身份认证技术论文汇总十篇

序论：好文章的创作是一个不断探索和完善的过程，我们为您推荐十篇身份认证技术论文范例，希望它们能助您一臂之力，提升您的阅读品质，带来更深刻的阅读感受。

篇（1）

中图分类号：TP393.18 文献标识码：A 文章编号：1007-9416（2016）12-0195-01

引言

在高校校园网建设中，一个好的校园网络接入身份系统是指能够为广大师生提供安全、便捷的接入服务，主要表现三个方面：1）在具有多个校区的网络环境中，能够提供可靠的身份认证服务；2）支持多种认证方式，如支持用户漫游的分布认证、单点登陆认证等多种认证方式，用户无论身处哪个校区，都可以一次接入认证后即可访问校内多个业务系统；3）具备大量的认证用户并发访问认证服务器时系统查以自动调配内存资源的能力（即具备良好的负载均衡能力。随着我国高等职业院校的快速发展，各高职院校不断扩大招生规模，并启动新校区建设。各院校在统筹建设新、老校区网络建设时，也都在研究安全、可靠、负载性能好的身份认证系统。本论文以某高职院校为例，设计了一个基于“三层架构”的校园网身份认证系统，对高职院校开发校园网络身份认证系统具有一定的参考价值。

1 校园网身份认证相关技术

1.1 Kerberosy认证

Kerberosy认证是在上世纪90年代伴随万维网的出现而诞生的经典身份认证技术。它提供了一种利用认证服务器（AS）实现客户端（Client）和服务器端（Server）相互J证的经典思路；为解决一次授权即实现多服务器登陆的问题，Kerberosy认证引入了票据授权服务（TGS - Ticket Granting Service），省去了多次认证的时空开销。因此，Kerberosy认证包括认证服务器（AS），客户端（Client）和普通服务器（Server）、票据授权服务（TGS - Ticket Granting Service） 四个角色。

1.2 LDAP：轻量级目录访问协议

轻量级目录访问协议 ，是一种跨平台的目录服务技术，位于TCP/IP协议的上层，提供标准的服务接口，因此具有平台无关性，采用树状模式存储目录信息，每一条目录信息基于条目（Entry），条目在目录全局中具有唯一的身份标识并包含属性信息（一般比较精短），方便快速检索条目信息。由于身份认证中传递的多数都为短文本（加密）信息，因此LDAP协议的特别适合身份认证的需求，此特性使其在各种身份认证技术中得到广泛应用。

1.3 ICE中间件

Ice是Internet Communications Engine的简称，是一种面向对象的中间件平台，支持面向对象的RPC编程，其最初的目的是为了提供类似CORBA技术的强大功能，又能消除CORBA技术的复杂性。该平台为构建面向对象的客户-服务器应用提供了工具、API和库支持。ICE平台内嵌负载均衡功能，对于分布大多个节点上的应用服务提供多种负载均衡方案，只需要通过XML配置文件即可完成负载均衡配置。配置项包括Type （负载均衡类型）、Sampling interval（负载信息收集间隙）、Number of replicas（返回给客户端的适配器个数）。

2 基于三层架构的校园网身份认证模型

2.1 统一身份认证集成中存在的突出问题

目前，统一身份认证主要有网关模型、模型、经纪人模型等三种模型。网关模型中所有的应用系统都放在认证系统之后，虽然提高了应用系统的安全性，但也导致部分对用户权限要求并不高的应用系统不能很好地被用户访问，比较典型的如各高校专门为学生下载视频资源搭建的FTP应用。因此网关模型对用户访问应用系统资源具有一定的制约性。模型是用户通过服务器访问不同的应用系统，用户的访问权限由服务器控制，但用户的登陆信息在本地存储，存在信息泄露的危险。经纪人模型不存在前两种模型的缺点，但需要生成电子身份标识，认证开销比较大，对认证服务器性能要求较高。

2.2 “三层架构”统一身份认证模型的提出

本文结合某高职院校网络实际，提出了一种基于“应用层、服务层、数据层”的三层统一身份认证模式，该模式结合了LDAP、Kerberosy认证、ICE中间件三种身份认证技术。具体模型结构如图1所示。

应用层主要是用户（Client）端向应用服务器（Service）发出访问请求，应用服务器在收到后，将用户身份信息，通过中间件认证接口发送到认证服务器层，认证服务层采用Kerberosy认证，验证通过的用户可获得数据资源访问授权，通过LDAP技术，实现用户要访问的数据资源目录与LDAP目录同步，减少用户资源访问等待时间。三层架构的优点显而易见，将认服服务器与应用服务器分开，用户不再直接访问认证服务器，减轻了认证服务器的压力；LADP同步技术提高了数据访问效率，提升了用户体验；三层架构更容易配置。

3 结语

本文主要结合某高职院校校园网身份认证的需求，介绍了统一身份身份认证的相关技术，提出了一种基于三层架构的统一身份认证技术，包括应用层、服务层、数据层，具有逻辑结构清晰、访问效率高、配置方便的明显优点。通过在某高职院校校园网统统一身份认证的应用，师生反映校园网登陆等待时间减少，资源访问更加高效，证实该方案对高职院校校园网统一身份证具有重要的参考意义。

参考文献

篇（2）

中图分类号：TP393文献标识码：A文章编号：1009-3044(2008)23-930-02

Design Research of Authentication Client Based on USB Key under PKI System

ZHOU Hua-xiang

(Changsha Commerce & Tourism College, Changsha 410004, China)

Abstract: Due to universality and opening of the Internet，there're many hidden troubles of information security in the network, so, identity authentication has becomed the necessary measure to ensure the security. This paper compared and analyzed the relative merits of common classes of identity authentication, and on the basis of analysis, the authentication principle and its characteristics, and the authentication processing were also discussed, and after that, the identifying technology of USB Key with PKI system was designed from software and hardware detaily. All these design work and theory analysis is significative for enhance the security of the identifying authentication.

Key words: Identity authentication; USB Key; PKI System; Technology design

1 引言

当前，随着计算机技术的飞速发展，利用因特网高科技手段进行经济商业犯罪的现象已经屡见不鲜了，因此，如何采用更加安全的数据保护及加密技术，成为当前计算机工作者的研究热点与重点。但是很多身份认证技术由于本身算法的漏洞而不稳定或可靠，使得很多不法之徒有机可乘。因此，发展更加安全的数据加密算法和身份认证技术，是关系到社会经济稳定繁荣发展的关键，如何采用与设计更加安全的身份认证技术，成为当前计算机安全工作的重点。

现今，计算机及网络系统中最常用到的身份认证技术主要有以下几种：1）用户名密码方式认证；2）IC卡认证；3）动态口令认证；4）生物特征认证。

上述几种身份认证方式，或认证方式过于简单，或认证成本过高，或使用方法繁琐，在推广应用上都存在一定的限制因素；USB Key认证技术是一种方便、安全、经济的身份认证技术，它采用软硬件相结合、一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。

2 相关原理概述

2.1 PKI体系概述

PKI(Public Key Infrastructure)是一个用公钥密码体制来实现并提供安全服务的具有通用性的安全基础设施，具有可信任的权威认证机构CA，在公钥加密技术基础上实现证书的产生、管理、存档、发放以及证书作废管理等功能，并包括实现这些功能的硬件、软件、人力资源、相关政策和操作规范以及为PKI 体系中的各成员提供全部的安全服务。如实现通信中各实体的身份认证、数据保密性、数字完整性以及不可否认等。PKI必须具有认证机构CA、证书库、密钥备份及恢复系统、证书作废处理系统、PKI 应用接口系统等主要组成部分。

2.2 USB Key认证原理

每个USB Key硬件都具有用户PIN码，以实现双因子认证功能。USB Key内置单向散列算法(MD5) ，预先在USB Key和服务器中存储一个证明用户身份的密钥，当需要在网络上验证用户身份时，先由客户端向服务器发出一个验证请求。服务器接到此请求后生成一个随机数并通过网络传输给客户端，客户端将收到的随机数提供给插在客户端上的USB Key，由USB Key使用该随机数与存储在USB Key中的密钥进行带密钥的单向散列运算（HMACMD5）并得到一个结果作为认证证据传送给服务器，与此同时，服务器使用该随机数与存储在服务器数据库中的该客户密钥进行HMAC- MD5运算，如果服务器的运算结果与客户端传回的响应结果相同，则认为客户端是一个合法用户。

