第6章 认证技术

http://ec.hynu.cn
Hash函数的分类
根据是否使用密钥
带秘密密钥的Hash函数:消息的散列值由只有通信双 方知道的秘密密钥K来控制。此时，散列值称作 MAC。 不带秘密密钥的Hash函数：消息的散列值的产生无 需使用密钥。此时，散列值称作MDC。
Hash函数需满足以下条件：
第6章 认证技术
http://ec.hynu.cn
目录 3.1 消息认证 3.2 身份认证 3.3 口令机制 3.4 零知识证明 3.5 其他身份认证机制 3.6 单点登录技术
http://ec.hynu.cn
密码学的基本概念
认证（Authentication）又称鉴别 是验证通信对象是原定者而不是冒名顶替者 （身份认证）， 或者确认收到的消息是希望的而不是伪造的 或被篡改过的（消息认证）。 认证技术的实现通常要借助于加密和数字签名 等密码学的技术。实际上，数字签名本身也是 一种认证技术，它可用来鉴别消息的来源。
http://ec.hynu.cn
身份认证的依据
用户所知道的某种信息（Something the user knows），如口令或某个秘密。 用户拥有的某种物品（Something the user possesses），如身份证、银行卡、密钥盘、 IP地址等。 用户具有的某种特征（Something the user is or how he/she behaves），如指纹、虹膜、 DNA、脸型等。
口令的基本工作过程
第三步：服务器验证用户名和口令
用户数据库
服务器 ID Password tade df324 rest hr45 admin tang4 … … 用户鉴别程序 ID=admin Password=tang4
第四步：服务器通知用户
欢迎admin，您可以 1. 查看账户 2. 转账汇款……
http://ec.hynu.cn
对付线路窃听和字典攻击
声称者
验证者
ID 口令 p
f
ID
p’
ID p’
比较
http://ec.hynu.cn
对付危及验证者的攻击
对口令系统的另一个潜在威胁是，通过内部攻 击危及验证者的口令文件或数据库，如不怀好 意的系统管理员可能会窃取用户数据库中的口 令从事非法用途。这种攻击会危及到系统中所 有用户的口令。 对付危及验证者的攻击的措施：
http://ec.hynu.cn
利用公钥加密体制实现消息认证
① 公钥加密：保密性
M Bob
E EKa(M)
D K’a
M
Alice
Ka
提供保密 不能提供认证
http://ec.hynu.cn
利用公钥加密体制实现消息认证
② 私钥加密：认证与签名
M Bob
D K’b EK’b(M)
E
M Alice
Kb
第三方是可信赖者TP(Trusted third party)，
可信赖者TP
声称者P
鉴别信息
验证者V
http://ec.hynu.cn
身份认证的分类
身份认证可分为单向认证和双向认证。 单向身份认证是指通信双方中只有一方向另 一方进行认证 双向身份认证是指通信双方相互进行认证 身份认证还可分为非密码的认证机制和基于密 码算法的认证机制。
Hale Waihona Puke Baidu
口令经MD5算 法加密后的密文
http://ec.hynu.cn
对付字典攻击
存在的缺陷是：由于散列函数的算法是公开的，攻击 者可以设计一张p和p’的对应表（称为口令字典）， 其中p是攻击者猜测的所有可能的口令，然后计算每 个p的散列值p’。接下来，攻击者通过截获鉴别信息 p’，在口令字典中查找p’对应的口令p，就能以很 高的概率获得声称者的口令，这种方式称为字典攻击。 对付这种攻击的方法可以将单向散列函数对ID和口令 p的连接串求散列值，即p’=f(p, id) 。这样攻击者 截获鉴别信息p’后，必须针对每个ID单独设计一张 (p,id)和p’的对应表，大大增加了攻击的难度
利用散列函数实现消息认证
散列函数的基本用法（b）
M H E
K Bob EK(H(M)) K ||
M
H
比较 D
Alice
