身份认证技术论文范文
时间：2023-03-13 15:43:54
身份认证技术论文范文第1篇
随着网络的不断普及和电子商务的迅猛发展，电子商务这种商务活动新模式已经逐渐改变了人们的经济活动方式、工作方式和生活本论文由整理提供方式，越来越多的人们开始接受并喜爱网上购物，可是，电子商务发展的瓶颈——安全问题依然是制约人们进行电子商务交易的最大问题，因此，安全问题是电子商务的核心问题，是实现和保证电子商务顺利进行的关键所在。校园电子商务是电子商务在校园环境下的具体应用与实现，其安全性也同样是其发展所不容忽视的关键问题，因此应当着重研究。
1校园电子商务概述
1.1校园电子商务的概念。
校园电子商务是电子商务在校园这个特定环境下的具体应用，它是指在校园范围内利用校园网络基础、计算机硬件、软件和安全通信手段构建的满足于校本论文由整理提供园内单位、企业和个人进行商务、工作、学习、生活各方面活动需要的一个高可用性、伸缩性和安全性的计算机系统。
1.2校园电子商务的特点。
相对于一般电子商务，校园电子商务具有客户群本论文由整理提供稳定、网络环境优良、物流配送方便、信用机制良好、服务性大于盈利性等特点，这些特点也是校园开展电子商务的优势所在。与传统校园商务活动相比，校园电子商务的特点有：交易不受时间空间限制、快捷方便、交易成本较低。
2校园电子商务的安全问题
2.1校园电子商务安全的内容。
校园电子商务安全内容从整体上可分为两大部分：校园网络安全和校园支付交易安全。校园网络安全内容主要包括：计算机网络设备安全、计算机网络系统安全、数据库安全等。校园支付交易安全的内容涉及传统校园商务活动在校园网应用时所产生的各种安全问题，如网上交易信息、网上支付以及配送服务等。
2.2校园电子商务安全威胁。
校园电子商务安全威胁同样来自网络安全威胁与交易安全威胁。然而，网络安全与交易安全并不是孤立的，而是密不可分且相辅相成的，网络安全是基础，是交易安全的保障。校园网也是一个开放性的网络，它也面临许许多多的安全威胁，比如：身份窃取、非本论文由整理提供授权访问、冒充合法用户、数据窃取、破坏数据的完整性、拒绝服务、交易否认、数据流分析、旁路控制、干扰系统正常运行、病毒与恶意攻击、内部人员的不规范使用和恶意破坏等。校园网的开放性也使得基于它的交易活动的安全性受到严重的威胁，网上交易面临的威胁可以归纳为：信息泄露、篡改信息、假冒和交易抵赖。信息泄露是非法用户通过各种技术手段盗取或截获交易信息致使信息的机密性遭到破坏；篡改信息是非法用户对交易信息插入、删除或修改，破坏信息的完整性；假冒是非法用户冒充合法交易者以伪造交易信息；交易抵赖是交易双方一方或否认交易行为，交易抵赖也是校园电子商务安全面临的主要威胁之一。
2.3校园电子商务安全的基本安全需求。
通过对校园电子商务安全威胁的分析，可以本论文由整理提供看出校园电子商务安全的基本要求是保证交易对象的身份真实性、交易信息的保密性和完整性、交易信息的有效性和交易信息的不可否认性。通过对校园电子商务系统的整体规划可以提高其安全需求。
3校园电子商务安全解决方案
3.1校园电子商务安全体系结构。
校园电子商务安全是一个复杂的系统工程，因此要从系统的角度对其进行整体的规划。根据校园电子商务的安全需求，通过对校园人文环境、网络环境、应用系统及管理等各方面的统筹考虑和规划，再结合的电子商务的安全技术，总结校园电子商务安全体系本论文由整理提供结构，如图所示：
上述安全体系结构中，人文环境层包括现有的电子商务法律法规以及校园电子商务特有的校园信息文化，它们综合构成了校园电子商务建设的大环境；基础设施层包括校园网、虚拟专网VPN和认证中心；逻辑实体层包括校园一卡通、支付网关、认证服务器和本论文由整理提供交易服务器；安全机制层包括加密技术、认证技术以及安全协议等电子商务安全机制；应用系统层即校园电子商务平台，包括网上交易、支付和配送服务等。
针对上述安全体系结构，具体的方案有：
（1）营造良好校园人文环境。加强大学生本论文由整理提供的道德教育，培养校园电子商务参与者们的信息文化知识与素养、增强高校师生的法律意识和道德观念，共
同营造良好的校园电子商务人文环境，防止人为恶意攻击和破坏。
（2）建立良好网上支付环境。目前我国高校大都建立了校园一卡通工程，校园电子商务系统可以采用一卡通或校园电子帐户作为网上支付的载体而不需要与银行等金融系统互联，由学校结算中心专门处理与金融机构的业务，可以大大提高校园网上支付的安全性。
（3）建立统一身份认证系统。建立校园统一身份认证系统可以为校园电子商务系统提供安全认证的功能。
（4）组织物流配送团队。校园师生居住地点相对集中，一般来说就在学校内部或校园附近，只需要很少的人员就可以解决物流配送问题，而本论文由整理提供不需要委托第三方物流公司，在校园内建立一个物流配送团队就可以准确及时的完成配送服务。
3.2校园网络安全对策。
保障校园网络安全的主要措施有：
（1）防火墙技术。利用防火墙技术来实现校园局域网的安全性，以解决访问控制问题，使只有授权的校园合法用户才能对校园网的资源进行访问本论文由整理提供，防止来自外部互联网对内部网络的破坏。
（2）病毒防治技术。在任何网络环境下，计算机病毒都具有不可估量的威胁性和破坏力，校园网虽然是局域网，可是免不了计算机病毒的威胁，因此，加强病毒防治是保障校园网络安全的重要环节。
（3）VPN技术。目前，我国高校大都已经建立了校园一卡通工程，如果能利用VPN技术建立校园一卡通专网就能大大提高校园信息安全、保证数据的本论文由整理提供安全传输。有效保证了网络的安全性和稳定性且易于维护和改进。
3.3交易信息安全对策。
针对校园电子商务中交易信息安全问题，可以用电子商务的安全机制来解决，例如数据加密技术、认证技术和安全协议技术等。通过数据加密，可以保证信息的机密性；通过采用数字摘要、数字签名、数字信封、数字时间戳和数字证书等安全机制来解本论文由整理提供决信息的完整性和不可否认性的问题；通过安全协议方法，建立安全信息传输通道来保证电子商务交易过程和数据的安全。
（1）数据加密技术。加密技术是电子商务中最基本的信息安全防范措施，其原理是利用一定的加密算法来保证数据的机密，主要有对称加密和非对称加密。对称加密是常规的以口令为基础的技术，加密运算与解密运算使用同样的密钥。不对称加密，即加密密钥不同于解密密钥，加密密钥公之于众，而解密密钥不公开。
（2）认证技术。认证技术是保证电子商务交易安全的一项重要技术，它是网上交易支付的前提，负责对交易各方的身份进行确认。在校园电子商务本论文由整理提供中，网上交易认证可以通过校园统一身份认证系统（例如校园一卡通系统）来进行对交易各方的身份认证。
（3）安全协议技术。目前，电子商务发展较成熟和实用的安全协议是SET和SSL协议。通过对SSL与SET两种协议的比较和校园电子商务的需求分析，校园电子商务更适合采用SSL协议。SSL位于传输层与应用层之间，能够更好地封装应用层数据，不用改变位于应用层的应用程序，对用户是透明的。而且SSL只需要通过一次“握手”过程就可以建立客户与服务器之间的一条安全通信通道，保证传输数据的安全。
3.4基于一卡通的校园电子商务。
目前，我国高校校园网建设和校园一卡通工程建设逐步完善，使用校园一卡通进行校园电子商务的网上支付可以增强校园电子商务的支付安全，可以避免或降低了使用银行卡支付所出现的卡号被盗的风险等。同时，使用校园一卡通作为校园电子支付载体的安全保障有：
（1）校园网是一个内部网络，它自身已经屏蔽了绝大多数来自公网的黑客攻击及病毒入侵，由于有防火墙及反病毒软件等安全防范设施，来自外部网络人员的破坏可能性很小。同时，校园一卡通中心有着良好的安全机制，使得使用校园一卡通在校内进行网上支付被盗取账号密码等信息的可能性微乎其微。超级秘书网
（2）校园一卡通具有统一身份认证系统，能够对参与交易的各方进行身份认证，各方的交易活动受到统一的审计和监控，统一身份认证能够保证网上工作环境的安全可靠。校园网络管理中对不同角色的用户享有不同级别的授权，使其网上活动受到其身份的限制，有效防止一些恶意事情的发生。同时，由于校内人员身份单一，多为学生，交易中一旦发生纠纷，身份容易确认，纠纷就容易解决。
4结束语
开展校园电子商务是推进校园信息化建设的重要内容，随着我国校园信息化建设的不断深入，目前已有许多高校开展了校园电子商务，它极大的方便了校园内师生员工的工作、学习、生活。可是与此同时，安全问题成为制约校园电子商务发展的障碍。因此，如何建立一个安全、便捷的校园电子商务应用环境，让师生能够方便可靠的进行校园在线交易和网上支本论文由整理提供付，是当前校园电子商务发展要着重研究的关键问题。
参考文献：
身份认证技术论文范文第2篇
关键词：信息安全；身份认证；生物特征；组合认证；解决方案；性能分析
中图分类号：TP393.08 文献标识码：A文章编号：1007-9599 (2011) 16-0000-02
Authentication Technology Research Overview
Zhang Yao
(Harbin Normal University,Computer Science and Information Engineering College,Harbin150025,China)
Abstract:Authentication technology is capable of sending and receiving side of information technology to identify the true identity,is to identify,verify that the network information system in the legitimacy and authenticity of the user identity,according to mandate access to system resources,and shut out illegal visitors.This article discusses the field of information security authentication technology status and development trend,for further improving the work has a certain theoretical significance.
