基于802.1x协议的人机结合认证系统的设计与实现

论文摘要

一般来说,Intranet是相对封闭的,但是Intranet还是面临着诸多安全与管理问题,比如:接入用户身份及主机的可信性、IP地址管理混乱及网上行为查实举证难等问题。以上问题的存在,是由于Intranet在接入层未依据用户、主机及接入交换机端口的可固定对应关系,对接入的用户及其访问时间、所使用的主机进行联合认证与控制。为此,如果Intranet在接入层对接入用户、主机、访问时间与接入端口等要素进行组合认证与控制——人机结合多因素认证,将可以大幅提高接入用户与主机的可信性,为提高Intranet安全打下坚实的基础。因此,粒度为“用户+主机+接入端口+访问时间”的接入控制方案,具有广泛的应用前景和较高的研究价值。本文以身份认证技术的基本理论为基础,结合MD5算法的安全特性与CHAP认证模式,构造了一个适用于Intranet的人机结合双向多因素认证模型。该认证模型体现了粒度为“用户+主机+访问时间”的接入控制策略。在模型中,服务端对客户端实现了人机绑定认证,并对用户端进行了基于时间要素的访问控制;另一方面,客户端也对服务端进行了认证。此外,该认证模型利用加密算法对口令信息进行了保护,能防范重放和窃听等攻击手段。本文依托802.1x、EAP及RADIUS等协议设计了人机结合双向多因素认证模型的实现方案。首先,根据认证模型的功能要求,对标准RADIUS协议的报文类型与属性进行了扩展设计,以实现在线用户与主机的管理与控制。而后,本文详细设计了结合802.1x、EAP及RADIUS等协议的认证与控制管理流程及其数据封装。在此基础上,本文分别以客户端、交换机及认证服务器为角色,设计了认证模型在Intranet中的实现方案。在交换机的实现方案中,结合交换机的端口安全技术及802.1x协议,体现了“端口”这个认证要素,使得整个实现方案体现了“用户+主机+接入端口+访问时间”的接入控制策略。另外,实现方案根据主机ID字的选择,也有效地管理了IP地址。通过本文的研究工作,对从接入层加强Intranet安全的方法作了有益的探索。本文的工作表明这种认证与管理策略使得Intranet从接入层提高了接入用户和主机的可信性。其一是,它杜绝了内部非授权人员接入网络并访问信息资源;其二是限制了内部授权人员访问网络的接入点与访问时间,可进一步限制与规范了他们的网上行为。

论文目录

摘要

ABSTRACT

符号说明

第1章引言

1.1 研究背景

1.1.1 Intranet面临的问题

1.1.2 问题的症结分析

1.2 本文目标和主要工作

1.3 本文的内容组织

第2章身份认证技术

2.1 身份认证技术概述

2.1.1 什么是身份认证

2.1.2 实现身份认证的基本途径

2.1.3 单／双向认证

2.1.4 网络环境下身份认证的基本需求

2.2 常用的身份认证技术／协议

2.2.1 基于口令的认证技术／协议

2.2.2 基于智能卡身份认证技术

2.2.3 生物特征认证技术

2.2.4 零知识身份认证技术

2.3 典型认证应用

2.3.1 Kerberos身份认证协议

2.3.2 基于X.509的身份认证技术

第3章 802.1x协议

3.1 引述

3.2 EAP协议

3.2.1 EAP协议概述

3.2.2 EAP报文格式

3.2.3 EAP Request／Response消息类型

3.2.4 EAP协议的认证过程

3.2.5 重传机制

3.3 RADIUS协议

3.3.1 RADIUS协议概述

3.3.2 RADIUS协议报文格式

3.3.3 RADIUS协议安全

3.3.4 RADIUS对EAP的支持

3.4 802.1x协议

3.4.1 802.1x协议概述

3.4.2 802.1x协议认证体系结构

3.4.3 802.1x协议工作机制

3.4.4 EAPOL

第4章人机结合认证模型设计

4.1 设计的基本思路

4.2 后台库表的设计

4.2.1 用户信息表的设计

4.2.2 组信息表的设计

4.2.3 主机信息表的设计

4.2.4 时间控制策略表的设计

4.2.5 在线用户信息表的设计

4.3 初始注册过程

4.4 认证过程

第5章结合802.1x等协议的实现方案

5.1 方案实施的基本思路

5.2 RADIUS协议的扩展设计

5.2.1 扩展RADIUS的工作模型

5.2.2 控制报文格式定义

5.3 认证流程与封装数据描述

5.3.1 首次认证阶段

5.3.2 认证保持阶段

5.3.3 认证下线阶段

5.4 客户端的实现

5.5 接入层交换机的基本设置

5.6 后台认证服务器的实现

5.6.1 RADIUS服务系统模块划分

5.6.2 多用户并发认证的RADIUS服务进程设计与实现

5.6.3 在线用户管理进程的实现

5.7 后台数据管理模块的设计

第6章性能评价

6.1 方案功能评估

6.2 方案安全性分析

6.3 方案的局限性分析

第7章总结与展望

7.1 本文工作的总结

7.2 进一步的工作

参考文献

致谢

攻读硕士学位期间发表论文目录

基于802.1x协议的人机结合认证系统的设计与实现

论文摘要

论文目录

相关论文文献

猜你喜欢