第四章网络身份认证.pptVIP

第四章 网络身份认证 1 概述 认证技术 提供信息完整性、防止抵赖和篡改的安全技术。 是最重要的安全服务之一。 认证服务提供了关于某个实体身份的保证。（所有其它的安全服务都依赖于该服务） 数字签名 手写签名的电子化 消息认证 消息来源和内容的合法性 数字摘要（杂凑函数） 消息的完整性 身份认证 实体所宣称与实体本身的相符性 数字签名 消息认证用于保护通信双方之间的数据交换不受第三方的侵犯，但不能保证双方自身的相互欺骗。 假定A发送一个认证的消息给B，双方可能存在的争议形式： B伪造一个不同的消息，但声称消息来自A； A否认发送过消息，B无法证明A确实发送了该消息。 无仲裁数字签名（直接数字签名） 仅涉及通信双方 有效性依赖发方密钥的安全性 有仲裁数字签名 使用第三方认证 数字签名技术 身份认证 证实客户的真实身份与其所声称的身份是否相符的过程。 依据 Something the user know (所知） 密码、口令等 Something the user possesses （拥有） 身份证、护照、密钥盘等 Something the user is (or How he behaves) 指纹、笔迹、声音、虹膜、DNA等 标识、认证、授权和稽核 标识：一种能够确保主体（用户、程序获进程）就是它所宣称的那个实体的方法 认证：证明、确认标识的正确性 授权：认证通过后，对主体访问资源的能力的安排。是操作系统的核心功能。 稽查：对主体行为的审核和记录 2 标识与认证 生物标识和认证 口令 有感知的口令 一次性口令 令牌装置 密码认证 存储卡 智能卡 生物标识和认证 等误判率：随着敏感度的变化，错判与漏判的比率会发生变化，两者比率相同时的数值 指纹、手掌轮廓、视网膜（眼球后方视网膜上的血管的图形）、虹膜（瞳孔周围彩色部分）、动态签名、动态键盘输入、语音识别、面部特征、手型拓扑 口令机制 口令或通行字机制是最广泛研究和使用的身份鉴别法。通常为长度为5~8的字符串。选择原则：易记、难猜、抗分析能力强。 口令系统有许多脆弱点： 外部泄露 口令猜测 线路窃听 危及验证者 重放 对付外部泄露的措施 教育、培训； 严格组织管理办法和执行手续； 口令定期改变； 每个口令只与一个人有关； 输入的口令不再现在终端上； 使用易记的口令，不要写在纸上。 对付口令猜测的措施 教育、培训； 严格限制非法登录的次数； 口令验证中插入实时延迟； 限制最小长度，至少6~8字节以上 防止用户特征相关口令， 口令定期改变； 及时更改预设口令； 使用机器产生的口令。 对付线路窃听的措施:使用保护口令机制(如单向函数) 对付重放攻击的措施 有感知的口令 常规问题＋个性化回答 一次性口令 令牌装置＋同步机制 令牌装置＋异步机制（交互应答＋认证服务器通信＝“间接的同步”） 密码认证 对称密码体制认证 公钥密码体制认证 HASH认证 …… 存储卡 直接使用存在卡中的信息与库中信息比对 可结合普通口令机制，双重比对 智能卡 卡本身具有认证比对功能，加强卡自身安全保护 随后再进一步认证 3 授权 授权方法 默认拒绝 授权方法 角色访问方法：不同角色的业务访问需求可能类似 组访问原则方法：需要同样访问权限的用户的集合 物理和逻辑位置访问原则： 时间： 事务类型限制：事务实例取值的不同，访问权限赋予可能也不同。（银行取钱，职责不同，能操作的金额应该不一致；数据库管理员负责建立人事数据库，但他未必有权访问这些数据记录） 默认拒绝 一般授权的基本原则 默认拒绝 需要知晓:授予能够实现业务的最小权限，与最小特权原则一致 4 单点登录 脚本方式 Kerberos 脚本方式 包含有每一用户ID、口令字和对应平台登录命令的批处理文件 用户使用方便 管理员需要事先编写脚本 管理员跟踪活替换口令更改机制 脚本本身的机密性、完整性要求极高 平台升级可能会要求脚本升级 Kerberos 分布式单点登录的实例 使用对称加密算法体系 主要组件： 密钥分发中心：存有所有用户和服务的密钥；具有密钥分发和认证功能；客户和服务充分信任KDC是系统安全的基础 实体对象：主体，用户、程序或服务， 票证：用户主体之间访问认证 Kerberos弱点： 单点故障 必须实施处理大量信息 密钥需要暂时性的存在工作站上，存在威胁 会话密钥被解密后仍保留在缓存中，存在威胁 对密码猜测的字典攻击 密钥更新过程复杂 5 访问控制威胁 字典式攻击 获取认证字符串字典，试图进入 对策： 尽量不要将口令明文存放 使用一次性口令 频繁更新口令 IDS探测攻击者 口令中包含特殊字符 蛮力攻击 事先使用蛮力攻击评估口令安全性 审计 陷值设定 6 什么是PKI PKI（Public Key Infrastructure）是一个用公钥概念与技术来实