葉宗海 匡鳳飛 栗元邦

摘要：信息安全的核心是內(nèi)部信息安全，采用防水墻對(duì)內(nèi)部計(jì)算機(jī)資源設(shè)備和數(shù)據(jù)文檔的管控，能夠有效阻止內(nèi)部信息泄露。傳統(tǒng)的靜態(tài)密碼認(rèn)證是防水墻主要采用的認(rèn)證方式。隨著計(jì)算機(jī)與信息技術(shù)的不斷發(fā)展，此認(rèn)證方式已不能滿足當(dāng)前信息安全的需要?；诖爽F(xiàn)狀，對(duì)防水墻身份認(rèn)證系統(tǒng)提出了基于混沌理論的一次一密動(dòng)態(tài)密碼認(rèn)證方法。

關(guān)鍵詞：信息安全;動(dòng)態(tài)密碼;信息泄露;身份認(rèn)證;防水墻

中圖分類號(hào)：TP393.08 文獻(xiàn)標(biāo)識(shí)碼：A

文章編號(hào)：1009-3044（2020）29-0020-03

1 引言

信息化時(shí)代，計(jì)算機(jī)與網(wǎng)絡(luò)技術(shù)已經(jīng)滲透到了人類生產(chǎn)生活的方方面面，因此也涉及一個(gè)很重要的問題，那就是信息安全。根據(jù)美國(guó)CSI/FBI計(jì)算機(jī)犯罪與安全調(diào)查數(shù)據(jù)，信息泄露造成的經(jīng)濟(jì)損失數(shù)年來位居計(jì)算機(jī)安全事件前四位[1]，由此造成數(shù)以億計(jì)美元的損失。一般來說，企業(yè)在網(wǎng)絡(luò)信息化過程中，主要面臨網(wǎng)絡(luò)系統(tǒng)安全和數(shù)據(jù)安全兩方面的問題。針對(duì)網(wǎng)絡(luò)系統(tǒng)安全問題，很多企業(yè)對(duì)網(wǎng)絡(luò)外部安全很重視，配備了先進(jìn)的網(wǎng)絡(luò)防火墻、防病毒網(wǎng)關(guān)、IPS等網(wǎng)絡(luò)安全設(shè)備，監(jiān)控和保護(hù)網(wǎng)絡(luò)不被入侵，而內(nèi)部網(wǎng)絡(luò)的安全卻被忽視了。根據(jù)CSI/FBI提供的統(tǒng)計(jì)數(shù)據(jù)，在許多攻擊中，信息泄漏是最重要、最頻繁的安全事件，攻擊者來自企業(yè)內(nèi)部，而不是來自外部黑客。當(dāng)然，對(duì)于這種泄密問題，有的企業(yè)也采取了措施，諸如禁止使用移動(dòng)存儲(chǔ)設(shè)備、禁止打印機(jī)、禁止聯(lián)網(wǎng)等手段，但還是無法從根本上解決網(wǎng)絡(luò)內(nèi)部信息泄露問題。

2 防水墻及相關(guān)技術(shù)

2.1 防水墻概念

防火墻是網(wǎng)絡(luò)中用于隔離內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的一道防御系統(tǒng)，使得內(nèi)部網(wǎng)絡(luò)與Intemet或者外部網(wǎng)絡(luò)進(jìn)行互相隔離，通過設(shè)置安全策略與規(guī)則，允許或是限制傳輸?shù)臄?shù)據(jù)通過，限制網(wǎng)絡(luò)之間互訪，在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間、專用網(wǎng)與公用網(wǎng)之間構(gòu)造一道保護(hù)屏障，保護(hù)內(nèi)網(wǎng)免受非法用戶侵入和攻擊。但防火墻局限性是，無法有效阻止內(nèi)網(wǎng)攻擊與信息泄露，不能防止策略配置不當(dāng)或錯(cuò)誤配置引起的安全威脅，也不能防止利用標(biāo)準(zhǔn)網(wǎng)絡(luò)協(xié)議中的缺陷進(jìn)行的攻擊和本身的安全漏洞的威脅。總的來說，防火墻對(duì)內(nèi)網(wǎng)的入侵者和泄密者的作用有限，即防火墻強(qiáng)防外弱防內(nèi)的特性。

