導言：作為寫作愛好者，不可錯過為您精心挑選的10篇身份認證技術論文，它們將為您的寫作提供全新的視角，我們衷心期待您的閱讀，并希望這些內容能為您提供靈感和參考。

篇1

1校園電子商務概述

1.1校園電子商務的概念。

校園電子商務是電子商務在校園這個特定環境下的具體應用，它是指在校園范圍內利用校園網絡基礎、計算機硬件、軟件和安全通信手段構建的滿足于校本論文由整理提供園內單位、企業和個人進行商務、工作、學習、生活各方面活動需要的一個高可用性、伸縮性和安全性的計算機系統。

1.2校園電子商務的特點。

相對于一般電子商務，校園電子商務具有客戶群本論文由整理提供穩定、網絡環境優良、物流配送方便、信用機制良好、服務性大于盈利性等特點，這些特點也是校園開展電子商務的優勢所在。與傳統校園商務活動相比，校園電子商務的特點有：交易不受時間空間限制、快捷方便、交易成本較低。

2校園電子商務的安全問題

2.1校園電子商務安全的內容。

校園電子商務安全內容從整體上可分為兩大部分：校園網絡安全和校園支付交易安全。校園網絡安全內容主要包括：計算機網絡設備安全、計算機網絡系統安全、數據庫安全等。校園支付交易安全的內容涉及傳統校園商務活動在校園網應用時所產生的各種安全問題，如網上交易信息、網上支付以及配送服務等。

2.2校園電子商務安全威脅。

校園電子商務安全威脅同樣來自網絡安全威脅與交易安全威脅。然而，網絡安全與交易安全并不是孤立的，而是密不可分且相輔相成的，網絡安全是基礎，是交易安全的保障。校園網也是一個開放性的網絡，它也面臨許許多多的安全威脅，比如：身份竊取、非本論文由整理提供授權訪問、冒充合法用戶、數據竊取、破壞數據的完整性、拒絕服務、交易否認、數據流分析、旁路控制、干擾系統正常運行、病毒與惡意攻擊、內部人員的不規范使用和惡意破壞等。校園網的開放性也使得基于它的交易活動的安全性受到嚴重的威脅，網上交易面臨的威脅可以歸納為：信息泄露、篡改信息、假冒和交易抵賴。信息泄露是非法用戶通過各種技術手段盜取或截獲交易信息致使信息的機密性遭到破壞；篡改信息是非法用戶對交易信息插入、刪除或修改，破壞信息的完整性；假冒是非法用戶冒充合法交易者以偽造交易信息；交易抵賴是交易雙方一方或否認交易行為，交易抵賴也是校園電子商務安全面臨的主要威脅之一。

2.3校園電子商務安全的基本安全需求。

通過對校園電子商務安全威脅的分析，可以本論文由整理提供看出校園電子商務安全的基本要求是保證交易對象的身份真實性、交易信息的保密性和完整性、交易信息的有效性和交易信息的不可否認性。通過對校園電子商務系統的整體規劃可以提高其安全需求。

3校園電子商務安全解決方案

3.1校園電子商務安全體系結構。

校園電子商務安全是一個復雜的系統工程，因此要從系統的角度對其進行整體的規劃。根據校園電子商務的安全需求，通過對校園人文環境、網絡環境、應用系統及管理等各方面的統籌考慮和規劃，再結合的電子商務的安全技術，總結校園電子商務安全體系本論文由整理提供結構，如圖所示：

上述安全體系結構中，人文環境層包括現有的電子商務法律法規以及校園電子商務特有的校園信息文化，它們綜合構成了校園電子商務建設的大環境；基礎設施層包括校園網、虛擬專網VPN和認證中心；邏輯實體層包括校園一卡通、支付網關、認證服務器和本論文由整理提供交易服務器；安全機制層包括加密技術、認證技術以及安全協議等電子商務安全機制；應用系統層即校園電子商務平臺，包括網上交易、支付和配送服務等。

針對上述安全體系結構，具體的方案有：

（1）營造良好校園人文環境。加強大學生本論文由整理提供的道德教育，培養校園電子商務參與者們的信息文化知識與素養、增強高校師生的法律意識和道德觀念，共

同營造良好的校園電子商務人文環境，防止人為惡意攻擊和破壞。

（2）建立良好網上支付環境。目前我國高校大都建立了校園一卡通工程，校園電子商務系統可以采用一卡通或校園電子帳戶作為網上支付的載體而不需要與銀行等金融系統互聯，由學校結算中心專門處理與金融機構的業務，可以大大提高校園網上支付的安全性。

（3）建立統一身份認證系統。建立校園統一身份認證系統可以為校園電子商務系統提供安全認證的功能。

（4）組織物流配送團隊。校園師生居住地點相對集中，一般來說就在學校內部或校園附近，只需要很少的人員就可以解決物流配送問題，而本論文由整理提供不需要委托第三方物流公司，在校園內建立一個物流配送團隊就可以準確及時的完成配送服務。

3.2校園網絡安全對策。

保障校園網絡安全的主要措施有：

（1）防火墻技術。利用防火墻技術來實現校園局域網的安全性，以解決訪問控制問題，使只有授權的校園合法用戶才能對校園網的資源進行訪問本論文由整理提供，防止來自外部互聯網對內部網絡的破壞。

（2）病毒防治技術。在任何網絡環境下，計算機病毒都具有不可估量的威脅性和破壞力，校園網雖然是局域網，可是免不了計算機病毒的威脅，因此，加強病毒防治是保障校園網絡安全的重要環節。

（3）VPN技術。目前，我國高校大都已經建立了校園一卡通工程，如果能利用VPN技術建立校園一卡通專網就能大大提高校園信息安全、保證數據的本論文由整理提供安全傳輸。有效保證了網絡的安全性和穩定性且易于維護和改進。

3.3交易信息安全對策。

針對校園電子商務中交易信息安全問題，可以用電子商務的安全機制來解決，例如數據加密技術、認證技術和安全協議技術等。通過數據加密，可以保證信息的機密性；通過采用數字摘要、數字簽名、數字信封、數字時間戳和數字證書等安全機制來解本論文由整理提供決信息的完整性和不可否認性的問題；通過安全協議方法，建立安全信息傳輸通道來保證電子商務交易過程和數據的安全。

（1）數據加密技術。加密技術是電子商務中最基本的信息安全防范措施，其原理是利用一定的加密算法來保證數據的機密，主要有對稱加密和非對稱加密。對稱加密是常規的以口令為基礎的技術，加密運算與解密運算使用同樣的密鑰。不對稱加密，即加密密鑰不同于解密密鑰，加密密鑰公之于眾，而解密密鑰不公開。

（2）認證技術。認證技術是保證電子商務交易安全的一項重要技術，它是網上交易支付的前提，負責對交易各方的身份進行確認。在校園電子商務本論文由整理提供中，網上交易認證可以通過校園統一身份認證系統（例如校園一卡通系統）來進行對交易各方的身份認證。

（3）安全協議技術。目前，電子商務發展較成熟和實用的安全協議是SET和SSL協議。通過對SSL與SET兩種協議的比較和校園電子商務的需求分析，校園電子商務更適合采用SSL協議。SSL位于傳輸層與應用層之間，能夠更好地封裝應用層數據，不用改變位于應用層的應用程序，對用戶是透明的。而且SSL只需要通過一次“握手”過程就可以建立客戶與服務器之間的一條安全通信通道，保證傳輸數據的安全。

3.4基于一卡通的校園電子商務。

目前，我國高校校園網建設和校園一卡通工程建設逐步完善，使用校園一卡通進行校園電子商務的網上支付可以增強校園電子商務的支付安全，可以避免或降低了使用銀行卡支付所出現的卡號被盜的風險等。同時，使用校園一卡通作為校園電子支付載體的安全保障有：

（1）校園網是一個內部網絡，它自身已經屏蔽了絕大多數來自公網的黑客攻擊及病毒入侵，由于有防火墻及反病毒軟件等安全防范設施，來自外部網絡人員的破壞可能性很小。同時，校園一卡通中心有著良好的安全機制，使得使用校園一卡通在校內進行網上支付被盜取賬號密碼等信息的可能性微乎其微。超級秘書網

（2）校園一卡通具有統一身份認證系統，能夠對參與交易的各方進行身份認證，各方的交易活動受到統一的審計和監控，統一身份認證能夠保證網上工作環境的安全可靠。校園網絡管理中對不同角色的用戶享有不同級別的授權，使其網上活動受到其身份的限制，有效防止一些惡意事情的發生。同時，由于校內人員身份單一，多為學生，交易中一旦發生糾紛，身份容易確認，糾紛就容易解決。

