身份认证技术(课件PPT)
合集下载
身份认证技术
（3） C TGS : IDC ||IDv || Tickettgs （4） TGS C: Ticketv
Ticket v = EKv [ IDC|| ADC || IDV|| TS2||Lifetime2] Visiting Service
（5）
(Once for each dialog)
（5）C V : IDc || Ticketv
Public Key Infrastructure
❖ In this Infrastructure, the claimer needs to prove his identity by providing the encryption key. This could be realized by sign a message with his encryption key. The message could include a duplicate value to defend the replay attacks.
▪ 作为提供数据源认证的一种可能方法（当与数据完 整性机制结合起来使用时）
▪ 作为对责任原则的一种直接支持，如审计追踪中提 供与某活动相联系的确知身份
概述-身份认证基本途径
❖基于你所知道的（What you know ）
▪ 知识、口令、密码
❖基于你所拥有的（What you have ）
▪ 身份证、信用卡、钥匙、智能卡、令牌等
❖ 问题一：票据许可票据tickettgs的生存期
▪ 如果太大，则容易造成重放攻击 ▪ 如果太短，则用户总是要输入口令
❖问题二：
▪ 如何向用户认证服务器
❖解决方法
▪ 增加一个会话密钥(Session Key)
二代身份证识别 PPT
第二代居民身份证的式样、内容和构造 二代证的构造
打印膜
印刷层（卡体）
证件结构 示意图
打印膜
第二代居民身份证的式样、内容和构造
证件背面
定向光变色膜
光变光存储膜
二代证的长度85.6mm(毫米)，宽度54mm(毫米)，厚度是1毫米，由９层构成的， 最外面的这两层记载的是个人的身份信息，打印上去的。另一层叫做配平层， 防止静电。在这层上可以看到长城烽火台图案和“中国CHINA”的防伪膜，有 橘黄色的、绿色的防伪标志，是一个比较先进的技术。
第十八条规定，伪造、变造居民身份证的，依法追究刑事责任。
第二代居民身份证的式样、内容和构造 二代证的式样
登记项目
正面：签发机关和有效期限 背面：姓名、性别、民族、出生日期、
常住户口所在地住址、公民身份号码、 本人相片。
使用规范汉字和符合国家标准的数字符号填写
第二代居民身份证的式样、内容和构造
证件采用汉字与少数民族文字。根据少数民族文字书写特点， 采用少数民族文字的证件有两种排版格式。
第二代居民身份证的式样、内容和构造
芯片示意图
二代证芯片，长8毫米，宽5毫米，厚度0.4毫米，在证件背面的右下角， 有两根天线，这一圈都是线圈，主要是为了避免泄漏个人信息，可以通过身 份证阅读器阅读。阅读器采用的是射频技术，只有在10厘米的范围内才能读 取信息。芯片用于储存个人身份信息，采用数字加密的办法。一个地区一个 密码、每个公民拥有一个密码。防伪技术是我们国家自己研制的，安全性非 常高。
第二代居民身份证的防伪措施和检验方法
二代证的防伪措施
数字防伪措施
将机读信息进行加密运算处理后存储在证件专用集成电路（芯片）内。
二代证专用芯片模块， 是证件基本信息存储 的载体。具有认证和 信息存储功能。
数字签名与身份认证ppt课件
3.认证过程
接收方收到(M，s)之后
(1)取得发送方的公钥(e，n)
(2)解密签名s：h=se mod n。
(3)计算消息的散列值H(M)。
(4)比较，如果h＝H(M)，表示签名有效；否则，签名无效。
如果消息M很短的时候，可以直接对M用公钥解密以验证签名的有效
性，可以表达为：Ver(M可，编s辑)＝课件真PP〈T ＝〉M＝se mod n
▪ 盲签名
图4－5 盲签名原理
可编辑课件PPT
19
4.1 数字签名技术
完全盲签名
签名者在文件上的签名是有效的，签名是其签署文件的证据。如果 把文件给签名者看，他可确信他签署过这份文件。但是，签名者不 能把签署文件的行为与签署了的文件相关联。即使他记下了他所做 的每一个盲签名，他也不能确定他在什么时候签署了该文件。
