PKI技术及其在校园网中的应用研究

2012-08-06何向武胡声丹

网络安全技术与应用 2012年11期

何向武胡声丹

上海师范大学天华学院计算机系上海 201815

0 引言

随着高校信息化建设的逐步推进和校园网络的进一步建设，校园网中各种应用服务也逐渐发展起来，校园网给师生带来方便的同时，也同样带来很多安全隐患。如何保证校园网的安全性，已经成为广大师生和网络管理人员越来越关注的问题。

PKI(Public Key Infrastructure) 即公钥基础设施，PKI是利用公钥理论和技术建立的提供安全服务的基础设施。在校园网中运用PKI技术，能提供数据加密，数字签名，双向身份认证，邮件来源证实，能够保证网络通信数据的机密性、完整性、不可抵赖性，从而提高校园网的安全性。

1 PKI及其技术简介

1.1 加密技术

加密技术包括两个元素：算法和密钥。算法是将可以理解的信息与一串数字(密钥)的结合，产生不可理解的密文的步骤，密钥是用来对数据进行编码和解码的一种算法。为了实现信息安全，可通过适当的密钥加密技术和管理机制来保证网络的信息通讯安全。根据密钥算法中所使用的加密密钥和解密密钥异同性、以及可否进行加密过程与解密过程的相互推导，可将密码体制分为对称密码体制和非对称密码体制。对称加密的典型代表是数据加密标准DES算法，非对称加密典型代表是RSA算法。对称加密采用的加密密钥和解密密钥相同，但非对称加密采用的加密密钥和解密密钥不同，加密密钥可以公开却解密密钥需要保密。

1.2 数字签名

数字签名(digital signature)，是指用户使用自己的私钥对原始数据的消息摘要进行加密所得的数据，其中消息摘要是通过它由一个单向Hash加密函数对消息进行作用而产生。类似人用手写在纸上的普通的物理签名，不同的是使用了公钥加密的技术实现，用于鉴别数字信息的方法。一套数字签名通常定义两种互为相反的运算，一个用于签名，另一个用于验证。这种数字签名适用于对大文件的处理，因为直接对大文件加密效率较低，对于那些小文件的数字签名，则没必要生成消息摘要，直接将原文进行加密处理即可。

1.3 数字证书

数字证书(digital certificate)，网络通信中，为了实现身份识别、完整性、真实性及抗抵赖性等安全要素，用来标志和证明网络通信双方身份的工具。数字证书将公钥及其所有者的真实身份相关的信息绑定在一起，它类似于人们现实生活中使用的居民身份证，所不同的是数字证书不是纸质证件，而是一段含有证书持有者身份信息并经过认证中心审核签发的电子数据文件。

1.4 PKI和CA

PKI是指用公钥概念和技术来实施和提供安全服务的具有普适性的安全基础设施。在网络中的各种应用和服务，包括电子邮件应用、Web浏览器、数据库、应用服务器、文件服务器等，都能够使用安全基础设施提供的服务。目前，通用的机制是，采用建立在PKI基础之上的数字证书，通过对网络中所传输的关键数字信息进行加密和签名，保证信息传输的真实性、完整性、保密性和抗抵赖性，最终实现了信息的安全传输。

实际应用中，PKI系统一般包括： CA、API、数字证书库、密钥备份及恢复系统、证书作废系统等。其中CA是关键中心环节，CA即Certificate Authority，是负责签发证书、认证证书、管理已颁发证书的机构。它要制定相应的策略，然后根据相应的步骤来识别和验证用户身份，并对用户的证书进行签名，以确保证书所有者公钥的拥有权和身份信息的真实性。

2 校园网的安全需求

校园网络是基于TCP/IP协议体系结构，由于开放的网络协议及其自身的脆弱性，特别是TCP/IP协议固有的一些弱点，导致校园网中安全隐患大量存在，从而为具有破坏系统的攻击行为提供了可以被利用的途径。

