时间：2023-04-03 09:56:16
序论：在您撰写身份认证技术论文时，参考他人的优秀作品可以开阔视野，小编为您整理的7篇范文，希望这些建议能够激发您的创作热情，引导您走向新的创作高度。
关键词：PKI，身份认证，WebServices，安全
0 引 言
随着互联网的不断壮大，越来越多的企业将自身的应用搬上网络，它们为企业争取了更多的客户，把握了更多的商机，获取了更多的利润。然而由于现有的应用系统开发模式及结构存在很大差异，这就使得企业与企业之间，企业内部部门之间的交互和协作变得越来越复杂。随着Web Services[1]技术的发展和广泛应用，其高效集成性、松散松散耦合性和实现简单等特点使得互操作和集成问题从层次上被简化。
Web Services是一套标准协议，它规定了应用程序如何在Web上实现互操作性，你可以使用任何一种编程语言，在任何一种平台上编写 Web Services。现在普遍应用的是通过HTTP请求发送SOAP[2] 消息，然后接收HTTP应答中包含的消息。由于SOAP消息是通过HTTP方式进行，所以其可以穿越大多数的防火墙，进行数据交换。
对于SOAP消息的机密性和完整性，普遍的做法是使用加密和签名，采用非对称秘钥理论，通过加密来保障消息的机密性，通过签名来保障消息的完整性;对于完善的用户身份认证机制，PKI[3]系统提供了有力的保障，它能够为用户颁发公私钥证书，通过公钥来明确用户的身份，用户在发送了签名过的SOAP消息时，己经表明了自己的身份，也无法抵赖，而且PKI系统与非对称秘钥理论完美的结合，通过私钥来对消息进行加密，通过公钥来对消息进行签名。有效地保障Web Services的安全。
1 WebServices的体系结构
Web Services体系结构是面向对象分析与设计的一种合理发展，同时也是电子商务解决方案中，面向体系结构、设计、实现与部署而采用的组件化的合理选择。这两种方式在复杂的大型系统中经受住了考验。和面向对象系统一样，封装、消息传递、动态绑定、服务描述和查询也是Web Services中的基本概念，而且， Web Services另外一个基本概念就是:所有东西都是服务，这些服务一个API供网络中的其他服务使用，并且封装了实现细节。
Web Services的体系结构是基于Web Services服务提供者、Web Services服务请求者、Web Services服务注册的不同操作来建立的。具体的Web Services体系结构模型如图1-1所示。
（1） Web服务提供者:Web服务的拥有者，它为其它服务和用户提供服务功能，服务提供者在实现服务之后可以服务，并且响应对于服务的调用请求；
（2） Web服务请求者:Web服务的使用者，它可以利用服务注册查找服务；
（3） Web服务注册:它的作用是将服务请求者与合适的服务提供者绑定在一起；
这三种不同的角色通过(publish )、查找(find )、绑定( bind )三种操作提供完整的Web Services功能。论文参考。Web Services是由服务描述所表达的接口，其接口的实现即为服务。服务和服务描述是支持Web服务的基本工件。服务在本质上是软件模块，它由服务提供者提供，部署在网络可访问的平台上。[4]
图1-1 Web Services体系结构示意图
2基于PKI的Web Services安全模型设计
2.1 整体框架图
Web Services在异构的分布式的环境下，对客户的身份认证就比较困难，当你去调用一个企业的Web Services时，这个企业Web Services可能又会去调用另一个企业Web Services如何在这种跨域的环境下实现Web Services的身份认证，
PKI公钥基础设施能够使计算机用户在无需事先协商的情况下，互相验证对方的身份[5]，这对于Web Services下的身份认证提供了解决方法。我们的Web Services身份认证模型就是基于PKI完成的，如图2-1所示。客户端和服务器端都通过PKI系统来获取对方的公钥证书，通过PKI系统来检验公钥证书的有效性，并通过公钥证书来验证对方的身份。
图2-1基于PKI的Web Services身份认证模型
2.2系统设计
下面我们来具体介绍一下基于PKI的Web Services身份认证模型的运行流程。首先，我们做一些假设:
符号C表示Web Services的客户端；符号S表示Web Services的服务器端；符号M表示明文的SOAP消息；符号Dx(M)表示使用用户x的私钥对SOAP消息进行签名后的结果；符号Ex(M)表示使用用户x的公钥对SOAP消息进行加密后的结果。我们的Web Services身份认证流程是这样的:首先，我们的Web Services身份认证模型捕获客户端的SOAP请求消息M;接着，我们从PKI系统中获取服务器端的公钥Es，并用服务器端的公钥对SOAP消息进行加密，得到加密后的SOAP消息，Es(M);然后，我们使用客户端的私钥Dc，对SOAP消息进行签名，得到签名后的SOAP消息，Dc(Es(M));最后，我们将加密和签名的SOAP消息发送到Internet上。如图2-2所示。
图2-2发送SOAP请求消息
而在服务器端，我们的Web Services身份认证模型接收到客户短发送过来的加密、签名过的SOAP消息。首先，我们去PKI系统获取客户端的公钥Ec，并用客户端的公钥对SOAP消息进行签名验证，确认这个SOAP消息确实是这个客户发送过来的，并得到SOAP消息Ec(Dc（Es(M))） =Es(M);接着，我们使用服务器端的私钥Ds，对SOAP消息进行解密，得到明文SOAP消息Ds(Es(M))=M，最后，我们把这个明文SOAP消息发送给Web Services服务器，由Web Services服务器进行处理。如图2-3所示。同样地，如果需要的话，我们可以对Web Services处理过的SOAP应答消息做同样地安全处理。论文参考。
图2-3接收SOAP请求消息
3 结束语
随着Web Services的广泛使用，其明文传输消息的缺点制约了Web Services在企业级应用中的发展。论文参考。作为企业应用，必须保证的安全性有:消息的机密性，完整性，身份认证和权限控制，企业级的Web Services应用也必须要满足以上四点安全保障。而PKI是目前公认的解决大规模、分布式开放网络环境下信息安全问题最可行、有效的方法, 利用PKI技术可以方便地建立和维护一个可信的网络计算环境，保证Web Services有效、安全地进行。
参考文献:
[1] 胡方霞，曾一，高旻.Web Services 技术应用与探讨[J].计算机科学,2007,43(3):75-77.
