冰川网络实名认证解决方案

冰川网络实名认证解决方案（共4篇）

1.冰川网络实名认证解决方案 篇一

我们知道，一般短距离的收集互联(首要指百兆)都使用五类线，而五类线最年夜毗连距离就是100米，如不美观是质量一般的网线，估量只有50米;如不美观是远距离的毗连，就要使用光缆了，例如城域网之间的互联，都是以几十上百公里来权衡;而如不美观是中等距离的毗连呢?例如一个校园园区或者一个工场厂区，可能需要毗连几百米的距离，这种情形若何解决?

这个问题在我们的论坛上引起过巨匠的强烈热闹谈判，下面我们把诸子百家的定见一一介绍剖析一下：

定见一：用无线收集

这个设法其实是受到此刻无线热点年夜量普及的启发，而且经由过程这种体例也斗劲简单易实现，省去了繁琐的布线工作，不外，一般的无线AP其实并不具备桥接功能，必需使用专业的无线桥接器，这种产物属于无线AP的一个分支，其工作体例跟无线AP其实很是近似，不外它撑持更多的工作模式，如不美观要解决膳缦沔说的问题，可以使用Wireless Repeater(无线中继模式)：

Wireless Repeater(无线中继模式)

中继模式不是所有的AP都撑持，一般的SOHO级AP都不撑持此模式，高端商用AP则年夜多撑持。使用这种模式时，一个接入有线局域网的AP作为中心AP，按照需要可采用“AP模式”，而充傍边继器的AP不接入有线收集，只接电源，使用“中继模式(Repeater)”，并填入“远程AP的MAC地址(Remote AP MAC)”即可，

中继AP将可与中心AP之间进行桥接(注重中继AP要放置在中心AP的笼盖规模内)，同时也可供给自身旌旗灯号笼盖规模内的客户端接入，年夜而延长笼盖规模。一般中心AP最多撑持四个远端鱿柑AP接入。此时全数AP须使用不异的SSID、认证模式、密钥和信道，还要将AP的IP设置为统一网段且不要开DHCP。客户端仍是会认为这是一个年夜规模AP，所以客户端设置仍是跟单一AP的情形不异。

这种中继模式虽然使无线笼盖变得更轻易和矫捷，可是却需要高档AP撑持，而且如不美观中心AP出了问题，则整个WLAN将瘫痪，冗余性无法保障。

如不美观需要毗连的两个点距离再远一些，就可以使用加设定向天线的体例来扩年夜旌旗灯号，这时辰，中继AP就不年夜需要了，因为定向天线已经可以实现长距离的信盛传输，所以用户可以使用点对点桥接模式。

WBridge Point to Point(点对点桥接)

其应用示意如图，两栋建筑物内各有一个局域网：LAN1和LAN2，两个AP:AP- A和AP-B使用点对点桥接模式相连。两个AP都各自连入当地LAN的交流机中，此时这两个AP起到的浸染其实就相当于一根“无形的网线”和桥接器了。

A和B两个AP的设置体例不异，都是在AP的打点界面中选择“桥接模式”，并在“远程桥接MAC地址(Remote Bridge MAC)”中输入对方AP的MAC地址。注重两个AP的IP要在统一网段，且使用不异的信道，可以实现两个有线局域网之间经由过程无线体例的互连和资本共享，也可以实现有线收集的扩展。要注重的是，两个AP都应该采用定向天线。

2.冰川网络实名认证解决方案 篇二

Ad hoc网络与传统移动网络的主要区别是其通信不是依赖固定的网络设施, 而是通过移动节点间的相互协作来完成互连, 即每个用户终端都兼有路由器和主机两种功能。作为主机, 终端需要面向用户的应用程序;作为路由器, 终端需要面向相应的路由协议, 根据路由策略和路由表参与分组转发和路由的维护工作。各节点地位平等, 可以在任何时刻、任何地点, 不需要现有信息网络基础设施的支持, 快速建立起一个移动的通信网络。当节点要与其覆盖范围之外的节点进行通信时, 需要中间节点的多跳转发。它的网络拓扑结构动态变化的, 移动终端通过无线信道形成的网络拓扑结构随时可能发生变化, 而且变化的方式和速度不可预测。

