【IT168 专稿】可信网络接入已经越来越受到大家的关注，在微软、思科、Intel等企业的推动下，NAC、NAP、TNC等各种可信网络接入概念不断涌现，谁将成为最终的可信接入标准？　

　　在上篇<<思科、微软共谋可信网络接入>>文章中，笔者介绍了NAC、NAP这两种可信网络接入标准，现在，笔者再为大家介绍TNC可信网络接入标准，以及三者的相互关系。

    TCG可信计算组织

    在可信网络接入方面，众多安全厂商都会力求兼容于NAC和NAP的同时，仍有一个可信计算组织（Trusted Computing Group，TCG）推出TNC（Trusted Network Connect，可信任网络连接）标准。这是一个广义的工业标准，支持厂商达100多家，并可配合TPM平台（可信任平台），将网络与端点设备的兼容整合。
　　

    “可信计算”的概念开始在世界范围内被广泛接受已经是1999年。由Intel、IBM、HP、Compaq及Microsoft发起组织?一个可信赖计算平台联盟(Trusted Computing Platform Alliance, TCPA)，该联盟致?于促成新一代具有安全且可信赖的硬件运算平台。2003?4月8日TCPA扩展其宗旨与目标，重新组成现在的可信计算组织(Trusted Computing Group, TCG)。TCG将原来TCPA强调建构安全硬件平台的宗旨上?进一步，将焦点投注到软件安全性的问题，其目的是希望从操作环境的硬件组件和软件接口两方面制定可信计算相关标准与规范。
　　
　　TCG的核心是可信平台模块(Trusted Platform Module .TPM)，是指在计算机系统中嵌入一个可抵制篡改的独立计算引擎，使非法用户无法对其内部数据进行更改，从而确保了身份认证和数据加密的安全性。它并不像安全软件那样只能被动地抵抗病毒和黑客，而是在检测到系统数据被非法篡改后即自动恢复，以保证平台的完整性。这种办法从本质上提高了电脑自身的免疫力，弥补了电脑的先天不足，从而主动做到预防多种病毒的攻击。2003年10月TCG发布了“可信计算平台规范”1.2版（如图1中的TPM 1.2版本芯片，图2中的TMP数据存储安全），作为目前个人计算机的安全性标准。
　　
　　针对不同的终端类型和平台形式制订出了一系列完整的规范：
* 鉴别：计算机系统的用户可以确定与他们进行通信的对象身份；
* 完整性：用户确保信息能被正确传输；
* 私有性：用户相信系统能保证信息的私有性。

图1 TPM 1.2

图2 TPM 与数据存取

 
   2004年5月，可信计算组织TCG成立了可信网络连接（Trusted Network Connect, TNC）分组（TNC Sub Group，TNC-SG）。作为TCG中基础设施工作组（Infrastructure Work Group）的一部分，它将TCG的视野延展到了保证网络的安全性和完整性方面。一些重要网络和安全公司如Foundry、 Extreme、Funk Software、InfoExpress、iPass、Juniper、Meetinghouse Data Communications、Trend Micro、Network Associates、Sygate、Symantec和Zone Labs等参加了TNC联盟，发展至今已经拥有了100多家联盟成员的庞大组织。

    TNC可信接入技术分析
  
    TNC的架构分为三类实体：请求访问者（the Access Requestor，AR)、策略执行者（Policy Enforcement Point，PEP）、策略定义者（Policy Decision Point，PDP)，这些都是逻辑实体，可以分布在任意位置。TNC将传统的接入方式“先连接，后安全评估”变为“先安全评估，后连接”，大大增强网络接入的安全性。从传统意义上讲，这种演变是通过可信网络连接技术的三层结构实现的（如图3）：

    * 网络访问层：从属于传统的网络互联和安全层，支持现有的如VPN和802.1X等技术，这一层包括NAR (网络访问请求)、PEP (策略执行) 和NAA (网络访问权) 三个组件。
    * 完整性评估层：这一层依据一定的安全策略评估AR（访问请求者）的完整性状况。
* 完整性测量层：这一层负责搜集和验证AR的完整性信息。