4結束語

篇2

【P鍵詞】二維碼；高校；身份認證

【Keywords】two-dimensional code ； university； identity authentication

【中圖分類號】C39 【文獻標志碼】A 【文章編號】1673-1069（2017）04-0166-03

1 引言

高校作為人才的培養基地，一直以來都扮演著科教興國的重要角色，考試制度也順理成章的成為了檢閱人才的必備標桿。然而，社會上的不誠信現象屢見不鮮，加之社會信用體系不完善，客觀上助長了不誠信風氣。大學生作弊現象，代考現象日益加劇，使得考試成績的真實性每況愈下，經調查，

60. 4%的大學生想過考試作弊，39. 1% 的大學生自述曾有過作弊經歷。這種弄虛作假的行為嚴重威脅著國家政策的施行，也使得高校教育策略岌岌可危。為糾正各類教育考試中考生代考、作弊等行為，進一步加強考試環境的綜合治理，我們引入二維碼技術來進行考生身份認證。通過掃描二維碼將考生最新信息呈現給監考教師，防止了考生準考證信息因磨損失真、不完全、容易被篡改等現象而引起代考行為的發生，保證了信息的統一化、可靠化、科學化管理，實現了考生信息的動態更新。系統采用各種最新技術來提高用戶體驗，保證信息的安全性，一定程度上實現了功能和體驗的雙贏[1]。

2 二維碼技術的發展

二維碼是20世紀90年代興起的一種新技術，它是以某種特定的幾何圖形按一定規律在平面上分布組成黑白相間的圖形來記錄數據符號信息的技術。和一維碼相比較，二維碼不但具有存儲容量大、信息密度大（在一個不大的圖形內可存儲數字、英文、漢字、指紋、聲音和圖片等信息）、 采集速度快、制作成本低、糾錯能力強、安全性高等特點，還成功彌補了一維碼只能包含字母與數字的缺陷。它可以從水平軸X軸和縱軸Y軸即橫向和垂直兩個方向對信息進行存儲和處理，這樣既提高了條碼信息存儲量又加速了信息的處理速度等優點，也正是這些優勢使得它廣泛流行于各國各行業中。

我國對二維碼技術的研究開始于1993年，截至目前，條碼標準體系還尚顯單薄，具有自主知識產權和核心研發技術體系還很少，二維碼的推廣和發展受到了一定阻礙。但是隨著我國通信網絡的升級、智能手機的普及和民眾意識的轉變，二維碼的應用前景也漸漸明朗起來，在消化國外先進技術文化的基礎上，制定了一系列二維碼標準：如GB/T17172-1997《四一七條碼》，GB/T18284-2000《快速響應矩陣碼》，《二維碼網格矩陣碼（GM）》，《二維碼緊密矩陣碼（CM）》等，并已在我國的汽車行業自動化生產線、醫療急救服務卡、涉外專利案件收費、珠寶玉石飾品管理及銀行匯票上得到了應用。國內多家IT企業如阿里巴巴、騰訊、百度、新浪等對二維碼的試水，以及中國電信、中國聯通、中國移動等電信巨頭在二維碼手機應用領域的介入都充分顯示了二維碼應用在我國強勁的發展勢頭，我國也在不斷投入資源，鼓勵摸索前進，積極研究和開辟新的應用和領域。

篇3

 

SSL 是Security Socket Layer 的縮寫，稱為安全套接字，該協議是由Netscape 公司設計開發。使用SSL 可以對通訊內容進行加密，以防止監聽通訊內容，主要用于提高應用程序之間的數據的傳輸安全。SSL協議分為三個子協議：

（1）握手協議，用于協商客戶端和服務器之間會話的安全參數，完成客戶端和服務器的認證。

（2）記錄協議，用于交換應用數據，所有的傳輸數據都被封裝在記錄中，主要完成分組和組合，壓縮和解壓縮，以及消息認證和加密等功能。

（3）警告協議：用來為對等實體傳遞SSL的相關警告。

SSL協議的實現有Netscape開發的商用SSL包，還有在業界產生巨大影響的Open SSL軟件包。目前在國內的金融系統中，廣泛使用OPENSSL軟件包進行應用開發。

網上銀行因為考慮易用性，大部分采用單向SSL認證.單向認證 SSL 協議不需要客戶擁有 CA 證書。X509數字證書是SSL的重要環節，CA證書的任務就是確保客戶和服務器之間的會話，并且保證使用的密鑰是正確的。缺少了這個重要的環節，SSL中間人攻擊也就難免了。

現在的網上銀行因為考慮易用性，大部分采用單向SSL認證，這正是SSL中間人攻擊的理論依據。

對于SSL中間人攻擊，以CAIN工具軟件為例：

首先在SNIFFER窗口中進行一次本網段的掃描探測

很快找到所有當前跟在同一網段內的活動主機IP地址與其MAC地址的對應關系。今天我們要欺騙演示的實驗對象是192.168.121.199，這是另一臺的筆記本電腦IP地址。

獲取到IP地址與MAC地址的對應關系后，繼續到ARP的子窗口中，選擇添加欺騙主機在窗口左邊選中當前網絡的網關IP地址就是192.168.121.129，窗口右邊選中我們要欺騙的IP地址192.168.121.199，選中后直接確定生效。畢業論文，SSL協議。畢業論文，SSL協議。

然后在ARP-HTTPS的選擇樹中添加一個當前我們需要偽裝的HTTPS站點，選擇確定后CAIN會自動把這個站點的證書文件下載回來備用。畢業論文，SSL協議。

一切準備就緒后，就可以點擊CAIN工具欄中的ARP模式開始工作了。畢業論文，SSL協議。CAIN軟件在后臺采用第一章的ARP欺騙攻擊的方式將被欺騙主機與 HTTPS網站間的通訊切斷，在中間插入我們偽造的證書給被欺騙主機，同時偽裝成為中間人代替它與HTTPS站點通訊。CAIN在其中把所有的通訊數據包 進行加密解密再加密傳遞的過程，當然所有原始的訪問行為在這一過程中都被我們獲取到了。

對于被欺騙主機在實際打開IE訪問中，感覺不到任何異常本地顯示依然是安全的SSL128位加密，只是不知道所有的訪問行為在CAIN中都可以VIEW的方式來查看到了。

在VIEW的窗口中我們可以查看到所有通訊的訪問原始記錄，包括此臺筆記本的登陸帳號與口令信息。

網上銀行存在的攻擊風險歸其原因是SSL協議使用不健全導致，安全的解決方案建立以PKI技術為基礎的CA認證系統，加入已經在運行的可靠的CA。 CA體系建立或加入時，通過對網上交易系統的二次開發，將數字證書認證功能嵌入到整個網上交易過程中去，這將實現基于數字證書的身份認證、通信安全、數據安全和交易安全。

篇4

 

1、引言

現如今的校園是一個信息時代的校園，信息化已經成為一個重要標志，因此，信息化校園也就離不開信息化的管理。在這個日新月異的時代，提高管理水平和工作效率便離成功近了一步。校園信息化建設，便是有力推進校園管理和教學水平發揮的關鍵一步。管理信息化水平成為衡量學校總體水平的重要指標之一。隨著計算機技術和網絡技術的迅速發展，一卡通系統已經走入了絕大部分校園，為每一個人帶來全新、方便的現代化生活，而院校管理將日趨簡化，工作效率將逐步提高。

2、一卡通系統的需求分析

從業務上來說，校園一卡通系統利用智能非接觸式IC卡的功能強大和能夠脫機交易等優點，在校園網的支持下，可在校內一卡通行畢業論文怎么寫，具有支付交易、身份識別、個人信息查詢等功能。在學校內實現電子錢包的支付交易功能。校園卡可作為電子錢包使用，可在學校各校區內現金交易點進行支付交易，逐漸免去現金流通。為校內使用證件的各種應用提供身份認證的功能，實現校園管理功能。校園卡可記錄個人的各類基本檔案，校園卡系統可共享身份信息、黑(白)名單庫等信息資源。因此，校園卡可驗證持卡人的身份，實現圖書借閱，門禁考勤、停車場等身份認證，從而代替以前的各種證件，使學校管理更加規范期刊網。

從功能上來說，校園一卡通主要具有儲蓄、取款、消費、身份認證、個人信息查詢等功能，其應用覆蓋校區綜合消費系統，包括收、繳費及各類款項支取，校內各類小額消費；以及信息查詢系統，包括身份認證，管理信息查詢及統計分析等。

