朱 蕾

摘要本文針對實(shí)驗教學(xué)改革的目標(biāo),將Web服務(wù)技術(shù)引入到開放式實(shí)驗教學(xué)管理系統(tǒng)的建立中,提出在校園網(wǎng)絡(luò)的基礎(chǔ)上構(gòu)建該平臺要解決的關(guān)鍵技術(shù):用戶標(biāo)識及身份驗證技術(shù)、事故處理技術(shù)、服務(wù)器性能優(yōu)化、系統(tǒng)安全管理技術(shù)等。

關(guān)鍵詞開放式實(shí)驗教學(xué)校園網(wǎng)身份驗證

中圖分類號:G64文獻(xiàn)標(biāo)識碼:A

開放式實(shí)驗教學(xué)管理系統(tǒng)面向的是校園局域網(wǎng)或Internet,對系統(tǒng)的安全性、穩(wěn)定性、體系結(jié)構(gòu)和數(shù)據(jù)處理算法等要求較高;同時教學(xué)資源、課程配置等因素處于動態(tài)發(fā)展變化之中,需要采用較為先進(jìn)合理的技術(shù)予以解決。在校園網(wǎng)絡(luò)的基礎(chǔ)上構(gòu)建該平臺要解決的關(guān)鍵技術(shù)主要有:

1 用戶標(biāo)識及身份驗證技術(shù)

1.1 問題提出

由于多數(shù)用戶通過多級代理服務(wù)器或電話撥號方式來訪問校園網(wǎng),這為唯一標(biāo)識用戶身份增加了難度,需要設(shè)計合理的用戶身份驗證機(jī)制來保證每個用戶操作數(shù)據(jù)的合理性和有效性。

1.2 解決方案

(1)標(biāo)識問題。開放式實(shí)驗教學(xué)管理系統(tǒng)主要通過將用戶登錄用的IP地址與帳號(學(xué)生學(xué)號或教師編號)相結(jié)合進(jìn)行標(biāo)識,并通過密碼和姓名驗證的方法來唯一標(biāo)識每個終端用戶。

(2)一次性口令身份驗證。為了解決常規(guī)口令的諸多問題,安全專家提出了一次性口令(OTP:One Time Password)的密碼體制,以保護(hù)關(guān)鍵的計算機(jī)資源。如果網(wǎng)上傳遞的口令只用一次,攻擊者就無法用竊取的口令來訪問系統(tǒng)。

OTP的工作方式是將公共可用的信息即挑戰(zhàn)與只有用戶才知道的秘密結(jié)合起來產(chǎn)生一次性口令。OTP的主要思路是:在登錄過程中加入不確定因素,使每次登錄過程中摘錄所得的密碼都不相同,以提高登錄過程的安全性。實(shí)現(xiàn)機(jī)制多采用Challenge/Response機(jī)制,認(rèn)證過程如下:

①客戶機(jī)向服務(wù)器發(fā)出登錄請求。②服務(wù)器首先向用戶提示一個“挑戰(zhàn)”(challenge),挑戰(zhàn)由種子值和迭代值組成。③客戶端使用種子和迭代值,并與用戶的秘密通行證短語組合在一起,通過OTP中的一個散列算法,計算出單用口令,從而產(chǎn)生對挑戰(zhàn)的答復(fù),保證了OTP不易遭受偷聽、口令重用、偷竊或口令文件攻擊。④挑戰(zhàn)的答復(fù)由客戶端通過網(wǎng)絡(luò)傳回服務(wù)器。⑤服務(wù)器驗證用戶對挑戰(zhàn)的答復(fù),決定是否成功登錄。

根據(jù)OTP系統(tǒng)的運(yùn)行機(jī)理,用戶進(jìn)行身份驗證包括三個部分:迭代值、種子值和秘密通行證短語。因此在系統(tǒng)用戶初始化時,必須提供上述信息,并允許用戶在使用中動態(tài)改變。在本教學(xué)管理平臺系統(tǒng)中,采用以下規(guī)則來定義用戶身份驗證信息:①以學(xué)生學(xué)號或教師編號作為種子值。②迭代值在用戶信息初始化時由系統(tǒng)確定。③秘密通行證短語在初始化時暫定為學(xué)生學(xué)號或教師編號,在第一次成功登錄后由用戶自行修改。

