導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

安全應(yīng)用層組播組成員管理模型

文檔作者：許建真，商錦渡張倩文檔來源：南京郵電大學(xué)計(jì)算機(jī)學(xué)院		點(diǎn) 擊數(shù)：	更新時間： 2021年11月04日
下載地址：點(diǎn)擊這里	文件大小： 245.96 KB 共3頁	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共3頁]

本文件共3頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?45.96 KB 共3頁文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會員免費(fèi)）

下一篇：變電所防雷技術(shù)

上一篇：電視臺綜合防雷思考

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

第37卷
Vbl．37
第13期
No．13
計(jì)算機(jī)工程
Computer Engineering
2011年7月
July 2011
·網(wǎng)絡(luò)與通信· 文章編號：1 oIlo_-3428f2011)13—∞77—03 文獻(xiàn)標(biāo)識碼：A 中田分類號，TP309
安全應(yīng)用層組播組成員管理模型
許建真，商錦渡，張倩
(南京郵電大學(xué)計(jì)算機(jī)學(xué)院，南京210003)
擅要：針對應(yīng)用層組播中缺乏有效的組成員管理問題，提出一種適用于大規(guī)模應(yīng)用層組播的組成員管理模型。該模型基于輕量目錄訪問
協(xié)議的統(tǒng)一身份認(rèn)證系統(tǒng)，采用分布式目錄服務(wù)設(shè)計(jì)，運(yùn)用目錄分剖、目錄推薦和目錄復(fù)制技術(shù)，將分布在不同物理位置的目錄信息進(jìn)行
高效、統(tǒng)一的管理，并將身份認(rèn)證技術(shù)與信任模理相結(jié)合。仿真實(shí)驗(yàn)結(jié)果表明，該模型有效提高平均數(shù)據(jù)傳輸速率，增強(qiáng)了組成員管理的
安全性。
關(guān)羹詡：應(yīng)用層組播；輕量目錄訪問協(xié)議；組成員管理；身份認(rèn)證；分布式目錄
Group Member Management Model in
Secure Application Layer Multicast
XU Jian-zhen，SHANG Jin-bo，ZHANG Qian
(College of Computer,Nanjing University of Posts and Telecommunications，Nanjing 210003，China)
IAbstractl For the lack of all effective group member management，this paper presents a group member management model for large—scale
application layer multicast,which is based on Lightweight Directory Access Protocol(LDAP)uniform identity authentication system，using
distributed directory service design，directory partition，directory recommendation．a(chǎn)nd directory replication for the efficient and unified management
of directory information which are distributed in different physical location．a(chǎn)nd combining the authentication technology with the trust model．
