网络安全相关认证合集12篇
网络安全相关认证篇1
等级保护，2003年国家在这方面就陆续出台了一些文件，目前处于推广阶段。所以，等级保护制度可以为评估相应的产品、服务、项目作参考，因为等级保护本身就是为了保护安全，不是所有的信息资产都是保护等级最高级的，有些信息重要，有些没那么重要，这个可以用等级保护来区分。可以从设计、选型开始就用等级保护来指导。参照国际上，比如美国2002年7月对政府和军队采购已经规定必须优先采用通过CCC认证的产品。可以考虑对重要的信息系统采购进行等级保护认证，或者说分级测试认证，比较高水平的认证，甚至有些时候可以作为强制认证，这个目前还没做到，能不能把等级保护制度放在这个采购的指标考量里面，这个需要研究。
分级测评认证。等级保护可以借鉴的是产品分级测试认证，这是从国际上，最早的TC到CC，现在我国等同的标准是GB/T18336，七个等级，相当于EAL1-EAL7，以现成国际通用的，还有我国相应的标准，是不是可以拿来作为评估信息相应网络安全的参照。
不同的产品，比如现在IC卡、SIM卡最高可达EAL5，服务器操作系统最高可达到EAL4，那么EAL6、7是不是能够达到，标准能不能跟上都是问题，特别是过去这些方面标准比较少，我查了有36个方面的等级保护标准，分级也相对少，可能将来需要扩展。标准、范围都要扩展，比如分级测试标准，列入的是一小块，现在看来是很小一部分。
生命特征有虹膜识别系统，指纹、掌纹、人脸、声纹都没标准，现在大家知道身份识别标准非常重要，这些远远跟不上发展的需要，跟不上标准的建设，将来通过分级测试认证选购我们所需要的产品，不同的产品要有不同的要求，新的信息技术，尤其云计算、大数据都还来不及做。相关部门要抓紧开展研究，如何分级测试标准，加强我国网络设施安全相关要求提供支撑，这是需要请大家研究的问题。希望将来很多重要信息系统都要以分级测试标准去选购。这需要第三方测试评估标准加以评估。
自主可控的评估标准
分级测试可以解决一部分问题，但不可能解决全部问题。就像性能指标一样，存储容量、主频、计算能力、价格等指标，我们的自主可控的程度是不是可以呢？考虑总的标准，这里提了8个字“自主可控、安全可信”来概括一个系统、产品并提出这8个字作为我们的要求，但这8个字怎么来体现和评估需要大家研讨。有些专门制度，比如网络安全审查制度，但这个制度不可能随时拿出来用。所以，“自主可控”是现在可以定义可评估的标准，比较容易立项加以评估，“安全可信”比较难一点，需要大家探讨。
自主可控也是很重要的，把它作为安全可信的一个前提，自主可控达不到，安全可信就是空话，因为自主可控可以首先做到没恶意后门，自己有能力可以进行改进，进行治理，不断发展。自主可控，我们首先把它定义为属性，是可以评估的，可以独立与场景和生命周期等等作为第三方机构进行安全评估。但安全可信复杂得多。所以现在提出了自主可控的五个维度：知识产权、能力、发展、供应链、“国产”资质。
五个维度的标准
■知识产权（包括标准）自主可控
知识产权非常重要，知识产权不可靠，那就免谈，这个项目我们最终不能去支持，因为当前国际形势，面向全球化的情况之下，知识产权必须得重视，必须很好解决，不是所有的知识产权都是自己的，但可以通过授权方式，商业规则，通过这些方面拿到足够的自，能够自主可控的知识产权，如果不通过这些，下面不能做，做了也没意思。
■能力自主可控
要有足够能力强的队伍，否则知识产权是空话，没有人掌握这个知识产权和这项技术就没有用，最后也只是一个知识产权。
所以，人很重要，假如这个公司没有好的团队，那就是空话，也就做不到自主可控。维度也很重要，但是要求相应的也比较高，不仅需要能掌握生产产品的能力，变成很好的产品和服务，还需要产业链也能够保证到位，需要有时候把生态系统都能构建起来。
■发展自主可控
这是实际碰到的问题，有时候知识产权和能力都可以做，有时候不能做，因为没有发展的自主可控，这个技术就要废弃了，这个技术要过时，人们要用，大家知道它能力很强，要掌握知识产权，但知道几年以后要废弃了就不要去做。有的现在看起来还可以，假如不能真正掌握今后发展的主动权，比如Android操作系统，能否保证Android今后的发展能按照你的要求去做，做不到，发展哪个版本能继续做这个不能保证，如果不能掌握未来，就要看长远一些，不能看眼前。我们要尽量考虑长远发展。
■供应链自主可控
供应链中看起来某一个环节可以，但供应链不能解决，技术安全也不行，比如芯片有问题，即使拥有知识产权，能设计出来，但生产不出来有用吗？最后发现还得为别人生产，生产过程也是不能控制的，这个重大的环节不能控制，可能这个产品就不能做到自主可控，实际也不能保证其安全性。
■“国产”资质
国产化不等于就是自主可控，它只是自主可控的一个环节。知识产权法从2002年到现在，虽然政府采购说优先采购国产产品和货物、工程，但大家知道没有一个统一的界定，这是个很大的问题，希望这方面能够出台一个标准，不是大家最后自己做自己的。
网络安全相关认证篇2
中图分类号：F626.3 文献标识码：A
软交换网络一个很大的优势就是具有开放性的平台和接口，这样可以方便的进行业务扩展，这样各种第三方的业务以及网络都可以方便的和电信网络实现无缝连接。这就导致电信网络的规模以及业务类型十分的反正，传统互联网所面临的病毒、黑客等危险也随之蔓延到电信网络上，从而给运营商的服务造成巨大的威胁。因此，对于软交换来说，能否做好安全保障工作是一个非常重要的环节。随着软交换技术的使用以及推广，这就导致软交换面临着传统的网络安全问题。同时，软交换网络和传统网络相比还有自身的一些特点，因此其安全问题也具有自身的一些特点。在进行软交换安全防护的过程当中一般都是从软交换设备本身以及网络这两个大的方面为切入点来进行的。首先应该确保软交换的相关设备自身在设置上的安全，并且做好相应的硬件和软件防护工作，从而使软交换设备自身具有一定的安全防护能力。而对于网络的安全，则是对于软交换的承载网络安全采取相应的措施，建立健全完善的保护机制，防止通过网络对软交换设备造成的攻击。
在软交换网络建设过程当中一定要同时抓好软交换设备安全以及网络安全，两者相辅相成，缺一不可。运营商首先要在思想上引起足够的重视，做好相应的软交换安全保障工作。
1软交换面临的主要安全隐患
软交换所面临的安全问题十分多样，种类层出不穷，但是大体可以分为以下几个方面：第一，网络安全，主要是软交换网络自身的安全；第二，终端安全，终端主要是指用户侧的终端设备。当前对于用户终端的病毒以及攻击十分常见，由于软交换网络无法对其进行有效的防范，因此往往利用终端对网络发起攻击，进而对软交换的设备产生影响；第三，设备安全，主要是指各种软交换的承载设备自身的安全，这种安全隐患大多都是由于设备运行不规范或者是外部对其进行攻击。
2软交换安全服务措施
由于软交换所面临的安全隐患十分繁多，因此必须做好相应的防范工作，为用户提供安全的服务，可以通过以下几个方面的措施来实现。
2.1保密性。应该采取相应的手段对软交换网络中传递的数据进行相应的加密，从而防止没有经过授权的用户非法截留数据。这样讲数据以加密的形式传递，即使数据被截留，那么也没法进行解读。除此之外，应该做好相应的数据传输端口的防护工作，防止非法对相应的端口进行监听，保护数据的安全性。
2.2认证。建立严密的身份认证程序，防止用户合法身份被盗用，而对资源进行窃取。对于数据传输之前双方的身份以及数据来源进行认证，从而保证通信双方都具有相应的合法身份和对应的权限。将业务和实体身份进行捆绑，防止身份被盗用或者是伪装欺骗。
2.3完整性。为了防止未经授权的用户对数据继续非法修改，可以利用VPN技术进行通信。为了防止数据受到损坏，可以积极采用数字签名以及其它的完整性检测技术地数据完整性进行检测。
2.4 访问控制。通过完善的授权机制对于网络中的关键部分提供保护，对于相应的访问者进行等级划分，具备相应的等级才能够访问相应的资源，防止对于没有权限的资源进行使用。建立完善的数据库，用于存储安全认证信息，用户进行认证时需要将信息进行严格的比对。对于认证信息数据库也应该设立较高的等级，防止数据库被非法篡改。
2.5安全协议。目前应用较多的是IPSEC,SSL/TLS。至于MPLS, 严格地说它并不是一种安全协议, 其主要用途是兼容和并存目前各种IP路由和ATM交换技术, 提供一种更加具有弹性和扩充性的、效率更高的交换路由技术, 它对网络安全贡献应主要在于流量方面。
3软交换安全方案
软交换网络安全的实现, 有多种方案可供选择,下面介绍的IPSEC(ESP遂道模式)+SSL/TLS+认证服务器/策略服务器+FW/NAT是一种可运营解决方案。IPSec 体系提供标准的、安全的、普遍的机制。可以保护主机之间、网关之间和主机与网关之间的数据包安全。由于涉及的算法为标准算法,可以保证互通性,并且可以提供嵌套安全服务。另外对IPV6 而言它是一个强制标准,是今后发展的一个趋势。
IPSec协议主要由AH (认证头)协议, ESP(封装安全载荷)协议和负责密钥管理的IKE(因特网密钥交换) 协议三个协议组成。认证头(AH)协议对在媒体网关/终端设备和软交换设备之间传送的消息提供数据源认证,无连接完整性保护和防重放攻击保护。ESP协议除了提供数据完整性校验、身份认证和防重放保护外, 同时提供加密。ESP 的加密和认证是可选的, 要求支持这两种算法中的至少一种算法, 但不能同时置为空。根据要求, ESP 协议必须支持下列算法: 第一，使用CBC 模式的DES算法。第二，使用MD5的HMAC算法。第三，使用SHA-1的HMAC算法。第四，空认证算法。第五，空加密算法。数据完整性可以通过校验码(MD5) 来保证；数据身份认证通过在待认证数据中加入一个共享密钥来实现；报头中的序列号可以防止重放攻击。IKE协议主要在通信双方建立连接时规定使用的IPSec协议类型、加密算法、加密和认证密钥等属性,并负责维护。IKE采用自动模式进行管理, IKE的实现可支持协商虚拟专业网(VPN),也可从用于在事先并不知道的远程访问接入方式。
认证系统和策略系统对商用软交换系统而言是必不可少的。它们在管理层面上实施访问控制、信息验证、信息保密性等措施,可以为网络提供安全保证。同时, 认证服务可以提计费的准确性,保证网络的商业运营。
