山東煙草集中訪問控制系統(tǒng)的設計與實現(xiàn).pdf

1、為解決現(xiàn)有網(wǎng)絡和應用系統(tǒng)中存在的各自獨立的用戶認證授權系統(tǒng)、弱口令、粗放式網(wǎng)絡管理、缺少審計手段等安全問題，啟動了“山東煙草集中訪問控制系統(tǒng)建設”項目。山東煙草集中訪問控制系統(tǒng)需要達到如下目標：1、訪問控制中心：實現(xiàn)從網(wǎng)絡訪問到應用系統(tǒng)權限的精確到用戶的訪問控制；2、身份認證管理中心：實現(xiàn)一人一卡，單點登錄，全網(wǎng)通用；3、資源管理中心：實現(xiàn)網(wǎng)絡和應用系統(tǒng)資源的規(guī)范定義，將資源管理從網(wǎng)絡和應用系統(tǒng)中分離出來，避免超級權限的出現(xiàn)；4、授權管

2、理中心：實現(xiàn)跨系統(tǒng)的用戶管理和權限管理；5、審計管理中心：實現(xiàn)網(wǎng)絡訪問和應用系統(tǒng)訪問的安全審計；6、統(tǒng)一的安全支撐平臺：為后續(xù)的網(wǎng)絡和應用系統(tǒng)開發(fā)提供安全基礎設施平臺，簡化和規(guī)范了網(wǎng)絡和應用系統(tǒng)的建設。 本文重點研究了訪問控制相關的PKI/PMI和RBAC技術，并將這些技術應用到山東煙草集中訪問控制系統(tǒng)建設中。在詳細分析山東煙草安全需求的基礎上，本文設計了集中訪問控制系統(tǒng)模型。該模型利用PKI技術實現(xiàn)身份認證和單點登錄，利用PM

3、I技術實現(xiàn)權限分配和管理，利用RBAC技術實現(xiàn)基于崗位的訪問控制。根據(jù)集中訪問控制系統(tǒng)模型設計和實現(xiàn)的山東煙草集中訪問控制系統(tǒng)分為訪問控制子系統(tǒng)、集中授權管理子系統(tǒng)、PMI子系統(tǒng)、PKI子系統(tǒng)和審計管理子系統(tǒng)五個組成部分。訪問控制子系統(tǒng)實現(xiàn)對客戶端和服務器的身份認證、權限獲得和訪問控制。集中授權管理子系統(tǒng)實現(xiàn)統(tǒng)一界面下用戶、崗位、資源權限及相互關系的集中管理，給訪問控制服務器提供網(wǎng)絡和應用系統(tǒng)用戶資源權限信息。PKI子系統(tǒng)負責PKC用戶

4、注冊、證書生成和管理，PMI子系統(tǒng)負責角色屬性證書和角色規(guī)范屬性證書的生成和管理，審計管理子系統(tǒng)負責網(wǎng)絡和應用系統(tǒng)訪問的集中審計。在實現(xiàn)山東煙草集中訪問控制系統(tǒng)過程中，應用了諸如Web services、XML、JSP、JavaScript、Applet、ActiveX等開發(fā)技術，并通過開放接口等手段為后續(xù)的應用系統(tǒng)改造和開發(fā)提供了安全技術支撐和安全設計規(guī)范。 在山東煙草集中訪問控制系統(tǒng)投入運行后，對OA辦公自動化系統(tǒng)和專賣管理

5、系統(tǒng)的認證登錄、權限管理和訪問控制部分進行了改造。以辦公自動化系統(tǒng)為例，從安全性和性能影響兩方面對集中訪問控制系統(tǒng)進行了測試。從整體運行效果上看，該系統(tǒng)改變了原有的用戶管理、權限的分配和資源的維護的管理模式，實現(xiàn)了基于USB KEY的安全身份認證、多系統(tǒng)的單點登錄、基于角色的網(wǎng)絡和應用系統(tǒng)訪問控制、集中的授權管理和詳細的安全審計，有效地保證了山東煙草網(wǎng)絡和應用系統(tǒng)運行安全。山東煙草集中訪問控制系統(tǒng)還為后續(xù)應用系統(tǒng)的開發(fā)提供了牢固的安全基

6、礎設施。新開發(fā)或改造系統(tǒng)要遵循集中訪問控制系統(tǒng)相關規(guī)范，直接與集中訪問控制系統(tǒng)對接。這樣，將應用系統(tǒng)中安全認證和權限管理的部分由集中訪問控制系統(tǒng)來完成，使得業(yè)務系統(tǒng)開發(fā)可以更專注于業(yè)務邏輯和流程的實現(xiàn)，同時由集中訪問控制系統(tǒng)制定統(tǒng)一的安全控制策略，避免因應用系統(tǒng)開發(fā)采用不同技術或控制策略而導致整體系統(tǒng)安全性降低。 本文還存在如下的不足：一是改善由于用戶增加引起的負載過大或系統(tǒng)服務響應時間延遲等問題，二是考慮與數(shù)據(jù)中心技術結合，實