（系统分析与集成专业论文）基于角色访问控制的应用研究.pdf

山东大学硕士学位论文 摘要 在信息高速发展的当今社会，信息安全以及网络安全越来越受到重视。几乎 每天都能发现系统的漏洞，每天都在安装漏洞补丁。漏洞的出现使得系统变得脆 弱进而容易被攻击、被突破、被控制，加强网络安全建设迫在眉睫，刻不容缓。 网络安全标准定义了五个层次的安全服务，即身份认证服务、访问控制服务、数 据保密服务、数据完整性服务以及不可否认性服务。本文既是从这五个方面进行 考虑j 详细的介绍了相关的p k i 、p m i 以及r b a c 的相关技术，重点推介了角 色的概念，对于基于角色的访问控制技术的标准和模型进行了讨论，并且给出了 一个应用基于角色访问控制技术的网络考试的例子，最后从身份证书和属性证书 相结合的角度出发，结合r b a c 等最新技术，给出了一个基于角色访问控制的 授权管理系统的设计。 p k i 技术是一种采用公钥密码算法和技术来实现并提供安全服务的具有通 用性的安全基础设施，采用证书管理公钥，通过可信的第三方机构c a 把用户的 公钥和用户的其他信息绑定在一起，从而实现用户在i n t e r n e t 上的身份认证，提 供安全可靠的信息处理。p m i 与p k i 之间存在很多的共同点也有很大的区别， 公钥证书主要是用户名及其公钥绑定在一起，对其身份加以认证，属性证书主要 表面该用户具有什么样的权限，使用公钥证书认证用户，使用属性证书来标示用 户具有那些角色，该用户具有怎样的权限，这样就可以实施有效的访问控制。而 为了保证只有授权用户才能访问信息资源，为了解决对资源的访问控制问题，使 得访问控制具有安全性、灵活性和多样性，能够满足不同企业或机构的安全访问 控制，9 0 年代提出了基于角色的访问控制r b a c ( r o l eb a s e da c c e s sc o n t r 0 1 ) ， 以实现在应用层上对数据进行访问控制。基于角色的访问控制技术主要研究把用 户划分成其在组织结构体系中所担当的角色，以减少授权管理的复杂性，降低管 理开销和为管理员提供一个比较好的实现复杂安全策略的环境。 最后我们给出了一个基于角色访问控制原理，紧密结合p k i 和p m i 技术的 授权管理系统，该管理系统使用身份证书进行身份认证，使用属性证书进行角色 控制，可以方便灵活的实现对目标的安全访问控制。在这个系统中，我们将p k i ， 山东大学硕士学位论文 p m i 和r b a c 系统的服务器统一放到一个局域网内，通过防火墙和访问控制网 关将需要访问资源的用户放在局域网外。由r b a c 服务器统一分配p k i ，p m i 以 及w e b 服务器，资源服务器的访问权，并且通过在资源服务器和用户之间建立 一条安全信道来保证资源传输的过程中不会被人截取和修改。而且我们将资源传 输过程中信息加密和信息解密的工作安排在资源服务器上来做，这样就有效的减 轻了访问控制网关的压力，而且由于资源服务器并非只有一个，从而也有效的分 担了信息传输的压力。其实如果需要，可以将加密服务器也分出来，成为一个单 独的模块，在用户和资源服务器之间传输数据的时候首先通过加解密服务器的计 算处理。 本文最后在总结设计过程中的问题的同时对p k i ，p m i ，及r b a c 将来的发展 提出了一点希望。 6 关键词：基于角色访问控制；p k i ；p m i 山东大学硕士学位论文 a b s t r a c t t h es e c u r i t yo fi n f o r m a t i o na n dn e t w o r ki sb e c o m i n gm o r ea n dm o r ei m p o r t a n ta s t h eh i 【g h s p e e dd e v e l o po fc o m p u t e rt e c h n o l o g y b u g so ft h es y s t e m a r ef o u n d e v e r y d a ya n dt h ep a c k e t sa r ed e v e l o p e dt om a k eu pt h e m i tm a k e st h eo p e r a t i o n s y s t e mm o r ef r i a b i l i t y , b e a t a b l e ，a n d b r o k e ni n t o i ti s u r g e n c yt om a k et h e i n f o r m a t i o nm o r es e c u r e t h es t a n d a r d sm a k e s5l e v e l so fs e c u r i t y , i da u t h e n t i c a t i o n ， a c c e s s c o n t r o l ，i n f o r m a t i o nc o n f i d e n t i a l ，t h ei n t e g r i t y o fi n f o r m a t i o na n d n o n d e n i a b l es e r v i