接入網終端完整性評估的研究.pdf

1、近年來，隨著各種接入技術的普及，網絡用戶數呈爆炸性增長，帶來越來越多的網上攻擊與破壞事件。解決網絡安全問題的關鍵是如何控制非法用戶的接入，因此需要研究可信接入技術?，F有的可信接入技術偏重于對于外部的防范，而忽略了接入終端本身的安全。要達到由終端到網絡的可信接入，首先要對終端的安全狀態(tài)進行檢測和評估。本文在研究現有可信接入技術和對IETF(Internet Engineering Task Force因特網工程任務組)NEA(Networ

2、k Endpoint Assessment網絡終端評估)工作組文檔進行詳細分析的基礎上，對接入網終端狀態(tài)信息收集、身份認證、安全機制等關鍵技術進行了研究，基于以上研究結果最終設計并實現了一種靈活的終端完整性評估的方法。本文主要內容如下： 1.給出了有效收集終端完整性信息的方法。本文針對常用的終端操作系統(tǒng)Windows和Linux，從注冊表、進程、日志等方面獲取并分析信息，在系統(tǒng)用戶態(tài)使用接口函數進行讀取的同時，還深入內核態(tài)對信息

3、進行了截獲，以獲得全面和真實的終端狀態(tài)信息。 2.搭建了Diameter EAP接入網身份驗證環(huán)境，實現了身份驗證功能。終端身份在完整性評估中占有重要地位，對于不同身份的終端可能采用不同的完整性評估策略。本文針對接入網身份驗證的特點和現有認證協(xié)議的不足，采用下一代的AAA協(xié)議(認證、授權和記費)--Diameter協(xié)議，利用其高可靠性傳輸、具有安全機制、適合于無線網絡的特點，搭建了Diameter EAP接入網驗證環(huán)境，身份驗證

4、結果作為最后完整性評估的重要依據。 3.利用Diameter EAP協(xié)議實現身份認證功能同時提供了終端狀態(tài)消息的傳輸通道。終端狀態(tài)消息需要合適的傳輸通道，本文利用Diameter EAP協(xié)議高可靠性傳輸的特點，對其原有結構進行了一定的修改，然后將其作為終端狀態(tài)評估協(xié)議的傳輸層載體，提供了終端狀態(tài)消息的傳輸通道。 4.設計了一種端到端的安全機制。Diameter提供了一定的安全機制，但完整性評估模型自身存在安全隱患，且目前

5、缺乏終端狀態(tài)屬性的統(tǒng)一標準，針對這些問題，本文首先提出了一種終端狀態(tài)屬性的統(tǒng)一定義，然后結合CMS協(xié)議(Cryptographic Message Syntax消息密碼原語)對原有定義進行了修改，設計了一種端到端的安全機制。 5.鑒于不同接入網環(huán)境下終端完整性定義不同，提出了“完整度”的概念并進行了理論推導和代碼實現。該概念以一種多屬性策略方法推理完整度大小，評估的依據綜合了前面幾部分實現的結果(終端狀態(tài)信息、身份驗證結果、安全