Simulationexperimental results showthatSAGM caneffectivelyimprovetheaveragerateofdatatransmission andenhancetheperformanceofsecurity．
[Key wordslApplication Layer Multicast(ALM)；Lightweight Directory Access Protocol(LDAP)；group member management；identity authentica—
tion；distributed directory
DoI：10．39690．issn．1000—3428．2011．13．024
1概述
IP組播是通過在路由器上對數(shù)據(jù)進(jìn)行復(fù)制進(jìn)而轉(zhuǎn)發(fā)給加
入組播組的每個接收者。但是由于技術(shù)和商業(yè)模式上的難題
使得IP組播難以在網(wǎng)絡(luò)中布置，因此針對該問題，應(yīng)用層組
播(Application Layer MulficasL ALM)將對組播的支持從路由
器轉(zhuǎn)移到終端主機(jī)，不需要網(wǎng)絡(luò)的支持，通用性更強(qiáng)，在數(shù)
字電視／廣播、視頻點(diǎn)播，視頻會議、大規(guī)模分布式交互仿真、
計(jì)算機(jī)協(xié)同計(jì)算等領(lǐng)域中有廣闊的應(yīng)用前景?。
目前，ALM研究的熱點(diǎn)問題之一是安全問題，一個完整
的安全ALM系統(tǒng)應(yīng)具有用戶接入認(rèn)證、組成員管理、組播
源認(rèn)證以及組播內(nèi)容安全分發(fā)等多種功能lzJ，現(xiàn)有的ALM模
型并沒有提出很好的組成員管理模型。本文提出一種適合于
大規(guī)模應(yīng)用層組播的組成員管理模型(Secure Application
layer multicast Group management Model，SAGM)，該模型的
核心思想是：基于LDAP的統(tǒng)一身份認(rèn)證系統(tǒng)，采用分布式
目錄服務(wù)設(shè)計(jì)，采用目錄分割、目錄推薦和目錄復(fù)制技術(shù)，
將分布在不同物理位置的目錄信息進(jìn)行高效、統(tǒng)一的管理，
并將身份認(rèn)證技術(shù)與信任模型相結(jié)合。
2組管理中存在的問題
在ALM中，主機(jī)終端充當(dāng)數(shù)據(jù)分發(fā)點(diǎn)，組播成員節(jié)點(diǎn)
既是組播的參與者又是組播的組織者，這些終端的隨意性使
得組播成員會有經(jīng)常性的加入退出，導(dǎo)致ALM的不穩(wěn)定pJ。
組管理存在如下問題：
(1)任何用戶都可通過向RP節(jié)點(diǎn)發(fā)送加入請求加入組播
組，從而接收到加密的組播數(shù)據(jù)。
(2)加入組播組的成員可以發(fā)送DoS攻擊，致使大量的網(wǎng)
絡(luò)帶寬被浪費(fèi)。
(3)應(yīng)用層組播通信中沒有提供任何機(jī)制阻止組內(nèi)成員
或非組內(nèi)成員向這個組發(fā)送數(shù)據(jù)，不能保證只有合法的成員
才能加入組播組。
3 SAGM模型設(shè)計(jì)方案
ALM組成員可以隨意地加入和退出組播組，這一動態(tài)性
衍生一系列的安全問題。本文針對該問題提出SAGM模型。
3．1覆蓋罔拓?fù)浼軜?gòu)
SAGM模型基于角色不同定義了3種實(shí)體：Root，Leader，
MemberpJ。采用環(huán)總線的分層拓?fù)浣Y(jié)構(gòu)，結(jié)合了總線和環(huán)結(jié)
構(gòu)的優(yōu)點(diǎn)，將應(yīng)用層組播成員組織威層次模型，分男Ⅱ標(biāo)記為
LO、L1，結(jié)構(gòu)如圖1所示。
R●oot
●Leader
．．‘：’．oMember
圈1覆蓋岡拓?fù)浣Y(jié)樗
作者簡介：許建真(1966一)，男，副教授，主研方向：通信與網(wǎng)閬互
連技術(shù)；商錦波、張倩，碩士研究生
收稿日期：2010—11—16 E·mail：shangbobo_1986522@yahoo．cn
萬方數(shù)據(jù)
78 計(jì)算機(jī)工程2011年7月5日
Root節(jié)點(diǎn)是具有最佳性能和最高可信度的成員，位于層
