视频信息安全设计方案.doc

城市视频监控联网系统城市视频监控联网系统 信息安全设计方案信息安全设计方案 二二 一五年十一月一五年十一月 目目 录录 1 项目背景项目背景 1 2 信息安全相关知识信息安全相关知识 1 2 1 信息安全服务与机制信息安全服务与机制 2 2 1 1 安全服务安全服务 2 2 1 2 安全机制安全机制 3 2 2 安全体系架构安全体系架构 3 2 2 1 网络安全基本模型网络安全基本模型 3 2 2 2 信息安全框架信息安全框架 3 2 3 信息安全起因信息安全起因 4 2 3 1 技术缺陷技术缺陷 4 2 3 2 管理缺陷管理缺陷 5 2 4 网络攻击方式网络攻击方式 5 2 4 1 口令攻击口令攻击 5 2 4 2 软件攻击软件攻击 6 2 4 3 窃听攻击窃听攻击 7 2 4 4 欺诈攻击欺诈攻击 7 2 4 5 病毒攻击病毒攻击 8 2 4 6 拒绝服务攻击拒绝服务攻击 8 2 5 信息安全后果信息安全后果 9 2 6 信息安全技术信息安全技术 9 2 6 1 PKI 体系体系 9 2 6 2 用户身份认证用户身份认证 12 2 6 3 认证机制认证机制 13 2 6 4 认证协议认证协议 15 3 联网视频信息的特点联网视频信息的特点 17 3 1 系统多级架构系统多级架构 17 3 2 网络状况复杂网络状况复杂 17 3 3 视频数据量大视频数据量大 17 4 视频系统信息安全分类视频系统信息安全分类 17 4 1 信令加密信令加密 18 4 2 媒体流加密媒体流加密 18 5 安全系统的实现安全系统的实现 18 5 1 认证中心认证中心 18 5 2 视频安全平台视频安全平台 18 5 3 系统评价系统评价 18 6 系统建成预期效果系统建成预期效果 19 7 安全技术展望安全技术展望 19 精选范本 供参考 1 项目背景项目背景 互联网 大数据时代虽然带来了安防行业新的机遇与信息面貌 但是伴随 信息聚集性越来越高 云安全问题也带来了新的挑战 对不法分子来说 只要 击破云服务器 意味着可以获得更多的资源 例如 iCloud 泄露门 12306 信息 泄露 携程信息泄露等 海康威视 安全门 事件 对正在大力发展信息经济 与互联网经济的中国 提出了信息安全的极大思考 信息安全任重而道远 千 里之堤 毁于蚁穴 所以在信息安全上 应仔细排查安全隐患 防患于未然 公开数据显示 有 74 1 的网民在过去半年内遇到网络信息安全事件 有专 家估计 中国每年因网络信息安全问题造成的经济损失高达数百亿美元 在今年的全国两会上 中国移动广东公司总经理钟天华代表建议 加快制 定网络信息安全法 从监管主体 设施安全 运行安全 信息安全 法律责任 等方面规范网络信息安全 各省城市视频监控联网系统共享平台已基本建设完成 标准基于国标 GB T 28181 但对于视频信息安全的要求没有严格要求 在国家对网络和信息安全高 度重视的当下 扮演政府 企业 社区 守门人 角色的安防行业 实现自主 可控异常重要 需要一套完整解决方案 2 信息安全相关知识信息安全相关知识 网络信息安全是一个关系国家安全和主权 社会稳定 民族文化继承和发 扬的重要问题 其重要性 正随着全球信息化步伐的加快越来越重要 网络信 息安全是一门涉及计算机科学 网络技术 通信技术 密码技术 信息安全技 术 应用数学 数论 信息论等多种学科的综合性学科 它主要是指网络系统 的硬件 软件及其系统中的数据受到保护 不受偶然的或者恶意的原因而遭到 破坏 更改 泄露 系统连续可靠正常地运行 网络服务不中断 精选范本 供参考 2 1 信息安全服务与机制信息安全服务与机制 2 1 1 安全服务安全服务 信息安全服务产生的基础是整个网络系统需要规避安全风险 控制安全成本以 及保障业务持续性 从实践环节看 信息安全服务是由参与通信的开放系统的某一 层 OSI 所提供的服务 它确保了该系统或数据传输具有足够的安全性 结合信息安 全的基本要素 明确五大类安全服务 即鉴别 