蔣覲陽(yáng) 范紅喜

[摘要]針對(duì)醫(yī)院的信息管理工作,對(duì)比各類安全認(rèn)證機(jī)制,有針對(duì)的性的選擇和研究安全管理平臺(tái)中的身份認(rèn)證機(jī)制以及平臺(tái)搭建和認(rèn)證的傳遞方式。

[關(guān)鍵詞]信息安全身份認(rèn)證認(rèn)證傳遞管理平臺(tái)

中圖分類號(hào):TP3文獻(xiàn)標(biāo)識(shí)碼:A文章編號(hào):1671-7597(2009)1210120-01

一、信息安全探討

信息系統(tǒng)安全的解決是一個(gè)綜合性問(wèn)題,涉及到諸多因素,包括技術(shù)、產(chǎn)品和管理等。我國(guó)的信息安全產(chǎn)品和技術(shù)已經(jīng)從加密、防病毒、防火墻、防電磁輻射,過(guò)渡到包括平臺(tái)系統(tǒng)、電子身份認(rèn)證、漏洞掃描、入侵檢測(cè)、識(shí)別鑒別、實(shí)體安全保護(hù)等十大系列的防護(hù)體系,信息安全產(chǎn)業(yè)從單純的產(chǎn)品和技術(shù)開(kāi)發(fā)過(guò)度到產(chǎn)品和技術(shù)開(kāi)發(fā)、安全系統(tǒng)集成與信息安全服務(wù)。對(duì)于醫(yī)院的特殊環(huán)境下的信息安全要求,應(yīng)該創(chuàng)建相適應(yīng)的安全管理平臺(tái)。

在安全管理平臺(tái)中有一種重要機(jī)制就是身份認(rèn)證。在安全管理平臺(tái)機(jī)制下,安全管理平臺(tái)的身份驗(yàn)證以Kerberos VS(與密碼或智能卡一起使用的用于交互式登錄的協(xié)議)它也是適用于服務(wù)的默認(rèn)的網(wǎng)絡(luò)身份驗(yàn)證方法。以驗(yàn)證協(xié)議為基礎(chǔ),將個(gè)人私鑰存放在智能IC卡上,通過(guò)IC卡的卡PIN實(shí)現(xiàn)智能IC卡對(duì)醫(yī)務(wù)人員的認(rèn)證以及對(duì)IC卡內(nèi)私鑰的訪問(wèn)[1]。在卡內(nèi)實(shí)現(xiàn)ECC加/解密以保證私鑰存儲(chǔ)的安全性,通過(guò)DCE(分布計(jì)算環(huán)境)登錄機(jī)制在DCE客戶機(jī)和多協(xié)議服務(wù)器之間實(shí)現(xiàn)的。

二、認(rèn)證的安全管理平臺(tái)

當(dāng)醫(yī)務(wù)人員登錄到DCE后,就取得了相應(yīng)的唯一身份標(biāo)識(shí)符以及由DEC安全服務(wù)所分配的特權(quán)屬性標(biāo)識(shí)。

圖1安全管理平臺(tái)的身份認(rèn)證流程

安全管理平臺(tái)的安全服務(wù)器按醫(yī)院信息安全邊界劃分安全域,要管理的醫(yī)務(wù)人員、角色和資源加入到安全域中,同時(shí)維護(hù)著一個(gè)數(shù)據(jù)庫(kù),該數(shù)據(jù)庫(kù)包含有系統(tǒng)中每個(gè)醫(yī)務(wù)人員的賬戶信息,包括醫(yī)務(wù)人員的登錄帳號(hào)、公鑰證書(shū)以及角色信息。所有安全代理服務(wù)器在安全數(shù)據(jù)庫(kù)中也有帳號(hào)。當(dāng)一個(gè)醫(yī)務(wù)人員登錄到安全管理平臺(tái)并且請(qǐng)求訪服務(wù)器時(shí),安全服務(wù)器根據(jù)醫(yī)務(wù)人員的公鑰進(jìn)行認(rèn)證,使用服務(wù)器對(duì)驗(yàn)證信息進(jìn)行加密。這個(gè)驗(yàn)證信息包含下次與服務(wù)器進(jìn)行會(huì)話的新的加密密鑰。密鑰還具有階段性,階段性密鑰只在一段很短的時(shí)間內(nèi)有效。驗(yàn)證信息中同時(shí)也包含基于服務(wù)器的密碼產(chǎn)生的階段性加密密鑰,醫(yī)務(wù)人員使用這個(gè)驗(yàn)證信息來(lái)向服務(wù)器證實(shí)自己的身份。

