在過去的幾年中，Internet得到了迅猛的發(fā)展，全世界每天都有成千上萬的主機連入Internet。Internet的網(wǎng)絡(luò)規(guī)模急劇膨脹，不僅供應商開始利用它開拓電子商務(wù)等商業(yè)應用，許多政府機構(gòu)也連入了Internet。軍事通信領(lǐng)域的Internet應用也已開展。計算機網(wǎng)絡(luò)和Internet的廣泛普及引起了人們對網(wǎng)絡(luò)安全問題的普遍關(guān)注，這其中一個主要的安全問題就是如何有效地控制成千上萬的用戶對網(wǎng)絡(luò)的各個組成部分和資源所進行的訪問。顯然，不能相信所有的用戶都能正確、合法地使用網(wǎng)絡(luò)，這就有必要進行適當?shù)脑L問控制，最基本的要求就是采用確定的機制對通信實體和網(wǎng)絡(luò)用戶進行可靠的認證和控制。

隨著Internet的快速發(fā)展，Intranet作為因特網(wǎng)技術(shù)運用于單位、部門和企業(yè)專用網(wǎng)的產(chǎn)物，也得到迅速普及發(fā)展。Intranet并非是地域上的概念，而是在信息空間上的虛擬網(wǎng)絡(luò)概念，如一個國家外交系統(tǒng)的內(nèi)域網(wǎng)用戶可能分布全球。它在原有專用網(wǎng)的基礎(chǔ)上增加了服務(wù)器、服務(wù)器軟件、Web內(nèi)容制作工具和瀏覽器，與因特網(wǎng)連通，從而使內(nèi)域網(wǎng)充滿了生機和活力。內(nèi)域網(wǎng)為公司和單位信息的散播和利用提供了極為便利的條件。瀏覽器為網(wǎng)上用戶提供信息，服務(wù)器對網(wǎng)絡(luò)進行管理、組織和存儲信息，并提供必要的安全服務(wù)。通常情況下，Intranet中則存有大量的單位內(nèi)部的敏感信息，具有極高的商務(wù)、政治和軍事價值。因此，Intranet是一種半封閉甚至是全封閉的集中式可控網(wǎng)，其安全保密是至關(guān)重要的，要保證內(nèi)域網(wǎng)不被非法入侵和破壞，網(wǎng)中的敏感信息不被非法竊取和篡改，同時還要保證網(wǎng)內(nèi)用戶和網(wǎng)外用戶之間正常連通，向他們提供應有的服務(wù)。這些安全業(yè)務(wù)都需要一個完善的接入控制機制。

1 網(wǎng)絡(luò)安全接入控制技術(shù)概述

接入或訪問控制是保證網(wǎng)絡(luò)安全的重要手段，它通過一組機制控制不同級別的主體對目標資源的不同授權(quán)訪問，在對主體認證之后實施網(wǎng)絡(luò)資源的安全管理使用。

通常，我們認為計算機系統(tǒng)中有3類入侵者：

偽裝者(Masquerader)：非法用戶，喬裝合法用戶滲透進入系統(tǒng)，一般來自系統(tǒng)外部；

違法者(Misfeasor)：合法用戶，非法訪問未授權(quán)數(shù)據(jù)、程序或資源，一般來自系統(tǒng)內(nèi)部；

地下用戶(Clandestine user)：掌握了系統(tǒng)的管理控制，并利用它來逃避審計和接入控制或抑制審計作用，可能來自系統(tǒng)的外部或者內(nèi)部。

針對以上3類入侵攻擊，接入控制基本功能包括以下3個：阻止非法用戶進入系統(tǒng)；允許合法用戶進入系統(tǒng)；使合法用戶按其權(quán)限，來進行各種信息活動，不得有越權(quán)行為。

實現(xiàn)安全的網(wǎng)絡(luò)接入控制的機構(gòu)模型組成如圖1所示。該模型包括兩部分：

用戶的認證與識別；

對認證的用戶進行授權(quán)。

接入控制實現(xiàn)模型的建立主要是根據(jù)如下3種類型的信息：

主體(Subjects)：是對目標進行訪問的實體。主體可以是用戶、用戶組、終端、主機或者是一個應用程序。

客體(Objects)：是一個可接受訪問和受控的實體。它可以是一個數(shù)據(jù)文件、一個程序組或一個數(shù)據(jù)庫。

接入權(quán)限：表示主體對客體訪問時可擁有的權(quán)利。接入權(quán)要按每一對主體客體分別限定，包括讀、寫、執(zhí)行等。讀、寫權(quán)含義明確，而執(zhí)行權(quán)是指目標為一個程序時它對文件的查找和執(zhí)行。