访问控制 数据完整 数据保密 抗抵赖 2 1 1 1 鉴别服务 鉴别服务 authentication 主要用来鉴别参与通信的对等实体和数据源 确认其合法性 真实性 2 1 1 2 访问控制服务 访问控制服务 access control 用于防止未授权用户非法使用资源 包括用户身份认证 用户权限确认 2 1 1 3 数据完整性服务 数据完整性服务 integrity 用于对付主动威胁 阻止非法实体对通信双方交换数据的改动和删除 2 1 1 4 数据保密性服务 数据保密性服务 confidentiality 防止系统内交换数据被截获或非法存取而造成泄密 提供加密保护 2 1 1 5 抗抵赖性服务 抗抵赖性服务 no repudiation 防止发送方发送数据后否认自己发送过此数据 接收方接收后否认收到过 此数据或伪造接收数据 精选范本 供参考 2 1 2 安全机制安全机制 2 2 安全体系架构安全体系架构 2 2 1 网络安全基本模型网络安全基本模型 网络安全基本模型包括通信主体双方 攻击者和可信第三方 通信双方在网络 上传输信息 需要先在发收之间建立一条逻辑通道 这就要先确定从发送端到接收 端的路由 再选择该路由上使用的通信协议 如 TCP IP 为了在开放式的网络环境中安全地传输信息 需要对信息提供安全机制和安全 服务 信息的安全传输包括两个基本部分 一是对发送的信息进行安全转换 如信 息加密以便达到信息的保密性 附加一些特征码以便进行发送者身份验证等 二是 发送双方共享的某些秘密信息 如加密密钥 除了对可信任的第三方外 对其他用 户是保密的 为了使信息安全传输 通常需要一个可信任的第三方 其作用是负责向通信双 方分发秘密信息 以及在双方发生争议时进行仲裁 一个安全的网络通信必须考虑以下内容 实现与安全相关的信息转换的规则或算法 用于信息转换算法的密码信息 如密钥 秘密信息的分发和共享 使用信息转换算法和秘密信息获取安全服务所需的协议 2 2 2 信息安全框架信息安全框架 2 2 2 1 物理安全物理安全 进入办公室需经人脸识别门禁系统确认后才能打开办公室门 出办公室门 需按出门按钮 精选范本 供参考 2 2 2 2 通信和网络安全通信和网络安全 能完成对出入办公室人员的授权管理 能对进出办公室人员的历史出入记 录进行查询及输出 2 2 2 3 运行安全运行安全 2 2 2 4 信息安全信息安全 2 3 信息安全起因信息安全起因 首先 视频监控网络安全问题是现实存在的 在互联网传输中不加密问题更甚 即便是美国国防部内部网络都曾被黑客入侵 何况是民用监控 其次 视频监控网络安全问题是普遍存在的 并非只海康威视一家 此前便有 报道 只要在 Google 中搜索简单的关键字 就可以无阻碍地连入全球超过 1000 个 没有保护措施的监控摄像头 用户对网络安全重视程度不够 缺乏安全意识 在安 装完监控产品之后 没有对密码进行修改 实际上只要用户按照产品说明书的说明 修改了初始默认密码 就能很大程度上避免网络安全隐患 第三 在视频传输中 利用公安专用通信网保密性最佳 其次为视频图像专网 再次为虚拟专用网 VPN VirtualPrivateNetwork 未加密的公网传输 包括移动 互联网传输保密性是很差的 目前平安城市视频监控系统承载网络主要是公安专用 通信网和视频虚拟专网两种 现有系统的承载网络情况复杂 平台部署在不同的承 载网络上 虚拟专用网通常是在公用网络上建立的专用网络 是为特别用户设置的 加密通讯网络 而平安城市视频监控系统汇接的社会图像资源是通过多种方式接入 到各级共享平台 虽然在接入时会采取一些安全接入措施 但仍很难避免被非法侵 入 未加密的公网传输毫无保密性可言 除了接入网络的设备会受到网络安全隐患威胁外这一无法回避的因素外 安防 企业多是习惯于用局域网或者专网视角来看待问题 2 3 1 技术缺陷技术缺陷 互联网使用的通讯协议是 TCP IP TCP IP 在最初的设计时 主要考虑的是 如何实现网络连接 