為了訪問(wèn)安全域中所有服務(wù)器,醫(yī)務(wù)人員必須在安全服務(wù)中進(jìn)行登記。一旦醫(yī)務(wù)人員進(jìn)行了登記,安全服務(wù)器可以為醫(yī)務(wù)人員向整個(gè)醫(yī)院系統(tǒng)中的任何服務(wù)器提供身份驗(yàn)證服務(wù)。醫(yī)務(wù)人員只需要登記一次就可以安全地訪問(wèn)網(wǎng)絡(luò)中所有安全信息。這種登錄的過(guò)程提供了在醫(yī)務(wù)人員和服務(wù)器之間相互身份證服務(wù),雙方都能確認(rèn)對(duì)方的身份。

安全本地代理服務(wù)器是用來(lái)進(jìn)行身份認(rèn)證和建立安全通信通道。安全本地代理服務(wù)器對(duì)應(yīng)用的客戶端軟件不作任何改變,采用陷阱方式,由安全本地代理服務(wù)器設(shè)置IP陷阱、截取IP數(shù)據(jù)包,由安全本地代理服務(wù)器進(jìn)行處理,當(dāng)醫(yī)務(wù)人員請(qǐng)求訪問(wèn)被安全域保護(hù)的服務(wù)或資源時(shí),安全本地代理服務(wù)器將其截獲,使用安全通道送往安全域中的安全服務(wù)器進(jìn)行認(rèn)證、授權(quán)處理。

三、認(rèn)證身份的傳遞

對(duì)被安全管理平臺(tái)認(rèn)證了的醫(yī)務(wù)人員身份,當(dāng)與安全代理服務(wù)器進(jìn)行通訊時(shí),安全代理服務(wù)器從安全服務(wù)器獲得醫(yī)務(wù)人員ID,傳遞給后臺(tái)的應(yīng)用服務(wù)器。

通過(guò)認(rèn)證身份的傳遞,安全管理平臺(tái)為應(yīng)用程序提供了身份認(rèn)證服務(wù),是安全管理平臺(tái)作為安全平臺(tái)的重要特性之一。

圖2認(rèn)證身份的傳遞

安全代理服務(wù)器用于收集并處理安全域內(nèi)所有的安全設(shè)備產(chǎn)生的信息。安全代理服務(wù)器依據(jù)安全策略服務(wù)器中其管理的安全域相匹配的安全策略對(duì)收集到的安全報(bào)告進(jìn)行篩選,把不符合或者不感興趣的警報(bào)都刪除掉。但是,并不阻止安全設(shè)備產(chǎn)生那些不符合或不感興趣的報(bào)告。最后,安全代理服務(wù)器將整理好的安全警報(bào)集上傳給中心服務(wù)器。

為了使信息安全設(shè)備產(chǎn)生的安全信息得到動(dòng)態(tài)、有效地控制,安全代理服務(wù)器具有以下特征:

1.每一個(gè)安全代理服務(wù)器都明確知道自己的任務(wù),而且能夠執(zhí)行它。

2.當(dāng)安全代理服務(wù)器對(duì)自己的功能有疑問(wèn)或沒(méi)有足夠的信息處理問(wèn)題時(shí),它可以向中心分析器匯報(bào)。

3.安全代理服務(wù)器產(chǎn)生的安全警報(bào)集用固定的形式語(yǔ)言描述。

目前將人工智能應(yīng)用于入侵防御領(lǐng)域大大提高入侵防御系統(tǒng)的性能。引入計(jì)算機(jī)免疫技術(shù),通過(guò)正常行為的學(xué)習(xí)來(lái)識(shí)別不符合常態(tài)的行為,使系統(tǒng)能夠自動(dòng)學(xué)習(xí)新的入侵活動(dòng),提高檢全率和檢準(zhǔn)率;研究更好的神經(jīng)網(wǎng)絡(luò)架構(gòu),克服目前基于神經(jīng)網(wǎng)絡(luò)的異常檢測(cè)技術(shù)的缺陷。應(yīng)用遺傳算法來(lái)識(shí)別正常行為與異常行為,提高系統(tǒng)分析能力。

參考文獻(xiàn):

[1]Krajewski,M.,Concept for a Smart Card Kerberos,Proc.15th Nafl Computer Security Conf.,B altimore,Oct.1992,76-83.

[2]文鐵華、古士文,信息系統(tǒng)安全的若干關(guān)鍵問(wèn)題研究[J].中南大學(xué):控制理論與控制工程(專業(yè))博士論文,2003.

作者簡(jiǎn)介:

蔣覲陽(yáng),女,漢族,就職于蘭州軍區(qū)蘭州總醫(yī)院;范紅喜,男,漢族,就職于蘭州軍區(qū)蘭州總醫(yī)院。