计算机网络安全与管理：第19讲 Linux系统安全2.pptVIP

计算机网络安全与管理19 Linux系统安全2 本讲内容 Kerberos LDAP Linux系统安全 身份认证协议 —— Kerberos 是美国麻省理工学院（MIT）开发的一种身份鉴别服务。 “Kerberos”的本意是希腊神话中守护地狱之门的守护者。 Kerberos提供了一个集中式的认证服务器结构，认证服务器的功能是实现用户与其访问的服务器间的相互鉴别。 Kerberos建立的是一个实现身份认证的框架结构。 其实现采用的是对称密钥加密技术，而未采用公开密钥加密。 公开发布的Kerberos版本包括版本4和版本5。 * Kerberos 的设计目标 安全性 能够有效防止攻击者假扮成另一个合法的授权用户。 可靠性 分布式服务器体系结构，提供相互备份。 对用户透明性 可伸缩 能够支持大数量的客户和服务器。 * Kerberos的设计思路（1） 基本思路： 使用一个（或一组）独立的认证服务器（AS —Authentication Server），来为网络中的客户提供身份认证服务； 认证服务器 (AS)，用户口令由 AS 保存在数据库中； AS 与每个服务器共享一个惟一保密密钥（已被安全分发）。 会话过程： (1) C ? AS: IDC || PC || IDV (2) AS ? C: Ticket (3) C ? V : IDC || Ticket Ticket = EKV[IDC || ADC || IDV] * Kerberos的设计思路 （2） 问题： 用户希望输入口令的次数最少。 口令以明文传送会被窃听。 解决办法 票据重用（ticket reusable）。 引入票据许可服务器（TGS - ticket-granting server） 用于向用户分发服务器的访问票据； 认证服务器 AS 并不直接向客户发放访问应用服务器的票据，而是由 TGS 服务器来向客户发放。 * Kerberos中的票据 两种票据 服务许可票据（Service granting ticket） 是客户时需要提供的票据； 用 TicketV 表示访问应用服务器 V 的票据。 TicketV 定义为 EKv [ IDC‖ADC‖IDV‖TS2‖LT2 ]。 票据许可票据（Ticket granting ticket） 客户访问 TGS 服务器需要提供的票据，目的是为了申请某一个应用服务器的 “服务许可票据”； 票据许可票据由 AS 发放； 用 Tickettgs 表示访问 TGS 服务器的票据； Tickettgs 在用户登录时向 AS 申请一次，可多次重复使用； Tickettgs 定义为 EKtgs [ IDC‖ADC‖IDtgs‖TS1‖LT1 ]。 * Kerberos V4认证过程示意图 * Kerberos V4认证过程(1) 第一阶段，认证服务器的交互，用于获取票据许可票据： (1) C → AS ：IDC‖IDtgs‖TS1 (2) AS → C ：EKc [ KC,tgs‖IDtgs‖TS2‖LT2‖Tickettgs ] 其中：Tickettgs = EKtgs [ KC,tgs‖IDC‖ADC‖IDtgs‖TS2‖LT2] * Kerberos V4认证过程(2) 第二阶段，票据许可服务器的交互，用于获取服务许可票据： (3) C → TGS ：IDV‖Tickettgs‖AUC (4) TGS → C ：EKc,tgs [ KC,V‖IDV‖TS4‖TicketV ] 其中： Tickettgs = EKtgs [ KC,tgs‖IDC‖ADC‖IDtgs‖TS2‖LT2] TicketV = EKv [ KC,V‖IDC‖ADC‖IDV‖TS4‖LT4] AUC = EKc,tgs [ IDC‖ADC‖TS3] * Kerberos V4认证过程(3) 第三阶段，客户与应用服务器的交互，用于获得服务： (5) C → V ：TicketV‖AUC (6) V → C ：EKc,v [ TS5 + 1] 其中： TicketV = EKv [ KC,V‖IDC‖ADC‖IDV‖TS4‖LT4] AUC = EKc,v [ IDC‖ADC‖TS5] * Kerberos V4中各关键元素的说明(1) * Kerberos V4中各关键元素的说明(2) * Kerberos V4中各关键元素的说明(3) * Kerberos 领域(realm) 构成：一个完整的 Kerberos 环境包括一个 Kerberos 服务器，一组工作站和一组应用服务器。 Kerberos 服务器数据库中拥有所有参与用户的 UID