并没有充分考虑到网络的安全问题 而 TCP IP 协议是完全公 开的 这就导致入侵者可以利用 TCP IP 协议的漏洞对网络进行攻击 另外计算机 使用的操作系统 比如说目前仍普遍使用的微软 windows 操作系统在设计上也存在 精选范本 供参考 安全漏洞 用户经常需要更新 下载它的安全补丁 以修补它的安全漏洞 其他的 技术缺陷还包括应用程序的编写对安全性考虑不足 网络通讯设备包括路由器 交 换机存在安全的缺陷等等 这些技术上的缺陷都容易被入侵者利用 从而构成安全 威胁 2 3 2 管理缺陷管理缺陷 由于网络使用单位的负责人 网络管理员思想上不重视或者疏忽 没有正视黑 客入侵所造成的严重后果 没有投入必要的人力 物力和财力来加强网络的安全性 没有采取有效的安全策略和安全机制 缺乏先进的网络安全技术 工具 手段和产 品等等 这也导致了网络的安全防范能力差 主要有以下几个方面 内部管理漏洞 缺乏健全的额管理制度或制度执行不力 给内部人员违规或 犯罪留下机会 与外部威胁相比 来自内部的攻击和犯罪更难防范 而且 是网络安全的主要来源 据统计 大约 80 的安全威胁来自系统内部 动态环境变化 单位变化 人员流动 原有内部人员对网络的破坏 社会问题 道德问题和立法问题 2 4 网络攻击方式网络攻击方式 互联网技术在飞速发展的同时 黑客技术也在飞速发展 网络世界的安全性不 断地在受到挑战 对于黑客来说 要进入普通人的电脑非常容易 只果你要上 网 就免不了遇到病毒和黑客 下面列举一些黑客常用攻击手段 2 4 1 口令攻击口令攻击 口令攻击就是通过窃取口令的方式进行破坏的活动 口令攻击是比较常用的一 种攻击方式 在现实生活中 由于用户名和密码被盗造成损失的例子有很多 一旦 用户名和密码被盗 入侵者还可以冒用此用户的名义对系统进行进一步的破坏和攻 击 从而给用户本身或者整个系统造成非常大的损失 就目前的黑客技术来说 用户名和密码的盗取对黑客不再是有难度的事情 黑客盗取口令的方法有很多 比如说 有的黑客通过 FTP TFTP 和 Telnet 等工 具 可以搜集用户账户资料 获得口令文件 然后对 1 3 令文件进行解密来获得口 令 或者如果用户的口令设置缺乏安全性 可能被轻易地被 字典攻击 猜到用户 精选范本 供参考 的 El 令 字典攻击 就是通过编写一个应用程序 根据一定的规律 由应用程序 自动反复地去尝试口令 强行破解用户口令 字典攻击 要求黑客要有足够的耐心 和时间 但对那些口令安全系数极低的用户 只要短短的几分钟 甚至数十秒就可 以被破解 2014 年 11 月 知名专业安全网站 SecurityStreetRapid 公布了 3 个 RTSP 安全漏 洞 编号分别为 CVE 2014 4878 CVE 2014 4879 及 CVE 2014 4880 这三个漏洞 均为监控设备对 RTSP 请求处理不当导致的缓冲区溢出漏洞 通过该漏洞 攻击者 只要知道设备的 IP 地址 即可采用电脑对设备进行拒绝服务攻击 从而导致设备瘫 痪或被攻击者接管 弱口令 弱口令是指容易被攻击者猜测到或被破解工具破解的口令 此次媒体 报道中提及的弱口令问题主要是由于未修改设备初始密码或设备密码过于简单导致 的安全问题 弱口令问题普遍存在 主要的解决方式是建立严格 规范化的口令管 理流程和管理机制 2 4 2 软件攻击软件攻击 软件攻击有时又叫漏洞攻击 许多系统包括计算机系统 网络系统都有这样那 样的安全漏洞 Bug 和后门 backdoor 特别是计算机系统 在安装好操作系统 后 出现漏洞和缺陷的可能性是最大的 这些漏洞需要厂商发布补丁 patch 程序来 进行修补 各个硬件厂商和软件厂商 包括微软在内 都在不断地发布自己的补 丁 这要求用户及时的去下载这些补丁 进行系统更新操作 如果系统管理人员没 有对网络和操作系统的漏洞及时打补丁 入侵者就可以很容易利用这些公开的漏洞 侵入系统 从而对整个网络带来灾难性的后果 软件攻击除了利用系统的漏洞外 还可以利用一些后门程序 后门 