c e t h i sp a p e ri n t r o d u c e st h et e c h n o l o g yo fp k i ，p m ia n dr b a c e s p e c i a l l yi n t r o d u c e st h ed e f i n a t i o no ft h er o l eu n d e rt h e5s e r v i c e s ，a n dd os o m e r e s e a r c ho nt h es t a n d a r d sa n dm o d e l so fa c c e s sc o n t r 0 1 ip r o v i d ea ne x a m p l eo f u s i n gr b a cw h i c hi sat e s ts y s t e mt h r o u g ht h en e t w o r k a tt h ee n d ，ip r o v i d et h e d e s i g n a t i o no fa na p p l i c a t i o ns y s t e mb yu s i n gp k i ，p m ia n dt h el a t e s tt e c h n o l o g yo f r b a c p k ii sac o m m o n a l i t ys y s t e mp r o v i d i n gs e c u r i t ys e r v i c eb yu s i n gc e r t i f i c a t e s w h i c hc o n t a i nt h ep u b l i ck e ya n du s e ri n f o r m a t i o nt h r o u g ht h et h i r dt r u s t e dp a r t y c ab a s e do nt h ep u b l i c k e yc r y p t o g r o p h ya l g o r i t h ma n dt e c h n o l o g yt oi m p l e m e n t t h ea n t h e n t i c a t i o no ni n t e r n e t t h e r ea r em a n yc o m m o ng r o u n da n dd i f f e r e n t i a b e t w e e np k ia n dp m i p u b l i ck e yc e r t i f i c a t ei su s e dt oa n t h e n t i c a t et h eu s e r s i d e n t i t y t h o u t ht h ep u b l i ck e ya n dt h eu s e r s i n f o r m a t i o n p m ii su s e dt oa u t h e n t i c a t et h eu s e r s r i g h ts ot h a tw ec a nc o n t r o lt h ea s s e s so ft h eu s e r s i n19 9 0 s ，t h es c i e n t i s t sb e g a nt o r e s e a r c ho nr b a cf o rc o n t r o l l i n gt h ei n f o r m a t i o nj u s ta c c e s s e db yu s e r t h a ta l l o w e d t o t h ep r i m a r yr e s e a r c ho fr b a ci sh o wt od e s i g nt h er o l eo ft h eu s e r si nt h e c o n s t r u t u r et od e c r e a s et h ec o m p l e x i t yo na u t h o r i z i n ga n dt od e c r e a s et h ec o s to n m a n a g e m e n ta n dt op r o v i d e a l lm u c hm o r es i m p l ee n v i r m e n tt oi m p l e n ta u t h o r i z i n g i nt h i ss y s t e m ，w ep u tt h es e r v e ro fp k i ，p m i ，w e b ，a n dr e s o u r c ei n t oal a nb y u s i n gf i r e w a l la n da c c e s sc o n t r o lg a t ew h i l ea l lt h eu s e rm u s tb eo u tt h el a n a l lt h e r e s o u r c ea c c e s sr i g h ti n c l u d ep k i ，p