[2] Pullen M J, Bruntlon R.Using Web services to integrate heterogeneous simulations in a gridenvironment[J]. Future Generation Computer Systems, 2004(9):98一99.
[3] Stefanos GritzalisPublic key infrastructure research and applications[ J].International Journal of Information Security Archive, 2006,5(1):1-2
[4] Bret Hartman，Donald J.Filnn.杨硕译.全面掌握Web服务安全性.清华大学出版社.2004
[5J Zhang Mu, ZhangShunyi On the optin almulti-rate throughput formulticast withnetwork coding[J]. Journal of Electronics, 2006,23( 4): 584-589
随着网络的不断普及和电子商务的迅猛发展，电子商务这种商务活动新模式已经逐渐改变了人们的经济活动方式、工作方式和生活本论文由整理提供方式，越来越多的人们开始接受并喜爱网上购物，可是，电子商务发展的瓶颈——安全问题依然是制约人们进行电子商务交易的最大问题，因此，安全问题是电子商务的核心问题，是实现和保证电子商务顺利进行的关键所在。校园电子商务是电子商务在校园环境下的具体应用与实现，其安全性也同样是其发展所不容忽视的关键问题，因此应当着重研究。
1校园电子商务概述
1.1校园电子商务的概念。
校园电子商务是电子商务在校园这个特定环境下的具体应用，它是指在校园范围内利用校园网络基础、计算机硬件、软件和安全通信手段构建的满足于校本论文由整理提供园内单位、企业和个人进行商务、工作、学习、生活各方面活动需要的一个高可用性、伸缩性和安全性的计算机系统。
1.2校园电子商务的特点。
相对于一般电子商务，校园电子商务具有客户群本论文由整理提供稳定、网络环境优良、物流配送方便、信用机制良好、服务性大于盈利性等特点，这些特点也是校园开展电子商务的优势所在。与传统校园商务活动相比，校园电子商务的特点有：交易不受时间空间限制、快捷方便、交易成本较低。
2校园电子商务的安全问题
2.1校园电子商务安全的内容。
校园电子商务安全内容从整体上可分为两大部分：校园网络安全和校园支付交易安全。校园网络安全内容主要包括：计算机网络设备安全、计算机网络系统安全、数据库安全等。校园支付交易安全的内容涉及传统校园商务活动在校园网应用时所产生的各种安全问题，如网上交易信息、网上支付以及配送服务等。
2.2校园电子商务安全威胁。
校园电子商务安全威胁同样来自网络安全威胁与交易安全威胁。然而，网络安全与交易安全并不是孤立的，而是密不可分且相辅相成的，网络安全是基础，是交易安全的保障。校园网也是一个开放性的网络，它也面临许许多多的安全威胁，比如：身份窃取、非本论文由整理提供授权访问、冒充合法用户、数据窃取、破坏数据的完整性、拒绝服务、交易否认、数据流分析、旁路控制、干扰系统正常运行、病毒与恶意攻击、内部人员的不规范使用和恶意破坏等。校园网的开放性也使得基于它的交易活动的安全性受到严重的威胁，网上交易面临的威胁可以归纳为：信息泄露、篡改信息、假冒和交易抵赖。信息泄露是非法用户通过各种技术手段盗取或截获交易信息致使信息的机密性遭到破坏；篡改信息是非法用户对交易信息插入、删除或修改，破坏信息的完整性；假冒是非法用户冒充合法交易者以伪造交易信息；交易抵赖是交易双方一方或否认交易行为，交易抵赖也是校园电子商务安全面临的主要威胁之一。
2.3校园电子商务安全的基本安全需求。
通过对校园电子商务安全威胁的分析，可以本论文由整理提供看出校园电子商务安全的基本要求是保证交易对象的身份真实性、交易信息的保密性和完整性、交易信息的有效性和交易信息的不可否认性。通过对校园电子商务系统的整体规划可以提高其安全需求。
3校园电子商务安全解决方案
3.1校园电子商务安全体系结构。
校园电子商务安全是一个复杂的系统工程，因此要从系统的角度对其进行整体的规划。根据校园电子商务的安全需求，通过对校园人文环境、网络环境、应用系统及管理等各方面的统筹考虑和规划，再结合的电子商务的安全技术，总结校园电子商务安全体系本论文由整理提供结构，如图所示：
上述安全体系结构中，人文环境层包括现有的电子商务法律法规以及校园电子商务特有的校园信息文化，它们综合构成了校园电子商务建设的大环境；基础设施层包括校园网、虚拟专网VPN和认证中心；逻辑实体层包括校园一卡通、支付网关、认证服务器和本论文由整理提供交易服务器；安全机制层包括加密技术、认证技术以及安全协议等电子商务安全机制；应用系统层即校园电子商务平台，包括网上交易、支付和配送服务等。
针对上述安全体系结构，具体的方案有：
（1）营造良好校园人文环境。加强大学生本论文由整理提供的道德教育，培养校园电子商务参与者们的信息文化知识与素养、增强高校师生的法律意识和道德观念，共
同营造良好的校园电子商务人文环境，防止人为恶意攻击和破坏。
（2）建立良好网上支付环境。目前我国高校大都建立了校园一卡通工程，校园电子商务系统可以采用一卡通或校园电子帐户作为网上支付的载体而不需要与银行等金融系统互联，由学校结算中心专门处理与金融机构的业务，可以大大提高校园网上支付的安全性。
（3）建立统一身份认证系统。建立校园统一身份认证系统可以为校园电子商务系统提供安全认证的功能。
（4）组织物流配送团队。校园师生居住地点相对集中，一般来说就在学校内部或校园附近，只需要很少的人员就可以解决物流配送问题，而本论文由整理提供不需要委托第三方物流公司，在校园内建立一个物流配送团队就可以准确及时的完成配送服务。
3.2校园网络安全对策。
保障校园网络安全的主要措施有：
（1）防火墙技术。利用防火墙技术来实现校园局域网的安全性，以解决访问控制问题，使只有授权的校园合法用户才能对校园网的资源进行访问本论文由整理提供，防止来自外部互联网对内部网络的破坏。
（2）病毒防治技术。在任何网络环境下，计算机病毒都具有不可估量的威胁性和破坏力，校园网虽然是局域网，可是免不了计算机病毒的威胁，因此，加强病毒防治是保障校园网络安全的重要环节。