概括地講，實現(xiàn)安全接入控制的策略包括：

最小權(quán)益策略：按主體執(zhí)行任務(wù)所需權(quán)利最小化分配權(quán)力；

最小泄露策略：按主體執(zhí)行任務(wù)所知道的信息最小化的原則分配權(quán)力；

多級安全策略：主體和客體按普通、秘密、機密、絕密級劃分，進行權(quán)限和流向控制。

2 網(wǎng)絡(luò)安全接入控制技術(shù)的實現(xiàn)

下面從兩個角度討論網(wǎng)絡(luò)安全接入控制技術(shù)的實現(xiàn)。圖2給出了一個簡單的接入控制的實現(xiàn)框圖。從工作方式上，網(wǎng)絡(luò)接入控制的實現(xiàn)可分為如下兩類：

(1)自主式網(wǎng)絡(luò)接入控制

也稱辨別接入控制，簡記為DAC。它由網(wǎng)絡(luò)資源擁有者給用戶分配接入權(quán)，在辨別各用戶的基礎(chǔ)上實現(xiàn)接入控制。每個用戶的接入權(quán)由網(wǎng)絡(luò)系統(tǒng)的管理者事先建立，常以接入控制表或權(quán)限表來實現(xiàn)。這一方法靈活，便于合法用戶訪問相應的數(shù)據(jù)，在安全性要求不高的網(wǎng)絡(luò)環(huán)境下可采用。但如果系統(tǒng)管理員疏于管理或者接入控制策略設(shè)置有誤時，就會危及到網(wǎng)絡(luò)系統(tǒng)和資源的安全。因而，DAC容易受到攻擊。

(2)強制式網(wǎng)絡(luò)接入控制

簡記為MAC。它由網(wǎng)絡(luò)系統(tǒng)管理員來分配接入權(quán)限和實施控制，易于與網(wǎng)絡(luò)的安全策略協(xié)調(diào)，常用敏感標記實現(xiàn)多級安全控制。由于它易于針對所有用戶和資源實施強化的安全接入策略，因而有較高的安全保障。

另外，針對不同的應用環(huán)境，網(wǎng)絡(luò)接入策略也有不同應用模式。下面分別介紹目前有線網(wǎng)絡(luò)和無線網(wǎng)絡(luò)環(huán)境下，主要的網(wǎng)絡(luò)安全接入技術(shù)的實現(xiàn)。

(1)有線網(wǎng)絡(luò)系統(tǒng)中的安全接入控制技術(shù)

在有線網(wǎng)絡(luò)系統(tǒng)中，通常情況下安全接入控制技術(shù)都是與防火墻技術(shù)結(jié)合使用，來保障一個Intranet的內(nèi)部資源不被非法用戶獲得，同時給合法用戶提供合理的Internet接入服務(wù)。下面結(jié)合一個有線網(wǎng)絡(luò)環(huán)境的實例（如圖3所示），來說明如何使用網(wǎng)絡(luò)接入控制來實現(xiàn)Intranet到Internet的接入安全管理。

在圖3中，虛線以下構(gòu)造了一個Intranet，其中兩處為網(wǎng)絡(luò)接入控制點，分別說明如下：

1接入控制點1即Intranet與Internet的連接點，該處的接入控制功能通常由防火墻完成。由于控制點1直接與Internet連接，其受到入侵攻擊和非法接入的可能性最大，因而也是最危險的位置。下面以屏蔽子網(wǎng)模式的防火墻配置為例，說明接入控制點1的網(wǎng)絡(luò)接入控制安全要求有：

允許所有用戶的電子郵件業(yè)務(wù)（SMTP）；

允許DNS查詢；

允許Intranet內(nèi)的局域網(wǎng)用戶有限制地訪問Internet；

控制外部的IP與內(nèi)部主機的直接連接；

根據(jù)外部主機使用者的身份分配臨時訪問權(quán)限，并給出訪問地址權(quán)限列表；

根據(jù)黑名單地址，屏蔽所有可疑的連接請求；

負責入侵審計和追蹤，記錄所有與安全相關(guān)的網(wǎng)絡(luò)活動。

2接入控制點2即為撥號用戶或DDN和ISDN接入的用戶提供的接入服務(wù)。這里通常有兩種情況，即對Internet的接入和對內(nèi)部資源的接入。其安全接入策略包括：