3 基于PKI体系的USB Key认证客户端的设计

3.1 总体设计

本方案基于USB接口，采用高性能的智能卡进行设计，把智能卡固有的安全性能和USB总线的即插即用、总线供电等优点结合起来，集二者之所长，研制出一种携带方便的PKI客户端设备，集数据加密和数据存储两大功能为一体，在硬件级安全的基础上完成身份认证、密钥管理、证书存储等功能。其系统结构框图如图1所示。

由图1的结构可以发现，本论文研究的客户端硬件模块由智能卡和USB 读卡器组成，采用智能卡芯片作为私钥安全管理的载体，它包括私钥的安全生成、存储和使用。智能卡芯片中含有CPU ，可以通过运算来产生公私密钥对，而且还含有一定的存储空间，可以存储私钥和其它用户资料。USB 读卡器的主要功能是完成智能卡与主机的通信。

由于智能卡的存储空间毕竟有限，对于需要进行密码运算的大文件，无法一次完全导入智能卡设备中，为此，我们将一部分密码运算的功能放在主机端的软件模块，以提高运算速度。

总体的设计思路是私钥的密码运算必须在智能卡中进行，而将一部分有可能对大文件进行的运算放在主机上来完成。这样既保证了私钥的生成、保存的高度安全性，又利用了主机容量大、运算快的优势。

3.2 系统硬件设计

3.2.1 智能卡芯片的设计

智能卡芯片是USB KEY的核心，采用一个高性能的处理器芯片，除了含有一个MCU 外，还集成有专门进行密码算法的协处理器，通过它可以提高密码运算的速度。在软件结构上，我们内置了一个卡内操作系统(COS) 以管理智能卡的所有软硬件资源。COS 分为四个模块:传输层模块、文件管理层模块、安全控制模块和算法库。

从整个安全策略、用户的方便性、产品的创新性等几点出发，客户端的智能卡芯片中需要实现签名、解密、RSA 密钥对的产生、私钥的保存及证书的验证等主要功能。

验证别人的证书，需要通过信任锚来完成。信任锚就是根CA 的公钥。通过它，我们可以验证在一个PKI 系统中所有的证书。由于主机的不安全性，如果将信任锚存储在主机端，很容易被黑客替换成一个假的信任锚，这样用户就无法验证别人证书的真伪。出于这样的考虑，我们将信任锚存储在智能卡中，由于智能卡芯片的硬件特性，驻留在里面的程序具有不可修改性，这样就使数据(私钥) 的保存和使用达到了硬件的安全级别，大大提高了PKI 系统的安全。

3.2.2 USB芯片的设计

由于用户需要通过驻留在主机上的用户程序来使用存储在智能卡中的私钥，为了使用的方便，我们将硬件模块设计成一个目前流行的USB KEY模型，即通过USB 接口来实现主机软件程序与智能卡的通讯。

USB 接口的设计由一个USB 芯片来实现。它主要有两个功能，一是通过USB 协议完成与主机的通信；二是完成与智能卡的通讯。由于智能卡与外界的信息交换遵循ISO781623协议，所以USB 芯片的CPU 必须模拟一个781623 协议来实现两者的通讯。

考虑到用户在使用客户端时的不安全性，如:在用户使用完USB KEY时，可能忘记将它从主机上拔下来，这时如果远程黑客通过驻留主机的木马程序获得了用户的PIN ，就会在用户无察觉的情况下，利用USB KEY来对任意的文件进行任意次的签名，从而对合法用户造成很大损失。为此，我们在USB 芯片上设计了一个按键，每次USB 芯片检测到签名操作的命令，便要求用户手工按键，然后再将命令发送到智能卡里，由智能卡完成签名运算。这样合法用户便可以控制签名次数，将风险降到最低水平。

3.2.3 时间芯片的设计

无论证书还是私钥，都有一定的生存期，过期后必须申请新的证书和私钥。要求PKI 用户以手工操作的方式来定期更新自己的证书是不现实的，用户往往忘记自己证书过期的时间，常在认证失败时才发现问题。为此，我们在USB 芯片上加载了一个时间芯片，用它来识别证书和私钥过期的时间。

3.3 系统软件设计

系统的软件设计采用Client/Server模式，一个标准的服务流程为：客户机提出请求，通过USB接口传输给USB接口控制器，USB接口控制器通过模拟7816协议来和智能卡进行通信，智能卡的片上操作系统COS收到该请求后，进行命令解释，调度相应的功能模块进行处理，然后将运算结果返回给USB接口控制器，最终传递给客户机的应用程序，完成一次服务请求。

软件程序的流程图如图2所示。

4 结束语

USB认证设备体积小巧、功能强大、价格低廉，可提供极高安全等级的认证和加密功能，有力地促进了PKI系统的实施，同时，它也可广泛应用于要求个人身份认证、识别、数据加密、安全存储等领域，应用前景广泛。目前，对于身份认证技术的研究方兴未艾，很多新的认证方式与认证技术正在出现，为人们的数据安全提供更加可靠的安全认证与保护。

展望将来，除了对基于PKI体系的USB Key认证方式继续探讨新的数据加密算法外，其他新的认证模式也正在兴起，如基于生物特征的生物认证技术，以及目前处于研究热潮的基于线上手写签名的身份认证技术，这些都将是安全性极高的认证手段。

参考文献：

[1] 胡道元,闵京华.网络安全[M].北京:清华大学出版社,2004.

[2] 蔡金清,万振凯.统一口令网络认证系统的分析与实现[J].天津:工业大学学报,2004,23(3):74-76.

篇（3）

 

SSL 是Security Socket Layer 的缩写，称为安全套接字，该协议是由Netscape 公司设计开发。使用SSL 可以对通讯内容进行加密，以防止监听通讯内容，主要用于提高应用程序之间的数据的传输安全。SSL协议分为三个子协议：

（1）握手协议，用于协商客户端和服务器之间会话的安全参数，完成客户端和服务器的认证。

（2）记录协议，用于交换应用数据，所有的传输数据都被封装在记录中，主要完成分组和组合，压缩和解压缩，以及消息认证和加密等功能。

（3）警告协议：用来为对等实体传递SSL的相关警告。

SSL协议的实现有Netscape开发的商用SSL包，还有在业界产生巨大影响的Open SSL软件包。目前在国内的金融系统中，广泛使用OPENSSL软件包进行应用开发。

网上银行因为考虑易用性，大部分采用单向SSL认证.单向认证 SSL 协议不需要客户拥有 CA 证书。X509数字证书是SSL的重要环节，CA证书的任务就是确保客户和服务器之间的会话，并且保证使用的密钥是正确的。缺少了这个重要的环节，SSL中间人攻击也就难免了。

现在的网上银行因为考虑易用性，大部分采用单向SSL认证，这正是SSL中间人攻击的理论依据。

对于SSL中间人攻击，以CAIN工具软件为例：

首先在SNIFFER窗口中进行一次本网段的扫描探测

很快找到所有当前跟在同一网段内的活动主机IP地址与其MAC地址的对应关系。今天我们要欺骗演示的实验对象是192.168.121.199，这是另一台的笔记本电脑IP地址。

获取到IP地址与MAC地址的对应关系后，继续到ARP的子窗口中，选择添加欺骗主机在窗口左边选中当前网络的网关IP地址就是192.168.121.129，窗口右边选中我们要欺骗的IP地址192.168.121.199，选中后直接确定生效。毕业论文，SSL协议。毕业论文，SSL协议。

然后在ARP-HTTPS的选择树中添加一个当前我们需要伪装的HTTPS站点，选择确定后CAIN会自动把这个站点的证书文件下载回来备用。毕业论文，SSL协议。

一切准备就绪后，就可以点击CAIN工具栏中的ARP模式开始工作了。毕业论文，SSL协议。CAIN软件在后台采用第一章的ARP欺骗攻击的方式将被欺骗主机与 HTTPS网站间的通讯切断，在中间插入我们伪造的证书给被欺骗主机，同时伪装成为中间人代替它与HTTPS站点通讯。CAIN在其中把所有的通讯数据包 进行加密解密再加密传递的过程，当然所有原始的访问行为在这一过程中都被我们获取到了。

对于被欺骗主机在实际打开IE访问中，感觉不到任何异常本地显示依然是安全的SSL128位加密，只是不知道所有的访问行为在CAIN中都可以VIEW的方式来查看到了。

在VIEW的窗口中我们可以查看到所有通讯的访问原始记录，包括此台笔记本的登陆帐号与口令信息。

网上银行存在的攻击风险归其原因是SSL协议使用不健全导致，安全的解决方案建立以PKI技术为基础的CA认证系统，加入已经在运行的可靠的CA。 CA体系建立或加入时，通过对网上交易系统的二次开发，将数字证书认证功能嵌入到整个网上交易过程中去，这将实现基于数字证书的身份认证、通信安全、数据安全和交易安全。

