基于X.509证书测量的隐私泄露分析

SSL协议由于易于部署以及集成在Web浏览器中的天然属性,被广泛应用于保障网页浏览、电子邮件、文件传输等应用服务的信息传输安全,其中最典型的应用是HTTPS.然而,实践中往往由于HTTPS服务的部署存在问题,比如服务器采用自签名X.509证书等,给用户带来严重的安全威胁,包括信息遭窃取、用户身份和行为隐私泄露等.本文从标识服务器身份的X.509证书出发,通过对真实环境HTTPS服务端证书的大范围测量和分析来揭示采用自签名证书的HTTPS服务存在的应用服务类型泄露问题,以及由此引起的用户网络行为隐私泄露威胁.针对大规模真实环境中用户网络行为的测量分析和海量日志挖掘结果表明,X.509自签名证书提供了较强区分服务器加密应用类型的身份信息,加密HTTPS应用服务器的身份隐藏手段在很大程度上可以通过统计行为分析来识破,提供相同或相似的特定应用服务的服务器的被正确分类的准确率最高可达95%.     

多主体系统中的信任管理

本文在前人工作的基础上提出一种改进方案来实现多主体系统的信任管理，即在多主体系统中建立安全服务器。安全服务器实现了基于X．509v3证书的主体身份鉴别，并根据主体X．509v3证书及相对应的属性证书和访问控制策略进行访问权限验证。安全服务器除实现目前广泛采用的访问控制类型之外，还实现了访问权限委派和委派链等访问控制
制类型。     

一个基于ECC的双向认证协议

1.引言身份认证是网络安全技术的一个重要方面,身份认证机制限制非法用户访问网络资源,能够防止假冒、篡改、否认等攻击,确保用户的身份,是其他安全机制的基础。双向身份认证是指通信双方需要互相认证鉴别各自的身份。双向认证的典型方案是Needham-Schroeder协议。常见的认证协议还有分布认证安全服务(DASS)协议、ITU-T X.509认证协议等。     

基于属性证书的权限管理平台GoAccessPMI

该文介绍基于X.509属性证书的权限管理平台GoAccessPMI。该系统使用X.509属性证书(Acs)来存储用户的角色以及相关的访问控制策略,这样可以保证信息的完整性。该系统将属性证书(Acs)存储在LDAP目录中,客户系统通过LDAP接口访问属性证书。     

基于RBAC的P2P网络环境信任模型研究

P2P网络的匿名性和动态性带来了许多安全问题,传统的分布式访问控制模型以及信任管理模型并不能很好地适应对等网络环境.本文提出了一种信任管理加权限控制的双重验证方法来实现P2P网络环境中的节点协作和资源访问等安全互操作.节点用户通过本文中的轻量级身份证书,不仅可以验证其合法身份,同时也可以通过该证书中用户的相关角色信息来获取对资源的访问控制权限.而且通过证书中的信任度字段,系统可以吊销低信任度的节点的证书,能有效地遏制恶意节点的非法行为.本文重点介绍了用户信任度的计算,以及用户节点身份证书的获取以及权限验证.最后,通过相关的实验,验证了本方法在效率上要优于传统的信任管理模型.     

基于智能卡的X.509身份认证

身份认证中的关键技术是身份信息的安全存储、处理和传递,本文提出了一种基于智能卡的X.509身份认证方案,设计了一套基于X.509的身份认证协议,将智能卡作为存储身份信息的载体,密码运算都在智能卡内部进行,认证过程安全性好.在开放的网络环境中,此方案可较好地防止中间人攻击,验证用户身份.     

RBAC/Web的一种实现方案

介绍了一种利用X.509属性证书在Intranet上为Web服务实现基于角色访问控制(RBAC-RoleBasedAccessControl)的方案。该方案利用公钥证书实现用户身份认证,利用X.509属性证书实现对用户的授权访问,利用策略证书保证企业安全策略的实施。利用此方案完成的RBAC/Web系统与现有的公钥基础设施相结合,给企业的Web服务提供了完整的访问控制解决方案。     

网格环境下安全认证模型的研究

在分析了当前广泛采用的身份认证机制的基础上,结合网格发展的需要,研究了不同网格环境下GSI方案和 KX.509方案.借鉴 KX.509的代理思想,在 Globus 环境下提出了一种采用 Wen 登陆模块构建的网格身份认证模型,为校园网格用户提供透明的证书生成,使用和管理.用户在注册和认证过程中,Web登陆模块自动为用户产生数字代理证书,使用户无须拥有自己的数字证书.     

网格安全认证模型的研究

结合网格发展的需要,分析了当前广泛采用的Kerberos身份认证机制,研究了不同网格环境下GSI方案和KX.509方案.在此基础上,借鉴KX.509的代理思想,在Globus环境下提出了一种采用web登陆模块构建的网格身份认证模型,为校园网格用户提供透明的证书生成、使用和管理.在用户注册和认证过程中,web登陆模块自动为用户产生数字代理证书,使用户不需拥有自己的数字证书.     

