基于中间人方式的HTTPS监控系统的设计与实现

论文摘要

随着信息技术在国民经济各个领域日趋广泛而深入的应用,各行业对信息系统的依赖程度越来越高。一个大型企业,其业务处理、财务管理、统计分析、决策支持、办公自动化及人力资源管理等无不建立在信息技术平台之上,信息安全问题正变得日益突出。特别是近年来,研究人员在信息加密,如公开密钥、对称加密算法,网络访问控制,如防火墙,以及计算机系统安全管理、网络安全管理等方面做了许多研究工作,并取得了很多研究成果。例如:公开密钥、对称密钥算法可以防止信息在网络传输过程中被截获和窃听,防火墙可以阻止未授权的网络使用者访问内部网的信息,控制内部网用户有选择地访问外部网信息,系统安全技术可以控制用户对敏感数据的访问,然而,当一个网络的管理人员试图了解整个内部网用户在任何时刻,正在访问哪里和哪些网络数据时,他会发现这几乎是不可能做到的。因此迫切需要从技术手段上对网络上的这些加密数据实施有效的监控和管理,从而保护网络数据的安全。本文首先从网络监控和安全管理的现状入手,介绍目前国内外在网络监控和管理方面成熟的技术和系统,并分析了它们各自的优缺点。发现目前这些流行的网络监控和管理系统,对通过HTTPS协议的上网行为不能进行有效的监控和管理。然而根据当前网络监控和管理的需求,如何对HTTPS协议进行有效的监控和管理是当前网络监控和管理系统必须要解决技术难题。因此,本文所开发的基于中间人方式实现的HTTPS监控系统正是从这一需求出发,针对互联网安全主管机构的实际需要,提出的互联网信息监控系统解决方案。接着,通过对各种网络监控模式和数据包捕获技术的对比,根据对HTTPS协议进行监控的技术要求,确定HTTPS监控系统的监控模式和数据包捕获技术。并在此基础上设计和实现一个基于Linux的Netfilter包过滤框架的通用监控网关。在这个通用监控网关中封装了底层的调用,并且做了优化处理,程序开发人员可以通过这个通用监控网关直接在内核中捕获和控制数据包,而不需再用底层的调用来编写代码捕获和控制数据包。因此,该通用监控网关在包过滤型防火墙、基于用户的访问控制和审计以及入侵检测等方面都具有很重要的应用价值。最后,根据HTTPS监控系统的实际需求,提出了HTTPS监控系统的设计原则和要求。在通用监控网关的基础上,并基于中间人方式(MITM,Man In The Middle)技术实现HTTPS代理服务器,实现对HTTPS协议的监控。

论文目录

• 摘要
• ABSTRACT
• 1. 绪论
• 1.1 网络监控系统的发展及现状
• 1.2 研究意义
• 1.3 本文主要研究工作
• 1.4 本文章节安排
• 2. 背景知识
• 2.1 通讯协议简介
• 2.1.1 HTTP 协议
• 2.1.2 HTTPS 协议
• 2.2 安全套接字层（Secure Socket Layer, SSL）
• 2.2.1 SSL 分层模型简介
• 2.2.2 SSL 握手协议
• 2.2.3 握手过程
• 2.2.4 报警协议
• 2.2.5 记录协议
• 2.3 Linux 内核编程技术
• 2.3.1 内核模块与应用程序的对比
• 2.3.2 模块化编程技术
• 2.3.3 内核模块与应用程序的通信
• 2.3.4 /proc 文件系统介绍
• 2.3.5 Netlink 套接字
• 2.4 本章小结
• 3. 通用监控网关的设计与实现
• 3.1 通用监控网关的目标
• 3.2 网络监控模式的研究
• 3.2.1 旁路监听型网络监控模式
• 3.2.2 网关型（过滤型）网络监控模式
• 3.2.3 HTTPS 监控系统的监控模式的选择
• 3.3 数据包捕获技术的研究
• PACKET 类型套接口'>3.3.1 Linux SOCK_PACKET 类型套接口
• 3.3.2 Libpcap 数据包捕获函数库
• 3.3.3 Netfilter 数据包过滤框架
• 3.3.4 HTTPS 监控系统数据包捕获技术的选择
• 3.4 Netlink 数据交换技术研究与实现
• 3.4.1 Netlink 套接字工作原理
• 3.4.2 用户态Netlink 的实现
• 3.4.3 内核态Netlink 的实现
• 3.5 通用监控网关的设计和实现
• 3.5.1 通用监控网关的结构
• 3.5.2 通用监控网关数据采集和控制函数的注册
• 3.6 通用监控网关在相关领域的应用展望
• 3.7 本章小结
• 4. HTTPS 监控系统设计与实现
• 4.1 HTTPS 监控系统设计目标
• 4.2 HTTPS 监控系统设计要求
• 4.3 HTTPS 监控系统结构
• 4.4 使用 OpenSSL 函数库实现 SSL 连接
• 4.4.1 使用OpenSSL 生成的数字证书
• 4.4.2 OpenSSL 实现SSL 客户端和服务器端流程
• 4.5 HTTPS 代理服务器的设计与实现
• 4.6 内容过滤设计与实现
• 4.6.1 对URL 进行过滤的设计与实现
• 4.6.2 对关键字进行过滤的设计与实现
• 4.7 HTTPS 监控系统存在问题及解决办法
• 4.8 本章小结
• 5. 系统测试
• 5.1 测试方案
• 5.2 测试环境
• 5.3 功能测试
• 5.4 性能测试
• 5.4.1 性能测试环境
• 5.4.2 测试过程
• 5.5 稳定性测试
• 5.6 初步测试结论
• 5.7 本章小结
• 6. 总结与展望
• 6.1 总结
• 6.2 展望
• 参考文献
• 致谢
• 攻读学位期间发表的学术论文目录
• 附录