引論：我們?yōu)槟砹?3篇身份認(rèn)證技術(shù)論文范文，供您借鑒以豐富您的創(chuàng)作。它們是您寫作時的寶貴資源，期望它們能夠激發(fā)您的創(chuàng)作靈感，讓您的文章更具深度。

篇1

0 引　言

隨著互聯(lián)網(wǎng)的不斷壯大，越來越多的企業(yè)將自身的應(yīng)用搬上網(wǎng)絡(luò)，它們?yōu)槠髽I(yè)爭取了更多的客戶，把握了更多的商機，獲取了更多的利潤。然而由于現(xiàn)有的應(yīng)用系統(tǒng)開發(fā)模式及結(jié)構(gòu)存在很大差異，這就使得企業(yè)與企業(yè)之間，企業(yè)內(nèi)部部門之間的交互和協(xié)作變得越來越復(fù)雜。隨著Web Services[1]技術(shù)的發(fā)展和廣泛應(yīng)用，其高效集成性、松散松散耦合性和實現(xiàn)簡單等特點使得互操作和集成問題從層次上被簡化。

Web Services是一套標(biāo)準(zhǔn)協(xié)議，它規(guī)定了應(yīng)用程序如何在Web上實現(xiàn)互操作性，你可以使用任何一種編程語言，在任何一種平臺上編寫 Web Services。現(xiàn)在普遍應(yīng)用的是通過HTTP請求發(fā)送SOAP[2] 消息，然后接收HTTP應(yīng)答中包含的消息。由于SOAP消息是通過HTTP方式進行，所以其可以穿越大多數(shù)的防火墻，進行數(shù)據(jù)交換。

對于SOAP消息的機密性和完整性，普遍的做法是使用加密和簽名，采用非對稱秘鑰理論，通過加密來保障消息的機密性，通過簽名來保障消息的完整性;對于完善的用戶身份認(rèn)證機制，PKI[3]系統(tǒng)提供了有力的保障，它能夠為用戶頒發(fā)公私鑰證書，通過公鑰來明確用戶的身份，用戶在發(fā)送了簽名過的SOAP消息時，己經(jīng)表明了自己的身份，也無法抵賴，而且PKI系統(tǒng)與非對稱秘鑰理論完美的結(jié)合，通過私鑰來對消息進行加密，通過公鑰來對消息進行簽名。有效地保障Web Services的安全。

1 WebServices的體系結(jié)構(gòu)

Web Services體系結(jié)構(gòu)是面向?qū)ο蠓治雠c設(shè)計的一種合理發(fā)展，同時也是電子商務(wù)解決方案中，面向體系結(jié)構(gòu)、設(shè)計、實現(xiàn)與部署而采用的組件化的合理選擇。這兩種方式在復(fù)雜的大型系統(tǒng)中經(jīng)受住了考驗。和面向?qū)ο笙到y(tǒng)一樣，封裝、消息傳遞、動態(tài)綁定、服務(wù)描述和查詢也是Web Services中的基本概念，而且， Web Services另外一個基本概念就是:所有東西都是服務(wù)，這些服務(wù)一個API供網(wǎng)絡(luò)中的其他服務(wù)使用，并且封裝了實現(xiàn)細(xì)節(jié)。

Web Services的體系結(jié)構(gòu)是基于Web Services服務(wù)提供者、Web Services服務(wù)請求者、Web Services服務(wù)注冊的不同操作來建立的。具體的Web Services體系結(jié)構(gòu)模型如圖1-1所示。

（1） Web服務(wù)提供者:Web服務(wù)的擁有者，它為其它服務(wù)和用戶提供服務(wù)功能，服務(wù)提供者在實現(xiàn)服務(wù)之后可以服務(wù)，并且響應(yīng)對于服務(wù)的調(diào)用請求；

（2） Web服務(wù)請求者:Web服務(wù)的使用者，它可以利用服務(wù)注冊查找服務(wù)；

（3） Web服務(wù)注冊:它的作用是將服務(wù)請求者與合適的服務(wù)提供者綁定在一起；

這三種不同的角色通過(publish )、查找(find )、綁定( bind )三種操作提供完整的Web Services功能。論文參考。Web Services是由服務(wù)描述所表達的接口，其接口的實現(xiàn)即為服務(wù)。服務(wù)和服務(wù)描述是支持Web服務(wù)的基本工件。服務(wù)在本質(zhì)上是軟件模塊，它由服務(wù)提供者提供，部署在網(wǎng)絡(luò)可訪問的平臺上。[4]

圖1-1 Web Services體系結(jié)構(gòu)示意圖

2基于PKI的Web Services安全模型設(shè)計

2.1 整體框架圖

Web Services在異構(gòu)的分布式的環(huán)境下，對客戶的身份認(rèn)證就比較困難，當(dāng)你去調(diào)用一個企業(yè)的Web Services時，這個企業(yè)Web Services可能又會去調(diào)用另一個企業(yè)Web Services如何在這種跨域的環(huán)境下實現(xiàn)Web Services的身份認(rèn)證，

PKI公鑰基礎(chǔ)設(shè)施能夠使計算機用戶在無需事先協(xié)商的情況下，互相驗證對方的身份[5]，這對于Web Services下的身份認(rèn)證提供了解決方法。我們的Web Services身份認(rèn)證模型就是基于PKI完成的，如圖2-1所示。客戶端和服務(wù)器端都通過PKI系統(tǒng)來獲取對方的公鑰證書，通過PKI系統(tǒng)來檢驗公鑰證書的有效性，并通過公鑰證書來驗證對方的身份。

圖2-1基于PKI的Web Services身份認(rèn)證模型

2.2系統(tǒng)設(shè)計

下面我們來具體介紹一下基于PKI的Web Services身份認(rèn)證模型的運行流程。首先，我們做一些假設(shè):

符號C表示W(wǎng)eb Services的客戶端；符號S表示W(wǎng)eb Services的服務(wù)器端；符號M表示明文的SOAP消息；符號Dx(M)表示使用用戶x的私鑰對SOAP消息進行簽名后的結(jié)果；符號Ex(M)表示使用用戶x的公鑰對SOAP消息進行加密后的結(jié)果。我們的Web Services身份認(rèn)證流程是這樣的:首先，我們的Web Services身份認(rèn)證模型捕獲客戶端的SOAP請求消息M;接著，我們從PKI系統(tǒng)中獲取服務(wù)器端的公鑰Es，并用服務(wù)器端的公鑰對SOAP消息進行加密，得到加密后的SOAP消息，Es(M);然后，我們使用客戶端的私鑰Dc，對SOAP消息進行簽名，得到簽名后的SOAP消息，Dc(Es(M));最后，我們將加密和簽名的SOAP消息發(fā)送到Internet上。如圖2-2所示。

圖2-2發(fā)送SOAP請求消息

而在服務(wù)器端，我們的Web Services身份認(rèn)證模型接收到客戶短發(fā)送過來的加密、簽名過的SOAP消息。首先，我們?nèi)KI系統(tǒng)獲取客戶端的公鑰Ec，并用客戶端的公鑰對SOAP消息進行簽名驗證，確認(rèn)這個SOAP消息確實是這個客戶發(fā)送過來的，并得到SOAP消息Ec(Dc（Es(M))） =Es(M);接著，我們使用服務(wù)器端的私鑰Ds，對SOAP消息進行解密，得到明文SOAP消息Ds(Es(M))=M，最后，我們把這個明文SOAP消息發(fā)送給Web Services服務(wù)器，由Web Services服務(wù)器進行處理。如圖2-3所示。同樣地，如果需要的話，我們可以對Web Services處理過的SOAP應(yīng)答消息做同樣地安全處理。論文參考。

圖2-3接收SOAP請求消息

3 結(jié)束語

隨著Web Services的廣泛使用，其明文傳輸消息的缺點制約了Web Services在企業(yè)級應(yīng)用中的發(fā)展。論文參考。作為企業(yè)應(yīng)用，必須保證的安全性有:消息的機密性，完整性，身份認(rèn)證和權(quán)限控制，企業(yè)級的Web Services應(yīng)用也必須要滿足以上四點安全保障。而PKI是目前公認(rèn)的解決大規(guī)模、分布式開放網(wǎng)絡(luò)環(huán)境下信息安全問題最可行、有效的方法, 利用PKI技術(shù)可以方便地建立和維護一個可信的網(wǎng)絡(luò)計算環(huán)境，保證Web Services有效、安全地進行。

參考文獻:

[1] 胡方霞，曾一，高旻.Web Services 技術(shù)應(yīng)用與探討[J].計算機科學(xué),2007,43(3):75-77.

[2] Pullen M J, Bruntlon R.Using Web services to integrate heterogeneous simulations in a gridenvironment[J]. Future Generation Computer Systems, 2004(9):98一99.

[3] Stefanos GritzalisPublic key infrastructure research and applications[ J].International Journal of Information Security Archive, 2006,5(1):1-2

[4] Bret Hartman，Donald J.Filnn.楊碩譯.全面掌握Web服務(wù)安全性.清華大學(xué)出版社.2004

篇2

Authentication Technology Research Overview

Zhang Yao

(Harbin Normal University,Computer Science and Information Engineering College,Harbin150025,China)

Abstract:Authentication technology is capable of sending and receiving side of information technology to identify the true identity,is to identify,verify that the network information system in the legitimacy and authenticity of the user identity,according to mandate access to system resources,and shut out illegal visitors.This article discusses the field of information security authentication technology status and development trend,for further improving the work has a certain theoretical significance.

Keywords:Information security;Authentication;Biometrics;

Combination of certification;Solutions;Performance analysis

網(wǎng)絡(luò)認(rèn)證技術(shù)是網(wǎng)絡(luò)安全技術(shù)的重要組成部分之一。認(rèn)證指的是證實被認(rèn)證對象是否屬實和是否有效的一個過程，常常被用于通信雙方互相確認(rèn)身份，以保證通信的安全。認(rèn)證技術(shù)一般包括兩個方面的內(nèi)容，分別是身份認(rèn)證和信息認(rèn)證。身份認(rèn)證主要是通過對用戶身份的鑒別來實現(xiàn)對用戶權(quán)限的識別，限制低權(quán)限或者非法用戶的入侵。信息認(rèn)證主要是用于驗證信息是否完整。本論文的研究主要偏重于對身份認(rèn)證技術(shù)及其分析。主要側(cè)重以下幾個方面做分析。

一、身份認(rèn)證的方法分析

身份認(rèn)證主要是通過分析被認(rèn)證者的身份、權(quán)限等相關(guān)的信息。除了認(rèn)證者本人，任何其他人都無法進行仿造或者偽造身份。如果經(jīng)過認(rèn)證，被認(rèn)證者擁有相關(guān)的權(quán)限和秘密，那么他就獲得了認(rèn)證。身份認(rèn)證的主要依據(jù)就是被認(rèn)證方用于證明身份所用有的秘密。每個被認(rèn)證者所擁有的身份認(rèn)證秘密不同。常見的身份認(rèn)證有兩種，第一種是基于物理安全性的身份認(rèn)證方法。第二種是基于秘密信息的身份認(rèn)證方法。

（一） 基于物理安全的身份認(rèn)證方法

不同的身份認(rèn)證方法基于不同的理論，但這些認(rèn)證方法的共同點就是依據(jù)用戶知道的秘密信息。和這種認(rèn)證方法相對照，另外一種利用用戶的特殊信息或者硬件信息來進行身份認(rèn)證的。比如說從生物學(xué)角度考慮，利用聲音識別進行身份驗證，利用指紋進行身份驗證，利用人眼的虹膜進行身份驗證等。從硬件的角度考慮，常用的認(rèn)證方法有通過智能卡來進行驗證，只有認(rèn)證者擁有正確的卡，才可以被認(rèn)證。當(dāng)然，這種方法也有優(yōu)缺點，這種智能卡可以有效的阻止和避免人為亂猜口令導(dǎo)致的密碼被破解，但也存在著只認(rèn)卡不認(rèn)人的缺陷，一旦智能卡因丟失被其他人撿到，則很容易被盜取身份。為防止出現(xiàn)這種情況，現(xiàn)在一般采用智能卡和口令結(jié)合的方式，比如現(xiàn)在最常用的銀行卡就是這種。

（二）基于秘密信息的身份認(rèn)證方法

常見的有以下幾個方式：

1.通過進行用戶口令認(rèn)證來核對身份信息，在剛建立系統(tǒng)的時候，系統(tǒng)已經(jīng)預(yù)先為具有合法權(quán)限的用戶設(shè)定了用戶口令和密碼。當(dāng)用戶通過登錄界面登錄時，登錄界面顯示用戶名和密碼輸入。客戶輸入用戶名和密碼以后，系統(tǒng)會對輸入的賬戶和密碼與系統(tǒng)原有的密碼進行核對如果完全一致，則認(rèn)為是合法用戶，用戶身份得到認(rèn)證。否則，就提示賬戶名或者密碼錯誤。用戶身份得不到認(rèn)證。

2.單項認(rèn)證，所謂單項認(rèn)證，就是進行通信的雙方中，只有一方需要進行身份認(rèn)證。上面所闡述的口令核對法本質(zhì)上也是一種單項認(rèn)證。只是這種認(rèn)證方法還比較低級，沒有進行相應(yīng)的密鑰分發(fā)操作。常見的涉及到密鑰分發(fā)操作的認(rèn)證方案有兩類。分別是對稱密鑰加密方案和非對稱密鑰加密方案。對稱密鑰加密方案是指依靠第三方來進行認(rèn)證，第三方就是一個統(tǒng)一的密鑰分發(fā)中心。通信雙方的密鑰分發(fā)和身份認(rèn)證都要通過第三方來實現(xiàn)。另一種沒有第三方參與的加密體制成為非對稱密鑰加密體制。

3.雙向認(rèn)證。雙向認(rèn)證，是指需要通信雙方相互認(rèn)證才可以實現(xiàn)雙方通信，通信雙方必須相互鑒別彼此的身份，并且經(jīng)雙方驗證正確以后，才可以實現(xiàn)雙方的通信。在雙向認(rèn)證中，最典型的就是Needham/Schroeder協(xié)議。

[1]Needham/Schroeder Protocol[1978]

AKDC：IDA||IDB||N1

KDCA：EKa[Ks||IDB||N1||EKb[Ks||IDA]]

AB：EKb[Ks||IDA]

BA：EKs[N2]

AB：EKs[f（N2）]

（其中f（N2）為N2的某一個函數(shù)，其他符號約定同上。）

4.身份的零知識證明通常在進行身份認(rèn)證時，需要進行身份信息或者口令的傳輸。要想不傳輸這些信息就可以進行身份認(rèn)證，就需要采用身份的零知識證明技術(shù)。所謂零知識證明就是指在進行用戶身份認(rèn)證時，不需要傳輸相關(guān)的信息。這種認(rèn)證機制就是當(dāng)被認(rèn)證的甲方為了讓認(rèn)證方乙方確信自己的身份和權(quán)限但同時又不讓乙方得到自己的秘密信息而采用的一種機制。這種認(rèn)證方法可以非常有效的防治第三方竊取信息。

二、身份認(rèn)證的應(yīng)用

（一）Kerberos認(rèn)證服務(wù)

Kerberos是一種基于Needham和Schroeder[1978]模型的第三方認(rèn)證服務(wù)Kerberos可信任的第三方就是Kerberos認(rèn)證服務(wù)器。它通過把網(wǎng)絡(luò)劃分成不同的安全區(qū)域，并且在每個區(qū)域設(shè)立自己的安全服務(wù)器來實現(xiàn)相應(yīng)的安全策略。在這些區(qū)域的認(rèn)證具體實現(xiàn)過程如下：Kerberos通過向客戶和服務(wù)提供票和通信雙方的對話密鑰來證明自己的身份權(quán)限。其中Kerberos認(rèn)證服務(wù)器負(fù)責(zé)簽發(fā)初始票，也就是客戶第一次得到的票。其他票都是由發(fā)票服務(wù)器負(fù)責(zé)簽發(fā)。同一個票可以在該票過期之前反復(fù)使用。當(dāng)客戶需要讓服務(wù)方提供服務(wù)的時候，不但要自己生成僅可以使用一次的證，而且需要向服務(wù)方發(fā)送由發(fā)票服務(wù)器分發(fā)的。這兩個需要同時發(fā)送。

（二）HTTP中的身份認(rèn)證

HTTP中的身份認(rèn)證現(xiàn)在主要由三個常用的版本。分別是HTTP協(xié)議目前已經(jīng)有了三個版本HTTP0.9、HTTP 1.0和HTTP 1.1，其中HTTP 0.9功能簡單，主要用來實現(xiàn)最基本的請求協(xié)議和回答協(xié)議。HTTP 1.0是目前應(yīng)用比較廣泛的一個版本，它的功能相對來說非常完善。而且，通過Web服務(wù)器，就可以實現(xiàn)身份認(rèn)證來實現(xiàn)訪問和控制。如果用戶向某個頁面發(fā)出請求或者運行某個CGI程序時，將會有訪問控制文件告訴用戶哪些可以訪問，哪些不可以訪問，訪問對象文件通常存在于訪問對象所在的目錄下面的。通過服務(wù)器讀取訪問控制文件，從而獲得相應(yīng)的訪問控制信息。并且要求客戶通過輸入用戶名和口令進行身份驗證。通過訪問控制文件，Web服務(wù)器獲得相應(yīng)的控制信息，用戶根據(jù)要求輸入用戶名和口令，如果經(jīng)過編碼并且驗證以后，如果身份合法，服務(wù)方才發(fā)送回所請求的頁面或執(zhí)行CGI程序。HTTP 1.1新增加的很多的報頭域。如果進行身份認(rèn)證，不是以明文的方式進行傳遞口令，而是把口令進行散列變換，把口令轉(zhuǎn)化以后對它的摘要進行傳送。通過這種認(rèn)證機制，可以避免攻擊者通過某種攻擊手段來獲取口令。即使經(jīng)過多次攻擊，也無法進行破譯。即使是這樣，仍然不能保證摘要認(rèn)證的足夠安全。和普通的認(rèn)證方法一樣，這種方法也可能受到中間者的攻擊。要想更進一步確保口令安全，最好就是把HTTP的安全認(rèn)證方式與Kerberos服務(wù)方式充分結(jié)合起來。