Keywords:Information security;Authentication;Biometrics;
Combination of certification;Solutions;Performance analysis
网络认证技术是网络安全技术的重要组成部分之一。认证指的是证实被认证对象是否属实和是否有效的一个过程，常常被用于通信双方互相确认身份，以保证通信的安全。认证技术一般包括两个方面的内容，分别是身份认证和信息认证。身份认证主要是通过对用户身份的鉴别来实现对用户权限的识别，限制低权限或者非法用户的入侵。信息认证主要是用于验证信息是否完整。本论文的研究主要偏重于对身份认证技术及其分析。主要侧重以下几个方面做分析。
一、身份认证的方法分析
身份认证主要是通过分析被认证者的身份、权限等相关的信息。除了认证者本人，任何其他人都无法进行仿造或者伪造身份。如果经过认证，被认证者拥有相关的权限和秘密，那么他就获得了认证。身份认证的主要依据就是被认证方用于证明身份所用有的秘密。每个被认证者所拥有的身份认证秘密不同。常见的身份认证有两种，第一种是基于物理安全性的身份认证方法。第二种是基于秘密信息的身份认证方法。
（一） 基于物理安全的身份认证方法
不同的身份认证方法基于不同的理论，但这些认证方法的共同点就是依据用户知道的秘密信息。和这种认证方法相对照，另外一种利用用户的特殊信息或者硬件信息来进行身份认证的。比如说从生物学角度考虑，利用声音识别进行身份验证，利用指纹进行身份验证，利用人眼的虹膜进行身份验证等。从硬件的角度考虑，常用的认证方法有通过智能卡来进行验证，只有认证者拥有正确的卡，才可以被认证。当然，这种方法也有优缺点，这种智能卡可以有效的阻止和避免人为乱猜口令导致的密码被破解，但也存在着只认卡不认人的缺陷，一旦智能卡因丢失被其他人捡到，则很容易被盗取身份。为防止出现这种情况，现在一般采用智能卡和口令结合的方式，比如现在最常用的银行卡就是这种。
（二）基于秘密信息的身份认证方法
常见的有以下几个方式：
1.通过进行用户口令认证来核对身份信息，在刚建立系统的时候，系统已经预先为具有合法权限的用户设定了用户口令和密码。当用户通过登录界面登录时，登录界面显示用户名和密码输入。客户输入用户名和密码以后，系统会对输入的账户和密码与系统原有的密码进行核对如果完全一致，则认为是合法用户，用户身份得到认证。否则，就提示账户名或者密码错误。用户身份得不到认证。
2.单项认证，所谓单项认证，就是进行通信的双方中，只有一方需要进行身份认证。上面所阐述的口令核对法本质上也是一种单项认证。只是这种认证方法还比较低级，没有进行相应的密钥分发操作。常见的涉及到密钥分发操作的认证方案有两类。分别是对称密钥加密方案和非对称密钥加密方案。对称密钥加密方案是指依靠第三方来进行认证，第三方就是一个统一的密钥分发中心。通信双方的密钥分发和身份认证都要通过第三方来实现。另一种没有第三方参与的加密体制成为非对称密钥加密体制。
3.双向认证。双向认证，是指需要通信双方相互认证才可以实现双方通信，通信双方必须相互鉴别彼此的身份，并且经双方验证正确以后，才可以实现双方的通信。在双向认证中，最典型的就是Needham/Schroeder协议。
[1]Needham/Schroeder Protocol[1978]
AKDC：IDA||IDB||N1
KDCA：EKa[Ks||IDB||N1||EKb[Ks||IDA]]
AB：EKb[Ks||IDA]
BA：EKs[N2]
AB：EKs[f（N2）]
（其中f（N2）为N2的某一个函数，其他符号约定同上。）
4.身份的零知识证明通常在进行身份认证时，需要进行身份信息或者口令的传输。要想不传输这些信息就可以进行身份认证，就需要采用身份的零知识证明技术。所谓零知识证明就是指在进行用户身份认证时，不需要传输相关的信息。这种认证机制就是当被认证的甲方为了让认证方乙方确信自己的身份和权限但同时又不让乙方得到自己的秘密信息而采用的一种机制。这种认证方法可以非常有效的防治第三方窃取信息。
二、身份认证的应用
（一）Kerberos认证服务
Kerberos是一种基于Needham和Schroeder[1978]模型的第三方认证服务Kerberos可信任的第三方就是Kerberos认证服务器。它通过把网络划分成不同的安全区域，并且在每个区域设立自己的安全服务器来实现相应的安全策略。在这些区域的认证具体实现过程如下：Kerberos通过向客户和服务提供票和通信双方的对话密钥来证明自己的身份权限。其中Kerberos认证服务器负责签发初始票，也就是客户第一次得到的票。其他票都是由发票服务器负责签发。同一个票可以在该票过期之前反复使用。当客户需要让服务方提供服务的时候，不但要自己生成仅可以使用一次的证，而且需要向服务方发送由发票服务器分发的。这两个需要同时发送。
（二）HTTP中的身份认证
HTTP中的身份认证现在主要由三个常用的版本。分别是HTTP协议目前已经有了三个版本HTTP0.9、HTTP 1.0和HTTP 1.1，其中HTTP 0.9功能简单，主要用来实现最基本的请求协议和回答协议。HTTP 1.0是目前应用比较广泛的一个版本，它的功能相对来说非常完善。而且，通过Web服务器，就可以实现身份认证来实现访问和控制。如果用户向某个页面发出请求或者运行某个CGI程序时，将会有访问控制文件告诉用户哪些可以访问，哪些不可以访问，访问对象文件通常存在于访问对象所在的目录下面的。通过服务器读取访问控制文件，从而获得相应的访问控制信息。并且要求客户通过输入用户名和口令进行身份验证。通过访问控制文件，Web服务器获得相应的控制信息，用户根据要求输入用户名和口令，如果经过编码并且验证以后，如果身份合法，服务方才发送回所请求的页面或执行CGI程序。HTTP 1.1新增加的很多的报头域。如果进行身份认证，不是以明文的方式进行传递口令，而是把口令进行散列变换，把口令转化以后对它的摘要进行传送。通过这种认证机制，可以避免攻击者通过某种攻击手段来获取口令。即使经过多次攻击，也无法进行破译。即使是这样，仍然不能保证摘要认证的足够安全。和普通的认证方法一样，这种方法也可能受到中间者的攻击。要想更进一步确保口令安全，最好就是把HTTP的安全认证方式与Kerberos服务方式充分结合起来。
（三）IP中的身份认证
IP中的身份认证IP协议出于网络层，因此不能获取更高层的信息，IP中的身份认证无法通过基于用户的身份认证来实现。主要是通过用户所在IP地址的身份认证来实现。IP层的认证机构既要确保信息在传递过程中的数据完整性，又要确保通过数据组抱头传递的信息的安全性。IPSec就是IP安全协议的简称，主要功能就是维护网络层的安全和网络成以下层的安全。通常情况下，它提供两种安全机制。第一种是认证机制，通过这种认证机制，可以确保数据接收方能够识别发送方的身份是否合法。而且还可以发现信息在传输过程中是否被恶意篡改；第二种是加密机制，通过对传输数据进行数据编码来实现数据的加密机制。从而可以保证在信息的传递过程中，不会被他人窃取。IPSec的认证报头（Authentication Header AH）协议定义了认证的应用方法，封装安全负载（Encapsu-lating Security Payload，ESP）协议定义了加密和可选认证的应用方法。应用到具体的通信中去，需要根据实际情况选择不同的加密机制和加密手段。AH和ESP都可以提供认证服务，相比较而言，AH提供的认证服务要强于ESP。
三、身份认证技术讨论
身份认证技术讨论，在前面几部分内容中，对身份认证技术进行了理论分析和总结，并对他们的原理、机制和优缺点进行了比较。这里将根据自己的理解，深入考虑通过其他途径来实现身份认证。数字签名首先要保证身份验证者信息的真实性，就是要确保信息不能伪造，这种方法非常类似于身份认证。身份认证的主要目的是要确保被认证者的身份和权限符合。因此，这里考虑通过数字签名来实现身份认证。这里的技术难点就是必须要预先进行分发密钥。如果不能提前进行密钥分发，就不可能实现数字签名。综上可以看出，身份认证在整个安全要求中是首先要解决的技术问题。
参考文献：
[1]William Stallings,孟庆树等.密码编码学与网络安全――原理与实践(第四版)[M].电子工业出版社,2006,11
[2]袁德明.计算机网络安全[M].电子工业出版社,2007,6
[3]杨英鹏.计算机网络原理与实践[M].电子工业出版社,2007,9
[4]李忠献.认证理论与技术的发展[J].电子学报,1999
[5]陆明,叶凡,胡道元.WWW安全机制研究[J].电子科技导报,1998,1:14-19
身份认证技术论文范文第3篇
关键词：身份认证；UEB Key；PKI体系；认证设计
中图分类号：TP393文献标识码：A文章编号：1009-3044(2008)23-930-02
Design Research of Authentication Client Based on USB Key under PKI System
ZHOU Hua-xiang
(Changsha Commerce & Tourism College, Changsha 410004, China)
Abstract: Due to universality and opening of the Internet，there're many hidden troubles of information security in the network, so, identity authentication has becomed the necessary measure to ensure the security. This paper compared and analyzed the relative merits of common classes of identity authentication, and on the basis of analysis, the authentication principle and its characteristics, and the authentication processing were also discussed, and after that, the identifying technology of USB Key with PKI system was designed from software and hardware detaily. All these design work and theory analysis is significative for enhance the security of the identifying authentication.
