第4章身份认证技术.ppt

第四章 身份认证技术 （1）保密性 （2）真实性 信息的真实性：对信息的来源进行验证； 身份的真实性：对信息发送方的身份进行验证，以确保信息由合法的用户发出； （3）完整性 防止非法用户对信息进行无意或恶意的修改、插入，防止信息丢失等。 （4）不可否认性 防止信息发送方在发出信息后又加以否认；防止接收方在收到信息后又否认曾收到过此信息及篡改信息。 （1）保密性 （2）真实性 身份的真实性 信息的真实性 （3）完整性 （4）不可否认性 4.1 身份认证的方法 4.1.2 口令认证 不安全口令的分析 安全口令的建议 典型的安全口令：一次性口令 一次性口令的原理 一次性口令的产生和验证过程 一次性口令系统实例 4.1.3 持证认证 4.1.4 生物识别认证 二、指纹识别技术 指纹取像的几种技术和特点 三、语音识别技术 语音识别的过程 四、虹膜识别技术 从实用角度而言，一个安全的身份认证协议至少应满足以下两个条件： 1. A能向验证者B证明他的确是A； 2. 在A向验证者B证明他的身份后，验证者B不能获得A的任何有用信息，B不能模仿A向第三方证明他是A。 4.2.1 一次一密机制 4.2.2 X.509公钥认证协议 数字证书是由大家共同信任的第三方认证中心 (CA)颁发的，CA有权利签发并废除证书并且对证书的真实性负责。 数字证书的内容 为了保证CA所签发证书的通用性，目前数字证书格式一般采用X.509国际标准。X.509的核心是建立存放每个用户的公钥证书的目录 (仓库)。用户公钥证书由可信赖的CA创建，并由CA或用户存放于目录中。 一个标准的X.509数字证书包含以下一些内容:(1)证书的版本信息；(2)证书的序列号；(3)证书所使用的签名算法；(4)证书的发行机构；(5)证书的有效期；(6)证书所有人的名称；(7)证书所有人的公开密钥；(8)证书发行者对证书的签名。 4.2.3 Kerberos认证协议 Kerberos的组成 4.2.4 零知识身份识别协议 Kerberos提供三种安全等级。 1) 只在网络开始连接时进行认证，认为连接建立起来后的通信是可靠的。认证式网络文件系统使用此种安全等级。 2) 安全消息传递：对每次消息都进行认证工作，但是不保证每条消息不被泄露。 3) 私有消息传递：不仅对每条消息进行认证，而且对每条消息进行加密。Kerberos在发送密码时就采用私有消息模式。 Kerberos的认证过程　P75 通过认证操作，用户C和服务器V互相验证彼此的身份，并且拥有只有C和V两者知道的会话密钥Kc,v，以后的通信都可以通过会话密钥得到保护。 AS TGS DB 用户C 服务器V Kerberos 其基本思想是：被认证方P掌握某些秘密信息，P希望让认证方V相信他确实掌握那些信息，但又不想让V知道那些信息。 被认证方P掌握的秘密信息可以是某些长期没有解决的猜想问题的证明，也可以是缺乏有效算法的难题解法。信息的本质是可以验证的，可以通过具体的步骤来检测它的正确性。 2 2 2 2 2 2 2 2 2 2 2 * * 安全需求分析 安全需求分析 加密技术 信息认证 身份认证 数字签名 认证技术 数字证书 4.1.1 身份认证的定义 证实客户的真实身份与其所声称的身份是否相符的过程。 身份认证的依据： （1）根据用户知道什么来判断（所知） 口令、密码等 （2）根据用户拥有什么来判断（拥有） 身份证、护照、门钥匙、磁卡钥匙等 （3）根据用户是什么来判断（特征） 指纹、声音、视网膜、签名、DNA等 口令识别是应用最为广泛的身份认证技术。 口令长度：通常为长度为5~8的字符串。 选择原则：易记、难猜、抗分析能力强。 使用用户名（账号）作为口令 使用用户名（账号）的变换形式作为口令 使用自己或者亲友的生日作为口令 使用学号、身份证号、单位内的员工号码等作为口令 使用常用的英文单词作为口令 口令长度至少要有8位 口令应包括大小写字母、数字或控制符等 不要将口令写在纸上 要养成定期更换口令的习惯 尽量不要在电脑上保存口令 一次性口令（OTP，One Time Password）： 一次性的主要思路是：在登录过程中加入不确定因素，使每次登录过程中传送的口令都不相同，以提高登录过程安全性。 一次性口令的特点： ? 概念简单，易于使用：基于一个被记忆的密码，不需要任何附加的硬件； ? 算法安全：不需要存储诸如密钥、口令等敏感信息。 基于客户端/服务器模式 客户端：每次登录生成一次性口令； 服务器：验证客户端的一次性口令。 一次性口令的安全原理 使用一次性口令序列