蔣覲陽 范紅喜

[摘要]針對醫(yī)院的信息管理工作,對比各類安全認(rèn)證機(jī)制,有針對的性的選擇和研究安全管理平臺中的身份認(rèn)證機(jī)制以及平臺搭建和認(rèn)證的傳遞方式。

[關(guān)鍵詞]信息安全身份認(rèn)證認(rèn)證傳遞管理平臺

中圖分類號:TP3文獻(xiàn)標(biāo)識碼:A文章編號:1671-7597(2009)1210120-01

一、信息安全探討

信息系統(tǒng)安全的解決是一個綜合性問題,涉及到諸多因素,包括技術(shù)、產(chǎn)品和管理等。我國的信息安全產(chǎn)品和技術(shù)已經(jīng)從加密、防病毒、防火墻、防電磁輻射,過渡到包括平臺系統(tǒng)、電子身份認(rèn)證、漏洞掃描、入侵檢測、識別鑒別、實體安全保護(hù)等十大系列的防護(hù)體系,信息安全產(chǎn)業(yè)從單純的產(chǎn)品和技術(shù)開發(fā)過度到產(chǎn)品和技術(shù)開發(fā)、安全系統(tǒng)集成與信息安全服務(wù)。對于醫(yī)院的特殊環(huán)境下的信息安全要求,應(yīng)該創(chuàng)建相適應(yīng)的安全管理平臺。

在安全管理平臺中有一種重要機(jī)制就是身份認(rèn)證。在安全管理平臺機(jī)制下,安全管理平臺的身份驗證以Kerberos VS(與密碼或智能卡一起使用的用于交互式登錄的協(xié)議)它也是適用于服務(wù)的默認(rèn)的網(wǎng)絡(luò)身份驗證方法。以驗證協(xié)議為基礎(chǔ),將個人私鑰存放在智能IC卡上,通過IC卡的卡PIN實現(xiàn)智能IC卡對醫(yī)務(wù)人員的認(rèn)證以及對IC卡內(nèi)私鑰的訪問[1]。在卡內(nèi)實現(xiàn)ECC加/解密以保證私鑰存儲的安全性,通過DCE(分布計算環(huán)境)登錄機(jī)制在DCE客戶機(jī)和多協(xié)議服務(wù)器之間實現(xiàn)的。

二、認(rèn)證的安全管理平臺

當(dāng)醫(yī)務(wù)人員登錄到DCE后,就取得了相應(yīng)的唯一身份標(biāo)識符以及由DEC安全服務(wù)所分配的特權(quán)屬性標(biāo)識。

圖1安全管理平臺的身份認(rèn)證流程

安全管理平臺的安全服務(wù)器按醫(yī)院信息安全邊界劃分安全域,要管理的醫(yī)務(wù)人員、角色和資源加入到安全域中,同時維護(hù)著一個數(shù)據(jù)庫,該數(shù)據(jù)庫包含有系統(tǒng)中每個醫(yī)務(wù)人員的賬戶信息,包括醫(yī)務(wù)人員的登錄帳號、公鑰證書以及角色信息。所有安全代理服務(wù)器在安全數(shù)據(jù)庫中也有帳號。當(dāng)一個醫(yī)務(wù)人員登錄到安全管理平臺并且請求訪服務(wù)器時,安全服務(wù)器根據(jù)醫(yī)務(wù)人員的公鑰進(jìn)行認(rèn)證,使用服務(wù)器對驗證信息進(jìn)行加密。這個驗證信息包含下次與服務(wù)器進(jìn)行會話的新的加密密鑰。密鑰還具有階段性,階段性密鑰只在一段很短的時間內(nèi)有效。驗證信息中同時也包含基于服務(wù)器的密碼產(chǎn)生的階段性加密密鑰,醫(yī)務(wù)人員使用這個驗證信息來向服務(wù)器證實自己的身份。

