身份认证可信度研究

身份认证过程存在很多不确定因素,导致认证服务的结果并不绝对可信;而现有研究成果主要集中在身份认证的某些方面,不具有通用性。基于对身份认证的形式化描述和其安全性的逻辑分析,将身份认证过程中不确定因素分为4个方面;通过引入信任分类、不可信因子和安全度,提出一种具有通用性的身份认证可信度计算方法;并对基于静态口令和数字证书的身份认证模型进行实例分析。     

一种基于可信度计算的集成身份认证与访问控制的安全机制

提出了一种基于主体可信度计算的集成身份认证和访问控制的安全机制,当主体的可信度下降到某个值之后,采用一次性口令认证方法对主体进行重新认证。该安全机制能有效提高访问控制模型肘冒充用户访问的检测及控制能力。     

认证可信度理论研究

认证是操作系统安全的基础之一,没有经过用户认证,系统安全的3个基本特性：秘密性、完整性和可用性将会严重地受到破坏．但是由于当前系统在用户认证过程中存在一些不确定性因素,如认证机制的不确定性、认证规则的不确定性和认证结论的不确定性,借鉴专家系统中不确定性推理的思想,提出认证可信度的思想,并给出了认证可信度因子模型．该模型对认证过程存在的不确定性因素给出了度量,针对需要多种认证机制的重要、特殊系统给出了认证可信度因子在多认证机制之间的传播公式,并进行了证明．通过在认证过程中引入认证可信度,可以很好地描述认证过程中的不确定性因素,并且可以更好地增强系统在多种认证机制情况下的安全性．     

可信度共享认证模型研究

由于认证系统存在不确定性,本文给出认证可信度的相关概念以描述不确定性,并给出多认证机制下可信度共享认证模型。该模型在可信度共享的思想上,通过将系统访问可信度值在多认证机制之间的分散管理,防止特殊场合认证机制的权力过于集中,以满足重要系统的特殊需要,增强系统的安全性。     

基于认证可信度的BLP模型研究

该文扩展认证可信度的相关概念,描述当前系统中认证和授权相脱节的情况下如何将两者通过认证可信度结合起来,提出认证可信度与BLP相结合的模型:基于认证可信度的BLP模型,要求主体对客体的访问必须经过可信度安全特性和BLP模型安全策略的双重判定。模型体现了实际系统对不同用户认证可信度授予不同访问权限的需要,防止通过弱认证机制获得低认证可信度的用户访问高敏感信息。     

基于认证可信度的用户权限控制技术研究

认证可信度体现了用户身份的可信程度。本文基于用户认证可信度实施用户登录限制、用户角色获取限制及角色强制访问控制策略权限限制,提出了基于认证可信度的用户权限控制技术。将认证可信度与用户访问系统结合,要求用户访问系统必须具有相应的认证可信度,具有重要身份的用户必须通过重要的身份认证机制的认证。在角色定权中结合认证可信度,根据用户认证可信度确定用户可以激活的角色,确定角色被激活后的访问控制权限,并参与到各强制访问控制策略实施中,真正实现认证与访问授权的有机统一,解决权限的不当获取。最后指出了进一步研究的内容。     

基于可信度的访问控制模型的设计与分析

针对CAS授权模型的局限性,提出了一种基于认证可信度的访问控制模型。在CAS授权模型中,虚拟组织中的成员通过向服务器添加访问策略达到访问控制的目的。在开放式环境下,由于节点频繁加入或退出,导致服务器开销增大。在基于可信度的访问控制模型中,资源提供方通过向服务器注册信任阎值和信任权重代替访问控制策略,达到控制用户访问的目的。模型既运用了认证机制,同时还考虑到用户的信任度,因而模型具有灵活性和可靠性两个特点。     

一种支持差异度量的角色动态转换方法

基于角色的访问控制(RBAC)因具有简单灵活、细粒度控制等特点,而广泛地应用于安全操作系统领域。基 于认证可信度模型,提出了支持角色转换的访问控制模型DRT-RBAC。模型中,通过量化认证系统不确定性和限定 角色的转换及转换范围,实现透明的角色转换,保证了系统的安全和稳定。为了度量角色的差异度,进一步提出了一 种基于层次分析的度量方法,通过分析角色中的内在关系,构造层次模型结构,计算每层权重和角色总权重,最后得到 角色差异度。在CentOS 5. 4系统中实现了DRT-RBAC模型,验证了其有效性。     

