（计算机应用技术专业论文）校园网统一身份认证系统的研究与设计.pdf

沈阳工业大学硕士学位论文 摘要 随着互联网的快速发展，诸如电子商务、电子政务、办公自动化等数字化应用正在 世界范围内迅速崛起，数字化校园建设成为高校信息化建设的重要任务和高校实现现代 化的标志。同时，伴随着网络应用的迅速发展，网络的安全问题也日益突现出来，严重 制约着互联网及其相关网络应用的进一步发展。身份认证逐渐成为网络安全的重要组成 部分。本文的研究重点是建立一个统一身份认证系统，实现对校园网内用户的统一管理、 统一认证和统一授权，满足用户单点登录的需求。 本文介绍了身份认证的相关技术，对各种单点登录模型进行了比较。详细分析了 k e f b e s 认证协议的票据传输过程，将基于可信第三方的k 抵s 协议应用于 b r o w 煅，s e r v 盯模式，并针对其在校园网中应用的局限性进行了改进。提出将安全套接 字层s s l 协议和改进的k e r b e m s 认证技术相结合，采用基于经纪人并结合代理认证机 制的单点登录模型，通过票据传递实现校园网内用户的统一身份认证。 本文完成了认证服务器和应用服务器端代理的设计和实现。将认证服务器设计成一 个w e b 应用程序，通过主要功能组件实现了各种票据的发放和对客户端以及应用服务 器所持票据的认证工作。应用服务器端代理部署在受保护的应用服务器端，保护应用服 务器的受保护资源，处理服务票据和代理票据，实现应用服务器端的代理认证机制。 本系统使用j 2 e e 标准平台开发，各个层次相对独立，各组件功能明确，给应用系 统集成带来了方便。新的应用系统可以不带自己的用户认证系统，依靠统一身份认证系 统实现对用户的认证和授权，降低了开发难度。随着统一身份认证系统的逐步完善，该 系统将在校园网信息安全体系中发挥重要的作用。 关键词：校园网，单点登录，r b e r 协议，安全套接字层，身份认证 校园网统一身份认证系统的研究与设计 t h er e s e 撒ha n dd e s 和o fu n i f i e di d e m 时a u t h e n t i c a t i o ns y s t e mo f c 锄p u sn e 铆o r k a b s t f a c t w i t l lt l l em p i dd e v e l o p l l l e mo fi n t e m e t an 啪b e ro fd i g i t a la p p l i c a t i 蛐s ，s u c h 勰 e - b u s i n e s s ，e g o v 啪m 锄t o a ，a g r o 诵n gu pi nt l l eg l o b a im g e 1 1 圮b i l i l d i l l go fd i g i t a l m p 邯i st l l ei m p i ) r t a mt a s ko fi n f 咖l a t i z a l i 蚰勰dt 1 1 忙s i g no fl l l l i v e 格i t ym o d e m i 砑t i o n h o 、删e r ，t 1 1 es t a t 璐o f t l l e 饿船r k 卵c i l r i t yi sb o 商n gw o r s e 砒t l l es 锄e 劬e f l l m l 锄o r e ， t h es u r i t yp f o b l 锄s 佗矧c tt l l ef m h 盯d e v e l o p n l e n to fm eh t c m e t t h ei d 蛐廿锣 卸廿1 e m i c a l i o ni sv e r yi m p c 睡t a n ti nt h en e t w o r ks l l r i t y t h em a i n 辩a r c hi l l1 l l i sp a p 盯i st o s c tu pt 1 1 el l i l i 矗e d 卸f i l l e m i c a t i o ns y s t e l nw l i i c hc 缸i l i l p l 锄e n t1 l l l 主f i e d 锄m 撒1 t i c a i i ， 锄m 帕r i t y 缸i d 瓠虹血妇t os a t i 嘶t h e m a n do fs i n g l es i 掣i o no f u 哪i i l 舶p u s 玳心触 1 1 1 ei d e m 畸a m 呦t i c 撕t e c i l i l o l o g yi si n 仃o d u c e di nt 1 1 i sp a p 盱a n da l lk i n d so f s i n g l es i 驴伽m o d e sa r ec o m p a r e d t h et r a n s 衔o ft i c k 啦o fk j e r b e r o si sa i l a l y z e di nt b e p f o t o c 0 1 t kk 心啪s ，w i l i c hi sb 鄱e do nc 陀d i b l el h j mp a n y 跏t