安全接入技术（精选10篇）
安全接入技术 篇1
1 网络安全的接入技术
网络系统与用户的接入部分, 较容易受到安全攻击, 部分攻击者研发的病毒、木马, 专门在接入地点处寻找突破口, 增加接入技术安全防护的压力。网络接入技术的运行受到极大的安全威胁, 降低网络系统的运行能力, 但是用户对网络系统的需求量越来越大, 必须通过安全控制的方式, 保障接入技术的安全性, 确保用户接入网络系统时, 具备足够安全的技术处理[1]。分析比较常用的网络安全接入技术, 如下:
(1) TNC技术
TNC技术主要以可信主机为基础, 通过可信任的主机, 提供安全的接入服务, 保障用户与网络系统处于高度安全的状态。TNC技术能够检测用户是否为正常接入, 排除接入过程中的不安全因素, 利用安全协议控制用户访问, 确保网络系统的安全性[2]。TNC技术安全接入的流程为: (1) 网络访问:规划网络连接的安全位置, 实行技术性的接入, 按照由访问到执行的过程, 进行授权接入, 提高接入技术的安全能力, 杜绝入侵信息; (2) 完整评估:此流程主要是发挥策略评估的优势, 保障网络接入技术的系统性, 构建安全的访问环境; (3) 完整测量:此过程为用户安全接入网络的最终步骤, 全面收集接入信息, 做好配置、验证的工作, 加强核心控制的能力。
(2) 光纤接入技术
光纤的传输速度比较高, 可以作为接入网络的传输介质, 支持用户的宽带业务。光纤在宽带接入中比较常见, 也是最主要的接入方式, 受到传统接入的影响, 光纤接入技术并没有实现完全普及, 但是其仍旧是较为理想的接入技术, 在安全方面享有优质的评价。
2 构建网络安全接入技术的平台
用户接入不同类型的网络, 都需要安全接入技术的连接, 为提高安全技术的控制能力, 需为其提供安全的接入平台, 既可以高效维护网络安全接入技术, 又可以保障用户安全接入各种类型的服务网络, 严格禁止信息泄露、攻击等问题。
网络安全接入技术平台的构建过程如: (1) 设计注册系统, 监测接入技术的对象是否符合安全标准, 提供数据型的平台服务, 用户在注册接入的过程中即可完成认证, 只有符合安全条件的用户, 才能进入接入网络设置的安全防护区域, 如果用户认证不成功, 只能挡在防护区域的外围, 无法正常接入网络; (2) 配置模块, 配置是安全接入平台的管理模块, 利用配置功能分析接入技术的安全性质, 一旦发现威胁项目, 立即执行隔离处理, 排除潜在的威胁隐患, 提高安全接入网络的配置优势; (3) 设备监督模块, 有效监督接入用户设备的运行状态, 防止病毒入侵, 安全接入平台的此项模块, 具有防火墙的功能, 通过安全策略, 实时监督异常情况, 以免用户程序受到威胁攻击; (4) 业务管理模块, 用户接入网络后, 进行一系列的业务操作, 该模块主要以业务管理为主, 优化业务运营的空间, 防止出现不良的因素, 干扰网络安全; (5) 验证模块, 根据安全接入技术的验证规则, 检验接入用户的身份; (6) 通信检测, 维护通信过程, 防止通信内容被恶意篡改; (7) 终端管理, 安全接入平台设计内, 具有终端管理的程序, 约束用户接入的流程, 促使其严格按照终端管理的流程执行安全服务。
3 分析 4G 无线网络安全接入技术
4G无线网络在用户群体中, 具有较高的接入量。4G无线网络安全的接入技术, 以DDMP理论为基础, 在安全协议的基础上, 通过演绎、逻辑的方式, 形成一种新型的接入逻辑, 促使其在用户接入4G网络时, 能够享受到极其安全的环境[3]。针对4G无线网络安全接入技术中的演绎和逻辑进行分析, 体现接入技术的安全价值。
(1) 演绎方式
演绎方式的核心是集合, 其在4G网络安全接入技术中, 发挥明显的应用价值。演绎集合的安全保障可以分为两类, 即:构件集合和操作集合。
第一, 构件集合。利用协议构成安全接入的基础, 构件集合中的每个协议动作, 基本都是建立在私钥的约束下, 随机生成构件集合, 只能在密钥的作用下, 才能匹配出信息内容, 构件集合可以分为三个安全区域, 如: (1) 签名区域, 存有单向认证的集合方式, 通过X→Y:m与机制, 完成整个签名的过程, m是随机选择的条件, X代表签名的发起者, 具有证书, 能够操控响应者Y, 确保签名验证发生在安全的环境中; (2) 加密区域, 代表接入技术的应答过程, 通过 X→Y:m 与机制, 构成加密条件, 整个过程最主要的是体现接入技术加密与解密的过程, 保护接入环境; (3) 交换区域:经过签名与加密, X在m随机作用下, 得出I并计算出了结果i, Y得出R和r, 整个构件集合中为内部计算, 不会产生任何向外发送的数据, 证明接入技术中的构件集合非常安全。
第二, 操作集合。其演绎的过程为整合→求值→转换。整合是按照接入技术的安全协议, 保障输入序列与构件保持同步状态, 采用序列代替的方式, 将操作集合整合成新的协议[4]。求值过程中不用改变原本的基础构造, 但是可以通过添加消息, 提高接入技术的安全性, 求值属于随机的过程, 具有协议转换的优势, 求值中最常用的安全保护手段是公密钥, 只有在随机假定条件成功的前提下, 才能实现安全接入, 增加入侵解析的难度, 提高4G接入技术的安全度;适当变换协议步骤, 即可完成求值转换, 促使入侵者无法解析接入技术。
(2) 逻辑方式
4G网络安全接入技术中的逻辑方式, 用于确保协议安全, 提高接入技术的属性安全度。逻辑是一次证明演绎的过程, 提供准确的证明方式, 保障接入技术处于安全的环境中。逻辑方式中的动作较为明显, 根据动作属性, 逻辑推理出协议的未来运行, 维持原有协议的安全状态, 避免接入技术的安全属性受到攻击。目前, 4G网络安全接入技术中采用了断言方法, 用于满足逻辑方式的需求, 明确代表接入程序前后的变化过程, 后期为保障逻辑方法的安全价值, 适度加入密码学, 构成逻辑方法中的要素, 安全描述接入状态。
4 Wi MAX 无线网络安全接入技术
Wi MAX无线网络是城域网的基础, 拓宽互联网接入的地域。由于Wi MAX具有开放标准的特性, 所以其在安全接入方面也需要高效率的技术支持。Wi MAX的接入技术, 可以通过安全机制完成, 提供安全的接入空间。
Wi MAX无线网络安全接入技术大致可以分为五个步骤, 如: (1) 认证, 利用安全鉴定的方法, 识别用户的身份, 保障用户能够安全接入Wi MAX无线网络, 协议是验证用户身份的有效途径, 通过不规则的消息、定义, 防止接口入侵; (2) 加密技术, 为接入技术提供加密环境, 在加解密的过程中, 管控接入技术的应用, 密钥对应着唯一的公钥, 在特定加密技术的作用下, 完善整个安全接入的过程, 形成保密的环境, 增加解密的难度; (3) 数据管理, 用户接入Wi MAX时需要安全的数据支持, 主动提取接入技术中的安全信息, 融合认证过程与加密技术, 保障数据管理的完整性, 进而提高安全度; (4) 防御维护, 主要利用签名技术, 强化Wi MAX接入技术的安全性, 辅助接入技术的安全维护; (5) 隐藏身份, 用户接入Wi MAX时, 可以采用隐藏的身份, 避免被攻击者跟踪或解析, 实现长期的加密接入, 保持接入技术的安全能力。
目前, Wi MAX无线网络安全接入技术, 采用IEEE802.1机制, 规范了接入技术的接口, 安全定义接入网络的用户[5]。该机制具有明显的安全性, 其中MAC中含有安全策略, 服务于用户、基站两者, 通过认证到加密的过程, 区分安全保护的模块, 再提供安全映射, 保障Wi MAX接入技术的安全价值。
5 结束语
网络安全接入技术虽然呈现多样化的发展, 但是其在安全方面仍旧具备相同的标准, 多项技术投入应用的过程中都需要遵循控制要求, 在规范的状态下实现安全接入, 避免影响用户与网络的连接状态。网络接入技术中的安全问题, 已经成为网络行业中比较重视的问题, 越来越多的开发商提高对安全接入的重视度, 在开发接入技术的同时, 做好安全防护的工作, 维护网络接入的安全发展。
参考文献
[1]丁涛.基于虚拟化应用的安全接入的研究[D].华北电力大学, 2013 (25) :34-36.
[2]孙涛.试论接入控制技术在内部网络中的实际应用[J].才智, 2013 (33) :16-18.
