周永帥，張 毅，吳 凱

第四軍醫(yī)大學(xué)教保處，西安 710032

高校信息網(wǎng)絡(luò)系統(tǒng)經(jīng)過(guò)“十五”和“十一五”期間建設(shè)，基本建成了覆蓋學(xué)校主要教學(xué)、科研場(chǎng)所，有線、無(wú)線結(jié)合的網(wǎng)絡(luò)系統(tǒng)，初步建成了教學(xué)信息資源體系以及教學(xué)管理、網(wǎng)絡(luò)辦公、后勤保障等主要應(yīng)用系統(tǒng)?！笆濉逼陂g，隨著各院校規(guī)模及“數(shù)字校園”［1］的不斷發(fā)展，以及國(guó)家教育信息化建設(shè)的不斷深化，現(xiàn)有的網(wǎng)絡(luò)系統(tǒng)、信息資源和應(yīng)用系統(tǒng)需要進(jìn)行升級(jí)、優(yōu)化和二次集成，盡快建立滿足院校發(fā)展需要、功能完備、使用便捷、安全可靠的信息化支撐平臺(tái)。在安全方面，其中一項(xiàng)重要任務(wù)就是要逐步建立起安全實(shí)用、管理科學(xué)的網(wǎng)絡(luò)身份認(rèn)證系統(tǒng)，該系統(tǒng)需要解決校園網(wǎng)絡(luò)各個(gè)層次通信實(shí)體的身份認(rèn)證問(wèn)題。

1 身份認(rèn)證系統(tǒng)現(xiàn)狀

當(dāng)前，除金融和部分電子商務(wù)網(wǎng)絡(luò)系統(tǒng)以外，國(guó)內(nèi)各行各業(yè)信息網(wǎng)絡(luò)中的身份認(rèn)證系統(tǒng)仍處于建設(shè)和應(yīng)用階段，高校身份認(rèn)證系統(tǒng)同樣處于發(fā)展階段，部分院校解決了網(wǎng)絡(luò)用戶的接入認(rèn)證、訪問(wèn)控制問(wèn)題以及應(yīng)用系統(tǒng)認(rèn)證問(wèn)題，但是仍存在以下幾個(gè)方面的問(wèn)題:

一是缺乏對(duì)身份認(rèn)證系統(tǒng)的統(tǒng)一規(guī)劃。由于對(duì)身份認(rèn)證的作用重視不夠，大部分單位沒(méi)有將身份認(rèn)證系統(tǒng)納入網(wǎng)絡(luò)安全體系通盤考慮。

二是缺乏統(tǒng)一的身份認(rèn)證技術(shù)標(biāo)準(zhǔn)。國(guó)內(nèi)身份認(rèn)證系統(tǒng)建設(shè)還處于發(fā)展階段，缺乏完備的技術(shù)體系標(biāo)準(zhǔn)，大部分技術(shù)和標(biāo)準(zhǔn)是借鑒國(guó)外的，各單位(包括單位內(nèi)部各部門)采用的認(rèn)證技術(shù)各不相同，難以進(jìn)行統(tǒng)一和共享。

三是現(xiàn)有身份認(rèn)證系統(tǒng)功能不夠完善。現(xiàn)有系統(tǒng)一般都保留有獨(dú)立的認(rèn)證方案，每個(gè)應(yīng)用系統(tǒng)各自維護(hù)自己的用戶庫(kù)和安全策略。雖然能通過(guò)數(shù)字校園的SOA機(jī)制形成統(tǒng)一認(rèn)證［2］，但還是無(wú)法形成基于聯(lián)盟的統(tǒng)一安全機(jī)制。此外，多數(shù)認(rèn)證系統(tǒng)功能較弱，存在著用戶密碼簡(jiǎn)化，或用戶在多個(gè)系統(tǒng)中使用相同口令的問(wèn)題，這些都將影響到應(yīng)用系統(tǒng)的安全。

