SSL VPN系統(tǒng)中身份鑒別的安全研究.pdf

1、VPN(Virtual Private Network，虛擬專(zhuān)用網(wǎng))能夠讓企業(yè)為移動(dòng)用戶(hù)、分支機(jī)構(gòu)以及合作伙伴提供安全方便訪(fǎng)問(wèn)企業(yè)內(nèi)部資源。現(xiàn)在市場(chǎng)上主要有兩種形式的VPN系統(tǒng)：IPSec VPN和SSL VPN。但是IPSec VPN的客戶(hù)端安裝非常復(fù)雜而且需要專(zhuān)業(yè)的維護(hù)人員維護(hù)系統(tǒng)，不適合中小型企業(yè)及學(xué)校等單位。而基于SSI。(Securitv Socket Layer，安全套接層)協(xié)議構(gòu)建的VPN系統(tǒng)能給中小企業(yè)和學(xué)校帶來(lái)諸多便利

2、，比如客戶(hù)端安裝簡(jiǎn)便，成本低，維護(hù)操作簡(jiǎn)單等等。目前企業(yè)普遍采用數(shù)字證書(shū)的方式來(lái)對(duì)客戶(hù)端進(jìn)行鑒別。雖然數(shù)字證書(shū)鑒別在信息機(jī)密性、完整性和不可抵賴(lài)性等方面能提供比較完備的技術(shù)手段，但是國(guó)內(nèi)PKI(Public KeyInfrastructure，公鑰基礎(chǔ)設(shè)施)卻受制于諸多因素，而且建設(shè)一套完備的PKI體系對(duì)企業(yè)在人力物力財(cái)力上都有很高的要求，所以這種鑒別方式并不適合于一些中小型企業(yè)和校園構(gòu)建SSL VPN系統(tǒng)。 綜合上述原因，本

3、文提出了一種新型的SSI。VPN系統(tǒng)，即利用一次性口令機(jī)制對(duì)客戶(hù)端進(jìn)行身份鑒別，在現(xiàn)有的一次性口令基礎(chǔ)上提出基于口令序列的改進(jìn)方案，使口令之間不存在相關(guān)性，并且口令都不依賴(lài)于用戶(hù)的秘密通信短語(yǔ)。一次性口令具有很多優(yōu)點(diǎn)，一方面客戶(hù)端不需要進(jìn)行任何運(yùn)算，減輕了客戶(hù)端的工作負(fù)荷，做到了真正的瘦客戶(hù)端；另一方面服務(wù)器并不保存用戶(hù)的口令，防止系統(tǒng)管理員獲知用戶(hù)口令而造成內(nèi)部泄密。 本文首先對(duì)比了IPSec VPN與SSL VPN系統(tǒng)的優(yōu)缺