一是发送方的签名部分，对消息M签名，可以记作S＝Sig(K， M)，签字算法使用的密钥是秘密的，即是签字者的私钥。
二是接收方的认证部分，对签名S的验证可以记作Ver(M，S， K)— {真，假}，认证算法使用的密钥是发送方(即签名者)的公钥。
可编辑课件PPT
2
4.1 数字签名技术
1.数字签名的特点 (1)信息是由签名者发送的； (2)信息自签发后到收到为止未曾做过任何修改； (3)如果A否认对信息的签名，可以通过仲裁解决A和B之间的争议 (4)数字签名又不同于手写签名： 数字签名随文本的变化而变化，手写签字反映某个人个性特征， 是不变的；数字签名与文本信息是不可分割的，而用手写签字是附 加在文本之后的，与文本信息是分离的。
通常一个用户拥有两个密钥对，另一个密钥对用来对数字签名 进行加密解密，一个密钥对用来对私有密钥进行加密解密。这种方 式提供了更高的安全性。
接收方收到(M，s)之后
(1)取得发送方的公钥(e，n)
(2)解密签名s：h=se mod n。
(3)计算消息的散列值H(M)。
(4)比较，如果h＝H(M)，表示签名有效；否则，签名无效。
如果消息M很短的时候，可以直接对M用公钥解密以验证签名的有效
性，可以表达为：Ver(M可，编s辑)＝课件真PP〈T ＝〉M＝se mod n
▪ 盲签名
图4－5 盲签名原理
可编辑课件PPT
19
4.1 数字签名技术
完全盲签名
签名者在文件上的签名是有效的，签名是其签署文件的证据。如果 把文件给签名者看，他可确信他签署过这份文件。但是，签名者不 能把签署文件的行为与签署了的文件相关联。即使他记下了他所做 的每一个盲签名，他也不能确定他在什么时候签署了该文件。
一是发送方的签名部分，对消息M签名，可以记作S＝Sig(K， M)，签字算法使用的密钥是秘密的，即是签字者的私钥。
二是接收方的认证部分，对签名S的验证可以记作Ver(M，S， K)— {真，假}，认证算法使用的密钥是发送方(即签名者)的公钥。
可编辑课件PPT
2
4.1 数字签名技术
1.数字签名的特点 (1)信息是由签名者发送的； (2)信息自签发后到收到为止未曾做过任何修改； (3)如果A否认对信息的签名，可以通过仲裁解决A和B之间的争议 (4)数字签名又不同于手写签名： 数字签名随文本的变化而变化，手写签字反映某个人个性特征， 是不变的；数字签名与文本信息是不可分割的，而用手写签字是附 加在文本之后的，与文本信息是分离的。
通常一个用户拥有两个密钥对，另一个密钥对用来对数字签名 进行加密解密，一个密钥对用来对私有密钥进行加密解密。这种方 式提供了更高的安全性。
身份认证技术ppt课件
2 常见的生物特征识别方式
5.面部识别
面部识别是根据人的面部特征来进 行身份识别的技术，包括标准视频识别和热 成像技术两种。
标准视频识别是透过普通摄像头记录下 被拍摄者眼睛、鼻子、嘴的形状及相对位置 等面部特征，然后将其转换成数字信号，再 利用计算机进行身份识别。视频面部识别是 一种常见的身份识别方式，现已被广泛用于 公共安全领域。
虹膜识别通过对比虹膜图像特征之间的相似性 来确定人们的身份，其核心是使用模式识别、图像 处理等方法对人眼睛的虹膜特征进行描述和匹配， 从而实现自动的个人身份认证。英国国家物理实验 室的测试结果表明：虹膜识别是各种生物特征识别 方法中错误率最低的。
从普通家庭门禁、单位考勤到银行保险柜 、金融交易确认，应用后都可有效简化通行验证手 续、确保安全。如果手机加载“虹膜识别”，即使 丢失也不用担心信息泄露。机场通关安检中采用虹 膜识别技术，将缩短通关时间，提高安全等级。
指纹识别技术是目前最成熟且价格便 宜的生物特征识别技术。目前来说指纹识别的技 术应用最为广泛，人们不仅在门禁、考勤系统中 可以看到指纹识别技术的身影，市场上有了更多 指纹识别的应用：如笔记本电脑、手机、汽车、 银行支付都可应用指纹识别的技术。
2 常见的生物特征识别方式
2.静脉识别
