标题

Size: px

Start display at page:

Download "标题"

混和
5 years ago
Views:

1 第 31 卷第 2 期 2013 年 4 月沈阳师范大学学报 ( 自然科学版 ) JournalofShenyang NormalUniversity (NaturalScience) Vol.31No.2 Apr.2013 文章编号 : (2013) 校园网认证系统的安全分析与研究柏军洋, 杜庆东 ( 沈阳师范大学科信软件学院, 沈阳 ) 摘要 : 校园网是数字化校园的网络基础设施, 扮演着非常重要的角色校园网认证系统能够高效的统一管理校园网, 为全校师生提供丰富而全面的数字化服务但是相关厂商及客户的网络安全意识还不完善, 造成高校校园网的安全问题日益突出, 对其网络安全的研究已经刻不容缓在分析与研究大学校园认证系统所存在的安全隐患时, 通过嗅探抓包以及逆向工程等手段, 破解了客户端程序的对称加密算法, 从而得到校园网用户账号及密码由于加密算法还不够完备, 造成密钥泄露, 让校园网面临较大的安全风险最终参考 OSI 七层模型架构对其校园网认证系统所存在的安全漏洞进行了系统的分类, 也相应的提出了改善校园网安全的措施, 以降低校园网安全风险关键词 : 校园网 ; 认证系统 ; 网络安全 ; 加密算法 ;OSI 七层模型中图分类号 :TP309.7 文献标志码 :A doi: /j.issn 引言随着社会的不断进步, 互联网在人们生活学习中所扮演的角色越来越重要在高校校园, 为方便广大师生上网需求, 学校组建相应校园网基础设施, 为师生提供完善全面的数字化信息平台由于网络的开放性, 在网络提供给师生便利的同时, 也带来了安全隐患产生这些安全隐患的根本原因是由于目前校园网普遍采用的认证方式较为初级 ( 例如认证的用户名和密码 ), 安全性较为简单 ( 容易受到恶意攻击程式破解, 以及用户名盗用共享上网等 ), 所采用的加密算法和安全体系结构也相对落后要解决这些安全问题, 必须从协议和体系架构上加以改进, 完善校园网认证系统 1 校园网认证系统校园网作为高校信息化平台的基础设施, 承担着重要功能如何高效安全的管理校园网, 一直是所研究的热点从技术上说, 高校必须根据自身网络规模运营特点等, 选择最适合的校园网认证系统, 从而对校园网进行安全而高效的管理以太网是目前世界各地广泛使用的局域网标准, 校园网一般承建在以太网之上, 下面介绍几种基本的以太网接入认证方式 1.1 以太网接入认证方式 [1] [2] 目前比较流行的以太网接入认证方式有 3 种,PPPoE 认证模式 Web/Portal 认证模式以及 802.1X 认证模式 [3] 1)PPPoE 认证模式 PPPoE(Poinṯto-PointProtocoloverEthernet) 是以 PPP(Poinṯto-PointProtocol) 协议为载体, 在以太网中提供逻辑的点到点的连接通过 PPPoE 协议,ISP 服务商能够实现对每个接入用户的控制管收稿日期 : 基金项目 : 国家自然科学基金资助项目 ( ) 作者简介 : 柏军洋 (1988 ), 男, 湖南衡阳人, 沈阳师范大学硕士研究生 ; 杜庆东 (1971 ), 男, 辽宁锦州人, 沈阳师范大学教授, 博士, 硕士研究生导师

