第7章协议安全技术[认证协议].pptVIP

电子科技大学 计算机科学与工程学院 ;X.509认证协议;X.509认证协议;回顾：身份认证;回顾：身份认证（续）;回顾：身份认证（续）;回顾：身份认证（续）;口令认证协议PAP;口令认证协议PAP（续）;口令认证协议PAP（续）;口令认证协议PAP（续）;口令认证协议PAP ：总结;挑战－应答认证协议CHAP;挑战－应答认证协议CHAP（续）;挑战－应答认证协议CHAP（续）;挑战－应答认证协议CHAP（续）;挑战－应答认证协议CHAP（续）;挑战－应答认证协议CHAP（续）;挑战－应答认证协议CHAP：总结;X.509认证协议;是美国麻省理工学院（MIT）开发的一种身份鉴别服务。 “Kerberos”的本意是希腊神话中守护地狱之门的守护者。 Kerberos提供了一个集中式的认证服务器结构，认证服务器的功能是实现用户与其访问的服务器间的相互鉴别。 Kerberos建立的是一个实现身份认证的框架结构。 其实现采用的是对称密钥加密技术，而未采用公开密钥加密。 公开发布的Kerberos版本包括版本4和版本5。 ;Kerberos设计目标;基本思路： 使用一个（或一组）独立的认证服务器（AS —Authentication Server），来为网络中的用户（C）提供身份认证服务； 认证服务器 (AS)，用户口令由 AS 保存在数据库中； AS 与每个服务器（V）共享一个惟一保密密钥（Kv）（已被安全分发）。 会话过程：;会话过程：;Kerberos设计思路（续）;Kerberos设计思路（续）;Kerberos设计思路（续）;Kerberos设计思路（续）;Kerberos设计思路（续）;问题： 用户希望输入口令的次数最少。 口令以明文传送会被窃听。 解决办法 票据重用（ticket reusable）。 引入票据许可服务器（TGS - ticket-granting server） 用于向用户分发服务器的访问票据； 认证服务器 AS 并不直接向客户发放访问应用服务器的票据，而是由 TGS 服务器来向客户发放。;Kerberos设计思路（续）;两种票据 票据许可票据（Ticket granting ticket） 客户访问 TGS 服务器需要提供的票据，目的是为了申请某一个应用服务器的 “服务许可票据”； 票据许可票据由 AS 发放； 用 Tickettgs 表示访问 TGS 服务器的票据； Tickettgs 在用户登录时向 AS 申请一次，可多次重复使用； 服务许可票据（Service granting ticket） 是客户时需要提供的票据； 用 TicketV 表示访问应用服务器 V 的票据。;Kerberos设计思路（续）;Kerberos设计思路（续）;Kerberos设计思路（续）;Kerberos设计思路（续）;Kerberos设计思路（续）;Kerberos设计思路（续）;Kerberos V4协议描述：第一阶段;Kerberos V4协议描述：第二阶段;Kerberos V4协议描述：第三阶段;Kerberos V4协议描述：共享密钥及会话密钥;Kerberos设计思路;Kerberos（V4）协议交互过程;依赖性 加密系统的依赖性（DES）、对 IP 协议的依赖性和对时间依赖性。 字节顺序：没有遵循标准 票据有效期 有效期最小为5分钟，最大约为21小时, 往往不能满足要求 认证转发能力 不允许签发给一个用户的鉴别证书转发给其他工作站或其他客户使用;Kerberos（V4）协议的缺陷（续）;加密系统 支持使用任何加密技术。 通信协议 IP 协议外，还提供了对其他协议的支持。 报文字节顺序 采用抽象语法表示（ASN.1）和基本编码规则（BER）来进行规范。;Kerberos（V5）协议的改进（续）;Kerberos 领域(realm);Kerberos 领域间的互通;远程服务访问的认证过程;X.509认证协议;由ITU-T制定的 X.509是ITU-T的X.500（目录服务）系列建议中的一部分 X.500是一套有关目录服务的建议，而X.509定义了目录服务中向用户提供认证服务的框架。 X.509协议的实现基于公开密钥加密算法和数字签名技术。 ;证书由可信证书权威机构（CA - Certficate? Authority）创建 用户或 CA 将证书存放在目录服务器中； 表示法：证书机构 Y 颁发给用户 X 的证书表示为 YX CAA 表示 CA 颁发给用户 A 的证书。 CA 用其私有密钥对证书进行了签名 用户可用 CA 的公开密钥验证证书的有效性； 任何拥有 CA 公开密钥的用户都可以从证书中提取被该证书认证的用户的公开密钥； 除了CA外，任何用户都无法伪造证书或篡改证书的内容； 由