Ad hoc网络适用于在特殊环境 (例如无网络基础设施, 或基础设施已被破坏, 或现有的通信手段不能满足当前需求等情况) 下快速建立一个通信系统, 因此有着广阔的军事和民用前景。

1 Ad hoc安全隐患及解决方案

Ad hoc网络由于自身的特点, 面临非常严重的安全问题, 具体如下:

(1) 无线链路的使用使得Ad hoc网络极易受到攻击, 包括被动监听、主动攻击、信息重放和信息修改等。监听会产生对机密信息的敌意访问;主动攻击中恶意节点可对路由信息进行修改, 让数据经过自己转发, 从而窃取信息。

(2) 漫游在敌对环境中的节点 (不只是外部节点, 也包括内部节点) 缺乏物理的保护, 很容易泄密。采用分布式网络体系结构可以提高网络的生存能力。

(3) 节点频繁地加入和离开网络导致Ad hoc网络的拓扑结构是动态变化的, 而且节点之间的信任关系也是变化的, 必须采用动态变化的安全机制。如何在节点间建立信任关系也成为Ad hoc网络研究的难点之一。

(4) 一个Ad hoc网络可能由上百甚至上千个节点组成, 所以安全协议必须能够扩展以便适用于大规模的网络。

对于网络安全最有效的方式是使用密码技术, 而现代密码学的要点是:一切秘密寓于密钥之中。密码技术的关键在于密钥的生成和管理, 即密钥分发技术。密钥管理系统包括密钥的生成和维护, 其中维护是指由于用户的加入、退出或者由于密钥使用时间过长而必须更改。一个好的密钥管理对于网络的安全起着重要的作用。

2 几种网络密钥管理和认证方案

目前, 存在着很多种网络密钥管理方案, 如有线网络中较为常见的PKI架构, 根据门限密码方案所提出的分布式密钥体制等。可以根据担任密钥发放、管理设备的不同来进行分类。

2.1 单CA式结构

在此方案中把信任关系集中在可信任的第三方认证服务器 (Certificate authority, CA) 上。CA负责整个网络中的密钥管理和认证 (如图1) 。在网络初始化时, 它为网络中的每个节点发放私钥;在网络运行期间, 它负责整个网络中的密钥更新, 并接受各节点的证书查询。各节点使用CA颁发的证书来建立和其他节点的信任关系。建立了信任关系的节点之间通过协商建立起两者之间的会话密钥, 利用会话密钥进行通信。这种管理方案是一种较成熟的方案, 功能已较完善, 可以满足各种安全需求, 目前主要使用在有线网络中。这种网络中, CA处于安全的关键地位, 整个网络的安全很大程度上取决于C A的安全。

但在Ad hoc网络中, 由于各节点的不固定性, 每个节点都可能游离到网络之外, 也有可能遭受攻击, 甚至被敌人俘获。若采用单个CA建立密钥管理服务, 负责整个网络安全, 则CA将成为整个网络的安全弱点。如果CA提供的服务不可用, 节点将不能获得其他节点的公开密钥, 不能与其他节点建立安全连接。如果CA被入侵, 将导致密钥管理系统的私密密钥泄露, 敌对方就能够使用该密钥签发错误的证书, 并废除所有合法的证书, 将给网络带来致命的威胁。

2.2 多级CA式结构

当网络中的节点较多时, 密钥管理和证书发放、证书查询的任务很大, 单CA的运行和通信速度可能成为整个系统的网络运行瓶颈。为了解决这一问题, 产生了多级CA结构。在这样的网络中, 整个网络被化分成很多二级甚至三级、四级网络, 每个小的网络中有一个CA负责密钥管理和证书发放、证书查询, 当涉及到其他小网络中的证书查询时, 它将与上级CA进行联系, 进行查询, 完成任务。多级CA联合起来, 负责整个网络中的密钥管理和证书发放、证书查询 (如图2) 。这样提高了整个网络的速度, 减少了瓶颈发生的可能性。

