朱 蕾

摘要本文針對(duì)實(shí)驗(yàn)教學(xué)改革的目標(biāo),將Web服務(wù)技術(shù)引入到開(kāi)放式實(shí)驗(yàn)教學(xué)管理系統(tǒng)的建立中,提出在校園網(wǎng)絡(luò)的基礎(chǔ)上構(gòu)建該平臺(tái)要解決的關(guān)鍵技術(shù):用戶(hù)標(biāo)識(shí)及身份驗(yàn)證技術(shù)、事故處理技術(shù)、服務(wù)器性能優(yōu)化、系統(tǒng)安全管理技術(shù)等。

關(guān)鍵詞開(kāi)放式實(shí)驗(yàn)教學(xué)校園網(wǎng)身份驗(yàn)證

中圖分類(lèi)號(hào):G64文獻(xiàn)標(biāo)識(shí)碼:A

開(kāi)放式實(shí)驗(yàn)教學(xué)管理系統(tǒng)面向的是校園局域網(wǎng)或Internet,對(duì)系統(tǒng)的安全性、穩(wěn)定性、體系結(jié)構(gòu)和數(shù)據(jù)處理算法等要求較高;同時(shí)教學(xué)資源、課程配置等因素處于動(dòng)態(tài)發(fā)展變化之中,需要采用較為先進(jìn)合理的技術(shù)予以解決。在校園網(wǎng)絡(luò)的基礎(chǔ)上構(gòu)建該平臺(tái)要解決的關(guān)鍵技術(shù)主要有:

1 用戶(hù)標(biāo)識(shí)及身份驗(yàn)證技術(shù)

1.1 問(wèn)題提出

由于多數(shù)用戶(hù)通過(guò)多級(jí)代理服務(wù)器或電話(huà)撥號(hào)方式來(lái)訪(fǎng)問(wèn)校園網(wǎng),這為唯一標(biāo)識(shí)用戶(hù)身份增加了難度,需要設(shè)計(jì)合理的用戶(hù)身份驗(yàn)證機(jī)制來(lái)保證每個(gè)用戶(hù)操作數(shù)據(jù)的合理性和有效性。

1.2 解決方案

(1)標(biāo)識(shí)問(wèn)題。開(kāi)放式實(shí)驗(yàn)教學(xué)管理系統(tǒng)主要通過(guò)將用戶(hù)登錄用的IP地址與帳號(hào)(學(xué)生學(xué)號(hào)或教師編號(hào))相結(jié)合進(jìn)行標(biāo)識(shí),并通過(guò)密碼和姓名驗(yàn)證的方法來(lái)唯一標(biāo)識(shí)每個(gè)終端用戶(hù)。

(2)一次性口令身份驗(yàn)證。為了解決常規(guī)口令的諸多問(wèn)題,安全專(zhuān)家提出了一次性口令(OTP:One Time Password)的密碼體制,以保護(hù)關(guān)鍵的計(jì)算機(jī)資源。如果網(wǎng)上傳遞的口令只用一次,攻擊者就無(wú)法用竊取的口令來(lái)訪(fǎng)問(wèn)系統(tǒng)。

OTP的工作方式是將公共可用的信息即挑戰(zhàn)與只有用戶(hù)才知道的秘密結(jié)合起來(lái)產(chǎn)生一次性口令。OTP的主要思路是:在登錄過(guò)程中加入不確定因素,使每次登錄過(guò)程中摘錄所得的密碼都不相同,以提高登錄過(guò)程的安全性。實(shí)現(xiàn)機(jī)制多采用Challenge/Response機(jī)制,認(rèn)證過(guò)程如下:

①客戶(hù)機(jī)向服務(wù)器發(fā)出登錄請(qǐng)求。②服務(wù)器首先向用戶(hù)提示一個(gè)“挑戰(zhàn)”(challenge),挑戰(zhàn)由種子值和迭代值組成。③客戶(hù)端使用種子和迭代值,并與用戶(hù)的秘密通行證短語(yǔ)組合在一起,通過(guò)OTP中的一個(gè)散列算法,計(jì)算出單用口令,從而產(chǎn)生對(duì)挑戰(zhàn)的答復(fù),保證了OTP不易遭受偷聽(tīng)、口令重用、偷竊或口令文件攻擊。④挑戰(zhàn)的答復(fù)由客戶(hù)端通過(guò)網(wǎng)絡(luò)傳回服務(wù)器。⑤服務(wù)器驗(yàn)證用戶(hù)對(duì)挑戰(zhàn)的答復(fù),決定是否成功登錄。