（三）IP中的身份認(rèn)證

IP中的身份認(rèn)證IP協(xié)議出于網(wǎng)絡(luò)層，因此不能獲取更高層的信息，IP中的身份認(rèn)證無法通過基于用戶的身份認(rèn)證來實現(xiàn)。主要是通過用戶所在IP地址的身份認(rèn)證來實現(xiàn)。IP層的認(rèn)證機構(gòu)既要確保信息在傳遞過程中的數(shù)據(jù)完整性，又要確保通過數(shù)據(jù)組抱頭傳遞的信息的安全性。IPSec就是IP安全協(xié)議的簡稱，主要功能就是維護網(wǎng)絡(luò)層的安全和網(wǎng)絡(luò)成以下層的安全。通常情況下，它提供兩種安全機制。第一種是認(rèn)證機制，通過這種認(rèn)證機制，可以確保數(shù)據(jù)接收方能夠識別發(fā)送方的身份是否合法。而且還可以發(fā)現(xiàn)信息在傳輸過程中是否被惡意篡改；第二種是加密機制，通過對傳輸數(shù)據(jù)進行數(shù)據(jù)編碼來實現(xiàn)數(shù)據(jù)的加密機制。從而可以保證在信息的傳遞過程中，不會被他人竊取。IPSec的認(rèn)證報頭（Authentication Header AH）協(xié)議定義了認(rèn)證的應(yīng)用方法，封裝安全負(fù)載（Encapsu-lating Security Payload，ESP）協(xié)議定義了加密和可選認(rèn)證的應(yīng)用方法。應(yīng)用到具體的通信中去，需要根據(jù)實際情況選擇不同的加密機制和加密手段。AH和ESP都可以提供認(rèn)證服務(wù)，相比較而言，AH提供的認(rèn)證服務(wù)要強于ESP。

三、身份認(rèn)證技術(shù)討論

身份認(rèn)證技術(shù)討論，在前面幾部分內(nèi)容中，對身份認(rèn)證技術(shù)進行了理論分析和總結(jié)，并對他們的原理、機制和優(yōu)缺點進行了比較。這里將根據(jù)自己的理解，深入考慮通過其他途徑來實現(xiàn)身份認(rèn)證。數(shù)字簽名首先要保證身份驗證者信息的真實性，就是要確保信息不能偽造，這種方法非常類似于身份認(rèn)證。身份認(rèn)證的主要目的是要確保被認(rèn)證者的身份和權(quán)限符合。因此，這里考慮通過數(shù)字簽名來實現(xiàn)身份認(rèn)證。這里的技術(shù)難點就是必須要預(yù)先進行分發(fā)密鑰。如果不能提前進行密鑰分發(fā)，就不可能實現(xiàn)數(shù)字簽名。綜上可以看出，身份認(rèn)證在整個安全要求中是首先要解決的技術(shù)問題。

參考文獻：

[1]William Stallings,孟慶樹等.密碼編碼學(xué)與網(wǎng)絡(luò)安全――原理與實踐(第四版)[M].電子工業(yè)出版社,2006,11

[2]袁德明.計算機網(wǎng)絡(luò)安全[M].電子工業(yè)出版社,2007,6

[3]楊英鵬.計算機網(wǎng)絡(luò)原理與實踐[M].電子工業(yè)出版社,2007,9

篇3

SSL 是Security Socket Layer 的縮寫，稱為安全套接字，該協(xié)議是由Netscape 公司設(shè)計開發(fā)。使用SSL 可以對通訊內(nèi)容進行加密，以防止監(jiān)聽通訊內(nèi)容，主要用于提高應(yīng)用程序之間的數(shù)據(jù)的傳輸安全。SSL協(xié)議分為三個子協(xié)議：

（1）握手協(xié)議，用于協(xié)商客戶端和服務(wù)器之間會話的安全參數(shù)，完成客戶端和服務(wù)器的認(rèn)證。

（2）記錄協(xié)議，用于交換應(yīng)用數(shù)據(jù)，所有的傳輸數(shù)據(jù)都被封裝在記錄中，主要完成分組和組合，壓縮和解壓縮，以及消息認(rèn)證和加密等功能。

（3）警告協(xié)議：用來為對等實體傳遞SSL的相關(guān)警告。

SSL協(xié)議的實現(xiàn)有Netscape開發(fā)的商用SSL包，還有在業(yè)界產(chǎn)生巨大影響的Open SSL軟件包。目前在國內(nèi)的金融系統(tǒng)中，廣泛使用OPENSSL軟件包進行應(yīng)用開發(fā)。

網(wǎng)上銀行因為考慮易用性，大部分采用單向SSL認(rèn)證.單向認(rèn)證 SSL 協(xié)議不需要客戶擁有 CA 證書。X509數(shù)字證書是SSL的重要環(huán)節(jié)，CA證書的任務(wù)就是確保客戶和服務(wù)器之間的會話，并且保證使用的密鑰是正確的。缺少了這個重要的環(huán)節(jié)，SSL中間人攻擊也就難免了。

現(xiàn)在的網(wǎng)上銀行因為考慮易用性，大部分采用單向SSL認(rèn)證，這正是SSL中間人攻擊的理論依據(jù)。

對于SSL中間人攻擊，以CAIN工具軟件為例：

首先在SNIFFER窗口中進行一次本網(wǎng)段的掃描探測

很快找到所有當(dāng)前跟在同一網(wǎng)段內(nèi)的活動主機IP地址與其MAC地址的對應(yīng)關(guān)系。今天我們要欺騙演示的實驗對象是192.168.121.199，這是另一臺的筆記本電腦IP地址。

獲取到IP地址與MAC地址的對應(yīng)關(guān)系后，繼續(xù)到ARP的子窗口中，選擇添加欺騙主機在窗口左邊選中當(dāng)前網(wǎng)絡(luò)的網(wǎng)關(guān)IP地址就是192.168.121.129，窗口右邊選中我們要欺騙的IP地址192.168.121.199，選中后直接確定生效。畢業(yè)論文，SSL協(xié)議。畢業(yè)論文，SSL協(xié)議。

然后在ARP-HTTPS的選擇樹中添加一個當(dāng)前我們需要偽裝的HTTPS站點，選擇確定后CAIN會自動把這個站點的證書文件下載回來備用。畢業(yè)論文，SSL協(xié)議。

一切準(zhǔn)備就緒后，就可以點擊CAIN工具欄中的ARP模式開始工作了。畢業(yè)論文，SSL協(xié)議。CAIN軟件在后臺采用第一章的ARP欺騙攻擊的方式將被欺騙主機與 HTTPS網(wǎng)站間的通訊切斷，在中間插入我們偽造的證書給被欺騙主機，同時偽裝成為中間人代替它與HTTPS站點通訊。CAIN在其中把所有的通訊數(shù)據(jù)包 進行加密解密再加密傳遞的過程，當(dāng)然所有原始的訪問行為在這一過程中都被我們獲取到了。

對于被欺騙主機在實際打開IE訪問中，感覺不到任何異常本地顯示依然是安全的SSL128位加密，只是不知道所有的訪問行為在CAIN中都可以VIEW的方式來查看到了。

在VIEW的窗口中我們可以查看到所有通訊的訪問原始記錄，包括此臺筆記本的登陸帳號與口令信息。

網(wǎng)上銀行存在的攻擊風(fēng)險歸其原因是SSL協(xié)議使用不健全導(dǎo)致，安全的解決方案建立以PKI技術(shù)為基礎(chǔ)的CA認(rèn)證系統(tǒng)，加入已經(jīng)在運行的可靠的CA。 CA體系建立或加入時，通過對網(wǎng)上交易系統(tǒng)的二次開發(fā)，將數(shù)字證書認(rèn)證功能嵌入到整個網(wǎng)上交易過程中去，這將實現(xiàn)基于數(shù)字證書的身份認(rèn)證、通信安全、數(shù)據(jù)安全和交易安全。

篇4

網(wǎng)絡(luò)環(huán)境的復(fù)雜性、多變性以及信息系統(tǒng)的脆弱性，決定了網(wǎng)絡(luò)安全威脅的客觀存在。當(dāng)前，隨著計算機技術(shù)的飛速發(fā)展，利用因特網(wǎng)高科技手段進行經(jīng)濟商業(yè)犯罪的現(xiàn)象已經(jīng)屢見不鮮了，因此，如何采用更加安全的數(shù)據(jù)保護及加密技術(shù)，成為當(dāng)前計算機工作者的研究熱點與重點。網(wǎng)絡(luò)安全技術(shù)，尤其是網(wǎng)絡(luò)信息的安全，關(guān)系到網(wǎng)民、企業(yè)甚至是國家的信息安全。因此，發(fā)展更加安全的網(wǎng)絡(luò)安全技術(shù)，是關(guān)系到社會經(jīng)濟穩(wěn)定繁榮發(fā)展的關(guān)鍵，成為當(dāng)前計算機安全工作的重點。

2．網(wǎng)絡(luò)信息安全的風(fēng)險來源

影響計算機網(wǎng)絡(luò)安全的因索很多，既有自然因素，也有人為因素，其中人為因素危害較大，歸結(jié)起來豐要以下幾個方面：

(1)病毒感染

從“蠕蟲”病毒開始到cih、愛蟲病毒，病毒一直是計算機系統(tǒng)安全最直接的威脅。病毒依靠網(wǎng)絡(luò)迅速傳播，它很容易地通過服務(wù)器以軟件下載、郵件接收等方式進入網(wǎng)絡(luò)，竊取網(wǎng)絡(luò)信息，造成很人的損失。

(2)來自網(wǎng)絡(luò)外部的攻擊

這是指來自局域網(wǎng)外部的惡意攻擊，例如：有選擇地破壞網(wǎng)絡(luò)信息的有效性和完整性；偽裝為合法用戶進入網(wǎng)絡(luò)并占用大量資源；修改網(wǎng)絡(luò)數(shù)據(jù)、竊取、破譯機密信息、破壞軟件執(zhí)行；在中間站點攔截和讀取絕密信息等。

（3)來自網(wǎng)絡(luò)內(nèi)部的攻擊

在局域網(wǎng)內(nèi)部，一些非法用戶冒用合法用戶的口令以合法身份登陸網(wǎng)站后。竊取機密信息，破壞信息內(nèi)容，造成應(yīng)用系統(tǒng)無法運行。

（4)系統(tǒng)的漏洞及“后門”

操作系統(tǒng)及網(wǎng)絡(luò)軟件不可能是百分之百的無缺陷、無漏洞的。編程人員有時會在軟件中留有漏洞。一旦這個疏漏被不法分子所知，就會借這個薄弱環(huán)節(jié)對整個網(wǎng)絡(luò)系統(tǒng)進行攻擊，大部分的黑客入侵網(wǎng)絡(luò)事件就是由系統(tǒng)的“漏洞” 和“后門”所造成的。

3．網(wǎng)絡(luò)信息安全的防護策略

現(xiàn)在網(wǎng)絡(luò)信息安全的防護措施必不可少。從技術(shù)上來說，計算機網(wǎng)絡(luò)安全主要由防病毒、入侵檢測等多個安全組件組成，就此對我們常用的幾項防護技術(shù)分別進行分析。

3．1防火墻技術(shù)

防火墻(ifrewal1)是指設(shè)置在不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間的系列部件的組合，它越來越多地應(yīng)用于專用網(wǎng)絡(luò)與公用網(wǎng)絡(luò)的互聯(lián)環(huán)境之中，尤其以接入internet網(wǎng)絡(luò)為甚。不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安拿域之間信息都會經(jīng)過它的過濾，防火墻就會根據(jù)自身的安全政策控制(允許、拒絕、監(jiān)測)出入網(wǎng)絡(luò)的信息流，而且它本身也具有較強的抗攻擊能力，不會被病毒控制。防火墻可以阻j網(wǎng)絡(luò)中的黑客來訪問你的機器，防止他們篡改、拷貝、毀壞你的重要信息。它為網(wǎng)絡(luò)信息的安全提供了很好的服務(wù)，為我們更安全地使用網(wǎng)絡(luò)提供了很好的保障。

“防火墻”技術(shù)是指假設(shè)被保護網(wǎng)絡(luò)具有明確定義的邊界和服務(wù)而采取的一種安全保障技術(shù)，它通過監(jiān)測、限制和更改通過“防火墻”的數(shù)據(jù)流，一方面盡可能地對外部網(wǎng)絡(luò)屏蔽被保護網(wǎng)絡(luò)的信息、結(jié)構(gòu)，實現(xiàn)對內(nèi)部網(wǎng)絡(luò)的保護，以防“人放火”；另一方面對內(nèi)屏蔽外部某些危險站點，防止“引火燒身”。因而，比較適合于相對獨立、與外部網(wǎng)絡(luò)互聯(lián)單一、明確并且網(wǎng)絡(luò)服務(wù)種類相對集中的統(tǒng)一互聯(lián)網(wǎng)絡(luò)系統(tǒng)。防火墻可對網(wǎng)絡(luò)存取和訪問進行監(jiān)控審計，如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并做出日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù)。

通過利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分，可實現(xiàn)內(nèi)部網(wǎng)重點網(wǎng)段的隔離，從而限制了局部重點或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。除了安全作用，有的防火墻還支持具有internet服務(wù)特性的企業(yè)內(nèi)部網(wǎng)絡(luò)技術(shù)體系vpn。vpn，可以將分部在世界各地的lan或?qū)Ｓ秒娮泳W(wǎng)有機地聯(lián)成一個整體。這樣一方面省去了專用通信線路，也達到了信息共享的目的。

3．2數(shù)據(jù)加密技術(shù)

數(shù)據(jù)加密技術(shù)是網(wǎng)絡(luò)中最藎木的安傘技術(shù)，主要是通過對網(wǎng)絡(luò)傳輸?shù)男畔⑦M行數(shù)據(jù)加密來保障其安全性。加密是對網(wǎng)絡(luò)上傳輸數(shù)據(jù)的訪問權(quán)加強限制的一種技術(shù)。原始數(shù)據(jù)(也稱為明文，plaintext)被加密設(shè)備(硬件或軟件)和密鑰加密而產(chǎn)生的經(jīng)過編碼的數(shù)據(jù)稱為密文(ciphertext)。解密是加密的反向處理，是將密文還原為原始明文，但解秘者必須利用相同類型的加密設(shè)備和密鑰，才能對密文進行解密。

3．3入侵檢測技術(shù)

入侵檢測系統(tǒng)(intrusiondetectionsystem，ids)是從多種計算機系統(tǒng)及網(wǎng)絡(luò)系統(tǒng)中收集信息，再通過這些信息分析，對計算機和網(wǎng)絡(luò)資源的惡意使用行為進行識別的網(wǎng)絡(luò)信息安全系統(tǒng)。入侵檢測系統(tǒng)具有多方面的功能：威懾、檢測、響應(yīng)、損失情況評估、攻擊預(yù)測和起訴支持等。入侵檢測技術(shù)是為保證計算機信息系統(tǒng)安全而設(shè)計與配置的一種能夠及時發(fā)現(xiàn)并報告系統(tǒng)中朱授權(quán)或異常現(xiàn)象的技術(shù)，是一種用于檢測計算機網(wǎng)絡(luò)中違反安全策略行為的技術(shù)。

3．4病毒防護

可采用如下的方法或措施：

(1)合理設(shè)置殺毒軟什，如果安裝的殺毒軟什具備掃描電郵件的功能，盡量將這些功能傘部打開；

（2)定期檢查敏感文件；

(3)采取必要的病毒檢測和監(jiān)控措施；

(4)對新購的硬盤、軟盤、軟件等資源，使用前應(yīng)先用病毒測試軟件檢查已知病毒，硬盤可以使用低級格式化(dos中的format格式化可以去抻軟盤中的病毒，但不能清除硬盤引導(dǎo)的病毒)；

（5)慎重對待郵件附件，如果收到郵件中有可執(zhí)行文件(如．exe、．com等)或者帶有“宏”的文殺一遍，確認(rèn)沒有病毒后再打開；

（6)及時升級郵件程序和操作系統(tǒng)，以修補所有已知的安全漏洞。

3．5身份認(rèn)證技術(shù)

身份認(rèn)證(authentication)是系統(tǒng)核查用戶身份證明的過程，其實質(zhì)是查明用戶是否具仃它所請求資源的存儲使用權(quán)。身份識別(identificaiion)是指用戶向系統(tǒng)出示自己的身份證明的過程。這兩項上作通常被稱為身份認(rèn)證。