l l e n t i c a t i 阳) t o c o l ，i s 锄e l i o r 如dc t m p o s i n gi 协l o c a t i 盟t i o ni nb r o w s 鼠，s e r 、n 盯m o d ew h e ni ti su s e di l lc 釉p 啦 眦t w o r k am e l o di n t e 酬i n g 卸t l l e n t i c 撕m e c h a i i i 锄n 舢同k 曲啪s 、】l ，i t l ls s lp 似o c o l i sp f o p o s e d t l l i ss y s t e ma d o p 协t h eb f o k e r k l s e ds i n g l es i g n 一m o d ec 啪b i n i n ga g 咖 m e c l l a l l i s m t l u 曲t i c k e t s 咖s 向r i n n l i ss y s t c i n 豫d i 刁豁璐e r 硼施e da l i t l l e i n i c 砒i o n 粕d 卸t l l o r i t yi nc 越叩i l sn e 哪o r l 【 1 1 1 ep a p e rm a i l l l yc 鲫p l e t e st h ed e s i 印o fa 删埘m c a l i s e n 惯a l l da g 锄tj i la p p l i c 砒i s e r v e r s a u t h 锄t i c a t i s e 盯i sd e s i g n c dt ob caw c ba p p l i 咖g r 锄t i n ga l lk 砌so f 6 c k e t s 柚d 舭m m t i c 砒i i l gu s e f si i ib r o w s 盯o r 印p l i c 砒i 鲫v e 硌a 船r e a l i z e db yi t si i l a i n 如n c t i o nm o d u l a g e n ti sd 印l o y e di nt h ea p p l i c a l i o n ，w i l i c hi sp r 砷烈e db yt t l i ss y s t e m n p r o t 。c t s 搬舢r c e si l l t l l ea p p l i c m i 傩锄dd e a l s 谢t l l 涮v i 吐c k e t s 柚dp r o x yt i c k c t st o i i i l p l 鲫e n ta g 锄t l n l i 觚i s m 1 1 l es y s t c n li sd e v c l 叩e dt h r o u g l lt l l es t a n d a f dp l a t 鼢mo fj 2 e e b o c a u o f 把l 撕v d y i n d c p e n d e mh i b e r 嬲蛐嚣锄d m c 6 m o d l l l e s ，t l l es y s 魄nc 姐b ei n t e g r a l e de a s i l y a n d ，n e w 印p l i c a t i s y s = t e l n sn dn o t 他l y i t so w n 粕t h 删c 融i s y s t e n lb i l tm i f i e da u t b 朋t i 酬o n i i 沈阳工业大学硕士学位论文 t oc o m p l 啪t h ea u t h 曲t i c a t i 衄a n d 删盟b o f u s c r s ，觚dr e d u c et h ed e g 赋o f d i 箍c l l j t y o fs y s t 锄d e v e l o p i n g w i t l it l l e 湎f i e di d e n t i t ya u t h c n 吐c a t i o ns y s 胁b e i n gp e r f e c t e d ，i t 、】i ，i h p l a y a ni m p d r t a n tr o l e 籼n gt h ei 幽彻a n s a f bs ) ，g 咖o f m p 噼t w o r k k e yw o r d ：c 枷p 砸n e 细。噍，s 缸g l es i 驴- 0 n ，k e r b e 瑚p l 试一，s e 如他s o c k b i 。叠y e r ，i d 蚰吐i ya t h 蛐妇h 佃 i i i 独创性说明 本人郑重声明：所呈交的论文是我个人在导师指导下进行的研究工 作及取得的研究成果。尽我所知，除了文中特别加以标注和致谢的地方 外，论文中不包含其他人已经发表或撰写的研究成果，也不包含为获得 沈阳工业大学或其他教育机构的学位或证书所使用过的材料。与我一同 工作的同志对本研究所做的任何贡献均已在论文中做了明确的说明并表 示了谢意。 签名：i 盘! 