防火墙/NAT 是保证网络安全必不可少的一部分。防火墙种类繁多,它在较交换中的窍越问题可以通过两种方法实现:一是使用TCP；二是用短于关闭墙口时长为周期,不断发送消息,维持端口开启
4结束语
基于软交换的NGN 网络所存在的安全问题一直以来受到大家的关注。而作为数据网络上的一种新兴的应用,以IP作为承载媒体的软交换所面临的一些安全隐患, 实际是目前IP 网络上存在的若干问题的延续。只有很好地解决了网络的安全问题,同时配合产品本身的一些安全认证机制,软交换才能够在新的电信网中持久稳定的发挥作用,并成为解决话音、数据、视频多媒体通信需求的有效解决方法, 并最终完成“三网合一”。
网络安全工作是一个以管理为主的系统工程, 靠的是“三分技术,七分管理”, 因此必须制定一系列的安全管理制度、安全评估和风险处置手段、应急预案等, 这些措施应覆盖网络安全的各个方面,达到能够解决的安全问题及时解决,可以减轻的安全问题进行加固,不能解决的问题编制应急预案减少安全威胁。与此同时,需要强有力的管理来保障这些制度和手段落到实处。
参考文献：
网络安全相关认证篇3
中图分类号：TN92 文献标识码：A
1 无线网络安全概述
计算机网络安全是指利用网络管理控制技术措施，保证在一个网络环境里，信息数据的机密性、完整性及可使用性受到保护。无线网络是一种利用无线电波在自由空间的传播实现终端间通信的网络。随着无线网络在各领域的广泛应用和不断发展，无线网络的安全问题受到人们的普遍关注。无线网络其信号的辐射四周使得面临着较大的安全风险；由于无线终端在性能上不足使得某些加密算法无法适用于无线环境；不同类型和用途的无线网络对其对安全性及其实现的相关技术有着不同的要求。由于无线网络的结构不稳定性，许多在有线网络中实施很好的安全方案和技术并不能直接用于无线网络，同时由于无线网络环境具有复杂性和不稳定性，使得实现安全目标有一定的困难。
2 无线网络的安全特性
无线网络的应用解决了终端的移动通信问题，它具有安装便捷，网络结构动态变化灵活，不需要铺设线缆具有一定经济性，同时提供无线覆盖范围内的漫游等优势。无线网络的开放性带来两个安全问题一是接入控制，二是数据加密。无线网络在信息安全方面表现在以下几个方面：
（1） 无线网络的开放性使得网络更容易受到恶意攻击；在无线通信中，任何处于信号传播范围内的接收设备都能接收到发射装置所发射的电磁波信号，容易受到从被动窃听到主动干扰的各种攻击。在有线网络中，有固定的拓扑结构，并且具有确定的边界，攻击者必须通过物理接入网络或经过几道防线，如路由器或网关和防火墙，才能进入内部网络中。在固定的位置通过接入端口的管理控制能够有效阻断恶意攻击者。
（2）无线网络通信存在鲁棒性问题。在路由方面，普遍采用多路径路由方式，数据沿着多条路径同时传输时虽然在一定程度上提高了数据传输的可靠性，对一些扰动因素的变化比如节点失效等具有一定的鲁棒性。有线网络的传输信号稳定；无线信号传输信道特性是变化的，会受到衰落、干扰、多径、多普勒频移等许多方面的影响，信号波动很大，甚至无法通信。
（3）无线网络安全方案部署困难。在有固定边界的有线网络中，通常拓扑结构固定，安全技术方案部署容易。无线网络环境中动态变化的拓扑结构，缺乏一定的集中管理机制，安全部署较为复杂。在无线网络中网络安全必须依赖所有节点的共同参与和协作。
（4）无线网络在安全管理方面具有一定难度。有线网络的用户终端过普通线缆与接入设备之间相连，并固定在一定范围内，容易管理。而无线终端在大范围内移动，可以跨区域漫游。恶意攻击者在任何位置实施攻击，要想确定并跟踪一个特定的移动节点很难；无线网络移动终端的管理由于其移动性而带来了新的安全管理问题。
3 无线网络安全机制
无线网络存在众多的安全隐患和安全漏洞，其不得不采取一定的安全机制，一般采用加密认证机制，其中常见加密方式有WEP加密、WPA加密，认证包括IEEE802.1X验证等、以及IEEE80211I标准、WPAI等。
传统意义上无线网络使用的安全机制主要包括SSID和MAC两种。SSID（Service Set Identifier）即服务设置标识，也称ESSID，表示的是无线AP或无线路由器的标识字符，无线客户端只有输入正确的SSID才能访问该无线AP或无线路由器。通过SSID技术可以区分不同的无线局域网。它相当于一个简单的口令，保证无线局域网的安全。MAC即媒体访问控制，一般称为物理地址过滤。通过MAC技术可以在无线局域网中为无线AP或无线路由器设置一个许可接入的用户的MAC地址表，如果接入的无线网卡的MAC地址不在该列表中，无线AP或无线路由器将拒绝其接入，以实现物理地址过滤，并保证无线局域网的安全，在无线局域网中，MAC地址过滤属于硬件认证，而不是用户认证。
随着无线局域网IEEE802.11标准的风行，IEEE802.11系列标准采用的安全技术也被大家所熟知，其中主要包括用户认证、加密等几种技术。在无线网络环境中，要保证网络的安全，必须对用户的身份进行验证。IEEE802.11系列标准中，对用户进行认证的技术包括3中；开放系统认证（Open System Authentication）该认证是IEEE802.11默认认证，也是最简单的认证算法，即不认证，允许任何用户接入到无线网络中去，实际上根本没有提供对数据的保护。封闭系统认证（Closed System Authentication），该认证与开放系统认证相反，通过网络设置可以保证无线网络的安全，例如，关闭SSID广播等。共享密钥认证（Shared Key Authentication），该认证是基于wep的共享密钥认证，它事先假定一个站点通过一个独立于802.11网络的安全信道，已经接收到目标站点的一个WEP加密的认证帧，然后该站点将该帧通过WEP加密向目标站点发送。目标站点接收到之后，利用相同的WEP密钥进行解密，然后进行认证。在早期IEEE802.11标准中，主要使用的加密技术就是WEP（Wired Equivalent Protocol，有线等效协议）。WEP属于IEEE802.11b标准的一部分，它是一种对称加密加密盒解密的密钥以及算法相同，采用RC4加密算法，24位初始化向量。在一定程度上通过WEP加密可以保证传输的数据的安全性，由于其是对称加密算法加密强度不大，随着机器性能的提升容易破解。为了弥补无线局域网自身存在的缺陷，IEEE标准委员会正式批准了新一代的IEEE 802.11i标准即WI-FI，它结合认证和加密，在认证方面采用IEEE802.1X认证，而在数据加密方面，提出了TKIP、CCMP和WRAP三种加密机制。
由于802.11i并不是WLAN的终极，针对其不完善之处，例如缺少对WLAN设备身份的安全认证，我国在无线局域网国家标准中提出了安全等级更高的WAPI；WPAI由WAI和WPI两个部分组成， WAPI采用了基于公钥密码体制的椭圆曲线密码算法和对称密码体制的分组密码算法，通过数字证书和传输数据的加解密，实现设备的身份鉴别、访问控制和用户信息的加密保护。WAPI安全系统采用公钥密码技术，鉴权服务器AS负责证书的颁发、验证与吊销等，无线客户端与无线接入点AP上都安装有AS颁发的公钥证书，作为自己的数字身份凭证。当无线客户端登录至无线接入点AP时，在访问网络之前必须通过鉴别服务器AS对双方进行身份验证。根据验证的结果，持有合法证书的移动终端才能接入持有合法证书的无线接入点AP。
4 结论
无线攻击从单纯的WEP及WPA连接密码破解外，还有无线D.O.S、无线欺骗/伪造基站攻击、无线设备溢出、数据拦截与还原、认证体系攻击等等。除此之外，还有针对蓝牙、GSM、CDMA、3G等攻击、欺骗或伪造的技术。在组建无线网络的时候，千万要牢记网络的不安全因素，要对设备进行一定的安全配置，同时个人移动端接入时也要考虑自身的安全性。考虑网络的安全时不仅要采用一定的加密认证等机制，而且还需要采用入侵检测、防火墙等技术的配合来共同保障，因此部署无线局域网的安全需要从多层次来考虑，利用各种技术来实现。
参考文献
网络安全相关认证篇4
【 中图分类号 】 O242； F830.9 【 文献标识码 】 A
Suggestions on Constructing Reliable Cyber Space in China
Feng Wei Wang Chuang
（CCID Think tank， China Center of Information Industry Development Beijing 100846）
【 Abstract 】 With the development of mobile Internet and Internet of Things， cyberspace is not only the communication tools among people， but also the communication tools among people and objects.. Cyberspace has become a global social platform， which is deemed as the “second living space” of human. Meanwhile， cyberspace security events has increasingly emerged， which constraint the development of cyberspace. A reliable and trusted cyberspace is of great significance of China’s economic and social development. It is necessary to carry out research on the construction strategies of cyberspace in China， in order to solve problems and challenges faced by cyberspace in China.
