谷惠敏

(商丘醫(yī)學(xué)高等?？茖W(xué)校，河南 商丘 476100)

?

可信網(wǎng)絡(luò)連接安全管理與架構(gòu)設(shè)計研究

谷惠敏

(商丘醫(yī)學(xué)高等?？茖W(xué)校，河南 商丘 476100)

可信網(wǎng)絡(luò)在連接、訪問控制等方面存在許多問題，就其實體功能、接口協(xié)議、架構(gòu)體系進(jìn)行了剖析，并從EAP-TNC數(shù)據(jù)包的設(shè)計上優(yōu)化網(wǎng)絡(luò)安全與訪問控制協(xié)議.最后利用實驗測試，使網(wǎng)絡(luò)帶寬、終端狀態(tài)、可信等級等指標(biāo)實現(xiàn)可信網(wǎng)絡(luò)連接的安全與可控性.

可信網(wǎng)絡(luò)；安全管理；訪問控制；連接體系

從網(wǎng)絡(luò)連接與訪問控制服務(wù)來看，用戶行為的不確定性帶來的網(wǎng)絡(luò)脆弱性問題，成為網(wǎng)絡(luò)安全管理的重要難題.可信網(wǎng)絡(luò)連接的提出，將網(wǎng)絡(luò)終端作為可信計算的出發(fā)點，并延伸至整個網(wǎng)絡(luò).如NAC、TNC、NAP等可信網(wǎng)絡(luò)體系，其原理均是通過對用戶的身份認(rèn)證來獲得相應(yīng)的可信狀態(tài)，并被允許接入網(wǎng)絡(luò)，否則將被連接至隔離區(qū)域.在這3種可信網(wǎng)絡(luò)體系中，NAP的安全與訪問控制體系側(cè)重于終端，NAC的安全與訪問控制體系側(cè)重于接入設(shè)備，而TNC的安全與訪問控制體系側(cè)重于可信計算.

1 可信網(wǎng)絡(luò)連接架構(gòu)概述

從可信網(wǎng)絡(luò)連接的提出到應(yīng)用，主要是從網(wǎng)絡(luò)終端的可信狀態(tài)上進(jìn)行判斷并接入.其原理首先在終端進(jìn)行接入請求，通過對請求進(jìn)行安全認(rèn)證、身份認(rèn)證后，設(shè)置其可信狀態(tài).其次，如果可信狀態(tài)滿足接入策略，則運行接入，否則將連接至隔離區(qū)域[1]89-94.由此可見，對于可信網(wǎng)絡(luò)連接，其架構(gòu)體系包括網(wǎng)絡(luò)訪問層、評估層、完整度量層3部分.在可信網(wǎng)絡(luò)架構(gòu)實體中，訪問者通過對網(wǎng)絡(luò)終端平臺完整性可信信息進(jìn)行搜集，并與完整度量收集器、TNC客戶端共同發(fā)送至PDP，PDP結(jié)合本地安全策略，對來自訪問者的訪問請求進(jìn)行度量、分析與判定，來驗證訪問者的網(wǎng)絡(luò)訪問是否符合安全性要求.最后，元數(shù)據(jù)訪問點服務(wù)器來處理終端的訪問狀態(tài)與安全策略，利用元數(shù)據(jù)訪問點客戶端反饋網(wǎng)絡(luò)訪問行為并向元數(shù)據(jù)訪問點服務(wù)器進(jìn)行報告.從接口協(xié)議來看，可信網(wǎng)絡(luò)連接包括IF-TNCCS、IF-M、IF-T和IF-PEP 4類協(xié)議，TNC客戶端與TNC服務(wù)器之間通過IF-TNCCS協(xié)議保障信息傳遞，完整度量接收器與完整度量驗證器通過IF-M協(xié)議完成信息傳遞[2]37. IF-T協(xié)議主要完成網(wǎng)絡(luò)授權(quán)，從訪問者與PDP實體間來完成信息傳達(dá)，而IF-PEP為策略執(zhí)行點接口協(xié)議，負(fù)責(zé)策略決策點與策略執(zhí)行點之間的信息傳達(dá).

2 可信網(wǎng)絡(luò)連接的架構(gòu)體系設(shè)計

2.1 可信網(wǎng)絡(luò)連接架構(gòu)優(yōu)化

從可信網(wǎng)絡(luò)連接架構(gòu)體系發(fā)展來看，TNC體系相對成熟，且應(yīng)用廣泛.然而，由于TNC體系缺乏對可信終端的安全保護，尤其是在雙向評估、安全協(xié)議支撐上，缺乏靈活的訪問控制機制，使得可信網(wǎng)絡(luò)連接缺乏適用性[3]307-315.為此，從優(yōu)化可信網(wǎng)絡(luò)連接架構(gòu)體系上進(jìn)行完善，如圖1所示.

