李 冰，李 釗，李建軍，陳懷友，鐘建強

(1.第二炮兵士官學校，山東青州 710025;2.第二炮兵駐石家莊地區(qū)軍事代表室，河北石家莊 050081)

0 引言

網(wǎng)絡信任體系是國家信息安全保障體系的重要組成部分，是實施國家信息化戰(zhàn)略的重要保障，而可信網(wǎng)絡架構(gòu)不是一個具體的安全產(chǎn)品或一套針對性的安全解決體系，而是一個有機的網(wǎng)絡安全全方位的架構(gòu)體系化解決方案，強調(diào)實現(xiàn)各廠商的安全產(chǎn)品橫向關(guān)聯(lián)和縱向管理［1-3］。盡管信息網(wǎng)絡的安全研究已經(jīng)持續(xù)多年，但對網(wǎng)絡攻擊和破壞行為的對抗效果并不理想，面臨著嚴峻的挑戰(zhàn)。事實上就整個網(wǎng)絡安全需求而言，許多問題的研究是相關(guān)聯(lián)的，分散孤立的應對方式顯然不可取，如何在網(wǎng)絡復雜異構(gòu)的環(huán)境下，提供一致的安全服務體系結(jié)構(gòu)，如何在保障網(wǎng)絡高效互通基礎上，提供強大的監(jiān)控能力，都是必須綜合考慮的重要問題。

1 可信網(wǎng)絡認證系統(tǒng)的框架

在信任管理技術(shù)方面，對很多相關(guān)理論和技術(shù)性問題都沒有形成共識，仍缺乏系統(tǒng)明確的方法論指導［4-6］，還無法完全解決互聯(lián)網(wǎng)發(fā)展過程中對于信任關(guān)系準確度量與預測的需求，大部分模型對于信任值的決定因素考慮得不夠全面，無法很好地描述信任的動態(tài)性和不確定性等屬性。因此，該文研究的最終目標是在把信任管理與可信網(wǎng)絡連接有效整合的過程中解決跨域可信度問題，具體包括域間身份認證和管理、域內(nèi)身份識別和控制等方面的問題。

1.1 認證系統(tǒng)的結(jié)構(gòu)

基于上述安全需求，這里提出一種跨管理域的安全可信網(wǎng)絡體系架構(gòu)，具體體系架構(gòu)如圖1所示。為方便描述，這里假設有3個管理域需要進行安全可信保護，分別為管理域A/B/C。其中，各管理域之間互相通信采用跨域身份認證機制進行安全保障。而域內(nèi)數(shù)據(jù)通信則采用基于鏈接假名和模糊身份加密機制完成可信認證。本框架對可信網(wǎng)絡連接規(guī)范的一般功能做了初步的界定，解決了可信網(wǎng)絡連接中所用的機制，如遠程證明機制如何與其他的安全機制進行有效結(jié)合的問題。

圖1 跨域可信網(wǎng)絡體系架構(gòu)

1.2 跨域身份認證方法

跨域身份認證是指在多管理域環(huán)境下，資源的提供者和使用者可能跨越不同的管理域，因此需要跨域身份認證來解決不同管理域之間資源的相互使用問題?？缬蛏矸菡J證中，為了對不同管理域的身份權(quán)限進行協(xié)商，各管理域需要維護不同信任管理域的屬性權(quán)限映射關(guān)系，當涉及到的管理域數(shù)目比較少的時候，具有很大的可行性。但是當管理域的數(shù)量比較多時，每一個管理域需要維護的數(shù)據(jù)將十分復雜，給跨域身份認證的管理帶來極大的不便。因此系統(tǒng)基于高可信第三方實現(xiàn)對管理域認證信息的維護，包括對個管理域身份認證地址的管理，對各管理域之間相互映射關(guān)系的管理。通過高效的數(shù)據(jù)組織和安全可靠的數(shù)據(jù)傳輸機制來保證跨域身份認證的正確性。

跨域身份認證的整體結(jié)構(gòu)如圖2所示。

圖2 跨域身份認證

跨域身份認證由本地身份認證模塊、本地授權(quán)決策模塊、本地身份與權(quán)限管理模塊、跨域權(quán)限查詢模塊、第三方身份鑒別模塊以及第三方權(quán)限服務模塊組成。

這里采用的跨域身份認證的關(guān)鍵技術(shù)如下:

①基于信任度的實體屬性映射技術(shù):每個管理域都有其自身的權(quán)限定義規(guī)則，這樣造成用戶無法按照其固有屬性來進行跨域的權(quán)限判定，必須通過協(xié)商定義出一種權(quán)限映射機制來實現(xiàn)不同管理域?qū)嶓w的訪問權(quán)限變化策略。通過用戶在其他域中的訪問權(quán)限，按照一種映射規(guī)則轉(zhuǎn)換為本域中的訪問權(quán)限成為一種可行的方法，這種方法基于管理域之間可信度和相互協(xié)商的結(jié)果來實現(xiàn)，重點需要解決以下幾個問題:一是對管理域?qū)嶓w、策略的定義和統(tǒng)一描述;二是基于信任度對跨域?qū)嶓w之間的信任度映射機制進行定義，具有高信任度的實體之間可以盡可能地保留原有實體的控制權(quán)限，否則就必須對原有實體的訪問控制策略進行進一步的控制;三是針對大量的管理域以及管理策略，研究大規(guī)模數(shù)據(jù)下高效的屬性映射存儲、查詢、修改技術(shù)，提供跨域身份認證的準確性和效率。

