网络与信息安全安全基础（二）.pdfVIP

网络与信息安全 安全基础 (二) 潘爱民，北京大学计算机研究所 /InfoSecCourse 内容 u Kerberos协议 u Kerberos中ticket 的flag u Kerberos实现 Ø MIT Release Ø Win2k Kerberos u IPSec简介 Kerberos认证协议 u 历史 Ø 80年代中期 Ø 是MI 的Athena工程的产物 Ø 版本 Ø 前三个版本仅用于内部 Ø 第四版得到了广泛的应用 Ø 第五版于1989年开始设计 Ø RFC 1510, 1993年确定 Ø 标准Kerberos u 解决的问题 Ø 认证、数据完整性、保密性 作为一种认证协议 u 特点 Ø 基于口令的认证协议 Ø 利用对称密码技术建立起来的认证协议 Ø 可伸缩性——可适用于分布式网络环境 Ø 环境特点 Ø User-to-server authentication Ø 密钥存储方案 Kerberos协议中一些概念 u Principal(安全个体) Ø 被认证的个体，有一个名字(name)和口令(password) u KDC(Key distribution center) Ø 是一个网络服务，提供ticket和临时的会话密钥 u Ticket Ø 一个记录，客户可以用它来向服务器证明自己的身份，其中包 括客户的标识、会话密钥、时间戳，以及其他一些信息。Ticket 中的大多数信息都被加密，密钥为服务器的密钥 u Authenticator Ø 一个记录，其中包含一些最近产生的信息，产生这些信息需要 用到客户和服务器之间共享的会话密钥 u Credentials Ø 一个ticket加上一个秘密的会话密钥 Kerberos Model u 基本的ticket交换 Ø Client - KDC Ø c(客户的id), s(服务器的id), n(nonce) Ø KDC - Client Ø {K , n}K , { }K c,s c c,s s Ø Client - Server Ø {A }K , { }K c c,s c,s s 基本的ticket交换的问题 u 客户个体密钥K 的频繁使用 c u K 的使用对于用户尽可能透明 c u 可伸缩性 u 方案 Ø 引入TGS(Ticket-granting server) 附加的ticket交换 u 引入TGS(Ticket-granting service) u 两种ticket Ø TG ： { c,tgs}Ktgs Ø Service ticket: { c,s}Ks 支持可伸缩性的两个概念 u TGS Ø Ticket-granting service u Realm(域) Ø 与domain的区别？ Ø 每一个安全个体都与一个realm相联系 Ø 从安全性意义上来，是指信任边界