开放式实验教学管理系统的关键技术研究

朱 蕾

摘要本文针对实验教学改革的目标,将Web服务技术引入到开放式实验教学管理系统的建立中,提出在校园网络的基础上构建该平台要解决的关键技术:用户标识及身份验证技术、事故处理技术、服务器性能优化、系统安全管理技术等。

关键词开放式实验教学校园网身份验证

中图分类号:G64文献标识码:A

开放式实验教学管理系统面向的是校园局域网或Internet,对系统的安全性、稳定性、体系结构和数据处理算法等要求较高;同时教学资源、课程配置等因素处于动态发展变化之中,需要采用较为先进合理的技术予以解决。在校园网络的基础上构建该平台要解决的关键技术主要有:

1 用户标识及身份验证技术

1.1 问题提出

由于多数用户通过多级代理服务器或电话拨号方式来访问校园网,这为唯一标识用户身份增加了难度,需要设计合理的用户身份验证机制来保证每个用户操作数据的合理性和有效性。

1.2 解决方案

(1)标识问题。开放式实验教学管理系统主要通过将用户登录用的IP地址与帐号(学生学号或教师编号)相结合进行标识,并通过密码和姓名验证的方法来唯一标识每个终端用户。

(2)一次性口令身份验证。为了解决常规口令的诸多问题,安全专家提出了一次性口令(OTP:One Time Password)的密码体制,以保护关键的计算机资源。如果网上传递的口令只用一次,攻击者就无法用窃取的口令来访问系统。

OTP的工作方式是将公共可用的信息即挑战与只有用户才知道的秘密结合起来产生一次性口令。OTP的主要思路是:在登录过程中加入不确定因素,使每次登录过程中摘录所得的密码都不相同,以提高登录过程的安全性。实现机制多采用Challenge/Response机制,认证过程如下:

①客户机向服务器发出登录请求。②服务器首先向用户提示一个“挑战”(challenge),挑战由种子值和迭代值组成。③客户端使用种子和迭代值,并与用户的秘密通行证短语组合在一起,通过OTP中的一个散列算法,计算出单用口令,从而产生对挑战的答复,保证了OTP不易遭受偷听、口令重用、偷窃或口令文件攻击。④挑战的答复由客户端通过网络传回服务器。⑤服务器验证用户对挑战的答复,决定是否成功登录。

根据OTP系统的运行机理,用户进行身份验证包括三个部分:迭代值、种子值和秘密通行证短语。因此在系统用户初始化时,必须提供上述信息,并允许用户在使用中动态改变。在本教学管理平台系统中,采用以下规则来定义用户身份验证信息:①以学生学号或教师编号作为种子值。②迭代值在用户信息初始化时由系统确定。③秘密通行证短语在初始化时暂定为学生学号或教师编号,在第一次成功登录后由用户自行修改。

2 事故处理技术

2.1 问题提出

安全性的破坏通常叫做一个事故。事故是任何一种破坏,对于实验教学系统而言,事故处理主要涉及用户非法操作、或者其它人为因素(例如机器断电等)的影响,当用户操作失败时系统应能提供事故处理和恢复机制。

2.2 解决方案

(1)事故的响应。用户登录系统后,在操作过程中应该保持用户操作的精确记录,以便在事故发生后及时保护有效数据结果。记录下的细节应主要包括以下内容:用户登录信息、保存选中的实验记录、记录改选的内容等。一个完善的系统应该具备如下所述的条件:必须能够在无人管理的情况下连续运行。系统必须能够在被观测的后台中可靠地运行,系统内部的工作应该能从外部现象中进行证实。必须能容错。系统必须能在被破坏时保存下资料,而不需要在重新启动时重建它的知识库。系统开销最小。必须观察有违常规的非法操作行为并具有及时的警告信息。

