X.509证书和RBAC在Web中的应用

论文摘要

随着各种信息电子化和电子政务等项目的实施,Web 技术得到了广泛的应用,发挥出越来越明显的效益,信息安全问题越来越受到重视。因此研究对Web网页内容的访问控制和内容保密具有重要意义。本文探讨和实践了利用X.509 证书认证和RBAC 访问控制提供Web 安全的应用。首先,本文介绍了X.509 证书及SSL 技术,并从系统实施的角度考察了SSL 技术所面临的攻击,说明了采用X.509 证书的SSL 技术设计合理,抗攻击性强。接着,对基于角色的访问控制(RBAC)技术、IIS 及其接口进行了分析和介绍。在此基础上,本文设计了一套利用X.509 公钥证书和RBAC 技术对Web服务器进行用户认证和授权的访问控制系统,并从工程实践的角度,阐述了整个系统的设计安装过程。最后,本文介绍了该系统的测试方法及测试结果,对本文的工作进行了总结,并比较现有国内外其它相关研究的情况,提出继续研究的若干问题。本课题的最终研究成果是:设计并实现了一个基于IIS、将X.509 证书认证和RBAC 访问控制结合在一起的安全访问系统,对Web 服务进行强认证和授权。目前,本课题的研究成果已投入实际应用,效果良好。

论文目录

摘要

ABSTRACT

第一章引言

1.1 课题的背景和意义

1.2 相关文献综述

1.3 作者主要工作

1.4 论文章节安排

第二章 X.509 证书及SSL

2.1 技术基础

2.1.1 加密算法

2.1.2 数字签名

2.1.3 PKI 体系及数字证书

2.2 X.509 证书简介

2.2.1 证书的信任模型

2.2.2 基于证书的认证过程

2.3 SSL/STL 原理

2.3.1 SSL/STL 的基本概念

2.3.2 SSL/TLS 的握手

2.3.3 用户对服务器的认证

2.4 对SSL 抵御攻击能力的分析

2.4.1 通信量分析

2.4.2 主动攻击

2.4.3 重放攻击

2.4.4 密码组回滚攻击（CipherSuite Rollback attack）

in_the_middle attack）'>2.4.5 中间人攻击（man_in_the_middle attack）

第三章基于角色的访问控制（RBAC）

3.1 访问控制的有关概念

3.1.1 基本概念

3.1.2 访问控制模型基本组成

3.2 传统的访问控制类型

3.2.1 自主访问控制DAC（Discretionary Access Control）

3.2.2 强制访问控制MAC（Mandatory Access Control）

3.3 RBAC 基本概念和模型

3.3.1 RBAC 中的基本概念

3.3.2 RBAC 基本原则

3.3.3 角色之问的关系分析

3.3.4 RBAC 的优点

3.4 RBAC97 模型

第四章 IIS 及ISAPI 相关技术

4.1 IIS 的体系结构

4.1.1 Internet 服务

4.1.2 ISAPI

4.1.3 Active Server Pages（ASP）

4.1.4 异步线程队列（ATQ）

4.1.5 Web 应用程序管理员（WAM）

4.2 IIS 接口和配置

4.2.1 接口函数

4.2.2 VC++中对ISAPI 的支持

第五章系统设计

5.1 系统框图

5.2 用户请求的处理

5.3 访问控制判决和处理

5.4 系统特点

5.4.1 Web 服务器的安全性能得到了较大提高

5.4.2 权限管理的能力得到进一步加强

5.4.3 实现方式具有广泛应用价值

第六章系统的实现

6.1 系统实施框图

6.2 SSL 的实现

6.2.1 证书的制作

6.2.2 配置服务器

6.2.3 对浏览器的配置

6.3 访问控制的例子设计

6.4 RBAC 模块的设计

6.4.1 数据库设计

6.4.2 RBAC 模块的大体结构

6.4.3 ACDF（Access Control Decision Function）设计

6.5 系统组件的安装

6.5.1 操作系统及应用软件的安装

6.5.2 RBAC 模块的安装和配置

第七章系统测试

7.1 测试环境

7.1.1 硬件环境

7.1.2 软件配置

7.2 测试内容

7.2.1 SSL 测试

7.2.2 访问控制测试

7.3 测试结果

第八章总结

参考文献

致谢

X.509证书和RBAC在Web中的应用

论文摘要

论文目录

相关论文文献

猜你喜欢