篇（4）

1、RSA加密算法及身份认证

目前网络通信主要提供五种安全服务，即身份认证服务、访问控制服务、机密、完整和抗否认。其中，身份认证作为安全应用系统的第一道防线，是最重要的安全服务，所有其它的安全服务都依赖于该服务，它的失败可能导致整个系统的失败。

网络应用系统中通信双方的身份认证问题，传统的做法是采用用户名加口令来验证登录用户的身份，但是由于口令在使用过程中很容易被窃取、暴力攻击和猜测，存在较大的安全隐患；另外这种认证方式只能完成单方面的身份认证，即只能解决服务器验证客户端身份的问题，无法解决客户端验证服务器身份的问题，因此不能完全满足互联网业务应用的需要。公钥加密算法的安全性主要是基于复杂的数学难题。目前比较流行的主要有两类[2]：一类是基于大整数因子分解系统，以RSA为典型代表，它是目前被研究和应用得最为广泛的公钥算法，经过长年的攻击考验，该算法已被普遍认为是目前最优秀的公钥方案之一。

2、RSA工作原理[1]如下：

（1）任意选取两个不同的大质数p和q，计算乘积r=p*q；

（2）任意选取一个大整数e，e与(p-1)*(q-1)互质，整数e用做加密密钥。注意e的选取是很容易的，例如所有大于p和q的质数都可用.；

（3）确定解密密钥d，由d*e=1 mod((p-1)*(q-1))，根据e，p和q可以容易地计算出d；

（4）公开整数r和e，但是不公开d；

（5）将明文P(假设P是一个小于r的整数)加密为密文C，计算方法为C=Pe mod r；

（6）将密文C解密为明文P，计算方法为P=cd mod r；

然而，只根据r和e(不是p和q)要计算出d是不可能的，因此，任何人都可对明文进行加密，但只有授权用户(知道d)才可对密文解密。为了保证RSA的有效性，通常找两个非常的大质数p和q。

3、基于RSA双身份认证方案的设计

为了实现信息的网络化管理，系统采用VC.NET结合SQL Server2000数据库的解决方案，即将用户数字证书等有关信息存放在SQL Server数据库中。Windows2000中包括一个完整的PKI系统，文献[3]给出了具体的设计及部署的过程。

3.1方案体系结构

系统采用B/S/D(Browser/Server)三层体系结构，即表示层(Browser)、功能层(Web Service)和数据服务层(DataBase Service)；VC.NET通过ADO.NET访问数据库。对数据库的访问在Web服务器端完成，客户端通过浏览器访问Web服务器并运行其程序。

3.2 方案的实现过程

3.2.1建立数字证书

选取两个大素数p和q，并且两数的长度相等，以获取最大程度的安全性。计算两数的乘积n=p*q；随机选取加密密钥d，为满足ed=1 mod(p-1)(q-1)，则d=e-1 mod((p-1)(q-1))，d和n也互素；e是公钥，d是私钥，n是公开的。两个素数p和q不再需要，可以被舍弃，但决不能泄露。假设生成了用户A的密钥对(eA，dA)和用户B的密钥对(eB，dB)。

用户将私钥d秘密保存，公钥e交给一个管理仲裁机构认证中心，获得自己的数字证书，然后将数字证书保存在自己的机器上，同时认证中心将合法用户的数字证书保存在数据库中，以便用户查询。用户当与网络上某个用户通信需要进行身份认证时，将自己的数字证书发送给通信的对方。对方收到数字证书后，首先通过认证中心验证其合法性。如果是合法的，就可以从证书中获得需要的用户公钥，然后利用该公钥验证对方的身份；如果不合法，就可以终止通信。

3.2.2进行身份认证

第一步:用户A对用户B的认证

第二步:用户B对用户A的认证

A与B相互认证过程如图1所示：

图1

3.3方案的实验

3.3.1运行环境：硬件与网络环境:服务器能运行Windows XP、Windows NT4.0+Service Pack6及以上操作系统，建议使用586或以上的计算机。

系统软件：操作系统Windows 2000、XP及以上版本，SQL Server2000。

运行环境:Microsoft Visual C++6.0，浏览器使用IE5.5及以上版本。

3.3.2代码实现：在认证过程使用的加密和解密算法相同，已利用VisualC++6.0实现，另外签名和验证的算法也和加密算法相同，只是每次利用的秘钥不同，这也是利用RSA算法进行认证的优势。

4、结 论

RSA算法自公布以来经过20多年的发展和考验，除了其速度稍慢之外至今尚未找到其它的缺陷，因此RSA算法的应用越来越广泛。本文设计的是一种基于RSA，并通过VC++实现了基于该方案的系统，有效解决了身份认证困难复杂的问题，对具有该加密的身份认证系统类需求的应用有一定的实用价值。

参 考 文 献：

[1] 郭拯危，缪亮. 一种改进的RSA算法的研究与实现.河南大学学报，2006，36（1）:98~99

[2]王建兵.PKI数字证书在WEB系统中的安全应用.信息技术，2005，(1):40~44

篇（5）

［论文摘 要］电子商务是新兴商务形式，信息安全的保障是电子商务实施的前提。本文针对电子商务活动中存在的信息安全隐患问题，实施保障电子商务信息安全的数据加密技术、身份验证技术、防火墙技术等技术性措施，完善电子商务发展的内外部环境，促进我国电子商务可持续发展。

随着网络的发展，电子商务的迅速崛起，使网络成为国际竞争的新战场。然而，由于网络技术本身的缺陷，使得网络社会的脆性大大增加，一旦计算机网络受到攻击不能正常运作时，整个社会就会陷入危机。所以，构筑安全的电子商务信息环境，愈来愈受到国际社会的高度关注。

一、电子商务中的信息安全技术

电子商务的信息安全在很大程度上依赖于技术的完善，包括密码、鉴别、访问控制、信息流控制、数据保护、软件保护、病毒检测及清除、内容分类识别和过滤、网络隐患扫描、系统安全监测报警与审计等技术。

1.防火墙技术。防火墙主要是加强网络之间的访问控制， 防止外部网络用户以非法手段通过外部网络进入内部网络。

2.加密技术。数据加密就是按照确定的密码算法将敏感的明文数据变换成难以识别的密文数据，当需要时可使用不同的密钥将密文数据还原成明文数据。

3.数字签名技术。数字签名技术是将摘要用发送者的私钥加密，与原文一起传送给接收者，接收者只有用发送者的公钥才能解密被加密的摘要。

4.数字时间戳技术。时间戳是一个经加密后形成的凭证文档，包括需加时间戳的文件的摘要、DTS 收到文件的日期与时间和DIS 数字签名，用户首先将需要加时间的文件用HASH编码加密形成摘要，然后将该摘要发送到DTS，DTS 在加入了收到文件摘要的日期和时间信息后再对该文件加密，然后送回用户。

二、电子商务安全防范措施

网络安全是电子商务的基础。网络安全防范技术可以从数据的加密(解密)算法、安全的网络协议、网络防火墙、完善的安全管理制度、硬件的加密和物理保护、安全监听系统和防病毒软件等领域来进行考虑和完善。

1.防火墙技术

用过Internet，企业可以从异地取回重要数据，同时又要面对 Internet 带来的数据安全的新挑战和新危险:即客户、推销商、移动用户、异地员工和内部员工的安全访问;以及保护企业的机密信息不受黑客和工业间谍的入侵。因此，企业必须加筑安全的“壕沟”，而这个“壕沟”就是防火墙.防火墙系统决定了哪些内容服务可以被外界访问;外界的哪些人可以访问内部的服务以及哪些外部服务可以被内部人员访问。防火墙必须只允许授权的数据通过，而且防火墙本身必须能够免于渗透。

2. VPN技术

虚拟专用网简称VPN，指将物理上分布在不同地点的网络通过公用骨干网联接而形成逻辑上的虚拟“私”网，依靠IPS或 NSP在安全隧道、用户认证和访问控制等相关技术的控制下达到与专用网络类同的安全性能，从而实现基于 Internet 安全传输重要信息的效应。目前VPN 主要采用四项技术来保证安全， 这四项技术分别是隧道技术、加解密技术、密钥管理技术、使用者与设备身份认证技术。

