年4月19日視頻信息安全設(shè)計(jì)方案文檔僅供參考，不當(dāng)之處，請(qǐng)聯(lián)系改正。城市視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)信息安全設(shè)計(jì)方案二〇一五年十一月

目錄1項(xiàng)目背景 12信息安全相關(guān)知識(shí) 12.1信息安全服務(wù)與機(jī)制 22.1.1安全服務(wù) 22.1.2安全機(jī)制 32.2安全體系架構(gòu) 32.2.1網(wǎng)絡(luò)安全基本模型 32.2.2信息安全框架 32.3信息安全起因 42.3.1技術(shù)缺陷 42.3.2管理缺陷 52.4網(wǎng)絡(luò)攻擊方式 52.4.1口令攻擊 52.4.2軟件攻擊 62.4.3竊聽(tīng)攻擊 72.4.4欺詐攻擊 72.4.5病毒攻擊 82.4.6拒絕服務(wù)攻擊 82.5信息安全后果 92.6信息安全技術(shù) 92.6.1PKI體系 92.6.2用戶身份認(rèn)證 122.6.3認(rèn)證機(jī)制 132.6.4認(rèn)證協(xié)議 153聯(lián)網(wǎng)視頻信息的特點(diǎn) 173.1系統(tǒng)多級(jí)架構(gòu) 173.2網(wǎng)絡(luò)狀況復(fù)雜 173.3視頻數(shù)據(jù)量大 174視頻系統(tǒng)信息安全分類 174.1信令加密 184.2媒體流加密 185安全系統(tǒng)的實(shí)現(xiàn) 185.1認(rèn)證中心 185.2視頻安全平臺(tái) 185.3系統(tǒng)評(píng)價(jià) 186系統(tǒng)建成預(yù)期效果 197安全技術(shù)展望 19項(xiàng)目背景互聯(lián)網(wǎng)、大數(shù)據(jù)時(shí)代雖然帶來(lái)了安防行業(yè)新的機(jī)遇與信息面貌，可是伴隨信息聚集性越來(lái)越高，云安全問(wèn)題也帶來(lái)了新的挑戰(zhàn)。對(duì)不法分子來(lái)說(shuō)，只要擊破云服務(wù)器，意味著能夠獲得更多的資源，例如iCloud泄露門(mén)，12306信息泄露，攜程信息泄露等。海康威視“安全門(mén)”事件，對(duì)正在大力發(fā)展信息經(jīng)濟(jì)與互聯(lián)網(wǎng)經(jīng)濟(jì)的中國(guó)，提出了信息安全的極大思考。信息安全任重而道遠(yuǎn)，千里之堤，毀于蟻穴。因此在信息安全上，應(yīng)仔細(xì)排查安全隱患，防患于未然。公開(kāi)數(shù)據(jù)顯示，有74.1%的網(wǎng)民在過(guò)去半年內(nèi)遇到網(wǎng)絡(luò)信息安全事件。有專家估計(jì)，中國(guó)每年因網(wǎng)絡(luò)信息安全問(wèn)題造成的經(jīng)濟(jì)損失高達(dá)數(shù)百億美元。在今年的全國(guó)兩會(huì)上，中國(guó)移動(dòng)廣東公司總經(jīng)理鐘天華代表建議，加快制定網(wǎng)絡(luò)信息安全法，從監(jiān)管主體、設(shè)施安全、運(yùn)行安全、信息安全、法律責(zé)任等方面規(guī)范網(wǎng)絡(luò)信息安全。各省城市視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)共享平臺(tái)已基本建設(shè)完成，標(biāo)準(zhǔn)基于國(guó)標(biāo)GB/T28181，但對(duì)于視頻信息安全的要求沒(méi)有嚴(yán)格要求。在國(guó)家對(duì)網(wǎng)絡(luò)和信息安全高度重視的當(dāng)下，扮演政府、企業(yè)、社區(qū)“守門(mén)人”角色的安防行業(yè)，實(shí)現(xiàn)自主可控異常重要。需要一套完整解決方案。信息安全相關(guān)知識(shí)網(wǎng)絡(luò)信息安全是一個(gè)關(guān)系國(guó)家安全和主權(quán)、社會(huì)穩(wěn)定、民族文化繼承和發(fā)揚(yáng)的重要問(wèn)題。其重要性，正隨著全球信息化步伐的加快越來(lái)越重要。網(wǎng)絡(luò)信息安全是一門(mén)涉及計(jì)算機(jī)科學(xué)、網(wǎng)絡(luò)技術(shù)、通信技術(shù)、密碼技術(shù)、信息安全技術(shù)、應(yīng)用數(shù)學(xué)、數(shù)論、信息論等多種學(xué)科的綜合性學(xué)科。它主要是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。信息安全服務(wù)與機(jī)制安全服務(wù)信息安全服務(wù)產(chǎn)生的基礎(chǔ)是整個(gè)網(wǎng)絡(luò)系統(tǒng)需要規(guī)避安全風(fēng)險(xiǎn)、控制安全成本以及保障業(yè)務(wù)持續(xù)性。從實(shí)踐環(huán)節(jié)看，信息安全服務(wù)是由參與通信的開(kāi)放系統(tǒng)的某一層(OSI)所提供的服務(wù)，它確保了該系統(tǒng)或數(shù)據(jù)傳輸具有足夠的安全性。結(jié)合信息安全的基本要素，明確五大類安全服務(wù)，即鑒別、訪問(wèn)控制、數(shù)據(jù)完整、數(shù)據(jù)保密、抗抵賴。鑒別服務(wù)（authentication）主要用來(lái)鑒別參與通信的對(duì)等實(shí)體和數(shù)據(jù)源，確認(rèn)其合法性、真實(shí)性。訪問(wèn)控制服務(wù)（accesscontrol）用于防止未授權(quán)用戶非法使用資源。包括用戶身份認(rèn)證，用戶權(quán)限確認(rèn)。數(shù)據(jù)完整性服務(wù)（integrity）用于對(duì)付主動(dòng)威脅，阻止非法實(shí)體對(duì)通信雙方交換數(shù)據(jù)的改動(dòng)和刪除。