IP网络访问控制机制的设计与实现

网络安全问题的严峻性和安全需求的普遍化,要求人们有必要在IP网络中提供基础安全控制.基于面向网络基础设施的安全模型,通过分析网络层的安全威胁,设计了IP网络访问控制机制.该机制由密钥协商和报文检测协议组成,实现通信双方的双向身份验证,保证传输过程中报文的真实性和完整性.在比较各类形式化技术的基础上,采用抽象协议表示法对相关协议进行了形式化描述和验证.该访问控制机制提供网络主机间的访问控制,解决了其他在网络边缘实施的访问控制机制无法解决的网络内部安全问题.该机制适合在较小的网络范围内实施,如局域网等,适合于更大网络范围的机制正在研究中.目前已经在Linux平台上实现了该机制,并简单分析其性能.     

基于Ad Hoc网络的安全路由技术的研究

为防止Ad Hoc网络路由消息的伪造和篡改问题,本文提出了一种安全有效的路由方案SERS（Secure and Efficient Routing Scheme）.在DSR（动态源路由协议）中引入了安全机制,在尽可能降低网络资源消耗的基础上,采用SUCV（statistically unique and cryptographically verifiable）标识符避免密钥分发问题,并运用公钥PK与IP地址的绑定来完成密钥分发过程,使用公钥PK与IP地址的绑定来完成密钥分发过程,使得没有密钥的节点不可能伪造报文.使用基于端到端的认证和基于对称密钥的认证检测出被篡改后的报文,从而保证路由消息的不可伪造、并防止其它节点对消息的篡改.实验结果表明,采用该方案能够满足设计的要求.     

一种面向SIP通信的域间认证与密钥协商机制

现有SIP安全机制在通信实体间的相互认证与密钥协商方面存在不足,针对此问题,设计了一种新的基于身份密码系统的域间密钥协商协议,然后基于该协议提出了一种面向SIP通信的认证与密钥协商机制.该机制解决了HTTP摘要认证下的单向认证以及预共享密钥问题,消除了S/MIME基于证书认证和不提供密钥协商的不足,且不同域的通信实体具有不同的系统参数.安全性分析及其实现表明,该机制在实现跨域SIP通信实体间的双向认证以及为后续媒体流机密传输提供密钥协商功能的同时可以满足SIP通信的性能要求.     

基于 IPSec 环境下实现虚拟私网技术的应用

IP安全体系结构是由IPSec工作组制定的开放性标准框架,它能为网络层安全提供长期、稳定的基础,从而为创建安全连接的虚拟私网提供了灵活的实现手段;使用户可以避免租用昂贵的专线而采用公网就可以实现广泛的电子商务活动;论文在对IP安全体系结构协议进行研究的基础上,通过实例对采用IP安全协议的虚拟私网技术应用进行了实现,并讨论了密钥、数字签名等技术在提高通信系统安全、满足用户电子商务要求方面的应用前景.     

基于身份验证和纠缠交换的量子密钥分发

为了验证通信双方的身份,文中提出了一种身份验证方法。基于这种身份验证方法,利用纠缠交换的特殊性质,提出一种量子密钥分发方案。本方案中需要进行通信的二者在验证彼此合法性的同时,可以检测量子信道的安全性。无需传送量子比特、交换经典信息或执行酉操作,通信双方即可利用纠缠交换的性质进行贝尔测量即可生成安全的密钥,且每两对纠缠粒子就可以生成量子密钥的2个比特位。文中对该协议的安全性进行了详细分析并计算了密钥生成效率。     

位置与标识分离的网络访问控制机制

在位置与标识分离的体系结构(LISA)的基础上,提出位置与标识分离的体系结构的网络访问控制机制(LISA-NAC).该机制包括基于标识的访问控制(IBAC)模型和自验证标识.IBAC模型提供了更加精确和高效的网络访问控制,并能适应移动节点的访问控制.自验证标识使得报文接收方可以不依赖第三方认证,直接根据报文携带的信息来验证报文源归属,从而减少标识欺骗的可能性.基于原型系统的实验结果表明,LISA-NAC带来的传输性能下降和系统开销较小,具有可行性.     

Ad hoc网安全QoS按需路由协议研究

提出了对HORSE算法的改进算法HORSEI2.与HORSE相比,HORSEI2在不失去相同安全强度的前提下降低了签名验证的计算复杂性和签名传输的通信负荷.在此基础上,还提出了一个新的具备安全功能的Ad hoc网络满足多QoS约束的按需距离向量(AODV)路由协议SAODVQOS,它采用HORSEI2作为密码机制为路由报文签名.理论分析表明SAODVQOS协议机制为AODVQOS协议增加了源认证机制,从而为Ad hoc网络节点提供了来源真实性、数据完整性和抗否认等安全服务以抵御恶意节点的攻击.基于NS2的仿真结果表明SAODVQOS网络性能良好.     

基于VPN的安全网关研究

首先介绍了IPSec协议的两种工作模式以及这些模式下IP包的变化,继而阐述了密钥交换协议的功能与操作过程。在对加密算法与IP报文加密了解的基础上,详细说明了认证头与封装安全载荷对外出和进入数据包的处理方式以及检查完整性检查值的整个过程,分析了IPSec在安全网关中的一些最新技术运用。最后提供了一种基于虚拟专用网技术的安全网关实现方式。     

基于VPN的安全网关研究

首先介绍了IPSec协议的两种工作模式以及这些模式下IP包的变化,继而阐述了密钥交换协议的功能与操作过程。在对加密算法与IP报文加密了解的基础上,详细说明了认证头与封装安全载荷对外出和进入数据包的处理方式以及检查完整性检查值的整个过程,分析了IPSec在安全网关中的一些最新技术运用。最后提供了一种基于虚拟专用网技术的安全网关实现方式。     

支持移动网络的身份验证协议研究

为了解决主机在移动过程中发生跨域时,移动网络应用层的安全性,结合移动网络的特点以及存在的安全威胁,对Kerberos域间身份验证协议进行改进,减少客户端参与的协议报文交互次数,使其适合为移动网络的应用服务提供身份验证服务,并采用形式化方法对改进的身份验证协议进行安全性验证.结果表明改进的安全协议能够提供与原有协议相同的安全性.     

