网络安全接入控制技术研究

在过去的几年中，Internet得到了迅猛的发展，全世界每天都有成千上万的主机连入Internet。Internet的网络规模急剧膨胀，不仅供应商开始利用它开拓电子商务等商业应用，许多政府机构也连入了Internet。军事通信领域的Internet应用也已开展。计算机网络和Internet的广泛普及引起了人们对网络安全问题的普遍关注，这其中一个主要的安全问题就是如何有效地控制成千上万的用户对网络的各个组成部分和资源所进行的访问。显然，不能相信所有的用户都能正确、合法地使用网络，这就有必要进行适当的访问控制，最基本的要求就是采用确定的机制对通信实体和网络用户进行可靠的认证和控制。

随着Internet的快速发展，Intranet作为因特网技术运用于单位、部门和企业专用网的产物，也得到迅速普及发展。Intranet并非是地域上的概念，而是在信息空间上的虚拟网络概念，如一个国家外交系统的内域网用户可能分布全球。它在原有专用网的基础上增加了服务器、服务器软件、Web内容制作工具和浏览器，与因特网连通，从而使内域网充满了生机和活力。内域网为公司和单位信息的散播和利用提供了极为便利的条件。浏览器为网上用户提供信息，服务器对网络进行管理、组织和存储信息，并提供必要的安全服务。通常情况下，Intranet中则存有大量的单位内部的敏感信息，具有极高的商务、政治和军事价值。因此，Intranet是一种半封闭甚至是全封闭的集中式可控网，其安全保密是至关重要的，要保证内域网不被非法入侵和破坏，网中的敏感信息不被非法窃取和篡改，同时还要保证网内用户和网外用户之间正常连通，向他们提供应有的服务。这些安全业务都需要一个完善的接入控制机制。

1 网络安全接入控制技术概述

接入或访问控制是保证网络安全的重要手段，它通过一组机制控制不同级别的主体对目标资源的不同授权访问，在对主体认证之后实施网络资源的安全管理使用。

通常，我们认为计算机系统中有3类入侵者：

伪装者(Masquerader)：非法用户，乔装合法用户渗透进入系统，一般来自系统外部；

违法者(Misfeasor)：合法用户，非法访问未授权数据、程序或资源，一般来自系统内部；

地下用户(Clandestine user)：掌握了系统的管理控制，并利用它来逃避审计和接入控制或抑制审计作用，可能来自系统的外部或者内部。

针对以上3类入侵攻击，接入控制基本功能包括以下3个：阻止非法用户进入系统；允许合法用户进入系统；使合法用户按其权限，来进行各种信息活动，不得有越权行为。

实现安全的网络接入控制的机构模型组成如图1所示。该模型包括两部分：

用户的认证与识别；

对认证的用户进行授权。

接入控制实现模型的建立主要是根据如下3种类型的信息：

主体(Subjects)：是对目标进行访问的实体。主体可以是用户、用户组、终端、主机或者是一个应用程序。

客体(Objects)：是一个可接受访问和受控的实体。它可以是一个数据文件、一个程序组或一个数据库。

接入权限：表示主体对客体访问时可拥有的权利。接入权要按每一对主体客体分别限定，包括读、写、执行等。读、写权含义明确，而执行权是指目标为一个程序时它对文件的查找和执行。

概括地讲，实现安全接入控制的策略包括：

最小权益策略：按主体执行任务所需权利最小化分配权力；

最小泄露策略：按主体执行任务所知道的信息最小化的原则分配权力；

多级安全策略：主体和客体按普通、秘密、机密、绝密级划分，进行权限和流向控制。

2 网络安全接入控制技术的实现

下面从两个角度讨论网络安全接入控制技术的实现。图2给出了一个简单的接入控制的实现框图。从工作方式上，网络接入控制的实现可分为如下两类：

(1)自主式网络接入控制

也称辨别接入控制，简记为DAC。它由网络资源拥有者给用户分配接入权，在辨别各用户的基础上实现接入控制。每个用户的接入权由网络系统的管理者事先建立，常以接入控制表或权限表来实现。这一方法灵活，便于合法用户访问相应的数据，在安全性要求不高的网络环境下可采用。但如果系统管理员疏于管理或者接入控制策略设置有误时，就会危及到网络系统和资源的安全。因而，DAC容易受到攻击。

(2)强制式网络接入控制

简记为MAC。它由网络系统管理员来分配接入权限和实施控制，易于与网络的安全策略协调，常用敏感标记实现多级安全控制。由于它易于针对所有用户和资源实施强化的安全接入策略，因而有较高的安全保障。