數(shù)據(jù)保密性服務(wù)（confidentiality）防止系統(tǒng)內(nèi)交換數(shù)據(jù)被截獲或非法存取而造成泄密，提供加密保護(hù)?？沟仲囆苑?wù)（no-repudiation）防止發(fā)送方發(fā)送數(shù)據(jù)后否認(rèn)自己發(fā)送過(guò)此數(shù)據(jù)，接收方接收后否認(rèn)收到過(guò)此數(shù)據(jù)或偽造接收數(shù)據(jù)。安全機(jī)制安全體系架構(gòu)網(wǎng)絡(luò)安全基本模型網(wǎng)絡(luò)安全基本模型包括通信主體雙方、攻擊者和可信第三方，通信雙方在網(wǎng)絡(luò)上傳輸信息，需要先在發(fā)收之間建立一條邏輯通道。這就要先確定從發(fā)送端到接收端的路由，再選擇該路由上使用的通信協(xié)議，如TCP/IP。為了在開(kāi)放式的網(wǎng)絡(luò)環(huán)境中安全地傳輸信息，需要對(duì)信息提供安全機(jī)制和安全服務(wù)。信息的安全傳輸包括兩個(gè)基本部分：一是對(duì)發(fā)送的信息進(jìn)行安全轉(zhuǎn)換，如信息加密以便達(dá)到信息的保密性，附加一些特征碼以便進(jìn)行發(fā)送者身份驗(yàn)證等；二是發(fā)送雙方共享的某些秘密信息，如加密密鑰，除了對(duì)可信任的第三方外，對(duì)其它用戶是保密的。為了使信息安全傳輸，一般需要一個(gè)可信任的第三方，其作用是負(fù)責(zé)向通信雙方分發(fā)秘密信息，以及在雙方發(fā)生爭(zhēng)議時(shí)進(jìn)行仲裁。一個(gè)安全的網(wǎng)絡(luò)通信必須考慮以下內(nèi)容：實(shí)現(xiàn)與安全相關(guān)的信息轉(zhuǎn)換的規(guī)則或算法用于信息轉(zhuǎn)換算法的密碼信息（如密鑰）秘密信息的分發(fā)和共享使用信息轉(zhuǎn)換算法和秘密信息獲取安全服務(wù)所需的協(xié)議信息安全框架物理安全進(jìn)入辦公室需經(jīng)人臉識(shí)別門(mén)禁系統(tǒng)確認(rèn)后才能打開(kāi)辦公室門(mén)，出辦公室門(mén)需按出門(mén)按鈕。通信和網(wǎng)絡(luò)安全能完成對(duì)出入辦公室人員的授權(quán)管理，能對(duì)進(jìn)出辦公室人員的歷史出入記錄進(jìn)行查詢及輸出。運(yùn)行安全信息安全信息安全起因首先，視頻監(jiān)控網(wǎng)絡(luò)安全問(wèn)題是現(xiàn)實(shí)存在的，在互聯(lián)網(wǎng)傳輸中不加密問(wèn)題更甚。即便是美國(guó)國(guó)防部?jī)?nèi)部網(wǎng)絡(luò)都曾被黑客入侵，何況是民用監(jiān)控。其次，視頻監(jiān)控網(wǎng)絡(luò)安全問(wèn)題是普遍存在的，并非只?？低曇患摇４饲氨阌袌?bào)道，只要在Google中搜索簡(jiǎn)單的關(guān)鍵字，就能夠無(wú)阻礙地連入全球超過(guò)1000個(gè)沒(méi)有保護(hù)措施的監(jiān)控?cái)z像頭。用戶對(duì)網(wǎng)絡(luò)安全重視程度不夠，缺乏安全意識(shí)，在安裝完監(jiān)控產(chǎn)品之后，沒(méi)有對(duì)密碼進(jìn)行修改，實(shí)際上只要用戶按照產(chǎn)品說(shuō)明書(shū)的說(shuō)明修改了初始默認(rèn)密碼，就能很大程度上避免網(wǎng)絡(luò)安全隱患。第三，在視頻傳輸中，利用公安專用通信網(wǎng)保密性最佳，其次為視頻圖像專網(wǎng)，再次為虛擬專用網(wǎng)（VPN，VirtualPrivateNetwork），未加密的公網(wǎng)傳輸，包括移動(dòng)互聯(lián)網(wǎng)傳輸保密性是很差的。當(dāng)前平安城市視頻監(jiān)控系統(tǒng)承載網(wǎng)絡(luò)主要是公安專用通信網(wǎng)和視頻虛擬專網(wǎng)兩種?，F(xiàn)有系統(tǒng)的承載網(wǎng)絡(luò)情況復(fù)雜，平臺(tái)部署在不同的承載網(wǎng)絡(luò)上。虛擬專用網(wǎng)一般是在公用網(wǎng)絡(luò)上建立的專用網(wǎng)絡(luò)，是為特別用戶設(shè)置的加密通訊網(wǎng)絡(luò)，而平安城市視頻監(jiān)控系統(tǒng)匯接的社會(huì)圖像資源是經(jīng)過(guò)多種方式接入到各級(jí)共享平臺(tái)，雖然在接入時(shí)會(huì)采取一些安全接入措施，但仍很難避免被非法侵入。未加密的公網(wǎng)傳輸毫無(wú)保密性可言。除了接入網(wǎng)絡(luò)的設(shè)備會(huì)受到網(wǎng)絡(luò)安全隱患威脅外這一無(wú)法回避的因素外，安防企業(yè)多是習(xí)慣于用局域網(wǎng)或者專網(wǎng)視角來(lái)看待問(wèn)題。技術(shù)缺陷互聯(lián)網(wǎng)使用的通訊協(xié)議是TCP／IP．TCP／IP在最初的設(shè)計(jì)時(shí)．主要考慮的是如何實(shí)現(xiàn)網(wǎng)絡(luò)連接．并沒(méi)有充分考慮到網(wǎng)絡(luò)的安全問(wèn)題．而TCP／IP協(xié)議是完全公開(kāi)的，這就導(dǎo)致入侵者能夠利用TCP／IP協(xié)議的漏洞對(duì)網(wǎng)絡(luò)進(jìn)行攻擊。另外計(jì)算機(jī)使用的操作系統(tǒng)．比如說(shuō)當(dāng)前仍普遍使用的微軟windows操作系統(tǒng)在設(shè)計(jì)上也存在安全漏洞，用戶經(jīng)常需要更新．下載它的安全補(bǔ)丁．以修補(bǔ)它的安全漏洞。其它的技術(shù)缺陷還包括應(yīng)用程序的編寫(xiě)對(duì)安全性考慮不足．網(wǎng)絡(luò)通訊設(shè)備包括路由器、交換機(jī)存在安全的缺陷等等．這些技術(shù)上的缺陷都容易被入侵者利用．