基于PMI的OA安全模型設計與實現(xiàn)

申請免費試用、咨詢電話：400-8352-114

    0 引言

    公鑰基礎設施(publickeyinfrastructure，PIG)是信息安全領域成熟的網(wǎng)絡安全解決方案，很多網(wǎng)絡安全技術和方案已經(jīng)離不開PIG技術的支持。它在為網(wǎng)絡安全應用提供安全功能的同時，也面臨著自身不足的挑戰(zhàn)。隨著技術的不斷發(fā)展，當前PKI提供的身份認證和機密性已經(jīng)不能滿足現(xiàn)有的安全需求，要求步入權限管理領域。但由PIG進行權限管理時，存在一些問題：公鑰證書的身份的長效性和角色特權的相對短效性的矛盾；不便于不同系統(tǒng)互通互用；不利于權限的分配管理。因此，要求有一獨立機構在Pl(I提供身份認證的基礎上，使用安全授權技術確定實體的訪問權限，提供相應的授權管理機制，管理用戶在系統(tǒng)中的動作行為。PMI(授權管理基礎設施)是在公鑰基礎設施提供身份認證的基礎上，通過屬性證書實現(xiàn)對實體(用戶)的權限管理，彌補了PKI的不足之處。然而，關于PMI系統(tǒng)的研究和開發(fā)還處在驗證階段，沒有統(tǒng)一的標準。國外著名的信息安全公司如RSA，Entrust，Baltimore等在PMI研究方面都進行了大量的工作，政府也進行了相應的研究。國內，全國信息安全標準化技術委員會成立PKI／PMI工作組。重點研究國內外P斑／PMI標準現(xiàn)狀、體系，制定了《信息技術開發(fā)系統(tǒng)互聯(lián)目錄公鑰和屬性證書框架》，同時國內也已經(jīng)有相關模型和類似的產(chǎn)品出現(xiàn)，但是還沒有相應的應用實例。國內的有些公司，例如：吉大正元信息技術股份有限公司的JIT-SSO在PMI的產(chǎn)品探索和研究上進行了一定的工作。PMI在權限管理方面相對傳統(tǒng)的權限管理，具有很大的優(yōu)越性，成為當今研究的熱點。

    在辦公自動化(OA)系統(tǒng)中，PIG為其提供了用戶的身份驗證，解決了身份假冒問題，但是出現(xiàn)了非授權用戶的越權操作。同時由于OA系統(tǒng)業(yè)務處理流程的特殊性，所以要求對不同級別的合法用戶，在信息系統(tǒng)的訪問和操作方面應該給予嚴格的權限控制。當前OA授權是后臺提供系統(tǒng)級的數(shù)據(jù)保護，管理模式陳舊，系統(tǒng)管理員參與業(yè)務和權限管理，授權失去公正性和權威性?；赑IG技術的PMI授權管理是采用屬性證書的形式進行授權，是一獨立的授權系統(tǒng)，可以彌補OA系統(tǒng)中權限管理存在的缺陷。在OA中融合PMI的權限管理，提高了系統(tǒng)的安全性，同時系統(tǒng)的授權是可信賴的、公正的、權威的，使系統(tǒng)的實用性更強。

    l PMI概述

    公鑰基礎設施(public key infrastructure，PKI)，提供對實體的身份驗證服務，然而對實體的權限管理存在不足，因此出現(xiàn)了合法用戶的非法操作或越權操作等問題。PMI即權限管理基礎設施，在PKI提供身份驗證服務的基礎上，提供權限管理服務。它描述實體為了完成某些操作所需要具有的權限，是一個授權過程，不是對實體身份的鑒別。授予某個實體到某個對象的訪問權限即授權。PKI的身份鑒別能確定“他是誰”，PMI解決“他能做什么”的問題。在PKI提供可信的身份認證的基礎上，提供一種有效的體系結構，以屬性證書(表示和容納權限信息)的形式，管理實體的權限屬性，這是PMI的最終目標。這里包括兩層含義：一方面，PMI保證用戶可以做他們有權限進行的操作、獲取他們有權獲取的信息：另一方面，PMI應能提供跨應用、跨企業(yè)、跨系統(tǒng)、跨安全域的用戶屬性的管理和交互手段。