Key words: Identity authentication; USB Key; PKI System; Technology design
1 引言
当前，随着计算机技术的飞速发展，利用因特网高科技手段进行经济商业犯罪的现象已经屡见不鲜了，因此，如何采用更加安全的数据保护及加密技术，成为当前计算机工作者的研究热点与重点。但是很多身份认证技术由于本身算法的漏洞而不稳定或可靠，使得很多不法之徒有机可乘。因此，发展更加安全的数据加密算法和身份认证技术，是关系到社会经济稳定繁荣发展的关键，如何采用与设计更加安全的身份认证技术，成为当前计算机安全工作的重点。
现今，计算机及网络系统中最常用到的身份认证技术主要有以下几种：1）用户名密码方式认证；2）IC卡认证；3）动态口令认证；4）生物特征认证。
上述几种身份认证方式，或认证方式过于简单，或认证成本过高，或使用方法繁琐，在推广应用上都存在一定的限制因素；USB Key认证技术是一种方便、安全、经济的身份认证技术，它采用软硬件相结合、一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。
2 相关原理概述
2.1 PKI体系概述
PKI(Public Key Infrastructure)是一个用公钥密码体制来实现并提供安全服务的具有通用性的安全基础设施，具有可信任的权威认证机构CA，在公钥加密技术基础上实现证书的产生、管理、存档、发放以及证书作废管理等功能，并包括实现这些功能的硬件、软件、人力资源、相关政策和操作规范以及为PKI 体系中的各成员提供全部的安全服务。如实现通信中各实体的身份认证、数据保密性、数字完整性以及不可否认等。PKI必须具有认证机构CA、证书库、密钥备份及恢复系统、证书作废处理系统、PKI 应用接口系统等主要组成部分。
2.2 USB Key认证原理
每个USB Key硬件都具有用户PIN码，以实现双因子认证功能。USB Key内置单向散列算法(MD5) ，预先在USB Key和服务器中存储一个证明用户身份的密钥，当需要在网络上验证用户身份时，先由客户端向服务器发出一个验证请求。服务器接到此请求后生成一个随机数并通过网络传输给客户端，客户端将收到的随机数提供给插在客户端上的USB Key，由USB Key使用该随机数与存储在USB Key中的密钥进行带密钥的单向散列运算（HMACMD5）并得到一个结果作为认证证据传送给服务器，与此同时，服务器使用该随机数与存储在服务器数据库中的该客户密钥进行HMAC- MD5运算，如果服务器的运算结果与客户端传回的响应结果相同，则认为客户端是一个合法用户。
3 基于PKI体系的USB Key认证客户端的设计
3.1 总体设计
本方案基于USB接口，采用高性能的智能卡进行设计，把智能卡固有的安全性能和USB总线的即插即用、总线供电等优点结合起来，集二者之所长，研制出一种携带方便的PKI客户端设备，集数据加密和数据存储两大功能为一体，在硬件级安全的基础上完成身份认证、密钥管理、证书存储等功能。其系统结构框图如图1所示。
由图1的结构可以发现，本论文研究的客户端硬件模块由智能卡和USB 读卡器组成，采用智能卡芯片作为私钥安全管理的载体，它包括私钥的安全生成、存储和使用。智能卡芯片中含有CPU ，可以通过运算来产生公私密钥对，而且还含有一定的存储空间，可以存储私钥和其它用户资料。USB 读卡器的主要功能是完成智能卡与主机的通信。
由于智能卡的存储空间毕竟有限，对于需要进行密码运算的大文件，无法一次完全导入智能卡设备中，为此，我们将一部分密码运算的功能放在主机端的软件模块，以提高运算速度。
总体的设计思路是私钥的密码运算必须在智能卡中进行，而将一部分有可能对大文件进行的运算放在主机上来完成。这样既保证了私钥的生成、保存的高度安全性，又利用了主机容量大、运算快的优势。
3.2 系统硬件设计
3.2.1 智能卡芯片的设计
智能卡芯片是USB KEY的核心，采用一个高性能的处理器芯片，除了含有一个MCU 外，还集成有专门进行密码算法的协处理器，通过它可以提高密码运算的速度。在软件结构上，我们内置了一个卡内操作系统(COS) 以管理智能卡的所有软硬件资源。COS 分为四个模块:传输层模块、文件管理层模块、安全控制模块和算法库。
从整个安全策略、用户的方便性、产品的创新性等几点出发，客户端的智能卡芯片中需要实现签名、解密、RSA 密钥对的产生、私钥的保存及证书的验证等主要功能。
验证别人的证书，需要通过信任锚来完成。信任锚就是根CA 的公钥。通过它，我们可以验证在一个PKI 系统中所有的证书。由于主机的不安全性，如果将信任锚存储在主机端，很容易被黑客替换成一个假的信任锚，这样用户就无法验证别人证书的真伪。出于这样的考虑，我们将信任锚存储在智能卡中，由于智能卡芯片的硬件特性，驻留在里面的程序具有不可修改性，这样就使数据(私钥) 的保存和使用达到了硬件的安全级别，大大提高了PKI 系统的安全。
3.2.2 USB芯片的设计
由于用户需要通过驻留在主机上的用户程序来使用存储在智能卡中的私钥，为了使用的方便，我们将硬件模块设计成一个目前流行的USB KEY模型，即通过USB 接口来实现主机软件程序与智能卡的通讯。
USB 接口的设计由一个USB 芯片来实现。它主要有两个功能，一是通过USB 协议完成与主机的通信；二是完成与智能卡的通讯。由于智能卡与外界的信息交换遵循ISO781623协议，所以USB 芯片的CPU 必须模拟一个781623 协议来实现两者的通讯。
考虑到用户在使用客户端时的不安全性，如:在用户使用完USB KEY时，可能忘记将它从主机上拔下来，这时如果远程黑客通过驻留主机的木马程序获得了用户的PIN ，就会在用户无察觉的情况下，利用USB KEY来对任意的文件进行任意次的签名，从而对合法用户造成很大损失。为此，我们在USB 芯片上设计了一个按键，每次USB 芯片检测到签名操作的命令，便要求用户手工按键，然后再将命令发送到智能卡里，由智能卡完成签名运算。这样合法用户便可以控制签名次数，将风险降到最低水平。
3.2.3 时间芯片的设计
无论证书还是私钥，都有一定的生存期，过期后必须申请新的证书和私钥。要求PKI 用户以手工操作的方式来定期更新自己的证书是不现实的，用户往往忘记自己证书过期的时间，常在认证失败时才发现问题。为此，我们在USB 芯片上加载了一个时间芯片，用它来识别证书和私钥过期的时间。
3.3 系统软件设计
系统的软件设计采用Client/Server模式，一个标准的服务流程为：客户机提出请求，通过USB接口传输给USB接口控制器，USB接口控制器通过模拟7816协议来和智能卡进行通信，智能卡的片上操作系统COS收到该请求后，进行命令解释，调度相应的功能模块进行处理，然后将运算结果返回给USB接口控制器，最终传递给客户机的应用程序，完成一次服务请求。
软件程序的流程图如图2所示。
4 结束语
USB认证设备体积小巧、功能强大、价格低廉，可提供极高安全等级的认证和加密功能，有力地促进了PKI系统的实施，同时，它也可广泛应用于要求个人身份认证、识别、数据加密、安全存储等领域，应用前景广泛。目前，对于身份认证技术的研究方兴未艾，很多新的认证方式与认证技术正在出现，为人们的数据安全提供更加可靠的安全认证与保护。
展望将来，除了对基于PKI体系的USB Key认证方式继续探讨新的数据加密算法外，其他新的认证模式也正在兴起，如基于生物特征的生物认证技术，以及目前处于研究热潮的基于线上手写签名的身份认证技术，这些都将是安全性极高的认证手段。
参考文献：
[1] 胡道元,闵京华.网络安全[M].北京:清华大学出版社,2004.
[2] 蔡金清,万振凯.统一口令网络认证系统的分析与实现[J].天津:工业大学学报,2004,23(3):74-76.
[3] 关振胜.公钥基础设施PKI与认证机构CA[M].北京:电子工业出版社,2002.
[4] 李斌,吴怡,卢家凰.网格用户身份认证方案的新构想[J].计算机工程与设计,2006,27(10):1789-1792.