根據(jù)OTP系統(tǒng)的運(yùn)行機(jī)理,用戶(hù)進(jìn)行身份驗(yàn)證包括三個(gè)部分:迭代值、種子值和秘密通行證短語(yǔ)。因此在系統(tǒng)用戶(hù)初始化時(shí),必須提供上述信息,并允許用戶(hù)在使用中動(dòng)態(tài)改變。在本教學(xué)管理平臺(tái)系統(tǒng)中,采用以下規(guī)則來(lái)定義用戶(hù)身份驗(yàn)證信息:①以學(xué)生學(xué)號(hào)或教師編號(hào)作為種子值。②迭代值在用戶(hù)信息初始化時(shí)由系統(tǒng)確定。③秘密通行證短語(yǔ)在初始化時(shí)暫定為學(xué)生學(xué)號(hào)或教師編號(hào),在第一次成功登錄后由用戶(hù)自行修改。

2 事故處理技術(shù)

2.1 問(wèn)題提出

安全性的破壞通常叫做一個(gè)事故。事故是任何一種破壞,對(duì)于實(shí)驗(yàn)教學(xué)系統(tǒng)而言,事故處理主要涉及用戶(hù)非法操作、或者其它人為因素(例如機(jī)器斷電等)的影響,當(dāng)用戶(hù)操作失敗時(shí)系統(tǒng)應(yīng)能提供事故處理和恢復(fù)機(jī)制。

2.2 解決方案

(1)事故的響應(yīng)。用戶(hù)登錄系統(tǒng)后,在操作過(guò)程中應(yīng)該保持用戶(hù)操作的精確記錄,以便在事故發(fā)生后及時(shí)保護(hù)有效數(shù)據(jù)結(jié)果。記錄下的細(xì)節(jié)應(yīng)主要包括以下內(nèi)容:用戶(hù)登錄信息、保存選中的實(shí)驗(yàn)記錄、記錄改選的內(nèi)容等。一個(gè)完善的系統(tǒng)應(yīng)該具備如下所述的條件:必須能夠在無(wú)人管理的情況下連續(xù)運(yùn)行。系統(tǒng)必須能夠在被觀(guān)測(cè)的后臺(tái)中可靠地運(yùn)行,系統(tǒng)內(nèi)部的工作應(yīng)該能從外部現(xiàn)象中進(jìn)行證實(shí)。必須能容錯(cuò)。系統(tǒng)必須能在被破壞時(shí)保存下資料,而不需要在重新啟動(dòng)時(shí)重建它的知識(shí)庫(kù)。系統(tǒng)開(kāi)銷(xiāo)最小。必須觀(guān)察有違常規(guī)的非法操作行為并具有及時(shí)的警告信息。

(2)從事故中恢復(fù)。從一次事故中恢復(fù)系統(tǒng)數(shù)據(jù)主要包含以下幾個(gè)步驟:分析用戶(hù)身份信息。首先從用戶(hù)身份標(biāo)識(shí)中分離出用戶(hù)帳號(hào)信息,然后查找事故日志,判斷該用戶(hù)是否在上次操作中發(fā)生過(guò)事故?；謴?fù)用戶(hù)操作歷史。若用戶(hù)在上次操作過(guò)程中發(fā)生過(guò)事故,則應(yīng)該恢復(fù)所有的操作信息。在用戶(hù)成功完成各種操作后,從事故日志中刪除該用戶(hù)事故信息。通過(guò)應(yīng)用事故處理機(jī)制,系統(tǒng)的穩(wěn)定性、自適應(yīng)性明顯得到提高,這就充分保障了系統(tǒng)能夠在多種環(huán)境下安全、可靠地運(yùn)行,較大限度地降低了由意外因素所造成的數(shù)據(jù)損失的可能性,確保開(kāi)放式實(shí)驗(yàn)教學(xué)的順利進(jìn)行。

3 服務(wù)器性能優(yōu)化

3.1 問(wèn)題提出

在網(wǎng)上選實(shí)驗(yàn)項(xiàng)目的過(guò)程中最大問(wèn)題是,大量學(xué)生在選課之初幾乎同時(shí)競(jìng)爭(zhēng)教學(xué)資源,造成系統(tǒng)服務(wù)的用戶(hù)量劇增,網(wǎng)速變得很慢。

3.2 解決方案

在保證實(shí)驗(yàn)項(xiàng)目完整和服務(wù)器硬件一定的條件下,采用幾個(gè)措施來(lái)對(duì)WEB服務(wù)器進(jìn)行優(yōu)化。

(1)優(yōu)化服務(wù)器配置。運(yùn)用更快速的磁盤(pán)和更好的網(wǎng)絡(luò)存取機(jī)制,能明顯改進(jìn)網(wǎng)站訪(fǎng)問(wèn)速度。這類(lèi)方案的核心是設(shè)法減輕Web服務(wù)器CPU的負(fù)荷,使其從繁瑣的網(wǎng)絡(luò)協(xié)議處理中“解脫”出來(lái),而集中于頁(yè)面處理和服務(wù)提供。另外要提升服務(wù)器性能,運(yùn)用成熟的Web服務(wù)器加速軟件必不可少。

