鉴别和认证技术.pdfVIP

鉴别和认证技术是访问控制的关键技术，对访问控制系统的安全 防护水平有着重大影响。涉及到鉴别和认证技术的内容包括： 鉴别和认证技术简 基于用户所知的鉴别和认证 基于用户所有的鉴别和认证 基于用户本身的鉴别和认证 鉴别和认证系统的部署 一次性登录 访问控制列表 生物识别 访问控制软件 1. 鉴别和认证技术简 鉴别和认证是用来防止计算机系统被非授权用户或进程侵入的技术 手段，属于第一道防线。由于鉴别和认证是其它大多数访问控制和建 立用户职能的基础，所以它被看作计算机安全的关键基础构件。并不 是所有的访问控制都需要鉴别和认证过程。例如，访问公众信息系统 可能不需要鉴别和认证。访问控制经常需要区分不同的用户。例如，访 问控制经常要基于“最小特权原则”，即只给用户完成工作所需的最小 访问权限。用户职能要求将特定个人在计算机系统中的活动和他本人 联系起来，所以需要对用户进行鉴别。出于对个人审计的需要，审计日 志需要建立和个人职能的联系。 鉴别通过用户向系统提供自己的身份完成。认证通过确定 身分的真 实性完成。认证也用于验证消息或文件未被修改或来源于特定用户。 计算机系统基于收到的识别信息识别用户。认证涉及多个步骤 ：收集 认证信息、安全地传输认证信息、确定使用计算机的人就是发送认证 信息的人。例如，用户没有退出就离开终端时另一个人可能趁机使用。 有三种认证用户身份的方法，这三种方法可以单独使用或联合使用： （1）用户知道的（秘密如：口令、个人识别号（PIN）或密钥），（2）用户拥 有的（令牌如：银行卡或智能卡），和（3）用户本身的（生物特征如：语音 特征、笔迹特征或指纹）。 虽然这些方法都可能提供强认证服务，但每种方法都有自己的局限性。 如果有人想冒充别人使用计算机系统，他们有可能猜测或通过其它方 式得到的口令；他们也可能偷窃或者伪造令牌。对于合法用户和系统 管理员来说，每种方法都有缺点：用户可能忘记口令或丢失令牌，系统 管理员可能要经常辨别认证数据和令牌的真实性。生物识别系统具有 技术先进和用户容易接受的优点，但价格昂贵是它的问题。 2. 基于用户所知的鉴别和认证 最常见的鉴别和认证方式是用户识别码（ID）加上口令。这种技术只基 于用户所知的秘密。除了传统的口令外还有其它基于知识的技术，如 知晓加密密钥。 用户识别码和口令 通常，口令系统工作时需要用户的识别码及其口令（或口令字或个人身 份号）。系统将口令和 用户预存在系统中的口令进行比较。如果口 令匹配，用户就被认证并获准访问。 有些主机操作系统和很多个人计算机（PC）应用程序把口令做为系统 限制访问特定资源的措施。通过输入口令而不是使用诸如访问控制列 表之类的机制实现访问控制。使用口令的副作用是降低了整个系统的 安全性。口令做为访问控制手段很常用，不过它经常不是最佳和最有 效的途径。 密钥 这种认证虽然是通过基于用户所知的知晓密钥方式实现，但是这种方 式也需要用户拥有（或能够接触）能够进行加密计算的设备如 PC 或智 能卡。 加密为鉴别和认证提供两种服务 ：支持认证数据的机密性，支持通过 知晓或拥有令牌而不是通过传输数据获得访问权限的协议，这样可以 挫败通过重演登录过程获得访问权限的企图。 3. 基于用户所有的鉴别和认证 联合使用用户所知和用户所有的方式比单独使用两者之一能提供更 强的安全性。用户为了鉴别和认证的目的所拥有的物体叫做令牌，令 牌包括记忆令牌和智能令牌。 记忆令牌 记忆令牌存储但不处理信息。对令牌的读写通过专用读写器完成。最 常见的记忆令牌是磁卡，磁卡表面封装有磁性薄条（例如在信用卡的背 面）。在计算机系统中使用记忆令牌进行认证的常见应用是自动提款 机。这个应用结合了了用户拥有的（卡）和相应的用户所知道的（个人身 份号）。令牌系统还经常被应用于物理访问控制。 记忆令牌系统的优点 记忆令牌和个人身份号的联合使用比单用口令要更安全。而且记忆令 牌的制造成本比较低。对于黑客和其他冒充者想要假冒别的用户就必 须得到正确的令牌和相关个人身份号两件东西。这比只得到正确的口 令和用户识别码（用户识别码通常是公开的）要困难得多。 令牌的另一个优点是计算机可以自动重复扫描令牌，这样员工无需每 次键入用户识别码就可以产生相应的日志记录。当令牌用于出入口控 制时，人们只有在取下计算机上的令牌后才能离开，这样可以协助对 认证的维护。 记忆令牌系统的缺点 虽然使用复杂的技术能够破解记忆令牌系统，但它们的问题主要