葉宗海 匡鳳飛 栗元邦

摘要：信息安全的核心是內(nèi)部信息安全，采用防水墻對內(nèi)部計算機資源設(shè)備和數(shù)據(jù)文檔的管控，能夠有效阻止內(nèi)部信息泄露。傳統(tǒng)的靜態(tài)密碼認證是防水墻主要采用的認證方式。隨著計算機與信息技術(shù)的不斷發(fā)展，此認證方式已不能滿足當前信息安全的需要。基于此現(xiàn)狀，對防水墻身份認證系統(tǒng)提出了基于混沌理論的一次一密動態(tài)密碼認證方法。

關(guān)鍵詞：信息安全;動態(tài)密碼;信息泄露;身份認證;防水墻

中圖分類號：TP393.08 文獻標識碼：A

文章編號：1009-3044（2020）29-0020-03

1 引言

信息化時代，計算機與網(wǎng)絡(luò)技術(shù)已經(jīng)滲透到了人類生產(chǎn)生活的方方面面，因此也涉及一個很重要的問題，那就是信息安全。根據(jù)美國CSI/FBI計算機犯罪與安全調(diào)查數(shù)據(jù)，信息泄露造成的經(jīng)濟損失數(shù)年來位居計算機安全事件前四位[1]，由此造成數(shù)以億計美元的損失。一般來說，企業(yè)在網(wǎng)絡(luò)信息化過程中，主要面臨網(wǎng)絡(luò)系統(tǒng)安全和數(shù)據(jù)安全兩方面的問題。針對網(wǎng)絡(luò)系統(tǒng)安全問題，很多企業(yè)對網(wǎng)絡(luò)外部安全很重視，配備了先進的網(wǎng)絡(luò)防火墻、防病毒網(wǎng)關(guān)、IPS等網(wǎng)絡(luò)安全設(shè)備，監(jiān)控和保護網(wǎng)絡(luò)不被入侵，而內(nèi)部網(wǎng)絡(luò)的安全卻被忽視了。根據(jù)CSI/FBI提供的統(tǒng)計數(shù)據(jù)，在許多攻擊中，信息泄漏是最重要、最頻繁的安全事件，攻擊者來自企業(yè)內(nèi)部，而不是來自外部黑客。當然，對于這種泄密問題，有的企業(yè)也采取了措施，諸如禁止使用移動存儲設(shè)備、禁止打印機、禁止聯(lián)網(wǎng)等手段，但還是無法從根本上解決網(wǎng)絡(luò)內(nèi)部信息泄露問題。

2 防水墻及相關(guān)技術(shù)

2.1 防水墻概念

防火墻是網(wǎng)絡(luò)中用于隔離內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的一道防御系統(tǒng)，使得內(nèi)部網(wǎng)絡(luò)與Intemet或者外部網(wǎng)絡(luò)進行互相隔離，通過設(shè)置安全策略與規(guī)則，允許或是限制傳輸?shù)臄?shù)據(jù)通過，限制網(wǎng)絡(luò)之間互訪，在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間、專用網(wǎng)與公用網(wǎng)之間構(gòu)造一道保護屏障，保護內(nèi)網(wǎng)免受非法用戶侵入和攻擊。但防火墻局限性是，無法有效阻止內(nèi)網(wǎng)攻擊與信息泄露，不能防止策略配置不當或錯誤配置引起的安全威脅，也不能防止利用標準網(wǎng)絡(luò)協(xié)議中的缺陷進行的攻擊和本身的安全漏洞的威脅。總的來說，防火墻對內(nèi)網(wǎng)的入侵者和泄密者的作用有限，即防火墻強防外弱防內(nèi)的特性。