提供认证
http://ec.hynu.cn
利用散列函数实现消息认证
散列函数的基本用法（c）
M H D
K’b Bob DK’b(H(M)) Kb ||
M
H
比较 E
Alice
提供认证
http://ec.hynu.cn
利用散列函数实现消息认证
散列函数的基本用法(d)
M H
D DK’b(H(M)) K’b Bob 比较 E || K E K Ek(M|DK’b(H(M)) H M
M
D
M
Alice
提供保密 提供认证
Kb
http://ec.hynu.cn
利用散列函数实现消息认证
散列函数的基本用法（e）
提供认证 提供签名
http://ec.hynu.cn
利用公钥加密体制实现消息认证
私钥签名再公钥加密：保密、认证与签名
M
D
K’b Dk’b(M)
E Ka E Kb EKa(Dk’b(M)) D Alice Dk’b(M)
Bob
M
K’a
提供保密、提供认证 提供签名
http://ec.hynu.cn
利用公钥加密体制实现消息认证
对付窃听和危及验证者的措施
同样，由于未保护的口令在网络上传输，上 述方案容易受到线路窃听的攻击。所以，我们 应该综合前两个方案的优点。
声称者 验证者 ID ID ID p’ q
口令p
f
h
比 较
http://ec.hynu.cn
重放攻击
把口令加密传输可以让攻击者无法知道真 实的口令，可是，这对聪明的攻击者并不造 成麻烦。 他只需把监听的消息录制下来，再用其它的 软件把口令的散列值原封不动的重放给验证 者进行认证，而验证者看到正确的口令散列 值就认为是登录成功的用户，这样攻击者就 可以冒名顶替受害者，从认证者处获取服务 了，我们称这种形式的攻击为重放攻击。
同时使用两种依据的认证叫做双因素 （Two-factor）认证方式
http://ec.hynu.cn
身份认证系统的组成
一方是出示证件的人，称为示证者P(Prover)，又称声 称者(Claimant)。 另一方验证者V(Verifier)，检验声称者提出的身份的正 确性和合法性，决定是否满足其要求。
http://ec.hynu.cn
口令的基本工作过程
第一步：系统提示用户输入用户名和口令
登录屏幕 客户 机 用户名： 密 码： 确定 取消
第二步：用户输入用户名和口令，使用户名和 口令以明文形式传递到服务器上，
客 户 机 登录请求 ID=admin Password=tang4 服务器
http://ec.hynu.cn
http://ec.hynu.cn
Alice
利用MAC实现消息认证
消息认证码： 使用一个密钥生成一个固定大小的短数据 块，并将该数据块加载到消息后面，称 MAC（或密码校验和） MAC＝Ck（M） MAC函数类似于加密函数，但不需要可逆 性。因此在数学上比加密算法被攻击的弱 点要少
http://ec.hynu.cn
http://ec.hynu.cn
身份认证
身份认证的定义：
声称者向验证者出示自己的身份的证明过程 证实客户的真实身份与其所声称的身份是否相符 的过程
身份认证又叫身份鉴别、实体认证、身份识别 认证目的：
使别的成员（验证者）获得对声称者所声称的事 实的信任。身份认证是获得系统服务所必须的第一 道关卡。
http://ec.hynu.cn
3.1 消息认证
消息认证是一个过程，用来验证接收消息的真 实性（的确是由它所声称的实体发来的）和完 整性（未被篡改、插入、删除），同时还可用 来验证消息的顺序性和时间性（未重排、重放、 延迟）。
利用对称加密体制实现消息认证 利用公钥加密体制实现消息认证 利用散列函数实现消息认证 利用MAC实现消息认证
ID
口令
比较
危及验证 者的攻击
http://ec.hynu.cn
对付线路窃听的措施
必须在客户端对口令进行加密，可以使用单向 散列函数在客户端对口令进行加密，而服务器 端也只保存口令的散列值
声称者 验证者 ID ID 口令p f ID p’ 比 较 p’
http://ec.hynu.cn
数据库中存放的是加密的口令