Citrix＝安全接入平台 篇2
如何确保信息能够在任何时间、任何地点、任何应用中，进行快速、安全且低成本的往来交互，是人们迫切的要求，这些需求的实现，其实很简单，只需拥有安全接入平台！安全接入平台是什么？它又能做些什么呢？
引用思杰（Citrix）公司大中华区总经理孙志伟的话，“无论你在任何地点、任何时间操作任何应用（包括Client/Server应用、Web应用、桌面应用和文件/多媒体访问应用等）的过程中，客户端与服务器之间的对话、信息交互传递的过程，就是安全接入平台工作的时间，安全接入平台会在这期间为您实现安全、快速、低成本的全程管理。”如此可以参考图1。
图1 安全接入平台架构
众所周知，在信息爆炸的今天，人与人之间的交流变得快捷和方便，信息交互传递的种类也变得较为复杂，但涉及的具体应用无外乎Client/Server、Web、桌面以及文件/多媒体应用等方式。下面，我们来分别讲述安全接入平台在各种应用中发挥着怎样的功效？
Client/Server应用
客户端/服务器应用的模式，相对而言，在信息化普及的初期，就已经被大众所接受了，也是目前应用较多的方式之一。为了避免上述潜在的风险，部署C/S应用的最好方式就是虚拟化，应用都被安装在安全的数据中心“Presentation Server”上，然后以虚拟化方式发送给各地用户。
Citrix Presentation Server是C/S应用中用于集中部署和管理的服务器设备，在异构环境中尤为受到青睐，同时借助Citrix接入安全管理和控制策略，确保终端用户能够安全接入和访问企业内部的各种信息资源。
简单来讲，在C/S应用中，应用系统都安装在Presentation Server上，企业无需考虑原有接入设备、软件语言、计算体系结构和网络的多样性，只要终端用户可以访问Presentation Server，就能够实现快速部署新的应用的目标。此外，Citrix采用专有技术提高C/S应用中信息交互的速度，即在服务器接收到客户端的请求时，只传送差异化的画面格式文件，由于画面格式文件非常小，从而降低了对系统带宽的要求，实现了企业要求信息快速传递的目标；在成本控制方面，非常显著的是，由于新的应用系统都安全在Presentation Server上，终端用户只需使用浏览器就可以访问，减少了相应客户端软件的安装和维护，从而大大节省了成本。
Web应用
在Web应用中，Citrix提供了Citrix NetScaler应用交付解决方案，它采用Citrix Netscaler AppCompress Extreme差异压缩技术，通过清除冗余应用数据的传输，同时只将近期变化的数据传送给用户，将标准页面下载速度提高到原有的23倍，并将企业网络应用数据的部署提高到原有的45倍。此外，Citrix Netscaler应用部署系统提供了经验证过的安全防御措施，可阻止普通的和破坏性的应用层攻击，包括自动蠕虫攻击和有目的的拒绝服务攻击，而不会影响合法应用流量。
简单来讲，在网络页面访问中，据统计也存在一个“二八原则”，也就是说，20%的页面被80％甚至更多的用户访问。此时，在服务器前端放置Citrix Netscaler后，设备会自动将这20%的页面放入缓存，当有新的面向此页面的访问时，就把这个页面直接推送给用户，无需经过后台的服务器处理，这样既加快了用户的访问速度，同时减少了后台服务器的处理压力。有数据显示，安装Citrix Netscaler之后，服务器的使用数量可以减少3/4以上，大大节约了成本支出。在安全方面，以拒绝服务攻击为例，当前端的Citrix Netscaler收到大量的访问请求时，将判断是否为拒绝服务攻击，如果是，将直接阻断，避免殃及后台服务器。
桌面应用
“瘦客户端”主要面向制造业等工作比较简单的行业使用，使用者主要是知识工人和蓝领阶层；简单来说，在这些行业，客户端的性能要求不需要太高，只要能够完成简单的流程操作即可。因此，Citrix安全接入平台构建了Project Tarpon模块，即当瘦客户端访问应用服务器时，Project Tarpon模块的Application Streaming功能将相关应用数据信息推送给瘦客户端完成操作。如此一来，节省了硬件购置成本、维护成本等，同时由于操作单一，确保了安全性。
“胖客户端”主要面向有复杂应用需求的用户群体，比如企业分支机构的白领阶层，他们有复杂的应用需求——需要安装Office、Outlook、Oracle、SAP等。举例来说，作为IT管理人员，如果借助Application Streaming功能，能够自动在胖客户端上的私有区域安装Outlook的客户端程序，既不会造成与其他应用程序的冲突，也节省了维护成本，同时实现了统一控制；另一方面，一旦胖客户端的某个应用程序发生错误，胖客户端直接通过网络发出维护申请，Project Tarpon模块即可自动将修复程序或者更新的程序推送到胖客户端上完成修复或更新，这样既节省了使用者的时间，也减轻了IT管理人员的工作压力。
文件/多媒体应用
安全接入平台构建了WanScaler模块，当客户端有数据访问需求时，借助该模块的File/Video Streaming功能，将集中管理在中心服务器的、有被访问需求的文件或者视频推送给客户端，完成信息的交互。如此，节省了数据信息维护的成本，而集中管理和控制确保了信息的安全。为了实现数据快速交互，Citrix采用独有的技术，该技术改进了TCP/IP三次握手的机制，当收到合法用户的数据请求信息之后，即把数据直接发送给你，无论客户端是否收到这一帧，服务器都将继续发送后续信息，直到客户端确认收到全部信息，完成数据的交互，从而减少了握手确认环节，有效地提高了传输速度。
新应用 需安全护航
在“Citrix安全接入平台”这个大的概念之中，有一部分不可或缺——接入安全管理和控制策略，总体来讲，它是由Citrix Access Gateway、Citrix Password Manageer和Citrix Application Firewall三部分组成的，如图2中“安全接入部分图标”所示。他们共同组建了一道屏障，确保用户能够安全地访问系统的各种应用、安全地获取信息。
图2 接入平台产品
Citrix Access Gateway是一款通用的SSL VPN设备，为信息资源提供了安全、且始终在线的单点接入支持。它具备IPSec和常见SSL VPN的所有优势，同时是市场上惟一一个采用Advanced Access Control（AAC）的产品，其中AAC是Citrix的独有组件，使得IT管理员能够对应用、文件、Web内容、电子邮件附件和打印实现全面的控制。该组件能够根据用户的角色、位置、设备类型、设备设置和连接，确定可以访问何种信息资源以及在授予访问权限后允许采取哪些措施。
Citrix Password Manager是企业单点登录解决方案（Single-Sign On），它从根本上改变了传统的多口令管理方式。Password Manager的部署使用户只需一次身份验证，就能以一个口令登录所有受口令保护的应用程序，而其余的工作将由Password Manager完成。它将自动接入受口令保护的信息资源，执行严密的口令策略，监控口令相关事项，自动化最终用户工作，例如口令变更。
Citrix Application Firewall，简单理解是一款应用防火墙，可以帮助实现Web应用的安全。孙志伟透露，思杰正在研究一个新的项目，在明年年初发布之后，企业使用了这款产品，公司内部的所有终端上的操作都会被记录下来。当有违规事件发生时，就可以在第一时间进行定位。
采访手记
截止记者发稿时，以“思杰系统”作为关键字，用Google搜索，可以查到的相关的中英文网页条目为36.2万条；而以“Citrix”作为关键字，则可查到4420万条。以同样的规则，在百度中搜索得到的结果分别为1.05条、9.87万条。
可以看出“Citrix”品牌的知名度要高于思杰，这也是我为什么将标题定为“Citrix＝安全接入平台”的原因之一，尽管这个原因非常片面。而真正的原因在于：Citrix，全球惟一一家100％专注于开发接入解决方案的公司，它对于应用安全、业务连续性的贡献值得我们期待！
事实上，思杰的用户遍布全球。据悉，财富500强的企业中，有97%都是思杰的用户，但相对来说，他们的品牌推广做得并不是特别出色，因为“思杰（Citrix）这个品牌还没有为多数人知晓，而更多人还不知道思杰（Citrix）一直在为安全接入平台努力着。”
口说无凭，举例为证！思杰公司大中华区总经理孙志伟先生在来Citrix之前，就职于IBM公司某要职，当他提出辞职要求时，并说明自己将要去Citrix时，当时孙志伟的中国区领导困惑地问：Citrix是什么公司？而亚太区的领导知道孙志伟的动向后，恭喜孙说，Citrix是家不错的公司，祝贺你。
再有一个例子，可以帮助你了解思杰：在采访结束之后，我曾经问孙志伟，思杰在中国的拓展日益扩大，安全接入市场的前景也很明朗，你们的效益也会越来越好，员工的考核制度是怎样的？孙总笑着说，考核制度比较复杂，我只告诉你一个重要指标，我们的员工在用户那里装了多少套安全接入平台的系统，就能得到相应的考核分数，装得越多，分数越高。原因就是：只要是装了我们的安全接入系统的用户，一般都会选择我们的产品。
安全接入技术 篇3
互联网以其开发性实现了世界级的互联互通, 然而, 网络安全问题在某些应用领域显得尤为突出。当企业办公场所分布在不同地域时, 迫切需要建立企业专用的“私有网络”传递内部信息。因此, 构建安全的远程网络接入显得尤为重要。
VPN (Virtual Private Network) 虚拟专用网, 是指利用公用电信网络为用户提供专用网的所有各种功能, 实现安全的网络信息传递。采用VPN技术, 即使用户之间实际上并不存在一个独立专用的网络, 不需要建设或租用专线, 也不需要装备专用的设备, 就能组成一个属于用户自己专用的互联网络。实现专用网络, 需要使用IPSec (IP Security) 协议, IPSec是保护IP协议安全通信的标准, 它主要对IP协议分组进行加密和认证。
实际应用中, 关于IPSec VPN的实现, 在部署和使用软硬件客户端的时候, 需要大量的评价、部署、培训、升级和支持。对于用户来说造成经济上和技术上的负担, 将远程解决方案和昂贵的内部应用相集成, 对IT专业人员提出了严峻的挑战。由于受到以上IPSec VPN的限制, 业界认为IPSec VPN是一个成本高、复杂程度高, 甚至是一个无法实施的方案。为了保持竞争力, 消除企业内部信息孤岛, 很多公司需要在与企业相关的不同的组织和个人之间传递信息, 需要采用其它方案构建VPN网络。
2 MPLS-VPN
多协议标签交换 (MPLS) 是一种用于快速数据包交换和路由的体系, 它为网络数据流量提供了目标、路由、转发和交换等能力。具有管理各种不同形式通信流的机制。MPLS独立于第二和第三层协议, 提供了一种方式, 将IP地址映射为简单的具有固定长度的标签, 用于不同的包转发和包交换。
MPLS-VPN采用MPLS技术在中宽带IP网络上构建企业IP专网, 实现跨地域、安全、高速、可靠的数据、语音、图像多业务通信, 并结合差别服务、流量工程等相关技术, 将公众网可靠的性能、良好的扩展性、丰富的功能与专用网的安全、灵活、高效结合在一起, 为用户提供高质量的服务。
采用MPLS-VPN的优势体现在5个方面: (1) 网络的宽带以及可靠性:构建在运营商 (中国联通) 的网络之上, 拥有足够的带宽和可靠的传输质量; (2) 安全性高:采用MPLS作为通道机制实现透明报文传输, MPLS的标签交换路径 (LSP) 具有与FR和ATM VC相类似的安全性; (3) 提供服务质量保证 (Qos) :增加了产品分级的功能可以为不同级别客户提供不同的服务等级; (4) 强大的扩展性:从网络的带宽平滑升级到网络的新增接入节点都可以方便灵活的扩展。
MPLS-VPN的典型网络构建方式中提供者 (P) 路由器相当于核心部分的标签交换路由器 (LSR) , P路由器之间使用MPLS协议与进程, P与PE路由器将使用IP路由协议来建立MPLS核心网络中的路径, 并且使用LDP实现路由器之间的标记分发;提供者边缘 (PE) 路由器相当于核心部分的标签边缘路由器 (LER) , 用户边缘 (CE) 路由器的作用是将某个用户站点连接至PE路由器, 它不使用MPLS, 也不必支持任何VPN的特定路由协议和信令;站点 (Site) 是指这样一组网络或子网, 是用户网络的一部分, 通过一条或多条PE-CE链路接至VPN, 而VPN是指一组共享相同路由信息的站点。一个站点可以同时位于不同的几个VPN之中。
每个PE都直接和属于相应VPN的用户站点相连, 这些VPN都直接映射到每个VPN各自的虚拟路由中。通过使用BGP协议, PE路由器之间自动的交换特定VPN的MP LS标记, 并且自动的在内部V PN站点之间建立MPLS隧道, 这些MPLS隧道能够传输一个或多个特定VPN LSPs, 每个VPN标记交换通道都直接与隧道两端点的站点连接。
应用环境中, MPLS-VPN的工作过程如下。
(1) 用户端的路由器 (CE) 首先通过静态路由将用户网络中的路由信息通知提供商路由器 (PE) , 同时在PE之间采用BGP的Extension传送VPN—IP的信息以及相应的VPN标记。而在PE与P路由器之间则使用IGP协议相互学习路由信息, 采用LDP协议进行路由信息与骨干网络中的标记的绑定。此时形成CE、PE以及P路由器中基本的网络拓扑以及路由信息。PE路由器拥有了骨干网络的路由信息以及每一个VPN的路由信息。
(2) PE之间的路由信息交换完成之后每一个PE都将为每一个VPN建立一个转发表, 该转发表将把VPN用户的特定地址前缀与下一跳PE路由器联系起来。当收到发自CE路由器的IP分组时, PE路由器将在转发表中查询该分组对应的VPN, 如果找到匹配的条目, 路由器将执行以下操作:如果下一跳是一个PE路由器, 转发进程将首先把从路由表中得到的、该PE路由器所对应的标记推入标记栈;PE路由器把基本的标记推入分组, 该标记用于把分组转发到到达目的PE路由器的、基本网络LSP上的第一跳;带有两级标记的分组将被转发到基本网络LSP上的下一个LSR;P路由器 (LSR) 使用顶层标记及其路由表对分组继续进行转发。当该分组到达目的LER时, 最外层的标记可能已发生多次改变, 而嵌套在内部的标记保持不变;如果在VPN路由表中找不到匹配的条目, PE路由器将检查Internet路由表 (如果网络提供者具备这一能力) 。如果找不到路由, 相应分组将被丢弃。
(3) 在达到目的端PE之前的最后一个P路由器时, 将骨干网络中的标记去掉, 当PE收到分组时, 它使用内部标记来识别VPN。此后, PE将检查与该VPN相关的路由表, 以便决定对分组进行转发所要使用的接口并送到相关的接口上, 进而将数据传送到VPN的目的地址处。
3结语
本文介绍基于MPLS的VPN组网方案和工作流程。MPLS-VPN依靠其构建简单、成本低廉的优秀特征, 在实际VPN解决方案中, 得到了广泛的应用。
摘要：VPN技术实现了企业内部、企业与合作伙伴之间的虚拟私有网络。传统的IPSec VPN构建成本昂贵, 实现方案复杂。MPLS-VPN受到了运营商的支持, 实现简单且成本低廉。MPLS-VPN使用MPLS技术, 通过核心路由P、边缘路由PE和用户路由CE的配置, 实现基于电信网络的VPN方案。
关键词：虚拟专用网,IPSec VPN,MPLS VPN
参考文献
[1]王柱.基于IP城域网的BGP MPLS VPN配置案例与分析[J].电脑知识与技术 (学术交流) , 2007 (4) .
