摘要本文針對實驗教學改革的目標，將Web服務(wù)技術(shù)引入到開放式實驗教學管理系統(tǒng)的建立中，提出在校園網(wǎng)絡(luò)的基礎(chǔ)上構(gòu)建該平臺要解決的關(guān)鍵技術(shù):用戶標識及身份驗證技術(shù)、事故處理技術(shù)、服務(wù)器性能優(yōu)化、系統(tǒng)安全管理技術(shù)等。

關(guān)鍵詞開放式實驗教學校園網(wǎng)身份驗證

中圖分類號:G64文獻標識碼:A

開放式實驗教學管理系統(tǒng)面向的是校園局域網(wǎng)或Internet，對系統(tǒng)的安全性、穩(wěn)定性、體系結(jié)構(gòu)和數(shù)據(jù)處理算法等要求較高;同時教學資源、課程配置等因素處于動態(tài)發(fā)展變化之中，需要采用較為先進合理的技術(shù)予以解決。在校園網(wǎng)絡(luò)的基礎(chǔ)上構(gòu)建該平臺要解決的關(guān)鍵技術(shù)主要有:

1 用戶標識及身份驗證技術(shù)

1.1 問題提出

由于多數(shù)用戶通過多級代理服務(wù)器或電話撥號方式來訪問校園網(wǎng)，這為唯一標識用戶身份增加了難度，需要設(shè)計合理的用戶身份驗證機制來保證每個用戶操作數(shù)據(jù)的合理性和有效性。

1.2 解決方案

(1)標識問題。開放式實驗教學管理系統(tǒng)主要通過將用戶登錄用的IP地址與帳號(學生學號或教師編號)相結(jié)合進行標識，并通過密碼和姓名驗證的方法來唯一標識每個終端用戶。

(2)一次性口令身份驗證。為了解決常規(guī)口令的諸多問題，安全專家提出了一次性口令(OTP:One Time Password)的密碼體制，以保護關(guān)鍵的計算機資源。如果網(wǎng)上傳遞的口令只用一次，攻擊者就無法用竊取的口令來訪問系統(tǒng)。

OTP的工作方式是將公共可用的信息即挑戰(zhàn)與只有用戶才知道的秘密結(jié)合起來產(chǎn)生一次性口令。OTP的主要思路是:在登錄過程中加入不確定因素，使每次登錄過程中摘錄所得的密碼都不相同，以提高登錄過程的安全性。實現(xiàn)機制多采用Challenge/Response機制，認證過程如下:

①客戶機向服務(wù)器發(fā)出登錄請求。②服務(wù)器首先向用戶提示一個“挑戰(zhàn)”(challenge)，挑戰(zhàn)由種子值和迭代值組成。③客戶端使用種子和迭代值，并與用戶的秘密通行證短語組合在一起，通過OTP中的一個散列算法，計算出單用口令，從而產(chǎn)生對挑戰(zhàn)的答復，保證了OTP不易遭受偷聽、口令重用、偷竊或口令文件攻擊。④挑戰(zhàn)的答復由客戶端通過網(wǎng)絡(luò)傳回服務(wù)器。⑤服務(wù)器驗證用戶對挑戰(zhàn)的答復，決定是否成功登錄。

根據(jù)OTP系統(tǒng)的運行機理，用戶進行身份驗證包括三個部分:迭代值、種子值和秘密通行證短語。因此在系統(tǒng)用戶初始化時，必須提供上述信息，并允許用戶在使用中動態(tài)改變。在本教學管理平臺系統(tǒng)中，采用以下規(guī)則來定義用戶身份驗證信息:①以學生學號或教師編號作為種子值。②迭代值在用戶信息初始化時由系統(tǒng)確定。③秘密通行證短語在初始化時暫定為學生學號或教師編號，在第一次成功登錄后由用戶自行修改。

2 事故處理技術(shù)

2.1 問題提出

安全性的破壞通常叫做一個事故。事故是任何一種破壞，對于實驗教學系統(tǒng)而言，事故處理主要涉及用戶非法操作、或者其它人為因素(例如機器斷電等)的影響，當用戶操作失敗時系統(tǒng)應(yīng)能提供事故處理和恢復機制。

2.2 解決方案

(1)事故的響應(yīng)。用戶登錄系統(tǒng)后，在操作過程中應(yīng)該保持用戶操作的精確記錄，以便在事故發(fā)生后及時保護有效數(shù)據(jù)結(jié)果。記錄下的細節(jié)應(yīng)主要包括以下內(nèi)容:用戶登錄信息、保存選中的實驗記錄、記錄改選的內(nèi)容等。一個完善的系統(tǒng)應(yīng)該具備如下所述的條件:必須能夠在無人管理的情況下連續(xù)運行。系統(tǒng)必須能夠在被觀測的后臺中可靠地運行，系統(tǒng)內(nèi)部的工作應(yīng)該能從外部現(xiàn)象中進行證實。必須能容錯。系統(tǒng)必須能在被破壞時保存下資料，而不需要在重新啟動時重建它的知識庫。系統(tǒng)開銷最小。必須觀察有違常規(guī)的非法操作行為并具有及時的警告信息。