防水墻（ WaterWall）是相對(duì)于防火墻（FireWall）的一種概念，可以解決內(nèi)網(wǎng)信息泄露問題，是一種防止內(nèi)部信息外泄的安全系統(tǒng)。與防火墻不同，作為網(wǎng)絡(luò)安全領(lǐng)域的新興技術(shù)，網(wǎng)絡(luò)防水墻是增強(qiáng)信息網(wǎng)絡(luò)系統(tǒng)內(nèi)部安全性的重要工具，可以有效地保護(hù)敏感信息的泄漏[2]。在信息泄露方式上，網(wǎng)絡(luò)、存儲(chǔ)介質(zhì)、外設(shè)接口、顯示器和打印機(jī)構(gòu)成信息泄漏的主要途徑。防水墻針對(duì)這些泄密途徑，分別實(shí)行事前預(yù)防、事中監(jiān)控、事后審計(jì)，對(duì)系統(tǒng)進(jìn)行了全面保護(hù)。它與防病毒產(chǎn)品、防火墻等外部安全產(chǎn)品共同構(gòu)成一個(gè)完整的網(wǎng)絡(luò)安全系統(tǒng)。

2.2 防水墻系統(tǒng)

防水墻系統(tǒng)（ WaterBox）包含三個(gè)組件：防水墻服務(wù)器、防水墻控制臺(tái)和防水墻客戶端。其中，防水墻服務(wù)器是系統(tǒng)的核心部分。其系統(tǒng)結(jié)構(gòu)如圖l所示。

（1）服務(wù)器

防水墻服務(wù)器包括三部分：服務(wù)器端軟件、授權(quán)的硬件和支持?jǐn)?shù)據(jù)庫(kù)。通過安全認(rèn)證機(jī)制，它與多個(gè)受控客戶端建立連接，以實(shí)現(xiàn)諸如系統(tǒng)管理、策略配置、操作審核和安全警報(bào)之類的功能。同時(shí)，對(duì)客戶端發(fā)送的數(shù)據(jù)進(jìn)行統(tǒng)計(jì)和分析，生成各種圖表。

（2）控制臺(tái)

防水墻控制臺(tái)是進(jìn)行人機(jī)交互的圖形界面，系統(tǒng)管理員通過控制臺(tái)實(shí)現(xiàn)參數(shù)配置、策略管理、系統(tǒng)管理和審核等功能?？刂婆_(tái)使用用戶名和密碼的組合進(jìn)行身份驗(yàn)證，只有正確的才能進(jìn)入系統(tǒng)。同時(shí)，嚴(yán)格限制對(duì)敏感信息的訪問權(quán)限，提高了系統(tǒng)的安全性和保密性。

（3）客戶端

防火墻客戶端是安裝在受監(jiān)控主機(jī)上的服務(wù)程序，它執(zhí)行服務(wù)器設(shè)置好的安全策略，監(jiān)控來自客戶端用戶的操作行為，并防止系統(tǒng)中的重要數(shù)據(jù)泄漏。另外，客戶端軟件措施嚴(yán)格，能自動(dòng)運(yùn)行并且防止本地用戶關(guān)閉和卸載監(jiān)視程序。用戶的操作由安全策略控制，對(duì)客戶端的信息和行為進(jìn)行記錄和控制。

提供集中管理和分布式保護(hù)是防水墻的最大特點(diǎn)。使用密碼技術(shù)、檢測(cè)、訪問控制和其他技術(shù)手段來實(shí)施安全防護(hù)，以保護(hù)敏感數(shù)據(jù)和文件不被非法入侵、破壞、復(fù)制和監(jiān)控的軟件系統(tǒng)，從技術(shù)方法上防止了敏感信息的泄漏。

2.3 防水墻功能

一般來說，網(wǎng)絡(luò)防水墻具備以下功能。

（1）防止信息泄漏，防止內(nèi)網(wǎng)主機(jī)通過網(wǎng)絡(luò)、存儲(chǔ)介質(zhì)、打印機(jī)和其他介質(zhì)等途徑有意或無意泄漏信息。

（2）系統(tǒng)用戶管理，記錄用戶登錄信息，為安全審計(jì)提供依據(jù)。

（3）系統(tǒng)資源管理，限制系統(tǒng)硬件和軟件的安裝和卸載，控制特定程序的運(yùn)行，限制系統(tǒng)進(jìn)入安全模式，控制文件重命名、刪除等操作。

（4）系統(tǒng)實(shí)時(shí)狀態(tài)監(jiān)控，通過實(shí)時(shí)捕獲并記錄內(nèi)網(wǎng)主機(jī)的畫面，監(jiān)控內(nèi)部人員的安全狀態(tài)，必要時(shí)還可以直接控制主機(jī)的I/O設(shè)備諸如鍵盤、鼠標(biāo)等。

（5）信息安全審計(jì)，記錄內(nèi)網(wǎng)安全審計(jì)信息，并提供有關(guān)內(nèi)網(wǎng)主機(jī)使用情況和安全事件分析的報(bào)告。

2.4 身份認(rèn)證技術(shù)