防水墻（ WaterWall）是相對于防火墻（FireWall）的一種概念，可以解決內(nèi)網(wǎng)信息泄露問題，是一種防止內(nèi)部信息外泄的安全系統(tǒng)。與防火墻不同，作為網(wǎng)絡(luò)安全領(lǐng)域的新興技術(shù)，網(wǎng)絡(luò)防水墻是增強信息網(wǎng)絡(luò)系統(tǒng)內(nèi)部安全性的重要工具，可以有效地保護敏感信息的泄漏[2]。在信息泄露方式上，網(wǎng)絡(luò)、存儲介質(zhì)、外設(shè)接口、顯示器和打印機構(gòu)成信息泄漏的主要途徑。防水墻針對這些泄密途徑，分別實行事前預(yù)防、事中監(jiān)控、事后審計，對系統(tǒng)進行了全面保護。它與防病毒產(chǎn)品、防火墻等外部安全產(chǎn)品共同構(gòu)成一個完整的網(wǎng)絡(luò)安全系統(tǒng)。

2.2 防水墻系統(tǒng)

防水墻系統(tǒng)（ WaterBox）包含三個組件：防水墻服務(wù)器、防水墻控制臺和防水墻客戶端。其中，防水墻服務(wù)器是系統(tǒng)的核心部分。其系統(tǒng)結(jié)構(gòu)如圖l所示。

（1）服務(wù)器

防水墻服務(wù)器包括三部分：服務(wù)器端軟件、授權(quán)的硬件和支持數(shù)據(jù)庫。通過安全認證機制，它與多個受控客戶端建立連接，以實現(xiàn)諸如系統(tǒng)管理、策略配置、操作審核和安全警報之類的功能。同時，對客戶端發(fā)送的數(shù)據(jù)進行統(tǒng)計和分析，生成各種圖表。

（2）控制臺

防水墻控制臺是進行人機交互的圖形界面，系統(tǒng)管理員通過控制臺實現(xiàn)參數(shù)配置、策略管理、系統(tǒng)管理和審核等功能?？刂婆_使用用戶名和密碼的組合進行身份驗證，只有正確的才能進入系統(tǒng)。同時，嚴格限制對敏感信息的訪問權(quán)限，提高了系統(tǒng)的安全性和保密性。

（3）客戶端

防火墻客戶端是安裝在受監(jiān)控主機上的服務(wù)程序，它執(zhí)行服務(wù)器設(shè)置好的安全策略，監(jiān)控來自客戶端用戶的操作行為，并防止系統(tǒng)中的重要數(shù)據(jù)泄漏。另外，客戶端軟件措施嚴格，能自動運行并且防止本地用戶關(guān)閉和卸載監(jiān)視程序。用戶的操作由安全策略控制，對客戶端的信息和行為進行記錄和控制。

提供集中管理和分布式保護是防水墻的最大特點。使用密碼技術(shù)、檢測、訪問控制和其他技術(shù)手段來實施安全防護，以保護敏感數(shù)據(jù)和文件不被非法入侵、破壞、復(fù)制和監(jiān)控的軟件系統(tǒng)，從技術(shù)方法上防止了敏感信息的泄漏。

2.3 防水墻功能

一般來說，網(wǎng)絡(luò)防水墻具備以下功能。

（1）防止信息泄漏，防止內(nèi)網(wǎng)主機通過網(wǎng)絡(luò)、存儲介質(zhì)、打印機和其他介質(zhì)等途徑有意或無意泄漏信息。

（2）系統(tǒng)用戶管理，記錄用戶登錄信息，為安全審計提供依據(jù)。

（3）系統(tǒng)資源管理，限制系統(tǒng)硬件和軟件的安裝和卸載，控制特定程序的運行，限制系統(tǒng)進入安全模式，控制文件重命名、刪除等操作。

（4）系統(tǒng)實時狀態(tài)監(jiān)控，通過實時捕獲并記錄內(nèi)網(wǎng)主機的畫面，監(jiān)控內(nèi)部人員的安全狀態(tài)，必要時還可以直接控制主機的I/O設(shè)備諸如鍵盤、鼠標等。

（5）信息安全審計，記錄內(nèi)網(wǎng)安全審計信息，并提供有關(guān)內(nèi)網(wǎng)主機使用情況和安全事件分析的報告。

2.4 身份認證技術(shù)