就是秘密 入口 比如说 在程序开发阶段 程序员可能会设置一些后门 以便于测试 修改 和增强模块功能 正常情况下 程序开放完成后需要去掉各个模块的后门 不过有 时由于疏忽或者其他原因 比如说如保留后门便于日后访问 测试或维护 后门没 有去掉 一些别有用心的人就会利用专门的扫描工具发现并利用这些后门 然后进 精选范本 供参考 入系统并发动攻击 国内的安防产品的漏洞问题由来已久 主要原因在于社会和国家对信息化依赖 越来越高 境外恶意攻击者一般会对网络进行扫描 发现系统存在弱口令问题后会 利用其中未修复的安全漏洞进行攻击 然后植入后门软件进行长期控制 所有暴露 在互联网环境下的设备都会面临黑客攻击的风险 很多用户缺乏安全意识 在安全 上考虑不足也导致容易出现安全漏洞 2 4 3 窃听攻击窃听攻击 网络窃听是最直接的获取数据的手段 如果在共享的网络通道上 用没有加密 的明文传输敏感数据 这些信息很可能被窃听和监视 窃听者可以采用如 sniffef 等 网络协议分析工具 非常容易地在信息传输过程中获取所有信息的内容 这些信息 包括账号 密码等重要信息 一旦入侵者监听到用户传输的口令 就可以利用口令 入侵到系统中 比如说 政府部门内部的普通工作人员 如果通过内部网络窃听手 段 获取了领导的账号和密码 从而可以利用这些密码 查阅只能由领导查阅的秘 密文件等 这类方法有一定的局限性 但危害性较大 监听者往往能够获得其所在 网段的所有用户账号和口令 对内部网络安全威胁巨大 因为内网数据往往是密级 非常高的 如果被非法窃听而导致信息泄露 将对国家造成非常大的损失 2 4 4 欺诈攻击欺诈攻击 欺诈攻击是利用假冒方式骗取连接和信息资源 损害企业的声誉和利益的方式 比如说 黑客在被攻击主机上启动一个可执行程序 该程序显示一个伪造的登录界 面 当用户在这个伪装的界面上键入登录信息后 黑客程序会将用户输入的信息传 送到攻击者主机 然后关闭界面给出提示错误 要求用户重新登录 此后 才会出 现真正的登录界面 这就是欺诈攻击的一种方式 再比如说 黑客可以制作自己的 网页 一旦用户点击了假冒链接地址 进入到这个网页后 如果用户此时输入银行 账号 密码 验证码后 该假冒网页会提示验证码错误 随后再转向正常的网 页 这样 黑客就巧妙地从中获取了用户的机密信息 精选范本 供参考 2 4 5 病毒攻击病毒攻击 计算机病毒实际上是一段可执行程序 为什么称之为病毒 主要是因为它和现 实世界的病毒一样具有传染性 潜伏性和破坏性 在越来越依赖网络的今天 由于 病毒导致的系统破坏将带来巨大的损失 计算机病毒对计算机的影响是灾难性的 从 20 世纪 80 年代起 计算机使用者 就开始和计算机病毒斗争 特别是随着近年互联网的发展 网络应用的普及 人们 对计算机的依赖程度的不断提高 这一切为病毒的传播提供了方便的渠道 同时也 使计算机病毒的种类迅速增加 扩散速度大大加快 受感染的范围越来越广 病毒 的破坏性也越来越严重 以前病毒的传播方式主要是单机之问通过软盘介质传 染 而现在病毒可以更迅速地通过网络共享文件 电子邮件及互联网在全世界范围 内传播 2 4 6 拒绝服务攻击拒绝服务攻击 DOS denial of service 攻击 简称 DoS 攻击 是通过向攻击目标施加超强力的 服务要求 要求被攻击目标提供超出它能力范圉的服务 从而引起的攻击目标对正 常服务的拒绝或服务性能大大降低 简单的说拒绝服务攻击就是想办法将被攻击的 计算机资源或网络带宽资源耗尽 导致网络或系统不胜负荷以至于瘫痪 而停止提 供正常的服务 DoS 攻击由于可以通过使用一些公开的软件和工具进行攻击 因而它的发动较 为简单 拒绝服务 的攻击方式是 用户发送许多要求确认的信息到服务器 使服 务器里充斥着这种大量要求回复的无用信息 所有的信息都有需回复的虚假地 址 而当服务器试图回传时 却无法找到用户 服务器于是暂时等候 然后再切断 连接 服务器切断连接时 黑客再度传送新一批需要确认的信息 这个过程周而复 始 最终导致服务器资源耗尽而瘫痪 