视频的信息安全的系统方案的设计

城市视频监控联网系统信息安全设计方案

二〇一五年十一月

目录

1 项目背景 (1)

2 信息安全相关知识 (1)

2.1信息安全服务与机制 (2)

2.1.1 安全服务 (2)

2.1.2 安全机制 (3)

2.2安全体系架构 (3)

2.2.1 网络安全基本模型 (3)

2.2.2 信息安全框架 (3)

2.3信息安全起因 (4)

2.3.1 技术缺陷 (4)

2.3.2 管理缺陷 (5)

2.4网络攻击方式 (5)

2.4.1 口令攻击 (5)

2.4.2 软件攻击 (6)

2.4.3 窃听攻击 (7)

2.4.4 欺诈攻击 (7)

2.4.5 病毒攻击 (8)

2.4.6 拒绝服务攻击 (8)

2.5信息安全后果 (9)

2.6信息安全技术 (9)

2.6.1 PKI体系 (9)

2.6.2 用户身份认证 (12)

2.6.3 认证机制 (13)

2.6.4 认证协议 (15)

3 联网视频信息的特点 (17)

3.1系统多级架构 (17)

3.2网络状况复杂 (17)

3.3视频数据量大 (17)

4 视频系统信息安全分类 (17)

4.1信令加密 (18)

4.2媒体流加密 (18)

5 安全系统的实现 (18)

5.1认证中心 (18)

5.2视频安全平台 (18)

5.3系统评价 (18)

6 系统建成预期效果 (19)

7 安全技术展望 (19)

1 项目背景

互联网、大数据时代虽然带来了安防行业新的机遇与信息面貌，但是伴随信息聚集性越来越高，云安全问题也带来了新的挑战。对不法分子来说，只要击破云服务器，意味着可以获得更多的资源，例如iCloud泄露门，12306信息泄露，携程信息泄露等。海康威视“安全门”事件，对正在大力发展信息经济与互联网经济的中国，提出了信息安全的极大思考。信息安全任重而道远，千里之堤，毁于蚁穴。所以在信息安全上，应仔细排查安全隐患，防患于未然。

公开数据显示，有74.1%的网民在过去半年内遇到网络信息安全事件。有专家估计，中国每年因网络信息安全问题造成的经济损失高达数百亿美元。

在今年的全国两会上，中国移动广东公司总经理钟天华代表建议，加快制定网络信息安全法，从监管主体、设施安全、运行安全、信息安全、法律责任等方面规范网络信息安全。

各省城市视频监控联网系统共享平台已基本建设完成，标准基于国标GB/T 28181，但对于视频信息安全的要求没有严格要求。在国家对网络和信息安全高度重视的当下，扮演政府、企业、社区“守门人”角色的安防行业，实现自主可控异常重要。需要一套完整解决方案。

2 信息安全相关知识

网络信息安全是一个关系国家安全和主权、社会稳定、民族文化继承和发扬的重要问题。其重要性，正随着全球信息化步伐的加快越来越重要。网络信息安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。它主要是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。

2.1 信息安全服务与机制

2.1.1 安全服务

信息安全服务产生的基础是整个网络系统需要规避安全风险、控制安全成本以及保障业务持续性。从实践环节看，信息安全服务是由参与通信的开放系统的某一层(OSI)所提供的服务，它确保了该系统或数据传输具有足够的安全性。结合信息安全的基本要素，明确五大类安全服务，即鉴别、访问控制、数据完整、数据保密、抗抵赖。

2.1.1.1鉴别服务（authentication）

主要用来鉴别参与通信的对等实体和数据源，确认其合法性、真实性。

2.1.1.2访问控制服务（access control）

用于防止未授权用户非法使用资源。包括用户身份认证，用户权限确认。

2.1.1.3数据完整性服务（integrity）

用于对付主动威胁，阻止非法实体对通信双方交换数据的改动和删除。

2.1.1.4数据保密性服务（confidentiality）

防止系统内交换数据被截获或非法存取而造成泄密，提供加密保护。

2.1.1.5抗抵赖性服务（no-repudiation）

防止发送方发送数据后否认自己发送过此数据，接收方接收后否认收到过此

数据或伪造接收数据。

2.1.2 安全机制

2.2 安全体系架构

2.2.1 网络安全基本模型

网络安全基本模型包括通信主体双方、攻击者和可信第三方，通信双方在网络上传输信息，需要先在发收之间建立一条逻辑通道。这就要先确定从发送端到接收端的路由，再选择该路由上使用的通信协议，如TCP/IP。

