一种新的服务器集群系统的设计与实现

互联网的飞速发展给我们带来极大便利的同时，也对网络服务器的性能提出了新的挑战。集群技术已成为解决服务器瓶颂问题的有效手段。本文在对服务器集群系统存在的瓶颈问题进行分析的基础上，提出了一种新的服务器集群系统解决方案。该方案通过对传统socket通讯模型进行扩展，并结合直接路由技术，有效地减轻虚拟服务器的负载；同时，通过采用主动自调度策略以解决真实服务器的瓶颈问题，对原型的测试表明该模型是可行的，且提高了服务器集群系统的性能。     

Java实现运用Kerberos协议的客户机／服务器程序

因特网的日益发展给人们提供了更多的机会和方便快捷,同时也带来了更多的安全隐患。Kerberos解决了这个问题。Kerberos是一种身份认证协议,提供了集中的身份验证服务器,提供了从服务器端验证用户、用户端验证服务器,以及用户和服务器之间加密报文传输的安全功能。文中研究了Kerberos身份认证协议,完成和分析了运用Kerberos协议实现身份认证和安全通信的客户机/服务器程序的Java实现。     

An efficient and practical threshold gateway-oriented password-authenticated key exchange protocol in the standard model

With the assistance of an authentication server, a gateway-oriented password-authenticated key exchange (GPAKE) protocol can establish a common session key shared between a client and a gateway. Unfortunately, a GPAKE protocol becomes totally insecure if an adversary can compromise the authentication server and steal the passwords of the clients. In order to provide resilience against adversaries who can hack into the authentication server, we propose a threshold GPAKE protocol and then present its security proof in the standard model based on the hardness of the decisional Diffie-Hellman (DDH) problem. In our proposal, the password is shared among n authentication servers and is secure unless the adversary corrupts more than t+1 servers. Our protocol requires n > 3t servers to work. Compared with existing threshold PAKE protocols, our protocol maintains both stronger security and greater efficiency.     

基于混合机制的Kerberos安全性增强方案

针对Kerberos协议的弱点和安全性问题,提出了一个基于混合加密机制的Kerberos改进方案,目的是防范口令攻击和内部攻击。给应用服务器和AS服务器分配公钥和私钥,用户与服务器之间的会话密钥由DH密钥交换生成。给出了改进后的 Kerberos 协议的六个步骤,并对安全性进行分析。分析结果表明,新方案能够增强Kerberos协议的安全性,而且比公钥加密机制高效。     

基于PKI体系的跨域密钥协商协议

基于口令的跨域密钥协商协议和Kerberos协议无法抵抗口令猜测攻击,在金融、航天等通信安全需求高的场所,需要一种更有效的协议来保证通信安全。给出一种新的基于PKI体系的跨域密钥协商协议,采用公钥算法保证数据传输的安全,结合使用Diffie-Hellman协议生成会话密钥。协议有效地解决了利用预置共享密钥参与加/解密实施中间人攻击,以及Kerberos弱口令导致的攻击者可以实施口令猜测攻击的问题。跨域通信的公钥信息仅存储在各自域认证服务器,域内用户不需要配置跨域服务器的公钥信息,降低了配置复杂度、域内用户和域认证服务器之间密钥管理的复杂性,同时提高了域服务器鉴别身份的能力和信息机密性,使其免疫多种攻击,具有良好的前向安全性和扩展性。     

基于串空间理论的Kerberos协议分析

在介绍串空间理论基本概念、攻击者模型以及Kerberos协议的基础上,利用串空间理论得出Kerberos各协议参与主体和攻击者的迹,构造了协议的串空间,给出了Kerberos协议的丛图。在证明一个定理的基础上,使用启发式和反证法的思路,证明了认证服务器分配给客户端和应用服务器会话密钥的保密性,即攻击者从现有知识和构造能力无法推导出服务器分配给客户端和应用服务器的会话密钥;证明了客户端和认证服务器以及客户端和应用服务器能够相互认证,得出了Kerberos协议正确性的结论。     

基于认证协议的Web单点登录优化设计

针对Kerberos认证协议Web环境中进行单点登录存在的安全隐患,基于Schnorr协议的挑战/响应方式,结合Secure Cookies、HttpSession解决Web环境下HTTP协议的无状态性及服务器间的安全会话。实验结果表明,该方案性能稳健,响应速度快,防攻击力强,具有良好的实用价值和应用前景。     

Open source security: opportunity or oxymoron?