（3）VPN技术。目前，我国高校大都已经建立了校园一卡通工程，如果能利用VPN技术建立校园一卡通专网就能大大提高校园信息安全、保证数据的本论文由整理提供安全传输。有效保证了网络的安全性和稳定性且易于维护和改进。
3.3交易信息安全对策。
针对校园电子商务中交易信息安全问题，可以用电子商务的安全机制来解决，例如数据加密技术、认证技术和安全协议技术等。通过数据加密，可以保证信息的机密性；通过采用数字摘要、数字签名、数字信封、数字时间戳和数字证书等安全机制来解本论文由整理提供决信息的完整性和不可否认性的问题；通过安全协议方法，建立安全信息传输通道来保证电子商务交易过程和数据的安全。
（1）数据加密技术。加密技术是电子商务中最基本的信息安全防范措施，其原理是利用一定的加密算法来保证数据的机密，主要有对称加密和非对称加密。对称加密是常规的以口令为基础的技术，加密运算与解密运算使用同样的密钥。不对称加密，即加密密钥不同于解密密钥，加密密钥公之于众，而解密密钥不公开。
（2）认证技术。认证技术是保证电子商务交易安全的一项重要技术，它是网上交易支付的前提，负责对交易各方的身份进行确认。在校园电子商务本论文由整理提供中，网上交易认证可以通过校园统一身份认证系统（例如校园一卡通系统）来进行对交易各方的身份认证。
（3）安全协议技术。目前，电子商务发展较成熟和实用的安全协议是SET和SSL协议。通过对SSL与SET两种协议的比较和校园电子商务的需求分析，校园电子商务更适合采用SSL协议。SSL位于传输层与应用层之间，能够更好地封装应用层数据，不用改变位于应用层的应用程序，对用户是透明的。而且SSL只需要通过一次“握手”过程就可以建立客户与服务器之间的一条安全通信通道，保证传输数据的安全。
3.4基于一卡通的校园电子商务。
目前，我国高校校园网建设和校园一卡通工程建设逐步完善，使用校园一卡通进行校园电子商务的网上支付可以增强校园电子商务的支付安全，可以避免或降低了使用银行卡支付所出现的卡号被盗的风险等。同时，使用校园一卡通作为校园电子支付载体的安全保障有：
（1）校园网是一个内部网络，它自身已经屏蔽了绝大多数来自公网的黑客攻击及病毒入侵，由于有防火墙及反病毒软件等安全防范设施，来自外部网络人员的破坏可能性很小。同时，校园一卡通中心有着良好的安全机制，使得使用校园一卡通在校内进行网上支付被盗取账号密码等信息的可能性微乎其微。超级秘书网
（2）校园一卡通具有统一身份认证系统，能够对参与交易的各方进行身份认证，各方的交易活动受到统一的审计和监控，统一身份认证能够保证网上工作环境的安全可靠。校园网络管理中对不同角色的用户享有不同级别的授权，使其网上活动受到其身份的限制，有效防止一些恶意事情的发生。同时，由于校内人员身份单一，多为学生，交易中一旦发生纠纷，身份容易确认，纠纷就容易解决。
4结束语
开展校园电子商务是推进校园信息化建设的重要内容，随着我国校园信息化建设的不断深入，目前已有许多高校开展了校园电子商务，它极大的方便了校园内师生员工的工作、学习、生活。可是与此同时，安全问题成为制约校园电子商务发展的障碍。因此，如何建立一个安全、便捷的校园电子商务应用环境，让师生能够方便可靠的进行校园在线交易和网上支本论文由整理提供付，是当前校园电子商务发展要着重研究的关键问题。
关键词：校园网 规划 信息化
中图分类号：TP393.18 文献标识码：A 文章编号：1007-9416（2016）12-0195-01
引言
在高校校园网建设中，一个好的校园网络接入身份系统是指能够为广大师生提供安全、便捷的接入服务，主要表现三个方面：1）在具有多个校区的网络环境中，能够提供可靠的身份认证服务；2）支持多种认证方式，如支持用户漫游的分布认证、单点登陆认证等多种认证方式，用户无论身处哪个校区，都可以一次接入认证后即可访问校内多个业务系统；3）具备大量的认证用户并发访问认证服务器时系统查以自动调配内存资源的能力（即具备良好的负载均衡能力。随着我国高等职业院校的快速发展，各高职院校不断扩大招生规模，并启动新校区建设。各院校在统筹建设新、老校区网络建设时，也都在研究安全、可靠、负载性能好的身份认证系统。本论文以某高职院校为例，设计了一个基于“三层架构”的校园网身份认证系统，对高职院校开发校园网络身份认证系统具有一定的参考价值。
1 校园网身份认证相关技术
1.1 Kerberosy认证
Kerberosy认证是在上世纪90年代伴随万维网的出现而诞生的经典身份认证技术。它提供了一种利用认证服务器（AS）实现客户端（Client）和服务器端（Server）相互J证的经典思路；为解决一次授权即实现多服务器登陆的问题，Kerberosy认证引入了票据授权服务（TGS - Ticket Granting Service），省去了多次认证的时空开销。因此，Kerberosy认证包括认证服务器（AS），客户端（Client）和普通服务器（Server）、票据授权服务（TGS - Ticket Granting Service） 四个角色。
1.2 LDAP：轻量级目录访问协议
轻量级目录访问协议 ，是一种跨平台的目录服务技术，位于TCP/IP协议的上层，提供标准的服务接口，因此具有平台无关性，采用树状模式存储目录信息，每一条目录信息基于条目（Entry），条目在目录全局中具有唯一的身份标识并包含属性信息（一般比较精短），方便快速检索条目信息。由于身份认证中传递的多数都为短文本（加密）信息，因此LDAP协议的特别适合身份认证的需求，此特性使其在各种身份认证技术中得到广泛应用。
1.3 ICE中间件
Ice是Internet Communications Engine的简称，是一种面向对象的中间件平台，支持面向对象的RPC编程，其最初的目的是为了提供类似CORBA技术的强大功能，又能消除CORBA技术的复杂性。该平台为构建面向对象的客户-服务器应用提供了工具、API和库支持。ICE平台内嵌负载均衡功能，对于分布大多个节点上的应用服务提供多种负载均衡方案，只需要通过XML配置文件即可完成负载均衡配置。配置项包括Type （负载均衡类型）、Sampling interval（负载信息收集间隙）、Number of replicas（返回给客户端的适配器个数）。
2 基于三层架构的校园网身份认证模型
2.1 统一身份认证集成中存在的突出问题
