基本信息
- 項目名稱：
- 基于數(shù)字證書的無線校園網(wǎng)安全接入認證系統(tǒng)
- 小類：
- 信息技術(shù)
- 大類：
- 科技發(fā)明制作A類
- 簡介：
- 本項目實現(xiàn)了基于數(shù)字證書的無線校園網(wǎng)安全接入統(tǒng)一認證系統(tǒng)，包括支持標準802.1x協(xié)議的客戶端軟件WAAASupplicant和以freeRadius+openLDAP為基礎(chǔ)構(gòu)建的認證服務(wù)器兩部分。隨著WEP、WPA近期被有效破解，無線局域網(wǎng)面臨著嚴峻的接入安全威脅，本作品改變了傳統(tǒng)的基于用戶名和密碼的認證方式，在開放、移動的無線校園網(wǎng)環(huán)境中為用戶提供高安全性的接入認證服務(wù)。
- 詳細介紹：
- 根據(jù)《2010中國WLAN市場年度研究報告》，截止2010年中國WLAN用戶已突破4000萬，其中有1500萬以上用戶集中在高校，無線校園網(wǎng)是校園網(wǎng)未來發(fā)展的必然趨勢，已成為數(shù)字化校園重要組成部分。但同時，無線信道的開放性和用戶移動性給校園網(wǎng)建設(shè)帶來了新的難題，首當其沖的是接入管理和安全問題。IEEE于2004年6月公布了無線局域網(wǎng)(Wireless Local area Network；WLAN)接入認證標準——IEEE 802.1x，802.1x是802.11i安全標準的重要組成部分。 2008年9月，德國學(xué)者M.Beck 和E.Tews在日本的PacSec會議上展示了15分鐘內(nèi)對WPA的破解，并且提出了60秒內(nèi)破解WEP （Wired Equivalent Privacy）密鑰的優(yōu)化方案。目前，針對WPA-PSK的CPU+GPU破解技術(shù)已經(jīng)相當成熟，網(wǎng)絡(luò)上流行的針對WPA的字典攻擊破解軟件隨處可見。所以，當前公認的唯一可以信賴的WLAN安全國際標準只有實現(xiàn)了802.11i RSN強制性要求的WPA2，WPA2基于802.1x和CCMP（Counter-Mode/CBC-MAC Protocol）機制。不幸的是，2010年7月，airtight安全公司的研究人員發(fā)現(xiàn)了WPA2可遭利用“Hole 196”漏洞實施的內(nèi)部中間人攻擊（Man in the Middle，MITM），WLAN安全問題再一次引起廣泛關(guān)注。 隨著近期WLAN中WEP和WPA安全技術(shù)被有效破解，傳統(tǒng)的基于用戶名和口令方式的接入認證已經(jīng)面臨著嚴峻的安全威脅，基于數(shù)字證書的802.1x接入認證是802.11無線網(wǎng)絡(luò)中目前公認唯一可信的安全接入解決方案。本項目根據(jù)WLAN當前面臨的嚴峻安全威脅，設(shè)計并實現(xiàn)了基于數(shù)字證書的無線校園網(wǎng)安全接入統(tǒng)一認證系統(tǒng)，包括支持標準802.1x協(xié)議的客戶端軟件WAAASupplicant和以freeRadius+openLDAP為基礎(chǔ)構(gòu)建的認證服務(wù)器兩部分，且WAAASupplicant與認證服務(wù)器相互獨立。本接入統(tǒng)一認證系統(tǒng)依賴的網(wǎng)絡(luò)接入設(shè)備（NAS）為支持802.1x協(xié)議的交換機或無線接入點AP。 通過客戶端軟件WAAASupplicant，用戶可以安全而方便地通過無線方式連接AP完成認證過程，認證通過后被授權(quán)接入校園網(wǎng)。