身份認(rèn)證至少應(yīng)包括驗證協(xié)議和授權(quán)協(xié)議。網(wǎng)絡(luò)中的各種應(yīng)用和計算機系統(tǒng)都需要通過身份認(rèn)證來確認(rèn)合法性，然后確定它的個人數(shù)據(jù)和特定權(quán)限。對于身份認(rèn)證系統(tǒng)來說，合法用戶的身份是否易于被別人冒充足它最重要的技術(shù)指標(biāo)。用戶身份被冒充不儀可能損害用戶自身的利益，也可能損害其他用戶的利益或整個系統(tǒng)。因此，身份認(rèn)證是授權(quán)控制的基礎(chǔ)。只有有效的身份認(rèn)證，才能保證訪問控制、安全審計、入侵防范等安全機制的有效實施。

篇5

一、電子商務(wù)中的信息安全技術(shù)

電子商務(wù)的信息安全在很大程度上依賴于技術(shù)的完善,包括密碼、鑒別、訪問控制、信息流控制、數(shù)據(jù)保護、軟件保護、病毒檢測及清除、內(nèi)容分類識別和過濾、網(wǎng)絡(luò)隱患掃描、系統(tǒng)安全監(jiān)測報警與審計等技術(shù)。

1.防火墻技術(shù)。防火墻主要是加強網(wǎng)絡(luò)之間的訪問控制, 防止外部網(wǎng)絡(luò)用戶以非法手段通過外部網(wǎng)絡(luò)進入內(nèi)部網(wǎng)絡(luò)。

2.加密技術(shù)。數(shù)據(jù)加密就是按照確定的密碼算法將敏感的明文數(shù)據(jù)變換成難以識別的密文數(shù)據(jù),當(dāng)需要時可使用不同的密鑰將密文數(shù)據(jù)還原成明文數(shù)據(jù)。

3.數(shù)字簽名技術(shù)。數(shù)字簽名技術(shù)是將摘要用發(fā)送者的私鑰加密,與原文一起傳送給接收者,接收者只有用發(fā)送者的公鑰才能解密被加密的摘要。

4.數(shù)字時間戳技術(shù)。時間戳是一個經(jīng)加密后形成的憑證文檔，包括需加時間戳的文件的摘要、dts 收到文件的日期與時間和dis 數(shù)字簽名，用戶首先將需要加時間的文件用hash編碼加密形成摘要，然后將該摘要發(fā)送到dts，dts 在加入了收到文件摘要的日期和時間信息后再對該文件加密,然后送回用戶。

二、電子商務(wù)安全防范措施

網(wǎng)絡(luò)安全是電子商務(wù)的基礎(chǔ)。網(wǎng)絡(luò)安全防范技術(shù)可以從數(shù)據(jù)的加密(解密)算法、安全的網(wǎng)絡(luò)協(xié)議、網(wǎng)絡(luò)防火墻、完善的安全管理制度、硬件的加密和物理保護、安全監(jiān)聽系統(tǒng)和防病毒軟件等領(lǐng)域來進行考慮和完善。

1.防火墻技術(shù)

用過internet,企業(yè)可以從異地取回重要數(shù)據(jù),同時又要面對 internet 帶來的數(shù)據(jù)安全的新挑戰(zhàn)和新危險:即客戶、推銷商、移動用戶、異地員工和內(nèi)部員工的安全訪問;以及保護企業(yè)的機密信息不受黑客和工業(yè)間諜的入侵。因此,企業(yè)必須加筑安全的“壕溝”,而這個“壕溝”就是防火墻.防火墻系統(tǒng)決定了哪些內(nèi)容服務(wù)可以被外界訪問;外界的哪些人可以訪問內(nèi)部的服務(wù)以及哪些外部服務(wù)可以被內(nèi)部人員訪問。防火墻必須只允許授權(quán)的數(shù)據(jù)通過，而且防火墻本身必須能夠免于滲透。

2. vpn技術(shù)

虛擬專用網(wǎng)簡稱vpn,指將物理上分布在不同地點的網(wǎng)絡(luò)通過公用骨干網(wǎng)聯(lián)接而形成邏輯上的虛擬“私”網(wǎng),依靠ips或 nsp在安全隧道、用戶認(rèn)證和訪問控制等相關(guān)技術(shù)的控制下達到與專用網(wǎng)絡(luò)類同的安全性能,從而實現(xiàn)基于 internet 安全傳輸重要信息的效應(yīng)。目前vpn 主要采用四項技術(shù)來保證安全, 這四項技術(shù)分別是隧道技術(shù)、加解密技術(shù)、密鑰管理技術(shù)、使用者與設(shè)備身份認(rèn)證技術(shù)。

3.數(shù)字簽名技術(shù)

為了保證數(shù)據(jù)和交易的安全、防止欺騙,確認(rèn)交易雙方的真實身份,電子商務(wù)必須采用加密技術(shù)。數(shù)字簽名就是基于加密技術(shù)的,它的作用就是用來確定用戶是否是真實的。數(shù)字簽名就是通過一個單向哈希函數(shù)對要傳送的報文進行處理而得到的用以認(rèn)證報文是否發(fā)生改變的一個字母數(shù)字串。發(fā)送者用自己的私鑰把數(shù)據(jù)加密后傳送給接收者,接收者用發(fā)送者的公鑰解開數(shù)據(jù)后,就可確認(rèn)消息來自于誰,同時也是對發(fā)送者發(fā)送的信息真實性的一個證明,發(fā)送者對所發(fā)信息不可抵賴,從而實現(xiàn)信息的有效性和不可否認(rèn)性。

三、電子商務(wù)的安全認(rèn)證體系

隨著計算機的發(fā)展和社會的進步,通過網(wǎng)絡(luò)進行的電子商務(wù)活動當(dāng)今社會越來越頻繁,身份認(rèn)證是一個不得不解決的重要問題,它將直接關(guān)系到電子商務(wù)活動能否高效而有序地進行。認(rèn)證體系在電子商務(wù)中至關(guān)重要,它是用戶獲得訪問權(quán)限的關(guān)鍵步驟。現(xiàn)代密碼的兩個最重要的分支就是加密和認(rèn)證。加密目的就是防止敵方獲得機密信息。認(rèn)證則是為了防止敵方的主動攻擊,包括驗證信息真?zhèn)渭胺乐剐畔⒃谕ㄐ胚^程被篡改刪除、插入、偽造及重放等。認(rèn)證主要包括三個方面:消息認(rèn)證、身份認(rèn)證和數(shù)字簽名。

身份認(rèn)證一般是通過對被認(rèn)證對象(人或事)的一個或多個參數(shù)進行驗證。從而確定被認(rèn)證對象是否名實相符或有效。這要求要驗證的參數(shù)與被認(rèn)證對象之間應(yīng)存在嚴(yán)格的對應(yīng)關(guān)系,最好是惟一對應(yīng)的。身份認(rèn)證是安全系統(tǒng)中的第一道關(guān)卡。

數(shù)字證書是在互聯(lián)網(wǎng)通信中標(biāo)志通信各方身份信息的一系列數(shù)據(jù)。提供了一種 internet 上驗證用戶身份的方式,其作用類似于司機的駕駛執(zhí)照或身份證。它是由一個權(quán)威機構(gòu)ca機構(gòu),又稱為證書授權(quán)(certificate authority)中心發(fā)行的,人們可以在網(wǎng)上用它識別彼此的身份。

四、結(jié)束語

安全實際上就是一種風(fēng)險管理。任何技術(shù)手段都不能保證100%的安全。但是,安全技術(shù)可以降低系統(tǒng)遭到破壞、攻擊的風(fēng)險。因此,為進一步促進電子商務(wù)體系的完善和行業(yè)的健康快速發(fā)展,必須在實際運用中解決電子商務(wù)中出現(xiàn)的各類問題,使電子商務(wù)系統(tǒng)相對更安全。電子商務(wù)的安全運行必須從多方面入手,僅在技術(shù)角度防范是遠(yuǎn)遠(yuǎn)不夠的,還必須完善電子商務(wù)立法,以規(guī)范飛速發(fā)展的電子商務(wù)現(xiàn)實中存在的各類問題,從而引導(dǎo)和促進我國電子商務(wù)快速健康發(fā)展。

參考文獻：

[1] 勞幗齡.電子商務(wù)的安全技術(shù)[m].北京:中國水利水電出版社,2005.

篇6

1引言

移動存儲設(shè)備因其體積小、容量大、使用靈活而應(yīng)用廣泛，但其本身的“匿名性”給設(shè)備安全管理帶來了巨大挑戰(zhàn)，身份認(rèn)證難、信息易泄露、常攜帶病毒等問題一直困擾著用戶和計算機系統(tǒng)安全人員。

在移動存儲的安全管理上應(yīng)基于兩個層面：首先是移動存儲設(shè)備對用戶的身份認(rèn)證，以確保移動存儲設(shè)備持有者身份的合法性；其次是移動存儲設(shè)備與接入終端間的雙向認(rèn)證。目前，移動存儲的安全管理往往是基于用戶名和口令的身份認(rèn)證方案，容易受到非法用戶“假冒身份”的攻擊，同時系統(tǒng)中所保存的口令表的安全性也難以保障，因此該方案存在較大的安全隱患。少數(shù)采用生物特征識別的安全方案也僅僅做到了第一個層面的身份認(rèn)證，仍無法解決對移動存儲設(shè)備本身的身份認(rèn)證以及移動存儲設(shè)備對接入終端的身份認(rèn)證。然而，移動存儲設(shè)備和接入終端間雙向認(rèn)證的必要性是顯而易見的，只有被終端信任的移動存儲設(shè)備才允許接入；同時，當(dāng)終端也被移動存儲設(shè)備信任時，移動存儲設(shè)備和終端才能獲得彼此間相互讀寫的操作權(quán)限。只有實現(xiàn)上述的雙向認(rèn)證，才能有效地在源頭杜絕移動存儲設(shè)備帶來的安全隱患。

本文描述了一種移動存儲安全管理方案，針對U盤和移動硬盤等移動存儲設(shè)備，基于智能卡技術(shù)，結(jié)合指紋識別模塊，解決了設(shè)備持有者的身份認(rèn)證以及設(shè)備與接人終端間的雙向認(rèn)證問題，并將設(shè)備持有者的指紋作為實名訪問信息記人審計系統(tǒng)，進一步完善了移動存儲的安全管理方案。

2基于指紋識別的用戶身份認(rèn)證

指紋識別技術(shù)主要涉及指紋圖像采集、指紋圖像處理、特征提取、數(shù)據(jù)保存、特征值的比對和匹配等過程，典型的指紋識別系統(tǒng)如圖1所示。

圖1指紋識別系統(tǒng)

指紋圖像預(yù)處理的目的是去除指紋圖像中的噪音，將其轉(zhuǎn)化為一幅清晰的點線圖，便于提取正確的指紋特征。預(yù)處理影響指紋識別的效果，具有重要的意義。它分四步進行，即灰度濾波、二值化、二值去噪和細(xì)化。圖像細(xì)化后，采用細(xì)節(jié)點模板提取出指紋圖像的脊線末梢和脊線分支點的位置，將指紋認(rèn)證問題轉(zhuǎn)化成為點模式匹配問題。

如圖2所示，移動存儲設(shè)備采用兼容多種設(shè)備接口的控制芯片、安全控制閃存芯片、大容量用戶標(biāo)準(zhǔn)Flash構(gòu)成硬件基礎(chǔ)，以智能卡控制芯片為控制中心，結(jié)合指紋識別模塊，實現(xiàn)對設(shè)備持有者的身份認(rèn)證；同時，結(jié)合大容量普通閃存存儲結(jié)構(gòu)，實現(xiàn)數(shù)據(jù)存儲低層管理和數(shù)據(jù)存儲加密。

3基于智能卡技術(shù)的雙向認(rèn)證

為加強系統(tǒng)認(rèn)證安全性與可信性，在移動存儲設(shè)備內(nèi)集成智能卡模塊，使之具備計笄能力，從而實現(xiàn)移動存儲設(shè)備與終端之問的雙向認(rèn)證。移動存儲設(shè)備的身份文件存放于智能卡模塊中。身份文件是指存儲著移動存儲設(shè)備各項物理特征信息的私密文件，由于這些物理特征信息與個體緊密相聯(lián)，所以可以起到唯一鑒別該移動存儲設(shè)備的作用。

智能卡模塊提供對終端的認(rèn)證，只有通過認(rèn)證的終端才能訪問身份文件和移動存儲設(shè)備中的數(shù)據(jù)。將現(xiàn)有移動存儲設(shè)備硬件結(jié)構(gòu)進行改造，在其中分別加人指紋處理模塊與智能卡模塊后的硬件結(jié)構(gòu)如圖3所示。

智能卡模塊內(nèi)置CPU、存儲器、加解密算法協(xié)處理器、隨機數(shù)發(fā)生器等硬件單元，及芯片操作系統(tǒng)(COS)、芯片文件系統(tǒng)等多個功能模塊。其內(nèi)部具有安全數(shù)據(jù)存儲空間，用于存放移動存儲設(shè)備的身份文件。對該存儲空間的讀寫受身份認(rèn)證機制保護，只有通過認(rèn)證的用戶和終端才能對其進行訪問，并且操作必須通過定制的應(yīng)用程序?qū)崿F(xiàn)，用戶無法直接讀取。支持指紋認(rèn)證的智能卡文件系統(tǒng)如圖4所示。

對終端的身份認(rèn)證方式有多種，本方案采用沖擊一響應(yīng)的認(rèn)證方式_7]。需要驗證終端身份時，終端向智能卡模塊發(fā)送驗證請求，智能卡模塊接到此請求后產(chǎn)生一組隨機數(shù)發(fā)送給終端(稱為沖擊)。終端收到隨機數(shù)后，使用終端認(rèn)證軟件內(nèi)置的密鑰對該隨機數(shù)進行一次三重DES加密運算，并將得到的結(jié)果作為認(rèn)證依據(jù)傳給智能卡模塊(稱為響應(yīng))，與此同時，智能卡模塊也使用該隨機數(shù)與內(nèi)置的密鑰進行相同的密碼運算，若運算結(jié)果與終端傳回的響應(yīng)結(jié)果相同，則通過認(rèn)證。這種認(rèn)證方式以對稱密碼為基礎(chǔ)，特點是實現(xiàn)簡單，運算速度快，安全性高，比較適合對移動存儲設(shè)備的認(rèn)證。

在終端通過認(rèn)證，取得移動存儲設(shè)備信任的前提下，終端通過智能卡模塊讀取移動存儲設(shè)備身份文件，對移動存儲設(shè)備進行準(zhǔn)入認(rèn)證。只有在雙向認(rèn)證通過的情況下，移動存儲設(shè)備才能接入可信終端，進而在授權(quán)服務(wù)器分發(fā)的安全策略下與可信域終端進行正常的讀寫操作。

4移動存儲安全管理系統(tǒng)設(shè)計

在采用智能卡技術(shù)的基礎(chǔ)上，加入移動存儲安全管理系統(tǒng)，提供對移動存儲設(shè)備的接人控制，將認(rèn)證體系擴展至計算機USB總線。

安全管理系統(tǒng)的認(rèn)證體系示意圖如圖5所示。各終端首先需要加入某個信任域，在此之后可對移動存儲設(shè)備提供基于所在信任域的接入認(rèn)證，如果終端沒有通過信任域認(rèn)證，則不允許任何移動存儲設(shè)備接入。

授權(quán)認(rèn)證服務(wù)器位于各信任域的公共區(qū)域中，為各信任域的終端提供移動存儲設(shè)備授權(quán)認(rèn)證服務(wù)。它將設(shè)備授權(quán)給某個信任域后，該設(shè)備便成為該區(qū)域中的授權(quán)設(shè)備，可在該區(qū)域中任意一臺終端上使用；在其他區(qū)域使用時將被認(rèn)為是未授權(quán)的，接入將被拒絕。隔離區(qū)中的終端與授權(quán)認(rèn)證服務(wù)器不能通過網(wǎng)絡(luò)相連，從而保證了被隔離的終端不能夠使用移動存儲設(shè)備，防止安全隱患向外擴散。這種把安全域細(xì)分成不同信任域的整體設(shè)計可以最大限度地防止安全實體內(nèi)敏感數(shù)據(jù)的任意傳播，大大降低涉密信息向外非法泄露的可能性。

終端移動設(shè)備認(rèn)證軟件部署在網(wǎng)絡(luò)系統(tǒng)中的各臺終端上，實時監(jiān)測終端上所有USB接口，探測接人的移動存儲設(shè)備。發(fā)現(xiàn)設(shè)備后，認(rèn)證軟件將與接入設(shè)備進行相互認(rèn)證，并與認(rèn)證服務(wù)器通信，對設(shè)備進行認(rèn)證，通過認(rèn)證的設(shè)備被認(rèn)為是當(dāng)前信任域的授權(quán)設(shè)備，否則將被認(rèn)為是未授權(quán)的。根據(jù)認(rèn)證結(jié)果，允許或禁止移動設(shè)備接入。