立i 日期：鲨塑：! ! ：堕 关于论文使用授权的说明 本人完全了解沈阳工业大学有关保留、使用学位论文的规定，即： 学校有权保留送交论文的复印件，允许论文被查阅和借阅；学校可以公 布论文的全部或部分内容，可以采用影印、缩印或其他复制手段保存论 文。 签名：趟i 导师签名：蠢兰售g 日期：至翌2 ：! ! ：2 三 沈阳工业大学硕士学位论文 1 绪论 1 1 课题的研究背景 随着c e r n e t ( c l l i l 阻& h l c a 曲na n dr e a f c l ln e t 、 ，o f k ) 的快速发展，各种网络应用迅 速出现，用户和主机数量急剧增加，给校园网的安全管理提出了新的要求，校园网的建 设也因c e i 心陋t 的发展而得到了快速的推进。全国绝大多数的高校建成了自己的校园 网络，随着大学校园网建设工程的实施，建设一个应用于校园网的教学、科研和管理的 统一身份认证系统势在必行。 在校园网信息安全系统建设中，首先面对的一个问题就是用户的管理问题，随着校 园网的逐步发展，各种基于互联网的应用不断的被开发出来并应用于学校的教学和管理 中。今后还会不断增加新的应用系统，用户数量也会不断增加，这样就带来了信息安全 方面的问题。认证技术是信息安全理论与技术的一个重要方面，它主要包括信息认证与 身份认证两个方面的内容，信息认证用于保证信息的完整性与抗否认性，身份认证则用 于鉴别用户身份，限制非法用户访问网络资源。 安全是数字化校园提供高质量服务的前提和保证，各个应用系统都有自己的一套安 全策略和用户授权的认证方法，众多用户面对多个应用系统，用户不得不记忆多个应用 系统的账号和口令。这种各个应用系统独立认证的方法无论对于用户还是应用系统的开 发都是一件麻烦的事情。系统管理员不得不维护多个系统中的用户信息，保证数据的一 致性。这给各个系统的整合带来很大的困难。同时，随着用户登录系统的增多，出错的 可能性就会增加，受到非法截获和破坏的可能性也会增大，安全性就会相应降低。越来 越多的用户提出这样的需求：网络用户可以基于最初访问网络时的一次身份认证，对所 有被授权的网络资源进行无缝访问，从而提高用户和管理员的工作效率，并能够在保证 网络的安全性和操作的简便性的同时降低网络操作费用。 解决这个问题的方法之一就是单点登录s i n g l es i 印伽( s s o ) 技术l 。所谓单点登 录，就是指用户只需在网络中主动地进行一次身份认证，随后便可以访闽其被授权的所 有网络资源，而不需要再次主动参与其它的身份认证过程i ，4 1 。具有单点登录功能的统一 校园网统一身份认证系统的研究与设计 身份认证系统的核心思想是将机构、用户统一存储，对应用系统统一授权，规范应用系 统的用户认证方式，从而达到提高整个系统的整体性、可管理性和安全性的效果1 5 】。 目前，各院校正向着数字化校园的目标不断探索前进，一个能够集成校园网内所有 服务并且具有安全的统一身份认证功能的数字化解决方案就成为当今校园网应用技术 的热点研究领域。 1 2 单点登录技术的发展现状 单点登录是随着网络应用的不断增多，为解决多个应用的登录问题而出现的。单点 登录技术虽然出现的时间不长，但是在市场上已经有了丰富的产品。如i b m 公司的 w e b s p h e 托单点登录解决方案、惠普公司的瑚_ u f x 和m i c m s 阻n e t p 雒s p 叫等多种产品。 m mw e b s p b e r c 主要应用在企业内部网h i 岫n c t 中，依赖于w e b s p h e 旭，d 咖i 环 境嘲。核心是在h i 垃粕e t 域中共享含有用户标识的加密h 蛳c 0 0 k e ，使同一个域中的多 台服务器之间做到单点登录用。用户第一次访问服务器必须首先进行身份认证，如果认 证成功，会产生一个在此域内有效的包含有用户身份敏感信息的h t t pc 0 0 k i e 并发送给客 户端浏览器。c o o k i e 是在域内共享的，此域中的服务器都可以访问这个c k i c ，可以使 用共同的密钥解密出用户标识，就达到了在此域内所有服务器单点登录的目的。 惠普公司的h p u x ，采用l d a p 目录服务器统一配置管理w i i l d o v l ，s 帐号和组：采 用客户端和服务器的c s 结构，并且通过l d a p 目录服务器支持k e r b e m s 嗍。允许 p u x 连接到一个域，并且允许任何在其它域定义的用户和组的访问。h p u x 支持x 5 0 0 类型 的组结构，能够统一 m u x 和w i n d o w s 组，不需要其它的额外管理。 m i e d d s o f t 。n e tp a s s p o f t 是微软公司为客户提供的一项蜘踟l e l 范围的身份认证方案， 其核心是- n 毗p 勰s p o r t 服务在多个站点和服务器间提供单点登录【9 l 。参与单点登录的服 务器使用微软的数据库，把身份认证工作交给p a s s p o n 服务，通过重定向u i 也返回用 户信息。m i c r o s 曲n e tp a s s p o r t 基本工作原理是：n e tp 舔s p o n 服务器对用户进行身份 认证后，在客户端设置p 蠲s p o r t c o m 域的c o o 虹e 。