2 事故處理技術(shù)

2.1 問題提出

安全性的破壞通常叫做一個事故。事故是任何一種破壞,對于實(shí)驗教學(xué)系統(tǒng)而言,事故處理主要涉及用戶非法操作、或者其它人為因素(例如機(jī)器斷電等)的影響,當(dāng)用戶操作失敗時系統(tǒng)應(yīng)能提供事故處理和恢復(fù)機(jī)制。

2.2 解決方案

(1)事故的響應(yīng)。用戶登錄系統(tǒng)后,在操作過程中應(yīng)該保持用戶操作的精確記錄,以便在事故發(fā)生后及時保護(hù)有效數(shù)據(jù)結(jié)果。記錄下的細(xì)節(jié)應(yīng)主要包括以下內(nèi)容:用戶登錄信息、保存選中的實(shí)驗記錄、記錄改選的內(nèi)容等。一個完善的系統(tǒng)應(yīng)該具備如下所述的條件:必須能夠在無人管理的情況下連續(xù)運(yùn)行。系統(tǒng)必須能夠在被觀測的后臺中可靠地運(yùn)行,系統(tǒng)內(nèi)部的工作應(yīng)該能從外部現(xiàn)象中進(jìn)行證實(shí)。必須能容錯。系統(tǒng)必須能在被破壞時保存下資料,而不需要在重新啟動時重建它的知識庫。系統(tǒng)開銷最小。必須觀察有違常規(guī)的非法操作行為并具有及時的警告信息。

(2)從事故中恢復(fù)。從一次事故中恢復(fù)系統(tǒng)數(shù)據(jù)主要包含以下幾個步驟:分析用戶身份信息。首先從用戶身份標(biāo)識中分離出用戶帳號信息,然后查找事故日志,判斷該用戶是否在上次操作中發(fā)生過事故?；謴?fù)用戶操作歷史。若用戶在上次操作過程中發(fā)生過事故,則應(yīng)該恢復(fù)所有的操作信息。在用戶成功完成各種操作后,從事故日志中刪除該用戶事故信息。通過應(yīng)用事故處理機(jī)制,系統(tǒng)的穩(wěn)定性、自適應(yīng)性明顯得到提高,這就充分保障了系統(tǒng)能夠在多種環(huán)境下安全、可靠地運(yùn)行,較大限度地降低了由意外因素所造成的數(shù)據(jù)損失的可能性,確保開放式實(shí)驗教學(xué)的順利進(jìn)行。

3 服務(wù)器性能優(yōu)化

3.1 問題提出

在網(wǎng)上選實(shí)驗項目的過程中最大問題是,大量學(xué)生在選課之初幾乎同時競爭教學(xué)資源,造成系統(tǒng)服務(wù)的用戶量劇增,網(wǎng)速變得很慢。

3.2 解決方案

在保證實(shí)驗項目完整和服務(wù)器硬件一定的條件下,采用幾個措施來對WEB服務(wù)器進(jìn)行優(yōu)化。

(1)優(yōu)化服務(wù)器配置。運(yùn)用更快速的磁盤和更好的網(wǎng)絡(luò)存取機(jī)制,能明顯改進(jìn)網(wǎng)站訪問速度。這類方案的核心是設(shè)法減輕Web服務(wù)器CPU的負(fù)荷,使其從繁瑣的網(wǎng)絡(luò)協(xié)議處理中“解脫”出來,而集中于頁面處理和服務(wù)提供。另外要提升服務(wù)器性能,運(yùn)用成熟的Web服務(wù)器加速軟件必不可少。