[2]王朝晖.企业专网组网技术探讨[J].计算机与现代化, 2004 (12) .
[3]刘丽.中国铁通开展MPLS VPN业务的分析[J].世界电信, 2005 (1) .
浅析通信传输与接入技术 篇4
关键词：通信技术 信息化 发展 传输技术 变革 网络
各种光传输技术(如ASON、MSTP、DWDM等)的逐渐成熟并且进入商品化，传输通信网络带宽需求正大幅度提高，利用SDH等传统传输网络技术构建的通信基础网络已成为新的网络发展瓶颈。
1 通信传输技术分析
1.1 ATM网络传输技术
ATM作为一种基于信元的交换和复用技术，这就是一种转换的模式，这个模式中的信元就是由信息組成的。这种模式传输的各种数据，声音等都是采用的信元，信元的前5个字节是信头，主要是用来传输信元方位和一些控制信息，后面的48个字节是用来传输通常的信息的，这样就构成了信元的53个字节。这种数据包通过硬件的转换是软件所不能比拟的。
在使用网络传输的时候，往往需要多个用户公用一个高速线路，这就需要采用时分复用的方式。这种传输方式还可以分成两种类型，一种是同步传输，一种是异步传输，通常情况下数字通信中采用的是同步传输，这种同步传输是把时间分成一个个相同的时隙，而异步传输的时隙是不固定的。
1.2 RTK GPS网络传输技术
从目前的情况看，传统的电台数据链的传输模式已经难以满足RTK作业的需求。取而代之的是网络RTK技术，这项技术的传输距离远，信号也稳定。并且具有很强的抗干扰能力。
GPRS是一种通用分组无线业务，是在GSM系统上开发出的一种新型的传输业务。利用通信网络的设备，在GSM的网络设备上增加一些设备，形成网络实体的作用。
1.3 WDM传输技术
这种技术是在光纤上可以同时传输不同波长信号的技术，也叫DWDM传输技术。这种技术的过程是，发射机发送出各种波长的信号，这些信号可以在一根光纤上复用传输，并且在节点的地方能够进行解复用。
2 接入网技术分析
通信技术的发展为我国的国民经济带来了巨大的社会经济效益，随着科学技术的发展，通信技术的更新换代也在不断的加快，人们对于通信技术的要求也在增加，各个企业都在不断的更新着自身的通信网络。
接入网技术是企业集团通信网络中的关键，下面就对接入网技术的多样化进行分析。
2.1 本地多点分配接入系统(LMDS)
LMDS技术曾经在1998年被美国评选成为十大通信新兴技术。这种技术有很大的优越性，频谱能够高达1GHz以上。在不同的国家，电信部门分配的工作频段和宽度是不一样的，我国采用26GHz及38GHz，其他国家大部分是采用的27.5GHz～29.5GHz。
这种技术的传输业务非常广泛，语音，数据，图像都可以，并且有着不错的可靠性能，这种技术的成本比较低，而效益非常的好，很迎合新兴的运营商使用。
2.2 非对称数字用户环路技术
这种非对称数字用户环路技术主要适用于视频点播VOD系统中，主要是因为它的上行和下行速率可以不相等，这样的话可以利用下行信道传输数字图像的信号和语音信号，而上行信道主要传输控制信号。
2.3 移动无线宽带接入通信系统
这种通信系统针对的是处于移动状态的对象之间的通信，通常都是采用无线网络的方式进行。移动无线接入通信系统和蜂窝移动无线通信系统是移动通信系统的两种类型。前者是利用的现有的网络，仅仅是一个接入的系统；而后者是需要建立的独立的网络系统，除了骨干网络外，都需要重新建立。
3 结语
我国的电力通信技术目前正处于稳步上升发展时期，其具有光明的发展前途和强大的生命力。政府各部门也应该加大关注力度和资金投入力度，同时电力通信行业还要积极提高自身业务水平和素质，在技术和装备上不断改进，将科技含量更高、技术更全面的成果广泛实施，为我国的电力通信行业和全国人民带来便利和服务。通信方式的发展深深改变了我们和世界，它与我们的生活、工作和娱乐已经紧密相连。目前移动通信、图象通信和互联网正走向融合，多媒体业务将成为今后移动通信业的一个新的增长点。无线将越来越多地被用于提供接入，而使用有线网络提供长途大容量传输。
参考文献：
[1]李海清，陈如明.无线接入技术在中国的应用与相应频率规划[J].中国无线电管理.2001(01).
[2]鲁义轩.中国的无线接入频率规划及频率分配的评选(招标)尝试——访信息产业部无线电管理局副局长陈如明[J].通信世界. 2001(24).
[3]米国旗.宽带无线接入技术的现状及发展[J].无线电工程.2001(07).
[4]梁军杰.固定式无线接入技术[J].通讯世界.1999(08).
[5]刘东明，张利萍.无线接入技术的新亮点——WLAN[J].当代通信.2003(10).
[6]孟华.无线接入技术的应用与发展趋势[J].中国新技术新产品..2008(12).
[7]周朝宣.铁路通信工程光纤接入网技术的应用[J].中国新技术新产品.2009(23).
[8]蔡鸣.传输网和IP承载网的演进与融合[J].电信科学.2007(09).
安全接入技术 篇5
随着无线通信技术的快速发展,在电力通信网络的应用优势也日益明显,如在恶劣环境下的电力设备工作信息采集、电网移动用户终端接入、多媒体信息系统无线交互及实时监控等。无线接入技术作为无线通信技术中,用户终端和网络联接的关键技术,解决了网络到用户最后“一百米”数据收发问题。其重要性正在逐步提升,与交换技术、传输技术、网络技术等核心技术共同成为构建安全、可靠、有效的电力通信网的重要组成部分。
相对有线通信,安全问题一直是困扰无线接入的重要问题,尤其是在电力通信系统这样保密等级高,安全可靠性要求严格的系统中,接入网标准不统一,接入终端复杂,安全问题和隐患较多,直接影响了接入的稳定性和可靠性。文章针对当前电力通信网络无线接入技术中存在的安全问题采取了相应的安全措施,并给出了适用于电力通信网的无线安全接入技术的典型应用案例,分析了该案例下安全措施实施的效果。
1 背景介绍
1.1 电力通信无线接入技术
目前,电力通信各主干网基本以异步传输模式(Asynchronous Transfer Mode,ATM)和同步数字体系(Synchronous Digital Hierarchy,SDH)为主。但对于接入网系统的建设却一直没有准确的定位,通常沿用通信领域的接入技术,分为固定无线接入和移动无线接入。常见无线接入技术包括无线本地环路系统(Wireless Local Loop,WLL)、全球移动通信系统(Global System for Mobile Communication,GMS)、第3代移动通信系统3G、卫星移动通信系统、无线局域网(Wireless Local Area Networks,WLAN)和无线以太网接入等。
根据电力通信的不同应用,采用的无线接入技术也不同。在专用的电力通信网络,包括调度网、二次系统等网络中,由于其专用性强无线局域网、无线以太网技术得到广泛应用。目前,无线局域网最流行的技术是射频识别(Radio Frequency Identification,RFID)技术。在移动用户接入应用中,最常用的技术是GMS技术、3G技术(包括码分多址(Code Division Multiple Access,CDMA)、宽带码分多址(Wideband Code Division Multiple Access,WCDMA)、时分多址(Time Division Multiple Access,TDMA))、全球微波互联接入(Worldwide Interoperability for Microwave Access,Wi MAX)技术等[1]。多媒体监控领域常用的技术包括音频接入技术、视频接入技术(Moving Pictures Experts Group,MPEG)等。
1.1.1 无线接入系统整体结构
无线接入网络从终端到核心网络,按照应用不同网络层次结构也不相同,通常需要经过接入网和交换网才能进入核心网络,从而实现与其他网络的信息交互。无线接入系统位于终端节点和基站之间,起到用户节点和业务网络的数据传递作用。无线接入系统整体网络结构如图1所示。
无线接入系统是基站交换节点和用户终端节点之间的无线通信系统。主要连接控制器及操作维护中心、基站、固定用户节点及移动终端3部分。无线接入系统有3个接口,分别为用户网络接口(Users Networks Interface,UNI)、业务节点接口(Service Node Interface,SNI)、管理Q3接口。其中,Q3接口实现系统的配置和管理。无线接入系统内部功能模块分为核心功能模块、传输功能模块、用户口功能模块和业务口功能模块等。核心功能模块实现用户接入身份验证、信道侦听、路由选择等核心功能。传输功能模块实现用户和网络的信息传输,不作交换和其他网络处理。用户口和业务口功能模块分别为用户和接入业务提供接口。
1.1.2 无线接入技术分类和主要性能指标
无线接入技术通常按传输距离分为无线长距离接入和无线短距离接入。无线短距离接入常用于局域网、以太网等节点较少的低速接入网络,如电网厂站信息的无线采集和监控等。长距离无线接入主要用于多用户、接入信息量大的移动终端,如智能购电、移动办公等。常用的衡量性能指标如下。
1)有效性主要包括传输速率、带宽、吞吐率、传输时延、时延抖动等指标。
2)可靠性主要包括误包率、丢包率、平均意见(Mean Opinion Score,MOS)值[2]等指标。
3)可用性主要包括业务通道中断率和业务通道平均中断恢复时间等指标。
4)安全性主要包括非法用户接入识别率、攻击阻断率、拒绝服务的检测率等。
1.2 无线接入技术的特点和安全问题
相对于有线接入技术,无线接入技术具有的特点包括综合性强、技术种类多;拓扑结构多,组网能力大;频段资源有限;传输速率受限;稳定性、可靠性较差;新技术层出不穷。根据无线电力通信接入技术的优势和不足,分析可能存在的安全问题和隐患。
1)权限鉴别和数据保密性问题。由于无线接入终端接入连接的临时性特征,每个信道不是固定某个用户使用,所以每次通信都需要对用户的身份和权限进行鉴别。无线接入技术相对有线接入技术,其安全性、稳定性和可靠性较差,丢包和重传不可避免。如何保证较小的丢包率,以及在数据包丢失和被截获的情况下,避免造成信息泄露的风险,将是无线接入技术需要解决的首要问题。