c 0 0 k i e 中含有n e tp a s s p o n 唯一标识 的信息，使用p a s s p 吼加密密钥加密，然后p a s s p o r t 服务器在返回给浏览器的指向参 与n e tp a s s p o f t 网站的重定向u i 也中包含用户p r 0 6 k 信息，使用参与n e tp a 鼹p o n 网站 的密钥进行加密，参与n e tp 鹊s p o r t 网站接收到微软转来的请求后，该网站的一个服务 2 沈阳工业大学硕士学位论文 器组件解密出n e tp a 辎p o n 服务器传来的信息，把用户身份认证信息保存在客户端浏览 器的c o o k i e 中。n e t p a s 印0 n 的解决方案只适用于n e t 的应用服务器，并且只支持谢n d o w s 的操作系统。 通过对一些主流的单点登录产品的分析，总结出目前实现单点登录的主要解决方案 有三种：共享c 0 0 妊e 方式、u ) a p 目录服务器方式、安全证书方式等。在流程上，无论 哪种方式，都需要用户在访问应用提供商所提供的应用服务时首先进行用户身份认证， 并为通过认证的用户设置一种已验证过身份的证明，然后这种证明会随着用户的访问提 交给相应的应用服务器，应用服务器检查用户是否具有使用应用服务的权限，为用户提 供应用服务。 虽然目前国内外单点登录的产品有多种，但以上单点登录方法都存在自己的不足之 处。采用共享c 0 0 妊e 的解决方案，实现的是同一域内的多台w 西应用服务器的单点登 录，无法完成跨域的单点登录。这是因为浏览器在访问w e b 服务器的时候，仅仅会带 上和当前w e b 服务器具有相同域名的那些c o o k i e ，不同域内的w e b 服务器就无法通过 共享c o o 虹e 来实现单点登录。而u ) a p 目录服务器和安全证书的方式，都需要在用户 端下载控件，在使用应用服务的时候加载个人证书的信息。如果修改了证书里面的用户 属性，则需要重新签发安全证书，这样极可能会影响用户的单点登录体验。 随着c 0 0 晒e 机制、数字签名以及安全证书技术的不断完善，还有u ) a p 目录服务、 w e bs e r v i c c s 技术架构的发展，单点登录的实现将变得更加灵活、安全，用户与服务之 间的相互身份认证将得到进一步完善。在此基础上，校园网应用平台的“一次登录，全 网通行”将更有益于数字化校园的实现。 1 3 论文研究的主要内容 本文的研究是针对数字化校园的发展要求，根据校园网本身的特点，将安全套接字 层协议s s l ( s e c i 珊s o c k 如l a y 哪和k e r b e r o s 认证协议相结合，利用c 0 0 i 【i e 技术将单点 登录控制在认证服务器端，完成跨域的单点登录，实现一个安全的统一身份认证系统。 通过该系统提供一个安全完整的用户身份认证体系，使每一个参与该系统的校园网用户 享有单点登录的功能，能安全访问其授权的应用服务。由于条件和环境的限制，本课题 在实验室环境下实现一个统一身份认证系统。 校园网统一身份认证系统的研究与设计 主要研究内容如下： ( 1 ) 对单点登录的理论和体系结构做详细的分析，以基于经纪人的方式结合代理认 证机制设计单点登录方案。分析安全套接字层协议s s l ，使其能为本系统提供安全的数 据传输通道。研究身份认证的各种方法，对其中的k c r b 啪s 认证协议进行改进以适应 w e b 环境下统一身份认证系统的实现要求。 ( 2 ) 针对校园网的特点，设计基于改进k 盯b e r o s 协议的可信第三方认证体系，结合 安全套接字层协议s s l ，对系统中各种票据及其缓存进行设计，并对基本票据认证过程 和代理认证过程进行总体构造。 ( 3 ) 将认证服务器设计成w 曲应用程序以利于部署和测试。开发认证服务器端各功 能组件，主要包括登录组件、服务确认组件、代理确认组件、代理组件和退出统一认证 组件。这些组件主要实现各种票据的颁发和确认工作，以及用户身份和授权应用程序的 认证。 ( 4 ) 开发应用服务器端代理，其包括的功能组件有过滤器组件、服务票据确认组件、 代理票据确认组件和代理票据接收组件。它们保护应用服务器端的受保护资源，把访问 应用服务的用户重定向到认证服务器端进行身份认证，并对服务票据和代理票据进行确 认，实现应用服务器端的代理认证机制。 一4 沈阳工业大学硕士学位论文 2 身份认证技术概述 2 1 网络信息安全 以h l t 明僦为代表的网络信息技术的应用正日益普及和广泛，应用层次逐渐深入， 应用领域从传统的小型业务系统，向大型关键业务系统扩展，典型的如金融业务系统、 企业商务系统、数字化校园网等。伴随网络的普及，安全日益成为影响网络能效的重要 问题，而h 鹏m e t 所具有的开放性、国际性和自由性在增加应用自由度的同时，对安全 提出了更高的要求。 ( 1 ) 网络安全要求主要表现在以下三方面： 1 ) 网络的开放性，导致网络技术的开放性，任何个人、团体都可以从网络中获得 所需的东西，因而网络所面临的破坏和攻击可能是多方面的。 2 ) 网络的国际性，意味着网络的攻击不仅仅来自本地网络的用户，它可以来自 i n t e 哦上的任何一个机器，也就是说，网络安全所面临的是一个国际化的挑战。 