在很多影视作品中，都会有正义的特工潜入敌方网络，以阻止世界浩劫来临，在表现接入网络实施破解场景时，导演往往会这样俗套地呈现：显示器上数字矩阵连续滚动，特工一番神操作，滚动戛然而止，最终破解成功。
现实中的网络破解抽象而无趣，也很难用炫目的影像手法去表现，但如果想让观者从中感受到专业和刺激，上述导演的选择是合理的。网络接入破解是网络潜入者必须突破的第一道关口，如同你想潜入一栋大楼，突破门岗的拦截就是你要做的第一件事，并且过这一关往往难度特别大。
大家都对网络安全技术到底是个什么样子感兴趣，其实这个破解场景就可以映射到网络安全技术族群中的实体鉴别技术。实体鉴别就相当于门岗查验进入者的身份。在网络刚出现的时候并没有这种安全机制，后来，随着问题的出现，网络开始设置了“门岗”功能，而这种功能也在不断演进当中。
在早期，进入者拿出身份证，门岗目测一下没问题就可以放行。随着来人日趋鱼龙混杂，蒙事儿的越来越多，门岗就提升了检查标准：拿到身份证，然后和公安局的身份管理系统信息对照，以验证身份证是否属于本人，是否合法，然后再决定是否放行。再到后来，这种方法也不安全了，需要进入者与门岗之间互相验证对方的合法性，而双方对等验证的仲裁者就是公安局，它要同时验证进入者和门岗两方的身份合法性。这样的防范无疑更为科学，因为那时已经出现了假门岗。
很显然，早期的验证模式是一种二元模式，身份互验只存在于门岗和进入者之间；后来的验证模式则演化为三元模式，即多出了公安局一方。它们也分别对应实体鉴别技术中的二元、三元鉴别模式，而三元模式又在现实应用中演化出多种不同的解决方案，比较典型的就是“金字塔”模型和“双节棍”模型两种。这两种模型基本覆盖了当前有线、无线两种接入方式的实体鉴别技术方案。
二元结构：从唯我独尊到平起平坐
实体鉴别技术自身经历了发生、发展的过程。以局域网为例，在无线局域网WLAN商用初期，WiFi的安全机制WEP采用的是接入点/基站鉴别用户身份的方式，这里面有历史局限的因素，但很符合当时的网络发展特点。
彼时，通信基站曾被列入全球性十大暴利产品之一，昂贵的设备价格，复杂的技术集成，网络铺设的巨大投入，都使得网络一侧设备研发制造成本高昂，门槛极高，这也使得它天然的成为可被信赖者。
这种身份鉴别方式本质上是一种二元结构下（手机和基站）的单向鉴别，也就是手机接入基站时，基站可以确认手机身份是否合法，但手机无法也无需确认基站身份是否合法，等同于只能门岗查你的身份证，你却无权让门岗出示身份证。其逻辑如下所示。
后来，在规模成本效应的作用下，基站设备成本急剧下降，甚至个人都买得起，在二元单向鉴别模式下，伪基站犯罪也就应运而生。所谓伪基站，并不是说基站设备是假货，而是说某个基站具备全部的基站功能和性能，只是它在网络里面没有合法身份（入网许可），但是它可以让手机连网成功，但是手机经过这个基站的信息都会被犯罪分子一览无遗。伪基站犯罪的出现，使得仅由基站对终端进行身份识别的技术思想遭到了致命打击。为了解决这类问题，IEEE又推出了升级版的WPA和WPA2安全技术。其逻辑如下图所示。
WPA/WPA2采用802.1x来实现身份鉴别，最显著的变化是引入了鉴别服务器，当手机试图接入网络时，信号通过接入点的透明传输到达鉴别服务器，进而让手机和鉴别服务器两者之间实现了双向身份鉴别，二者互相认定对方合法后，手机就能够接入网络了，某种意义上，实现了网元设备间的身份对等。相当于进入者和公安局直接互相亮出自己的证件，这在一定程度上保证了网络接入的安全。但这种结构下，接入点没有独立的身份，它也就不是一个独立的网元，它的合法性和安全性很大程度上由与之强绑定的鉴别服务器来背书。
这种结构看似是三元结构，但其实质还是二元结构，在接入点和鉴别服务器之间、终端和接入点之间完全可以引入新的攻击点，后来的事实也证明了这一点。2017年10月，来自比利时KU Leuven大学的Mathy Vanhoef宣布并演示了对WPA2的破解。随后，IEEE方面又在半年内紧急升级了WLAN的安全机制，WPA3被推出，只是WPA3并没有改变Wi-Fi的二元鉴别架构，在继续沿用过去不安全架构的情况下，WPA3依旧无法解决令人头痛的中间人攻击等问题。今年4月10日，WPA3的安全问题开始被披露出来。
三元结构：从“金字塔”到“双节棍”
