《信息安全 05身份认证1》-(课件).ppt

一、认证的基本原理 一、认证的基本原理 一个成熟的身份认证系统应该具有以下特征： 1、验证者正确识别对方的概率极大。 2、攻击者伪装以骗取信任的成功率极小。 3、通过重放攻击进行欺骗和伪装的成功率极小。 4、实现身份认证的算法计算量足够小。 5、实现身份认证所需的通信量足够小。 6、秘密参数能够安全存储。 7、对可信第三方的无条件信任。 8、可证明安全性。 计算机系统采取的身份认证方法有很多 比如口令认证、 智能卡认证、 基于生物特征的认证、 双因素认证、 基于源地址的认证、 数字证书和安全协议等。 5）双因素认证 身份认证有三个要素， 所知道的内容：需要使用者记忆身份认证内容，例如密码和身份证号等。 所拥有的物品：使用者拥有的特殊认证加强机制，例如智能卡，射频卡，磁卡等物理设备。 所具备的特征：使用者本身拥有的惟一特征，例如指纹、人脸、声音等 1、用户所知道的内容可能被别人猜出或者被用户自己忘记； 2、用户所拥有的物品可能被丢失或被偷盗； 3、用户所具备的特征是最为安全的因素，但是实施起来代价昂贵，一般用在顶级安全需求中。 把前两种要素结合起来的身份认证机制就称为双因素认证。如自动提款机采取的认证方式就是双因素认证 三、基于智能卡的身份认证 三、基于智能卡的身份认证 三、基于智能卡的身份认证 三、基于智能卡的身份认证 ?四、基于生物特征的身份认证 ?四、基于生物特征的身份认证 身份的零知识证明 Kerberos 认证系统 网络环境 潜在的攻击 窃听 重放： 利用先前的标签信息，获得以后对系统的访问权。 假冒用户 伪装机器 一、Kerberos 简介 二、Kerberos原理 AS检查用户有效，则随机产生用户和TGS通信的会话密钥Kc,tgs，并创建令牌Tickettgs ，令牌包含用户名，用户地址，TGS服务名，当前时间(时戳TS2) ，有效时间，还有刚才创建的会话密钥。然后将令牌用Ktgs加密。AS向C发送加密过的令牌Tickettgs和会话密钥Kc,tgs，发送的消息用只有用户和认证服务器A知道的Kc来加密，Kc值基于用户密码。 (3) 客户机与服务器之间认证交换。 当C也想验证V的身份时，V将收到的时间戳加1，并用会话密钥Kc,v加密后发送给用户，用户收到回答后，用Kc,v解密后对增加的时戳进行验证，从而确定V的身份。 此后，客户与服务器之间通过共享的会话密钥秘密通信。 Kerberos V5的改进 加密算法的多样化 票据有效期延长 28*5分钟?任意 允许认证转发 C可让V1代表自己访问V2 多区域认证关系简化 简单和安全是互相矛盾的两个因素。 第5讲 Kerberos认证 Authenticator：提供信息与ticket中的信息进行比较，一起保证发出ticket的用户就是ticket中指定的用户。认证符有下列部分组成： client的名字，client的地址，记录当前时间的时间戳。authenticator只能在一次服务请求中使用，每当client向server申请服务时，必须重新生成Authenticator。 第5讲 Kerberos认证 通过三阶段六步操作，用户C和服务V互相验证彼此的身份，并且拥有只有C和V两者知道的会话密钥Kc,v，以后的通信都可以通过会话密钥得到保护。 AS TGS DB 用户C 服务器V Kerberos 第5讲 Kerberos认证 2、Kerberos工作原理 常用术语的简写： C：客户机 AS：认证服务器 V：服务器 IDc、IDv、IDtgs 分别为C、V、TGS的身份 ADc： 用户的网络地址 TSi：第i个时戳 Lifetime： 第I个有效期限 Pc：C上的用户口令 第5讲 Kerberos认证 Kc：C和AS的共享密钥 Kv：V和TGS的共享密钥 Ktgs： TGS 和AS的共享密钥 Kc,tgs：C与TGS的共享密钥 Kc,v：C与V的共享密钥 第5讲 Kerberos认证 用户C请求服务S的整个Kerberos认证过程 1)认证服务交换 用户C向AS发出请求，以获取访问TGS的令牌(票据许可证)：Tickettgs 得到初始化令牌的工作在用户登录工作站时进行，在用户看来和登录分时系统是完全相同的。登录时用户被要求输入用户名，输入后系统向AS发送一条包含用户和TGS服务两者名字的请求，以及时戳TS1(表示是新请求)。 第5讲 Kerberos认证 用户机器收到AS回应后，要求用户输入密码，将密码转化为DES密钥Kc，然后将AS发回的信息解开，保存令牌Tickettgs和会话密钥Kc,tgs，为了安全,用户密码Pc和密钥Kc则被丢弃。 当用户的登录时间超过了令牌的有效时间时，用户的请求就会