图3 TNC分层结构与通信过程

    在完整度量层中，客户端建立网络接入之前，TNC客户端需要准备好所需要的完整性信息，交给完整性收集端（IMC）。在一个拥有TPM的终端里面，这也就是将网络策略所需信息经散列后存入PCRs（TPM平台配置寄存器），TPM服务端需要预先制定完整性的要求，并交给完整性验证者（IMV）。

    TNC、NAP 、NAC，谁主沉浮？

    可信网络连接技术TNC（Trusted Network Connection）是建立在可信计算技术之上的技术革新，其主要目的是通过使用可信主机提供的终端技术，实现网络访问控制的协同工作。TNC网络构架结合已存在的网络访问控制策略(例如802.1x、IKE、Radius协议)来实现访问控制功能，通过提供一个由多种协议规范组成的框架来实现一套多元的网络标准，主要功能和目标如下：

   ① 平台认证：用于验证网络访问请求者身份，以及平台的完整性状态。
    ② 终端策略授权：为终端的状态建立一个可信级别，例如：确认应用程序的存在性、状态、升级情况，升级防病毒软件和IDS的规则库的版本，终端操作系统和应用程序的补丁级别等。从而使终端被给予一个可以登录网络的权限策略，进而获得在一定权限控制下的网络访问权。
    ③ 访问策略：确认终端机器以及其用户的权限，并在其连接网络以前建立可信级别，平衡已存在的标准、产品及技术。
    ④ 评估、隔离及补救：确认不符合可信策略需求的终端机能被隔离在可信网络之外，执行适合的补救措施。

    由此可见，TNC、NAP 和NAC并不像很多人认为的那样，他们并不是针锋相对的竞争产品，只是不同的网络访问控制方法。其中的主要区别在于开放性：
① 使用了极为类似的架构和术语；
② NAP 和NAC是厂商的专有技术；
③ TNC是开放标准，在任何厂商产品之间可以调用或提供操作接口；
④ TNC（TNC 是面向互操作性的开放标准）可以不受限制地使用 802.1X（ 802.1X 是整个业界普遍采用的标准）

    正是NAP 和NAC 产品均基于专有技术，所以NAP 及NAC 产品并不与 TNC 产品之间支持相互操作，这也正是不同联盟之间存在标准与规范之争的导火索。

NAC，NAP，TNC组织对比：

 

 

    TNC未来举步维艰？

　　根据今天的网络发展趋势看未来，有可能任何一个电子产品都可能会接入网络，而网络无出不在的结论说明了攻击也无处不在。另外，不论在硬件、操作系统、网络接入设备、应用系统都会存在漏洞，利用漏洞而制造的病毒不仅针对PC机还针对手机、数码照相机等等。
　　
　　同时，在激烈的市场竞争中，几乎所有的部门或机构都声称自己的规范或指导原则是“标准”。当然用户的眼睛是雪亮的，他们通常都会放弃专用解决方案或“专用标准”，选择基于开放标准的解决方案，这样便于企业在不断变化的网络需求环境中，选择最有利于自身发展的网络基础设施和软件，无需担心供应商锁定。可信网络连接（TNC）的网络接入控制标准架构规范是公开发布的开放规范，这正是TCG组织的在标准之争中具有优势的一面。
　　
　　但是，我们也看到，在NAC与NAP结盟之后，基于TCG可信计算方案中的TNC技术显得有些势单力薄。这是因为在TCG的标准中，不论是可信计算还是可信网络，以及可信芯片，这些技术与产品永远都要服务于网络应用，而在NAC和NAP厂商的合力排挤之下，TNC技术的发展举步维艰。我们分析网络安全的远期目标可以发现，在网络安全接入领域中，包括芯片、操作系统、网络设备三者缺一不可，如果在这个“安全锁链”中你缺少了任何一个环节，构筑的“安全堤坝”就可能毁在“白蚁”之下。
　　
　　天下大事和久必分，分久必合，这是一个轮回，逃脱不了的轮回。