文档介绍：基于PKI/PMI的IP宽带城域网解决方案
 
( 2009/3/17 )
随着网络技术的发展演变,IP宽带城域网已成为宽带网络的发展方向,各种信息化应用都将基于IP技术。本文在分析目前IP宽带城域网在安全应用与管理方面存在问题的基础上,首先简单介绍了PKI/PMI,然后阐述了如何应用基于PKI/PMI的智能化信任与授权技术来建立IP宽带城域网的可信任环境,如何利用数字证书来实现基于证书和端口的IP宽带城域网安全应用与管理模式,该模式类似于PSTN中基于号线的应用与管理模式,从而构建一个“可控制、可管理、可经营”的电信级IP宽带城域网,为各种信息化应用提供一个安全可信的基础电信网络平台。
1 引言
网络与信息安全能力是21世纪综合国力、经济竞争实力和生存力的象征,是未来国际竞争的“杀手锏”。当前,中国正在加快国民经济和社会信息化进程,急需要一个安全可信的电信基础网络平台,为各种信息化应用提供基础安全保障。
随着网络技术的发展和演变,IP宽带城域网已成为宽带网的发展方向,各种信息化应用都将基于IP技术。但是,目前IP宽带城域网在管理和安全应用方面存在许多问题,如:不能有效识别进入网络用户的合法身份;不能对用户的个人信息实现有效保护;不能有效地解决抗抵赖性问题等。
这些问题的存在一方面导致了IP宽带城域网的可控制、可管理、可经营性较差;另一方面直接影响到国家的信息安全,关系到国家的安危。
导致这些问题的原因主要是由于目前IP宽带城域网采用的“用户名+密码”的认证方式只能实现初级的、简单的管理,安全性很不够(如易于盗用、合用);用户名与接入线路没有固定的对应关系,使得用户接入难以定位,用户权限难以管理等。
因此,要有效解决目前IP宽带城域网在管理和安全应用方面存在的问题,首先要解决用户身份认证、用户的授权管理和用户定位等问题,建立起可信赖的网络环境。
近年来,信息安全技术受到广泛关注,并得到了长足发展,特别是基于公钥基础设施(PKI)和授权管理基础设施(PMI)的智能化信任与授权技术有了突破性进展,已大规模应用于电子政务、电子商务系统中。
因此,本文将探讨如何采用基于PKI/PMI的智能化信任与授权技术来建立IP宽带城域网的可信任环境,如何将数字证书的认证、管理等信息安全技术应用于IP宽带城域网的运营管理中,从而构建一个“可控制、可管理、可经营”的电信级IP宽带城域网,为各种信息化应用提供一个安全可信的基础电信网络平台。
这是一个全新的思路、全新的尝试,具有比其他IP城域网的管理方法更高的安全性和灵活性。
2 PKI/PMI概述
PKI
PKI是国家信息安全基础设施(NISI)的重要组成部分,它以公开密钥技术为基础,以数据机密性、完整性、网上身份认证和行为的不可抵赖为安全目的,为网络应用(如浏览器、电子邮件)提供可靠的安全服务。在国家信息安全基础设施中,PKI采用双密钥证书体系,其中非对称算法支持RSA和椭圆曲线公开密钥(ECC)两种算法,对称密码算法支持国家密码管理委员会办公室指定的密码算法。公钥基础设施包含信任服务体系和密钥管理体系。
信任服务体系的主要职责是为整个系统提供基于PKI的公钥数字证书(PKC)认证机制的实体身份鉴别服务,以便能在整个系统范围内唯一地确定实体的真实身份,从而建立起全系统范围内一致的信任