對于撥號用戶，接入服務(wù)器通過用戶口令確定用戶身份，從而提供相應的接入業(yè)務(wù)。另外，接入服務(wù)器采用回撥技術(shù)確保用戶身份的有效性。

對于DDN或ISDN的用戶，通過捆綁邏輯IP地址與實際的MAC地址，實現(xiàn)面向主機的用戶身份認證，并提供相應的接入業(yè)務(wù)。

根據(jù)撥號用戶的身份分配臨時訪問權(quán)限，并給出訪問地址權(quán)限的列表。

(2)無線網(wǎng)絡(luò)系統(tǒng)中的安全接入控制技術(shù)

目前，網(wǎng)絡(luò)安全接入技術(shù)主要應用于寬帶無線接入網(wǎng)絡(luò)和無線LAN的構(gòu)建上，如藍牙系統(tǒng)、無線IP系統(tǒng)等等。通常在無線網(wǎng)絡(luò)中，不僅要考慮本地無線用戶的接入，移動用戶的安全接入也是系統(tǒng)的一個重要安全要求。下面結(jié)合圖4，來簡單說明在無線網(wǎng)絡(luò)系統(tǒng)中應用的安全接入技術(shù)。

1接入控制點1即每個小區(qū)的無線接入點，負責該小區(qū)內(nèi)的移動終端的無線接入服務(wù)。它的主要安全工作就是確保當前接入的用戶有該接入權(quán)限。該接入點主要的工作包括：

為小區(qū)內(nèi)的本地移動用戶提供接入服務(wù)，通過驗證用戶口令和校驗用戶的MAC地址來確保用戶的身份。出于安全的考慮，通常情況下，用戶口令以密文形式提交給接入點。

為小區(qū)內(nèi)的漫游用戶提供接入服務(wù)。通常，漫游用戶將根據(jù)信號強度和監(jiān)測到的包錯誤率，選擇其中性能最好的一個接入點并與之聯(lián)系，請求接入。接入點則通過聯(lián)系根服務(wù)器來確定該用戶的身份。

2接入控制點2主要負責對系統(tǒng)資源的接入控制。該接入點的工作包括：

驗證小區(qū)內(nèi)用戶身份并分配臨時權(quán)限，以訪問其權(quán)限內(nèi)的資源。

驗證來自Internet的用戶身份并分配臨時權(quán)限，以訪問其權(quán)限內(nèi)的資源。

控制來自Internet用戶與當前小區(qū)內(nèi)的用戶建立連接，并進行安全檢查，作審計和日志工作。

3 總結(jié)

以上對當前網(wǎng)絡(luò)安全接入技術(shù)作了簡單的介紹，并討論了在不同的環(huán)境下，網(wǎng)絡(luò)安全接入控制技術(shù)的實現(xiàn)。到目前為止，有線網(wǎng)絡(luò)環(huán)境下的安全接入控制技術(shù)較為成熟，安全性也較高；而在無線網(wǎng)絡(luò)系統(tǒng)中，現(xiàn)有的接入控制技術(shù)還不是十分成熟，其主要的接入控制多集中于MAC層的訪問控制和WEP(Wired Equivalent Privacy)加密機制，但安全性較低，容易遭到IP欺騙攻擊或被非法用戶解密接入口令(因為WEP中的密鑰長度僅為40bit)。因此，如何提高無線網(wǎng)絡(luò)系統(tǒng)中的安全接入控制技術(shù)是當前的一個研究熱點，一個可能的思路是將PKI(Public Key Infrastructure)引入無線網(wǎng)絡(luò)系統(tǒng)的安全設(shè)計中。□

參考文獻

1王育民,劉建偉.通信網(wǎng)的安全—理論與技術(shù).西安:西安電子科技大學出版社:1999

2 Denning D E.An intrusion－detection model. IEEE Trans on Software Engineering,1987,SE－13(2):222—232

3 王常杰,秦浩,王育民.基于IPv6防火墻設(shè)計.計算機學報，2001,24（2）:219—223

4 Amoroso E G.Fundamentals of Computer Security Technology.Prentice Hall Inc,1994

（收稿日期：2001－07－09）

作者簡介

王常杰，西安電子科技大學通信工程學院在讀博士生。主要從事通信網(wǎng)安全、移動IP安全等方面的研究工作。目前在香港城市大學作VPN合作研究。