m ia n dw e ba r ed i s t r i b u t e db yt h es e r v e rr b a c 7 山东大学硕士学位论文 a n dw h e nt r a n s m i t t i n gr e s o u r c et h o u g ht h er e s o u r c es e r v e ra n dt h eu s e r s ，w em u s t b u i l das e c u r et r a n s m i tc h a n n e lt os t o pt h ei n t e r c e p t t i n ga n df a l s i f i c a t i o n a n dw e p u tt h ee n c r y p t i o na n dd e c r y p t i o nd o i n go nt h er e s o u r c es e r v e rs ot h a tt h ea c c e s s c o n t r o lg a t es h o u l dn o tb et o ob u s y a n db e c a u s et h er e s o u r c es e r v e rs h o u l db em o r e t h a no n e ，s ot h e yc a ns h o u l dd ot h ew o r kt o g e t h e r i fn e e d e d ，w ec a nu s i n gt h es e r v e r o fe n c r y p t i o na n dd e c r y p t i o ns ot h a tw ec a np r o c e s st h er e s o u r c eb yt h ee n c r y p t i o n w h e nt r a n s m i t t i n gt h ei n f o r m a t i o n a tl a s t ，w er a i s es o m eh o p et ot h ep k i ，p m ia n dr b a cb yc o n c l u t i o n t h e d e s i g n a t i o no ft h es y s t e m 8 k e y w o r d s ：p k i ；p m i ；r b a c 原创性声明 本人郑重声明：所呈交的学位论文，是本人在导师的指导下，独 立进行研究所取得的成果。除文中已经注明引用的内容外，本论文不 包含任何其他个人或集体已经发表或撰写过的科研成果。对本文的研 究作出重要贡献的个人和集体，均己在文中以明确方式标明。本声明 的法律责任由本人承担。 论文作者签名：4 日 期： 关于学位论文使用授权的声明 本人同意学校保留或向国家有关部门或机构送交论文的印刷件 和电子版，允许论文被查阅和借阅；本人授权山东大学可以将本学位 论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩 印或其他复制手段保存论文和汇编本学位论文。 ( 保密论文在解密后应遵守此规定) 论文作者签名：衄导师签名：! 多兰兰立泊 期： 磁羔：笙 山东大学硕士学位论文 第一章引言 第一节研究背景 随着计算机网络技术广泛应用和飞速发展，计算机信息网络已成为现代信息 社会的基础设施。由于计算机网络具有联结形式多样性、终端分布不均匀性和网 络的开放性、互连性等特征，它作为进行信息交流、开展各种社会活动的工具， 已经深入到人们生活的各个领域。同时，计算机安全问题也随之日益突出，存在 着自然和人为等诸多因素的脆弱性和潜在威胁，如计算机病毒扩散、网络黑客攻 击、计算机网络犯罪等违法事件数量迅速增长。网络安全问题已经成为人们普遍 关注的问题。网络的安全措施应是能全方位地针对各种不同的威胁和脆弱性，这 样才能确保网络信息的保密性、完整性和可用性。 网络安全标准定义了五个层次的安全服务，即身份认证服务、访问控制服务、 数据保密服务、数据完整性服务以及不可否认性服务。身份认证和对于用户的访 问控制进行授权管理已经成为了网络安全平台的两大核心内容，身份认证是指当 用户访问目标资源时，系统根据其公钥证书验证用户身份，从而确保该用户具有 访问该资源的权限。授权管理是指当用户的身份已经被验证，在访问系统资源的 时候，系统将根据用户的权限来决定用户可以获取何种资源。身份认证以及授权 管理在电子商务等网络实际应用中的结合使用可以有效的解决系统的安全性、可 访问性、稳定性，有效避免系统被侵入。 第二节国内外研究发展现状 自从8 0 年代p k i ( p u b l i ck e yi n f r a s t r u c t u r e ，公开密钥基础设施) 的概念提 出以来，p k i 技术已经成为了电子商务、电子政务和企业级网络中不可或缺的安 全支撑系统，但是伴随着网络的不断发展和壮大普及，p k i 技术在满足访问控制 的需求方面存在很多缺陷，为此，2 0 0 1 年发布的x 5 0 9 v 4 版本第一次将p m i ( p r i v i l e g em a n a g e m e n ti n f r a s t r u c t u r e ，授权管理基础设施) 标准化。