【 Keywords 】 reliable cyberspace； information security； suggestions
1 可信网络空间及其特性
可信网络空间是指一个网络主体彼此信任、信息的安全性和真实性值得信赖、仲裁结果令人信服的网络空间。其中，电子认证服务是连接网络主体与应用提供商的桥梁，是构建可信网络空间的核心环节，也是主体注册、信息存储、信息传输、信息提取、网络举证、网络仲裁等构建可信网络空间的其他环节的基础。
可信网络空间主要包括五个特性。
主体身份的“真实性”，即网络行为主体的身份真实可靠，如果是匿名或假名主体，必须确保通过一定的方式可以核实其真实身份。
主体属性的“可靠性”，即网络行为主体的年龄、性别、职务等属性信息是可靠的、值得信赖的。
信息内容的“保密性”，即网络信息不被泄露给非授权的用户、实体或过程，或供其利用。
信息内容的“完整性”，即网络信息在存储或传输过程中保持不被删除、修改、伪造、乱序、重放、插入等行为偶然或蓄意地破坏和篡改。
主体行为的“可追溯性”，即在适当的时间，采用合适的方式标识网络行为的主体、发生时间及状态，为网络仲裁提供依据。
可信网络空间国家战略就是要从政策、法律法规、组织机构、产业、基础设施、技术、人才等多个方面，确保我国网络空间满足上述五个特性。
2 构建我国可信网络空间存在的问题
2.1 网络空间产生诸多新威胁
网络空间的出现带来了快速而巨大的变革，同时也带来了新的威胁。近年来，全球信息安全安全保障和风险防范难度持续加大，具体包括：黑客行为组织化；恶意攻击更具目标性，高级可持续性攻击增多；出现了政府部门支持的攻击、发起的攻击；物联网、云计算、移动互联网等新技术应用带来新问题；重要信息系统和工业控制系统的安全状况面临挑战等。
2.2 可信网络空间核心产业不能满足可信网络空间需求
电子认证服务产业是可信网络空间的核心产业，其在快速发展的同时也存在着诸多问题。
第一，针对电子认证服务（CA）机构的商业保险等公共服务尚未发展起来。CA机构对其发放的数字证书给用户造成的损失进行赔付，是数字证书提供优质服务的保证，但目前保险行业还缺少相应保险属种。
第二，数字证书在服务器认证、移动电子商务等高端应用相对落后。截至2011年底我国有约230万个网站，但仅使用2万余张服务器证书，99%以上的网站没有使用服务器证书。在2万余张证书中，国外机构签发3510张，虽然只占我国证书总量的17.2%，但都应用于证券、银行、保险、其他金融类服务、电子商务行业等关系国计民生的领域存在安全隐患。
2.3 可信网络空间相关技术相对滞后
第一，国产密码算法尚不能满足需求。出于国家安全的考虑，作为重要基础设施的PKI系统将不能依赖于美国及其他国家密码算法产品的出口，必须加快国产密码算法技术产品的研发和生产，全面形成自有知识产权的系列密码算法。第二，相对于移动互联网、云计算、物联网等新兴领域日益扩大的需求，新技术领域可信技术开发仍存在较大差距。
2.4 可信网络空间的专业人才队伍不能满足需求
构建可信网络空间，归根结底要靠“人”去实施。目前可信网络空间专业人才严重不足，不能满足构建我国可信网络空间的需求。尤其缺少既懂技术又有经营管理经验的复合型人才，当务之急是要加快这类人才的培养。
3 构建我国可信网络空间的战略举措
3.1 构建我国可信网络空间的战略思路
构建我国可信网络空间应坚持的战略思路是：坚持政府引导、市场运作、各方参与的原则，坚持制度创新和研发创新相结合，推动部门、机构、区域、国家间广泛合作，兼顾解决方案可用性、安全可靠性、可互操作性和经济性，充分利用现有的电子认证服务业资源，把电子认证业作为可信网络空间的核心和基础环节，加快电子认证服务产业链建设、推动电子认证服务在电子商务、电子政务等领域的应用，逐步实现对实体身份、属性的认证，以及主体行为核查和追溯，建立网络空间身份认证、属性认证、信息保护、授权管理和责任认定机制，推动建立互信、互认、安全、公正的可信网络空间。
3.2 构建我国可信网络空间的战略目标
构建我国可信网络空间应实现的目标是：建立基于数字证书的可信网络生态体系，进一步推动各网络主体在网络空间中建立可靠的信任关系，有效规避各种网络风险和安全威胁，营造互信、互认、安全、公正的网络环境。
如图1所示，可信网络生态体系是一种信任机制，利用这种机制，政府、组织和个人能够在虚拟和自由的网络空间中建立起可靠的信任关系，充分相信对方，形成互信、互认、安全、公正的网络氛围。
3.3 可信网络生态体系应用模式示例
如图2所示，在参与在线业务之前，可信网络生态体系中的网络主体可从身份提供商处获得一个匿名或者可唯一标识身份的身份凭据。身份提供商将验证主体的物理身份，并确保数字身份准确地反应了真实的网络主体。随后，身份提供商将主体的身份凭据与主体的数字身份联系到一起。
在图3中，网络主体直接向依赖方展示其身份凭据和属性，以获得业务授权。网络主体利用隐私增强技术，使向依赖方提供的信息量最小化。接下来，在无需身份提供商及属性提供商知悉该主体正在进行当前业务的前提下，依赖方可以验证该主体的身份凭据和属性。网络主体可能向依赖方提供属性值（例如“我的生日是1974年3月31日”），或者是经过验证的属性声明（例如“我的年龄大于21岁”）。依赖方可以鉴别该凭据和属性是否来自于可靠的提供商，以及该凭据和属性是否仍具有时效性。同样，通过检查依赖方是否拥有可以证明其遵守可信网络生态体系规则的可信标记，网络主体能够更加明智地选择依赖方。当个体在线获取依赖方的服务时，可信标记可通过电子方式得以验证。
4 构建我国可信网络空间的措施建议
以电子认证服务为核心的网络信任体系建设，为构建可信网络生态体系奠定了坚实的政策、法律法规、组织机构、产业、基础设施、技术和人才基础，但是可信网络生态体系的实现仍需开展大量的工作。
4.1 完善可信网络空间相关法律体系和标准规范
建议完善可信网络空间法律体系，健全《刑法》、《公司法》、《合同法》等相关法律法规，明确网络犯罪行为的认定和处罚、实现对虚拟财产、虚拟身份、网上交易等网络资源和行为的法律保护，并针对电子商务、网络隐私保护、网络信息安全保护的特殊需要，探索网络空间单独立法的必要性和可行性。完善网络身份管理、网络属性管理、网络权限管理、网络行为/内容认定相关标准规范，建立涵盖环境、系统、流程、内容的身份/权限证书签发和应用标准体系。
4.2 建立结构合理的证书策略体系
建议逐步推出可信网络空间个人、法人、设备等所有网络主体的证书分类策略，确保在可信网络空间中针对所有网络行为能够追溯出其所对应的网络主体。根据应用需要进行证书分级，建立完善的（身份）证书分类分级策略体系。
4.3 加强可信技术产品研发和创新
建议推动电子签名与认证基础技术产品的国产化，完成加密机、数字证书认证系统、数字证书介质、数字证书应用系统的升级换代，全面支持国产密码算法，大力提升国产密码算法产品的效率、稳定性和可靠性。加快国产可信安全操作系统、可信安全整机，以及可信安全芯片、可信BIOS等关键零部件的成熟化进程，鼓励重点领域的关键基础设施、信息系统采用国产可信计算产品和安全解决方案。
4.4 推动可信网站评价体系建设
建议制定合理的网站可信评价指标体系框架，明确网站可信展示指标、网站可信认证指标在网站可信评价指标体系中的地位以及它们之间的关系。明确网站可信认证指标，通过权威备案信息比对和服务器数字证书验证两种方法对网站进行可信评价，引入第三方机构参与评价，确保评价的公信力。
4.5 加快专门人才队伍建设
建议在教育机构中设立相关专业课程，进行专业培训，还要建立企业和高校联合培养机制，建立人才实训基地，大力培养行业紧缺人才。充分发挥行业组织等公共服务机构作用，开展行业专业技能培训，针对入侵检测、日志管理等专业内容，开展大规模的培训和认证。建立人才选拔机制，从现有的人员中选拔具有相关知识技能的人才，以应对专业人才缺乏的现状。
4.6 加大资金保障力度
可信网络空间建设需要持续大规模的资金投入。建议加大在技术研发和创新方面的资金支持力度，形成以政府投入为引导、企业投入为主体、其他投入为补充的长效投融资机制。建议将贯彻落实构建可信网络空间的资金纳入各级政府财政预算予以保障。建议拓展投融资渠道，鼓励和引导风险投资、民营资本投入到可信网络空间建设中来，为可信网络空间建设提供更为坚实的资金保障。
4.7 加强国际交流与合作
网络空间中国与国的边界日益模糊，构造可信网络空间已经成为跨越国界的世界性课题。推动可信网络空间建设不能闭门造车，应加强国际交流与合作，借鉴国际上的先进经验。建议加强国际交流与合作，积极参加国际社会有关可信网络空间的讨论，参与制订相关国际规则，规范信息和网络空间行为，推动数字证书等可信网络技术手段的跨境互认，提高我国在可信网络空间建设上的国际话语权。
参考文献
[1] 宁家骏.创建可信绿色网络空间.计算机安全，2005年 第4期.
[2] 中国电子信息产业发展研究院.中国电子认证服务业发展蓝皮书（2012）.中央文献出版社，2012年10月.
[3] 中华人民共和国第十届全国人民代表大会常务委员会.电子签名法.2004年8月.
[4] 网络空间可信身份国家战略――增强在线选择性、有效性、安全性与隐私保护.美国白宫，2011年4月.
基金项目：
本课题得到国家高技术研究发展计划（863计划）No.2012AA01A403支持。
网络安全相关认证篇5
中图分类号：TB
文献标识码：A
文章编号：16723198（2015）12019102
1 无线传感器网络安全问题分析
无线传感器网络安全是其工作的关键，无线传感器网络的安全隐患主要包括：
（1）恶意节点攻击问题。无线传感器中的传感器节点都处在一个开放的环境中，并且以自组织的方式进行网络传输，而且这些传感器节点是没有采取任何防护措施的，而且为了提高传感器的灵活性，我们还会在传感器的节点上设置一个编程接口，这样物理层面的不安全性，为外界通过传感器节点获取重要的信息或者进行信息内容篡改提供了可乘之机。根据对传感器节点攻击的方式，我们将传感器恶意节点攻击分为外部恶意节点和内部恶意节点。外部恶意节点没有传感器其他网络节点建立信任关系。内部恶意节点就是在外界获取网络正常节点之后，其通过获取的共享秘钥等信息，对传感器网络进行攻击。
