視頻信息的安全設計方案和對策

1、.wdwdwd.城市視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)信息安全設計方案二一五年十一月目錄 TOC o 1-3 h z u HYPERLINK l _Toc4414978351 工程背景 PAGEREF _Toc441497835 h 1HYPERLINK l _Toc4414978362 信息安全相關知識 PAGEREF _Toc441497836 h 1HYPERLINK l _Toc4414978372.1 信息安全服務與機制 PAGEREF _Toc441497837 h 2HYPERLINK l _Toc4414978382.1.1 安全服務 PAGEREF _Toc441497838 h 2HYPER

2、LINK l _Toc4414978392.1.2 安全機制 PAGEREF _Toc441497839 h 3HYPERLINK l _Toc4414978402.2 安全體系架構 PAGEREF _Toc441497840 h 3HYPERLINK l _Toc4414978412.2.1 網(wǎng)絡安全 基本模型 PAGEREF _Toc441497841 h 3HYPERLINK l _Toc4414978422.2.2 信息安全框架 PAGEREF _Toc441497842 h 3HYPERLINK l _Toc4414978432.3 信息安全起因 PAGEREF _Toc441497

3、843 h 4HYPERLINK l _Toc4414978442.3.1 技術缺陷 PAGEREF _Toc441497844 h 4HYPERLINK l _Toc4414978452.3.2 管理缺陷 PAGEREF _Toc441497845 h 5HYPERLINK l _Toc4414978462.4 網(wǎng)絡攻擊方式 PAGEREF _Toc441497846 h 5HYPERLINK l _Toc4414978472.4.1 口令攻擊 PAGEREF _Toc441497847 h 5HYPERLINK l _Toc4414978482.4.2 軟件攻擊 PAGEREF _Toc4

4、41497848 h 6HYPERLINK l _Toc4414978492.4.3 竊聽攻擊 PAGEREF _Toc441497849 h 7HYPERLINK l _Toc4414978502.4.4 欺詐攻擊 PAGEREF _Toc441497850 h 7HYPERLINK l _Toc4414978512.4.5 病毒攻擊 PAGEREF _Toc441497851 h 8HYPERLINK l _Toc4414978522.4.6 拒絕服務攻擊 PAGEREF _Toc441497852 h 8HYPERLINK l _Toc4414978532.5 信息安全后果 PAGERE

5、F _Toc441497853 h 9HYPERLINK l _Toc4414978542.6 信息安全技術 PAGEREF _Toc441497854 h 9HYPERLINK l _Toc4414978552.6.1 PKI體系 PAGEREF _Toc441497855 h 9HYPERLINK l _Toc4414978562.6.2 用戶身份認證 PAGEREF _Toc441497856 h 12HYPERLINK l _Toc4414978572.6.3 認證機制 PAGEREF _Toc441497857 h 13HYPERLINK l _Toc4414978582.6.4 認

6、證協(xié)議 PAGEREF _Toc441497858 h 15HYPERLINK l _Toc4414978593 聯(lián)網(wǎng)視頻信息的特點 PAGEREF _Toc441497859 h 17HYPERLINK l _Toc4414978603.1 系統(tǒng)多級架構 PAGEREF _Toc441497860 h 17HYPERLINK l _Toc4414978613.2 網(wǎng)絡狀況復雜 PAGEREF _Toc441497861 h 17HYPERLINK l _Toc4414978623.3 視頻數(shù)據(jù)量大 PAGEREF _Toc441497862 h 17HYPERLINK l _Toc44149

7、78634 視頻系統(tǒng)信息安全分類 PAGEREF _Toc441497863 h 17HYPERLINK l _Toc4414978644.1 信令加密 PAGEREF _Toc441497864 h 18HYPERLINK l _Toc4414978654.2 媒體流加密 PAGEREF _Toc441497865 h 18HYPERLINK l _Toc4414978665 安全系統(tǒng)的實現(xiàn) PAGEREF _Toc441497866 h 18HYPERLINK l _Toc4414978675.1 認證中心 PAGEREF _Toc441497867 h 18HYPERLINK l _To

8、c4414978685.2 視頻安全平臺 PAGEREF _Toc441497868 h 18HYPERLINK l _Toc4414978695.3 系統(tǒng)評價 PAGEREF _Toc441497869 h 18HYPERLINK l _Toc4414978706 系統(tǒng)建成預期效果 PAGEREF _Toc441497870 h 19HYPERLINK l _Toc4414978717 安全技術展望 PAGEREF _Toc441497871 h 19工程背景互聯(lián)網(wǎng)、大數(shù)據(jù)時代雖然帶來了安防行業(yè)新的機遇與信息面貌，但是伴隨信息聚集性越來越高，云安全問題也帶來了新的挑戰(zhàn)。對不法分子來說，只要擊