(2)從事故中恢復。從一次事故中恢復系統(tǒng)數(shù)據(jù)主要包含以下幾個步驟:分析用戶身份信息。首先從用戶身份標識中分離出用戶帳號信息，然后查找事故日志，判斷該用戶是否在上次操作中發(fā)生過事故?；謴陀脩舨僮鳉v史。若用戶在上次操作過程中發(fā)生過事故，則應(yīng)該恢復所有的操作信息。在用戶成功完成各種操作后，從事故日志中刪除該用戶事故信息。通過應(yīng)用事故處理機制，系統(tǒng)的穩(wěn)定性、自適應(yīng)性明顯得到提高，這就充分保障了系統(tǒng)能夠在多種環(huán)境下安全、可靠地運行，較大限度地降低了由意外因素所造成的數(shù)據(jù)損失的可能性，確保開放式實驗教學的順利進行。

3 服務(wù)器性能優(yōu)化

3.1 問題提出

在網(wǎng)上選實驗項目的過程中最大問題是，大量學生在選課之初幾乎同時競爭教學資源，造成系統(tǒng)服務(wù)的用戶量劇增，網(wǎng)速變得很慢。

3.2 解決方案

在保證實驗項目完整和服務(wù)器硬件一定的條件下，采用幾個措施來對WEB服務(wù)器進行優(yōu)化。

(1)優(yōu)化服務(wù)器配置。運用更快速的磁盤和更好的網(wǎng)絡(luò)存取機制，能明顯改進網(wǎng)站訪問速度。這類方案的核心是設(shè)法減輕Web服務(wù)器CPU的負荷，使其從繁瑣的網(wǎng)絡(luò)協(xié)議處理中“解脫”出來，而集中于頁面處理和服務(wù)提供。另外要提升服務(wù)器性能，運用成熟的Web服務(wù)器加速軟件必不可少。

(2)運用緩沖機制。優(yōu)化網(wǎng)絡(luò)的可伸縮性和性能的另一方法是在服務(wù)器外圍增加緩沖機制。比較流行的方案是為Web服務(wù)器增加反向緩沖代理，使服務(wù)器能夠順利實現(xiàn)已創(chuàng)建頁面的傳輸，同時在創(chuàng)建動態(tài)頁面過程中減輕服務(wù)器負荷。

(3)減小數(shù)據(jù)量。優(yōu)化程序代碼，減少WEB服務(wù)器與數(shù)據(jù)庫服務(wù)器的通信流量。

4 系統(tǒng)安全管理技術(shù)

4.1 問題提出

由于該系統(tǒng)的信息涉及實驗室的內(nèi)部信息和用戶的個人隱私信息，因此，信息的安全性和訪問的可控制性尤其重要。

4.2 解決方案

(1)數(shù)據(jù)加密。由于網(wǎng)絡(luò)中連接的各個終端都是有嚴格準入制度的，因此必須有嚴格保密的傳輸體制來維護這種準入的完整性。具有報文加密功能的路由器可以解決這個問題，現(xiàn)有的企業(yè)級路由器中大多有用來封裝和解密IP報文的IPSEC協(xié)議。

(2)安全防護。在Internet中，安全漏洞主要來自網(wǎng)絡(luò)的各種惡意攻擊，比如DOS/DDOS攻擊、緩沖區(qū)溢出漏洞攻擊等。因此，一款功能完善的企業(yè)級防火墻也是系統(tǒng)必備的配置。防火墻主要應(yīng)實現(xiàn)的功能有:包過濾、狀態(tài)檢測、應(yīng)用代理、病毒和蠕蟲過濾、入侵檢測等功能。

(3)安全防護的備份與恢復。為保障數(shù)據(jù)安全和系統(tǒng)的正常運轉(zhuǎn)，應(yīng)考慮完善服務(wù)器、網(wǎng)絡(luò)系統(tǒng)的自動備份與故障恢復功能。考慮到可靠性要求較高，所以可采用熱備援的方式來解決，擬定一臺MASTER主機和一臺BACKUP主機，且MASTER和BACKUP主機會不斷偵測彼此之間的運作狀況，保證在極短的時間內(nèi)恢復系統(tǒng)的正常并時刻保證網(wǎng)絡(luò)處于可靠工作狀態(tài)。

(4)訪問控制?？梢岳梅阑饓νǖ纼?nèi)的應(yīng)用和訪問做到各種限制。比如:指定某臺電腦的訪問權(quán)限和所應(yīng)用的服務(wù)，保證每個用戶的私密性。

(5)入侵抵御。網(wǎng)絡(luò)面臨的威脅越來越多，這使得傳統(tǒng)的安全技術(shù)與設(shè)備已經(jīng)無法獨立應(yīng)對，需要入侵抵御系統(tǒng)(IPS，Intrusion Prevention System)來解決病毒、攻擊、濫用引發(fā)的問題。好的IPS應(yīng)有以下功能:具備多層流量的深度分析與檢測能力、具備良好的安全功能與出色的數(shù)據(jù)交換功能、具備較全面的協(xié)議分析與跟蹤能力。

(6)Web服務(wù)器安全預防措施:禁止亂用從其他網(wǎng)站下載的一些工具軟件。在選用Web服務(wù)器時，應(yīng)考慮到不同服務(wù)器對安全的要求不一樣。限制在Web服務(wù)器隨意開設(shè)賬戶，定期刪除一些用戶。對在Web服務(wù)器上開的賬戶，在口令長度及定期更改方面做出要求，防止被盜用。去掉FTP，Send mail，TFTP，NIS，IFS，finger，net stat等一些無關(guān)的應(yīng)用。在Web服務(wù)器上去掉一些絕對不用的shell等之類解釋器。設(shè)置好Web服務(wù)器上系統(tǒng)文件的權(quán)限和屬性。