基于PKI的混合網絡信任模型的研究

金穎勤，王 宇

(1.安徽理工大學 計算機科學與工程學院，安徽 淮南232001；2.安徽理工大學 理學院，安徽 淮南232001)

?

基于PKI的混合網絡信任模型的研究

金穎勤1，王 宇2

(1.安徽理工大學 計算機科學與工程學院，安徽 淮南232001；2.安徽理工大學 理學院，安徽 淮南232001)

針對現有PKI信任模型的分析和比較,提出了一種新的混合式網絡信任模型,并給出其設計方案.文中重點討論了模型的設計、模型的工作方式、信任路徑服務器的設計及功能、信任路徑的構建等.

公鑰基礎設施;根CA;信任模型;信任路徑;混合式網絡信任模型

1 概述

PKI是大型開放式網絡環境下保障網絡和信息系統安全的可行而且有效的體系結構.PKI利用可信的第三方認證機構(CA)簽發的數字證書在網絡通信中建立和管理通信安全.信任模型是整個通信安全的基礎，其決定了在通信過程中實現安全通信的方式，決定了建立和管理信任關系的框架.因此，對于信任模型的研究一直是PKI研究中的熱點[1-3].

本文中提出一種新的信任系統——混合式網絡信任系統，并對此系統進行了詳細的說明和分析.

2 混合式網絡信任模型設計

2.1 模型設計的目標

本系統是基于網絡服務中大規模認證需求而設計的，設計的目標是：

(1)實現分散的信任管理機制，同一信任域內的實體有相同的唯一信任錨，不同信任域間實體的信任錨不同.

(2)信任模型能夠反映實體間信任關系的動態變化.

(3)有效的信任傳播機制，不同信任域實體間也可以有效地建立起信任關系.

(4)盡可能地減少CA的任務量，將繁瑣的信任路徑構建工作獨立出來.

(5)高效的信任路徑查詢機制，能夠在大范圍實體間快速實現信任路徑的計算、建立和查詢.

(6)優越的訪問控制策略，將信任和授權策略有機結合起來.

為實現上述目標，設計的整個系統是以網狀信任模型為基礎進行架構，這樣可以保證：

(1)PKI系統靈活地增減信任域，有利于反映實體間信任關系的動態變化.

(2)由于存在多個信任錨，單個CA安全性的削弱不會影響到整個PKI.

(3)由于信任關系可以傳遞，從而減少頒發證書的個數，使證書管理更加簡單容易，能夠很好地應用到實際的網絡服務中[4-5].

2.2 設計方案

由于在實際復雜的網絡環境中，以網狀信任模型為基礎的信任方式，不可避免地會出現信任路徑發現困難的缺點.所以在本系統中，筆者引入信任路徑服務器來解決系統在不同信任域間各實體互相信任時經常出現的信任路徑不可達的問題.如圖1所示：

圖1 混合式網絡信任系統

在圖中，各根CA代表實際網絡連接中不同信任域的信任錨.信任路徑服務器為不同信任域間的實體提供建立信任路徑的服務.

(1)信任路徑服務器的功能.

①計算并存儲每條路徑的信任度值，為建立信任路徑時提供有效的信任依據.由于在信任路徑建立過程中較長路徑必然會引起信任衰減，有時在路徑中也可能存在惡意CA，導致建立誤信任的情況，故在信任路徑服務器中設計了防止信任路徑過長的功能，其設計主要依據信任度計算展開.如圖2所示：

圖2 根CA信任路徑圖

CA1,CA2,CA3,CA4,CA5,CA6,CA7等為各信任域的根CA，如果CA1中有一用戶A需要認證CA7中的用戶B，系統首先根據網狀信任策略，由信任路徑服務器建立CA1到CA7之間的信任路徑，并同時進行信任度計算.