9、破云服務器，意味著可以獲得更多的資源，例如iCloud泄露門，12306信息泄露，攜程信息泄露等。?？低暋鞍踩T事件，對正在大力開展信息經(jīng)濟與互聯(lián)網(wǎng)經(jīng)濟的中國，提出了信息安全的極大思考。信息安全任重而道遠，千里之堤，毀于蟻穴。所以在信息安全上，應仔細排查安全隱患，防患于未然。公開數(shù)據(jù)顯示，有74.1%的網(wǎng)民在過去半年內遇到網(wǎng)絡信息安全事件。有專家估計，中國每年因網(wǎng)絡信息安全問題造成的經(jīng)濟損失高達數(shù)百億美元。在今年的全國兩會上，中國移動廣東公司總經(jīng)理鐘天華代表建議，加快制定網(wǎng)絡信息安全法，從監(jiān)管主體、設施安全、運行安全、信息安全、法律責任等方面標準網(wǎng)絡信息安全。各省城市視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)共享平臺

10、已 基本建設完成，標準基于國標GB/T 28181，但對于視頻信息安全的要求沒有嚴格要求。在國家對網(wǎng)絡和信息安全高度重視的當下，扮演政府、企業(yè)、社區(qū)“守門人角色的安防行業(yè)，實現(xiàn)自主可控異常重要。需要一套完整解決方案。信息安全相關知識網(wǎng)絡信息安全是一個關系國家安全和主權、社會穩(wěn)定、民族文化繼承和發(fā)揚的重要問題。其重要性，正隨著全球信息化步伐的加快越來越重要。網(wǎng)絡信息安全是一門涉及計算機科學、網(wǎng)絡技術、通信技術、密碼技術、信息安全技術、應用數(shù)學、數(shù)論、信息論等多種學科的綜合性學科。它主要是指網(wǎng)絡系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正

11、常地運行，網(wǎng)絡服務不中斷。信息安全服務與機制安全服務信息安全服務產生的根基是整個網(wǎng)絡系統(tǒng)需要躲避安全風險、控制安全成本以及保障業(yè)務持續(xù)性。從實踐環(huán)節(jié)看，信息安全服務是由參與通信的開放系統(tǒng)的某一層(OSI)所提供的服務，它確保了該系統(tǒng)或數(shù)據(jù)傳輸具有足夠的安全性。結合信息安全的 基本要素，明確五大類安全服務，即鑒別、訪問控制、數(shù)據(jù)完整、數(shù)據(jù)保密、抗抵賴。鑒別服務authentication主要用來鑒別參與通信的對等實體和數(shù)據(jù)源，確認其合法性、真實性。訪問控制服務access control用于防止未授權用戶非法使用資源。包括用戶身份認證，用戶權限確認。數(shù)據(jù)完整性服務integrity用于對付主動威

12、脅，阻止非法實體對通信雙方交換數(shù)據(jù)的改動和刪除。數(shù)據(jù)保密性服務confidentiality防止系統(tǒng)內交換數(shù)據(jù)被截獲或非法存取而造成泄密，提供加密保護?？沟仲囆苑課o-repudiation防止發(fā)送方發(fā)送數(shù)據(jù)后否認自己發(fā)送過此數(shù)據(jù)，接收方接收后否認收到過此數(shù)據(jù)或偽造接收數(shù)據(jù)。安全機制安全體系架構網(wǎng)絡安全 基本模型網(wǎng)絡安全 基本模型包括通信主體雙方、攻擊者和可信第三方，通信雙方在網(wǎng)絡上傳輸信息，需要先在發(fā)收之間建設一條邏輯通道。這就要先確定從發(fā)送端到接收端的路由，再選擇該路由上使用的通信協(xié)議，如TCP/IP。為了在開放式的網(wǎng)絡環(huán)境中安全地傳輸信息，需要對信息提供安全機制和安全服務。信息的安全傳

13、輸包括兩個 基本局部：一是對發(fā)送的信息進展安全轉換，如信息加密以便到達信息的保密性，附加一些特征碼以便進展發(fā)送者身份驗證等；二是發(fā)送雙方共享的某些秘密信息，如加密密鑰，除了對可信任的第三方外，對其他用戶是保密的。為了使信息安全傳輸，通常需要一個可信任的第三方，其作用是負責向通信雙方分發(fā)秘密信息，以及在雙方發(fā)生爭議時進展仲裁。一個安全的網(wǎng)絡通信必須考慮以下內容：實現(xiàn)與安全相關的信息轉換的規(guī)那么或算法用于信息轉換算法的密碼信息如密鑰秘密信息的分發(fā)和共享使用信息轉換算法和秘密信息獲取安全服務所需的協(xié)議信息安全框架物理安全進入辦公室需經(jīng)人臉識別門禁系統(tǒng)確認后才能翻開辦公室門，出辦公室門需按出門按鈕。通

14、信和網(wǎng)絡安全能完成對出入辦公室人員的授權管理，能對進出辦公室人員的歷史出入記錄進展查詢及輸出。運行安全信息安全信息安全起因首先，視頻監(jiān)控網(wǎng)絡安全問題是現(xiàn)實存在的，在互聯(lián)網(wǎng)傳輸中不加密問題更甚。即便是美國國防部內部網(wǎng)絡都曾被黑客入侵，何況是民用監(jiān)控。其次，視頻監(jiān)控網(wǎng)絡安全問題是普遍存在的，并非只?？低曇患?。此前便有報道，只要在Google中搜索簡單的關鍵字，就可以無阻礙地連入全球超過1000個沒有保護措施的監(jiān)控攝像頭。用戶對網(wǎng)絡安全重視程度不夠，缺乏安全意識，在安裝完監(jiān)控產品之后，沒有對密碼進展修改，實際上只要用戶按照產品說明書的說明修改了初始默認密碼，就能很大程度上防止網(wǎng)絡安全隱患。第三，在

