GBT25068.4-2010 信息技术 安全技术 IT网络安全 第4部分：远程接入的安全保护

GB/T 25068在《信息技术 安全技术 IT网络安全）总标题下，拟由以下5个部分组成第 1 部分：网络安全管理： 第 2 部分：网络安全体系结构；第 3部分：使用安全网关的网间通信安全保护；第 4 部分：远程接人的安全保护；第 5 部分：使用虚拟专用网的跨网通信安全保护。本部分为GB/T 25068 的第 4 部分。 本部分使用翻译法等同采用国际标准ISO/IEC 18028-4：20054信息技术安全技术 1T网络安全 第4部分：远程接入的安全保护》（英文版），该国际标准中缺少“规范性引用文件”的章条，为保持与该国际标准编排方式的一致，本部分未添加相应的章条。 本部分更正了部分术语《条款2.10 中DHCP全称中的“Control”更正为“Configuration"；条款2.28 中 RADIUS全称中的“Access”更正为“Authentication”；条款2.43 中TKIP全称中的 "implementation"更正为"integrity"；条款7.2.2中S/MIME全称中的"exchange"更正为"exten- sions"）. 本部分更正了部分错误（附录E.1中误表示为“行为”的“删除或关闭不必要的服务和应用”和“配置操作系统用户鉴别”更正为“标题”表示形式；附录E.3中的“SSI"更正为“SSL"）. 8.4.3中“窃听威胁只能用加密与之对抗”中的“只能”过于绝对，修改为“大多”，为今后技术发展预留了空间。 8.7 中增加了使用国家加密标准的规定，本部分的附录A、附录B、附录C、附录D、附录E、附录F为资料性附录。 本部分由全国信息安全标准化技术委员会（TC 260）提出并归口。 范围 GB/T 25058的本部分规定了安全使用远程接入（使用公共网络将一台计算机远程连接到另一台计算机或某个网络的方法及其IT安全含义）的安全指南，本部分介绍不同类型的远程接人以及使用的协议，讨论与远程接人相关的鉴别问题，并提供安全建立远程接入时的支持。 本部分适用于那些计划使用这种连接或者已经使用这种连接并且需要其安全建立及安全操作方式建议的网络管理员和技术员 术语和定义 下列术语和定义适用于本部分。 2.1接入点Access Point，AP提供从无线网络接入到地面网络的系统。 2.2高级加密标准 Advanced Encryption Standard:AES一种对称加密机制，注：AES提供可变的密制长度并允许拔天国联邦信息处理标准（FIPS）157的复最有效实现 2.3薬别 athentication确信实体是其所声称身份的措笔。在用户鉴别的情况下，通过所知的东西（例如口令）、拥有的东西 （例如令牌）或个人特征《生物特征）识别用户，强塞别既可以基于强机制（例如生物特征），也可以利用这些因子中至少两个（称为“多因子塞别”）。 2.4回叫 callhack一种在收到有效标识符（ID）参数后向预先定义或建议位置《和地址）呼叫的机制。 2.5挑战一握手審别协议 Challenge-Handshake Authentication Protecol:CHAP一种在 RFC1994 中定义的 3 次鉴别协议。 2.6数据加密标准 Data Encryption Standand，DES一种众所周知的使用56比特密钥的对称加密机制，因其密钥长度短，DES已被AES取代，但仍在多重加密模式中使用，例如，3DES或三重DES（FIPS 46-3）. 2.7一种本地网络或站点网络的隔离区，其访问借助防火墙实现的特定策略来控制，DMZ不是内部网络的一部分并被认为不太安全。 非军事区 de-miitarised zone，DMZ 3 目的 本部分旨在当网络管理员和IT安全主管遇到迟程接人安全保护同题时提供指南，它提供各种远程接入类型和技术的信息，并帮助目标读者识别适当的措施来保护远程接入抵御已识别的威胁。 它也可能在用户打算从其家庭办公室或在旅途中远程访问他们的办公室时提供帮助。 4 综述 远程接入使得用户能够从本地计算机登录到远程计算机或计算机网络上，并且就像存在直接的局域网链接那样，使用这些远程资源（见图1）。这里所使用的服务称为远程接人服务（RAS），RAS确保远程用户能够访问网络资源。 通常，在以下情形中使用 RAS。 链接固定的个人工作站（例如，使得员工能够在家远程办公），链接移动计算机《例如，支持员工在现场或商务外出时办公）。 链据整个局域网（例如，把远地或分支机构的本地网络连接到公司总部的局域网上），提供对运程计算机的管理访问（例如，用于远程维护）。 RAS提供一种在如下场景中连接远程用户的简单方式：远程用户建立与主干网的连接，例如，使用调制解调器经由电话网络，只要需要，这种直接连接可能一直存在，并且能够看作是粗用线路，仅在需要时才激活，当使用 DSL.或者其他适当技术时，该连接也可能是水久的。 重直提示，对企业的远程接入宜总是通过远程接入服务器来控制。直接装号接入计算机意林着会有很多风险，因此宜避免使用，企业里的调新解两器只宜在限定的位置使用。 5 安全要求 从安全角度来看，RAS服务器和RAS客户精被认为处于规定的安全策略的控制之下，而通信介质被认为在控制之外并且可能处于敌对的环境中，安全机制关注的风险是未授权的实体（例如个人或者过程）可能： 获得对 RAS 客户峻的访问：获得对 RAS服务器的访问： 阻止对 RAS服务器的访问《拒绝服务）；窃听 RAS客户墙与RAS服务器之间交换的信息 修改交换的信息 对抗这些风险的安全服务包括保密性服务、鉴别服务和访问控制，因此，下列安全目标适用于RAS 访问： 鉴别：远程用户必须由RAS系统唯一地识别，每次与本地网络建立连接时，必须通过鉴网机制确定用户的身份。在系统访问情况下，必须使用额外的控制机制，以确保远程用户的系统访问受到适当控制（例如，限制访问次数成只能访问得到允许的远程连接点）。 有多种在质量和技术上不同的案别用户和过程的方法，最常用但也是最能弱的方法是使用口令。访问控制：一旦远程用户已经被室别，远程接入服务器必须能够限制用户与网络的交互，为此要求，除了对远程用户的任何特定限制（例如特定的白天时间段、每个用户一个连接）外，还强制对远程用户实施由已授权管理员针对本地网络资源规定的授权和限制。 通信安全，在远程接人的本地资源所在之处，用户数据也必须在已建立的 RAS 连接上传输。通常。适用于本地网络的有关通信保护（保密性、完整性、真实性）的安全要求，对于在RAS连接上传输的数括也必须是可实现的。