校园网认证系统的安全分析与研究

柏军洋，杜庆东

（沈阳师范大学科信软件学院，沈阳 110034）

校园网认证系统的安全分析与研究

柏军洋，杜庆东

（沈阳师范大学科信软件学院，沈阳 110034）

校园网是数字化校园的网络基础设施，扮演着非常重要的角色。校园网认证系统能够高效的统一管理校园网，为全校师生提供丰富而全面的数字化服务。但是相关厂商及客户的网络安全意识还不完善，造成高校校园网的安全问题日益突出，对其网络安全的研究已经刻不容缓。在分析与研究大学校园认证系统所存在的安全隐患时，通过嗅探抓包以及逆向工程等手段，破解了客户端程序的对称加密算法，从而得到校园网用户账号及密码。由于加密算法还不够完备，造成密钥泄露，让校园网面临较大的安全风险。最终参考OSI七层模型架构对其校园网认证系统所存在的安全漏洞进行了系统的分类，也相应的提出了改善校园网安全的措施，以降低校园网安全风险。

校园网；认证系统；网络安全；加密算法；OSI七层模型

0 引 言

随着社会的不断进步，互联网在人们生活学习中所扮演的角色越来越重要。在高校校园，为方便广大师生上网需求，学校组建相应校园网基础设施，为师生提供完善全面的数字化信息平台。由于网络的开放性，在网络提供给师生便利的同时，也带来了安全隐患。产生这些安全隐患的根本原因是由于目前校园网普遍采用的认证方式较为初级（例如认证的用户名和密码），安全性较为简单（容易受到恶意攻击、程式破解，以及用户名盗用、共享上网等），所采用的加密算法和安全体系结构也相对落后。要解决这些安全问题，必须从协议和体系架构上加以改进，完善校园网认证系统。

1 校园网认证系统

校园网作为高校信息化平台的基础设施，承担着重要功能。如何高效安全的管理校园网，一直是所研究的热点。从技术上说，高校必须根据自身网络规模、运营特点等，选择最适合的校园网认证系统，从而对校园网进行安全而高效的管理。以太网是目前世界各地广泛使用的局域网标准，校园网一般承建在以太网之上，下面介绍几种基本的以太网接入认证方式。

1.1 以太网接入认证方式

目前比较流行的以太网接入认证方式有3种，PPPo E认证模式［1］、Web／Portal认证模式［2］以及802.1X认证模式［3］。

1）PPPoE认证模式

PPPoE（Point-to-Point Protocol over Ethernet）是以PPP（Point-to-Point Protocol）协议为载体，在以太网中提供逻辑的点到点的连接。通过PPPoE协议，ISP服务商能够实现对每个接入用户的控制管理和计费。此认证方式多见于小区，例如拨号上网的ADSL用户。

2）Web／Portal认证模式

Web／Portal认证是一种业务类型的认证。用户通常被定位到Portal Server认证页面，BAS认证完成之后，RADIUS计费服务器［4］开始计费。此认证方式基于应用层协议，建网成本高，易用性差，开放性不够好，应用较少。

3）802.1X认证模式

802.1 X协议是基于Client／Server（客户／服务器）的访问控制和认证协议。它可以限制未经授权的用户／设备通过接入端口（access port）访问LAN／WLAN。在认证通过之前，802.1X只允许EAPo L（基于局域网的扩展认证协议）数据通过设备连接的交换机端口；认证通过以后，正常的数据可以顺利地通过以太网端口。此种认证方式为两层协议，对设备整体性能要求不高，只要支持802.1X协议即可。能较好的支持多业务和流媒体业务，应用最为广泛。

1.2 Srun 3000认证系统

某大学校园网采用深澜软件公司Srun 3000安全认证网络管理计费系统［5］，该认证系统支持Web／Portal认证模式和802.1X认证模式。相比其他认证系统，该认证系统能高效率的管理用户和控制网络。