4．1授權(quán)流程描述

服務(wù)器端授權(quán)軟件運行時，探測出所有連接到授權(quán)服務(wù)器上的移動存儲設(shè)備，并將結(jié)果報告給管理員。管理員指定需要授權(quán)的設(shè)備，填寫好授權(quán)區(qū)域、授權(quán)日期、授權(quán)人、授權(quán)有效期并錄入用戶指紋信息后，授權(quán)軟件開始對該移動存儲設(shè)備進行授權(quán)。

(1)獲取該設(shè)備的各項物理信息，這些信息具有特征標(biāo)識，可以唯一地標(biāo)識該設(shè)備；

(2)將收集到的物理信息和管理員輸入的授權(quán)區(qū)域、授權(quán)日期、授權(quán)人、授權(quán)有效期等信息以一定格式排列，并注入隨機字符，采用三重DES運算，生成身份文件；

(3)設(shè)置移動存儲設(shè)備中指紋模塊的指紋信息；

(4)將智能卡模塊中的認(rèn)證密鑰設(shè)成與終端事先約定好的密鑰；

(5)將(3)中生成的身份文件存入智能卡模塊中的安全數(shù)據(jù)存儲空間。

4．2認(rèn)證流程描述

圖6是移動存儲設(shè)備管理系統(tǒng)完成認(rèn)證的整個流程，其步驟如下：

(1)終端認(rèn)證軟件判斷當(dāng)前終端所處區(qū)域，如果處于信任域中，掃描各USB端口狀態(tài)，判斷是否有新設(shè)備接人；如果處于隔離區(qū)，則拒絕任何USB移動設(shè)備接入。

(2)如果探測到新設(shè)備接入，智能卡CPU調(diào)用指紋處理模塊，接收并驗證用戶指紋。

(3)如果指紋認(rèn)證通過，則終端向USB存儲設(shè)備發(fā)送認(rèn)證請求；否則禁用該USB存儲設(shè)備。

(4)如果沒有收到USB存儲設(shè)備的智能卡模塊發(fā)來的隨機數(shù)，證明該設(shè)備是不符合系統(tǒng)硬件設(shè)計要求的，拒絕接入；如果收到隨機數(shù)，則進行沖擊一響應(yīng)認(rèn)證。如果沒有通過認(rèn)證，證明該終端為非信任終端，智能卡模塊拒絕該設(shè)備接人終端。

(5)終端讀取智能卡模塊存儲的身份文件，并讀取該設(shè)備的各項物理信息，將身份文件、物理信息及終端所處的信任域信息發(fā)送至認(rèn)證服務(wù)器進行認(rèn)證。

(6)服務(wù)器認(rèn)證軟件接收到終端發(fā)送來的信息后，將標(biāo)識文件解密，得到授權(quán)區(qū)域、授權(quán)日期、授權(quán)人、授權(quán)有效期等信息。

①將解密得到的物理信息與終端發(fā)來的物理信息作比對，如果不相符，證明該標(biāo)識文件是被復(fù)制或偽造的，向終端發(fā)送未通過認(rèn)證的指令。

②如果①中認(rèn)證通過，將解密得到的信任域信息與終端發(fā)來的信任域信息作比對，如果不相符，證明該移動存儲設(shè)備處于非授權(quán)區(qū)域中，向終端發(fā)送未通過認(rèn)證的指令。

③如果②中認(rèn)證通過，將解密得到的授權(quán)有效期與當(dāng)前日期做比較，如果當(dāng)前日期處于有效期內(nèi)，向終端發(fā)送通過認(rèn)證的指令；如果當(dāng)前日期處于有效期外，向終端發(fā)送未通過認(rèn)證的指令。

(7)終端接收認(rèn)證服務(wù)器發(fā)來的指令，對USB設(shè)備執(zhí)行允許或禁止接入的操作。如果USB設(shè)備被允許接入，則智能卡模塊將設(shè)備持有者指紋提交給認(rèn)證服務(wù)器，作為已授權(quán)訪問記錄記入日志中。

(8)轉(zhuǎn)至(2)繼續(xù)探測新設(shè)備。

5安全性分析

本方案通過在移動存儲設(shè)備中加入指紋識別模塊和智能卡模塊，更安全可靠地解決了設(shè)備持有者身份認(rèn)證問題以及移動存儲設(shè)備的“匿名性”問題，通過引入身份文件，實現(xiàn)了移動存儲設(shè)備的實名制認(rèn)證。結(jié)合智能卡的相關(guān)技術(shù)，本方案從根本上解決了移動存儲設(shè)備與接入終端問的雙向認(rèn)證問題，構(gòu)建了雙方互信的安全傳輸環(huán)境。

基于信任域的劃分對設(shè)備進行授權(quán)管理，使整個系統(tǒng)能夠同時對終端和移動存儲設(shè)備提供接人控制，有效地阻止了安全威脅的傳播。在方案的具體實現(xiàn)上，有如下安全性考慮：

(1)移動存儲設(shè)備采用指紋識別的方式認(rèn)證設(shè)備持有者身份，確保其身份的合法性；采用三重DES對稱加密的方式對終端進行認(rèn)證，確保終端為運行認(rèn)證軟件的合法授權(quán)終端，有效地避免了強力破解的可能性。

(2)移動存儲設(shè)備的物理信息各不相同，身份文件也是唯一確定的。身份文件采用三重DES加密的方式，加解密過　程全部在服務(wù)器端認(rèn)證軟件中完成，密鑰不出服務(wù)器，避

免了密碼被截獲的可能性。身份文件存儲于智能卡模塊中的安全數(shù)據(jù)存儲區(qū)，受智能卡模塊軟硬件的雙重保護。方案保證了身份文件的唯一性、抗復(fù)制性和抗偽造性，任何非授權(quán)設(shè)備都無法通過破譯、復(fù)制、偽造等人侵手段冒名成為授權(quán)設(shè)備。

(3)認(rèn)證服務(wù)器與隔離區(qū)中的終端相互隔離，只能被信任域中的終端訪問，保證了認(rèn)證服務(wù)器的安全。

(4)雙向認(rèn)證通過后，被授權(quán)的移動存儲設(shè)備將設(shè)備持有者的指紋記入授權(quán)服務(wù)器的訪問日志中，以便日后能夠準(zhǔn)確地確定安全事故責(zé)任人。

篇7

一、電子商務(wù)安全的要求

1、信息的保密性：指信息在存儲、傳輸和處理過程中，不被他人竊取。

2、信息的完整性：指確保收到的信息就是對方發(fā)送的信息，信息在存儲中不被篡改和破壞，保持與原發(fā)送信息的一致性。

3、 信息的不可否認(rèn)性：指信息的發(fā)送方不可否認(rèn)已經(jīng)發(fā)送的信息，接收方也不可否認(rèn)已經(jīng)收到的信息。

4、 交易者身份的真實性：指交易雙方的身份是真實的，不是假冒的。

5、 系統(tǒng)的可靠性：指計算機及網(wǎng)絡(luò)系統(tǒng)的硬件和軟件工作的可靠性。

在電子商務(wù)所需的幾種安全性要求中，以保密性、完整性和不可否認(rèn)性最為關(guān)鍵。電子商務(wù)安全性要求的實現(xiàn)涉及到以下多種安全技術(shù)的應(yīng)用。

二、數(shù)據(jù)加密技術(shù)

將明文數(shù)據(jù)進行某種變換，使其成為不可理解的形式，這個過程就是加密，這種不可理解的形式稱為密文。解密是加密的逆過程，即將密文還原成明文。

（一）對稱密鑰加密與DES算法

對稱加密算法是指文件加密和解密使用一個相同秘密密鑰，也叫會話密鑰。目前世界上較為通用的對稱加密算法有RC4和DES。這種加密算法的計算速度非常快，因此被廣泛應(yīng)用于對大量數(shù)據(jù)的加密過程。

最具代表的對稱密鑰加密算法是美國國家標(biāo)準(zhǔn)局于1977年公布的由IBM公司提出DES (Data Encrypuon Standard)加密算法。

（二）非對稱密鑰加密與RSA算法

為了克服對稱加密技術(shù)存在的密鑰管理和分發(fā)上的問題，1976年產(chǎn)生了密鑰管理更為簡化的非對稱密鑰密碼體系，也稱公鑰密碼體系(PublicKeyCrypt-system)，用的最多是RSA算法，它是以三位發(fā)明者（Rivest、Shamir、Adleman）姓名的第一個字母組合而成的。

在實踐中，為了保證電子商務(wù)系統(tǒng)的安全、可靠以及使用效率，一般可以采用由RSA和DES相結(jié)合實現(xiàn)的綜合保密系統(tǒng)。

三、認(rèn)證技術(shù)

認(rèn)證技術(shù)是保證電子商務(wù)交易安全的一項重要技術(shù)。主要包括身份認(rèn)證和信息認(rèn)證。前者用于鑒別用戶身份，后者用于保證通信雙方的不可抵賴性以及信息的完整性

（一）身份認(rèn)證

用戶身份認(rèn)證三種常用基本方式

1、口令方式

這種身份認(rèn)證方法操作十分簡單，但最不安全，因為其安全性僅僅基于用戶口令的保密性，而用戶口令一般較短且容易猜測，不能抵御口令猜測攻擊，整個系統(tǒng)的安全容易受到威脅。

2、標(biāo)記方式

訪問系統(tǒng)資源時，用戶必須持有合法的隨身攜帶的物理介質(zhì)(如存儲有用戶個性化數(shù)據(jù)的智能卡等)用于身份識別，訪問系統(tǒng)資源。

3、人體生物學(xué)特征方式

某些人體生物學(xué)特征，如指紋、聲音、DNA圖案、視網(wǎng)膜掃描圖案等等，這種方案一般造價較高，適用于保密程度很高的場合。

加密技術(shù)解決信息的保密性問題，對于信息的完整性則可以用信息認(rèn)證方面的技術(shù)加以解決。在某些情況下，信息認(rèn)證顯得比信息保密更為重要。

（二）數(shù)字摘要

數(shù)字摘要，也稱為安全Hash編碼法，簡稱SHA或MD5 ，是用來保證信息完整性的一項技術(shù)。它是由Ron Rivest發(fā)明的一種單向加密算法，其加密結(jié)果是不能解密的。類似于人類的“指紋”，因此我們把這一串摘要而成的密文稱之為數(shù)字指紋，可以通過數(shù)字指紋鑒別其明文的真?zhèn)巍?/p>

（三）數(shù)字簽名

數(shù)字簽名建立在公鑰加密體制基礎(chǔ)上，是公鑰加密技術(shù)的另一類應(yīng)用。它把公鑰加密技術(shù)和數(shù)字摘要結(jié)合起來，形成了實用的數(shù)字簽名技術(shù)。

它的作用:確認(rèn)當(dāng)事人的身份，起到了簽名或蓋章的作用；能夠鑒別信息自簽發(fā)后到收到為止是否被篡改。

（四）數(shù)字時間戳

在電子交易中，時間和簽名同等重要。數(shù)字時間戳技術(shù)是數(shù)字簽名技術(shù)一種變種的應(yīng)用，是由DTS服務(wù)機構(gòu)提供的電子商務(wù)安全服務(wù)項目，專門用于證明信息的發(fā)送時間。包括三個部分：需加時間戳的文件的數(shù)字摘要；DTS機構(gòu)收到文件摘要的日期和時間； DTS機構(gòu)的數(shù)字簽名。

（五）認(rèn)證中心

認(rèn)證中心：（Certificate Authority，簡稱CA），也稱之為電子商務(wù)認(rèn)證中心，是承擔(dān)網(wǎng)上安全電子交易認(rèn)證服務(wù)，能簽發(fā)數(shù)字證書，確認(rèn)用戶身份的、與具體交易行為無關(guān)的第三方權(quán)威機構(gòu)。認(rèn)證中心通常是企業(yè)性的服務(wù)機構(gòu)，主要任務(wù)是受理證書的申請、簽發(fā)和管理數(shù)字證書。其核心是公共密鑰基礎(chǔ)設(shè)（PKI）。

我國現(xiàn)有的安全認(rèn)證體系(CA)在金融CA方面，根證書由中國人民銀行管理，根認(rèn)證管理一般是脫機管理；品牌認(rèn)證中心采用“統(tǒng)一品牌、聯(lián)合建設(shè)”的方針進行。在非金融CA方面，最初主要由中國電信負(fù)責(zé)建設(shè)。

（六）數(shù)字證書

數(shù)字證書就是標(biāo)志網(wǎng)絡(luò)用戶身份信息的一系列數(shù)據(jù)，用于證明某一主體（如個人用戶、服務(wù)器等）的身份以及其公鑰的合法性的一種權(quán)威性的電子文檔，由權(quán)威公正的第三方機構(gòu)，即CA中心簽發(fā)。

以數(shù)字證書為核心的加密技術(shù)可以對網(wǎng)絡(luò)上傳輸?shù)男畔⑦M行加密和解密、數(shù)字簽名和簽名驗證，確保網(wǎng)上傳遞信息的機密性、完整性，以及交易實體身份的真實性，簽名信息的不可否認(rèn)性，從而保障網(wǎng)絡(luò)應(yīng)用的安全性。

四、電子商務(wù)的安全交易標(biāo)準(zhǔn)

（一）安全套接層協(xié)議

SSL (secure sockets layer)是由Netscape Communication公司是由設(shè)計開發(fā)的，其目的是通過在收發(fā)雙方建立安全通道來提高應(yīng)用程序間交換數(shù)據(jù)的安全性，從而實現(xiàn)瀏覽器和服務(wù)器（通常是Web服務(wù)器）之間的安全通信。

目前Microsoft和Netscape的瀏覽器都支持SSL，很多Web服務(wù)器也支持SSL。SSL是一種利用公共密鑰技術(shù)的工業(yè)標(biāo)準(zhǔn)，已經(jīng)廣泛用于Internet。

（二）安全電子交易協(xié)議

SET (Secure Electronic Transaction)它是由VISA和MasterCard兩大信用卡公司發(fā)起，會同IBM、Microsoft等信息產(chǎn)業(yè)巨頭于1997年6月正式制定的用于因特網(wǎng)事務(wù)處理的一種標(biāo)準(zhǔn)。采用DES、RC4等對稱加密體制加密要傳輸?shù)男畔ⅲ⒂脭?shù)字摘要和數(shù)字簽名技術(shù)來鑒別信息的真?zhèn)渭捌渫暾裕壳耙呀?jīng)被廣為認(rèn)可而成了事實上的國際通用的網(wǎng)上支付標(biāo)準(zhǔn)，其交易形態(tài)將成為未來電子商務(wù)的規(guī)范。

五、總結(jié)

網(wǎng)絡(luò)應(yīng)用以安全為本，只有充分掌握有關(guān)電子商務(wù)的技術(shù)，才能使電子商務(wù)更好的為我們服務(wù)。然而，如何利用這些技術(shù)仍是今后一段時間內(nèi)需要深入研究的課題。

篇8

文章編號:1004-373X(2010)04-122-03

Research on Integration of Library Management System

Based on Campus Portal Platform

DAI Ying

(Network Information Center,Chang′an University,Xi′an,710064,China)

Abstract:Integrated library management system is focus of the work in building a digital campus,which is based on the portal platform and included uniform identity authentication integration,data integration and information sharing portal integration.Three major areas of the integrated objectives and methods are described,and the realization of practical technology solutions to access remote digital resources for which enable the staff to live in out of school through uniform identity authentication to visit it,which provide a reference for someone who engaged in this domain research work in other colleges and universities.