圖1 可信網(wǎng)絡(luò)連接架構(gòu)體系優(yōu)化

從圖1來看，其顯著特色在于增加內(nèi)網(wǎng)完整性度量收集器，便于對各節(jié)點安全屬性的收集，并通過發(fā)送完整度量驗證器實現(xiàn)對可信終端的有效度量.也就是說，針對不可信的終端請求將直接拒絕或隔離；同時，在元數(shù)據(jù)訪問節(jié)點客戶端設(shè)置收集可信狀態(tài)、可信等級控制器，結(jié)合可信終端的可信狀態(tài)來完成終端的可信控制與訪問權(quán)限分配，提升了可信網(wǎng)絡(luò)連接的安全性.

2.2 可信網(wǎng)絡(luò)連接協(xié)議優(yōu)化

協(xié)議是保障可信網(wǎng)絡(luò)連接各實體間信息交互的基本要求，需要滿足4方面安全保障機制.一要滿足完整度量層與完整評估層之間的信息交互；二要滿足完整度量收集器與完整度量驗證器之間的信息交互；三要滿足認(rèn)證信息的交互；四要滿足決策信息的交互，具體如圖1所示.在前兩種交互過程實現(xiàn)中，TNC服務(wù)器通過接收連接請求，獲取終端的安全狀態(tài)，利用完整度量收集器對度量信息進(jìn)行完整度量與驗證，最后將驗證可信狀態(tài)及認(rèn)證結(jié)果反饋至服務(wù)器.對于滿足可信要求的連接請求和對信息加解密后發(fā)送至請求者，從而提升了可信網(wǎng)絡(luò)的安全性和可靠性.在網(wǎng)絡(luò)訪問可信管理中，由于數(shù)據(jù)包自身存在跨網(wǎng)傳送(以EAP-TNC數(shù)據(jù)包為例)，無法對數(shù)據(jù)包的完整性進(jìn)行有效校驗，可能影響數(shù)據(jù)傳輸?shù)陌踩?因此，需要從EAP-TNC數(shù)據(jù)包的標(biāo)簽設(shè)計上來增加標(biāo)簽屬性，利用擴展標(biāo)簽屬性來保障數(shù)據(jù)包傳送的安全度量信息.

2.3 可信網(wǎng)絡(luò)訪問控制體系設(shè)計

結(jié)合可信網(wǎng)絡(luò)TNC訪問控制體系架構(gòu)，在優(yōu)化訪問控制邏輯結(jié)構(gòu)上，遵循安全性要求，劃分為系統(tǒng)訪問控制層、網(wǎng)絡(luò)訪問控制層、用戶訪問控制層、網(wǎng)絡(luò)態(tài)勢感知層4個層級結(jié)構(gòu).在系統(tǒng)訪問控制層，主要從終端訪問請求者的安全等級上進(jìn)行評估，設(shè)置訪問角色與權(quán)限；在網(wǎng)絡(luò)訪問控制層，主要從訪問請求者的完整性度量上評估是否給予網(wǎng)絡(luò)接入，并反饋可信網(wǎng)絡(luò)邏輯策略；在用戶訪問控制層，主要對訪問者進(jìn)行身份驗證、密鑰生成管理；在網(wǎng)絡(luò)態(tài)勢感知層，主要從可信指標(biāo)信息規(guī)則庫中優(yōu)化網(wǎng)絡(luò)連接與應(yīng)用服務(wù)狀態(tài)，對可信網(wǎng)絡(luò)連接的管理與監(jiān)控.如利用SPA法、D-S證據(jù)理論法來實現(xiàn)網(wǎng)絡(luò)安全態(tài)勢的評估，預(yù)測可信網(wǎng)絡(luò)連接的安全態(tài)勢[4]1774-1779.

3 仿真檢驗與結(jié)果分析

在對上述可信網(wǎng)絡(luò)連接與訪問控制體系的安全性仿真試驗中，需要結(jié)合可信終端的安全狀態(tài)，來構(gòu)建相應(yīng)的仿真環(huán)境，并從模擬終端的安全屬性變化上來綜合測試可信網(wǎng)絡(luò)連接與訪問控制性能等指標(biāo).

3.1 仿真環(huán)境的搭建

為了對上述可信網(wǎng)絡(luò)連接與訪問控制體系進(jìn)行全面檢驗，搭建的仿真環(huán)境包括客戶端、服務(wù)器端應(yīng)用系統(tǒng).其中，服務(wù)器端采用認(rèn)證服務(wù)器、資源管理服務(wù)器，在軟件上增加了TPM2.0組件，以及FreeRadius-Server服務(wù)器軟件；客戶端采用Win7和CentOS7操作系統(tǒng)，以及WPA-Supplicant客戶端軟件；在協(xié)議支持上采用802.1X、Radius協(xié)議和Cisco協(xié)議組件.