身份认证技术论文范文第4篇
关键词:身份认证 手机 数字证书 蓝牙传输协议
中图分类号:TP39文献标识码:A 文章编号:1007-3973 (2010) 05-044-02
1前 言
随着信息与计算机网络技术的发展,人类已经迎来了信息时代。互连网的发展大大的改变了人们的生活。然而随着这些新技术的日益普及,爆发出来的信息安全问题也越来越突出。在享受互连网带给人们便捷的同时,这把双刃剑也让人们感受到了严峻的考验。大量的通过计算机网络所实施的犯罪行为,让人们防不胜防。人们有必要对采用更为安全的技术手段来保护自己的敏感信息和交易不被未经过授权的他人截获和盗取。其中最重要的一个措施就是采用身份认证技术。
2 常见身份认证方式分析
身份认证的范围较广,没有统一的分类方法,根据身份认证的发展情况和认证方式的不同可以大致分为以下几类:
2.1用户名+口令的认证方式
这是最简单,最容易实现的认证技术,其优点在于操作简单,不需要任何附加设施,且成本低速度快。但是其缺点是安全性差,属于单因子软件认证的方式。抗猜测攻击性差,系统保存的是口令的明文形式,一旦被攻破,系统将受大极大威胁。这种认证方式属于弱认证方式。
2.2 依靠生物特征识别的认证方式
生物特征识别的认证方式,是为了进行身份识别而采用自动化技术测量人的生物特征,并将该特征与数据库的特征数据进行比较,从而完成身份识别的方式。因为不同的人具有的相同的生物特征的可能性是可以忽略不计的。所以从理论上来说,生物特征识别方式是最可靠的身份识别方式。它是以人的唯一的,可靠的,稳定的特征为依据的。目前比较成熟的可用于计算机系统的生物特征识别技术有:
(1)指纹身份认证技术。通过分析指纹的全局或者局部特征,抽取详尽的特征值来确认身份;
(2) 声纹身份识别技术。也称语音身份识别技术;
(3)虹膜身份认证技术。虹膜是人眼瞳孔和眼白之间的环壮组织。是人眼的可视部分。是最可靠的人体终身身份标识。虹膜识别在采集和精准度方式具有明显的优势;
(4)签名身份认证技术。是将人的手写速度,笔顺,压力和图象等人的个性化特征进行比对。是全新的生物特征认证技术。它不用记忆,方便,易为人接受。可用于计算机登录,信息网如网,信用卡签字等等。
生物特征识别的认证方式,虽然具有,不易遗忘丢失,防伪性能好,随是随地可用,不易伪造或者被盗等优点。但是它还有一系列暂时不能克服的缺点。表现在;技术不完全成熟,生物识别的准确性和稳定性急待提高。研发成本高,产量小和识别设备成本高,现阶段难以推广和大规模应用,对识别正确率没有确切的结论,难以做到真正的唯一性,和安全性。
2.3基于Kerberos的认证方式
Kerberos是一种秘密密钥网络认证协议。是由美国麻省理工学院(MIT)开发的一项身份认证技术。它的思路对后来的身份认证研究产生了很大的影响。它使用了数据加密标准DES(Data Encryption Standard)加密算法来进行加密和认证。Kerberos 设计的主要目的是解决在分布网络环境下,服务器如何对使用某台工作站接入的用户进行身份认证。Kerberos的安全不依赖于用户登录的主机,而是依赖于几个认证服务器。分别是:认证服务器(AS),用于验证用户登录时的身份。票据发放服务器(TGS),发放身份许可证明。服务提供服务器(Server),客户请求工作的执行者。
如下图所示:
基于Kerberos认证方式的缺点:
(1) 它是以对称的DES加密算法为基础,这使得在密钥的交换,保存,管理上存在着较大的安全隐患。
(2)Kerberos不能有效的防止字典攻击。并且防止口令猜测攻击的能力是很弱的。因为Kerberos的协议模型未对口令提供额外的保护。黑客或者攻击者可以收集大量的许可证,通过有些计算和密钥分析,进行口令猜测。倘若用户选择的口令不强,则容易被攻破。
(3)Kerberos协议最初设计是用来提供认证和密钥交换的。不能用它来进行数字签名,没有提供不可抵赖性的机制。
(4)在分布式系统中,认证中心错终复杂,域间的会话密钥太多,给密钥的管理,分配带来麻烦。
2.4基于PKI的身份认证方式
PKI(Pubic Key Infrastructure)公钥基础设施是一种遵循一定标准的密钥管理平台。能够为目前所有的网络应用透明的提供采用加密和数字签名等密码服务所必需的密钥管理和证书管理。它是现代电子商务和信息安全系统的主要技术之一。PKI做为新发展的安全技术和安全服务规范。不仅能确保网络数据的机密性,完整性,可用性,同时也可以解决通信双方身份的真实性问题。基于PKI的数字证书认证方式可以有效的保护用户的身份安全和数据安全。在基于证书的安全通信中,数字证书是证明用户身份合法和提供合法公钥的凭证。是建立保密通信的基础。因此数字证书的存储与管理显得非常重要。本文正是在PKI体系的基础上利用手机做为数字证书的载体,来实现对用户身份的认证。
3基于手机的身份认证方式
基于手机的身份认证是基于PKI的身份认证方式的一种改进或者说发展。为了更方便的说明这种认证方式的意义以及原理,特从以下几个方面进行分析。
3.1现实需求分析
基于PKI的身份认证方式是现阶段公认的保障信息网络社会安全的最佳体系,是信息安全的核心。数字证书的权威性和不可否任是PKI体系的基础。目前,国内外通常的做法是利用USBKey 做为数字证书的载体。例如中国建设银行使用的网银盾,中国工商银行推出的U盾等。他们都是将数字证书存储在USB Key中。其优点是较为安全可靠。但其缺点是管理较为麻烦,携带起来容易丢失。另外由于其工作原理是将数字证书固化在U盘里,证书不能实现远距离更新,实际使用起来,还是比较麻烦。目前很多公司和机构都开始研究下一代的证书存储工具。本论文正是在这样一个现状探索性采用人们常用的手机来作为数字证书的存储和管理工具。并以此展开思考和研究。
3.2理论基础
PKI(Public Key Infrastructure )公钥基础设施,它是一种遵循既定标准的密钥管理平台,它能够为所有网络应用提供数据加密和数字签名等密码服务及所必需的密钥和证书管理体系一种重要的身份认证技术。是简单来说,PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。PKI技术是信息安全技术的核心,也是电子商务的关键和基础技术。PKI以公钥密码技术为基础,数字证书为媒介,结合对称加密和非对称加密技术,将个人的标识信息与各自的公钥绑在一起,其主要目的是通过管理密钥和证书,为用户建立起一个安全、可信的网络运行环境,使用户可以在多种应用环境下方便地使用加密和数字签名技术在客户端上验证用户的身份,从而保证了互联网上所传输信息的真实性、完整性、机密性和不可否认性。
3.3 研究方案及系统组成
计算机要能准确认证用户的身份,必须能准确的识别用户手机中的数字证书。其中将数字证书从手机中导入到计算机上中是借助蓝牙技术(也可以是红外技术)提供的数据传输通道。并且因为数字证书是通过蓝牙技术无线传输的,必须给这个通道加密,防止被非法用户窃取。系统组成如下图所示:
3.4关键问题及其解决方案
3.4.1系统中的关键问题
基于手机的身份认证是依赖于手机这个载体,以数字证书为媒介,最终需要保证计算机对手机中的数字证书准确识别。并且整个信息交换不被非授权的第三方截获。因此整个系统有以下两个关键问题。
(1)数字证书在手机中的安全性问题。数字证书是存放在手机的SD卡上的,要保证数字证书能方便的写入到SD卡中,并使其具有加密功能,在遗失,被盗的情况下仍能确保数字证书不被非法利用。
(2)计算机要识别手机上的数字证书,或者说信息要在手机和计算机之间安全传递,必须有一个安全的通道。虽然可以借助他们本身都带有的蓝牙功能,并且蓝牙具有抗干扰性强,成本低的特点。但是仍不能保证信息传递的绝对安全。还需要设计一传输协议来给他们之间的信息传递提供一个安全通道。
3.4.2关键问题的解决方案
(1)对于数字证书在手机中安全存储的问题,可以考虑采用加密SD卡的方法。Sandisk 公司近期研发了一种称为TrustedFlash 的新技术,可以在SD,Micro SD卡上实现加密。
a.安全加密:根据需要,可设定不同的加密方式和权限,支持采用AES,DESB和3DES的对称密钥身份验证及基于X。509证书链的RSAC非对称密钥身份验证。
b.支持数字版权管理(DRM):可在支持硬件加密技术的不同主机间实现移动。
c.具有硬件加密技术的主机向下兼容常规的存储卡,而硬件加密卡在非保护区域也可作为常规卡使用。
d.主机(如手机)只需要升级软件来支持硬件加密技术,不需要增加和更改硬件。主要应用于数据安全存取,身份认证及移动电子商务。
(2) 对于传输通道的设计。可以借鉴当前的密码协议SSL协议。SSL即安全套接字层(Secure Socket Layer)。它是网景公司(Netscape)开发的,主要应用于保障Internet上数据传输之安全。SSL协议可以分为两层:SSL记录协议和SSL握手协议。提供主要服务有:①认证用户和服务器,确保数据发送到正确的客户机和服务器;②加密数据以防止数据中途被窃取;③维护数据的完整性,确保数据在传输过程中不被改变。认证工作流程为:1)客户端(C)向服务器(S)发送一个会话请求信息“你好”2)服务器根据客户的信息确定是否需要生成新的主密钥,如需要则服务器在响应客户的“你好”信息时将包含生成主密钥所需的信息;3)客户根据收到的服务器响应信息,产生一个主密钥,并用服务器的公开密钥加密后传给服务器;4)服务器恢复该主密钥,并返回给客户一个用主密钥认证的信息,以此让客户认证服务器。同样手机和计算机之间的通信过程和上面相似。只是SSL是同过有线连接传递数据,而本系统是通过蓝牙技术无线传递,其工作原理完全相同。
4小结与展望
本文开头阐述了常见的身份认证的方式,并分析了它们的优缺点。 目的是为了说明基于手机的身份认证在整个身份认证体系中所在的位置。随着手机业务的不断发展。现在的手机已经不仅是局限于传统的通话业务。越来越多的智能手机投入市场。它们大多可以安装小型的操作系统具有较强的处理能力,如Symbian 、Windows mobile、Linux等手机操作系统。这就为基于手机的身份认证提供了很好的工具和平台。可以预见USBKEY的功能将会被手机取代。基于手机的身份认证技术将能更好的服务于人民的生活。
参考文献:
[1]冯国柱. PKI关键技术研究及其应用[D].长沙:国防科学技术大学,2006.
[2]赵小沫. 基于SSL的数据库安全研究及实现[D]. 武汉:武汉理工大学,2009.
[3]祝晓光. 网络安全设备与技术[M]. 北京:清华大学出版社,2004. 74―82.