②可信的跨域互操作技術(shù):互操作是提高跨域身份認證系統(tǒng)部署和應用的關(guān)鍵性指標，跨域的互操作技術(shù)可以集成現(xiàn)有的身份認證機制，使得用戶的身份和權(quán)限能夠在不同的管理域之間傳遞。為了實現(xiàn)可信的跨域身份認證互操作功能，規(guī)范了一種可以在不同管理域之間進行身份和鑒別信息交換的協(xié)議，用來屏蔽異構(gòu)性帶來的問題。在該交換協(xié)議中重點解決以下幾個方面的關(guān)鍵技術(shù):一是對主體身份、屬性和權(quán)限信息規(guī)范描述，通過該規(guī)范性的描述可以明確該實體的認證機構(gòu)、認證的有效期、實體的屬性以及該實體在目標機構(gòu)的權(quán)限;二是對跨域身份認證中出現(xiàn)的關(guān)于身份認證的請求查詢和響應消息進行抽象，定義出針對不同類型消息的標準格式，使得不同域之間傳遞的身份信息可理解;三是通過高可靠的加密傳輸機制來保證消息傳遞的機密性、完整性、可靠性和可鑒別性，保證用戶認證信息不被竊聽、篡改等。

2 可信認證算法

這里將介紹在域內(nèi)的相應安全保障機制，假設用戶擁有的終端設備，簡稱為ME(可以是PC或智能手機終端等)。通過ME，用戶可以安全地登錄網(wǎng)絡以廣播的方式進行通訊或撤銷網(wǎng)絡訪問。

2.1 可信通信過程

在域內(nèi)進行安全可靠通信的主要流程如下:

①通過語義安全加密，建立連接請求簽名

在終端用戶準備通信并建立連接請求時，這里建議通過一個語義安全加密機制產(chǎn)生全局唯一的鏈接請求簽名。

具體來講，采用ELGamal加密系統(tǒng)，在乘法群Zq的一個q階子群Gq中，求得一個大素數(shù)p=2q+1;該文把素數(shù)p，q和Gq的本原g作為系統(tǒng)參數(shù)。由此，通過分布式密鑰生成協(xié)議產(chǎn)生了一個ElGamal私鑰s∈RZq，因此所有的n個通信參與者共同享有s。因此，所有的參與者都有解密的能力，這n個參與者中只有極少數(shù)的t個必須執(zhí)行私鑰相關(guān)的操作。所有的參與者共享一個公鑰，h=g∧s(mod p)，h和系統(tǒng)參數(shù)一起都是可用的。在該方法中，用戶Ui的基本鏈接簽名為PUi，B最初被作為一個代表性的基本標識符ID的加密。因此，ID∈Gq是通過選擇 r∈RZq 和計算(g＇，h＇ID)的不確定性加密。

接下來，鏈接假名可以通過對基本假名的迭代重加密得到(k∈N指第k個交易，?表示乘法):

②通過PRNGs實現(xiàn)鏈接簽名全局唯一性

為了保障根據(jù)上面給出的結(jié)構(gòu)所建立的鏈接簽名具有全局唯一性，這里采用一個通過本地安全加密的偽隨機數(shù)發(fā)生器(PRNG)，對鏈接簽名的生成作進一步的控制。偽隨機數(shù)發(fā)生器(PRNG)是一個通過使用信息熵資源產(chǎn)生輸出隨機數(shù)序列的工具，只有種子的擁有者可以生成隨機數(shù)鏈。

③通過基于Expressive Encryption的匿名接收器實現(xiàn)端到端安全通信

對于鏈接簽名的接收方，這里通過密文規(guī)則的屬性基加密(CP-ABE)技術(shù)來得到與數(shù)字身份的靜態(tài)特征文件有關(guān)的屬性和憑證。通過廣義的基于位置的加密(LBE)來處理動態(tài)的與上下文有關(guān)的憑證。把這2種方法有效地結(jié)合，這里實現(xiàn)了一種新的表達策略混合加解密技術(shù)。

2.2 可信認證算法

在網(wǎng)絡中，用戶的訪問控制通常需要經(jīng)歷4個步驟，首先是生成系統(tǒng)參數(shù)，然后系統(tǒng)提取私鑰;其次通過公鑰進行加密，從而獲取密文;最后通過訪問控制樹，用戶通過私鑰進行解密，從而獲取明文。現(xiàn)在對這4個步驟主要完成的功能進行分析:

首先是系統(tǒng)初始化，通過服務器產(chǎn)生公鑰PK以及主密鑰MK。

其次是加密步驟，將服務器端的信息M(通常是一份文件)通過密鑰進行加密，從而得到密文CT，同時生成訪問控制樹r，并嵌入CT中。該步驟的詳細過程分為3步:

①在訪問控制樹r中，所有的結(jié)點x都通過一個多項式qx進行標示，該樹通過層次順序進行遍歷。

② 根結(jié)點R隨機選取屬性s，使s=qR(0)，然后選取另外各點，從而完整定義控制樹中的所有節(jié)點x的多項式qx。

③通過加密公式將M形成密文。

再次就是提取過程，由客戶端用戶將自己的屬性集S輸入到服務器端，從而生成得到自己的私鑰SK。

最后一步是解密，也就是利用遞歸算法，從r的葉子結(jié)點開始，一直遞歸到根節(jié)點R。直至計算出s。然后根據(jù)s通過對稱加密算法來解密密文。

3 可信認證實驗仿真

為了驗證所提出的可信認證的技術(shù)可行性，在實驗室環(huán)境下搭建了基于異構(gòu)無線網(wǎng)絡環(huán)境的移動數(shù)據(jù)服務網(wǎng)絡平臺，對前述可信認證進行效果驗證分析。

骨干網(wǎng)設備采用Cisco公司的無線Mesh路由器來充當，選用這款路由器的理由是該路由器具有雙頻段。另一方面，在某些終端設備上分別裝上了無線傳感器網(wǎng)絡(WSN)sink節(jié)點和GPRS網(wǎng)關(guān)，以此來實現(xiàn)網(wǎng)絡功能的異構(gòu)性和多樣性。在此實驗平臺基礎上，通過GPRS網(wǎng)關(guān)，通過手機發(fā)送短信指令的方式，網(wǎng)絡用戶可以從終端上獲取采集到sink節(jié)點的傳感數(shù)據(jù)。

在上述實驗環(huán)境中，將其劃分為2個網(wǎng)絡域，分別為網(wǎng)絡管理域A和B，并通過認證服務器和訪問管理服務器根據(jù)前面描述的域間身份認證和域內(nèi)身份識別和訪問管理技術(shù)實現(xiàn)了消息加密及訪問鏈接簽名的全局唯一管理和認證。并實現(xiàn)了Dolev-Yao模型的原型攻擊程序，由此對上述網(wǎng)絡的可信度和可靠性進行了相應測試。

測試從成功接收的消息數(shù)量以及接收到的消息正確性校驗2個方面進行，測試結(jié)果如圖3和圖4所示。從圖中可以看出一共發(fā)送了13組數(shù)據(jù)，每組數(shù)據(jù)分別有10條鏈接簽名，接收端分別對上述數(shù)據(jù)進行接收，從2個圖不難看出，無論是接收的數(shù)量和接收到消息的正確性，都與發(fā)送端的數(shù)量相吻合，由此，可以間接證明所提出的可信網(wǎng)絡框架在安全可靠的層面具有一定效果。

圖3 發(fā)送接收消息數(shù)量

圖4 發(fā)送消息的準確性校驗

4 結(jié)束語

網(wǎng)絡信任體系是國家信息安全保障體系的重要組成部分，因此針對目前可信網(wǎng)絡的需求，提出通過一種能夠進行可信身份識別與訪問控制的可信認證系統(tǒng)，該系統(tǒng)提供了一種靈活建模和描述數(shù)字用戶身份的機制，支持隱私保護和個人數(shù)據(jù)獲取，能夠靈活地實現(xiàn)第3方問責機制與端到端的安全交流。最后通過仿真實驗驗證了所提出的可信認證系統(tǒng)的功能性及效果。

［1］李小勇，桂小林.可信網(wǎng)絡中基于多維決策屬性的信任量化模型［J］.計算機學報，2009，32(3):405-416.

［2］DUMA C，SHAHMEHRI N.Dynamic Rrust Metrics for Peer-to-peer System ［C］∥ Proceedings of the 16th International Workshop on Database and Expert Systems Applications(DEXA 2005).Washington:IEEE Computer Society Press，2005:776-781.

［3］THE ODORAKOPOULOS C，BARAS J S.On Trust Models and Trust Evaluation Metrics for Ad-hoc Networks［J］.IEEE Journal on Selected Areas in Communications，2006，24(2):318-328.

［4］SUN Y，YU W，HAN Z，et al.Information Theoretic Framework of Trust Modeling and Evaluation for Ad Hoc Networks ［J］.IEEE Journalon Selected Areasin Communications，Selected Areasin Communications，2006，249(2):305-319.

［5］HE R，NIU JW，ZHANG G W.CBTM:ATrust Model with Uncertainty Quantification and Reasoning for Pervasive Computing ［C］∥ Proceedings of3rd International Symposium on Parallel and Distributed Processing and Applications(ISPA-2005)，LNCS 3758.Berlin:Springer-Verglag，2005:541-552.

［6］REHAK M，F(xiàn)OLTYN I，PECHOUCEK M，etal.TrustModel for Open Ubiquitous Agent Systems［C］∥Porceedings of IEEE/WIC/ACM International Conference on Intelligent Agent Technology Washington:IEEE Computer Society Press，2005:19-22.