目前，统一身份认证主要有网关模型、模型、经纪人模型等三种模型。网关模型中所有的应用系统都放在认证系统之后，虽然提高了应用系统的安全性，但也导致部分对用户权限要求并不高的应用系统不能很好地被用户访问，比较典型的如各高校专门为学生下载视频资源搭建的FTP应用。因此网关模型对用户访问应用系统资源具有一定的制约性。模型是用户通过服务器访问不同的应用系统，用户的访问权限由服务器控制，但用户的登陆信息在本地存储，存在信息泄露的危险。经纪人模型不存在前两种模型的缺点，但需要生成电子身份标识，认证开销比较大，对认证服务器性能要求较高。
2.2 “三层架构”统一身份认证模型的提出
本文结合某高职院校网络实际，提出了一种基于“应用层、服务层、数据层”的三层统一身份认证模式，该模式结合了LDAP、Kerberosy认证、ICE中间件三种身份认证技术。具体模型结构如图1所示。
应用层主要是用户（Client）端向应用服务器（Service）发出访问请求，应用服务器在收到后，将用户身份信息，通过中间件认证接口发送到认证服务器层，认证服务层采用Kerberosy认证，验证通过的用户可获得数据资源访问授权，通过LDAP技术，实现用户要访问的数据资源目录与LDAP目录同步，减少用户资源访问等待时间。三层架构的优点显而易见，将认服服务器与应用服务器分开，用户不再直接访问认证服务器，减轻了认证服务器的压力；LADP同步技术提高了数据访问效率，提升了用户体验；三层架构更容易配置。
3 结语
本文主要结合某高职院校校园网身份认证的需求，介绍了统一身份身份认证的相关技术，提出了一种基于三层架构的统一身份认证技术，包括应用层、服务层、数据层，具有逻辑结构清晰、访问效率高、配置方便的明显优点。通过在某高职院校校园网统统一身份认证的应用，师生反映校园网登陆等待时间减少，资源访问更加高效，证实该方案对高职院校校园网统一身份证具有重要的参考意义。
参考文献
[1]周苏，王文.高职院校数字化校园的规划及其网络系统的设计[J].信息化建设，2015.
论文摘要：随着高校信息化建设的发展，统一身份认证平台在数字化校园中发挥越来越重要的作用，改变了高校信息系统各自为政、一个用户N多个帐号或需要重复登录的状况，实现单点登录，有限的提高了整个信息系统的安全性和用户的工作效率。而基于LDAP的统一身份认证让实际开发变的更加轻松、可行性更高。
一、目前高校信息化建设现状
随着信息技术的发展，各个高校都高度重视信息化建设工作，“数字校园”即是将信息技术运用于教育改革过程形成的最新研究成果。在数字校园中，学校针对各种需求建设应用系统，力图通过信息化来整合机构内的各种资源。但在实际信息化建设过程中，由于前期缺少统一规划，并且高校系统软件很少有做的很全或很专业的公司，基本上是学校各个部门各自为政，各自购买建设自己的信息系统。如教务处购买自己的教学管理系统，学生处购买单独的学生综合管理系统，图书馆有自己的借还书管理系统。
在多系统并存的情况下，校园网内每个用户拥有多个密码，用户需要逐一登录自己所要使用的应用系统，这给用户造成了很大的不便，安全性存在严重隐患。同时，用户的信息分散存储于各个应用系统中，这不仅为用户的正常使用也为应用系统的管理和维护增加了很大的麻烦，工作效率重复低下。为了解决这些问题，需要在多应用系统并存的情况下，实现应用系统间的用户统一认证和信息共享。
二、统一身份认证在高校信息化建设中的重要作用
网络信息系统的统一认证技术已经相当成熟，从门户网站（如新浪）到企业内部网（如平安保险公司）都对原有的系统进行改造升级，使得不同历史时期购进的信息系统能够整合起来，进行统一认证，降低了管理成本同时又提高了信息系统的安全性，对用户来说也解决了多账户多密码难于记忆的问题。
目前，各大高校也在整合自己的网上资源，把各个独立信息系统的认证统一起来，实现统一身份认证，通过统一规划整合认证后的校园信息系统最大限度的减少用户的帐号数，简化登录过程，实现一次登录多点使用，实行统一管理，方便用户的同时也极大的提高了信息系统的安全性。校园网内用户只要登录一次就可以访问其它的网络资源。可以说随着高校信息化建设的发展，统一身份认证是重中之重，信息建设部门应做好统一规划，后期的软件开发应用必须和统一身份认证平台对接。
三、基于LDAP的统一身份认证的建设与特点
统一身份认证平台的目的是要解决不同的应用系统用户名和口令不统一的问题，通过提供统一的授权机制及一套方便、安全的口令认证方法，让用户只要一套用户名和口令就可以使用校园网络上有权使用的所有应用系统。保证用户通过网络单点登录或手机登录方式进入系统。目前使用最多的是采用目录访问进行身份认证，此技术基于LDAP（轻量型目录访问协议），具有高效的查询速度。利用LDAP 服务特性及WEB相关技术， 实现了对数字校园中用户及网络应用资源的统一开发管理。
统一身份认证平台的开发功能如下：
1、目录服务：目录服务与现有系统集成在一起，充当一个集中化的身份信息库，用于将学生、教师和其他人员的信息集中存储。
2、统一认证：认证服务提供了平台的核心基础服务，用于对学生、教师和其他人员的数字化身份的认证。 3、身份管理：提供基本的组、用户、用户属性、用户类型、口令的维护功能
4、管理控制台：承担整个统一身份认证平台的身份数据管理、系统服务管理、平台运行管理工作，是整个平台的集中管理控制中心。
基于目录访问协议的身份认证基于Linux系统下OPenLDAP设计，能够批量导入加密后的用户信息，打印明码条发给用户。然后围绕认证数据库进行各种应用程序设计，包括：基于浏览器界面的统一认证Web应用程序、基于窗口界面的登录界面设计（用于桌面应用软件等）、基于浏览器界面的统一认证后台管理Web应用程序等等。
基于目录访问协议的身份认证优点很多，主要有：采用开源解决方案，不需另外购买商业软件，可以在源码的基础上进行二次开发，能够最大程度减少IT信息建设投入；采用OpenLDAP进行系统认证，一定程度上防止SQL注入攻击，有效保护后台数据安全；LDAP具有很高的查询速度，保证认证查询速度；采用Linux作为认证平台，安全、稳定。
四、结束语
当然，统一身份认证在实际的建设过程中可能会遇到各种难点，主要是接口问题，如很多以前实施的应用系统现在开发商都联系不到（这种情况各个高校都有），整合到认证系统中可能花的代价比重新开发或购买的成本还要高。所以在后期规划中，要求系统供应商必须提供或开发和身份认证平台统一的接口。
目前，经过统一规划和投资，身份认证系统在苏州大学已经基本完成，整合集成了教务、学工、人事、行政等各种信息服务，是数字化校园的信息集中展示平台，也是校内重要业务系统的统一入口。经实际使用证明，它不仅提高了数字校园中各种应用系统的安全性、可靠性，也给用户提供了极大的方便，同时方便了数字校园的用户管理，具有很好的社会效益和经济效益。