身份认证技术论文范文第5篇
论文摘要：随着当代信息技术的发展，互联网的共享性、开放性以及互联程度也在不断扩大。internet的广泛普及，商业数字货币、网络银行等一部分网络新业务的迅速兴起，使得计算机网络的安全问题越来越显得重要，通过归纳总结，提出网络信息中的一些安全防护策略。
1．引言
网络环境的复杂性、多变性以及信息系统的脆弱性，决定了网络安全威胁的客观存在。当前，随着计算机技术的飞速发展，利用因特网高科技手段进行经济商业犯罪的现象已经屡见不鲜了，因此，如何采用更加安全的数据保护及加密技术，成为当前计算机工作者的研究热点与重点。网络安全技术，尤其是网络信息的安全，关系到网民、企业甚至是国家的信息安全。因此，发展更加安全的网络安全技术，是关系到社会经济稳定繁荣发展的关键，成为当前计算机安全工作的重点。
2．网络信息安全的风险来源
影响计算机网络安全的因索很多，既有自然因素，也有人为因素，其中人为因素危害较大，归结起来丰要以下几个方面：
(1)病毒感染
从“蠕虫”病毒开始到cih、爱虫病毒，病毒一直是计算机系统安全最直接的威胁。病毒依靠网络迅速传播，它很容易地通过服务器以软件下载、邮件接收等方式进入网络，窃取网络信息，造成很人的损失。
(2)来自网络外部的攻击
这是指来自局域网外部的恶意攻击，例如：有选择地破坏网络信息的有效性和完整性；伪装为合法用户进入网络并占用大量资源；修改网络数据、窃取、破译机密信息、破坏软件执行；在中间站点拦截和读取绝密信息等。
（3)来自网络内部的攻击
在局域网内部，一些非法用户冒用合法用户的口令以合法身份登陆网站后。窃取机密信息，破坏信息内容，造成应用系统无法运行。
（4)系统的漏洞及“后门”
操作系统及网络软件不可能是百分之百的无缺陷、无漏洞的。编程人员有时会在软件中留有漏洞。一旦这个疏漏被不法分子所知，就会借这个薄弱环节对整个网络系统进行攻击，大部分的黑客入侵网络事件就是由系统的“漏洞” 和“后门”所造成的。
3．网络信息安全的防护策略
现在网络信息安全的防护措施必不可少。从技术上来说，计算机网络安全主要由防病毒、入侵检测等多个安全组件组成，就此对我们常用的几项防护技术分别进行分析。
3．1防火墙技术
防火墙(ifrewal1)是指设置在不同网络或网络安全域之间的系列部件的组合，它越来越多地应用于专用网络与公用网络的互联环境之中，尤其以接入internet网络为甚。不同网络或网络安拿域之间信息都会经过它的过滤，防火墙就会根据自身的安全政策控制(允许、拒绝、监测)出入网络的信息流，而且它本身也具有较强的抗攻击能力，不会被病毒控制。防火墙可以阻j网络中的黑客来访问你的机器，防止他们篡改、拷贝、毁坏你的重要信息。它为网络信息的安全提供了很好的服务，为我们更安全地使用网络提供了很好的保障。
“防火墙”技术是指假设被保护网络具有明确定义的边界和服务而采取的一种安全保障技术，它通过监测、限制和更改通过“防火墙”的数据流，一方面尽可能地对外部网络屏蔽被保护网络的信息、结构，实现对内部网络的保护，以防“人放火”；另一方面对内屏蔽外部某些危险站点，防止“引火烧身”。因而，比较适合于相对独立、与外部网络互联单一、明确并且网络服务种类相对集中的统一互联网络系统。防火墙可对网络存取和访问进行监控审计，如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并做出日志记录，同时也能提供网络使用情况的统计数据。
通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。除了安全作用，有的防火墙还支持具有internet服务特性的企业内部网络技术体系vpn。vpn，可以将分部在世界各地的lan或专用电子网有机地联成一个整体。这样一方面省去了专用通信线路，也达到了信息共享的目的。
3．2数据加密技术
数据加密技术是网络中最荩木的安伞技术，主要是通过对网络传输的信息进行数据加密来保障其安全性。加密是对网络上传输数据的访问权加强限制的一种技术。原始数据(也称为明文，plaintext)被加密设备(硬件或软件)和密钥加密而产生的经过编码的数据称为密文(ciphertext)。解密是加密的反向处理，是将密文还原为原始明文，但解秘者必须利用相同类型的加密设备和密钥，才能对密文进行解密。
3．3入侵检测技术
入侵检测系统(intrusiondetectionsystem，ids)是从多种计算机系统及网络系统中收集信息，再通过这些信息分析，对计算机和网络资源的恶意使用行为进行识别的网络信息安全系统。入侵检测系统具有多方面的功能：威慑、检测、响应、损失情况评估、攻击预测和支持等。入侵检测技术是为保证计算机信息系统安全而设计与配置的一种能够及时发现并报告系统中朱授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。
3．4病毒防护
可采用如下的方法或措施：
(1)合理设置杀毒软什，如果安装的杀毒软什具备扫描电邮件的功能，尽量将这些功能伞部打开；
（2)定期检查敏感文件；
(3)采取必要的病毒检测和监控措施；
(4)对新购的硬盘、软盘、软件等资源，使用前应先用病毒测试软件检查已知病毒，硬盘可以使用低级格式化(dos中的format格式化可以去抻软盘中的病毒，但不能清除硬盘引导的病毒)；
（5)慎重对待邮件附件，如果收到邮件中有可执行文件(如．exe、．com等)或者带有“宏”的文杀一遍，确认没有病毒后再打开；
（6)及时升级邮件程序和操作系统，以修补所有已知的安全漏洞。
3．5身份认证技术
身份认证(authentication)是系统核查用户身份证明的过程，其实质是查明用户是否具仃它所请求资源的存储使用权。身份识别(identificaiion)是指用户向系统出示自己的身份证明的过程。这两项上作通常被称为身份认证。
身份认证至少应包括验证协议和授权协议。网络中的各种应用和计算机系统都需要通过身份认证来确认合法性，然后确定它的个人数据和特定权限。对于身份认证系统来说，合法用户的身份是否易于被别人冒充足它最重要的技术指标。用户身份被冒充不仪可能损害用户自身的利益，也可能损害其他用户的利益或整个系统。因此，身份认证是授权控制的基础。只有有效的身份认证，才能保证访问控制、安全审计、入侵防范等安全机制的有效实施。
安装必要的安全软件，杀毒软件和防火墙这些都是必备的，而且还要安装并使用必要的防黑软件。我们一定要把这些安全防护措施及时应在电脑中，在上网时一定要打开它们。最后要及时给系统打补丁，建议人家下载自己的操作系统对应的补丁程序，这是我们网络安全的恭础。
4．结束语
身份认证技术论文范文第6篇
论文关键词：智能卡 指纹识别 移动存储 信息安全
论文摘要：随着移动存储设备的广泛应用，由其引发的信息泄漏等安全问题日益受到关注。针对目前移动存储安全解决方案中利用用户名和密码进行身份认证的不足，本文提出了基于智能卡技术的安全管理方案。该方案将指纹特征作为判定移动存储设备持有者身份的依据，同时通过智能卡技术实现了移动存储设备与接入终端间的双向认证，从源头上杜绝了移动存储设备带来的安全隐患。
1引言
移动存储设备因其体积小、容量大、使用灵活而应用广泛，但其本身的“匿名性”给设备安全管理带来了巨大挑战，身份认证难、信息易泄露、常携带病毒等问题一直困扰着用户和计算机系统安全人员。
在移动存储的安全管理上应基于两个层面：首先是移动存储设备对用户的身份认证，以确保移动存储设备持有者身份的合法性；其次是移动存储设备与接入终端间的双向认证。目前，移动存储的安全管理往往是基于用户名和口令的身份认证方案，容易受到非法用户“假冒身份”的攻击，同时系统中所保存的口令表的安全性也难以保障，因此该方案存在较大的安全隐患。少数采用生物特征识别的安全方案也仅仅做到了第一个层面的身份认证，仍无法解决对移动存储设备本身的身份认证以及移动存储设备对接入终端的身份认证。然而，移动存储设备和接入终端间双向认证的必要性是显而易见的，只有被终端信任的移动存储设备才允许接入；同时，当终端也被移动存储设备信任时，移动存储设备和终端才能获得彼此间相互读写的操作权限。只有实现上述的双向认证，才能有效地在源头杜绝移动存储设备带来的安全隐患。
本文描述了一种移动存储安全管理方案，针对u盘和移动硬盘等移动存储设备，基于智能卡技术，结合指纹识别模块，解决了设备持有者的身份认证以及设备与接人终端间的双向认证问题，并将设备持有者的指纹作为实名访问信息记人审计系统，进一步完善了移动存储的安全管理方案。
2基于指纹识别的用户身份认证
指纹识别技术主要涉及指纹图像采集、指纹图像处理、特征提取、数据保存、特征值的比对和匹配等过程，典型的指纹识别系统如图1所示。
图1指纹识别系统
指纹图像预处理的目的是去除指纹图像中的噪音，将其转化为一幅清晰的点线图，便于提取正确的指纹特征。预处理影响指纹识别的效果，具有重要的意义。它分四步进行，即灰度滤波、二值化、二值去噪和细化。图像细化后，采用细节点模板提取出指纹图像的脊线末梢和脊线分支点的位置，将指纹认证问题转化成为点模式匹配问题。
如图2所示，移动存储设备采用兼容多种设备接口的控制芯片、安全控制闪存芯片、大容量用户标准flash构成硬件基础，以智能卡控制芯片为控制中心，结合指纹识别模块，实现对设备持有者的身份认证；同时，结合大容量普通闪存存储结构，实现数据存储低层管理和数据存储加密。
3基于智能卡技术的双向认证
为加强系统认证安全性与可信性，在移动存储设备内集成智能卡模块，使之具备计笄能力，从而实现移动存储设备与终端之问的双向认证。移动存储设备的身份文件存放于智能卡模块中。身份文件是指存储着移动存储设备各项物理特征信息的私密文件，由于这些物理特征信息与个体紧密相联，所以可以起到唯一鉴别该移动存储设备的作用。
