第四章身份认证技术.ppt

第4章 身份认证技术 如何验证一个人的身份呢？ 在现实生活中，验证一个人的身份主要通过以下方式： 你所知道的信息：暗号 你所拥有的东西：印章 你的独一无二的身体特征 身份认证技术 身份认证方法基于以下几个因素： 口令 物理上的密钥或卡 指纹或视网膜 展示在特定场所或网络地址上的证据 可以验证申请人身份的其他可信任方 身份认证方法与所表示的身份有关： 实体认证 身份以参与通信会话的某个人、系统或应用程序来代表 数据源认证 当事人的身份以某个信息来代表，表明信息是由该当事人发出的。 口令和个人识别码（PIN） 用户名?口令是最常用的身份认证方法 口令是静态数据，在验证过程中需要在计算机内存和网络中传输，而每次验证过程中使用的验证信息都是相同的，很容易被驻留在计算机内存中的木马程序或网络中的监听设备截获。 UＣ明文传输用户密码 去年底爆发的互联网泄密风波正扩散至移动互联网领域，日前，一位自称初级黑客的网友在天涯网发布《有图有真相 你还敢用UC上网吗？》的帖子，声称UC浏览器使用明文的方式传输用户密码，导致第三方可以轻松窃取UC浏览器用户登录各个网站的用户名和密码。 通过笔记本电脑在星巴克、麦当劳等人流密集地区伪造无密码的无线热点AP，在电脑上安装Wireshark软件进行抓包。 　 在手机上打开UC浏览器，然后访问Gmail登录，同时在电脑上启用Wireshark进行抓包监听，如果测试登录的用户名为williamlong，密码为1234567890123，登录完成后停止抓包然后进行分析，抓包的截图显示该用户名和密码为明文传输，通讯协议为HTTP，连接的是广州的 　一台服务器，这证明了原有的HTTPS安 全连接遭到了破坏。 　 为什么HTTPS是安全的？ HTTPS（超文本传输安全协议，Hypertext Transfer Protocol Secure）是一种常见的网络传输协议，提供客户端和服务器的加密通讯，HTTPS的主要思想是在不安全的网络上创建一安全信道，对监听和中间人攻击提供合理的保护。 　　HTTP是不安全的，通过监听和中间人攻击等手段，可以获取网站帐户和敏感信息等，HTTPS被设计为可防止前述攻击，并被认为是安全的。 比如上面这个案例，通过伪造WiFi热点进行抓包监听，如果手机使用原生浏览器的话，通常来说，是无法监听到HTTPS方式访问的内容，HTTPS通讯内容均为加密信息，很难被破解。但是所有的HTTP访问信息都会被获取，如果用户使用HTTP访问一些隐私信息，则存在隐私泄漏的风险，例如用户使用百度搜索（目前百度只有HTTP版本），那么搜素的关键词就会被第三方监听，从而带来泄密的风险，这也就是2010年5月Google在全球部署HTTPS加密搜索的原因了，有了HTTPS版本的Google搜索，手机用户即使在不安全的无线热点进行搜索，其搜索的内容也不会被人窃取。 　可见普通的HTTP浏览是不安全的，而HTTPS浏览相比比较安全。 UC浏览器的问题  使用手机内置的浏览器，在不安全的WiFi下问HTTPS仍然是相对安全的，然而UC浏览是一种中转压缩的技术进行加速，实现快捷上网，节省用户流量，这样，所有的访问都通过UC的代理服务器整理后传送UC浏览器客户端。当用户通过UC浏览器登录Gmail的时候，UC浏览器会把用户访问的URL地址和提交的信息发送到附近的一台UC服务器，这里存在的漏洞是，UC浏览器手机端和UC服务器之间的通讯是采用HTTP协议，并且包括用户名和密码在内的所有信息均为明文传输，这使得UC浏览器和UC服务器之间的通讯可以被监听和抓包，第三方可以通过这种方法获取手机用户的帐户密码等敏感信息，用户通过登录的任何网站都会被监听，包括邮箱、网站后台、网银、网上支付等。 以上就是针对基于口令的身份认证所存在的通信窃取问题。 出此之外，基于口令的身份认证主要还面临着如下威胁： 　外部泄露 　猜测　 　重放 　危及主机安全 身份认证协议 １．变换后的口令 口令在客户端通过单向函数处理成为变换后的口令形式，再传送给服务器。 ２．提问－答复 ３．时间戳 身份认证协议 ４．　一次性口令 ５．　数字签名 Kerberos 简介 Kerberos 麻省理工学院为Athena 项目开发的一个认证服务系统 目标是把UNIX认证、记帐、审计的功能扩展到网络环境： 公共的工作站，只有简单的物理安全措施 集中管理、受保护的服务器 多种网络环境，假冒、窃听、篡改、重发等威胁 基于Needham-Schroeder认证协议，可信第三方 基于对称密钥密码算法,实现集中的身份认证和密钥分配, 通信保密性、完整性 　 Kerberos 包含了３种信息交换顺序： １．认证服务（ＡＳ）交换 ２．标