为了在开放式的网络环境中安全地传输信息，需要对信息提供安全机制和安全服务。信息的安全传输包括两个基本部分：一是对发送的信息进行安全转换，如信息加密以便达到信息的保密性，附加一些特征码以便进行发送者身份验证等；二是发送双方共享的某些秘密信息，如加密密钥，除了对可信任的第三方外，对其他用户是保密的。

为了使信息安全传输，通常需要一个可信任的第三方，其作用是负责向通信双方分发秘密信息，以及在双方发生争议时进行仲裁。

一个安全的网络通信必须考虑以下内容：

◆实现与安全相关的信息转换的规则或算法

◆用于信息转换算法的密码信息（如密钥）

◆秘密信息的分发和共享

◆使用信息转换算法和秘密信息获取安全服务所需的协议

2.2.2 信息安全框架

2.2.2.1物理安全

进入办公室需经人脸识别门禁系统确认后才能打开办公室门，出办公室门需

按出门按钮。

2.2.2.2通信和网络安全

能完成对出入办公室人员的授权管理，能对进出办公室人员的历史出入记录

进行查询及输出。

2.2.2.3运行安全

2.2.2.4信息安全

2.3 信息安全起因

首先，视频监控网络安全问题是现实存在的，在互联网传输中不加密问题更甚。即便是美国国防部内部网络都曾被黑客入侵，何况是民用监控。

其次，视频监控网络安全问题是普遍存在的，并非只海康威视一家。此前便有报道，只要在Google中搜索简单的关键字，就可以无阻碍地连入全球超过1000个没有保护措施的监控摄像头。用户对网络安全重视程度不够，缺乏安全意识，在安装完监控产品之后，没有对密码进行修改，实际上只要用户按照产品说明书的说明修改了初始默认密码，就能很大程度上避免网络安全隐患。

第三，在视频传输中，利用公安专用通信网保密性最佳，其次为视频图像专网，再次为虚拟专用网（VPN，VirtualPrivateNetwork），未加密的公网传输，包括移动互联网传输保密性是很差的。目前平安城市视频监控系统承载网络主要是公安专用通信网和视频虚拟专网两种。现有系统的承载网络情况复杂，平台部署在不同的承载网络上。虚拟专用网通常是在公用网络上建立的专用网络，是为特别用户设置的加密通讯网络，而平安城市视频监控系统汇接的社会图像资源是通过多种方式接入到各级共享平台，虽然在接入时会采取一些安全接入措施，但仍很难避免被非法侵入。未加密的公网传输毫无保密性可言。

除了接入网络的设备会受到网络安全隐患威胁外这一无法回避的因素外，安防企业多是习惯于用局域网或者专网视角来看待问题。

2.3.1 技术缺陷

互联网使用的通讯协议是TCP／IP．TCP／IP在最初的设计时．主要考虑的是如何实现网络连接．并没有充分考虑到网络的安全问题．而TCP／IP协议是完全公开的，这就导致入侵者可以利用TCP／IP协议的漏洞对网络进行攻击。另外计算机使用的操作系统．比如说目前仍普遍使用的微软windows操作系统在设计上也存在安全漏洞，

用户经常需要更新．下载它的安全补丁．以修补它的安全漏洞。其他的技术缺陷还包括应用程序的编写对安全性考虑不足．网络通讯设备包括路由器、交换机存在安全的缺陷等等．这些技术上的缺陷都容易被入侵者利用．从而构成安全威胁。

2.3.2 管理缺陷

由于网络使用单位的负责人、网络管理员思想上不重视或者疏忽．没有正视黑客入侵所造成的严重后果．没有投入必要的人力、物力和财力来加强网络的安全性，没有采取有效的安全策略和安全机制．缺乏先进的网络安全技术、工具、手段和产品等等，这也导致了网络的安全防范能力差。主要有以下几个方面：

