網(wǎng)絡(luò)系統(tǒng)安全接入認證方法探討

以太網(wǎng)(企業(yè)內(nèi)部網(wǎng)、國際互聯(lián)網(wǎng))、無線通信網(wǎng)(蜂窩電話、WiFi)和電力線通信(PLC)等網(wǎng)絡(luò)設(shè)備由服務(wù)器或基站以及網(wǎng)絡(luò)節(jié)點或網(wǎng)絡(luò)設(shè)備構(gòu)成，批量生產(chǎn)的網(wǎng)絡(luò)設(shè)備根據(jù)具體的網(wǎng)絡(luò)容量進行組裝。為了得到一個受控的高可靠性網(wǎng)絡(luò)系統(tǒng)，開發(fā)人員面臨兩大設(shè)計挑戰(zhàn)：必須對所有連接到網(wǎng)絡(luò)的設(shè)備進行認證；允許通過服務(wù)器進行遠程升級。

對接入網(wǎng)絡(luò)的設(shè)備進行授權(quán)認證非常困難。未經(jīng)許可的設(shè)備可能會通過破環(huán)系統(tǒng)性能、干擾用戶從而直接危害到供應(yīng)商的收益。但是，網(wǎng)絡(luò)認證功能同時也為供應(yīng)商提供了二次商機，即通過服務(wù)器對購買升級功能的用戶設(shè)備進行升級。

幾大網(wǎng)絡(luò)認證方法比較

認證過程是建立兩個目標(這里指服務(wù)器和網(wǎng)絡(luò)設(shè)備)之間身份鑒定的過程。認證過程必須避免未經(jīng)授權(quán)的制造商或克隆廠商從事的偽造或仿真活動。身份認證的最佳途徑是采用系統(tǒng)令牌，網(wǎng)絡(luò)設(shè)備處理器結(jié)合認證令牌進行通信，從而對設(shè)備進行鑒定。通過適當配置認證令牌限制設(shè)備的接入，最終達到杜絕假冒偽劣網(wǎng)絡(luò)設(shè)備的接入。

本地網(wǎng)的服務(wù)器距離網(wǎng)絡(luò)設(shè)備近，很難通過制造商進行升級。例如，帶有附屬模塊(例如墨盒)的打印機，其中，服務(wù)器是打印機中的微處理器，網(wǎng)絡(luò)設(shè)備就是那些模塊。

遠程網(wǎng)絡(luò)的服務(wù)器工作環(huán)境安全，但是服務(wù)供應(yīng)商保持對其的接入權(quán)限。遠程網(wǎng)絡(luò)存在一些如不安全的通信鏈路等潛在問題，但其確實為實際應(yīng)用提供了便利：根據(jù)中心服務(wù)器的判定，可以在完成網(wǎng)絡(luò)安裝后進行擴容和偵測網(wǎng)絡(luò)的攻擊者(圖1)。

圖1: 設(shè)備交付用戶使用后，網(wǎng)絡(luò)運營商通常無權(quán)接入局域網(wǎng)(左側(cè)) ；遠程網(wǎng)絡(luò)(右側(cè))即使在交付用戶使用后也具有接入權(quán)限。

認真研究遠程服務(wù)器的工作環(huán)境，對照幾種接入控制的成本和優(yōu)勢，可以使你在具體系統(tǒng)中應(yīng)用到最佳的認證方法。認證方案包括：簡單的密碼認證、對稱密鑰認證、公鑰認證、散列認證等。以下內(nèi)容還討論了網(wǎng)絡(luò)設(shè)備升級功能的優(yōu)勢。

簡單的密碼認證 最簡單的認證方法就是判斷密碼是否正確。這種方法成本最低，因為不需要額外的硬件或軟件支持加密/認證算法。由于密碼為透明傳輸，即通過通信鏈路傳輸，很容易被截取并在以后復制(圖2)，由此可見，簡單的密碼檢驗方案的安全性很差。

圖2: 密碼檢驗的第3步通信容易造成密鑰被竊取

對于基本的密碼認證來說，網(wǎng)絡(luò)設(shè)備和服務(wù)器必須有一個公認的密鑰，如果網(wǎng)絡(luò)設(shè)備具有一個唯一的識別碼，可以利用該識別碼構(gòu)成設(shè)備唯一的密鑰。

對稱密鑰認證 利用加密算法將安全信息從網(wǎng)絡(luò)設(shè)備發(fā)送到服務(wù)器，安全設(shè)備需要將加密密鑰編程到網(wǎng)絡(luò)設(shè)備中。實際應(yīng)用中有兩種類型的加密密鑰：對稱密鑰和非對稱密鑰(公鑰/私鑰)。對稱密鑰在服務(wù)器和網(wǎng)絡(luò)設(shè)備上共用同一密鑰(圖3)。

圖3: 對稱密鑰認證中，隨機質(zhì)詢可以避免重復的響應(yīng)通信

利用處理器實現(xiàn)這一認證比較簡單，但比簡單的密碼檢驗要繁瑣。由于服務(wù)器和網(wǎng)絡(luò)設(shè)備之間的通信數(shù)據(jù)經(jīng)過加密，無法被攻擊者仿真，這種方法具有較高的安全性。另一方面，對稱加密算法通常僅采用簡單的運算，例如“或”運算和移位，具體實施成本并不高，利用微處理器即可實現(xiàn)。

該方案的前提是：網(wǎng)絡(luò)設(shè)備和服務(wù)器必須具備公用的對稱加密密鑰，如果網(wǎng)絡(luò)設(shè)備具有唯一的識別碼，則可利用識別碼構(gòu)成設(shè)備的唯一密鑰。

非對稱密鑰認證 非對稱加密系統(tǒng)(公鑰/私鑰)不共用同一密鑰，每臺設(shè)備包含一個私鑰和一個公鑰。證書可以安裝到網(wǎng)絡(luò)設(shè)備以便驗證其授權(quán)。由于公鑰/私鑰算法涉及到大量的計算，實施方案需要占用較大的存儲空間和CPU資源，成本較高(圖4)。例如，RSA公鑰加密需要模冪運算。另外，還需要注意采用這類加密算法的器件受美國政府的出口限制。

該方案的前提是：網(wǎng)絡(luò)設(shè)備必須裝載包含網(wǎng)絡(luò)設(shè)備公鑰的證書，用服務(wù)器私鑰加密。用服務(wù)器公鑰解密后，可以驗證網(wǎng)絡(luò)設(shè)備的合法性。

基于散列算法的認證 散列(Hash)算法是將一串字符轉(zhuǎn)換成較短的、固定長度的數(shù)值或加密信息，以此代表原來的字符串。散列加密(特別是安全散列算法將其部分輸入作為密鑰)也可用于認證(圖5)。