2 0 0 3 年a n s i 将r b a c ( r o l e b a s e da c c e s sc o n t r 0 1 ) 作为美国国家信息技术标准公布出来，该 标准提供了关于访问控制的模型和参考以及为计算机安全产品的生产者和实施 9 山东大学硕士学位论文 曼曼曼曼量量舅曼曼曼曼曼皇! i i ii i i 曼皇皇曼曼曼! 璺皇! ! 蔓! 舅皇曼曼曼量曼曼曼! 皇曼曼曼曼! ! 皇曼曼! 量曼曼曼曼舅曼量! 曼曼曼曼曼鼍兰 者提供关于访问控制的参考。2 0 0 2 年，s a l f o r d 大学的d a v i dwc h a d w i c k 教授 提出了一个基于角色的p m i 体系，首次将授权管理和角色访问控制联系起来。 伴随着授权管理系统的进一步发展，各种类型的模型不断出现，对于细节的 逐步改善使得该类型系统逐步完善。对于授权管理系统的设计，首先要考虑的环 节就是用户的身份认证。目前被广泛采用的身份认证技术是p k i ，它采用证书管 理公钥，通过第三方的可信任机构认证中心c a ( c e r t i f i c a t ea u t h o r i t y ) ，把 用户的公钥和用户的其他标识信息( 如名称、e m a i l 、身份证号等) 捆绑在一起， 从而验证用户的身份信息。 然而在很多应用领域中，我们需要的信息远不止是身份信息，尤其是当通信 双方在此以前没有任何关系的情况下，关于一个人的权限或者属性信息远比其身 份信息更为重要。在这些情况下，访问控制系统的决策标准不是双方的身份，而 是双方的权限或者属性信息。此时用公钥证书在撤销时容易出现庞大的证书撤销 列表，占用额外的系统资源并给p k i 系统造成极大的负担，同时公钥证书存在 灵活性较差，容易出现被非法使用和不能满足分离管理等问题。因此，基于p k i 的访问控制系统不能很好地实现对资源中敏感数据的访问控制，于是人们引入了 授权管理基础设施p m i 。 授权管理基础设施p m i 是一个由属性证书a c ( a t t r i b u t ec e r t i f i c a t e ) 、属性 权威a a ( a t t r i b u t ea u t h o r i t y ) 、属性证书库等部件构成的综合系统，用来实现 属性证书的产生、管理、存储、分发和撤销等功能。p m i 使用属性证书表示和容 纳权限信息，通过管理属性证书的生命周期实现对权限生命周期的管理。属性证 书的申请、签发、注销、验证流程对应着权限的申请、发放、撤销、使用和验证 的过程。而且，使用属性证书进行权限管理的方式使得权限管理不必依赖某个具 体的应用，而且利于权限的安全分布式应用。 为了保证只有授权用户才能访问信息资源。为了解决对资源的访问控制问 题，使得访问控制具有安全性、灵活性和多样性，能够满足不同企业或机构的安 全访问控制，9 0 年代由s a n d h u 提出了基于角色的访问控制r b a c ( r o l eb a s e d a c c e s sc o n t r 0 1 ) ，以实现在应用层上对数据进行访问控制。该技术主要研究把 用户划分成其在组织结构体系中所担当的角色，以减少授权管理的复杂性，降低 管理开销和为管理员提供一个比较好的实现复杂安全策略的环境。 1 0 山东大学硕士学位论文 ! ii一； 一! ! ! 曼! 曼曼! 曼曼! 一一一i 毫曼舅曼曼皇曼 第三节本文主要工作及结构 本文在认真研究p k i 及p m i 技术的基础上，详细介绍了r b a c 的相关知识， 并且给出了一个基于角色的访问控制的实际应用例子，网络在线考试系统。将身 份认证和属性证书的知识很好结合起来，提出了一个基于角色访问控制的授权管 理体系，并对该体系进行了分析。 本文的结构如下： l 、p k i 技术是一种采用公钥密码算法和技术来实现并提供安全服务的具有 通用性的安全基础设施，采用证书管理公钥，通过可信的第三方机构c a 把用户 的公钥和用户的其他信息绑定在一起，从而实现用户在i n t e m e t 上的身份认证， 提供安全可靠的信息处理。本章主要介绍了p k i 的概念、组成、标准以及p k i 所能提供的安全性服务。从四个方面探讨了p k i 的应用，并且展望了p k i 在属 性证书、漫游证书和无线p k i 方面的发展前景。 2 、p m i 与p k i 之间存在很多的共同点也有很大的区别，公钥证书主要是用 ， 户名及其公钥绑定在一起，对其身份加以认证，属性证书主要表面该用户具有什 么样的权限，使用公钥证书认证用户，使用属性证书来标示用户具有那些角色， 该用户具有怎样的权限，这样就可以实施有效的访问控制。在这一章内，我们主 要介绍了p m i 的概念，分析了p m i 授权管理模式、体系结构以及应用模型。分 析了p k i 与p m i 的关系，最后对于属性权威和属性证书进行了分析。 3 、在基于角色访问控制这一章，我们首先访问控制技术进行了总括性的论 述，介绍了传统的访问控制技术d a c 和m a c ，随后重点介绍了基于角色访问 控制的基本思想、概念并着重对r b a c 9 6 模型进行了详细的分析，最后展望了 访问控制技术的发展。 