（2）信道访问的公平性问题。传感器网络中的每个信道都具有平等的机会，他们都具有传输信息的功能。因此为保证传感器网络信道的公平，我们采取MAC协议来控制节点介入通道的能力，一般我们会采取退避算法进行公平布置通道公平问题，但是这样一来我们就需要面对这样一个现实问题：当每个通道节点都采取了退避算法之后，每个节点的退避时间都减小到0，那么一来就会造成各个通道又发生冲突的可能。因此采取何种退避算法是保证信道公平的最大问题。
（3）节点移动的影响。节点是不断移动的，节点的移动必然会造成网络拓扑结构的变化，而这些变化需要网络路由协议作出相应的变化。同时移动节点也会对信道接入协议产生影响，但是根据相关文献研究，节点移动对无线传感器网络的影响是忽略不计的。
由上述可知，由于无线传感器网络的特性，使得它们面临的安全隐患不同，因此本文从安全认证技术和网络体系结构入手，针对已有的认证技术和MAC协议进行改进，提出一种新的安全策略。
2 当前无线传感器网络安全认证方案的现状
安全认证是无线传感器网路运行的关键技术，当前对无线传感器的安全认证主要是通过KDC的方案以及相邻传感器之间的密钥交换实现的。
2.1 基于对称密码体制的认证方案
由于在传感器网络中，节点的能量是比较有限的，因此采取对称密码体制的计算要远远小于非对称密码体制的计算，因此从节约资源角度出发，我们应该选择对称密码体制。对称密码体制认证方案主要有E―G方案。矩阵密钥预分配方案、基于多项式的密钥分配方案。这些方案基本上都具有相同的思路：都是通过某种方法，使得相邻节点之前建立共享密钥，在节点之间形成相互认证。
2.2 基于非对称密码体制的认证方案
随着网络技术的不断发展以及人们研究层次的加深，人们已经逐渐的将非对称密码体制应用于无线传感器网络认证体系中，之所以选择非对称密码体制认证主要是因为非对称密码体制的安全性要高，对非对称密码体制认证的方案目前主要集中在：基于RSA算法的TinyPK实体认证方案、基于ECC加密的强用户认证方案以及基于身份标识的认证方案。
2.3 分布式安全认证方案
分布式安全认证方案是由Bauer在2005年首次提出来的，其采取的主要是秘密共享和组群同意的密码学概念，该方案的制定思路是：初始化。传感器网络被假设为每个节点都有一个前向节点和后续节点，在节点被应用到具体的环境中之前，系统会给每个节点一个唯一编号，并且告知其相应的信息，这个信息是该节点独自掌握的；密码分割。秘密分割主要是在节点需要认证时，系统会将部分信息以分割的方式传递给需要认证的节点；身份认证。说的通俗点就是在节点需要认证时需要将系统进行身份认证，如果系统信息与节点自身的信息向符合，那么节点就会被认可。
综合上述的无线传感器网络安全认证方案，其主要采取的基于密钥管理的模式来解决节点的身份认证问题，这样的方案需要服务器进行集中、同步机制，这样在进行运行时由于通信量比较大，很容易造成安全问题，而且这些认证方案只能对外部恶意节点攻击进行防范，而不能处理内部节点的恶意攻击，因此该方案中的某个节点一旦被外界所俘获，那么这个节点的密钥也就被其所掌握的，进而会对整个网络通信安全构成威胁。因此本文从传感器行为的空间相关性和时间相关性入手，提出基于可信的WSN认证技术。
3 基于可信的无线传感器网络认证方案
3.1 网络可信技术
网络可信是当前计算机网络安全研究领域的热门话题，网络可信技术是在原来网络安全技术的基础上增加行为可信安全的新方法。网络可信技术就是在网路在给网络运行设定目标时，如果该行为是可以预期的，那么该网络实体就是可信的。网络可信主要是从以下四个方面阐述的：一是对用户的身份进行唯一性认证；二是网络平台软件、硬件配置是正确的；三是应用程序的完整性和合法性；四是网络环境下平台之间的相互信任性。
3.2 节点行为信任模型的构建
信任模型就是无线传感器通过本身的节点与其它节点相互交往建立的量化的评价体系。信任模型本质上属于节点的实际物理属性和行为的一个综合能力的反映。在可信无线传感器网络认证方案中节点的可信度是整个方案的核心技术，因此对节点的可信度的度量就显得格外的重要。我们可以采取以下度量方法：一是根据节点进行身份认证时获得的信息进行计算。二是通过预测节访问对象的序列来计算；三是根据节点在享受内网时表现出来的属性进行计算。
3.3 基于可信的无线传感器网络认证方案
由于无线传感器主要是通过传感器内的节点进行工作，因此在某种意义上，传感器节点之间存在很大的关联性，因此我们可以借助该特点对当前的传感器节点进行信任度的计算。设无线传感器网络中参与认证的传感器集合为S=（51，S：，，，S″），zi（k）表示k时刻传感器51的输出″系统状态方程和输出方程如下：
这里Φ（k）、G（k）、H（k）分别表示状态转移矩阵、过程噪声分布矩阵及输出矩阵；v（k）和w（k）分别表示具有零均值和正定协方差矩阵的高斯噪声向量。
根据上述公式，传感器的算法主要体现在以下流程：将无线传感器网络安全认证与行为信任相结合，强化对网络节点行为可信的动态处理。具体表现在传感器网络中的簇透对内部节点行为进行安全认证，路由节点的下一跳节点对上一跳节点进行安全认证。首先是簇头对节点进行信任等级授权，如果某节点的信任等级不信任，那么系统就会丢弃该节点输出的信息或者将其断开与网络的连接，以此保证无线传感器网络的安全。
基于行为可信的认证算法基本思想是：将现有认证机制与行为信任相结合，强化对网络节点行为可信的动态处理。算法的具体实现过程主要分为：一是簇头首先对簇内的节点进行身份认证，该身份认证主要是根据网络部署时所设置的密钥管理进行，一旦密钥失效，那么簇头就会将传感器设定为false，传感器网络就会拒绝该节点的访问。二是进行安全认证的节点会与周围的节点进行信息交换，并且根据交换的信息计算密钥认证通过节点的信任度，如果计算出来的数值小于无线传感器网络安全值时，那么无线传感器的状态就是false.就会被系统所拒绝访问，相反，则系统就允许其运行。
4 结束语
无线传感器网络是由一系列传感器节点组成的，以无线Adhoc形式进行通信的网络由于无线传感器网络一般都应用在无人值守的恶劣环境区域中，极易受到外界的干扰，所以无线传感器网络的安全是主要关注的问题，针对这种网络特性，本文在现有的安全认证的基础上加入了可信计算的思想，解决了已有的研究大多是基于密钥的身份认证，不能处理节点错误行为的安全认证问题，同时为了更好地实现这一机制，还对WSN的MAC协议、S-MAC协议进行了研究，并结合T-MAC协议对其进行了改进。
网络安全相关认证篇6
一、网络接入控制和认证现状
现今，随着计算机信息技术的发展，网络接入控制手段也变的多样化，而目前较常用的有：IEEE 802.1x、思科的 NAC 框架体系以及静态 IP+MAC绑定。对于终端的接入认证方式主要采用Web/Portal 认证以及 IEEE 802.1x+Radius 认证。这些接入控制和认证技术随被广泛运用，但其都存在着各自的优势和一些不足。
对于园区网管理方式来说，现今常用的网络接入控制和认证方法较少，其选择性较为单一。造成了我们在最大化运用技术手段优势的同时也将其不足无形的放大，例如在园区网中得到广泛应用的802.1x+Radius 认证方式，但Radius 认证服务器在使用过程中却成为了一个单点故障，如果认证服务器出现故障不能正常运行，需要人工去除接入层交换机端口的 802.1x 的配置选项，实施起来不仅工作量大还会影响园区网中部分重要终端的正常运行;Web/Portal 认证实施起来比较方便，但无法确保二层技术认证的安全；如二层技术得不到保障，直接使用七层技术进行认证又存在一定的风险。能否将多种接入控制和认证手段综合运用，充分发挥其各自优势，适应园区网复杂的应用环境，成为一个值得讨论研究的问题。
二、基于用户群的网络接入控制和认证策略
园区网用户群指的是：为了对网络进行有效的管理而人为地将园区用户进行的逻辑划分，在特定的网络环境中与用户的隶属关系、工作的地理位置存在着不同程度的相同之处，而对于一般的网络环境而言，它与传统的用户分组有所不同，它的定义和分类是基于图 1 中的因素而定的。
1. 用户的主要网络行为
用户的主要网络行为主要是指：用户终端的功能角色对网络状态的一种需求方式，可分为持续性和间断性两种不同的需求方式。例如，科研机构的某些专业专用的服务器，用户终端需要不断地发送和接收相关数据，所以要求相关服务必须持续且可利用，这种需求方式是持续性的。间断性的，例如部分的园区网办公终端、普通用户终端等，此类用户只在需要网络时才会对网络产生需求，一般而言他们对网络的使用时间相对比较集中。
2. 用户的计算机网络知识层次
用户对计算机技术的了解及网络技术应用的认识程度也一定程度上决定着网络接入控制和认证的策略。知识层次高的用户，对网络的使用需求就不仅仅是应用层面的，他们对网络的数据传输、网络的安全设置等都会有一定程度的了解和认识，他们会更改使用终端的网络参数，对某项攻击或不良软件的使用会相对灵活和熟练。知识层次相对低的用户，他们对网络的使用仅限于对网络的一般应用， 通常是基于网络的各种应用程序，不会对网络参数的设定进行更改。
三、基于用户群的网络接入控制和认证策略的优点
1．减轻设备压力，分流认证，防止单点故障。
Web/Portal认证需借助防火墙的触发进行认证，对于大型的园区网而言，Web/Portal认证会增加防火墙的压力，存在一定的安全隐患。单一的Radius认证又依赖于认证服务器的运行状态，多种认证方式的结合可以取长补短，有效的防止单点故障，较少网络运行存在的风险。
2. 操作便捷，使网络管理的难度和繁杂度大大降低。
在同一种网络环境中接入不同的控制和认证策略，表面上似乎是加大了网络管理维护的繁杂度，但实际是各种的控制和认证策略的接入分流了网络故障同时发生的可能性，在一定程度上减轻了网络管理和维护的负担。
3. 加强科学管理，提高网络管理质量
对用户进科学合理的划分，不仅可以有条理的面对网络管理中存在的问题，在问题出现的萌芽状态就可高效解决，提高了网络管理的主动性，从而网络管理质量也进一步有了提升。随着网络技术的普及和发展，网络的安全问题也越来越备受关注，基于用户群的网络接入和认证策略仅仅是网络安全管理的一种方式，只有不断的完善网络管理的方式，提高网络安全，形成一种网络安全防护体系，才能提高园区网的安全防护，才能给用户提供更好、更安全的网络。