参考文献
[1]openldap.org openldap官方网站
[2]宫恩辉，朱巧明，李培峰，史鑫.LDAP和Kerberos在统一身份认证中的应用[J].苏州大学学报(自然科学版).2006年02期
[3]张辉，杨岳湘，汪诗林.数字校园中基于LDAP的统一用户身份管理技术研究[J].计算机工程与科学.2005年第27卷第1期
关键词：信息安全；身份认证；生物特征；组合认证；解决方案；性能分析
中图分类号：TP393.08 文献标识码：A文章编号：1007-9599 (2011) 16-0000-02
Authentication Technology Research Overview
Zhang Yao
(Harbin Normal University,Computer Science and Information Engineering College,Harbin150025,China)
Abstract:Authentication technology is capable of sending and receiving side of information technology to identify the true identity,is to identify,verify that the network information system in the legitimacy and authenticity of the user identity,according to mandate access to system resources,and shut out illegal visitors.This article discusses the field of information security authentication technology status and development trend,for further improving the work has a certain theoretical significance.
Keywords:Information security;Authentication;Biometrics;
Combination of certification;Solutions;Performance analysis
网络认证技术是网络安全技术的重要组成部分之一。认证指的是证实被认证对象是否属实和是否有效的一个过程，常常被用于通信双方互相确认身份，以保证通信的安全。认证技术一般包括两个方面的内容，分别是身份认证和信息认证。身份认证主要是通过对用户身份的鉴别来实现对用户权限的识别，限制低权限或者非法用户的入侵。信息认证主要是用于验证信息是否完整。本论文的研究主要偏重于对身份认证技术及其分析。主要侧重以下几个方面做分析。
一、身份认证的方法分析
身份认证主要是通过分析被认证者的身份、权限等相关的信息。除了认证者本人，任何其他人都无法进行仿造或者伪造身份。如果经过认证，被认证者拥有相关的权限和秘密，那么他就获得了认证。身份认证的主要依据就是被认证方用于证明身份所用有的秘密。每个被认证者所拥有的身份认证秘密不同。常见的身份认证有两种，第一种是基于物理安全性的身份认证方法。第二种是基于秘密信息的身份认证方法。
（一） 基于物理安全的身份认证方法
不同的身份认证方法基于不同的理论，但这些认证方法的共同点就是依据用户知道的秘密信息。和这种认证方法相对照，另外一种利用用户的特殊信息或者硬件信息来进行身份认证的。比如说从生物学角度考虑，利用声音识别进行身份验证，利用指纹进行身份验证，利用人眼的虹膜进行身份验证等。从硬件的角度考虑，常用的认证方法有通过智能卡来进行验证，只有认证者拥有正确的卡，才可以被认证。当然，这种方法也有优缺点，这种智能卡可以有效的阻止和避免人为乱猜口令导致的密码被破解，但也存在着只认卡不认人的缺陷，一旦智能卡因丢失被其他人捡到，则很容易被盗取身份。为防止出现这种情况，现在一般采用智能卡和口令结合的方式，比如现在最常用的银行卡就是这种。
（二）基于秘密信息的身份认证方法
常见的有以下几个方式：
1.通过进行用户口令认证来核对身份信息，在刚建立系统的时候，系统已经预先为具有合法权限的用户设定了用户口令和密码。当用户通过登录界面登录时，登录界面显示用户名和密码输入。客户输入用户名和密码以后，系统会对输入的账户和密码与系统原有的密码进行核对如果完全一致，则认为是合法用户，用户身份得到认证。否则，就提示账户名或者密码错误。用户身份得不到认证。
2.单项认证，所谓单项认证，就是进行通信的双方中，只有一方需要进行身份认证。上面所阐述的口令核对法本质上也是一种单项认证。只是这种认证方法还比较低级，没有进行相应的密钥分发操作。常见的涉及到密钥分发操作的认证方案有两类。分别是对称密钥加密方案和非对称密钥加密方案。对称密钥加密方案是指依靠第三方来进行认证，第三方就是一个统一的密钥分发中心。通信双方的密钥分发和身份认证都要通过第三方来实现。另一种没有第三方参与的加密体制成为非对称密钥加密体制。
3.双向认证。双向认证，是指需要通信双方相互认证才可以实现双方通信，通信双方必须相互鉴别彼此的身份，并且经双方验证正确以后，才可以实现双方的通信。在双向认证中，最典型的就是Needham/Schroeder协议。
[1]Needham/Schroeder Protocol[1978]
AKDC：IDA||IDB||N1
KDCA：EKa[Ks||IDB||N1||EKb[Ks||IDA]]
AB：EKb[Ks||IDA]
BA：EKs[N2]
AB：EKs[f（N2）]
（其中f（N2）为N2的某一个函数，其他符号约定同上。）
4.身份的零知识证明通常在进行身份认证时，需要进行身份信息或者口令的传输。要想不传输这些信息就可以进行身份认证，就需要采用身份的零知识证明技术。所谓零知识证明就是指在进行用户身份认证时，不需要传输相关的信息。这种认证机制就是当被认证的甲方为了让认证方乙方确信自己的身份和权限但同时又不让乙方得到自己的秘密信息而采用的一种机制。这种认证方法可以非常有效的防治第三方窃取信息。
二、身份认证的应用
（一）Kerberos认证服务