為了訪問安全域中所有服務(wù)器,醫(yī)務(wù)人員必須在安全服務(wù)中進(jìn)行登記。一旦醫(yī)務(wù)人員進(jìn)行了登記,安全服務(wù)器可以為醫(yī)務(wù)人員向整個醫(yī)院系統(tǒng)中的任何服務(wù)器提供身份驗證服務(wù)。醫(yī)務(wù)人員只需要登記一次就可以安全地訪問網(wǎng)絡(luò)中所有安全信息。這種登錄的過程提供了在醫(yī)務(wù)人員和服務(wù)器之間相互身份證服務(wù),雙方都能確認(rèn)對方的身份。

安全本地代理服務(wù)器是用來進(jìn)行身份認(rèn)證和建立安全通信通道。安全本地代理服務(wù)器對應(yīng)用的客戶端軟件不作任何改變,采用陷阱方式,由安全本地代理服務(wù)器設(shè)置IP陷阱、截取IP數(shù)據(jù)包,由安全本地代理服務(wù)器進(jìn)行處理,當(dāng)醫(yī)務(wù)人員請求訪問被安全域保護(hù)的服務(wù)或資源時,安全本地代理服務(wù)器將其截獲,使用安全通道送往安全域中的安全服務(wù)器進(jìn)行認(rèn)證、授權(quán)處理。

三、認(rèn)證身份的傳遞

對被安全管理平臺認(rèn)證了的醫(yī)務(wù)人員身份,當(dāng)與安全代理服務(wù)器進(jìn)行通訊時,安全代理服務(wù)器從安全服務(wù)器獲得醫(yī)務(wù)人員ID,傳遞給后臺的應(yīng)用服務(wù)器。

通過認(rèn)證身份的傳遞,安全管理平臺為應(yīng)用程序提供了身份認(rèn)證服務(wù),是安全管理平臺作為安全平臺的重要特性之一。

圖2認(rèn)證身份的傳遞

安全代理服務(wù)器用于收集并處理安全域內(nèi)所有的安全設(shè)備產(chǎn)生的信息。安全代理服務(wù)器依據(jù)安全策略服務(wù)器中其管理的安全域相匹配的安全策略對收集到的安全報告進(jìn)行篩選,把不符合或者不感興趣的警報都刪除掉。但是,并不阻止安全設(shè)備產(chǎn)生那些不符合或不感興趣的報告。最后,安全代理服務(wù)器將整理好的安全警報集上傳給中心服務(wù)器。

為了使信息安全設(shè)備產(chǎn)生的安全信息得到動態(tài)、有效地控制,安全代理服務(wù)器具有以下特征:

1.每一個安全代理服務(wù)器都明確知道自己的任務(wù),而且能夠執(zhí)行它。

2.當(dāng)安全代理服務(wù)器對自己的功能有疑問或沒有足夠的信息處理問題時,它可以向中心分析器匯報。

3.安全代理服務(wù)器產(chǎn)生的安全警報集用固定的形式語言描述。

目前將人工智能應(yīng)用于入侵防御領(lǐng)域大大提高入侵防御系統(tǒng)的性能。引入計算機(jī)免疫技術(shù),通過正常行為的學(xué)習(xí)來識別不符合常態(tài)的行為,使系統(tǒng)能夠自動學(xué)習(xí)新的入侵活動,提高檢全率和檢準(zhǔn)率;研究更好的神經(jīng)網(wǎng)絡(luò)架構(gòu),克服目前基于神經(jīng)網(wǎng)絡(luò)的異常檢測技術(shù)的缺陷。應(yīng)用遺傳算法來識別正常行為與異常行為,提高系統(tǒng)分析能力。

參考文獻(xiàn):

[1]Krajewski,M.,Concept for a Smart Card Kerberos,Proc.15th Nafl Computer Security Conf.,B altimore,Oct.1992,76-83.

[2]文鐵華、古士文,信息系統(tǒng)安全的若干關(guān)鍵問題研究[J].中南大學(xué):控制理論與控制工程(專業(yè))博士論文,2003.

作者簡介:

蔣覲陽,女,漢族,就職于蘭州軍區(qū)蘭州總醫(yī)院;范紅喜,男,漢族,就職于蘭州軍區(qū)蘭州總醫(yī)院。