2 國(guó)內(nèi)外身份認(rèn)證技術(shù)現(xiàn)狀

TCP/IP模型將網(wǎng)絡(luò)系統(tǒng)在邏輯上劃分為鏈路層、網(wǎng)絡(luò)層、傳輸層和應(yīng)用層，每層實(shí)現(xiàn)各自獨(dú)立的數(shù)據(jù)處理功能，并且只能在兩個(gè)通信實(shí)體的對(duì)應(yīng)層之間進(jìn)行數(shù)據(jù)交互處理，TCP/IP模型向我們提供了一個(gè)層次化鮮明的網(wǎng)絡(luò)體系結(jié)構(gòu)［3］。而現(xiàn)有的網(wǎng)絡(luò)用戶身份認(rèn)證技術(shù)也可以按照TCP/IP模型的層次來(lái)劃分。表1為TCP/IP模型各層所采用的身份認(rèn)證技術(shù)或協(xié)議。

表1 主要的身份認(rèn)證技術(shù)和協(xié)議列表

2．1 鏈路層

鏈路層身份認(rèn)證技術(shù)包括點(diǎn)到點(diǎn)協(xié)議(PPP)、以太網(wǎng)點(diǎn)對(duì)點(diǎn)協(xié)議(PPPoE)和基于端口的訪問(wèn)控制協(xié)議(802．1x)。PPP是為在同等單元之間傳輸數(shù)據(jù)包的簡(jiǎn)單鏈路設(shè)計(jì)的鏈路層協(xié)議，支持在各種物理類型的點(diǎn)到點(diǎn)串行線路上傳輸上層協(xié)議報(bào)文。PPPoE是將以太網(wǎng)和PPP協(xié)議的可擴(kuò)展性及管理控制功能結(jié)合后的協(xié)議，其在電信的ADSL上廣泛使用。802．1x提供了基于以太網(wǎng)端口的用戶認(rèn)證和授權(quán)功能，認(rèn)證數(shù)據(jù)使用EAP機(jī)制進(jìn)行傳遞，可以結(jié)合賬戶/密碼、MAC地址、端口、VLAN和接入設(shè)備地址等多種用戶信息來(lái)認(rèn)證用戶身份。802．1x協(xié)議是當(dāng)前鏈路層最為安全可靠的用戶身份認(rèn)證協(xié)議。

2．2 網(wǎng)絡(luò)層

網(wǎng)絡(luò)層的身份認(rèn)證技術(shù)主要包括VPN技術(shù)和邊緣網(wǎng)關(guān)技術(shù)。VPN是虛擬私有網(wǎng)(virtual private network)的簡(jiǎn)稱，用以實(shí)現(xiàn)在公用網(wǎng)絡(luò)上構(gòu)建私人專用網(wǎng)絡(luò)。邊緣網(wǎng)關(guān)技術(shù)是當(dāng)前使用比較廣泛的局域網(wǎng)IP認(rèn)證技術(shù)，它主要的功能是對(duì)局域網(wǎng)內(nèi)的用戶IP地址進(jìn)行必要的認(rèn)證和權(quán)限管理，是一種偏重用戶管理的認(rèn)證方式。

2．3 傳輸層

傳輸層認(rèn)證技術(shù)包括SSL協(xié)議(secure socket layer)、TLS協(xié)議(transport layer security)和WTLS協(xié)議(wireless transport layer security)。SSL不僅支持服務(wù)器對(duì)用戶的身份認(rèn)證，而且還支持用戶對(duì)服務(wù)器的身份認(rèn)證，是當(dāng)前廣泛使用的安全傳輸技術(shù)。TLS是在SSLv3基礎(chǔ)上提出的，與SSL的差別非常微小，并沒(méi)有普遍使用。而WTLS是適應(yīng)無(wú)線環(huán)境提出的標(biāo)準(zhǔn)協(xié)議，與SSL的區(qū)別也不大。

2．4 應(yīng)用層

應(yīng)用層系統(tǒng)的用戶身份認(rèn)證主要是基于某種形式的證據(jù)來(lái)證明用戶的身份，它分為基于口令的認(rèn)證系統(tǒng)、基于智能卡認(rèn)證系統(tǒng)、基于用戶生物特征認(rèn)證系統(tǒng)和基于密碼學(xué)的認(rèn)證系統(tǒng)。