●内部管理漏洞。缺乏健全的额管理制度或制度执行不力，给内部人员违规或犯

罪留下机会。与外部威胁相比，来自内部的攻击和犯罪更难防范，而且是网

络安全的主要来源，据统计，大约80%的安全威胁来自系统内部。

●动态环境变化。单位变化，人员流动，原有内部人员对网络的破坏。

●社会问题、道德问题和立法问题。

2.4 网络攻击方式

互联网技术在飞速发展的同时．黑客技术也在飞速发展，网络世界的安全性不断地在受到挑战。对于黑客来说．要进入普通人的电脑非常容易。只果你要上网．就免不了遇到病毒和黑客。下面列举一些黑客常用攻击手段：

2.4.1 口令攻击

口令攻击就是通过窃取口令的方式进行破坏的活动，口令攻击是比较常用的一种攻击方式。在现实生活中．由于用户名和密码被盗造成损失的例子有很多，一旦用户名和密码被盗．入侵者还可以冒用此用户的名义对系统进行进一步的破坏和攻击．从而给用户本身或者整个系统造成非常大的损失。

就目前的黑客技术来说．用户名和密码的盗取对黑客不再是有难度的事情，黑客盗取口令的方法有很多。比如说，有的黑客通过FTP、TFTP和Telnet等工具．可以搜集用户账户资料、获得口令文件，然后对1：3令文件进行解密来获得口令。或者如果用户的口令设置缺乏安全性．可能被轻易地被“字典攻击”猜到用户的El令。

“字典攻击”就是通过编写一个应用程序．根据一定的规律．由应用程序自动反复地去尝试口令．强行破解用户口令。”字典攻击”要求黑客要有足够的耐心和时间．但对那些口令安全系数极低的用户，只要短短的几分钟．甚至数十秒就可以被破解。

2014年11月，知名专业安全网站SecurityStreetRapid公布了3个RTSP安全漏洞，编号分别为：CVE-2014-4878、CVE-2014-4879及CVE-2014-4880。这三个漏洞均为监控设备对RTSP请求处理不当导致的缓冲区溢出漏洞。通过该漏洞，攻击者只要知道设备的IP地址，即可采用电脑对设备进行拒绝服务攻击，从而导致设备瘫痪或被攻击者接管。

弱口令。弱口令是指容易被攻击者猜测到或被破解工具破解的口令。此次媒体报道中提及的弱口令问题主要是由于未修改设备初始密码或设备密码过于简单导致的安全问题。弱口令问题普遍存在，主要的解决方式是建立严格、规范化的口令管理流程和管理机制。

2.4.2 软件攻击

软件攻击有时又叫漏洞攻击．许多系统包括计算机系统、网络系统都有这样那样的安全漏洞(Bug)和后门(backdoor)。特别是计算机系统．在安装好操作系统后．出现漏洞和缺陷的可能性是最大的，这些漏洞需要厂商发布补丁(patch)程序来进行修补。各个硬件厂商和软件厂商，包括微软在内．都在不断地发布自己的补丁．这要求用户及时的去下载这些补丁．进行系统更新操作。如果系统管理人员没有对网络和操作系统的漏洞及时打补丁．入侵者就可以很容易利用这些公开的漏洞，侵入系统．从而对整个网络带来灾难性的后果。

软件攻击除了利用系统的漏洞外．还可以利用一些后门程序。后门，就是秘密入口。比如说．在程序开发阶段，程序员可能会设置一些后门．以便于测试、修改和增强模块功能。正常情况下，程序开放完成后需要去掉各个模块的后门，不过有时由于疏忽或者其他原因，比如说如保留后门便于日后访问、测试或维护．后门没有去掉，一些别有用心的人就会利用专门的扫描工具发现并利用这些后门，然后进入系统并发动攻击。