    屬性證書(AC)是由屬性權威(AA)簽發(fā)的將實體與其屬性集(角色、權限等)捆綁在一起的數(shù)據(jù)結構，權威機構的數(shù)字簽名保證了綁定的有效性和合法性。這里數(shù)字簽名的作用不是用于證明公鑰／私鑰對和身份之間的關系，而是用于證明證書持有者擁有的權限，AC即是權限信息的載體。PMI對權限生命周期的管理是通過管理屬性證書的生命周期實現(xiàn)的。屬性證書的申請、簽發(fā)、注銷、驗證流程對應著權限的申請、授予、撤銷、使用驗證的過程。使用屬性證書管理權限，這樣權限的管理就不必依賴某個具體的應用。

    屬性證書把授權信息和公鑰證書分離，提供對實體權限屬性的授予服務，但是它建立在公鑰證書可信的身份認證基礎上，因此它的使用必須結合公鑰證書。先使用公鑰證書進行身份認證后使用屬性證書進行授權驗證，沒有經(jīng)過身份認證的授權是沒有意義的，也是不安全的。屬性證書沒有公鑰，通過持有者的某個屬性和公鑰證書鏈接。當與身份相關的特權屬性變化時，證書所對應的公鑰證書可以保持相對穩(wěn)定。因此，實體可以擁有與每個公鑰證書相關的多個屬性證書。

    公鑰證書可以被認為是一本護照：它表明持有者的身份，不能夠輕易獲得，并且生命周期長。屬性證書類似一個入口簽證：一般由不同的權威機構頒發(fā)，并且生命周期短。獲得一個入口簽證一般需要出示一個護照，獲得簽證可以是一個很簡單的過程。

    2 OA安全模型設計方案

    在諸多的應用系統(tǒng)中，權限的管理是不容忽視的重要部分。然而，當前的授權管理面臨著諸多挑戰(zhàn)：用戶對信息系統(tǒng)訪問權限的變化越來越頻繁；權限管理混亂，可能為系統(tǒng)帶來不安全因素；資源所有者沒有權限；系統(tǒng)管理員參與權限管理和業(yè)務管理時存在諸多不安全因素和不便；權限管理模式陳舊等。因此對系統(tǒng)造成很多不安全因素，非法訪問和越權操作等，使應用系統(tǒng)資源受到極大的威脅。

    傳統(tǒng)的OA系統(tǒng)是通過對實體(用戶)用戶名和密碼的管理實現(xiàn)權限的管理，管理模式陳舊。系統(tǒng)管理員參與業(yè)務管理的同時，參與權限管理，此時的授權失去了公證性。

    基于權限管理基礎設施(PMI)的OA安全系統(tǒng)，由公鑰基礎設施(PKI)提供身份驗證，在此基礎上，使用PMI的屬性證書(AC)實現(xiàn)權限的授予和管理。權限管理基礎設施是獨立于OA系統(tǒng)的權限管理機構，由PMI進行權限管理，體現(xiàn)授權的權威性和公正性。PICA技術已經(jīng)相當成熟，在此不多介紹。系統(tǒng)的邏輯模型如圖1所示，整個系統(tǒng)可分為4個子系統(tǒng)，分別如下所示：

圖1 系統(tǒng)邏輯模型

    (1)屬性權威從：受理申請，生成、簽發(fā)和管理屬性證書，提供授權服務；

    (2)證書管理服務器：即LDAP服務器，用于存儲證書及其它信息，可提供查詢服務；

    (3)登陸系統(tǒng)：用戶登陸OA系統(tǒng)，提供身份的驗證服務；

    (4)訪問控制系統(tǒng)：用戶訪問資源前的屬性驗證，提供權限驗證服務。

    實體(用戶)登陸OA系統(tǒng)前，必須先后申請鑰證書(由PKI提供)和屬性證書。從受理點接受請求，同時連通決策服務器，經(jīng)過決策決定是否簽發(fā)屬性證書。若通過，則提交用戶請求信息到從服務器。從服務器簽發(fā)AC給用戶并將證書存放在LDAP服務器。

    當實體(用戶)使用公鑰證書提供的身份驗證功能通過登陸系統(tǒng)登陸OA系統(tǒng)后，如果請求訪問有權限要求的系統(tǒng)資源時，OA資源服務器要求用戶提供屬性證書。訪問控制子系統(tǒng)檢查用戶提供的證書，并連通LDAP服務器檢驗該用戶是否有權限訪問該資源。