2)抗干扰性问题。无线接入的干扰分为有针对性干扰和无针对性干扰。各种自然和人为无针对性干扰包括噪声干扰、码间干扰、单音干扰、多址干扰、天线干扰等。有针对性干扰主要用于军事和保密行业,如瞄准干扰、阻塞干扰、频带干扰等。电网实际应用中,大部分无线接入干扰是无针对性的,干扰信号不会影响发射源,只会影响接收源。如何让接收源去伪存真,准确辨别和接收发送源发送的信号是抗干扰的关键问题。
3)冲突多发和延时问题。由于信道有限,当多个发射源同时向同一空闲信道发送数据时,会发生数据冲突,最终导致通信阻塞,需重新建立检测信道和链路。该过程可能发生网络冲突、接收时延、网络拥塞、误传等问题。
1.3 研究目标
1)安全性、可信性目标。终端接入的安全性和可信性是无线接入技术的首要问题,其内容包括用户身份和权限鉴别、数据加密传输以及协议安全。
2)可靠性、稳定性目标。无线接入的不稳定性较强,易受外来信号源干扰,在移动用户接入过程中,接入的可靠性也面临很大挑战。在无线终端有效接入的前提下,提高其可靠性和确保信号的稳定性是无线接入系统优劣的衡量标准之一。
3)多协议兼容目标。无线接入技术的安全问题多发,与终端类型多、接入协议不统一有很大关系。有效实现多设备多协议兼容,避免接入过程中连接时间过长、冲突发生过于频繁、数据包丢包率过高等现象。
4)开放性目标。电力通信各现有协议多是已使用多年的成熟专用协议,其兼容性较差,而移动通信中无线接入协议是在快速发展进步中的新兴事物。使两者有限结合,建立一个开放式和多级化的系统,提升系统的兼容性和扩展性,将是一个历时长、解决难度大的问题,也是智能电网信息化建设最终要实现的目标。
2 主要安全措施
无线接入技术是一个不断发展演化的技术,伴随硬件设计工艺的不断完善、协议的不断规范、新技术和新标准的不断产生,自身的安全问题以及安全问题解决方案也在不断地发展变化。在当前电力通信领域,针对无线接入的安全隐患,通常采用的安全措施主要包括如下方面。
2.1 鉴别权限
通过身份认证和权限识别,允许合法用户接入网络,根据相应的权限提供相应的服务。
鉴别权限的方法包括口令信息认证、证书认证和第三方认证系统认证。其形式通常有软件认证、用户名口令认证、证书认证和硬件认证卡认证[3]。
与传统权限鉴别技术不同的是,当今的权限鉴别都是采用双向鉴别的方式,涉及数字签名、身份认证、无线通信网络的密钥协商管理与分配、密码安全协议分析等核心技术。鉴别用户的身份、权限和合法操作,并对违规操作进行跟踪、报警和阻断。
2.2 数据加密
提高传输数据的安全性是消除无线接入网安全隐患最根本的途径。电力通信典型的数据加密算法包括数据加密标准(Data Encryption Standard,DES)和公开密钥加密算法(RSA算法)[3]。
DES算法具有极高的安全性,到目前为止,除了用穷举搜索法对DES算法进行攻击外,还没有发现更有效的办法。
RSA算法是由Ron Rivest,Adi Shamirh和Len Adleman这3位科学家开发,基于将2个大素数相乘十分容易,但是想要对其乘积进行因式分解却极其困难的数论事实,将乘积公开作为加密密钥,能够很好地保证数据安全。
另外还有Fertzza,Elgama加密[4]等。在这些安全实用的算法中,有些适用于密钥分配,有些可作为加密算法,还有些仅用于数字签名。
2.3 抗干扰和防截获技术
在密集、复杂多变的电磁干扰和有针对性或无针对性的通信干扰环境中,采取各种抗干扰措施以保持通信畅通。
1)直接扩频通信。直接扩频是以扩展带宽为基础的抗干扰解决办法,其最主要的缺点是牺牲了带宽,降低了通信效率。
2)跳频通信。跳频本质是扩频通信的一种,但不像直接扩频技术浪费过多的通信带宽。跳频算法的研究一直是抗干扰通信研究的热点领域,评价其抗干扰性能的好坏,主要取决于频率点的多少和变化速度的快慢。通过设计跳频图案、单位时间跳频跳数和跳频同步实现方法,利用频率不断变化以躲避复杂环境下的电磁和通信干扰。
3)自适应技术。采用自适应天线、自适应干扰抑制滤波器等方法,在自组织网络中广泛应用,主要适用于移动终端接入。
2.4 协议安全
利用加密的安全协议加强无线通信数据传输过程中的保密性,阻止攻击者的窃听。
通过安全协议进行实体之间的认证,在实体之间安全地分配密钥,确认发送和接收消息的非否认性、机密性、完整性、认证性、匿名性、公平性等。密码学需要解决的各种难题一直是困扰协议安全的核心问题[5]。
通常采用提高密码算法安全性的方法包括建立第三方可信认证平台、加强安全协议的角色控制等。
2.5 冲突解决
在无线局域网中,多节点同时接入收发数据时,容易发生冲突。这不仅影响了接入效率,导致数据包丢失,也影响了接入的安全性。
信道多路复用分配包括静态分配和动态分配。在负载较重的情况下通常采用动态分配。动态分配又分为随机争用机制和访问控制机制。随机争用机制是一种随机的信道分配方式。访问控制机制可按节点顺序规则轮换或按需求量预约信道。
动态信道监听是对载波信道进行监听,当信道空闲时才传输数据,避免多节点数据收发的冲突产生。建立优化的信道分配策略,保持随时对信道进行动态检测/监听,当检测到信道占用时,快速切换至下一信道,最小限度减少丢包和延时。
2.6 算法优化
1)调制算法优化的目的是合理分配有限的频谱资源,提高网络吞吐率,保证数据传输安全。在现有调制识别算法的基础上,根据电力通信数据的信息特征,提取合适的特征值,提高基带信号的识别和信号纠错的能力,确保接收源正确接收信号。
2)路由算法优化的主要内容是地址分配和路由规划,网络的拓扑设计遵循路由发现能力强、路由开销小的规律,保证任何单一节点设备或一条单一传输电路故障不会影响整个网络的运行。在路由发现和路由维护过程中,要设计损耗小、路由短、冲突发生概率小、综合评价优良的算法。
3 典型部署和应用
3.1 调度网GPRS接入卫星通信系统部署
卫星通信是在电力专网不能应对突发事件的情况下才启用的临时应急通信模式[6],在电力专网能正常工作时,卫星应急系统不启用。卫星通信系统由地面站和卫星转发器组成。地面站主要实现终端设备和用户节点与卫星通信系统之间的信息接收、处理和传递。无线接入网络包括终端节点和地面站的无线接入部分,实现厂站采集的调度数据从终端到地面站的无线传递。
由于卫星上的能耗、存储空间和计算能力有限,无法实现复杂的运算,很容易受到监听、伪造、篡改和非法访问非法监听信道、激发病毒、伪造虚假管控指令等威胁,尽管卫星系统具有一定的安全防护功能,但是主要的安全措施都是在地面实现。调度网通用分组无线服务技术(General Packet Radio Service,GPRS)接入卫星通信系统的部署如图2所示。
3.2 安全防护效果
调度网的安全防护遵循专网专用、纵向隔离与横向隔离、接入认证、数据加密等原则[7]。根据前文的实际应用,以及国家电网信息安全等级要求的不同等级安全标准,从终端节点到卫星发送天线这部分地面站接入网范围,可选用多层次多级别的安全防护措施。
以最基本的防护方案为例,在无线接入边界,网关防火墙位置部署安全措施,该方案的最大特点是针对接入系统边界把安全隐患杜绝在接入网的源头。网络通过加入安全措施,提高了接入系统的综合性能。首先,对接入终端节点进行安全性评估,对安全等级不达标的终端进行安全加固。其次,增加了接入认证和鉴权的功能,验证接入用户的身份,并给通信双方授权有效证书;进行角色权限鉴别,依次提供相应的服务和监管。最后,检测来自终端的非法操作和攻击行为,并对违规行为进行报警或阻断。
安全管理系统具有核心管控作用,提供冲突解决、抗干扰、安全协议以及优化算法等系统的综合管理。保证系统接入的安全性,提高了接入效率,改进了接入网的可靠性、有效性、可用性和安全性[8]。
此外,还能针对电力专网和卫星通信网络进行更有针对性的安全防护,可提高接入网的安全等级和实际业务适用性。
3.3 其他应用领域
1)电网设备管理。通常电网设备要求长期保持良好的工作状态,采集工作数据,监控设备信息,严格控制非计划停运,并对故障产生情况进行监控、预警和停运等应急处理。由于人力资源有限,尤其在晚间用电高峰期和大部分工作人员的非工作时间,电网设备的监管常常不到位。无线技术的应用能减少过多的人员投入,减少设备管理人员工作量,提高工作效率。
2)电网线路故障巡查。随着高压、特高压、长距离传输供电需求的不断扩大,电力线路的巡检工作将越来越繁重,存在大量的人力、物力和时间重复浪费的现象,利用RFID扫描技术、3G技术等,巡检人员可在无人情况下,通过无线设备采集线路信息、排除故障和及时传送数据,实现了工作现场的远程监控和维护,使故障巡检工作简化并提高效率。
3)电网多媒体监控。利用3G技术的音频和视频会议、网络传输功能,实现电网多媒体监控实时数据传输[9],将3G移动多媒体业务与电力系统已有的监控系统结合,实现语音、视频、网络多形式全方位的实时监控。监控维护人员可使用移动终端设备,全方位实时监控电网运行状况,及时汇报传送信息和故障诊断应对。
4 结语
电力通信无线网络安全是随着信息化和电力技术发展而进化的。其设计思想是将安全管理方法和安全技术视为相互约束、共同进步的整体,而不仅仅局限在技术层面,还需要配合市场分析、需求分析、服务管理、风险应对、综合评估等手段。最终实现技术、管理和服务不断改进,新成果逐步推广,更好地实现国家电网智能化的发展目标。
摘要：为了解决电力通信网络无线接入技术中的安全问题,文章分析了电力通信网络无线接入技术的种类、系统结构和存在的安全问题,以及明确了解决这些安全问题的具体研究目标。文章采取了身份认证、权限鉴别、数据加密、抗干扰、冲突解决,算法优化等安全措施,提高了网络安全性、稳定性、可靠性。最后,文章给出了无线安全接入技术的实际应用案例和安全措施实施的部署模式。本研究对电力通信网络无线接入技术安全问题的解决提供了一种参考方案。
关键词：电力通信,无线接入,安全措施,典型部署
参考文献
[1]黄朔.WiMAX标准下3G技术在智能电网中的运用分析[J].现代电子技术,2011,34(1):20–22.HUANG Shuo.Application of WiMAX—based3G technology in smart power grid[J].Modern Electronics Technique,2011,34(1):20–22.