网络安全相关认证篇7
中图分类号：TP393.08
伴随着我国网络普及率的不断提高，网络安全问题已经成为当前社会议论的热点。计算机网络安全已经不再是关乎到企业经营利益，更重要的是关乎到国家未来发展的安全与稳定。所以现代社会网络安全问题将是未来最重要的安全性问题，必须要整个社会共同努力，全面提高安全防护措施。
1 网络安全现状与常见威胁分析
（1）企业网络安全现状分析。就目前形势来看，国内企业数据信息安全很多乐观，特别是在信息网络安全方面、网络安全技术人才方面、企业内部员工网络安全防护意识方面均存在着较大问题。更有甚者，一些企业领导认为像防火墙此类的安全防护软件可有可无。殊不知，网络安全体系的构建是一项长期的工作，只有在关键时刻才能够显示其最大的价值。
（2）企业网络面临的安全威胁。第一，自然威胁与无意失误。所谓自然威胁即是指因自然灾害所导致的企业数据丢失，这种网络威胁是不可避免的。无意失误顾名思义就是指由于企业内部安全管理人员的误操作所导致的企业机密信息丢失或者泄露。企业网络管理员在进行网络安全配置时，由于网络安全设置不当，导致用户口令较为容易破解。第二，非授权访问。所谓非授权访问是指通过编写各种木马病毒或者通过调整计算机程序入侵其他用户的网络，或者以非法未授权的方式访问其他用户系统文件。有些黑客会通过一些非法手段，肆意扩大访问权限或者以虚假身份进入他人计算机网络进行各种数据信息的读取。第三，木马程序及后门。这种威胁主要是指利用远程控制手段，对他人计算机程序进行非常隐蔽或者未授权方式的读取。如果企业的某台计算机被非法安装了木马程序或者后门，那么该计算机上的各种机密信息就极有可能被黑客窃取。譬如该计算机上输入的各种密码，相互交换的各种数据信息，均会通过非法程序向黑客直接发送。现阶段这种远程控制方式非常普遍，也是黑客窃取他人信息的主要手段之一。第四，计算机病毒。这种网络威胁方式通常情况下均是由不法分子直接在计算机程序中安装破坏计算机功能，窃取计算机数据而安装的。计算机病毒的出现肯定会对该计算机系统的运行产生一定的影响，它既能够自我复制计算机指令来控制计算机，同时也能够在该系统中寄生更多的病毒。一般情况下，计算机一旦被病毒感染之后，均会出现蓝屏、自动重启、卡机等问题，而且会在非常短的时间之内致使整个计算机系统瘫痪，给企业带来非常惨重的损失。
2 网络安全体系研究
关于网络安全体系的实施过程，其实施前提是系统已经部署了较为完善的安全产品，如计算机防入侵检测系统、网络防火墙系统、计算机防病毒软件、VPN以及相关的安全认证等。对于各种类型的安全产品集成的有机体系与系统动态的安全策略是一致性的，其维护是对网络安全体系进行构架的关键因素。系统安全的策略拓展的时效性，则是为了实现系统安全目标的必要条件。
（1）互操作性。对于各个服务都必须遵循的基本安全策略工作时，就是为了解决系统互操作性的关键要素。也就是说系统安全策略必须保证其各个服务都遵循一致。此外，对于某些服务的活动范围其依据并不是直接来源于系统安全策略，而是出于服务间的联动规则。所以说针对此类系统控制中心必须能够及时的实现这种联动规则。
（2）可管理性。对于一个设计良好的可靠地信息安全集成管理平台来说，其应该能够从管理技术和管理策略上保证系统的安全策略能够得到更好更整准确地实现，进而促使对安全需求方面能够更加全面准确地得到满足。这即包括了确定必需的安全服务也包含了对安全机制与技术管理方面的要求，从而实现网络安全体系在系统中的合理部署与配置。
（3）可扩展性。关于网络安全体系集成可扩展性的要求是：对于每种新投入的安全服务或安全设备，或者新型的网络安全技术的使用，系统可接纳其无缝集成运行到系统中无需对操作本身作修改，或只作较少配置改动。
3 网络安全设计结构
依据网络安全的相关法律法规，安全防御策略应是全方位和动态纵深的，对网络实行分层、分级以及实时防护，对于网络中的特定的安全漏洞能够及时评估和发现，对于各种网络的侵入行为实时监测并能依据监测结果预警，甚至是遭受攻击时，自发地发出报警信号、处理措施；这样就使得在恶意入侵某一层安全防御措施后，能被后续的应急措施阻拦，确保系统的最大程度安全。
（1）VLAN的网络分割。在以太网发展的过程中，出现了广播相关的技术问题以及安全性问题，为了解决这个问题，人们提出了VLAN协议。这个协议的原理是，在传统以太网帧上增加了VLAN头，通过这样的VLAN ID将网络上的计算机分为相对独立的工作组，而不同组之间的计算机不能进行直接互相访问，每个VLAN就是一个虚拟局域网，这样使得技能限制广播的范围，并能够组成虚拟的工作组，VLAN之间的互相访问则需要有协议中的授权进行信息交换。为了防止敏感资源的泄露以及广播信息的泛滥，在0层交换机的集中式网络环境中，将网络中的所有客户计算机和服务器分别分配到不同的VLAN中，而在相对独立的VLAN中，用户通过设置IP来进行与服务器之间的互相ping是被禁止的，同样也需要禁止用户计算机对服务器相关数据资源的写入，只允许相关数据的读出，通过这样的协议机制，能够更好地保护主机资源和服务器中的敏感信息。而在实际应用中，企业的部门位置有些分散，有些交叉重叠、不易分离，我们通过三层交换机网络，经过VLAN的相关划分，实现部门都有各自独有的VLAN，既方便了互相访问，有保证了信息的安全。
（2）MAC地址绑定。这样的绑定是通过0层交换机，在其安全控制列表中，使得计算机的MAC地址和交换机上的端口进行捆绑，由于MAC地址是网络适配卡的网络身份标识，通过这样的绑定，可以有效防止未注册的非法计算机访问网络，这也就是物理层面的安全防御。同样，我们也可以使用内部网络的安全管理系统，统筹分配网络中的硬件资源。
（3）防火墙配置。上述我们讲述了VLAN将网络划分为独立的VLAN网络，而在这些网络之间，需要我们使用特定的软件或硬件系统，来保证外部网络与内部网络的相对隔离防护，也即防火墙的配置。本文则是采用硬件防火墙方式，是通过控制特定的数据通讯的是否与许出入来实现的，这是通过访问控制策略来决定一个数据的出入是否被允许的。
对于一个网络，在保证安全性的同时，也要考虑信息通信的运行速度以及经济性等问题，因此在防火墙配置的软硬件选型中，要选用符合相关保密要求的国产防火墙，从而有效防止外部用户的非法访问，而为了充分的保证网络安全，可以配置1套备份防火墙，在其中一台出现问题时，另一台迅速启动，以达到无缝保护网络安全。而当今的防火墙访问控制策略有如下几种所示：所有往复数据均需经过防火墙的过滤与监测；符合安全策略的数据包才能经防火墙过滤而通过；服务器访问互联网不能直接通行；防火墙本身作为一个系统，也要有抵御非法访问以及攻击的功能；在没经设置的情况下，默认禁止各种网络服务，除非是客户计算机等发起的或者必须服务，而需要网络开放特殊端口的特定服务要经过系统管理员的允许。
（4）入侵检测系统的部署。传统的网络安全防御方法还不足以满足当今的网络安全要求，新的防御技术应运而生，入侵检测技术就是其中一种，它能够很好的弥补防火墙的不足，有效地结合其他网络安全产品的性能，对网络安全能够进行全方位的保护，并且具有了传统网络安全技术所不具备的主动性，在提供实时监测的同时，并根据特定的网络安全情况来采取相应的手段。相对于防火墙的部署位置，入侵监测是部署在网络的旁路中，不必像防火墙那样对所有出入网络的信息进行访问控制，不会影响整个网络的整体性能；在对全部网络的内容进行入侵检测和判断，并对分析历史进行记录，以利于事故追忆和系统恢复，并断开特定的网络链接等。
（5）身份认证。网络通信的最终目的是为了提供网络上计算机之间的数据通信和数据交换，而身份认证正是基于对通信双方进行身份的确认，保证每次通信双方的信息安全。当前比较常用的通信身份认证技术有：静态密码、智能卡、USB Key和动态口令等，得到普遍应用的是用户名和静态密码的方式；本文中我们使用USB Key方法，这种方法是基于软硬件认证技术，在保证安全性的同时，也保证了易用性。这种该设备内部有微机芯片，存放有用户特定的密钥或者数字证书，通过其内置的密码算法来达到用户的身份认证的目的，这样的身份认证系统有两种认证方法：一是基于冲击响应的模式，二是基于PKI体系的认证模式。
（6）内网安全管理。传统的安全防御理念，重点集中在常规的漏洞扫描、入网检测等方面，重要的安全设备虽然集中在机房中，处在层层的保卫中，来自网络外部的安全威胁大大的缩小了，来自网络内部的安全威胁却相对比较突出，这也是由于内网频频出现的违规安装软件，私自拨号上网以及私自接入其他非法计算机等情况使得内网网络问题频频出现，危及网络的安全，网络管理员相应的需要从准入控制管理以及信息访问控制等六大功能体系出发，来有效地解决出现的问题。
（7）数据备份与恢复。为了防止数据丢失，造成重要数据的无法挽回，网络系统需要经常性的进行数据备份，把特定的数据转存到目的介质中。这样，即使整个网络系统崩溃，数据部分或全部丢失，数据也能恢复到备份时的状态。
本文中的网络体系的构建，在集中式网络管理工具对系统数据进行备份，通过内部网路管理系统对其进行统一管理，用专门管理备份数据的服务器监控相应的备份作业，这样使得系统的备份数据能够统一集中的备份到统一磁盘阵列上。而对于网络数据的备份，实现的方式主要有以下几种：采用自动增量备份，使得系统管理员的工作量得到相应的降低；制定数据备份日程，按照计划进行备份；全面地备份存储介质的物理管理，一定程度上避免读写时的误操作；对备份后的数据所在的存储介质，通过合理的分类存放，使得保存科学可靠；在备份服务器为核心的备份系统中，对各种备份数据统筹管理，合理分配资源，实时监控，实现分布式存放，集中式管理，既提高了存储的可靠性，又保证了存取的快速性。
4 结束语
企业计算机网络安全系统的构建是一个非常复杂的系统工程，它涉及到多个学科的内容，同时也需要企业各个部门的相互协调配合。只有企业自身重视数据信息保护，制定相对完善的数据信息安全保护制度，才能够从根本上实现企业机密信息的绝对安全。在今后的工作中，笔者将继续致力于该领域的研究工作，以期能够获得更多有价值的研究成果。
参考文献：
[1]魏昱.如何解决计算机网络系统的安全问题[J].电子制作，2013（07）：134-135.
