基本信息
- 項目名稱：
- 基于數(shù)字證書的無線校園網(wǎng)安全接入認證系統(tǒng)
- 小類：
- 信息技術
- 大類：
- 科技發(fā)明制作A類
- 簡介：
- 本項目實現(xiàn)了基于數(shù)字證書的無線校園網(wǎng)安全接入統(tǒng)一認證系統(tǒng)，包括支持標準802.1x協(xié)議的客戶端軟件WAAASupplicant和以freeRadius+openLDAP為基礎構建的認證服務器兩部分。隨著WEP、WPA近期被有效破解，無線局域網(wǎng)面臨著嚴峻的接入安全威脅，本作品改變了傳統(tǒng)的基于用戶名和密碼的認證方式，在開放、移動的無線校園網(wǎng)環(huán)境中為用戶提供高安全性的接入認證服務。
- 詳細介紹：
- 根據(jù)《2010中國WLAN市場年度研究報告》，截止2010年中國WLAN用戶已突破4000萬，其中有1500萬以上用戶集中在高校，無線校園網(wǎng)是校園網(wǎng)未來發(fā)展的必然趨勢，已成為數(shù)字化校園重要組成部分。但同時，無線信道的開放性和用戶移動性給校園網(wǎng)建設帶來了新的難題，首當其沖的是接入管理和安全問題。IEEE于2004年6月公布了無線局域網(wǎng)(Wireless Local area Network；WLAN)接入認證標準——IEEE 802.1x，802.1x是802.11i安全標準的重要組成部分。 2008年9月，德國學者M.Beck 和E.Tews在日本的PacSec會議上展示了15分鐘內(nèi)對WPA的破解，并且提出了60秒內(nèi)破解WEP （Wired Equivalent Privacy）密鑰的優(yōu)化方案。目前，針對WPA-PSK的CPU+GPU破解技術已經(jīng)相當成熟，網(wǎng)絡上流行的針對WPA的字典攻擊破解軟件隨處可見。所以，當前公認的唯一可以信賴的WLAN安全國際標準只有實現(xiàn)了802.11i RSN強制性要求的WPA2，WPA2基于802.1x和CCMP（Counter-Mode/CBC-MAC Protocol）機制。不幸的是，2010年7月，airtight安全公司的研究人員發(fā)現(xiàn)了WPA2可遭利用“Hole 196”漏洞實施的內(nèi)部中間人攻擊（Man in the Middle，MITM），WLAN安全問題再一次引起廣泛關注。 隨著近期WLAN中WEP和WPA安全技術被有效破解，傳統(tǒng)的基于用戶名和口令方式的接入認證已經(jīng)面臨著嚴峻的安全威脅，基于數(shù)字證書的802.1x接入認證是802.11無線網(wǎng)絡中目前公認唯一可信的安全接入解決方案。本項目根據(jù)WLAN當前面臨的嚴峻安全威脅，設計并實現(xiàn)了基于數(shù)字證書的無線校園網(wǎng)安全接入統(tǒng)一認證系統(tǒng)，包括支持標準802.1x協(xié)議的客戶端軟件WAAASupplicant和以freeRadius+openLDAP為基礎構建的認證服務器兩部分，且WAAASupplicant與認證服務器相互獨立。本接入統(tǒng)一認證系統(tǒng)依賴的網(wǎng)絡接入設備（NAS）為支持802.1x協(xié)議的交換機或無線接入點AP。 通過客戶端軟件WAAASupplicant，用戶可以安全而方便地通過無線方式連接AP完成認證過程，認證通過后被授權接入校園網(wǎng)?；?02.1x標準中的客戶端狀態(tài)機和EAP認證方式，并借助開發(fā)工具包 OpenSSL、WinPcap和Platform SDK，在WinXP平臺上利用集成開發(fā)工具 VS2008，用面向對象編程方法實現(xiàn)支持EAP-TLS認證方式的Windows平臺客戶端軟件WAAASupplicant。 認證服務器開放EAP-TLS、PEAP和EAP-MD5等多種認證方式，支持多個RADIUS認證服務器對LDAP目錄服務器的集中統(tǒng)一訪問，從而實現(xiàn)對無線和有線局域網(wǎng)用戶接入的安全統(tǒng)一認證。以 Linux下開源軟件freeRadius為RADIUS服務器，以開源軟件openLDAP為 LDAP目錄服務器，以開源軟件BerkeleyDB為目錄服務器的數(shù)據(jù)庫，并通過修改相應的源碼文件和配置文件，搭建起Linux操作平臺下的IEEE 802局域網(wǎng)安全接入統(tǒng)一認證系統(tǒng)后臺認證服務器。 并以編程實現(xiàn)的WAAASupplicant作為客戶端軟件，用Linux下的開源軟件freeRadius+openLDAP作為后臺認證服務器，用支持 802.1x標準的無線訪問點AP作為認證系統(tǒng)構建具體的無線局域網(wǎng)安全接入統(tǒng)一認證系統(tǒng)實驗平臺，從實踐中檢驗所實現(xiàn)的安全接入統(tǒng)一認證系統(tǒng)的可行性，可靠性和實用性。
作品圖片
作品專業(yè)信息
設計、發(fā)明的目的和基本思路、創(chuàng)新點、技術關鍵和主要技術指標