[2]王雅娟,乔嘉赓.基于分层思想的电力通信网络综合评价模型[J].电力系统通信,2012,33(3):36–39.WANG Ya-juan,QIAO Jia-geng.A comprehensive evaluation model of the electric power communication network based on hierarchical thought[J].Telecommunications for Electric Power System,2012,33(3):36–39.
[3]吴岩.电力自动化通信技术中的信息安全分析[J].中国新技术新产品,2011(12):25.WU Yan.Electric power automation communication technology in information security analysis[J].China New Technologies and Products,2011(12):25.
[4]王乘恩,黄红忠.电力通信网监测系统的安全防御体系研究[J].信息系统工程,2011(10):74–75.WANG Cheng-en,HUANG Hong-zhong.Electric power communication network monitoring system security defense system research[J].Information System Engineering,2011(10):74–75.
[5]苗新,陈希.电力通信网的安全体系架构[J].电力系统通信,2012,33(1):34–38.MIAO Xin,CHEN Xi.Security architecture of electric power communication network[J].Telecommunications for Electric Power System,2012,33(1):34–38.
[6]王雅娟,张斌.卫星通信网与调度数据网互联的安全方案研究[J].电力系统通信,2010,31(5):21–24.WANG Ya-juan,ZHANG Bin.Research on the integration solution between satellite communication network and power dispatching data network[J].Telecommunications for Electric Power System,2010,31(5):21–24.
[7]朱世顺.信息安全等级保护在电力信息系统中的应用[J].电力信息化,2010,8(4):12–14.
[8]董勇,张浩,倪谷平,等.McWiLL宽带无线组网技术及其在黄山电力的应用[J].电力信息化,2012,10(2):40–43.DONG Yong,ZHANG Hao,NI Gu-ping,et al.McWiLL broadband wireless networking technology and its application in Huangshan power[J].Electric Power Information Technology,2012,10(2):40–43.
安全接入技术 篇6
关键词：4G无线网络,安全接入,认证
前言:4G移动通信作为移动通信行业中的新兴事物, 在得到快速发展的同时, 其安全性问题也得到了更多的关注, 尤其是在安全接入方面, 得到的关注度更高, 也吸引大量的研究人员对此进行研究。所谓4G无线网络安全接入, 是指用户在使用4G无线网络时, 身份信息、用户信息等不被窃取或监听, 保证用户相关信息的安全和完整。
一、4G无线网络安全接入相关的理论
1、自证实公钥系统。
在自证实公钥系统中, 包含对称密码体制, 其所具备的运算速度是比较快的, 而且在进行数据处理时, 频率比较高, 对于保密通信问题, 从某种程度上来说, 能够比较好的解决, 因此, 通过系统设计, 实现系统的加解密。现如今, 计算机网络技术所具备的发展速度是非常快的, 在此背景下, 对称密码自身的局限性逐渐的显露出来, 这种局限性主要表现在以下几个方面:在对密钥进行管理时, 管理的难度增大;当密钥在陌生人之间进行传递时, 需要提供相应的数字签名, 然而在实际传递的过程中, 无法很好地解决这个问题。为了缓解这些存在的局限性, 产生了非对称密码, 在此种密码中, 针对的是每一个用户的公私钥对, 在单向函数的帮助下, 实现私钥空间映射到公钥空间, 这样一来, 当发生伪装攻击时, 就可以有效地防止。
2、安全协议。
安全协议主要采取密码算法, 在数据消息发送之前, 会对其进行高强度的加密, 以便于保证传输的安全性。在进行通信的过程中, 如果参与通信的成员当中包含不可信网络, 那么在实现通信时, 会建立起一种认证密钥交换协议, 在这个交换协议中, 包含两种协议, 一种是密钥交换协议, 一种是认证协议, 通过两种协议的结合, 保证网络通信的安全性[1]。4G无线网络在进行接入时, 其安全性的保证通过这两个理论共同作用来实现。
二、4G无线网络安全接入技术的认证
4G无线网络安全接入技术在进行认证时, 会涉及到很多的参数, x的长度用X来表示, TA为可信机构, ME通过此机构将私钥获得, 同时对公钥进行证实, 具体说来, ME首先会进行私钥的选定, 选定之后, 经过相应的计算, 得出VME, 随后, 将能够代表ME永久身份的标识符以及能够表示ME归属环境的标识符, 再加上计算结果发送给TA。TA在接收到相应的消息之后, 将ME的公钥计算出来并将其发送到ME处。ME接收完成之后进行验证, 如果验证的结果是正确的, 那么公钥以及私钥就会发送到移动终端[2]。
2.1首次接入的认证
在移动通信中, 当4G无线网络首次进行接入或者切换接入时, 为了保证接入的安全性, 就需要进行认证。在进行认证时, AN会先进行广播, 广播的内容包含两项, 一项是代表自己身份的标识符, 一项是公钥, ME将AN发送的信息接收之后, 会进行随机数的选择, 选择完成之后, 会将这个随机数连同身份标识符、归属环境标识符一起发送给AN。接收到相应的消息之后, AN就会进行验证, 当验证通过时, 会进行随机数的选择, 选择数量为两个, 完成之后进行相应的计算, 计算之后, 将计算结果发送给ME。随后, ME对信息进行验证, 验证成功之后, 同样选择随机数进行计算, 计算结果告知AN, 接着AN重复上个步骤中ME的做法, 形成结果。最后, ME通过解密工作的开展, 将能够代表自己临时身份的信息获得, 从而顺利的接入到4G无线网络中。
2.2再次接入的认证
4G无线网络在进行接入时, 可能会存在接入次数比较多的情况, 在接入时, 如果每次接入认证都必须要执行完整的过程中, 那么系统所承担的负担就会比较重, 尤其当接入用户比较多时, 会更加的加重系统负担, 进而产生认证延时的问题, 由此, 当进行再次接入时, 就可以实行快速认证的办法。首次认证完成之后, 如果ME想再次接入到同一网络中, 那么其首次认证中所获得的临时身份就具备很重要的作用, ME可以采用临时身份接入, 这样一来, 不仅身份信息的安全性得到了保证, 同时也提升了接入的速度[3]。通过再次接入认证方案的设计, 保证了4G无线网络接入的安全性。
三、结论
4G无线网络在进行接入时, 安全接入问题是主要的威胁, 如果接入的安全性比较差, 那么用户信息的安全性及完整性就无法有效的保证, 因此, 为了保证接入的安全性, 设计了首次接入和再次接入的认证方案, 通过身份认证, 有效的保证了接入的安全性。不过, 由于4G移动通信发展的时间还比较短, 因此4G无线网络安全接入技术的研究还不完善, 还需要进一步的加强研究, 以便于更好的保证接入的安全性。
参考文献
[1]李炜键, 孙飞.基于4G通信技术的无线网络安全通信分析[J].电力信息与通信技术, 2014, (01) :127-131.
[2]王伟伟.接入网技术在城市4G无线通信中的应用[J].硅谷, 2014, (16) :114-115.
安全接入技术 篇7
输电状态在线监测系统[1,2,3,4,5]是面向国家电网公司坚强智能电网建设要求, 实现国家电网公司输电线路的各类状态及关键运行环境的实时监测、预警、分析等功能, 并向其他相关系统提供标准化状态监测数据的业务系统。整个状态监测系统通过将输电线路及杆塔的数据经过特定传感器进行实时采集, 通过输电线路状态监测代理终端 (Condition Monitoring Agent, CMA) 经公网将数据传输到后台业务系统主站, 因此, 确保输变电设备状态监测代理终端自身的安全, 在公用数据网络中保证CMA安全接入业务系统主站, 以及防止线路状态监测数据被窃取或篡改十分重要。输电线路状态监测代理终端是一个运行嵌入式Linux系统的嵌入式终端, CMA运行输电线路状态监测代理软件, 获取状态监测传感器终端收集的输电线路状态信息, 通过GPRS模块经无线APN专网或者直接经信息内网与主站输电状态接入网关机 (Condition information Acquisition Gateway, CAG) 进行通信。在数据传输过程中存在非法终端接入、终端自身可能被攻击等风险, 因此, 迫切需要针对输电线路状态监测代理终端进行加固防护、高强度身份认证以及加密数据传输, 以此保证业务数据在通过无线公网接入时的保密性和完整性。
文献[6]提出了一种实现嵌入式终端可信接入的方法, 文中设计方案利用国产可信芯片, 同时提出了终端度量的方法。输电设备状态监测系统作为智能电网输变环节建设的重要组成部分, 是实现输电设备状态运行检修管理、提升生产运行管理精益化水平的重要手段。文献[7]通过对几种通信适用技术进行深入分析, 提出相应的解决方案。
可信计算和可信网络连接 (Trusted Network Connection, TNC) [8]由可信计算联盟 (Trusted Computing Group, TCG) 提出, 具体就是在计算机硬件平台上引入可信平台模块 (Trusted Platform Module, TPM) , 通过TPM物理上的安全特性来提高整个终端系统的安全性。本文以可信计算和可信网络连接为理论基础, 结合国家电网公司针对输电状态在线监测系统安全防护的实际需求, 提出了基于TNC的输电线路在线监测系统代理终端安全接入的体系框架。
1 基于TNC的输电线路在线监测代理终端安全接入
1.1 可信网络连接的实现
可信网络连接是实现输电线路在线监测终端安全接入的理论基础。可信网络连接中, 在终端接入网络时, 对用户的身份进行认证;如果认证通过, 对终端平台的身份进行认证;如果认证通过, 对终端的平台可信状态进行度量, 如果度量结果满足网络接入的安全策略, 则允许终端接入网络, 否则将终端连接到指定的隔离区域。TNC旨在将终端的可信状态延续到网络中, 使信任链从终端扩展到网络。
