• 易迪拓培训,专注于微波、射频、天线设计工程师的培养
首页 > 无线通信 > 技术文章 > 基于PKI/PMI的IP宽带城域网解决方案

基于PKI/PMI的IP宽带城域网解决方案

录入:edatop.com     点击:

随着网络技术的发展演变,IP宽带城域网已成为宽带网络的发展方向,各种信息化应用都将基于IP技术。本文在分析目前IP宽带城域网在安全应用与管理方面存在问题的基础上,首先简单介绍了PKI/PMI,然后阐述了如何应用基于PKI/PMI的智能化信任与授权技术来建立IP宽带城域网的可信任环境,如何利用数字证书来实现基于证书和端口的IP宽带城域网安全应用与管理模式,该模式类似于PSTN中基于号线的应用与管理模式,从而构建一个"可控制、可管理、可经营"的电信级IP宽带城域网,为各种信息化应用提供一个安全可信的基础电信网络平台。

1 引言

网络与信息安全能力是21世纪综合国力、经济竞争实力和生存力的象征,是未来国际竞争的"杀手锏"。当前,中国正在加快国民经济和社会信息化进程,急需要一个安全可信的电信基础网络平台,为各种信息化应用提供基础安全保障。

随着网络技术的发展和演变,IP宽带城域网已成为宽带网的发展方向,各种信息化应用都将基于IP技术。但是,目前IP宽带城域网在管理和安全应用方面存在许多问题,如:不能有效识别进入网络用户的合法身份;不能对用户的个人信息实现有效保护;不能有效地解决抗抵赖性问题等。

这些问题的存在一方面导致了IP宽带城域网的可控制、可管理、可经营性较差;另一方面直接影响到国家的信息安全,关系到国家的安危。

导致这些问题的原因主要是由于目前IP宽带城域网采用的"用户名+密码"的认证方式只能实现初级的、简单的管理,安全性很不够(如易于盗用、合用);用户名与接入线路没有固定的对应关系,使得用户接入难以定位,用户权限难以管理等。

因此,要有效解决目前IP宽带城域网在管理和安全应用方面存在的问题,首先要解决用户身份认证、用户的授权管理和用户定位等问题,建立起可信赖的网络环境。

近年来,信息安全技术受到广泛关注,并得到了长足发展,特别是基于公钥基础设施(PKI)和授权管理基础设施(PMI)的智能化信任与授权技术有了突破性进展,已大规模应用于电子政务、电子商务系统中。

因此,本文将探讨如何采用基于PKI/PMI的智能化信任与授权技术来建立IP宽带城域网的可信任环境,如何将数字证书的认证、管理等信息安全技术应用于IP宽带城域网的运营管理中,从而构建一个"可控制、可管理、可经营"的电信级IP宽带城域网,为各种信息化应用提供一个安全可信的基础电信网络平台。

这是一个全新的思路、全新的尝试,具有比其他IP城域网的管理方法更高的安全性和灵活性。

2 PKI/PMI概述

2.1 PKI

PKI是国家信息安全基础设施(NISI)的重要组成部分,它以公开密钥技术为基础,以数据机密性、完整性、网上身份认证和行为的不可抵赖为安全目的,为网络应用(如浏览器、电子邮件)提供可靠的安全服务。在国家信息安全基础设施中,PKI采用双密钥证书体系,其中非对称算法支持RSA和椭圆曲线公开密钥(ECC)两种算法,对称密码算法支持国家密码管理委员会办公室指定的密码算法。公钥基础设施包含信任服务体系和密钥管理体系。

信任服务体系的主要职责是为整个系统提供基于PKI的公钥数字证书(PKC)认证机制的实体身份鉴别服务,以便能在整个系统范围内唯一地确定实体的真实身份,从而建立起全系统范围内一致的信任基准。

密钥管理体系主要负责向系统提供密钥对的管理服务,同时向授权管理部门提供应急情况下的特殊密钥恢复功能。

2.2 PMI

PMI也是NISI的一个重要组成部分,目标是向用户和应用程序提供授权服务管理,主要负责向应用系统提供与应用相关的授权服务管理,提供用户身份到应用授权的映射功能。

PMI以资源管理为核心,提供基于属性证书(AC)的授权和访问控制机制,将对资源的访问控制权统一交由授权机构进行管理,即由资源的所有者来进行访问控制。同PKI相比,两者的区别主要在于:PKI证明用户是谁,而PMI证明这个用户有什么权限,能干什么,而且PMI需要PKI为其提供身份认证服务。

3 IP宽带城域网安全应用解决方案

3.1 IP宽带城域网安全应用平台体系架构

IP宽带城域网安全应用平台是在传统IP宽带城域网框架之上,以基于PKI/PMI的网络和信息安全技术为基础,以综合业务管理为核心,构建的一个完整统一的可控制、可管理、可经营的IP宽带城域网。

在逻辑上把整个IP宽带城域网安全应用平台由外到里分为三层,分别为接入认证层、汇接层和核心层,如图1所示。

  ·接入认证层:完成对IP宽带用户及网络设备的接入认证,构成网络信任域(由通过认证的用户和网络设备构成的一个网络区域)。对非法的网络设备和IP宽带用户自动进行阻断和限制,防止对系统的非法接入,保障网络系统的安全可信,是实现IP宽带城域网可控制、可管理、可经营的基础。

·汇接层:一方面完成汇接各类业务流的功能;另一方面,通过部署PKI、PMI体系,实现对用户身份的认证、信任授权和域内各网络元素的认证与管理,实现综合业务管理。是实现IP宽带城域网可控制、可管理、可经营的关键。

·核心层:完成信息的高速传送与交换,实现与其它网络的互联互通。

另外,在逻辑上又把IP宽带城域网安全应用平台体系架构分为两个平面,即IP宽带城域网平面和智能化安全应用管理平面,如图2所示。

两平面不是简单的叠加,而是相辅相成,协调工作,有机地结合在一起,构成一个完整统一的可控制、可管理、可经营的IP宽带城域网。 

图1 三层体系架构

图2 两个平面

·IP宽带城域网平面:主要由传统IP宽带城域网构成,提供IP宽带城域网用户的接入、信息承载与交换服务功能,并完成与其他专网和Internet的互联,是IP宽带城域网安全应用平台的基石。

·智能化安全应用管理平面:采用基于PKI和PMI的智能化信任与授权技术,构建一个可信任的网络环境,提供网络设备与用户安全可靠的接入、信息传输与交换、业务管理服务功能,是IP宽带城域网安全应用平台的核心。

来源:千家综合布线网

上一篇:PTN开启IP业务传送的未来
下一篇:自动语音识别决定呼叫中心的未来

手机天线设计培训教程详情>>

手机天线设计培训教程 国内最全面、系统、专业的手机天线设计培训课程,没有之一;是您学习手机天线设计的最佳选择...【More..

射频和天线工程师培训课程详情>>

  网站地图