次結(jié)構(gòu)的最高層，是整個體系結(jié)構(gòu)的控制管理和安全中心。
Leader是組內(nèi)具有最佳性能和可信度的節(jié)點(diǎn)，是各個分組的
管理中心o
3．2 SAGM模型邏輯架構(gòu)
SAGM的核心部分是統(tǒng)一身份認(rèn)證系統(tǒng)。系統(tǒng)由登錄模
塊、身份認(rèn)證管理模塊、授權(quán)管理模塊、可信度計(jì)算模塊、
訪問控制組成，如圖2所示。訪問控制是門戶和受保護(hù)的組
播組的統(tǒng)一入口，提供對訪問用戶數(shù)據(jù)的緩存，當(dāng)用戶名輸
入用戶名／密碼登錄時，首先連接訪問控制(實(shí)現(xiàn)反向代理功
能)由身份認(rèn)證模塊將身份信息向LDAP目錄服務(wù)器進(jìn)行驗(yàn)
證HJ，通過驗(yàn)證的用戶獲得對申請資源的訪問列表，通過訪
問控制將用戶的請求發(fā)送到各組。
圈2 SAGM模型邏輯架糟
3．2．1 節(jié)點(diǎn)加入
新節(jié)點(diǎn)(Nnode)向Root節(jié)點(diǎn)發(fā)送Join請求，在定制的登
錄界面中輸入用戶名和密碼，首先連接到訪問控制(實(shí)現(xiàn)方向
代理)，由可信計(jì)算模塊計(jì)算該節(jié)點(diǎn)的可信度，身份認(rèn)證管理
將身份信息向LDAP目錄服務(wù)器進(jìn)行驗(yàn)證，當(dāng)節(jié)點(diǎn)的全局信
任度G。>O．5時，節(jié)點(diǎn)被視為安全節(jié)點(diǎn)，允許加入，如果該節(jié)
點(diǎn)是從未加入組播組覆蓋網(wǎng)的節(jié)點(diǎn)，默認(rèn)為安全節(jié)點(diǎn)。通過
驗(yàn)證的用戶，Root初始化該節(jié)點(diǎn)，計(jì)算該節(jié)點(diǎn)所屬域，并把
RP節(jié)點(diǎn)所直接控制的下層Leader節(jié)點(diǎn)信息通過ACK發(fā)送給
Nnode，節(jié)點(diǎn)根據(jù)Leader節(jié)點(diǎn)的信息提示，進(jìn)一步尋找適合
自己的位置，直至加入系統(tǒng)中。
所有的Leader節(jié)點(diǎn)每隔Pleader向Root節(jié)點(diǎn)注冊信息，
Leader節(jié)點(diǎn)收到Nnode的Join—RequestTM信息后，通過挑戰(zhàn)
握手協(xié)議(CHAP)周期性地校驗(yàn)對端的身份，Leader節(jié)點(diǎn)向加
入節(jié)點(diǎn)發(fā)送Challenge信息，節(jié)點(diǎn)將經(jīng)過單向Hash()計(jì)算得出
的值儆應(yīng)答，Leader節(jié)點(diǎn)根據(jù)它自己計(jì)算的Hash值來檢查應(yīng)
答，如果值匹配，則認(rèn)證得到承認(rèn)；否則，連接應(yīng)該終止。
經(jīng)過一定的隨機(jī)間隔，Leader節(jié)點(diǎn)發(fā)送一個新的Challenge
信息給節(jié)點(diǎn)，重復(fù)步驟。
Nnode認(rèn)證完成后，Leader節(jié)點(diǎn)啟動密鑰生成進(jìn)程，建
立一條安全的信道傳送給新加入節(jié)點(diǎn)的密鑰，Leader節(jié)點(diǎn)將
Nnode的信息發(fā)送給Leader所在第f+l層的分組及本分組的
所有成員，Leader所在的第“l(fā)層的分組以及本分組的所有
成員將自己的信息發(fā)送給新成員，所有涉及到的組成員都保
存更新信息。
3．2．2 節(jié)點(diǎn)離開
節(jié)點(diǎn)的離開分為2種情況：一種是節(jié)點(diǎn)友好離開，即組
成員向Leader發(fā)送退出申請，經(jīng)該Leader轉(zhuǎn)發(fā)給Root。當(dāng)
異常離開時，采用Heart．Beat算法，如果Leader沒有收到該
組成員的響應(yīng)信息，則Leader就通知自己所在的第“l(fā)層的
分組以及本分組的所有成員，并依次通知到Root該組成員已
離開。如果離開的節(jié)點(diǎn)還處于業(yè)務(wù)狀態(tài)，則這樣被視為不安