(2)从事故中恢复。从一次事故中恢复系统数据主要包含以下几个步骤:分析用户身份信息。首先从用户身份标识中分离出用户帐号信息,然后查找事故日志,判断该用户是否在上次操作中发生过事故。恢复用户操作历史。若用户在上次操作过程中发生过事故,则应该恢复所有的操作信息。在用户成功完成各种操作后,从事故日志中删除该用户事故信息。通过应用事故处理机制,系统的稳定性、自适应性明显得到提高,这就充分保障了系统能够在多种环境下安全、可靠地运行,较大限度地降低了由意外因素所造成的数据损失的可能性,确保开放式实验教学的顺利进行。

3 服务器性能优化

3.1 问题提出

在网上选实验项目的过程中最大问题是,大量学生在选课之初几乎同时竞争教学资源,造成系统服务的用户量剧增,网速变得很慢。

3.2 解决方案

在保证实验项目完整和服务器硬件一定的条件下,采用几个措施来对WEB服务器进行优化。

(1)优化服务器配置。运用更快速的磁盘和更好的网络存取机制,能明显改进网站访问速度。这类方案的核心是设法减轻Web服务器CPU的负荷,使其从繁琐的网络协议处理中“解脱”出来,而集中于页面处理和服务提供。另外要提升服务器性能,运用成熟的Web服务器加速软件必不可少。

(2)运用缓冲机制。优化网络的可伸缩性和性能的另一方法是在服务器外围增加缓冲机制。比较流行的方案是为Web服务器增加反向缓冲代理,使服务器能够顺利实现已创建页面的传输,同时在创建动态页面过程中减轻服务器负荷。

(3)减小数据量。优化程序代码,减少WEB服务器与数据库服务器的通信流量。

4 系统安全管理技术

4.1 问题提出

由于该系统的信息涉及实验室的内部信息和用户的个人隐私信息,因此,信息的安全性和访问的可控制性尤其重要。

4.2 解决方案

(1)数据加密。由于网络中连接的各个终端都是有严格准入制度的,因此必须有严格保密的传输体制来维护这种准入的完整性。具有报文加密功能的路由器可以解决这个问题,现有的企业级路由器中大多有用来封装和解密IP报文的IPSEC协议。

(2)安全防护。在Internet中,安全漏洞主要来自网络的各种恶意攻击,比如DOS/DDOS攻击、缓冲区溢出漏洞攻击等。因此,一款功能完善的企业级防火墙也是系统必备的配置。防火墙主要应实现的功能有:包过滤、状态检测、应用代理、病毒和蠕虫过滤、入侵检测等功能。

(3)安全防护的备份与恢复。为保障数据安全和系统的正常运转,应考虑完善服务器、网络系统的自动备份与故障恢复功能。考虑到可靠性要求较高,所以可采用热备援的方式来解决,拟定一台MASTER主机和一台BACKUP主机,且MASTER和BACKUP主机会不断侦测彼此之间的运作状况,保证在极短的时间内恢复系统的正常并时刻保证网络处于可靠工作状态。

(4)访问控制。可以利用防火墙对通道内的应用和访问做到各种限制。比如:指定某台电脑的访问权限和所应用的服务,保证每个用户的私密性。

(5)入侵抵御。网络面临的威胁越来越多,这使得传统的安全技术与设备已经无法独立应对,需要入侵抵御系统(IPS,Intrusion Prevention System)来解决病毒、攻击、滥用引发的问题。好的IPS应有以下功能:具备多层流量的深度分析与检测能力、具备良好的安全功能与出色的数据交换功能、具备较全面的协议分析与跟踪能力。

(6)Web服务器安全预防措施:禁止乱用从其他网站下载的一些工具软件。在选用Web服务器时,应考虑到不同服务器对安全的要求不一样。限制在Web服务器随意开设账户,定期删除一些用户。对在Web服务器上开的账户,在口令长度及定期更改方面做出要求,防止被盗用。去掉FTP,Send mail,TFTP,NIS,IFS,finger,net stat等一些无关的应用。在Web服务器上去掉一些绝对不用的shell等之类解释器。设置好Web服务器上系统文件的权限和属性。