魏冬梅

DOI：10.16644/j.cnki.cn33-1094/tp.2016.02.018

摘 ?要： 針對可信網絡存在的問題，首先介紹了互聯網絡的發(fā)展現狀及國內外在可信網絡上進行的一些研究，然后指出了可信網絡理論與技術工作中存在的不足，在此基礎上提出了可信網絡安全認證體系理論，實現了基于訪問控制的可信網絡體系架構?？尚啪W絡體系可為系統提供全面的網絡安全保障，研究可信網絡架構和認證體系，有十分重要的理論意義和實際作用。

關鍵詞： 可信; 網絡架構; 認證體系; 訪問控制; 網絡安全

中圖分類號：TN915.08 ? ? ? ? ?文獻標志碼：A ? ? 文章編號：1006-8228（2016）02-61-03

Research on trusted network architecture and certification system

Wei Dongmei

（School of Computer Science， Leshan Normal University， Leshan， Sichuan 614004， China）

Abstract： For the problems of the trusted network， the development of the internet and some works on the trusted network at home and abroad are introduced firstly， and then the problems existing in the trusted network theory and technology are pointed out. On this basis， the theory of trusted network security authentication system is proposed; a trusted network architecture based on access control is implemented. The trusted network can provide system a comprehensive network security， the research on the trusted network architecture and certification system has very important theoretical significance and practical effect.

Key words： trusted; network architecture; certification system; access control; network security

0 引言

隨著網絡技術和應用的飛速發(fā)展，使得互聯網呈現出日益復雜、異構等特點，當前的網絡體系已經暴露出嚴重的不足，網絡正面臨著嚴峻的安全和服務質量（QoS）保證等重大挑戰(zhàn)，保障網絡的可信已成為網絡發(fā)展的迫切需求[1]。國家在科學與技術長期發(fā)展規(guī)劃綱要中指出：“把發(fā)展高可信網絡作為重點，開發(fā)信息網絡安全技術和相關產品，建立起信息安全與技術保障體系，防范各種影響信息安全的突發(fā)事件” [2]。可見，可信性將在網絡的進一步演化和發(fā)展中發(fā)揮重要作用，可信網絡將是未來網絡的發(fā)展方向。

1 相關研究

鑒于當前網絡安全系統分散孤立的現狀以及用戶對系統安全服務的迫切需求，國際上都在積極探索新的研究思路。在可信終端研究方面，為了解決信息終端結構上的不安全，從基礎層面上提高其可信性，國際上正在推動可信計算技術。如微軟等機構組織了可信計算平臺聯盟，Intel公司的LaGrande技術以及IBM嵌入式安全系統等[3]。在網絡安全監(jiān)測方面，美國航天署提出的關于提高系統安全性的安全監(jiān)測架構和美國國家安全實驗室所研究的通用入侵監(jiān)測架構都比較先進，已經初步形成了幾種各不相同的安全監(jiān)測技術體系。在容錯的研究方面，也在向提高系統可信性的方向演化。如國際信息處理聯合會的10.4工作組主持的關鍵應用可信計算工作會議與IEEE國際容錯計算會議進行了合并，改名為IEEE可信系統與網絡國際會議;IEEE太平洋沿岸容錯系統會議也將名稱改為了“可信計算會議”。

國內也非常重視可信網絡基礎理論的研究，在國家973、863、自然科學基金計劃中，先后啟動了一系列與可信網絡相關的科研工作[4]。如國務院正式啟動的“中國下一代互聯網示范工程（CNGI）”;清華大學牽頭承擔的國家863項目“可信任的下一代互聯網”和973項目“新一代互聯網體系結構理論研究”;北京交通大學依托國家863項目“一體化網絡服務新技術研究”和973項目“一體化可信網絡與普適服務體系基礎研究”，提出兩層新一代網絡體系結構模型。

雖然可信系統的概念很早被提出，國際上也在計算機系統的可靠計算以及容錯計算方面做了較為深入的工作，但是直到最近幾年人們才日益重視起網絡安全問題，而且，當前的工作大多是就可信網絡在理論與技術的某個局部目標展開的，并沒有形成完整的體系。

2 可信網絡架構與安全認證體系

針對當前工作中的盲點，本文從體系結構的角度設計和實現具有內在安全防護和威懾能力的網絡。并在原有網絡安全技術的基礎上增加行為認證的安全新思想，通過可信網絡安全認證體系來確保網絡安全。

2.1 可信網絡架構內涵

可信網絡架構是指包括網絡安全產品和網絡安全子系統，以及接入控制機制、網絡內部信息的飽和和信息加密傳輸機制等，以實現全面提高網絡整體安全防護能力的可信網絡架構安全體系[5]。可信網絡機構的研究由以下幾方面構成，如圖1所示。