15、視頻傳輸中，利用公安專用通信網(wǎng)保密性最正確，其次為視頻圖像專網(wǎng)，再次為虛擬專用網(wǎng)VPN，VirtualPrivateNetwork，未加密的公網(wǎng)傳輸，包括移動互聯(lián)網(wǎng)傳輸保密性是很差的。目前安全城市視頻監(jiān)控系統(tǒng)承載網(wǎng)絡主要是公安專用通信網(wǎng)和視頻虛擬專網(wǎng)兩種?，F(xiàn)有系統(tǒng)的承載網(wǎng)絡情況復雜，平臺部署在不同的承載網(wǎng)絡上。虛擬專用網(wǎng)通常是在公用網(wǎng)絡上建設的專用網(wǎng)絡，是為特別用戶設置的加密通訊網(wǎng)絡，而安全城市視頻監(jiān)控系統(tǒng)匯接的社會圖像資源是通過多種方式接入到各級共享平臺，雖然在接入時會采取一些安全接入措施，但仍很難防止被非法侵入。未加密的公網(wǎng)傳輸毫無保密性可言。除了接入網(wǎng)絡的設備會受到網(wǎng)絡安全隱患威脅外這一

16、無法回避的因素外，安防企業(yè)多是習慣于用局域網(wǎng)或者專網(wǎng)視角來對待問題。技術缺陷互聯(lián)網(wǎng)使用的通訊協(xié)議是TCPIPTCPIP在最初的設計時主要考慮的是如何實現(xiàn)網(wǎng)絡連接并沒有充分考慮到網(wǎng)絡的安全問題而TCPIP協(xié)議是完全公開的，這就導致入侵者可以利用TCPIP協(xié)議的漏洞對網(wǎng)絡進展攻擊。另外計算機使用的操作系統(tǒng)比方說目前仍普遍使用的微軟windows操作系統(tǒng)在設計上也存在安全漏洞，用戶經(jīng)常需要更新下載它的安全補丁以修補它的安全漏洞。其他的技術缺陷還包括應用程序的編寫對安全性考慮缺乏網(wǎng)絡通訊設備包括路由器、交換機存在安全的缺陷等等這些技術上的缺陷都容易被入侵者利用從而構成安全威脅。管理缺陷由于網(wǎng)絡使用單位

17、的負責人、網(wǎng)絡管理員思想上不重視或者疏忽沒有正視黑客入侵所造成的嚴重后果沒有投入必要的人力、物力和財力來加強網(wǎng)絡的安全性，沒有采取有效的安全策略和安全機制缺乏先進的網(wǎng)絡安全技術、工具、手段和產品等等，這也導致了網(wǎng)絡的安全防范能力差。主要有以下幾個方面：內部管理漏洞。缺乏健全的額管理制度或制度執(zhí)行不力，給內部人員違規(guī)或犯罪留下時機。與外部威脅相比，來自內部的攻擊和犯罪更難防范，而且是網(wǎng)絡安全的主要來源，據(jù)統(tǒng)計，大約80%的安全威脅來自系統(tǒng)內部。動態(tài)環(huán)境變化。單位變化，人員流動，原有內部人員對網(wǎng)絡的破壞。社會問題、道德問題和立法問題。網(wǎng)絡攻擊方式互聯(lián)網(wǎng)技術在飛速開展的同時黑客技術也在飛速開展，網(wǎng)絡

18、世界的安全性不斷地在受到挑戰(zhàn)。對于黑客來說要進入普通人的電腦非常容易。只果你要上網(wǎng)就免不了遇到病毒和黑客。下面列舉一些黑客常用攻擊手段：口令攻擊口令攻擊就是通過竊取口令的方式進展破壞的活動，口令攻擊是比較常用的一種攻擊方式。在現(xiàn)實生活中由于用戶名和密碼被盜造成損失的例子有很多，一旦用戶名和密碼被盜入侵者還可以冒用此用戶的名義對系統(tǒng)進展進一步的破壞和攻擊從而給用戶本身或者整個系統(tǒng)造成非常大的損失。就目前的黑客技術來說用戶名和密碼的盜取對黑客不再是有難度的事情，黑客盜取口令的方法有很多。比方說，有的黑客通過FTP、TFTP和Telnet等工具可以搜集用戶賬戶資料、獲得口令文件，然后對1：3令文件進

19、展解密來獲得口令?；蛘呷绻脩舻目诹钤O置缺乏安全性可能被輕易地被“字典攻擊猜到用戶的El令?！白值涔艟褪峭ㄟ^編寫一個應用程序根據(jù)一定的規(guī)律由應用程序自動反復地去嘗試口令強行破解用戶口令。字典攻擊要求黑客要有足夠的耐心和時間但對那些口令安全系數(shù)極低的用戶，只要短短的幾分鐘甚至數(shù)十秒就可以被破解。2014年11月，知名專業(yè)安全網(wǎng)站SecurityStreetRapid公布了3個RTSP安全漏洞，編號分別為：CVE-2014-4878、CVE-2014-4879及CVE-2014-4880。這三個漏洞均為監(jiān)控設備對RTSP請求處理不當導致的緩沖區(qū)溢出漏洞。通過該漏洞，攻擊者只要知道設備的IP地址，

