信息系统安全制身份管理.pptVIP

身份认证技术 孙建伟 北京理工大学软件学院  提纲 身份认证技术概述 基于口令的身份认证 ■ Kerberos身份认证协议 基于X509的身份认证 基于生物特征的身份认证 Web应用、Web服务中的身份认证  信息系统安全技术体系发展 20世纪80年代中期,基于计算机保密模型(Be Lapadula模 型)的基础上的“可信计算机系统安全评价准则”( TCSEC) 20世纪90年代初,英、法、德、荷四国针对 TCSEC准则只 考虑保密性的局限,联合提出了包括保密性、完整性、可 用性概念的“信息技术安全评价准则”( ITSEC 20世纪90年代末六国七方(美国国家安全局和国家技术标准 研究所、加、英、法、德、荷)共同提出了“信息技术安全 评价通用准则”( CC for ITsec ■CC标准综合了国际上已有的评测准则和技术标准的精华 给出了框架和原则要求。  信息系统安全基础机制 支持多用户服务的信息系统之有效组织,依赖于 基础的安全机制,包括访问者身份鉴别(认证) 、对信息资源的访问授权和访问控制、对系统运 行包括被访问操作的日志审计、数据保护等 身份认证 ■访问控制 审计 数据保护:机密性、完整性、备份恢复  信息系统安全基础机制 典型支持多用户服务的信息系统 多用户操作系统: Windows2000、XP、 Vista、NT;UnX 数据库: SQL Server, DB2, oracle Web应用 其他网络应用:MIs,ERP, ■都需要构建上述基础安全服务机制  信息系统安全基础机制 ■这些安全机制体现在基础的信息系统安全 标准中,是基准性的要求 可信计算机系统评估准则( TCSEC) 可信网络解释(TNI) 通用准则cc ■《计算机信息系统安全保护等级划分准则》 信息安全保证技术框架 《信息系统安全保护等级应用指南》  平网络环境下对身份认证的需求 ■唯一的身份标识(ID) ■uid,uid@ domain DN: C=CN/SBeijing /0=Tsinghua University /U=CS, CN=Duanhaixin/Email=dhx@cernet.edu.cn ■抗被动的威胁(窃听),口令不在网上明 码传输 m→→口 源 目的  网络环境下对身份认证的需求 ■抵抗主动的威胁,比如阻断、伪造、重放, 网络上传输的认证信息不可重用 天mwd加密 %@)*=~^,{ 解密 ■■■  网络环境下对身份认证的需求 天马一目 双向认证 域名欺骗、地址假冒等 路由控制 单点登录( Single Sign-On) 用户只需要一次认证操作就可 以访问多种服务 天 ·可扩展性的要求