基于身份密碼學(xué)的報(bào)文認(rèn)證及控制機(jī)制研究.pdf

1、伴隨網(wǎng)絡(luò)通信技術(shù)的日益發(fā)展，人們?cè)谏罾镏性絹?lái)越頻繁地使用到互聯(lián)網(wǎng)，互聯(lián)網(wǎng)給人們帶來(lái)的便利也深入到日常生活的各方各面。但是網(wǎng)絡(luò)上存在著越來(lái)越多的竊聽(tīng)、截獲、篡改、冒充等安全威脅，數(shù)據(jù)的安全性顯得越來(lái)越突出，因此報(bào)文認(rèn)證協(xié)議越來(lái)越必要。但是傳統(tǒng)的認(rèn)證協(xié)議仍然存在著以下不足：1、密鑰協(xié)商的過(guò)程比較復(fù)雜。2、會(huì)話發(fā)起時(shí)間長(zhǎng)。3、交互轉(zhuǎn)換狀態(tài)繁多。4、協(xié)議定義比較繁雜。5、認(rèn)證功能不夠特定。本文提出了一種基于身份密碼學(xué)的報(bào)文認(rèn)證協(xié)議（Datag

2、ram authentication Protocol），在下文以DAP表示報(bào)文認(rèn)證協(xié)議。傳統(tǒng)Linux采用的訪問(wèn)控制機(jī)制是自主訪問(wèn)控制，不能夠完全體現(xiàn)訪問(wèn)控制的功能，即：1、防止不合法主體訪問(wèn)受保護(hù)的網(wǎng)絡(luò)中的資源。2、準(zhǔn)許合法的用戶(hù)訪問(wèn)被保護(hù)的網(wǎng)絡(luò)資源。3、禁止合法用戶(hù)對(duì)受保護(hù)網(wǎng)絡(luò)資源進(jìn)行未經(jīng)授權(quán)訪問(wèn)。本文針對(duì)所指出的問(wèn)題，對(duì)可信安全網(wǎng)絡(luò)的認(rèn)證協(xié)議以及SELinux訪問(wèn)控制機(jī)制進(jìn)行了深入研究。本文的主要工作和貢獻(xiàn)如下：
　　一、

3、一種自信任報(bào)文認(rèn)證協(xié)議的設(shè)計(jì)與實(shí)現(xiàn)
　　在傳統(tǒng)網(wǎng)絡(luò)安全協(xié)議中，很多是基于PKI體系，使用者的身份和公鑰需要證書(shū)綁定，并且密鑰的傳輸和協(xié)商過(guò)程十分繁雜，給系統(tǒng)帶來(lái)了較大的開(kāi)銷(xiāo)。本文通過(guò)使用基于身份的密碼學(xué)，直接使用用戶(hù)的IP地址作為自己的身份信息，避免了依賴(lài)證書(shū)的弊端，減少了通信雙方證書(shū)傳遞和認(rèn)證的開(kāi)銷(xiāo)。并且在密鑰的計(jì)算上，本文采用了雙線性對(duì)運(yùn)算等數(shù)學(xué)工具，使得無(wú)需進(jìn)行任何參數(shù)交換，通信雙方即可分別計(jì)算出共同知曉的秘鑰值，避免了通信

4、雙方進(jìn)行交互的開(kāi)銷(xiāo)和密鑰信息在網(wǎng)上傳播被泄露的風(fēng)險(xiǎn)。本文使用IP地址即身份機(jī)制，有效兼容了當(dāng)前主流TCP/IP網(wǎng)絡(luò)體系結(jié)構(gòu)。在協(xié)議設(shè)計(jì)中又保持了開(kāi)放包容的特點(diǎn)，該特性非常利于以后對(duì)協(xié)議進(jìn)行更新，使得報(bào)文認(rèn)證協(xié)議具備極強(qiáng)的可增量部署特性。
　　二、報(bào)文認(rèn)證協(xié)議安全機(jī)制研究
　　在報(bào)文認(rèn)證協(xié)議的設(shè)計(jì)中，本文加入了一種時(shí)間戳機(jī)制，將系統(tǒng)時(shí)間信息通過(guò)相應(yīng)操作封裝到認(rèn)證碼信息中，使得認(rèn)證碼攜帶了報(bào)文封裝時(shí)間，可以有效規(guī)避重放、篡改等網(wǎng)

5、絡(luò)攻擊。訪問(wèn)控制機(jī)制可以分為三類(lèi)，自主訪問(wèn)控制（DAC)、強(qiáng)制訪問(wèn)控制（MAC)及基于角色的訪問(wèn)控制機(jī)制（RBAC），傳統(tǒng)的Linux系統(tǒng)采用的是自主訪問(wèn)控制，這樣會(huì)給系統(tǒng)帶來(lái)安全隱患。SELinux帶給Linux的主要價(jià)值是：提供了一個(gè)靈活的，可配置的MAC機(jī)制。對(duì)報(bào)文認(rèn)證協(xié)議的訪問(wèn)控制機(jī)制大大地提高了對(duì)報(bào)文認(rèn)證協(xié)議使用的靈活性和安全性，通過(guò)對(duì)通信客體身份信息和對(duì)進(jìn)程配置不同的Label級(jí)別可以達(dá)到精確控制報(bào)文認(rèn)證協(xié)議使用權(quán)限分級(jí)的問(wèn)

6、題。
　　三、報(bào)文認(rèn)證協(xié)議的實(shí)現(xiàn)和測(cè)試
　　本文首先闡述了報(bào)文認(rèn)證協(xié)議實(shí)現(xiàn)中可以采用的兩種不同的技術(shù)路線，并且分別分析了每種技術(shù)路線的優(yōu)點(diǎn)和弊端，然后根據(jù)當(dāng)前研究現(xiàn)狀選擇了最適合的技術(shù)路線。本文還進(jìn)一步介紹了在報(bào)文認(rèn)證協(xié)議實(shí)現(xiàn)中所遇到的問(wèn)題，解決問(wèn)題的關(guān)鍵手段和實(shí)現(xiàn)上的一些細(xì)節(jié)。最后，通過(guò)對(duì)DAP報(bào)文認(rèn)證協(xié)議進(jìn)行功能驗(yàn)證和性能測(cè)試，得出DAP報(bào)文認(rèn)證協(xié)議與AH認(rèn)證協(xié)議的性能比較?？梢缘贸鲆韵陆Y(jié)論，DAP報(bào)文認(rèn)證協(xié)議較之AH協(xié)