智能卡模块提供对终端的认证，只有通过认证的终端才能访问身份文件和移动存储设备中的数据。将现有移动存储设备硬件结构进行改造，在其中分别加人指纹处理模块与智能卡模块后的硬件结构如图3所示。
智能卡模块内置cpu、存储器、加解密算法协处理器、随机数发生器等硬件单元，及芯片操作系统(cos)、芯片文件系统等多个功能模块。其内部具有安全数据存储空间，用于存放移动存储设备的身份文件。对该存储空间的读写受身份认证机制保护，只有通过认证的用户和终端才能对其进行访问，并且操作必须通过定制的应用程序实现，用户无法直接读取。支持指纹认证的智能卡文件系统如图4所示。
对终端的身份认证方式有多种，本方案采用冲击一响应的认证方式_7]。需要验证终端身份时，终端向智能卡模块发送验证请求，智能卡模块接到此请求后产生一组随机数发送给终端(称为冲击)。终端收到随机数后，使用终端认证软件内置的密钥对该随机数进行一次三重des加密运算，并将得到的结果作为认证依据传给智能卡模块(称为响应)，与此同时，智能卡模块也使用该随机数与内置的密钥进行相同的密码运算，若运算结果与终端传回的响应结果相同，则通过认证。这种认证方式以对称密码为基础，特点是实现简单，运算速度快，安全性高，比较适合对移动存储设备的认证。
在终端通过认证，取得移动存储设备信任的前提下，终端通过智能卡模块读取移动存储设备身份文件，对移动存储设备进行准入认证。只有在双向认证通过的情况下，移动存储设备才能接入可信终端，进而在授权服务器分发的安全策略下与可信域终端进行正常的读写操作。
4移动存储安全管理系统设计
在采用智能卡技术的基础上，加入移动存储安全管理系统，提供对移动存储设备的接人控制，将认证体系扩展至计算机usb总线。
安全管理系统的认证体系示意图如图5所示。各终端首先需要加入某个信任域，在此之后可对移动存储设备提供基于所在信任域的接入认证，如果终端没有通过信任域认证，则不允许任何移动存储设备接入。
授权认证服务器位于各信任域的公共区域中，为各信任域的终端提供移动存储设备授权认证服务。它将设备授权给某个信任域后，该设备便成为该区域中的授权设备，可在该区域中任意一台终端上使用；在其他区域使用时将被认为是未授权的，接入将被拒绝。隔离区中的终端与授权认证服务器不能通过网络相连，从而保证了被隔离的终端不能够使用移动存储设备，防止安全隐患向外扩散。这种把安全域细分成不同信任域的整体设计可以最大限度地防止安全实体内敏感数据的任意传播，大大降低信息向外非法泄露的可能性。
终端移动设备认证软件部署在网络系统中的各台终端上，实时监测终端上所有usb接口，探测接人的移动存储设备。发现设备后，认证软件将与接入设备进行相互认证，并与认证服务器通信，对设备进行认证，通过认证的设备被认为是当前信任域的授权设备，否则将被认为是未授权的。根据认证结果，允许或禁止移动设备接入。
4．1授权流程描述
服务器端授权软件运行时，探测出所有连接到授权服务器上的移动存储设备，并将结果报告给管理员。管理员指定需要授权的设备，填写好授权区域、授权日期、授权人、授权有效期并录入用户指纹信息后，授权软件开始对该移动存储设备进行授权。
(1)获取该设备的各项物理信息，这些信息具有特征标识，可以唯一地标识该设备；
(2)将收集到的物理信息和管理员输入的授权区域、授权日期、授权人、授权有效期等信息以一定格式排列，并注入随机字符，采用三重des运算，生成身份文件；
(3)设置移动存储设备中指纹模块的指纹信息；
(4)将智能卡模块中的认证密钥设成与终端事先约定好的密钥；
(5)将(3)中生成的身份文件存入智能卡模块中的安全数据存储空间。
4．2认证流程描述
图6是移动存储设备管理系统完成认证的整个流程，其步骤如下：
(1)终端认证软件判断当前终端所处区域，如果处于信任域中，扫描各usb端口状态，判断是否有新设备接人；如果处于隔离区，则拒绝任何usb移动设备接入。
(2)如果探测到新设备接入，智能卡cpu调用指纹处理模块，接收并验证用户指纹。
(3)如果指纹认证通过，则终端向usb存储设备发送认证请求；否则禁用该usb存储设备。
(4)如果没有收到usb存储设备的智能卡模块发来的随机数，证明该设备是不符合系统硬件设计要求的，拒绝接入；如果收到随机数，则进行冲击一响应认证。如果没有通过认证，证明该终端为非信任终端，智能卡模块拒绝该设备接人终端。
(5)终端读取智能卡模块存储的身份文件，并读取该设备的各项物理信息，将身份文件、物理信息及终端所处的信任域信息发送至认证服务器进行认证。
(6)服务器认证软件接收到终端发送来的信息后，将标识文件解密，得到授权区域、授权日期、授权人、授权有效期等信息。
①将解密得到的物理信息与终端发来的物理信息作比对，如果不相符，证明该标识文件是被复制或伪造的，向终端发送未通过认证的指令。
②如果①中认证通过，将解密得到的信任域信息与终端发来的信任域信息作比对，如果不相符，证明该移动存储设备处于非授权区域中，向终端发送未通过认证的指令。
③如果②中认证通过，将解密得到的授权有效期与当前日期做比较，如果当前日期处于有效期内，向终端发送通过认证的指令；如果当前日期处于有效期外，向终端发送未通过认证的指令。
(7)终端接收认证服务器发来的指令，对usb设备执行允许或禁止接入的操作。如果usb设备被允许接入，则智能卡模块将设备持有者指纹提交给认证服务器，作为已授权访问记录记入日志中。
(8)转至(2)继续探测新设备。
5安全性分析
本方案通过在移动存储设备中加入指纹识别模块和智能卡模块，更安全可靠地解决了设备持有者身份认证问题以及移动存储设备的“匿名性”问题，通过引入身份文件，实现了移动存储设备的实名制认证。结合智能卡的相关技术，本方案从根本上解决了移动存储设备与接入终端问的双向认证问题，构建了双方互信的安全传输环境。
基于信任域的划分对设备进行授权管理，使整个系统能够同时对终端和移动存储设备提供接人控制，有效地阻止了安全威胁的传播。在方案的具体实现上，有如下安全性考虑：
(1)移动存储设备采用指纹识别的方式认证设备持有者身份，确保其身份的合法性；采用三重des对称加密的方式对终端进行认证，确保终端为运行认证软件的合法授权终端，有效地避免了强力破解的可能性。
(2)移动存储设备的物理信息各不相同，身份文件也是唯一确定的。身份文件采用三重des加密的方式，加解密过 程全部在服务器端认证软件中完成，密钥不出服务器，避
免了密码被截获的可能性。身份文件存储于智能卡模块中的安全数据存储区，受智能卡模块软硬件的双重保护。方案保证了身份文件的唯一性、抗复制性和抗伪造性，任何非授权设备都无法通过破译、复制、伪造等人侵手段冒名成为授权设备。
(3)认证服务器与隔离区中的终端相互隔离，只能被信任域中的终端访问，保证了认证服务器的安全。
(4)双向认证通过后，被授权的移动存储设备将设备持有者的指纹记入授权服务器的访问日志中，以便日后能够准确地确定安全事故责任人。
综上所述，通过指纹识别技术、智能卡技术、密码学技术、芯片技术和嵌入式系统设计技术实现了安全可信的移动存储。
6结束语
身份认证技术论文范文第7篇
［论文摘 要］电子商务是新兴商务形式,信息安全的保障是电子商务实施的前提。本文针对电子商务活动中存在的信息安全隐患问题,实施保障电子商务信息安全的数据加密技术、身份验证技术、防火墙技术等技术性措施,完善电子商务发展的内外部环境,促进我国电子商务可持续发展。
随着网络的发展，电子商务的迅速崛起，使网络成为国际竞争的新战场。然而,由于网络技术本身的缺陷,使得网络社会的脆性大大增加，一旦计算机网络受到攻击不能正常运作时,整个社会就会陷入危机。所以,构筑安全的电子商务信息环境,愈来愈受到国际社会的高度关注。
一、电子商务中的信息安全技术
电子商务的信息安全在很大程度上依赖于技术的完善,包括密码、鉴别、访问控制、信息流控制、数据保护、软件保护、病毒检测及清除、内容分类识别和过滤、网络隐患扫描、系统安全监测报警与审计等技术。
1.防火墙技术。防火墙主要是加强网络之间的访问控制, 防止外部网络用户以非法手段通过外部网络进入内部网络。
2.加密技术。数据加密就是按照确定的密码算法将敏感的明文数据变换成难以识别的密文数据,当需要时可使用不同的密钥将密文数据还原成明文数据。
3.数字签名技术。数字签名技术是将摘要用发送者的私钥加密,与原文一起传送给接收者,接收者只有用发送者的公钥才能解密被加密的摘要。
4.数字时间戳技术。时间戳是一个经加密后形成的凭证文档，包括需加时间戳的文件的摘要、dts 收到文件的日期与时间和dis 数字签名，用户首先将需要加时间的文件用hash编码加密形成摘要，然后将该摘要发送到dts，dts 在加入了收到文件摘要的日期和时间信息后再对该文件加密,然后送回用户。
二、电子商务安全防范措施
网络安全是电子商务的基础。网络安全防范技术可以从数据的加密(解密)算法、安全的网络协议、网络防火墙、完善的安全管理制度、硬件的加密和物理保护、安全监听系统和防病毒软件等领域来进行考虑和完善。
1.防火墙技术
用过internet,企业可以从异地取回重要数据,同时又要面对 internet 带来的数据安全的新挑战和新危险:即客户、推销商、移动用户、异地员工和内部员工的安全访问;以及保护企业的机密信息不受黑客和工业间谍的入侵。因此,企业必须加筑安全的“壕沟”,而这个“壕沟”就是防火墙.防火墙系统决定了哪些内容服务可以被外界访问;外界的哪些人可以访问内部的服务以及哪些外部服务可以被内部人员访问。防火墙必须只允许授权的数据通过，而且防火墙本身必须能够免于渗透。
2. vpn技术