静脉识别系统就是首先通过静脉识别 仪取得个人静脉分布图，从静脉分布图依据专 用比对算法提取特征值，通过红外线CCD摄像 头获取手背静脉的图像，将静脉的数字图像存 贮在计算机系统中，将特征值存储。静脉比对 时，实时采取静脉图，提取特征值，运用先进 的滤波、图像二值化、细化手段对数字图像提 取特征，同存储在主机中静脉特征值比对，采 用复杂的匹配算法对静脉特征进行匹配，从而 对个人进行身份鉴定，确认身份。全过程采用 非接触式。
第3章身份认证技术ppt课件
CA的数字签名提供了三个重要的保证:
▪ 第一，认证中有效的数字签名保证了认证信息的真 实性、完整性;
▪ 第二，因为CA是唯一有权使用它私钥的实体，任何 验证数字证书的用户都可以信任CA的签名，从而保 证了证书的权威性;
▪ 第三，由于CA签名的唯一性，CA不能否认自己所签 发的证书，并承担相口令的产生和验证过程
① 用户输入登录名和相关身份信息ID。
② 如果系统接受用户的访问，则给用户传送建立一次性口令所使用 的单向函数f及一次性密钥k，这种传送通常采用加密方式。
③ 用户选择“种子”密钥x，并计算第一次访问系统的口令z=fn（x ）。第一次正式访问系统所传送的数据为（k，z）。
最新课件
24
❖ 数字证书的内容
❖ 为了保证CA所签发证书的通用性，目前数字证书格 式一般采用X.509国际标准。X.509的核心是建立存 放每个用户的公钥证书的目录(仓库)。用户公钥证 书由可信赖的CA创建，并由CA或用户存放于目录中 。
❖ 一个标准的X.509数字证书包含以下一些内容:(1)证 书的版本信息；(2)证书的序列号；(3)证书所使用 的签名算法；(4)证书的发行机构；(5)证书的有效 期；(6)证书所有人的名称；(7)证书所有人的公开 密钥；(8)证书发行者对证书的签名。
CRL分发点（CRLDistributionP最o新in课t件s）
27
服务器证书的结构实例
版本号（version）
证书序列号（serialNumber）
签名算法标识符（signature）
颁发者名称（issuer）
有效期 （validity）
起始有效期 终止有效期
国家（countryName）
省份（stateOrProvinceName）
▪ 第一，认证中有效的数字签名保证了认证信息的真 实性、完整性;
▪ 第二，因为CA是唯一有权使用它私钥的实体，任何 验证数字证书的用户都可以信任CA的签名，从而保 证了证书的权威性;
▪ 第三，由于CA签名的唯一性，CA不能否认自己所签 发的证书，并承担相口令的产生和验证过程
① 用户输入登录名和相关身份信息ID。
② 如果系统接受用户的访问，则给用户传送建立一次性口令所使用 的单向函数f及一次性密钥k，这种传送通常采用加密方式。
③ 用户选择“种子”密钥x，并计算第一次访问系统的口令z=fn（x ）。第一次正式访问系统所传送的数据为（k，z）。
最新课件
24
❖ 数字证书的内容
❖ 为了保证CA所签发证书的通用性，目前数字证书格 式一般采用X.509国际标准。X.509的核心是建立存 放每个用户的公钥证书的目录(仓库)。用户公钥证 书由可信赖的CA创建，并由CA或用户存放于目录中 。
❖ 一个标准的X.509数字证书包含以下一些内容:(1)证 书的版本信息；(2)证书的序列号；(3)证书所使用 的签名算法；(4)证书的发行机构；(5)证书的有效 期；(6)证书所有人的名称；(7)证书所有人的公开 密钥；(8)证书发行者对证书的签名。
CRL分发点（CRLDistributionP最o新in课t件s）
27
服务器证书的结构实例
版本号（version）
证书序列号（serialNumber）
签名算法标识符（signature）
颁发者名称（issuer）
有效期 （validity）
起始有效期 终止有效期
国家（countryName）
省份（stateOrProvinceName）
网络安全身份认证技术ppt课件
其次，由于研发投入较大和产量较小的原因，生 物特征认证系统的成本非常高，目前只适合于一 些安全性要求非常高的场合如银行、部队等使用， 还无法做到大面积推广。
严格执行突发事件上报制度、校外活 动报批 制度等 相关规 章制度 。做到 及时发 现、制 止、汇 报并处 理各类 违纪行 为或突 发事件 。
严格执行突发事件上报制度、校外活 动报批 制度等 相关规 章制度 。做到 及时发 现、制 止、汇 报并处 理各类 违纪行 为或突 发事件 。