3.数字签名技术

为了保证数据和交易的安全、防止欺骗，确认交易双方的真实身份，电子商务必须采用加密技术。数字签名就是基于加密技术的，它的作用就是用来确定用户是否是真实的。数字签名就是通过一个单向哈希函数对要传送的报文进行处理而得到的用以认证报文是否发生改变的一个字母数字串。发送者用自己的私钥把数据加密后传送给接收者，接收者用发送者的公钥解开数据后，就可确认消息来自于谁，同时也是对发送者发送的信息真实性的一个证明，发送者对所发信息不可抵赖，从而实现信息的有效性和不可否认性。

三、电子商务的安全认证体系

随着计算机的发展和社会的进步，通过网络进行的电子商务活动当今社会越来越频繁，身份认证是一个不得不解决的重要问题，它将直接关系到电子商务活动能否高效而有序地进行。认证体系在电子商务中至关重要，它是用户获得访问权限的关键步骤。现代密码的两个最重要的分支就是加密和认证。加密目的就是防止敌方获得机密信息。认证则是为了防止敌方的主动攻击，包括验证信息真伪及防止信息在通信过程被篡改删除、插入、伪造及重放等。认证主要包括三个方面:消息认证、身份认证和数字签名。

身份认证一般是通过对被认证对象(人或事)的一个或多个参数进行验证。从而确定被认证对象是否名实相符或有效。这要求要验证的参数与被认证对象之间应存在严格的对应关系，最好是惟一对应的。身份认证是安全系统中的第一道关卡。

数字证书是在互联网通信中标志通信各方身份信息的一系列数据。提供了一种 Internet 上验证用户身份的方式，其作用类似于司机的驾驶执照或身份证。它是由一个权威机构CA机构，又称为证书授权(Certificate Authority)中心发行的，人们可以在网上用它识别彼此的身份。

四、结束语

安全实际上就是一种风险管理。任何技术手段都不能保证100%的安全。但是，安全技术可以降低系统遭到破坏、攻击的风险。因此，为进一步促进电子商务体系的完善和行业的健康快速发展，必须在实际运用中解决电子商务中出现的各类问题，使电子商务系统相对更安全。电子商务的安全运行必须从多方面入手，仅在技术角度防范是远远不够的，还必须完善电子商务立法，以规范飞速发展的电子商务现实中存在的各类问题，从而引导和促进我国电子商务快速健康发展。

参考文献

[1] 劳帼龄.电子商务的安全技术[M].北京:中国水利水电出版社，2005.

篇（6）

论文摘要：随着移动存储设备的广泛应用，由其引发的信息泄漏等安全问题日益受到关注。针对目前移动存储安全解决方案中利用用户名和密码进行身份认证的不足，本文提出了基于智能卡技术的安全管理方案。该方案将指纹特征作为判定移动存储设备持有者身份的依据，同时通过智能卡技术实现了移动存储设备与接入终端间的双向认证，从源头上杜绝了移动存储设备带来的安全隐患。

1引言

移动存储设备因其体积小、容量大、使用灵活而应用广泛，但其本身的“匿名性”给设备安全管理带来了巨大挑战，身份认证难、信息易泄露、常携带病毒等问题一直困扰着用户和计算机系统安全人员。

在移动存储的安全管理上应基于两个层面：首先是移动存储设备对用户的身份认证，以确保移动存储设备持有者身份的合法性；其次是移动存储设备与接入终端间的双向认证。目前，移动存储的安全管理往往是基于用户名和口令的身份认证方案，容易受到非法用户“假冒身份”的攻击，同时系统中所保存的口令表的安全性也难以保障，因此该方案存在较大的安全隐患。少数采用生物特征识别的安全方案也仅仅做到了第一个层面的身份认证，仍无法解决对移动存储设备本身的身份认证以及移动存储设备对接入终端的身份认证。然而，移动存储设备和接入终端间双向认证的必要性是显而易见的，只有被终端信任的移动存储设备才允许接入；同时，当终端也被移动存储设备信任时，移动存储设备和终端才能获得彼此间相互读写的操作权限。只有实现上述的双向认证，才能有效地在源头杜绝移动存储设备带来的安全隐患。

本文描述了一种移动存储安全管理方案，针对U盘和移动硬盘等移动存储设备，基于智能卡技术，结合指纹识别模块，解决了设备持有者的身份认证以及设备与接人终端间的双向认证问题，并将设备持有者的指纹作为实名访问信息记人审计系统，进一步完善了移动存储的安全管理方案。

2基于指纹识别的用户身份认证

指纹识别技术主要涉及指纹图像采集、指纹图像处理、特征提取、数据保存、特征值的比对和匹配等过程，典型的指纹识别系统如图1所示。

图1指纹识别系统

指纹图像预处理的目的是去除指纹图像中的噪音，将其转化为一幅清晰的点线图，便于提取正确的指纹特征。预处理影响指纹识别的效果，具有重要的意义。它分四步进行，即灰度滤波、二值化、二值去噪和细化。图像细化后，采用细节点模板提取出指纹图像的脊线末梢和脊线分支点的位置，将指纹认证问题转化成为点模式匹配问题。

如图2所示，移动存储设备采用兼容多种设备接口的控制芯片、安全控制闪存芯片、大容量用户标准Flash构成硬件基础，以智能卡控制芯片为控制中心，结合指纹识别模块，实现对设备持有者的身份认证；同时，结合大容量普通闪存存储结构，实现数据存储低层管理和数据存储加密。

3基于智能卡技术的双向认证

为加强系统认证安全性与可信性，在移动存储设备内集成智能卡模块，使之具备计笄能力，从而实现移动存储设备与终端之问的双向认证。移动存储设备的身份文件存放于智能卡模块中。身份文件是指存储着移动存储设备各项物理特征信息的私密文件，由于这些物理特征信息与个体紧密相联，所以可以起到唯一鉴别该移动存储设备的作用。

智能卡模块提供对终端的认证，只有通过认证的终端才能访问身份文件和移动存储设备中的数据。将现有移动存储设备硬件结构进行改造，在其中分别加人指纹处理模块与智能卡模块后的硬件结构如图3所示。

智能卡模块内置CPU、存储器、加解密算法协处理器、随机数发生器等硬件单元，及芯片操作系统(COS)、芯片文件系统等多个功能模块。其内部具有安全数据存储空间，用于存放移动存储设备的身份文件。对该存储空间的读写受身份认证机制保护，只有通过认证的用户和终端才能对其进行访问，并且操作必须通过定制的应用程序实现，用户无法直接读取。支持指纹认证的智能卡文件系统如图4所示。

对终端的身份认证方式有多种，本方案采用冲击一响应的认证方式_7]。需要验证终端身份时，终端向智能卡模块发送验证请求，智能卡模块接到此请求后产生一组随机数发送给终端(称为冲击)。终端收到随机数后，使用终端认证软件内置的密钥对该随机数进行一次三重DES加密运算，并将得到的结果作为认证依据传给智能卡模块(称为响应)，与此同时，智能卡模块也使用该随机数与内置的密钥进行相同的密码运算，若运算结果与终端传回的响应结果相同，则通过认证。这种认证方式以对称密码为基础，特点是实现简单，运算速度快，安全性高，比较适合对移动存储设备的认证。

在终端通过认证，取得移动存储设备信任的前提下，终端通过智能卡模块读取移动存储设备身份文件，对移动存储设备进行准入认证。只有在双向认证通过的情况下，移动存储设备才能接入可信终端，进而在授权服务器分发的安全策略下与可信域终端进行正常的读写操作。

4移动存储安全管理系统设计

在采用智能卡技术的基础上，加入移动存储安全管理系统，提供对移动存储设备的接人控制，将认证体系扩展至计算机USB总线。

安全管理系统的认证体系示意图如图5所示。各终端首先需要加入某个信任域，在此之后可对移动存储设备提供基于所在信任域的接入认证，如果终端没有通过信任域认证，则不允许任何移动存储设备接入。

授权认证服务器位于各信任域的公共区域中，为各信任域的终端提供移动存储设备授权认证服务。它将设备授权给某个信任域后，该设备便成为该区域中的授权设备，可在该区域中任意一台终端上使用；在其他区域使用时将被认为是未授权的，接入将被拒绝。隔离区中的终端与授权认证服务器不能通过网络相连，从而保证了被隔离的终端不能够使用移动存储设备，防止安全隐患向外扩散。这种把安全域细分成不同信任域的整体设计可以最大限度地防止安全实体内敏感数据的任意传播，大大降低涉密信息向外非法泄露的可能性。

