網(wǎng)絡(luò)安全管理中身份管理技術(shù)的應(yīng)用

網(wǎng)絡(luò)安全管理中身份管理技術(shù)的應(yīng)用

網(wǎng)絡(luò)空間的電子身份管理是網(wǎng)絡(luò)空間中身份管理的應(yīng)用程序。因此網(wǎng)域電子身份管理有以下特性:1)安全性,確保用戶身份是保密的、完整的和有效的;2)隱私性,用戶信息應(yīng)當(dāng)在使用過(guò)程中受到保護(hù),不能出現(xiàn)用戶隱私信息泄露問(wèn)題;3)易用性,能夠使用戶在使用時(shí)真正體會(huì)到該系統(tǒng)的便利;4)互操作性,如何讓跨區(qū)域的電子身份管理系統(tǒng)可以相互操作,這對(duì)經(jīng)濟(jì)全球化發(fā)展具有重要意義,也是現(xiàn)階段電子身份證系統(tǒng)亟需解決的問(wèn)題之一。電子身份管理的用途廣泛,可以保護(hù)公民的隱私信息、提高互聯(lián)網(wǎng)服務(wù)的便利性并減少網(wǎng)絡(luò)犯罪行為。目前,電子政務(wù)和電子商務(wù)是電子身份管理的兩種主要應(yīng)用形式。在電子政務(wù)方面,用戶無(wú)須到現(xiàn)場(chǎng)就可以享受政府提供的信息化服務(wù);在電子商務(wù)方面,電子身份證系統(tǒng)主要用于網(wǎng)上購(gòu)物、銀行開戶與結(jié)算以及網(wǎng)上預(yù)訂等業(yè)務(wù)。1身份管理的結(jié)構(gòu)網(wǎng)域空間電子身份管理的過(guò)程中主要涉及三種角色:用戶(user)、服務(wù)提供方(SP)、身份提供方(IDP)。一般分為獨(dú)立身份管理、聯(lián)盟身份管理和統(tǒng)一身份管理三種不同的體系結(jié)構(gòu)。在獨(dú)立身份管理中,每個(gè)SP有自身特定的身份認(rèn)證和身份管理方式,是獨(dú)立的信任區(qū)域;在聯(lián)盟身份管理中,每個(gè)可信任區(qū)域內(nèi)有多個(gè)IDP和多個(gè)SP,這些SP可以識(shí)別同在這個(gè)域中的任何IDP發(fā)出的身份標(biāo)志和授權(quán)信息;在統(tǒng)一身份管理中,在該信任區(qū)域中每個(gè)SP都可以識(shí)別在這個(gè)域內(nèi)一個(gè)或一類IDP發(fā)出的身份標(biāo)志和授權(quán)信息。實(shí)名制、電子身份證系統(tǒng)是這種體系結(jié)構(gòu)下具體的身份組織管理方案。1.1實(shí)名制獨(dú)立身份管理網(wǎng)絡(luò)實(shí)名制是指將網(wǎng)絡(luò)中的虛擬身份和現(xiàn)實(shí)中的真實(shí)姓名、身份證號(hào)等綁定的一種制度。由于目前一些互聯(lián)網(wǎng)用戶利用網(wǎng)絡(luò)進(jìn)行惡意的人身攻擊,散播一些擾亂社會(huì)秩序的謠言,甚至進(jìn)行一些經(jīng)濟(jì)犯罪行為,網(wǎng)絡(luò)實(shí)名制作為一種以用戶實(shí)名為基礎(chǔ)的互聯(lián)網(wǎng)管理方式,可以成為保護(hù)、引導(dǎo)互聯(lián)網(wǎng)用戶的重要手段和制度。實(shí)名制采用獨(dú)立身份管理方式,即每個(gè)服務(wù)提供方承擔(dān)了對(duì)使用本服務(wù)的用戶認(rèn)證和身份管理職責(zé)。隨著網(wǎng)絡(luò)服務(wù)的不斷增多,用戶需要記憶各種身份標(biāo)志和認(rèn)證信息,無(wú)疑增加了用戶負(fù)擔(dān)。