网络准入控制系统关键技术研究与实现

论文摘要

在网络和信息系统的实际使用中,管理手段的欠缺不仅会直接影响用户网络的正常运行,甚至会给国家和社会带来不可挽回的灾难。业界常用的网络准入控制系统虽然能够在一定程度上提高网络的整体安全性,但在认证接入方面普遍存在着一定的缺陷,控制力度尚有不足。目前目录查询算法层出不穷,但是这些算法都不同程度地存在查询开销较大、查询时延较长等问题,这使得目录服务的查询效率降低,因此网络信息资源不能得到有效地集中展现和较高的可用性。本文在对目前业界常用的终端安全接入技术进行深入分析的基础上,提出了一套网络准入控制机制并针对这套机制设计了认证协议;在对目录查询算法进行研究的基础上改进了查询算法,使查询性能得到了提升。作者在课题研究期间的主要工作如下:1)根据网络准入控制系统的不足,提出了一套全新的网络准入控制系统接入认证机制。2)针对提出的网络准入控制机制设计了认证协议。该协议解决了原有802.1X认证协议中存在的认证与业务不能分离、IP地址容易被伪造、端系统安全性无法验证以及网络用户权限无法区分等问题。通过原型系统,对该协议可能存在的威胁和潜在的安全缺陷进行了分析和测试,结果证明该协议相对同类协议其功能性和安全性都得到较大提高。3)为了更好地管理网络用户的入网操作及行为监控,结合网络信息资源结构以及表现形式的多样性特点,本课题将目录服务系统引入到网络准入控制系统中,并重新设计了目录服务查询模块,改进了目录查询算法,使得目录查询开销和时延都有所降低、查询成功率有所提升。原型系统的测试结果表明,目录查询算法性能得到一定程度的提高,相对其他的目录查询算法,可减少15%的查询开销和10%的网络延迟。以上研究工作已经在网络准入控制系统的实际工程应用中得以实现。论文最后对本文所做的工作进行了总结,并且对后续的研究工作做了进一步的探讨和展望。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 研究背景
• 1.2 国内外网络安全技术发展现状及不足
• 1.2.1 身份认证技术
• 1.2.2 用户名/密码方式
• 1.2.3 动态口令技术
• 1.2.4 证书授权技术
• 1.2.5 网络准入控制技术
• 1.3 目录系统研究现状
• 1.3.1 国内外研究成果
• 1.3.2 LDAP 目录服务
• 1.4 课题任务及作者所做的工作
• 1.4.1 研究内容
• 1.4.2 研究方法
• 1.4.3 主要贡献
• 1.5 论文组织结构
• 第二章 网络准入控制系统体系结构
• 2.1 动机与目标
• 2.2 网络准入控制系统研究现状
• 2.2.1 NAC 系统解决方案
• 2.2.2 EAD 系统解决方案
• 2.3 问题描述
• 2.3.1 认证协议的问题
• 2.3.2 目录查询的问题
• 2.4 网络准入控制系统层次模型
• 2.5 网络准入控制机制
• 2.5.1 认证阶段
• 2.5.2 使用阶段
• 2.5.3 退出阶段
• 2.6 目录系统和网络准入控制系统的关系
• 2.7 小结
• 第三章 网络准入控制系统身份认证协议设计
• 3.1 动机与目标
• 3.2 问题描述
• 3.3 认证协议设计
• 3.3.1 认证机制
• 3.3.2 身份认证协议制定
• 3.3.3 合理性分析
• 3.4 认证协议的安全性分析
• 3.4.1 安全验证模型
• 3.4.2 认证欺骗
• 3.4.3 授权欺骗
• 3.4.4 认证状态欺骗
• 3.4.5 保活欺骗
• 3.5 小结
• 第四章 网络准入控制系统目录服务研究
• 4.1 动机与目标
• 4.2 问题描述
• 4.3 目录查询算法设计
• 4.3.1 目录查询算法概述
• 4.3.2 目录查询算法设计
• 4.3.3 算法有效性分析
• 4.4 实验与评估
• 4.4.1 性能评估方案
• 4.4.2 性能对比分析
• 4.5 小结
• 第五章 网络准入控制原型系统与实现
• 5.1 动机与目标
• 5.2 原型系统总体设计
• 5.2.1 系统结构视图
• 5.2.2 系统技术视图
• 5.2.3 系统部署视图
• 5.3 原型系统测试
• 5.3.1 原型系统介绍
• 5.3.2 系统功能性测试分析
• 5.4 小结
• 第六章 总结与展望
• 6.1 工作总结
• 6.2 展望
• 致谢
• 参考文献
• 作者在学期间取得的学术成果