2.3 部分分布式结构

部分分布式结构出于这样的假设:在Ad hoc网络中单独的节点是不可信的, 但一个节点的集合是可信任的。这样我们就可以将管理全网公开密钥的可信任的第三方认证服务器从一个单独的节点扩展为一个节点的集合。可以解决集中式管理方案中由于单个CA所带来的安全弱点。此方案的模型由两部分组成:由部分节点组成的虚拟CA系统和普通节点。虚拟CA系统是基于 (N, T) 门限方案构成的。将证书的密钥在n个服务节点中分发, 并且只有组合任意T个部分证书才能获得有效的证书, 这样就避免了单个节点充当中心节点带来的隐患, 从而提供了一个安全的密钥管理服务 (如图3) 。

在网络初始阶段, 一个特殊的服务器节点产生CA私钥的N个共享, 并分发到每个服务器节点。节点加入网络之前, 从特殊服务器节点处离线获得一个有效证书, 同时节点须配置CA证书及所要求的其他任何参数。当有一个新节点加入时, 它须至少向T个服务器节点请求发放证书。

虽然这种方案对系统的安全性有所加强, 但仍然存在一些问题。这种方案没有对恶意节点和被攻击节点的处理;扩展性差, 当网络的规模变大时, 要求服务节点知道所有节点的公钥是困难的, 而且对服务器节点的性能要求比普通节点高。

2.4 完全分布式结构

完全分布认证与部分分布认证不同的是它利用门限共享加密技术将证书签名密钥分发给网络中所有的节点, 即每个节点都参与组成虚拟CA。这个方法同样需要组织管理设施来提供网络的初始化, 初始节点在其加入到网络之前必须从管理机构处获得最初的有效证书, 网络的初始化和部分分布认证方法相似, 网络建成后由网络中的节点开始充当CA的功能, 只有组合任意T个部分证书才能获得有效的证书 (如图4) 。

在完全分布式结构中, 每个节点都持有系统密钥分量, 使整个系统的安全性比部分分布式有所降低。另外, 由于所有的节点要执行虚拟CA的功能, 它的通信量也会加大, 但它的计算量会分布在网络中的所在节点上。

这两种分布式方案的共同之处在于均假设CA的签名私钥共享由一可信管理机构预先分发给各CA节点, 然而这种方式存在以下问题: (1) 由于单个管理机构拥有CA的完整私钥信息, 如果被暴露将危及CA系统安全; (2) 忽视了Ad hoc网络的自组织特性, 即由节点自发地构建网络并提供各种服务, 而不依赖于任何基础设施和管理机构, 因此网络不是完全自组织的。

2.5 自发布式结构

Hubaux等提出了类似PGP (Pretty Good Privacy) 公钥管理方法的自发布认证方法, 主要考虑当节点之间没有任何关系的情况。自发布认证方法的思路是不需要任何CA的参与, 与PGP方法的不同是由用户自己发布和储存证书 (如图5) 。每个用户都储存了一定数量自己或者其他节点发布的证书, 该方法假定所有的用户都是信任介绍人, 信任介绍人所介绍的用户也是可以信任的, 甚至是信任后介绍人再介绍的用户也是可信任的。

当两个用户要通信时, 他们在证书库中寻找一条证书链以达到相互认证, 举例说明:A的证书库为{Cert (A, E) , Cert (E, T) , Cert (E, A) }, 节点B的证书库为{Cert (B, E) , Cert (B, T) , Cert (T, B) }, 其中, Cert (i, j) 表示节点i对节点j发放了证书。节点A要和B通信, 从证书库中看出A没有直接发送过证书给B, 但是通过两个中间节点E和T, 可找到一条链路 (A, E) — (E, T) — (T, B) , 基于上面的假设, 节点B也是A信任的用户。

自发布式结构的优点在于不需要赋予节点特殊的职责, 节点安全自主, 更适合于自组网的本性。但是由于证书的签发完全依赖于用户之间的信任, 因此失密节点很容易通过错误证书造成系统的破坏。目前为止还没有提出有效的证书库的建立方案。此方案虽然在一定程度上能检测到有恶意行为的节点, 但没有处理恶意节点的有效方法。另外在网络形成初期, 由于已颁发证书数量的不足可能造成在两个用户之间无法找到一条可信的证书链, 这也是一个需要值得考虑的问题。

