第五章认证和口令

中定期变化的计算值。
用户的某些物理特征，包括声音、视
网膜或者指纹扫描图案，一般称为 “生 物测定学”。
第五章 认证和口令
到目前为止，口令是验证用户身份的
最流行的方法，因为它很方便。只要 拥有一个名称和口令，用户便可以从 任何地方进行连接，而不需要附加的 硬件、软件或知识。如果连接需要使 用智能卡、令牌或其他附加的实用程 序，则会给用户带来不方便。
-
第五章 认证和口令
5.1.2 更改口令的频率
在网络服务上设置口令的过期期限，
要求用户选择新口令，这种措施改善
了系统的安全性。
第五章 认证和口令
改变口令将发生下列两件事之一
如果用户改变了口令，快客就会失去
帐户连接，直到他再次攻破为止。
如果快客改变了口令，帐户的合法用 户就会失去连接并且通知管理员。
信息系统安全的三大模型
信息系统的保护模型
计算机资源
（处理器、存储器等） 攻击者： 人（如黑客） 访问通道 数据、程序、软件等 对外提供的服务
内部安全控制 守卫者
信息系统
程序（如病毒、蠕虫等）
• 可控性
经典安全模型的雏形
基本组成要素
（1）明确定义的主体和客体； （2）描述主体如何访问客体的一个授权数据库；
（3）约束主体对客体访问尝试的参考监视器；
（4）识别和验证主体和客体的可信子系统； （5）审计参考监视器活动的可信子系统。
三种安全机制的关系
系统安全策略
操作系统安全性：
应用更新与补丁 启用与禁用服务 检测入侵
.
系统安全策略
• 口令及认证
• 访问控制
第五章 认证和口令
认证是验证用户的身份来决定访问网
第五章 认证和口令
5.3 内置认证
对于任何种类的服务器来说，它们多
数都提供自己内置的认证方式。这包
括本地存储的用户和口令列表。
第五章 认证和口令
认证步骤
用户连接到一个服务器并且请求一个
连接。
服务器要求认证数据。
用户发出用户ID和口令。
第五章 认证和口令
服务器将接收到的口令与本地存储的
认证数据进行比较，并试图找到二者
第五章 认证和口令
信息系统安全的三大模型
网络系统的安全模型：
安全屏障(外/内) 安全策略 入侵检测系统
传统的网络安全系统结构
Internet
探测器2 边界路由器 DMZ区 交换机 探测器1 防火墙
Web 服务器 探测器3
DNS Mail 服务器 服务器
交换机
路由器
交换机
内部网
探测器4
财务网
探测器5
了解口令设置策略并确保用户已经懂
得如何创建强健的口令。
ห้องสมุดไป่ตู้
第五章 认证和口令
守则1：决不要写下口令
守则2：使用一个以上的单词构成口令
守则3：使用短语建立口令
守则4：决不在别人注视键盘或屏幕
时输入口令
第五章 认证和口令
守则5：经常修改口令（即使系统没
有要求）
守则6：如果怀疑口令泄露则立即改
变口令
守则7：不要告诉任何人你的口令。
6.
第五章 认证和口令
5.1 创建安全的口令
口令的破译法
口令词典破译法
口令蛮力破译法
第五章 认证和口令
建立口令时应遵循的规则
选择长的口令
最好的口令包括英文字母和数字的组合
不要使用英语单词
第五章 认证和口令
用户若可以访问多个系统，则不要使
用相同的口令。
不要使用名字，自己名字、家人的名
字、电话号码、车牌号码和宠物的名
字等。
别选择记不住的口令。
第五章 认证和口令
5.1.1 创建好的口令
在口令中尽量包含字母、数字、标点 符号，保证口令易于记忆。一种方法 是在两个任意单词之间加入标点符号
（例 door%wet），或者在两个单词之
间加一个数字（例 ring12ding ）。
第五章 认证和口令
使用可以记住的短语的第一个字母。 用熟悉的商店名，再从商店的地址中 提取出数字作一些点缀来合成口令， 如：TO2y4S5R8Us。 去掉元音字母，用易于记忆的词语代 替。如：将 “publications” 改为----“publ1at10ns”。
第五章 认证和口令
被所提供的特征所限制。如果开发者
不提供任何强制口令过期的方法，你
将不得不定期手工清理它们。如果软
件只支持明文口令认证，你将留下一
个安全漏洞，在网络上的任何人都可
以探测到它。
第五章 认证和口令
添加额外的或第三方认证
在第三方认证过程中，一台服务器不
是使用它自己默认的认证方式，而是
通过查询来确定一个用户是否已经访
• 优点：
• 黑客如果没有用户的信息就不能更改
口令。
第五章 认证和口令
• 如果总是被指定，并不是用户选择的，
可以保证口令具有一定的复杂性和长
度等，以避免用户选择较简单的口令
• 缺点：
对于用户来说不是很方便。
第五章 认证和口令
5.2 用户守则
对安全措施而言，对用户进行教育是
很关键的。在教育培训中应该使用户
之间的匹配关系。
如果二者存在匹配关系，便授权用户 访问系统。
第五章 认证和口令
内置认证的缺点
认证数据与用户正在连接的数据存储
在同一系统中，用户将不难得到口令
文件的副本来进行破译。
第五章 认证和口令
由于每一个设备都有自己的内置认证，
这要求维护多个用户列表和口令，为
潜在的黑客提供了多个可攻击的地方。
问。
第五章 认证和口令
可配置一台独立的服务器，它的主要
任务是保存认证信息，并使网络上的
其他所有服务可以使用那台服务器来
验证用户。
第五章 认证和口令
认证服务器支持认证、授权和记帐(AAA)
认证是确定用户身份与其声明的是否 相同的过程。
授权是一旦用户已经经过认证并连接
后，确定他可以做什么。
记帐确定并报告用户怎样使用他的时
间。
第五章 认证和口令
5.4.1 RADIUS 和 TACACS+
第五章 认证和口令
利用服务器工具规定定期更改
用户可以改变自己的口令
• 优点：简单，不需要你和组织之间进
行交涉，并且相当安全。
第五章 认证和口令
• 缺点：黑客可以代替用户来响应更改口
令的需求，对于闲置的或不经常
使用的帐户来说，黑客所做的更
改也许在几个星期内也不会被发
现。
第五章 认证和口令
网管指定用户口令
络服务的级别的过程，或者是确定访问网
络的级别的过程。选择的认证方法主要取
决于网络限制有多强，以及用户访问的方
便程度。
第五章 认证和口令
认证需要如下选项（包括组合选项）来
证明用户的身份
用户知道的东西，通常为名字和口令的
组合
第五章 认证和口令
用户所有的东西，如存储在智能卡里
的密匙、手持式安全令牌或软件部分