第9章 身份认证技术.ppt

第九章 身份认证技术 提纲 9.1 身份认证技术概述 9.2 基于口令的身份认证 9.3 基于X509的身份认证 9.4 基于生物特征的身份认证 9.1 身份认证简介 9.1.1身份认证的需求 9.1.2身份认证的基本模型 9.1.3身份认证的途径 9.1.4常用的身份认证技术 身份认证的基本要素 基于你所知道的（What you know ） 知识、口令、密码 基于你所拥有的（What you have ） 身份证、信用卡、钥匙、智能卡、令牌等 基于你的个人特征（What you are） 指纹，笔迹，声音，手型，脸型，视网膜，虹膜等 每一种要素都有各自的局限性 “用户拥有的物品”可能被偷窃或者丢失。 “用户已知的事”可能会被猜测出来、或者大家都知道、或者被忘记； “用户的个人特征”尽管是最强的认证方法，但成本也最高。 身份认证的形式 单向认证：当某个客户A需要服务器S的服务时，客户A必须被服务器认证，这就是单向认证。 双向认证：双向认证是一种相互认证，其过程是在单向认证的基础上增加反方向的认证，即服务器身份被用户认证。 第三方认证：第三方存储全部用户的口令，并且仅仅负责存储和验证口令。每个用户或者服务器都向可靠的第三方发送ID和口令，用于认证。 公钥识别：随着公钥密码体制的出现，利用密码技术进行用户认证得以实现。由于私钥、私钥成对出现且不可互推，因此私钥的持有者证实了自己的身份。 常用的身份认证技术/协议 简单口令认证 质询/响应认证 一次性口令认证（OTP） Kerberos认证 基于公钥证书的身份认证 基于生物特征的身份认证 9.1 身份认证技术概述 9.2 基于口令的身份认证 9.3 基于X509的身份认证 9.4 基于生物特征的身份认证 简单口令认证 当被认证对象要求访问提供服务的系统时，提供服务的认证方要求被认证对象提交该对象的口令，认证方收到口令后，将其与系统中存储的用户口令进行比较，以确认被认证对象是否为合法访问者。 存在的不足 明文方式输入口令，这时很容易泄密。 口令在传输过程中可能被截获。 系统中所有用户的口令以文件形式存储在认证方，攻击者可以利用系统中存在的漏洞获取系统的口令文件。 用户在访问多个不同安全级别的系统时，都要求用户提供口令。 只能进行单向认证，即系统可以认证用户，而用户无法对系统进行认证。攻击者可能伪装成系统骗取用户的口令。 许多用户再选择口令时，都选择便于记忆的口令，这类口令很容易被猜到或被破解，称为弱口令 质询/握手认证协议（CHAP） Challenge and Response Handshake Protocol Client和Server共享一个密钥 一次性口令 一次性口令是变化的密码，其变化的来源产生于密码的运算因子是变化的。 一次性口令的产生因子一般都采用双运算因子（Two Factor）:其一是用户的私有密钥。它代表用户身份的识别码，是固定不变的。其二是变动因子。正是因为变动因子的不断变化，才产生了不断变动的一次性口令。 采用不同的变动因子，形成了不同的一次性口令认证技术：基于时间同步的认证技术、基于事件同步的认证技术、挑战/应答方式的非同步认证技术。 S/Key S/KEY的优点： 用户通过网络传给服务器的口令是利用秘密口令和seed经过MD4或者MD5散列算法生成的密文，用户本身的秘密口令并没有在网络上传播。 在服务器端，因为每一次成功的身份认证之后，seq就自动减1。这样，下一次用户连接时生成的口令同上一次生成的口令是不一样的，从而有效地保证了用户口令的安全； 实现原理简单。Hash函数的实现可以用硬件实现。 S/KEY的缺点： 会给使用带来一点麻烦（如口令使用一定次数后就需要重新初始化，因为每次seq都要减1） S/KEY依赖于某种算法（MD4或者MD5）的不可逆性，当有关这种算法可逆计算研究有了新进展时，系统将被迫重新选用其它更安全的算法。 系统不使用任何形式的会话加密，因此没有保密性。 双因素认证 把前两种要素结合起来的身份认证方法称为“双因素认证”，是目前具有较高安全性的认证方法。 双因素静态身份认证：每次登录时用户提供的口令和物理设备都是不变的； 双因素动态认证：在静态口令的基础上，增加一个令牌访问设备，令牌设备提供动态口令，从而构成一个他人无法复制和识破的安全密码。 双因素动态身份认证系统 令牌：令牌的作用是产生动态口令，动态口令的产生可以使用口令序列、质询/响应方式、一次性口令技术等。 认证代理：认证代理是实现认证功能的中间组件，当一个用户想要访问某个资源时，认证代理会将请求发送到身份管理服务器进行身份认证，认证通过后放行。 身份管理服务器：身份管理服务器将一个性能卓越的认证引擎和集中式管理能力结合在一起。当管理服务器收