虚拟专用网简称vpn,指将物理上分布在不同地点的网络通过公用骨干网联接而形成逻辑上的虚拟“私”网,依靠ips或 nsp在安全隧道、用户认证和访问控制等相关技术的控制下达到与专用网络类同的安全性能,从而实现基于 internet 安全传输重要信息的效应。目前vpn 主要采用四项技术来保证安全, 这四项技术分别是隧道技术、加解密技术、密钥管理技术、使用者与设备身份认证技术。
3.数字签名技术
为了保证数据和交易的安全、防止欺骗,确认交易双方的真实身份,电子商务必须采用加密技术。数字签名就是基于加密技术的,它的作用就是用来确定用户是否是真实的。数字签名就是通过一个单向哈希函数对要传送的报文进行处理而得到的用以认证报文是否发生改变的一个字母数字串。发送者用自己的私钥把数据加密后传送给接收者,接收者用发送者的公钥解开数据后,就可确认消息来自于谁,同时也是对发送者发送的信息真实性的一个证明,发送者对所发信息不可抵赖,从而实现信息的有效性和不可否认性。
三、电子商务的安全认证体系
随着计算机的发展和社会的进步,通过网络进行的电子商务活动当今社会越来越频繁,身份认证是一个不得不解决的重要问题,它将直接关系到电子商务活动能否高效而有序地进行。认证体系在电子商务中至关重要,它是用户获得访问权限的关键步骤。现代密码的两个最重要的分支就是加密和认证。加密目的就是防止敌方获得机密信息。认证则是为了防止敌方的主动攻击,包括验证信息真伪及防止信息在通信过程被篡改删除、插入、伪造及重放等。认证主要包括三个方面:消息认证、身份认证和数字签名。
身份认证一般是通过对被认证对象(人或事)的一个或多个参数进行验证。从而确定被认证对象是否名实相符或有效。这要求要验证的参数与被认证对象之间应存在严格的对应关系,最好是惟一对应的。身份认证是安全系统中的第一道关卡。
数字证书是在互联网通信中标志通信各方身份信息的一系列数据。提供了一种 internet 上验证用户身份的方式,其作用类似于司机的驾驶执照或身份证。它是由一个权威机构ca机构,又称为证书授权(certificate authority)中心发行的,人们可以在网上用它识别彼此的身份。
四、结束语
安全实际上就是一种风险管理。任何技术手段都不能保证100%的安全。但是,安全技术可以降低系统遭到破坏、攻击的风险。因此,为进一步促进电子商务体系的完善和行业的健康快速发展,必须在实际运用中解决电子商务中出现的各类问题,使电子商务系统相对更安全。电子商务的安全运行必须从多方面入手,仅在技术角度防范是远远不够的,还必须完善电子商务立法,以规范飞速发展的电子商务现实中存在的各类问题,从而引导和促进我国电子商务快速健康发展。
参考文献：
[1] 劳帼龄.电子商务的安全技术[m].北京:中国水利水电出版社,2005.
[2] 赵泉.网络安全与电子商务[m].北京:清华大学出版社,2005.
[3] 肖和阳,卢嫣.电子商务安全技术[m].长沙:国防科技大学出版社,2005.
身份认证技术论文范文第8篇
关键词：可信计算；可信网络；TPM；可信服务器
中图分类号：TP393.08
1 可信服务器的设计
1.1 系统结构
可信服务器主要有用户请求响应模块，用户身份识别模块，可信度量模块，可信修复模块，如图1所示。用户请求响应模块响应客户端的连接请求；用户身份识别模块记录用户的身份及可信属性信息；可信度量模块根据收集的客户端可信属性，计算出客户端的可信值，并将可信值发送给决策机构；可信修复模块对不可信的终端进行修复操作，其分为网络接口模块、用户身份认证模块、修复资源管理模块。
图1 系统结构
1.2 可信度量方法
定义1用户可信度是允许用户访问服务器需满足的最小可信度值，
如表1所示，终端A满足系统的完整性安全策略，因而能顺利的接入可信服务器。终端B不满足系统的安全策略的第（2）、（3）条属性，故需要可信修复后才可以再次进行可信接入认证。终端C没有安装TPM安全芯片，属于终端系统的硬件问题，无法修复，所以可信服务器通知终端无法修复，直接隔离。终端D的操作系统版本不对，不满足完整性安全策略第（1）条属性，也无法进行修复，直接进行隔离。
测试结果表明：
（1）接入认证过程及可信修复模块的功能都得到了正确的实现。
（2）可信服务器能有效防止不可信终端的接入，保证系统的安全可信。
（3）只有终端在身份认证成功后，且其完整性度量计算的可信度值满足系统的可信度阈值，才允许其访问可信服务器，而没有满足可信度阈值的终端将被隔离修复。
（4）可信服务器只能对终端的软件相关的属性进行修复，而不能修复终端硬件的不可信属性，如是否安装TPM安全芯片、操作系统是否符合等，符合预期。
3 结束语
本文设计并实现了可信服务器的基本功能，实现了可信服务器的核心功能可信修复应用，实现了身份认证、可信度量及可信修复功能。最后，对几种不同配置情形的终端进行了测试，结果表明测试结果符合预期，具有可行性。
参考文献：
[1]林闯，彭雪海.可信网络研究[J].计算机学报，2005（05）：751-758.
[2]李兴国，顾震苏.基于可信网络连接的安全接入技术[J].信息安全，2007（23）：28-29+46.
[3]David Challener（美）.可信计算[M].北京：机械工业出版社，2009.
[4]王丽华.双向认证系统的设计与实现[J].中国优秀硕士学位论文全文数据库，2007.
作者简介：汤建（1986.03-），男，江苏淮安人，工程师，工学硕士，研究方向：医院信息化系统、人工智能。
身份认证技术论文范文第9篇
【关键词】PKI；数字签名算法；加密解密
一、PKI系统基本组成
PKI是一个以公钥密码技术为基础，数字证书为媒介，结合对称加密和非对称加密技术，将个人的信息和公钥绑在一起的系统。其主要目的是通过管理密钥和证书，为用户建立一个安全、可信的网络应用环境，使用户可以在网络上方便地使用加密和数字签名技术，在Internet上验证通信双方身份，从而保证了互联网上所传输信息的真实性、完整性、机密性和不可否认性。完整的PKI系统包括一个RA中心、CA中心、用户终端系统EE、证书/CRL资料库和秘钥管理系统。
二、PKI系统提供的服务
PKI作为安全基础设施，主要提供的服务有保密、身份认证服务、验证信息完整以及电子商务中的不可抵赖。
1.保密
所谓保密就是提供信息的保密，包括存储文件和传输信息的保密性，所有需要保密的信息都加密，这样即使被攻击者获取到也只是密文形式，攻击者没有解密密钥，无法得到信息的真实内容，从而实现了对信息的保护。PKI提供了保密，并且这个服务对于所有用户都是透明的。
2.身份认证服务
PKI的认证服务在ITU-TX.509标准中定义为强鉴别服务，即采用公开密钥技术、数字签名技术和安全的认证协议进行强鉴别的服务。
3.完整
完整就是保证数据在保存或传输过程中没有被非法篡改，PKI体系中采用对信息的信息摘要进行数字签名的方式验证信息的完整性。
4.不可抵赖
不可抵赖是对参与者对做过某件事提供一个不可抵赖的证据。在PKI体系中，发送方的数字签名就是不可抵赖的证据。
三、基于PKI的数字签名的实现
基于PKI的数字签名，用户首先向PKI的RA中心注册自己的信息，RA审核用户信息，审核通过则向CA中心发起证书申请请求，CA中心为用户生成秘钥对，私钥私密保存好，公钥和用户信息打包并用CA私钥进行数字签名，形成数字证书并在CA服务器的证书列表，用户到证书列表查看并下载证书。
假设用户A要向用户B发送信息M，用户A首先对信息进行哈希函数h运算得到M的信息摘要hA，再用自己的私钥DA对hA进行加密得到数字签名Sig(hA）。将明文M、数字签名Sig(hA）以及A的证书CertA组成信息包，用B的公钥EB加密得到密文C并传送给B。其中数字签名与信息原文一起保存，私钥DA只有用户A拥有，因此别人不可能伪造A的数字签名；又由于B的私钥只有B拥有，所以只有B可以解密该信息包，这样就保证了信息的保密性。
四、基于PKI体系结构的数字签名安全性分析
从基于PKI数字签名的实现过程和验证过程中我们知道，数字签名的安全性取决于以下几点：
1.CA服务器确实安全可靠，用户的证书不会被篡改。CA服务器的安全性主要包括物理安全和系统安全。所谓物理安全是指CA服务器放置在物理环境安全的地方，不会有水、火、虫害、灰尘等的危害；系统安全是指服务器系统的安全，可以由计算机安全技术与防火墙技术实现。
2.用户私钥确实被妥善管理，没有被篡改或泄露。现在采用的技术是USB Key或智能卡存储用户私钥，并由用户用口令方式保护私钥，而且实现了私钥不出卡，要用私钥必须插卡，从技术实现了私钥不会被篡改和泄露。
3.数字签名方案的安全性好。基于PKI公钥加密技术的数字签名是建立在一些难解的数学难题的基础上，其中基于RSA算法的签名方案应用最多。RSA算法是基于大数分解的困难性，目前当模数达到1024位时，分解其因子几乎是不可能的，未来十年内也是安全的。但是由于RSA算法保存了指数运算的特性，RSA不能抵御假冒攻击，就算攻击者不能破解密钥，也可进行假冒攻击实现消息破译和骗取用户签名。
六、总结
在电子商务交易的过程中，PKI系统是降低电子商务交易风险的一种常用且有效的方法，本文介绍了PKI系统的组成，PKI系统提供的服务，分析了基于PKI通信的安全性，其安全主要通过数字证书和数字签名来实现，而数字签名的安全性则主要依赖于签名方案，在研究和分析现有数字签名方案的基础上提出了改进的新方案，即添加随机因子和时间戳的RSA签名方案，新方案增加了通信双方交互次数，虽然系统效率有所降低，但提高了方案的安全性，并且新方案既可保证信息的保密性、完整性，又使得通信双方都具备了不可抵赖性，具有很高安全性和较强的实用意义。
参考文献
[1]刘颖.基于身份的数字签名的研究[D].西安电子科技大学硕士学位论文,2006,1.