终端移动设备认证软件部署在网络系统中的各台终端上，实时监测终端上所有USB接口，探测接人的移动存储设备。发现设备后，认证软件将与接入设备进行相互认证，并与认证服务器通信，对设备进行认证，通过认证的设备被认为是当前信任域的授权设备，否则将被认为是未授权的。根据认证结果，允许或禁止移动设备接入。

4．1授权流程描述

服务器端授权软件运行时，探测出所有连接到授权服务器上的移动存储设备，并将结果报告给管理员。管理员指定需要授权的设备，填写好授权区域、授权日期、授权人、授权有效期并录入用户指纹信息后，授权软件开始对该移动存储设备进行授权。

(1)获取该设备的各项物理信息，这些信息具有特征标识，可以唯一地标识该设备；

(2)将收集到的物理信息和管理员输入的授权区域、授权日期、授权人、授权有效期等信息以一定格式排列，并注入随机字符，采用三重DES运算，生成身份文件；

(3)设置移动存储设备中指纹模块的指纹信息；

(4)将智能卡模块中的认证密钥设成与终端事先约定好的密钥；

(5)将(3)中生成的身份文件存入智能卡模块中的安全数据存储空间。

4．2认证流程描述

图6是移动存储设备管理系统完成认证的整个流程，其步骤如下：

(1)终端认证软件判断当前终端所处区域，如果处于信任域中，扫描各USB端口状态，判断是否有新设备接人；如果处于隔离区，则拒绝任何USB移动设备接入。

(2)如果探测到新设备接入，智能卡CPU调用指纹处理模块，接收并验证用户指纹。

(3)如果指纹认证通过，则终端向USB存储设备发送认证请求；否则禁用该USB存储设备。

(4)如果没有收到USB存储设备的智能卡模块发来的随机数，证明该设备是不符合系统硬件设计要求的，拒绝接入；如果收到随机数，则进行冲击一响应认证。如果没有通过认证，证明该终端为非信任终端，智能卡模块拒绝该设备接人终端。

(5)终端读取智能卡模块存储的身份文件，并读取该设备的各项物理信息，将身份文件、物理信息及终端所处的信任域信息发送至认证服务器进行认证。

(6)服务器认证软件接收到终端发送来的信息后，将标识文件解密，得到授权区域、授权日期、授权人、授权有效期等信息。

①将解密得到的物理信息与终端发来的物理信息作比对，如果不相符，证明该标识文件是被复制或伪造的，向终端发送未通过认证的指令。

②如果①中认证通过，将解密得到的信任域信息与终端发来的信任域信息作比对，如果不相符，证明该移动存储设备处于非授权区域中，向终端发送未通过认证的指令。

③如果②中认证通过，将解密得到的授权有效期与当前日期做比较，如果当前日期处于有效期内，向终端发送通过认证的指令；如果当前日期处于有效期外，向终端发送未通过认证的指令。

(7)终端接收认证服务器发来的指令，对USB设备执行允许或禁止接入的操作。如果USB设备被允许接入，则智能卡模块将设备持有者指纹提交给认证服务器，作为已授权访问记录记入日志中。

(8)转至(2)继续探测新设备。

5安全性分析

本方案通过在移动存储设备中加入指纹识别模块和智能卡模块，更安全可靠地解决了设备持有者身份认证问题以及移动存储设备的“匿名性”问题，通过引入身份文件，实现了移动存储设备的实名制认证。结合智能卡的相关技术，本方案从根本上解决了移动存储设备与接入终端问的双向认证问题，构建了双方互信的安全传输环境。

基于信任域的划分对设备进行授权管理，使整个系统能够同时对终端和移动存储设备提供接人控制，有效地阻止了安全威胁的传播。在方案的具体实现上，有如下安全性考虑：

(1)移动存储设备采用指纹识别的方式认证设备持有者身份，确保其身份的合法性；采用三重DES对称加密的方式对终端进行认证，确保终端为运行认证软件的合法授权终端，有效地避免了强力破解的可能性。

(2)移动存储设备的物理信息各不相同，身份文件也是唯一确定的。身份文件采用三重DES加密的方式，加解密过　程全部在服务器端认证软件中完成，密钥不出服务器，避

免了密码被截获的可能性。身份文件存储于智能卡模块中的安全数据存储区，受智能卡模块软硬件的双重保护。方案保证了身份文件的唯一性、抗复制性和抗伪造性，任何非授权设备都无法通过破译、复制、伪造等人侵手段冒名成为授权设备。

(3)认证服务器与隔离区中的终端相互隔离，只能被信任域中的终端访问，保证了认证服务器的安全。

(4)双向认证通过后，被授权的移动存储设备将设备持有者的指纹记入授权服务器的访问日志中，以便日后能够准确地确定安全事故责任人。

篇（7）

 

随着高等教育的发展，智能化的数字化校园正成为众多高校信息化推进的重要部分。论文格式。数字化校园是利用信息化手段和工具，将校园的各项资源、管理及服务流程数字化，形成校园的数字环境，使现实的校园环境凭借信息系统在时间和空间上得到延伸。

信息门户平台是一个面向全校师生的个性化应用集成和信息整合平台，它为师生访问数字化校园的应用服务和有关信息提供了方便快捷的统一入口。[1]该系统应拥有风格管理、页面设置、日程安排、收藏夹等友好而又灵活的个性化设置功能；并通过深入的应用集成，把OA、人事、科研、教务、财务、教学测评、档案等业务管理系统整合在一起；并提供了众多工作、学习、生活方面的服务信息，例如：校车、校历、校内电话黄页、学校地图、天气、列车、航班等。

1 需求特点

由于信息门户是一个统一入口，而用户可以是拥有不同身份的人员，所以在用户单点登录后，无论是从操作方便还是安全方面考虑都只能针对不同的用户，提供不同的界面，这就不得不提到信息门户的首要特性：用户化（Customization）。

l根据角色或者组织来提供能够使用的功能。论文格式。比如学生可以选课，老师就不可以；

l根据角色或者组织来提供不同的界面外观。

为了门户适应个人的使用，用户可以定制自己的个性化界面和内容，即个性化（Personalization）包括：

l调整页面排版；

l再页面中添加或者删除频道；

l可以定制自己喜欢的主题、颜色；

l支持不同的Client。

除此之外，为了与不同的系统集成，还应具有适应性（Adaptive）；门户的安全性（Secured）也是基本要求。

2 portal技术概述

门户开发技术从动态页面制作到界面与数据库集成，并发展至今，所实现的价值和成本也都发展到一定规模，如图一所示。Portal技术也作为一种主流的门户开发技术收到重视。“ Portal ”一词在英语中解释为“入口，大门”，中文翻译为“门户”。论文格式。在 Sun 的 Portlet 技术规范 JSR-168 （ Java Specification Request 168 ）中定义为： Portal 是基于 Web 的应用，通常提供个性化，单点登录，整合不同资源的综合信息展示平台。

Portal 展现在最终用户面前的是类似于 Web 网页的 Portal 页面，有些 Portal 主页制作的更像是一个桌面系统的界面，更能获得用户的认可。

构成 Portal 页面的是能够建立和展现不同内容的一系列 Portlet 。 Portal 使用Portlet 作为可插拔用户接口组件，提供信息系统的表示层。 Portlet 是部署在特定容器内用来生成动态内容的可重用 Web 组件。 Portlet 处理从Portal 传递来的用户请求，动态生成输出内容的一个片段，展现在 Portal 页面的某个位置上。

图一门户发展历程

3 门户平台开发流程

建立 Portal 应用系统的主要任务之一就是设计各式各样的 Portlet 组件，实现应用系统的各种功能。虽然多数 Portal 系统会附送一些常用的 Portlet 组件，可以满足一些公共服务需要，但跟工作事务和业务处理相关的大量Portlet 组件必须有专门人员进行细致的设计和开发。

Portlet 的设计开发有必要遵循 JSR-168 规范和 WSRP 标准，以适合各种类型的 Portal 服务器。在具体的实现上，也将会用到 WSDL 、 SOAP 和 UDDI 相关技术规范，以便同 Web 服务应用系统进行信息交互处理。

