谷惠敏

(商丘醫(yī)學(xué)高等?？茖W(xué)校，河南 商丘 476100)

?

可信網(wǎng)絡(luò)連接安全管理與架構(gòu)設(shè)計(jì)研究

谷惠敏

(商丘醫(yī)學(xué)高等專科學(xué)校，河南 商丘 476100)

可信網(wǎng)絡(luò)在連接、訪問控制等方面存在許多問題，就其實(shí)體功能、接口協(xié)議、架構(gòu)體系進(jìn)行了剖析，并從EAP-TNC數(shù)據(jù)包的設(shè)計(jì)上優(yōu)化網(wǎng)絡(luò)安全與訪問控制協(xié)議.最后利用實(shí)驗(yàn)測(cè)試，使網(wǎng)絡(luò)帶寬、終端狀態(tài)、可信等級(jí)等指標(biāo)實(shí)現(xiàn)可信網(wǎng)絡(luò)連接的安全與可控性.

可信網(wǎng)絡(luò)；安全管理；訪問控制；連接體系

從網(wǎng)絡(luò)連接與訪問控制服務(wù)來看，用戶行為的不確定性帶來的網(wǎng)絡(luò)脆弱性問題，成為網(wǎng)絡(luò)安全管理的重要難題.可信網(wǎng)絡(luò)連接的提出，將網(wǎng)絡(luò)終端作為可信計(jì)算的出發(fā)點(diǎn)，并延伸至整個(gè)網(wǎng)絡(luò).如NAC、TNC、NAP等可信網(wǎng)絡(luò)體系，其原理均是通過對(duì)用戶的身份認(rèn)證來獲得相應(yīng)的可信狀態(tài)，并被允許接入網(wǎng)絡(luò)，否則將被連接至隔離區(qū)域.在這3種可信網(wǎng)絡(luò)體系中，NAP的安全與訪問控制體系側(cè)重于終端，NAC的安全與訪問控制體系側(cè)重于接入設(shè)備，而TNC的安全與訪問控制體系側(cè)重于可信計(jì)算.

1 可信網(wǎng)絡(luò)連接架構(gòu)概述

從可信網(wǎng)絡(luò)連接的提出到應(yīng)用，主要是從網(wǎng)絡(luò)終端的可信狀態(tài)上進(jìn)行判斷并接入.其原理首先在終端進(jìn)行接入請(qǐng)求，通過對(duì)請(qǐng)求進(jìn)行安全認(rèn)證、身份認(rèn)證后，設(shè)置其可信狀態(tài).其次，如果可信狀態(tài)滿足接入策略，則運(yùn)行接入，否則將連接至隔離區(qū)域[1]89-94.由此可見，對(duì)于可信網(wǎng)絡(luò)連接，其架構(gòu)體系包括網(wǎng)絡(luò)訪問層、評(píng)估層、完整度量層3部分.在可信網(wǎng)絡(luò)架構(gòu)實(shí)體中，訪問者通過對(duì)網(wǎng)絡(luò)終端平臺(tái)完整性可信信息進(jìn)行搜集，并與完整度量收集器、TNC客戶端共同發(fā)送至PDP，PDP結(jié)合本地安全策略，對(duì)來自訪問者的訪問請(qǐng)求進(jìn)行度量、分析與判定，來驗(yàn)證訪問者的網(wǎng)絡(luò)訪問是否符合安全性要求.最后，元數(shù)據(jù)訪問點(diǎn)服務(wù)器來處理終端的訪問狀態(tài)與安全策略，利用元數(shù)據(jù)訪問點(diǎn)客戶端反饋網(wǎng)絡(luò)訪問行為并向元數(shù)據(jù)訪問點(diǎn)服務(wù)器進(jìn)行報(bào)告.從接口協(xié)議來看，可信網(wǎng)絡(luò)連接包括IF-TNCCS、IF-M、IF-T和IF-PEP 4類協(xié)議，TNC客戶端與TNC服務(wù)器之間通過IF-TNCCS協(xié)議保障信息傳遞，完整度量接收器與完整度量驗(yàn)證器通過IF-M協(xié)議完成信息傳遞[2]37. IF-T協(xié)議主要完成網(wǎng)絡(luò)授權(quán)，從訪問者與PDP實(shí)體間來完成信息傳達(dá)，而IF-PEP為策略執(zhí)行點(diǎn)接口協(xié)議，負(fù)責(zé)策略決策點(diǎn)與策略執(zhí)行點(diǎn)之間的信息傳達(dá).