20、即可采用電腦對設備進展拒絕服務攻擊，從而導致設備癱瘓或被攻擊者接收。弱口令。弱口令是指容易被攻擊者猜測到或被破解工具破解的口令。此次媒體報道中提及的弱口令問題主要是由于未修改設備初始密碼或設備密碼過于簡單導致的安全問題。弱口令問題普遍存在，主要的解決方式是建設嚴格、標準化的口令管理流程和管理機制。軟件攻擊軟件攻擊有時又叫漏洞攻擊許多系統(tǒng)包括計算機系統(tǒng)、網(wǎng)絡系統(tǒng)都有這樣那樣的安全漏洞(Bug)和后門(backdoor)。特別是計算機系統(tǒng)在安裝好操作系統(tǒng)后出現(xiàn)漏洞和缺陷的可能性是最大的，這些漏洞需要廠商發(fā)布補丁(patch)程序來進展修補。各個硬件廠商和軟件廠商，包括微軟在內都在不斷地發(fā)布自己的補

21、丁這要求用戶及時的去下載這些補丁進展系統(tǒng)更新操作。如果系統(tǒng)管理人員沒有對網(wǎng)絡和操作系統(tǒng)的漏洞及時打補丁入侵者就可以很容易利用這些公開的漏洞，侵入系統(tǒng)從而對整個網(wǎng)絡帶來災難性的后果。軟件攻擊除了利用系統(tǒng)的漏洞外還可以利用一些后門程序。后門，就是秘密入口。比方說在程序開發(fā)階段，程序員可能會設置一些后門以便于測試、修改和增強模塊功能。正常情況下，程序開放完成后需要去掉各個模塊的后門，不過有時由于疏忽或者其他原因，比方說如保存后門便于日后訪問、測試或維護后門沒有去掉，一些別有用心的人就會利用專門的掃描工具發(fā)現(xiàn)并利用這些后門，然后進入系統(tǒng)并發(fā)動攻擊。國內的安防產品的漏洞問題由來已久，主要原因在于社會和國

22、家對信息化依賴越來越高。境外惡意攻擊者一般會對網(wǎng)絡進展掃描，發(fā)現(xiàn)系統(tǒng)存在弱口令問題后會利用其中未修復的安全漏洞進展攻擊，然后植入后門軟件進展長期控制。所有暴露在互聯(lián)網(wǎng)環(huán)境下的設備都會面臨黑客攻擊的風險，很多用戶缺乏安全意識，在安全上考慮缺乏也導致容易出現(xiàn)安全漏洞。竊聽攻擊網(wǎng)絡竊聽是最直接的獲取數(shù)據(jù)的手段如果在共享的網(wǎng)絡通道上，用沒有加密的明文傳輸敏感數(shù)據(jù)這些信息很可能被竊聽和監(jiān)視。竊聽者可以采用如sniffef等網(wǎng)絡協(xié)議分析工具，非常容易地在信息傳輸過程中獲取所有信息的內容，這些信息包括賬號密碼等重要信息。一旦入侵者監(jiān)聽到用戶傳輸?shù)目诹罹涂梢岳每诹钊肭值较到y(tǒng)中。比方說政府部門內部的普通工作人

23、員如果通過內部網(wǎng)絡竊聽手段。獲取了領導的賬號和密碼，從而可以利用這些密碼查閱只能由領導查閱的秘密文件等。這類方法有一定的局限性，但危害性較大監(jiān)聽者往往能夠獲得其所在網(wǎng)段的所有用戶賬號和口令對內部網(wǎng)絡安全威脅巨大，因為內網(wǎng)數(shù)據(jù)往往是密級非常高的如果被非法竊聽而導致信息泄露，將對國家造成非常大的損失。欺詐攻擊欺詐攻擊是利用假冒方式騙取連接和信息資源、損害企業(yè)的聲譽和利益的方式。比方說黑客在被攻擊主機上啟動一個可執(zhí)行程序該程序顯示一個偽造的登錄界面。當用戶在這個偽裝的界面上鍵入登錄信息后黑客程序會將用戶輸入的信息傳送到攻擊者主機然后關閉界面給出提示錯誤要求用戶重新登錄。此后才會出現(xiàn)真正的登錄界面這就