身份認證技術(shù)是在計算機網(wǎng)絡(luò)中確認操作者身份的過程而產(chǎn)生的有效解決方法，是整個安全系統(tǒng)的核心部分。身份認證是一個人或系統(tǒng)申明另一個人的身份的認證過程[3]。用戶訪問核心服務(wù)器時，要求輸入身份驗證信息，例如用戶賬戶、密碼或證書，以驗證用戶的合法性并確定用戶權(quán)限和數(shù)據(jù)，防止非法、假冒用戶非法訪問服務(wù)器核心數(shù)據(jù)，造成內(nèi)部信息泄漏。因此，對于服務(wù)器來說，身份認證系統(tǒng)是否安全可靠就顯得尤其重要。

作為一種簡單有效的驗證措施，密碼是身份驗證的常用方法之一。在廣泛使用的密碼認證中，大多數(shù)使用靜態(tài)密碼[4]。主要好處是它的簡單性，但存在一些安全風險。首先，靜態(tài)密碼在傳輸過程中，容易被非法用戶竊取，通過數(shù)據(jù)包回放，從而導(dǎo)致密碼被盜;其次，密碼容易被破解，特別是用戶的弱密碼。使用監(jiān)聽、窮舉法、字典攻擊等方式，很容易獲得用戶密碼口1;第三，密碼在一定時間內(nèi)實際上是不變的，且可重復(fù)使用，密碼極易被竊取。第四，非法用戶在獲取密碼后，通過冒充合法身份，入侵內(nèi)部網(wǎng)絡(luò)，竊取資源。

針對靜態(tài)身份認證中密碼的安全性問題，提出了基于混沌理論的一次一密動態(tài)密碼認證機制?；煦缡谴_定論系統(tǒng)所表現(xiàn)的隨機行為的總稱[6]?；煦缧蛄行盘柺且粋€偽隨機信號，它可以很容易從迭代方程、非線性常微分方程產(chǎn)生[7]。

3 動態(tài)密碼認證系統(tǒng)結(jié)構(gòu)設(shè)計

基于混沌理論的動態(tài)密碼認證系統(tǒng)由三層組成：展現(xiàn)層、業(yè)務(wù)邏輯層和數(shù)據(jù)傳輸層。展現(xiàn)層包含兩部分：客戶端和認證服務(wù)器端;業(yè)務(wù)邏輯層包括三個模塊：用戶認證中心、授權(quán)控制中心和日志管理;數(shù)據(jù)傳輸層是基于VPN安全數(shù)據(jù)隧道。其系統(tǒng)結(jié)構(gòu)圖如圖2所示。

對于動態(tài)密碼認證系統(tǒng)而言，其功能主要是由三個模塊來實現(xiàn)：

（1）認證中心：根據(jù)用戶名和密碼進行匹配認證，并在兩端同時迭代生成新的密碼，作為客戶端的下一次登錄密碼，并在服務(wù)器端進行密碼匹配認證;

（2）授權(quán)控制中心：給客戶端用戶一個初始密碼，并向不同的用戶開放相應(yīng)的訪問權(quán)限。當用戶訪問時發(fā)生密碼異常，即密碼同步迭代過程中用戶端與客戶端之間發(fā)生異常情況，出現(xiàn)密碼不一致的問題。用戶發(fā)送新迭代請求時，該模塊再次為用戶提供一個新的迭代初始值，新的初始值不同于原始迭代值;

（3）日志管理：記錄訪問用戶的相關(guān)資料，例如訪問時間和操作信息等。在用戶訪問過程中出現(xiàn)異常情況時及時通知管理員。

4 認證同步算法分析

使用混沌序列進行身份認證時，通信的雙方（客戶端A方，認證服務(wù)器B方）需要進行同步。雙方通信過程如圖3所示。

算法實現(xiàn)過程描述如下。

< Request>用來表示A方的請求信息。=。A的初始身份為xo：Identi-fier= Xo，認證服務(wù)器B上存儲為xo- B_A，s_ldentifer= x0。

