金穎勤，王 宇

(1.安徽理工大學(xué) 計算機科學(xué)與工程學(xué)院，安徽 淮南232001；2.安徽理工大學(xué) 理學(xué)院，安徽 淮南232001)

?

基于PKI的混合網(wǎng)絡(luò)信任模型的研究

金穎勤1，王 宇2

(1.安徽理工大學(xué) 計算機科學(xué)與工程學(xué)院，安徽 淮南232001；2.安徽理工大學(xué) 理學(xué)院，安徽 淮南232001)

針對現(xiàn)有PKI信任模型的分析和比較,提出了一種新的混合式網(wǎng)絡(luò)信任模型,并給出其設(shè)計方案.文中重點討論了模型的設(shè)計、模型的工作方式、信任路徑服務(wù)器的設(shè)計及功能、信任路徑的構(gòu)建等.

公鑰基礎(chǔ)設(shè)施;根CA;信任模型;信任路徑;混合式網(wǎng)絡(luò)信任模型

1 概述

PKI是大型開放式網(wǎng)絡(luò)環(huán)境下保障網(wǎng)絡(luò)和信息系統(tǒng)安全的可行而且有效的體系結(jié)構(gòu).PKI利用可信的第三方認證機構(gòu)(CA)簽發(fā)的數(shù)字證書在網(wǎng)絡(luò)通信中建立和管理通信安全.信任模型是整個通信安全的基礎(chǔ)，其決定了在通信過程中實現(xiàn)安全通信的方式，決定了建立和管理信任關(guān)系的框架.因此，對于信任模型的研究一直是PKI研究中的熱點[1-3].

本文中提出一種新的信任系統(tǒng)——混合式網(wǎng)絡(luò)信任系統(tǒng)，并對此系統(tǒng)進行了詳細的說明和分析.

2 混合式網(wǎng)絡(luò)信任模型設(shè)計

2.1 模型設(shè)計的目標

本系統(tǒng)是基于網(wǎng)絡(luò)服務(wù)中大規(guī)模認證需求而設(shè)計的，設(shè)計的目標是：

(1)實現(xiàn)分散的信任管理機制，同一信任域內(nèi)的實體有相同的唯一信任錨，不同信任域間實體的信任錨不同.

(2)信任模型能夠反映實體間信任關(guān)系的動態(tài)變化.

(3)有效的信任傳播機制，不同信任域?qū)嶓w間也可以有效地建立起信任關(guān)系.

(4)盡可能地減少CA的任務(wù)量，將繁瑣的信任路徑構(gòu)建工作獨立出來.

(5)高效的信任路徑查詢機制，能夠在大范圍實體間快速實現(xiàn)信任路徑的計算、建立和查詢.

(6)優(yōu)越的訪問控制策略，將信任和授權(quán)策略有機結(jié)合起來.

為實現(xiàn)上述目標，設(shè)計的整個系統(tǒng)是以網(wǎng)狀信任模型為基礎(chǔ)進行架構(gòu)，這樣可以保證：

(1)PKI系統(tǒng)靈活地增減信任域，有利于反映實體間信任關(guān)系的動態(tài)變化.

(2)由于存在多個信任錨，單個CA安全性的削弱不會影響到整個PKI.

(3)由于信任關(guān)系可以傳遞，從而減少頒發(fā)證書的個數(shù)，使證書管理更加簡單容易，能夠很好地應(yīng)用到實際的網(wǎng)絡(luò)服務(wù)中[4-5].

2.2 設(shè)計方案

由于在實際復(fù)雜的網(wǎng)絡(luò)環(huán)境中，以網(wǎng)狀信任模型為基礎(chǔ)的信任方式，不可避免地會出現(xiàn)信任路徑發(fā)現(xiàn)困難的缺點.所以在本系統(tǒng)中，筆者引入信任路徑服務(wù)器來解決系統(tǒng)在不同信任域間各實體互相信任時經(jīng)常出現(xiàn)的信任路徑不可達的問題.如圖1所示：

圖1 混合式網(wǎng)絡(luò)信任系統(tǒng)

在圖中，各根CA代表實際網(wǎng)絡(luò)連接中不同信任域的信任錨.信任路徑服務(wù)器為不同信任域間的實體提供建立信任路徑的服務(wù).

(1)信任路徑服務(wù)器的功能.

①計算并存儲每條路徑的信任度值，為建立信任路徑時提供有效的信任依據(jù).由于在信任路徑建立過程中較長路徑必然會引起信任衰減，有時在路徑中也可能存在惡意CA，導(dǎo)致建立誤信任的情況，故在信任路徑服務(wù)器中設(shè)計了防止信任路徑過長的功能，其設(shè)計主要依據(jù)信任度計算展開.如圖2所示：

圖2 根CA信任路徑圖

CA1,CA2,CA3,CA4,CA5,CA6,CA7等為各信任域的根CA，如果CA1中有一用戶A需要認證CA7中的用戶B，系統(tǒng)首先根據(jù)網(wǎng)狀信任策略，由信任路徑服務(wù)器建立CA1到CA7之間的信任路徑，并同時進行信任度計算.