网络安全相关认证篇8
随着网络技术和信息技术的发展,电子商务已经被普通百姓所接受,它将逐步取代传统商务活动,并有可能彻底改变贸易活动的本质,形成一套全新的贸易活动框架。但由于多种原因,电子商务的安全性仍然得不到有效的保障。为了解决电子商务的安全问题,世界各国经过多年的研究,初步形成了一套比较完整的解决方案,即公开密钥基础设施pki(public key infrastructure)。pki是基于公开密钥理论和技术建立起来的、提供信息安全服务的具有通用性的安全基础设施,可以保证网络通信、网上交易的安全。它采用证书进行公钥管理,通过
第三方可信任机构———认证中心ca(certificate authority),把用户的公钥和用户的其他标识信息(如用户名、email地址、身份证号码等)捆绑在一起,从而实现用户身份的验证、密钥的自动管理等安全功能。而电子商务它本质上仍是商务，只是在资讯媒介这一交易手段上有了创新，即以网络数据传递方式代替传统的纸介质的书面形式。电子商务仍须严谨地按照传统交易规则进行。与传统交易模式相比较，除了利用了更为便捷高效的网络媒介手段外，整个交易流程没有改变，交易各方仍须经过互相确认身份、邀约及承诺、合约履行三个环节。
在商务活动中，公证司法证明权也必需在网上的实现，而这种在网络上进行的证明，有别于纸介质的书面证明方式，我们称之为“网络公证”（cybernotary）。
一、国内ca的现状
ca认证机构是电子商务发展的需要。各级ca认证机构的存在组成了整个电子商务的信任链。如果ca机构不安全或发放的数字证书不具有权威性、公正性和可信赖性，电子商务就根本无从谈起。自1998年国内第一家以实体形式运营的上海ca中心成立以来，全国各地、各行业已经建成了几十家不同类型的ca认证机构。从ca中心建设的背景来分，国内的ca中心可以分为三类：行业建立的ca，如cfca，ctca等；政府授权建立的ca，如上海ca、北京ca等商业性ca。不难看出，行业性ca不但是数字认证的服务商，也是其他商品交易的服务商，他们不可避免的要在不同程度上参与交易过程，这与ca中心本身要求的“第三方”性质又有很大的不同。就应用的范围而言，行业性ca更倾向于在自己熟悉的领域内开展服务。例如，外经贸部的国富安ca认证中心适当完善之后将首先应用于外贸企业的进出口业务。政府授权建立的第三方认证系统属于地区性ca，除具有地域优势外，在推广应用和总体协调方面具有明显的优势，不过需要指出地区性ca 离不开与银行、邮电等行业的合作。
二、国内ca存在的问题
在电子商务系统中，ca 安全认证中心负责所有实体证书的签名和分发。ca安全认证体系由证书审批部门和证书操作部门组成。就目前的情况而言，ca的概念已经深入到电子商务的各个层面，但就其应用而言，还远远不够，都还存在一些问题。
1.在技术层面上
标准不统一，既有国际上的通行标准，又有自主研发的标准，这必将导致交叉认证过程中出现“公说公有理，婆说婆有理”的局面。
2.在应用层面上
一些ca认证机构对证书的发放和审核不够严谨。从法理上讲这些审核人员不具备法律上所要求的审核证明人资格，也无法承担相应的法律责任；另一方面现在的ca中心本身往往也是交易或合同的一方，难免存在不公正性。在分布格局上，很多ca认证机构还存在明显的地域性和行业性，无法满足充当面向全社会的第三方权威认证机构的基本要求，而就互联网而言，不应该也不可能存在地域限制。
三、认证的解决方案
在传统的商务贸易中，公证机构作为国家的证明机构，以交易信用的第三方中介行使国家证明权，其权威性与统一性历来为法律所确认。公证证明属国际惯例，中国加入wto后，在与国际法律制度的接轨中，公证机构的证明效力日益显现出来。正因如此，将权威的国家证明权引入虚拟的网络世界，实行网络公证能够彻底填补网络世界的法律真空，解决目前国内ca认证的弊端，使现实世界的真实性向网络世界延伸。
网络公证方案首先从网络身份的真实性证明入手，在确认网络主体的真实身份的基础上，对网络交易内容以公正的第三方的角度加以证据保全，对交易履约中的资金支付采用公证行业特有的第三方安全支付加以解决，因此，我认为网络公证方案是电子商务安全与信用的一个整体解决方案。
1.网络中真实身份审核的解决
一个安全、完整的电子商务系统必须建立一个完整、合理的ca安全认证体系。以pki技术为核心的ca证书能解决网络数据传输中的签名问题，日益显现出其确认网络主体身份的优越性。但是，在实际运作中，网络ca电子身份证书仍然为大家所怀疑。究其原因，关键在于网络中的ca证书持有人与现实世界中的真实身份是否一致并未得到彻底解决。如不解决这个前提，则用ca证书所做的任何签字将不产生任何法律效力，因为没有一个现实世界的主体与之相对应，并承担网上义务，而法庭更是无从受理。
纵观诸多国家的电子交易，数字证书的发放都不是依靠交易双方自己来完成，而是由一个具有权威性和公正性的第三方来完成，该第三方中介机构以提供公正交易环境为目的，应具有中立性。因此，银行所办的ca中心以及其他纯商业性的ca中心是不符合国际惯例的。一个身份认证必须满足两种鉴别需要：当面鉴别和网上鉴别。当面鉴别以生物特征为主，网上鉴别则以逻辑特征为主。在ca证书的发放中，最关键的环节是 ra（registration authority）证书离线面对面审核，交易当事人最关心的基本信息，如网上的对方究竟是谁，真实的身份与信用状况如何等。然而，目前相当多的ca公司在实际操作中或多或少地存在随意性，并未建立起严格的审核要求与流程。申请数字证书的用户只要在网上将相关的表格随意填写后，即可从ca公司那里获得个人ca证书。异地申请的企业只要将相关资料盖上公章邮寄过去，并交足相关费用即可获得ca证书。造成这种状况的一个重要原因是：要在全国建立几千个面对面的审核点，目前还具有很大的难度，因而建立严格的审核流程是十分困难的。然而网络公证可以彻底解决这一困惑。网络公证可以将传统的公证证明应用到ca证书的身份审核上。其具体解决办法是：将遍布全国的数千家公证机构通过因特网联成一个统一的网络—中国公证网络，以实现将社会公众、公证客户、公证机构与公证相联结。也就是说，通过中国公证网，将遍布全国各地的公证机构有机地联在一起，彻底解决了异地审核的难度，并确保了网络身份的真实性。当用户需要申请ca证书时，即可到所在地的公证机构进行离线的面对面审核，也即ra审核。该审核严格按照公证机构的审核要求与流程进行，公证机构自然地对所审核的内容承担相应的法律责任，经过ra审核后的资料统一进入公证机构的中心数据库中进行安全存放。这样，经网络公证ra审核后所颁发的ca证书就自然地与其真实身份相对应，以后在电子商务交易中的网上签名行为即为其真实持有人所为。进行 ra审核的人员不是普通公民，而是现行法律体系中承担法定审核工作的公证员，他们负有审核身份的法律责任，行使的是国家的证明权。由此可见，网络公证所构建的网络真实身份审核体系，可以与ca中心以及其他公司相配合，为其发放ca 证书提供审核环节的服务，以解决其审核布点困难以及审核者身份不合法的问题。
就技术而言，ca在现阶段的应用已趋成熟，pki 公钥管理体系也很实用。它通过给个人、企事业单位及政府机构签发公用密钥与私人密钥组成的数字证书，来确认电子商务活动中交易各方的身份，并通过加解密方法来实现网络信息传输中的签名问题，以确保交易安全性。
2.网络中的交易数据的安全保存
在确定网络身份后，交易双方就进入了实质谈判，以达成双方认可的条款。在传统交易中，协议的合同化过程是在书面合同上签字盖章，一旦交易双方日后在履约中出现争议，就可以以当初所签署的书面合同作为证据来解决存在的争议。与此对应，在虚拟的网络交易中，也必须能让虚拟的交易数据得以固化并在日后可能发生的纠纷中作为证据为法院所采证。网络公证方案可以采用的解决方法是提供第三方数据保管服务。当交易双方在网上达成协议后，各自用ca证书对合同进行加密签名，并将合同的电文数据内容提交到网络公证的数据保存中心。由于进行了加密签名，数据保存中心也无法打开并知悉当初的交易合同，这就真正确保了其安全性。事实上，由于第三方公正方的参与，使得电子商务交易得以在制度层面得到安全保障。交易双方一旦出现纠纷，通过解密打开的合同将由公证机构出具其保存的公证书证据。而公证文书在法庭上是可以作为证据直接被采纳的。
3.网上合同履行的提存服务
电子商务交易的信任危机除了主体身份确认危机、交易数据的证据危机外，网络交易履行中的支付信任更是阻碍网络交易发展的阻力。双方达成交易意向后，买家担心的是能否准确、及时地收到货物；卖家担心的是交了货后能否准确、快捷地收到货款。也就是说，网络交易双方共同关心着网络合同履行中的信用安全问题。网络公证可以依照传统的提存公证思路，结合网络技术展开网络提存业务。在网络电子商务交易中，买方不必将货款直接交付卖方，而是将货款提存到网络公证提存中心，在其收到货物并签署完相关单据后，提存中心再将货款支付给卖方。这样，网络公证提供的第三方提存服务彻底解决了网络交易双方对网上合同履行的困惑，尤其是支付的担忧。法律制度和传统贸易中早已有的公证提存方式对网络世界中的交易尤为适用。
可以预见，随着信息安全领域的标准化、法制化建设的日益完善，网络公证依托中国公证网络，运用公证的国家证明力所构建的第三方信用与安全服务以及网上合同履行的提存服务，将彻底解决网络交易主体对电子商务的信用问题，也必将极大地推动我国电子商务的发展。
四、小结
总之，通过向网络主体在经过ra审核后发放ca电子身份证，解决了网上虚拟主体的真实身份及网上签名问题，并通过网络公证的数据备份中心为交易双方的网上电子合同提供了证据保全，最终以网上提存电子合同的履行来提供网上支付信用服务。“网络公证”作为一个第三方法律服务平台，以其几个有机连结的在线服务系统、完整地解决了电子商务中的安全及信用问题，在虚拟的网络空间构建起一座沟通双方的真实桥梁。
参考文献:
[1]谭卫:电子商务中安全技术的研究[d].哈尔滨:哈尔滨工业大学，2006
[2]卢震宇戴英侠郑江:基于认证中心的多级信任模型的分析与构建仁[j].计算机工程,2001
网络安全相关认证篇9
在传统网络中，网络采用层次化体系结构，主机之间的连接是准静态的，具有较为稳定的拓扑，可以提供多种服务来充分利用网络的现有资源，包括路由器服务、命名服务、目录服务等。目前已经提出了一系列针对这类环境的安全机制和策略，如加密、认证、访问控制和权限管理、防火墙等。Ad Hoc网络不依赖固定基础设施，具有灵活的自组织性和较强的健壮性。Ad Hoc网络中没有基站或中心节点，所有节点都可以移动、节点间通过无线信道建立临时松散的连接，网络的拓扑结构动态变化。Ad Hoc网络由节点自身充当路由器，也不存在命名服务器和目录服务器等网络设施。根据应用领域的不同，Ad Hoc网络在体系结构、设计目标、采用的协议和网络规模上都有很大差别。尽管基本的安全要求，如机密性和真实性，在Ad Hoc网络中仍然适用。但是Ad Hoc网络不能牺牲大量功率用于复杂的计算，并要考虑无线传输的能耗和稀少无线频谱资源。另外，节点的内存和CPU功率很小，强安全保护机制难以实现。这些约束在很大程度上限制了能够用于Ad Hoc网络的安全机制，因为安全级别和网络性能是相关的。因此，传统网络中的许多安全策略和机制不能直接用于Ad Hoc网络，需要对现有的安全方法加以改进，并采用新的安全策略和方法。
Ad Hoc网络的安全目标与传统网络中的安全目标基本上是一致的，包括:数据可用性、机密性、完整性、安全认证和抗抵赖性。但是两者却有着不同的内涵。