精选范本 供参考 2 5 信息安全后果信息安全后果 在现代网络信息社会环境下 由于存在各种各样的安全威胁 比如病毒 误操 作 设备故障和黑客攻击等 从而可能会造成重要数据文件的丢失 安全问题具体 的后果包括 企业的资料被有意篡改 网站的页面被丑化或者修改 比如说 在被攻击的 网站首页上贴上谣言 黄色图片或反动言论 从而造成法律上和政治上的严 重后果 破坏计算机的硬件系统 比如说磁盘系统 从而造成文件永久丢失 使得商业机密或技术成果泄露或者被散播 安全问题还可能使得服务被迫停止 并给客户层带来服务质量低劣的印象 使得企业形象被破坏 从而造成恶劣影响和难以挽回的损失 2 6 信息安全技术信息安全技术 2 6 1 PKI 体系体系 公钥密码体制分为三个部分 公钥 私钥 加密解密算法 它的加密解密过程 如下 加密 通过加密算法和公钥对内容 或者说明文 进行加密 得到密文 加密过 程需要用到公钥 解密 通过解密算法和私钥对密文进行解密 得到明文 解密过程需要用到 解密算法和私钥 注意 由公钥加密的内容 只能由私钥进行解密 也就是说 由 公钥加密的内容 如果不知道私钥 是无法解密的 公钥密码体制的公钥和算法都是公开的 这是为什么叫公钥密码体制的原因 私钥是保密的 大家都以使用公钥进行加密 但是只有私钥的持有者才能解密 在 实际的使用中 有需要的人会生成一对公钥和私钥 把公钥发布出去给别人使用 精选范本 供参考 自己保留私钥 2 6 1 1 证书认证机构 证书认证机构 CA 认证授权机构 CA Certificate Authority 也称为电子认证中心 是负责发放 和管理数字证书的权威机构 并作为网络活动中受信任的第三方 承担公钥体系中 公钥的合法性检验的责任 CA 中心为每个使用公开密钥的用户发放一个数字证书 数字证书的作用是证 明证书中列出的用户合法拥有证书中列出的公开密钥 CA 机构的数字签名使得攻 击者不能伪造和篡改证书 在 SET 交易中 CA 不仅对持卡人 商户发放证书 还 要对获款的银行 网关发放证书 CA 是证书的签发机构 它是 PKI 的核心 CA 是负责签发证书 认证证书 管 理已颁发证书的机关 它要制定政策和具体步骤来验证 识别用户身份 并对用户 证书进行签名 以确保证书持有者的身份和公钥的拥有权 CA 也拥有一个证书 内含公钥 和私钥 网上的公众用户通过验证 CA 的签 字从而信任 CA 任何人都可以得到 CA 的证书 含公钥 用以验证它所签发的 证书 如果用户想得到一份属于自己的证书 他应先向 CA 提出申请 在 CA 判明 申请者的身份后 便为他分配一个公钥 并且 CA 将该公钥与申请者的身份信息绑 在一起 并为之签字后 便形成证书发给申请者 如果一个用户想鉴别另一个证书的真伪 他就用 CA 的公钥对那个证书上的签 字进行验证 一旦验证通过 该证书就被认为是有效的 为保证用户之间在网上传递信息的安全性 真实性 可靠性 完整性和不可抵 赖性 不仅需要对用户的身份真实性进行验证 也需要有一个具有权威性 公正性 唯一性的机构 负责向电子商务的各个主体颁发并管理符合国内 国际安全电子交 易协议标准的电子商务安全证 并负责管理所有参与网上交易的个体所需的数字证 书 因此是安全电子交易的核心环节 精选范本 供参考 2 6 1 2 数字证书数字证书 证书实际是由证书签证机关 CA 签发的对用户的公钥的认证 证书的内容包括 电子签证机关的信息 公钥用户信息 公钥 权威机构的签 字和有效期等等 证书的格式和验证方法普遍遵循 X 509 国际标准 信息发送者用其私匙对从所传报文中提取出的特征数据 或称数字指纹 进行 RSA 算法操作 以保证发信人无法抵赖曾发过该信息 即不可抵赖性 同时也确 保信息报文在传递过程中未被篡改 即完整性 当信息接收者收到报文后 就可以 用发送者的公钥对数字签名进行验证 数字证书为实现双方安全通信提供了电子认证 在因特网 公司内部网或外部 网中 使用数字证书实现身份识别和电子信息加密 