开发 Portlet 主要有两种方法，一是借助于 Portal 产品商提供的可视化的预制开发工具，二是应用 Java 语言直接编程。预制开发工具为 Portlet 开发者提供了许多有益的帮助，如自动产生必要的配置文件，预制了程序代码框架，提供所见即所得编辑和调试环境等等。但无论如何， Portlet 开发的重点是 Portlet 片段内容的产生和处理，主要以 JSP 为主配合 HTML 和JavaScript 等网页开发技术，再借用 JSF ，Struts ， Hibernate 等框架来简化开发。

针对高校情况，虽然具体略有不同，但门户系统的开发一般按照如下步骤来实现：

•获取相关数据、确定硬件需求：

1)评估学校用户数

2)评估学校机器数

3)预测上网峰值用户数

4)预测使用门户的峰值用户数

5)预测门户的峰值并发用户数

6)由同时使用门户的峰值用户数决定

•设计部署方案：

1)根据相关数据和硬件设计部署方案

2)操作系统、AppServer、数据库、身份认证系统、Portal的安装

•调研需求：

1)需要的模块

2)需要集成的资源

3)需要集成的数据

•应用开发

•调试部署：

1)开发机调试

2)部署到服务器

4 单点登录和权限控制

单点登录是为了方便用户进入多个应用系统，减少用户多次登录，免除用户记忆多套用户名和密码的麻烦。[2]

单点登录涉及到两个问题，一是身份认证，二是权限控制。

身份认证是 Portal 系统提供访问控制的第一步，即确认用户是谁，能否进入系统。通常要求用户提供用户名和口令，必要时要求提供用户的数字证书，也可以配合使用 IC 卡、指纹等验证手段。

权限控制或授权确定一个用户的角色和级别，从而控制用户的访问许可，即决定用户能查阅哪些资料，能进行哪些操作等等。 Java EE 架构采用了基于角色的访问控制策略（ RBAC ）。 RBAC 的基本思想是把对用户的授权划分成两个分配关系，即“用户—角色”和“角色—权限”。 RBAC 的好处是便于应用系统的开发，使得程序设计相对独立和透明化，只是在应用系统部署使用时才通过“角色”把“用户”和“权限”关联起来，而且对用户和权限的调整配置容易实施。

用户与角色之间是多对多的关系，即一个用户可以被分配给多个角色，多个用户也可以分配给同一个角色。

角色与权限之间也是多对多的关系，即一个权限可以与多个角色相关，一个角色也可以包含多重权限。

在用户管理、身份认证和权限控制方面，无论是商业的或开源的 Portal 产品多数喜欢采用 LDAP ，当然也有的支持使用数据库。 LDAP 的好处一是它可以方便的按类别存储任何类型的数据信息；其二，它的树形存储结构类似于一个企事业单位的组织架构，容易对应；三是它同应用系统接口容易，各个 LDAP 产品的接口都一致无需特别配置；四是它对数据信息的访问安全控制方便；五是它偏向于相对固定数据信息的查询使用，效率较高，维护也方便。LDAP与portal之间的业务关系如图二所示。

图二系统业务层次

5 门户系统架构与实现

Portal Server是整个Portal系统的运行支撑环境，是一个标准的Web 应用程序，运行于J2EE Application Server 环境中。在此基础之上形成了能够实现的系统技术架构。

图三系统技术架构

在高等教育创新性需求的发展下，数字化校园正在向智能化与特色化方向发展，门户系统的开发需要适应各高校的具体情况，更加灵活与方便地提供相应用户所需的信息才是最重要的。

参考文献[1].茅维华;唐守国;高淑娟;白雪松;杨虹;周斌.校园信息化关键技术平台之研究与实践[J].中山大学学报(自然科学版)，2009/S1

[2].邓志宏,蔡海滨,蔡悦华.基于数字化校园门户的分布式身份认证系统研究[J].计算机工程与设计,2005,(08).

篇（8）

现代高校的发展离不开信息技术，特别是随着各高校学生人数急剧增加，新教学楼、新教室的不断扩建，教学方式的多样化等一系列因素使学校对多媒体、网络教学、办公应用系统等信息化技术依赖越来越大，数字化校园建设已经成为各高校信息化建设的重要任务之一。医学院校在发展过程中也面临着同样的问题，需要对学校的教学、科研、管理等信息资源进行全面的整合，以实现统一的管理。

一、数字化校园的涵义及意义

在传统观念中数字化校园一直被认为只是由一个一卡通系统和多个应用系统组成，例如各种办公系统、多媒体教学系统、人事系统和财务系统等。但由于各个系统中的信息，数据保存格式以及操作人员的权限设置都不一致，并且各系统由于开发商的不同很难做到统一的接口，系统间通讯困难，对于整个校园来讲只是一个个“信息孤岛”，造成大量冗余、错误的信息，因此这样的“数字化校园”只是一个狭义的概念，并不能完全发挥信息化的优势。而数字化校园真正的涵义是指以校园网络为基础，利用计算机、各种通讯手段对学校里各种办公系统、多媒体教学系统进行统一的信息化管理，包括统一的身份认证、权限控制、教学资源管理以及对人事、财务、后勤等信息系统的统一管理等。数字化校园在时间和空间上都超越传统意义上的校园，它是一个基于先进的信息化技术的虚拟校园，使现实的校园环境得到延伸[1]。

数字化校园的建设对于高校的管理和发展具有重要意义。首先，数字化校园是一个虚拟化的校园，它超越了时间和空间上的局限，使学校的跨地域业务得到有效开展，对学校建立创新型的教学模式，开放式的教育环境，多层次的管理方法都具有相当重要的意义。其次，数字化校园以网络通讯为基础，通过计算机处理大量的信息，使学校教工把一些查询、统计、计算等工作交给计算机来完成，大大降低了工作量，提高了工作效率。再者，数字化校园成功解决了学校“信息孤岛”的问题。数字化校园的成功实施，能把学校里各个分散的系统整合，实现数据的统一管理，避免出现数据的重复检索、录入。例如图书馆的图书借阅系统，里面的人员信息不需要重新录入，可以直接从人事处数据库中调用，有效解决了数据的不一致问题。

二、国内外相关课题的研究现状

“数字化”这个概念最先是由美国前副总统戈尔于1998年在美国加利福尼亚科学中心发表的题为《数字地球---21世纪认识地球的方式》（The Digital Earth:Understanding in our planet in the 21st Century）的报告中首次提到的，他提出了数字化地球的概念，此后，“数字化”名词在全球流行开来，各行各业如数字化城市、数字化校园、数字化图书馆等名词接二连三被提出。

近年来，校园数字化建设已经成为世界各国高校重点研究的课题之一。

在国外，英国信息教育技术走在前列。1998年1月英国启动了全国学习网，利用网络的高速优势把学校、科研机构、图书馆等网站连为一体，为网络教育开辟了途径。2002年，英国全国学习网的网络连接所有家庭、社区、学校、医院、社会服务以及大众媒体转播系统、单位，基本能满足学校教育、家庭教育、职业教育、终身教育和社会经济发展的需求。

国内大学信息化基础建设方面，在90年代初，建成校园网并通过CERNET建设与国际互联网连接的大学总数不过10所左右。到1999年，已经有500余所大学建设了结构先进、功能完备的校园网络。2002年，北京大学和香港大学共同启动了亚洲地区第一个国际性的高等教育信息化研究项目，对亚洲地区各国高校信息化建设、发展的最新动态和信息，进行研究。

现阶段医学院校信息化建设所面临的主要问题有：一是学校以医学专业为主，信息化意识不强，缺乏专业的信息化建设人才队伍；二是信息化建设各自为政，存在重复建设现象；三是信息化建设进程缓慢，没有建立网上自动办公系统和智能化决策支持系统。

三、数字化校园建设目标

医学院校数字化建设的总体目标是建成一个适合学校校情的数字化校园模型，即“统一平台+统一门户+多应用系统”的建设模式，从而实现校内教学、管理、科研的全面信息化、网络化。免费论文，整合。

1.统一平台是指一个高性能的、负载均衡的、可扩展易维护的、高安全的应用软件、硬件以及数据库平台。其中包括统一信息门户平台、统一身份认证平台和统一公共数据平台三大基础平台。

2.统一门户是指要建成一个统一的、开放的、能提供信息共享并能提供多种应用服务的高效稳定的门户中心。

3.多应用系统指为满足各种教学、管理、科研等日常业务的需要而提供的各种信息化软件、工具等，如教务系统、人事管理系统、财务系统、科研管理系统、学生管理系统等，这些系统从统一的数据库平台调用数据，共享规范标准格式的数据，提供统一的接口程序。