基于PKI/PMI的应用安全平台模型的研究

为解决网络应用系统的安全问题，需要对应用系统进行一定的改造，文章所提出的应用安全平台是基于PKI和PMI的技术体系，它实现X．509标准证书的发放和管理以及相关的安全通信协议、S／MIME邮件加密协议、PKCS#7数字签名标准等。采用高度集中的用户身份管理和访问权限设定，以及多种审计技术，为复杂网络系统和不同应用提供可管理的复合安全技术，实现身份认证、访问控制和信息加密，保证应用系统的安全运行。     

一种基于扩展X.509认证和角色访问控制的安全策略

1.引言随着Internet技术的发展,电子商务等新的基于Web的应用日益普及,安全问题变得至关重要。常用的弱身份鉴别如口令已经不能满足网络安全的需要,基于公共密钥体系(Public key infrastructure,PKI)的X.509已被广泛用于安全电子交易(SET)、安全套接字层(SSL)、安全/多用途邮件扩展(S/MIME)、IP安全(IPSec)等开放分布式环境,用以实现强身份鉴别。基于角色的访问控制(Role Based Access Con-trol:RBAC)可以实现用户与访问权限的逻辑分离,提供强大而灵活的安全控制,因此将X.509认证标准与基于角色的访     

基于Globus的网格安全认证模型的研究与实现

在分析了当前广泛采用的身份认证机制的基础上,结合网格发展的需要,研究了不同网格环境下GSI方案和KX.509方案.借鉴KX.509的代理思想,在Globus环境下提出了一种采用Web登陆模块构建的网格身份认证模型,并加以实现,为校园网格用户提供透明的证书生成、使用和管理.用户在注册和认证过程中,Web登陆模块自动为用户产生数字代理证书,使用户不需拥有自己的数字证书.     

基于图像的信息隐秘检测系统的设计

传统的网络访问控制机制大多与身份认证机制分开设计,针对其安全性差、效率低等问题,受人体免疫系统能自动识别并排斥非自体物质原理启发,该文提出了一种基于家族基因的网络访问控制模型(FBAC),给出了模型中网络家族、家族基因、基因证书等定义,建立了基因指派、制定族规、基因签名等用于生成基因证书的机制,描述了网络家族构造和基于家族基因的访问控制等算法.解决了入侵者绕过身份认证机制而存取网络资源的安全问题,克服了X.509数字证书认证效率低、证书主体信息不明确的缺陷,具有安全、高效等特点,是保障网络安全的一种有效新途径.     

资源整合中访问控制的研究与实现

当前政府机构和大型的企业组织在对已有的孤立系统进行资源整合中,需要一种大规模应用环境下具有高安全性和一定开放性的访问控制体系.PKI通过发放公钥证书对用户身份进行鉴别,PMI使用属性证书对用户的权限进行管理,RBAC提供了一种更加灵活的用户与权限的关联方式.通过采用PKI、PMI和RBAC三项技术,对访问控制过程和策略管理进行重点研究,提出了一种基于角色和双证书的访问控制机制,并在税务系统的资源整合项目中得到了应用.     

基于家族基因的网络访问控制模型

传统的网络访问控制机制大多与身份认证机制分开设计,针对其安全性差、效率低等问题,受人体免疫系统能自动识别并排斥非自体物质原理启发,该文提出了一种基于家族基因的网络访问控制模型(FBAC),给出了模型中网络家族、家族基因、基因证书等定义,建立了基因指派、制定族规、基因签名等用于生成基因证书的机制,描述了网络家族构造和基于家族基因的访问控制等算法。解决了入侵者绕过身份认证机制而存取网络资源的安全问题,克服了X.509数字证书认证效率低、证书主体信息不明确的缺陷,具有安全、高效等特点,是保障网络安全的一种有效新途径。     

基于ECC算法的Wimax系统证书改进

X.509数字证书机制是WiMax网络和用户之间进行相互认证的基本手段。基于椭圆曲线加密（ECC）算法对采用RSA算法的X.509证书进行了改进,提出了初步的改进思路和实现方案,并对改进后的证书性能进行了分析。分析表明改进后的X.509证书的在维持其原本的运行机制的基础上,提高了攻击者伪造用户数字证书的难度,进一步提高了IEEE802.16e标准下的双向认证的安全性。     

基于PKI的单点登录系统的研究与设计

在网络技术飞速发展的今天,网上提供的服务大多需要用户提供合法的身份信息并对用户进行身份验证.在本方案中,通过建立一个证书中心来实现安全的单点登录,使每一个合法用户都拥有一个标识其身份的证书,持有证书的用户从授权中心可以得到应有的授权,从而达到一次登录就能访问多个资源的目的.     

认证系统中的消息数字证书方案

数字证书是认证系统中的核心,随着公共密钥基础设施(PKI)的建立和认证中心(CA)的建设,用于身份认证和实体鉴别的身份证书已形成了完备的体系。X.509中对身份数字证书的结构、申请、使用、废止等进行了详细的描述,X.509数字身份证书已成为事实上的标准,国内外的CA建设方案大都采用了该证书标准。事实上,认证系统要解决的问题除了身份认证外,另一类重要的应用在于对消息完整性的鉴别,而目前在消息完整性认证理论中却没有提出相应的理论和标准,文章在研究了消息认证的基础上提出了消息数字证书的概念,设计了一类数字消息证书,并对这类数字消息证书的应用与实现中的相关问题进行了探讨。     

网络扫描权限证书机制研究

针对网络安全管理领域，本文提出网络扫描权限证书的概念、组成，并提出类X.509的扫描证书管理机制，从技术角度探索了解决网络扫描合法性的问题，从而为网络安全管理开拓了新思路。     

一个简单的分布式授权认证模型

本文给出了一个利用SSL协议和X．509v3证书进行数据的加密和身份的鉴别，采用中国剩余定理进行动态存取控制的分布式授权模型。该模型只需一个可运行SSL协议和可下载X．509v3证书浏览器就可进行方便的文档动态存取控制。