静态密码
即使能保证用户密码不被泄漏，由于密码是静态 的数据，并且在验证过程中需要在计算机内存中 和网络中传输，而每次验证过程使用的验证信息 都是相同的，很容易被驻留在计算机内存中的木 马程序或网络中的监听设备截获。
指纹
虹膜
严格执行突发事件上报制度、校外活 动报批 制度等 相关规 章制度 。做到 及时发 现、制 止、汇 报并处 理各类 违纪行 为或突 发事件 。
生物识别技术
生物特征认证基于生物特征识别技术，受到现在 的生物特征识别技术成熟度的影响，采用生物特 征认证还具有较大的局限性。
首先，生物特征识别的准确性和稳定性还有待提 高，特别是如果用户身体受到伤病或污渍的影响， 往往导致无法正常识别，造成合法用户无法登陆 的情况。
短信密码
短信密码以手机短信形式请求包含6位随机数的 动态密码，身份认证系统以短信形式发送随机的 6位密码到客户的手机上。客户在登录或者交易 认证时候输入此动态密码，从而确保系统身份认 证的安全性。它利用“你有什么”方法。
具有以下优点：
1）安全性
2）普及性
3）易收费
4）易维护
严格执行突发事件上报制度、校外活 动报批 制度等 相关规 章制度 。做到 及时发 现、制 止、汇 报并处 理各类 违纪行 为或突 发事件 。
严格执行突发事件上报制度、校外活 动报批 制度等 相关规 章制度 。做到 及时发 现、制 止、汇 报并处 理各类 违纪行 为或突 发事件 。
严格执行突发事件上报制度、校外活 动报批 制度等 相关规 章制度 。做到 及时发 现、制 止、汇 报并处 理各类 违纪行 为或突 发事件 。
静态密码
即使能保证用户密码不被泄漏，由于密码是静态 的数据，并且在验证过程中需要在计算机内存中 和网络中传输，而每次验证过程使用的验证信息 都是相同的，很容易被驻留在计算机内存中的木 马程序或网络中的监听设备截获。
指纹
虹膜
严格执行突发事件上报制度、校外活 动报批 制度等 相关规 章制度 。做到 及时发 现、制 止、汇 报并处 理各类 违纪行 为或突 发事件 。
生物识别技术
生物特征认证基于生物特征识别技术，受到现在 的生物特征识别技术成熟度的影响，采用生物特 征认证还具有较大的局限性。
首先，生物特征识别的准确性和稳定性还有待提 高，特别是如果用户身体受到伤病或污渍的影响， 往往导致无法正常识别，造成合法用户无法登陆 的情况。
短信密码
短信密码以手机短信形式请求包含6位随机数的 动态密码，身份认证系统以短信形式发送随机的 6位密码到客户的手机上。客户在登录或者交易 认证时候输入此动态密码，从而确保系统身份认 证的安全性。它利用“你有什么”方法。
具有以下优点：
1）安全性
2）普及性
3）易收费
4）易维护
严格执行突发事件上报制度、校外活 动报批 制度等 相关规 章制度 。做到 及时发 现、制 止、汇 报并处 理各类 违纪行 为或突 发事件 。
《统一身份认证介绍》课件
统一身份认证介绍
本PPT课件将介绍什么是统一身份认证，其应用场景、技术原理、优缺点以 及实践案例。了解这些对于保障数字安全至关重要。
什么是统一身份认证？
定义和概念
统一身份认证是一种基于互联网的身份认证方式，即用户在一个系统认证后，可以使用其身 份信息登录其他系统，无需重复认证。
需要统一身份认证的原因
通过统一管理和控制用户身份，可以提高系统安全性，减少用户账号管理成本，提高用户体 验。
统一身份认证的应用场景
学校教务系统
学生可以使用同一个账号登录选课系统、成绩查询 系统等教务系统。
图书馆管理系统
读者可以使用同一个账号登录借书系统、预约系统 等图书馆管理系统。
人事管理系统
员工可以使用同一个账号登录考勤系统、工资系统 等人事管理系统。
财务管理系统
使用单一身份认证的账户可以登录各种财务系统， 如开票、报销等。
统一身份认证的技术原理
1
单点登录（SSO）
用户在一个平台认证后，就可以在其他
统一标识符的生成和管理
2
系统登录而无需再次认证。
采等。
3
认证协议的实现
主要有SAML、OAuth等认证协议。
统一身份认证的优缺点
1 优点：
提高用户体验、提高安全性、降低IT管理成本。
2 缺点：
可能出现拒绝服务攻击、特定场景下可能出现问题。
统一身份认证的实践案例
清华大学
统一身份认证系统