一种基于SIP下VoIP身份认证技术的解决方案

VoIP系统是一项通过IP网络数据包传送语音的通信业务,保证VoIP的安全是提供IP通信业务的前提,而身份认证则是IP网络安全体制中最为重要的环节之一.随着SIP正成为VoIP通信系统的主流协议,文章在总结了当前VoIP系统对呼叫者身份进行认证的方法的基础上,提出了一种基于智能卡和SIP来电ID的双因素身份认证技术解决方案,并通过模拟攻击实验,对其安全性进行了分析.     

基于Web服务的使能服务平台安全机制

介绍了一个在网络经济模式下,基于Web服务的、支持中小企业动态联盟的使能服务平台,并分析了其中面临的安全威胁,提出了一套适用该平台的安全机制·该安全机制可以为用户提供信息通信保密,访问权限控制,数字签名,身份认证,密钥管理以及入侵检测等安全性保障·其中使用了AES和混沌密码算法进行数据加密,RSA算法用于数字签名和密钥交换,Guillou Quisquater协议用于身份认证,一个基于RSA的秘密共享体制保存密钥·在入侵检测系统中,综合使用了神经网络,数据挖掘和计算机免疫方法·最后,分析了其安全性·     

Design of Distributed Authentication Mechanism for Equipment Support Information Network

Considering the secure authentication problem for equipment support information network,a clustering method based on the business information flow is proposed. Based on the proposed method,a cluster-based distributed authentication mechanism and an optimal design method for distributed certificate authority( CA)are designed. Compared with some conventional clustering methods for network,the proposed clustering method considers the business information flow of the network and the task of the network nodes,which can decrease the communication spending between the clusters and improve the network efficiency effectively. The identity authentication protocols between the nodes in the same cluster and in different clusters are designed. From the perspective of the security of network and the availability of distributed authentication service,the definition of the secure service success rate of distributed CA is given and it is taken as the aim of the optimal design for distributed CA. The efficiency of providing the distributed certificate service successfully by the distributed CA is taken as the constraint condition of the optimal design for distributed CA. The determination method for the optimal value of the threshold is investigated. The proposed method can provide references for the optimal design for distributed CA.     

一种基于Agent的主动式信息安全模型

针对目前信息安全技术在应用系统中缺乏主动性的缺陷和应用的局限性,提出了一种基于主动式信息安全服务系统的模型和框架结构;研究了构成模型的三要素:策略、服务和管理;详细介绍了知识库、规划、冲突消解等安全Agent关键技术.采用JAVA实现了基于Agent的主动式信息安全服务模型的原型系统.实验数据分析表明:所设计的信息安全服务机制,可对网络中的应用系统提供主动式、透明、高效的信息安全服务.     

基于RSA算法的RPC认证机制研究与实现

随着网络信息技术的普及和发展，安全性已成为影响网络应用的重要问题。RSA算法是一种既能用于数据加密也能用于数字签名的公钥算法，具有较高的安全性。在分析RSA算法的基础上，结合RPC模型。讨论了基于RSA算法的RPC认证机制及其相关技术。     

基于J2ME和XML技术的无线商务安全设计

围绕网络传输的四大要素,讨论了基于J2ME无线商务系统、以XML为信息载体的安全问题;分析了无线网络传输层协议安全验证机制、J2ME的安全机制及XML数据的加密、数据签名等安全技术;从系统的安全性方案设计角度出发,研究了无线电子商务的安全性问题.     

无线Mesh网络中多服务器的门限认证系统构建

 在无线Mesh网络中,传统的集中式AAA认证模式很容易由于遭受DOS攻击或者被恶意者的破坏而导致服务瘫痪,为了解决该问题,基于Asmuth-Bloom门限机制,提出了多服务器的无线Mesh网络门限认证系统模型,设计了具体的无线接入和认证流程。在该系统中,只有认证服务器组中的成员才可以执行有效的认证过程,同时,只有当认证服务器组中的n个服务器中有不少于t个服务器才能恢复共享密钥K,这样可以避免假冒攻击和防止单个服务器被攻陷。分析结果表明,通过所计设的门限认证系统,保证了接入认证过程的有效性,提高了系统的安全性能,为无线Mesh网络的接入认证提供了一条有效解决思路,具有较高的实际应用和参考价值。     

基于SSLv3协议的双层代理系统的设计

主要对SSLv3协议的加密技术和安全机制进行了介绍,并利用SSLv3协议和双层代理相结合的方式构建了一个基于C/S结构的安全连接系统,该系统利用jdk1.5的JSSE类函数,以及openssl工具实现了服务器与客户的双向认证;同时给出了该系统实现的流程图,并对运行结果进行了分析。分析结果表明:该系统依附并服务于其他网络产品,支持双向认证,能为网络中传输的信息提供加密服务,因此它能为没有安全手段的网络产品有效地提供安全传输和客户认证。     

基于AAA的移动IP安全机制的研究

研究了基于AAA的移动IP安全机制,针对移动IP通信过程当中面临的安全问题,通过分析IETF提出的基于AAA的移动IP模型,提出了一种改进方案。该方案可以提高移动IP注册的效率,增加移动IP认证注册过程中的安全性,同时也能提高移动IP注册完成以后通信过程的安全性。