通过数字化校园的标准建设，集成现有的应用系统，在新需求下开发新的应用系统，从而实现校园的信息共享和传递，最终构建一个集教学、科研、管理、活动为一体的信息化环境，实现学校教育过程的全面信息化，从根本上提高教学质量、科研水平和管理水平。免费论文，整合。

四、数字化校园建设内容

数字化校园的建设是在现有网络基础设施的基础上对校内所有信息化资源（包括各种应用系统、数据库资源、认证系统等）进行全面整合的过程。数字化校园建设的各个环节必须互相紧扣，有计划、有步骤地实施，确保各个环节协调发展。医学院校的数字化校园建设可以结合自身特点，发展几项特色项目，如虚拟实验室、虚拟医院、虚拟手术台等。

数字化校园的总体架构设计包括基础设施建设、统一身份认证平台、应用系统建设

1、基础设施建设

基础设施建设包括基础网络平台、弱电系统和IDC数据中心建设，是建设好数字化校园的基本保证，为数字校园提供最底层的网络、硬件支持。

（1）基础网络平台、弱电系统

（2）IDC数据中心

IDC数据中心是由一系列的硬件、软件、相关网络组成的整体，它作为全校数据流转与交换的中心，主要包括主机系统、存储系统、网络系统、安全系统等硬件设备和数据库系统、应用服务器、目录服务器数据汇聚设备。

2、统一身份认证平台

在数字化校园中，各个系统之间经常需要相互协作才能完成一项任务。但对于同一个用户来说，如果不同的系统都要不同的登录信息，并且要重复登录，这就给用户带来极大的不便，也给系统加重了负担。而所谓的统一身份认证就是对校内各个不同的应用系统采用统一的身份认证系统，为各应用系统的集成奠定基础。

目前高校身份认证管理存在以下问题：

（1）由于目前校内各个系统都是分散管理，因此就难以统一管理用户的账号，这就难免会对一些账号信息进行重复管理，增加管理成本。免费论文，整合。

（2）账号的使用没有落实到实名，一个账号存在多人使用的现象，在出现安全事故时难以明确责任，因此在安全管理上存在漏洞。免费论文，整合。

（3）不同应用系统之间的认证模式和规范不同，安全等级划分标准也不同，不便于全校的安全管理。免费论文，整合。

（4）一个用户如要使用多个应用系统，就必须记忆多套账号信息，并需重复登录，给用户的操作带来极大的不变[2]。免费论文，整合。

3、应用系统建设

应用系统主要有一卡通系统、数字图书馆、教学系统、学工系统、人事系统、财务系统、精品课程等。

（1）一卡通系统

一卡通是数字化校园建设的重要内容，是校内各系统连接的枢纽。校园一卡通以校园网为基础，集成各种计算机网络设备、数据终端，以IC卡为载体实现校园管理的信息化。系统建成以后，将取代以前校内的各种卡证（如借书证、饭卡、工作证、学生证等），真正实现校内工作、学习、生活的“一卡通”。

（2）数字图书馆

数字图书馆是数字化校园的重要组成部分，它是指运用数字技术和信息技术把处于不同地理位置的信息资源进行整合存储，并通过网络向广大读者提供多媒体信息资源的虚拟化图书馆。数字图书馆不受地域空间的限制，能最大限度地共享各地信息资源。

（3）教学系统

篇（9）

中图分类号：TP309 文献标识码：A DOI：10.3969/j.issn.1003-6970.2013.07.038

本文著录格式：[1]马萌，王全成，康乃林.Internet密钥IKE协议安全性分析[J].软件，2013，34（7）：112-114

0 引言

在开放性的网络体系中，进行秘密、敏感信息传递时，首先要求通信双方拥有共享密钥，才能够按照安全性需求对数据进行机密性、完整性和身份认证保护。为了应对Internet密钥交换协议面临的复杂多样的网络威胁和攻击手段，本文详细分析了IKE协议的基本思想和主要存在的四个方面的安全缺陷，为采取更加有效的信息安全技术和方法，堵塞可能的安全漏洞和隐患提供帮助，从而满足日益增长的网络安全应用要求。

1 IKE协议的基本思想

IKE协议吸取ISAKMP协议、OAKLEY协议和SKEME协议各自的特点组合而成[1]，同时还重新定义了两种密钥交换方式[1]。

一次典型的IKE密钥协商交换可描述如下（第一阶段采用主模式和公钥签名身份验证）：

（1）SA载荷交换，协商认证算法、加密算法等，交换Cookies对；（2）KE载荷，Nonce载荷交换，提供计算共享密钥的有关参数信息。（3）通信双方分别计算共享密钥参数。（4）通信双方进行身份验证，构建IKE SA；（5）进行IPSec SA载荷和选择符信息交换，协商IPSec SA的验证算法、加密算法，计算IPSec SA密钥参数，构建IPSec SA。

由上可知，IKE 协议在两个通信实体间之间实现密钥协商的过程实际上分为2个阶段。第一阶段构建IKE SA，第二阶段构建IPSec SA。

在第一阶段，使用主模式或者积极模式，建立IKE SA，为通信实体之间建成安全的通信信道，为第二阶段的密钥协商提供安全保护服务。

第二阶段，使用快速模式，依托第一阶段创建的IKE SA通信信道，构建IPSec SA，为通信双方之间的数据传输提供机密性、完整性和可靠。

两个阶段的IKE协商相对增加了系统的初始开销，但是由于第一阶段协商建立的SA可以为第二阶段建立多个SA提供保护，从而简化了第二阶段的协商过程，结合第二阶段SA协商总体数量较多的实际，仍然是节约了系统的资源。

在第一阶段，当需要对协商双方提供身份保护时使用主模式相对安全一些，而积极模式实现起来简单一些，却无法提供身份保护服务；第二阶段使用的快速模式，在一个IKE SA的保护下可以同时进行多个协商；新组模式允许通信双方根据安全性要求协商私有Oakley组，但新组模式既不属于第一阶段也不属于第二阶段，且必须在第一阶段完成后方可进行。

2 IKE协议的交互流程

第一阶段主模式或积极模式中，都支持数字签名、预共享密钥和公钥加密等身份认证方法。不同的身份认证方式，身份认证的原理不同，传递的密钥协商交换消息也有所不同。其中，数字签名认证是利用公钥加解密原理，由通信双方生成数字签名信息，再由另一方对数字签名信息进行解密、比较，实现对通信双方的身份认证；预共享密钥认证是利用对称密钥加解密原理，由通信双方利用私钥对认证内容计算hash值，再将hash值发送给对方进行解密、比较，完成身份认证；公钥加密认证仍然是利用了公钥加解密原理，与数字签名认证不同的是，由通信双方利用对方的公钥分别加密身份识别负载和当前时间负载的数据部分，然后根据对方返回的结果以确定对方的身份。公钥加密认证方式有两种，区别在于加解密的次数不同。

下面，我们以数字签名为例，说明2个阶段的具体协商流程。

2.1第一阶段密钥生成

3 IKE 协议的安全缺陷

目前针对IKE协议的安全性分析结果非常多，已发现的安全问题和隐患也非常多，归纳起来主要有以下几类。

3.1 拒绝服务（DoS）攻击

拒绝服务（DoS）攻击是一种针对某些服务可用性的攻击，是一种通过耗尽CPU、内存、带宽以及磁盘空间等系统资源，来阻止或削弱对网络、系统或应用程序的授权使用的行为[2]。更加形象直观的解释，是指攻击者产生大量的请求数据包发往目标主机，迫使目标主机陷入对这些请求数据包的无效处理之中，从而消耗目标主机的内存、计算资源和网络带宽等有限资源，使目标主机正常响应速度降低或者彻底处于瘫痪状态。DoS攻击是目前黑客常用的攻击方式之一。在Internet密钥交换协议中，由于响应方要占用CPU和内存等进行大量的密集的模幂等复杂运算，而其存储和计算能力是有限的，鉴于这一瓶颈问题的制约，极易遭到DoS攻击。

虽然Internet密钥交换协议采用了Cookie机制，可在一定程度上防止DoS攻击，但Cookie数据的随机性又极大的制约了其作用的发挥[3]。同时，更有分析认为Internet密钥交换协议的Cookie机制会导致更加严重的DoS攻击。因为协议规定Internet密钥交换的响应方必须对已经验证过的合法Cookie建立SA请求予以响应，攻击者可以利用这一规定，直接复制以前的ISAKMP消息，不更改其Cookie数值并发送给响应方，而响应者需要大量CPU时间的运算后才能判别出发起者是非法的，从而无法从根本上防止DoS攻击。