24、是欺詐攻擊的一種方式。再比方說，黑客可以制作自己的網(wǎng)頁一旦用戶點擊了假冒鏈接地址進入到這個網(wǎng)頁后，如果用戶此時輸入銀行賬號、密碼、驗證碼后，該假冒網(wǎng)頁會提示驗證碼錯誤隨后再轉向正常的網(wǎng)頁這樣黑客就巧妙地從中獲取了用戶的機密信息。病毒攻擊計算機病毒實際上是一段可執(zhí)行程序，為什么稱之為病毒，主要是因為它和現(xiàn)實世界的病毒一樣具有傳染性潛伏性和破壞性。在越來越依賴網(wǎng)絡的今天由于病毒導致的系統(tǒng)破壞將帶來巨大的損失。計算機病毒對計算機的影響是災難性的。從20世紀80年代起計算機使用者就開場和計算機病毒斗爭，特別是隨著近年互聯(lián)網(wǎng)的開展網(wǎng)絡應用的普及、人們對計算機的依賴程度的不斷提高這一切為病毒的傳播提供了方

25、便的渠道，同時也使計算機病毒的種類迅速增加擴散速度大大加快受感染的范圍越來越廣，病毒的破壞性也越來越嚴重。以前病毒的傳播方式主要是單機之問通過軟盤介質傳染而現(xiàn)在病毒可以更迅速地通過網(wǎng)絡共享文件、電子郵件及互聯(lián)網(wǎng)在全世界范圍內傳播拒絕服務攻擊DOS(denial-of-service)攻擊，簡稱DoS攻擊是通過向攻擊目標施加超強力的服務要求要求被攻擊目標提供超出它能力范圉的服務，從而引起的攻擊目標對正常服務的拒絕或服務性能大大降低。簡單的說拒絕服務攻擊就是想方法將被攻擊的計算機資源或網(wǎng)絡帶寬資源耗盡導致網(wǎng)絡或系統(tǒng)不勝負荷以至于癱瘓而停頓提供正常的服務。DoS攻擊由于可以通過使用一些公開的軟件和工

26、具進展攻擊，因而它的發(fā)動較為簡單拒絕服務的攻擊方式是：用戶發(fā)送許多要求確認的信息到服務器使服務器里充滿著這種大量要求回復的無用信息所有的信息都有需回復的虛假地址而當服務器試圖回傳時卻無法找到用戶。服務器于是暫時等候，然后再切斷連接。服務器切斷連接時黑客再度傳送新一批需要確認的信息，這個過程周而復始最終導致服務器資源耗盡而癱瘓。信息安全后果在現(xiàn)代網(wǎng)絡信息社會環(huán)境下由于存在各種各樣的安全威脅，比方病毒、誤操作、設備故障和黑客攻擊等，從而可能會造成重要數(shù)據(jù)文件的喪失。安全問題具體的后果包括：企業(yè)的資料被有意篡改，網(wǎng)站的頁面被丑化或者修改。比方說，在被攻擊的網(wǎng)站首頁上貼上謠言、黃色圖片或反動言論從而造

27、成法律上和政治上的嚴重后果。破壞計算機的硬件系統(tǒng)，比方說磁盤系統(tǒng)從而造成文件永久喪失。使得商業(yè)機密或技術成果泄露或者被散播。安全問題還可能使得服務被迫停頓，并給客戶層帶來服務質量低劣的印象，使得企業(yè)形象被破壞，從而造成惡劣影響和難以挽回的損失。信息安全技術PKI體系公鑰密碼體制分為三個局部，公鑰、私鑰、加密解密算法，它的加密解密過程如下：加密：通過加密算法和公鑰對內容(或者說明文)進展加密，得到密文。加密過程需要用到公鑰。 解密：通過解密算法和私鑰對密文進展解密，得到明文。解密過程需要用到解密算法和私鑰。注意，由公鑰加密的內容，只能由私鑰進展解密，也就是說，由公鑰加密的內容，如果不知道私鑰，是

28、無法解密的。公鑰密碼體制的公鑰和算法都是公開的(這是為什么叫公鑰密碼體制的原因)，私鑰是保密的。大家都以使用公鑰進展加密，但是只有私鑰的持有者才能解密。在實際的使用中，有需要的人會生成一對公鑰和私鑰，把公鑰發(fā)布出去給別人使用，自己保存私鑰。證書認證機構CA認證授權機構CA, Certificate Authority，也稱為電子認證中心，是負責發(fā)放和管理數(shù)字證書的權威機構，并作為網(wǎng)絡活動中受信任的第三方，承擔公鑰體系中公鑰的合法性檢驗的責任。CA中心為每個使用公開密鑰的用戶發(fā)放一個數(shù)字證書，數(shù)字證書的作用是證明證書中列出的用戶合法擁有證書中列出的公開密鑰。CA機構的數(shù)字簽名使得攻擊者不能偽造和

29、篡改證書。在SET交易中，CA不僅對持卡人、商戶發(fā)放證書，還要對獲款的銀行、網(wǎng)關發(fā)放證書。CA是證書的簽發(fā)機構,它是PKI的核心。CA是負責簽發(fā)證書、認證證書、管理已頒發(fā)證書的機關。它要制定政策和具體步驟來驗證、識別用戶身份，并對用戶證書進展簽名，以確保證書持有者的身份和公鑰的擁有權。CA 也擁有一個證書內含公鑰和私鑰。網(wǎng)上的公眾用戶通過驗證 CA 的簽字從而信任 CA ，任何人都可以得到 CA 的證書含公鑰，用以驗證它所簽發(fā)的證書。如果用戶想得到一份屬于自己的證書，他應先向 CA 提出申請。在 CA 判明申請者的身份后，便為他分配一個公鑰，并且 CA 將該公鑰與申請者的身份信息綁在一起，并為