在系統(tǒng)中，取兩個相鄰根CA成功認證的概率值為相鄰根CA之間的信任度值，則其取值范圍為0

這里假設(shè)圖中路徑1、2、3、4的信任度分別為0.9、0.9、0.8、0.7.假設(shè)本系統(tǒng)中的路徑信任度閥值為0.5，即一條路徑的信任度值低于信任度閥值,則認為此路徑為無效路徑.

引入信任度的計算模式如下：

信任度是代表一條信任路徑可信程度的數(shù)值表征，如果節(jié)點A對節(jié)點B的信任度值為T(A,B),節(jié)點B對節(jié)點C的信任度值為T(B,C)，由此可以推出A和C之間的路徑信任度值為：

T(A,C)=T(A,B)*T(B,C)

這里一定有T(A,C)<=MIN(T(A,B),T(B,C)).

如圖3所示：

圖3 不相鄰CA路徑信任度計算

由上可知，如果一條路徑有k段，那么整條路徑的信任度計算公式為：

TK=N1*N2*…NK

(1)

(N1,N2,……NK為各段路徑的信任度值，TK為整條路徑的信任度值).

由公式(1)可知圖2中：

TCA7=N1*N2*N3*N4=0.4536<0.5

(N1、N2、N3、N4代表1、2、3、4路徑的信任度取值，TCA7代表從CA1、CA2、CA3、CA6、CA7之間路徑的信任度值).

由上式計算可知，信任路徑服務(wù)器首先計算CA1到CA3之間路徑信任度值，即路徑1和路徑2的信任度為N1*N2=0.81>0.5，說明CA1、CA2、CA3之間信任路徑建立成功.然后計算N1*N2*N3=0.648>0.5,則CA1、CA2、CA3、CA6之間信任路徑建立成功.但是由于計算最后一段到CA7的信任度值衰減為0.4536<0.5，故由CA1到CA7之間的網(wǎng)狀信任路徑不可達，故系統(tǒng)轉(zhuǎn)換為在CA1、CA7之間進行直接建立交叉認證(圖2中虛線).

②構(gòu)建信任路徑時，在網(wǎng)狀信任方式下路徑無法建立時嘗試進行直接交叉認證.

在信任路徑服務(wù)器上存儲有系統(tǒng)中的各相鄰信任域根CA之間的路徑信息，當有終端實體需要與另一個信任域中的終端實體之間建立信任路徑時，發(fā)起方CA把Request信息發(fā)送給信任路徑服務(wù)器，由信任路徑服務(wù)器構(gòu)建兩個根CA之間的信任路徑，并返回路徑中的所有證書信息，由發(fā)起方根CA驗證此路徑的有效性.如果由于某些原因，該條路徑不能被驗證有效，則信任路徑服務(wù)器再返回第二條路徑、……直到最后一條路徑，如果所有路徑均為無效，兩個根CA間嘗試建立直接交叉認證.

(2)信任路徑服務(wù)器的設(shè)計.信任路徑服務(wù)器可以為所有支持PKI的應(yīng)用程序提供統(tǒng)一的證書驗證接口.客戶端與服務(wù)器之間建立安全通信后，可以互相進行身份確認.隨后，客戶端將請求信息封裝在Request消息中，發(fā)送給服務(wù)器.

Request由本地證書號、目標證書號、驗證策略、需要執(zhí)行的檢查Check、需要返回的信息等組成.

如：Request(RcertID、TcertID、CPolicy、Check、reqtNonce)

RcertID:本地證書號.

TcertID:目標證書號.

CPolicy：規(guī)定了服務(wù)器驗證證書的規(guī)則和參數(shù).包括：①信任錨，可為一個或多個根CA證書；②用戶初始策略集，表明用戶可接受的策略集合；③密鑰用途，表明客戶端期望目標證書密鑰具有的用途；④是否禁止策略映射；⑤是否需要明示策略.

服務(wù)器根據(jù)CPolicy初始化，如果客戶端沒有指定，服務(wù)器使用默認驗證策略.

Check：定義服務(wù)器需要執(zhí)行的處理.

①Check為0表示只須檢查目標證書是否被撤銷；②為1表示只須構(gòu)建路徑，驗證工作由客戶端完成；③為2表示構(gòu)建路徑，驗證工作由服務(wù)器路徑驗證模塊完成.

reqtNonce：Request消息的數(shù)字簽名，防止消息傳輸過程中數(shù)據(jù)篡改.