2 可信網(wǎng)絡(luò)連接的架構(gòu)體系設(shè)計(jì)

2.1 可信網(wǎng)絡(luò)連接架構(gòu)優(yōu)化

從可信網(wǎng)絡(luò)連接架構(gòu)體系發(fā)展來看，TNC體系相對(duì)成熟，且應(yīng)用廣泛.然而，由于TNC體系缺乏對(duì)可信終端的安全保護(hù)，尤其是在雙向評(píng)估、安全協(xié)議支撐上，缺乏靈活的訪問控制機(jī)制，使得可信網(wǎng)絡(luò)連接缺乏適用性[3]307-315.為此，從優(yōu)化可信網(wǎng)絡(luò)連接架構(gòu)體系上進(jìn)行完善，如圖1所示.

圖1 可信網(wǎng)絡(luò)連接架構(gòu)體系優(yōu)化

從圖1來看，其顯著特色在于增加內(nèi)網(wǎng)完整性度量收集器，便于對(duì)各節(jié)點(diǎn)安全屬性的收集，并通過發(fā)送完整度量驗(yàn)證器實(shí)現(xiàn)對(duì)可信終端的有效度量.也就是說，針對(duì)不可信的終端請(qǐng)求將直接拒絕或隔離；同時(shí)，在元數(shù)據(jù)訪問節(jié)點(diǎn)客戶端設(shè)置收集可信狀態(tài)、可信等級(jí)控制器，結(jié)合可信終端的可信狀態(tài)來完成終端的可信控制與訪問權(quán)限分配，提升了可信網(wǎng)絡(luò)連接的安全性.

2.2 可信網(wǎng)絡(luò)連接協(xié)議優(yōu)化

協(xié)議是保障可信網(wǎng)絡(luò)連接各實(shí)體間信息交互的基本要求，需要滿足4方面安全保障機(jī)制.一要滿足完整度量層與完整評(píng)估層之間的信息交互；二要滿足完整度量收集器與完整度量驗(yàn)證器之間的信息交互；三要滿足認(rèn)證信息的交互；四要滿足決策信息的交互，具體如圖1所示.在前兩種交互過程實(shí)現(xiàn)中，TNC服務(wù)器通過接收連接請(qǐng)求，獲取終端的安全狀態(tài)，利用完整度量收集器對(duì)度量信息進(jìn)行完整度量與驗(yàn)證，最后將驗(yàn)證可信狀態(tài)及認(rèn)證結(jié)果反饋至服務(wù)器.對(duì)于滿足可信要求的連接請(qǐng)求和對(duì)信息加解密后發(fā)送至請(qǐng)求者，從而提升了可信網(wǎng)絡(luò)的安全性和可靠性.在網(wǎng)絡(luò)訪問可信管理中，由于數(shù)據(jù)包自身存在跨網(wǎng)傳送(以EAP-TNC數(shù)據(jù)包為例)，無法對(duì)數(shù)據(jù)包的完整性進(jìn)行有效校驗(yàn)，可能影響數(shù)據(jù)傳輸?shù)陌踩?因此，需要從EAP-TNC數(shù)據(jù)包的標(biāo)簽設(shè)計(jì)上來增加標(biāo)簽屬性，利用擴(kuò)展標(biāo)簽屬性來保障數(shù)據(jù)包傳送的安全度量信息.