3 几种密钥分发方案比较及综合

以上是几种基本的密钥管理和认证方案, 它们的C A数量、证书存储量、计算量、速度和可靠性都有所不同, 下面我们从几方面对它们进行比较, 设网络中总节点数为N (如表1) 。

各种Ad hoc网络的节点数量不同, 运动规律不同, 在使用时可根据具体情况来具体选择方案。对于网络处于可信任环境中的, 且节点数较少的, 可以使用单CA;对于网络处于可信任环境中的, 且节点数较多的, 可以使用多级CA;对于网络环境不可信, 节点计算较慢, 可以使用部分分布式;对于网络环境不可信, 节点计算较慢, 通信速度较快的, 可以使用完全分布式;对于网络环境可信, 各节点存储量大, 计算较快, 对节点自主要求性高的, 可以使用自认证。还可考虑把几种方案综合起来使用, 取长补短, 可以达到较好的效果。如把部分分布式和自发布式结合起来, 使各节点能像自发布式那样自主地管理自己认证的证书, 又通过虚拟CA提高了安全性;采用分级式结构, 第一级使用部分分布式第二级使用完全分布式, 从而使二级网络的计算量均衡, 一级网络的通信量减少。

4 结论

Ad hoc网络不同于传统的网络, 它没有固定的基础设施, 网络中不存在可信的第三方安全地计算和分发密钥。而且, 节点的移动导致路由的频繁变化, 移动自组网络没有固定的拓扑结构。因此需要分析研究不同的密钥管理和认证方案, 以得出适合Ad hoc网络的方案。

本文对几种密钥管理和认证方案进行了分析比较, 并指出可以将几种方案结合起来形成复合式方案, 以适应不同的Ad hoc网络环境。

参考文献

[1]Lidong Zhou, Zygmunt JHaas.Securing Ad hoc networks[J].IEEE Network Magazine.1999.

[2]HLuo, P Zerfos, J Kong, et al. Self-securing Ad hoc wireless networks[A].IEEE ISCC[C].2002.

[3]Srdjan Capkun, Levente Buttyan, Jean-Pierre Hubaux. Self-or-ganized public-key management for mobile Ad hoc networks[J].IEEETransaction on Mobile Computer.2002.6.

3.高校校园无线网络认证系统研究 篇三

随着科技的发展,网络在社会中的普及,从有线网络到随处可以上网的无线网络,上网人数在不断增加,尤其是在校园资源有限,人数增多的情况下,网络管理人员如何将提供给广大师生优质是网络信号进行服务,避免资源浪费,除了应用网络设备之外,必须建立全方位网络管理系统,促进管理者维护网络效能策略的提高。

在校园内部,由于每年学生人数的不断增加,学生上网需要不断加大,而且上网时间较长,对于目前校园内使用的IPv4网络已经出现不能满足校园网络的需求,因此,为了能够解决此问题,适度的使用网络资源,建立一个无线的网络系统并进行无线认证是迫在眉睫。

本文通过Web based认证系统来取代原有的MAC的方式, 全校的师生只要通过输入自己的账号和密码就能上网,这样操作简单,而且即使有外来人员,也可以单独开发一个账号进行上网[1],这样方便学校对账号进行管理,学生和教师进行认证必须通过学校提供的名单进行实名认证,这样不仅仅解决上网问题,还可以对网络信息和网络资源等进行跟踪,挖掘出上网者的上网时间和模式等情况。

2无线网络的研究

目前无线网络管理主要是通过网络监控锁MAC技术及采用的EAP等认证方式,大多数使用者都是采用的MAC模式,[2]网络管理人员对其管理比较繁琐,而EAP是目前IEEE802.1X

所制定的标准,是可以加密的协议,通过RADIUS服务器来对使用者进行集中管理,使用者必须通过认证方可上网。

EAP的优点是它可以和学校的账号密码相结合,并且还可以在分校区进行跨网合作,无论是哪个校区,都可以使用无线网络,网络的服务器可以是互相连通的[3]。但是目前EAP不是普遍使用的技术,有些网卡不能支持EAP的认证方式,所以需要购买无线网卡。

本文在两种无线认证的方式为基础开发了一套以web based为基础,利用linux IPTables及LDAP的网络环境认证管理系统,进行人性化、方便操作的认证系统。