為了保護(hù)用戶隱私,現(xiàn)階段的實(shí)名方式主要是“前臺(tái)匿名,后臺(tái)實(shí)名”,也就是說(shuō)用戶信息在服務(wù)前臺(tái)是匿名的,但是在服務(wù)后臺(tái)是實(shí)名的,服務(wù)提供方可以得到用戶的真實(shí)信息,用戶的隱私保護(hù)完全由服務(wù)提供方來(lái)提供。1.2政府監(jiān)控系統(tǒng)電子身份證是目前網(wǎng)域空間電子身份管理的主要方式,它是國(guó)家簽發(fā)的用于在線和離線的身份證明。電子身份證一般具有三個(gè)級(jí)別功能:1)通行證功能,一般用于政府的管理和監(jiān)控,它的作用類似于護(hù)照;2)身份認(rèn)證功能,用于存儲(chǔ)和安全傳輸用戶的個(gè)人信息,為各種應(yīng)用服務(wù)提供身份驗(yàn)證;3)電子簽名功能,主要保護(hù)用戶的密鑰和數(shù)字證書。該方案中存在可信的第三方:身份提供方(IDP),其主要作用是認(rèn)證用戶身份,并將認(rèn)證結(jié)果返回給各個(gè)服務(wù)提供方。用戶的信息存儲(chǔ)在其電子身份證中,當(dāng)服務(wù)需要用戶信息時(shí)由身份提供方將用戶信息返回給服務(wù)方。服務(wù)提供方不直接參與用戶身份認(rèn)證過(guò)程。2網(wǎng)絡(luò)安全設(shè)計(jì)電子身份管理旨在高效管理用戶信息、增強(qiáng)網(wǎng)絡(luò)服務(wù)安全性、保護(hù)用戶隱私、便利用戶生酒。下文從安全、隱私、易用、互操作方面對(duì)上述身份管理方案進(jìn)行分析。2.1身份認(rèn)證的實(shí)現(xiàn)安全問(wèn)題是當(dāng)前互聯(lián)網(wǎng)活動(dòng)的主要威脅之一,而身份認(rèn)證是安全問(wèn)題的基礎(chǔ)。實(shí)名制身份管理方案中,身份管理和認(rèn)證由各個(gè)服務(wù)方提供,因此各個(gè)應(yīng)用服務(wù)安全等級(jí)不一致。電子身份證管理方案的主要認(rèn)證技術(shù)是基于智能卡的雙因子認(rèn)證機(jī)制,智能卡特殊的存儲(chǔ)結(jié)構(gòu)和存取方式使其具有硬件不可復(fù)制性,因而安全性較高。以用戶為中心的身份管理方案提供多種身份認(rèn)證方式,主要有智能卡雙因子認(rèn)證、生物識(shí)別技術(shù)等,因此具有較高靈活性和安全性?；谥悄芸ǖ恼J(rèn)證技術(shù)提供了較高安全性的認(rèn)證,但是由于該方式需要專門的卡介質(zhì)和認(rèn)證終端,成本較高。USBtoken作為新型認(rèn)證產(chǎn)品,不需要專門的讀卡設(shè)備,使用簡(jiǎn)單、攜帶方便。生物識(shí)別技術(shù)是利用人體生物特征來(lái)進(jìn)行身份認(rèn)證的技術(shù),該認(rèn)證方式具有較高的安全性和可靠性,并且容易使用戶接受。由此可見,身份認(rèn)證方式各有優(yōu)缺點(diǎn),將現(xiàn)有的身份認(rèn)證技術(shù)綜合使用,提供用戶可信身份矩陣是非常值得研究的問(wèn)題。2.2全同態(tài)加密技術(shù)現(xiàn)有的實(shí)名制方案中并不存在專門的身份提供方,用戶身份認(rèn)證、管理職責(zé)、隱私保護(hù)自服務(wù)提供方承擔(dān),因此服務(wù)提供方可以獲得用戶信息,并沒(méi)有實(shí)現(xiàn)對(duì)用戶身份的完全匿名性。在電子身份證身份管理方案中,引入匿名證書加強(qiáng)用戶隱私保護(hù),現(xiàn)有的匿名認(rèn)證技術(shù)具有不可跟蹤性、不可鏈接性、可重用性等特性,這就使得服務(wù)方無(wú)法依據(jù)屬性信息追蹤到用戶。