Srun 3000认证计费系统由用户客户端，认证服务器，计费服务器，数据库服务器以及管理员服务器组成。其认证系统框架如图1所示。

Srun 3000认证系统工作流程如下：

1）用户发送上网请求，请求中包括用户名和密码；

2）Srun 3000收到上网请求，向中心数据库服务器查询用户信息；

3）中心数据库通过用户认证，返回认证成功信息给认证服务器；

4）认证服务器完成认证过程，向计费服务器发送用户信息，并同时返回用户合法信息；5）用户完成认证。

2 Srun 3000认证系统安全隐患

图1 Srun 3000认证系统框架

2.1 Srun 3000认证系统客户端认证算法分析

Srun 3000认证系统客户端是采用二进制代码形式发布，攻击者常利用静态反汇编工具或动态调试工具等逆向分析手段对其进行分析破解［6］。本文通过Ollydbg［7］动态调试工具对其跟踪分析，认证算法流程图如图2所示。

2.2 Srun 3000认证系统客户端加密算法分析

在认证过程中，用户名字段是明文传输，密码字段等用户关键信息则是经过加密。数据加密技术，是对信息进行保护的最实用最可靠的方法之一，也是网络安全技术中的核心技术［8］。

数据加密算法有很多种，目前可以归为对称加密算法和非对称加密算法。在加密和解密过程中使用同一密钥的为对称加密算法，使用不同的密钥则称为非对称加密算法。对称算法具有安全性高、加解密速度快的优点，缺点是必须保证密钥的安全，管理密钥随着网络规模的扩大而变得非常困难。非对称加密算法更安全，但算法复杂，加密数据效率较低。通常实际应用中，将对称加密和非对称加密结合使用［9］。

经Ollydbg动态分析［10］Srun 3000认证系统客户端程序，得到其加密算法（部分）流程图，如图3所示。其为对称加密算法［11］。

图2 Srun 3000认证算法流程图

图3 Srun 3000认证系统客户端加密算法（部分）流程图

从图3可以看出，加密算法核心部分采用了简单的逻辑运算（异或、与等），导致算法能被逆向分析解密。而且MAC地址也是通过同一加密算法加密，导致密钥（即系统时间戳timestamp）泄露。

按照密码系统模型［12］，用E表示加密（Encryption），D表示解密（Decryption），m表示消息（message），c表示密文（cipher），k表示密钥（key）。现将对称加密算法的加密过程表示为Ek（m）＝c，对应解密过程表示为Dk（c）＝m。

以下用p表示用户输入密码（password），t表示用户系统时间戳（timestamp），mac表示用户MAC地址。

Srun 3000认证系统客户端加密过程如下：

1）Et（p）＝c1（得到密码密文）；

2）Et（mac）＝c2（得到MAC地址密文）。

由于算法的可逆可推导出解密算法，可以通过c2，mac得到时间戳t（即密钥），Dmac（c2）＝t。

因此可以通过以下方法解密密文得到用户输入密码：

1）Dmac（c2）＝t（得到密钥）；

2）Dt（c1）＝p（得到明文密码）。

只需运行Sniffer工具进行Packet sniffing［13］，得到用户POST［14］加密后的数据和客户端MAC地址即可（在局域网环境中，这是非常容易得到的）。

例如：校园网用户Alice上网需要通过Srun 3000进行认证，Alice输入用户名和密码后点击登陆，数据将加密后通过局域网传输到认证服务器。现在局域网内有一窃听者Eve（拥有解密算法程序），通过sniff之后得到了Alice POST加密后的数据，如下：

并且sniff到的数据包报头中有客户端MAC地址：00：0c：29：be：c4：50

表1是对sniff到的数据进行整理后的表格。

表1 Eve sniff得到的有效数据

现在Eve通过以下步骤解密得到Alice的认证密码：

1）由MAC地址密文和MAC地址，解密得到密钥（时间戳timestamp）；

2）由密码密文和密钥，解密得到密码明文。如图4所示（仅为测试所用，并非实际用户名和密码）。

图4 Eve解密sniff数据得到Alice认证密码

3 安全风险及应对措施

参照OSI七层协议框架［15］，现将Srun 3000认证系统在每一层的安全风险及应对措施总结为表2。

表2 Srun 3000校园网认证系统安全风险评估

4 结 语

校园网在管理和规划等方面还存在着一些问题。首先，校园网的组织结构比较复杂，体现在网络需求多样性、地理区域多样性以及网络基础设施多样性等特点。第二，校园网的使用用户规模大，群体广。用户使用时间呈现相对集中的状况，突发性的网络需求容易导致校园网网络拥塞。第三，校园网的带宽需求较高。校园网用户的需求体现在视频、下载等高带宽消费网络应用。第四，校园网的维护及管理难度大。因为校园网用户集中在学生群体，社交活动丰富，容易导致非法和不健康信息的传播，因此校园网的管理和维护非常困难。