输电线路在线监测可信接入系统的可信网络连接分为客户端和服务端, 分别运行在CMA终端和可信接入服务器上, 可信网络连接以Openssl0.9.7为基础进行部分改造, Openssl包括密码算法库、安全套接层 (Secure Sockets Layer, SSL) 协议库以及应用程序3个部分, 首先, 将Openssl在CMA运行的嵌入式Linux上安装, 其中密码算法库通过Openssl engine机制, 挂载TPM软件栈, 替换原有软密码算法, 通过Openssl直接调用可信芯片密码算法, SSL协议库保留, 应用程序经过改造, 与完整性度量模块集成在CMA终端上, 服务器端的软件层次与改造方法与CMA相同。可信网络连接软件架构如图1所示。
在可信网络连接中, 可信PC终端与可信PDA进行远程证明, 完整性参考服务器事先导入CMA和服务器平台的标准完整性参考值。可信CMA通过GPRS等无线公网与可信接入服务器连接, 最后利用可信接入服务器的完整性验证软件读取服务器端平台的度量值, 并把相关信息报告给CMA, 结合前述终端完整性度量机制, 双向可信网络连接的验证过程如下。
1) CMA通过无线网络与服务器建立连接请求。
2) CMA获取其TPM中的PCR值。
3) CMA通过计算当前运行软件的静态可信值, 与获取的TPM中PCR存储的可信值比较, 如果相同则继续, 否则退出, 终端不可信。
4) CMA和服务器互相获取对方静态可信值, 验证并判断对方的安全状态。
5) CMA启动业务软件, 将业务软件的静态度量值和动态度量值发送至服务端验证。
6) 服务端验证度量值, 如果正确则验证成功, 可信连接建立, 否则远程证明失败。
基于上述流程, 利用可信CMA服务端的双向身份验证实现可信网络连接, 保证业务数据的双向可信传输。
1.2 可信服务端
在输电监测主站网关机CAG的主板上封装集成可信芯片的J3210开发板, 在此基础上, 通过在其上移植可信芯片驱动库和可信软件栈, 开发可信网络连接服务端和验证CMA终端完整性的验证软件, 完成可信服务端的系统设计, 可信服务器硬件主板如图2所示。
2 基于TNC的输变电设备状态监测系统典型设计
输变电设备状态监测系统 (简称监测系统) 利用各种传感器技术、广域通信技术和信息处理技术实现了各类输变电设备运行状态的实时感知、监视预警、分析诊断和评估预测, 是实现输变电设备状态运行检修管理、提升输变电专业生产运行管理精益化的重要技术手段。
当前, 监测系统典型网络结构采用主站、状态信息接入控制器 (Condition Access Controller, CAC) /CAG/CMA、监测终端三级部署模式, 监测系统网络结构如图3所示。
监测变电站内运行设备状态的终端通过有线或者无线的方式接入站内的CAC, 如果监测终端的报文为非标准数据, 则先由CMA进行数据格式的标准化, 再接入CAC。同理, 线路上的监测终端直接或者通过CMA标准化后接入CAG。数据在CAC/CAG汇总后接入主站内网边界的接入点, 再接到内网的各监测系统应用服务器。
由于监测终端接入电力系统内网, 跨越有线网络、无线网络、无线公网等广域网络, 网络结构复杂, 安全风险高。攻击者可以选择对监测终端攻击, 在监测终端植入恶意程序, 进而窃取监测终端的身份信息, 窃取监测数据;也可以选择攻击接入网络, 篡改网络传输数据, 干扰正常的监测工作;更可以模拟监测终端攻击网省主站系统, 进而对电力系统网络安全造成威胁。因此, 输变电设备状态监测系统需要加强安全防护措施, 保障电力系统网络安全。
基于可信网络连接的输变电设备状态监测系统采用可信计算体系中的TNC架构, 主站接入端设置有策略决策点 (Policy Decision Point, PDP) , PDP判断终端的接入请求是否满足要求, 如果符合要求, 通知策略执行点 (Policy Enforcement Point, PEP) 接入终端, 否则拒绝终端接入。PEP位于主站边界, 功能类似于接入网关, 用于控制外部设备, 如CAC/CAG/CMA、监测终端等的接入。PEP执行策略决策点的决定, 并承担与终端之间的通道数据加解密, 外部数据经过PEP的解密后进入内网。元数据接入点 (Metadata Access Point, MAP) 负责主站网络及状态监控管理系统的连接。监测系统可信计算接入流程如图4所示。
监测终端接入流程如下。
1) CAC/CAG向PEP申请接入请求。
2) PEP将申请转给PDP, PDP首先对CAC/CAG的身份证书进行认证。
3) 身份认证通过后, PDP将申请转到TNC服务端层, 由TNC服务端通过IF-TNCCS协议对CAC/CAG的TNC客户端层进行平台认证, 验证CAC/CAG主板上的TCM芯片中的AIK证书。
4) 平台认证通过后, PDP再将申请转到完整性验证层, 通过IF-M协议, 要求CAC/CAG对自身的完整性信息进行收集, PDP对收集后的数据进行完整性验证。
5) 验证通过后, PDP决定授予CAC/CAG相应的可信级别, 并通知PDP, 允许CAC/CAG接入。PEP与CAC/CAG协商加密密钥, 建立加密传输通道, 完成CAC/CAG的可信接入。
6) 如果CAC/CAG与监测终端之间存在CMA, 则CMA也参照CAC/CAG的接入方式接入主站。
7) CAC/CAG/CMA与主站之间的通信通道建立完成后, 监测终端通过该通道向PEP发起接入申请。采用类似于CAC/CAG的验证方式, 对监测终端身份、平台和完整性进行验证。验证完成后, PDP将监测终端纳入自己的信任域, 与监测终端完成通信加密密钥的协商, 将加密密钥下发至CAC/CAG/CMA。
TNC架构下的元数据接入点可以很好地兼容当前的网络结构, 只需要将其他设备改造为支持IF-MAP协议的网络设备即可, 内网设备可信接入框图如图5所示。
监测终端通过PEP申请接入, PDP对其进行身份认证、平台认证、完整性验证后, 允许监测终端接入。同时PDP将监测终端的信息通过IF-MAP协议发给元数据服务器。
内部防火墙检测到监测终端的访问请求, 通过IF-MAP协议向元数据服务器进行询问。防火墙根据元数据服务器返回的信息对自身策略进行配置, 控制终端的访问权限。
如果入侵检测系统 (Intrusion Detection System, IDS) 发现终端被病毒感染, 入侵检测系统立刻通过IF-MAP协议向元数据服务器发布该安全事件。元数据服务器立刻通知策略决策点有安全事件发生, 策略决策点通过判断立刻修改监测终端的可信状态, 通知策略执行点对监测终端进行隔离处理, 删除对其的授权, 并将处理结果发布到元数据服务器, 元数据服务器通知防火墙更改策略, 禁止监测终端接入。
同时PDP还要对接入终端、CAC/CAG、CMA进行认证, 具体包括身份认证和平台认证。
1) 身份认证。身份认证是为了PDP更好地对监测终端进行安全判断, 身份认证保存在终端自身的存储空间内, 如监测终端系统主板的非易失存储空间内。监测终端只有通过PDP对其进行的认证后, 可进入下一步。
2) 平台认证。平台认证是可信计算特有的一种认证方式。监测终端主板上的TCM芯片内存储着监测终端制造商存储的相关信息。包括制造商信息、平台信息、完整性证书等。通过对监测终端的平台认证, 可以对平台的关键信息进行认证, 进一步提高了监测终端的安全性。
3 结语
本文以可信计算和可信网络连接为理论基础, 结合输电线路在线监测代理终端的安全接入的实际需求, 提出了基于TNC的输电线路在线监测代理终端安全接入框架, 通过该框架下的可信网络连接和可信服务端的操作流程, 实现输电线路在线监测终端的安全可信接入。最后以输变电设备状态监测系统为例, 详细阐述了可信网络连接理论在该监测系统中的应用。
参考文献
[1]郭经红, 张浩, 刘亚新, 等.智能输电网线路状态监测系统数据传输技术研究[J].中国电机工程学报, 2011, 34 (S1) :45–48.GUO Jing-hong, ZHANG Hao, LIU Ya-xin, et al.Study on the data transmission technology of line condition monitoring system of smart transmission grid[J].Proceedings of the CSEE, 2011, 34 (S1) :45–48.
[2]康会西, 李宏斌, 张清扬, 等.输电线路综合在线监测系统设计[J].电网与清洁能源, 2010, 26 (5) :27–29.KANG Hui-xi, LI Hong-bin, ZHANG Qing-yang, et al.Design of integrated on-line monitoring system for transmission line[J].Power System and Clean Energy, 2010, 26 (5) :27–29.
[3]黄新波, 李国倡, 赵隆.智能电网输电线路在线监测与故障诊断综合系统[J].华东电力, 2011, 39 (12) :1998–1999.HUANG Xin-bo, LI Guo-chang, ZHAO Long.Integrated system of transmission line monitoring and fault diagnosis for smart grid[J].East China Electric Power, 2011, 39 (12) :1998–1999.
[4]Q/GDW 563—2010.输电线路状态监测代理技术规范[S].2010.
[5]李鹏, 黄新波, 赵隆, 等.智能输电线路状态监测代理的研究与设计[J].中国电机工程学报, 2013, 33 (16) :153–161.LI Peng, HUANG Xin-bo, ZHAO Long, et al.Research and design of transmission line condition monitoring agent[J].Proceedings of the CSEE, 2013, 33 (16) :153–161.
[6]陈亚东, 张涛, 曾荣, 等.输电线路在线监测可信接入系统设计[J].计算机技术与发展, 2013, 23 (5) :113–115, 119.CHEN Ya-dong, ZHANG Tao, ZENG Rong, et al.Design of trusted access system for transmission line monitoring[J].Computer Technology and Development, 2013, 23 (5) :113–115, 119.
[7]刘丽榕, 王玉东, 肖智宏, 等.输电线路在线监测系统通信传输方式研究[J].电力系统通信, 2011, 32 (222) :20–25.LIU Li-rong, WANG Yu-dong, XIAO Zhi-hong, et al.Study on the communication transmission mode of power transmission line monitoring system[J].Telecommunications for Electric Power System, 2011, 32 (222) :20–25.