数字证书中含有公钥对所有者 的识别信息 通过验证识别信息的真伪实现对证书持有者身份的认证 1 使用数字证书能做什么 数字证书在用户公钥后附加了用户信息及 CA 的签名 公钥是密钥对的一部分 另一部分是私钥 公钥公之于众 谁都可以使用 私钥只有自己知道 由公钥加密 的信息只能由与之相对应的私钥解密 为确保只有某个人才能阅读自己的信件 发 送者要用收件人的公钥加密信件 收件人便可用自己的私钥解密信件 同样 为证 实发件人的身份 发送者要用自己的私钥对信件进行签名 收件人可使用发送者的 公钥对签名进行验证 以确认发送者的身份 在线交易中您可使用数字证书验证对方身份 用数字证书加密信息 可以确保 只有接收者才能解密 阅读原文 信息在传递过程中的保密性和完整性 有了数字 证书网上安全才得以实现 电子邮件 在线交易和信用卡购物的安全才能得到保证 2 数字证书的类型 个人数字证书 主要用于标识数字证书自然人所有人的身份 包含了个人的身 份信息及其公钥 如用户姓名 证件号码 身份类型等 可用于个人在网上进行合 精选范本 供参考 同签定 定单 录入审核 操作权限 支付信息等活动 机构数字证书 主要用于标识数字证书机构所有人的身份 包含机构的相关信 息及其公钥 如 企业名称 组织机构代码等 可用于机构在电子商务 电子政务 应用中进行合同签定 网上支付 行政审批 网上办公等各类活动 设备数字证书 用于在网络应用中标识网络设备的身份 主要包含了设备的相 关信息及其公钥 如 域名 网址等 可用于 VPN 服务器 WEB 服务器等各种网 络设备在网络通讯中标识和验证设备身份 此外 还有代码签名数字证书 是签发给软件提供者的数字证书 包含了软件 提供者的身份信息及其公钥 主要用于证明软件发布者所发行的软件代码来源于一 个真实软件发布者 可以有效防止软件代码被篡改 2 6 2 用户身份认证用户身份认证 所谓身份认证 就是判断一个用户是否为合法用户的处理过程 最常用的简单 身份认证方式是系统通过核对用户输入的用户名和口令 看其是否与系统中存储的 该用户的用户名和口令一致 来判断用户身份是否正确 复杂一些的身份认证方式 采用一些较复杂的加密算法与协议 需要用户出示更多的信息 如私钥 来证明自己 的身份 如 Kerberos 身份认证系统 身份认证一般与授权控制是相互联系的 授权控制是指一旦用户的身份通过认 证以后 确定哪些资源该用户可以访问 可以进行何种方式的访问操作等问题 在 一个数字化的工作体系中 应该有一个统一的身份认证系统供各应用系统使用 但 授权控制可以由各应用系统自己管理 统一用户管理系统 IDS 实现网上应用系统的用户 角色和组织机构统一化管理 实现各种应用系统间跨域的单点登录和单点退出和统一的身份认证功能 用户登录 到一个系统后 再转入到其他应用系统时不需要再次登录 简化了用户的操作 也 保证了同一用户在不同的应用系统中身份的一致性 身份认证可分为用户与系统间的认证和系统与系统之间的认证 身份认证必须 精选范本 供参考 做到准确无误地将对方辨认出来 同时还应该提供双向的认证 目前使用比较多的 是用户与系统间的身份认证 它只需单向进行 只由系统对用户进行身份验证 随 着计算机网络化的发展 大量的组织机构涌入国际互联网 以及电子商务与电子政 务的大量兴起 系统与系统之间的身份认证也变得越来越重要 身份认证的基本方式可以基于下述一个或几个因素的组合 所知 Knowledge 即用户所知道的或所掌握的知识 如口令 所有 Possesses 用户所拥有的某个秘密信息 如智能卡中存储的用户个人 化参数 访问系统资源时必须要有智能卡 特征 Characteristics 用户所具有的生物及动作特征 如指纹 声音 视网 膜扫描等 根据在认证中采用的因素的多少 可以分为单因素认证 双因素认证 多因素 认证等方法 身份认证系统所采用的方法考虑因素越多 认证的可靠性就越高 2 6 3 认证机制认证机制 2 6 3 1 基于口令的身份认证机制基于口令的身份认证机制 