4 、在这一章中，我们根据r b a c 的学习，给出了一个实际基于角色访问控 制的实际例子网络在线考试模型，通过引入角色的概念，使得网络在线考试 系统在权限分配方面更加合理，有效的防止作弊行为的发生。 5 、给出了一个基于角色访问控制原理，紧密结合p k i 和p m i 技术的授权管 理系统，该管理系统使用身份证书进行身份认证，使用属性证书进行角色控制， 可以方便灵活的实现对目标的安全访问控制。 山东大学硕士学位论文 第二章p k i 公钥基础设施 第一节p k i 技术综述 l 、什么是p k l 。 p k i ( p u b l i ck e yi n f r a s t r u c t u r e ) 即“公钥基础设施”，是一套利用公钥密码技 术为安全通信提供服务的基础平台的技术和规范，p k i 规定了该安全基础平台应 遵循的标准。p k i 公钥基础设施的主要任务是在开放环境中为开放性业务提供基 于非对称密钥密码技术的一系列安全服务，包括身份认证和密码管理、机密性、 完整性、身份认证和数字签名等。p k i 所提供的安全服务是以一种对用户完全透 明的方式完成所有与网络安全有关的工作，这极大的简化了终端用户使用设备和 应用程序的管理工作，保证他们遵循同级别的安全策略。 p k i 技术是网络信息安全技术的核心，也是电子商务、电子政务的关键和基 础技术。用户可利用p k i 平台提供的服务进行安全的电子交易，电子政务处理， 通信和互联网上购物等各种活动。p k i 让个人或企业安全地从事其商业行为，企 业员工可以在互联网上安全地发送电子邮件而不必担心其发送的信息被非法的 第三方( 竞争对手等) 截获。 2 、p k i 的组成 一个典型的p k i 系统应该包括p k i 策略，软硬件系统，认证中心c a 、注册 机构r a 、证书签发系统和p k i 应用等基本部分， ( 1 ) p k i 策略：是一个包含如何在实践中增强和支持安全策略的一些操作 过程的详细文档，它建立和定义了一个组织信息安全方面的指导方针，同时也定 义了密码系统使用的处理方法和原则。 ( 2 ) 软硬件系统是：p k i 系统运行所需的所有软件、硬件的集合，主要包 括认证服务器、目录服务器、p k i 平台等。 ( 3 ) 认证中心c a ：这部分是p k i 的信任基础，是核心。它负责管理密钥 和数字证书的整个生命周期。其作用包括：证书申请、证书审批和发放、规定证 书的有效期、证书更新、接收并处理合法身份者的证书查询和撤消申请、产生并 管理证书废止列表c r l 、将各用户的数字证书归档、产生并管理密钥( 包括密 山东大学硕士学位论文 量曼皇曼曼曼曼! 曼曼曼曼! 曼曼舅舅皂曼曼皇曼! 皇曼皇曼曼鼍i ；ii 曼! 蔓! ! ! 曼曼曼量皇曼曼曼窟曼舅曼皇曼曼曼鼍曼曼曼蔓曼皇曼皇曼! 曼蔓 钥备份及恢复) 、将用户的历史数据归档等。 认证中心一般是按照层次模型来组织的，每一级的c a 认证机构会在网络上 形成信任链。每一份数字证书都与其上一级的数字证书相关联，从而通过信任链 向上追朔到始终受信任的根c a 。认证中心为每一个使用公开密钥的用户发放一 个数字证书，其目的就是要证明数字证书和上的信息与它所持有的公钥是对应 的。数字签名使得攻击者无法伪造和篡改数字证书。 c a 认证中心一般有签名和加密服务器( c as e r v e r ) 、密钥管理中心( k m c ) 、 证书管理服务器、证书发布和c r l 发布服务器、在线证书状态查询服务器 ( o c s p ) 以及w e b 服务器组成。其各自功能如下： 签名和加密服务器( c as e r v e r ) ，用来接收来自证书管理服务器的申请，按 规则对待签名证书和待签名的c r l 进行数字签名，并进行加解密运算。 密钥管理中心( k m c ) ，k m c 与c a 服务器相连接，主要负责密钥的牛成、 恢复以及查询管理。 证书管理服务器，主要负责证书的生成、作废等操作。 证书发布和c r l 发布服务器，用来将证书信息按一定的时间间隔对外发布， 可通过w e b s e r v e r 和l d a p 实现。 在线证书状态查询服务器( o c s p ) ，证书用户可以随时通过o c s p 查询证书 的最新状态。 w e b 服务器，主要用于证书的发布和有关数据认证系统政策的发布。 由此可见，认证中心的主要功能是证书的发放、更新、撤销以及验证工作。 ( 4 ) 注册机构r a ：是数字证书注册审批机构，是p k i 信任体系的重要组 成部分，是用户( 可以是个人或团体) 和认证中心c a 之间的一个接口。r a 系 统是c a 的证书发放，管理的延伸。主要完成收集用户信息、确认用户身份的功 能，负责证书申请者即用户的信息录入、审核等工作。这里指的用户，是指将要 向认证中心申请数字证书的客户，它可以是个人，也可以是组织、集团、企业等 机构。 r a 的功能主要包括： 主体注册证书的个人认证。 确认主体所提供的信息的有效性。 山东大学硕士学位论文 对被请求证书属性确定主体的权利。 确认主体确实拥有注册的私钥。 在需要撤销时报告密钥泄漏或终止时间。 根据身份分配标识名。 在注册初始化阶段和证书获得阶段产生共享密钥。 