移动安全接入平台的安全机制 篇8
关键词：移动终端,安全接入,APN,SSL,VPN
引言
目前, 随着移动互联网的发展, 在南方电网公司已经存在一批移动应用, 如移动办公、ITSM、基建作业、营销作业和电力抢修等。但由于各项业务终端和通信网络的不安全性, 为企业内网安全带来了巨大的风险, 主要体现在以下三个方面:
(1) 移动终端自身的安全性问题。由于移动终端接入电力信息内网后可能处于“一机两网”的状态, 即同时连接Internet和电力信息内网, 同时由于移动终端缺乏保护终端数据文件的有效手段, 因此存在电力信息内网敏感信息泄露等安全隐患。
(2) 通信过程中的安全性问题。在移动终端接入电力信息内网的过程中, 以及在接入后数据的传输过程中, 数据传输链路都面临着被攻击干扰、破坏、截获数据、篡改数据等威胁。
(3) 营销终端的访问控制问题。移动终端一经成功接入电力信息内网后就被看作是电力信息内部可信的用户来使用电力信息内网的资源, 一旦终端被挟持, 将会给整个电力信息内网带来不可控制的风险威胁。
因此必须加强企业移动应用的安全保证措施, 才能使个人和企业的数据安全得到保证。
概述
从实践的角度来看, 终端接入企业内网的问题通常涉及三个部分:传输通道的安全、内网应用的安全和终端设备的安全。这三个方面任何一方面出现问题, 都将导致远程接入过程的不安全。而传统的基于APN专网的接入方案都只关注于传输通道的安全, 虽然在某个方面上保证了远程接入的数据传输安全, 但缺乏对整个接入过程的完整保护, 无法保证移动终端在接入内网应用时的安全。
移动安全接入平台从技术的角度出发, 通过对企业应用环境的资产、威胁和脆弱性进行分析, 将整个安全架构在网络传输安全、终端安全、应用安全之上, 以多种技术手段和多重保障机制, 有效地保障企业的网络安全和数据安全。
一、企业移动应用发展现状
4G加速进入生活, 智能手机和平板已经成为我们生活中不可或缺的产品。甚至在工作中, 移动设备也是我们重要的工具和伙伴, 越来越多的人们在工作中使用移动设备。
针对企业员工进行的一项调查数据显示, 62%的员工日常工作中使用智能手机, 56%的员工使用平板电脑。
使用移动设备进行办公已经成为一种全新的工作方式。这种工作方式形式灵活, 不受时间地点限制, 办公效率得到提升, 同时节省了企业的办公成本。
与此同时, 移动设备易携带、易丢失、个人消费应用和企业应用混用等特点, 导致IT支持部门非常担心由此带来的安全风险。这些风险包括:
(1) 数据安全。智能终端易于携带、容易丢失, 会导致敏感商业信息的泄漏, 对数据安全构成极大威胁, 给企业带来法规遵从的风险。此外, 移动终端易被他人非授权使用, 产生拷贝、下载或打印企业内部敏感资料的风险。
(2) 网络安全。由于自携带设备的特殊性, 智能终端经常在不安全网络和企业网络之间来回切换, 因此更容易遭受木马或病毒的侵害, 从而将病毒或木马自动传播至企业网络, 对内部网络安全构成极大威胁。
(3) 应用安全。相当一部分移动设备来自于员工, 而非企业。员工可以任意下载和安装消费类应用, 这极大地降低系统的可靠性, 引入了安全风险, 造成企业数据丢失或设备功能失效。
南方电网为解决移动设备在企业办公中存在的安全问题, 早在2010年就实施了自己的移动安全接入平台, 并建立了《南方电网远程移动安全接入平台技术规范》, 对企业如何进行移动信息化以及移动安全方面做出了积极探索。
二、移动安全接入平台中的安全机制
本文将从网络传输安全、终端安全、应用安全三个方面介绍移动安全接入平台的安全机制。
2.1网络传输安全
网络传输安全通过以下技术手段来保证。
2.1.1 APN技术
APN (Anywhere Private Network) 是解决以动态IP接入Internet的局域网之间的互联, 并以较低成本接入, 以较低通信成本提供较高性能以及可靠的网络专网的计算机网络技术。
在移动安全接入平台中, 移动终端被强制要求通过企业APN来访问系统。终端用户需要经过准入申请和准入审核才可接入网络, 移动终端对企业内网的访问是完全可控的。
2.1.2设备绑定
UDID, 是用于区分设备的GUID唯一编码。由于操作系统厂商的限制, 获取设备物理编码 (IMEI) 变得不可能。因此移动安全接入平台根据一定的编码规则及设备的物理特性为每一台设备生成一个唯一的UDID码, 用于识别移动终端。同时将该编码和特定用户进行绑定。
移动安全平台支持对入网设备的MDN (手机号) 和UDID进行绑定。针对首次入网的设备, 系统将要求用户对该设备进行绑定。绑定是基于向该用户发送认证码短信来进行的, 而用户接收短信的手机号信息来自于平台登录数据库, 而短信的发送完全是由企业管理人员手动操作的。只有经过设备绑定的用户, 才会被系统准入。
一旦设备绑定完成, 该用户的注册账户和该设备的UUID将绑定到一起, 任一信息不符用户都将无法登入平台。从而最大限度地保证设备不被挟持和滥用, 降低资产脆弱性。
此外, 平台可对终端设备进行管理, 如用户的移动终端不慎遗失, 管理人员可通过管理后台的禁止该设备的登录。
2.1.3身份认证
此外, 用户在登录内网应用之前, 需要进行身份认证。平台认证的措施包括用户密码和动态口令。动态口令每次都会随机生成, 客户端不会进行缓存, 并以短信的方式发送到设备所绑定的手机上。
动态口令只在指定时间内有效, 一旦失效只能再次请求新的动态口令。平台管理人员可以指定动态口令的有效时间, 并随时查询动态口令的生成情况及有效状态。
2.1.4信息传输加密
对于在网络中传输的数据, 移动安全接入平台也提供了相应的安全加密措施, 包括客户端与平台之间的各种消息报文、交易信息和表单数据。对于这些高敏感数据, 移动接入平台提供了一种“非对称加密+对称加密”的复合网络传输加密机制。
顾名思义, 对称加密算法, 即加密与解密用的是同一把秘钥;而非对称加密算法, 加密与解密用的是不同的秘钥。
显然, 非对称加密比对称加密有着更高的安全性。因为对于对称加密, 由于加密与解密的秘钥是同一把, 通信的一方必须将秘钥和密文都传递过去, 对方才能解密。而非对称加密则不然, 只需传递密文与用于解密的公钥, 对方即可解密, 用于加密的私钥由己方保留不必传递给对方。目前公认的观点认为:只要钥匙的长度足够长, 使用非对称加密的信息永远不可能被解破。
当然, 由于非对称加密对CPU计算性能的依赖很大, 在使用相同秘钥的情况下, 非对称加密的运算速度比对称密码也要慢许多。此外, 非对称加密长度能够加密的信息的长度往往受限于密钥长度。
因此, 鉴于二者各自的特点, 移动安全接入平台将二者取长补短, 结合起来使用, 极大地保障了移动安全接入平台在网络中的传输的数据安全性和完整性。
2.2终端安全
终端安全技术包括:终端安全检查、代码签名技术、MDM (移动设备管理) 。
2.2.1终端安全检查
终端安全检查是检查终端状态是否合乎安全要求、用户的行为是否合法。移动终端在访问内网资源前, 需要进行安全性检查, 不符合安全检查策略的终端将被禁止访问内网资源。安全检查模块对终端的操作系统版本、系统是否越狱、锁屏密码是否合规、特殊位置的磁盘文件等进行严格检查。
根据检查策略, 系统在处理移动终端接入时会先检查终端是否具备上述一项或者几项特征参数, 依据检查结果判断是否允许该终端与安全接入网关建立连接, 彻底杜绝不健康的移动终端接入内网, 确保移动终端的安全, 从源头杜绝威胁的发生。
2.2.2代码签名技术
代码签名证书为软件开发商提供了一个理想的解决方案, 使得软件开发商能对其软件代码进行数字签名。通过对代码的数字签名来标识软件来源以及软件开发者的真实身份, 保证代码在签名之后不被恶意篡改。使用户在下载已经签名的代码时, 能够有效的验证该代码的可信度。
移动安全接入平台根据不同移动终端所用的平台 (i OS、Android、Windows) 及平台所对应的app商店, 采用不同的技术对app进行代码签名, 从而可让用户确信它来自已知来源, 且自最后一次签名之后未被修改。
2.2.3 MDM移动设备管理
移动安全平台通过MDM进行移动终端的管理。包括:
1) 移动设备访问控制
移动设备本身的访问控制不高, 通常没有安全保护 (如使用简单的滑动锁) 或仅有弱保护 (如使用9点屏幕锁) 。同时, 移动设备很容遗失或被盗。MDM通过锁屏、清除密码、下发策略强制加强密码强度等远程指令来操作设备的访问控制。
2) 数据自毁
通过MDM的“远程擦除”操作, 可以强制销毁移动设备上的所有用户数据。防止用户隐私或企业数据泄露。
3) 应用程序管理
对于“托管”设备, MDM可以检查设备上的应用安装情况, 存储空间大小, 操作系统版本以及是否越狱等状态, 一旦发现设备上安装可疑程序, 即可通过安装在设备上的MDM代理服务终止企业应用程序运行。
2.3应用安全
应用安全包括:应用数据加密、权限控制、企业应用商店。
2.3.1应用数据加密
数据的保密性要求我们对于企业中敏感数据进行必要的加密和访问控制。
移动安全接入对用户敏感数据, 例如用户密码、证书及密钥进行加密处理。此外, 对于缓存在客户端的企业机密数据, 包括移动办公系统中的各种内部文档、组织结构和企业通讯录, 也进行了加密处理。
2.3.2权限控制
对于移动安全接入平台系统来讲, 访问控制主要是基于角色进行访问的控制。基于角色访问控制也是在信息系统中使用比较广泛的访问控制机制。用户在通过了平台的身份认证后, 只能看到相应权限下才能查看数据, 以及使用相应权限才可操作的功能。
2.3.3企业应用商店
南方电网移动安全平台内置企业应用商店, 所有移动应用终端app均在企业应用商店内进行发布, 由企业代替操作系统厂商对应用进行管理。
同时, 对于企业应用商店中的应用, 可通过MDM进行企业应用的无线部署 (OTA) 或直接推送至终端桌面。通过企业应用商店这一有力工具, 无疑将极大地简化应用的安装和升级步骤, 改善用户体验, 并保证了移动应用来源的可靠性和安全性。
三、结论
企业办公移动化必将成为下一轮企业发展的新趋势。于此同时, 企业必将在IT安全和管理方面遭遇新的挑战。南方电网移动安全接入系统是南网信息化建设中的重要组成部分。
南网移动安全平台在分析总结企业移动应用接入现状的基础上, 以保证移动终端接入的安全性为目标, 深入研究了安全接入的关键技术, 从网络传输安全、终端安全、应用安全三个方面入手, 研究并解决移动终端接入过程的信息安全问题, 有效地保障了企业的网络安全和数据安全, 极大地推动南网移动信息化和“六加一”工程的建设, 符合南网“十二五”信息化规划的远景目标, 加快南方电网网内信息资源的整合及信息的规范化、一体化建设。
参考文献
[1钱煜明.BYOD企业移动设备管理技术[J].中兴通讯技术, 2013, 9 (6) .
[2]许丽萍.BYO来袭把握移动安全四大趋势[J].上海信息化, 2013, (6) .
[3]孙强强.BYOD在电力企业中的研究与应用[J].现代计算机, 2013, (4) .
[4]杨宏焱.企业级i OS应用开发实战[M].北京:机械工业出版社, 2013.
安全接入技术 篇9
關键词：网络安全；防火墙；入侵检测；数据加密
中图分类号：TP273文献标识码：A文章编号：1007-9599 (2011) 03-0000-01
The Device Itself Safety Study of Access Ring Ethernet
Si Yanfang,Zhang Hong,Lai Xiaojun
(No.713 Research Institute,Zhengzhou450015,China)
Abstract:In this paper,the characteristics of ship and use the ethernet ring network security situation is now more difficult to construct a firewall,intrusion detection systems,port management,data encryption,vulnerability management,disaster recovery and other security policy of security and defense systems,effective protection of ethernet ring network security,ethernet connection for the ships safety equipment.