3 ) 网络的自由性，意味着网络最初对用户的使用并没有提供任何的技术约束，用 户可以自由地访问网络，自由地使用和发布各种类型的信息。用户只对自己的行为负责， 而没有任何的法律限制。 因此，随着网络信息技术的进一步发展，网络安全变得异常重要。所谓的网络安全 性就是网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因 而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断【1 0 1 。 ( 2 ) 网络安全具有以下6 个方面的特征： 1 ) 保密性：指信息不泄露给非授权的用户、实体和进程，或供非授权用户、实体 和进程利用的特性。 2 ) 完整性：指数据未经授权不能进行改变的特性，即信息在存储或传输过程中保 持不被修改、不被破坏和丢失的特性。 3 ) 可用性：指可被授权实体访问并按需求使用的特性，即当需要时应能存取所需 的信息。网络环境下拒绝服务、破坏网络和相关系统的正常运行的活动都属于对可用性 的攻击。 校园网统一身份认证系统的研究与设计 4 ) 可控性：指对信息的传播及内容具有控制能力，可以控制授权范围内的信息流 向及行为方式。 5 ) 可审查性：对出现的安全问题提供调查的依据和手段，用户不能抵赖曾做出的 行为，也不能否认曾经接到对方的信息。 6 ) 可保护性：保护软、硬件资源不被非法占有，免受病毒的侵害。 目前，计算机技术和通信技术不断发展，渗透到社会生活的各个领域。因此，认清 网络的脆弱性和潜在威胁，采取强有力的安全策略，对于保障网络安全性是十分重要的。 其中网络安全认证技术必不可少。计算机网络安全认证技术主要包括数字签名技术、身 份认证技术以及数字证书技术1 1 1 j 。数字签名机制提供了一种鉴别方法：身份认证机制提 供了判明和确认通信双方真实身份的方法，是访问控制的基础：数字证书机制提供对密 钥进行验证的方法。通过合理开发和利用网络安全认证技术，让计算机网络成为信息的 安全载体。 2 2 密码技术 密码技术是研究对传送信息采取何种变换以防止第三者对信息的窃取【1 2 1 。因此，密 码技术是实现所有安全服务的重要基础，是网络信息安全的核心技术。目前在网络通信 领域内常用的信息加密体制主要是经典加密体制中与分组交换传输机制相适应的分组 密码，包括对称密钥体制和非对称密钥体制两类1 3 i 。其主要特征参数为算法和密钥，有 时还需要用到算法的初始向量。实际应用时一般是混合使用对称和非对称加密技术，利 用非对称加密技术进行密钥的协商和交换，而采用对称加密技术进行实际用户数据的加 密。 2 2 1 对称密钥体制 对称密钥体制即是所谓的单密钥体制【1 4 】。对称密钥体制使用的加密密钥和解密密钥 是相同的，或者可以简单地相互推导出来，加密者与解密者共享一个密钥。在双方数据 通信开始前需要进行会话密钥的协商，一旦该会话密钥泄露，任何用户均可获得原始明 文。在发送信息时，发送方用自己的密钥对传输信息进行加密，接收方收到信息后，用 发送方所给的密钥进行解密。其特性是加密的效率高，运算速度快，系统开销小，适合 于加密大量的数据，但安全性往往无法做到完整。 沈阳工业大学硕士学位论文 典型的对称密钥加密算法有：数据加密标准d e s ( d a l ae l l c 聊t i 蚰s t a i l d a r d ) 算法、 3 d e s 和国际数据加密算法i d e a ( 1 n 自咖a t i o n a ld a t ae n 嘲t i o na l g o r ! i 1 1 1 r n ) 算法等。它们 被广泛应用于安全套接字层协议s s l ，k e f b e r o s 等多种常用安全协议中。 d e s 算法是最著名的对称加密算法，密钥长度是5 6 比特，适合于硬件实现。d e s 对6 4 位的明文分组进行操作。 3 d e s 算法是标准d e s 算法的变形，使用2 3 个密钥利用d e s 算法迭代处理，但实 际有效密钥长度一般为1 1 2 比特。 脱a 算法是一个分组长度为“位的分组密码算法，密钥长度为1 2 8 位。至今尚未 发现其实质性的缺陷，且正在被广泛应用。 2 2 2 非对称密钥体制 所谓非对称密钥体制，就是加密和解密使用不同的密钥的密码技术，又称为公开密 钥体制【1 2 1 。每个用户都拥有一个选定的密钥对，一个密钥是公开密钥，用于加密信息， 可以让所有与其通信的人知道；另一个由用户自己拥有，是私人密钥，用于解密信息， 只有自己使用的密钥。公钥和私钥不能由一个推出另一个，但是公钥加密的信息只能由 私钥解密，反之亦然。非对称加密算法一般是基于对公认的数学难题的求解，因此运算 量较大，计算效率低，使用的密钥长度远超过对称加密算法，但其安全性能一般较高且 还可以提供信息的完整性验证和服务的不可否认性等功能，因此得到了广泛的应用。 通常在最新的非对称密钥系统中，使用的密钥长度为5 1 2 位或1 0 2 4 位。由于非对 称密钥系统的算法和加密机制为数据保护、数字签名、不可否认及签名认证提供了很好 的手段，所以被广泛地应用于数字签名和数字认证中。但算法本身固有的复杂度很高， 不利于大量数据的加密，因此实际使用中通常是将对称密码体制和公开密码体制结合起 来使用，例如在s s l 协议中。 