信息系統(tǒng)認(rèn)證體系結(jié)構(gòu)及相關(guān)技術(shù)研究.pdf

1、隨著信息系統(tǒng)應(yīng)用的不斷普及和深化，信息安全問題越來越受到重視。為實(shí)現(xiàn)信息系統(tǒng)的安全目標(biāo)，需要系統(tǒng)能夠提供相關(guān)的安全服務(wù)：身份標(biāo)識(shí)與認(rèn)證服務(wù)、授權(quán)與訪問控制服務(wù)、非否認(rèn)服務(wù)、機(jī)密性服務(wù)、完整性服務(wù)。其中，認(rèn)證服務(wù)是其他安全服務(wù)的基礎(chǔ)。 世界各國(guó)信息安全領(lǐng)域的研究，已經(jīng)從早期的通信保密到信息安全發(fā)展到目前的信息保障階段。為保障信息系統(tǒng)的安全，美國(guó)國(guó)家安全局推出了<<信息保障技術(shù)框架(IATF)3．0>>，國(guó)內(nèi)信息安全專家沈昌祥院士也

2、提出了“三縱三橫兩個(gè)中心”的信息安全三重保障體系結(jié)構(gòu)。信息安全保障體系結(jié)構(gòu)對(duì)構(gòu)建安全的信息系統(tǒng)具有重大的指導(dǎo)意義和實(shí)用價(jià)值。 依據(jù)信息安全保障體系不難得出：只有立足于終端，從源頭抓起，在信息系統(tǒng)各個(gè)應(yīng)用區(qū)域邊界對(duì)其保護(hù)的資源采用不同的安全保護(hù)措施，才能構(gòu)筑起全面高效的安全防護(hù)系統(tǒng)。正是在這種背景下，人們逐漸認(rèn)識(shí)到終端安全的重要意義，終端安全的思想也逐漸被重視。1999年成立的可信計(jì)算平臺(tái)聯(lián)盟提出了“可信計(jì)算”概念，其思路就是從終

3、端安全入手，針對(duì)目前通用計(jì)算平臺(tái)由于硬件體系結(jié)構(gòu)的簡(jiǎn)化和操作系統(tǒng)內(nèi)在的脆弱性而引起的諸多安全問題，引入可信平臺(tái)模塊TPM以及相關(guān)的軟件作為系統(tǒng)的可信根，通過信任的傳遞過程，確保計(jì)算平臺(tái)和應(yīng)用程序的可信賴性，提高終端平臺(tái)的安全性。但是，要想獲得TCG定義的各種安全特性，就必須替換平臺(tái)主板。而且，TCG定義的可信計(jì)算忽略了對(duì)終端用戶的可信認(rèn)證。 應(yīng)用區(qū)域邊界作為信息系統(tǒng)安全保護(hù)的一個(gè)控制點(diǎn)，常采用防火墻技術(shù)對(duì)應(yīng)用環(huán)境進(jìn)行保護(hù)，保證合

4、法的訪問請(qǐng)求才能進(jìn)入邊界，并對(duì)離開區(qū)域邊界的信息進(jìn)行控制。目前網(wǎng)絡(luò)層的防火墻、VPN設(shè)備，實(shí)現(xiàn)的訪問控制策略主要基于主機(jī)地址、協(xié)議類型、端口號(hào)等信息，不能實(shí)現(xiàn)基于實(shí)際用戶身份、應(yīng)用協(xié)議、甚至命令的細(xì)粒度控制；防火墻和VPN可以和其他用戶認(rèn)證技術(shù)結(jié)合，但認(rèn)證方法是與IP通信相獨(dú)立的，即不能在后續(xù)的通信中維持認(rèn)證結(jié)果。 另一方面，應(yīng)用環(huán)境中的各應(yīng)用服務(wù)由于其安全要求不同，要求使用不同的認(rèn)證方法對(duì)發(fā)起訪問請(qǐng)求的主體的身份進(jìn)行認(rèn)證。不同