3.2 中间人攻击

中间人攻击是指通信实体在通信时，第三方攻击者非法介入其中并与通信双方建立会话密钥，作为真实的通信实体间消息通信的中转站，从而共享通信实体双方的秘密信息。中间人攻击的方法主要是对消息进行篡改、窃听，重定向消息以及重放旧消息等[4]，是一种攻击性很强的攻击方式，属于主动攻击方式的一种[5]。

图3.1详细描述了中间人攻击[6]，当Initiator与Responder进行D-H算法密钥交换时，Initiator计算并发送公钥X，Attacker窃取X，并假冒Responder发送公钥Z给Initiator，从而完成一次D-H密钥交换，双方之间共享了一个密钥。同理，Attacker和Responder之间也可以共享一个密钥。这样，当真正的通信双方进行信息交换时，所有数据都经由Attacker中转，而不会被发觉。

IKE协议的身份验证机制可以有效防止中间人攻击，但仍有一些缺陷。

3.3 身份隐藏保护缺陷

IKE协议第一阶段有两种模式、四种认证方式，其中一个主要目的就是要能够提供发起方和响应方的身份隐藏保护功能，但是在积极模式下的数字签名认证和预共享密钥认证，以及主模式下的数字签名认证都无法提供身份隐藏保护。例如，在第一阶段主模式协商的数字签名认证方式中，一个主动攻击者就可以伪装响应方的地址并与发起方协商D-H公开值，从而获得发起方的身份信息[7]。

一般来说，在无法同时保护通信双方身份的情况下，要优先考虑隐藏发起方的身份。因为绝大多数的响应方在IKE交换中都是作为服务的一方，而服务器的身份信息一般是公共的，所以可以认为保护发起方的身份要比保护响应方的身份要更为重要[8]。

3.4 其它安全缺陷

除了以上的安全缺陷外，IKE机制还存在一些其它的问题，如难以抗重放攻击、新组模式定义多余等。

重放攻击是指攻击者采取网络数据包提取等技术手段，对发起方和接收方之间的通信数据进行窃听或者截取，获得通信双方之间的任意消息，然后将该消息重新发送给接收方，从而消耗网络资源，甚至瘫痪通信网络。在整个Internet密钥交换过程当中，通信双方都需要保存部分交换信息用来记录数据交换情况，同时，当Cookies对建立以后，数据状态信息可以用来表示数据交换状态。此时，第三方攻击者利用网上截获的正常数据包进行重新发送，或者攻击者截获Cookies对后伪造假消息，由于该Cookies对是真实的，通信实体双方仍然会对伪造的假消息进行处理，甚至再次解密消息，或者由于无法正常解密，从而发现消息不真实。这样会使系统被迫处理大量无效的操作，降低处理效率，浪费大量系统计算和存储资源。

4 结论

本文详细分析了IKE协议的基本思想和主要存在的四个方面的安全缺陷，认为必须深入分析Internet密钥交换协议面临的复杂多样的网络威胁和攻击手段，采取更加有效的信息安全技术和方法，不断改进Internet密钥交换协议，堵塞可能的安全漏洞和隐患，从而满足日益增长的网络安全应用要求。

参考文献

[1] D.Harkins，D. Carrel.Internet key exchange. RFC 2409，Nov 1998.

[2] William Stallings，Lawrie Brown.计算机安全原理与实践.北京：机械工业出版社，2008：166～180.

[3] 黄永锋.IKE协议改进及其实现框架[硕士论文].镇江：江苏大学.2005.

[4]张红旗.信息网络安全.北京：清华大学出版社，2002：106～107.

[5]William Stallings著.网络安全要素——应用与标准.北京：人民邮电出版社，2000.

篇（10）

随着金融信息化程度越来越高和计算机知识的普及、利用计算机犯罪的问题越来越突出.金融业务的安全性面陆着前所未有的严峻挑战。而诸多事实警示我们，在金融安全工作中外患固应严阵以待内患更须防微杜渐。如何降低银行业内部信息系统风险有效提高生产系统的安全性是目前各家金融机构普遍存在的问题。中国邮政储蓄业务和汇兑业务在实现了电子化管理之后其业务处理能力得到了极大的发展。但是随着信息化程度的提高也增加了系统的不安全因素，尤其是信息采集、系统访问安全成为各项安全中的关键问题。一直以来邮政储蓄采用密码方式对系统的人员权限进行身份控制。然而密码极容易泄露记忆麻烦、发生问题责任不清而且对于网络黑客、别有用心的访问者来说窃取、破译合法访问者的密码比较容易由此更容易引发资金案件。因为密码验证方式存在一个致命的弱点二不能准确标识密码使用者就是密码所有者本人口提高信息系统的安全性管理是根本.技术是保障。如何利用高科技手段建立一套省时、省力而又行之有效的计算机信息管理系统.把各级管理者们从“担心出金融案件的忧虑和烦恼‘’中解脱出来呢，近几年来指纹技术的成熟和厂泛应用为这个想法的实现提供了可能。指纹技术除了在公安和警用等专业领域广泛应用外逐渐应用到了民用领域派生出一系列的产品.如:指纹考勤机、指纹门禁机、指纹锁指纹口盘等。2003年开始指纹技术在金融行业开始得到应用用来解决金融安全问题防范操作风险的发生。

邮政储蓄指纹系统2006年吧月天津邮政储蓄启动柜员身份认证系统的建设.在储蓄统版系统中使用指纹万式对网点柜员的登陆和授权进行风险控制。

技术可行性分析

（1）应用性:与其他生物技术相比指纹技术成熟、使用简单

(2)易用性:指纹不存在遗忘丢失情况用来验证身份万便、快捷:

(3)安全性真正实现‘识别人而不是识别物

(4)可实施性:提供多种授权方式解决非现场授权问题、如授权、集中授权手机短信授权等

(5)别经济性川生价比高、一机多用(储蓄系统与电子汇兑系统可共用)、一次投资长期受益(无需冗余大量备用设备)

(6)可扩展性:考虑到今后业务的发展为新业务接入预留了开放接口。为邮政业务扩展、新业务新产品的开发提供了增值平台。

经济效益可行性分析

(1)管理成本:指纹验证身份不用携带任何载体。给设备管理部门减少了工作压力。只要保证建档指纹的真实性，把对几千人的管理转变为对几十个指纹系统管理员的管理大大降低管理成本;

(2)监督功能:指纹系统的统计分析功能.方便了管理者对业务数据和人员工作情况的查询监督实现减员增效扩大监督范围提高效率;

(3)风险成本与潜在效益:指纹验证身份后权责分明，避免内部资金案件风险还可为外部客户提供指纹储蓄等服务为邮政吸引更多客户带来潜在效益。

指纹系统应用

指纹系统逻辑结构包括邮政金融业务系统和指纹认证系统两部分系统之间通过接口互相调用、通讯实现业务系统内部人员的身份认证，如图1所示。天津邮政储蓄指纹认证系统包括认证和管理两大部分:认证部分实现本地和远程的指纹身份验证;管理部分完成指纹设备、人员信息的管理。管理系统划分为省中心指纹管理系统、区县指纹管理系统、网点指纹管理系统。目前，天津邮政储蓄统一的指纹身份认证平台，可以为多个信息系统提供人员身份确认功能，凡需要验证身份的环节指纹中心均可以提供指纹验证功能.真正实现了身份认证流程的一体化。此外该身份认证系统操作流程规范，对业务系统人员的指纹、身份级别等信息集中存放、操作流程一致实现了数据共享，便于统一管理。

指纹系统应用效果

至2006年年底，天津邮政储蓄361个网点全部采用指纹系统验证系统登陆和业务授权者身份所有储蓄操作员、班组长、支局长实现了用指纹进行签到/退。天津邮储指纹系统上线至今已有1年半的时间.运行状况良好达到预期的效果:

(1)有效杜绝了过去由于操作性风险导致的金融案件。采用指纹技术后柜员操作及授权业务只能是当事人操作完全杜绝了替代和非法授权的情况发生。

(2)由于是对本人指纹进行采集和识别，因而别人无法窥视、盗窃他人密码，从而切断了非正常途径传送密码的可能(防止高智商作案)

(3)提高工作速度，指纹录入及识别大约1秒这比手工输入密码要快。柜员和主管都不用费时定期更换密码，也不必用其他手段来保护密码