常用的公开密钥加密算法有r s a 公开密钥加密算法、e l g h n m l 算法、d i 廊h e l l m 锄 算法等。 r s a 算法是最著名的非对称加密算法，基于大整数的因数分解问题，多年的分析表 明该算法相当可靠，但尚未严格证明，可用于加密和数字签名。 校园网统一身份认证系统的研究与设计 e l g a m a l 算法由e l g 栅a l 设计，并于1 9 8 5 年发表。既可用于数字签名又可用于加 密，其安全性依赖于计算有限域上离散对数的难度。 d i 彘h e l l m 锄算法专用于密钥的交换，基于离散对数的计算，其计算复杂度与r s a 相当。该算法可为对称加密算法提供密钥交换的保护。 2 2 3 消息摘要 消息摘要是一个数据块的数字指纹。即对一个任意长度的数据块进行计算，产生一 个唯一固定长度的指印。消息摘要用于创建数字签名，对于特定的文件而言，消息摘要 是唯一的。消息摘要可以被公开，它不会透露相应文件的任何内容。 消息摘要的算法是使用一个哈希函数。把需要进行完整性检查的消息块或者文件作 为哈希函数的输入，通过单向哈希函数运算，输出生成固定长度的字符串，即为消息摘 要码。安全的啥希函数的存在性依赖于单向哈希函数的存在性。己知哈希函数值，构造 一个消息，使其哈希函数值相同，应具有计算复杂性意义下的不可行性。从理论上来讲。 攻击者不可能制造一个替用的消息来产生一个完全相同的消息摘要。更深一步，密钥可 以加密消息摘要形成数字签名。 常用的消息摘要算法有m d 5 和s h a 1 。m d 5 ( m d 表示消息摘要) 是由r o n 融v e s t 设计的专门用于加密处理并广泛使用的哈希函数。s h a 是由美国国家标准和技术协会开 发的，有多种版本，如s h a 1 ，s h a 2 5 6 等，分别生成不同位数的消息摘要，执行速度 较慢，但是安全性更高。 2 ，2 4 数字签名 所谓数字签名就是附加在数据单元上的一些数据，或是对数据单元所作的密码变 换。这种数据或变换允许数据单元的接收者用以确认数据单元的来源和数据单元的完整 性，并保护数据，防止被人伪造。它在网络安全，包括身份认证、数据完整性、不可否 认性以及匿名性等方面有着重要应用。 数字签名是以密码学的方法对数据文件产生的一组代表签名者身份和数据完整性 的数据信息1 1 5 1 。数字签名结合了消息摘要算法和公开密钥技术。首先对消息进行消息运 算，产生一个消息摘要，签名者使用自己私钥对签名明文的消息摘要加密，就生成了该 文件的数字签名。签名者将明文和数字签智一起发送给接收者，接收者用该签名者公布 沈阳工业大学硕士学位论文 的公钥来解开数字签名，将其与明文的摘要进行比较，便可检验文件的真伪，并确定签 名者的身份。因此，在身份认证中数字签名成为安全的认证方式之一。 数字签名机制提供的这种鉴别方法，通常用于银行、电子商务方面等，以解决如下 问题： ( 1 ) 伪造：接收者伪造一份文件，声称是对方发送的： ( 2 ) 抵赖：发送者或接收者事后不承认自己发送或接收过文件； ( 3 ) 冒充：网上的某个用户冒充另一个用户发送或接收文件； ( 4 ) 篡改：接收者对收到的文件进行局部的篡改。 数字签名具有以下性质： ( 1 ) 能够验证签名产生者的身份，以及产生签名的日期和时间； ( 2 ) 能用于证实被签消息的内容； ( 3 ) 数字签名可由第三方验证，从而能够解决通信双方的争议。 常用的数字签名体制有r s a 、r a b i n 、e l g 锄a l 、s c h n o i r 、椭圆曲线数字签名算法 和有限自动机数字签名算法等，在某些特殊环境下还可能使用一些特殊数字签名，如盲 签名、代理签名、群签名、不可否认签名、公平盲签名、门限签名、具有消息恢复功能 的签名等，它与具体应用环境密切相关。 2 2 5 数字证书 数字证书是公钥密码体制下，证明公开密钥和某个实体之间绑定关系的数字文件， 是管理公开密钥的重要物理载体。它通过引进可信赖第三方，来动态地证明实体公钥的 真实性和完整性。这里可信赖的第三方是指称为c a ( c 刚i f i c a t ca u n l o f i t y ) 的认证机构。 该认证机构负责认证用户的身份并向用户签发数字证书。数字证书遵循国际电信联盟 ( h t e m a t i a lt e l e c o m m 吼i c a t i u n i ，i t u ) x 5 0 9 标准所规定的格式，因此称为x 5 0 9 证书【切。持有此证书的用户就可以凭此证书访问那些信任c a 的服务器。基于x 5 0 9 证 书的认证实际上是将人与人之间的信任转化为个人对组织机构的信任，因此这种认证系 统需要有c a 的支持。 数字证书主要包含证书所有者的公开密钥、身份信息等信息以及证书发行者的相关 信息。证书的发行者c a 将使用它的私有密钥对以上信息进行签名，使其不可伪造。任 9 一 校园网统一身份认证系统的研究与设计 何人只有拥有该c a 的公开密钥，都可以验证证书的有效性。证书中通常不仅包括证书 所有者的名字和它的公开密钥，还可以包括其它很多信息，这样的证书称为扩展证书。 