(2)運(yùn)用緩沖機(jī)制。優(yōu)化網(wǎng)絡(luò)的可伸縮性和性能的另一方法是在服務(wù)器外圍增加緩沖機(jī)制。比較流行的方案是為Web服務(wù)器增加反向緩沖代理,使服務(wù)器能夠順利實(shí)現(xiàn)已創(chuàng)建頁(yè)面的傳輸,同時(shí)在創(chuàng)建動(dòng)態(tài)頁(yè)面過(guò)程中減輕服務(wù)器負(fù)荷。

(3)減小數(shù)據(jù)量。優(yōu)化程序代碼,減少WEB服務(wù)器與數(shù)據(jù)庫(kù)服務(wù)器的通信流量。

4 系統(tǒng)安全管理技術(shù)

4.1 問(wèn)題提出

由于該系統(tǒng)的信息涉及實(shí)驗(yàn)室的內(nèi)部信息和用戶(hù)的個(gè)人隱私信息,因此,信息的安全性和訪(fǎng)問(wèn)的可控制性尤其重要。

4.2 解決方案

(1)數(shù)據(jù)加密。由于網(wǎng)絡(luò)中連接的各個(gè)終端都是有嚴(yán)格準(zhǔn)入制度的,因此必須有嚴(yán)格保密的傳輸體制來(lái)維護(hù)這種準(zhǔn)入的完整性。具有報(bào)文加密功能的路由器可以解決這個(gè)問(wèn)題,現(xiàn)有的企業(yè)級(jí)路由器中大多有用來(lái)封裝和解密IP報(bào)文的IPSEC協(xié)議。

(2)安全防護(hù)。在Internet中,安全漏洞主要來(lái)自網(wǎng)絡(luò)的各種惡意攻擊,比如DOS/DDOS攻擊、緩沖區(qū)溢出漏洞攻擊等。因此,一款功能完善的企業(yè)級(jí)防火墻也是系統(tǒng)必備的配置。防火墻主要應(yīng)實(shí)現(xiàn)的功能有:包過(guò)濾、狀態(tài)檢測(cè)、應(yīng)用代理、病毒和蠕蟲(chóng)過(guò)濾、入侵檢測(cè)等功能。

(3)安全防護(hù)的備份與恢復(fù)。為保障數(shù)據(jù)安全和系統(tǒng)的正常運(yùn)轉(zhuǎn),應(yīng)考慮完善服務(wù)器、網(wǎng)絡(luò)系統(tǒng)的自動(dòng)備份與故障恢復(fù)功能?？紤]到可靠性要求較高,所以可采用熱備援的方式來(lái)解決,擬定一臺(tái)MASTER主機(jī)和一臺(tái)BACKUP主機(jī),且MASTER和BACKUP主機(jī)會(huì)不斷偵測(cè)彼此之間的運(yùn)作狀況,保證在極短的時(shí)間內(nèi)恢復(fù)系統(tǒng)的正常并時(shí)刻保證網(wǎng)絡(luò)處于可靠工作狀態(tài)。

(4)訪(fǎng)問(wèn)控制?？梢岳梅阑饓?duì)通道內(nèi)的應(yīng)用和訪(fǎng)問(wèn)做到各種限制。比如:指定某臺(tái)電腦的訪(fǎng)問(wèn)權(quán)限和所應(yīng)用的服務(wù),保證每個(gè)用戶(hù)的私密性。

(5)入侵抵御。網(wǎng)絡(luò)面臨的威脅越來(lái)越多,這使得傳統(tǒng)的安全技術(shù)與設(shè)備已經(jīng)無(wú)法獨(dú)立應(yīng)對(duì),需要入侵抵御系統(tǒng)(IPS,Intrusion Prevention System)來(lái)解決病毒、攻擊、濫用引發(fā)的問(wèn)題。好的IPS應(yīng)有以下功能:具備多層流量的深度分析與檢測(cè)能力、具備良好的安全功能與出色的數(shù)據(jù)交換功能、具備較全面的協(xié)議分析與跟蹤能力。

(6)Web服務(wù)器安全預(yù)防措施:禁止亂用從其他網(wǎng)站下載的一些工具軟件。在選用Web服務(wù)器時(shí),應(yīng)考慮到不同服務(wù)器對(duì)安全的要求不一樣。限制在Web服務(wù)器隨意開(kāi)設(shè)賬戶(hù),定期刪除一些用戶(hù)。對(duì)在Web服務(wù)器上開(kāi)的賬戶(hù),在口令長(zhǎng)度及定期更改方面做出要求,防止被盜用。去掉FTP,Send mail,TFTP,NIS,IFS,finger,net stat等一些無(wú)關(guān)的應(yīng)用。在Web服務(wù)器上去掉一些絕對(duì)不用的shell等之類(lèi)解釋器。設(shè)置好Web服務(wù)器上系統(tǒng)文件的權(quán)限和屬性。