從而構(gòu)成安全威脅。管理缺陷由于網(wǎng)絡(luò)使用單位的負(fù)責(zé)人、網(wǎng)絡(luò)管理員思想上不重視或者疏忽．沒(méi)有正視黑客入侵所造成的嚴(yán)重后果．沒(méi)有投入必要的人力、物力和財(cái)力來(lái)加強(qiáng)網(wǎng)絡(luò)的安全性，沒(méi)有采取有效的安全策略和安全機(jī)制．缺乏先進(jìn)的網(wǎng)絡(luò)安全技術(shù)、工具、手段和產(chǎn)品等等，這也導(dǎo)致了網(wǎng)絡(luò)的安全防范能力差。主要有以下幾個(gè)方面：內(nèi)部管理漏洞。缺乏健全的額管理制度或制度執(zhí)行不力，給內(nèi)部人員違規(guī)或犯罪留下機(jī)會(huì)。與外部威脅相比，來(lái)自內(nèi)部的攻擊和犯罪更難防范，而且是網(wǎng)絡(luò)安全的主要來(lái)源，據(jù)統(tǒng)計(jì)，大約80%的安全威脅來(lái)自系統(tǒng)內(nèi)部。動(dòng)態(tài)環(huán)境變化。單位變化，人員流動(dòng)，原有內(nèi)部人員對(duì)網(wǎng)絡(luò)的破壞。社會(huì)問(wèn)題、道德問(wèn)題和立法問(wèn)題。網(wǎng)絡(luò)攻擊方式互聯(lián)網(wǎng)技術(shù)在飛速發(fā)展的同時(shí)．黑客技術(shù)也在飛速發(fā)展，網(wǎng)絡(luò)世界的安全性不斷地在受到挑戰(zhàn)。對(duì)于黑客來(lái)說(shuō)．要進(jìn)入普通人的電腦非常容易。只果你要上網(wǎng)．就免不了遇到病毒和黑客。下面列舉一些黑客常見(jiàn)攻擊手段：口令攻擊口令攻擊就是經(jīng)過(guò)竊取口令的方式進(jìn)行破壞的活動(dòng)，口令攻擊是比較常見(jiàn)的一種攻擊方式。在現(xiàn)實(shí)生活中．由于用戶名和密碼被盜造成損失的例子有很多，一旦用戶名和密碼被盜．入侵者還能夠冒用此用戶的名義對(duì)系統(tǒng)進(jìn)行進(jìn)一步的破壞和攻擊．從而給用戶本身或者整個(gè)系統(tǒng)造成非常大的損失。就當(dāng)前的黑客技術(shù)來(lái)說(shuō)．用戶名和密碼的盜取對(duì)黑客不再是有難度的事情，黑客盜取口令的方法有很多。比如說(shuō)，有的黑客經(jīng)過(guò)FTP、TFTP和Telnet等工具．能夠搜集用戶賬戶資料、獲得口令文件，然后對(duì)1：3令文件進(jìn)行解密來(lái)獲得口令?；蛘呷绻脩舻目诹钤O(shè)置缺乏安全性．可能被輕易地被“字典攻擊”猜到用戶的El令。“字典攻擊”就是經(jīng)過(guò)編寫(xiě)一個(gè)應(yīng)用程序．根據(jù)一定的規(guī)律．由應(yīng)用程序自動(dòng)重復(fù)地去嘗試口令．強(qiáng)行破解用戶口令?！弊值涔簟币蠛诳鸵凶銐虻哪托暮蜁r(shí)間．但對(duì)那些口令安全系數(shù)極低的用戶，只要短短的幾分鐘．甚至數(shù)十秒就能夠被破解。11月，知名專業(yè)安全網(wǎng)站SecurityStreetRapid公布了3個(gè)RTSP安全漏洞，編號(hào)分別為：CVE--4878、CVE--4879及CVE--4880。這三個(gè)漏洞均為監(jiān)控設(shè)備對(duì)RTSP請(qǐng)求處理不當(dāng)導(dǎo)致的緩沖區(qū)溢出漏洞。經(jīng)過(guò)該漏洞，攻擊者只要知道設(shè)備的IP地址，即可采用電腦對(duì)設(shè)備進(jìn)行拒絕服務(wù)攻擊，從而導(dǎo)致設(shè)備癱瘓或被攻擊者接管。弱口令。弱口令是指容易被攻擊者猜測(cè)到或被破解工具破解的口令。此次媒體報(bào)道中提及的弱口令問(wèn)題主要是由于未修改設(shè)備初始密碼或設(shè)備密碼過(guò)于簡(jiǎn)單導(dǎo)致的安全問(wèn)題。弱口令問(wèn)題普遍存在，主要的解決方式是建立嚴(yán)格、規(guī)范化的口令管理流程和管理機(jī)制。軟件攻擊軟件攻擊有時(shí)又叫漏洞攻擊．許多系統(tǒng)包括計(jì)算機(jī)系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)都有這樣那樣的安全漏洞(Bug)和后門(mén)(backdoor)。特別是計(jì)算機(jī)系統(tǒng)．在安裝好操作系統(tǒng)后．出現(xiàn)漏洞和缺陷的可能性是最大的，這些漏洞需要廠商發(fā)布補(bǔ)丁(patch)程序來(lái)進(jìn)行修補(bǔ)。各個(gè)硬件廠商和軟件廠商，包括微軟在內(nèi)．都在不斷地發(fā)布自己的補(bǔ)?。@要求用戶及時(shí)的去下載這些補(bǔ)?。M(jìn)行系統(tǒng)更新操作。如果系統(tǒng)管理人員沒(méi)有對(duì)網(wǎng)絡(luò)和操作系統(tǒng)的漏洞及時(shí)打補(bǔ)?。肭终呔湍軌蚝苋菀桌眠@些公開(kāi)的漏洞，侵入系統(tǒng)．從而對(duì)整個(gè)網(wǎng)絡(luò)帶來(lái)災(zāi)難性的后果。軟件攻擊除了利用系統(tǒng)的漏洞外．還能夠利用一些后門(mén)程序。后門(mén)，就是秘密入口。比如說(shuō)．在程序開(kāi)發(fā)階段，程序員可能會(huì)設(shè)置一些后門(mén)．以便于測(cè)試、修改和增強(qiáng)模塊功能。正常情況下，程序開(kāi)放完成后需要去掉各個(gè)模塊的后門(mén)，不過(guò)有時(shí)由于疏忽或者其它原因，比如說(shuō)如保留后門(mén)便于日后訪問(wèn)、測(cè)試或維護(hù)．后門(mén)沒(méi)有去掉，一些別有用心的人就會(huì)利用專門(mén)的掃描工具發(fā)現(xiàn)并利用這些后門(mén)，然后進(jìn)入系統(tǒng)并發(fā)動(dòng)攻擊。