国内的安防产品的漏洞问题由来已久，主要原因在于社会和国家对信息化依赖越来越高。境外恶意攻击者一般会对网络进行扫描，发现系统存在弱口令问题后会利用其中未修复的安全漏洞进行攻击，然后植入后门软件进行长期控制。所有暴露在互联网环境下的设备都会面临黑客攻击的风险，很多用户缺乏安全意识，在安全上考虑不足也导致容易出现安全漏洞。

2.4.3 窃听攻击

网络窃听是最直接的获取数据的手段．如果在共享的网络通道上，用没有加密的明文传输敏感数据．这些信息很可能被窃听和监视。窃听者可以采用如sniffef等网络协议分析工具，非常容易地在信息传输过程中获取所有信息的内容，这些信息包括账号．密码等重要信息。一旦入侵者监听到用户传输的口令．就可以利用口令入侵到系统中。比如说．政府部门内部的普通工作人员．如果通过内部网络窃听手段。获取了领导的账号和密码，从而可以利用这些密码．查阅只能由领导查阅的秘密文件等。这类方法有一定的局限性，但危害性较大．监听者往往能够获得其所在网段的所有用户账号和口令．对内部网络安全威胁巨大，因为内网数据往往是密级非常高的．如果被非法窃听而导致信息泄露，将对国家造成非常大的损失。

2.4.4 欺诈攻击

欺诈攻击是利用假冒方式骗取连接和信息资源、损害企业的声誉和利益的方式。比如说．黑客在被攻击主机上启动一个可执行程序．该程序显示一个伪造的登录界面。当用户在这个伪装的界面上键入登录信息后．黑客程序会将用户输入的信息传送到攻击者主机．然后关闭界面给出提示错误．要求用户重新登录。此后．才会出现真正的登录界面．这就是欺诈攻击的一种方式。再比如说，黑客可以制作自己的网页．一旦用户点击了假冒链接地址．进入到这个网页后，如果用户此时输入银行账号、密码、验证码后，该假冒网页会提示验证码错误．随后再转向正常的网页．这样．黑客就巧妙地从中获取了用户的机密信息。

2.4.5 病毒攻击

计算机病毒实际上是一段可执行程序，为什么称之为病毒，主要是因为它和现实世界的病毒一样具有传染性．潜伏性和破坏性。在越来越依赖网络的今天．由于病毒导致的系统破坏将带来巨大的损失。

计算机病毒对计算机的影响是灾难性的。从20世纪80年代起．计算机使用者就开始和计算机病毒斗争，特别是随着近年互联网的发展．网络应用的普及、人们对计算机的依赖程度的不断提高．这一切为病毒的传播提供了方便的渠道，同时也使计算机病毒的种类迅速增加．扩散速度大大加快．受感染的范围越来越广，病毒的破坏性也越来越严重。以前病毒的传播方式主要是单机之问通过软盘介质传染．而现在病毒可以更迅速地通过网络共享文件、电子邮件及互联网在全世界范围内传播

2.4.6 拒绝服务攻击

DOS(denial-of-service)攻击，简称DoS攻击．是通过向攻击目标施加超强力的服务要求．要求被攻击目标提供超出它能力范圉的服务，从而引起的攻击目标对正常服务的拒绝或服务性能大大降低。简单的说拒绝服务攻击就是想办法将被攻击的计算机资源或网络带宽资源耗尽．导致网络或系统不胜负荷以至于瘫痪．而停止提供正常的服务。

DoS攻击由于可以通过使用一些公开的软件和工具进行攻击，因而它的发动较为简单．”拒绝服务”的攻击方式是：用户发送许多要求确认的信息到服务器．使服务器里充斥着这种大量要求回复的无用信息．所有的信息都有需回复的虚假地址．而当服务器试图回传时．却无法找到用户。服务器于是暂时等候，然后再切断连接。服务器切断连接时．黑客再度传送新一批需要确认的信息，这个过程周而复始．最终导致服务器资源耗尽而瘫痪。