3校园WLAN系统架构

本文结合校园WLAN的实际情况,将校园内部网络欲对外连线的封包全部挡下,并转向至linux server的80端口,如图1所。使用者需要通过认证后才能上网,在网页关了方面我们使用PHP +MYSQL,硬件方面需要安装两个网卡,一个需要连接虚拟IP,另一个网卡则连接到对外的Switch上,挡虚拟Ip的封包经过ethi进入linux时,系统会因为IPTables的PREROUTING Chain锁定,而将封包挡下并转向到本机的80端口,以Web based方式让使用者进行认证,通过PHP将使用者输入的账号密码与LDAP的信息进行对比[4]。当使用者通过认证之后,PHP会在MYSQL数据库中存储信息,并更改IPTables的设定,让使用者能够上网,最后经过Source NAT连接出去。

为了维护网络资源,我们使用了一个机制,系统会根据网络管理人员所设定的时间去侦测每位上网者的连线情况,并根据ICMP的回应来判断使用者是否还在线上,如果发现某位上网者已经连续两次没有回应,此时为了避免资源的浪费,我们会将使用者自MYSQL及IPTables的名单中删除,使用者以后再次上网时,必须通过认证才能上网。

这些使用者信息我们将进行保存在mysql里面,并在下面列出几个重要设置的说明:

1)id:记录使用者的学号;

2)login_ip:使用者上网所使用的ip;

):使用者开始上网的时间;

4)checked:判断使用者是否已通过认证;

5)idle_time:闲置次数,若使用者超过两次会被强制离线。

3.1 Open LDAP的相关设置

在建立LDAP的Entry时,我们利用cn及userpassword等相关属性,如下列所示:

由于LDAP Server存储了全校师生的相关信息,而在进行认证的时候,PHP会依据使用者所输入的账号密码与LDAP Server进行对比,并传回验证成功或者失败的信息,然后根据信息去处理相应的操作。

3.2 IPTables的相关设置

在PREROUTING Chain的设置部分如下所示:

Iptables-A RPEROUTING-t nat-p tcp-j

REDIRECT—to-port 80

Iptables-A PREROUTING –t nat-p udp-j

REDIRECT—to-port 80

由于PREROUTING Chain是内部网络封包最先进来的地方,所以我们在此将尚未通过认证的使用者拦下,并转向至本机的80端口,以便进行认证操作,而使用者通过认证时,系统便会再次更改PREROUTING Chain的规则,让使用者在后续上网的部分不会因锁定而无法上网。使用者通过认证在PRE-ROUTING Chain的部分命令如下所示:

Iptables-I PREROUTING - t nat-s使用者IP/32-j

ACCEPT

上述指令将置于PREROUTING Chain的最前面,所以通过认证的IP不会受到REDIRECT设定的影响,而使用者的IP会为虚拟IP时,则通过PREROUTING Chain的设定使其转化为合法IP。认证系统的流程图如图2所示。

4结束语

本文提出校园可行的无线网络认证方式,系统设计理念上完全使用开发原始码的软件,而对于使用者来说,仅需要在第一次上网使用浏览器时,认证系统会自动将其引导相关的认证网页界面上,来进行使用者账号确认的操作。而且我们还可以利用所取得的信息来进一步分析使用者的上网行为,为以后网络管理提供数据参考。

摘要：无线网络是目前各大高校骨干网络建设后的主要建设项目之一,因为无线上网具有比传统网络连接方式很大的便利性,但是在移动认证上具有一定的挑战,也是高校校园内规划网络时主要衡量的因素,该文提出了以web-based并以使用者身份认证基础的研究,采用Linux、PHP/MYSQL、IPTables等技术,避免权限设置问题,并运用到高校的校园网络环境,为今后其他高校使用无线网络提供了方案策略。

关键词：网络认证,无线网络,IPTables

参考文献

[1]杨秀梅,郑剑.校园无线网部署方案研究[J].华东师范大学学报,2015(S1).

[2]马帅营,魏金良,阿古达木.基于细粒度标签的校园无线网弹性qos优化[J].大连民族学院学报,2015,17(5).

[3]李玉平.浅谈高校校园无线网规划与建设[J].齐齐哈尔工程学院学报,2012,6(4).