使用扩展证书，用户不仅能得到公开密钥，还可以得到它的相关信息，如电子邮件等。 一旦用户拥有一个证书及其所对应的私钥，就可以通过证书认证协议来向其它用户证实 自己的身份。 基于x 5 0 9 证书的认证技术适用于开放式网络环境下的身份认证，该技术己被广泛 接受，许多网络安全协议都可以使用x 5 0 9 证书，如：m s e c 、s s l 、s e t 、s m i m e 等。 由于这种认证技术中采用了非对称密码体制，c a 和用户的私钥都不会在网络上传输， 避免了基于口令的认证过程中传输口令所带来的问题。攻击者即使截获了用户的证书， 但由于无法获得用户的私钥，也就无法解读服务器传给用户的信息。 全球公钥基础设施( p k i ) 就是一个全球范围的相互信任的基础设施，它是一种遵循标 准的密钥管理平台l l s l 。p k i 的构建主要围绕着认证机构、证书库、密钥备份及恢复系统、 证书作废处理系统，客户端证书处理系统等基本部分来进行。 2 3 认证技术 认证技术是网络安全技术的重要组成部分之一。认证主要包括实体验证和消息验证 两个方面。实体验证是指验证信息的发送者是真的，防止冒充，其中包括消息源方和消 息接收方的认证和识别。消息验证是验证消息的完整性，验证数据在传送或存储过程中 未被篡改、重放或延迟。其基本思想是通过验证被认证对象的属性来达到确认被认证对 象是否真实有效的目的。被认证对象的属性可以是口令、数字签名或者象指纹、声音、 视网膜这样的生理特征。认证常常被用于通信双方相互确认身份，以保证通信的安全。 对于维护系统安全所必需的授权、访问控制、日志审查等技术来说，认证是它们能够正 常运行的基础。加密和认证同是信息系统安全的两个重要方面，但它们并不能相互替代： 认证不能自动地提供加密功能，而加密也不能自然地提供认证功能。在实际的认证系统 中，需要使用数字签名技术和消息鉴别码。 本节将讨论基于口令的认证机制、基于挑战一应答的r a d i u s 认证机制、k e r b e r o s 认证机制和p 认证机制等。 沈阳工业大学硕士学位论文 2 3 1 基于口令的认证机制 用户名和密码的组合是一种最简单的基于口令的身份验证方法。一般的做法是系统 为合法用户建立用户名，密码对。当用户登录系统时，提示用户输入用户名和密码，系统 核对输入值与系统内部存储的合法用户的用户名和密码来验明用户身份。 这种认证方法的优点是实现简单可行，一般的系统( 如u n ，w i n d o w sn t ，2 0 0 0 ， n e t w a r e 等) 都提供了对口令认证的支持，对于封闭的小型系统来说不失为一种简单可行 的方法。但是这种传统的方法也有不少缺点。 基于口令的认证方法存在下面几点不足： ( 1 ) 用户每次访问系统时都要以明文方式输入口令，这时很容易泄密，密码在传输 过程中可能被截获。 ( 2 ) 系统中所有用户的口令以文件形式存储在认证方，攻击者可以利用系统中襻茬 的漏洞获取系统的密码文件。 ( 3 ) 用户在访问多个不同安全级别的系统时，都要求用户提供口令，用户为了记忆 的方便，往往采用相同的口令。而低安全级别系统的口令更容易被攻击者获得，从而用 来对高安全级别系统进行攻击。 ( 4 ) 只能进行单向认证，即系统可以认证用户，而用户无法对系统进行认证。攻击 者可能伪装成系统骗取用户的口令。 改进的办法之一是口令的加密传输。由于传输的是用户口令的密文形式，系统仅保 存用户口令的密文，因而窃听者不易获得用户的真实口令，但是这种方案仍然受到口令 猜测的攻击，另外系统入侵者还可以采用离线方式对口令密文实施字典攻击。另一个改 进的方法是采用动态口令，或者是一次口令技术( o r r p ，o n e t i m e p 勰s w o r d ) 【1 9 1 。它采用 挑战应答机制、时间事件同步方式或者安全密钥( 趴y ) 保证登录口令的随机变化，提 高用户身份的保护级别。r a d i u s 协议就属于这种认证方式。用户端有动态密码卡生成 随机数与认证服务器端同步。 2 3 2 基于挑战一应答的r a d i u s 认证机制 挑战应答式( c h a l l e n g e - r e s p o n 辩) 身份识别协议的基本观点是：每次认证时验证者提 出问题( 通常是一些随机数) ，由被验证者回答，然后由验证者验证其真实性。挑战- 应答 校园网统一身份认证系统的研究与设计 式协议分为两类：一类是基于对称密码技术的，在这类协议中，验证者知道被验证者的 密钥；另一类是基于公钥密码技术的，在这类协议中，验证者不知道被验证者的私钥， 后者的应用更为广泛。著名的鼬i u s 认证机制就是采用这种方式。 r a d l u s ( 黜胁啦a u l l l 朗t i c 融i d i a ll nu s 盯s e n r i 嘲认证，用于对远程接入用户进 行身份认证阻2 1 1 。r a d i u s 采用c h a l l g e r e s p o n 船认证模式来对用户进行身份认证。 r a d i u s 以c l i e 州s e r v 盯方式工作，为了保证传输的安全性，在c l i e n t 和s e n ，盱之间传 送的数据均以m d 5 方式加密。图2 1 给出了r a d 砌s 认证方式的认证过程。 