身份鉴别和访问控制技术综述.docVIP

身份鉴别与访问控制技术综述 魏明欣1，何长龙2，李伟平3 (1.吉林省政府发展研究中心 长春130015 2.北京大学电子政务研究院 北京 100018 3.长春吉大正元信息技术股份有限公司 长春130012) 摘要：身份认证是网络安全的最基本元素，它们是用户登录网络时保证其使用和交易安全的首要因素。本首先介绍的基本概念及相关知识一、概述 身份鉴别与访问控制技术是信息安全理论与技术的一个重要方面。，如图1所示用户在访问，首先访问监控访问监控根据身份授决定用户资源。授由安全管理员按照需要进行配置。入侵侦测系统实时或非实时地是否有入侵行为 图1 身份鉴别与访问控制技术保护信息资源安全示意图 下面进行讨论。 图2 身份鉴别模型 鉴别模型一般由可信第三方、声称者和验证者共三部分组成。声称者向验证者声明自己的身份并出示用于验证其身份的凭证，验证者验证声称者的身份凭证，验证过程可由验证者独立完成也可委托可信第三方完成凭证的验证。 按照鉴别的方向分类，身份鉴别分为单向鉴别和双向鉴别。单向鉴别时验证者鉴别声称者的身份，而双向鉴别时验证者和声称者相互验证对方向的身份。 2.常用身份鉴别技术 一般而言，身份可以基于如下一个或几个因素用户知道的，如口令。 用户拥有的，如智能卡。 用户具有的生物特征，如指纹、声音、视网膜扫描等。方式基于口令的认证方式是最常用的一种技术。它是一种单因素的认证，安全性仅依赖于口令，口令一旦泄露，用户即可被冒充。更严重的是用户往往选择简单、容易被猜测的口令，如与用户名相同的口令、生日、单词等。这个问题往往成为安全系统最薄弱的突破口。口令一般是后存放在口令文件中，如果口令文件被窃取，那么就可以进行离线的字典式攻击。这也是黑客最常用的手段之一。2）．基于智能卡的方式 智能卡具有硬件加密功能，有较高的安全性。每个用户持有一张智能卡，智能卡存储用户个性化的秘密信息，同时在验证服务器中也存放该秘密信息。进行认证时，用户输入PIN（个人身份识别码），智能卡认证PIN，成功后，即可读出智能卡中的秘密信息，进而利用该秘密信息与主机之间进行认证。 基于智能卡的认证方式是一种双因素的认证方式（PIN＋智能卡），即使PIN或智能卡被窃取，用户仍不会被冒充。智能卡提供硬件保护措施和加密算法，可以利用这些功能加强安全性能，例如可以把智能卡设置成用户只能得到加密后的某个秘密信息，从而防止秘密信息的泄露。 基于生物特征方式 这种认证方式以人体惟一的、可靠的、稳定的生物特征（如指纹、虹膜、脸部、掌纹等）为依据，采用计算机的强大功能和网络技术进行图像处理和模式识别。该技术具有很好的安全性、可靠性和有效性，与传统的身份确认手段相比，无疑产生了质的飞跃。近几年来，全球的生物识别技术已从研究阶段转向应用阶段一次性口令方式为解决固定口令的问题，安全专家提出了一次性口令（OTP：One?Time?Password）的密码体制，以保护关键的计算资源。?OTP核心思路是在登录过程中加入不确定因素，使每次登录过程中传送的信息都不相同，以提高登录过程安全性。例如：登录密码=MD5(用户名＋密码?＋时间），系统接收到登录口令后做一个验算即可验证用户的合法性。?大都采用了参考监控器这样的访问控制机制，见。参考监控器负责调解主体对系统资源（即客体）的访问，通过检测库中的规则来进行访问请求判断，然后执行。传统上，通过主体(动作(客体结构，设置了什么主体可以对什么客体执行什么操作。可以用访问矩阵来表示，行表示主体，列表示客体，每个元素表示主体对相应客体的访问权限。 为了进行决策，一个参考监控器将和三组信息，即访问请求信息、提出访问请求的主体、被访问的客体信息，作为输入。 在传统的模型中，访问请求信息通常就是操作请求类型，例如操作类型。在MAC、DAC中，操作通常为简单的、、等，RBAC将操作请求扩展到在应用级上的一些操作，如审批、申请等。 主体的信息分为两类：安全相关信息和安全不相关。安全相关的信息由安全管理员或用户管理员来控制，描述了主体的身份、组成员、允许的权限等安全属性。在授权管理模型中，主体中只有安全相关的信息才能用于访问控制决策。 同样，被访问客体的信息也被分为安全相关信息的和安全不相关信息。类似于主体，在授权管理模型中，客体中只有安全相关的信息才被用在访问控制决策中，如客体名称、安全标签等。 参考监控器将上面三组信息入进行计算，计算的最终结果是对访问的允许（allow）或禁止（deny）。  考模型 从可以看出，在考模型中，主体和客体是相互独立的，它们之间或者互不牵连，或者只通过一些共同的标记来进行联系（如安全标签）。主体有主体的结构和标记，客体有客体的结构和标记，中间满足关系，就放行，否则就拦截。参考监控器所使用的主客体的信息是受限的，只有主客体的安全相关属性