使用者身分鑑別方式-淡江大學.pptVIP

資訊安全導論淡江大學 資訊管理系侯 永 昌.tw/~ychou .tw/Prof_Hou 前言 使用者身分鑑別主要是要識別某人是否為合法的系統使用者 可分為兩部分：使用者身分識別(Identity)及鑑別(Authentication)。不但要能夠唯一識別使用者身分，而且必須要有方法來預防歹徒冒充別人的身分 例如：讓貼有淡江通行證的車輛進出校園是識別，辨別開車的是車主還是偷車賊是鑑別 常見的使用者身分鑑別技術，包括通行密碼、指紋識別、IC卡、及手寫辨識 使用者身分鑑別方式(一) 通常系統須先驗證使用者的身分及權限後，才允許使用者存取資料或使用系統資源，以避免非法使用者入侵 使用者身分鑑別系統應具備兩項功能 確認個人身分(Personal Identification)：系統必須要能夠唯一識別每一位合法使用者 鑑別身分(Authentication)：系統必須驗證使用者所宣稱的身分 使用者身分鑑別是防止入侵的第一道防線，入侵偵測系統則為第二道防線 使用者身分鑑別方式(二) 使用者身分鑑別方式(三) Something held：證件驗證 條碼卡：唯讀、可存資料量少 磁卡：成本較低、資料還可重寫 IC卡：記憶容量大、安全性高 智慧卡：具有運算處理能力 Something embodied：生物特徵驗證 生理結構唯一性：指紋、手形(掌紋)、視網膜 行為差異性：使用鍵盤、滑鼠的速度、力道 聲音(音頻、音律、音量) 筆跡(力道、字型、字體) 使用者身分鑑別方式(四) 生物特徵驗證設備通常很昂貴、完成驗證的時間較長，結果也不保證100%的精確 如何選購生物特徵驗證設備： 錯誤接受率(false accept rate)：不合法使用者卻被設備驗證為合法使用者之比率 ? 低 錯誤拒絕率(false reject rate)：合法使用者卻被設備誤認為不合法使用者之比率 ? 低 活體檢驗功能(live die verify)：設備是否有辨識活的生理結構的能力 ? 是 驗證時間(verify time)：從使用者登錄(login)到系統驗證出結果所需的時間 ? 短 使用者身分鑑別方式(五) Something known：通行密碼驗證 通常系統有一檔案用來儲存所有經授權使用者的ID和通行密碼，對這個檔案的保護方法有： 加密：對使用者的通行密碼進行加密，歹徒想要還原它，以取得正確的使用者通行密碼並不容易。使用者登錄時，系統會比對轉換後的通行密碼，以確認是否為合法的使用者 存取控制：只有少數管理者才能存取通行密碼檔案 通行密碼的缺點：使用者為方便記憶，通常所選擇的通行密碼不會太長，且多與本身的相關資訊有關，很容易被猜中 通行密碼之安全威脅(一) 字典攻擊法： 以字典中之單字來測試使用者之通行密碼，一般常見的單字有兩萬個，測試一個單字僅需1ms，如果使用者的通行密碼真的是字典中的單字，只需20s，即可得知使用者的通行密碼 猜測攻擊法： 以使用者個人相關之資訊來猜測使用者的通行密碼，如：生日、身分證號、電話號碼、紀念日、親友姓名、居住地、喜好事物、… 通行密碼之安全威脅(二) 窮舉攻擊法或暴力攻擊法： 將所有可能的通行密碼(26個字母、10個數字)一一測試，如果通行密碼太短，被猜測到的機會就很高 重送攻擊法(Replay attack)： 駭客雖然不知道使用者真正之通行密碼，但他只要將攔截到的資訊重新輸入到主機系統，他就會通過驗證，這種攻擊稱為重送攻擊 行騙法(Spoofing)： 駭客以偽造的軟體，模擬主機系統之登入(Login)畫面及其處理步驟，以獲取一些機密資訊 通行密碼管理(一) 輸入通行密碼時，不可將它顯示在終端機上 通行密碼檔案應加密，使入侵者難以破解 當一個通行密碼使用的時間過久，系統會強迫使用者變更 產生通行密碼的原則： 選擇一個不容易猜中，且長度在8~12個字母之間 避免使用字典中可以找到的單字當作通行密碼，並最好在通行密碼中夾雜一些數字及分辨大小寫 勿將通行密碼寫在筆記本或其它任何地方 避免多台主機系統共用相同的通行密碼 通行密碼管理(二) 使用通行密碼的注意事項： 勿將通行密碼給他人使用，若給他人使用後，應立即更改通行密碼 每次登錄時，注意系統給你的訊息，檢查是否有人冒用你的身分進入系統 嚴禁與他人共用一組通行密碼 暫時離開終端機時，一定要跳出系統，必免給歹徒可趁之機 因臨時任務申請之通行密碼，任務結束後，應立即刪除使用者帳號、並備份該使用者檔案資料 每二至三個月變更通行密碼一次 通行密碼管理(三) 設計通行密碼系統之一般需求： 系統要訂定容忍之錯誤次數(如三次)，使用者登入三次不成功，系統應禁止他再登入 若同時有二人以相同使用者身分登入時，需禁止或警告 系統要有強迫使用者定期更改通行密碼的功能，並檢視通行密碼是否