3、一卡通系統的功能

一卡通系統使用端主要功能是利用智能非接觸式的IC卡，以卡代幣，通過校園卡內電子錢包，持卡人可以在所有校區內任意消費網點以卡結算，實現電子化貨幣數字化結算。實現各校區內餐廳、醫療、小賣部、超市、商場所有消費場所一卡通用。校園卡可在表面印有持卡人身份標識在校內以卡代證，作為持卡人身份證明，如學生證、教師證、工作證身份證件使用。以及身份識別、圖書管理、電腦上機、門禁等領域的貫通使用，數據共享，一卡貫通。

一卡通系統的管理端主要管理以下功能：

（1）系統初始：包括系統的注冊、單位名稱的初始、人員信息的導入等

（2）發卡、充值：對單位人員進行發卡、充值，并實現補卡、掛失、解掛、修正錯誤等

（3）補助：補助報表的生成、審核、下發補助等

（4）人員管理：對人員資料的管理、人員結算、人員查詢，人員消費設備的管理等

（5）報表管理：實現各種報表畢業論文怎么寫，用于財務對帳、入帳等；

（6）結算管理：操作員、收銀員結算、業主結算等

（7）查詢管理：主要用于用戶查詢，可以查詢消費明細；用于管理者查詢可以查詢整個系統的消費、管理等狀況

（8）權限管理：所有權限都由管理員分配，每個操作員根據自身的情況，可以設置不同的管理權限。

（9）水控管理：用于管理公共澡堂、公寓的出水管理

（10）消費管理：用于食堂、小賣部等刷卡消費管理

（11）第三方系統接入：用于教務、圖書館、機房等子系統的接入；如教務子系統在教學活動中的信息收集、管理。并可以輔助完成教學計劃制定，課程安排，學生選課，成績管理等教學活動。

4、展望

校園信息化建設是一項基礎性和長期性的工作，因此，沒有一所學校能夠一步到位地實現所有項目的信息化建設。校園一卡通項目中的各項內容相互聯系而又互不干擾，學校可以因應自己的需求選擇先投入某些項目的建設，幾年后再逐步完善其他項目的建設，當學校新增一個項目的時候并無需再為學生辦理新卡片，而只需在原有的卡片上寫入新的程序即可，既避免了購置新卡片而造成的資源浪費，又可以讓學生享受到學校后勤高效、方便的管理服務。一卡通系統必將給我們帶來全新的學習、生活和工作模式。

參考文獻：

[1]何冠星。淺談基于一卡通系統的校園信息化建設。新西部，2009（6）

篇5

1引言

移動存儲設備因其體積小、容量大、使用靈活而應用廣泛，但其本身的“匿名性”給設備安全管理帶來了巨大挑戰，身份認證難、信息易泄露、常攜帶病毒等問題一直困擾著用戶和計算機系統安全人員。

在移動存儲的安全管理上應基于兩個層面：首先是移動存儲設備對用戶的身份認證，以確保移動存儲設備持有者身份的合法性；其次是移動存儲設備與接入終端間的雙向認證。目前，移動存儲的安全管理往往是基于用戶名和口令的身份認證方案，容易受到非法用戶“假冒身份”的攻擊，同時系統中所保存的口令表的安全性也難以保障，因此該方案存在較大的安全隱患。少數采用生物特征識別的安全方案也僅僅做到了第一個層面的身份認證，仍無法解決對移動存儲設備本身的身份認證以及移動存儲設備對接入終端的身份認證。然而，移動存儲設備和接入終端間雙向認證的必要性是顯而易見的，只有被終端信任的移動存儲設備才允許接入；同時，當終端也被移動存儲設備信任時，移動存儲設備和終端才能獲得彼此間相互讀寫的操作權限。只有實現上述的雙向認證，才能有效地在源頭杜絕移動存儲設備帶來的安全隱患。

本文描述了一種移動存儲安全管理方案，針對U盤和移動硬盤等移動存儲設備，基于智能卡技術，結合指紋識別模塊，解決了設備持有者的身份認證以及設備與接人終端間的雙向認證問題，并將設備持有者的指紋作為實名訪問信息記人審計系統，進一步完善了移動存儲的安全管理方案。

2基于指紋識別的用戶身份認證

指紋識別技術主要涉及指紋圖像采集、指紋圖像處理、特征提取、數據保存、特征值的比對和匹配等過程，典型的指紋識別系統如圖1所示。

指紋識別系統

指紋圖像預處理的目的是去除指紋圖像中的噪音，將其轉化為一幅清晰的點線圖，便于提取正確的指紋特征。預處理影響指紋識別的效果，具有重要的意義。它分四步進行，即灰度濾波、二值化、二值去噪和細化。圖像細化后，采用細節點模板提取出指紋圖像的脊線末梢和脊線分支點的位置，將指紋認證問題轉化成為點模式匹配問題。

如圖2所示，移動存儲設備采用兼容多種設備接口的控制芯片、安全控制閃存芯片、大容量用戶標準Flash構成硬件基礎，以智能卡控制芯片為控制中心，結合指紋識別模塊，實現對設備持有者的身份認證；同時，結合大容量普通閃存存儲結構，實現數據存儲低層管理和數據存儲加密。

3基于智能卡技術的雙向認證

為加強系統認證安全性與可信性，在移動存儲設備內集成智能卡模塊，使之具備計笄能力，從而實現移動存儲設備與終端之問的雙向認證。移動存儲設備的身份文件存放于智能卡模塊中。身份文件是指存儲著移動存儲設備各項物理特征信息的私密文件，由于這些物理特征信息與個體緊密相聯，所以可以起到唯一鑒別該移動存儲設備的作用。

智能卡模塊提供對終端的認證，只有通過認證的終端才能訪問身份文件和移動存儲設備中的數據。將現有移動存儲設備硬件結構進行改造，在其中分別加人指紋處理模塊與智能卡模塊后的硬件結構如圖3所示。

智能卡模塊內置CPU、存儲器、加解密算法協處理器、隨機數發生器等硬件單元，及芯片操作系統(COS)、芯片文件系統等多個功能模塊。其內部具有安全數據存儲空間，用于存放移動存儲設備的身份文件。對該存儲空間的讀寫受身份認證機制保護，只有通過認證的用戶和終端才能對其進行訪問，并且操作必須通過定制的應用程序實現，用戶無法直接讀取。支持指紋認證的智能卡文件系統如圖4所示。

對終端的身份認證方式有多種，本方案采用沖擊一響應的認證方式_7]。需要驗證終端身份時，終端向智能卡模塊發送驗證請求，智能卡模塊接到此請求后產生一組隨機數發送給終端(稱為沖擊)。終端收到隨機數后，使用終端認證軟件內置的密鑰對該隨機數進行一次三重DES加密運算，并將得到的結果作為認證依據傳給智能卡模塊(稱為響應)，與此同時，智能卡模塊也使用該隨機數與內置的密鑰進行相同的密碼運算，若運算結果與終端傳回的響應結果相同，則通過認證。這種認證方式以對稱密碼為基礎，特點是實現簡單，運算速度快，安全性高，比較適合對移動存儲設備的認證。

在終端通過認證，取得移動存儲設備信任的前提下，終端通過智能卡模塊讀取移動存儲設備身份文件，對移動存儲設備進行準入認證。只有在雙向認證通過的情況下，移動存儲設備才能接入可信終端，進而在授權服務器分發的安全策略下與可信域終端進行正常的讀寫操作。

4移動存儲安全管理系統設計

在采用智能卡技術的基礎上，加入移動存儲安全管理系統，提供對移動存儲設備的接人控制，將認證體系擴展至計算機USB總線。

安全管理系統的認證體系示意圖如圖5所示。各終端首先需要加入某個信任域，在此之后可對移動存儲設備提供基于所在信任域的接入認證，如果終端沒有通過信任域認證，則不允許任何移動存儲設備接入。

授權認證服務器位于各信任域的公共區域中，為各信任域的終端提供移動存儲設備授權認證服務。它將設備授權給某個信任域后，該設備便成為該區域中的授權設備，可在該區域中任意一臺終端上使用；在其他區域使用時將被認為是未授權的，接入將被拒絕。隔離區中的終端與授權認證服務器不能通過網絡相連，從而保證了被隔離的終端不能夠使用移動存儲設備，防止安全隱患向外擴散。這種把安全域細分成不同信任域的整體設計可以最大限度地防止安全實體內敏感數據的任意傳播，大大降低信息向外非法泄露的可能性。

終端移動設備認證軟件部署在網絡系統中的各臺終端上，實時監測終端上所有USB接口，探測接人的移動存儲設備。發現設備后，認證軟件將與接入設備進行相互認證，并與認證服務器通信，對設備進行認證，通過認證的設備被認為是當前信任域的授權設備，否則將被認為是未授權的。根據認證結果，允許或禁止移動設備接入。

