第4章(176)

第4章 网络安全服务
第4章 网络安全服务
4.1 安全服务的基本概念 4.2 认证 4.3 访问控制 4.4 机密性 4.5 完整性 4.6 不可否认性 4.7 小结 习题
第4章 网络安全服务
4.1 安全服务的基本概念
安全服务的概念主要由一系列安全框架和安全标准进 行定义，这些安全框架是安全服务、安全机制、安全策略 以及安全协议的基础，是通信网络安全的理论基础。这些 标准定义了进程之间交换信息时所涉及的安全体系结构、 安全术语、安全过程以及安全区域。
第4章 网络安全服务
安全策略通常是一些概要形式的规则，而不是具体 的规定，它只指明相应的安全保护重点，而不具体说明 如何达到所希望的安全保护。因此，安全策略属于安全 技术规范的最高一级。由于安全策略具有抽象性和普遍 性，因此，在实现安全策略时，要与具体的应用紧密结 合。其具体实现与结合是一个不断细化的过程，这个过 程首先是让此安全策略经受一个不断精确化的改进过程， 在改进的过程中要在每个阶段增加更多的细节，这些细 节是根据实际应用的具体实施而不断提出的。然后，需 要在总安全策略的指导下对相应的应用领域进行细致的 考查和研究。最后，基于精确化过程，可以得到从应用 中抽取来的总安全策略，这是采用确切语言重新表述的， 总安全策略的建立可以使具体的执行细节更容易确定。
第4章 网络安全服务
基于规则的安全策略是指建立在特定的、个体化属 性之上的授权准则，授权通常依赖于敏感性。在一个安 全系统中，数据或资源应该标注安全标记，而且用户活 动进程可以得到与其原发者相应的安全标记。
在通信网络安全的整个领域中，安全策略应该把注 意力集中到安全问题非常敏感的那些方面，它应该表明 在安全区域内哪些是允许的，哪些是不允许的。
可被认证的主体可以是用户、进程、实时开放系统、 OSI层实体、组织机构(如企业)等。
第4章 网络安全服务
4.2.1 认证对抗的安全威胁 认证对抗的主要安全威胁是“冒充”攻击和“重放”
攻击。认证的基本目的是防止其它实体占用被认证实体的 身份。 冒充是指某一实体伪称为另一个实体。冒充通常与其它攻 击方式(如修改)一起使用，可以用认证服务来对抗“冒 充”。 重放是指重复某信息的全部或部分内容，以产生未经许可 的效果。重放一般与其它攻击(如数据修改)结合使用，可
以作为中介、担保或者仲裁者。有些安全服务，必须依赖 于可信第三方的参与。可信第三方在通信双方发生争执时 进行调解，做出决策，有些情况下，可信第三方直接参与 通信双方的通信过程，起到中继的作用，而这时通信双方 可能不会直接进行会话，而由可信第三方传递。可信第三 方一般能提供以下几种功能:
第4章 网络安全服务
第4章 网络安全服务
同一个安全机制可以提供多种安全服务。例如，密码 机制就是通过加密/解密的方法提供安全服务，它既可以 提供机密性服务，也可以提供访问控制服务，还可以提供 认证服务。而同一种安全服务当中可以包含多种安全机制。
第4章 网络安全服务
4.1.5 可信第三方 所谓可信第三方，就是通信双方都信赖的一方，他可
第4章 网络安全服务
基于身份的安全策略通常是一组针对一般属性或敏感 实体的规则，它的基本思想是过滤对数据或资源的访问。 有两种执行基于身份策略的基本方法，一种方法是访问权 为访问者所有，典型的做法为特权标识或特殊授权，即仅 为用户及相应活动进程进行授权。另一种方法是对访问数 据采用访问控制列表进行控制。这两种情况中，数据项的 大小可以有很大的变化，从完整的文档到数据元素，这些 数据项可以按权限命名。
在给定的安全区域中，要求可辨别标识符必须是唯 一的，不能含糊不清。可辨别标识符在同一安全区域内 将一个主体与其它主体通过两种方式区别开来。一种方 式是在粗粒度等级上，从认证目的来看，实体组中的成 员被认为是等效的。这种情况下，整个组被视为一个主 体，拥有一个可辨别标识符。另一种方式是在细粒度等 级上，识别某个唯一的实体。在不同的安全区域之间进 行认证时，由于不同的安全区域权威机构可能使用同一 个可辨别标识符，因此可辨别标识符并不足以明确地识 别实体。这种情况下，可辨别标识符须与安全区域标识 符连接使用(如结合目录名、网络地址、对象标识符、人 名和身份证件等)，达到为实体提供明确标识符的目的。
第4章 网络安全服务
2．身份 在通信网络系统中，实体的身份是用标识符来描述的。 比如，表示用户身份的个人识别码就是一串数字，表示用 户身份的指纹也是一串特征字。标识符与某一主体联系起 来，与其它主体相区别。在某些情况下，一个主体可以拥 有一个或多个将自身与其它主体区别开来的辨别标识符。
第4章 网络安全服务
(5) 传递代理：可信第三方充当发起者和接收者之间的 媒介，确保发起者已经或者将要传递一个特定的数据项给 接收者。
(6) 仲裁：可信第三方充当一个独立的裁决争执的仲裁 者。
第4章 网络安全服务
对可信第三方的基本要求是：第一，他要保持中立， 不偏袒任何一方；第二，他是可信赖的、诚实的；第三， 他的角色要被通信双方所接受。通常情况下，要成为可信 第三方，需要在合作或契约中协定，或者在规则或法律上 使其具体化。