利用MAC实现消息认证
MAC的基本用法：消息认证
K
C
M
|| C
M
比较 Bob
Alice K CK(M)
提供认证 不能提供保密、签名
http://ec.hynu.cn
利用MAC实现消息认证
MAC的基本用法：与明文有关的认证
M C K1 Alice CK(M) || M
E K2
M
D
K1 C
K2
M
比较
http://ec.hynu.cn
利用对称加密体制实现消息认证
发送方A和接收方B事先共享一个密钥
M Bob K EK(M) K E D M Alice
提供保密、提供认证 不能提供签名
http://ec.hynu.cn
利用对称加密体制实现消息认证
（1）它能提供鉴别：可确认消息只能发自A， 传输途中未被更改； （2）提供保密性：因为只有A和B知道密钥k； （3）不能提供数字签名：接收方可以伪造消息， 发送方可以抵赖消息的发送
登录成功
客户机
服务器
http://ec.hynu.cn
口令机制的身份认证模型
该口令认证模型包括声称者和验证者，上图中 的客户机是声称者，而保存有用户数据库的服 务器是验证者
声称者 验证者
ID
口令
ID
口令
比较
http://ec.hynu.cn
口令机制面临的威胁
声称者
验证者
线路窃听 重放攻击
ID 口令
S M || H H(M||S) Alice || M
||
H
比较
S
Bob
提供认证
http://ec.hynu.cn
利用散列函数实现消息认证
散列函数的基本用法（f）
M || H || M E K H(M||S) E (M||H(M||S) K M K D
S
S || H 比较
M
Bob
提供保密 提供认证
首先应保证用户口令不能以明文形式存放在验证端数 据库中。前面介绍的对付线路窃听的措施为对抗这种 攻击提供了好处 将单向散列函数应用于验证系统，而不是声称系统
http://ec.hynu.cn
对付危及验证者的措施
声称者 ID 口令p ID p f
验证者
ID
p’
比 较
http://ec.hynu.cn
先公钥加密再私钥签名：保密、认证与签名
M E Ka Ea(M) M
D
K’b EK’b(Eka(M)) D K’a Eka(M) E Kb
Bob
Alice
提供保密、提供认证、提供签名 较少使用，先对消息加密再签名不合常理
http://ec.hynu.cn
利用散列函数实现消息认证
回顾散列函数的特性
哈希函数、摘要函数 输入：任意长度的消息报文 M 输出：一个固定长度的散列码值 H(M) 是报文中所有比特的函数值 单向函数
输入x可以为任意长度，输出为固定长度 正向计算容易，反向计算困难 抗冲突性(无冲突性）
http://ec.hynu.cn
利用散列函数实现消息认证
散列函数的基本用法（a）
M
H H(M) Bob || K
M
E K
M
D
EK(M|H(M)) M
H 比较
提供保密、提供认证
Alice
http://ec.hynu.cn
提供保密、提供认证
Bob
http://ec.hynu.cn
利用MAC实现消息认证
MAC的基本用法：与密文有关的认证
Ek2(M) M E M C CK1(Ek2(M)) K1 K1 || M D C M K2
K2
Bob
比较
提供保密、提供认证
Alice
http://ec.hynu.cn
目录 3.1 消息认证 3.2 身份认证 3.3 口令机制 3.4 零知识证明 3.5 其他身份认证机制 3.6 单点登录技术
http://ec.hynu.cn
目录 3.1 消息认证 3.2 身份认证 3.3 口令机制 3.4 零知识证明 3.5 其他身份认证机制 3.6 单点登录技术
http://ec.hynu.cn
口令机制
口令是目前使用最广泛的的身份认证机制。从 形式上看，口令是字母、数字或特殊字符构成 的字符串，只有被认证者知道。 提示：银行卡密码、邮箱登录密码、保险柜密 码等，准确地说应该叫口令，因为密码（密钥） 是用来加密信息的，而口令是用来作为某种鉴 别的秘密