基于PKI/PMI的IP宽带城域网解决方案

随着网络技术的发展演变，IP宽带城域网已成为宽带网络的发展方向，各种信息化应用都将基于IP技术。本文在分析目前IP宽带城域网在安全应用与管理方面存在问题的基础上，首先简单介绍了PKI/PMI，然后阐述了如何应用基于PKI/PMI的智能化信任与授权技术来建立IP宽带城域网的可信任环境，如何利用数字证书来实现基于证书和端口的IP宽带城域网安全应用与管理模式，该模式类似于PSTN中基于号线的应用与管理模式，从而构建一个"可控制、可管理、可经营"的电信级IP宽带城域网，为各种信息化应用提供一个安全可信的基础电信网络平台。

1 引言

网络与信息安全能力是21世纪综合国力、经济竞争实力和生存力的象征，是未来国际竞争的"杀手锏"。当前，中国正在加快国民经济和社会信息化进程，急需要一个安全可信的电信基础网络平台，为各种信息化应用提供基础安全保障。

随着网络技术的发展和演变，IP宽带城域网已成为宽带网的发展方向，各种信息化应用都将基于IP技术。但是，目前IP宽带城域网在管理和安全应用方面存在许多问题，如：不能有效识别进入网络用户的合法身份;不能对用户的个人信息实现有效保护;不能有效地解决抗抵赖性问题等。

这些问题的存在一方面导致了IP宽带城域网的可控制、可管理、可经营性较差;另一方面直接影响到国家的信息安全，关系到国家的安危。

导致这些问题的原因主要是由于目前IP宽带城域网采用的"用户名+密码"的认证方式只能实现初级的、简单的管理，安全性很不够(如易于盗用、合用);用户名与接入线路没有固定的对应关系，使得用户接入难以定位，用户权限难以管理等。

因此，要有效解决目前IP宽带城域网在管理和安全应用方面存在的问题，首先要解决用户身份认证、用户的授权管理和用户定位等问题，建立起可信赖的网络环境。

近年来，信息安全技术受到广泛关注，并得到了长足发展，特别是基于公钥基础设施(PKI)和授权管理基础设施(PMI)的智能化信任与授权技术有了突破性进展，已大规模应用于电子政务、电子商务系统中。

因此，本文将探讨如何采用基于PKI/PMI的智能化信任与授权技术来建立IP宽带城域网的可信任环境，如何将数字证书的认证、管理等信息安全技术应用于IP宽带城域网的运营管理中，从而构建一个"可控制、可管理、可经营"的电信级IP宽带城域网，为各种信息化应用提供一个安全可信的基础电信网络平台。

这是一个全新的思路、全新的尝试，具有比其他IP城域网的管理方法更高的安全性和灵活性。

2 PKI/PMI概述

2.1 PKI

PKI是国家信息安全基础设施(NISI)的重要组成部分，它以公开密钥技术为基础，以数据机密性、完整性、网上身份认证和行为的不可抵赖为安全目的，为网络应用(如浏览器、电子邮件)提供可靠的安全服务。在国家信息安全基础设施中，PKI采用双密钥证书体系，其中非对称算法支持RSA和椭圆曲线公开密钥(ECC)两种算法，对称密码算法支持国家密码管理委员会办公室指定的密码算法。公钥基础设施包含信任服务体系和密钥管理体系。

信任服务体系的主要职责是为整个系统提供基于PKI的公钥数字证书(PKC)认证机制的实体身份鉴别服务，以便能在整个系统范围内唯一地确定实体的真实身份，从而建立起全系统范围内一致的信任基准。

密钥管理体系主要负责向系统提供密钥对的管理服务，同时向授权管理部门提供应急情况下的特殊密钥恢复功能。

2.2 PMI

PMI也是NISI的一个重要组成部分，目标是向用户和应用程序提供授权服务管理，主要负责向应用系统提供与应用相关的授权服务管理，提供用户身份到应用授权的映射功能。

PMI以资源管理为核心，提供基于属性证书(AC)的授权和访问控制机制，将对资源的访问控制权统一交由授权机构进行管理，即由资源的所有者来进行访问控制。同PKI相比，两者的区别主要在于：PKI证明用户是谁，而PMI证明这个用户有什么权限，能干什么，而且PMI需要PKI为其提供身份认证服务。

3 IP宽带城域网安全应用解决方案

3.1 IP宽带城域网安全应用平台体系架构

IP宽带城域网安全应用平台是在传统IP宽带城域网框架之上，以基于PKI/PMI的网络和信息安全技术为基础，以综合业务管理为核心，构建的一个完整统一的可控制、可管理、可经营的IP宽带城域网。

在逻辑上把整个IP宽带城域网安全应用平台由外到里分为三层，分别为接入认证层、汇接层和核心层，如图1所示。

　　·接入认证层：完成对IP宽带用户及网络设备的接入认证，构成网络信任域(由通过认证的用户和网络设备构成的一个网络区域)。对非法的网络设备和IP宽带用户自动进行阻断和限制，防止对系统的非法接入，保障网络系统的安全可信，是实现IP宽带城域网可控制、可管理、可经营的基础。

·汇接层：一方面完成汇接各类业务流的功能;另一方面，通过部署PKI、PMI体系，实现对用户身份的认证、信任授权和域内各网络元素的认证与管理，实现综合业务管理。是实现IP宽带城域网可控制、可管理、可经营的关键。

·核心层：完成信息的高速传送与交换，实现与其它网络的互联互通。

另外，在逻辑上又把IP宽带城域网安全应用平台体系架构分为两个平面，即IP宽带城域网平面和智能化安全应用管理平面，如图2所示。

两平面不是简单的叠加，而是相辅相成，协调工作，有机地结合在一起，构成一个完整统一的可控制、可管理、可经营的IP宽带城域网。　

图1 三层体系架构

图2 两个平面

·IP宽带城域网平面：主要由传统IP宽带城域网构成，提供IP宽带城域网用户的接入、信息承载与交换服务功能，并完成与其他专网和Internet的互联，是IP宽带城域网安全应用平台的基石。

·智能化安全应用管理平面：采用基于PKI和PMI的智能化信任与授权技术，构建一个可信任的网络环境，提供网络设备与用户安全可靠的接入、信息传输与交换、业务管理服务功能，是IP宽带城域网安全应用平台的核心。

来源：千家综合布线网