产生公私密钥对。 认证机构代表最终实体开始注册过程。 私钥归档。 开始密钥恢复管理。 包含私钥的物理介质如智能卡的分发。 ( 5 ) 证书签发系统：负责证书的发放，如可以通过用户自己，或是通过目 录服务。目录服务器可以是一个组织中现有的，也可以是p k i 方案中提供的。 ( 6 ) p k i 应用：包括在w e b 服务器和浏览器之间的通讯、电子邮件、电子 数据交换( e d i ) 、在i n t e r n e t 上的信用卡交易和虚拟专业网( v p n ) 等等。 ( 7 ) 应用接口系统( a p i ) ：一个完整的p k i 必须提供良好的应用接口系统， 让用户能够方便地使用加密、数字签名等安全服务，使得各种各样的应用能够以 安全、一致、可信的方式与p k i 交互，确保所建立起来的网络环境的可信性， 降低管理和维护的成本。 3 、p k i 的标准 从整个p k i 体系建立与发展的历程来看，与p k i 相关的标准主要包括以下 一些： ( 1 ) x 2 0 9 ( 1 9 8 8 ) a s n 1 基本编码规则的规范 a s n 1 是描述在网络上传输信息格式的标准方法。它有两部分：第一部份 ( i s o8 8 2 4 i t ux 2 0 8 ) 描述信息内的数据、数据类型及序列格式，也就是数据 的语法；第二部分( i s o8 8 2 5 i t ux 2 0 9 ) 描述如何将各部分数据组成消息，也 就是数据的基本编码规则。 a s n 1 原来是作为x 4 0 9 的一部分而开发的，后来才独立地成为一个标准。 这两个协议除了在p k i 体系中被应用外，还被广泛应用于通信和计算机的其他 领域。 1 4 山东大学硕士学位论文 ( 2 ) x 5 0 0 ( 1 9 9 3 ) 信息技术之开放系统互联：概念、模型及服务筒述 x 5 0 0 是一套已经被国际标准化组织( i s o ) 接受的目录服务系统标准，它 定义了一个机构如何在全局范围内共享其名字和与之相关的对象。x 5 0 0 是层次 性的，其中的管理性域( 机构、分支、部门和工作组) 可以提供这些域内的用户 和资源信息。在p k | 体系中，x 5 0 0 被用来惟一标识一个实体，该实体可以是机 构、组织、个人或一台服务器。x 5 0 0 被认为是实现目录服务的最佳途径，但 x 5 0 0 的实现需要较大的投资，并且比其他方式速度慢；而其优势具有信息模型、 多功能和开放性。 ( 3 ) x 5 0 9 ( 1 9 9 3 ) 信息技术之开放系统互联：鉴别框架 x 5 0 9 是由国际电信联盟( i t u t ) 制定的数字证书标准。在x 5 0 0 确保用 户名称惟一性的基础上，x 5 0 9 为x 5 0 0 用户名称提供了通信实体的鉴别机制， 并规定了实体鉴别过程中广泛适用的证书语法和数据接口。 x 5 0 9 的最初版本公布于1 9 8 8 年。x 5 0 9 证书由用户公共密钥和用户标识符 组成。此外还包括版本号、证书序列号、c a 标识符、签名算法标识、签发者名 称、证书有效期等信息。这一标准的最新版本是x 5 0 9v 3 ，它定义了包含扩展信 息的数字证书。该版数字证书提供了一个扩展信息字段，用来提供更多的灵活性 及特殊应用环境下所需的信息传送。 ( 4 ) p k c s 系列标准 由r s a 实验室制订的p k c s 系列标准，是一套针对p k i 体系的加解密、签 名、密钥交换、分发格式及行为标准，该标准目前已经成为p k i 体系中不可缺 少的一部分。 ( 5 ) o c s p 在线证书状态协议 o c s p ( o n l i n ec e r t i f i c a t es t a t u sp r o t o c 0 1 ) 是i e t f 颁布的用于检查数字证 书在某一交易时刻是否仍然有效的标准。该标准提供给p k i 用户一条方便快捷 的数字证书状态查洵通道，使p k i 体系能够更有效、更安全地在各个领域中被 广泛应用。 ( 6 ) l d a p 轻量级目录访问协议 l d a p 规范( r f c l 4 8 7 ) 简化了笨重的x 5 0 0 目录访问协议，并且在功能性、 数据表示、编码和传输方面都进行了相应的修改。1 9 9 7 年，l d a p 第3 版本成 山东大学硕士学位论文 为互联网标准。目前，l d a pv 3 已经在p k i 体系中被广泛应用于证书信息发布、 c r l 信息发布、c a 政策以及与信息发布相关的各个方面。 除了以上协议外，还有一些构建在p k i 体系上的应用协议，这些协议是p k i 体系在应用和普及化方面的代表作，包括s e t 协议和s s l 协议。目前p k i 体 系中已经包含了众多的标准和标准协议，由于p k i 技术的不断进步和完善，以 及其应用的不断普及，将来还会有更多的标准和协议加入。 4 、p k i 提供的安全性服务 p k i 是以公开密钥技术为基础，以数据的机密性、完整性和不可抵赖性为安 全目的而构建的认证、授权、加密等硬件、软件的综合设施。根据美国国家标准 技术局的描述，在网络通信和网络交易中，特别是在电子政务和电子商务业务中， 最需要的安全保证包括四个方面：身份标识和认证、保密或隐私、数据完整性和 不可否认性。