As the computer industry focuses on system and network security, a growing number of users are taking a closer look at open source software in order to gauge whether its potential advantages outweigh its possible disadvantages. Although open source security has been around for years, it has never been as widely used as open source products like the Linux OS or Apache Web server have been. John Pescatore, Internet security research director at market-research firm Gartner Inc., said open source security tools now represent 3 to 5 percent of security-software usage but could comprise 10 to 15 percent by 2007. A key factor in this potential growth is the quality of numerous open source security packages. Open source software products include free tools that users can download from the Internet, packages that come with commercial vendor support, and tools bundled with closed source products. The most popular tools include Netfilter and iptables; intrusion-detection systems such as Snort, Snare, and Tripwire; vulnerability scanners like Nessus and Saint; authentication servers such as Kerberos; and firewalls like T.Rex. Some companies are even beginning to use open source security to protect mission-critical applications     

基于DESX的Kerberos协议的分析与改进

Kerberos协议是一种基于可信第三方的身份认证协议,针对Kerberos协议具有口令猜测攻击、重放攻击等缺陷,提出一种基于DESX算法和SHA函数的Kerberos协议改进方案,通过分析比较,改进协议不但摒弃了原Kerberos协议存在的缺陷,且以相对较小的开销使Kerberos协议认证过程更安全可靠。     

基于RSA的多Web系统智能认证代理模型

随着Web服务的不断深入研究,针对基于多Web服务器环境下的统一认证方法的研究日益重要。论文根据不同Web服务器的认证方式的特点,提出了多Web站点的智能认证代理模型实现统一认证。该模型利用Cookies、监听网络信息、RSA对称密钥体制等关键技术实现单个Web服务器的认证,并采用映射机制建立多Web服务器间的协作。该模型在某高校校园网内得以应用,用户只需登录一次即可完成一个复杂业务,对用户实现了透明认证。     

Kerberos认证在SSL中的应用

Kerberos认证可以有效地防止重放攻击，文章在对Kerberos协议分析的基础上，介绍了Kerberos认证在SSL中的应用。     

无证书密钥协商协议对跨域Kerberos的改进

针对Kerberos域间认证方案中存在的密钥数量庞大和系统安全性脆弱等问题,提出一种可认证的无证书密钥协商协议。该协议通过无证书密码学理论弥补原Kerberos域间认证的缺陷,只需一轮消息交换即可建立安全的域间会话密钥,并提供完善的前向安全性。安全性分析结果表明,改进的协议可以有效解决密钥的管理问题及第三方无举证窃听。     

视频服务器中多网络I/O的调度与接纳控制

在视频服务器中,由于网络I/O带宽比磁盘I/O带宽相对丰富而未得到研究者的重视,但当服务达到一定的规模、网络输出成为瓶颈时,在多网络I/O情况下,网络输出的量化计算则不可避免.着重探讨了视频服务器在多网络I/O并行输出的情况下,如何进行最大输出调度的问题,给出了3个调度算法及相应的接纳计算公式,特别是一个带缓冲的优化调度模型.实验结果显示,调度模型及规划性能是优越而有效的.该项工作对视频服务器的调度设计、资源的有效配置具有指导作用.     

