隨著網(wǎng)絡(luò)技術(shù)的發(fā)展演變，IP寬帶城域網(wǎng)已成為寬帶網(wǎng)絡(luò)的發(fā)展方向，各種信息化應(yīng)用都將基于IP技術(shù)。本文在分析目前IP寬帶城域網(wǎng)在安全應(yīng)用與管理方面存在問(wèn)題的基礎(chǔ)上，首先簡(jiǎn)單介紹了PKI/PMI，然后闡述了如何應(yīng)用基于PKI/PMI的智能化信任與授權(quán)技術(shù)來(lái)建立IP寬帶城域網(wǎng)的可信任環(huán)境，如何利用數(shù)字證書(shū)來(lái)實(shí)現(xiàn)基于證書(shū)和端口的IP寬帶城域網(wǎng)安全應(yīng)用與管理模式，該模式類(lèi)似于PSTN中基于號(hào)線的應(yīng)用與管理模式，從而構(gòu)建一個(gè)“可控制、可管理、可經(jīng)營(yíng)”的電信級(jí)IP寬帶城域網(wǎng)，為各種信息化應(yīng)用提供一個(gè)安全可信的基礎(chǔ)電信網(wǎng)絡(luò)平臺(tái)。
1 引言
網(wǎng)絡(luò)與信息安全能力是21世紀(jì)綜合國(guó)力、經(jīng)濟(jì)競(jìng)爭(zhēng)實(shí)力和生存力的象征，是未來(lái)國(guó)際競(jìng)爭(zhēng)的“殺手锏”。當(dāng)前，中國(guó)正在加快國(guó)民經(jīng)濟(jì)和社會(huì)信息化進(jìn)程，急需要一個(gè)安全可信的電信基礎(chǔ)網(wǎng)絡(luò)平臺(tái)，為各種信息化應(yīng)用提供基礎(chǔ)安全保障。
隨著網(wǎng)絡(luò)技術(shù)的發(fā)展和演變，IP寬帶城域網(wǎng)已成為寬帶網(wǎng)的發(fā)展方向，各種信息化應(yīng)用都將基于IP技術(shù)。但是，目前IP寬帶城域網(wǎng)在管理和安全應(yīng)用方面存在許多問(wèn)題，如：不能有效識(shí)別進(jìn)入網(wǎng)絡(luò)用戶(hù)的合法身份;不能對(duì)用戶(hù)的個(gè)人信息實(shí)現(xiàn)有效保護(hù);不能有效地解決抗抵賴(lài)性問(wèn)題等。
這些問(wèn)題的存在一方面導(dǎo)致了IP寬帶城域網(wǎng)的可控制、可管理、可經(jīng)營(yíng)性較差;另一方面直接影響到國(guó)家的信息安全，關(guān)系到國(guó)家的安危。
導(dǎo)致這些問(wèn)題的原因主要是由于目前IP寬帶城域網(wǎng)采用的“用戶(hù)名+密碼”的認(rèn)證方式只能實(shí)現(xiàn)初級(jí)的、簡(jiǎn)單的管理，安全性很不夠(如易于盜用、合用);用戶(hù)名與接入線路沒(méi)有固定的對(duì)應(yīng)關(guān)系，使得用戶(hù)接入難以定位，用戶(hù)權(quán)限難以管理等。
因此，要有效解決目前IP寬帶城域網(wǎng)在管理和安全應(yīng)用方面存在的問(wèn)題，首先要解決用戶(hù)身份認(rèn)證、用戶(hù)的授權(quán)管理和用戶(hù)定位等問(wèn)題，建立起可信賴(lài)的網(wǎng)絡(luò)環(huán)境。
近年來(lái)，信息安全技術(shù)受到廣泛關(guān)注，并得到了長(zhǎng)足發(fā)展，特別是基于公鑰基礎(chǔ)設(shè)施(PKI)和授權(quán)管理基礎(chǔ)設(shè)施(PMI)的智能化信任與授權(quán)技術(shù)有了突破性進(jìn)展，已大規(guī)模應(yīng)用于電子政務(wù)、電子商務(wù)系統(tǒng)中。
