SSL VPN系統(tǒng)中身份鑒別的安全研究.pdf

1、VPN(Virtual Private Network，虛擬專用網(wǎng))能夠讓企業(yè)為移動用戶、分支機構以及合作伙伴提供安全方便訪問企業(yè)內部資源?，F(xiàn)在市場上主要有兩種形式的VPN系統(tǒng)：IPSec VPN和SSL VPN。但是IPSec VPN的客戶端安裝非常復雜而且需要專業(yè)的維護人員維護系統(tǒng)，不適合中小型企業(yè)及學校等單位。而基于SSI。(Securitv Socket Layer，安全套接層)協(xié)議構建的VPN系統(tǒng)能給中小企業(yè)和學校帶來諸多便利

2、，比如客戶端安裝簡便，成本低，維護操作簡單等等。目前企業(yè)普遍采用數(shù)字證書的方式來對客戶端進行鑒別。雖然數(shù)字證書鑒別在信息機密性、完整性和不可抵賴性等方面能提供比較完備的技術手段，但是國內PKI(Public KeyInfrastructure，公鑰基礎設施)卻受制于諸多因素，而且建設一套完備的PKI體系對企業(yè)在人力物力財力上都有很高的要求，所以這種鑒別方式并不適合于一些中小型企業(yè)和校園構建SSL VPN系統(tǒng)。 綜合上述原因，本

3、文提出了一種新型的SSI。VPN系統(tǒng)，即利用一次性口令機制對客戶端進行身份鑒別，在現(xiàn)有的一次性口令基礎上提出基于口令序列的改進方案，使口令之間不存在相關性，并且口令都不依賴于用戶的秘密通信短語。一次性口令具有很多優(yōu)點，一方面客戶端不需要進行任何運算，減輕了客戶端的工作負荷，做到了真正的瘦客戶端；另一方面服務器并不保存用戶的口令，防止系統(tǒng)管理員獲知用戶口令而造成內部泄密。 本文首先對比了IPSec VPN與SSL VPN系統(tǒng)的優(yōu)缺