5、的應(yīng)用采用不同的認(rèn)證方法，其結(jié)果是用戶的身份管理與配置也越來越復(fù)雜。造成這種結(jié)果的主要原因在于將各種應(yīng)用服務(wù)的用戶認(rèn)證孤立起來考慮，而沒有從體系結(jié)構(gòu)的角度出發(fā)考慮建立整個(gè)信息系統(tǒng)的認(rèn)證體系。論文在“三縱三橫兩個(gè)中心”的信息安全保障技術(shù)框架的指導(dǎo)下，圍繞上述認(rèn)證所存在的問題展開研究和實(shí)踐，最終目的是保證信息系統(tǒng)中每一個(gè)用戶都是經(jīng)過認(rèn)證的，并以此為基礎(chǔ)，保障整個(gè)信息系統(tǒng)的安全。論文取得了以下主要成果： (1)在分析信息系統(tǒng)的組成以及

6、為達(dá)到信息系統(tǒng)安全目標(biāo)所需的保障措施基礎(chǔ)上，在<<信息保障技術(shù)框架(IATF)3．0>>及“三縱三橫兩個(gè)中心”的信息安全保障技術(shù)框架指導(dǎo)下，給出了信息系統(tǒng)認(rèn)證體系結(jié)構(gòu)。該體系結(jié)構(gòu)由三個(gè)層次組成：終端操作平臺(tái)用戶的可信認(rèn)證、用戶訪問本地應(yīng)用域中被保護(hù)應(yīng)用服務(wù)時(shí)的認(rèn)證以及用戶訪問遠(yuǎn)程應(yīng)用域中被保護(hù)資源時(shí)的認(rèn)證。通過這三個(gè)層次相對(duì)獨(dú)立又相互關(guān)聯(lián)的認(rèn)證，為信息系統(tǒng)提供全面、完整的認(rèn)證體系結(jié)構(gòu)。 (2)解決平臺(tái)不可信的一種辦法是對(duì)計(jì)算平臺(tái)

7、實(shí)施完整性校驗(yàn)。TCG將可信的概念引入到通用計(jì)算平臺(tái)中，試圖從系統(tǒng)完整性角度來解決平臺(tái)可信問題。但是，TCG所定義的可信計(jì)算平臺(tái)的實(shí)施，需要在平臺(tái)上增加稱為TPM的硬件模塊。對(duì)于目前通用平臺(tái)而言，要想獲得TCG定義的各種安全特性，就必須替換平臺(tái)主板，對(duì)信息系統(tǒng)原有的投資造成很大的浪費(fèi)，其通用性不好。而且，TCG所定義的基于TPM的可信引導(dǎo)沒有對(duì)用戶的可信進(jìn)行驗(yàn)證。論文針對(duì)這兩個(gè)問題，研究了將具有可信平臺(tái)模塊功能的設(shè)備通過通用USB接口連

8、到平臺(tái)的辦法，通過設(shè)計(jì)相關(guān)軟件，解決了通用計(jì)算平臺(tái)可信機(jī)制的提供以及用戶的可信驗(yàn)證問題，其中包括引導(dǎo)階段用戶的可信認(rèn)證以及操作系統(tǒng)運(yùn)行階段用戶的可信認(rèn)證。 (3)為保護(hù)本地應(yīng)用域的服務(wù)資源免受非授權(quán)用戶的訪問，需在信息系統(tǒng)的邊界設(shè)置應(yīng)用邊界安全設(shè)備。為提供單一域內(nèi)資源訪問的單點(diǎn)登錄功能，在服務(wù)端，應(yīng)用邊界代理應(yīng)用服務(wù)對(duì)訪問共享資源的用戶進(jìn)行認(rèn)證和相關(guān)的訪問控制和審計(jì)。在客戶端，應(yīng)用邊界代理用戶終端發(fā)起對(duì)資源的訪問請(qǐng)求。用戶終端和