因此，本文將探討如何采用基于PKI/PMI的智能化信任與授權(quán)技術(shù)來(lái)建立IP寬帶城域網(wǎng)的可信任環(huán)境，如何將數(shù)字證書(shū)的認(rèn)證、管理等信息安全技術(shù)應(yīng)用于IP寬帶城域網(wǎng)的運(yùn)營(yíng)管理中，從而構(gòu)建一個(gè)“可控制、可管理、可經(jīng)營(yíng)”的電信級(jí)IP寬帶城域網(wǎng)，為各種信息化應(yīng)用提供一個(gè)安全可信的基礎(chǔ)電信網(wǎng)絡(luò)平臺(tái)。
這是一個(gè)全新的思路、全新的嘗試，具有比其他IP城域網(wǎng)的管理方法更高的安全性和靈活性。
2 PKI/PMI概述
2.1 PKI
PKI是國(guó)家信息安全基礎(chǔ)設(shè)施(NISI)的重要組成部分，它以公開(kāi)密鑰技術(shù)為基礎(chǔ)，以數(shù)據(jù)機(jī)密性、完整性、網(wǎng)上身份認(rèn)證和行為的不可抵賴(lài)為安全目的，為網(wǎng)絡(luò)應(yīng)用(如瀏覽器、電子郵件)提供可靠的安全服務(wù)。在國(guó)家信息安全基礎(chǔ)設(shè)施中，PKI采用雙密鑰證書(shū)體系，其中非對(duì)稱(chēng)算法支持RSA和橢圓曲線公開(kāi)密鑰(ECC)兩種算法，對(duì)稱(chēng)密碼算法支持國(guó)家密碼管理委員會(huì)辦公室指定的密碼算法。公鑰基礎(chǔ)設(shè)施包含信任服務(wù)體系和密鑰管理體系。
信任服務(wù)體系的主要職責(zé)是為整個(gè)系統(tǒng)提供基于PKI的公鑰數(shù)字證書(shū)(PKC)認(rèn)證機(jī)制的實(shí)體身份鑒別服務(wù)，以便能在整個(gè)系統(tǒng)范圍內(nèi)唯一地確定實(shí)體的真實(shí)身份，從而建立起全系統(tǒng)范圍內(nèi)一致的信任基準(zhǔn)。
密鑰管理體系主要負(fù)責(zé)向系統(tǒng)提供密鑰對(duì)的管理服務(wù)，同時(shí)向授權(quán)管理部門(mén)提供應(yīng)急情況下的特殊密鑰恢復(fù)功能。
2.2 PMI
PMI也是NISI的一個(gè)重要組成部分，目標(biāo)是向用戶(hù)和應(yīng)用程序提供授權(quán)服務(wù)管理，主要負(fù)責(zé)向應(yīng)用系統(tǒng)提供與應(yīng)用相關(guān)的授權(quán)服務(wù)管理，提供用戶(hù)身份到應(yīng)用授權(quán)的映射功能。
PMI以資源管理為核心，提供基于屬性證書(shū)(AC)的授權(quán)和訪問(wèn)控制機(jī)制，將對(duì)資源的訪問(wèn)控制權(quán)統(tǒng)一交由授權(quán)機(jī)構(gòu)進(jìn)行管理，即由資源的所有者來(lái)進(jìn)行訪問(wèn)控制。同PKI相比，兩者的區(qū)別主要在于：PKI證明用戶(hù)是誰(shuí)，而PMI證明這個(gè)用戶(hù)有什么權(quán)限，能干什么，而且PMI需要PKI為其提供身份認(rèn)證服務(wù)。
3 IP寬帶城域網(wǎng)安全應(yīng)用解決方案
3.1 IP寬帶城域網(wǎng)安全應(yīng)用平臺(tái)體系架構(gòu)
IP寬帶城域網(wǎng)安全應(yīng)用平臺(tái)是在傳統(tǒng)IP寬帶城域網(wǎng)框架之上，以基于PKI/PMI的網(wǎng)絡(luò)和信息安全技術(shù)為基礎(chǔ)，以綜合業(yè)務(wù)管理為核心，構(gòu)建的一個(gè)完整統(tǒng)一的可控制、可管理、可經(jīng)營(yíng)的IP寬帶城域網(wǎng)。
