基于pkipmi的ip宽带城域网安全运用解决计划.docVIP

基于PKI/PMI的IP宽带城域网安全应用解决方案 　　1 引言 　　网络与信息安全能力是21世纪综合国力、经济竞争实力和生存力的象征，是未来国际竞争的“杀手锏”。当前，中国正在加快国民经济和社会信息化进程，急需要一个安全可信的电信基础网络平台，为各种信息化应用提供基础安全保障。 　　随着网络技术的发展和演变，IP宽带城域网已成为宽带网的发展方向，各种信息化应用都将基于IP技术。但是，目前IP宽带城域网在管理和安全应用方面存在许多问题，如：不能有效识别进入网络用户的合法身份；不能对用户的个人信息实现有效保护；不能有效地解决抗抵赖性问题等。 这些问题的存在一方面导致了IP宽带城域网的可控制、可管理、可经营性较差；另一方面直接影响到国家的信息安全，关系到国家的安危。 　　导致这些问题的原因主要是由于目前IP宽带城域网采用的“用户名+密码”的认证方式只能实现初级的、简单的管理，安全性很不够（如易于盗用、合用）；用户名与接入线路没有固定的对应关系，使得用户接入难以定位，用户权限难以管理等。 　　因此，要有效解决目前IP宽带城域网在管理和安全应用方面存在的问题，首先要解决用户身份认证、用户的授权管理和用户定位等问题，建立起可信赖的网络环境。 　　近年来，信息安全技术受到广泛关注，并得到了长足发展，特别是基于公钥基础设施（PKI）和授权管理基础设施（PMI）的智能化信任与授权技术有了突破性进展，已大规模应用于电子政务、电子商务系统中。 　　因此，本文将探讨如何采用基于PKI/PMI的智能化信任与授权技术来建立IP宽带城域网的可信任环境，如何将数字证书的认证、管理等信息安全技术应用于IP宽带城域网的运营管理中，从而构建一个“可控制、可管理、可经营”的电信级IP宽带城域网，为各种信息化应用提供一个安全可信的基础电信网络平台。 　　这是一个全新的思路、全新的尝试，具有比其他IP城域网的管理方法更高的安全性和灵活性。 　　2 PKI/PMI概述 　　2.1 PKI 　　PKI是国家信息安全基础设施（NISI）的重要组成部分，它以公开密钥技术为基础，以数据机密性、完整性、网上身份认证和行为的不可抵赖为安全目的，为网络应用（如浏览器、电子邮件）提供可靠的安全服务。在国家信息安全基础设施中，PKI采用双密钥证书体系，其中非对称算法支持RSA和椭圆曲线公开密钥（ECC）两种算法，对称密码算法支持国家密码管理委员会办公室指定的密码算法。公钥基础设施包含信任服务体系和密钥管理体系。 　　信任服务体系的主要职责是为整个系统提供基于PKI的公钥数字证书（PKC）认证机制的实体身份鉴别服务，以便能在整个系统范围内唯一地确定实体的真实身份，从而建立起全系统范围内一致的信任基准。 　　密钥管理体系主要负责向系统提供密钥对的管理服务，同时向授权管理部门提供应急情况下的特殊密钥恢复功能。 　　2.2 PMI 　　PMI也是NISI的一个重要组成部分，目标是向用户和应用程序提供授权服务管理，主要负责向应用系统提供与应用相关的授权服务管理，提供用户身份到应用授权的映射功能。 　　PMI以资源管理为核心，提供基于属性证书（AC）的授权和访问控制机制，将对资源的访问控制权统一交由授权机构进行管理，即由资源的所有者来进行访问控制。同PKI相比，两者的区别主要在于：PKI证明用户是谁，而PMI证明这个用户有什么权限，能干什么，而且PMI需要PKI为其提供身份认证服务。 　　3 IP宽带城域网安全应用解决方案 　　3.1 IP宽带城域网安全应用平台体系架构 　　IP宽带城域网安全应用平台是在传统IP宽带城域网框架之上，以基于PKI/PMI的网络和信息安全技术为基础，以综合业务管理为核心，构建的一个完整统一的可控制、可管理、可经营的IP宽带城域网。 　　在逻辑上把整个IP宽带城域网安全应用平台由外到里分为三层，分别为接入认证层、汇接层和核心层，如图1所示。 　　·接入认证层：完成对IP宽带用户及网络设备的接入认证，构成网络信任域（由通过认证的用户和网络设备构成的一个网络区域）。对非法的网络设备和IP 宽带用户自动进行阻断和限制，防止对系统的非法接入，保障网络系统的安全可信，是实现IP宽带城域网可控制、可管理、可经营的基础。 　　·汇接层：一方面完成汇接各类业务流的功能；另一方面，通过部署PKI、PMI体系，实现对用户身份的认证、信任授权和域内各网络元素的认证与管理，实现综合业务管理。是实现IP宽带城域网可控制、可管理、可经营的关键。 　　·核心层：完成信息的高速传送与交换，实现与其它网络的互联互通。 另外，在逻辑上又把IP宽带城域网安全应用平台体系架构分为两个平面，即IP宽带城域网平面和智能化安全应　　用管理平面，如图2所示。 两平面不是简单的叠加，而是相辅相成，协调工作，有机地结合在一