在系統中，取兩個相鄰根CA成功認證的概率值為相鄰根CA之間的信任度值，則其取值范圍為0

這里假設圖中路徑1、2、3、4的信任度分別為0.9、0.9、0.8、0.7.假設本系統中的路徑信任度閥值為0.5，即一條路徑的信任度值低于信任度閥值,則認為此路徑為無效路徑.

引入信任度的計算模式如下：

信任度是代表一條信任路徑可信程度的數值表征，如果節點A對節點B的信任度值為T(A,B),節點B對節點C的信任度值為T(B,C)，由此可以推出A和C之間的路徑信任度值為：

T(A,C)=T(A,B)*T(B,C)

這里一定有T(A,C)<=MIN(T(A,B),T(B,C)).

如圖3所示：

圖3 不相鄰CA路徑信任度計算

由上可知，如果一條路徑有k段，那么整條路徑的信任度計算公式為：

TK=N1*N2*…NK

(1)

(N1,N2,……NK為各段路徑的信任度值，TK為整條路徑的信任度值).

由公式(1)可知圖2中：

TCA7=N1*N2*N3*N4=0.4536<0.5

(N1、N2、N3、N4代表1、2、3、4路徑的信任度取值，TCA7代表從CA1、CA2、CA3、CA6、CA7之間路徑的信任度值).

由上式計算可知，信任路徑服務器首先計算CA1到CA3之間路徑信任度值，即路徑1和路徑2的信任度為N1*N2=0.81>0.5，說明CA1、CA2、CA3之間信任路徑建立成功.然后計算N1*N2*N3=0.648>0.5,則CA1、CA2、CA3、CA6之間信任路徑建立成功.但是由于計算最后一段到CA7的信任度值衰減為0.4536<0.5，故由CA1到CA7之間的網狀信任路徑不可達，故系統轉換為在CA1、CA7之間進行直接建立交叉認證(圖2中虛線).

②構建信任路徑時，在網狀信任方式下路徑無法建立時嘗試進行直接交叉認證.

在信任路徑服務器上存儲有系統中的各相鄰信任域根CA之間的路徑信息，當有終端實體需要與另一個信任域中的終端實體之間建立信任路徑時，發起方CA把Request信息發送給信任路徑服務器，由信任路徑服務器構建兩個根CA之間的信任路徑，并返回路徑中的所有證書信息，由發起方根CA驗證此路徑的有效性.如果由于某些原因，該條路徑不能被驗證有效，則信任路徑服務器再返回第二條路徑、……直到最后一條路徑，如果所有路徑均為無效，兩個根CA間嘗試建立直接交叉認證.

(2)信任路徑服務器的設計.信任路徑服務器可以為所有支持PKI的應用程序提供統一的證書驗證接口.客戶端與服務器之間建立安全通信后，可以互相進行身份確認.隨后，客戶端將請求信息封裝在Request消息中，發送給服務器.

Request由本地證書號、目標證書號、驗證策略、需要執行的檢查Check、需要返回的信息等組成.

如：Request(RcertID、TcertID、CPolicy、Check、reqtNonce)

RcertID:本地證書號.

TcertID:目標證書號.

CPolicy：規定了服務器驗證證書的規則和參數.包括：①信任錨，可為一個或多個根CA證書；②用戶初始策略集，表明用戶可接受的策略集合；③密鑰用途，表明客戶端期望目標證書密鑰具有的用途；④是否禁止策略映射；⑤是否需要明示策略.

服務器根據CPolicy初始化，如果客戶端沒有指定，服務器使用默認驗證策略.

Check：定義服務器需要執行的處理.

①Check為0表示只須檢查目標證書是否被撤銷；②為1表示只須構建路徑，驗證工作由客戶端完成；③為2表示構建路徑，驗證工作由服務器路徑驗證模塊完成.

reqtNonce：Request消息的數字簽名，防止消息傳輸過程中數據篡改.