2.5 信息安全后果

在现代网络信息社会环境下．由于存在各种各样的安全威胁，比如病毒、误操作、设备故障和黑客攻击等，从而可能会造成重要数据文件的丢失。安全问题具体的后果包括：

●企业的资料被有意篡改，网站的页面被丑化或者修改。比如说，在被攻击的网

站首页上贴上谣言、黄色图片或反动言论．从而造成法律上和政治上的严重后果。

●破坏计算机的硬件系统，比如说磁盘系统．从而造成文件永久丢失。

●使得商业机密或技术成果泄露或者被散播。

●安全问题还可能使得服务被迫停止，并给客户层带来服务质量低劣的印象，使

得企业形象被破坏，从而造成恶劣影响和难以挽回的损失。

2.6 信息安全技术

2.6.1 PKI体系

公钥密码体制分为三个部分，公钥、私钥、加密解密算法，它的加密解密过程如下：

?加密：通过加密算法和公钥对内容(或者说明文)进行加密，得到密文。加密过程需要用到公钥。

?解密：通过解密算法和私钥对密文进行解密，得到明文。解密过程需要用到解密算法和私钥。注意，由公钥加密的内容，只能由私钥进行解密，也就是说，由公钥加密的内容，如果不知道私钥，是无法解密的。

公钥密码体制的公钥和算法都是公开的(这是为什么叫公钥密码体制的原因)，私钥是保密的。大家都以使用公钥进行加密，但是只有私钥的持有者才能解密。在实际

的使用中，有需要的人会生成一对公钥和私钥，把公钥发布出去给别人使用，自己保留私钥。

2.6.1.1证书认证机构（CA）

认证授权机构（CA, Certificate Authority），也称为电子认证中心，是负责发放和管理数字证书的权威机构，并作为网络活动中受信任的第三方，承担公钥体系中公钥的合法性检验的责任。

CA中心为每个使用公开密钥的用户发放一个数字证书，数字证书的作用是证明证书中列出的用户合法拥有证书中列出的公开密钥。CA机构的数字签名使得攻击者不能伪造和篡改证书。在SET交易中，CA不仅对持卡人、商户发放证书，还要对获款的银行、网关发放证书。

CA是证书的签发机构,它是PKI的核心。CA是负责签发证书、认证证书、管理已颁发证书的机关。它要制定政策和具体步骤来验证、识别用户身份，并对用户证书进行签名，以确保证书持有者的身份和公钥的拥有权。

CA 也拥有一个证书（内含公钥）和私钥。网上的公众用户通过验证 CA 的签字从而信任 CA ，任何人都可以得到 CA 的证书（含公钥），用以验证它所签发的证书。

如果用户想得到一份属于自己的证书，他应先向 CA 提出申请。在 CA 判明申请者的身份后，便为他分配一个公钥，并且 CA 将该公钥与申请者的身份信息绑在一起，并为之签字后，便形成证书发给申请者。

如果一个用户想鉴别另一个证书的真伪，他就用 CA 的公钥对那个证书上的签字进行验证，一旦验证通过，该证书就被认为是有效的。

为保证用户之间在网上传递信息的安全性、真实性、可靠性、完整性和不可抵赖性，不仅需要对用户的身份真实性进行验证，也需要有一个具有权威性、公正性、唯一性的机构，负责向电子商务的各个主体颁发并管理符合国内、国际安全电子交易协议标准的电子商务安全证，并负责管理所有参与网上交易的个体所需的数字证书，因此是安全电子交易的核心环节

2.6.1.2数字证书

证书实际是由证书签证机关（CA）签发的对用户的公钥的认证。

证书的内容包括：电子签证机关的信息、公钥用户信息、公钥、权威机构的签字和有效期等等。证书的格式和验证方法普遍遵循X.509 国际标准。

信息发送者用其私匙对从所传报文中提取出的特征数据（或称数字指纹）进行RSA算法操作，以保证发信人无法抵赖曾发过该信息（即不可抵赖性），同时也确保信息报文在传递过程中未被篡改（即完整性）。当信息接收者收到报文后，就可以用发送者的公钥对数字签名进行验证。

数字证书为实现双方安全通信提供了电子认证。在因特网、公司内部网或外部网中，使用数字证书实现身份识别和电子信息加密。数字证书中含有公钥对所有者的识别信息，通过验证识别信息的真伪实现对证书持有者身份的认证。

1. 使用数字证书能做什么?

