持发、收报 文的完熬性和认证。另外，用户密码不能在b i a s 和r a d i u s 服务器之间用明文 黉赣，瑟一簸凌月共事密钥( s h a r e ds e c r e t ) 帮获迁 薄( a u t h e n t i c a t o r ) 逶过m d 5 热寮 算法进彳亍加密隐藏。 ( 5 ) a t t r i b u t e s ：不定长度，最小可为0 个字节，描述r a d i u s 协议的属蚀， 山东大学硕士学位论文 如用户名、口令、m 地址等信息都是存放在本数据段。 t a c a c s + 也是基于客户一服务器模式的a 从协议1 2 1 j ，它是i 由t a c a c s 完善 而成。它和r a d i u s 有很多相同之处，主要有以下几点差异：传送协议t a c a c s + 利用t c p 传送而r a d i u s 基于u d p ：包加密t a c a c s + 是整个包加密而r a d i u s 只加密用户口令；认证和授权t a c a c s + 允许认证和授权独立而r a d i u s 是使两 者集成使用。 2 2 3r 加i u 8 协议认证方式 ( 1 ) 本地n a s 验证一p a p ( p a s s w o r d a u t h e n t i c a t i o nl 叶o l o c 0 1 ) 方式圈 p a p 即密码验证协议。如图2 3 ，用户以明文的形式把用户名和密码传递给 n a s ，n a s 根据用户名在n a s 端查找本地数据库，如果存在相同的用户名和密 码表明验证通过，否则表明验证未通过。 用户名、密码 斗 i 一 验证结果 圈【_ j 图2 3 本地p a p 方式验证 ( 2 ) 本地( n a s ) 验证c h a p 方式 2 3 1 c h a p ( c h a l l e n g eh a n d s h a k ea u t h e n t i c a t i o np r o t o c 0 1 ) 是挑战握手认证协议的 简称。如图2 - 4 所示，当用户请求上网时，服务器产生一个1 6 字节的随机码 ( c h a l l e n g e ) 给用户( 同时还有一个i d 号，本地路由器的h o s t n a m e ) 。用户端得到这 个包后使用自己独用的设备或软件对传来的各域进行加密，生成一个s e c r e t p a s s w o r d 传给n a s ，n a s 根据用户名查找自己本地的数据库，得到和用户端进行 加密所用的一样的密码，然后根据原来的1 6 字节的随机码进行加密，将其结果 与s e c r e t p a s s w o r d 作比较，如果相同表明验证通过，如果不相同表明验证失败。 山东大学硕士学位论文 阿 j l 终端 h i 一 嗵扭翌：h 塑! ! ：圭扭名 用户名、密码、c h a pi d + 筮延绪墨 雨习 ir a d j 僻i i 客户l 卜l i _ j 图2 - 4 本地c h a p 方式验证 ( 3 ) 远端( r a d i u s ) 验证p a p 方式 采用p a p 验证：用户以明文的形式把用户名和他的密码传递给n a s ，n a s 把用户名和加密过的密码放到验证请求包的相应属性中传递给r a d i l l $ 服务器， 根据r a d i u s 服务器的返回结果来决定是否允许用户上网。如图2 5 随机码、用户名、加密密码 + 验证结果 - - - - - - - - 一 田 曰 图2 - 5远端p a p 方式验证 ( 4 ) 远端( g a c u u s ) 验证c h a p 方式 当用户请求上网时，n a s 产生一个1 6 字节的随机码给用户( 同时还有一个 d 号，本地路由器的h o s m a m e ) 。用户端得到这个包后使用自己独有的设备或软 件对传来的各域进行加密，生成一个r e s p o n s e 传给n a s ，n a s 把传回来的c h a p 口d 和r e s p o n s e 分别作为用户名和密码，并把原来的1 6 字节随机码传给r a d i u s 服务器。r a d i h $ 根据用户名在服务器端查找数据库，得到和用户端进行加密所用 的一样的密码，然后根据传来的1 6 字节的随机码进行加密，将其结果与传来的 p a s s w o r d 作比较，如果相同表明验证通过，如果不相同表明验证失败。另外如果 验证成功，r a d i u s 服务器同样也可以生成一个1 6 字节的随机码对用户进行询问。 如图2 6 用户，机码、c h a pi d ，主机名 n a s ( 、 终端用户名、密码、c h a pi or a d i u s 机 r 客户 验证结果 端) 一 随机码、c h a pi d 、 加密密码、用户名 验证结果 i 一 图2 - 6 远端c h a p 方式验证 山东大学硕士学位论文 2 2 4r 加i u 8 协议加密方式 ( 1 ) 包加密 在r a d i u s 包中，有1 6 字节的验证字( a u t h e n t i c a t o r ) 用于对包进行签名，收 到r a d ，s 包的一方要查看该签名的正确性。如果包的签名不正确，那么该包 将被丢弃，对包进行签名时使用的也是m d 5 算法( 利用密钥) ，没有密钥的人是 不能构造出该签名的。包的签名与加密详细说明如下： 包的签名指的是r a d i u s 包中1 6 字节的a u t h e n t i c a t o r ，我们称其为“验证 字”。 认证请求包 r e q u e s t a c t h = a u t h e n t i c a t o r ，认证请求包的验证字是一个不可预测的1 6 字 节随机数。这个随机数将用于口令的加密。 认证响应包 r e s p o n s e a u t h = m d 5 ( c o d e + i d + l e n g t h + a u t h e n t i c a t o r + a t t r i b u t e s + k e y ) 。 计费请求包 r e q u e s t a e e t = m d 5 ( c o d e + i d + l e n g t h + 1 6 z e r o o c t e t s + a t t r i b u t e s + k e y ) 。 计费响应包 r e s p o n s e a e e t = m d 5 ( c o d e + i d + l e n g t h + r e q u e s t a c e t + a t t r i b u t e s + k e y ) 。 ( 2 ) 口令加密 在认证用户时，用户的口令在n a s 和r a d i u ss e r v e r 之间不会以明文方式传 送，而是使用了m d 5 算法对口令进行加密。没有密钥的人是无法正确加密口令 的，也无法正确地对加密过的口令进行解密。 口令的加密： 称共享密钥( k e y ) 为k e y ，1 6 字节的认证请求验证字( a u t h e n t i c a t o r ) 为a 讪； 将口令( p a s s w o r d ) 分割成1 6 字节一段( 最后一段不足1 6 字节时用0 补齐) ，为p l ，p 2 等：加密后的口