2 264 沈阳师范大学学报 ( 自然科学版 ) 第 31 卷理和计费此认证方式多见于小区, 例如拨号上网的 ADSL 用户 2)Web/Portal 认证模式 Web/Portal 认证是一种业务类型的认证用户通常被定位到 PortalServer 认证页面,BAS 认证 [4] 完成之后,RADIUS 计费服务器开始计费此认证方式基于应用层协议, 建网成本高, 易用性差, 开放性不够好, 应用较少 3)802.1X 认证模式 802.1X 协议是基于 Client/Server( 客户 / 服务器 ) 的访问控制和认证协议它可以限制未经授权的用户 / 设备通过接入端口 (accessport) 访问 LAN/WLAN 在认证通过之前,802.1X 只允许 EAPoL ( 基于局域网的扩展认证协议 ) 数据通过设备连接的交换机端口 ; 认证通过以后, 正常的数据可以顺利地通过以太网端口此种认证方式为两层协议, 对设备整体性能要求不高, 只要支持 802.1X 协议即可能较好的支持多业务和流媒体业务, 应用最为广泛 1.2 Srun3000 认证系统某大学校园网采用深澜软件公司 Srun3000 安全认证网络管理计费系统 [5], 该认证系统支持 Web/ Portal 认证模式和 802.1X 认证模式相比其他认证系统, 该认证系统能高效率的管理用户和控制网络 Srun3000 认证计费系统由用户客户端, 认证服务器, 计费服务器, 数据库服务器以及管理员服务器组成其认证系统框架如图 1 所示密码 ; Srun3000 认证系统工作流程如下 : 1) 用户发送上网请求, 请求中包括用户名和 2)Srun3000 收到上网请求, 向中心数据库服务器查询用户信息 ; 3) 中心数据库通过用户认证, 返回认证成功信息给认证服务器 ; 图 1 Srun3000 认证系统框架 4) 认证服务器完成认证过程, 向计费服务器发送用户信息, 并同时返回用户合法信息 ; 5) 用户完成认证 2 Srun3000 认证系统安全隐患 2.1 Srun3000 认证系统客户端认证算法分析 Srun3000 认证系统客户端是采用二进制代码形式发布, 攻击者常利用静态反汇编工具或动态调 [6] 试工具等逆向分析手段对其进行分析破解本文通过 Olydbg [7] 动态调试工具对其跟踪分析, 认证算法流程图如图 2 所示 2.2 Srun3000 认证系统客户端加密算法分析在认证过程中, 用户名字段是明文传输, 密码字段等用户关键信息则是经过加密数据加密技术, 是对信息进行保护的最实用最可靠的方法之一, 也是网络安全技术中的核心技术 [8] 数据加密算法有很多种, 目前可以归为对称加密算法和非对称加密算法在加密和解密过程中使用同一密钥的为对称加密算法, 使用不同的密钥则称为非对称加密算法对称算法具有安全性高加解密速度快的优点, 缺点是必须保证密钥的安全, 管理密钥随着网络规模的扩大而变得非常困难非对称加密算法更安全, 但算法复杂, 加密数据效率较低通常实际应用中, 将对称加密和非对称加密结合使用 [9] [10] 经 Olydbg 动态分析 Srun3000 认证系统客户端程序, 得到其加密算法 ( 部分 ) 流程图, 如图 3 所示其为对称加密算法 [11]

3 第 2 期柏军洋, 等 : 校园网认证系统的安全分析与研究 265 图 2 Srun3000 认证算法流程图图 3 Srun3000 认证系统客户端加密算法 ( 部分 ) 流程图从图 3 可以看出, 加密算法核心部分采用了简单的逻辑运算 ( 异或与等 ), 导致算法能被逆向分析解密而且 MAC 地址也是通过同一加密算法加密, 导致密钥 ( 即系统时间戳 timestamp) 泄露 [12] 按照密码系统模型, 用 E 表示加密 (Encryption),D 表示解密 (Decryption),m 表示消息 (message),c 表示密文 (cipher),k 表示密钥 (key) 现将对称加密算法的加密过程表示为 Ek(m)= c, 对应解密过程表示为 Dk(c)= m 以下用 p 表示用户输入密码 (password),t 表示用户系统时间戳 (timestamp),mac 表示用户 MAC 地址 Srun3000 认证系统客户端加密过程如下 : 1)Et(p)= c1( 得到密码密文 ); 2)Et(mac)= c2( 得到 MAC 地址密文 )由于算法的可逆可推导出解密算法, 可以通过 c2,mac 得到时间戳 t( 即密钥 ),Dmac(c2)=t 因此可以通过以下方法解密密文得到用户输入密码 : 1)Dmac(c2)=t( 得到密钥 ); 2)Dt(c1)= p( 得到明文密码 )只需运行 Snifer 工具进行 Packetsnifing [13], 得到用户 POST [14] 加密后的数据和客户端 MAC 地址即可 ( 在局域网环境中, 这是非常容易得到的 )

