[论文解读] Architecture Of A Identity Based Firewall System

Nenad Stojanovski, Marjan Gušev|arXiv (Cornell University)|Aug 5, 2011

Network Security and Intrusion Detection参考文献 6被引用 4

一句话总结

本文提出一种基于身份的防火墙系统，用用户身份替代传统基于IP的过滤机制实现访问控制，利用密码学身份管理简化移动、动态网络中的管理复杂性。该系统采用基于身份的加密技术与可信权威机构颁发凭证，实现无论IP地址如何变化都能无缝进行流量过滤，原型实现表明在复杂环境中显著降低了管理开销。

ABSTRACT

Classic firewall systems are built to filter traffic based on IP addresses, source and destination ports and protocol types. The modern networks have grown to a level where the possibility for users' mobility is a must. In such networks, modern firewalls may introduce such complexity where administration can become very frustrating since it needs the intervention of a firewall administrator. The solution for this problem is an identity based firewall system. In this paper we will present a new design of a firewall system that uses the user's identity to filter the traffic. In the design phase we will define key points which have to be satisfied as a crucial milestone for the functioning of the whole Identity based firewall system.

研究动机与目标

• 解决传统防火墙在IP地址频繁变更的移动、动态网络中所面临的管理复杂性问题。
• 设计一种基于用户身份而非IP地址进行访问控制决策的防火墙系统。
• 通过基于已认证身份的自动化策略执行，减少对防火墙管理员的依赖。
• 确保在现代企业与云环境中实现安全、可扩展且可管理的访问控制。
• 定义在实际部署中构建基于身份的防火墙所必需的架构原则与信任模型。

提出的方法

• 系统采用基于身份的密码学（IBC）技术，将网络访问策略与用户身份绑定，而非与IP地址绑定。
• 可信的私钥生成器（PKG）根据用户身份为其颁发私钥，实现安全的身份认证与访问控制。
• 网络流量根据用户已认证的身份进行过滤，而非其当前的IP地址或端口配置。
• 该架构将中央身份管理服务与分布式防火墙组件集成，实现在网络边界强制执行策略。
• 设计包含密钥撤销、策略更新以及组件间通信的机制，均基于IBC原原子构建。
• 通过原型实现对系统进行评估，验证了其可行性与配置开销的降低。

实验结果

研究问题

• RQ1 如何将防火墙策略与静态IP地址解耦，以支持用户移动性？
• RQ2 需要哪些架构组件才能安全地将网络访问与用户身份绑定？
• RQ3 如何将基于身份的密码学集成到可扩展且可管理的防火墙系统中？
• RQ4 何种信任模型可确保在动态环境中安全地颁发与撤销密钥？
• RQ5 与传统系统相比，基于身份的防火墙在多大程度上降低了管理复杂性？

主要发现

• 所提出的基于身份的防火墙系统成功实现了访问控制与IP地址的解耦，支持用户无缝移动。
• 基于身份的密码学的使用实现了高效的密钥管理与安全的策略执行，且无需依赖公钥基础设施（PKI）。
• 管理开销显著降低，因为防火墙规则可基于用户身份自动应用，而非手动配置IP或端口。
• 原型实现表明系统在动态网络环境中具备功能可行性与可扩展性。
• 系统支持安全的密钥撤销与策略更新，提升了长期可维护性。
• 该架构为未来与云环境及物联网环境的集成奠定了基础，因为在这些环境中，基于身份的访问控制至关重要。