30、之簽字后，便形成證書發(fā)給申請者。如果一個用戶想鑒別另一個證書的真?zhèn)?，他就?CA 的公鑰對那個證書上的簽字進展驗證，一旦驗證通過，該證書就被認為是有效的。為保證用戶之間在網(wǎng)上傳遞信息的安全性、真實性、可靠性、完整性和不可抵賴性，不僅需要對用戶的身份真實性進展驗證，也需要有一個具有權威性、公正性、唯一性的機構，負責向電子商務的各個主體頒發(fā)并管理符合國內、國際安全電子交易協(xié)議標準的電子商務安全證，并負責管理所有參與網(wǎng)上交易的個體所需的數(shù)字證書，因此是安全電子交易的核心環(huán)節(jié)數(shù)字證書證書實際是由證書簽證機關CA簽發(fā)的對用戶的公鑰的認證。證書的內容包括：電子簽證機關的信息、公鑰用戶信息、公鑰、權威機構的

31、簽字和有效期等等。證書的格式和驗證方法普遍遵循X.509 國際標準。信息發(fā)送者用其私匙對從所傳報文中提取出的特征數(shù)據(jù)或稱數(shù)字指紋進展RSA算法操作，以保證發(fā)信人無法抵賴曾發(fā)過該信息即不可抵賴性，同時也確保信息報文在傳遞過程中未被篡改即完整性。當信息接收者收到報文后，就可以用發(fā)送者的公鑰對數(shù)字簽名進展驗證。數(shù)字證書為實現(xiàn)雙方安全通信提供了電子認證。在因特網(wǎng)、公司內部網(wǎng)或外部網(wǎng)中，使用數(shù)字證書實現(xiàn)身份識別和電子信息加密。數(shù)字證書中含有公鑰對所有者的識別信息，通過驗證識別信息的真?zhèn)螌崿F(xiàn)對證書持有者身份的認證。1. 使用數(shù)字證書能做什么?數(shù)字證書在用戶公鑰后附加了用戶信息及CA的簽名。公鑰是密鑰對的一

32、局部，另一局部是私鑰。公鑰公之于眾，誰都可以使用。私鑰只有自己知道。由公鑰加密的信息只能由與之相對應的私鑰解密。為確保只有某個人才能閱讀自己的信件，發(fā)送者要用收件人的公鑰加密信件；收件人便可用自己的私鑰解密信件。同樣，為證實發(fā)件人的身份，發(fā)送者要用自己的私鑰對信件進展簽名；收件人可使用發(fā)送者的公鑰對簽名進展驗證，以確認發(fā)送者的身份。在線交易中您可使用數(shù)字證書驗證對方身份。用數(shù)字證書加密信息，可以確保只有接收者才能解密、閱讀原文，信息在傳遞過程中的保密性和完整性。有了數(shù)字證書網(wǎng)上安全才得以實現(xiàn)，電子郵件、在線交易和信用卡購物的安全才能得到保證。2.數(shù)字證書的類型個人數(shù)字證書，主要用于標識數(shù)字證書

33、自然人所有人的身份，包含了個人的身份信息及其公鑰，如用戶姓名、證件號碼、身份類型等，可用于個人在網(wǎng)上進展合同簽定、定單、錄入審核、操作權限、支付信息等活動。機構數(shù)字證書，主要用于標識數(shù)字證書機構所有人的身份，包含機構的相關信息及其公鑰，如：企業(yè)名稱、組織機構代碼等，可用于機構在電子商務、電子政務應用中進展合同簽定、網(wǎng)上支付、行政審批、網(wǎng)上辦公等各類活動。設備數(shù)字證書，用于在網(wǎng)絡應用中標識網(wǎng)絡設備的身份，主要包含了設備的相關信息及其公鑰，如：域名、網(wǎng)址等，可用于VPN服務器、WEB服務器等各種網(wǎng)絡設備在網(wǎng)絡通訊中標識和驗證設備身份。此外，還有代碼簽名數(shù)字證書，是簽發(fā)給軟件提供者的數(shù)字證書，包含了

34、軟件提供者的身份信息及其公鑰，主要用于證明軟件發(fā)布者所發(fā)行的軟件代碼來源于一個真實軟件發(fā)布者，可以有效防止軟件代碼被篡改。用戶身份認證所謂身份認證，就是判斷一個用戶是否為合法用戶的處理過程。最常用的簡單身份認證方式是系統(tǒng)通過核對用戶輸入的用戶名和口令，看其是否與系統(tǒng)中存儲的該用戶的用戶名和口令一致，來判斷用戶身份是否正確。復雜一些的身份認證方式采用一些較復雜的加密算法與協(xié)議，需要用戶出示更多的信息(如私鑰)來證明自己的身份，如Kerberos身份認證系統(tǒng)。身份認證一般與授權控制是相互聯(lián)系的，授權控制是指一旦用戶的身份通過認證以后，確定哪些資源該用戶可以訪問、可以進展何種方式的訪問操作等問題。在

