认证授权与访问控制解决方案.ppt

认证、授权与访问控制 四道防线 第一道防线：网络与系统接入控制 防止 第二道防线：用户管理与资源访问（数 据存取）控制 阻止 第三道防线：病毒防范与动态安全管理。 检测 第四道防线：灾难预防与系统恢复 （备份）。 纠正 第二道防线内容 1. 信息认证技术 2. 访问控制技术 3. 数据库安全技术 一、信息认证技术 认证和保密是信息安全的两个重要方面，是两个独立的问题。 保密：防止明文信息的泄露。 认证：防止第三方的主动攻击，是密码学的一个重要分支。 认证的目的：?信源认证：防冒充 ?检验发送信息的完整性 认证 认证：向一个实体确认另一个实体确实是他自己。 鉴别：实体鉴别 数据完整性鉴别 基本的认证技术包括数字签名、消息认证、数字摘要（杂凑函数）和简单的身份认证等。 这些能够提供信息完整性、防止抵赖和防止篡改等功能。 信息认证技术 1 杂凑函数与消息完整性 2 消息认证码 3 数字签名 4 身份识别技术 5 口令管理 1.杂凑函数与消息完整性 Hash函数 Hash：数字指纹、消息摘要、压缩函数、 杂凑、散列等 Hash：杂烩菜：肉末、土豆和蔬菜等作成的通常呈褐色的菜。 Hash函数：是一种能够将任意长度的消息映射到某一固定长度的消息摘要的函数。 压缩性、易计算 Hash function A (mathematical) function which maps values from a large (possibly very large) domain into a smaller range. A “good” hash function is such that the results of applying the function to a (large) set of values in the domain will be evenly distributed (and apparently random) over the range. Hash Function Properties a Hash Function produces a fingerprint of some file/message/data h = H(M) condenses a variable-length message M to a fixed-sized fingerprint assumed to be public Hash 函数不使用密钥，它仅是输入消息的函数。 Requirements for Hash Functions can be applied to any sized message M produces fixed-length output h is easy to compute h=H(M) for any message M given h is infeasible to find x s.t. H(x)=h one-way property given x is infeasible to find y s.t. H(y)=H(x) weak collision resistance is infeasible to find any x,y s.t. H(y)=H(x) strong collision resistance 实现hash函数的方法： 使用数学上的单向函数 使用分组密码系统 基于软件的杂凑算法：MD4、MD5 Hash Algorithms 1). MD5 2). SHA-1 3). RIPEMD-160 4). HMAC 单向杂凑函数保护数据完整 定长的杂凑值H(M)：是报文所有比特的函数值，并有差错检测能力。 报文中任意一比特或若干比特发生改变都将导致杂凑值（散列码）发生改变。 2.消息认证码MAC MAC 消息认证码 报文鉴别码 密码校验和 MAC=Ck（M） MAC算法不要求可逆性 MAC函数是多对一函数 定义域：任意长的消息 值域：所有可能的MAC和密钥组成 MAC Properties a MAC is a cryptographic checksum MAC = CK(M) condenses a var