Keywords:campus portal platform;library management system;uniform identity authentication;integrated information portal;sharing of data integration;remote digital resource

0 引 言

校園門戶平臺是基于計算機網(wǎng)絡(luò)技術(shù)的一種管理平臺,它以一種全新的信息服務(wù)形式向高校內(nèi)各種不同類型的群體提供個性化的服務(wù)。它將學(xué)校從環(huán)境(包括網(wǎng)絡(luò)、設(shè)備、教室等)、資源(諸如圖書、講義、課件等)到活動(包括教、學(xué)、管理、服務(wù)、辦公等)逐步數(shù)字化,形成一個數(shù)字空間,通過設(shè)立統(tǒng)一的用戶管理、統(tǒng)一的資源管理及統(tǒng)一的權(quán)限控制,學(xué)校建設(shè)成一個超越時間、空間的數(shù)字化校園[1]。

高校圖書館將為高校教學(xué)、科研提供文獻信息保障的學(xué)術(shù)性機構(gòu),在高校和社會上占有重要地位,尤其在數(shù)字化校園建設(shè)蓬勃發(fā)展的今天,圖書館以豐富的文獻信息資源、多樣的載體服務(wù)形式,進一步奠定和加強了其作為學(xué)校信息資源中心的地位[2]。因此,基于校園門戶平臺圖書館管理系統(tǒng)的集成工作成為當(dāng)前數(shù)字化校園建設(shè)工作中的重要組成部分。在此針對我校圖書館管理系統(tǒng)在門戶平臺中的集成與功能實現(xiàn)方面進行相關(guān)的研究與探索,希望能對大家有所啟示。

1 我校圖書館管理系統(tǒng)概述以及其集成工作的必要性

我校圖書館文獻資源豐富、載體形式多樣、專業(yè)特色明顯,除擁有大量館藏圖書、期刊合訂本、中外文現(xiàn)刊外,還擁有超星、北大方正等20多萬種電子圖書,同時還提供給讀者萬方數(shù)據(jù)資源、中國期刊網(wǎng)、中文科技期刊數(shù)據(jù)庫、EI(工程索引)、UMI(美國博碩士論文全文數(shù)據(jù)庫)、ASCE(美國土木工程師協(xié)會數(shù)據(jù)庫)、OSA(劍橋科學(xué)文摘)等20種國內(nèi)外著名中外文數(shù)據(jù)庫系統(tǒng)。

圖書館管理系統(tǒng)架構(gòu)為B/S+C/S結(jié)構(gòu),其操作系統(tǒng)版本為Linux AS 4.0,數(shù)據(jù)庫版本為Oracle 9.2.0.4,業(yè)務(wù)系統(tǒng)開發(fā)語言:B/S部分為 PHP,C/S部分為 VB和VC,其Web網(wǎng)絡(luò)環(huán)境基于校園網(wǎng),數(shù)據(jù)庫網(wǎng)絡(luò)環(huán)境為圖書館內(nèi)網(wǎng)。由于其Web網(wǎng)絡(luò)環(huán)境基于校園網(wǎng),因此外網(wǎng)用戶無法登錄該系統(tǒng)了解本人書刊借閱情況,影響其及時辦理書刊的預(yù)約、續(xù)借等手續(xù);同時也無法進入中外文數(shù)據(jù)庫及電子圖書資源庫享用豐富的遠(yuǎn)程數(shù)字資源,這對于居住在校園外或出差在外的教職工的工作生活造成一些困擾和不便。基于校園門戶平臺的圖書館管理系統(tǒng)的集成研究將著手解決諸如此類的問題,以期數(shù)字化校園建設(shè)工作更好地服務(wù)于廣大教職員工。

2 圖書館管理系統(tǒng)集成內(nèi)容

基于門戶平臺的圖書館管理系統(tǒng)集成包括統(tǒng)一身份認(rèn)證集成、共享數(shù)據(jù)集成和信息門戶集成三部分。

(1) 統(tǒng)一身份認(rèn)證集成。通過確定統(tǒng)一身份認(rèn)證系統(tǒng)的用戶權(quán)威身份信息,建立起統(tǒng)一的認(rèn)證平臺,實現(xiàn)圖書館系統(tǒng)嵌入學(xué)校信息門戶中,通過單點登錄直接進入。屆時用戶通過統(tǒng)一身份認(rèn)證帳號(校內(nèi)教職工工資編號/學(xué)生學(xué)號)登錄信息門戶后,無需輸入圖書館系統(tǒng)帳號、密碼便可直接進入圖書館系統(tǒng)進行相關(guān)業(yè)務(wù)系統(tǒng)的使用。有效避免了用戶輸入不同訪問網(wǎng)址,記憶不同用戶名及密碼所帶來的不便和困擾[3]。

(2) 共享數(shù)據(jù)集成。共享數(shù)據(jù)集成是圖書館系統(tǒng)集成的核心所在,其集成目標(biāo)為:實現(xiàn)公共數(shù)據(jù)庫自動從圖書館系統(tǒng)中抽取相關(guān)個人信息,并通過數(shù)據(jù)集成工具集成到公共數(shù)據(jù)庫中,使公共數(shù)據(jù)庫平臺成為全校范圍內(nèi)惟一全面的數(shù)據(jù)源;數(shù)據(jù)集成后,提供個人圖書館信息門戶上的展現(xiàn)或供其他業(yè)務(wù)部門使用[4]。如圖1所示。

圖1 共享數(shù)據(jù)集成過程圖示

圖書館系統(tǒng)開放公共數(shù)據(jù)庫需要的源視圖讀權(quán)限,集成方式在抽取范圍上采用增量抽取;周期上采用定時同步,周期為一天;其采集方式通過數(shù)據(jù)集成平臺實現(xiàn)[5]。

(3) 信息門戶集成。基于圖書館系統(tǒng)實現(xiàn)統(tǒng)一身份認(rèn)證及共享數(shù)據(jù)集成的基礎(chǔ)上,通過信息門戶為廣大師生提供統(tǒng)一的、個性化的圖書信息查詢服務(wù)。其集成方式通過開發(fā)單獨的Portlet在信息門戶上直接展現(xiàn)個人圖書借閱情況,預(yù)約圖書流轉(zhuǎn)信息以及圖書超期預(yù)警與罰款通知等[6]。

信息門戶集成的優(yōu)點集中體現(xiàn)在基于共享數(shù)據(jù)集成實現(xiàn)的基礎(chǔ)上。因此它可以不完全依賴于圖書館系統(tǒng)本身,一旦圖書館數(shù)據(jù)庫發(fā)生故障,門戶上依然能夠滿足用戶個人圖書館歷史記錄的查詢需求,將其所帶來的不利因素降到最低點。個人圖書借閱信息展示截圖如圖2所示。

圖2 個人圖書借閱信息展示截圖

3 統(tǒng)一身份認(rèn)證及校內(nèi)遠(yuǎn)程數(shù)字資源訪問功能實現(xiàn)方式

3.1 統(tǒng)一身份認(rèn)證實現(xiàn)方式

圖書館管理系統(tǒng)Web查詢部分是基于PHP開發(fā)的,因此集成方式采用“PHP客戶端”集成方式。由開發(fā)人員提供PHP認(rèn)證頭,圖書館管理系統(tǒng)據(jù)此修改其登錄模塊。認(rèn)證頭程序主要校驗Cookie,判斷當(dāng)前用戶是否已通過統(tǒng)一身份認(rèn)證并在有效的會話期內(nèi),如通過驗證,則實現(xiàn)單點登錄[7]。單點登錄后,圖書館管理系統(tǒng)從統(tǒng)一身份認(rèn)證中獲取用戶的基本信息(登錄名)。為保證用戶登錄號碼與統(tǒng)一身份認(rèn)證平臺中的用戶一致,需要提供給圖書館系統(tǒng)認(rèn)證程序接口,其具體實現(xiàn)步驟如下:

(1) 拷貝圖書館系統(tǒng)集成開發(fā)包,解開其中有關(guān)統(tǒng)一身份認(rèn)證接口的相關(guān)程序,并放到相應(yīng)的目錄下;

(2) 配置客戶端參數(shù),更新client.properties中的參數(shù):

ids.UserName=connetusername

ids.Password=connectpassword

IdentityManager.Proxy=IdentityManager:tcp-p 58000-h yourserverip

(3) 配置PHP

修改php.ini ,加入如下配置:

extensiondir = /***/***/lib

extension=libIdstarPhp.so

(4) 啟動 Apache

在啟動 apache前需要設(shè)置庫的加載路徑,如下:

export LDLIBRARYPATH=/***/***/lib

apachectl start

3.2 圖書館校內(nèi)遠(yuǎn)程數(shù)字資源訪問功能實現(xiàn)

圖書館校內(nèi)遠(yuǎn)程資源訪問功能實現(xiàn)是建立在統(tǒng)一身份認(rèn)證集成基礎(chǔ)上,屬統(tǒng)一身份認(rèn)證集成的一部分。長期以來居住在校外或出差在外的外網(wǎng)用戶無法在家中或外地遠(yuǎn)程訪問學(xué)校圖書館中外文數(shù)據(jù)庫及電子圖書資源庫等校內(nèi)遠(yuǎn)程數(shù)字資源,給工作、生活帶來一定程度的不便,同時在某種程度上也造成資源的閑置與浪費。校園門戶系統(tǒng)的統(tǒng)一身份認(rèn)證集成和訪問設(shè)置則實現(xiàn)了這部分用戶對于圖書館校內(nèi)遠(yuǎn)程數(shù)字資源的訪問[8,9]。圖書館校內(nèi)資源遠(yuǎn)程訪問流程圖如圖3所示。

圖3 圖書館校內(nèi)資源遠(yuǎn)程訪問流程圖

用戶通過配置服務(wù)器地址在校外訪問門戶網(wǎng)站,通過統(tǒng)一身份認(rèn)證后進入信息門戶展示平臺,訪問校內(nèi)資源;信息門戶平臺上設(shè)置中外文數(shù)據(jù)庫及電子圖書資源庫等校內(nèi)遠(yuǎn)程數(shù)字資源欄目,并提供完成遠(yuǎn)程訪問所需要的批處理腳本文件,用戶解壓下載下來的批處理文件,雙擊其中的enableProxy.bat文件,完成該地址的設(shè)置;服務(wù)器根據(jù)用戶組的不同,分配相應(yīng)的校內(nèi)地址,使用戶直接進入校內(nèi)遠(yuǎn)程訪問資源欄目,點擊訪問所需的校內(nèi)遠(yuǎn)程數(shù)字資源;雙擊下載的disenableProxy.bat,即可取消該地址的設(shè)置,正常訪問門戶系統(tǒng)[10]。

4 結(jié) 語

基于校園門戶平臺圖書館管理系統(tǒng)的集成研究,在實現(xiàn)用戶統(tǒng)一身份認(rèn)證的基礎(chǔ)上,方便了教職工及學(xué)生對圖書館管理系統(tǒng)的使用,尤其是圖書館遠(yuǎn)程數(shù)字資源訪問功能的實現(xiàn),給居住或出差在外的教職工的工作、學(xué)習(xí)、生活帶來很大的便利。同時,還考慮在門戶平臺上增加若干控件,方便用戶自行訂制相關(guān)個性化服務(wù),如將有關(guān)新書報道、預(yù)約圖書、欠費預(yù)警及圖書超期罰款等信息以短消息形式即時在個人門戶上顯示,以期更好地服務(wù)于廣大師生。

參考文獻

[1]林三洲.數(shù)字化校園建設(shè)漫談[J].湖北經(jīng)濟學(xué)院學(xué)報:人文社會科學(xué)版,2007,4(3):153-154.

[2]沈煜,裴艷慧.信息時代高校圖書館的作用和發(fā)展[J].晉圖學(xué)刊,2007(3):57-59.

[3]賀超波,陳啟買,歐陽輝.數(shù)字化校園門戶平臺統(tǒng)一身份認(rèn)證的實現(xiàn)[J].現(xiàn)代計算機,2008(12):25-28.

[4]孫月洪.數(shù)據(jù)交換在數(shù)字化校園中的作用與實現(xiàn)[J].辦公自動化,2009(1):35-37.

[5]鄧英.數(shù)字化校園建設(shè)中公共數(shù)據(jù)整合方案研究[J].電腦知識與技術(shù),2008(2):589-591.

[6]宮衛(wèi)濤,馬自衛(wèi).數(shù)字圖書館門戶集成技術(shù)及其實現(xiàn)[J].現(xiàn)代圖書情報技術(shù),2007(11): 23-27.

[7]張沖,武超,楊要科.校園網(wǎng)統(tǒng)身份認(rèn)證系統(tǒng)的設(shè)計與實現(xiàn)[J].中原工學(xué)院學(xué)報,2008,19(4):68-71.

篇9

本文著錄格式：[1]馬萌，王全成，康乃林.Internet密鑰IKE協(xié)議安全性分析[J].軟件，2013，34（7）：112-114

0 引言

在開放性的網(wǎng)絡(luò)體系中，進行秘密、敏感信息傳遞時，首先要求通信雙方擁有共享密鑰，才能夠按照安全性需求對數(shù)據(jù)進行機密性、完整性和身份認(rèn)證保護。為了應(yīng)對Internet密鑰交換協(xié)議面臨的復(fù)雜多樣的網(wǎng)絡(luò)威脅和攻擊手段，本文詳細(xì)分析了IKE協(xié)議的基本思想和主要存在的四個方面的安全缺陷，為采取更加有效的信息安全技術(shù)和方法，堵塞可能的安全漏洞和隱患提供幫助，從而滿足日益增長的網(wǎng)絡(luò)安全應(yīng)用要求。

1 IKE協(xié)議的基本思想

IKE協(xié)議吸取ISAKMP協(xié)議、OAKLEY協(xié)議和SKEME協(xié)議各自的特點組合而成[1]，同時還重新定義了兩種密鑰交換方式[1]。

一次典型的IKE密鑰協(xié)商交換可描述如下（第一階段采用主模式和公鑰簽名身份驗證）：

（1）SA載荷交換，協(xié)商認(rèn)證算法、加密算法等，交換Cookies對；（2）KE載荷，Nonce載荷交換，提供計算共享密鑰的有關(guān)參數(shù)信息。（3）通信雙方分別計算共享密鑰參數(shù)。（4）通信雙方進行身份驗證，構(gòu)建IKE SA；（5）進行IPSec SA載荷和選擇符信息交換，協(xié)商IPSec SA的驗證算法、加密算法，計算IPSec SA密鑰參數(shù)，構(gòu)建IPSec SA。

由上可知，IKE 協(xié)議在兩個通信實體間之間實現(xiàn)密鑰協(xié)商的過程實際上分為2個階段。第一階段構(gòu)建IKE SA，第二階段構(gòu)建IPSec SA。

在第一階段，使用主模式或者積極模式，建立IKE SA，為通信實體之間建成安全的通信信道，為第二階段的密鑰協(xié)商提供安全保護服務(wù)。

第二階段，使用快速模式，依托第一階段創(chuàng)建的IKE SA通信信道，構(gòu)建IPSec SA，為通信雙方之間的數(shù)據(jù)傳輸提供機密性、完整性和可靠。

兩個階段的IKE協(xié)商相對增加了系統(tǒng)的初始開銷，但是由于第一階段協(xié)商建立的SA可以為第二階段建立多個SA提供保護，從而簡化了第二階段的協(xié)商過程，結(jié)合第二階段SA協(xié)商總體數(shù)量較多的實際，仍然是節(jié)約了系統(tǒng)的資源。

在第一階段，當(dāng)需要對協(xié)商雙方提供身份保護時使用主模式相對安全一些，而積極模式實現(xiàn)起來簡單一些，卻無法提供身份保護服務(wù)；第二階段使用的快速模式，在一個IKE SA的保護下可以同時進行多個協(xié)商；新組模式允許通信雙方根據(jù)安全性要求協(xié)商私有Oakley組，但新組模式既不屬于第一階段也不屬于第二階段，且必須在第一階段完成后方可進行。

2 IKE協(xié)議的交互流程

第一階段主模式或積極模式中，都支持?jǐn)?shù)字簽名、預(yù)共享密鑰和公鑰加密等身份認(rèn)證方法。不同的身份認(rèn)證方式，身份認(rèn)證的原理不同，傳遞的密鑰協(xié)商交換消息也有所不同。其中，數(shù)字簽名認(rèn)證是利用公鑰加解密原理，由通信雙方生成數(shù)字簽名信息，再由另一方對數(shù)字簽名信息進行解密、比較，實現(xiàn)對通信雙方的身份認(rèn)證；預(yù)共享密鑰認(rèn)證是利用對稱密鑰加解密原理，由通信雙方利用私鑰對認(rèn)證內(nèi)容計算hash值，再將hash值發(fā)送給對方進行解密、比較，完成身份認(rèn)證；公鑰加密認(rèn)證仍然是利用了公鑰加解密原理，與數(shù)字簽名認(rèn)證不同的是，由通信雙方利用對方的公鑰分別加密身份識別負(fù)載和當(dāng)前時間負(fù)載的數(shù)據(jù)部分，然后根據(jù)對方返回的結(jié)果以確定對方的身份。公鑰加密認(rèn)證方式有兩種，區(qū)別在于加解密的次數(shù)不同。

下面，我們以數(shù)字簽名為例，說明2個階段的具體協(xié)商流程。

2.1第一階段密鑰生成

3 IKE 協(xié)議的安全缺陷

目前針對IKE協(xié)議的安全性分析結(jié)果非常多，已發(fā)現(xiàn)的安全問題和隱患也非常多，歸納起來主要有以下幾類。

3.1 拒絕服務(wù)（DoS）攻擊

拒絕服務(wù)（DoS）攻擊是一種針對某些服務(wù)可用性的攻擊，是一種通過耗盡CPU、內(nèi)存、帶寬以及磁盤空間等系統(tǒng)資源，來阻止或削弱對網(wǎng)絡(luò)、系統(tǒng)或應(yīng)用程序的授權(quán)使用的行為[2]。更加形象直觀的解釋，是指攻擊者產(chǎn)生大量的請求數(shù)據(jù)包發(fā)往目標(biāo)主機，迫使目標(biāo)主機陷入對這些請求數(shù)據(jù)包的無效處理之中，從而消耗目標(biāo)主機的內(nèi)存、計算資源和網(wǎng)絡(luò)帶寬等有限資源，使目標(biāo)主機正常響應(yīng)速度降低或者徹底處于癱瘓狀態(tài)。DoS攻擊是目前黑客常用的攻擊方式之一。在Internet密鑰交換協(xié)議中，由于響應(yīng)方要占用CPU和內(nèi)存等進行大量的密集的模冪等復(fù)雜運算，而其存儲和計算能力是有限的，鑒于這一瓶頸問題的制約，極易遭到DoS攻擊。

雖然Internet密鑰交換協(xié)議采用了Cookie機制，可在一定程度上防止DoS攻擊，但Cookie數(shù)據(jù)的隨機性又極大的制約了其作用的發(fā)揮[3]。同時，更有分析認(rèn)為Internet密鑰交換協(xié)議的Cookie機制會導(dǎo)致更加嚴(yán)重的DoS攻擊。因為協(xié)議規(guī)定Internet密鑰交換的響應(yīng)方必須對已經(jīng)驗證過的合法Cookie建立SA請求予以響應(yīng)，攻擊者可以利用這一規(guī)定，直接復(fù)制以前的ISAKMP消息，不更改其Cookie數(shù)值并發(fā)送給響應(yīng)方，而響應(yīng)者需要大量CPU時間的運算后才能判別出發(fā)起者是非法的，從而無法從根本上防止DoS攻擊。

