基于可信賴計(jì)算平臺(tái)的可信認(rèn)證方法的研究與實(shí)現(xiàn).pdf

1、待接入網(wǎng)絡(luò)設(shè)備想要接入一個(gè)受保護(hù)的網(wǎng)絡(luò)，要先通過(guò)網(wǎng)絡(luò)認(rèn)證設(shè)備的認(rèn)證。目前的認(rèn)證技術(shù)主要有四種：口令字認(rèn)證協(xié)議，動(dòng)態(tài)一次性口令協(xié)議，基于預(yù)共享秘密的挑戰(zhàn)應(yīng)答協(xié)議，基于公鑰密碼技術(shù)的認(rèn)證協(xié)議。基于上述認(rèn)證方法，網(wǎng)絡(luò)認(rèn)證設(shè)備只以待接入設(shè)備是否掌握認(rèn)證協(xié)議需要的口令或密鑰來(lái)判斷待接入設(shè)備是否可以接入受保護(hù)的網(wǎng)絡(luò)，而不關(guān)心待接入設(shè)備本身是否是安全可信的。如果待接入設(shè)備已經(jīng)受到了攻擊，攻擊者可以在待接入設(shè)備上植入病毒或木馬程序，監(jiān)聽(tīng)認(rèn)證過(guò)程，竊取用

2、戶的關(guān)鍵信息，攻擊者就可以訪問(wèn)受保護(hù)網(wǎng)絡(luò)，或利用已經(jīng)被攻破的待接入設(shè)備作跳板，進(jìn)而攻擊受保護(hù)的網(wǎng)絡(luò)，從而引起嚴(yán)重的安全問(wèn)題。據(jù)統(tǒng)計(jì)，使用在待接入設(shè)備上植入木馬，病毒，監(jiān)控代碼和惡意代碼的方法來(lái)攻擊企業(yè)內(nèi)部受保護(hù)網(wǎng)絡(luò)的情況占企業(yè)整個(gè)安全事件的42％。 另外，據(jù)統(tǒng)計(jì)80％以上的信息安全事故為內(nèi)部人員或內(nèi)外勾結(jié)所為，而且呈上升趨勢(shì)。這就要求人們不能只關(guān)注網(wǎng)絡(luò)的安全問(wèn)題，更要關(guān)注內(nèi)部平臺(tái)的安全問(wèn)題。因此提出了可信賴計(jì)算平臺(tái)的概念，

3、旨在從計(jì)算平臺(tái)體系結(jié)構(gòu)上增強(qiáng)其安全性。可信賴計(jì)算平臺(tái)有兩個(gè)突出的特點(diǎn)：(1)在可信賴計(jì)算平臺(tái)上的操作必須是經(jīng)過(guò)授權(quán)和認(rèn)證的，任何不合法的用戶都不能使用該平臺(tái)進(jìn)行工作。(2)可信賴計(jì)算平臺(tái)會(huì)對(duì)系統(tǒng)的完整性進(jìn)行檢查。 本論文以國(guó)家“863”計(jì)劃資助項(xiàng)目(2004AAlZl090)為背景，基于可信賴計(jì)算平臺(tái)，在參考現(xiàn)有認(rèn)證技術(shù)的基礎(chǔ)上，提出了一種待接入網(wǎng)絡(luò)設(shè)備可信接入受保護(hù)網(wǎng)絡(luò)的認(rèn)證方法。利用這種方法可以及時(shí)發(fā)現(xiàn)待接入設(shè)備是否是

4、安全可信的，進(jìn)而對(duì)待接入設(shè)備進(jìn)行正確的處理(允許訪問(wèn)受保護(hù)網(wǎng)絡(luò)，拒絕訪問(wèn)受保護(hù)網(wǎng)絡(luò)，或重定向到另一個(gè)隔離的網(wǎng)絡(luò)進(jìn)行可信補(bǔ)救)。經(jīng)分析，本論文提出的方法有很好的可應(yīng)用性，可以使用在各種認(rèn)證協(xié)議中。根據(jù)此方法，本論文設(shè)計(jì)并實(shí)現(xiàn)了可信IKE協(xié)議和可信IPSec VPN客戶端軟件。實(shí)驗(yàn)表明，可信VPN客戶端沒(méi)有明顯降低原VPN客戶端的效率,而且還可以抵抗更多的平臺(tái)攻擊，增強(qiáng)了VPN客戶端安全可信接入受保護(hù)網(wǎng)絡(luò)的能力。 本論文的內(nèi)容主要

5、包括以下幾個(gè)方面：1．本論文分析了當(dāng)前信息安全系統(tǒng)存在的問(wèn)題，并將重點(diǎn)放在了認(rèn)證技術(shù)方面，指出了目前的認(rèn)證技術(shù)存在的缺點(diǎn)及可能引起的安全問(wèn)題。2．本論文介紹了可信賴計(jì)算平臺(tái)的概念、構(gòu)成和目前研究的進(jìn)展情況，并給出了可信賴計(jì)算平臺(tái)區(qū)別于以往一般計(jì)算平臺(tái)的特點(diǎn);介紹了VPN的概念，尤其重點(diǎn)介紹了IPSec協(xié)議和IKE協(xié)議。3．本論文提出了一種基于可信賴計(jì)算平臺(tái)的網(wǎng)絡(luò)可信接入認(rèn)證方法，重點(diǎn)討論了該認(rèn)證方法的認(rèn)證模型，認(rèn)證體系結(jié)構(gòu)和認(rèn)證過(guò)程，分