4．1授權流程描述

服務器端授權軟件運行時，探測出所有連接到授權服務器上的移動存儲設備，并將結果報告給管理員。管理員指定需要授權的設備，填寫好授權區域、授權日期、授權人、授權有效期并錄入用戶指紋信息后，授權軟件開始對該移動存儲設備進行授權。

(1)獲取該設備的各項物理信息，這些信息具有特征標識，可以唯一地標識該設備；

(2)將收集到的物理信息和管理員輸入的授權區域、授權日期、授權人、授權有效期等信息以一定格式排列，并注入隨機字符，采用三重DES運算，生成身份文件；

(3)設置移動存儲設備中指紋模塊的指紋信息；

(4)將智能卡模塊中的認證密鑰設成與終端事先約定好的密鑰；

(5)將(3)中生成的身份文件存入智能卡模塊中的安全數據存儲空間。

4．2認證流程描述

圖6是移動存儲設備管理系統完成認證的整個流程，其步驟如下：

(1)終端認證軟件判斷當前終端所處區域，如果處于信任域中，掃描各USB端口狀態，判斷是否有新設備接人；如果處于隔離區，則拒絕任何USB移動設備接入。

(2)如果探測到新設備接入，智能卡CPU調用指紋處理模塊，接收并驗證用戶指紋。

(3)如果指紋認證通過，則終端向USB存儲設備發送認證請求；否則禁用該USB存儲設備。

(4)如果沒有收到USB存儲設備的智能卡模塊發來的隨機數，證明該設備是不符合系統硬件設計要求的，拒絕接入；如果收到隨機數，則進行沖擊一響應認證。如果沒有通過認證，證明該終端為非信任終端，智能卡模塊拒絕該設備接人終端。

(5)終端讀取智能卡模塊存儲的身份文件，并讀取該設備的各項物理信息，將身份文件、物理信息及終端所處的信任域信息發送至認證服務器進行認證。

(6)服務器認證軟件接收到終端發送來的信息后，將標識文件解密，得到授權區域、授權日期、授權人、授權有效期等信息。

①將解密得到的物理信息與終端發來的物理信息作比對，如果不相符，證明該標識文件是被復制或偽造的，向終端發送未通過認證的指令。

②如果①中認證通過，將解密得到的信任域信息與終端發來的信任域信息作比對，如果不相符，證明該移動存儲設備處于非授權區域中，向終端發送未通過認證的指令。

③如果②中認證通過，將解密得到的授權有效期與當前日期做比較，如果當前日期處于有效期內，向終端發送通過認證的指令；如果當前日期處于有效期外，向終端發送未通過認證的指令。

(7)終端接收認證服務器發來的指令，對USB設備執行允許或禁止接入的操作。如果USB設備被允許接入，則智能卡模塊將設備持有者指紋提交給認證服務器，作為已授權訪問記錄記入日志中。

(8)轉至(2)繼續探測新設備。

5安全性分析

本方案通過在移動存儲設備中加入指紋識別模塊和智能卡模塊，更安全可靠地解決了設備持有者身份認證問題以及移動存儲設備的“匿名性”問題，通過引入身份文件，實現了移動存儲設備的實名制認證。結合智能卡的相關技術，本方案從根本上解決了移動存儲設備與接入終端問的雙向認證問題，構建了雙方互信的安全傳輸環境。

基于信任域的劃分對設備進行授權管理，使整個系統能夠同時對終端和移動存儲設備提供接人控制，有效地阻止了安全威脅的傳播。在方案的具體實現上，有如下安全性考慮：

(1)移動存儲設備采用指紋識別的方式認證設備持有者身份，確保其身份的合法性；采用三重DES對稱加密的方式對終端進行認證，確保終端為運行認證軟件的合法授權終端，有效地避免了強力破解的可能性。

(2)移動存儲設備的物理信息各不相同，身份文件也是唯一確定的。身份文件采用三重DES加密的方式，加解密過程全部在服務器端認證軟件中完成，密鑰不出服務器，避免了密碼被截獲的可能性。身份文件存儲于智能卡模塊中的安全數據存儲區，受智能卡模塊軟硬件的雙重保護。方案保證了身份文件的唯一性、抗復制性和抗偽造性，任何非授權設備都無法通過破譯、復制、偽造等人侵手段冒名成為授權設備。

(3)認證服務器與隔離區中的終端相互隔離，只能被信任域中的終端訪問，保證了認證服務器的安全。

(4)雙向認證通過后，被授權的移動存儲設備將設備持有者的指紋記入授權服務器的訪問日志中，以便日后能夠準確地確定安全事故責任人。

篇6

論文摘要：隨著移動存儲設備的廣泛應用，由其引發的信息泄漏等安全問題日益受到關注。針對目前移動存儲安全解決方案中利用用戶名和密碼進行身份認證的不足，本文提出了基于智能卡技術的安全管理方案。該方案將指紋特征作為判定移動存儲設備持有者身份的依據，同時通過智能卡技術實現了移動存儲設備與接入終端間的雙向認證，從源頭上杜絕了移動存儲設備帶來的安全隱患。

1引言

移動存儲設備因其體積小、容量大、使用靈活而應用廣泛，但其本身的“匿名性”給設備安全管理帶來了巨大挑戰，身份認證難、信息易泄露、常攜帶病毒等問題一直困擾著用戶和計算機系統安全人員。

在移動存儲的安全管理上應基于兩個層面：首先是移動存儲設備對用戶的身份認證，以確保移動存儲設備持有者身份的合法性；其次是移動存儲設備與接入終端間的雙向認證。目前，移動存儲的安全管理往往是基于用戶名和口令的身份認證方案，容易受到非法用戶“假冒身份”的攻擊，同時系統中所保存的口令表的安全性也難以保障，因此該方案存在較大的安全隱患。少數采用生物特征識別的安全方案也僅僅做到了第一個層面的身份認證，仍無法解決對移動存儲設備本身的身份認證以及移動存儲設備對接入終端的身份認證。然而，移動存儲設備和接入終端間雙向認證的必要性是顯而易見的，只有被終端信任的移動存儲設備才允許接入；同時，當終端也被移動存儲設備信任時，移動存儲設備和終端才能獲得彼此間相互讀寫的操作權限。只有實現上述的雙向認證，才能有效地在源頭杜絕移動存儲設備帶來的安全隱患。

本文描述了一種移動存儲安全管理方案，針對U盤和移動硬盤等移動存儲設備，基于智能卡技術，結合指紋識別模塊，解決了設備持有者的身份認證以及設備與接人終端間的雙向認證問題，并將設備持有者的指紋作為實名訪問信息記人審計系統，進一步完善了移動存儲的安全管理方案。

2基于指紋識別的用戶身份認證

指紋識別技術主要涉及指紋圖像采集、指紋圖像處理、特征提取、數據保存、特征值的比對和匹配等過程，典型的指紋識別系統如圖1所示。

圖1指紋識別系統

指紋圖像預處理的目的是去除指紋圖像中的噪音，將其轉化為一幅清晰的點線圖，便于提取正確的指紋特征。預處理影響指紋識別的效果，具有重要的意義。它分四步進行，即灰度濾波、二值化、二值去噪和細化。圖像細化后，采用細節點模板提取出指紋圖像的脊線末梢和脊線分支點的位置，將指紋認證問題轉化成為點模式匹配問題。

如圖2所示，移動存儲設備采用兼容多種設備接口的控制芯片、安全控制閃存芯片、大容量用戶標準Flash構成硬件基礎，以智能卡控制芯片為控制中心，結合指紋識別模塊，實現對設備持有者的身份認證；同時，結合大容量普通閃存存儲結構，實現數據存儲低層管理和數據存儲加密。

3基于智能卡技術的雙向認證

為加強系統認證安全性與可信性，在移動存儲設備內集成智能卡模塊，使之具備計笄能力，從而實現移動存儲設備與終端之問的雙向認證。移動存儲設備的身份文件存放于智能卡模塊中。身份文件是指存儲著移動存儲設備各項物理特征信息的私密文件，由于這些物理特征信息與個體緊密相聯，所以可以起到唯一鑒別該移動存儲設備的作用。

智能卡模塊提供對終端的認證，只有通過認證的終端才能訪問身份文件和移動存儲設備中的數據。將現有移動存儲設備硬件結構進行改造，在其中分別加人指紋處理模塊與智能卡模塊后的硬件結構如圖3所示。