Kerberos是一种基于Needham和Schroeder[1978]模型的第三方认证服务Kerberos可信任的第三方就是Kerberos认证服务器。它通过把网络划分成不同的安全区域，并且在每个区域设立自己的安全服务器来实现相应的安全策略。在这些区域的认证具体实现过程如下：Kerberos通过向客户和服务提供票和通信双方的对话密钥来证明自己的身份权限。其中Kerberos认证服务器负责签发初始票，也就是客户第一次得到的票。其他票都是由发票服务器负责签发。同一个票可以在该票过期之前反复使用。当客户需要让服务方提供服务的时候，不但要自己生成仅可以使用一次的证，而且需要向服务方发送由发票服务器分发的。这两个需要同时发送。
（二）HTTP中的身份认证
HTTP中的身份认证现在主要由三个常用的版本。分别是HTTP协议目前已经有了三个版本HTTP0.9、HTTP 1.0和HTTP 1.1，其中HTTP 0.9功能简单，主要用来实现最基本的请求协议和回答协议。HTTP 1.0是目前应用比较广泛的一个版本，它的功能相对来说非常完善。而且，通过Web服务器，就可以实现身份认证来实现访问和控制。如果用户向某个页面发出请求或者运行某个CGI程序时，将会有访问控制文件告诉用户哪些可以访问，哪些不可以访问，访问对象文件通常存在于访问对象所在的目录下面的。通过服务器读取访问控制文件，从而获得相应的访问控制信息。并且要求客户通过输入用户名和口令进行身份验证。通过访问控制文件，Web服务器获得相应的控制信息，用户根据要求输入用户名和口令，如果经过编码并且验证以后，如果身份合法，服务方才发送回所请求的页面或执行CGI程序。HTTP 1.1新增加的很多的报头域。如果进行身份认证，不是以明文的方式进行传递口令，而是把口令进行散列变换，把口令转化以后对它的摘要进行传送。通过这种认证机制，可以避免攻击者通过某种攻击手段来获取口令。即使经过多次攻击，也无法进行破译。即使是这样，仍然不能保证摘要认证的足够安全。和普通的认证方法一样，这种方法也可能受到中间者的攻击。要想更进一步确保口令安全，最好就是把HTTP的安全认证方式与Kerberos服务方式充分结合起来。
（三）IP中的身份认证
IP中的身份认证IP协议出于网络层，因此不能获取更高层的信息，IP中的身份认证无法通过基于用户的身份认证来实现。主要是通过用户所在IP地址的身份认证来实现。IP层的认证机构既要确保信息在传递过程中的数据完整性，又要确保通过数据组抱头传递的信息的安全性。IPSec就是IP安全协议的简称，主要功能就是维护网络层的安全和网络成以下层的安全。通常情况下，它提供两种安全机制。第一种是认证机制，通过这种认证机制，可以确保数据接收方能够识别发送方的身份是否合法。而且还可以发现信息在传输过程中是否被恶意篡改；第二种是加密机制，通过对传输数据进行数据编码来实现数据的加密机制。从而可以保证在信息的传递过程中，不会被他人窃取。IPSec的认证报头（Authentication Header AH）协议定义了认证的应用方法，封装安全负载（Encapsu-lating Security Payload，ESP）协议定义了加密和可选认证的应用方法。应用到具体的通信中去，需要根据实际情况选择不同的加密机制和加密手段。AH和ESP都可以提供认证服务，相比较而言，AH提供的认证服务要强于ESP。
三、身份认证技术讨论
身份认证技术讨论，在前面几部分内容中，对身份认证技术进行了理论分析和总结，并对他们的原理、机制和优缺点进行了比较。这里将根据自己的理解，深入考虑通过其他途径来实现身份认证。数字签名首先要保证身份验证者信息的真实性，就是要确保信息不能伪造，这种方法非常类似于身份认证。身份认证的主要目的是要确保被认证者的身份和权限符合。因此，这里考虑通过数字签名来实现身份认证。这里的技术难点就是必须要预先进行分发密钥。如果不能提前进行密钥分发，就不可能实现数字签名。综上可以看出，身份认证在整个安全要求中是首先要解决的技术问题。
参考文献：
[1]William Stallings,孟庆树等.密码编码学与网络安全――原理与实践(第四版)[M].电子工业出版社,2006,11
[2]袁德明.计算机网络安全[M].电子工业出版社,2007,6
[3]杨英鹏.计算机网络原理与实践[M].电子工业出版社,2007,9
[4]李忠献.认证理论与技术的发展[J].电子学报,1999
关键词：身份认证；UEB Key；PKI体系；认证设计
中图分类号：TP393文献标识码：A文章编号：1009-3044(2008)23-930-02
Design Research of Authentication Client Based on USB Key under PKI System
ZHOU Hua-xiang
(Changsha Commerce & Tourism College, Changsha 410004, China)
Abstract: Due to universality and opening of the Internet，there're many hidden troubles of information security in the network, so, identity authentication has becomed the necessary measure to ensure the security. This paper compared and analyzed the relative merits of common classes of identity authentication, and on the basis of analysis, the authentication principle and its characteristics, and the authentication processing were also discussed, and after that, the identifying technology of USB Key with PKI system was designed from software and hardware detaily. All these design work and theory analysis is significative for enhance the security of the identifying authentication.