⑴ 有效管理和整合網絡安全資源

可信網絡安全管理系統是整個可信網絡安全體系的核心。應該對網絡安全狀況從全局角度進行分析、評估與管理，從而獲得全局網絡安全視圖;通過制定相應的安全策略來響應或重新部署安全設施。

⑵ 構建可信網絡安全邊界

必須采用可信網絡安全接入控制機制，通過對可信終端系統進行接入控制，實現對可信網絡的有效擴展，并有效防止不可信終端系統因接入網絡而造成的潛在安全隱患。

⑶ 實現內部網絡信息保護，防止機密信息外泄

為確保網絡內部信息在存儲、使用和傳輸過程中的安全，需要通過網絡信息保護機制來實現，該機制能夠控制網絡內部用戶訪問外部時的安全策略檢查，從而避免了敏感信息的泄露，可信網絡內部的可信性和機密性也就得到了保證。

為確保網絡可信，還需要從多個角度解決一些相關問題，這里列舉幾個關鍵問題（如圖2所示）：可信基礎設施、可信計算、可信接入、可信傳輸、可信評測、網絡可控性、網絡可生存性。

2.2 可信網絡安全認證體系研究

⑴ 可信網絡的認證體系研究

基于認證是指以安全性需求為牽引，基于標識和認證模型，對網絡中的設備、接入、用戶、業(yè)務、傳輸等進行標識與認證。在此基礎上，從網絡節(jié)點開始構造信任鏈，以網絡可信傳輸為基礎構造信任域，從而在機理上為保證網絡安全打下堅實基礎[6]。

可信網絡安全認證體系是采用在原有網絡安全技術的基礎上增加行為認證的安全新思想，強化對網絡狀態(tài)的動態(tài)處理，為實施智能主動防御的網絡安全和服務質量控制提供策略基礎。

認證網絡主要包括三個方面的內容：服務提供者的認證、網絡信息傳輸的認證和終端用戶的認證。

⑵ 信任鏈的傳遞

信任鏈傳遞就是指在計算平臺的運行控制和傳遞過程中，可信根通過判斷下一級執(zhí)行代碼的是否被篡改，如果未篡改，運行控制將會被系統傳遞到下一級可信執(zhí)行代碼，因此系統的可信范圍就能從可信根擴大到下一級功能;通過不斷迭代往下傳遞系統運行代碼，系統的可信范圍就實現了延伸，從而保證了終端的安全。要使一個完整的信任傳遞鏈得以實現，系統必須確保：①有一個可信根;②從可信根開始引導，并且每一級系統的運行控制組件只有在確認其下一級系統運行控制組件是可信時，才將系統運行的控制權轉移給它。③基于認證的可信網絡訪問控制。

考慮到基于認證的可信網絡的結構特點和業(yè)務需求，認證過程以強制的多級訪問控制模型為主，以自主訪問控制模型為輔，按信息的不同安全等級、實體所屬的業(yè)務類別、被訪問對象的性質，實現多級最小特權化的訪問控制，如圖3所示。

認證網絡的多級訪問控制是指對實體的訪問控制和對數據的訪問控制。其中，對實體的訪問控制主要是指對人員、設備的訪問控制;對數據的訪問控制包括對存儲數據和傳輸數據的訪問控制。

從網絡協議棧的角度，可將認證網絡的訪問控制按層次劃分為對物理實體的訪問控制、對通信鏈路的訪問控制、對網絡邊界的訪問控制和對應用服務的訪問控制。

3 結束語

在目前可信網絡基礎理論和研究的基礎上，從體系結構的角度設計和實現了具有內在安全防護和威懾能力的可信網絡，并引入基于行為認證的安全新思想，提出了基于認證的可信網絡訪問控制，通過構建可信網絡安全認證體系確保了系統網絡的安全。進一步研究問題：隨著網絡的進一步發(fā)展，在后續(xù)的研究中需要我們通過全局策略管理來部署全方位、多層次的縱深防御體系，以解決新型環(huán)境下的更為復雜的安全問題。

參考文獻（References）：

[1] 羅軍舟，韓志耕，王良民.一種可信可控的網絡體系及協議結

構[J].計算機學報，2009.32（3）：391-404

[2] 胡寧，徐兵.網絡安全與流量控制模型的研究[J].計算機時代，

2013.2：17-18，21

[3] 李毓才，小谷誠剛，錢鋼等.可信安全體系架構原理與實踐[J].

網絡安全技術與應用，2009.12：27-30，33

[4] 胡偉，慕德俊，黃興利等.基于門級信息流分析的安全體系架

構設計[J].電子科技大學學報，2015.44（3）： 428-432

[5] 周躍，鄢斌，谷會濤等.計算機網絡安全威脅分析及防護體系

架構研究[J].計算機安全，2013.12：18-21

[6] 張煥國，陳璐，張立強.可信網絡連接研究[J].計算機學報，

2010.33（4）：706-717