学生、职工使用同一个账号能够登录校园网络、邮 箱、教务管理系统、图书馆管理系统等。
北京师范大学
统一身份认证系统
学生、职工一卡通可在校内实现自助借还图书，出 门识别、加热食品等功能。
总结
本PPT课件将介绍什么是统一身份认证，其应用场景、技术原理、优缺点以 及实践案例。了解这些对于保障数字安全至关重要。
什么是统一身份认证？
定义和概念
统一身份认证是一种基于互联网的身份认证方式，即用户在一个系统认证后，可以使用其身 份信息登录其他系统，无需重复认证。
需要统一身份认证的原因
通过统一管理和控制用户身份，可以提高系统安全性，减少用户账号管理成本，提高用户体 验。
统一身份认证的应用场景
学校教务系统
学生可以使用同一个账号登录选课系统、成绩查询 系统等教务系统。
图书馆管理系统
读者可以使用同一个账号登录借书系统、预约系统 等图书馆管理系统。
人事管理系统
员工可以使用同一个账号登录考勤系统、工资系统 等人事管理系统。
财务管理系统
使用单一身份认证的账户可以登录各种财务系统， 如开票、报销等。
统一身份认证的技术原理
1
单点登录（SSO）
用户在一个平台认证后，就可以在其他
统一标识符的生成和管理
2
系统登录而无需再次认证。
采等。
3
认证协议的实现
主要有SAML、OAuth等认证协议。
统一身份认证的优缺点
1 优点：
提高用户体验、提高安全性、降低IT管理成本。
2 缺点：
可能出现拒绝服务攻击、特定场景下可能出现问题。
统一身份认证的实践案例
清华大学
统一身份认证系统
学生、职工使用同一个账号能够登录校园网络、邮 箱、教务管理系统、图书馆管理系统等。
北京师范大学
统一身份认证系统
学生、职工一卡通可在校内实现自助借还图书，出 门识别、加热食品等功能。
总结
身份认证技术
第4章 身份认证技术
《计算机网络安全技术》
4.1 身份认证概述
4.1.1 身份认证的概念 身份认证（Authentication）是系统审查用户 身份的过程，从而确定该用户是否具有对某种资 源的访问和使用权限。身份认证通过标识和鉴别 用户的身份，提供一种判别和确认用户身份的机 制。 计算机网络中的身份认证是通过将一个证 据与实体身份绑定来实现的。实体可能是用户、 主机、应用程序甚至是进程。 身份认证技术在信息安全中处于非常重要的 地位，是其他安全机制的基础。只有实现了有效 的身份认证，才能保证访问控制、安全审计、入 《计算机网络安全技术》 侵防范等安全机制的有效实施。
就密码的安全使用来说，计算机系统 应该具备下列安全性： （1）入侵者即使取得储存在系统中 的密码也无法达到登录的目的。这需要在 密码认证的基础上再增加其他的认证方式， 如地址认证。 （2）通过监听网络上传送的信息而获 得的密码是不能用的。最有效的方式是数 据加密。 （3）计算机系统必须能够发现并防止 各类密码尝试攻击。可使用密码安全策略。
4.2.1 密码认证的特点 密码是用户与计算机之间以及计算机与计算 机之间共享的一个秘密，在通信过程中其中一方 向另一方提交密码，表示自己知道该秘密，从而 通过另一方的认证。密码通常由一组字符串来组 成，为便于用户记忆，一般用户使用的密码都有 长度的限制。但出于安全考虑，在使用密码时需 要注意以下几点： （1） 不使用默认密码、（2）设置足够长的密 码、（3）不要使用结构简单的词或数字组合、 （4）增加密码的组合复杂度、（5） 使用加密、 （6）避免共享密码 、（7）定期更换密码 《计算机网络安全技术》
《计算机网络安全技术》
使用一次性密码（即“一次一密”）技术可 以防止重放攻击的发生，这相当于用户随身携带 一个密码本，按照与目标主机约定好的次序使用 这些密码，并且每一个密钥只使用一次，当密码 全部用完后再向系统管理员申请新的密码本。 S/Key认证系统就是基于这种思想的一次性密码认 证系统。 在S/Key认证系统中，用户每一次登录系统 所用的密码都是不一样的，攻击者通过窃听得到 的密码无法用于下一次认证，这样S/Key认证系统 很好地防止了密码重放攻击。相对于可重放的密 码认证系统，S/Key认证系统具有很好的安全性， 而且符合安全领域的发展趋势。
《计算机网络安全技术》
4.1 身份认证概述