基于802.1x標準中的客戶端狀態(tài)機和EAP認證方式，并借助開發(fā)工具包 OpenSSL、WinPcap和Platform SDK，在WinXP平臺上利用集成開發(fā)工具 VS2008，用面向?qū)ο缶幊谭椒▽崿F(xiàn)支持EAP-TLS認證方式的Windows平臺客戶端軟件WAAASupplicant。 認證服務(wù)器開放EAP-TLS、PEAP和EAP-MD5等多種認證方式，支持多個RADIUS認證服務(wù)器對LDAP目錄服務(wù)器的集中統(tǒng)一訪問，從而實現(xiàn)對無線和有線局域網(wǎng)用戶接入的安全統(tǒng)一認證。以 Linux下開源軟件freeRadius為RADIUS服務(wù)器，以開源軟件openLDAP為 LDAP目錄服務(wù)器，以開源軟件BerkeleyDB為目錄服務(wù)器的數(shù)據(jù)庫，并通過修改相應(yīng)的源碼文件和配置文件，搭建起Linux操作平臺下的IEEE 802局域網(wǎng)安全接入統(tǒng)一認證系統(tǒng)后臺認證服務(wù)器。 并以編程實現(xiàn)的WAAASupplicant作為客戶端軟件，用Linux下的開源軟件freeRadius+openLDAP作為后臺認證服務(wù)器，用支持 802.1x標準的無線訪問點AP作為認證系統(tǒng)構(gòu)建具體的無線局域網(wǎng)安全接入統(tǒng)一認證系統(tǒng)實驗平臺，從實踐中檢驗所實現(xiàn)的安全接入統(tǒng)一認證系統(tǒng)的可行性，可靠性和實用性。
作品圖片
作品專業(yè)信息
設(shè)計、發(fā)明的目的和基本思路、創(chuàng)新點、技術(shù)關(guān)鍵和主要技術(shù)指標
- 隨著近期WLAN中WEP和WPA安全技術(shù)被有效破解，傳統(tǒng)的基于用戶名和口令方式的接入認證已經(jīng)面臨著嚴峻的安全威脅，基于數(shù)字證書的802.1x接入認證是802.11無線網(wǎng)絡(luò)中目前公認唯一可信的安全接入解決方案。本課題要求根據(jù)802.1x標準，結(jié)合高校無線校園網(wǎng)實際，設(shè)計并實現(xiàn)一個C/S架構(gòu)的基于數(shù)字證書安全接入認證系統(tǒng)，實現(xiàn)無線用戶的安全接入認證和動態(tài)密鑰管理。 關(guān)鍵技術(shù)與指標如下： 1. 實現(xiàn)了基于數(shù)字證書的無線網(wǎng)絡(luò)安全接入認證。數(shù)字證書支持X.509格式，認證方式采用EAP-TLS。 2. 實現(xiàn)動態(tài)會話密鑰技術(shù)，一次一密；實現(xiàn)加密密鑰的自動化管理。 3. 兼容現(xiàn)有支持IEEE 802.1x認證協(xié)議的網(wǎng)絡(luò)交換設(shè)備，無需特殊硬件支撐，具有較好通用性和兼容性。 4. 設(shè)計并實現(xiàn)了一個輕量級CA，使本接入認證系統(tǒng)更適合那些對建設(shè)成本要求較低，而對靈活性和可擴展性要求較高的中小型無線網(wǎng)絡(luò)環(huán)境（如企業(yè)園區(qū)網(wǎng)，校園網(wǎng)）。
科學(xué)性、先進性
- 作品的科學(xué)性和先進性如下： 1. 改變傳統(tǒng)的基于用戶名和密碼認證方式，實現(xiàn)了基于數(shù)字證書的更安全可靠的無線接入認證方式EAP—TLS,達到目前最高安全標準，這也是未來無線網(wǎng)線接入認證技術(shù)變革的發(fā)展趨勢。 2. 實現(xiàn)了輕量級CA，解決了制約數(shù)字證書技術(shù)在中小型網(wǎng)絡(luò)環(huán)境中應(yīng)用的高成本問題。由于數(shù)字證書的應(yīng)用需要公鑰基礎(chǔ)設(shè)施（PKI）的支撐，即需要建設(shè)CA認證中心,而一個標準的CA系統(tǒng)建設(shè)成本很高,且可擴展性和靈活性差[5][6]。在一些環(huán)境下，如企業(yè)園區(qū)網(wǎng)，校園網(wǎng)中中搭建CA不僅要求成本較低，而且靈活性和可擴展性是另一重要指標[7]，因此輕量級CA是更好選擇。因此，輕量級CA使基于數(shù)字證書的無線網(wǎng)絡(luò)接入認證在校園網(wǎng)中的應(yīng)用成為可能。