國(guó)內(nèi)的安防產(chǎn)品的漏洞問(wèn)題由來(lái)已久，主要原因在于社會(huì)和國(guó)家對(duì)信息化依賴越來(lái)越高。境外惡意攻擊者一般會(huì)對(duì)網(wǎng)絡(luò)進(jìn)行掃描，發(fā)現(xiàn)系統(tǒng)存在弱口令問(wèn)題后會(huì)利用其中未修復(fù)的安全漏洞進(jìn)行攻擊，然后植入后門(mén)軟件進(jìn)行長(zhǎng)期控制。所有暴露在互聯(lián)網(wǎng)環(huán)境下的設(shè)備都會(huì)面臨黑客攻擊的風(fēng)險(xiǎn)，很多用戶缺乏安全意識(shí)，在安全上考慮不足也導(dǎo)致容易出現(xiàn)安全漏洞。竊聽(tīng)攻擊網(wǎng)絡(luò)竊聽(tīng)是最直接的獲取數(shù)據(jù)的手段．如果在共享的網(wǎng)絡(luò)通道上，用沒(méi)有加密的明文傳輸敏感數(shù)據(jù)．這些信息很可能被竊聽(tīng)和監(jiān)視。竊聽(tīng)者能夠采用如sniffef等網(wǎng)絡(luò)協(xié)議分析工具，非常容易地在信息傳輸過(guò)程中獲取所有信息的內(nèi)容，這些信息包括賬號(hào)．密碼等重要信息。一旦入侵者監(jiān)聽(tīng)到用戶傳輸?shù)目诹睿湍軌蚶每诹钊肭值较到y(tǒng)中。比如說(shuō)．政府部門(mén)內(nèi)部的普通工作人員．如果經(jīng)過(guò)內(nèi)部網(wǎng)絡(luò)竊聽(tīng)手段。獲取了領(lǐng)導(dǎo)的賬號(hào)和密碼，從而能夠利用這些密碼．查閱只能由領(lǐng)導(dǎo)查閱的秘密文件等。這類方法有一定的局限性，但危害性較大．監(jiān)聽(tīng)者往往能夠獲得其所在網(wǎng)段的所有用戶賬號(hào)和口令．對(duì)內(nèi)部網(wǎng)絡(luò)安全威脅巨大，因?yàn)閮?nèi)網(wǎng)數(shù)據(jù)往往是密級(jí)非常高的．如果被非法竊聽(tīng)而導(dǎo)致信息泄露，將對(duì)國(guó)家造成非常大的損失。欺詐攻擊欺詐攻擊是利用假冒方式騙取連接和信息資源、損害企業(yè)的聲譽(yù)和利益的方式。比如說(shuō)．黑客在被攻擊主機(jī)上啟動(dòng)一個(gè)可執(zhí)行程序．該程序顯示一個(gè)偽造的登錄界面。當(dāng)用戶在這個(gè)偽裝的界面上鍵入登錄信息后．黑客程序會(huì)將用戶輸入的信息傳送到攻擊者主機(jī)．然后關(guān)閉界面給出提示錯(cuò)誤．要求用戶重新登錄。此后．才會(huì)出現(xiàn)真正的登錄界面．這就是欺詐攻擊的一種方式。再比如說(shuō)，黑客能夠制作自己的網(wǎng)頁(yè)．一旦用戶點(diǎn)擊了假冒鏈接地址．進(jìn)入到這個(gè)網(wǎng)頁(yè)后，如果用戶此時(shí)輸入銀行賬號(hào)、密碼、驗(yàn)證碼后，該假冒網(wǎng)頁(yè)會(huì)提示驗(yàn)證碼錯(cuò)誤．隨后再轉(zhuǎn)向正常的網(wǎng)頁(yè)．這樣．黑客就巧妙地從中獲取了用戶的機(jī)密信息。病毒攻擊計(jì)算機(jī)病毒實(shí)際上是一段可執(zhí)行程序，為什么稱之為病毒，主要是因?yàn)樗同F(xiàn)實(shí)世界的病毒一樣具有傳染性．潛伏性和破壞性。在越來(lái)越依賴網(wǎng)絡(luò)的今天．由于病毒導(dǎo)致的系統(tǒng)破壞將帶來(lái)巨大的損失。計(jì)算機(jī)病毒對(duì)計(jì)算機(jī)的影響是災(zāi)難性的。從20世紀(jì)80年代起．計(jì)算機(jī)使用者就開(kāi)始和計(jì)算機(jī)病毒斗爭(zhēng)，特別是隨著近年互聯(lián)網(wǎng)的發(fā)展．網(wǎng)絡(luò)應(yīng)用的普及、人們對(duì)計(jì)算機(jī)的依賴程度的不斷提高．這一切為病毒的傳播提供了方便的渠道，同時(shí)也使計(jì)算機(jī)病毒的種類迅速增加．?dāng)U散速度大大加快．受感染的范圍越來(lái)越廣，病毒的破壞性也越來(lái)越嚴(yán)重。以前病毒的傳播方式主要是單機(jī)之問(wèn)經(jīng)過(guò)軟盤(pán)介質(zhì)傳染．而現(xiàn)在病毒能夠更迅速地經(jīng)過(guò)網(wǎng)絡(luò)共享文件、電子郵件及互聯(lián)網(wǎng)在全世界范圍內(nèi)傳播拒絕服務(wù)攻擊DOS(denial-of-service)攻擊，簡(jiǎn)稱DoS攻擊．是經(jīng)過(guò)向攻擊目標(biāo)施加超強(qiáng)力的服務(wù)要求．要求被攻擊目標(biāo)提供超出它能力范圉的服務(wù)，從而引起的攻擊目標(biāo)對(duì)正常服務(wù)的拒絕或服務(wù)性能大大降低。簡(jiǎn)單的說(shuō)拒絕服務(wù)攻擊就是想辦法將被攻擊的計(jì)算機(jī)資源或網(wǎng)絡(luò)帶寬資源耗盡．導(dǎo)致網(wǎng)絡(luò)或系統(tǒng)不勝負(fù)荷以至于癱瘓．而停止提供正常的服務(wù)。DoS攻擊由于能夠經(jīng)過(guò)使用一些公開(kāi)的軟件和工具進(jìn)行攻擊，因而它的發(fā)動(dòng)較為簡(jiǎn)單．”拒絕服務(wù)”的攻擊方式是：用戶發(fā)送許多要求確認(rèn)的信息到服務(wù)器．使服務(wù)器里充斥著這種大量要求回復(fù)的無(wú)用信息．所有的信息都有需回復(fù)的虛假地址．而當(dāng)服務(wù)器試圖回傳時(shí)．卻無(wú)法找到用戶。服務(wù)器于是暫時(shí)等候，然后再切斷連接。服務(wù)器切斷連接時(shí)．黑客再度傳送新一批需要確認(rèn)的信息，這個(gè)過(guò)程周而復(fù)始．最終導(dǎo)致服務(wù)器資源耗盡而癱瘓。信息安全后果在現(xiàn)代網(wǎng)絡(luò)信息社會(huì)環(huán)境下．由于存在各種各樣的安全威脅，比如病毒、誤操作、設(shè)備故障和黑客攻擊等，從而可能會(huì)造成重要數(shù)據(jù)文件的丟失。