物联网信息安全-访问控制详解.pptVIP

* 认证、授权和计费体制（AAA）是网络运营的基础。网络中各类资源的使用，需要由认证、授权、审计和计费进行管理。 鉴别是至关重要的，只有确认了用户的身份，才能知道所提供的服务应该向谁收费，同时也能防止非法用户（黑客）对网络进行破坏。 在确认用户身份后，根据用户开户时所申请的服务类别，系统可以授予客户相应的权限。 最后，在用户使用系统资源时，需要有相应的设备来统计用户所对资源的占用情况，据此向客户收取相应的费用。 后来又加入了审计的需求，扩展为AAAA。AAAA指的是Authentication（鉴别），Authorization（授权），审计（Audit）和计费Accounting（计费）。 AAA * 鉴别（Authentication）指用户在使用网络系统中的资源时对用户身份的确认。这一过程，通过与用户的交互获得身份信息（诸如用户名—口令组合、生物特征获得等），然后提交给认证服务器；后者对身份信息与存储在数据库里的用户信息进行核对处理，然后根据处理结果确认用户身份是否正确。 例如，GSM移动通信系统能够识别其网络内网络终端设备的标志和用户标志。授权（Authorization）网络系统授权用户以特定的方式使用其资源，这一过程指定了被认证的用户在接入网络后能够使用的业务和拥有的权限，如授予的IP地址等。 GSM认证通过的合法用户，业务权限（是否开通国际电话主叫业务等）是用户和运营商在事前已经协议确立的。 计费（Accounting）网络系统收集、记录用户对网络资源的使用，以便向用户收取资源使用费用，或者用于审计等目的。以互联网接入业务供应商ISP为例，用户的网络接入使用情况可以按流量或者时间被准确记录下来。 AAA * 在移动通信系统中，用户要访问网络资源，首先要进行用户的入网认证。 一般来讲，鉴别过程由三个实体来完成的。用户（Client）、认证器（Authenticator）、AAA服务器（Authentication 、Authorization and Accounting Server）。 在第三代移动通信系统的早期版本中，用户也称为MN（移动节点），认证器在NAS（Network Access Server）中实现，它们之间采用PPP协议，认证器和AAA服务器之间采用AAA协议。 AAA * RADIUS（Remote Authentication Dial in User Service）是远程用户号认证服务的简称。 最初提出与设计RADIUS的人是利文斯敦（livingston）公司的Stewillens，是为他们的网络接入服务器（PortMaster系列）而设计的。主要用于对通过串口或拨号接入的远程用户进行认证、授权、记帐和管理，这些用户所处地域分散，数量大，上网的设备条件炯异，难以统一处理与管理。 RADIUS协议描述了网络访问服务器与一个共享的认证服务器之间通信规范。网络服务器（NAS）通过共享认证服务器对访问它的用户实现认证。NAS和服务器依据规范交互它们的认证信息、授权信息和配置信息。 Radius协议 * RADIUS给出了认证服务器和认证客户端（即NAS）的信息处理规范。认证服务器通过这些规范完成对访问NAS的客户的认证、授权和配置。 RFC2865和RFC2866定义了RADIUS协议标准，为RADIUS协议和RADIUS记帐协议正式分配的端口号分别是1812和1513。 RFC(Request For Comments)-意即“请求评议”，包含了关于Internet的几乎所有重要的文字资料，享有网络知识圣经之美誉，由Internet Society（ISOC）所赞助发行 当某家机构或团体开发出了一套标准或提出对某种标准的设想，想要征询外界的意见时，就会在Internet上发放一份RFC，对这一问题感兴趣的人可以阅读该RFC并提出自己的意见；绝大部分网络标准的指定都是以RFC的形式开始。 很多公司开发了遵循RFC2865和RFC2866标准的软件产品，如cistron-radiusd, winradius, myradius等，并且拓展了其应用范围，不仅可用于拨号上网的用户，而且可用于GSM, CDMA, Cable Modem等用户。 Radius协议 * RADIUS认证协议的主要特征： 客户/服务器模型 NAS是客户端，它与请求访问的用户进行交互，向服务器发送收集到的认证信息，并对服务器发送回的认证结果进行应答。 RADIUS认证服务器负责对用户进行认证，它依据客户端发送的用户认证请求数据，对用户身份进行鉴别，并返回认证结果。 网络安全性 RADIUS服务器与NAS之间共享一对秘密密钥，提供消息鉴别保护和一定的完整性保护。 服务器与NAS之间传递的敏感数据（如用户口令）还受到机密性保