4.远程网络环境下认证技术的研究 篇四

1 常用的认证机制

1.1 口令认证

口令认证分为静态口令认证和动态口令认证两种方式。静态的口令认证是最简单、最普遍的身份识别技术，如系统、邮箱等的登录等，它是基于“what you know”的验证手段[1]。系统为每一个合法用户建立一个用户名口令对，当用户登录系统或使用某项功能时，提示用户输入自己的用户名和口令，系统通过核对用户输入的用户名、口令与系统内已有的合法用户的用户名口令对(这些用户名口令对在系统内是加密存储的)是否匹配，如与某一项用户名口令对匹配，则该用户的身份就得到了认证,用户就可以进入访问;如果不匹配，该用户没有通过认证，就不能登录。动态口令技术就是用户每次登录时加入不确定因素，使得用户每次登录时的密码都不同，且每个密码只使用一次的身份识别技术。动态口令认证与静态口令认证最大的不同就是动态认证保证一次一密且任何人都无法预知，有效抵御重放攻击行为。

1.2 基于生物学信息的认证技术

基于生物学信息是通过计算机与光学、声学、生物传感器和生物统计学原理等高科技手段密切结合，利用人体固有的生理特征或行为特征来进行个人身份的鉴定的认证技术。因为我们都知道，生物学特征很难在个体之间传递，可以被认为是个体独一无二的标志。如果我们能通过友好的用户界面来自动地完成验证过程，且由于基于生物特征识别的身份鉴定技术具有不易遗忘或丢失、可“随身携带”、防伪性能好等特点，这种认证技术就可以应用到众多的领域中，这样，验证一个人的身份的自动化程度将更高，并且非常准确。当前比较常用的生物学认证技术包括指纹识别、视网膜和虹膜扫描、手掌几何学、步态、颅骨、气味识别、耳垂识别等[2]。

1.3 基于密钥的认证机制

1.3.1 基于对称密钥的认证体制

所谓对称密钥体制，就是加密和解密使用同一个密钥的密码技术，又称为私有密钥体制。通信双方必须交换彼此密钥，发送信息时，发送方用自己的密钥对传输信息进行加密，接收方收到信息后，用发送方所给的密钥进行解密。其代表是MIT(美国麻省理工大学)开发的Kerberos协议[3]。Kerberos提供了一种在开放式网络环境下进行身份认证的方法，应用对称密钥(采用的是DES，但也可以用其它算法代替)来对客户机/服务器应用程序作精确鉴定的，是基于可信赖的第三方的认证系统，它与网络上的每个实体分别共享一个不同的密钥，是否知道该密钥便是身份的证明。

1.3.2 基于非对称密钥认证机制

非对称密钥机制也叫公开密钥体制，是由Diffie和Hellman于1976年提出的。在该体制中，每个用户都有一对选定的密钥，一个是公开密钥，可以让所有欲通信的人知道，另一个是私人密钥，一个专门为自己使用的密钥，此密钥用户自己拥有[4]。公钥和私钥不能由一个推出另一个，但是公钥加密的信息只能由私钥解密，反之亦然。公钥基础设施PKI(Public-Key Infrastructure，简称PKI)是一种遵循标准的利用公钥密码理论和技术建立的提供安全服务的基础设施[5]。在PKI中，用户之间的通信都是建立在相互“信任”的基础之上的，通过对通信对方证书的认证达到建立“信任”的目的。在严格的层次结构中，由于证书的声称者(用户)与证书的验证者具有相同的可信任第三方根CA(Certification Authority，简称CA)，因此，对用户证书的验证只需找到根CA的公钥即可进行认证。