认证请求 a c c 嚣- r q i e c i ， 认 客 a c c 暇叫c h a j l 曲萨证 南 i d 、加密应答 服 务 端 器 a c 姆a c p t 端 图2 1r a d l u s 认证示意图 f i g 2 1t h e 砌i c a t e dd i a 鲫no f r a d i u s ( 1 ) 当一个客户配置使用r a d i u s 进行认证时，客户发送一个访问请求，其中包含 的属性有：用户名、密码、用户i d 、用户接入的端口i d 等。密码使用m d 5 消息摘要 算法进行处理。 ( 2 ) r a d i u s 服务器接收客户的请求，如果r a d i i s 服务器与r a d i u s 客户没有共 享密钥，请求就被丢弃；如果该共享密钥有效，i 认d i u s 服务器就查找关于用户的数据 库检查用户名与请求是否匹配，检查密码是否正确，还可以指定用户可以接入到哪些特 定的内部网主机或端口。 ( 3 ) 如果有任何条件不满足，r a d i u s 服务器发“a c c e 蟠r 巧e c t ”报文给r a d i u s 客户，如果条件符合，r a d i u s 服务器发“a c c e s s c h a l i e n g e ”报文给r a d l u s 客户。 沈阳工业大学硕士学位论文 ( 4 ) r a d i u s 客户重新发一个新的请求给服务器，包括新请求i d ，以及加密的应答 等。 ( 5 ) 如果一切符合要求，r a d i u s 服务器发“触s - a c p t ”报文给客户，其中还 包含了配置信息。 2 3 3k c r k f o s 认证机制 k e r b e r o s 协议是为t c p 仃p 网络设计的可信第三方认证协议，它使用对称加密技术来 对不安全网络进行认证，它是当今最重要的实用认证协议。k 如e m s 最初是在麻省理工 学院( m m 为雅典娜( a t l l e l l a ) 项目而开发的，k e r b e r o s 协议基于n e e d h 锄、s c h m e d e r 的 可信第三方协议。k 曲e r o s 是一种已被证明是非常安全的网络认证协议陋l 。目前m i t 发布的k e r b e f o s 的最新版本是l 沁r l 瑚o sv 5 【2 3 】。 k e 慨r o s 认证是目前比较成熟的种身份认证机制。在业界得到了越来越广泛的应 用。微软( m i c r o 公司操作系统w i n d o w s2 0 0 0 中提供了对k e 舭r o sv 5 的支持，l i n u x r e d h a t 环境下也可以使用k e r b e m s 提供的k t e l n 砌、k r l o g i l l d 、i 砸h d 来替代传统的 t e l n e t d 、r l o 百n d 、碍h d 服务，j a v a 安全解决方案中的j a v a 认证和权限服务( j a a s ，j a v a a u n l e n t i c 砒i 衄锄da l 曲碰z a t i o ns e r v i c e ) 也提供了对k e f b c r o s 的支持。因此，对k 盯b c m s 协议进行分析、研究是很有必要的。 2 3 4p k i 认证机制 公钥基础设施p ( p u b l i ck e yi n ：c t u r e ) 是一种遵循国际标准的利用公钥密码理 论和技术为网上业务的开展提供一套安全保障的技术和规范的基础设施。p 是重要的 信息安全技术，是搭建全球可信网络( g l o b a lt m s tn e 栅o r k ，g ，i n ) 的基础平台技术，也 是目前解决电子商务、电子政务安全的关键和基础技术刚。p 作为国家信息化的基础 设施，是技术、应用、组织、规范和法律法规的总和，是一个宏观体系。p 的核心是 解决网络空间中的信任问题，确定网络空间中各行为主体身份约唯一性、真实性和合法 性，确保网络空间中各行为主体的安全利益。 p 是2 0 世纪8 0 年代由美国学者提出来了的概念，实际上，授权管理基础设施、 可信时间戳服务系统、安全保密管理系统、统一的安全电子政务平台等的构筑都离不开 它的支持。数字证书认证中心c a ( c e n i f i c a t ea u t h 嘶动、审核注册中心r a e g i s 恤t i 校园网统一身份认证系统的研究与设计 a l i t l 谢t y ) 、密钥管理中心k m c ( k e ym 趾a g c rc 锄t c l ) 都是组成p 的关键组件。作为提 供信息安全服务的公共基础设施，p 是目前公认的保障网络社会安全的最佳体系。在 我国，p 建设在多年前就已开始启动，截至目前，金融、政府、电信等部门已经建立 了3 0 多家c a 认证中心。 p 鼬公钥基础设施主要由以下五个部分组成【2 5 l ： ( 1 ) 密钥管理中心( k m c 卜一主要向c a 服务提供相关的必要服务，如密钥生成、 密钥存储、密钥备份、密钥恢复、密钥托管和密钥运算等； ( 2 ) c a 认证机构p 的核心，主要完成证书的生成与签发、证书撤销列表( c i t u