p k i 可以完全提供以上四个方面的保障，它所提供的服务主要包括 以下三个方面： ( 1 ) 认证 在现实生活中，认证采用的方式通常是两个人事前进行协商，确定一个秘密， 然后，依据这个秘密进行相互认证。随着网络的扩大和用户的增加，事前协商秘 密会变得非常复杂，在大规模的网络中，两两进行协商几乎是不可能的。p k i 通 过证书进行认证，认证时对方知道你就是你，但却无法知道你为什么是你。在这 里，证书是一个可信的第三方证明，通过它，通信双方可以安全地进行互相认证， 而不用担心对方是假冒的。 ( 2 ) 支持密钥管理 通过加密证书，通信双方可以协商一个秘密，而这个秘密可以作为通信加密 的密钥。在需要通信时，可以在认证的基础上协商一个密钥。p k i 能够通过良好 的密钥恢复能力，提供可信的、可管理的密钥恢复机制。p k i 的普及应用能够保 证在全社会范围内提供全面的密钥恢复与管理能力，保证网上活动的健康有序发 展。 ( 3 ) 完整性与不可否认 完整性与不可否认是p k i 提供的最基本的服务。一般来说，完整性也可以 通过双方协商一个秘密来解决，但一方有意抵赖时，这种完整性就无法接受第三 1 6 山东大学石页士学位论文 i ii i i ii i 方的仲裁。而p k i 提供的完整性是可以通过第三方仲裁的，并且这种可以由第 三方进行仲裁的完整性是通信双方都不可否认的。完善的p k i 系统通过非对称 算法以及安全的应用设备，基本上解决了网络社会中的绝大部分安全问题( 可用 性除外) 。 第二节p k i 的应用 随着信息化时代的迅猛发展，一方面，电子商务、电子政务将传统的工作流 程电子化数字化，减少了人力物力，极大的提高了工作效率，另一方面，开放互 联的网络也给电子商务和电子政务带来了极大的威胁，鉴于p k i 体系的安全特 性刚好能够满足电子化的安全需求，确保能够顺利的实施必备的安全措施，使得 p k i 的市场前景非常广阔。p k i 在v p n 、安全电子邮件、w e b 安全、电了商务电 子政务等方面有着广泛的应用。 1 、虚拟专用网络( v p n ) 机构或者组织在架构v p n 时往往都会利用防火墙和访问控制技术来提高 v p n 的安全性，这样只能解决了部分问题，而一个现代v p n 所需要的安全保障， 如认证、机密、完整、不可否认以及易用性等都需要采用更完善的安全技术。就 技术而言，除了基于防火墙的v p n 之外，还可以有其他的结构方式，如基于黑 盒的v p n 、基于路由器的v p n 、基于远程访问的v p n 或者基于软件的v p n 。 现实中构造的v p n 往往并不局限于一种单一的结构，而是趋向于采用混合结构 方式，以达到最适合具体环境、最理想的效果。在实现上，v p n 的基本思想是 采用秘密通信通道，用加密的方法来实现。具体协议一般有三种：p p t p 、l 2 t p 和i p s e c 。 其中，p p t p ( p o i n t t o p o i n tt u n n e l i n gp r o t o c 0 1 ) 是点对点的协议，基于拨号 使用的p p p 协议使用p a p 或c h a p 之类的加密算法，或者使用m i c r o s o f t 的点对 点加密算法。而l 2 t p ( l a y e r2t u n n e l i n gp r o t o c 0 1 ) 是l 2 f p ( l a y e r 2f o r w a r d i n g p r o t o c 0 1 ) 和p p t p 的结合，依赖p p p 协议建立拨号连接，加密的方法也类似于 p p t p ，但这是一个两层的协议，可以支持非i p 协议数据包的传输，如a t m 或 x 2 5 ，因此也可以说l 2 t p 是p p t p 在实际应用环境中的推广。 无论是p p t p ，还是l 2 t p ，它们对现代安全需求的支持都不够完善，应用范 山东大学硕士学位论文 曼曼曼皇皇曼曼! 皇! 量皇曼曼曼曼曼曼! 曼曼! 曼舅ii _ i i 曼曼曼曼曼! 曼曼曼蔓曼曼曼曼! 曼曼曼曼曼曼曼曼! 鼍! ! 曼曼! 曼曼曼 围也不够广泛。事实上，缺乏p k i 技术所支持的数字证书，v p n 也就缺少了最 重要的安全特性。简单地说，数字证书可以被认为是用户的护照，使得他( 她) 有权使用v p n ，证书还为用户的活动提供了审计机制。缺乏数字证书的v p n 对 认证、完整性和不可否认性的支持相对而言要差很多。 基于p k i 技术的i p s e c 协议现在已经成为架构v p n 的基础，它可以为路由 器之间、防火墙之间或者路由器和防火墙之间提供经过加密和认证的通信。虽然 它的实现会复杂一些，但其安全性比其他协议都完善得多。由于i p s e c 是i p 层 上的协议，因此很容易在全世界范围内形成一种规范，具有非常好的通用性，而 且i p s e c 本身就支持面向未来的协议i p v 6 。总之，i p s e c 还是一个发展中的 协议，随着成熟的公钥密码技术越来越多地嵌入到i p s e c 中，相信在未来几年内， 该协议会在v p n 世界里扮演越来越重要的角色。 