Key words: Identity authentication; USB Key; PKI System; Technology design
1 引言
当前，随着计算机技术的飞速发展，利用因特网高科技手段进行经济商业犯罪的现象已经屡见不鲜了，因此，如何采用更加安全的数据保护及加密技术，成为当前计算机工作者的研究热点与重点。但是很多身份认证技术由于本身算法的漏洞而不稳定或可靠，使得很多不法之徒有机可乘。因此，发展更加安全的数据加密算法和身份认证技术，是关系到社会经济稳定繁荣发展的关键，如何采用与设计更加安全的身份认证技术，成为当前计算机安全工作的重点。
现今，计算机及网络系统中最常用到的身份认证技术主要有以下几种：1）用户名密码方式认证；2）IC卡认证；3）动态口令认证；4）生物特征认证。
上述几种身份认证方式，或认证方式过于简单，或认证成本过高，或使用方法繁琐，在推广应用上都存在一定的限制因素；USB Key认证技术是一种方便、安全、经济的身份认证技术，它采用软硬件相结合、一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。
2 相关原理概述
2.1 PKI体系概述
PKI(Public Key Infrastructure)是一个用公钥密码体制来实现并提供安全服务的具有通用性的安全基础设施，具有可信任的权威认证机构CA，在公钥加密技术基础上实现证书的产生、管理、存档、发放以及证书作废管理等功能，并包括实现这些功能的硬件、软件、人力资源、相关政策和操作规范以及为PKI 体系中的各成员提供全部的安全服务。如实现通信中各实体的身份认证、数据保密性、数字完整性以及不可否认等。PKI必须具有认证机构CA、证书库、密钥备份及恢复系统、证书作废处理系统、PKI 应用接口系统等主要组成部分。
2.2 USB Key认证原理
每个USB Key硬件都具有用户PIN码，以实现双因子认证功能。USB Key内置单向散列算法(MD5) ，预先在USB Key和服务器中存储一个证明用户身份的密钥，当需要在网络上验证用户身份时，先由客户端向服务器发出一个验证请求。服务器接到此请求后生成一个随机数并通过网络传输给客户端，客户端将收到的随机数提供给插在客户端上的USB Key，由USB Key使用该随机数与存储在USB Key中的密钥进行带密钥的单向散列运算（HMACMD5）并得到一个结果作为认证证据传送给服务器，与此同时，服务器使用该随机数与存储在服务器数据库中的该客户密钥进行HMAC- MD5运算，如果服务器的运算结果与客户端传回的响应结果相同，则认为客户端是一个合法用户。
3 基于PKI体系的USB Key认证客户端的设计
3.1 总体设计
本方案基于USB接口，采用高性能的智能卡进行设计，把智能卡固有的安全性能和USB总线的即插即用、总线供电等优点结合起来，集二者之所长，研制出一种携带方便的PKI客户端设备，集数据加密和数据存储两大功能为一体，在硬件级安全的基础上完成身份认证、密钥管理、证书存储等功能。其系统结构框图如图1所示。
由图1的结构可以发现，本论文研究的客户端硬件模块由智能卡和USB 读卡器组成，采用智能卡芯片作为私钥安全管理的载体，它包括私钥的安全生成、存储和使用。智能卡芯片中含有CPU ，可以通过运算来产生公私密钥对，而且还含有一定的存储空间，可以存储私钥和其它用户资料。USB 读卡器的主要功能是完成智能卡与主机的通信。
由于智能卡的存储空间毕竟有限，对于需要进行密码运算的大文件，无法一次完全导入智能卡设备中，为此，我们将一部分密码运算的功能放在主机端的软件模块，以提高运算速度。
总体的设计思路是私钥的密码运算必须在智能卡中进行，而将一部分有可能对大文件进行的运算放在主机上来完成。这样既保证了私钥的生成、保存的高度安全性，又利用了主机容量大、运算快的优势。
3.2 系统硬件设计
3.2.1 智能卡芯片的设计
智能卡芯片是USB KEY的核心，采用一个高性能的处理器芯片，除了含有一个MCU 外，还集成有专门进行密码算法的协处理器，通过它可以提高密码运算的速度。在软件结构上，我们内置了一个卡内操作系统(COS) 以管理智能卡的所有软硬件资源。COS 分为四个模块:传输层模块、文件管理层模块、安全控制模块和算法库。
从整个安全策略、用户的方便性、产品的创新性等几点出发，客户端的智能卡芯片中需要实现签名、解密、RSA 密钥对的产生、私钥的保存及证书的验证等主要功能。
验证别人的证书，需要通过信任锚来完成。信任锚就是根CA 的公钥。通过它，我们可以验证在一个PKI 系统中所有的证书。由于主机的不安全性，如果将信任锚存储在主机端，很容易被黑客替换成一个假的信任锚，这样用户就无法验证别人证书的真伪。出于这样的考虑，我们将信任锚存储在智能卡中，由于智能卡芯片的硬件特性，驻留在里面的程序具有不可修改性，这样就使数据(私钥) 的保存和使用达到了硬件的安全级别，大大提高了PKI 系统的安全。
3.2.2 USB芯片的设计
由于用户需要通过驻留在主机上的用户程序来使用存储在智能卡中的私钥，为了使用的方便，我们将硬件模块设计成一个目前流行的USB KEY模型，即通过USB 接口来实现主机软件程序与智能卡的通讯。
USB 接口的设计由一个USB 芯片来实现。它主要有两个功能，一是通过USB 协议完成与主机的通信；二是完成与智能卡的通讯。由于智能卡与外界的信息交换遵循ISO781623协议，所以USB 芯片的CPU 必须模拟一个781623 协议来实现两者的通讯。
考虑到用户在使用客户端时的不安全性，如:在用户使用完USB KEY时，可能忘记将它从主机上拔下来，这时如果远程黑客通过驻留主机的木马程序获得了用户的PIN ，就会在用户无察觉的情况下，利用USB KEY来对任意的文件进行任意次的签名，从而对合法用户造成很大损失。为此，我们在USB 芯片上设计了一个按键，每次USB 芯片检测到签名操作的命令，便要求用户手工按键，然后再将命令发送到智能卡里，由智能卡完成签名运算。这样合法用户便可以控制签名次数，将风险降到最低水平。
3.2.3 时间芯片的设计
无论证书还是私钥，都有一定的生存期，过期后必须申请新的证书和私钥。要求PKI 用户以手工操作的方式来定期更新自己的证书是不现实的，用户往往忘记自己证书过期的时间，常在认证失败时才发现问题。为此，我们在USB 芯片上加载了一个时间芯片，用它来识别证书和私钥过期的时间。
3.3 系统软件设计
系统的软件设计采用Client/Server模式，一个标准的服务流程为：客户机提出请求，通过USB接口传输给USB接口控制器，USB接口控制器通过模拟7816协议来和智能卡进行通信，智能卡的片上操作系统COS收到该请求后，进行命令解释，调度相应的功能模块进行处理，然后将运算结果返回给USB接口控制器，最终传递给客户机的应用程序，完成一次服务请求。
软件程序的流程图如图2所示。
4 结束语
USB认证设备体积小巧、功能强大、价格低廉，可提供极高安全等级的认证和加密功能，有力地促进了PKI系统的实施，同时，它也可广泛应用于要求个人身份认证、识别、数据加密、安全存储等领域，应用前景广泛。目前，对于身份认证技术的研究方兴未艾，很多新的认证方式与认证技术正在出现，为人们的数据安全提供更加可靠的安全认证与保护。
展望将来，除了对基于PKI体系的USB Key认证方式继续探讨新的数据加密算法外，其他新的认证模式也正在兴起，如基于生物特征的生物认证技术，以及目前处于研究热潮的基于线上手写签名的身份认证技术，这些都将是安全性极高的认证手段。
参考文献：
[1] 胡道元,闵京华.网络安全[M].北京:清华大学出版社,2004.