9、應(yīng)用邊界間存在代理關(guān)系，需要考慮用戶終端與應(yīng)用邊界間的互認(rèn)證以及身份傳遞問題。針對(duì)這個(gè)問題，考慮到使用Kerberos進(jìn)行實(shí)體互認(rèn)證時(shí)存在的口令易被攻擊的安全隱患，設(shè)計(jì)了基于U-Key的雙因子認(rèn)證以及會(huì)話密鑰的協(xié)商方法，實(shí)現(xiàn)了用戶身份和信息資源的安全傳輸。針對(duì)應(yīng)用區(qū)域邊界環(huán)境下客戶和應(yīng)用邊界之間的代理關(guān)系，為防止應(yīng)用邊界代理客戶行使職權(quán)時(shí)存在的不可辨認(rèn)性和可否認(rèn)性等問題，采用基于身份的公鑰體制設(shè)計(jì)了代理簽名以及指定驗(yàn)證者代理簽名方案。

10、 (4)域間資源訪問時(shí)的用戶認(rèn)證涉及應(yīng)用邊界間的互認(rèn)證以及會(huì)話密鑰的協(xié)商。用戶的身份和權(quán)限信息經(jīng)由本地應(yīng)用邊界傳遞給遠(yuǎn)程的應(yīng)用邊界，代理用戶實(shí)現(xiàn)對(duì)具體應(yīng)用資源的訪問請(qǐng)求。各應(yīng)用服務(wù)由于其安全性需求不同，要求應(yīng)用邊界相應(yīng)地能提供不同的對(duì)用戶的認(rèn)證方法。針對(duì)普通用戶名/口令的認(rèn)證方法存在的安全問題，論文設(shè)計(jì)了增強(qiáng)的用戶名/口令的認(rèn)證；針對(duì)應(yīng)用邊界環(huán)境下直接應(yīng)用Kerberos協(xié)議進(jìn)行域間互認(rèn)證所存在的連接限制問題，對(duì)Kerberos

11、域間認(rèn)證協(xié)議進(jìn)行了修改，設(shè)計(jì)了應(yīng)用邊界環(huán)境下的域間互認(rèn)證及信息的安全傳輸協(xié)議；針對(duì)應(yīng)用邊界環(huán)境下域間使用改進(jìn)的Kerberos協(xié)議進(jìn)行信息傳輸時(shí)信息在客戶端和應(yīng)用邊界之間存在信息泄露的問題，對(duì)ElGamal代理加密進(jìn)行改進(jìn)，并將改進(jìn)的ElGamal代理加密機(jī)制應(yīng)用到域間信息安全傳輸中，保證了客戶端到應(yīng)用之間全程信息的安全傳輸。 (5)針對(duì)終端平臺(tái)引導(dǎo)階段對(duì)用戶的可信認(rèn)證需求，設(shè)計(jì)并實(shí)現(xiàn)了實(shí)模式下的U-Key驅(qū)動(dòng)。該驅(qū)動(dòng)具有與具體

12、操作系統(tǒng)無關(guān)的特性。針對(duì)U-Key存儲(chǔ)容量小的缺點(diǎn)，設(shè)計(jì)并實(shí)現(xiàn)了既具有大容量，又具有防篡改(Tamper Resistant)特性的USB安全存儲(chǔ)設(shè)備。借鑒cookie技術(shù)，使用USB安全存儲(chǔ)設(shè)備，從而克服了Socksv5協(xié)議中身份認(rèn)證過程存在的冗余缺點(diǎn)，實(shí)現(xiàn)了應(yīng)用邊界的認(rèn)證原型系統(tǒng)。 綜上所述，本文探討了信息系統(tǒng)認(rèn)證體系結(jié)構(gòu)以及相關(guān)的技術(shù)，建立了實(shí)用模型的原型系統(tǒng)，其研究成果為建立具有自主知識(shí)產(chǎn)權(quán)的基于U-Key和安全U盤的認(rèn)