1.4 基于挑战/应答的认证机制

顾名思义，基于挑战/应答(Challenge/Response)[6]方式的认证机制就是每次认证时认证服务器端都给客户端发送一个不同的“挑战”字串，客户端程序收到这个“挑战”字串后，做出相应的“应答”。认证过程为：(1)客户向认证服务器发出请求，要求进行身份认证;(2)认证服务器从用户数据库中查询用户是否是合法的用户，若不是，则不做进一步处理;(3)认证服务器内部产生一个随机数，作为“提问”，发送给客户;(4)客户将用户名字和随机数合并，使用单向Hash函数(例如MD5算法)生成一个字节串作为应答;(5)认证服务器将“应答串”与自己的计算结果比较，若二者相同，则通过一次认证;否则，认证失败;(6)认证服务器通知客户认证成功或失败。以后的认证由客户不定时地发起，过程中没有了客户认证请求一步。两次认证的时间间隔不能太短，否则就给网络、客户和认证服务器带来太大的开销，但是也不能太长，否则不能保证用户不被他人盗用IP地址，所以认证时间间隔一般定为1-2分钟。

2 认证技术的局限性

在远程网络环境下,远程认证是一个方式，为了向远端实体证实自己的身份，或者核实远端实体的应用权限。同时通过远程认证，用户或其他人可以检测到远端用户的计算机的变化，这样可以避免向不安全或安全受损的计算机发送私有信息或重要的命令。然而,现在的认证技术有着严重的漏洞:

1)仅仅一次性的验证

无论是共享密钥还是公钥系统，现有的身份认证技术都是基于认证双方共享一个密钥，但通常都是静态的一次性的认证，就好比一个人在进一间屋子的时候，仅仅在进门的那一刻需要出示身份证，而之后则不再需要任何的证明。这本身是基于对这个身份的完全信任，但拥有这个身份的实体或许本身就有缺陷或者存有恶意的目的[7]。

2)静态、不灵活

现有的认证技术大多是静态的，而且缺乏表现力。因为它常常是依靠一个静态的数据：一个口令或者一个密钥，甚至仅仅是一个Hash码，所以它不可能证实程序运行的动态信息，比如程序的执行时间以及程序运行的状态或者加载的一些数据信息。它是在网络协议初完成的一次性操作。而这些显然缺乏对这个实体的表现力，它无法传递有关实体的任何的动态信息比如执行状态，输入的数据等等，而这些动态信息也许才是更需要验证的。

3)并不基于行为

现有的认证技术都是基于静态的，只在初次进行一次身份验证，而在验证之后并不对其任何的行为负责，因为它不是基于对程序行为的认证，即使是对程序的行为有一些安全保证(有关的安全策略)，远程认证所要证实的东西则完全不相同，它只是简单证明什么软件正在运行，关于程序运行的行为是完全可信的，这就有可能给一些恶意的攻击程序留下机会[7]。

4)与异构的计算环境相矛盾

最安全易用的系统，莫过于封闭式的系统(比如ATMs系统)，但这显然与网络大规模普及的现状背道而驰。面对开放式系统大行其道的现状，异构成为计算机网络环境的一大主要特征。而现有的认证技术则大都是针对单系统或少数几种系统开发，而且异构系统之间只能进行简单的通讯显然已无法满足要求。我们必须能够使大多数的常见的程序和数据能够在它们之上运行和传递，这为远程认证提出了更高的要求，且各种各样的异构系统为身份认证技术的开发增加了难度。

5)应用程序的升级和补丁变得非常困难

从一个版本到下一个版本的线性升级可以简单的应付，可以通过简单更新远端实体使用“批准的”软件的列表。在封闭的可控制的系统例如ATMs，升级和打补丁很容易做到。但这种情况与广泛的可利用的商品软件是完全不同的，且随着计算机的迅速发展，许多软件的升级和补丁发布的也越来越频繁，并且软件的补丁比起它的升级是更频繁，然而通常一个特定的程序的补丁里面就可能有许多个木马病毒或携带有不安全的代码，但这些补丁可以被任意的申请下载使用，这就可能导致这个程序里的病毒呈指数性的增长。

3 目前较为前景的认证技术

3.1 携带证明的代码（Proof-Carrying Code，简称PCC)

携带证明的代码[8]是由George Necula引入的一个概念，是一条得到系统高安全性保障的较有前景的途径。其基本的思想是：要求为任意不被信任的代码都配备显性的，机器可以检测的校检，从而使得代码满足给定的安全策略。在执行代码之前，我们只需要验证这个校检是正确的，因为校检在设立的时候已经同时考虑到了代码和策略。用PCC这个技术，我们可以核实安全的、可执行的及合法的代码，同时也核实一些未知的可执行的代码是否是安全执行。