很显然，二元结构下的单向鉴别和双向鉴别都有隐患，那么，通过改变网络鉴别结构来改进安全能力是否可行呢？技术上可行，但商业上无法接受。对于WiFi阵营来说，他们根本无法下这个决心，因为这意味着既有技术/市场秩序的重新洗牌，强势企业将失去优势地位。
当然，既得利益者抗拒改变，不等于所有人都默认现状合理。所以，三元鉴别结构就成为新人征战市场的武器。
三元认证的逻辑看起来并不复杂，与二元结构最大的不同在于：在网络身份认证结构上，赋予了手机、接入点、鉴别服务器（TTP）三个实体以各自独立的身份，这样一来，在鉴别服务器的帮助下，手机和接入点可以更安全可靠的完成双向对等身份鉴别，避免了诸如中间人攻击等安全隐患。
对于三元鉴别，我们直观的想象基本就是如下图所示的逻辑结构，即“金字塔模型”：
但是做工程研发的都知道一个铁律，技术的合理并不完全等于工程可用，“金字塔模型”也是如此。在实际应用中我们就会发现，“金字塔”结构应用于有线网络没有太大问题，但是对于无线网络则几乎不可用！
很显然，当我们的电脑通过有线方式联网，电脑A可以通过有线方式直接连到服务器和接入点B，因此，根据“金字塔模型”所设想的两两身份鉴别是可以实现的。但是如果发生在无线网络场景中，这种结构的工程实现就无计可施了，因为手机可以通过无线方式就近连接接入点，但是却无法连接放置在远方机房中的服务器，它在现实场景中的逻辑结构就成了下面这样：
此时，在线可信第三方TTP参与鉴别，但A、B两者仅一方能够连接可信第三方。为了适应无线场景的接入鉴别应用，“双节棍模型”被发明了出来（它们的逻辑抽象图很像一个“双节棍”形状，因此得名）。值得一提的是，这个实体鉴别模型是在2000年初期由一家中国企业发明提出的，这家企业叫做西电捷通公司。
超前于时代的“双节棍”
基于“双节棍模型”的网络实体鉴别，接入者或验证者通过对方间接与可信第三方交互凭证，利用可信第三方提供的对鉴别双方的凭证验证结果来鉴别对方的身份。这种情况下，如何对等的实现网元设备之间的身份鉴别呢？我们以下面的图示来加以说明：
这种三元架构采取了五步鉴别的模式，具体过程是这样的：
第一步接入点向终端发消息“鉴证身份开始”；
第二步终端发消息回答接入点“这是我的身份信息，请鉴别，并请给我看你的身份信息以及第三方对你的鉴别身份鉴别结果”；
第三步接入点向鉴别服务器发消息“这是我和终端的身份信息，请鉴别并反馈结果”；
第四步鉴别服务器给接入点发消息“这是对你和终端的身份鉴别结果”，此时接入点可判断终端身份是否合法；
第五步接入点将对鉴别服务器对接入点的鉴别结果发给终端，终端收到后根据之前收到的接入点的身份信息以及鉴别服务器的鉴别结果判断接入点的身份是否合法。
这五步信息的传递运用了公钥密码学原理，还包括集成数字证书技术，以提升终端和接入点双方身份的真实性。这样就在终端无法连接服务器的情况下，完美地实现与接入点之间可靠的鉴别过程。
我们为了方便说明，对于实体鉴别技术演化采取了顺序叙述的方式，但事实上，二元、三元以及单向、双向鉴别技术的出现并非顺序产生，实际上“双节棍模型”在WLAN网络尚处于二元单向鉴别时期就被西电捷通提出并发明，某种意义上，它是一种十分超前于时代的网络安全基础技术。在那个时候，需要三元结构并实施双向对等身份鉴别的应用场景还不多见，物联网等对等网络还处于概念阶段，所以它的价值在当时并没有被业界充分认识，直到后来伪基站、中间人攻击等网络安全问题大面积爆发，并成为严重的社会问题，西电捷通的这项发明才被业界逐渐重视起来。
“双节棍模型”的出现，为网络安全接入提供了众多应用场景的技术支撑，但它的使命还在继续，它的技术应用场景还在进一步拓展当中。继2010年两项技术成为国际标准之后，在2019年，基于“双节棍模型”的三项实体鉴别技术又被国际标准采纳。
回溯网络安全事业的发展，经历了从无到有的过程。早期的有线局域网国际标准中没有一页内容与安全有关，但是到了2016年，安全内容已经达到700多页；无线局域网国际标准文本在2000年时，安全内容只有11页，但到了2016年，已经达到166页之多；IP协议国际标准文本中，与安全有关的文本内容至今达到了200多页，占标准文本总量将近一半。
随着未来智能网络、物联网等应用场景的不断加入，网络安全技术乃至实体鉴别技术还会得到继续丰富发展。网络安全技术并不神秘，它结合着技术思想的发展，工程技术的创新，以及社会治理的进步，不断向前迈进，持续为我们的网络应用保驾护航。
閱讀更多 通信觀察 的文章