基于口令的身份认证技术因其简单易用 得到了广泛的使用 但随着网络应用 的深入和网络攻击手段的多样化 口令认证技术也不断发生变化 产生了各种各样 的新技术 最常采用的身份认证方式是基于静态口令的认证方式 它是最简单 目 前应用最普遍的一种身份认证方式 但它是一种单因素的认证 安全性仅依赖于口 令 口令一旦泄露 用户即可被冒充 同时易被攻击 采用窥探 字典攻击 穷举 尝试 网络数据流窃听 重放攻击等很容易攻破该认证系统 相对静态口令 动态 口令也叫一次性口令 它的基本原理是在用户登录过程中 基于用户口令加入不确 定因子 对用户口令和不确定因子进行单向散列函数变换 所得的结果作为认证数 据提交给认证服务器 认证服务器接收到用户的认证数据后 把用户的认证数据和 自己用同样的散列算法计算出的数值进行比对 从而实现对用户身份的认证 在认 精选范本 供参考 证过程中 用户口令不在网络上传输 不直接用于验证用户的身份 动态口令机制 每次都采用不同的不确定因子来生成认证数据 从而每次提交的认证数据都不相同 提高了认证过程的安全性 2 6 3 2 挑战挑战 响应认证机制响应认证机制 挑战 响应方式的身份认证机制就是每次认证时认证服务器端都给客户端发送一 个不同的 挑战 码 客户端程序收到这个 挑战 码 根据客户端和服务器之间 共享的密钥信息 以及服务器端发送的 挑战 码做出相应的 应答 服务器根据 应答的结果确定是否接受客户端的身份声明 从本质上讲 这种机制实际上也是一 次性口令的一种 一个典型的认证过程如下图所示 认证过程为 1 客户向认证服务器发出请求 要求进行身份认证 2 认证服务器从用户数据库中查询用户是否是合法的用户 若不是 则不做进 一步处理 3 认证服务器内部产生一个随机数 作为 挑战 码 发送给客户 4 客户将用户名字和随机数合并 使用单向 Hash 函数 例如 MD5 算法 生成 一个字节串作为应答 5 认证服务器将应答串与自己的计算结果比较 若二者相同 则通过一次认证 否则 认证失败 6 认证服务器通知客户认证成功或失败 2 6 3 3 EAP 认证机制认证机制 EAP Extensible Authentication Protocol 扩展认证协议在 RFC2248 中定义 是 一个普遍使用的认证机制 它常被用于无线网络或点到点的连接中 EAP 不仅可以 用于无线局域网 而且可以用于有线局域网 但它在无线局域网中使用的更频繁 EAP 实际是一个认证框架 不是一个特殊的认证机制 EAP 提供一些公共的功能 并且允许协商所希望的认证机制 这些机制被称为 EAP 方法 由于 EAP 方法除了 精选范本 供参考 IETF 定义了一部分外 厂商也可以自定义方法 因此 EAP 具有很强的扩展性 IETF 的 RFC 中定义的方法包括 EAP MD5 EAP OTP EAP GTC EAP TLS EAP SIM 和 EAP AKA 等 无线网络中常用的方法包括 EAP TLS EAP SIM EAP AKA PEAP LEAP 和 EAP TTLS 目前 EAP 在 802 1X 的网络中使 用广泛 可扩展的 EAP 方法可以为接入网络提供一个安全认证机制 2 6 3 4 钥认证机制钥认证机制 随着网络应用的普及 对系统外用户进行身份认证的需求不断增加 即某个用 户没有在一个系统中注册 但也要求能够对其身份进行认证 尤其是在分布式系统 中 这种要求格外突出 这种情况下 公钥认证机制就显示出它独特的优越性 公钥认证机制中每个用户被分配给一对密钥 称之为公钥和私钥 其中私钥由 用户保管 而公钥则向所有人公开 用户如果能够向验证方证实自己持有私钥 就 证明了自己的身份 当它用作身份认证时 验证方需要用户方对某种信息进行数字 签名 即用户方以用户私钥作为加密密钥 对某种信息进行加密 传给验证方 而 验证方根据用户方预先提供的公钥作为解密密钥 就可以将用户方的数字签名进行 解密 以确认该信息是否是该用户所发 进而认证该用户的身份 公钥认证机制中要验证用户的身份 