- 隨著近期WLAN中WEP和WPA安全技術被有效破解，傳統(tǒng)的基于用戶名和口令方式的接入認證已經(jīng)面臨著嚴峻的安全威脅，基于數(shù)字證書的802.1x接入認證是802.11無線網(wǎng)絡中目前公認唯一可信的安全接入解決方案。本課題要求根據(jù)802.1x標準，結合高校無線校園網(wǎng)實際，設計并實現(xiàn)一個C/S架構的基于數(shù)字證書安全接入認證系統(tǒng)，實現(xiàn)無線用戶的安全接入認證和動態(tài)密鑰管理。 關鍵技術與指標如下： 1. 實現(xiàn)了基于數(shù)字證書的無線網(wǎng)絡安全接入認證。數(shù)字證書支持X.509格式，認證方式采用EAP-TLS。 2. 實現(xiàn)動態(tài)會話密鑰技術，一次一密；實現(xiàn)加密密鑰的自動化管理。 3. 兼容現(xiàn)有支持IEEE 802.1x認證協(xié)議的網(wǎng)絡交換設備，無需特殊硬件支撐，具有較好通用性和兼容性。 4. 設計并實現(xiàn)了一個輕量級CA，使本接入認證系統(tǒng)更適合那些對建設成本要求較低，而對靈活性和可擴展性要求較高的中小型無線網(wǎng)絡環(huán)境（如企業(yè)園區(qū)網(wǎng)，校園網(wǎng)）。
科學性、先進性
- 作品的科學性和先進性如下： 1. 改變傳統(tǒng)的基于用戶名和密碼認證方式，實現(xiàn)了基于數(shù)字證書的更安全可靠的無線接入認證方式EAP—TLS,達到目前最高安全標準，這也是未來無線網(wǎng)線接入認證技術變革的發(fā)展趨勢。 2. 實現(xiàn)了輕量級CA，解決了制約數(shù)字證書技術在中小型網(wǎng)絡環(huán)境中應用的高成本問題。由于數(shù)字證書的應用需要公鑰基礎設施（PKI）的支撐，即需要建設CA認證中心,而一個標準的CA系統(tǒng)建設成本很高,且可擴展性和靈活性差[5][6]。在一些環(huán)境下，如企業(yè)園區(qū)網(wǎng)，校園網(wǎng)中中搭建CA不僅要求成本較低，而且靈活性和可擴展性是另一重要指標[7]，因此輕量級CA是更好選擇。因此，輕量級CA使基于數(shù)字證書的無線網(wǎng)絡接入認證在校園網(wǎng)中的應用成為可能。
獲獎情況及鑒定結果
- 2009年12月，作品在中國科學院軟件所舉辦的首屆“中科杯”全國軟件設計大賽中入圍全國總決賽50強；2011年5月，作品在哈爾濱工程大學舉辦的第十七屆“五四杯”科技創(chuàng)新競賽中獲得二等獎。
作品所處階段
- 已完成系統(tǒng)實驗室聯(lián)調階段。正在XX信息安全測評認證中心進行客戶端軟件測評認證，將在XX大學試運行。
技術轉讓方式
- 專利轉讓
作品可展示的形式
- 現(xiàn)場演示
使用說明,技術特點和優(yōu)勢,適應范圍,推廣前景的技術性說明,市場分析,經(jīng)濟效益預測
- 技術優(yōu)勢：在學術界，基于數(shù)字證書的無線接入認證方式EAP-TLS被公認具有最高的安全性，它也是IETF唯一推薦的無線接入認證方法；在業(yè)界，microsoft、HP、華為、神話數(shù)碼均有相關產(chǎn)品，但是他們的產(chǎn)品對象為大型無線網(wǎng)絡，僅一臺IAS CA 售價達1.6萬美元，整套認證系統(tǒng)的費用遠非一般中小型企業(yè)、學校所能承受。在校園網(wǎng)和企業(yè)園區(qū)網(wǎng)方面，尚未見有針對性的產(chǎn)品出現(xiàn)。 適用范圍：高校無線校園網(wǎng)、企業(yè)無線園區(qū)網(wǎng)等對成本比較敏感的中小型無線網(wǎng)絡環(huán)境。 市場前景：無線校園網(wǎng)是已成為數(shù)字化校園重要組成部分，但無線信道的開放性和用戶移動性給校園網(wǎng)建設帶來了嚴重的接入安全問題。近一兩年來，WEP、WPA先后被有效破解，基于數(shù)字證書的接入認證方式成為唯一公認安全的解決方案。一方面，廣大中小企業(yè)無線園區(qū)網(wǎng)、無線校園網(wǎng)有著巨大的安全需求；另一方面，傳統(tǒng)的PKI/CA公鑰證書系統(tǒng)管理難度巨大、費用昂貴。因此，我們的作品在人們對安全和個人隱私的關注度普遍提高的當今時代將有穩(wěn)定的潛在市場和可觀經(jīng)濟效益。
同類課題研究水平概述
- 1. 在學術界，基于數(shù)字證書的無線接入認證技術是近兩年無線局域網(wǎng)研究的一個熱點領域。近兩年來，IETF以RFC方文檔形式公布了近十余種適于無線接入認證的認證方法如PEAP-TLS, EAP-TLS, EAP-TTLS，EAP-IKEv2，其中EAP-TLS是學界公認具有最高的安全性，它也是IETF唯一推薦的無線接入認證方法。 2. 在業(yè)界，國際IT巨頭microsoft和HP公司，國內(nèi)華為、神話數(shù)碼均有相關產(chǎn)品，但是他們的產(chǎn)品對象為大型無線網(wǎng)絡，僅一臺IAS CA 售價達1.6萬美元，整套認證系統(tǒng)的費用遠非一般中小型企業(yè)、學樣所能承受。在校園網(wǎng)和企業(yè)園區(qū)網(wǎng)方面，尚未見有針對性的產(chǎn)品出現(xiàn)。