安全問(wèn)題具體的后果包括：企業(yè)的資料被有意篡改，網(wǎng)站的頁(yè)面被丑化或者修改。比如說(shuō)，在被攻擊的網(wǎng)站首頁(yè)上貼上謠言、黃色圖片或反動(dòng)言論．從而造成法律上和政治上的嚴(yán)重后果。破壞計(jì)算機(jī)的硬件系統(tǒng)，比如說(shuō)磁盤(pán)系統(tǒng)．從而造成文件永久丟失。使得商業(yè)機(jī)密或技術(shù)成果泄露或者被散播。安全問(wèn)題還可能使得服務(wù)被迫停止，并給客戶層帶來(lái)服務(wù)質(zhì)量低劣的印象，使得企業(yè)形象被破壞，從而造成惡劣影響和難以挽回的損失。信息安全技術(shù)PKI體系公鑰密碼體制分為三個(gè)部分，公鑰、私鑰、加密解密算法，它的加密解密過(guò)程如下：? 加密：經(jīng)過(guò)加密算法和公鑰對(duì)內(nèi)容(或者說(shuō)明文)進(jìn)行加密，得到密文。加密過(guò)程需要用到公鑰。? 解密：經(jīng)過(guò)解密算法和私鑰對(duì)密文進(jìn)行解密，得到明文。解密過(guò)程需要用到解密算法和私鑰。注意，由公鑰加密的內(nèi)容，只能由私鑰進(jìn)行解密，也就是說(shuō)，由公鑰加密的內(nèi)容，如果不知道私鑰，是無(wú)法解密的。公鑰密碼體制的公鑰和算法都是公開(kāi)的(這是為什么叫公鑰密碼體制的原因)，私鑰是保密的。大家都以使用公鑰進(jìn)行加密，可是只有私鑰的持有者才能解密。在實(shí)際的使用中，有需要的人會(huì)生成一對(duì)公鑰和私鑰，把公鑰發(fā)布出去給別人使用，自己保留私鑰。證書(shū)認(rèn)證機(jī)構(gòu)（CA）認(rèn)證授權(quán)機(jī)構(gòu)（CA,CertificateAuthority），也稱為電子認(rèn)證中心，是負(fù)責(zé)發(fā)放和管理數(shù)字證書(shū)的權(quán)威機(jī)構(gòu)，并作為網(wǎng)絡(luò)活動(dòng)中受信任的第三方，承擔(dān)公鑰體系中公鑰的合法性檢驗(yàn)的責(zé)任。CA中心為每個(gè)使用公開(kāi)密鑰的用戶發(fā)放一個(gè)數(shù)字證書(shū)，數(shù)字證書(shū)的作用是證明證書(shū)中列出的用戶合法擁有證書(shū)中列出的公開(kāi)密鑰。CA機(jī)構(gòu)的數(shù)字簽名使得攻擊者不能偽造和篡改證書(shū)。在SET交易中，CA不但對(duì)持卡人、商戶發(fā)放證書(shū)，還要對(duì)獲款的銀行、網(wǎng)關(guān)發(fā)放證書(shū)。CA是證書(shū)的簽發(fā)機(jī)構(gòu),它是PKI的核心。CA是負(fù)責(zé)簽發(fā)證書(shū)、認(rèn)證證書(shū)、管理已頒發(fā)證書(shū)的機(jī)關(guān)。它要制定政策和具體步驟來(lái)驗(yàn)證、識(shí)別用戶身份，并對(duì)用戶證書(shū)進(jìn)行簽名，以確保證書(shū)持有者的身份和公鑰的擁有權(quán)。CA也擁有一個(gè)證書(shū)（內(nèi)含公鑰）和私鑰。網(wǎng)上的公眾用戶經(jīng)過(guò)驗(yàn)證CA的簽字從而信任CA，任何人都能夠得到CA的證書(shū)（含公鑰），用以驗(yàn)證它所簽發(fā)的證書(shū)。如果用戶想得到一份屬于自己的證書(shū)，她應(yīng)先向CA提出申請(qǐng)。在CA判明申請(qǐng)者的身份后，便為她分配一個(gè)公鑰，而且CA將該公鑰與申請(qǐng)者的身份信息綁在一起，并為之簽字后，便形成證書(shū)發(fā)給申請(qǐng)者。如果一個(gè)用戶想鑒別另一個(gè)證書(shū)的真?zhèn)?，她就用CA的公鑰對(duì)那個(gè)證書(shū)上的簽字進(jìn)行驗(yàn)證，一旦驗(yàn)證經(jīng)過(guò)，該證書(shū)就被認(rèn)為是有效的。為保證用戶之間在網(wǎng)上傳遞信息的安全性、真實(shí)性、可靠性、完整性和不可抵賴性，不但需要對(duì)用戶的身份真實(shí)性進(jìn)行驗(yàn)證，也需要有一個(gè)具有權(quán)威性、公正性、唯一性的機(jī)構(gòu)，負(fù)責(zé)向電子商務(wù)的各個(gè)主體頒發(fā)并管理符合國(guó)內(nèi)、國(guó)際安全電子交易協(xié)議標(biāo)準(zhǔn)的電子商務(wù)安全證，并負(fù)責(zé)管理所有參與網(wǎng)上交易的個(gè)體所需的數(shù)字證書(shū)，因此是安全電子交易的核心環(huán)節(jié)數(shù)字證書(shū)證書(shū)實(shí)際是由證書(shū)簽證機(jī)關(guān)（CA）簽發(fā)的對(duì)用戶的公鑰的認(rèn)證。證書(shū)的內(nèi)容包括：電子簽證機(jī)關(guān)的信息、公鑰用戶信息、公鑰、權(quán)威機(jī)構(gòu)的簽字和有效期等等。證書(shū)的格式和驗(yàn)證方法普遍遵循X.509國(guó)際標(biāo)準(zhǔn)。信息發(fā)送者用其私匙對(duì)從所傳報(bào)文中提取出的特征數(shù)據(jù)（或稱數(shù)字指紋）進(jìn)行RSA算法操作，以保證發(fā)信人無(wú)法抵賴曾發(fā)過(guò)該信息（即不可抵賴性），同時(shí)也確保信息報(bào)文在傳遞過(guò)程中未被篡改（即完整性）。當(dāng)信息接收者收到報(bào)文后，就能夠用發(fā)送者的公鑰對(duì)數(shù)字簽名進(jìn)行驗(yàn)證。數(shù)字證書(shū)為實(shí)現(xiàn)雙方安全通信提供了電子認(rèn)證。在因特網(wǎng)、公司內(nèi)部網(wǎng)或外部網(wǎng)中，使用數(shù)字證書(shū)實(shí)現(xiàn)身份識(shí)別和電子信息加密。