必须拥有用户的公钥 而用户公钥是否正 确 是否是所声称拥有人的真实公钥 在认证体系中是一个关键问题 常用的办法 是找一个值得信赖而且独立的第三方认证机构充当认证中心 Certificate Authority CA 来确认声称拥有公开密钥的人的真正身份 要建立安全的公钥认 证系统 必须先建立一个稳固 健全的 CA 体系 尤其是公认的权威机构 即 Root CA 这也是当前公钥基础设施 PKI 建设的一个重点 2 6 4 认证协议认证协议 许多协议在向用户或设备授权访问和访问权限之前需要认证校验 通常要用到 认证相关的机制 前面讨论了常用的认证机制 本节介绍使用这些认证机制的协议 这些协议包括 RADIUS TACACS Kerberos LDAP 等 RADIUS 和 TACACS 通 常用在拨号环境中 Kerberos 是在校园网中用的比较多的协议 LDAP 提供一种轻 量级的目录服务 严格来说不能算作一种认证协议 而对用户进行认证授权只是 LDAP 的一种应用 精选范本 供参考 2 6 4 1 RADIUS 认证协议认证协议 RADIUS Remote Authentication Dial In User Service 协议最初是由 Livingston 公司提出的 目的是为拨号用户进行认证和计费 后来经过多次改进 形成了一个 通用的 AAA 协议 RADIUS 协议认证机制灵活 能够支持各种认证方法对用户进行认证 可以采 用上述任何一种认证机制 RADIUS 是一种可扩展的协议 它进行的全部工作都是 基于属性进行的 由于属性可扩展性 因此很容易支持不同的认证方式 RADIUS 协议通过 UDP 协议进行通信 RADIUS 服务器的 1812 端口负责认证 1813 端口负责计费工作 采用 UDP 的基本考虑是因为 NAS 和 RADIUS 服务器大多 在同一个局域网中 使用 UDP 更加快捷方便 2 6 4 2 TACACS 认证协议认证协议 TACACS Terminal Access Controller Access Control System 最先是由 BBN 为 MILNET 开发的一种基于 UDP 的访问控制协议 一些厂商对协议进行了扩展 最终 形成了一种新的 AAA 协议 其中 CISCO 公司对 TACACS 协议多次进行增强扩展 目前成为 TACACS 协议 H3C 在 TACACS RFC1492 基础上进行了功能增强 形成了 H3C 扩展的 TACACS 协议 无论 TACACS TACACS 还是 H3C 扩展 TACACS 协议 其认证 授权和计费是分离的 并且与原始 TACACS 协议相比 TACACS 和 HWTACACS 可以使用 TCP 作为传输层协议 端口号为 49 TACACS 允许任意长度和内容的认证交换 与 RADIUS 一样 具有很强的扩 展性 并且客户端可以使用任何认证机制 由于 TACACS 的认证与其他服务是分 开的 所以认证不是强制的 这点与 RADIUS 是不同的 2 6 4 3 Kerberos 认证协议认证协议 在一个分布式环境中 采用上述两种认证协议时 如果发生账号改动的情况 每台机器上的都要进行相应的账号修改 工作量非常大 Kerberos 是 MIT 为解决分 布式网络认证而设计的可信第三方认证协议 Kerberos 基于对称密码技术 网络上 的每个实体持有不同的密钥 是否知道该密钥便是身份的证明 网络上的 Kerberos 服务起着可信仲裁者的作用 可提供安全的网络认证 Kerberos 常见的有两个版本 第 4 版和第 5 版 目前使用的标准版本是版本 5 Kerberos 是一种受托的第三方认证服务 它是建立在 Needham 和 Schroeder 认 证协议基础上 它要求信任第三方 即 Kerberos 认证服务器 AS AS 为客户和服 务器提供证明自己身份的票据以及双方安全通信的会话密钥 Kerberos 中还有一个 精选范本 供参