摘 要:近几年商业移动阅读发展迅猛，高校移动阅读也逐渐跟上了时代的脚步. 这也带来了一系列安全问题，传统的数字资源使用权限控制显然不适应移动阅读. 因此提出了一种结合证书认证、加密等方法的符合高校图书馆行业特征的用户识别与访问管理方案.
关键词:移动阅读; 身份认证; 访问管理
移动信息技术越来越多的渗入人们的日常生活，逐步改变着人们的阅读习惯，无论是商业组织还是公益图书馆都注意到了这一点，开始将移动网络技术应用于自身信息服务，广泛开展移动阅读. 移动阅读在满足读者 anytime，anywhere，anyway 获取资源的同时也引发了一些安全问题，引入加密和认证机制能够有效的解决这些问题. 本文基于加密和证书认证机制，结合高校图书馆行业特征，提出一种适用于高校图书馆行业特征的用户识别与访问管理方案.
1 高校移动阅读的安全问题分析
高校移动阅读的安全问题主要来自几个方面: 读者、高校图书馆以及数据商.从读者角度看，他们关心的是所获取信息的安全，包括真实性、完整性和可用性. 读者即终端用户，他们希望图书馆提供的学术资源都是可获取的，具有科学价值的，在传输过程中没有被破坏、伪造或篡改过的.
从高校图书馆角度看，他们关心的是如何维护自身网络信息的可用性、健壮性和及时性，为读者提供持久可靠的服务.
从数据商的角度看，他们关心的是对服务及资源使用的访问授权. 不同高校由于经费不同，购买的学术资源及服务也有所不同，同一个数据商提供的数据，在不同高校的使用权限也可能有区别.
本文重点讨论服务及资源使用的访问授权问题.
2 可用的用户识别与访问管理机制
在非移动阅读时代，数据商对高校用户的访问控制主要依靠 IP 地址，由高校提供自己的 IP 范围，数据商据此识别高校用户，提供相应的服务. 该方案能够有效的控制访问授权，最大限度的保护学术资源的版权，保证高校已购买的学术资源供本校师生学术研究使用，而非不法分子用于商业用途. 但它限制了用户仅在校园网的 IP 范围内可使用学术资源，离开校园网则寸步难行，这显然不符合移动阅读时代的“3A 原则”.
基于移动设备的 GPS 定位功能，数据商还可以采取地理位置定位方式识别校园用户. 如 Ebsco 公司的 APP 就采取了该模式，用户下载 APP 后，在相应校园地理范围内发送认证文件，由 Ebsco 公司认证后绑定设备物理 MAC 地址，该设备即可访问相关资源，不再受时间、地理限制. 该方案能够自动识别校园地理范围内的用户，增强了用户的无感体验，一次注册即可随时随地畅享校内学术资源; 然而因为缺乏校内身份的识别，使得非本校师生，身处校园也可轻松通过验证，给不法分子留下了可操作空间，不利于学术资源的版权保护.
以高校图书馆为可信第三方的身份认证管理机制[1]，该机制核心思想是高校图书馆的高度参与，以高校图书馆为桥梁，从而满足读者访问校内学术资源的需求，笔者认为是比较合适的高校移动阅读用户识别与访问授权管理模式.
3 以高校图书馆为可信第三方的身份认证管理
机制在传统纸质图书的管理中，高校图书馆充分发挥了其主观能动性，无论是图书选购、采编、上架等图书管理，还是读者身份、借还管理，图书馆都作为一个行为主体发挥了重要作用.
而在电子资源的阅览中，最初图书馆的主要作用只体现在了采买上. 随着电子资源的迅猛发展，越来越多的高校开始重视电子资源的分类推介，统一检索等. 但在用户管理上，却主要依靠数据商来控制，如基于 IP 地址和基于 GPS 定位功能的管理机制，他们都是数据商的行为，高校图书馆作为该事件的核心人物并未参与其中，或者说其参与度与其核心地位并不相符. 因此我们需要建立一种模型，提高高校图书馆的参与度，更好的完成访问管理.
