网站首页/网络技术列表/内容

WAPI在电信网的部署与运营探讨

网络技术2022-06-06阅读
网络技术是从1990年代中期发展起来的新技术,它把互联网上分散的资源融为有机整体,实现资源的全面共享和有机协作,使人们能够透明地使用资源的整体能力并按需获取信息。资源包括高性能计算机、存储资源、数据资源、信息资源、知识资源、专家资源、大型数据库、网络、传感器等。 当前的互联网只限于信息共享,网络则被认为是互联网发展的第三阶段。

由于802.11协议标准中定义的WEP安全机制在数据安全性、用户key管理等方面存在缺陷,是WLAN大规模运营的重大障碍。

中国在无线局域网国家标准GB15629.11-2003中发布了WAPI,WAPI主要由WAI(无线局域网鉴别基础结构)和WPI(无线局域网保密基础结构)两部分组成,提出了对等访问控制的概念,实现了AE、ASUE和ASE的三元组认证。

WAPI用户的漫游

因为WLAN的用户是百万级的,不可能在全国集中架设WAPI的AS服务器,必须根据用户量的多少,把AS服务器架设在省公司层面或本地网层面。就必须解决用户在不同AS域中的认证问题,即WAPI用户的漫游。

具体来说,有两种模式:异地认证和本地认证。

异地认证模式,即:用户在其他AS域中要求证书鉴别,AS通过数字证书的颁证机构(Issuername)字段发现该用户非本地用户,马上把WAI报文转发到用户归属地的AS进行鉴别认证。本地认证模式,即AS直接认证数字证书有效性,同时查证该证书是否在“黑名单”中决定是否让该用户认证通过。

WAPI用户的认证和计费

用户使用WLAN业务一共要经过三重认证:无线链路加密认证,接入认证和业务认证。无线用户终端在发现WLAN网络具有WAPI认证功能后,提交自己的WAPI证书信息,WLAN设备加上自身的认证信息后一起提交AS,AS对两者的信息都进行认证,把认证结果告诉WLAN设备和无线用户终端;整个认证过程中采用数字签名;只有当三方认证都通过后,才开始由WLAN设备与无线用户终端协商通信密钥。整个无线链路加密认证过程在后台运行,用户基本不用人工参与。

如果用数字证书认证替代现有的+Portal等接入认证,最主要问题是无法实现正常计费:无线链路加密认证通过后,AC开放了受控端口,允许数据流进入公网,但AC不可能知道用户何时开始使用网络,无法提供计费开始信息;同时,用户没有正常下线的手段,系统也无法检测用户是否异常下线,无法提供计费结束信息。这样就只能为用户提供包月的服务。

因此是否把多重认证方式统一,要区分不同用户及不同的无线用户终端。

WAPI数字证书的发放和管理

实体身份的认证、证书的发布、吊销等一系列工作绝非简单。

基于证书机制,PKI核心组件包括:

CA(Certificate Authority,证书认证中心)

CA是PKI最核心的组件。它负责接受用户的请求,负责签发和管理数字证书,提供证书查询,接受证书注销请求,提供CRL等。

RA(Registration Authority,证书注册中心)

RA直接面对最终客户,受理其证书申请和管理请求。

CRL(Certificate RevocationList,作废证书列表)

作废证书列表,通常由同一个发证实体签名。当公钥的所有者丢失私钥,或者改换姓名时,需要将原有证书作废。

证书存档(Repository)

一个电子站点,存放证书和作废证书列表、CA在用证书和作废证书。

用户(Subscriber)

用户是作为主体署名证书并依据策略使用证书和相应密钥的实体。

根CA系统

根CA系统主要由根证书签发系统,根CRL组成。根CA在系统正式运行后,不会参与各种用户证书的签发,因此平时基本上处于离线关闭状态。

二级CA系统

二级CA系统是整个PKI/CA系统中最重要的部分,安全性要求最高。主要包括:数字证书签发系统、数字证书申请系统、数字证书服务系统、客户服务系统和数字证书管理系统等。

RA机构

证书注册审核机构(RA)分布在各个本地网,来满足不同地区证书用户的申请、注册、审核和发放。

RA受理代理点(RAT)

若上述的RA机构仍不能满足用户分散性等工作要求的地区,可以在本地区的RA机构下,再设立RAT。由电信运营商设立CA根中心,生成各省公司的二级CA中心,然后在各本地网设立RA或RAT(见图1)。

WAPI数字证书的获取和存储

用户的私钥是非常重要,必须对用户的私钥进行保护确保不丢失。如果丢失,须通知CA中心吊销自己的证书,防止其它用户信任已经泄密的证书而造成不必要的损失。根据对安全的不同要求,用户的证书及其私钥可以放在硬盘中、智能卡、USB令牌等存储介质中:

硬盘(固定的存储介质)

私钥通过口令进行保护,并加密存放在硬盘中。该方式的优点在于不需额外花费,使用简单快捷;缺点在于安全性较低,不支持移动办公。这种方式非常适合于安全性要求不太高,或机器本身有较强的安全保护环境中。对于手机终端,相当于将证书安装在其闪存中。

智能卡+读卡器(专用的便携式存储介质)

智能卡是一种非常安全可靠的存储设备,它通过IC芯片和其中的操作系统(COS)防止攻击者窃取卡内的机密信息。该方式的优点在于安全性高,可以实现在具有读卡器的机器上漫游;缺点是需要额外硬件投资,以及安装软件。

USB-Key(通用便携式存储介质)

该方式的优点在于安全性高,可以实现在所有的机器(具有USB接口)上的漫游;缺点是需要额外硬件投资,以及安装相应软件驱动。

电信运营商向用户提供、(3)两类的存储介质,用户可以自行选择。选择类的存储介质,除了安全性较低外,用户更换终端或重装系统就要重新申请并安装新的证书;选择(3)类的存储介质,有较高的安全性,但对存储介质有较高的要求,特别是要支持WAPI数字签名指定的椭圆曲线加密算法(ECC)。

用户获取数字证书,可以通过到营业厅(RA/RAT)申请,也可以利用电脑或手机直接从网上下载。前者适合于提供有效期较长的数字证书,后者适合于提供短期、临时的数字证书。



网络的神奇作用吸引着越来越多的用户加入其中,正因如此,网络的承受能力也面临着越来越严峻的考验―从硬件上、软件上、所用标准上......,各项技术都需要适时应势,对应发展,这正是网络迅速走向进步的催化剂。

相关阅读