3.2 中間人攻擊

中間人攻擊是指通信實體在通信時，第三方攻擊者非法介入其中并與通信雙方建立會話密鑰，作為真實的通信實體間消息通信的中轉(zhuǎn)站，從而共享通信實體雙方的秘密信息。中間人攻擊的方法主要是對消息進行篡改、竊聽，重定向消息以及重放舊消息等[4]，是一種攻擊性很強的攻擊方式，屬于主動攻擊方式的一種[5]。

圖3.1詳細(xì)描述了中間人攻擊[6]，當(dāng)Initiator與Responder進行D-H算法密鑰交換時，Initiator計算并發(fā)送公鑰X，Attacker竊取X，并假冒Responder發(fā)送公鑰Z給Initiator，從而完成一次D-H密鑰交換，雙方之間共享了一個密鑰。同理，Attacker和Responder之間也可以共享一個密鑰。這樣，當(dāng)真正的通信雙方進行信息交換時，所有數(shù)據(jù)都經(jīng)由Attacker中轉(zhuǎn)，而不會被發(fā)覺。

IKE協(xié)議的身份驗證機制可以有效防止中間人攻擊，但仍有一些缺陷。

3.3 身份隱藏保護缺陷

IKE協(xié)議第一階段有兩種模式、四種認(rèn)證方式，其中一個主要目的就是要能夠提供發(fā)起方和響應(yīng)方的身份隱藏保護功能，但是在積極模式下的數(shù)字簽名認(rèn)證和預(yù)共享密鑰認(rèn)證，以及主模式下的數(shù)字簽名認(rèn)證都無法提供身份隱藏保護。例如，在第一階段主模式協(xié)商的數(shù)字簽名認(rèn)證方式中，一個主動攻擊者就可以偽裝響應(yīng)方的地址并與發(fā)起方協(xié)商D-H公開值，從而獲得發(fā)起方的身份信息[7]。

一般來說，在無法同時保護通信雙方身份的情況下，要優(yōu)先考慮隱藏發(fā)起方的身份。因為絕大多數(shù)的響應(yīng)方在IKE交換中都是作為服務(wù)的一方，而服務(wù)器的身份信息一般是公共的，所以可以認(rèn)為保護發(fā)起方的身份要比保護響應(yīng)方的身份要更為重要[8]。

3.4 其它安全缺陷

除了以上的安全缺陷外，IKE機制還存在一些其它的問題，如難以抗重放攻擊、新組模式定義多余等。

重放攻擊是指攻擊者采取網(wǎng)絡(luò)數(shù)據(jù)包提取等技術(shù)手段，對發(fā)起方和接收方之間的通信數(shù)據(jù)進行竊聽或者截取，獲得通信雙方之間的任意消息，然后將該消息重新發(fā)送給接收方，從而消耗網(wǎng)絡(luò)資源，甚至癱瘓通信網(wǎng)絡(luò)。在整個Internet密鑰交換過程當(dāng)中，通信雙方都需要保存部分交換信息用來記錄數(shù)據(jù)交換情況，同時，當(dāng)Cookies對建立以后，數(shù)據(jù)狀態(tài)信息可以用來表示數(shù)據(jù)交換狀態(tài)。此時，第三方攻擊者利用網(wǎng)上截獲的正常數(shù)據(jù)包進行重新發(fā)送，或者攻擊者截獲Cookies對后偽造假消息，由于該Cookies對是真實的，通信實體雙方仍然會對偽造的假消息進行處理，甚至再次解密消息，或者由于無法正常解密，從而發(fā)現(xiàn)消息不真實。這樣會使系統(tǒng)被迫處理大量無效的操作，降低處理效率，浪費大量系統(tǒng)計算和存儲資源。

4 結(jié)論

本文詳細(xì)分析了IKE協(xié)議的基本思想和主要存在的四個方面的安全缺陷，認(rèn)為必須深入分析Internet密鑰交換協(xié)議面臨的復(fù)雜多樣的網(wǎng)絡(luò)威脅和攻擊手段，采取更加有效的信息安全技術(shù)和方法，不斷改進Internet密鑰交換協(xié)議，堵塞可能的安全漏洞和隱患，從而滿足日益增長的網(wǎng)絡(luò)安全應(yīng)用要求。

參考文獻

[1] D.Harkins，D. Carrel.Internet key exchange. RFC 2409，Nov 1998.

[2] William Stallings，Lawrie Brown.計算機安全原理與實踐.北京：機械工業(yè)出版社，2008：166～180.

[3] 黃永鋒.IKE協(xié)議改進及其實現(xiàn)框架[碩士論文].鎮(zhèn)江：江蘇大學(xué).2005.

[4]張紅旗.信息網(wǎng)絡(luò)安全.北京：清華大學(xué)出版社，2002：106～107.

[5]William Stallings著.網(wǎng)絡(luò)安全要素——應(yīng)用與標(biāo)準(zhǔn).北京：人民郵電出版社，2000.

篇10

1 研究背景

近年來，全球的數(shù)據(jù)網(wǎng)絡(luò)正以令人驚奇的速度發(fā)展，為信息的交流和經(jīng)濟的發(fā)展提供了高效的工具和便利的平臺。隨著電力建設(shè)的飛速發(fā)展，電力自動化數(shù)據(jù)網(wǎng)絡(luò)也迅速擴大，正在向全面覆蓋所有的電力企業(yè)邁進，電力系統(tǒng)數(shù)字化已是大勢所趨。電力調(diào)度自動化系統(tǒng)、配電自動化系統(tǒng)、電量計費系統(tǒng)、電力市場技術(shù)支持系統(tǒng)及交易系統(tǒng)、電力客戶服務(wù)中心系統(tǒng)、變電站自動化系統(tǒng)、發(fā)電廠監(jiān)控系統(tǒng)、MIS 系統(tǒng)等，無一不是以高速的數(shù)據(jù)傳輸與交換為基本手段而建設(shè)的。電力自動化數(shù)據(jù)通信網(wǎng)絡(luò)利用因特網(wǎng)、無線網(wǎng)等的工具和平臺，在提高數(shù)據(jù)傳輸效率、減少開發(fā)維護工作量的同時，也帶來了新的問題，這就是內(nèi)部機密信息在網(wǎng)絡(luò)上的泄密、以及被攻擊破壞等。

隨著計算機運算性能的提高，通信技術(shù)的不斷發(fā)展，電力通信協(xié)議也在不斷的改進，以適應(yīng)通信數(shù)據(jù)類別、流量和實時性的要求。IEC60870規(guī)約系列規(guī)定了電力遠(yuǎn)動、繼電保護數(shù)據(jù)、電能計費等多個方面的通信協(xié)議，甚至出現(xiàn)了104網(wǎng)絡(luò)通信規(guī)約，以適應(yīng)網(wǎng)絡(luò)RTU在電力系統(tǒng)中的應(yīng)用。各項信息安全技術(shù)也開始得到廣泛的應(yīng)用，但是仍然是以以下觀點為基礎(chǔ)開展的，電力數(shù)據(jù)網(wǎng)絡(luò)的信息安全研究應(yīng)該有所突破：

（1）電力通信網(wǎng)絡(luò)的兩個隔離。物理隔離作為國家的明文規(guī)定是建立在網(wǎng)絡(luò)條件不如人意，網(wǎng)絡(luò)威脅依然嚴(yán)重的情況下的，需要看到電力信息系統(tǒng)的開放性將是主流方向，基礎(chǔ)研究應(yīng)該突破這個框架開展一些前瞻性的工作。（2）重點防護監(jiān)控系統(tǒng)，對通信數(shù)據(jù)網(wǎng)絡(luò)的信息安全重視不足。雖然通信網(wǎng)絡(luò)的安全威脅相比而言較小，但是由于電力通信對實時性和可靠性的要求，使得通信數(shù)據(jù)網(wǎng)絡(luò)與電力監(jiān)控系統(tǒng)的信息安全同等重要。（3）認(rèn)為電力自動化通信沒有安全問題，或者認(rèn)為還不值得深入研究，電力信息使得任何安全研究都不能不重視其實時性的要求，因此自動化通信的信息安全研究開展不多，還需要進行大量的研究。

2 電力系統(tǒng)無線通信對于信息安全的需求

電力自動化管理系統(tǒng)無線網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)非常混雜，從加密的技術(shù)角度來區(qū)分，可分為實時數(shù)據(jù)和非實時數(shù)據(jù)兩類。

2.1 實時數(shù)據(jù)的數(shù)據(jù)特點

無線網(wǎng)絡(luò)中傳輸?shù)膶崟r數(shù)據(jù)，其通信規(guī)約對時間的要求很嚴(yán)格，不允許較大的傳輸延遲；另一方面，實時數(shù)據(jù)的數(shù)據(jù)量相對較小，且數(shù)據(jù)流量比較穩(wěn)定。主要包括：

（1）下行數(shù)據(jù)。包括遙控、遙調(diào)和保護裝置及其他自動裝置的整定值信息等。這類數(shù)據(jù)與設(shè)備狀態(tài)相關(guān)，直接影響到電網(wǎng)的安全運行。安全要求和實時要求都很高。（2）上行數(shù)據(jù)。包括遙信、重要遙測、事件順序記錄（SOE）信息等。這類數(shù)據(jù)是電網(wǎng)穩(wěn)定運行的判據(jù)，也是調(diào)度決策的依據(jù)，實時性要求很高。管理數(shù)據(jù)。如負(fù)荷管理、停電計劃等管理信息系統(tǒng)（MIS）的重要管理數(shù)據(jù)。這類數(shù)據(jù)對保密性有一定要求。實時數(shù)據(jù)其數(shù)據(jù)流量穩(wěn)定且時效性快，但是要求實時性高、可靠性高，其保密性和數(shù)據(jù)完整性的要求也高，因此對實時數(shù)據(jù)加密必須慎之又慎。

2.2 非實時數(shù)據(jù)的數(shù)據(jù)特點

無線網(wǎng)絡(luò)中傳輸?shù)姆菍崟r數(shù)據(jù)，其數(shù)據(jù)量一般較大，但時效性不高，可以允許一定的傳輸延遲。它主要包括電力設(shè)備的維護日志、電力用戶的電能質(zhì)量信息等。非實時數(shù)據(jù)實時性要求不高，但是對數(shù)據(jù)完整性和保密性有一定的要求，在數(shù)據(jù)加密中要注意選擇合適的算法。

3 電力自動化系統(tǒng)的安全漏洞及解決方案

電力自動化應(yīng)用系統(tǒng)，不論是電力負(fù)荷管理系統(tǒng)、電能量管理系統(tǒng)或是其它的應(yīng)用系統(tǒng)，它的網(wǎng)絡(luò)結(jié)構(gòu)框圖都可以歸納成圖1所示。

3.1 中心站的安全隱患及解決方法

應(yīng)用系統(tǒng)都有一個中心站，它包括前置機、服務(wù)器等硬件設(shè)備及配套的管理軟件，它負(fù)責(zé)接收各個子站上傳的數(shù)據(jù)并通過管理軟件對數(shù)據(jù)進行分析、歸納和管理；另一方面，它也維護各個子站正常運行，并以下發(fā)命令的方式對子站進行操作管理；而且中心站還是本應(yīng)用系統(tǒng)與其它的電力自動化應(yīng)用系統(tǒng)進行數(shù)據(jù)共享和管理的一個數(shù)據(jù)接口。一般來說，中心站和子站之間以及中心站和其它應(yīng)用系統(tǒng)之間的數(shù)據(jù)傳輸都是通過有線傳輸（如光纖）進行的。

中心站既是內(nèi)部通信子站數(shù)據(jù)集中的一個節(jié)點，也是應(yīng)用系統(tǒng)與外部進行數(shù)據(jù)收發(fā)的一個接口。只要攻擊者侵入了該節(jié)點，整個系統(tǒng)的數(shù)據(jù)就相當(dāng)于暴露在了入侵者的面前。而且一旦中心站出現(xiàn)了故障，即使其它的通信子站均運行正常，整個系統(tǒng)也無法正常工作了。正由于它的重要性和脆弱性，因此對于中心站就更是要進行重點防護。防火墻就是一種有效的網(wǎng)絡(luò)安全保護措施，它可以按照用戶事先規(guī)定好的方案控制信息的流入和流出，監(jiān)督和控制使用者的操作。防火墻大量的應(yīng)用于企業(yè)中，它可以作為不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間的信息的出入口，能根據(jù)企業(yè)的安全策略控制出入網(wǎng)絡(luò)的信息流，且本身具有較強的抗攻擊能力。它是提供信息安全服務(wù)，實現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。在邏輯上，防火墻是一個分離器，一個限制器，也是一個分析器，它能有效地監(jiān)控內(nèi)部網(wǎng)和 Internet之間的任何活動，保證內(nèi)部網(wǎng)絡(luò)的安全。

防火墻的目的是在內(nèi)部、外部兩個網(wǎng)絡(luò)之間建立一個安全控制點，通過允許、拒絕或重新定向經(jīng)過防火墻的數(shù)據(jù)流，實現(xiàn)對進、出內(nèi)部網(wǎng)絡(luò)的服務(wù)和訪問的審計和控制。一般的防火墻都可以達到以下目的：一是可以限制他人進入內(nèi)部網(wǎng)絡(luò)，過濾掉不安全服務(wù)和非法用戶；二是防止入侵者接近你的防御設(shè)施；三是限定用戶訪問特殊站點；四是為監(jiān)視Internet安全提供方便。由于防火墻假設(shè)了網(wǎng)絡(luò)邊界和服務(wù)，因此更適合于相對獨立的網(wǎng)絡(luò)，例如Intranet 等種類相對集中的網(wǎng)絡(luò)。防火墻正在成為控制對網(wǎng)絡(luò)系統(tǒng)訪問的非常流行的方法。事實上，在Internet上的Web網(wǎng)站中，超過三分之一的Web網(wǎng)站都是由某種形式的防火墻加以保護，這是對黑客防范最嚴(yán)，安全性較強的一種方式，任何關(guān)鍵性的服務(wù)器，都建議放在防火墻之后。可見，防火墻處于可信網(wǎng)絡(luò)和不可信網(wǎng)絡(luò)邊界的位置，是可信網(wǎng)絡(luò)和不可信網(wǎng)絡(luò)數(shù)據(jù)交換的“門戶”，用來防止未經(jīng)授權(quán)的通信進出被保護的內(nèi)部網(wǎng)絡(luò)，通過邊界控制強化內(nèi)部網(wǎng)絡(luò)的安全策略，其性能、可用性、可靠性、安全性等指標(biāo)在很大程度上決定了網(wǎng)絡(luò)的傳輸效率和傳輸安全。防火墻是網(wǎng)絡(luò)安全策略的有機組成部分，它通過控制和監(jiān)測網(wǎng)絡(luò)之間的信息交換和訪問行為來實現(xiàn)對網(wǎng)絡(luò)安全的有效管理，從總體上來看，防火墻的基本功能有兩個：一是隔離，使內(nèi)部網(wǎng)絡(luò)不與外部網(wǎng)絡(luò)進行物理直接連接；二是訪問控制，是進出內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包按照安全策略有選擇地轉(zhuǎn)發(fā)。圍繞這兩個基本功能，大量與安全有關(guān)的網(wǎng)絡(luò)技術(shù)和安全技術(shù)被綜合進防火墻設(shè)備中，使防火墻地功能不斷擴展，性能不斷提高。概括地說，功能較完善的防火墻采用了以下安全技術(shù)：

3.1.1 多級的過濾控制技術(shù)

一般采用了三級過濾措施，并輔以鑒別手段。在分組過濾一級，能過濾掉所有的源路由分組和假冒的IP源地址；在應(yīng)用級網(wǎng)關(guān)一級，能利用FTP、SMTP等各種網(wǎng)關(guān)，控制和監(jiān)測Internet提供的所有通用服務(wù)；在電路網(wǎng)關(guān)一級，實現(xiàn)內(nèi)部主機與外部站點的透明連接，并對服務(wù)的通行實行嚴(yán)格控制。

3.1.2 網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)（NAT）

利用NAT技術(shù)能透明地對所有內(nèi)部地址作轉(zhuǎn)換，使外部網(wǎng)絡(luò)無法了解內(nèi)部網(wǎng)絡(luò)的拓?fù)湫畔ⅲ瑫r允許內(nèi)部網(wǎng)絡(luò)使用自己編的IP地址和專用網(wǎng)絡(luò)，防火墻能詳盡記錄每一個主機的通信，確保每個分組送往正確的地址。

3.1.3 用戶鑒別與加密

為了降低防火墻產(chǎn)品在Telnet、FTP等服務(wù)和遠(yuǎn)程管理上的安全風(fēng)險，鑒別功能必不可少，防火墻采用一次性使用的口令字系統(tǒng)來作為用戶的鑒別手段，并實現(xiàn)了對郵件的加密。