(2)運(yùn)用緩沖機(jī)制。優(yōu)化網(wǎng)絡(luò)的可伸縮性和性能的另一方法是在服務(wù)器外圍增加緩沖機(jī)制。比較流行的方案是為Web服務(wù)器增加反向緩沖代理,使服務(wù)器能夠順利實(shí)現(xiàn)已創(chuàng)建頁面的傳輸,同時在創(chuàng)建動態(tài)頁面過程中減輕服務(wù)器負(fù)荷。

(3)減小數(shù)據(jù)量。優(yōu)化程序代碼,減少WEB服務(wù)器與數(shù)據(jù)庫服務(wù)器的通信流量。

4 系統(tǒng)安全管理技術(shù)

4.1 問題提出

由于該系統(tǒng)的信息涉及實(shí)驗室的內(nèi)部信息和用戶的個人隱私信息,因此,信息的安全性和訪問的可控制性尤其重要。

4.2 解決方案

(1)數(shù)據(jù)加密。由于網(wǎng)絡(luò)中連接的各個終端都是有嚴(yán)格準(zhǔn)入制度的,因此必須有嚴(yán)格保密的傳輸體制來維護(hù)這種準(zhǔn)入的完整性。具有報文加密功能的路由器可以解決這個問題,現(xiàn)有的企業(yè)級路由器中大多有用來封裝和解密IP報文的IPSEC協(xié)議。

(2)安全防護(hù)。在Internet中,安全漏洞主要來自網(wǎng)絡(luò)的各種惡意攻擊,比如DOS/DDOS攻擊、緩沖區(qū)溢出漏洞攻擊等。因此,一款功能完善的企業(yè)級防火墻也是系統(tǒng)必備的配置。防火墻主要應(yīng)實(shí)現(xiàn)的功能有:包過濾、狀態(tài)檢測、應(yīng)用代理、病毒和蠕蟲過濾、入侵檢測等功能。

(3)安全防護(hù)的備份與恢復(fù)。為保障數(shù)據(jù)安全和系統(tǒng)的正常運(yùn)轉(zhuǎn),應(yīng)考慮完善服務(wù)器、網(wǎng)絡(luò)系統(tǒng)的自動備份與故障恢復(fù)功能?？紤]到可靠性要求較高,所以可采用熱備援的方式來解決,擬定一臺MASTER主機(jī)和一臺BACKUP主機(jī),且MASTER和BACKUP主機(jī)會不斷偵測彼此之間的運(yùn)作狀況,保證在極短的時間內(nèi)恢復(fù)系統(tǒng)的正常并時刻保證網(wǎng)絡(luò)處于可靠工作狀態(tài)。

(4)訪問控制?？梢岳梅阑饓νǖ纼?nèi)的應(yīng)用和訪問做到各種限制。比如:指定某臺電腦的訪問權(quán)限和所應(yīng)用的服務(wù),保證每個用戶的私密性。

(5)入侵抵御。網(wǎng)絡(luò)面臨的威脅越來越多,這使得傳統(tǒng)的安全技術(shù)與設(shè)備已經(jīng)無法獨(dú)立應(yīng)對,需要入侵抵御系統(tǒng)(IPS,Intrusion Prevention System)來解決病毒、攻擊、濫用引發(fā)的問題。好的IPS應(yīng)有以下功能:具備多層流量的深度分析與檢測能力、具備良好的安全功能與出色的數(shù)據(jù)交換功能、具備較全面的協(xié)議分析與跟蹤能力。

(6)Web服務(wù)器安全預(yù)防措施:禁止亂用從其他網(wǎng)站下載的一些工具軟件。在選用Web服務(wù)器時,應(yīng)考慮到不同服務(wù)器對安全的要求不一樣。限制在Web服務(wù)器隨意開設(shè)賬戶,定期刪除一些用戶。對在Web服務(wù)器上開的賬戶,在口令長度及定期更改方面做出要求,防止被盜用。去掉FTP,Send mail,TFTP,NIS,IFS,finger,net stat等一些無關(guān)的應(yīng)用。在Web服務(wù)器上去掉一些絕對不用的shell等之類解釋器。設(shè)置好Web服務(wù)器上系統(tǒng)文件的權(quán)限和屬性。