35、一個數(shù)字化的工作體系中，應該有一個統(tǒng)一的身份認證系統(tǒng)供各應用系統(tǒng)使用，但授權控制可以由各應用系統(tǒng)自己管理。統(tǒng)一用戶管理系統(tǒng)(IDS),實現(xiàn)網(wǎng)上應用系統(tǒng)的用戶、角色和組織機構統(tǒng)一化管理，實現(xiàn)各種應用系統(tǒng)間跨域的單點登錄和單點退出和統(tǒng)一的身份認證功能，用戶登錄到一個系統(tǒng)后，再轉入到其他應用系統(tǒng)時不需要再次登錄，簡化了用戶的操作，也保證了同一用戶在不同的應用系統(tǒng)中身份的一致性。身份認證可分為用戶與系統(tǒng)間的認證和系統(tǒng)與系統(tǒng)之間的認證。身份認證必須做到準確無誤地將對方識別出來，同時還應該提供雙向的認證。目前使用比較多的是用戶與系統(tǒng)間的身份認證，它只需單向進展，只由系統(tǒng)對用戶進展身份驗證。隨著計算機網(wǎng)絡化

36、的開展，大量的組織機構涌入國際互聯(lián)網(wǎng)，以及電子商務與電子政務的大量興起，系統(tǒng)與系統(tǒng)之間的身份認證也變得越來越重要。身份認證的 基本方式可以基于下述一個或幾個因素的組合：所知Knowledge：即用戶所知道的或所掌握的知識，如口令；所有Possesses：用戶所擁有的某個秘密信息，如智能卡中存儲的用戶個人化參數(shù)，訪問系統(tǒng)資源時必須要有智能卡；特征Characteristics：用戶所具有的生物及動作特征，如指紋、聲音、視網(wǎng)膜掃描等。根據(jù)在認證中采用的因素的多少，可以分為單因素認證、雙因素認證、多因素認證等方法。身份認證系統(tǒng)所采用的方法考慮因素越多，認證的可靠性就越高。認證機制基于口令的身份認證機

37、制基于口令的身份認證技術因其簡單易用，得到了廣泛的使用。但隨著網(wǎng)絡應用的深入和網(wǎng)絡攻擊手段的多樣化，口令認證技術也不斷發(fā)生變化，產生了各種各樣的新技術。最常采用的身份認證方式是基于靜態(tài)口令的認證方式，它是最簡單、目前應用最普遍的一種身份認證方式。但它是一種單因素的認證，安全性僅依賴于口令，口令一旦泄露，用戶即可被冒充；同時易被攻擊，采用窺探、字典攻擊、窮舉嘗試、網(wǎng)絡數(shù)據(jù)流竊聽、重放攻擊等很容易攻破該認證系統(tǒng)。相對靜態(tài)口令，動態(tài)口令也叫一次性口令，它的 基本原理是在用戶登錄過程中，基于用戶口令參加不確定因子，對用戶口令和不確定因子進展單向散列函數(shù)變換，所得的結果作為認證數(shù)據(jù)提交給認證服務器。認證

38、服務器接收到用戶的認證數(shù)據(jù)后，把用戶的認證數(shù)據(jù)和自己用同樣的散列算法計算出的數(shù)值進展比對，從而實現(xiàn)對用戶身份的認證。在認證過程中，用戶口令不在網(wǎng)絡上傳輸，不直接用于驗證用戶的身份。動態(tài)口令機制每次都采用不同的不確定因子來生成認證數(shù)據(jù)，從而每次提交的認證數(shù)據(jù)都不一樣，提高了認證過程的安全性。挑戰(zhàn)/響應認證機制挑戰(zhàn)/響應方式的身份認證機制就是每次認證時認證服務器端都給客戶端發(fā)送一個不同的“挑戰(zhàn)碼，客戶端程序收到這個“挑戰(zhàn)碼，根據(jù)客戶端和服務器之間共享的密鑰信息，以及服務器端發(fā)送的“挑戰(zhàn)碼做出相應的“應答。服務器根據(jù)應答的結果確定是否承受客戶端的身份聲明。從本質上講，這種機制實際上也是一次性口令的一

39、種。一個典型的認證過程如以以下圖所示：認證過程為：1) 客戶向認證服務器發(fā)出請求，要求進展身份認證；2) 認證服務器從用戶數(shù)據(jù)庫中查詢用戶是否是合法的用戶，假設不是，那么不做進一步處理；3) 認證服務器內部產生一個隨機數(shù)，作為“挑戰(zhàn)碼，發(fā)送給客戶；4) 客戶將用戶名字和隨機數(shù)合并，使用單向Hash函數(shù)例如MD5算法生成一個字節(jié)串作為應答；5) 認證服務器將應答串與自己的計算結果比較，假設二者一樣，那么通過一次認證；否那么，認證失敗；6) 認證服務器通知客戶認證成功或失敗。EAP認證機制EAPExtensible Authentication Protocol擴展認證協(xié)議在RFC2248中定義，