3.1.4 審計和告警

對網(wǎng)絡(luò)事件進行審計，如果發(fā)現(xiàn)入侵行為將以發(fā)出郵件、聲響等多種方式報警。為了加強自動化應(yīng)用系統(tǒng)的安全水平，需要在系統(tǒng)與其它網(wǎng)絡(luò)的接口之間設(shè)置一套防火墻設(shè)備。這樣既能防止外來的訪問者攻擊系統(tǒng)，竊取或者篡改系統(tǒng)數(shù)據(jù)；同時也能防止內(nèi)部數(shù)據(jù)未經(jīng)允許流向外部網(wǎng)絡(luò)。如圖1所示，在公網(wǎng)通信中，除了自動化系統(tǒng)與其它應(yīng)用系統(tǒng)的接口外，子站采集自終端的數(shù)據(jù)要發(fā)送到中心站，也要通過 Internet網(wǎng)絡(luò)進行傳輸，這就給攻擊者提供了一個侵入的端口。因此要在這兩處均安裝防火墻設(shè)備，來保證系統(tǒng)的安全運行。在專網(wǎng)通信中，由于整個通信網(wǎng)絡(luò)是一個相對獨立的網(wǎng)絡(luò)，因此中心站了通信子站之間就不必加裝防火墻了。

3.2 無線終端的安全防護手段

無論是哪種無線網(wǎng)絡(luò)，都有若干數(shù)量的無線終端，它們是通信系統(tǒng)的最基本的組成結(jié)構(gòu)，通過通信子站與中心站進行通信。因為無線終端的數(shù)據(jù)眾多，也使它們往往成為系統(tǒng)安全漏洞所在。對于應(yīng)用系統(tǒng)而言，保護系統(tǒng)信息安全與保護系統(tǒng)業(yè)務(wù)正常是同等重要的。保護系統(tǒng)信息安全首先必須保證信息訪問的安全性，要讓不該看到信息的人不能看到，不該操作信息的人不能操作。這方面，一是要依靠身份認(rèn)證技術(shù)來給信息的訪問加上一把鎖，二是要通過適當(dāng)?shù)脑L問控制模型顯式地準(zhǔn)許或限制訪問能力及范圍。這就引出了兩種信息安全技術(shù)：身份認(rèn)證技術(shù)及訪問控制技術(shù)。通過這兩種技術(shù)手段，就能有效的解決以上的兩個安全問題。對于自動化應(yīng)用系統(tǒng)來說，系統(tǒng)內(nèi)的終端用戶只是采集電力用戶數(shù)據(jù)并上傳給服務(wù)器，并不存在越權(quán)訪問系統(tǒng)信息的問題。因此采用身份認(rèn)證技術(shù)就足以解決無線終端的信息保護問題了。

身份認(rèn)證是指被認(rèn)證對象向系統(tǒng)出示自己身份證明的過程，通常是獲得系統(tǒng)服務(wù)所必須的第一道關(guān)卡。身份認(rèn)證需要證實的是實體本身，而不是象消息認(rèn)證那樣證實其合法性、完整性。身份認(rèn)證的過程一般會涉及到兩方面的內(nèi)容識別和驗證。識別，就是要對系統(tǒng)中的每個合法注冊的用戶具有識別能力，要保證識別的有效性，必須保證任意兩個不同的用戶都不能具有相同的標(biāo)識符。驗證是指訪問者聲明自己的身份后，系統(tǒng)還必須對它聲稱的身份進行驗證。標(biāo)識符可以是非秘密的，而驗證信息必須是秘密的。

身份認(rèn)證系統(tǒng)有兩方認(rèn)證和三方認(rèn)證兩種形式兩方認(rèn)證系統(tǒng)由被認(rèn)證對象和認(rèn)證方組成，被認(rèn)證對象出示證件，提出操作要求，認(rèn)證方檢驗被認(rèn)證對象所提供證件的合法性和有效性三方認(rèn)證系統(tǒng)除了被認(rèn)證對象和認(rèn)證方外，還有一個仲裁者，由雙方都信任的人充當(dāng)仲裁和調(diào)節(jié)。建立一個身份認(rèn)證系統(tǒng)的應(yīng)滿足的是：1）可識別率最大化：認(rèn)證方正確識別合法被認(rèn)證對象身份的概率最大化；2）可欺騙率最小化：攻擊者偽裝被認(rèn)證對象欺騙認(rèn)證方的成功率最小化；3）不可傳遞性：認(rèn)證方不可以用被認(rèn)證對象提供的信息來偽裝被認(rèn)證對象；4）計算有效性：實現(xiàn)身份認(rèn)證所需的計算量要小；5）安全存儲：實現(xiàn)身份認(rèn)證所需的參數(shù)能夠安全的存儲；6）第三方可信賴性：在三方認(rèn)證的系統(tǒng)中，第三方必須是雙方都信任的人或組織或可信安全性身份認(rèn)證系統(tǒng)所使用的算法的安全性是可證明和可信任的。

電力自動化系統(tǒng)內(nèi)部使用身份認(rèn)證技術(shù)，在每一個無線終端的實體上增加了一道安全防護，如圖2 所示。在進行數(shù)據(jù)傳輸之前，驗證對方是否是系統(tǒng)內(nèi)的合法用戶。可以防止入侵者偽裝成內(nèi)部用戶，獲取系統(tǒng)數(shù)據(jù)。

3.3 保護系統(tǒng)信息安全的常用方案-算法加密

除了以上的信息安全技術(shù)之外，算法加密技術(shù)是一種被普遍應(yīng)用的安全技術(shù)。它在發(fā)送方將要發(fā)送的數(shù)據(jù)根據(jù)一定的算法進行加密，變成不可識別的密文；而在接收方通過對應(yīng)的解密算法再將密文轉(zhuǎn)化為明文。從而保證數(shù)據(jù)在傳輸過程中的保密性。

4 結(jié)論

該文研究了電力自動化無線通信系統(tǒng)中的信息安全問題。隨著電力自動化無線通信技術(shù)的快速發(fā)展，對網(wǎng)絡(luò)信息安全的要求也不斷提高。無線通信技術(shù)有著其自身的特點，要求的安全解決方案也與其他不同。需要既保證無線信道的帶寬，又要有效地提高系統(tǒng)的安全防護強度。

參考文獻

[1] 孫毅，唐良瑞，杜丹.配電自動化中的通信網(wǎng)解決方案[J].燕山大學(xué)學(xué)報，2004，5（28）：423-426.

篇11

一、網(wǎng)上銀行身份認(rèn)證設(shè)備存在的問題

1．靜態(tài)密碼技術(shù)。銀行登錄方式分兩種，一種是采用“卡號＋密碼”的方式登錄，此類技術(shù)代表為網(wǎng)上個人銀行大眾版，卡號、密碼的保管非常重要，如果卡號和密碼不慎被他人取得，他人即可通過網(wǎng)上銀行大眾版通過轉(zhuǎn)賬、網(wǎng)上支付卡轉(zhuǎn)賬等方式竊取客戶賬戶資金。另一種是采用“用戶名+登錄密碼”的方式登錄，此種方式較為安全，在安全設(shè)計上有考慮到用戶的需要，既滿足了用戶查詢相關(guān)信息的需要，又保證了用戶資料的安全，同時把查詢和支付、轉(zhuǎn)賬等業(yè)務(wù)分開，增加安全系數(shù)。

2．動態(tài)口令卡、動態(tài)口令牌、手機動態(tài)口令。電子口令卡是指以矩陣形式印有若干字符串的卡片，每個字符串對應(yīng)一個唯一的坐標(biāo)。使用電子銀行口令卡會存在卡片丟失或被窺視、拍照、復(fù)印等非技術(shù)風(fēng)險；動態(tài)口令牌是一種內(nèi)置電源、密碼生成芯片和顯示屏、根據(jù)專門的算法每隔一定時間自動更新動態(tài)口令的專用硬件。2011年1月以來，國內(nèi)多省市發(fā)生以“E令卡網(wǎng)上銀行升級”為名，通過手機短信和制作克隆網(wǎng)站實施詐騙的案件。手機動態(tài)口令是利用手機作為隨機密碼生成或者接受終端，用戶在登錄應(yīng)用系統(tǒng)時候，輸入手機上的生成或者接收到的密碼不停變化的隨機密碼，但是手機的缺點是容易被監(jiān)聽，被犯罪分子截取密碼。

3．證書用戶。目前網(wǎng)上銀行應(yīng)用最普遍的基于PKI體系的數(shù)字簽名產(chǎn)品是USBKEY，它是一種USB接口的硬件設(shè)備，內(nèi)置國密安全芯片，有一定的存儲空間，可以存儲用戶的私鑰以及數(shù)字證書，利用USB Key內(nèi)置的公鑰算法實現(xiàn)對用戶身份的認(rèn)證。第一代USBKEY產(chǎn)品解決了用戶私有信息的傳輸安全問題，有效預(yù)防了基于釣魚網(wǎng)站的詐騙事件的發(fā)生。但是在交換操作方面還存在隱患，當(dāng)用戶長時間插入USBKEY時，黑客可以通過木馬截獲PIN碼，遠(yuǎn)程控制，冒用客戶的USB Key進行身份認(rèn)證，發(fā)生騙簽事件。

二、網(wǎng)上銀行身份認(rèn)證方案及防范措施

1．認(rèn)證方案。在現(xiàn)在的三種認(rèn)證方案中，可以說沒有哪一種是絕對的安全。在網(wǎng)銀發(fā)展的初期，以市場推廣為主要訴求，以方便性和高性價比來滿足市場初期需要，對系統(tǒng)需求和身份認(rèn)證機制的安全性放在第二位來考慮，因此首先出現(xiàn)的是基于靜態(tài)密碼的大眾版網(wǎng)上銀行。然而隨著利用釣魚網(wǎng)站進行詐騙事件的逐漸增多，國內(nèi)眾多商業(yè)銀行的身份認(rèn)證產(chǎn)品開始轉(zhuǎn)向推廣更加安全的USBKEY電子簽名設(shè)備。但是隨著騙簽事件的增多，網(wǎng)上銀行何去何從？借鑒國內(nèi)最好的網(wǎng)上第三方支付“支付寶”的身份認(rèn)證解決方案，本人認(rèn)為在現(xiàn)階段，網(wǎng)上銀行應(yīng)該使用USBKEY+手機短信檢驗碼的認(rèn)證方式，每一筆網(wǎng)上交易需要登錄密碼+支付密碼+U盾+U盾密碼+手機短信檢驗碼完成，非常安全。在未來的網(wǎng)上銀行身份認(rèn)證發(fā)展中，可能會用到指紋液晶KEY方案，用指紋液晶KEY登陸網(wǎng)銀是在KEY上進行指紋認(rèn)證以代替從電腦鍵盤輸入PIN碼，并在KEY上顯示交易信息，從物理上徹底杜絕黑客攻擊的途徑，從而有效防止網(wǎng)站釣魚、遠(yuǎn)程挾持、信息篡改、騙簽等安全隱患。

2．防范措施。銀行應(yīng)該增強服務(wù)意識，出現(xiàn)問題后，不要總是把問題都推到用戶身上，應(yīng)該多想想銀行本身的問題，應(yīng)該多做一些事情服務(wù)好用戶。例如對于USB Key騙簽事件，銀行應(yīng)該在用戶進行每一筆網(wǎng)上交易中給予適當(dāng)?shù)奶崾荆谛枰迦險SB Key時，彈出對話框提示用戶插入，在完成交易后，馬上彈出一個對話框，提示用戶已經(jīng)完成交易，請及時拔走USB Key，這樣做相信騙簽事件發(fā)生的機率會很低。目前廣大網(wǎng)民對電子支付和網(wǎng)上銀行市場的認(rèn)知程度還很有限，銀行在對用戶進行網(wǎng)上銀行安全的宣傳、推廣和教育上應(yīng)承擔(dān)相應(yīng)責(zé)任。例如本人作為工商銀行U盾客戶已經(jīng)有6年時間，在撰寫本論文時查閱大量資料，發(fā)現(xiàn)原來工商銀行早在2008年就已經(jīng)提供USBKEY+手機動態(tài)檢驗碼的認(rèn)證方式，但是本人及周圍對網(wǎng)上銀行安全性要求較高的用戶都不知情。首先應(yīng)該選擇一種安全的支付方式，寧愿多支付安全成本，保證資金安全，也不選擇安全性不好的支付方式，同時應(yīng)該增強網(wǎng)上支付安全意識，培養(yǎng)良好的網(wǎng)上支付習(xí)慣。

篇12

1 引言

隨著校園網(wǎng)絡(luò)建設(shè)的不斷發(fā)展,越來越多的高校都在進行數(shù)字化校園的建設(shè)。利用先進的信息化手段和工具,實現(xiàn)從環(huán)境、資源到活動的數(shù)字化,學(xué)校各部門、院系陸續(xù)建設(shè)了各種業(yè)務(wù)應(yīng)用系統(tǒng),如教務(wù)管理、人事管理、學(xué)籍管理、科研管理等等。其中不乏很多基于Web提供公共服務(wù)的系統(tǒng),由于這些系統(tǒng)相互獨立,用戶在使用每個應(yīng)用系統(tǒng)之前都必須進行相應(yīng)的系統(tǒng)身份認(rèn)證,為此用戶必須記住每一個系統(tǒng)的用戶名和密碼,這給用戶帶來諸多不便。特別是隨著系統(tǒng)的增多,出錯的可能性就會增加,用戶信息受到非法截獲和破壞的可能性也會增大,安全性就會相應(yīng)降低。而且,用戶每訪問一個不同的應(yīng)用系統(tǒng),便需要重新登陸一次,嚴(yán)重影響了用戶的體驗同時不利于統(tǒng)一管理。

鑒于此,單點登錄技術(shù)應(yīng)運而生,它是一套身份認(rèn)證機制,用來實施在多個獨立的應(yīng)用系統(tǒng)中,用戶只需要登錄一次就可以訪問所有相互信任的應(yīng)用系統(tǒng),無需再次登錄,避免了應(yīng)用系統(tǒng)的重復(fù)開發(fā)和數(shù)據(jù)同步更新問題,便于系統(tǒng)之間的資源共享,促進網(wǎng)絡(luò)的應(yīng)用和發(fā)展。對所有應(yīng)用系統(tǒng)的訪問,都必須從一個單點進行登錄認(rèn)證。成功通過認(rèn)證的用戶可以訪問到所有的Web應(yīng)用系統(tǒng),切換時不受限制,增強了用戶體驗;本文介紹了單點登錄的認(rèn)證機制,分析了單點登錄的實現(xiàn)模式,最后結(jié)合實踐實現(xiàn)了一套簡單高效的單點登錄系統(tǒng)。

2 SSO的認(rèn)證機制

單點登錄(Single Sign On),簡稱為SSO,是目前比較流行的企業(yè)業(yè)務(wù)整合的解決方案之一。SSO的定義是在多個應(yīng)用系統(tǒng)中,用戶只需要登錄一次就可以訪問所有相互信任的應(yīng)用系統(tǒng)。它包括可以將這次主要的登錄映射到其他應(yīng)用中用于同一個用戶的登錄的機制。SSO體系結(jié)構(gòu)如圖1所示。

當(dāng)用戶第一次訪問應(yīng)用系統(tǒng)1的時候,因為還沒有登錄,會被引導(dǎo)到認(rèn)證系統(tǒng)中進行登錄;根據(jù)用戶提供的登錄信息,認(rèn)證系統(tǒng)進行身份效驗,如果通過效驗,應(yīng)該返回給用戶一個認(rèn)證的憑據(jù)――ticket;用戶再訪問別的應(yīng)用的時候就會將這個ticket帶上,作為自己認(rèn)證的憑據(jù),應(yīng)用系統(tǒng)接受到請求之后會把ticket送到認(rèn)證系統(tǒng)進行效驗,檢查ticket的合法性。如果通過效驗,用戶就可以在不用再次登錄的情況下訪問應(yīng)用系統(tǒng)2和應(yīng)用系統(tǒng)3了。

3 SSO現(xiàn)有技術(shù)

目前市場上出現(xiàn)了眾多的SSO產(chǎn)品,例如Microsoft公司.net中的Passport, IBM WebSphere Portal Server, BEA的WebLogic,Netegrity SiteMinder,Oracle9 iAS Portal Server等。雖然每個SSO產(chǎn)品的實現(xiàn)機制都不盡相同,但這些產(chǎn)品的實現(xiàn)機制都遵循一種通用的模式。它由三個主要部分組成:入口檢查單元、身份認(rèn)證單元和用戶憑證存儲單元。

WebSphere通過Cookie記錄認(rèn)證信息,WebLogic則是通過Session共享認(rèn)證信息。Cookie是一種客戶端機制,它存儲的內(nèi)容主要包括:名字、值、過期時間、路徑和域,路徑與域結(jié)合在一起就構(gòu)成了Cookie的作用范圍,因此用Cookie方式可實現(xiàn)SSO,但域名必須相同; Session是一種服務(wù)器端機制,當(dāng)客戶端訪問服務(wù)器時,服務(wù)器為客戶端創(chuàng)建一個惟一的Session ID,以使在整個交互過程中始終保持狀態(tài),而交互的信息則可由應(yīng)用自行指定,因此用Session方式實現(xiàn)SSO,不能在多個瀏覽器之間實現(xiàn)單點登錄,但卻可以跨域。

4 系統(tǒng)設(shè)計與實現(xiàn)