2.3 可信網(wǎng)絡(luò)訪問控制體系設(shè)計(jì)

結(jié)合可信網(wǎng)絡(luò)TNC訪問控制體系架構(gòu)，在優(yōu)化訪問控制邏輯結(jié)構(gòu)上，遵循安全性要求，劃分為系統(tǒng)訪問控制層、網(wǎng)絡(luò)訪問控制層、用戶訪問控制層、網(wǎng)絡(luò)態(tài)勢(shì)感知層4個(gè)層級(jí)結(jié)構(gòu).在系統(tǒng)訪問控制層，主要從終端訪問請(qǐng)求者的安全等級(jí)上進(jìn)行評(píng)估，設(shè)置訪問角色與權(quán)限；在網(wǎng)絡(luò)訪問控制層，主要從訪問請(qǐng)求者的完整性度量上評(píng)估是否給予網(wǎng)絡(luò)接入，并反饋可信網(wǎng)絡(luò)邏輯策略；在用戶訪問控制層，主要對(duì)訪問者進(jìn)行身份驗(yàn)證、密鑰生成管理；在網(wǎng)絡(luò)態(tài)勢(shì)感知層，主要從可信指標(biāo)信息規(guī)則庫中優(yōu)化網(wǎng)絡(luò)連接與應(yīng)用服務(wù)狀態(tài)，對(duì)可信網(wǎng)絡(luò)連接的管理與監(jiān)控.如利用SPA法、D-S證據(jù)理論法來實(shí)現(xiàn)網(wǎng)絡(luò)安全態(tài)勢(shì)的評(píng)估，預(yù)測(cè)可信網(wǎng)絡(luò)連接的安全態(tài)勢(shì)[4]1774-1779.

3 仿真檢驗(yàn)與結(jié)果分析

在對(duì)上述可信網(wǎng)絡(luò)連接與訪問控制體系的安全性仿真試驗(yàn)中，需要結(jié)合可信終端的安全狀態(tài)，來構(gòu)建相應(yīng)的仿真環(huán)境，并從模擬終端的安全屬性變化上來綜合測(cè)試可信網(wǎng)絡(luò)連接與訪問控制性能等指標(biāo).

3.1 仿真環(huán)境的搭建

為了對(duì)上述可信網(wǎng)絡(luò)連接與訪問控制體系進(jìn)行全面檢驗(yàn)，搭建的仿真環(huán)境包括客戶端、服務(wù)器端應(yīng)用系統(tǒng).其中，服務(wù)器端采用認(rèn)證服務(wù)器、資源管理服務(wù)器，在軟件上增加了TPM2.0組件，以及FreeRadius-Server服務(wù)器軟件；客戶端采用Win7和CentOS7操作系統(tǒng)，以及WPA-Supplicant客戶端軟件；在協(xié)議支持上采用802.1X、Radius協(xié)議和Cisco協(xié)議組件.

3.2 檢驗(yàn)結(jié)果

通過仿真試驗(yàn)，根據(jù)不同訪問終端下、不同安全狀態(tài)屬性的測(cè)試，其可信網(wǎng)絡(luò)連接與訪問控制結(jié)果如下：對(duì)于未通過身份認(rèn)證的訪問請(qǐng)求，直接拒絕；對(duì)于通過身份認(rèn)證的請(qǐng)求，在終端狀態(tài)安全性高時(shí)，可信等級(jí)為Trusted；通過認(rèn)證，可信終端安全性較低，防火墻未開啟條件下，可信等級(jí)為Untrusted；通過認(rèn)證，可信終端殺毒軟件未啟用，客戶端未簽名，可信等級(jí)為Trusted；通過認(rèn)證，殺毒軟件未開啟、防火墻未啟用、客戶端未簽名，可信等級(jí)為L(zhǎng)ow-Trusted；通過認(rèn)證，可信終端接入后防火墻關(guān)閉，或者操作系統(tǒng)遭到病毒攻擊，可信等級(jí)將為Untrusted，訪問控制狀態(tài)轉(zhuǎn)為隔離修復(fù).