在網(wǎng)絡(luò)應(yīng)用系統(tǒng)中，基于口令的認(rèn)證存在嚴(yán)重的安全問(wèn)題，容易遭受竊聽和重傳攻擊、離線猜測(cè)攻擊和在線猜測(cè)攻擊。智能卡認(rèn)證具有較高的安全性，進(jìn)行認(rèn)證時(shí)用戶還需輸入PIN(個(gè)人身份識(shí)別碼)才能讀出智能卡中的秘密信息，進(jìn)而利用該秘密信息與主機(jī)之間進(jìn)行認(rèn)證?；谟脩羯锾卣髡J(rèn)證技術(shù)具有很好的安全性、可靠性和有效性，與傳統(tǒng)的身份確認(rèn)手段相比，產(chǎn)生了質(zhì)的飛躍。但成本較高，只適用于安全級(jí)別比較高的場(chǎng)所。

基于密碼學(xué)的認(rèn)證系統(tǒng)通常包括基于Kerberos［4］的認(rèn)證系統(tǒng)和基于PKI［5］的認(rèn)證系統(tǒng)。Kerberos是基于對(duì)稱密碼體系的可信第三方認(rèn)證鑒別協(xié)議，可以提供安全的網(wǎng)絡(luò)身份認(rèn)證。PKI是基于公鑰的認(rèn)證系統(tǒng)。它包括用于用戶注冊(cè)和接受用戶證書注冊(cè)請(qǐng)求的注冊(cè)機(jī)構(gòu)RA;負(fù)責(zé)生成密鑰、發(fā)放和管理證書的權(quán)威機(jī)構(gòu)CA;對(duì)密鑰、證書及廢止證書列表存儲(chǔ)和管理的LDAP服務(wù)器;認(rèn)證機(jī)構(gòu)中數(shù)據(jù)(如密鑰和用戶信息，等)、日志統(tǒng)計(jì)信息存儲(chǔ)和管理的數(shù)據(jù)庫(kù)服務(wù)器;提供證書申請(qǐng)、瀏覽、證書撤銷列表以及證書下載等服務(wù)的安全服務(wù)器;各種證書用戶(包括用戶、瀏覽器以及其他安全應(yīng)用)的終端實(shí)體?；诠€的認(rèn)證系統(tǒng)可以提供安全性很好的認(rèn)證鑒別機(jī)制，但PKI的部署非常繁瑣，它要求每個(gè)用戶和應(yīng)用都要驗(yàn)證他們與之通信的每個(gè)用戶的身份，以確保對(duì)方的身份真實(shí)有效。

3 身份認(rèn)證系統(tǒng)的解決方案

多校區(qū)校園網(wǎng)絡(luò)的身份認(rèn)證系統(tǒng)是其安全體系的重要組成部分，從總體上說(shuō)，身份認(rèn)證系統(tǒng)可以采用如下方案。圖1列出了校園網(wǎng)身份認(rèn)證系統(tǒng)的方案框架。

在校園網(wǎng)安全認(rèn)證系統(tǒng)建設(shè)中，使用了多因素的身份認(rèn)證技術(shù)。在鏈路層，使用802．1x的認(rèn)證技術(shù)，確保用戶在接入網(wǎng)絡(luò)時(shí)其身份的合法性和惟一性，授權(quán)用戶訪問(wèn)校園網(wǎng)內(nèi)的網(wǎng)絡(luò)資源;在網(wǎng)絡(luò)層使用邊緣網(wǎng)關(guān)技術(shù)，對(duì)用戶的IP地址進(jìn)行認(rèn)證，只有具有權(quán)限的用戶才可以通過(guò)認(rèn)證訪問(wèn)互聯(lián)網(wǎng)的網(wǎng)絡(luò)資源。同時(shí)，應(yīng)用層采用PKI對(duì)用戶進(jìn)行身份認(rèn)證，全網(wǎng)建立一個(gè)集中的認(rèn)證中心，所有校區(qū)校園網(wǎng)用戶在認(rèn)證中心統(tǒng)一認(rèn)證授權(quán)，完成用戶身份認(rèn)證，確保應(yīng)用層傳輸?shù)陌踩浴?/p>