校园网用户登录到目标终端和各种服务器，常常采用用户名加口令的方式登录，这方式安全性非常低，因为口令空间的有限性，以及大家设置口令过于简单的习惯，导致攻击者很容易通过穷举法进行暴力破解，甚至几次简单的猜测就可窃取用户口令，从而非法进入系统，因此需要强度较高的登录安全检验机制来实现合法登录，防止非授权用户访问终端或服务器。而且，校园网大多数的服务器存储着重要数据，当非法人员能够使用某服务器时，可以对重要数据进行拷贝和删除等操作，造成数据的泄露或破坏，后果可能非常严重。因此有必要通过引入PKI构建CA系统来加强和提高校园网的安全性。

3 校园网安全解决方案

3.1 模型选择

在实际部署应用中，PKI系统根据实际情况有几种结构，包括有单CA型、单CA多RA(Registration Authority)型、多层次CA等，其中多层次CA最安全。

考虑一下构建CA的成本，建设CA的费用主要包括软件、硬件和服务三部分，再加上建成使用后每年的软件支持、证书更新、管理费用等，一般来说构建CA的成本还是较高，其中单CA较低，多层次CA最高。

目前校园网PKI系统属于内网PKI，考虑到成本效益和有效性，基本采用自给自足的方式，即自己建设，自己运营，为自己内部用户提供认证服务。从安全需求看，校园网绝大多数安全应用局限在校园内，由于校园网是独立的主体，客户和服务群都信任学校，校园网络中心可视为学校权威中心，实行仲裁，没有必要实行多CA或层次式的复杂结构，特别是对于中小型校园网而言。

因此，采用单CA结构较为合适，这种结构功能清晰，职责明确，构建成本低、易于实现和操作。

3.2 系统结构和功能设计

PKI系统的功能模块有：数字证书认证中心、证书用户、密钥管理中心、数字证书认证中心管理器和证书库等，各个功能模块必须相互有机结合，通过这些功能模块来具体实现颁发数字证书、数字证书查询、证书和黑名单发布、数字证书管理、产生和管理密钥对、客户端与服务器端的网络通信和整个系统的安全设计。系统逻辑功能结构如图1所示。

图1 系统逻辑功能结构图

校园网是一个相对独立的网络环境，主要用户是教师和学生，基本上都能够信任学校权威中心，身份及授权均可最终由权威中心仲裁，其中学校权威中可以是网络中心管理机构代理。因此，在校园网建立数字证书认证中心，其信任关系比较容易解决。

数字证书的申请可采取两种方式，一是离线申请，另外一种是在线申请。离线方式一般通过人工的方式直接到证书机构受理点去办理证书申请手续，通过审核后获取证书；在线申请是通过浏览器或其他应用系统通过在线的方式来申请证书。两者方互为补充，可同时使用。

数字证书签发的过程比较复杂，数字证书颁发过程一般为：用户首先产生自己的密钥对，并将公共密钥及部分个人身份信息传送给认证中心。认证中心在核实身份后，将执行一些必要的步骤，以确信请求确实由用户发送而来，然后，认证中心将发给用户一个数字证书，该证书内包含用户的个人信息和他的公钥信息，同时还附有认证中心的签名信息。用户就可以使用自己的数字证书进行相关的各种活动。数字证书由独立的证书发行机构发布。数字证书各不相同，每种证书可提供不同级别的可信度。可以从证书发行机构获得自己的数字证书。

4 校园网中应用实例

4.1 身份认证系统

校园中有各种应用系统，常见有教务系统，学工系统，档案系统等，这些都基于用户身份的，不同用户看到的信息不一样，或者只能看到自己相关的信息，传统身份验证的办法是口令加密码，其安全性低。PKI技术通过将用户身份信息和公钥证书绑定在一起，经CA中心签名，这样就保证了用户身份的真实性、合法性。因此，可以用PKI系统中的数字身份证及数字证书来加强原有的用户名加口令检验身份的方式，提高验证强度，提高系统访问控制的安全性。