數(shù)字證書(shū)中含有公鑰對(duì)所有者的識(shí)別信息，經(jīng)過(guò)驗(yàn)證識(shí)別信息的真?zhèn)螌?shí)現(xiàn)對(duì)證書(shū)持有者身份的認(rèn)證。1.使用數(shù)字證書(shū)能做什么?數(shù)字證書(shū)在用戶公鑰后附加了用戶信息及CA的簽名。公鑰是密鑰正確一部分，另一部分是私鑰。公鑰公之于眾，誰(shuí)都能夠使用。私鑰只有自己知道。由公鑰加密的信息只能由與之相對(duì)應(yīng)的私鑰解密。為確保只有某個(gè)人才能閱讀自己的信件，發(fā)送者要用收件人的公鑰加密信件；收件人便可用自己的私鑰解密信件。同樣，為證實(shí)發(fā)件人的身份，發(fā)送者要用自己的私鑰對(duì)信件進(jìn)行簽名；收件人可使用發(fā)送者的公鑰對(duì)簽名進(jìn)行驗(yàn)證，以確認(rèn)發(fā)送者的身份。在線交易中您可使用數(shù)字證書(shū)驗(yàn)證對(duì)方身份。用數(shù)字證書(shū)加密信息，能夠確保只有接收者才能解密、閱讀原文，信息在傳遞過(guò)程中的保密性和完整性。有了數(shù)字證書(shū)網(wǎng)上安全才得以實(shí)現(xiàn)，電子郵件、在線交易和信用卡購(gòu)物的安全才能得到保證。2.數(shù)字證書(shū)的類型個(gè)人數(shù)字證書(shū)，主要用于標(biāo)識(shí)數(shù)字證書(shū)自然人所有人的身份，包含了個(gè)人的身份信息及其公鑰，如用戶姓名、證件號(hào)碼、身份類型等，可用于個(gè)人在網(wǎng)上進(jìn)行合同簽定、定單、錄入審核、操作權(quán)限、支付信息等活動(dòng)。機(jī)構(gòu)數(shù)字證書(shū)，主要用于標(biāo)識(shí)數(shù)字證書(shū)機(jī)構(gòu)所有人的身份，包含機(jī)構(gòu)的相關(guān)信息及其公鑰，如：企業(yè)名稱、組織機(jī)構(gòu)代碼等，可用于機(jī)構(gòu)在電子商務(wù)、電子政務(wù)應(yīng)用中進(jìn)行合同簽定、網(wǎng)上支付、行政審批、網(wǎng)上辦公等各類活動(dòng)。設(shè)備數(shù)字證書(shū)，用于在網(wǎng)絡(luò)應(yīng)用中標(biāo)識(shí)網(wǎng)絡(luò)設(shè)備的身份，主要包含了設(shè)備的相關(guān)信息及其公鑰，如：域名、網(wǎng)址等，可用于VPN服務(wù)器、WEB服務(wù)器等各種網(wǎng)絡(luò)設(shè)備在網(wǎng)絡(luò)通訊中標(biāo)識(shí)和驗(yàn)證設(shè)備身份。另外，還有代碼簽名數(shù)字證書(shū)，是簽發(fā)給軟件提供者的數(shù)字證書(shū)，包含了軟件提供者的身份信息及其公鑰，主要用于證明軟件發(fā)布者所發(fā)行的軟件代碼來(lái)源于一個(gè)真實(shí)軟件發(fā)布者，能夠有效防止軟件代碼被篡改。用戶身份認(rèn)證所謂身份認(rèn)證，就是判斷一個(gè)用戶是否為合法用戶的處理過(guò)程。最常見(jiàn)的簡(jiǎn)單身份認(rèn)證方式是系統(tǒng)經(jīng)過(guò)核對(duì)用戶輸入的用戶名和口令，看其是否與系統(tǒng)中存儲(chǔ)的該用戶的用戶名和口令一致，來(lái)判斷用戶身份是否正確。復(fù)雜一些的身份認(rèn)證方式采用一些較復(fù)雜的加密算法與協(xié)議，需要用戶出示更多的信息(如私鑰)來(lái)證明自己的身份，如Kerberos身份認(rèn)證系統(tǒng)。身份認(rèn)證一般與授權(quán)控制是相互聯(lián)系的，授權(quán)控制是指一旦用戶的身份經(jīng)過(guò)認(rèn)證以后，確定哪些資源該用戶能夠訪問(wèn)、能夠進(jìn)行何種方式的訪問(wèn)操作等問(wèn)題。在一個(gè)數(shù)字化的工作體系中，應(yīng)該有一個(gè)統(tǒng)一的身份認(rèn)證系統(tǒng)供各應(yīng)用系統(tǒng)使用，但授權(quán)控制能夠由各應(yīng)用系統(tǒng)自己管理。統(tǒng)一用戶管理系統(tǒng)(IDS),實(shí)現(xiàn)網(wǎng)上應(yīng)用系統(tǒng)的用戶、角色和組織機(jī)構(gòu)統(tǒng)一化管理，實(shí)現(xiàn)各種應(yīng)用系統(tǒng)間跨域的單點(diǎn)登錄和單點(diǎn)退出和統(tǒng)一的身份認(rèn)證功能，用戶登錄到一個(gè)系統(tǒng)后，再轉(zhuǎn)入到其它應(yīng)用系統(tǒng)時(shí)不需要再次登錄，簡(jiǎn)化了用戶的操作，也保證了同一用戶在不同的應(yīng)用系統(tǒng)中身份的一致性。身份認(rèn)證可分為用戶與系統(tǒng)間的認(rèn)證和系統(tǒng)與系統(tǒng)之間的認(rèn)證。身份認(rèn)證必須做到準(zhǔn)確無(wú)誤地將對(duì)方辨認(rèn)出來(lái)，同時(shí)還應(yīng)該提供雙向的認(rèn)證。當(dāng)前使用比較多的是用戶與系統(tǒng)間的身份認(rèn)證，它只需單向進(jìn)行，只由系統(tǒng)對(duì)用戶進(jìn)行身份驗(yàn)證。隨著計(jì)算機(jī)網(wǎng)絡(luò)化的發(fā)展，大量的組織機(jī)構(gòu)涌入國(guó)際互聯(lián)網(wǎng)，以及電子商務(wù)與電子政務(wù)的大量興起，系統(tǒng)與系統(tǒng)之間的身份認(rèn)證也變得越來(lái)越重要。身份認(rèn)證的基本方式能夠基于下述一個(gè)或幾個(gè)因素的組合：所知（Knowledge）：即用戶所知道的或所掌握的知識(shí)，如口令；所有（Possesses）：用戶所擁有的某個(gè)秘密信息，如智能卡中存儲(chǔ)的用戶個(gè)人化參數(shù)，訪問(wèn)系統(tǒng)資源時(shí)必須要有智能卡；特征（Characteristics）：用戶所具有的生物及動(dòng)作特征，如指紋、聲音、視網(wǎng)膜掃描等。