基于特征的可信度认证模型研究

现行认证可分为直接认证和第三方认证,但它们都存在缺陷:固定口令认证和认证的一次性。基于特征的可信度认证可以弥补上述缺陷。对该认证模型进行了论述。     

基于统计数据与贝叶斯方法的设备识别模型设计

设备指纹是一种在网络中辨识设备的技术。本文基于应用环境中的统计数据与贝叶斯方法提出了一种通过设备指纹计算可信度并且进行设备识别的模型。模型采取分层的动态学习计算方式在现有的数据基础上计算设备可信度。本模型适用于诸如电子商务认证系统等重要互联网应用。本模型较传统的基于静态字符串匹配的设备指纹匹配度计算具有可以动态学习用户环境中的变化,体现不同指纹元素的差异性等优势。     

边缘计算场景下的异构终端安全接入技术研究

边缘计算能够对海量终端设备的请求进行实时性处理,但是边缘计算的分布性和实时性等特点也为信息安全的防护带来了更多的局限,身份认证和隐私保护是边缘计算的应用和数据的安全防护需要面临的挑战问题。阐述了当前边缘计算终端安全接入时的信息安全需求,分析了其可能面临的信息安全威胁,提出了一种边缘计算场景下“云-边-端”三层体系的异构终端接入认证机制,方案能够支持海量终端的接入认证请求,并且通过匿名身份的方式保障了终端设备的隐私性。     

Kylin操作系统中一种动态角色转换方法

本文基于安全操作系统中角色定权的强制访问控制框架(RBA),吸取了认证可信度模型中对用户可信度的一些描述手段,在Kylin操作系统中提出了一种基于用户可信度的隐式角色动态转换机制。通过量化认证系统不确定性和限定角色的转换及转换范围,增加了用户权限的灵活度,在实现了透明角色转换的同时,保证了系统的安全与稳定。     

移动可信接入轻量级认证与评估协议

为增强移动终端可信网络接入认证与评估协议的可用性,降低网络通信负载及终端计算负载,提出一种轻量级的身份认证与平台鉴别评估协议。协议基于接入双方在首次接入时共享的认证密钥以及对方的可信平台配置信息,在不需要可信第三方参与的情况下,完成快速的身份认证与鉴别评估。协议减少了网络数据交换次数以及接入双方的计算工作量,在保证接入认证与评估所需的安全属性的同时,还增强了平台配置信息的机密性以及抵抗重放攻击的能力。安全性和性能分析表明,所提协议适合无线网络通信环境下的移动终端可信网络接入。     

基于分离机制网络的可信域内快速认证协议

分离机制网络明确地分离了主机身份与位置信息,将互联网体系划分为接入网与核心网两大类,很好地解决了互联网的扩展性和移动性等问题.基于分离机制网络,结合可信计算技术,提出一种终端域内切换时的快速认证方案,在对终端用户身份进行认证的同时,对终端平台进行身份认证和完整性校验.在本方案中,终端进行域内切换时不需要本域的认证中心再次参与,仅由接入交换路由器通过Token即可完成认证.认证过程可以保持用户身份和平台信息的匿名性,减轻了认证中心的负担.与其他方案相比,本方案在认证开销、认证延迟以及安全性等方面均有明显优势.安全性分析结果表明本方案是安全高效的.     

基于可信计算的移动终端身份认证方案的研究

该文针对当前移动终端的安全性问题,分析了可信计算的思想,提出了一种在可信移动平台上结合SIM卡将指纹与口令绑定的身份认证方案,并采用域隔离技术与访问控制策略,使终端安全得到了更好的保障。     

基于可信计算的Web单点登录方案

为增强现有单点登录技术中用户域的安全性,在客户端平台引入可信平台模块(TPM),同时采用智能卡、口令及指纹相结合的客户端认证方案,实现了用户、客户端及智能卡间的相互认证,并保证了应用服务所提供的信息资源的安全使用.分析结果表明,该方案不要求用户与客户端预先协商信任关系,且可辨别客户端的主人和普通使用者.使用哈希函数的用户认证计算及推式平台完整性验证使得系统具有较高的运行效率.