首先，可用性是指既使受到攻击，节点仍然能够在必要的时候提供有效的服务。可用性定义为与网络安全相关的一个关键特性。可用性保证网络服务操作正常并能容忍故障，即使存在拒绝服务共计的威胁。可用性涉及多层:在网络层，攻击者可以篡改路由协议，例如将流量转移到无效的地址或关闭网络;在会话安全管理层，攻击者可以删除会话级安全信道中的加密;在应用层，密钥管理服务也可能受到威胁等;其次，机密性是保证特定的信息不会泄露给未经授权的用户。军事情报或用户账号等安全敏感的信息在网络上传输时必须机密、可靠，否则这些信息被敌方或恶意用户捕获，后果将不堪设想。该问题的解决需要借助于认证和密钥管理机制;第三，完整性保证信息在发送过程中不会被中断，并且保证节点接收的信息应与发送的信息完全一样。如果没有完整性保护，网络中的恶意攻击或无线信道干扰都可能使信息遭受破坏，从而变得无效;第四，关于安全认证，每个节点需要能够确认与其通信的节点身份，同时要能够在没有全局认证机构的情况下实施对用户的鉴别。如果没有认证，攻击者很容易冒充某一节点，从而得以获取重要的资源和信息，并干扰其他节点的通信;第五，抗抵赖性用来确保一个节点不能否认它已经发出的信息。它对检查和孤立被占领节点具有特别重要的意义，当节点A接收到来自被占领节点B 的错误信息时，抗抵赖性保证节点A能够利用该信息告知其他节点B已被占领。此外，抗抵赖性对于商业应用中保证用户的利益至关重要。
Ad Hoc网络的安全策略和机制
传统的安全机制，例如认证协议、数字签名和加密，在实现Ad Hoc网络的安全目标时依然具有重要的作用。
1.防止信息窃取攻击
使用多跳的无线链路使Ad Hoc网络很容易受到诸如被动窃听、主动入侵、信息假冒等各种信息窃取攻击。被动窃听可能使敌方获取保密信息;主动窃取攻击中敌方可以删除有用信息、插入错误信息或修改信息，从而破坏了数据的可用性、完整性、安全认证和抗抵赖性。对付被动窃听攻击，可以根据实际情况采用IPSec中的安全套接字协议(SSL)或封装安全净荷(ESP)机制。封装安全净荷可以为不能支持加密的应用程序提供端到端的加密功能，它不仅可以对应用层数据和协议报头加密，还能对传输层报头加密，从而可以防止攻击者推测出运行的是那种应用，具有较好的安全特性。为对付主动攻击，可以采用带有认证的端到端加密的方法。
2.加强路由协议安全
多数MANET路由协议能够适应网络环境的快速变化。由于路由协议负责为节点指定和维护必要的路由结构，必须防止机密性、真实性、完整性、抗抵赖性和可用性的攻击。如果路由协议受到恶意攻击，整个Ad Hoc网络将无法正常工作。所以，必须提供相应的安全机制，以便保护Ad Hoc网络路由协议的正常工作。但是，目前已提出的用于Ad Hoc网络的路由协议大都没有考虑这个问题。在开放的环境中保护路由流量是非常重要的，以便通信各方的身份和位置不被未授权的实体所了解。路由信息必须防止认证和抗抵赖性攻击，以便验证数据的来源。
路由协议的安全威胁来自两个方向:一是网络外部的攻击者通过发送错误的路由信息、重放过期的路由信息、破坏路由信息等手段，来达到致使网络出现分割、产生无效的错误路由、分组无谓的重传，网络发生拥塞并最终导致网络崩溃的目的，攻击者还可以通过分析被路由业务流量来获取有用信息;二是网络内部的攻击者可以向网内其他节点发布错误的路由信息和丢弃有用的路由信息。两种攻击都能造成网络中合法节点得不到应有的服务，因此也可以看作为一种拒绝服务攻击。可以使用数据安全中的各种加密机制来解决第一种威胁，比如带有时间戳的数字签名。解决第二种威胁较为困难，对路由信息进行加密的机制不再可行，因为被占领的节点可以使用合法的私有密钥对路由信息进行签名。
3. 安全认证
不同的应用环境可以采用不同的认证机制。通过使用便携式电脑组建Ad Hoc网络来召开临时会议的应用环境中，与会者彼此之间通常比较熟悉并彼此信任，会议期间他们通过手提电脑通信和交换信息。与会者可能没有任何途径来识别和认证对方的身份，例如，他们既不共享任何密钥也没有任何可供认证的公共密钥。此时，攻击者可以窃听并修改在无线信道上传输的所有数据，还可能冒充其中的与会者。为此，可以采用由 Asokan等人提出的基于口令的认证协议(PBA)，它继承了加密密钥交换协议(Encrypted Key Exchange)的思想。在PBA中，所有的与会者都参与会话密钥的生成，从而保证了最终的密钥不是由极少数与会者产生的，攻击者的干扰无法阻止密钥的生成。同时，PBA还提供了一种完善的口令更新机制，与会者之间的安全通信可以基于动态改变的口令来建立。按照这种方式，即使攻击者知道了当前的口令，他也无法知道以前的和将来的口令，从而进一步减少了信息泄密的概率。
4.密钥管理
和任何其他分布式系统一样，正确的使用密钥管理系统对于Ad Hoc网络的安全性十分重要。需要一种与情景相关的高效的密钥管理系统。节点通过协商使用共享密钥或交换公钥来加密数据以防窃听。对于快速变化的Ad Hoc网络，密钥的交换可能需要按需进行而不能假设实现协商好的密钥。而对拓扑变化较慢的小型Ad Hoc网络，密钥可以进行协商或手工配置。如果采用公钥体系，整个保护机制依赖于私钥的安全性。由于节点的物理安全性较低，私钥必须秘密地存储在节点中，例如使用一个系统密钥加密。但是这并非一个动态的Ad Hoc网络希望的特征，因此需要正确的硬件保护(如智能卡)或者将密钥分布到多个节点。单独采用硬件保护也是不够的，集中式管理不可行，因此希望采用分布式密钥管理机制。
Ad Hoc网络中，数据的完整性和抗抵赖性一般也需要基于某种加密算法来实现。加密协议总体上可以分为两大类:私有密钥机制(如DES和IDEA)和公开密钥机制(如RSA)。但是面临的挑战是密钥的管理。如果采用私有密钥机制，则每个需要通信的节点之间都需要一个秘密密钥，所需管理的密钥数目为N(N-1)/2，其中N是节点数。对于规模较大的Ad Hoc网络而言，难以实施有效的密钥管理。因此通常采用公开密钥机制，但是由于没有中心节点和证书机构，密钥的管理仍很困难。一种解决密钥管理的方法是使用用户团体来代替证书权威机构，并在节点中分配证书目录。
5.访问控制
在Ad Hoc网络中同样存在控制对网络的访问以及控制访问网络提供的服务的需求。在网络层，路由协议必须保证不允许非授权节点加入网络，保证没有敌对节点加入和离开网络而不被检测到。在应用层，访问控制必须保证非授权用户不能访问服务。访问控制常与身份识别和认证相关联，确保合法用户有权访问服务。在一些系统中可能不需身份识别和认证，节点通过证书来访问服务。根据不同的网络结构和安全级别，访问控制的实现方式也不同。集中式的低安全级别网络，可以采用服务器控制的方式，用户ID加密码。
6. 信任问题
在对安全敏感的Ad Hoc网络应用环境中，由于节点容易受到攻击，被俘获的可能性也较大，因此必须要建立适当的信任机制。在Ad Hoc网络中，信任问题是中心问题，我们不能信任媒介，必须借助密钥。因此一个基本的问题是如何生成可信任的密钥而不依赖受信任的第三方。Ad Hoc网络是一个动态自组织临时网络，不能保证网络中各个节点持有被其他节点信任的公钥，并且它们也无法出示可以互相信任的证书，一种策略是允许节点之间委托信任，已经建立信任关系的节点能够向组中其他成员扩展这种信任。
7.网络操作和服务的安全性
网络安全相关认证篇10
中图分类号:TP311 文献标识码:A文章编号:1009-3044(2010)02-296-02
无线局域网(Wireless Lan)简称WLAN,主要是通过无线电波作为传输媒体来实现网络的组建,它可以提供传统有线局域网所有的功能,同时因为其具有可移动性、不要铺设基础设施等优点已经成为传统有线网络的一种必不可少的补充。并且随着无线技术的不断成熟,无线局域网的应用将越来越广泛。
但是当用户对无线局域网的期望日益提高时,其存在的危险也随之出现。由于无线局域网的应用是基于开放性的系统,使得数据传输的范围很难得到控制,从而面临着极大的安全挑战。
1 面临的威胁及应对策略
随着无线局域网的大范围的使用,无线局域网系统所面临的安全问题也日益显现。由于其网络是以无线电波作为传输的媒介,因此无线网络难以限制网络资源的物理访问位置,无线网络信号可以传播到预期的方位以外,使得在网络覆盖范围内的任何地方都成为了无线局域网的接入点,给入侵者带来了“方便”,他可以在预期范围以外访问网络,窃听网络中的数据,并应用各种攻击手段对无线网络进行攻击。因此,无线局域网面临的安全威胁主要有以下几种:1)所有有线网络存在的安全威胁和隐患都存在;2)无线局域网无需连线便可以在信号覆盖范围内进行网络接入的尝试,一定程度上暴露了网络的存在;3)无线局域网使用的是公用频段,无需申请,相邻设备之间潜在着干扰问题;4)非法用户可以通过无线网络绕过防火墙,降低了网络的安全性。
面对无线网络存在的潜在危险,如何保证网络的安全成为了无线局域网首先要解决的问题。目前主要的应对策略有:1)加密。保护网络设备和访问点之间传输的数据,提供保密性和机密性;2)认证。控制谁可访问该网络;3)入侵防护系统。通过检测并防止网络和未授权的访问攻击,从而保证网络的安全。
2 基本解决方案
2.1 SSID访问控制
服务集标识符(Service Set Identifier, SSID)这是人们最早使用的一种无线局域网的安全认证方式。服务集标识符SSID,也称业务组标识符,是一个无线局域网的标识码,相当于有线局域网的工作组(WORKGROUP)。客户端只有出示正确的SSID才能接入网络。实施SSID时,无线网络访问点(AP)和客户端必须使用相同的SSID值进行认证。默认情况下,访问点广播该SSID的值,宣告其存在,任何人都可以访问该AP。所以可以通过关闭AP上的SSID广播功能,并根据需求绑定客户端的MAC地址来提高网络的安全性,但该方案只是一种对客户端实现的访问控制手段。
2.2 MAC地址过滤
MAC地址过滤是无线局域网最基本的安全访问控制方式。无线局域网中,AP只允许合法的MAC地址客户端接入,从而避免了非法用户的接入。为每个客户端分配固定的IP地址,然后将客户端的IP地址与MAC地址进行绑定,这样就能大大提升网络的安全性。
2.3 802.11认证协议
802.11站点之间通信之前都必须进行认证服务,两个站点能否通过认证是它们相互通信的根据。802.11标准定义了两种认证服务:开放系统认证和共享密钥认证。采用共享密钥认证的工作站必须执行有线等效保密协议(Wires Equivalent Privacy, WEP)。WEP是具有加密功能并且最早使用的认证协议,WEP使用静态的64位密钥,其中密钥为40位还有24位的初始化向量(IV)。IV是一个随机数,每次加密时随机产生,IV与原密钥结合作为加密的密钥。然而IV是以明文发送的,如果非法用户通过窃听,收集密钥的相关信息进行分析,那么同样可以实现破解。
3 改进认证技术
3.1 802.1x EAP
可扩展认证协议(Extensible Authentication Protocol, EAP)是一个第2层处理过程,允许网络对无线客户端进行认证。通常有两种EAP:一种用于无线网络,另一种用于有线网络连接。该协议定义了3个标准的过程:EAP、802.1x和远程认证拨入用户服务(Remote Authentication Dial In User Service, RADIUS)。EAP负责认证信息的封装,802.1x和RADIUS负责如何打包EAP信息,实现信息的传输。其认证机制是由用户端设备、接入设备、后台RADIUS认证服务器三方共同完成。802.1x定义了客户端如何将EAP信息传输到无线接入点,无线网络设备通过RADIUS协议将信息传输到远程的认证服务器,由服务器确认客户端的请求是否有效,而接入点没有定义本地客户端的任何信息。
3.2 WPA