智能卡模塊內置CPU、存儲器、加解密算法協處理器、隨機數發生器等硬件單元，及芯片操作系統(COS)、芯片文件系統等多個功能模塊。其內部具有安全數據存儲空間，用于存放移動存儲設備的身份文件。對該存儲空間的讀寫受身份認證機制保護，只有通過認證的用戶和終端才能對其進行訪問，并且操作必須通過定制的應用程序實現，用戶無法直接讀取。支持指紋認證的智能卡文件系統如圖4所示。

對終端的身份認證方式有多種，本方案采用沖擊一響應的認證方式_7]。需要驗證終端身份時，終端向智能卡模塊發送驗證請求，智能卡模塊接到此請求后產生一組隨機數發送給終端(稱為沖擊)。終端收到隨機數后，使用終端認證軟件內置的密鑰對該隨機數進行一次三重DES加密運算，并將得到的結果作為認證依據傳給智能卡模塊(稱為響應)，與此同時，智能卡模塊也使用該隨機數與內置的密鑰進行相同的密碼運算，若運算結果與終端傳回的響應結果相同，則通過認證。這種認證方式以對稱密碼為基礎，特點是實現簡單，運算速度快，安全性高，比較適合對移動存儲設備的認證。

在終端通過認證，取得移動存儲設備信任的前提下，終端通過智能卡模塊讀取移動存儲設備身份文件，對移動存儲設備進行準入認證。只有在雙向認證通過的情況下，移動存儲設備才能接入可信終端，進而在授權服務器分發的安全策略下與可信域終端進行正常的讀寫操作。

4移動存儲安全管理系統設計

在采用智能卡技術的基礎上，加入移動存儲安全管理系統，提供對移動存儲設備的接人控制，將認證體系擴展至計算機USB總線。

安全管理系統的認證體系示意圖如圖5所示。各終端首先需要加入某個信任域，在此之后可對移動存儲設備提供基于所在信任域的接入認證，如果終端沒有通過信任域認證，則不允許任何移動存儲設備接入。

授權認證服務器位于各信任域的公共區域中，為各信任域的終端提供移動存儲設備授權認證服務。它將設備授權給某個信任域后，該設備便成為該區域中的授權設備，可在該區域中任意一臺終端上使用；在其他區域使用時將被認為是未授權的，接入將被拒絕。隔離區中的終端與授權認證服務器不能通過網絡相連，從而保證了被隔離的終端不能夠使用移動存儲設備，防止安全隱患向外擴散。這種把安全域細分成不同信任域的整體設計可以最大限度地防止安全實體內敏感數據的任意傳播，大大降低涉密信息向外非法泄露的可能性。

終端移動設備認證軟件部署在網絡系統中的各臺終端上，實時監測終端上所有USB接口，探測接人的移動存儲設備。發現設備后，認證軟件將與接入設備進行相互認證，并與認證服務器通信，對設備進行認證，通過認證的設備被認為是當前信任域的授權設備，否則將被認為是未授權的。根據認證結果，允許或禁止移動設備接入。

4．1授權流程描述

服務器端授權軟件運行時，探測出所有連接到授權服務器上的移動存儲設備，并將結果報告給管理員。管理員指定需要授權的設備，填寫好授權區域、授權日期、授權人、授權有效期并錄入用戶指紋信息后，授權軟件開始對該移動存儲設備進行授權。

(1)獲取該設備的各項物理信息，這些信息具有特征標識，可以唯一地標識該設備；

(2)將收集到的物理信息和管理員輸入的授權區域、授權日期、授權人、授權有效期等信息以一定格式排列，并注入隨機字符，采用三重DES運算，生成身份文件；

(3)設置移動存儲設備中指紋模塊的指紋信息；

(4)將智能卡模塊中的認證密鑰設成與終端事先約定好的密鑰；

(5)將(3)中生成的身份文件存入智能卡模塊中的安全數據存儲空間。

4．2認證流程描述

圖6是移動存儲設備管理系統完成認證的整個流程，其步驟如下：

(1)終端認證軟件判斷當前終端所處區域，如果處于信任域中，掃描各USB端口狀態，判斷是否有新設備接人；如果處于隔離區，則拒絕任何USB移動設備接入。

(2)如果探測到新設備接入，智能卡CPU調用指紋處理模塊，接收并驗證用戶指紋。

(3)如果指紋認證通過，則終端向USB存儲設備發送認證請求；否則禁用該USB存儲設備。

(4)如果沒有收到USB存儲設備的智能卡模塊發來的隨機數，證明該設備是不符合系統硬件設計要求的，拒絕接入；如果收到隨機數，則進行沖擊一響應認證。如果沒有通過認證，證明該終端為非信任終端，智能卡模塊拒絕該設備接人終端。

(5)終端讀取智能卡模塊存儲的身份文件，并讀取該設備的各項物理信息，將身份文件、物理信息及終端所處的信任域信息發送至認證服務器進行認證。

(6)服務器認證軟件接收到終端發送來的信息后，將標識文件解密，得到授權區域、授權日期、授權人、授權有效期等信息。

①將解密得到的物理信息與終端發來的物理信息作比對，如果不相符，證明該標識文件是被復制或偽造的，向終端發送未通過認證的指令。

②如果①中認證通過，將解密得到的信任域信息與終端發來的信任域信息作比對，如果不相符，證明該移動存儲設備處于非授權區域中，向終端發送未通過認證的指令。

③如果②中認證通過，將解密得到的授權有效期與當前日期做比較，如果當前日期處于有效期內，向終端發送通過認證的指令；如果當前日期處于有效期外，向終端發送未通過認證的指令。

(7)終端接收認證服務器發來的指令，對USB設備執行允許或禁止接入的操作。如果USB設備被允許接入，則智能卡模塊將設備持有者指紋提交給認證服務器，作為已授權訪問記錄記入日志中。

(8)轉至(2)繼續探測新設備。

5安全性分析

本方案通過在移動存儲設備中加入指紋識別模塊和智能卡模塊，更安全可靠地解決了設備持有者身份認證問題以及移動存儲設備的“匿名性”問題，通過引入身份文件，實現了移動存儲設備的實名制認證。結合智能卡的相關技術，本方案從根本上解決了移動存儲設備與接入終端問的雙向認證問題，構建了雙方互信的安全傳輸環境。

基于信任域的劃分對設備進行授權管理，使整個系統能夠同時對終端和移動存儲設備提供接人控制，有效地阻止了安全威脅的傳播。在方案的具體實現上，有如下安全性考慮：

(1)移動存儲設備采用指紋識別的方式認證設備持有者身份，確保其身份的合法性；采用三重DES對稱加密的方式對終端進行認證，確保終端為運行認證軟件的合法授權終端，有效地避免了強力破解的可能性。

(2)移動存儲設備的物理信息各不相同，身份文件也是唯一確定的。身份文件采用三重DES加密的方式，加解密過　程全部在服務器端認證軟件中完成，密鑰不出服務器，避

免了密碼被截獲的可能性。身份文件存儲于智能卡模塊中的安全數據存儲區，受智能卡模塊軟硬件的雙重保護。方案保證了身份文件的唯一性、抗復制性和抗偽造性，任何非授權設備都無法通過破譯、復制、偽造等人侵手段冒名成為授權設備。

(3)認證服務器與隔離區中的終端相互隔離，只能被信任域中的終端訪問，保證了認證服務器的安全。

(4)雙向認證通過后，被授權的移動存儲設備將設備持有者的指紋記入授權服務器的訪問日志中，以便日后能夠準確地確定安全事故責任人。

篇7

一、PKI系統基本組成

PKI是一個以公鑰密碼技術為基礎，數字證書為媒介，結合對稱加密和非對稱加密技術，將個人的信息和公鑰綁在一起的系統。其主要目的是通過管理密鑰和證書，為用戶建立一個安全、可信的網絡應用環境，使用戶可以在網絡上方便地使用加密和數字簽名技術，在Internet上驗證通信雙方身份，從而保證了互聯網上所傳輸信息的真實性、完整性、機密性和不可否認性。完整的PKI系統包括一個RA中心、CA中心、用戶終端系統EE、證書/CRL資料庫和秘鑰管理系統。

二、PKI系統提供的服務

PKI作為安全基礎設施，主要提供的服務有保密、身份認證服務、驗證信息完整以及電子商務中的不可抵賴。

1.保密

所謂保密就是提供信息的保密，包括存儲文件和傳輸信息的保密性，所有需要保密的信息都加密，這樣即使被攻擊者獲取到也只是密文形式，攻擊者沒有解密密鑰，無法得到信息的真實內容，從而實現了對信息的保護。PKI提供了保密，并且這個服務對于所有用戶都是透明的。