Keywords:Network security;Firewall;Intrusion detection;Data encryption
一、概述
环形以太网是由一组IEEE 802.1兼容的以太网节点组成的环形拓扑，随着环形以太网的普及和网络技术的飞速发展，人们在充分享受信息共享带来的便利时，也被网络病毒和网络攻击问题所困扰，网络安全问题被提上日程，并有了快速的发展。
二、常用的安全技术
鉴于越来越严峻的网络安全形势，对网络安全技术的研究也越来越深入，常用的网络安全技术有：防火墙，入侵监测系统以及数据加密技术等。
（一）防火墙。防火墙是指在两个网络之间加强访问控制的一个或一系列网络设备，是安装了防火墙软件的主机、路由器或多机系统。防火墙还包括了整个网络的安全策略和安全行为，是一整套保障网络安全的手段。已有的防火墙系统是一个静态的网络防御系统，它对新协议和新服务不能进行动态支持，所以很难提供个性化的服务。
传统防火墙的不足和弱点逐渐暴露出来：
1.不能阻止来自网络内部的袭击；
2.不能提供实时的入侵检测能力；
3.对病毒也束手无策。
（二）入侵检测技术。入侵检测技术是一种主动保护自己免受攻击的一种网络安全技术。作为防火墙的合理补充，入侵检测技术能够帮助系统对付网络攻击，扩展了系统管理员的安全管理能力，提高了信息安全基础结构的完整性。它可以主动实时检测来自被保护系统内部与外部的未授权活动。
（三）数据加密技术。数据加密技术是指对被保护数据采用加密密钥进行加密形成密文，只有被授予解密密钥的用户才能在接收到数据之后用解密密钥对数据进行解密形成原始的明文进行阅读。数据加密技术作为一种被动的安全防御机制，是在数据被窃取的情况下对数据最后的保护，是保护数据安全的一种有效手段。
三、安全防御系统的构建
根据环形以太网传播模式多样、传输数据量大的特点及常见的网络安全技术的分析，本文构建了由防火墙、入侵监测系统、端口管理、漏洞管理、安全策略组成的完整的安全防御系统。
（一）使用防火墙。防火墙设置在受保护的系统和不受保护的系统之间，通过监控网络通信来隔离内部和外部系统，以阻挡来自被保护网络外部的安全威胁。当被保护系统接收到外部发来的服务申请时，防火墙根据其服务类型、服务内容、被服务的对象、服务者申请的时间、申请者的域名范围等来决定是否接受此项服务，如果该服务符合防火墙设定的安全策略，就判定该服务为安全服务，继而向内部系统转发这项请求，反之拒绝，从而保护内部系统不被非法访问。
（二）选用合适的入侵检测系统。本文提出的安全防御系统主要是为了保护环形以太网中的各个结点免受网络威胁的入侵，所以选择基于主机的入侵检测系统，既可以更好的保护主机信息，又方便与防火墙结合。入侵检测系统与防火墙采用将入侵监测系统嵌入到防火墙中的方式结合，如图1所示。
该结构处理步骤如下：
1.防火墙把不符合安全策略的数据首先拒绝其进入系统内部，把符合安全策略的数据传递给入侵检测系统做进一步检测；
2.入侵检测系统对防火墙放行的数据做进一步分析，对含有安全威胁的数据直接丢弃，反之放行使其进入系统内部；
3.入侵检测系统定期对系统内部的系统日志等系统数据进行分析检测，从而发现来自系统内部的威胁。
将防火墙这种静态安全技术与入侵检测系统这种动态安全技术结合使用，可以在被动检测的基础上通过入侵检测系统进行主动检测，同时检测来自系统内部与外部的安全威胁。
（三）端口管理。只开放环形以太网中的特定的少数机器的端口，允许其与外部存储设备进行数据交换，然后在其它节点需要该交换数据时，使其与开放端口的节点进行通信，并且对这几台机器的安全系统进行及时升级更新，从而有效保护环形以太网的内部安全。
（四）漏洞管理。加强软件管理，及时发现系统软件、应用软件尤其是系统安全防御软件的漏洞，并下载补丁，尽量避免漏洞被入侵者利用，从而提高系统整体的安全性。同时，要注意人为管理漏洞的防御，提高网络操作员的网络安全意识，制订严格的计算机操作规章制度，使网络安全管理有章可循。
四、结论
本文根据环形以太网的特点和现在严峻的网络安全形势，构建了一个针对环形以太网的安全防御系统，在实际应用中可以根据被保护环形以太网的实际需要进行合理的选择和增减。
参考文献：
[1]刘长松.具有入侵检测功能的防火墙系统的设计与实现[J].四川:电子科技大学,2003
[2]王峰.如何制定网络安全策略[J].电脑知识与技术,2007,2,1:64-65，73
[3]熊松锰.构建网络信息的安全防护体系[J].情报学报.2003.
数字校园统一安全接入平台的研究 篇10
然而,随着数字校园网的逐步深入、应用系统的增加、业务类型的日趋复杂、用户群体的迅速增长和活跃,数字化校园面临的安全和管理问题也日趋突出。例如:黑客的攻击、身份的冒名顶替、用户身份管理和权限管理的复杂性等。
因此,在各个高校向数字化校园的目标不断探索前进的条件下,一个能够集成校园内所有服务并且具有独立安全的身份认证、访问授权、单点登录、信息安全传输等功能的数字校园统一安全接入平台就成了当今数字化校园的研究热点。
1 系统的总体设计
1.1 系统模型
本文设计了一个基于PKI/PMI的数字化校园中的安全接入平台,它是一种应用层的系统。PKI作为信息安全基础设施,它提供的公钥证书为用户提供了强身份认证机制和网络数据的加密传输机制;而授权管理基础设施PMI为用户提供基于角色的访问控制,它负责收集属性证书中用户的角色,根据实际情况将部分角色激活并赋予权限,而属性权威可以在属性证书中绑定代表用户身份的公钥证书,实现PKI和PMI的关联,建立一个通用的安全平台。本设计将采用PKI提供身份认证和安全传输服务,在接入认证的基础上应用PMI进一步实现用户的访问控制;并应用LDAP目录服务器中存放用户的公钥证书、属性证书,对其进行统一管理,便于认证服务器的查找。同时为了解决安全接入平台和原有应用系统能够协同工作、容易移植的问题,在安全接入平台中设计了一个资源整合模块。系统设计模型如图1所示。
1.2 工作流程
统一安全接入平台的工作流程如图2所示。
1)用户使用客户端登录代理进行登录。
2)接入认证模块根据登录信息进行身份认证,并保证客户端与服务器端数据的安全传输。
3)传送身份认证信息至授权管理模块。
4)授权管理模块根据身份认证信息从LDAP目录服务器的属性证书库中取出用户角色信息。
5)授权管理模块的访问控制层通过Response消息传送用户角色信息。
6)资源整合模块接口根据传送来的角色信息,访问数据库。在数据库的资源/角色表中获取相应的资源ID。根据资源ID获取相应资源的属性,按用户或角色构建资源列表。
7)资源整合模块首先对各应用系统资源进行整合,然后传送用户角色相对应的资源。
8)获取资源列表后。根据角色生成展示界面,实现定制展示界面。
2 主要功能模块的设计与实现
2.1 接入认证模块
接入认证模块主要负责对用户进行统一的身份认证,同时还要为用户登录安全接入平台提供业务信息传输的安全接口。它是采用基于PKI的USB Key的身份认证技术进行身份认证。在本系统中,用户的数字证书存储在UsbKey中,它采用双因素和数字证书相结合的认证方法验证用户的身份。发送方和接收方能够通过数字证书来确认对方的身份;数字证书事先通过离线申请,并将其预置到USB Key中;当用户通过客户端请求登录校园内应用系统时,系统首先要求用户插入电子钥匙,同时输入电子钥匙的保护口令;通过后,认证服务器才通过检查客户端存储在USB Key中的数字证书来确定用户的身份,使系统有效避开传统身份认证过程的安全隐患,以高度安全的方式完成对网络用户的身份验证。同时,在用户通过身份认证后,客户和服务器端还可以通过身份认证后产生的会话密钥加密通讯信息来保证业务信息的安全传输。接入认证模块体系结构如图3所示。
2.2 授权管理模块
此模块将对合法用户进行基于角色的访问控制。基于角色的访问控制是将用户划分为不同的角色,再给角色授予相应的权限,通过角色用户就可以拥有一定的权限来访问授权资源,对资源进行合法操作。
本系统的授权机制是将用户与特定的一个或多个角色相联系,角色与一个或多个访问许可权相联系,建立用户———角色映射表和角色———权限映射表,授权模块将把两表的内容进行关联性融合,就形成了可以直接反映用户、角色、权限关系的访问控制表。基于角色的访问控制关系如图4所示。
2.3 系统整合模块
系统整合是程序、数据、标准的结合,它可以将两个或者多个分散的应用系统无缝地结合成为一个整体,实现各系统的功能控制和信息交互与共享。由于现有的每个应用系统的认证方式独立,资源表示各异,并且都有一套自己的用户信息库,一个用户可能在不同的应用系统中使用不同的登录方式和不同的账号。而安全接入平台系统就是要求用户只能使用统一的登录方式,且拥有唯一的用户帐号,这样就与原有应用系统相互矛盾。为了解决统一接入平台和原有应用系统能够协同工作的问题,必须使用一个统一登录界面。系统整合模块使用户的登录界面统一化,使各应用系统的信息传输、数据定义、访问模型等机制标准化,并且还可以与原有系统的账号绑定,有效地解决了统一安全接入平台与原有应用系统的无缝整合问题。
系统整合的方法很多,本系统采用Web Services进行系统整合。Web Services是一个能够通过Web进行调用的API,它是一个基于网络的、分布式的模块化组件,它不仅仅是异构数据的传输通道,更是数据的载体。它本身不属于应用程序部分,它是以服务提供者的身份出现在各应用系统中,使应用系统由紧耦合转向了松耦合,从而提高了各系统数据的通用性。
3 结束语
此系统以PKI/PMI技术为基础,通过数字证书、安全公证服务、角色访问控制等实现了数字校园各应用系统身份的统一安全认证,单点登录,资源的集中访问控制;同时,还可以利用PKI技术中的数据加密、数字签名等技术保证信息的机密性和信息的不可否认性,增强了网络信息系统的安全性;同时利用Webservice系统整合功能很好解决在校园网内部各系统的操作流程和工作平台由于独立开发而造成的互不兼容,无法实现互操作性的难题。
摘要：文章根据数字校园应用服务多、用户群体活跃、安全管理松散等特点,提出了一个基于PKI/PMI技术的统一安全接入平台的设计方案。文中给出了系统总体设计模型图和系统的工作流程,并对此模型图中的主要功能模块进行了设计。
关键词：数字校园,PKI,PMI,USB Key,Web Services
参考文献
[1](美)Andrew Nash,William Duane,Celia Joseph,Derek Brink.张玉清,陈建奇,杨波,等译.公钥基础设施(PKI)实现和管理电子安全[M].清华大学出版社,2002,12.
[2]周宏宇.校园网统一身份认证系统的研究和实现[C].大连理工大学硕士论文,2005.
[3]宋玲.基于证书实现多媒体会议安全身份认证的方案[J].计算机工程,2006,32(1):166-168.
[4]郑洲,蒋兴浩,杨树堂,等.LDAP目录服务在PKI/PMI中的应用[J].计算机工程,2004,30(18):49-51.