山東煙草集中訪問控制系統(tǒng)的設(shè)計與實(shí)現(xiàn).pdf

1、為解決現(xiàn)有網(wǎng)絡(luò)和應(yīng)用系統(tǒng)中存在的各自獨(dú)立的用戶認(rèn)證授權(quán)系統(tǒng)、弱口令、粗放式網(wǎng)絡(luò)管理、缺少審計手段等安全問題，啟動了“山東煙草集中訪問控制系統(tǒng)建設(shè)”項目。山東煙草集中訪問控制系統(tǒng)需要達(dá)到如下目標(biāo)：1、訪問控制中心：實(shí)現(xiàn)從網(wǎng)絡(luò)訪問到應(yīng)用系統(tǒng)權(quán)限的精確到用戶的訪問控制；2、身份認(rèn)證管理中心：實(shí)現(xiàn)一人一卡，單點(diǎn)登錄，全網(wǎng)通用；3、資源管理中心：實(shí)現(xiàn)網(wǎng)絡(luò)和應(yīng)用系統(tǒng)資源的規(guī)范定義，將資源管理從網(wǎng)絡(luò)和應(yīng)用系統(tǒng)中分離出來，避免超級權(quán)限的出現(xiàn)；4、授權(quán)管

2、理中心：實(shí)現(xiàn)跨系統(tǒng)的用戶管理和權(quán)限管理；5、審計管理中心：實(shí)現(xiàn)網(wǎng)絡(luò)訪問和應(yīng)用系統(tǒng)訪問的安全審計；6、統(tǒng)一的安全支撐平臺：為后續(xù)的網(wǎng)絡(luò)和應(yīng)用系統(tǒng)開發(fā)提供安全基礎(chǔ)設(shè)施平臺，簡化和規(guī)范了網(wǎng)絡(luò)和應(yīng)用系統(tǒng)的建設(shè)。 本文重點(diǎn)研究了訪問控制相關(guān)的PKI/PMI和RBAC技術(shù)，并將這些技術(shù)應(yīng)用到山東煙草集中訪問控制系統(tǒng)建設(shè)中。在詳細(xì)分析山東煙草安全需求的基礎(chǔ)上，本文設(shè)計了集中訪問控制系統(tǒng)模型。該模型利用PKI技術(shù)實(shí)現(xiàn)身份認(rèn)證和單點(diǎn)登錄，利用PM

3、I技術(shù)實(shí)現(xiàn)權(quán)限分配和管理，利用RBAC技術(shù)實(shí)現(xiàn)基于崗位的訪問控制。根據(jù)集中訪問控制系統(tǒng)模型設(shè)計和實(shí)現(xiàn)的山東煙草集中訪問控制系統(tǒng)分為訪問控制子系統(tǒng)、集中授權(quán)管理子系統(tǒng)、PMI子系統(tǒng)、PKI子系統(tǒng)和審計管理子系統(tǒng)五個組成部分。訪問控制子系統(tǒng)實(shí)現(xiàn)對客戶端和服務(wù)器的身份認(rèn)證、權(quán)限獲得和訪問控制。集中授權(quán)管理子系統(tǒng)實(shí)現(xiàn)統(tǒng)一界面下用戶、崗位、資源權(quán)限及相互關(guān)系的集中管理，給訪問控制服務(wù)器提供網(wǎng)絡(luò)和應(yīng)用系統(tǒng)用戶資源權(quán)限信息。PKI子系統(tǒng)負(fù)責(zé)PKC用戶

4、注冊、證書生成和管理，PMI子系統(tǒng)負(fù)責(zé)角色屬性證書和角色規(guī)范屬性證書的生成和管理，審計管理子系統(tǒng)負(fù)責(zé)網(wǎng)絡(luò)和應(yīng)用系統(tǒng)訪問的集中審計。在實(shí)現(xiàn)山東煙草集中訪問控制系統(tǒng)過程中，應(yīng)用了諸如Web services、XML、JSP、JavaScript、Applet、ActiveX等開發(fā)技術(shù)，并通過開放接口等手段為后續(xù)的應(yīng)用系統(tǒng)改造和開發(fā)提供了安全技術(shù)支撐和安全設(shè)計規(guī)范。 在山東煙草集中訪問控制系統(tǒng)投入運(yùn)行后，對OA辦公自動化系統(tǒng)和專賣管理

5、系統(tǒng)的認(rèn)證登錄、權(quán)限管理和訪問控制部分進(jìn)行了改造。以辦公自動化系統(tǒng)為例，從安全性和性能影響兩方面對集中訪問控制系統(tǒng)進(jìn)行了測試。從整體運(yùn)行效果上看，該系統(tǒng)改變了原有的用戶管理、權(quán)限的分配和資源的維護(hù)的管理模式，實(shí)現(xiàn)了基于USB KEY的安全身份認(rèn)證、多系統(tǒng)的單點(diǎn)登錄、基于角色的網(wǎng)絡(luò)和應(yīng)用系統(tǒng)訪問控制、集中的授權(quán)管理和詳細(xì)的安全審計，有效地保證了山東煙草網(wǎng)絡(luò)和應(yīng)用系統(tǒng)運(yùn)行安全。山東煙草集中訪問控制系統(tǒng)還為后續(xù)應(yīng)用系統(tǒng)的開發(fā)提供了牢固的安全基

6、礎(chǔ)設(shè)施。新開發(fā)或改造系統(tǒng)要遵循集中訪問控制系統(tǒng)相關(guān)規(guī)范，直接與集中訪問控制系統(tǒng)對接。這樣，將應(yīng)用系統(tǒng)中安全認(rèn)證和權(quán)限管理的部分由集中訪問控制系統(tǒng)來完成，使得業(yè)務(wù)系統(tǒng)開發(fā)可以更專注于業(yè)務(wù)邏輯和流程的實(shí)現(xiàn)，同時由集中訪問控制系統(tǒng)制定統(tǒng)一的安全控制策略，避免因應(yīng)用系統(tǒng)開發(fā)采用不同技術(shù)或控制策略而導(dǎo)致整體系統(tǒng)安全性降低。 本文還存在如下的不足：一是改善由于用戶增加引起的負(fù)載過大或系統(tǒng)服務(wù)響應(yīng)時間延遲等問題，二是考慮與數(shù)據(jù)中心技術(shù)結(jié)合，實(shí)