同一个实体，可以既充当申请者，又充当验证者， 主要根据它在认证过程中的作用而定。比如在双向认证 过程中，通信双方任何一个实体都同时充当申请者和验 证者的角色。
在认证过程中，有时需要可信第三方的参与。可信 第三方用于描述安全权威机构或它的代理。在安全相关 的活动中，它被其它实体所信任。在认证操作过程中， 可信第三方受到申请者和验证者的信任。
第4章 网络安全服务
4.1.6 安全业务 安全业务是指实现安全服务所需要的与利用、组合安全 机制有关的操作和管理事务。安全框架阐明了信息系统环境 中安全业务的应用，对系统内部及系统间的操作行为和信息 管理提供安全保护方法。 对数据元素和操作程序进行描述，形成特定的安全业务。 这些安全业务不仅可以用于系统间的数据交换以及系统的数 据管理，还可以用于系统的通信实体。
第4章 网络安全服务
4.2.2 认证的基本原理 1．申请者与验证者 认证提供了实体声称其身份的保证。认证涉及两类实
体和一个操作过程。一类实体代表被认证者，称为“申请 者”。另一类实体代表认证者，称为“验证者”。认证操 作过程包括通信、比较、计算、鉴别等一系列过程。
第4章 网络安全服务
申请者用于描述被认证的主体。它包括代表主体参 与认证交换所必需的功能。验证者用于描述代表要求认 证身份的实体。验证者包括参与认证交换所必需的功能。 两类实体可以统属于一个通信系统，也可能分属于不同 的通信系统。
第4章 网络安全服务
4.1.2 安全粒度 对某一个对象的安全保护细节，称为安全粒度。比如，
我们要对一台计算机上的文件进行安全保护，根据需要， 可以保护整体文件，也可以保护文件中的记录，还可以保 护记录中的数据字段，这些不同的保护细节就形成从粗到 细的安全保护粒度。
安全粒度直接影响安全系统的费用。安全粒度越粗， 费用越低；安全粒度越细，费用越高。比如，如果我们只 保护计算机系统中的某一个用户，则可以采取口令机制， 费用很低；如果还要保护用户的数据文件，则可能就要采 取数据加密的保护机制，相对费用较高。因此，在设计实 际的安全系统时，充分考虑安全粒度这个因素，对降低费 用是非常有效的。
第4章 网络安全服务
比如，我们通过口令机制和访问控制机制来保护校 园内的某一个局域网，这时的安全区域就是所保护的这 个局域网。如果这个网络要与另外一个具有相同安全保 护机制的局域网络互联，我们除了增加必要的网络互联 设备外，还要增加安全防护设备(比如防火墙)，提供两个 பைடு நூலகம்域网络之间的安全保护，这时的安全区域就扩大了， 囊括了这两个局域网络。
第4章 网络安全服务
安全业务之间以及安全业务内部各部分是相互联系的， 它们之间相互依赖，相互依存。我们不能孤立地看待某一 个安全业务，要想把其中的一部分与其它部分独立地分离 开是很困难的。每个安全框架分离出一个不同的安全业务， 每一部分的描述用来提供该安全业务的机制范围。因此， 一个安全业务对另一个安全业务的依赖关系是安全框架描 述的主要内容。
第4章 网络安全服务
安全策略的一个基本组成部分是授权。授权是指赋予 主体(用户、终端、程序)对客体(数据、设备、程序)的支配 权力，它规定了谁可以对什么做些什么。它可以明确说明 “未经适当授权的实体，信息不可以给予、不被访问、不 允许引用、任何资源也不得为其所用”。基于身份和基于 规则的安全策略都建立在授权行为这一概念之上，这是因 为所有的安全威胁都与授权行为或非授权行为有关。
(1) 密钥证明：可信第三方通过发出公钥证书来证明特 定公钥是否符合只有某特定方知道的私钥。可信第三方还 必须负责在有危险的情况下撤销证书。
(2) 身份证明：可信第三方通过代表发起者签署的数据 项来担保该数据项发起者的身份。
(3) 时间戳：可信第三方证明数据项的签名是否带有一 个特定时间。
(4) 证据储存：可信第三方承担安全储存证据的责任， 用于解决纠纷。
第4章 网络安全服务
安全保护、安全措施、安全服务等概念，都是针对一定 的安全区域而言的，不能抛开安全区域而谈安全保护和措施。 从理论上讲，我们可以高度抽象和高度概括安全服务等概念， 但是，在具体实施的时候，一定要与某一个安全区域相联系， 要对具体安全区域采取针对性的措施，提供与安全区域相适 应的安全服务。某些安全服务对一个特定的安全区域可能很 有效，而对另外一个安全区域可能效果很差。因此我们说， 没有绝对的安全，只有相对的安全。
第4章 网络安全服务
4.1.1 安全区域 属于某个组织的处于一定范围的资源处理和通信的
集合叫做一个安全区域。该定义涉及两部分内容，第一 个内容是它限制了一个特定的范围，该范围可以是空间 上的(比如大学校园)，也可以是时间上的(比如从2004年 到2006年的有效期)。第二个内容是它包含了信息资源以 及这些资源的处理或者交换过程，它实际上是安全所保 护的对象。安全区域的定义具有相对性，它会随着保护 措施的变化而变化。