在邏輯上把整個(gè)IP寬帶城域網(wǎng)安全應(yīng)用平臺(tái)由外到里分為三層，分別為接入認(rèn)證層、匯接層和核心層，如圖1所示。
·接入認(rèn)證層：完成對(duì)IP寬帶用戶(hù)及網(wǎng)絡(luò)設(shè)備的接入認(rèn)證，構(gòu)成網(wǎng)絡(luò)信任域(由通過(guò)認(rèn)證的用戶(hù)和網(wǎng)絡(luò)設(shè)備構(gòu)成的一個(gè)網(wǎng)絡(luò)區(qū)域)。對(duì)非法的網(wǎng)絡(luò)設(shè)備和IP寬帶用戶(hù)自動(dòng)進(jìn)行阻斷和限制，防止對(duì)系統(tǒng)的非法接入，保障網(wǎng)絡(luò)系統(tǒng)的安全可信，是實(shí)現(xiàn)IP寬帶城域網(wǎng)可控制、可管理、可經(jīng)營(yíng)的基礎(chǔ)。
·匯接層：一方面完成匯接各類(lèi)業(yè)務(wù)流的功能;另一方面，通過(guò)部署PKI、PMI體系，實(shí)現(xiàn)對(duì)用戶(hù)身份的認(rèn)證、信任授權(quán)和域內(nèi)各網(wǎng)絡(luò)元素的認(rèn)證與管理，實(shí)現(xiàn)綜合業(yè)務(wù)管理。是實(shí)現(xiàn)IP寬帶城域網(wǎng)可控制、可管理、可經(jīng)營(yíng)的關(guān)鍵。
·核心層：完成信息的高速傳送與交換，實(shí)現(xiàn)與其它網(wǎng)絡(luò)的互聯(lián)互通。
另外，在邏輯上又把IP寬帶城域網(wǎng)安全應(yīng)用平臺(tái)體系架構(gòu)分為兩個(gè)平面，即IP寬帶城域網(wǎng)平面和智能化安全應(yīng)用管理平面，如圖2所示。
兩平面不是簡(jiǎn)單的疊加，而是相輔相成，協(xié)調(diào)工作，有機(jī)地結(jié)合在一起，構(gòu)成一個(gè)完整統(tǒng)一的可控制、可管理、可經(jīng)營(yíng)的IP寬帶城域網(wǎng)。
圖1 三層體系架構(gòu)
圖2 兩個(gè)平面
·IP寬帶城域網(wǎng)平面：主要由傳統(tǒng)IP寬帶城域網(wǎng)構(gòu)成，提供IP寬帶城域網(wǎng)用戶(hù)的接入、信息承載與交換服務(wù)功能，并完成與其他專(zhuān)網(wǎng)和Internet的互聯(lián)，是IP寬帶城域網(wǎng)安全應(yīng)用平臺(tái)的基石。
·智能化安全應(yīng)用管理平面：采用基于PKI和PMI的智能化信任與授權(quán)技術(shù)，構(gòu)建一個(gè)可信任的網(wǎng)絡(luò)環(huán)境，提供網(wǎng)絡(luò)設(shè)備與用戶(hù)安全可靠的接入、信息傳輸與交換、業(yè)務(wù)管理服務(wù)功能，是IP寬帶城域網(wǎng)安全應(yīng)用平臺(tái)的核心。
3.2 安全應(yīng)用及管理解決方案
通過(guò)應(yīng)用基于國(guó)家信息安全基礎(chǔ)設(shè)施研究中心具有自主知識(shí)產(chǎn)權(quán)的PKI/PMI平臺(tái)的智能化信任與授權(quán)技術(shù)，來(lái)構(gòu)建IP寬帶城域網(wǎng)的可信網(wǎng)絡(luò)環(huán)境，采用數(shù)字證書(shū)的方式來(lái)實(shí)現(xiàn)IP寬帶城域網(wǎng)用戶(hù)的認(rèn)證與授權(quán)。