[2]段保护.一种改进的基于时间戳的数字签名方案[D].长沙理工大学硕士学位论文,2009,3.
[3]陈昕.基于一次性口令的身份认证系统研究及实现[D].南京信息工程大学硕士学位论文,2009,5.
[4]潘恒.电子商务环境下基于PKI的信任问题研究[D].信息工程大学博士学位论文,2006,10.
[5]张宁.电子商务安全性分析[D].北京邮电大学硕士研究生学位论文,2007,3.
[6]任晓东.基于PKI的认证中心研究与实现[D].西南交通大学硕士学位论文,2008,5.
[7]梁雪梅.安全数字签名在电子商务中的应用研究[D].重庆大学硕士学位论文,2008,9.
身份认证技术论文范文第10篇
论文摘要：针对一般网络应用系统的特征，融合了数据加密、身份认证和访问控制三种安全技术和机制，并充分考虑了系统安全性需求与可用性、成本之间的平衡，提出了一个以信息资源传输和存储安全保护，身份认证安全管理和资源访问安全控制为基本要素的网络应用系统信息安全模型，为加强中小型企业网络应用系统安全性提供了一个比较简单可行的方案。
0引言
由于网络环境的特殊性，每一个投人使用的网络应用系统都不可避免地面临安全的威胁，因此，必须采取相应的安全措施。国内在信息安全方面已做了很多相关研究，但大多是单独考虑资源保护或身份认证等某一方面，而对如何构建一个相对完善且通用的网络应用系统信息安全解决方案研究不多。本文在iso提出的安全服务框架下，融合了数据加密、身份认证和访问控制三种安全技术和机制，并充分考虑了系统安全性需求与可用性、成本等特性之间的平衡，提出了一个以信息资源传输和存储安全保护、身份认证安全管理和资源访问安全控制为基本要素的网络应用系统信息安全模型，为加强中小型企业网络应用系统安全性提供了一个比较简单可行的方案。
1网络应用系统信息安全模型设计
1.1信息安全模型总体设想
本文提出的网络应用系统信息安全模型主要基于三个要素:信息资源传输和存储安全保护，身份认证安全管理以及用户对资源访问的安全控制。整个信息安全模型如图1所示。模型利用过滤器来区分敏感数据与非敏感数据，对于非敏感数据直接以明文形式进人信息资源层处理，而对敏感数据则采用加密传输通道进行传输，且需要经过身份认证层与访问控制层的控制后才能进人信息资源层。这样的设计在保证了信息传输和存储较高的安全性的同时，减少了身份认证层与访问控制层的系统开销，大大提高了系统的运行效率。而在信息资源层，则是通过备份机制、事务日志和使用常用加密算法对数据库中数据进行处理，来保障信息传输和存储的安全。
1.2身份认证层的设计
身份认证层主要包括两部分:用户身份认证和用户注册信息管理，采用了基于改进的挑战/应答式动态口令认证机制。
目前使用比较普遍的是挑战/应答式动态口令认证机制，每次认证时服务器端都给客户端发送一个不同的“挑战”字串，客户端收到这个字串后，作出相应的”应答”。但是，标准的挑战/应答动态口令认证机制具有攻击者截获随机数从而假冒服务器和用户，以及口令以明文形式存放在数据库中易受攻击两个缺点。在本模型采用的改进的挑战/应答式动态口令认证机制中，通过1.4节中论述的敏感数据加密通道对随机数进行加密传输解决了上述第一个问题;通过在客户端将用户口令经m ds算法散列运算并保存在服务器端数据库解决了上述第二个问题，使得服务器在认证时只需要比对客户端处理后传来的加密字符串即可。方案的具体流程如下:
1)服务器端口令的保存当用户在服务器端录人注册信息时，将用户的密码进行k次m ds散列运算放在数据库中。
2)用户请求登录服务器端开始执行口令验证:当用户请求登录服务器时，web服务器在送出登录页面的同时产生一个随机数并将其通过敏感数据加密传输通道发给客户端。
3)客户端m ds口令的生成客户端首先重复调用与服务器端同样的mds运算k次，得到与保存在服务器端数据库中的口令一致的消息摘要。然后，将从服务器传来的随机数与该口令相加后再调用客户端的m ds散列运算函数，将结果(m ds口令)通过敏感数据加密传输通道传送给服务器。
4)服务器端对mds口令的验证服务器端收到客户端传来的用户名和mds口令后，通过查询数据库，将已存储的经过k次m ds散列运算的口令与随机数相加后同样进行m ds散列运算，并比较两个结果是否相同，如相同则通过验证，否则拒绝请求。整个用户口令的生成和验证过程如图2所示。
1.3基于rbac的访问控制层的设计
访问控制层主要包括两部分:权限验证与授权和资源限制访问，采用了基于角色的访问控制机制。在rbac中引人角色的概念主要是为了分离用户和访间权限的直接联系，根据组织中不同岗位及其职能，一个角色可以拥有多项权限，可以被赋予多个用户;而一个权限也可以分配给多个角色。在这里，约束机制对角色和权限分配来说非常重要，本模型设计的约束机制主要包括以下几方面:一是限制一个角色可以支持的最大用户容量。如超级管理员这个角色对于应用系统非常重要，只允许授权给一个用户，该角色的用户容量就是1。二是设置互斥角色。即不允许将互相排斥的角色授权给同一个用户。如客户类的角色和管理员类的角色是互斥的。三是设置互斥功能权限。即不允许将互相排斥的功能权限授权给同一个角色。如客户类角色查看自己银行账户余额信息的权限与修改自己账户余额的权限就是互斥的。
数据库结构设计是实现rbac的重要环节，良好的数据库结构设计本身就可以表述rbac的要求。具体设计如下:
1)用户信息表(user_info)保存用户基本信息。其字段有用户id ( user id )、用户名称(username )、密码(passw )、用户类型( kind )。定义表中的kind数据项与role表中kind数据项具有相同的形式。将用户进行分类后，当分配给用户角色时可以指定用户只能被分派到与其kind属性相同的角色，这样就可以实现角色的互斥约束。
2)角色信息表(role )、保存各个等级的角色定义信息。其字段有角色id ( role_id )、角色名称(rolename )、角色种类( kind)和角色描述(role_ desc ) o kind数据项代表指定角色集合中的类别。
3)用户/角色关系信息表(user_role)保存用户和角色的对应关系，其字段有用户id和角色id。当向user_role表中添加数据即给用户分配角色时，要求user_ info表中要分配角色的用户数据元组中的kind数据项与role表中相应角色的元组kind数据项相同，以实现一定尺度上的角色互斥，避免用户被赋予两个不能同时拥有的角色类型。
4)权限信息表(permission)保存系统中规定的对系统信息资源所有操作权限集合。其字段有权限id ( per_id )，操作许可(per)，资源id( pro_id)和权限描述(per desc )。
5)角色/权限信息表(role_ per)保存各个角色应拥有权限的集合。其字段有角色id和权限id。
6)系统信息资源秘密级别表(secretlevel)保存规定的系统信息资源的秘密级别。其字段有资源id，密级id ( secrlev_id)和密级信息描述(secr_desc )。在客户端和服务器端传输数据和存储的过程中，通过查询该表可以判断哪些信息资源为敏感数据，从而决定对其实施相应的安全技术和机制。
7)角色继承关系表(role_ heir)存放表述各种角色之间继承关系的信息。其字段有角色id，被继承角色id ( h_role_id )。角色继承关系可以是一对一，一对多或多对多的，通过遍历整个角色继承关系表，就可以知道所有的角色继承关系。
8)权限互斤表(mutexper)保存表述角色对应权限互斥关系的信息，其字段有权限id和互斥权限id。
1.4敏感数据加密传输通道的设计
设计敏感数据加密传输通道的目的是保障敏感信息在传输过程中的保密性与完整性。针对中小型企业网络应用系统的特点，在充分对比各种数据加密传输解决方案的基础上，从成本和效果两方面出发，我们选择3des加密算法对敏感数据进行加密。同时又结合了rsa算法对密钥进行传输，从而解决了对称加密算法缺乏非对称加密算法}/}/公钥的安全性这个问题。具体工作流程如下:
1)服务器端由rsa加密算法生成公钥kspub和私钥kspriv;
2)服务器端将公钥kspub传送给客户端;
3)客户端接收公钥kspub，然后由3des加密算法生成对称密钥ksym，用kspub加密ksym ;
4)客户端将加密后的ksym传送给服务器端;
5)服务器端用kspriv解密得到ksym ;
6)敏感数据加密传输通道建立成功，服务器端和客户端以ksym作为密钥对敏感数据加/解密并传输。
1.5安全审计部分的设计
本模型中的安全审计记录内容包括三个方面:一是用户信息，包括用户名、用户ip地址等;二是用户行为信息，包括用户访问系统敏感资源的内容、访问系统资源的方式等;三是时间信息，包括用户登录和注销的时间、特定行为发生的时间等。值得注意的是，安全审计跟踪不仅要记录一般用户的行为，同时也要记录系统管理员的行为。
2结束语