基于PKI应用安全中间件的研究与实现（论文）.pdfVIP

上海交通大学工程硕士研究生学位论文 摘要 目前网络通信中主要存在有五种通用的安全服务：分别为机密性服务、鉴别 服务、完整性服务、不可抵赖服务、访问控制服务。现有的应用安全系统能解决 其中一个或多个安全服务，如果简单地集成现有的应用安全系统，非但不能解决 问题，还可能引入新的问题。另外，面对各式各样、不同架构、不同平台、不同 协议、不同网络环境、不同用户应用环境等多种复杂的业务应用，如何把PKI 技 术应用好，而无需这些业务应用作额外的开发就能发挥其作用，这就需要研究与 开发一种能满足多种平台、提供多种灵活接口的应用安全中间件。 本文主要着眼于安全中间件的应用研究，分析了目前比较成熟的安全技术， 并对SSL 握手协议进行了改进。本文通过对密码学、PKI 标准、数字证书、基于 PKI 应用技术的802.1x 接入认证、SSL 认证、数字签名验证及其在安全应用方面 分析研究的基础上，提出一种安全中间件的设计及实现方法，最后对系统进行了 性能测试,并对测试结果进行了分析。 密码学方面，分析了对称加密技术和公开密钥加密技术，两者是构成安全中 间件的核心技术，随后指出目前在实际应用中一般是两种加密技术综合起来加以 使用。 PKI 标准及数字证书方面，主要阐述了PKI 的部件组成，国际上通用的三种 PKI 标准，以及数字证书相关概念。 802.1x 接入认证方面，分析了其体系结构和接入控制原理之后，指出一般 应用中所存在的不足，并讨论了 EAP 扩展认证协议，运用数字证书技术来增强 802.1x 接入认证的安全性。 SSL 认证技术及协议分析方面，分析SSL 协议的体系结构、并对组成SSL 协 议的子协议进行了研究，指出其存在的安全性问题，提出利用双证书技术来改进 SSL 握手协议，以满足国内的数字证书安全性需求。 数字签名技术方面，阐述了安全中间件中使用数字签名技术的必要性，并讨 论了两种数字签名方案，基本数字签名方案和使用Hash 函数的数字签名方案。 系统设计与实现方面,通过对安全中间件的具体应用需求进行分析后，提出 了基于PKI 安全中间件的系统框架和用户访问过程，随后，阐述系统的各个子系 统的设计及实现方法。 系统性能测试方面，运用LoadRunner 负载测试工具，通过模拟大量客户端 来对系统进行压力测试，同时列出测试数据，并分析了测试结果。 本文工作的意义在于研究和分析了应用安全中间件的相关技术，在此基础 上，设计并实现了一个基于PKI 应用安全中间件系统，对于如何结合现有的PKI 技术,解决网络应用安全方面问题有着参考和指导意义。 关键词：SSL, 802.1x, CA, Radius，双证书，数字签名 I 上海交通大学工程硕士研究生学位论文 Abstract There are five general security services in network communication at present: confidentiality service, identification service, integrality service, non-denial service, access control service. Some of these services can be solved by relevant security system. If only using these systems, it will bring some new unpredictable problems. According to various framework, platform, protocols, network environment, user application environment, we need an application security middleware which can provide flexible interface and support multi-platform application. Meanwhile, it can easily compatible with app