266 沈阳师范大学学报 ( 自然科学版 ) 第 31 卷例如 : 校园网用户 Alice 上网需要通过 Srun3000 进行认证,Alice 输入用户名和密码后点击登陆, 数据将加密后通过局域网传输到认证服务器现在局域网内有一窃听者 Eve( 拥有解密算法程序 ), 通过 snif 之后得到了 AlicePOST 加密后的数据, 如下 : username=

4 266 沈阳师范大学学报 ( 自然科学版 ) 第 31 卷例如 : 校园网用户 Alice 上网需要通过 Srun3000 进行认证,Alice 输入用户名和密码后点击登陆, 数据将加密后通过局域网传输到认证服务器现在局域网内有一窃听者 Eve( 拥有解密算法程序 ), 通过 snif 之后得到了 AlicePOST 加密后的数据, 如下 : username= &password = 9cc9AccC7cc% 3a% 3bcc% 40&drop = 0&type= 2&n = 15&mac=8cc78cc%3f%3dhc%3e6ccA%3ech9Chc9%3dhc%3c%3ecc%3d8c 将以上 URL 编码解码得到 : username= &password=9cc9accc7cc:;cc@ &drop=0&type=2&n=15&mac= 8cc78cc? =hc>6cca>ch9chc9=hc<>cc=8c 并且 snif 到的数据包报头中有客户端 MAC 地址 :00:0c:29:be:c4:50 表 1 是对 snif 到的数据进行整理后的表格表 1 Evesnif 得到的有效数据用户名密码密文 MAC 地址 MAC 地址密文 9cc9AccC7cc:;cc@ 00:0c:29:be:c4:50 8cc78cc? =hc>6cca>ch9chc9=hc<>cc=8c 现在 Eve 通过以下步骤解密得到 Alice 的认证密码 : 1) 由 MAC 地址密文和 MAC 地址, 解密得到密钥 ( 时间戳 timestamp); 2) 由密码密文和密钥, 解密得到密码明文如图 4 所示 ( 仅为测试所用, 并非实际用户名和密码 ) 图 4 Eve 解密 snif 数据得到 Alice 认证密码 3 安全风险及应对措施参照 OSI 七层协议框架 [15], 现将 Srun3000 认证系统在每一层的安全风险及应对措施总结为表 2 应用层表 2 Srun3000 校园网认证系统安全风险评估攻击方法安全风险等级攻击依赖关系应对措施病毒木马攻击中缓冲区溢出提高程序安全性缓冲区溢出高提高程序安全性逆向工程高 ARP 攻击 Snifer 攻击应用高安全性加密算法 ( 如 DES MD5 RSA 等 ) 取代弱加密算法注册表攻击高直接攻击用户登录信息不要存储在注册表中社交工程中 ARP 攻击 Snifer 攻击表示层 URL 编码攻击低 Snifer 攻击会话层会话劫持低 Snifer 攻击用户需提高安全防护意识传输层 DOS 攻击中 Snifer 攻击配置防火墙网络层 IP 地址攻击低数据链路层 ARP 攻击中 Snifer 攻击 ARP 地址绑定物理层 Snifer 攻击中去除 POST 数据中的 MAC 地址密文, 防止密钥泄露直接攻击高用户需提高安全防护意识 4 结语校园网在管理和规划等方面还存在着一些问题首先, 校园网的组织结构比较复杂, 体现在网络需求多样性地理区域多样性以及网络基础设施多样性等特点第二, 校园网的使用用户规模大, 群体广