40、是一個普遍使用的認證機制，它常被用于無線網(wǎng)絡或點到點的連接中。EAP不僅可以用于無線局域網(wǎng)，而且可以用于有線局域網(wǎng)，但它在無線局域網(wǎng)中使用的更頻繁。EAP實際是一個認證框架，不是一個特殊的認證機制。EAP提供一些公共的功能，并且允許協(xié)商所希望的認證機制。這些機制被稱為EAP方法。由于EAP方法除了IETF定義了一局部外，廠商也可以自定義方法，因此EAP具有很強的擴展性。IETF的RFC中定義的方法包括EAP-MD5、EAP-OTP、EAP-GTC、EAP-TLS、EAP-SIM和EAP-AKA等。無線網(wǎng)絡中常用的方法包括EAP-TLS、 EAP-SIM、 EAP-AKA、 PEAP、LEAP和

41、EAP-TTLS。目前EAP在802.1X的網(wǎng)絡中使用廣泛，可擴展的EAP方法可以為接入網(wǎng)絡提供一個安全認證機制。鑰認證機制隨著網(wǎng)絡應用的普及，對系統(tǒng)外用戶進展身份認證的需求不斷增加，即某個用戶沒有在一個系統(tǒng)中注冊，但也要求能夠對其身份進展認證，尤其是在分布式系統(tǒng)中，這種要求格外突出。這種情況下，公鑰認證機制就顯示出它獨特的優(yōu)越性。公鑰認證機制中每個用戶被分配給一對密鑰，稱之為公鑰和私鑰，其中私鑰由用戶保管，而公鑰那么向所有人公開。用戶如果能夠向驗證方證實自己持有私鑰，就證明了自己的身份。當它用作身份認證時，驗證方需要用戶方對某種信息進展數(shù)字簽名，即用戶方以用戶私鑰作為加密密鑰，對某種信息進展

42、加密，傳給驗證方，而驗證方根據(jù)用戶方預先提供的公鑰作為解密密鑰，就可以將用戶方的數(shù)字簽名進展解密，以確認該信息是否是該用戶所發(fā)，進而認證該用戶的身份。公鑰認證機制中要驗證用戶的身份，必須擁有用戶的公鑰，而用戶公鑰是否正確，是否是所聲稱擁有人的真實公鑰，在認證體系中是一個關鍵問題。常用的方法是找一個值得信賴而且獨立的第三方認證機構充當認證中心Certificate Authority，CA，來確認聲稱擁有公開密鑰的人的真正身份。要建設安全的公鑰認證系統(tǒng)，必須先建設一個穩(wěn)固、健全的CA體系，尤其是公認的權威機構，即“Root CA，這也是當前公鑰根基設施PKI建設的一個重點。認證協(xié)議許多協(xié)議在向用

43、戶或設備授權訪問和訪問權限之前需要認證校驗，通常要用到認證相關的機制，前面討論了常用的認證機制，本節(jié)介紹使用這些認證機制的協(xié)議，這些協(xié)議包括RADIUS、TACACS、Kerberos、LDAP等。RADIUS和TACACS通常用在撥號環(huán)境中，Kerberos是在校園網(wǎng)中用的比較多的協(xié)議。LDAP提供一種輕量級的目錄服務，嚴格來說不能算作一種認證協(xié)議，而對用戶進展認證授權只是LDAP的一種應用。RADIUS認證協(xié)議RADIUSRemote Authentication Dial In User Service協(xié)議最初是由Livingston公司提出的，目的是為撥號用戶進展認證和計費。后來經(jīng)過屢

44、次改進，形成了一個通用的AAA協(xié)議。RADIUS協(xié)議認證機制靈活，能夠支持各種認證方法對用戶進展認證。可以采用上述任何一種認證機制。RADIUS是一種可擴展的協(xié)議，它進展的全部工作都是基于屬性進展的，由于屬性可擴展性，因此很容易支持不同的認證方式。RADIUS協(xié)議通過UDP協(xié)議進展通信，RADIUS服務器的1812端口負責認證，1813端口負責計費工作。采用UDP的 基本考慮是因為NAS和RADIUS服務器大多在同一個局域網(wǎng)中，使用UDP更加快捷方便。TACACS認證協(xié)議TACACSTerminal Access Controller Access Control System最先是由BBN為

45、MILNET開發(fā)的一種基于UDP的訪問控制協(xié)議，一些廠商對協(xié)議進展了擴展，最終形成了一種新的AAA協(xié)議，其中CISCO公司對TACACS協(xié)議屢次進展增強擴展，目前成為TACACS+協(xié)議，H3C在TACACSRFC1492根基上進展了功能增強，形成了H3C擴展的TACACS協(xié)議。無論TACACS、TACACS+還是H3C擴展TACACS協(xié)議，其認證、授權和計費是別離的，并且與原始TACACS協(xié)議相比，TACACS+和HWTACACS可以使用TCP作為傳輸層協(xié)議，端口號為49。TACACS+允許任意長度和內容的認證交換，與RADIUS一樣，具有很強的擴展性，并且客戶端可以使用任何認證機制。由于TACACS+的認證與其他服務是分開的，所以認證不是強制的，這點與RADIUS是不同的。Kerberos認證協(xié)議在一個分布式環(huán)境中，采用上述兩種認證協(xié)議時，如果發(fā)生賬號改動的情況，每臺機器上的都要進展相應的賬號修改，工作