圖1 多校區(qū)校園網(wǎng)身份認(rèn)證系統(tǒng)方案框架

3．1 802．1x技術(shù)對(duì)用戶的身份認(rèn)證

網(wǎng)絡(luò)用戶在接入校園網(wǎng)之前，必須首先通過(guò)802．1 x認(rèn)證［6］，對(duì)用戶身份進(jìn)行惟一性確認(rèn)。具體認(rèn)證流程如圖2所示，認(rèn)證過(guò)程如下。

圖2 802．1x認(rèn)證過(guò)程

①用戶使用專用的認(rèn)證客戶端發(fā)起802．1x請(qǐng)求，接入交換機(jī)收到用戶的認(rèn)證請(qǐng)求包后，向認(rèn)證服務(wù)器驗(yàn)證用戶身份的真實(shí)性。

②認(rèn)證服務(wù)器根據(jù)用戶屬性，判斷用戶的合法性，并向接入交換機(jī)發(fā)送認(rèn)證結(jié)果。

③接入交換機(jī)根據(jù)認(rèn)證結(jié)果給用戶進(jìn)行授權(quán)，打開交換機(jī)數(shù)據(jù)端口，用戶獲得網(wǎng)絡(luò)訪問(wèn)權(quán)。

在802．1x認(rèn)證過(guò)程中，仍存在一定的漏洞。如果認(rèn)證策略制定的不夠嚴(yán)密，非法用戶還可能通過(guò)修改自身MAC地址(ARP偽裝)等方式進(jìn)行主動(dòng)攻擊。為了保證校園網(wǎng)用戶認(rèn)證系統(tǒng)的絕對(duì)安全，用戶認(rèn)證策略必須經(jīng)過(guò)嚴(yán)密考慮，通過(guò)多屬性的認(rèn)證機(jī)制來(lái)全方位認(rèn)證。安全的用戶認(rèn)證屬性包括:用戶名/口令，用戶計(jì)算機(jī)的MAC地址、IP地址，NASIP地址以及NAS端口號(hào)。用戶名/口令和MAC地址可以確保一個(gè)用戶名只能在固定計(jì)算機(jī)上使用，但是不能排除ARP偽裝的情況;IP地址將用戶和該IP地址的所有網(wǎng)絡(luò)行為綁定在一起;NAS IP和NAS端口可以保證用戶只能在固定的物理位置進(jìn)行身份認(rèn)證，即使更改了MAC地址，也可以確保用戶身份認(rèn)證的惟一性和真實(shí)性。采用以上多屬性的認(rèn)證機(jī)制，就可以保證認(rèn)證結(jié)果的權(quán)威性和正確性。

目前，第四軍醫(yī)大學(xué)的用戶接入都采用了802．1x認(rèn)證技術(shù)，對(duì)用戶的認(rèn)證策略使用了用戶名/口令、MAC地址、NAS IP地址、NAS端口號(hào)和用戶域綁定認(rèn)證的方法，基本杜絕了用戶認(rèn)證中存在的安全漏洞，保障了園區(qū)網(wǎng)的接入安全。

3．2 邊緣網(wǎng)關(guān)對(duì)用戶的身份認(rèn)證

用戶通過(guò)802．1x身份認(rèn)證后，獲得訪問(wèn)校園網(wǎng)的權(quán)利，但對(duì)互聯(lián)網(wǎng)的訪問(wèn)，仍需要一定的控制措施。邊緣網(wǎng)關(guān)是針對(duì)用戶IP地址認(rèn)證授權(quán)的一種技術(shù)，系統(tǒng)通常由兩個(gè)部分組成:網(wǎng)關(guān)和后臺(tái)認(rèn)證服務(wù)器，網(wǎng)關(guān)串行在局域網(wǎng)的邊緣，對(duì)所有流入和流出的數(shù)據(jù)包進(jìn)行網(wǎng)絡(luò)層的認(rèn)證。網(wǎng)關(guān)維護(hù)一個(gè)授權(quán)IP地址列表，處于列表中的IP地址才有訪問(wèn)互聯(lián)網(wǎng)的權(quán)限。具體結(jié)構(gòu)如圖3所示。