身份認(rèn)證技術(shù)是在計(jì)算機(jī)網(wǎng)絡(luò)中確認(rèn)操作者身份的過程而產(chǎn)生的有效解決方法，是整個(gè)安全系統(tǒng)的核心部分。身份認(rèn)證是一個(gè)人或系統(tǒng)申明另一個(gè)人的身份的認(rèn)證過程[3]。用戶訪問核心服務(wù)器時(shí)，要求輸入身份驗(yàn)證信息，例如用戶賬戶、密碼或證書，以驗(yàn)證用戶的合法性并確定用戶權(quán)限和數(shù)據(jù)，防止非法、假冒用戶非法訪問服務(wù)器核心數(shù)據(jù)，造成內(nèi)部信息泄漏。因此，對(duì)于服務(wù)器來說，身份認(rèn)證系統(tǒng)是否安全可靠就顯得尤其重要。

作為一種簡(jiǎn)單有效的驗(yàn)證措施，密碼是身份驗(yàn)證的常用方法之一。在廣泛使用的密碼認(rèn)證中，大多數(shù)使用靜態(tài)密碼[4]。主要好處是它的簡(jiǎn)單性，但存在一些安全風(fēng)險(xiǎn)。首先，靜態(tài)密碼在傳輸過程中，容易被非法用戶竊取，通過數(shù)據(jù)包回放，從而導(dǎo)致密碼被盜;其次，密碼容易被破解，特別是用戶的弱密碼。使用監(jiān)聽、窮舉法、字典攻擊等方式，很容易獲得用戶密碼口1;第三，密碼在一定時(shí)間內(nèi)實(shí)際上是不變的，且可重復(fù)使用，密碼極易被竊取。第四，非法用戶在獲取密碼后，通過冒充合法身份，入侵內(nèi)部網(wǎng)絡(luò)，竊取資源。

針對(duì)靜態(tài)身份認(rèn)證中密碼的安全性問題，提出了基于混沌理論的一次一密動(dòng)態(tài)密碼認(rèn)證機(jī)制?；煦缡谴_定論系統(tǒng)所表現(xiàn)的隨機(jī)行為的總稱[6]。混沌序列信號(hào)是一個(gè)偽隨機(jī)信號(hào)，它可以很容易從迭代方程、非線性常微分方程產(chǎn)生[7]。

3 動(dòng)態(tài)密碼認(rèn)證系統(tǒng)結(jié)構(gòu)設(shè)計(jì)

基于混沌理論的動(dòng)態(tài)密碼認(rèn)證系統(tǒng)由三層組成：展現(xiàn)層、業(yè)務(wù)邏輯層和數(shù)據(jù)傳輸層。展現(xiàn)層包含兩部分：客戶端和認(rèn)證服務(wù)器端;業(yè)務(wù)邏輯層包括三個(gè)模塊：用戶認(rèn)證中心、授權(quán)控制中心和日志管理;數(shù)據(jù)傳輸層是基于VPN安全數(shù)據(jù)隧道。其系統(tǒng)結(jié)構(gòu)圖如圖2所示。

對(duì)于動(dòng)態(tài)密碼認(rèn)證系統(tǒng)而言，其功能主要是由三個(gè)模塊來實(shí)現(xiàn)：

（1）認(rèn)證中心：根據(jù)用戶名和密碼進(jìn)行匹配認(rèn)證，并在兩端同時(shí)迭代生成新的密碼，作為客戶端的下一次登錄密碼，并在服務(wù)器端進(jìn)行密碼匹配認(rèn)證;

（2）授權(quán)控制中心：給客戶端用戶一個(gè)初始密碼，并向不同的用戶開放相應(yīng)的訪問權(quán)限。當(dāng)用戶訪問時(shí)發(fā)生密碼異常，即密碼同步迭代過程中用戶端與客戶端之間發(fā)生異常情況，出現(xiàn)密碼不一致的問題。用戶發(fā)送新迭代請(qǐng)求時(shí)，該模塊再次為用戶提供一個(gè)新的迭代初始值，新的初始值不同于原始迭代值;

（3）日志管理：記錄訪問用戶的相關(guān)資料，例如訪問時(shí)間和操作信息等。在用戶訪問過程中出現(xiàn)異常情況時(shí)及時(shí)通知管理員。

4 認(rèn)證同步算法分析

使用混沌序列進(jìn)行身份認(rèn)證時(shí)，通信的雙方（客戶端A方，認(rèn)證服務(wù)器B方）需要進(jìn)行同步。雙方通信過程如圖3所示。

算法實(shí)現(xiàn)過程描述如下。

< Request>用來表示A方的請(qǐng)求信息。=。A的初始身份為xo：Identi-fier= Xo，認(rèn)證服務(wù)器B上存儲(chǔ)為xo- B_A，s_ldentifer= x0。