主要思想是給用戶(hù)頒發(fā)PKC(包括用戶(hù)個(gè)人信息，如序列號(hào)、IP地址、MAC地址等信息)和AC(包括用戶(hù)的屬性信息，如角色、訪問(wèn)控制權(quán)限等)。在“一實(shí)體一證”的基礎(chǔ)上，由PKC的唯一性，準(zhǔn)確地標(biāo)識(shí)用戶(hù)身份。由接入認(rèn)證交換機(jī)端口的可控性和后臺(tái)的認(rèn)證管理功能，可將證書(shū)與端口(也可以包括IP地址)建立靈活的對(duì)應(yīng)關(guān)系，并由此決定用戶(hù)是否可以接入IP寬帶城域網(wǎng)，同時(shí)對(duì)接入用戶(hù)提供流量、時(shí)長(zhǎng)、時(shí)段等的統(tǒng)計(jì)，并根據(jù)AC對(duì)用戶(hù)進(jìn)行權(quán)限、時(shí)長(zhǎng)、計(jì)費(fèi)方式等屬性管理。這樣通過(guò)證書(shū)和端口的靈活綁定，構(gòu)建一個(gè)基于證書(shū)和端口的IP寬帶城域網(wǎng)安全管理模式，類(lèi)似于PSTN基于號(hào)線的管理模式。
另外，將公鑰數(shù)字證書(shū)內(nèi)嵌在一個(gè)實(shí)體鑒別密碼器(數(shù)字證書(shū)的物質(zhì)載體)中，采用USB接口。每個(gè)實(shí)體鑒別密碼器還有一個(gè)PIN碼保護(hù)，連續(xù)發(fā)生幾次不成功的PIN輸入后，實(shí)體鑒別密碼器會(huì)被自動(dòng)鎖定，使得對(duì)實(shí)體鑒別密碼器進(jìn)行詞典攻擊非常困難，這樣只有同時(shí)得到實(shí)體鑒別密碼器和相應(yīng)PIN碼才能假扮合法用戶(hù)，這種認(rèn)證方式比目前單純的用戶(hù)名加PIN碼的方式具有更高的安全性，更能有效識(shí)別進(jìn)入網(wǎng)絡(luò)用戶(hù)的合法身份，防止假冒。
在具體實(shí)現(xiàn)中，通過(guò)智能化安全應(yīng)用管理平面來(lái)實(shí)施IP寬帶城域網(wǎng)的安全應(yīng)用及管理，整個(gè)平面包括智能化信任與授權(quán)服務(wù)支撐平臺(tái)、網(wǎng)絡(luò)信任域及管理平臺(tái)和綜合業(yè)務(wù)管理平臺(tái)三部分。
其中信任與授權(quán)服務(wù)支撐平臺(tái)處于核心地位，該平臺(tái)通過(guò)對(duì)實(shí)體的PKC、AC的認(rèn)證、授權(quán)、管理來(lái)建立一個(gè)統(tǒng)一的IP寬帶城域網(wǎng)智能化信任與授權(quán)基礎(chǔ)環(huán)境，為網(wǎng)絡(luò)信任域管理平臺(tái)和綜合業(yè)務(wù)應(yīng)用管理平臺(tái)提供可信的、安全的服務(wù)。
網(wǎng)絡(luò)信任域及管理平臺(tái)對(duì)網(wǎng)絡(luò)中的實(shí)體進(jìn)行管理，確保只有可信的實(shí)體，即頒發(fā)了有效數(shù)字證書(shū)的實(shí)體才能接入網(wǎng)絡(luò)。
綜合業(yè)務(wù)管理直接面對(duì)用戶(hù)，在智能化信任與授權(quán)服務(wù)平臺(tái)提供的IP寬帶用戶(hù)證書(shū)、設(shè)備證書(shū)及用戶(hù)屬性證書(shū)的基礎(chǔ)上，對(duì)用戶(hù)進(jìn)行計(jì)費(fèi)、業(yè)務(wù)管理。
3.2.1 智能化信任與授權(quán)服務(wù)支撐平臺(tái)
采用PKI/PMI體系構(gòu)建信任與授權(quán)服務(wù)支撐平臺(tái)，為IP寬帶城域網(wǎng)提供信任服務(wù)和授權(quán)服務(wù)。平臺(tái)通過(guò)對(duì)實(shí)體的PKC、AC的認(rèn)證、授權(quán)、管理來(lái)建立一個(gè)統(tǒng)一的智能化信任與授權(quán)基礎(chǔ)環(huán)境，確立了“一實(shí)體一證、統(tǒng)一發(fā)證、分布式逐級(jí)管理”的IP寬帶城域網(wǎng)運(yùn)營(yíng)管理模式。