5 第 2 期柏军洋, 等 : 校园网认证系统的安全分析与研究 267 用户使用时间呈现相对集中的状况, 突发性的网络需求容易导致校园网网络拥塞第三, 校园网的带宽需求较高校园网用户的需求体现在视频下载等高带宽消费网络应用第四, 校园网的维护及管理难度大因为校园网用户集中在学生群体, 社交活动丰富, 容易导致非法和不健康信息的传播, 因此校园网的管理和维护非常困难厂商及用户的网络安全意识相对薄弱, 是造成校园网安全风险的直接原因面对校园网中存在的潜在安全风险, 必须及时采取有效措施来防止网络安全事件的发生网络安全无处不在, 也没有绝对的安全, 只有从各层次不断加强网络的安全性, 才能尽量保证校园网的可用性保密性以及完整性参考文献 : [1]MAMAKOSL,LIDL K,EVARTSJ,etal.A MethodforTransmitingPPP OverEthernet(PPPoE)[EB/OL]. ( )[ ].htp: [2] 崔炜荣. 校园网接入认证系统的研究与分析 [J]. 电子世界,2012(13): [3]CROCKERL,ROSSD,JANSSON K,etal.IEEE802.1X[G/OL].( )[ ].htp: en. wikipedia.org/w/indexṗhp? title=ieee_802.1x&oldid= [4] 白晓梅. 一种网络认证计费的设计与实现 [J]. 沈阳师范大学学报 : 自然科学版,2010,28(2): [5] 深澜软件. 网络管理计费 [EB/OL].( )[ ].htp: [6] 尚涛, 谷大武. 软件防反汇编技术研究 [J]. 计算机应用研究,2009,26(12): [7]YUSCHUK O.OlyDbg[EB/OL].( )[ ].htp: [8] 郑加锋. 浅谈互联网安全与信息加密技术 [J]. 情报探索,2005(1): [9] 王昭, 段云所, 陈钟. 数据加密算法的原理与应用 [J]. 网络安全技术与应用,2001(2): [10] 梅宏, 王千祥, 张路, 等. 软件分析技术进展 [J]. 计算机学报,2009,32(9): [11] 沈昌祥, 张焕国, 冯登国, 等. 信息安全综述 [J]. 中国科学 (E 辑 : 信息科学 ),2007,37(2): [12] 袁树雄, 韩凤英. 密码学基础研究 [J]. 科技资讯,2008(15):18. [13]ANSARI S,RAJEEV S G,CHANDRASHEKAR H S. Packet snifing: A briefintroduction [J].IEEE POTENTIALS,2003,21(5): [14]FIELDING RT,GETTYSJ,MOGULJC,etal.HypertextTransferProtocol HTTP/1.1[EB/OL].( )[ ].htp: [15] 伍劲峰.OSI 七层参考模型解析 [J]. 软件导刊,2006(17): Securityanalysisoncampusnetworkauthenticationsystem BAIJunyang,DUQingdong (SoftwareColege,ShenyangNormalUniversity,Shenyang110034,China) Abstract: Thecampusnetworkfoundasaninfrastructureindigitalcampusnetworkplaysasignificantrole.The campusnetwork authentication system is aimed at managing campus network eficiently and provides rich and comprehensivedigitalservicesforteachersandstudents.however,becauseofthevendorsanduserslackofnetwork securityconsciousness,thecampusnetworksecurityissueshavebecomeincreasinglyprominent,andnetworksecurity researchisdesperatelyneeded.thepaperstudiesthesecurityrisksofananonymousuniversitynetworkauthentication system.wehavecrackedthesymmetricencryptionalgorithmofclientprogrambysnifing,capturepacketsandreverse engineering,whichledustogetthecampusnetworkusernameandpassword.becausetheencryptionalgorithmsarenot strongenough,resultinginkeyleakage,thusthecampusnetworkfacegreatersecurityrisks.atlastweclassifysecurity vulnerabilitiesofcampusnetworkauthenticationsystembyreferencetotheosi7-layermodel,andrecommendmeasures toimprovethesecurityofthecampusnetwork,andtominimizesecurityrisks. Keywords: campusnetwork ;authenticationsystem;networksecurity;encryptionalgorithm;osi7-layermodel

Chapter #

Chapter # 第三章 TCP/IP 协议栈本章目标通过本章的学习, 您应该掌握以下内容 : 掌握 TCP/IP 分层模型掌握 IP 协议原理理解 OSI 和 TCP/IP 模型的区别和联系 TCP/IP 介绍主机主机 Internet TCP/IP 早期的协议族全球范围 TCP/IP 协议栈 7 6 5 4 3 应用层表示层会话层传输层网络层应用层主机到主机层 Internet 层 2 1 数据链路层