[2] 蔡金清,万振凯.统一口令网络认证系统的分析与实现[J].天津:工业大学学报,2004,23(3):74-76.
[3] 关振胜.公钥基础设施PKI与认证机构CA[M].北京:电子工业出版社,2002.
【Abstract】With the rapid development of information technology， colleges expect the verification of candidate information can be more reliable， scientific and unified.. However，the lack of human resource， low information verification efficiency and instead of someone else in examination frequency， make the examination process is difficult to realize optimization. To overcome these drawbacks， the article takes the two-dimensional code as the information transmission interface， analyzes and designs the network architecture， logical structure and physical deployment of dimensional code authentication platform， provides a useful and practical reference for college to realize authentication informatization .
【P键词】二维码；高校；身份认证
【Keywords】two-dimensional code ； university； identity authentication
【中图分类号】C39 【文献标志码】A 【文章编号】1673-1069（2017）04-0166-03
1 引言
高校作为人才的培养基地，一直以来都扮演着科教兴国的重要角色，考试制度也顺理成章的成为了检阅人才的必备标杆。然而，社会上的不诚信现象屡见不鲜，加之社会信用体系不完善，客观上助长了不诚信风气。大学生作弊现象，代考现象日益加剧，使得考试成绩的真实性每况愈下，经调查，
60. 4%的大学生想过考试作弊，39. 1% 的大学生自述曾有过作弊经历。这种弄虚作假的行为严重威胁着国家政策的施行，也使得高校教育策略岌岌可危。为纠正各类教育考试中考生代考、作弊等行为，进一步加强考试环境的综合治理，我们引入二维码技术来进行考生身份认证。通过扫描二维码将考生最新信息呈现给监考教师，防止了考生准考证信息因磨损失真、不完全、容易被篡改等现象而引起代考行为的发生，保证了信息的统一化、可靠化、科学化管理，实现了考生信息的动态更新。系统采用各种最新技术来提高用户体验，保证信息的安全性，一定程度上实现了功能和体验的双赢[1]。
2 二维码技术的发展
二维码是20世纪90年代兴起的一种新技术，它是以某种特定的几何图形按一定规律在平面上分布组成黑白相间的图形来记录数据符号信息的技术。和一维码相比较，二维码不但具有存储容量大、信息密度大（在一个不大的图形内可存储数字、英文、汉字、指纹、声音和图片等信息）、 采集速度快、制作成本低、纠错能力强、安全性高等特点，还成功弥补了一维码只能包含字母与数字的缺陷。它可以从水平轴X轴和纵轴Y轴即横向和垂直两个方向对信息进行存储和处理，这样既提高了条码信息存储量又加速了信息的处理速度等优点，也正是这些优势使得它广泛流行于各国各行业中。
我国对二维码技术的研究开始于1993年，截至目前，条码标准体系还尚显单薄，具有自主知识产权和核心研发技术体系还很少，二维码的推广和发展受到了一定阻碍。但是随着我国通信网络的升级、智能手机的普及和民众意识的转变，二维码的应用前景也渐渐明朗起来，在消化国外先进技术文化的基础上，制定了一系列二维码标准：如GB/T17172-1997《四一七条码》，GB/T18284-2000《快速响应矩阵码》，《二维码网格矩阵码（GM）》，《二维码紧密矩阵码（CM）》等，并已在我国的汽车行业自动化生产线、医疗急救服务卡、涉外专利案件收费、珠宝玉石饰品管理及银行汇票上得到了应用。国内多家IT企业如阿里巴巴、腾讯、百度、新浪等对二维码的试水，以及中国电信、中国联通、中国移动等电信巨头在二维码手机应用领域的介入都充分显示了二维码应用在我国强劲的发展势头，我国也在不断投入资源，鼓励摸索前进，积极研究和开辟新的应用和领域。
通过文献梳理和调查国内外关于二维码技术的应用，我们发现高校对二维码技术的应用仍处于启蒙阶段，同时，师生证件繁多、不易保管、信息不完整、易损坏、易仿制、丢失使得信息的传递存在极大的风险。鉴于二维码的特点和应用，广大师生已在日常生活中对其有了初步了解。开发基于二维码技术的高校考生身份认证系统，生成包含高校师生身份认证名片，能够在极大程度上推动高校信息化发展，确保信息的完整、真实、易用，做到诚信考试，有效规避代考作弊等行为[2]。