圖3 邊緣網(wǎng)關(guān)身份認(rèn)證結(jié)構(gòu)圖

當(dāng)用戶試圖訪問(wèn)互聯(lián)網(wǎng)時(shí)，網(wǎng)關(guān)會(huì)判斷該IP地址是否具有訪問(wèn)互聯(lián)網(wǎng)的權(quán)限，并檢測(cè)該IP地址是否已經(jīng)通過(guò)認(rèn)證并獲得訪問(wèn)授權(quán)。如果IP地址是第一次請(qǐng)求訪問(wèn)互聯(lián)網(wǎng)而尚未通過(guò)認(rèn)證，網(wǎng)關(guān)會(huì)要求該IP地址在認(rèn)證服務(wù)器上進(jìn)行身份認(rèn)證，通過(guò)認(rèn)證后，網(wǎng)關(guān)才會(huì)將該IP地址添加到授權(quán)IP地址列表中去，授權(quán)該IP地址訪問(wèn)互聯(lián)網(wǎng)。網(wǎng)關(guān)同時(shí)監(jiān)測(cè)每個(gè)IP地址的活動(dòng)情況，當(dāng)IP地址在默認(rèn)失效時(shí)間內(nèi)未有網(wǎng)絡(luò)請(qǐng)求時(shí)，網(wǎng)關(guān)將該IP地址從授權(quán)列表中刪除。

因?yàn)樵谛@網(wǎng)內(nèi)部用戶身份已經(jīng)和IP地址捆綁在一起，所以使用邊緣網(wǎng)關(guān)對(duì)IP地址進(jìn)行認(rèn)證，也就惟一認(rèn)證了用戶的身份信息。可以在很大程度上避免校園網(wǎng)非法用戶對(duì)整個(gè)互聯(lián)網(wǎng)的攻擊，保證整體網(wǎng)絡(luò)系統(tǒng)的安全。

3．3 統(tǒng)一認(rèn)證系統(tǒng)的用戶身份認(rèn)證

統(tǒng)一認(rèn)證系統(tǒng)［7］是解決網(wǎng)絡(luò)上多個(gè)應(yīng)用系統(tǒng)安全問(wèn)題的主要解決方案，它采用多種加密認(rèn)證技術(shù)，統(tǒng)一認(rèn)證用戶身份。統(tǒng)一認(rèn)證系統(tǒng)一般包括以下幾個(gè)方面:用戶數(shù)據(jù)管理中心、第三方應(yīng)用接口(SDK)、數(shù)據(jù)同步模塊、單點(diǎn)登陸系統(tǒng)(SSO)，具體身份認(rèn)證流程如圖4所示，認(rèn)證過(guò)程如下。

圖4 統(tǒng)一身份認(rèn)證流程

①用戶向第三方應(yīng)用服務(wù)器發(fā)起請(qǐng)求，SDK模塊判斷用戶身份是否已經(jīng)經(jīng)過(guò)認(rèn)證，如果尚未進(jìn)行認(rèn)證，SDK將用戶請(qǐng)求轉(zhuǎn)到SSO上。

②SSO使用數(shù)字證書驗(yàn)證用戶身份，并生成用戶訪問(wèn)服務(wù)的票據(jù)(ticket)。

③SSO將票據(jù)發(fā)送到應(yīng)用服務(wù)器的SDK上。

④SDK到SSO上驗(yàn)證用戶票據(jù)是否合法，如果票據(jù)合法，通過(guò)用戶身份認(rèn)證，用戶才可以訪問(wèn)應(yīng)用資源。

⑤用戶訪問(wèn)其他第三方應(yīng)用服務(wù)器時(shí)，如果用戶已經(jīng)通過(guò)認(rèn)證，則直接訪問(wèn)應(yīng)用資源。