所謂“統(tǒng)一發(fā)證”是指：由第三方證書(shū)認(rèn)證中心(CA)認(rèn)證機(jī)構(gòu)負(fù)責(zé)統(tǒng)一簽發(fā)IP寬帶城域網(wǎng)的用戶(hù)、設(shè)備的PKC;由信任與授權(quán)服務(wù)支撐平臺(tái)提供AC的統(tǒng)一簽發(fā)并實(shí)現(xiàn)證書(shū)的統(tǒng)一管理，保證網(wǎng)絡(luò)信任域管理服務(wù)。而“分布式逐級(jí)管理”是指：網(wǎng)絡(luò)信任域按實(shí)際的責(zé)任和管理范圍來(lái)劃分，每個(gè)城市或地區(qū)的IP寬帶城域網(wǎng)系統(tǒng)也可以根據(jù)用戶(hù)類(lèi)型劃分基本信任域(如可區(qū)別普通家庭用戶(hù)、大客戶(hù)等)，每個(gè)基本信任域都有自己的管理系統(tǒng)負(fù)責(zé)本信任域的管理，網(wǎng)絡(luò)信任域管理系統(tǒng)通過(guò)信任與授權(quán)服務(wù)支撐平臺(tái)提供信任與授權(quán)服務(wù)的支持。以此模式構(gòu)筑了一個(gè)責(zé)任明確、管理方便、覆蓋全系統(tǒng)的網(wǎng)絡(luò)信任域及管理體系。
(1)證書(shū)業(yè)務(wù)服務(wù)系統(tǒng)
證書(shū)業(yè)務(wù)服務(wù)系統(tǒng)在密鑰管理(KM)系統(tǒng)的基礎(chǔ)上，通過(guò)CA、證書(shū)審核注冊(cè)中心(RA)等提供數(shù)字證書(shū)的申請(qǐng)、審核服務(wù)。
(2)證書(shū)查詢(xún)驗(yàn)證服務(wù)系統(tǒng)
證書(shū)查詢(xún)驗(yàn)證服務(wù)系統(tǒng)為業(yè)務(wù)應(yīng)用管理平臺(tái)提供證書(shū)認(rèn)證服務(wù)，包括目錄查詢(xún)服務(wù)和證書(shū)在線狀態(tài)查詢(xún)服務(wù)。證書(shū)查詢(xún)驗(yàn)證服務(wù)系統(tǒng)主要包括輕目錄訪問(wèn)協(xié)議(LDAP)服務(wù)器和在線證書(shū)狀態(tài)協(xié)議(OCSP)服務(wù)器，提供包括各類(lèi)證書(shū)發(fā)布、證書(shū)撤消列表(CRL)發(fā)布和證書(shū)狀態(tài)在線查詢(xún)服務(wù)。
(3)授權(quán)服務(wù)系統(tǒng)
PMI在證書(shū)業(yè)務(wù)服務(wù)系統(tǒng)基礎(chǔ)上，為用戶(hù)和應(yīng)用程序提供授權(quán)管理和資源管理服務(wù)，主要負(fù)責(zé)向應(yīng)用系統(tǒng)提供與應(yīng)用相關(guān)的授權(quán)服務(wù)管理，提供用戶(hù)身份到應(yīng)用授權(quán)的映射功能。
(4)可信時(shí)間戳服務(wù)系統(tǒng)
可信時(shí)間戳服務(wù)系統(tǒng)基于國(guó)家權(quán)威時(shí)間源和公鑰技術(shù)，為安全業(yè)務(wù)應(yīng)用管理系統(tǒng)提供精確可信的時(shí)間戳，保證處理數(shù)據(jù)在某一時(shí)間的存在性及相關(guān)操作的相對(duì)時(shí)間順序，為業(yè)務(wù)處理的不可抵賴(lài)性和可審計(jì)性提供有效支持�？尚艜r(shí)間戳服務(wù)系統(tǒng)從國(guó)家權(quán)威的時(shí)間源獲得全系統(tǒng)統(tǒng)一的時(shí)間，即從國(guó)家授時(shí)中心獲取權(quán)威的時(shí)間。