厂商及用户的网络安全意识相对薄弱，是造成校园网安全风险的直接原因。面对校园网中存在的潜在安全风险，必须及时采取有效措施来防止网络安全事件的发生。网络安全无处不在，也没有绝对的安全，只有从各层次不断加强网络的安全性，才能尽量保证校园网的可用性、保密性以及完整性。

［1］MAMAKOS L，LIDL K，EVARTS J，et al.A Method for Transmitting PPP Over Ethernet（PPPo E）［EB／OL］.（1999-02-01）［2012-09-20］.http：∥www.ietf.org／rfc／rfc2516.txt.

［2］崔炜荣.校园网接入认证系统的研究与分析［J］.电子世界，2012（13）：119-120.

［3］CROCKER L，ROSS D，JANSSON K，et al.IEEE 802.1X［G／OL］.（2012-08-08）［2012-09-22］.http：∥en.wikipedia.org／w／index.php？title＝IEEE＿802.1X＆oldid＝521792211.

［4］白晓梅.一种网络认证计费的设计与实现［J］.沈阳师范大学学报：自然科学版，2010，28（2）：236-237.

［5］深澜软件.网络管理计费［EB／OL］.（2012-03-24）［2012-09-19］.http：∥www.srun.com.

［6］尚涛，谷大武.软件防反汇编技术研究［J］.计算机应用研究，2009，26（12）：4553-4557.

［7］YUSCHUK O.Olly Dbg［EB／OL］.（2010-06-04）［2012-09-19］.http：∥www.ollydbg.de.

［8］郑加锋.浅谈互联网安全与信息加密技术［J］.情报探索，2005（1）：68-69.

［9］王昭，段云所，陈钟.数据加密算法的原理与应用［J］.网络安全技术与应用，2001（2）：58-64.

［10］梅宏，王千祥，张路，等.软件分析技术进展［J］.计算机学报，2009，32（9）：1702-1708.

［11］沈昌祥，张焕国，冯登国，等.信息安全综述［J］.中国科学（E辑：信息科学），2007，37（2）：130-131.

［12］袁树雄，韩凤英.密码学基础研究［J］.科技资讯，2008（15）：18.

［13］ANSARI S，RAJEEV S G，CHANDRASHEKAR H S.Packet sniffing：A brief introduction［J］.IEEE POTENTIALS，2003，21（5）：17-19.

［14］FIELDING R T，GETTYS J，MOGUL J C，et al.Hypertext Transfer Protocol—HTTP／1.1［EB／OL］.（1999-06-01）［2012-09-25］.http：∥www.ietf.org／rfc／rfc2616.txt.

［15］伍劲峰.OSI七层参考模型解析［J］.软件导刊，2006（17）：46-47.

Security analysis on campus network authentication system

BAI Junyang，DU Qingdong

（Software College，Shenyang Normal University，Shenyang 110034，China）

The campus network found as an infrastructure in digital campus network plays a significant role.The campus network authentication system is aimed at managing campus network efficiently and provides rich and comprehensive digital services for teachers and students.However，because of the vendors and users lack of network security consciousness，the campus network security issues have become increasingly prominent，and network security research is desperately needed.The paper studies the security risks of an anonymous university network authentication system.We have cracked the symmetric encryption algorithm of client program by sniffing，capture packets and reverse engineering，which led us to get the campus network username and password.Because the encryption algorithms are not strong enough，resulting in key leakage，thus the campus network face greater security risks.At last we classify security vulnerabilities of campus network authentication system by reference to the OSI 7-layer model，and recommend measures to improve the security of the campus network，and to minimize security risks.

campus network；authentication system；network security；encryption algorithm；OSI 7-layer model

TP309.7

A

10.3969／j.issn.1673-5862.2013.02.030

1673-5862（2013）02-0263-05

2012-10-23。

国家自然科学基金资助项目（31170380）。

柏军洋（1988-），男，湖南衡阳人，沈阳师范大学硕士研究生；杜庆东（1971-），男，辽宁锦州人，沈阳师范大学教授，博士，硕士研究生导师。