2.身份認證服務

PKI的認證服務在ITU-TX.509標準中定義為強鑒別服務，即采用公開密鑰技術、數字簽名技術和安全的認證協議進行強鑒別的服務。

3.完整

完整就是保證數據在保存或傳輸過程中沒有被非法篡改，PKI體系中采用對信息的信息摘要進行數字簽名的方式驗證信息的完整性。

4.不可抵賴

不可抵賴是對參與者對做過某件事提供一個不可抵賴的證據。在PKI體系中，發送方的數字簽名就是不可抵賴的證據。

三、基于PKI的數字簽名的實現

基于PKI的數字簽名，用戶首先向PKI的RA中心注冊自己的信息，RA審核用戶信息，審核通過則向CA中心發起證書申請請求，CA中心為用戶生成秘鑰對，私鑰私密保存好，公鑰和用戶信息打包并用CA私鑰進行數字簽名，形成數字證書并在CA服務器的證書列表，用戶到證書列表查看并下載證書。

假設用戶A要向用戶B發送信息M，用戶A首先對信息進行哈希函數h運算得到M的信息摘要hA，再用自己的私鑰DA對hA進行加密得到數字簽名Sig(hA）。將明文M、數字簽名Sig(hA）以及A的證書CertA組成信息包，用B的公鑰EB加密得到密文C并傳送給B。其中數字簽名與信息原文一起保存，私鑰DA只有用戶A擁有，因此別人不可能偽造A的數字簽名；又由于B的私鑰只有B擁有，所以只有B可以解密該信息包，這樣就保證了信息的保密性。

四、基于PKI體系結構的數字簽名安全性分析

從基于PKI數字簽名的實現過程和驗證過程中我們知道，數字簽名的安全性取決于以下幾點：

1.CA服務器確實安全可靠，用戶的證書不會被篡改。CA服務器的安全性主要包括物理安全和系統安全。所謂物理安全是指CA服務器放置在物理環境安全的地方，不會有水、火、蟲害、灰塵等的危害；系統安全是指服務器系統的安全，可以由計算機安全技術與防火墻技術實現。

2.用戶私鑰確實被妥善管理，沒有被篡改或泄露。現在采用的技術是USB Key或智能卡存儲用戶私鑰，并由用戶用口令方式保護私鑰，而且實現了私鑰不出卡，要用私鑰必須插卡，從技術實現了私鑰不會被篡改和泄露。

3.數字簽名方案的安全性好。基于PKI公鑰加密技術的數字簽名是建立在一些難解的數學難題的基礎上，其中基于RSA算法的簽名方案應用最多。RSA算法是基于大數分解的困難性，目前當模數達到1024位時，分解其因子幾乎是不可能的，未來十年內也是安全的。但是由于RSA算法保存了指數運算的特性，RSA不能抵御假冒攻擊，就算攻擊者不能破解密鑰，也可進行假冒攻擊實現消息破譯和騙取用戶簽名。

六、總結

在電子商務交易的過程中，PKI系統是降低電子商務交易風險的一種常用且有效的方法，本文介紹了PKI系統的組成，PKI系統提供的服務，分析了基于PKI通信的安全性，其安全主要通過數字證書和數字簽名來實現，而數字簽名的安全性則主要依賴于簽名方案，在研究和分析現有數字簽名方案的基礎上提出了改進的新方案，即添加隨機因子和時間戳的RSA簽名方案，新方案增加了通信雙方交互次數，雖然系統效率有所降低，但提高了方案的安全性，并且新方案既可保證信息的保密性、完整性，又使得通信雙方都具備了不可抵賴性，具有很高安全性和較強的實用意義。

參考文獻

[1]劉穎.基于身份的數字簽名的研究[D].西安電子科技大學碩士學位論文,2006,1.

[2]段保護.一種改進的基于時間戳的數字簽名方案[D].長沙理工大學碩士學位論文,2009,3.

[3]陳昕.基于一次性口令的身份認證系統研究及實現[D].南京信息工程大學碩士學位論文,2009,5.

[4]潘恒.電子商務環境下基于PKI的信任問題研究[D].信息工程大學博士學位論文,2006,10.

[5]張寧.電子商務安全性分析[D].北京郵電大學碩士研究生學位論文,2007,3.

篇8

[中圖分類號]G40-057　[文獻標識碼]A　[論文編號]1009-8097(2012)05-0102-06引言

考試是高校學生學業成績考核的主要手段，是對教師教學質量和學生學習效果的一種檢驗方式，在提高教學質量，提升人才培養水平等方面發揮重要作用。傳統考試多以紙筆考試為主，普遍存在教師閱卷工作量大、考試組織效率低、試卷無法長期保存等問題。為解決這些問題，網絡考試系統應運而生。網絡考試系統是一種運用計算機網絡技術支持某個學科進行實時考試的計算機系統，能夠對考試全過程實施管理與控制，并通過自動組卷、自動改卷減輕教師的工作量，極大提高考試的組織效率。網絡考試憑借其高效、靈活、適應性強等優點，己逐漸成為傳統考試的有效補充。但是，隨著網絡考試的實施，針對網絡考試系統的舞弊行為屢禁不止，這不僅影響考試結果的真實性，也使考試的公平性受到質疑，嚴重地敗壞網絡考試的聲譽。因此，要使網絡考試得到普遍認可，必須有效地解決網絡考試系統的防舞弊問題，保障考試公平。一　網絡考試防舞弊的基本思路和主要環節

1　防舞弊的基本思路

考試舞弊行為是指考生采取不正當手段，非法獲取高于自己實際水平分數的種種違紀活動。發生考試舞弊究其原因有三：一是作弊考生應考動機不純，對優秀考試成績極度渴望而采取不正當手段，另外，別人作弊我不作弊很吃虧的心理擴大了舞弊考生的數量；二是監考失職，考場紀律不嚴；三是考場規章制度和技術保障機制有疏漏，讓舞弊者有機可乘。由此可見，為了有效防止考試舞弊行為，一方面要加強考試誠信教育，讓考生知道舞弊的危害，從主觀上杜絕舞弊行為；另一方面應該嚴肅考試紀律，建立完善的考場規章制度和防舞弊技術機制，使個別舞弊企圖不得施展。

近年來，國內學者在網絡考試防舞弊技術領域取得一些成果。胡世清等采用Silverlight技術，通過改變試卷呈現方式與答題方式實現防舞弊。李益騏討論了身份認證與防范入侵措施、ASP腳本安全隱患的解決方案和試題庫加密算法。李美滿使用數據加密、數字簽名技術解決題庫收發雙方相互認證和防止泄密問題。徐巧枝等介紹了基于監控和數字隱藏的防舞弊技術。付細楚等提出一種基于數據加密、數字簽名技術的考試成績多級安全保護模式。曾華軍等使用特殊的考試網關實現半封閉考試環境的安全機制。這些研究成果從不同視角和側重點研究考試防舞弊技術機制，為網絡考試系統的研制提供了寶貴經驗。然而，網絡考試中間環節很多，運作流程復雜，單一技術手段難以防范各種舞弊行為。只有建立綜合防舞弊技術機制，運用多種技術手段對考試各環節進行全局的、系統的監控與管理，才能收到良好的防范效果。

從哲學的角度看，時間、地點、人物和事件構成人類活動的四個要素。與之相對應，網絡考試的實施過程也具有四個要素，即時間、位置、人員和行為：時間指人員使用計算機訪問網絡考試系統的時間；位置指人員使用的計算機的位置，可以用IP地址描述；人員指網絡考試涉及的人，包括考務員、監考員、教師和考生；行為指人員對網絡考試系統實施的動作集合。對于具體的一次網絡考試來說，其實施過程各要素都有明確的取值范圍，其防舞弊的實質內容就是將實施過程各要素限制在允許的范圍之內。針對實施過程各要素設計綜合防舞弊技術機制，有助于人們跳出被動式、亡羊補牢式的慣性思維，準確把握網絡考試防舞弊的基本方向。

2　防舞弊的主要環節

正式、嚴肅的網絡考試包括考前管理、考時管理和考后管理三個主要環節，各環節的工作內容和防舞弊任務均不相同：①考前管理環節，其工作內容包括生成考場名單、安排監考教師和自動組卷等，其防舞弊任務是確保試題機密，考前試題外泄是對考試的最大干擾，必須采取措施堵住漏洞，使任何人都不可能獲悉試題；②考時管理環節，其工作內容包括考生在線考試和教師實時監考等，其防舞弊任務是防止考生的現場舞弊行為，例如攜帶電子資料入考場、請人代考、偷窺答案、傳遞試題答案、考試過后泄露試題等；③考后管理環節，其工作內容包括保存原始答卷、自動評分、成績查詢等，其防舞弊任務是防止原始答卷和考試成績被篡改。二　綜合防舞弊網絡考試系統的設計