数字证书在用户公钥后附加了用户信息及CA的签名。公钥是密钥对的一部分，另一部分是私钥。公钥公之于众，谁都可以使用。私钥只有自己知道。由公钥加密的信息只能由与之相对应的私钥解密。为确保只有某个人才能阅读自己的信件，发送者要用收件人的公钥加密信件；收件人便可用自己的私钥解密信件。同样，为证实发件人的身份，发送者要用自己的私钥对信件进行签名；收件人可使用发送者的公钥对签名进行验证，以确认发送者的身份。

在线交易中您可使用数字证书验证对方身份。用数字证书加密信息，可以确保只有接收者才能解密、阅读原文，信息在传递过程中的保密性和完整性。有了数字证书网上安全才得以实现，电子邮件、在线交易和信用卡购物的安全才能得到保证。

2.数字证书的类型

个人数字证书，主要用于标识数字证书自然人所有人的身份，包含了个人的身份信息及其公钥，如用户姓名、证件号码、身份类型等，可用于个人在网上进行合同签定、定单、录入审核、操作权限、支付信息等活动。

机构数字证书，主要用于标识数字证书机构所有人的身份，包含机构的相关信息及其公钥，如：企业名称、组织机构代码等，可用于机构在电子商务、电子政务应用中进行合同签定、网上支付、行政审批、网上办公等各类活动。

设备数字证书，用于在网络应用中标识网络设备的身份，主要包含了设备的相关信息及其公钥，如：域名、网址等，可用于VPN服务器、WEB服务器等各种网络设备在网络通讯中标识和验证设备身份。

此外，还有代码签名数字证书，是签发给软件提供者的数字证书，包含了软件提供者的身份信息及其公钥，主要用于证明软件发布者所发行的软件代码来源于一个真实软件发布者，可以有效防止软件代码被篡改。

2.6.2 用户身份认证

所谓身份认证，就是判断一个用户是否为合法用户的处理过程。最常用的简单身份认证方式是系统通过核对用户输入的用户名和口令，看其是否与系统中存储的该用户的用户名和口令一致，来判断用户身份是否正确。复杂一些的身份认证方式采用一些较复杂的加密算法与协议，需要用户出示更多的信息(如私钥)来证明自己的身份，如Kerberos身份认证系统。

身份认证一般与授权控制是相互联系的，授权控制是指一旦用户的身份通过认证以后，确定哪些资源该用户可以访问、可以进行何种方式的访问操作等问题。在一个数字化的工作体系中，应该有一个统一的身份认证系统供各应用系统使用，但授权控制可以由各应用系统自己管理。

统一用户管理系统(IDS),实现网上应用系统的用户、角色和组织机构统一化管理，实现各种应用系统间跨域的单点登录和单点退出和统一的身份认证功能，用户登录到一个系统后，再转入到其他应用系统时不需要再次登录，简化了用户的操作，也保证了同一用户在不同的应用系统中身份的一致性。

身份认证可分为用户与系统间的认证和系统与系统之间的认证。身份认证必须做到准确无误地将对方辨认出来，同时还应该提供双向的认证。目前使用比较多的是用

户与系统间的身份认证，它只需单向进行，只由系统对用户进行身份验证。随着计算机网络化的发展，大量的组织机构涌入国际互联网，以及电子商务与电子政务的大量兴起，系统与系统之间的身份认证也变得越来越重要。

身份认证的基本方式可以基于下述一个或几个因素的组合：

所知（Knowledge）：即用户所知道的或所掌握的知识，如口令；

所有（Possesses）：用户所拥有的某个秘密信息，如智能卡中存储的用户个人化参数，访问系统资源时必须要有智能卡；

特征（Characteristics）：用户所具有的生物及动作特征，如指纹、声音、视网膜扫描等。

根据在认证中采用的因素的多少，可以分为单因素认证、双因素认证、多因素认证等方法。身份认证系统所采用的方法考虑因素越多，认证的可靠性就越高。

2.6.3 认证机制

2.6.

