基于pkiii技术的web应用安全研究.docxVIP

基于pkiii技术的web应用安全研究 0 网络化带来的信息安全挑战 开放、自由、国际化的网络产业的发展为政府机构、公司和机构的工作方法带来了革命性的变化，他们能够利用网络来提高工作效率，面对由此产生的信息安全问题。PKI作为目前较为完善的网络安全方案, 能够解决网络中的身份认证、数据保密性、数据完整性、不可否认性等方面的问题, 但是对于资源的访问控制力不从心 1 身份证书pkc或pki认证 公钥基础设施PKI实际上是一个密钥管理平台, 它采用公钥理论和技术, 能够透明地向所有网络应用提供基于公开密钥的加密和数字签名等安全服务, 实现对密钥和证书的产生、管理、存储、分发和撤销等功能 (1) PKI是PMI的基础, 两者之间有着紧密的联系。PMI授予属性证书AC (Attribute Certificate) 时, 先要验证用户的身份证书PKC (Public Key Certificate) , 以保证其身份正确。AA (Attribute Authority) 颁发属性证书时, 要将属性证书与用户的公钥证书信息进行绑定, 权限验证者在验证用户权限之前, 首先要调用PKI对其身份进行鉴别。 (2) PMI与PKI具有无关性。PMI和PKI不用了解彼此内部的操作情况, 两者之间是透明的。PMI通过证书相关接口与PKI进行交互, 调用PKI系统中的功能模块和API函数, 完成用户请求。 公钥证书可以看作一个护照, 它标明护照的持有者, 具有较长的有效期, 并且用户申请证书不应该很容易就获得, 需要一个强认证过程。属性证书则像一个签证, 通常它是由一个不同的国家颁发, 其有效期较短。为了获得一个签证需要出示相应的护照, 获得签证是一个相对简单的过程。属性证书依赖身份证书而存在, 而且它们的结构也类似。公钥证书和属性证书的异同点如表1所示。 2 pmi-pm网络应用 2.1 校园网的管理 笔者通过调研发现, 针对校园网的使用及其存在的安全威胁主要分为以下几种: (1) 发布言论:校园网不实行实名制管理, 经常有人在BBS上发布黄色信息和不符合政治大局的言论, 校园网的管理员对此无能为力, 只能简单地采取封ID号的办法进行处理, 而破坏者不但能够免于制裁, 而且只需重新申请一个账号就可以继续散布不良信息了。事实上, 以前校园网管理员也曾经采用IP地址绑定等办法来加强对校园网的管理, 但最终都无法解决根本问题。 (2) 发送邮件:校园网上附带邮箱功能, 由于用户的误操作或存在中间人攻击, 用户的私密信息有可能泄漏。 (3) ftp的管理:校园网上的ftp网站没有进行严格的访问控制, 部分ftp网站可以随意上传、下载资源。事实上通过工具获取ftp站点的管理员权限对普通黑客来说也非难事。 对于以上校园网上存在的各种安全隐患, 可以引入PKI与PMI系统加以解决, 其中对于电子邮件的泄密可以使用接收方的公钥对电子邮件的内容进行加密, 对方收到后再用自己的私钥进行解密;而对于另外两种情况则必须利用身份认证和访问控制技术去解决问题。 2.2 身份证作用机制 笔者将PKI/PMI系统应用于校园网中, 用PKI来实现身份认证, PMI来进行权限管理, 以提高校园网的安全性和增加校园网的使用范围。其中在权限管理过程中采用基于角色的访问控制思想, 将属性证书分为角色分配证书和角色规范证书 (1) CA (Certification Authority) :负责签发身份证书和发布身份证书撤消列表, 管理证书和密钥生存周期。 (2) RA (Registration Authority) :是CA的代理机构, 负责在CA为终端用户发放证书以前验证实体身份, 并在PKI系统中为用户注册。 (3) AA (Attribute Authority) :负责签发角色规范证书、角色分配证书及发布角色分配证书撤消列表, 管理这两种属性证书的生存周期。 (4) ARA (Attribute Registration Authority) :是AA的代理机构, 负责在AA为终端用户发放角色分配证书前验证用户提供的资料。 (5) LDAP (Light Directory Access Protocol) :存储由AA和CA颁发的各种证书和证书撤消列表的内容, 并提供对外查询功能。 (6) 密码服务器:用于公私钥对的产生、密钥的存贮加密、信息传输加密, 以及对各种证书进行数字签名。 (7) ACS (Access Control System) :负责验证用户的身份证书和角色分配证书的有效性, 并从角色规范证书中析出角色的终端用户的权限。 3 身份认证技术的检验 系统内的身份认证主要由ACS验证用户的身份证书, 从而实现类似网络实名制的功能, 防止用户