統(tǒng)一認(rèn)證系統(tǒng)是一種高效、安全的網(wǎng)絡(luò)身份認(rèn)證體系，采用多種安全保障技術(shù)，保證了用戶身份的真實(shí)性和惟一性，并且提高了用戶與系統(tǒng)、系統(tǒng)與后臺(tái)以及子系統(tǒng)之間數(shù)據(jù)傳輸?shù)陌踩?。多個(gè)校區(qū)采用統(tǒng)一認(rèn)證，可以在整體上大大提高園區(qū)網(wǎng)應(yīng)用系統(tǒng)的安全性。

3．4 建立PKI的安全身份認(rèn)證體系

PKI是一種新的安全技術(shù)，采用非對(duì)稱加密技術(shù)，由數(shù)字證書、認(rèn)證中心(CA)和關(guān)于公鑰的安全策略等基本成分共同組成的一種基礎(chǔ)設(shè)施。它是一套嚴(yán)密的身份認(rèn)證體系，是提供數(shù)據(jù)加密傳輸和數(shù)字簽名服務(wù)的平臺(tái)。在校園網(wǎng)上建立權(quán)威PKI安全認(rèn)證中心，向全校個(gè)校區(qū)統(tǒng)一發(fā)放身份數(shù)字證書，實(shí)現(xiàn)全網(wǎng)用戶的統(tǒng)一身份認(rèn)證和統(tǒng)一授權(quán)，可以大大增強(qiáng)校園網(wǎng)身份認(rèn)證的安全性。

一個(gè)典型的PKI至少應(yīng)該包括安全服務(wù)器、注冊(cè)機(jī)構(gòu)RA、CA服務(wù)器、LDAP目錄服務(wù)器和數(shù)據(jù)庫(kù)服務(wù)器，具體結(jié)構(gòu)和功能如圖5所示。其中，最主要的是建立第三方的可信任機(jī)構(gòu)CA。通過(guò)CA來(lái)完成證書策略制定，初始化RA，接受RA簽發(fā)、撤銷和更新證書請(qǐng)求，為終端實(shí)體或下屬CA生成密鑰對(duì)，簽發(fā)、撤銷和更新證書，發(fā)布證書和證書撤銷列表，簽發(fā)交叉證書以及密鑰托管和恢復(fù)等業(yè)務(wù)，是整個(gè)證書機(jī)構(gòu)的核心。

圖5 PKI認(rèn)證體系結(jié)構(gòu)圖

CA有三種主要的信任模型:交叉認(rèn)證、證書鏈和hub/橋CA。根據(jù)校園網(wǎng)的實(shí)際情況，全網(wǎng)不可能使用一個(gè)CA對(duì)所有用戶進(jìn)行認(rèn)證，應(yīng)該建立起有層次關(guān)系的CA體系，采用證書鏈和 hub/橋CA結(jié)合的方法建立全網(wǎng)的CA機(jī)構(gòu)。

在整個(gè)校園網(wǎng)建立一個(gè)安全認(rèn)證中心，作為全網(wǎng)的根CA，各園區(qū)網(wǎng)絡(luò)中心按照證書鏈的信任模型建立二級(jí)CA，并與根CA取得信任關(guān)系;以各園區(qū)網(wǎng)絡(luò)中心的二級(jí)CA為中心，建立三級(jí)CA，并與二級(jí)CA以hub/橋CA的模型取得信任關(guān)系。采用三層CA架構(gòu)，可以保證用戶身份認(rèn)證的可靠性和高效性。

4 下一步的發(fā)展方向

4．1 制訂認(rèn)證技術(shù)標(biāo)準(zhǔn)