根據(jù)在認(rèn)證中采用的因素的多少，能夠分為單因素認(rèn)證、雙因素認(rèn)證、多因素認(rèn)證等方法。身份認(rèn)證系統(tǒng)所采用的方法考慮因素越多，認(rèn)證的可靠性就越高。認(rèn)證機(jī)制基于口令的身份認(rèn)證機(jī)制基于口令的身份認(rèn)證技術(shù)因其簡(jiǎn)單易用，得到了廣泛的使用。但隨著網(wǎng)絡(luò)應(yīng)用的深入和網(wǎng)絡(luò)攻擊手段的多樣化，口令認(rèn)證技術(shù)也不斷發(fā)生變化，產(chǎn)生了各種各樣的新技術(shù)。最常采用的身份認(rèn)證方式是基于靜態(tài)口令的認(rèn)證方式，它是最簡(jiǎn)單、當(dāng)前應(yīng)用最普遍的一種身份認(rèn)證方式。但它是一種單因素的認(rèn)證，安全性僅依賴于口令，口令一旦泄露，用戶即可被冒充；同時(shí)易被攻擊，采用窺探、字典攻擊、窮舉嘗試、網(wǎng)絡(luò)數(shù)據(jù)流竊聽(tīng)、重放攻擊等很容易攻破該認(rèn)證系統(tǒng)。相對(duì)靜態(tài)口令，動(dòng)態(tài)口令也叫一次性口令，它的基本原理是在用戶登錄過(guò)程中，基于用戶口令加入不確定因子，對(duì)用戶口令和不確定因子進(jìn)行單向散列函數(shù)變換，所得的結(jié)果作為認(rèn)證數(shù)據(jù)提交給認(rèn)證服務(wù)器。認(rèn)證服務(wù)器接收到用戶的認(rèn)證數(shù)據(jù)后，把用戶的認(rèn)證數(shù)據(jù)和自己用同樣的散列算法計(jì)算出的數(shù)值進(jìn)行比對(duì)，從而實(shí)現(xiàn)對(duì)用戶身份的認(rèn)證。在認(rèn)證過(guò)程中，用戶口令不在網(wǎng)絡(luò)上傳輸，不直接用于驗(yàn)證用戶的身份。動(dòng)態(tài)口令機(jī)制每次都采用不同的不確定因子來(lái)生成認(rèn)證數(shù)據(jù)，從而每次提交的認(rèn)證數(shù)據(jù)都不相同，提高了認(rèn)證過(guò)程的安全性。挑戰(zhàn)/響應(yīng)認(rèn)證機(jī)制挑戰(zhàn)/響應(yīng)方式的身份認(rèn)證機(jī)制就是每次認(rèn)證時(shí)認(rèn)證服務(wù)器端都給客戶端發(fā)送一個(gè)不同的“挑戰(zhàn)”碼，客戶端程序收到這個(gè)“挑戰(zhàn)”碼，根據(jù)客戶端和服務(wù)器之間共享的密鑰信息，以及服務(wù)器端發(fā)送的“挑戰(zhàn)”碼做出相應(yīng)的“應(yīng)答”。服務(wù)器根據(jù)應(yīng)答的結(jié)果確定是否接受客戶端的身份聲明。從本質(zhì)上講，這種機(jī)制實(shí)際上也是一次性口令的一種。一個(gè)典型的認(rèn)證過(guò)程如下圖所示：認(rèn)證過(guò)程為：1)客戶向認(rèn)證服務(wù)器發(fā)出請(qǐng)求，要求進(jìn)行身份認(rèn)證；2)認(rèn)證服務(wù)器從用戶數(shù)據(jù)庫(kù)中查詢用戶是否是合法的用戶，若不是，則不做進(jìn)一步處理；3)認(rèn)證服務(wù)器內(nèi)部產(chǎn)生一個(gè)隨機(jī)數(shù)，作為“挑戰(zhàn)”碼，發(fā)送給客戶；4)客戶將用戶名字和隨機(jī)數(shù)合并，使用單向Hash函數(shù)（例如MD5算法）生成一個(gè)字節(jié)串作為應(yīng)答；5)認(rèn)證服務(wù)器將應(yīng)答串與自己的計(jì)算結(jié)果比較，若二者相同，則經(jīng)過(guò)一次認(rèn)證；否則，認(rèn)證失??；6)認(rèn)證服務(wù)器通知客戶認(rèn)證成功或失敗。EAP認(rèn)證機(jī)制EAP（ExtensibleAuthenticationProtocol）擴(kuò)展認(rèn)證協(xié)議在RFC2248中定義，是一個(gè)普遍使用的認(rèn)證機(jī)制，它常被用于無(wú)線網(wǎng)絡(luò)或點(diǎn)到點(diǎn)的連接中。EAP不但能夠用于無(wú)線局域網(wǎng)，而且能夠用于有線局域網(wǎng)，但它在無(wú)線局域網(wǎng)中使用的更頻繁。EAP實(shí)際是一個(gè)認(rèn)證框架，不是一個(gè)特殊的認(rèn)證機(jī)制。EAP提供一些公共的功能，而且允許協(xié)商所希望的認(rèn)證機(jī)制。這些機(jī)制被稱為EAP方法。由于EAP方法除了IETF定義了一部分外，廠商也能夠自定義方法，因此EAP具有很強(qiáng)的擴(kuò)展性。IETF的RFC中定義的方法包括EAP-MD5、EAP-OTP、EAP-GTC、EAP-TLS、EAP-SIM和EAP-AKA等。無(wú)線網(wǎng)絡(luò)中常見(jiàn)的方法包括EAP-TLS、EAP-SIM、EAP-AKA、PEAP、LEAP和EAP-TTLS。當(dāng)前EAP在802.1X的網(wǎng)絡(luò)中使用廣泛，可擴(kuò)展的EAP方法能夠?yàn)榻尤刖W(wǎng)絡(luò)提供一個(gè)安全認(rèn)證機(jī)制。鑰認(rèn)證機(jī)制隨著網(wǎng)絡(luò)應(yīng)用的普及，對(duì)系統(tǒng)外用戶進(jìn)行身份認(rèn)證的需求不斷增加，即某個(gè)用戶沒(méi)有在一個(gè)系統(tǒng)中注冊(cè)，但也要求能夠?qū)ζ渖矸葸M(jìn)行認(rèn)證，特別是在分布式系統(tǒng)中，這種要求格外突出。這種情況下，公鑰認(rèn)證機(jī)制就顯示出它獨(dú)特的優(yōu)越性。公鑰認(rèn)證機(jī)制中每個(gè)用戶被分配給一對(duì)密鑰，稱之為公鑰和私鑰，其中私鑰由用戶保管，而公鑰則向所有人公開(kāi)。