（1）A保留Time_stamp：A_log_time= Time_stamp，并發(fā)送請(qǐng)求信息：A一B：

< Request>。在傳輸過程中，為確保信息在傳輸過程中不被修改，保證信息的真實(shí)性，需要對(duì)< Request>進(jìn)行加密和簽名。由于信息帶有時(shí)間戳，所以能抗重播攻擊。B接收到< Re-quest>后，進(jìn)行解密與簽名驗(yàn)證，并驗(yàn)證用戶身份信息：

IF Identif'ier=X0，即身份正確。

THEN迭代.B_A' s_ldentifier=X1，B端A的身份由X0變?yōu)閄1，同時(shí)保存Time_stamp：B_log_time= Time_stamp，并發(fā)出登錄成功信息：B→A：< Reply>。

（2）IF A收到，

THEN A_logl_time=0;迭代：A's_ldentifier= xl，并向B發(fā)送數(shù)據(jù)：A→B：< Data>。

IF B收到非請(qǐng)求數(shù)據(jù)，

THEN將B端的B_log_time清空：B_log_time=0。

（3）IF B的丟失，

THEN A將超時(shí)，此時(shí)A發(fā)現(xiàn)自己的A_log_time=Time_stamp≠0，采用此Time_stamp重新發(fā)送請(qǐng)求信息：A→B：< Request>。B收到請(qǐng)求后比較，

IF Time_stamp=B_log_time，

THEN說明丟失，此時(shí)B不迭代而重新發(fā)送：B→A：< Reply>。

（4）IF A收到，而向B發(fā)送非請(qǐng)求數(shù)據(jù)時(shí)數(shù)據(jù)丟失，

THEN A會(huì)重新登錄，A_log_time=0。A的請(qǐng)求信息將采用新的Current_Time_stamp，=.

（5）A發(fā)送迭代異常信號(hào)要求B給予新的迭代值：A→B：< Request0>。接到A要求給予新的迭代值請(qǐng)求，系統(tǒng)管理員通過核查A的訪問記錄，看A有沒有異常的行為，還可以通過電話等手段聯(lián)系到A用戶，真正確定A用戶是否合法，才給予其一新的迭代初始值XO。

（6）A和B的訪問恢復(fù)正常，A可以開始重新訪問。

5 結(jié)論與展望

隨著信息技術(shù)的飛速發(fā)展，人們對(duì)于信息安全的認(rèn)識(shí)也日益深入，企業(yè)對(duì)信息安全的要求也不斷提高。基于傳統(tǒng)靜態(tài)密碼認(rèn)證的防水墻技術(shù)，已不能滿足企業(yè)的需求。作為一種安全可靠可行的認(rèn)證方式，基于動(dòng)態(tài)密碼的身份認(rèn)證，將會(huì)是口令認(rèn)證的發(fā)展方向。

參考文獻(xiàn)：

[1] Gordon LA， LoebMP， LusyshynW， et al.2006 CSI/FBIComputerCrimeandSecurity Survey[C]//Computer Security Institute.USA，2006：15.

[2]張乾清，樊偉.防水墻技術(shù)在校園網(wǎng)中的應(yīng)用研究[J].電腦知識(shí)與技術(shù)，2008，4（5）：846-848.

[3]張馨，馮全源.基于動(dòng)態(tài)lD的遠(yuǎn)程用戶身份認(rèn)證方案[J].計(jì)算機(jī)工程與設(shè)計(jì)，2007，28（3）：545-546，557.

[4]廖光忠，胡靜.基于PPTP協(xié)議和混沌理論認(rèn)證的VPN的實(shí)現(xiàn)[J]，計(jì)算機(jī)工程與設(shè)計(jì)，2007，28（14）：3347-3350.

[5] Sandhu R S，Coyne EJ， Feinstein H L，etaI.Role-based accesscontrol models[J].Computer，1996，29（2）：38-47.

[6]樂春峽，王勉華，周奇勛，一種新型隔離網(wǎng)絡(luò)數(shù)據(jù)安全交換系統(tǒng)的設(shè)計(jì)[J].計(jì)算機(jī)工程與設(shè)計(jì)，2004，25（3）：444-446.

[7]張麗，趙洋，身份認(rèn)證技術(shù)的研究與安全性分析[J].計(jì)算機(jī)與 現(xiàn)代化，2007（5）：48-49，52.

【通聯(lián)編輯：代影】

作者簡(jiǎn)介：葉宗海（1980-），男，福建屏南人，高級(jí)實(shí)驗(yàn)師，學(xué)士，主要研究方向?yàn)榫W(wǎng)絡(luò)與信息安全、單片機(jī)技術(shù);匡鳳飛，副教授，碩士;栗元邦，博士。