本文在研究SSO技術(shù)的基礎(chǔ)上,采用登錄時自動生成在所有系統(tǒng)的驗證標(biāo)志實現(xiàn)了一個簡單高效的單點登錄系統(tǒng)。目前我校在數(shù)字化校園建設(shè)的基礎(chǔ)上實現(xiàn)了本科學(xué)分制系統(tǒng)、研究生信息管理系統(tǒng)、選課系統(tǒng)、工會會員管理系統(tǒng)、研究生信息管理系統(tǒng)、二級學(xué)院信息管理系統(tǒng)、學(xué)分制信息交流平臺等一系列基于Web的信息系統(tǒng),登錄用戶名都是采用校園一卡通的方式,用戶登錄不同系統(tǒng)每次都要輸入用戶名和密碼信息進行驗證,給用戶造成不便。由于LDAP查詢效率高,可以進行訪問控制以及含有豐富的API與各種應(yīng)用系統(tǒng)對接,安裝管理維護也很簡單,所以校園網(wǎng)的單點登錄基于LDAP來實現(xiàn)。

實現(xiàn)方法為:將各個子系統(tǒng)的登錄頁面放置于框架頁面中,在框架的頁面隱藏其他子系統(tǒng)的登錄頁面,當(dāng)點擊“登錄”時觸發(fā)JS事件把當(dāng)前的用戶名/密碼提交到其他子系統(tǒng)的登陸頁面中。這樣一次登錄,其他所有系統(tǒng)也就登錄了。框架頁面如圖2所示:

首先在系統(tǒng)入口輸入用戶名、密碼進行登錄,從客戶端發(fā)送的認(rèn)證請求通過統(tǒng)一身份認(rèn)證接口到達LDAP服務(wù)器,LDAP服務(wù)器在目錄信息樹中查詢是否為合法身份,進行身份認(rèn)證和根據(jù)身份授予相應(yīng)的權(quán)限,通過統(tǒng)一身份認(rèn)證接口返回給客戶端。成功登錄后,可以直接單擊相應(yīng)子系統(tǒng)鏈接直接進入子系統(tǒng),不需要再次輸入登錄信息,帶來了更好的用戶體驗。

主要代碼如下:

1) 系統(tǒng)入口端

if(!username.equals("")&&!pwd.equals("")){//表單輸入不為空

Cert cert = new Cert();

UserLogin userLogin = new UserLogin();

userLogin.setUid(username);

userLogin.setPassword(pwd);

userInfo=cert.checkUserInfo("", 6002, 5000, "210.35.207.160", "portal", "210.35.207.160", userLogin, 0);//以上對客戶端輸入進行統(tǒng)一身份認(rèn)證

if(userInfo!=null){//用戶存在的話

getUid=userInfo.getUid();//得到一卡通號

session.setAttribute("username",getUid);//將用戶名放入Session

session.setAttribute("pwd",pwd); //將密碼放入Session

}}

研究生管理//單擊觸發(fā)JS事件將用戶名密碼提交到其他子系統(tǒng)中

function submit_to(url,target){

pageForm.action=url;

pageForm.target=target;

pageForm.submit();}

//提交表單的JS事件

2) 其他子系統(tǒng)端

String username=request.getParameter("username");

String pwd=request.getParameter("pwd");

loginform.username.value="";

loginform.password.value="";

loginform.submit();

5 結(jié)束語

本文在研究了單點登錄技術(shù)及其實現(xiàn)模式的基礎(chǔ)上,實現(xiàn)了一套簡單高效的單點登錄系統(tǒng)。使用戶只進行一次登錄認(rèn)證,便能在所有應(yīng)用系統(tǒng)之間自由穿行,而不需要進行多次身份認(rèn)證,建立了一種更安全的登錄方式,將多個系統(tǒng)獨立的用戶管理融合為統(tǒng)一用戶管理。此方法幾乎可以不要修改過多的代碼,而且可以用于所有的多系統(tǒng)情況,可以跨平臺,跨服務(wù)器。簡單高效。缺點是登錄完后,如果沒有在各個子系統(tǒng)切換,那使用SESSION的子系統(tǒng)可能會發(fā)生超時現(xiàn)象。可以在其他子系統(tǒng)包含文件中用IFRAME的方式包含其他子系統(tǒng)的更新在線狀態(tài)的頁面來解決,也可考慮基于Cookie的方式,這個有待于進一步研究。

參考文獻:

[1] 曾琴濤.基于Java平臺的Web應(yīng)用系統(tǒng)單點登陸方案研究與實現(xiàn)[D].中國地質(zhì)大學(xué)碩士學(xué)位論文,2008

[2] 皮曉東.單點登錄的研究與實現(xiàn)[J].計算機應(yīng)用與軟件,2007(6).

篇13

一、技術(shù)應(yīng)用背景

目前國內(nèi)大部分地區(qū)220KV和110KV變電站都已實現(xiàn)無人值班技術(shù)，進入了由集控中心統(tǒng)一監(jiān)控階段。一個集控中心一般監(jiān)控7～10個變電站，變電站站內(nèi)開關(guān)和刀閘操作都通過集控中心遙控操作。在運行監(jiān)控特別是拉閘限電期間，集控中心的遙控操作非常頻繁，夏季期間平均每天要通過遙控操作拉限電100多條次。在這些頻繁操作中，目前集控中心監(jiān)控系統(tǒng)采用“用戶ID+密碼”的方式進行用戶身份認(rèn)證和權(quán)限控制。每一步操作都需要輸入操作人用戶名、監(jiān)護人用戶名及相應(yīng)密碼，一方面這些步驟需要花費較多時間，使得調(diào)度指令執(zhí)行不及時，且容易分散操作注意力；另一方面由于經(jīng)常操作，密碼比較簡單，操作人員相互之間都知道，密碼失去保密作用，容易發(fā)生操作人冒名監(jiān)護人進行單人操作。這不但使集控中心監(jiān)控系統(tǒng)存在安全隱患，更主要的是將對供電安全產(chǎn)生嚴(yán)重的安全威脅。為解決“用戶ID+密碼”認(rèn)證方式所出現(xiàn)的弊端，故提出將指紋識別技術(shù)應(yīng)用于集控中心監(jiān)控系統(tǒng)，以實現(xiàn)用戶對變電站設(shè)備進行控制前的身份認(rèn)證。

二、指紋識別技術(shù)研究

每個人的指紋圖案、斷點和交叉點各不相同，呈現(xiàn)唯一性且終生不變。據(jù)此，我們就可以把一個人同他的指紋對應(yīng)起來，通過他的指紋和預(yù)先保存的指紋數(shù)據(jù)進行比較，就可以驗證他的真實身份，這就是指紋識別技術(shù)。指紋識別技術(shù)可稱為人體密碼，是模式識別領(lǐng)域中使用最早的，也是最為成熟的生物鑒定技術(shù)，它是集傳感器技術(shù)、生物技術(shù)、電子技術(shù)、數(shù)字圖像處理、模式識別于一體的高新技術(shù)。

（一）指紋識別方案設(shè)計

在用戶登入電力監(jiān)控系統(tǒng)前，首先集取集控中心操作人員指紋，本系統(tǒng)采用光電傳感器作為指紋取像設(shè)備，并通過USB接口與監(jiān)控系統(tǒng)服務(wù)器連接。指紋的圖形及其他相關(guān)特征集取下來后傳送至指紋采集程序中，經(jīng)過運算及統(tǒng)計，在所采集圖形中找出該指紋具有所謂“人人不同且終身不變的特性”的相關(guān)特征點，并將之?dāng)?shù)位化。其次在進行遙控操作時，當(dāng)系統(tǒng)需要認(rèn)證操作人用戶身份時，可調(diào)用該指紋的數(shù)位化數(shù)據(jù)，并經(jīng)運算、驗證其與指紋數(shù)據(jù)庫中的比對資料的相似程度，達到一定程度以上的統(tǒng)計相似度，即認(rèn)為通過驗證。然后通過同樣的方法再驗證監(jiān)護人的指紋信息。只有操作用戶和其監(jiān)護人的指紋驗證均通過，且不為同一人時，遙控操作程序才能繼續(xù)執(zhí)行。

（二）識別算法設(shè)計

在指紋識別過程中，我們把識別算法設(shè)計為3個步驟：圖像預(yù)處、指紋特征提取和指紋比對。采集的指紋圖像容易受到各種因素的影響而使圖像質(zhì)量變差，比如手指按壓的方向和力度、皮膚的干濕程度、傳感器的特征差異等。因此，指紋識別算法首先要對指紋圖象進行預(yù)處理，以把有用的前景信息和背景區(qū)分開。在區(qū)分指紋的指紋區(qū)域和非指紋區(qū)域的指紋圖像分割方法中，采用了基于塊的指紋圖像分割方法，這個算法將指紋圖像分割成大小固定的小塊，根據(jù)每一小塊的特性確定該塊是前景（指紋區(qū)）還是背景（非指紋區(qū)）。

經(jīng)過研究分析，我們采用的識別算法為方差法進行圖像分割。指紋圖像的前景區(qū)域由指紋脊線和谷線組成，指紋脊線和谷線是黑白相間的紋理，因此方差比較大，而背景區(qū)域的灰度變化不大，因此方差比較小。基于這一特征，利用圖像的局部方差對指紋圖像進行分割，首先將指紋圖像分成w*w的小塊，計算每一塊圖像的平均灰度值，

aveg（k，l）=■，k=1，…，M；l=1，…，N；

其中g(shù)（i，j）是第（k，l）塊中第i行第J列像素的灰度值。M，N是指紋圖像行塊數(shù)和列塊數(shù)；再計算每一塊圖像的灰度方差：

var（k，l）=■，k=1，…，M；l=1，…，N；

對于每一塊圖像，當(dāng)var（k，l）大于閡值T1時，將其設(shè)為前景，否則設(shè)為背景；最后用3*3鄰域進行平滑，去除孤立圖像塊。然后采用基于塊方向圖計算的方向濾波；接著利用動態(tài)閥值法進行二值化處理，以把指紋灰度圖像轉(zhuǎn)化為僅用0、1表示的二值圖像。對二值化后的二值圖像進行細(xì)化可得到骨架圖象。接下來的特征提取階段采用模板匹配的方法獲取細(xì)節(jié)特征點（端點、分叉點）的位置、方向和類型信息。最后特征匹配則采用基于細(xì)節(jié)特征點匹配的算法。其識別算法流程圖如圖1所示：

圖1指紋識別算法流程

三、監(jiān)控系統(tǒng)身份認(rèn)證設(shè)計與實現(xiàn)

（一）數(shù)據(jù)庫安全設(shè)計

通過兩個方面實現(xiàn)數(shù)據(jù)庫系統(tǒng)信息安全：一是數(shù)據(jù)庫管理系統(tǒng)本身提供的用戶名口令識別、使用權(quán)限控制、審計等管理措施；另一個就是靠應(yīng)用程序設(shè)置的控制管理。作為數(shù)據(jù)庫用戶，最關(guān)心數(shù)據(jù)資料的安全，特別是用戶權(quán)限問題。監(jiān)控系統(tǒng)數(shù)據(jù)庫安全管理主要分為以下幾種：

1．用戶權(quán)限。不同類型的用戶授予不同的數(shù)據(jù)管理權(quán)限。一般將權(quán)限分為3類：數(shù)據(jù)庫登陸權(quán)限、資源管理權(quán)限和數(shù)據(jù)庫管理權(quán)限。

2．?dāng)?shù)據(jù)分類。同一類權(quán)限的用戶，對數(shù)據(jù)庫中數(shù)據(jù)管理和使用的范圍是不同的。DBMS提供了將數(shù)據(jù)分類的功能，即建立視圖，管理員把用戶可查詢的數(shù)據(jù)邏輯上歸并起來，簡稱一個或多個視圖，并賦予名稱，再把該視圖的查詢權(quán)限授予該用戶，也可以授予多個用戶。這種數(shù)據(jù)分類可以進行得很細(xì)，其最小粒度是數(shù)據(jù)庫二維表中一個交叉的元素。

3．審計功能。有兩種方式，即用戶審計和系統(tǒng)審計。用戶審計時，DBMS的審計系統(tǒng)記下所有對自己表或視圖進行訪問的企圖，包括成功的和不成功的，以及每次操作的用戶名、時間、操作代碼等信息。這些信息一般都被記錄在數(shù)據(jù)字典（或叫系統(tǒng)表）里，利用這些信息用戶可以進行審計分析。系統(tǒng)審計由系統(tǒng)管理員進行，其審計內(nèi)容主要是系統(tǒng)一級命令和數(shù)據(jù)庫客體的使用情況。

（二）身份認(rèn)證方式設(shè)計

身份認(rèn)證方式可設(shè)計為以下兩類，認(rèn)證方式可以是下面的任意一種，默認(rèn)首選為指紋認(rèn)證。

1．基于知識的方法來確定身份，如口令或PIN，這種身份認(rèn)證方法的安全性僅僅基于用戶口令或PIN的保密性。

2．基于他或她的獨一無二的生理學(xué)的行為特征來確定身份即生物認(rèn)證，如指紋認(rèn)證。

（三）指紋識別身份認(rèn)證的功能實現(xiàn)

1．需實現(xiàn)的功能。指紋識別功能與監(jiān)控系統(tǒng)功能充分結(jié)合，利用監(jiān)控系統(tǒng)數(shù)據(jù)庫統(tǒng)一管理指紋信息，以實現(xiàn)以下功能：（1）能通過指紋識別出用戶，并根據(jù)該用戶所屬的用戶權(quán)限分配數(shù)據(jù)庫操作權(quán)限；（2）指紋登記記錄直接寫入監(jiān)控系統(tǒng)數(shù)據(jù)庫，維護監(jiān)控系統(tǒng)數(shù)據(jù)庫時即可同時維護指紋庫，不再需要單獨維護指紋庫；（3）所有監(jiān)控系統(tǒng)的操作身份認(rèn)證均可通過指紋認(rèn)證，并詳細(xì)記錄操作日志；（4）讀取操作人員指紋信息后與數(shù)據(jù)庫中的建檔信息進行比對，比對正確后再次讀取監(jiān)護人指紋信息，只有操作用戶和其監(jiān)護人的指紋驗證均通過，且不為同一人時，遙控操作才能繼續(xù)，從而確保控制操作安全。

2．指紋識別功能實現(xiàn)。基于集控中心ON2000系統(tǒng)開發(fā)的指紋采集接口程序利用C++語言在SDK集成開發(fā)境下開發(fā)。SDK軟件包為軟件開發(fā)提供了一個集成的設(shè)計開發(fā)環(huán)境，它有一個包括工程管理、源代碼開發(fā)和基于JTAG調(diào)試功能的圖形界面（GUI）。本數(shù)據(jù)庫指紋身份認(rèn)證系統(tǒng)實現(xiàn)以下功能：

（1）指紋圖像獲取。通過USB接口的指紋采集儀采集活體指紋圖像。根據(jù)上面對指紋圖像采集的分析，采用平面捺印指紋，以提高設(shè)別速度。采集的界面如圖2所示：

圖2指紋采集界面

（2）指紋保存。采集的指紋信息保存在監(jiān)控系統(tǒng)的應(yīng)用數(shù)據(jù)庫中，做到了監(jiān)控系統(tǒng)數(shù)據(jù)庫統(tǒng)一管理和維護。同時將指紋圖像進行了壓縮，大容量的指紋數(shù)據(jù)庫經(jīng)過JPEG壓縮后存儲，以減少存儲空間。數(shù)據(jù)庫中的用戶權(quán)限分配數(shù)據(jù)見表1：

表1用戶權(quán)限分配數(shù)據(jù)表

（3）記錄操作日志。集控中心監(jiān)控系統(tǒng)數(shù)據(jù)庫操作自動調(diào)用指紋身份認(rèn)證程序，同時保留密碼輸入窗口，只有在指紋身份認(rèn)證失敗時，才可進入密碼輸入窗口。通過指紋身份認(rèn)證進行的所有操作等同與通過密碼身份認(rèn)證的操作，并在監(jiān)控系統(tǒng)應(yīng)用數(shù)據(jù)庫中記錄詳細(xì)的操作日志。操作日志記錄所有用戶的操作信息，對數(shù)據(jù)進行自動分類和自動檢索。審計跟蹤用戶的活動，給管理員提供分析的依據(jù)。

（4）用戶權(quán)限驗證。根據(jù)指紋識別系統(tǒng)獲取的用戶信息，完成對運行人員的身份認(rèn)證，確保在集控中心監(jiān)控系統(tǒng)中操作人員為合法的運行值班人員，通過權(quán)限驗證判斷值班人員是否具備需要的權(quán)限，以及確保值班人員只能具備已經(jīng)分配的功能權(quán)限。

四、結(jié)語該

該系統(tǒng)的實施有效防止單人違規(guī)操作、防止非授權(quán)人員進行惡意破壞操作，對電網(wǎng)安全運行提供技術(shù)保障，受到了用戶的一致好評文章將指紋識別技術(shù)應(yīng)用于集控中心監(jiān)控系統(tǒng)，以實現(xiàn)用戶對變電站設(shè)備進行控制前的身份認(rèn)證。同時大大提高集控中心變電運行值班人員的工作效率，縮短遙控操作時間，特別在緊急限電時發(fā)揮了積極作用。

參考文獻

[1]戴平陽．指紋識別技術(shù)研究進展[J]．廈門大學(xué)學(xué)報（自然科學(xué)版），2002，41（6）．