3. 1 Kerberos 认证协议简介
Kerberos 是一种计算机网络授权协议，用来在非安全网络中，通过密钥系统为客户机/服务器应用程序提供强大的认证服务.[2]它的实现不依赖于主机操作系统的认证，无需基于主机地址的信任，不要求网络上所有主机的物理安全，其核心思想是引见，即使用可信的第三方把某个用户引见给某个服务器，引见方法是在用户和服务器间分发会话秘钥建立安全信道.[3]
Kerberos 认证协议主要由三个子协议构成，称之为交换. 这三个交换如下[3]:
( 1) 认证服务器交换( AS 交换) : 在“客户”C 和“认证服务器”AS 间运行.
( 2) 票证授予服务器交换( TGS 交换) : AS 交换后，在 C 和“票证授予服务器”TGS 间运行.
( 3) 客户/服务器认证应用交换( AP 交换) : TGS 交换后，在 C 和“应用服务器”S 间运行.
3. 2 基于 kerberos 认证协议的用户识别与访问管理模型
以高校图书馆为可信第三方来串联读者与数据商，能够很好的发挥高校图书馆的主观能动性，一方面高校图书馆通过购买服务获取数据商的授权，成为可信的第三方机构; 另一方面高校图书馆通过认证过程来分类管理读者，保障资源借阅工作有序进行.
在此模型中，高校图书馆承担认证服务器( AS) 的功能，数据商承担票证授予服务器( TGS) 功能并向读者提供数据服务，不同的数据商拥有不同的 TGS. 读者只需一套口令与 AS 交互，就可以访问不同数据商提供的资源服务.[4]如图 1 所示.
3. 3 模型运行机制
首先，数据商 A 与其票证授予服务器之间存在长期共享密钥 KA，TGSa .
其次，高校图书馆通过购买，获取数据商 A 的服务使用授权，即获取高校图书馆 AS 与 数 据 商 A 的票证授予服务器 ( TGSa) 之间共享的长期密钥 KAS，TGSa.
再次，高校图书馆 AS 依据读者提供的注册申请资料，确定读者身份类型，并依据身份判断是否授予读者权限，如同意授予，则向读者颁发共享密钥 KR，AS，否则该读者不能访问本校数据资源系统，身份类型的管理可参照传统管理中身份类型，如学生读者、教师读者、校外读者等.
数据交互模式如图 2.图 2 数据交互模式
首先是读者移动客户端 M 与认证服务器( AS) 间的交换:
( 1) 读者使用移动客户端 M 向图书馆认证服务器 ( AS) 发出发送明文信息 1( R，TGSa，Life_time1，N1 ) ，请求 AS 代理读者 R 和票证授予服务器 TGSa 通信， Life_time1 为生命期，随机数 N1 用于体现数据的新鲜性.
( 2) AS 发出请求帧要求 M 输入用户身份信息.
( 3) M 响应请求，将用户名 R 及口令 KR 发送给 AS. ( 4) AS 验证用户合法后，发送一个消息 2( R，TM，TGSa，TM ) 给 R.
3. 4 访问授权的动态维护
访问授权的动态维护主要是依靠实时更新用户信息表来完成[5]. 它分为两个层次，一个层次是 TGS 对 AS 的用户信息表维护，即数据商对高校的授权，随高校对数据库的新增购买或调整减配而实时调整其用户信息表，更新共享密钥; 第二层次则是高校 AS 对其用户的管理，随着学生读者的更替，教师队伍的变化等，高校 AS 对其授权的用户信息表进行更新，及时废止或新增共享密钥[6]，以达到实时更新管理的目的.
4 结语
随着移动技术的发展，传统的电子资源管理模式，已经不能满足移动的需求，本文结合身份认证技术，提出了一种电子资源访问管理方式，其优势在于高校的充分参与，有利于高校在管理过程中发挥其主观能动性. 然而，该方式仅从用户管理和资源访问方面进行了研究，现如今数据资源繁多，对于资源整合、统一平台方面还值得进一步探讨.
高校移动阅读中的用户识别与访问管理方案相关期刊推荐：《西安文理学院学报(自然科学版)》(季刊)创刊于1994年，是经国家新闻出版署批准国内外公开发行的综合性学术刊物，国内外公开发行。主要刊登生命科学、数学及应用数学、物理学、化学与化学工程、机械电子技术、计算机科学与技术、环境资源与地理科学等方面有创新、有参考价值的研究论文、综述和研究进展，具有领先水平的科研成果，学术报告和动态等.读者对象为科研工作者、高等学校教师和研究生等。
转载请注明来自：http://www.lunwencheng.com/lunwen/jyu/16472.html