3.2 檢驗結(jié)果

通過仿真試驗，根據(jù)不同訪問終端下、不同安全狀態(tài)屬性的測試，其可信網(wǎng)絡(luò)連接與訪問控制結(jié)果如下：對于未通過身份認(rèn)證的訪問請求，直接拒絕；對于通過身份認(rèn)證的請求，在終端狀態(tài)安全性高時，可信等級為Trusted；通過認(rèn)證，可信終端安全性較低，防火墻未開啟條件下，可信等級為Untrusted；通過認(rèn)證，可信終端殺毒軟件未啟用，客戶端未簽名，可信等級為Trusted；通過認(rèn)證，殺毒軟件未開啟、防火墻未啟用、客戶端未簽名，可信等級為Low-Trusted；通過認(rèn)證，可信終端接入后防火墻關(guān)閉，或者操作系統(tǒng)遭到病毒攻擊，可信等級將為Untrusted，訪問控制狀態(tài)轉(zhuǎn)為隔離修復(fù).

3.3 性能對比分析

通過可信網(wǎng)絡(luò)連接測試，對于不同操作系統(tǒng)、不同網(wǎng)絡(luò)帶寬條件下的網(wǎng)絡(luò)訪問控制與連接認(rèn)證時間對比結(jié)果如下.在訪問控制方面，優(yōu)化后的可信網(wǎng)絡(luò)架構(gòu)體系能夠?qū)o法通過認(rèn)證的終端直接拒絕訪問，而對于Untrusted可信等級的訪問，轉(zhuǎn)為隔離修復(fù)狀態(tài)，在修復(fù)后仍為Untrusted的將拒絕訪問；在動態(tài)訪問控制方面，即便是在通過認(rèn)證的終端，當(dāng)發(fā)生系統(tǒng)攻擊后，將降低終端的可信等級，對于不滿足可信條件的訪問將給予權(quán)限限制；在分層網(wǎng)絡(luò)訪問方面，優(yōu)化后的可信網(wǎng)絡(luò)可以根據(jù)接入終端的安全評估狀態(tài)設(shè)置相應(yīng)的可信等級，給予不同的訪問權(quán)限控制，從而提升可信網(wǎng)絡(luò)的安全性，防范了非法訪問.通過對傳統(tǒng)TNC網(wǎng)絡(luò)架構(gòu)與優(yōu)化后TNC網(wǎng)絡(luò)架構(gòu)安全性能的對比，在認(rèn)證時間上更具優(yōu)勢.在操作系統(tǒng)相同條件下，隨著網(wǎng)絡(luò)帶寬的增加，其認(rèn)證時間相繼縮短，網(wǎng)絡(luò)連接性能獲得提升；在相同網(wǎng)絡(luò)環(huán)境下，不同操作系統(tǒng)具有不同的認(rèn)證時間優(yōu)勢.如基于CentOS 7的認(rèn)證時間要優(yōu)于基于Win7的認(rèn)證時間.

4 結(jié)語

面對日趨復(fù)雜的網(wǎng)絡(luò)環(huán)境，隨著網(wǎng)絡(luò)應(yīng)用的不斷拓寬，來自網(wǎng)絡(luò)的各類安全威脅更加突出，而對于傳統(tǒng)網(wǎng)絡(luò)安全管理，其在物理安全、應(yīng)用安全上還存在顯著不足.為此，可信網(wǎng)絡(luò)連接與訪問控制體系的設(shè)計，將傳統(tǒng)被動防御轉(zhuǎn)變?yōu)橹鲃臃烙?，尤其是在?shù)據(jù)包安全標(biāo)簽屬性擴展上，通過細(xì)分訪問控制結(jié)構(gòu)層次，對終端身份、權(quán)限進(jìn)行評估和可信等級劃分，優(yōu)化、改善網(wǎng)絡(luò)連接與動態(tài)訪問控制性能，提升網(wǎng)絡(luò)安全性、可靠性.

[1] 張瑜娟.可信網(wǎng)絡(luò)研究現(xiàn)狀分析與思考[J]. 中國公共安全(學(xué)術(shù)版)，2015(02).

[2] 杜 巖.探究面向可信網(wǎng)絡(luò)研究的虛擬化技術(shù)[J]. 電子技術(shù)與軟件工程，2014(19).

[3] 徐明飛,吳禮發(fā),洪 征,等.可信網(wǎng)絡(luò)連接雙向認(rèn)證協(xié)議的設(shè)計與分析[J]. 解放軍理工大學(xué)學(xué)報(自然科學(xué)版)，2014(04).

[4] 周 婕.可信網(wǎng)絡(luò)連接架構(gòu)及關(guān)鍵技術(shù)研究[J]. 計算機與數(shù)字工程，2016(09).

[責(zé)任編輯 冰 竹]

Research on Security Management and Architecture Design of Trusted Network Connection

GU Huimin

(ShangqiuMedicalCollege,Shangqiu476100,China)

This paper discusses the problem of trusted network in connection and access control, analyzes the entity function, interface protocol and system architecture, and optimizes network security and access control protocol from the design of EAP-TNC packet. At last, the security and controllability of the trusted network connection are realized by the network test, such as the network bandwidth, the terminal state and the trust level.

trusted network; security management; access control; connection system

2017-01-10

谷惠敏(1979- )，女，河南商丘人，商丘醫(yī)學(xué)高等?？茖W(xué)校講師，碩士，主要從事計算機教學(xué)及研究。

TP393.08

A

1671-8127(2017)02-0095-03