Wi-Fi Protected Access(WPA,Wi-Fi保护访问)是Wi-Fi联盟提出的一种新的安全方式,以取代安全性不足的WEP。WPA采用了基于动态密钥的生成方法及多级密钥管理机制,加强了无线局域网的管理。WPA由认证、加密和数据完整性校验三个部分组成。
1)认证
WPA的认证分为两种:第一种采用802.1x EAP方式,用户提供认证所需的凭证,如用户名密码,通过特定的用户认证服务器RADIUS来实现,该方式常用于大的公司或企业。另一种为WPA预共享密钥方式,要求在每个无线局域网节点预先输入一个密钥,只要密钥吻合就可以获得无线局域网的访问权,该方式主要是SOHO网络或家庭。
2)加密
WPA采用TKIP(Temporal Key Integrity Protocol,临时密钥完整性协议)为加密引入了新的机制,通过由认证服务器动态生成、分发密钥来取代单个静态密钥、把密钥首部长度从24位增加到128位等方法增强安全性。TKIP利用了802.1x EAP方式。认证服务器在接受了用户身份后,使用802.1x 产生一个惟一的主密钥处理会话。然后,TKIP把这个密钥通过安全通道分发到AP和客户端,并建立起一个密钥构架和管理系统,使用主密钥为用户会话动态产生一个惟一的数据加密密钥,实现数据的加密。
3)消息完整性校验
WPA为每个数据分组又增加了一个8个字节的消息完整性校验值,以防止攻击者截获、篡改及重发数据报文。
3.3 WPA2
网络安全相关认证篇11
究竟该如何构建电力IP城域网的安全体系？
目前，城域网已经进入成熟稳定的发展时期，基于城域网的数据业务应用在社会经济生活中的地位日益重要，但城域网的发展也面临着网络病毒泛滥、DoS攻击、广播包等大量的安全问题。
相对于电信、教育等行业来说，电力城域网建设起步时间相对稍晚，但电力行业的业务有其特殊性和重要性，对于提供承载服务的基础网络平台要求非常高，因此电力IP城域网从一开始就按照高标准、规范性、技术适用的要求进行建设。
伴随着电力IP城域网的建设，网络安全的问题也必将越来越突出，如何设计一个稳定、可靠、安全和经济的城域网，应对日益增多的网络攻击、病毒破坏和黑客入侵等问题已成为电力行业信息化建设所关注的重点。
电力IP城域网面临的主要安全挑战包括：城域网内部安全和城域网边界安全。
城域网内部安全
城域网的内部安全根据实现城域网的网络技术特点，通过MPLS VPN、网络设备安全管理、路由认证、应用服务协议安全等安全手段，实现电力IP城域网的内部安全。
电力行业的业务应用既需要通过网络实现互联，同时不同业务之间需要在网络上安全隔离，如果为每种业务单独组建一个物理网络，那么网络的基础建设成本将足一个天文数字，而且这么多网络的维护和管理。也将与通过信息化建设节约运营成本的初衷相违背。因此．通过VPN技术，在一个物理网络上虚拟出多个逻辑私有网络，为不同的业务提供承载服务，就成了必然之选。
目前已经证明MPLS VPN技术是IP城域网建设的最好选择，由于MPLS VPN在骨干网中使用LSP隧道进行标签交换，较之普通的IP转发具有更好的安全级别。它具有天然的安全特性，不同的VPN用户之间由于无法获知对方的路由信息，从而可以理解为存在于不同的私有网络之中。
根据电力业务的需求，在电力IP城域网上通过MPLS技术划分多个业务VPN，确保不同业务之间的设备无法获知对方的路由信息。在同一种业务中通过合理设置．可以保证即使是相同的业务，如果没有互访需求。也无法相互访问。
通过设备访问的控制以及SNMP协议安全，有效地实现对电力IP城域网中数量众多的网络设备进行安全管理。
路由认证就是运行于不同设备的相同的动态路由协议之间，对相互传递的路由刷新报文进行的确认，以便使得设备能够接受真正而安全的路由刷新报文。任何运行一个不支持路由认证的路由协议，都存在着巨大的安全隐患。某些恶意的攻击者可以利用这些漏洞，向网络发送不正确或者不一致的路由刷新，由于设备无法证实这些刷新，而使得设备被欺骗，最终导致网络的瘫痪。
可以根据路由协议的不同而设计，路由协议的加密可以防止路由协议更新包的欺骗和伪造，从而保证全网路由的可靠性。目前，多数路由协议支持路由认证，并且实现的方式大体相同。认证过程有基于明文的，也有基于更安全的MD5校验。MD5认证与明文认证的过程类似，只不过密钥不在网络上以明文方式直接传送。
RIPv2、OSPF、BGP4路由协议支持MD5路由认证，而IS-IS只支持基于明文的路由认证。
网络设备的某些应用服务协议或是与网络运行无关，或是对网络运行有危害，或是协议本身有安全缺陷，如果这些特性被恶意攻击者利用，会增加网络的危险。因此，网络设备应严格限制或关闭这些协议。如限制ICMP协议、NTP协议，关闭finger服务、IP源路由、IP重定向、定向广播报文转发、TCP/UDP小端口服务等。
城域网边界安全
在解决IP城域网安全问题中，城域网的边界安全非常重要，几乎所有的数据流都来自于或流向于城域网的边界。目前解决城域网边界安全的主要技术包括：防火墙；入侵检测；网络流量分析――对边界不同类型的业务流进行准确的流量和流向分析与计量。
防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。
网络安全相关认证篇12
关键词：校园网；无线网络；安全认证；解决方案
一、校园网无线网络安全现状
在无线网络技术相对成熟的今天，无线网络解决方案能够很好满足校园网的种种特殊的要求，并且拥有传统网络所不能比拟的易扩容性和自由移动性，已经逐渐成为一种潮流，成为众多校园网解决方案的重要选择。这都源于无线局域网拓展了现有的有线网络的覆盖范围，使随时随地的网络接入成为可能。但在使用无线网络的同时，无线接入的安全性也面临严峻的考验。目前无线网络提供的比较常用的安全机制有如下三种：①基于MAC地址的认证。基于MAC地址的认证就是MAC地址过滤，每一个无线接入点可以使用MAC地址列表来限制网络中的用户访问。实施MAC地址访问控制后，如果MAC列表中包含某个用户的MAC地址，则这个用户可以访问网络，否则如果列表中不包含某个用户的MAC地址，则该用户不能访问网络。②共享密钥认证。共享密钥认证方法要求在无线设备和接入点上都使用有线对等保密算法。如果用户有正确的共享密钥，那么就授予该用户对无线网络的访问权。③802.1x认证。802.1x协议称为基于端口的访问控制协议，它是个第二层协议，需要通过802.1x客户端软件发起请求，通过认证后打开逻辑端口，然后发起DHCP请求获得IP以及获得对网络的访问。
从目前情况来看，不少校园网的无线接入点都没有很好地考虑无线接入的安全问题，如基于MAC地址的认证或共享密钥认证没有设置，更不用说像802.1 x这样相对来说比较难设置的认证方法了。如果我们提着笔记本电脑在某个校园内走动，会搜索到很多无线接入点，这些接入点几乎没有任何的安全防范措施，可以非常方便地接入。试想，如果让不明身份的人进入无线网络，进而进入校园网，就会对我们的校园网络构成威胁。
二、校园网无线网络安全解决方案
校园网内无线网络建成后，怎样才能有效地保障无线网络的安全。前面提到的基于MAC地址的认证存在两个问题：一是数据管理的问题，要维护MAC数据库；二是MAC可嗅探，也可修改。如果采用共享密钥认证，攻击者可以轻易地搞到共享认证密钥。802.1x定义了三种身份：申请者(用户无线终端)、认证者(AP)和认证服务器。整个认证的过程发生在申请者与认证服务器之间，认证者只起到了桥接的作用。申请者向认证服务器表明自己的身份，然后认证服务器对申请者进行认证，认证通过后将通信所需要的密钥加密再发给申请者。申请者用这个密钥就可以与AP进行通信。
虽然802.1x仍旧存在一定的缺陷，但较共享密钥认证方式已经有了很大的改善，IEEE 802.11i和WAPI都参考了802.1x的机制。802.1x选用EAP来提供请求方和认证服务器两者之间的认证服务。最常用的EAP认证方法有EAP－MD5、EAP－TLS和PEAP等。Microsoft为多种使用802.1x的身份验证协议提供了本地支持。在大多数情况下，选择无线客户端身份验证的依据是基于密码凭据验证，或基于证书验证。建议在执行基于证书的客户端身份验证时使用EAP-TLS；在执行基于密码的客户端身份验证时使用EAP-Microsoft质询握手身份验证协议版本2(MSCHAPv2)。
该协议在PEAP(Protected Extensible Authentication Protoco1)协议中，也称作PEAP－EAP－MSCHAPv2。考虑到校园群体的特殊性，为了保障校园无线网络的安全，可对不同的群体采取不同的认证方法。在校园网内，主要分成两类不同的用户：一类是校内用户；另一类是来访用户。校内用户主要是学校的师生，由于工作和学习的需要，他们要求能够随时接入无线网络，访问校园网内资源以及访问Internet。这些用户的数据，如工资、科研成果、研究资料和论文等安全性要求比较高。对于此类用户，可使用802.1x认证方式对用户进行认证。来访用户主要是来校参观、培训或进行学术交流的一些用户。这类用户对网络安全的需求不是特别高，对他们来说最重要的就是能够非常方便而且快速地接入Internet以浏览相关网站和收发邮件等。针对这类用户，可采用DHCP+强制Portal认证的方式接入校园无线网络。开机后，来访用户先通过DHCP服务器获得IP地址。当来访用户打开浏览器访问Internet网站时，强制Portal控制单元首先将用户访问的Internet定向到Portal服务器中定制的网站，用户只能访问该网站中提供的服务，无法访问校园网内部的其他受限资源，比如学校公共数据库、图书馆期刊全文数据库等。如果要访问校园网以外的资源，必须通过强制Portal认证，认证通过就可以访问Internet。对于校内用户，先由无线用户终端发起认证请求，没通过认证之前，不能访问任何地方，并且不能获得IP地址。可通过数字证书(需要设立证书服务器)实现双向认证，既可以防止非法用户使用网络，也可以防止用户连入非法AP。双向认证通过后，无线用户终端从DHCP服务器获得IP地址。无线用户终端获得IP地址后，就可以利用双方约定的密钥，运用所协商的加密算法进行通信，并且可以重新生成新的密钥，这样就很好地保证了数据的安全传输。
使用强制Portal+802.1x这两种认证方式相结合的方法能有效地解决校园网无线网络的安全，具有一定的现实意义。来访用户所关心的是方便和快捷，对安全性的要求不高。强制Portal认证方式在用户端不需要安装额外的客户端软件，用户直接使用Web浏览器认证后即可上网。采用此种方式，对来访用户来说简单、方便、快速，但安全性比较差。虽然用户名和密码可以通过SSL加密，但传输的数据没有任何加密，任何人都可以监听。当然，必须通过相应的权限来限制和隔离此类用户，确保来访用户无法访问校园网内部资料，从而保证校园网络的高安全性。因此针对校内用户可使用802.1x认证方式，以保障传输数据的安全。
校园网各区域分别覆盖无线局域网络以后，用户只需进行相应的设置就可以连接到校园网，从而实现各自需要的功能，进一步促进校园网内无线网络的建设。现在，不少高校都已经实现了整个校园的无线覆盖。但在建设无线网络的同时，因为对无线网络的安全不够重视，对校园网无线网络的安全考虑不及时，也造成了一定的影响和破坏。由此可见，做好无线网络的安全管理工作，并完成全校无线网络的统一身份验证，是当前学校组建无线网必须要考虑的事情。只有这样才能做到无线网络与现有有线网络的无缝对接，确保无线网络的高安全性，提高学校的信息化的水平。
参考文献：
[1]董春庆.无线网络局域网技术及应用[J].网络世界， 2007（,06）.