獲獎情況及鑒定結(jié)果
- 2009年12月，作品在中國科學(xué)院軟件所舉辦的首屆“中科杯”全國軟件設(shè)計大賽中入圍全國總決賽50強；2011年5月，作品在哈爾濱工程大學(xué)舉辦的第十七屆“五四杯”科技創(chuàng)新競賽中獲得二等獎。
作品所處階段
- 已完成系統(tǒng)實驗室聯(lián)調(diào)階段。正在XX信息安全測評認證中心進行客戶端軟件測評認證，將在XX大學(xué)試運行。
技術(shù)轉(zhuǎn)讓方式
- 專利轉(zhuǎn)讓
作品可展示的形式
- 現(xiàn)場演示
使用說明,技術(shù)特點和優(yōu)勢,適應(yīng)范圍,推廣前景的技術(shù)性說明,市場分析,經(jīng)濟效益預(yù)測
- 技術(shù)優(yōu)勢：在學(xué)術(shù)界，基于數(shù)字證書的無線接入認證方式EAP-TLS被公認具有最高的安全性，它也是IETF唯一推薦的無線接入認證方法；在業(yè)界，microsoft、HP、華為、神話數(shù)碼均有相關(guān)產(chǎn)品，但是他們的產(chǎn)品對象為大型無線網(wǎng)絡(luò)，僅一臺IAS CA 售價達1.6萬美元，整套認證系統(tǒng)的費用遠非一般中小型企業(yè)、學(xué)校所能承受。在校園網(wǎng)和企業(yè)園區(qū)網(wǎng)方面，尚未見有針對性的產(chǎn)品出現(xiàn)。 適用范圍：高校無線校園網(wǎng)、企業(yè)無線園區(qū)網(wǎng)等對成本比較敏感的中小型無線網(wǎng)絡(luò)環(huán)境。 市場前景：無線校園網(wǎng)是已成為數(shù)字化校園重要組成部分，但無線信道的開放性和用戶移動性給校園網(wǎng)建設(shè)帶來了嚴重的接入安全問題。近一兩年來，WEP、WPA先后被有效破解，基于數(shù)字證書的接入認證方式成為唯一公認安全的解決方案。一方面，廣大中小企業(yè)無線園區(qū)網(wǎng)、無線校園網(wǎng)有著巨大的安全需求；另一方面，傳統(tǒng)的PKI/CA公鑰證書系統(tǒng)管理難度巨大、費用昂貴。因此，我們的作品在人們對安全和個人隱私的關(guān)注度普遍提高的當今時代將有穩(wěn)定的潛在市場和可觀經(jīng)濟效益。
同類課題研究水平概述
- 1. 在學(xué)術(shù)界，基于數(shù)字證書的無線接入認證技術(shù)是近兩年無線局域網(wǎng)研究的一個熱點領(lǐng)域。近兩年來，IETF以RFC方文檔形式公布了近十余種適于無線接入認證的認證方法如PEAP-TLS, EAP-TLS, EAP-TTLS，EAP-IKEv2，其中EAP-TLS是學(xué)界公認具有最高的安全性，它也是IETF唯一推薦的無線接入認證方法。 2. 在業(yè)界，國際IT巨頭microsoft和HP公司，國內(nèi)華為、神話數(shù)碼均有相關(guān)產(chǎn)品，但是他們的產(chǎn)品對象為大型無線網(wǎng)絡(luò)，僅一臺IAS CA 售價達1.6萬美元，整套認證系統(tǒng)的費用遠非一般中小型企業(yè)、學(xué)樣所能承受。在校園網(wǎng)和企業(yè)園區(qū)網(wǎng)方面，尚未見有針對性的產(chǎn)品出現(xiàn)。