（1）A保留Time_stamp：A_log_time= Time_stamp，并發(fā)送請求信息：A一B：

< Request>。在傳輸過程中，為確保信息在傳輸過程中不被修改，保證信息的真實性，需要對< Request>進行加密和簽名。由于信息帶有時間戳，所以能抗重播攻擊。B接收到< Re-quest>后，進行解密與簽名驗證，并驗證用戶身份信息：

IF Identif'ier=X0，即身份正確。

THEN迭代.B_A' s_ldentifier=X1，B端A的身份由X0變?yōu)閄1，同時保存Time_stamp：B_log_time= Time_stamp，并發(fā)出登錄成功信息：B→A：< Reply>。

（2）IF A收到，

THEN A_logl_time=0;迭代：A's_ldentifier= xl，并向B發(fā)送數(shù)據(jù)：A→B：< Data>。

IF B收到非請求數(shù)據(jù)，

THEN將B端的B_log_time清空：B_log_time=0。

（3）IF B的丟失，

THEN A將超時，此時A發(fā)現(xiàn)自己的A_log_time=Time_stamp≠0，采用此Time_stamp重新發(fā)送請求信息：A→B：< Request>。B收到請求后比較，

IF Time_stamp=B_log_time，

THEN說明丟失，此時B不迭代而重新發(fā)送：B→A：< Reply>。

（4）IF A收到，而向B發(fā)送非請求數(shù)據(jù)時數(shù)據(jù)丟失，

THEN A會重新登錄，A_log_time=0。A的請求信息將采用新的Current_Time_stamp，=.

（5）A發(fā)送迭代異常信號要求B給予新的迭代值：A→B：< Request0>。接到A要求給予新的迭代值請求，系統(tǒng)管理員通過核查A的訪問記錄，看A有沒有異常的行為，還可以通過電話等手段聯(lián)系到A用戶，真正確定A用戶是否合法，才給予其一新的迭代初始值XO。

（6）A和B的訪問恢復(fù)正常，A可以開始重新訪問。

5 結(jié)論與展望

隨著信息技術(shù)的飛速發(fā)展，人們對于信息安全的認識也日益深入，企業(yè)對信息安全的要求也不斷提高?；趥鹘y(tǒng)靜態(tài)密碼認證的防水墻技術(shù)，已不能滿足企業(yè)的需求。作為一種安全可靠可行的認證方式，基于動態(tài)密碼的身份認證，將會是口令認證的發(fā)展方向。

參考文獻：

[1] Gordon LA， LoebMP， LusyshynW， et al.2006 CSI/FBIComputerCrimeandSecurity Survey[C]//Computer Security Institute.USA，2006：15.

[2]張乾清，樊偉.防水墻技術(shù)在校園網(wǎng)中的應(yīng)用研究[J].電腦知識與技術(shù)，2008，4（5）：846-848.

[3]張馨，馮全源.基于動態(tài)lD的遠程用戶身份認證方案[J].計算機工程與設(shè)計，2007，28（3）：545-546，557.

[4]廖光忠，胡靜.基于PPTP協(xié)議和混沌理論認證的VPN的實現(xiàn)[J]，計算機工程與設(shè)計，2007，28（14）：3347-3350.

[5] Sandhu R S，Coyne EJ， Feinstein H L，etaI.Role-based accesscontrol models[J].Computer，1996，29（2）：38-47.

[6]樂春峽，王勉華，周奇勛，一種新型隔離網(wǎng)絡(luò)數(shù)據(jù)安全交換系統(tǒng)的設(shè)計[J].計算機工程與設(shè)計，2004，25（3）：444-446.

[7]張麗，趙洋，身份認證技術(shù)的研究與安全性分析[J].計算機與 現(xiàn)代化，2007（5）：48-49，52.

【通聯(lián)編輯：代影】

作者簡介：葉宗海（1980-），男，福建屏南人，高級實驗師，學(xué)士，主要研究方向為網(wǎng)絡(luò)與信息安全、單片機技術(shù);匡鳳飛，副教授，碩士;栗元邦，博士。