網絡考試系統采用B/S和C/S混合的分布式系統結構(見圖1)，其中試題服務器用于存放題庫、考生試題、考生答卷、考試成績等信息。在考試前、后階段，考務員、教師和考生通過Web瀏覽器使用網絡考試系統。網絡考試以開設考場的形式，在全封閉的局域網環境中進行。每個考場配備1臺教師機(教師監考專用計算機)用于運行監考軟件，配備多臺考生機(考生考試專用計算機)用于運行考生端軟件。教師機從試題服務器下載試題后，考場與外部網絡的連接被斷開。考試結束后，考場與外部網絡被重新連接，由教師機向試題服務器上傳考生答卷。考試期間，考生機只能與教師機進行數據通信，考生無法從外部網絡得到任何信息。

2　網絡考試系統的綜合防舞弊技術機制

網絡考試系統的防舞弊問題本質上是一個網絡系統信息安全問題，許多防舞弊任務可以對應到ISO定義的安全服務。網絡系統信息安全標準IS07498-2定義了五類安全服務(見表1)，也稱為安全防護措施。

網絡考試系統并不需要提供所有的ISO安全服務，例如對大多數網絡考試而言，“抗抵賴服務”不是必需的。但網絡考試中還存在一些ISO安全服務不能涵蓋的特殊安全問題，例如防止現場舞弊行為、試題服務器上的試題保密等。

篇9

中圖分類號：TP309 文獻標識碼：A DOI：10.3969/j.issn.1003-6970.2013.07.038

本文著錄格式：[1]馬萌，王全成，康乃林.Internet密鑰IKE協議安全性分析[J].軟件，2013，34（7）：112-114

0 引言

在開放性的網絡體系中，進行秘密、敏感信息傳遞時，首先要求通信雙方擁有共享密鑰，才能夠按照安全性需求對數據進行機密性、完整性和身份認證保護。為了應對Internet密鑰交換協議面臨的復雜多樣的網絡威脅和攻擊手段，本文詳細分析了IKE協議的基本思想和主要存在的四個方面的安全缺陷，為采取更加有效的信息安全技術和方法，堵塞可能的安全漏洞和隱患提供幫助，從而滿足日益增長的網絡安全應用要求。

1 IKE協議的基本思想

IKE協議吸取ISAKMP協議、OAKLEY協議和SKEME協議各自的特點組合而成[1]，同時還重新定義了兩種密鑰交換方式[1]。

一次典型的IKE密鑰協商交換可描述如下（第一階段采用主模式和公鑰簽名身份驗證）：

（1）SA載荷交換，協商認證算法、加密算法等，交換Cookies對；（2）KE載荷，Nonce載荷交換，提供計算共享密鑰的有關參數信息。（3）通信雙方分別計算共享密鑰參數。（4）通信雙方進行身份驗證，構建IKE SA；（5）進行IPSec SA載荷和選擇符信息交換，協商IPSec SA的驗證算法、加密算法，計算IPSec SA密鑰參數，構建IPSec SA。

由上可知，IKE 協議在兩個通信實體間之間實現密鑰協商的過程實際上分為2個階段。第一階段構建IKE SA，第二階段構建IPSec SA。

在第一階段，使用主模式或者積極模式，建立IKE SA，為通信實體之間建成安全的通信信道，為第二階段的密鑰協商提供安全保護服務。

第二階段，使用快速模式，依托第一階段創建的IKE SA通信信道，構建IPSec SA，為通信雙方之間的數據傳輸提供機密性、完整性和可靠。

兩個階段的IKE協商相對增加了系統的初始開銷，但是由于第一階段協商建立的SA可以為第二階段建立多個SA提供保護，從而簡化了第二階段的協商過程，結合第二階段SA協商總體數量較多的實際，仍然是節約了系統的資源。

在第一階段，當需要對協商雙方提供身份保護時使用主模式相對安全一些，而積極模式實現起來簡單一些，卻無法提供身份保護服務；第二階段使用的快速模式，在一個IKE SA的保護下可以同時進行多個協商；新組模式允許通信雙方根據安全性要求協商私有Oakley組，但新組模式既不屬于第一階段也不屬于第二階段，且必須在第一階段完成后方可進行。

2 IKE協議的交互流程

第一階段主模式或積極模式中，都支持數字簽名、預共享密鑰和公鑰加密等身份認證方法。不同的身份認證方式，身份認證的原理不同，傳遞的密鑰協商交換消息也有所不同。其中，數字簽名認證是利用公鑰加解密原理，由通信雙方生成數字簽名信息，再由另一方對數字簽名信息進行解密、比較，實現對通信雙方的身份認證；預共享密鑰認證是利用對稱密鑰加解密原理，由通信雙方利用私鑰對認證內容計算hash值，再將hash值發送給對方進行解密、比較，完成身份認證；公鑰加密認證仍然是利用了公鑰加解密原理，與數字簽名認證不同的是，由通信雙方利用對方的公鑰分別加密身份識別負載和當前時間負載的數據部分，然后根據對方返回的結果以確定對方的身份。公鑰加密認證方式有兩種，區別在于加解密的次數不同。

下面，我們以數字簽名為例，說明2個階段的具體協商流程。

2.1第一階段密鑰生成

3 IKE 協議的安全缺陷

目前針對IKE協議的安全性分析結果非常多，已發現的安全問題和隱患也非常多，歸納起來主要有以下幾類。

3.1 拒絕服務（DoS）攻擊

拒絕服務（DoS）攻擊是一種針對某些服務可用性的攻擊，是一種通過耗盡CPU、內存、帶寬以及磁盤空間等系統資源，來阻止或削弱對網絡、系統或應用程序的授權使用的行為[2]。更加形象直觀的解釋，是指攻擊者產生大量的請求數據包發往目標主機，迫使目標主機陷入對這些請求數據包的無效處理之中，從而消耗目標主機的內存、計算資源和網絡帶寬等有限資源，使目標主機正常響應速度降低或者徹底處于癱瘓狀態。DoS攻擊是目前黑客常用的攻擊方式之一。在Internet密鑰交換協議中，由于響應方要占用CPU和內存等進行大量的密集的模冪等復雜運算，而其存儲和計算能力是有限的，鑒于這一瓶頸問題的制約，極易遭到DoS攻擊。

雖然Internet密鑰交換協議采用了Cookie機制，可在一定程度上防止DoS攻擊，但Cookie數據的隨機性又極大的制約了其作用的發揮[3]。同時，更有分析認為Internet密鑰交換協議的Cookie機制會導致更加嚴重的DoS攻擊。因為協議規定Internet密鑰交換的響應方必須對已經驗證過的合法Cookie建立SA請求予以響應，攻擊者可以利用這一規定，直接復制以前的ISAKMP消息，不更改其Cookie數值并發送給響應方，而響應者需要大量CPU時間的運算后才能判別出發起者是非法的，從而無法從根本上防止DoS攻擊。

3.2 中間人攻擊

中間人攻擊是指通信實體在通信時，第三方攻擊者非法介入其中并與通信雙方建立會話密鑰，作為真實的通信實體間消息通信的中轉站，從而共享通信實體雙方的秘密信息。中間人攻擊的方法主要是對消息進行篡改、竊聽，重定向消息以及重放舊消息等[4]，是一種攻擊性很強的攻擊方式，屬于主動攻擊方式的一種[5]。

圖3.1詳細描述了中間人攻擊[6]，當Initiator與Responder進行D-H算法密鑰交換時，Initiator計算并發送公鑰X，Attacker竊取X，并假冒Responder發送公鑰Z給Initiator，從而完成一次D-H密鑰交換，雙方之間共享了一個密鑰。同理，Attacker和Responder之間也可以共享一個密鑰。這樣，當真正的通信雙方進行信息交換時，所有數據都經由Attacker中轉，而不會被發覺。

IKE協議的身份驗證機制可以有效防止中間人攻擊，但仍有一些缺陷。

3.3 身份隱藏保護缺陷

IKE協議第一階段有兩種模式、四種認證方式，其中一個主要目的就是要能夠提供發起方和響應方的身份隱藏保護功能，但是在積極模式下的數字簽名認證和預共享密鑰認證，以及主模式下的數字簽名認證都無法提供身份隱藏保護。例如，在第一階段主模式協商的數字簽名認證方式中，一個主動攻擊者就可以偽裝響應方的地址并與發起方協商D-H公開值，從而獲得發起方的身份信息[7]。