Windows 2000认证机制分析与应用

Windows 2000是目前应用广泛的操作系统，核心技术之一是它的认证机制。分析了Windows 2000认证的体系结构，着重研究了Kerberos认证机制，根据Kerberos原理设计并实现了一个多应用环境下单点登录模型。模型已经成功应用于某企业的信息系统中，解决了企业信息系统单点登录问题。     

Efficient multi-server authentication scheme based on one-way hash function without verification table

Following advances in network technologies, an increasing number of systems have been provided to help network users via the Internet. In order to authenticate the remote users, password-based security mechanisms have been widely used. They are easily implemented, but these mechanisms must store a verification table in the server. If an attacker steals the verification table from the server, the attacker may masquerade as a legal user. To solve the verification table stolen problem, numerous single server authentication schemes without verification tables have been proposed. These single authentication schemes suffer from a shortcoming. If a remote user wishes to use numerous network services, they must register their identity and password in these servers. In response to this problem, numerous related studies recently have been proposed. These authentication schemes enable remote users to obtain service from multiple servers without separately registering with each server. This study proposes an alternative multi-server authentication scheme using smart cards. The proposed scheme is based on the nonce, uses one-way hash function, and does not need to store any verification table in the server and registration center. The proposed scheme can withstand seven well known network security attacks.     

Kerberos5协议的形式化分析综述

网络认证协议Kerberos 5提供三方认证机制,允许客户在单次登录的前提下实现对多个网络应用服务器的身份认证,目前该协议已得到广泛应用.FreeBSD,Linux服务器以及微软公司的Windows系列均采用该协议提供网络安全认证,因而该协议自身的安全性引起人们的广泛关注.由于该协议采用时间戳机制,同时涉及4个参与方,协议的复杂度较高,如何对其安全性进行全面的形式化分析与验证,一直是安全协议分析领域的研究热点与难点.目前国际上对其验证的方法主要分为两类,分别是基于符号模型的验证方法和基于计算模型的验证方法.全面系统地介绍和分析了目前国际上对该协议的形式化验证工作,在此基础上简要介绍作者目前的研究工作.     

基于云平台的高并发WebGIS服务

随着Internet技术的发展,传统的WebGIS服务器在面对大用户群高并发访问时会出现服务延迟甚至拒绝服务的现象.针对该问题,本文提出了一种基于云平台的应对高并发的WebGIS服务器架构.架构使用云平台为WebGIS服务器提供弹性计算和存储资源,并从负载均衡、缓存设计、数据库集群三方面缓解高并发瓶颈.选择开源服务器端软件GeoServer作为WebGIS应用实验部署.实验数据表明使用缓存机制明显降低了WebGIS服务响应时间.与单物理服务器相比,云平台WebGIS服务器集群架构能够有效处理高并发请求,且随着集群规模扩展,云平台WebGIS系统能够获得良好的加速比.     

利用Diffie-Hellman算法改进Kerberos协议

针对Kerberos认证协议由对称算法所带来的局限性,国内外已有很多人用以RSA算法为代表的公钥体制对Kerberos协议进行了改进,但美中不足的是Kerberos本身可以窃听客户和服务器之间的会话而不被举证.选用Diffie-Hellman算法来修正Kerberos协议,不仅继承了先行者们的研究成果,而且彻底解决Kerberos可能窃听通信双方会话的问题.因此更具安全性、实用性.     

单点登录原型系统KSSO的设计与实现

随着网络的普及和企业信息化建设的加快,用户经常要访问多种不同的应用服务器,以致用户必须面对多次登录的困扰.单点登录（Single Sign-On）就是为解决传统认证机制中存在的问题而提出的一种技术.分析了传统Kerberos协议的特点与不足,提出了一种基于改进Kerberos协议的单点登录原型系统KSSO,并对该系统的体系结构、设计思想、工作原理和实现方案进行了阐述.     

浅谈基于Kerberos 认证机制进行Hadoop平台的安全加固

在数据中心分布式架构部署中，Apache Hadoop 早期版本因其设计过程中对安全设计的缺失，导致在实际应用中数据中心存在安全隐患问题。通过在常见安全问题分析基础上，本文针对性地提出安全管控模型，给出了一种基于Kerberos认证机制进行数据中心加固的解决方案，提高整个数据中心的安全性。