(5)基本安全防護(hù)系統(tǒng)
基本安全防護(hù)系統(tǒng)由防火墻、入侵檢測(cè)系統(tǒng)、漏洞掃描系統(tǒng)、安全審計(jì)系統(tǒng)、病毒防治系統(tǒng)、Web信息防篡改系統(tǒng)等組成，形成全方位、多角度的基本安全屏障。
(6)故障恢復(fù)及容災(zāi)備份系統(tǒng)
故障恢復(fù)和容災(zāi)備份系統(tǒng)主要包括：本地系統(tǒng)關(guān)鍵設(shè)備的雙機(jī)熱備份和重要數(shù)據(jù)的冷備份、異地建設(shè)容災(zāi)備份中心。
3.2.2 網(wǎng)絡(luò)信任域及管理平臺(tái)
對(duì)關(guān)鍵設(shè)備、重要終端及用戶(hù)采用 “一實(shí)體一證書(shū)”的方式來(lái)構(gòu)建網(wǎng)絡(luò)信任域，包括可信網(wǎng)絡(luò)接入、安全網(wǎng)絡(luò)通信及可信管理等服務(wù)。
可信網(wǎng)絡(luò)接入認(rèn)證技術(shù)的實(shí)現(xiàn)以以太網(wǎng)接入方式為基礎(chǔ)，采用PKI數(shù)字證書(shū)技術(shù)，基于IEEE802.1x標(biāo)準(zhǔn)，支持X.509證書(shū)，通過(guò)對(duì)接入者的證書(shū)進(jìn)行身份認(rèn)證，實(shí)現(xiàn)基于端口的訪問(wèn)控制。
網(wǎng)絡(luò)安全通信基于IP加密網(wǎng)關(guān)來(lái)實(shí)現(xiàn)，它基于IPSec協(xié)議，利用PKI技術(shù)，為網(wǎng)絡(luò)信任域之間的信息交換提供安全可信通道。
網(wǎng)絡(luò)信任域管理系統(tǒng)主要負(fù)責(zé)對(duì)網(wǎng)絡(luò)信任域內(nèi)的用戶(hù)進(jìn)行數(shù)據(jù)及網(wǎng)絡(luò)管理，實(shí)現(xiàn)地圖式用戶(hù)端設(shè)備的位置管理、狀態(tài)監(jiān)控、遠(yuǎn)程參數(shù)配置管理，同時(shí)采集各類(lèi)用戶(hù)端接入認(rèn)證交換機(jī)上收集的IP業(yè)務(wù)處理數(shù)據(jù)，包括用戶(hù)端口信息、IP業(yè)務(wù)使用的數(shù)據(jù)流量及使用時(shí)間信息等。
3.2.3 綜合業(yè)務(wù)管理平臺(tái)
綜合業(yè)務(wù)管理平臺(tái)直接面對(duì)用戶(hù)，包括業(yè)務(wù)管理、客戶(hù)管理、計(jì)費(fèi)管理、網(wǎng)絡(luò)資源管理、系統(tǒng)安全管理、系統(tǒng)維護(hù)管理、新業(yè)務(wù)開(kāi)發(fā)管理、知識(shí)管理等部分。綜合業(yè)務(wù)管理平臺(tái)可抽象歸納為三層架構(gòu)：數(shù)據(jù)層、業(yè)務(wù)處理層、應(yīng)用層。
數(shù)據(jù)層主要存放整個(gè)系統(tǒng)的對(duì)象數(shù)據(jù)，包括證書(shū)數(shù)據(jù)、設(shè)備數(shù)據(jù)、系統(tǒng)數(shù)據(jù)三大類(lèi)核心數(shù)據(jù)。
業(yè)務(wù)處理層完成業(yè)務(wù)邏輯處理，其處理過(guò)程被封裝在相互獨(dú)立的系統(tǒng)功能模塊中，并由調(diào)度功能模塊統(tǒng)一進(jìn)行各業(yè)務(wù)系統(tǒng)功能模塊間的相互調(diào)用。