一般來說，在無法同時保護通信雙方身份的情況下，要優先考慮隱藏發起方的身份。因為絕大多數的響應方在IKE交換中都是作為服務的一方，而服務器的身份信息一般是公共的，所以可以認為保護發起方的身份要比保護響應方的身份要更為重要[8]。

3.4 其它安全缺陷

除了以上的安全缺陷外，IKE機制還存在一些其它的問題，如難以抗重放攻擊、新組模式定義多余等。

重放攻擊是指攻擊者采取網絡數據包提取等技術手段，對發起方和接收方之間的通信數據進行竊聽或者截取，獲得通信雙方之間的任意消息，然后將該消息重新發送給接收方，從而消耗網絡資源，甚至癱瘓通信網絡。在整個Internet密鑰交換過程當中，通信雙方都需要保存部分交換信息用來記錄數據交換情況，同時，當Cookies對建立以后，數據狀態信息可以用來表示數據交換狀態。此時，第三方攻擊者利用網上截獲的正常數據包進行重新發送，或者攻擊者截獲Cookies對后偽造假消息，由于該Cookies對是真實的，通信實體雙方仍然會對偽造的假消息進行處理，甚至再次解密消息，或者由于無法正常解密，從而發現消息不真實。這樣會使系統被迫處理大量無效的操作，降低處理效率，浪費大量系統計算和存儲資源。

4 結論

本文詳細分析了IKE協議的基本思想和主要存在的四個方面的安全缺陷，認為必須深入分析Internet密鑰交換協議面臨的復雜多樣的網絡威脅和攻擊手段，采取更加有效的信息安全技術和方法，不斷改進Internet密鑰交換協議，堵塞可能的安全漏洞和隱患，從而滿足日益增長的網絡安全應用要求。

參考文獻

[1] D.Harkins，D. Carrel.Internet key exchange. RFC 2409，Nov 1998.

[2] William Stallings，Lawrie Brown.計算機安全原理與實踐.北京：機械工業出版社，2008：166～180.

[3] 黃永鋒.IKE協議改進及其實現框架[碩士論文].鎮江：江蘇大學.2005.

[4]張紅旗.信息網絡安全.北京：清華大學出版社，2002：106～107.

[5]William Stallings著.網絡安全要素——應用與標準.北京：人民郵電出版社，2000.

篇10

中圖分類號：D63 文獻標識碼：A

1CA認證概述

隨著Internet的發展，電子商務的興起，經常需要在開放網絡環境中不明身份的實體之間通信，安全問題也因此日益突出。為確保網上電子商務交易的順利進行，必須在通信網絡中建立并維持一種可信任的安全環境和機制。一個完整的電子商務系統主要包括商家、支付系統和認證機構，而認證機構是整個電子商務系統的關鍵。認證機構主要通過發放數字證書來識別網上參與交易各方的身份，并通過加密證書對傳輸的數據進行加密，從而保證信息的安全性、完整性和交易的不可抵賴性。

為了解決在Internet上開展電子商務的安全問題，切實保障網上交易和支付的安全，世界各國在經過多年研究后，初步形成了一套完整的解決方案，其中最重要的內容就是建立一套完整的電子商務安全認證體系。電子商務安全認證體系的核心機構就是認證中心（CA）。認證中心作為一個權威、公正、可信的第三方機構，它的建設是電子商務最重要的基礎設施之一，也是電子商務大規模發展的根本保證。

所謂CA（Certificate Authority）認證中心，它是采用PKI（Public key Infrastructure）公開密鑰基礎架構技術，專門提供網絡身份認證服務，負責簽發和管理數字證書，且具有權威性和公正性的第三方信任機構，它的作用就像我們現實生活中頒發證件的公司，如護照辦理機構。目前國內的CA認證中心主要分為區域性CA認證中心和行業性CA認證中心兩大類。

一個典型的CA系統包括安全服務器、注冊機構RA、CA服務器、LDAP目錄服務器和數據庫服務器等。

2CA認證技術在電子政務上的應用

網絡認證技術是網絡安全技術的重要組成部分之一。其基本思想是通過驗證被認證對象的屬性來達到確認被認證對象是否真實有效的目的，被認證對象的屬性可以是口令、數字簽名或者像指紋、聲音、視網膜這樣的生理特征。以下介紹CA認證系統的有關技術及其典型應用。

2.1公鑰基礎設施PKI

公鑰基礎設施PKI（Public Key Infrastructure）又叫公鑰體系，是一種利用公鑰加密技術為電子商務的開展提供一套安全基礎平臺的技術和規范，從廣義上講，所有提供公鑰加密和數字簽名服務的系統，都可以叫做PKI系統。PKI的主要目的是通過自動管理密鑰和數字證書，來為用戶建立起一個安全的網絡運行環境，使用戶可以在多種應用環境下方便地使用加密和數字簽名技術，從而保證網上數據的機密性、完整性、有效性。PKI由公開密鑰加密技術、數字證書、認證機構CA及相關的安全策略等基本成分共同組成。一個典型、完整、有效的PKI應用系統至少應包含如下幾個部分：（1）CA認證機構，（2）X.500目錄服務器，（3）具有高強度密碼算法（如SSL）的安全www服務器，（4）Web安全通信平臺，（5）自行開發的安全應用系統，綜上所述，在PKI中最重要的核心部分就是認證機構CA。

CA身份認證系統基于PKI理論體系構建，由認證服務器、管理服務器、客戶端安全認證組件和SecurSecureKey（USB智能卡）組成，支持B/S結構和C/S結構的應用系統。系統中每一個用戶發一個SecurSecureKey，其中存儲有代表用戶身份的數字證書和私鑰文件，用戶在登錄系統時，插上SecurSecureKey，通過安全加密通訊信道與遠程身份認證服務器通訊，由認證服務器完成對用戶身份的認證，并得到當前用戶的身份以及系統的授權信息。

（1）用戶在計算機USB接口上插入包含自己證書和私鑰的SecurSecureKey，訪問系統登錄頁面。

（2）服務器接受登錄請求，并產生一個臨時隨機數，發送到客戶端。

（3）用戶輸入SecurSecureKey訪問口令，點擊“登錄”按鈕。

（4）客戶端對服務器發來的隨機數以及用戶的身份信息利用SecurSecureKey硬件進行加密，并對加密結果做數字簽名，將結果發送到服務器。

（5）應用服務器接收到客戶端發來的數據后，執行驗證過程。

（6）應用服務器根據認證服務器的返回結果決定登錄是否成功。

2.2系統功能特點

（1）安全有效的身份認證

（2）易于操作和使用

（3）自動檢測并加密指定關鍵信息

2.3 CA認證技術在電子政務中應用

在某區電子政務的一站式訪問系統中，網上申請駕照、網上申請準生證等模塊，都用到了基于CA認證技術實現身份認證的技術。

（1）基于CA認證技術實現身份認證的前提條件

首先要有認證中心CA實施的支持，即交易各方能夠申請到自己的數字證書，能夠從認證中心獲得證書庫信息和證書撤銷列表，并對其進行有效性和完整性驗證，交易各方面都能夠支持系統所需的加密算法，摘要算法等。

（2）建立通信模型

在傳輸文件前，首先進行身份認證和密鑰協商、身份認證，一是驗證對方的證書是否有效，即證書是否過期，是否已被撤銷等；二是要評估當前用戶，在文件傳輸中的訪問權限。

（3）加載數字證書身份認證模塊的程序設計

對于安全認證系統來說，在程序設計中加載數字證書，來實現其通信各方面的身份認證和發送者行為的時候無法否認性，在如下方案中采用了安全套接層（SSL）傳輸方式。

加載數字證書的身份認證模塊：

①創建會話連接使用的協議。

②申請SSL會話的環境CTX。

③SSL使用TCP協議，需要把SSL attach捆綁到已經連接的套接層上。

④SSL握手協議。

⑤握手成功后，得到對方的數字證書，與從認證中心CA獲得的數字證書比較。兩個證書如果不同，斷開連接請求，結束會話；如果相同，對方的身份得到確認。

⑥通訊結束后，需要釋放前面申請的SSL資源。

（4）系統安全認證分析（單向認證）

①通信身份的認證

通信過程開始時，服務器向瀏覽器發送自己的數字證書，瀏覽器從認證中心CA獲取數字證書，瀏覽器使用認證中心CA系統的公開密鑰解開服務器的數字證書，從而得到服務器的身份和公開密鑰，二者進行比較后，確認服務器是否為真，完成身份認證。

②不可否認性

通信過程中，信息的摘要要是使用發送方自己的私有密鑰進行簽字的，除發送者自己以外，其他人無法知道簽名者的私有密鑰，所以確定了發送的行為無法再事后否認。