3.1基于口令的身份认证机制

基于口令的身份认证技术因其简单易用，得到了广泛的使用。但随着网络应用的深入和网络攻击手段的多样化，口令认证技术也不断发生变化，产生了各种各样的新技术。最常采用的身份认证方式是基于静态口令的认证方式，它是最简单、目前应用最普遍的一种身份认证方式。但它是一种单因素的认证，安全性仅依赖于口令，口令一旦泄露，用户即可被冒充；同时易被攻击，采用窥探、字典攻击、穷举尝试、网络数据流窃听、重放攻击等很容易攻破该认证系统。相对静态口令，动态口令也叫一次性口令，它的基本原理是在用户登录过程中，基于用户口令加入不确定因子，对用户口令和不确定因子进行单向散列函数变换，所得的结果作为认证数据提交给认证服务器。认证服务器接收到用户的认证数据后，把用户的认证数据和自己用同样的散列算法计算出的数值进行比对，从而实现对用户身份的认证。在认证过程中，用户口令不在网络上传输，不直接用于验证用户的身份。动态口令机制每次都采用不同的不确定

因子来生成认证数据，从而每次提交的认证数据都不相同，提高了认证过程的安全性。

2.6.

3.2挑战/响应认证机制

挑战/响应方式的身份认证机制就是每次认证时认证服务器端都给客户端发送一

个不同的“挑战”码，客户端程序收到这个“挑战”码，根据客户端和服务器之间共

享的密钥信息，以及服务器端发送的“挑战”码做出相应的“应答”。服务器根据应

答的结果确定是否接受客户端的身份声明。从本质上讲，这种机制实际上也是一次性

口令的一种。

一个典型的认证过程如下图所示：

认证过程为：

1) 客户向认证服务器发出请求，要求进行身份认证；

2) 认证服务器从用户数据库中查询用户是否是合法的用户，若不是，则不做进一步处理；

3) 认证服务器内部产生一个随机数，作为“挑战”码，发送给客户；

4) 客户将用户名字和随机数合并，使用单向Hash函数（例如MD5算法）生成一个字节串作为应答；

5) 认证服务器将应答串与自己的计算结果比较，若二者相同，则通过一次认证；否则，认证失败；

6) 认证服务器通知客户认证成功或失败。

2.6.

3.3EAP认证机制

EAP（Extensible Authentication Protocol）扩展认证协议在RFC2248中定义，

是一个普遍使用的认证机制，它常被用于无线网络或点到点的连接中。EAP不仅可以

用于无线局域网，而且可以用于有线局域网，但它在无线局域网中使用的更频繁。EAP

实际是一个认证框架，不是一个特殊的认证机制。EAP提供一些公共的功能，并且允

许协商所希望的认证机制。这些机制被称为EAP方法。由于EAP方法除了IETF定义

了一部分外，厂商也可以自定义方法，因此EAP具有很强的扩展性。IETF的RFC中

定义的方法包括EAP-MD5、EAP-OTP、EAP-GTC、EAP-TLS、EAP-SIM和EAP-AKA等。无

线网络中常用的方法包括EAP-TLS、 EAP-SIM、 EAP-AKA、 PEAP、LEAP和EAP-TTLS。目前EAP在802.1X的网络中使用广泛，可扩展的EAP方法可以为接入网络提供一个安全认证机制。

2.6.

3.4钥认证机制

随着网络应用的普及，对系统外用户进行身份认证的需求不断增加，即某个用户没有在一个系统中注册，但也要求能够对其身份进行认证，尤其是在分布式系统中，这种要求格外突出。这种情况下，公钥认证机制就显示出它独特的优越性。

公钥认证机制中每个用户被分配给一对密钥，称之为公钥和私钥，其中私钥由用户保管，而公钥则向所有人公开。用户如果能够向验证方证实自己持有私钥，就证明了自己的身份。当它用作身份认证时，验证方需要用户方对某种信息进行数字签名，即用户方以用户私钥作为加密密钥，对某种信息进行加密，传给验证方，而验证方根据用户方预先提供的公钥作为解密密钥，就可以将用户方的数字签名进行解密，以确认该信息是否是该用户所发，进而认证该用户的身份。