應(yīng)用層是面向客戶(hù)的窗口，為多種多樣的IP寬帶應(yīng)用增值業(yè)務(wù)提供與用戶(hù)的接口，并在業(yè)務(wù)處理層最終實(shí)現(xiàn)對(duì)各類(lèi)業(yè)務(wù)的處理，而后臺(tái)數(shù)據(jù)層為業(yè)務(wù)處理層提供相應(yīng)的系統(tǒng)數(shù)據(jù)服務(wù)。
3.3 用戶(hù)上下線流程
在該方案中，一個(gè)用戶(hù)在享受寬帶服務(wù)前，必須憑有效證件到運(yùn)營(yíng)商業(yè)務(wù)受理處申請(qǐng)辦理數(shù)字證書(shū)，數(shù)字證書(shū)申請(qǐng)成功后，由營(yíng)業(yè)員派發(fā)用戶(hù)一個(gè)實(shí)體密碼鑒別器及一個(gè)IP地址，同時(shí)得到一個(gè)密碼信封，內(nèi)含實(shí)體密碼鑒別器的序列號(hào)和密碼，這樣用戶(hù)業(yè)務(wù)申請(qǐng)成功。然后，用戶(hù)在需上網(wǎng)的PC上安裝登錄程序，并配置分配的IP地址，這樣就做好了上網(wǎng)的準(zhǔn)備工作。需要上網(wǎng)時(shí)，用戶(hù)插上實(shí)體密碼鑒別器，啟動(dòng)登錄程序，輸入實(shí)體密碼鑒別器的序列號(hào)和密碼，然后由接入認(rèn)證交換機(jī)和信任與授權(quán)服務(wù)支撐平臺(tái)對(duì)用戶(hù)進(jìn)行基于數(shù)字證書(shū)的認(rèn)證，認(rèn)證通過(guò)后用戶(hù)就可以享受寬帶服務(wù);未通過(guò)，則禁止用戶(hù)接入。用戶(hù)正常上網(wǎng)期間，由接入認(rèn)證交換機(jī)定期向?qū)嶓w密碼鑒別器發(fā)送證書(shū)請(qǐng)求，并對(duì)實(shí)體密碼鑒別器上傳的證書(shū)做驗(yàn)證，確保用戶(hù)上網(wǎng)的合法性。
當(dāng)用戶(hù)正常下線時(shí)，首先由登錄程序向接入認(rèn)證交換機(jī)發(fā)送下線請(qǐng)求，接入認(rèn)證交換機(jī)收到下線請(qǐng)求之后，向用戶(hù)發(fā)送響應(yīng)結(jié)果，并且向信任與授權(quán)服務(wù)支撐平臺(tái)發(fā)送下線包和封閉端口。當(dāng)用戶(hù)非正常下線時(shí)(如用戶(hù)直接拔掉實(shí)體密碼鑒別器、關(guān)機(jī)或者拔掉網(wǎng)線等)，接入認(rèn)證交換機(jī)會(huì)主動(dòng)探測(cè)到該事件(由于接入認(rèn)證交換機(jī)會(huì)定期向?qū)嶓w密碼鑒別器發(fā)送證書(shū)請(qǐng)求)，然后向信任與授權(quán)服務(wù)支撐平臺(tái)發(fā)送下線包和封閉端口，但是不向用戶(hù)發(fā)送響應(yīng)結(jié)果。
4 結(jié)束語(yǔ)
該項(xiàng)目以深圳電信IP城域網(wǎng)為基礎(chǔ)，進(jìn)行了一定規(guī)模的試驗(yàn)，并于2003年3月20日通過(guò)國(guó)家科技部組織的專(zhuān)家組驗(yàn)收。
值得指出的是，采用本項(xiàng)目中的身份證書(shū)和屬性證書(shū)，可以方便地對(duì)用戶(hù)身份進(jìn)行安全認(rèn)證，將用戶(hù)使用增值業(yè)務(wù)的情況記錄在屬性證書(shū)上，從而解決信息化應(yīng)用的安全、計(jì)費(fèi)等問(wèn)題，如身份鑒別，預(yù)付費(fèi)等，為增值服務(wù)的開(kāi)展創(chuàng)造良好的條件。