驗證模塊根據驗證策略計算路徑信任度值及選擇通過CRL還是通過OCSP服務器檢查證書撤銷信息.如果驗證失敗，則取下一條路徑繼續驗證.若所有路徑驗證失敗，表明不存在有效路徑，最后服務器返回Response消息.

服務器的執行流程如圖4所示：

圖4 信任路徑服務器流程圖

2.3 系統工作方式

由以上對信任路徑服務器功能的分析可知混合式網絡信任系統的工作方式分為兩種情況：

(1)第一種情況是：在單一信任域內的信任策略.在單一信任域內的實體，系統采用嚴格層次信任模型進行架構.即在同一個信任域中的各用戶之間相互進行身份認證時，都依據于本信任域的根CA所給出的評定為標準.信任路徑由本信任域的根CA給出.

(2)第二種情況是：在多個信任域間的信任策略.在多個信任域間通信時系統采用網狀模型和直接交叉認證模型相結合的信任策略，即在一般情況下采用網狀信任模型建立信任關系，由信任路徑服務器依據信任度值計算給出信任路徑.當采用網狀信任模型信任路徑不可達或者信譽度超出閥值時，改用直接交叉認證方式建立信任關系.

為了使在模型中各個CA盡量地減少進行相互交叉認證頒發證書的數量，系統中將各CA與之直接相鄰的CA之間相互頒發的交叉證書存入各CA的證書庫中.然而對于某些非相鄰CA已經通過直接交叉認證取得的信任證書也會存儲在雙方的證書庫中以便下一次直接進行交叉認證.此處需要注意的是系統設計此類證書在彼此非相鄰CA之間建立信任路徑時不能使用，也就是說采用網狀信任方式建立路徑時只能使用相鄰CA間的認證證書，非相鄰CA間的交叉信任關系不允許使用.

3 結語

該模型主要依據各根CA的信任關系可以傳遞，從而減少頒發證書的數量，使證書管理更加容易，并且易于擴展，同時引入信任路徑服務器來解決模型中信任路徑構建復雜性問題，而且，在必要時可以采取直接的交叉認證進行路徑優化.

模型具有的優點：首先,充分滿足了分布式環境下信任域間的對等性需求.其次,加強了PKI體系的靈活性和健壯性.最后,提高了信任路徑構建的效率.

[1]謝冬青,冷健編.PKI原理與技術[M].北京:清華大學出版社,2004.

[2]周曉斌,許勇,張凌.一種開放式PKI身份認證模型的研究[J].國防科技大學學報,2013,35(1).

[3]李勇軍,代亞非．對等網絡信任機制研究[J]．計算機學報，2010,33(3).

[4]姚瑤,王興偉,蔣定德,周福才.一種基于PKI技術的跨異構域認證模型[J].東北大學學報(自然科學版),2011,35(5).

[5]平野.基于PKI/CA的跨域認證平臺的設計與實現[D].北京:北京郵電大學,2009.

(責任編輯:王前)

Research of Hybrid Network Trust Model Based on PKI

JIN Ying-qin1, WANG Yu2

(1.SchoolofComputerscience&Engineering,AnHuiUniversityofScience&Technology,HuaiNan,Anhui232001,China; 2.AnHuiUniversityofScience&Technology,DepartmentofMathematics,HuaiNan,Anhui232001,China)

In this paper,a new hybrid network trust model is proposed and the trust path by means of analyzing and comparing the PKI trust model is built.Moreover,the model implementation，work pattern of the model，the structure and function of the trust path server are focused on.

public key infrastructure;root CA;trust model;trust path;hybrid network trust model

2016-08-07

安徽省高等學校省級優秀青年基金人才項目資助(2011SQRL040)；安徽省自然科學基金“GV-半群及其子系統格的理論和方法研究”(1308085QA12)

金穎勤，女，甘肅蘭州人，講師；王宇，安徽壽縣人，講師，博士.

TP309.2

A

1008-7974(2016)05-0007-04

10.13877/j.cnki.cn22-1284.2016.10.003