在以用戶為中心的身份生態(tài)系統(tǒng)中,提出了一些隱私保護(hù)方案,如最小化信息共享原則,當(dāng)服務(wù)提供方需要驗(yàn)證用戶是否是未成年人時(shí),屬性提供方并不會(huì)將用戶的出生年月發(fā)送給它,而是直接返回“yes”或者“no”。電子身份管理方案都提供了一定的隱私保護(hù)機(jī)制,但是對(duì)于具體的用戶隱私數(shù)據(jù)沒(méi)有進(jìn)行細(xì)粒度的保護(hù)。網(wǎng)絡(luò)上的惡意分子還可以通過(guò)逆向工程等手段對(duì)用戶的行為進(jìn)行分析推測(cè),獲得用戶隱私信息。因此在用戶數(shù)據(jù)的產(chǎn)生、使用、傳輸、存儲(chǔ)和銷毀的各個(gè)階段都需要采用相應(yīng)的關(guān)鍵技術(shù)來(lái)保證數(shù)據(jù)安全,防止隱私泄露。用戶隱私信息傳送時(shí)一般都需要加密,基于同態(tài)加密技術(shù)可用于密鑰協(xié)商?，F(xiàn)階段的同態(tài)算法多為半同態(tài)加密,全同態(tài)加密算法實(shí)現(xiàn)難度較大,但是因其高可靠的隱私保護(hù)性而成為近些年的研究熱點(diǎn)?；跀?shù)據(jù)擾動(dòng)的隱私保護(hù)技術(shù)可以防止用戶信息被竊取分析,該技術(shù)通過(guò)組合屬性分解、噪聲數(shù)據(jù)添加、混淆數(shù)據(jù)重構(gòu)等功能來(lái)實(shí)現(xiàn)。2.3電子身份系統(tǒng)實(shí)名制方式以服務(wù)方為身份核查管理主體,不同服務(wù)提供方采用獨(dú)立身份認(rèn)證和管理,隨著服務(wù)的多元化,用戶需要記憶的口令認(rèn)證信息不斷增多,導(dǎo)致用戶負(fù)擔(dān)過(guò)重。在電子身份證系統(tǒng)中,一般采用智能卡的雙因子認(rèn)證方式,用戶使用智能卡就可以使用各種服務(wù),但是用戶出行必須隨身攜帶該認(rèn)證介質(zhì),因此以手機(jī)或其他用戶已使用的便攜設(shè)備和用戶生物特征作為認(rèn)證介質(zhì)成為其研究發(fā)展的新方向。此外,目前電子身份系統(tǒng)應(yīng)用主要集中在電子商務(wù)和電子政務(wù)方面,對(duì)用戶網(wǎng)絡(luò)空間的娛樂(lè)活動(dòng)并沒(méi)有更多的支持,所以對(duì)該系統(tǒng)服務(wù)的多元化發(fā)展是現(xiàn)階段很值得研究的問(wèn)題。在以用戶為中心的身份生態(tài)系統(tǒng)中,任何個(gè)人、組織、硬件、網(wǎng)絡(luò)、軟件都可以作為該方案的參與方,用戶可以根據(jù)自愿原則選擇是否使用該身份解決方案,也可以選擇各種身份認(rèn)證介質(zhì)。2.4實(shí)名制的易用性和易操作性組織管理方案均提供了多種身份認(rèn)證機(jī)制,口令、智能卡、生物識(shí)別和技術(shù)。從結(jié)構(gòu)復(fù)雜度、服務(wù)多樣性來(lái)看,實(shí)名制優(yōu)于其他組織形式,但是用戶負(fù)擔(dān)較重,也未能提供跨區(qū)域服務(wù)的互操作。電子身份證管理方案發(fā)展較為成熟,但在互操作方面和易用性方面有待進(jìn)一步發(fā)展。以用戶為中心的身份生態(tài)各方面較為完善但還未能全面實(shí)施。電子身份管理方案未對(duì)用戶隱私數(shù)據(jù)存儲(chǔ)提供細(xì)