可信网络连接技术西电捷通TCA和TCG TNC架构研究.docVIP

可信网络连接技术西电捷通TCA和TCG TNC架构研究 西电捷通架构与编码研究 伴随着互联网的迅速普及，人们与网络的关系也越来越紧密，然而开放互联的互联网，也存在着很多不安全因素，恶意软件、木马病毒、黑客破坏等行为严重威胁着网络安全和人们的利益安全，需要一套完整的安全解决方案。可信网络连接技术在此背景下应运而生。可信网络连接技术通过利用身份鉴别、平台鉴别、完整性度量、访问控制等技术实现了安全连接。目前全球范围内主要的两大可信网络连接技术是：可信网络连接TNC（Trusted Network Connect，简称TNC）和可信连接架构TCA（Trusted Connect Architecture，简称TCA）。TNC是由2004年可信计算组织（Trusted Computing Group，简称TCG）成立的可信网络连接分组(Trusted Network Connection Sub Group，TCG-SG)负责研究提出，TCA是2007年由中国可信计算标准网络组组长单位西电捷通主导研究提出。 TNC是对可信平台应用的扩展，也是可信计算机制与网络连接控制机制的结合。它是指在终端连接网络之前，对用户的身份进行鉴别。如果鉴别通过，对终端平台的身份进行鉴别，如果鉴别通过，对终端的平台可信状态进行度量，如果度量结果满足网络连接的安全策略，则允许终端连接网络，否则将终端连接到指定的隔离区域，对其进行安全性修补和升级。 TCA是我国自主创新的一套三元（访问请求者、访问控制器、策略管理者）三层（完整性度量层、可信平台评估层、网络访问控制层）的可信网络连接架构，通过基于身份鉴别、平台鉴别来实现基于端口的访问控制。其身份鉴别可提供对身份合法性的验证，其平台鉴别可提供对平台安全状态的评估，包括对平台中各个组件的完整性、运行状态、端口状态、补丁状态等的评估，支持对连接两端设备的隔离/修补，可确保网络连接两端设备的平台是可信赖的。 TNC 的基本架构如图1所示，主要包括三个实体、三个层次和若干个接口组件等，三个层次包括网络访问层、完整性评估层和完整性度量层，而三个实体包括访问请求者（Access Requestor，简称AR）、PEP策略执行者（Policy Enforcement Point，简称PEP）和策略决策者（Policy Decision Point，简称PDP）。仔细分析该架构，不难发现其是在传统的网络接入层次上增加了两层，可实现平台间的完整性验证，具体讲是对具有可信平台模块（Trusted Platform Module，简称TPM）AR的平台鉴别，属于单向鉴别，并不涉及对网络侧设备的平台鉴别问题，存在一定的安全缺陷。 图1 TNC基本架构 TCA采用了三元三实体的可信连接架构，其架构如图2所示。三元结构中有访问请求者AR、访问控制器（Access Controller，简称AC）和策略管理器（Policy Manager，简称PM）三个实体, 而且根据组件的功能把不同实体中的组件分为三个抽象层次，分别为： 网络访问层(Network Access Layer)、可信平台评估层(Trusted Platform Evaluation Layer)和完整性度量层(Integrity Measurement Layer)。涉及用户鉴别和平台鉴别两个核心机制，其中AR和AC都具有可信平台控制模块（TPCM，Trusted Platform Control Module），支持AR和AC之间的双向平台鉴别，AC参与身份鉴别和平台鉴别协议处理，同时架构也对用户鉴别与平台鉴别进行了绑定处理，提供了原子性安全。 图2 可信连接架构（TCA） 相比之下，TCA的三元三层可信连接架构让它的安全可信性能更胜一筹。这一架构在纵向上把网络访问、可信评估和可信度量分层处理，使得系统的结构清晰，控制有序。在横向上则进行访问请求者、访问控制者和策略仲裁者之间的三重控制和鉴别，实现了服务器集中控管的网络可信连接模式，提高了架构的策略和可管理性。同时对访问请求者和访问控制者实现统一的策略管理，提高了系统整体的可信性。 TCA和TNC对比分析表： 主要特征 TCA TNC 三元结构 架构包括访问请求者、访问控制器和策略管理器三个实体； 安全性设计为三元对等架构，三个实体参与身份鉴别及平台鉴别，安。 架构包括访问请求者、PEP策略执行者和策略决策者三个实体； 安全性设计为二元架构，身份鉴别及平台鉴别仅访问请求者和策略决策者参与，PEP策略执行者并不参与身份鉴别及平台鉴别。 三层架构 架构设计为三层架构，包括网络访问层、可信平台评估层和完整性度量层； 网络访问层设计采用三元对等架构，利用在线可信第三方鉴别策略服务者对网络访问请求者