公钥认证机制中要验证用户的身份，必须拥有用户的公钥，而用户公钥是否正确，是否是所声称拥有人的真实公钥，在认证体系中是一个关键问题。常用的办法是找一个值得信赖而且独立的第三方认证机构充当认证中心（Certificate Authority，CA），来确认声称拥有公开密钥的人的真正身份。要建立安全的公钥认证系统，必须先建立一个稳固、健全的CA体系，尤其是公认的权威机构，即“Root CA”，这也是当前公钥基础设施（PKI）建设的一个重点。

2.6.4 认证协议

许多协议在向用户或设备授权访问和访问权限之前需要认证校验，通常要用到认证相关的机制，前面讨论了常用的认证机制，本节介绍使用这些认证机制的协议，这些协议包括RADIUS、TACACS、Kerberos、LDAP等。RADIUS和TACACS通常用在拨号环境中，Kerberos是在校园网中用的比较多的协议。LDAP提供一种轻量级的目录服务，严格来说不能算作一种认证协议，而对用户进行认证授权只是LDAP的一种应用。

2.6.4.1RADIUS认证协议

RADIUS（Remote Authentication Dial In User Service）协议最初是由Livingston公司提出的，目的是为拨号用户进行认证和计费。后来经过多次改进，形成了一个通用的AAA协议。

RADIUS协议认证机制灵活，能够支持各种认证方法对用户进行认证。可以采用上述任何一种认证机制。RADIUS是一种可扩展的协议，它进行的全部工作都是基于属性进行的，由于属性可扩展性，因此很容易支持不同的认证方式。

RADIUS协议通过UDP协议进行通信，RADIUS服务器的1812端口负责认证，1813端口负责计费工作。采用UDP的基本考虑是因为NAS和RADIUS服务器大多在同一个局域网中，使用UDP更加快捷方便。

2.6.4.2TACACS认证协议

TACACS（Terminal Access Controller Access Control System）最先是由BBN 为MILNET开发的一种基于UDP的访问控制协议，一些厂商对协议进行了扩展，最终形成了一种新的AAA协议，其中CISCO公司对TACACS协议多次进行增强扩展，目前成为TACACS+协议，H3C在TACACS（RFC1492）基础上进行了功能增强，形成了H3C 扩展的TACACS协议。无论TACACS、TACACS+还是H3C扩展TACACS协议，其认证、授权和计费是分离的，并且与原始TACACS协议相比，TACACS+和HWTACACS可以使用TCP 作为传输层协议，端口号为49。

TACACS+允许任意长度和内容的认证交换，与RADIUS一样，具有很强的扩展性，并且客户端可以使用任何认证机制。由于TACACS+的认证与其他服务是分开的，所以认证不是强制的，这点与RADIUS是不同的。

2.6.4.3Kerberos认证协议

在一个分布式环境中，采用上述两种认证协议时，如果发生账号改动的情况，每台机器上的都要进行相应的账号修改，工作量非常大。Kerberos是MIT为解决分布式网络认证而设计的可信第三方认证协议。Kerberos基于对称密码技术，网络上的每个实体持有不同的密钥，是否知道该密钥便是身份的证明。网络上的Kerberos服务起着可信仲裁者的作用，可提供安全的网络认证。Kerberos常见的有两个版本：第4版和第5版，目前使用的标准版本是版本5。

Kerberos是一种受托的第三方认证服务，它是建立在Needham和Schroeder认证协议基础上，它要求信任第三方，即Kerberos认证服务器（AS）。AS为客户和服务器提供证明自己身份的票据以及双方安全通信的会话密钥。Kerberos中还有一个票据授予服务器（TGS），TGS向AS的可靠用户发出票据。除客户第一次获得的初始票据是由Kerberos认证服务器签发外，其他票据都是由TGS签发的，一个票据可以使用多次直至期限。客户方请求服务方提供一个服务时，不仅要向服务方发送从票据授予服务器领来的票据，同时还要自己生成一个鉴别码(Authenticator，Ac)一同发送，该证是一次性的。