用戶如果能夠向驗(yàn)證方證實(shí)自己持有私鑰，就證明了自己的身份。當(dāng)它用作身份認(rèn)證時(shí)，驗(yàn)證方需要用戶方對(duì)某種信息進(jìn)行數(shù)字簽名，即用戶方以用戶私鑰作為加密密鑰，對(duì)某種信息進(jìn)行加密，傳給驗(yàn)證方，而驗(yàn)證方根據(jù)用戶方預(yù)先提供的公鑰作為解密密鑰，就能夠?qū)⒂脩舴降臄?shù)字簽名進(jìn)行解密，以確認(rèn)該信息是否是該用戶所發(fā)，進(jìn)而認(rèn)證該用戶的身份。公鑰認(rèn)證機(jī)制中要驗(yàn)證用戶的身份，必須擁有用戶的公鑰，而用戶公鑰是否正確，是否是所聲稱擁有人的真實(shí)公鑰，在認(rèn)證體系中是一個(gè)關(guān)鍵問(wèn)題。常見(jiàn)的辦法是找一個(gè)值得信賴而且獨(dú)立的第三方認(rèn)證機(jī)構(gòu)充當(dāng)認(rèn)證中心（CertificateAuthority，CA），來(lái)確認(rèn)聲稱擁有公開(kāi)密鑰的人的真正身份。要建立安全的公鑰認(rèn)證系統(tǒng)，必須先建立一個(gè)穩(wěn)固、健全的CA體系，特別是公認(rèn)的權(quán)威機(jī)構(gòu)，即“RootCA”，這也是當(dāng)前公鑰基礎(chǔ)設(shè)施（PKI）建設(shè)的一個(gè)重點(diǎn)。認(rèn)證協(xié)議許多協(xié)議在向用戶或設(shè)備授權(quán)訪問(wèn)和訪問(wèn)權(quán)限之前需要認(rèn)證校驗(yàn)，一般要用到認(rèn)證相關(guān)的機(jī)制，前面討論了常見(jiàn)的認(rèn)證機(jī)制，本節(jié)介紹使用這些認(rèn)證機(jī)制的協(xié)議，這些協(xié)議包括RADIUS、TACACS、Kerberos、LDAP等。RADIUS和TACACS一般見(jiàn)在撥號(hào)環(huán)境中，Kerberos是在校園網(wǎng)中用的比較多的協(xié)議。LDAP提供一種輕量級(jí)的目錄服務(wù)，嚴(yán)格來(lái)說(shuō)不能算作一種認(rèn)證協(xié)議，而對(duì)用戶進(jìn)行認(rèn)證授權(quán)只是LDAP的一種應(yīng)用。RADIUS認(rèn)證協(xié)議RADIUS（RemoteAuthenticationDialInUserService）協(xié)議最初是由Livingston公司提出的，目的是為撥號(hào)用戶進(jìn)行認(rèn)證和計(jì)費(fèi)。后來(lái)經(jīng)過(guò)多次改進(jìn)，形成了一個(gè)通用的AAA協(xié)議。RADIUS協(xié)議認(rèn)證機(jī)制靈活，能夠支持各種認(rèn)證方法對(duì)用戶進(jìn)行認(rèn)證。能夠采用上述任何一種認(rèn)證機(jī)制。RADIUS是一種可擴(kuò)展的協(xié)議，它進(jìn)行的全部工作都是基于屬性進(jìn)行的，由于屬性可擴(kuò)展性，因此很容易支持不同的認(rèn)證方式。RADIUS協(xié)議經(jīng)過(guò)UDP協(xié)議進(jìn)行通信，RADIUS服務(wù)器的1812端口負(fù)責(zé)認(rèn)證，1813端口負(fù)責(zé)計(jì)費(fèi)工作。采用UDP的基本考慮是因?yàn)镹AS和RADIUS服務(wù)器大多在同一個(gè)局域網(wǎng)中，使用UDP更加快捷方便。TACACS認(rèn)證協(xié)議TACACS（TerminalAccessControllerAccessControlSystem）最先是由BBN為MILNET開(kāi)發(fā)的一種基于UDP的訪問(wèn)控制協(xié)議，一些廠商對(duì)協(xié)議進(jìn)行了擴(kuò)展，最終形成了一種新的AAA協(xié)議，其中CISCO公司對(duì)TACACS協(xié)議多次進(jìn)行增強(qiáng)擴(kuò)展，當(dāng)前成為T(mén)ACACS+協(xié)議，H3C在TACACS（RFC1492）基礎(chǔ)上進(jìn)行了功能增強(qiáng)，形成了H3C擴(kuò)展的TACACS協(xié)議。無(wú)論TACACS、TACACS+還是H3C擴(kuò)展TACACS協(xié)議，其認(rèn)證、授權(quán)和計(jì)費(fèi)是分離的，而且與原始TACACS協(xié)議相比，TACACS+和HWTACACS能夠使用TCP作為傳輸層協(xié)議，端口號(hào)為49。TACACS+允許任意長(zhǎng)度和內(nèi)容的認(rèn)證交換，與RADIUS一樣，具有很強(qiáng)的擴(kuò)展性，而且客戶端能夠使用任何認(rèn)證機(jī)制。由于TACACS+的認(rèn)證與其它服務(wù)是分開(kāi)的，因此認(rèn)證不是強(qiáng)制的，這點(diǎn)與RADIUS是不同的。Kerberos認(rèn)證協(xié)議在一個(gè)分布式環(huán)境中，采用上述兩種認(rèn)證協(xié)議時(shí)，如果發(fā)生賬號(hào)改動(dòng)的情況，每臺(tái)機(jī)器上的都要進(jìn)行相應(yīng)的賬號(hào)修改，工作量非常大。Kerberos是MIT為解決分布式網(wǎng)絡(luò)認(rèn)證而設(shè)計(jì)的可信第三方認(rèn)證協(xié)議。Kerberos基于對(duì)稱密碼技術(shù)，網(wǎng)絡(luò)上的每個(gè)實(shí)體持有不同的密鑰，是否知道該密鑰便是身份的證明。網(wǎng)絡(luò)上的Kerberos服務(wù)起著可信仲裁者的作用，可提供安全的網(wǎng)絡(luò)認(rèn)證。Kerberos常見(jiàn)的有兩個(gè)版本：第4版和第5版，當(dāng)前使用的標(biāo)準(zhǔn)版本是