校園網(wǎng)絡(luò)中，如果在不同的應(yīng)用系統(tǒng)采用不同的認(rèn)證方法，沒(méi)有一個(gè)統(tǒng)一身份認(rèn)證的標(biāo)準(zhǔn)，一方面給用戶帶來(lái)了很大的不便，不同的系統(tǒng)需要用戶提供不同的認(rèn)證信息，用戶很難把諸多種類的認(rèn)證信息安全保管好;另一方面，會(huì)使安全產(chǎn)品之間缺乏互操作性，這本身就給安全系統(tǒng)帶來(lái)不安全的因素;此外，缺乏統(tǒng)一標(biāo)準(zhǔn)規(guī)范的安全產(chǎn)品，在安全性能上將無(wú)法得到保障。因此，應(yīng)該制訂出合理的身份認(rèn)證技術(shù)的開發(fā)、測(cè)評(píng)和使用標(biāo)準(zhǔn)，靈活的、可互操作的身份認(rèn)證標(biāo)準(zhǔn)是未來(lái)網(wǎng)絡(luò)計(jì)算和安全網(wǎng)絡(luò)服務(wù)發(fā)展的關(guān)鍵。

4．2 多種認(rèn)證技術(shù)的融合

各種身份認(rèn)證技術(shù)各有所長(zhǎng)，也存在各自的缺點(diǎn)。改進(jìn)和彌補(bǔ)這些技術(shù)的缺陷與不足，是今后工作的方向。但有些實(shí)際問(wèn)題很難解決，比如在利用生物特征的認(rèn)證方面，虹膜識(shí)別中，由于鏡頭可能會(huì)使圖像畸變而使可靠性大為降低;在基于密碼的認(rèn)證中，存在密鑰管理、算法安全性等問(wèn)題。將多種技術(shù)相結(jié)合，取長(zhǎng)補(bǔ)短，對(duì)于提高認(rèn)證安全性、有效性來(lái)說(shuō)是一個(gè)很好的選擇。

4．3 分布式身份認(rèn)證技術(shù)

目前，一般的應(yīng)用系統(tǒng)都是采用一種集中式的認(rèn)證管理，存在一個(gè)認(rèn)證鑒別中心AC(authentication center)，用戶提供PIN和證據(jù)給AC，AC將提交的證據(jù)與登記過(guò)的證據(jù)進(jìn)行對(duì)比實(shí)現(xiàn)認(rèn)證。在通信過(guò)程中會(huì)有一些不安全和不確定的因素，如網(wǎng)絡(luò)擁塞、線路故障、攻擊行為，等，會(huì)對(duì)認(rèn)證的安全性產(chǎn)生影響。如果AC受到攻擊，造成證據(jù)的丟失和泄露，結(jié)果更是不堪設(shè)想。分布式是網(wǎng)絡(luò)應(yīng)用領(lǐng)域的一個(gè)重要發(fā)展方向，而認(rèn)證系統(tǒng)的研究與開發(fā)也應(yīng)該適應(yīng)這個(gè)發(fā)展趨勢(shì)。

［1］王運(yùn)武．“數(shù)字校園”向“智慧校園”的轉(zhuǎn)型發(fā)展研究—基于系統(tǒng)思維的分析思辨視角［J］．遠(yuǎn)程教育雜志，2013，(2):21-28

［2］劉曉東，閔慶飛，曲剛．基于SOA＆SNS的大學(xué)數(shù)字校園架構(gòu)設(shè)計(jì)［J］．信息技術(shù)，2013，(4):73-79

［3］Stevens WR．TCP/IP詳解卷1:協(xié)議［M］．北京:機(jī)械工業(yè)出版社，2000:1-8

［4］劉軍，樊琳娜，吳兆峰，等．基于Kerberos和HIBC的網(wǎng)格認(rèn)證模型［J］．計(jì)算機(jī)工程，2013，(5):140-143，147

［5］張亮鳴，陳戲墨．基于PKI CA跨域認(rèn)證平臺(tái)的應(yīng)用［J］．信息安全與技術(shù)，2013，(4):22-23

［6］802．1X Remote Authentication Dial In User Service(RADIUS)Usage Guidelines［S］，IEEE RFC3580

［7］林健，武兵．LDAP協(xié)議下多模型融合校園認(rèn)證系統(tǒng)的研究與實(shí)現(xiàn)［J］．太原理工大學(xué)學(xué)報(bào)，2013，(2):169-175