用户身份可鉴别性机制研究.pptVIP

章节介绍 7.4 网络安全中用户身份可鉴别性机制与评价 7.4.1 基于口令的用户身份鉴别机制与评价 7.4.2 基于口令摘要的用户的身份鉴别机制与评价 7.4.2 基于随即挑战的用户的身份鉴别机制与评价 7.4.2 基于口令卡的用户的身份鉴别机制与评价 7.4.2 基于鉴别令牌的用户的身份鉴别机制与评价 7.4.2 基于数字证书的用户的身份鉴别机制与评价 7.4.2 基于生物特征的用户的身份鉴别机制与评价 7.5 AAA服务 7.5.1 RADIUS协议 7.5.2 AAA服务器设计 鉴别过程中涉及的对象 提供身份信息的被验证者，称为用户，用户端通常需要有进行登录的设备或系统 检验身份信息正确性和合法性的一方被称为认证服务器，服务器上存放用户的鉴别方式及用户的鉴别信息 提供仲裁和调节的可信的第三方 企图进行窃听和伪装身份的攻击者 认证设备，是用户用来产生或计算密码的软硬件设备 身份鉴别的基本思路 通过与用户的交互获得相关的身份信息，然后提交给认证服务器，后者将身份信息与存储在数据库里的身份信息进行核对处理，根据比较结果确认用户身份是否真实可信 注意：在鉴别中，要求用户身份标识必须唯一 算法评价 优点 简单易用，在安全性要求不高的情况下易于实现 缺点： 口令以明文存放在数据可库，易泄漏信息 口令以明文传递，容易被窃听 口令相对固定 基于鉴别令牌鉴别机制的分类 根据令牌的使用方法： 基于随机挑战的令牌用户鉴别机制 基于时间的令牌用户鉴别机制 基于随机挑战的令牌用户鉴别机制 步骤一： S生成令牌的随机种子，这个种子在令牌中存储，同时这个种子和用户名存储在服务器的用户数据库中。 步骤二： U在客户端只输入自己的用户名，不输入口令 步骤三： S检查用户名是否有效，如果无效，就像用户返回相应的错误信息，结束鉴别过程；如果用户名有效，就进入步骤4. 步骤四：服务器生成一个随机挑战（随机数），保留这个随机挑战并通过网络传递到U。 基于随机挑战的令牌用户鉴别机制 步骤五： U使用PIN（Personal Identification Number）打开令牌 步骤六： U向令牌中输入从服务器收到的随机挑战，令牌自动用种子值加密随机挑战，结果显示在令牌上 步骤七： U将用种子值加密的随机挑战通过网络传递到S 步骤八： S对U进行身份鉴别。它用用户的种子值解密从用户那里收到的加密随机挑战（用户可以通过服务器的用户数据库取得）。如果解密结果与服务器上原先发给U的随机挑战相等，S就向U返回鉴别成功信息，否则返回鉴别失败信息 算法评价 优点： 不需记口令，拥有令牌即可 缺点： 服务器遭到攻击后，种子易暴漏给攻击者(改进服务器中存储用户加密的种子）。 使用不方便（要进行三次输入）。 基于时间的鉴别令牌 第3步：鉴别时，U通过令牌的屏幕阅读其中产生的口令，然后通过网络将其用户名和口令发送到S。 第4步：S查出服务器数据库中该用户的用户名和对应的种子，并对用户种子值和当前系统时间独立执行同样的加密功能，生成自己的口令 第5步：S对U进行身份鉴别。如果第3步和第4步的用户名和口令分别相等，S就向U返回鉴别成功信息，否则返回鉴别失败信息。 算法评价 优点： 简化了用户使用令牌的步骤 防止攻击者的网络截获口令攻击和重放攻击 缺点： 该机制需要解决时间窗口过时的问题 7.5 AAA服务 AAA：Authentication、Authority、Accounting（认证、授权、计费） Authentication: 确认远端访问用户的身份，判断访问者是 否为合法的网络用户。 Authorization : 对不同用户赋予不同的权限，限制用户可以使用的服务。 Accounting : 记录用户使用网络服务中的所有操作，包括使用的服务类型、起始时间、数据流量等，它不仅是一种计费手段，也对网络安全起到了监视作用。 7.4.5 基于鉴别令牌的用户身份鉴别机制 鉴别令牌是个小设备，像钥匙扣、计算器或信用卡那么大 鉴别令牌通常具有如下结构： 处理器、电池、小显示屏幕LCD、(可选)小键盘，用于输入信息、(可选)实时时钟、每个鉴别令牌(即每个设备)预编程了一个唯一数字，称为随机种子(random seed)。 随机种子是保证鉴别令牌产生唯一输出的基础 登录请求 用户名：zhangsan 基于时间的鉴别令牌 具体步骤： 第1步：S生成令牌的随机种子，这个种子在令牌中存储，同时这个种子和用户名存储在服务器的用户数据库中。 第2步：令牌每60秒自己生成一个口令，生成的口令是基于令牌种子和当前系统时间的，令牌对这两个参数进行某种加密处理，自动产生口令，然后在