全的離開，在可信計(jì)算模塊中引入懲罰機(jī)制對該節(jié)點(diǎn)的信任
度降低。另一種離開是被迫離開，當(dāng)某節(jié)點(diǎn)的全局信任度
Ga<0．3時，節(jié)點(diǎn)被視為惡意節(jié)點(diǎn)，Leader節(jié)點(diǎn)會強(qiáng)制該節(jié)點(diǎn)
退出，并將該節(jié)點(diǎn)的用戶名注銷，列入黑名單。節(jié)點(diǎn)退出后，
為了保證組播的前向安全性，此時需要Root節(jié)點(diǎn)啟動密鑰重
發(fā)進(jìn)程，重新生成系統(tǒng)的密鑰。
3．3 SAGM模塑設(shè)計(jì)
3．3．1 安全機(jī)制
SAGM模型是采用層次的結(jié)構(gòu)，為了成員組的原子性，
它是在PKI的框架下實(shí)現(xiàn)，基于LDAP分布式目錄服務(wù)，提
供強(qiáng)有力的安全模型，通過身份認(rèn)證、安全通道、訪問控制
來實(shí)現(xiàn)。
SAGM采用LDAP簡單的鑒別的安全機(jī)制pl，用戶通過
向LDAP服務(wù)器發(fā)送用戶的全稱辨識名和I：I令來標(biāo)識自己，
口令是采用明文方式在網(wǎng)絡(luò)中傳輸，存在較大的安全問題，
由于簡單認(rèn)證不提供完整性和機(jī)密性的保護(hù)，因此需要在加
密通道(SSL)中使用該機(jī)制來避免暴露口令和身份登錄信息。
LADP的訪問控制機(jī)制非常靈活和豐富，在LDAP中是基于
訪問控制策略語句來實(shí)現(xiàn)訪問控制的，即基于訪問控制信息
ACI，通過訪問控制列表ACL實(shí)現(xiàn)的。
3-3．2分布式目錄設(shè)計(jì)
統(tǒng)一身份認(rèn)證系統(tǒng)采用目錄分割技術(shù)，通過目錄分割可
以把整個目錄結(jié)構(gòu)從邏輯上分割為不同的部分由運(yùn)行在不同
主機(jī)上的不同的LDAP服務(wù)器來提供服務(wù)，甚至是地理位置
不同的主機(jī)上。在目錄分割以后，通過目錄推薦(Referral)和
目錄復(fù)制把目錄的不同部分組合成邏輯上統(tǒng)一的整體。
LDAP服務(wù)器使用基于“推”或“拉”的技術(shù)，用簡單
或基于安全證書的安全驗(yàn)證，復(fù)制一部分或者所有的數(shù)據(jù)m1。
3．3．3 目錄信息樹設(shè)計(jì)
LDAP目錄服務(wù)以樹狀的層次結(jié)構(gòu)組織信息，以客戶，服
務(wù)器的模式查詢信息，目錄信息樹中的基本數(shù)據(jù)單元是條目，
可以為條目定義不同的屬性來描述不同的實(shí)體。在目錄樹中，
用戶Person、組播組Group、資源Resource、角色Role分別
放置在不同的組織單元里。用戶信息包括用戶賬號、密碼、
所屬組、角色、可信度、訪問控制權(quán)限等信息。目錄結(jié)構(gòu)設(shè)
計(jì)如圖3所示o
S奄
Cn'ot幣Gm,ap
圈3日錄信皇樹
3．3．4信任模型
該模塊的主要功能是在節(jié)點(diǎn)申請加入組播組時，對節(jié)點(diǎn)
萬方數(shù)據(jù)
第37卷第13期許建真，商錦波，張倩：安全應(yīng)用層組播組成員管理模型79
的信任度進(jìn)行評估，與身份認(rèn)證模塊結(jié)合對節(jié)點(diǎn)進(jìn)行認(rèn)證檢
測，對信任度不滿足要求的節(jié)點(diǎn)不允許加入組播組，并在節(jié)
點(diǎn)交互過程中，根據(jù)節(jié)點(diǎn)的表現(xiàn)，動態(tài)地計(jì)算、更新節(jié)點(diǎn)的
信任度，以此來控制惡意節(jié)點(diǎn)的負(fù)面影響。
本文每個節(jié)點(diǎn)有2個信任度值：組和全局H J。
節(jié)點(diǎn)i與節(jié)點(diǎn)J之間進(jìn)行交互，會相互進(jìn)行評價，設(shè)節(jié)
點(diǎn)i與節(jié)點(diǎn)J累計(jì)不成功交互的次數(shù)為R『’設(shè)懲罰系數(shù)為
a，o<1，則節(jié)點(diǎn)f對節(jié)點(diǎn)J的評價E“為：>

網(wǎng)友評論 more

電力安全論文最新內(nèi)容

03-05