3.3 性能對(duì)比分析

通過可信網(wǎng)絡(luò)連接測(cè)試，對(duì)于不同操作系統(tǒng)、不同網(wǎng)絡(luò)帶寬條件下的網(wǎng)絡(luò)訪問控制與連接認(rèn)證時(shí)間對(duì)比結(jié)果如下.在訪問控制方面，優(yōu)化后的可信網(wǎng)絡(luò)架構(gòu)體系能夠?qū)o法通過認(rèn)證的終端直接拒絕訪問，而對(duì)于Untrusted可信等級(jí)的訪問，轉(zhuǎn)為隔離修復(fù)狀態(tài)，在修復(fù)后仍為Untrusted的將拒絕訪問；在動(dòng)態(tài)訪問控制方面，即便是在通過認(rèn)證的終端，當(dāng)發(fā)生系統(tǒng)攻擊后，將降低終端的可信等級(jí)，對(duì)于不滿足可信條件的訪問將給予權(quán)限限制；在分層網(wǎng)絡(luò)訪問方面，優(yōu)化后的可信網(wǎng)絡(luò)可以根據(jù)接入終端的安全評(píng)估狀態(tài)設(shè)置相應(yīng)的可信等級(jí)，給予不同的訪問權(quán)限控制，從而提升可信網(wǎng)絡(luò)的安全性，防范了非法訪問.通過對(duì)傳統(tǒng)TNC網(wǎng)絡(luò)架構(gòu)與優(yōu)化后TNC網(wǎng)絡(luò)架構(gòu)安全性能的對(duì)比，在認(rèn)證時(shí)間上更具優(yōu)勢(shì).在操作系統(tǒng)相同條件下，隨著網(wǎng)絡(luò)帶寬的增加，其認(rèn)證時(shí)間相繼縮短，網(wǎng)絡(luò)連接性能獲得提升；在相同網(wǎng)絡(luò)環(huán)境下，不同操作系統(tǒng)具有不同的認(rèn)證時(shí)間優(yōu)勢(shì).如基于CentOS 7的認(rèn)證時(shí)間要優(yōu)于基于Win7的認(rèn)證時(shí)間.

4 結(jié)語

面對(duì)日趨復(fù)雜的網(wǎng)絡(luò)環(huán)境，隨著網(wǎng)絡(luò)應(yīng)用的不斷拓寬，來自網(wǎng)絡(luò)的各類安全威脅更加突出，而對(duì)于傳統(tǒng)網(wǎng)絡(luò)安全管理，其在物理安全、應(yīng)用安全上還存在顯著不足.為此，可信網(wǎng)絡(luò)連接與訪問控制體系的設(shè)計(jì)，將傳統(tǒng)被動(dòng)防御轉(zhuǎn)變?yōu)橹鲃?dòng)防御，尤其是在數(shù)據(jù)包安全標(biāo)簽屬性擴(kuò)展上，通過細(xì)分訪問控制結(jié)構(gòu)層次，對(duì)終端身份、權(quán)限進(jìn)行評(píng)估和可信等級(jí)劃分，優(yōu)化、改善網(wǎng)絡(luò)連接與動(dòng)態(tài)訪問控制性能，提升網(wǎng)絡(luò)安全性、可靠性.

[1] 張瑜娟.可信網(wǎng)絡(luò)研究現(xiàn)狀分析與思考[J]. 中國(guó)公共安全(學(xué)術(shù)版)，2015(02).

[2] 杜 巖.探究面向可信網(wǎng)絡(luò)研究的虛擬化技術(shù)[J]. 電子技術(shù)與軟件工程，2014(19).

[3] 徐明飛,吳禮發(fā),洪 征,等.可信網(wǎng)絡(luò)連接雙向認(rèn)證協(xié)議的設(shè)計(jì)與分析[J]. 解放軍理工大學(xué)學(xué)報(bào)(自然科學(xué)版)，2014(04).

[4] 周 婕.可信網(wǎng)絡(luò)連接架構(gòu)及關(guān)鍵技術(shù)研究[J]. 計(jì)算機(jī)與數(shù)字工程，2016(09).

[責(zé)任編輯 冰 竹]

Research on Security Management and Architecture Design of Trusted Network Connection

GU Huimin

(ShangqiuMedicalCollege,Shangqiu476100,China)

This paper discusses the problem of trusted network in connection and access control, analyzes the entity function, interface protocol and system architecture, and optimizes network security and access control protocol from the design of EAP-TNC packet. At last, the security and controllability of the trusted network connection are realized by the network test, such as the network bandwidth, the terminal state and the trust level.

trusted network; security management; access control; connection system

2017-01-10

谷惠敏(1979- )，女，河南商丘人，商丘醫(yī)學(xué)高等?？茖W(xué)校講師，碩士，主要從事計(jì)算機(jī)教學(xué)及研究。

TP393.08

A

1671-8127(2017)02-0095-03