3.2 语义远程认证

基于密码学的认证方法只能是接受者对发送者的身份进行认证，即“它是谁?”，而不能对发送者的行为进行行为认证，针对该认证方法所存在的问题，Vivek Haldar,Deepak Chandra和Michael Franz[9]，提出了一种动态的、灵活的、且基于认证行为的并且可以独立于运行平台的远程认证方法，称之为语义远程认证。

语义远程认证模型中的身份认证是在独立于系统的虚拟机中执行，为了使认证能够验证实体的高层次的行为特征，此认证模型采用一个独立与操作系统的平台，而java虚拟机无疑成为最佳的选择。所有的认证都在虚拟机的控制之下执行，对身份认证的要求交给了虚拟机。它们要求强制执行和检查执行在虚拟机上的代码特殊的安全策略。此认证模型要强制检查的不是特定代码的执行，而是安全策略和由远端实体包含的特殊强制约定。认证的目的就是为了认证程序的行为而不只是一些特定的二进制数据。

3.3 可信计算

可信计算技术(Trusted Computing)由可信计算组织(TCG,Trusted ComputingGroup)提出并维护。“可信计算”的最核心的技术就是远程认证。远程证明使得用户或其他人可以检测到该用户的计算机的变化。这样可以避免向不安全或安全受损的计算机发送私有信息或重要的命令。远程证明机制通过硬件生成一个证书，声明哪些软件正在运行。用户可以将这个证书发给远程的一方以表明他的计算机没有受到篡改。远程证明通常与公钥加密结合来保证发出的信息只能被发出证明要求的程序读取，而非其它窃听者[11]。

4 结束语

在远程网络环境下，通过认证技术可以识别网络事务中所涉及到的各种身份，防止身份欺诈，保证通信参与各方身份的真实性，从而保证网络活动的正常进行。对于实体的识别与认证是最重要的安全认证技术之一，但目前常用的认证技术均是静态的，一次性的认证。且现有的认证技术仅仅是对实体的真实身份进行辨别，而对其行为并不做出判断，且身份认证仅检查一次通过后便不再予以管理，所以，认证技术成为网络安全领域研究和发展的一个重要方向。

摘要：在远程网络环境下,认证是建立网络安全系统必不可少的基本组成部分。该文首先介绍了常用的认证技术,包括口令认证、基于生物学信息的认证、基于密钥机制的认证及基于挑战/应答的认证机制,接着对常用的认证技术进行了详细的分析,并指出严重的漏洞,最后讨论了当前较有前景的认证技术,包括携带代码的证明的认证、语义远程认证及可信计算的远程认证机制。

关键词：远程认证,携带代码的证明,语义远程认证,可信计算

参考文献

[1]樊蕊.跨域身份认证系统的研究与实现[D].西安:西安电子科技大学,2007.

[2]杨智.远程访问中安全认证系统的研究与实现[D].郑州:中国人民解放军信息工程大学电子技术学院,2004.

[3]陈云,彭春山,邓亚平.Kerberos认证协议的研究和改进[J].电子技术学报,2006,32(10):206-209.

[4]孙鹏,黄鑫,庄雷.认证技术在P2P网络中的应用研究[J].计算机应用与软件,2005,22(6):115-118.

[5]谢莹颖.基于PKI的身份认证系统的研究与实现[D].北京:华北电子大学,2007.

[6]鲁军,汪同庆,任莉.身份认证系统的设计与实现[J].网络安全技术与应用,2004,30(2):24-26.

[7]单晓波.语义远程认证的研究与实现[D].太原:太原理工大学,2007.

[8]Vivek Haldar,Deepak Chandra,Michael Franz.Semantic remote attestation-a virtual machine directed-approach to trusted computing[J].In3rd Virtual Machine Research and Technology Symposium(VM’04),pages29-41.The USENIX Association,2004.

[9]Joan Feigenbaum,Peter Lee.Trust management and proof-carrying code in secure mobile-code applications[J].DARPA Workshop on Foundations for Secure Mobile Code,1997

[10]黄强,沈昌祥.基于可信计算的保密性和完整性统一安全策略[J].计算机工程与应用,2006,42(10):15-18.