另外，针对不同的应用环境，网络接入策略也有不同应用模式。下面分别介绍目前有线网络和无线网络环境下，主要的网络安全接入技术的实现。

(1)有线网络系统中的安全接入控制技术

在有线网络系统中，通常情况下安全接入控制技术都是与防火墙技术结合使用，来保障一个Intranet的内部资源不被非法用户获得，同时给合法用户提供合理的Internet接入服务。下面结合一个有线网络环境的实例（如图3所示），来说明如何使用网络接入控制来实现Intranet到Internet的接入安全管理。

在图3中，虚线以下构造了一个Intranet，其中两处为网络接入控制点，分别说明如下：

1接入控制点1即Intranet与Internet的连接点，该处的接入控制功能通常由防火墙完成。由于控制点1直接与Internet连接，其受到入侵攻击和非法接入的可能性最大，因而也是最危险的位置。下面以屏蔽子网模式的防火墙配置为例，说明接入控制点1的网络接入控制安全要求有：

允许所有用户的电子邮件业务（SMTP）；

允许DNS查询；

允许Intranet内的局域网用户有限制地访问Internet；

控制外部的IP与内部主机的直接连接；

根据外部主机使用者的身份分配临时访问权限，并给出访问地址权限列表；

根据黑名单地址，屏蔽所有可疑的连接请求；

负责入侵审计和追踪，记录所有与安全相关的网络活动。

2接入控制点2即为拨号用户或DDN和ISDN接入的用户提供的接入服务。这里通常有两种情况，即对Internet的接入和对内部资源的接入。其安全接入策略包括：

对于拨号用户，接入服务器通过用户口令确定用户身份，从而提供相应的接入业务。另外，接入服务器采用回拨技术确保用户身份的有效性。

对于DDN或ISDN的用户，通过捆绑逻辑IP地址与实际的MAC地址，实现面向主机的用户身份认证，并提供相应的接入业务。

根据拨号用户的身份分配临时访问权限，并给出访问地址权限的列表。

(2)无线网络系统中的安全接入控制技术

目前，网络安全接入技术主要应用于宽带无线接入网络和无线LAN的构建上，如蓝牙系统、无线IP系统等等。通常在无线网络中，不仅要考虑本地无线用户的接入，移动用户的安全接入也是系统的一个重要安全要求。下面结合图4，来简单说明在无线网络系统中应用的安全接入技术。

1接入控制点1即每个小区的无线接入点，负责该小区内的移动终端的无线接入服务。它的主要安全工作就是确保当前接入的用户有该接入权限。该接入点主要的工作包括：

为小区内的本地移动用户提供接入服务，通过验证用户口令和校验用户的MAC地址来确保用户的身份。出于安全的考虑，通常情况下，用户口令以密文形式提交给接入点。

为小区内的漫游用户提供接入服务。通常，漫游用户将根据信号强度和监测到的包错误率，选择其中性能最好的一个接入点并与之联系，请求接入。接入点则通过联系根服务器来确定该用户的身份。

2接入控制点2主要负责对系统资源的接入控制。该接入点的工作包括：

验证小区内用户身份并分配临时权限，以访问其权限内的资源。

验证来自Internet的用户身份并分配临时权限，以访问其权限内的资源。

控制来自Internet用户与当前小区内的用户建立连接，并进行安全检查，作审计和日志工作。

3 总结

以上对当前网络安全接入技术作了简单的介绍，并讨论了在不同的环境下，网络安全接入控制技术的实现。到目前为止，有线网络环境下的安全接入控制技术较为成熟，安全性也较高；而在无线网络系统中，现有的接入控制技术还不是十分成熟，其主要的接入控制多集中于MAC层的访问控制和WEP(Wired Equivalent Privacy)加密机制，但安全性较低，容易遭到IP欺骗攻击或被非法用户解密接入口令(因为WEP中的密钥长度仅为40bit)。因此，如何提高无线网络系统中的安全接入控制技术是当前的一个研究热点，一个可能的思路是将PKI(Public Key Infrastructure)引入无线网络系统的安全设计中。□

参考文献

1王育民,刘建伟.通信网的安全—理论与技术.西安:西安电子科技大学出版社:1999

2 Denning D E.An intrusion－detection model. IEEE Trans on Software Engineering,1987,SE－13(2):222—232

3 王常杰,秦浩,王育民.基于IPv6防火墙设计.计算机学报，2001,24（2）:219—223

4 Amoroso E G.Fundamentals of Computer Security Technology.Prentice Hall Inc,1994

（收稿日期：2001－07－09）

作者简介

王常杰，西安电子科技大学通信工程学院在读博士生。主要从事通信网安全、移动IP安全等方面的研究工作。目前在香港城市大学作VPN合作研究。