2 、安全电子邮件 作为当今网络最有效的应用，电子邮件凭借其易用、低成本和高效已经成为 现代商业中的一种标准信息交换工具。随着互联网络的持续增长，商业机构或政 府机构都开始用电子邮件交换一些秘密的或是有商业价值的信息，这就引出了一 些安全方面的问题，包括： 消息和附件可以在不为通信双方所知的情况下被读取、篡改或截掉； 没有办法可以确定一封电子邮件是否真的来自某人，也就是说，发信者的身 份可能被人伪造。 前一个问题是安全，后一个问题是信任，正是由于安全和信任的缺乏使得公 司、机构一般都不用电子邮件交换关键的商务信息，虽然电子邮件本身有着如此 之多的优点。 由此可见，电子邮件的安全需求也是机密、完整、认证和不可否认，而这些 都可以利用p k i 技术来获得。具体来说，利用数字证书和私钥，用户可以对他 所发的邮件进行数字签名，这样就可以获得认证、完整性和不可否认性，如果证 书是由其所属公司或某一可信第三方颁发的，收到邮件的人就可以信任该邮件的 来源，无论他是否认识发邮件的人；另一方面，在政策和法律允许的情况下，用 加密的方法就可以保障信息的保密性。 目前发展很快的安全电子邮件协议是s m i m e ( t h es e c u r em u l t i p u r p o s e 山东大学硕士学位论文 鼍i ：! m nt t mt, 。m mn n _ n 皇曼寰 i n t e m e tm a i le x t e n s i o n ) ，这是一个允许发送加密和有签名邮件的协议。该协议的 实现需要依赖于p k i 技术。 3 、w e b 安全应用 浏览w e b 页面或许是人们最常用的访问i n t e m e t 的方式。般的浏览也许并 不会让人产生不妥的感觉，可是当您填写表单数据时，您的个人信息很有可能被 一些居心叵测的入截获，而如果您或您的公司要通过w e b 进行一些商业交易， 您又如何保证交易的安全呢? 一般来讲，w 曲上的交易可能带来的安全问题有： 诈骗一当下，随着电子商务的发展，伪装合法网站，添加蜜罐钓鱼程序非 常简单，如此就可以让访问者填一份详细的注册资料，还假装保证个人隐私，而 实际上就是为了获得访问者的隐私。调查显示，电子邮件地址、移动电话号码、 信用卡号大多是如此这般泄漏的。 泄漏很多网上交易并没有加密，信息在网上是”赤裸裸”的传播的，如此 窃听者可以很容易地截取并提取其中的敏感信息。 篡改截取了信息的人还可以做一些伪装别人的工作，他可以替换其中某 些域的值，如姓名、身份证号、信用卡号甚至金额，以达到自己的目的。 攻击主要是对w e b 服务器的攻击，例如著名的d d o s ( 分布式拒绝服 务攻击) 。攻击的发起者即可以是不怀好意的个人，也可以是同行的竞争者。 为了透明地解决w e b 的安全问题，最合适的入手点就是加强浏览器的安全。 如今很多浏览器都支持s s l 协议( t h es e c u r es o c k e t sl a y e r ) 。这是一个在传输 层和应用层之间的安全通信层，在两个实体进行通信之前，先要建立s s l 连接， 以此实现对应用层透明的安全通信。利用p k i 技术，s s l 协议允许在浏览器和服 务器之间进行加密通信。此外还可以利用数字证书保证通信安全，服务器端和浏 览器端分别由可信的第三方c a 颁发数字证书，这样在交易时，双方可以通过数 字证书确认对方的身份。需要注意的是，s s l 协议本身并不能提供对不可否认性 的支持，这部分的工作必须由数字证书完成。 结合s s l 协议和数字证书，p k i 技术可以保证w e b 交易多方面的安全需求， 使w e b 上的交易和面对面的交易一样安全。 4 、电子商务的应用 1 9 山东大学硕士学位论文 曼! 曼曼曼曼曼! 皇ii 皇曼皇曼曼曼曼皇曼皇曼皇曼曼鼍! 曼! 曼曼曼 p k i 技术是解决电予商务安全问题的关键技术，综合p k i 的各种应用，我们 可以建立一个可信的足够安全的网络。在这里，我们有可信的认证中心，典型的 如银行、政府或其他可信第二方。在通信中，利用数字证书可消除匿名带来的风 险，利用加密技术可消除开放网络带来的风险，这样，商业交易就可以安全可靠 地在网上进行。 同样，利用p k i 技术也能解决电子政务过程中出现的一系列安全问题。 网上商业行为、政府行为只是p k i 技术目前在企业和政府比较热门的一种 应用，必须看到，p k i 还是一门处于发展中的技术。例如，除了对身份认证的需 求外，现在又提出了对交易时间戳的认证需求。p k i 的应用前景也决不仅限于网 上的商业行为，事实上，网络牛活中的方方面面都有p k i 的应用天地，不只在 有线网络，甚至在无线通信中，p k i 技术都已经得到了广泛的应用。 第三节p k i 的发展 随着p k i 技术应用的不断深入，p k i 技术本身也在不断发展与变化，近几年 来比较重要的变化有以下方面： l 、属性证书 x 5 0 9v 4 增加了属性证书的概念。提起属性证书就不能不提起授权管理基 础设施( p m l ) 。x 5 0 9 公钥证书原始的含义非常简单，即为某个人的身份提供不 可更改的证据。但是，人们很快发现，在许多应用领域，比如电子政务、电子商 务应用中，需要的信息远不止是身份信息，尤其是当交易的双方在以前彼此没有 过任何关