第四讲-网络安全协议.pdfVIP

Windows操作系统安全机制 Windows操作系统安全机制 电子邮件安全 电子邮件安全 ? 自己看书 2009-04-10 2 第四讲 网络安全协议分析 第四讲 网络安全协议分析 Contents ? Kerberos ? SSL ? SET 2009-04-10 4 Contents ? Kerberos ? SSL ? SET 2009-04-10 5 Kerberos简介 ? 是美国麻省理工学院（MIT）开发的一种身份鉴别服务 ? “Kerberos”的本意是希腊神话中守护地狱之门的守护者 ? Kerberos提供了一个集中式的认证服务器结构，认证服务器的 功能是实现用户与其访问的服务器间的相互鉴别 ? Kerberos建立的是一个实现身份认证的框架结构 ? 其实现采用的是对称密钥加密技术，而未采用公开密钥加密 ? 公开发布的Kerberos版本包括版本4和版本5 2009-04-10 6 Kerberos设计思路 ? 基本思路： – 使用一个（或一组）独立的认证服务器 （AS —Authentication Server） 来为网络中的用户（C）提供身份认证服务； – 认证服务器 AS ，用户口令由 AS 保存在数据库中； – AS 与每个服务器（V）共享一个惟一保密密钥（Kv ）（已被安全分发）。 2009-04-10 7 Kerberos设计思路（续） AS 搜索数据库看用户是否合法 ? 会话过程： 如果合法，验证用户口令是 认证服务器 否正确 1 IDC , PC , IDv 如果口令正确，检查是否有 权限访问服务器V Ticket Ticket E [ID , AD , ID ] Kv C C v 用与AS共享密钥解密票据 C IDC , Ticket V 检查票据中的用户标识与网 用户 应用服务器 络地址是否与用户发送的标 识及其地址相同 如果相同，票据有效，认证 IDC ：用户C的标识 通过 PC ：用户口令 IDv ：服务器标识 ADC ：用户网络地址 2009-04-10 8 Kerberos设计思路（续） 电影院售票处 你的电影票 我要买票 这是我的电影票 观众 电影院 2009-04-10 9 Kerberos设计思路（续） 问题：如何买票 答案：出示信用卡卡号和密码 电影院售票处 你的电影票 问题之一：信用卡问题 我要买票， 这是我的信 用卡密码 这是我的电影票 观众 电影院 2009-04-10 10 Kerberos设计思路（续） 问题之二：票的有效期问题 电影院售票处 你的电影票 我要买票， 这是我的信 用卡密码 这是我的电影票 这是我的电影票 观众 这是我的电影票 电影院 2009-04-10 11 Kerberos设计思路（续） 电影院售票处 电影院乙 你的电影票 问题之三：多个电影院问题 我要买票， 这是我的信 这是我的电影票？ 用卡密码 ？？ 这是我的电影票 观众 电影院甲 2009-04-10 12 Kerberos设计思路（续） ? 上述协议的问题： – （1）口令明文传送 – （2）票据的有效性（多次使用） – （3）访问多个服务器则需多次申请票据（即口令多次使用） ? 如何解决 2009-04-10 13 Kerberos设计思路（续） ? 问题： – 用户希望输入口令的次数最少。 – 口令以明文传送会被窃听。 ? 解决办法 – 票据重用（ticket reusable）。 – 引入票据许可服务器（TGS - Ticket-Granting Server） ? 用于向用户分发服务器的访问票据； ? 认证服务器 AS 并不直接向客户发放访问应用服务器的票据，而是由 TGS 服务器来向客户发放。 2009-04-10 14 Kerberos设计思路（续） 许可证部门 电影院售票处 购票许可证 问题：解决了重复使用信 我要买票， 这是我的购票 用卡问题，但是其他两个 这是我的信 用卡密码 许可证 你的电影票 问题没有解决 引入了许可证可信问题 这是我的电影票 观众 电影院乙 2009-04-10 15 Kerberos的票据 ? 两种票据 – 票据许可票据（Ticket Granting Ticket） ? 客户访问 TGS 服务器需要提供的票据，目的是为了申请某一个应用 服务器的 “服务许可票据”； ? 票据许可票据由 AS 发放； ? 用 Tickettgs 表示访问 TGS 服务器的票据； ? Tickettgs 在用户登录时向 AS 申请一次，可多次重复使用； – 服务许可票据（Service granting tic