驗證模塊根據(jù)驗證策略計算路徑信任度值及選擇通過CRL還是通過OCSP服務(wù)器檢查證書撤銷信息.如果驗證失敗，則取下一條路徑繼續(xù)驗證.若所有路徑驗證失敗，表明不存在有效路徑，最后服務(wù)器返回Response消息.

服務(wù)器的執(zhí)行流程如圖4所示：

圖4 信任路徑服務(wù)器流程圖

2.3 系統(tǒng)工作方式

由以上對信任路徑服務(wù)器功能的分析可知混合式網(wǎng)絡(luò)信任系統(tǒng)的工作方式分為兩種情況：

(1)第一種情況是：在單一信任域內(nèi)的信任策略.在單一信任域內(nèi)的實體，系統(tǒng)采用嚴格層次信任模型進行架構(gòu).即在同一個信任域中的各用戶之間相互進行身份認證時，都依據(jù)于本信任域的根CA所給出的評定為標準.信任路徑由本信任域的根CA給出.

(2)第二種情況是：在多個信任域間的信任策略.在多個信任域間通信時系統(tǒng)采用網(wǎng)狀模型和直接交叉認證模型相結(jié)合的信任策略，即在一般情況下采用網(wǎng)狀信任模型建立信任關(guān)系，由信任路徑服務(wù)器依據(jù)信任度值計算給出信任路徑.當采用網(wǎng)狀信任模型信任路徑不可達或者信譽度超出閥值時，改用直接交叉認證方式建立信任關(guān)系.

為了使在模型中各個CA盡量地減少進行相互交叉認證頒發(fā)證書的數(shù)量，系統(tǒng)中將各CA與之直接相鄰的CA之間相互頒發(fā)的交叉證書存入各CA的證書庫中.然而對于某些非相鄰CA已經(jīng)通過直接交叉認證取得的信任證書也會存儲在雙方的證書庫中以便下一次直接進行交叉認證.此處需要注意的是系統(tǒng)設(shè)計此類證書在彼此非相鄰CA之間建立信任路徑時不能使用，也就是說采用網(wǎng)狀信任方式建立路徑時只能使用相鄰CA間的認證證書，非相鄰CA間的交叉信任關(guān)系不允許使用.

3 結(jié)語

該模型主要依據(jù)各根CA的信任關(guān)系可以傳遞，從而減少頒發(fā)證書的數(shù)量，使證書管理更加容易，并且易于擴展，同時引入信任路徑服務(wù)器來解決模型中信任路徑構(gòu)建復(fù)雜性問題，而且，在必要時可以采取直接的交叉認證進行路徑優(yōu)化.

模型具有的優(yōu)點：首先,充分滿足了分布式環(huán)境下信任域間的對等性需求.其次,加強了PKI體系的靈活性和健壯性.最后,提高了信任路徑構(gòu)建的效率.

[1]謝冬青,冷健編.PKI原理與技術(shù)[M].北京:清華大學(xué)出版社,2004.

[2]周曉斌,許勇,張凌.一種開放式PKI身份認證模型的研究[J].國防科技大學(xué)學(xué)報,2013,35(1).

[3]李勇軍,代亞非．對等網(wǎng)絡(luò)信任機制研究[J]．計算機學(xué)報，2010,33(3).

[4]姚瑤,王興偉,蔣定德,周福才.一種基于PKI技術(shù)的跨異構(gòu)域認證模型[J].東北大學(xué)學(xué)報(自然科學(xué)版),2011,35(5).

[5]平野.基于PKI/CA的跨域認證平臺的設(shè)計與實現(xiàn)[D].北京:北京郵電大學(xué),2009.

(責任編輯:王前)

Research of Hybrid Network Trust Model Based on PKI

JIN Ying-qin1, WANG Yu2

(1.SchoolofComputerscience&Engineering,AnHuiUniversityofScience&Technology,HuaiNan,Anhui232001,China; 2.AnHuiUniversityofScience&Technology,DepartmentofMathematics,HuaiNan,Anhui232001,China)

In this paper,a new hybrid network trust model is proposed and the trust path by means of analyzing and comparing the PKI trust model is built.Moreover,the model implementation，work pattern of the model，the structure and function of the trust path server are focused on.

public key infrastructure;root CA;trust model;trust path;hybrid network trust model

2016-08-07

安徽省高等學(xué)校省級優(yōu)秀青年基金人才項目資助(2011SQRL040)；安徽省自然科學(xué)基金“GV-半群及其子系統(tǒng)格的理論和方法研究”(1308085QA12)

金穎勤，女，甘肅蘭州人，講師；王宇，安徽壽縣人，講師，博士.

TP309.2

A

1008-7974(2016)05-0007-04

10.13877/j.cnki.cn22-1284.2016.10.003