4.1.1 身份认证的概念 身份认证（Authentication）是系统审查用户 身份的过程，从而确定该用户是否具有对某种资 源的访问和使用权限。身份认证通过标识和鉴别 用户的身份，提供一种判别和确认用户身份的机 制。 计算机网络中的身份认证是通过将一个证 据与实体身份绑定来实现的。实体可能是用户、 主机、应用程序甚至是进程。 身份认证技术在信息安全中处于非常重要的 地位，是其他安全机制的基础。只有实现了有效 的身份认证，才能保证访问控制、安全审计、入 《计算机网络安全技术》 侵防范等安全机制的有效实施。
就密码的安全使用来说，计算机系统 应该具备下列安全性： （1）入侵者即使取得储存在系统中 的密码也无法达到登录的目的。这需要在 密码认证的基础上再增加其他的认证方式， 如地址认证。 （2）通过监听网络上传送的信息而获 得的密码是不能用的。最有效的方式是数 据加密。 （3）计算机系统必须能够发现并防止 各类密码尝试攻击。可使用密码安全策略。
4.2.1 密码认证的特点 密码是用户与计算机之间以及计算机与计算 机之间共享的一个秘密，在通信过程中其中一方 向另一方提交密码，表示自己知道该秘密，从而 通过另一方的认证。密码通常由一组字符串来组 成，为便于用户记忆，一般用户使用的密码都有 长度的限制。但出于安全考虑，在使用密码时需 要注意以下几点： （1） 不使用默认密码、（2）设置足够长的密 码、（3）不要使用结构简单的词或数字组合、 （4）增加密码的组合复杂度、（5） 使用加密、 （6）避免共享密码 、（7）定期更换密码 《计算机网络安全技术》
《计算机网络安全技术》
使用一次性密码（即“一次一密”）技术可 以防止重放攻击的发生，这相当于用户随身携带 一个密码本，按照与目标主机约定好的次序使用 这些密码，并且每一个密钥只使用一次，当密码 全部用完后再向系统管理员申请新的密码本。 S/Key认证系统就是基于这种思想的一次性密码认 证系统。 在S/Key认证系统中，用户每一次登录系统 所用的密码都是不一样的，攻击者通过窃听得到 的密码无法用于下一次认证，这样S/Key认证系统 很好地防止了密码重放攻击。相对于可重放的密 码认证系统，S/Key认证系统具有很好的安全性， 而且符合安全领域的发展趋势。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
概述-身份认证基本途径
❖基于你所知道的（What you know ）
▪ 知识、口令、密码
❖基于你所拥有的（What you have ）
▪ 身份证、信用卡、钥匙、智能卡、令牌等
❖基于你的个人特征（What you are）
▪ 指纹，笔迹，声音，手型，脸型，视网膜，虹膜
❖双因素、多因素认证
▪ 综合上述两种或多种因素进行认证。如ATM机取款需要 银行卡+密码双因素认证
输 ❖ 抵抗主动的威胁，比如阻断、伪造、重放，网
络上传输的认证信息不可重用
sniffer
源
目的
概述-需求
❖ 双向认证
▪ 域名欺骗、地址假冒等 ▪ 路由控制
❖单点登录（Single Sign-On）
▪ 用户只需要一次认证操作就可以访 问多种服务
❖ 可扩展性的要求
基于口令的身份认证
1. 挑战/响应认证 （Challenge/Response） 2. 一次性口令（OTP, One-Time Password） 3. 口令的管理
▪ 身份认证是指证实客户的真实身份与其所声称的身 份是否相符的过程
❖ 提供的安全服务
▪ 作为访问控制服务的一种必要支持，访问控制服务 的执行依赖于确知的身份
▪ 作为提供数据源认证的一种可能方法（当与数据完 整性机制结合起来使用时）
▪ 作为对责任原则的一种直接支持，如审计追踪中提 供与某活动相联系的确知身份
6
概述-身份认证的基本模型
❖ 可信第三方(Trusted Third Party) ▪ 在必要时作为第四方出现 ▪ 可参与调节纠纷
❖ 认证信息AI（Authentication Information）
申请AI
交换AI
验证AI
申请AI
验证AI
7
概述-需求
❖ 唯一的身份标识（ID）: ❖ 抗被动的威胁（窃听），口令不在网上明码传
10
挑战/应答认证协议（CHAP）
❖Challenge and Response Handshake Protocol
❖ Client和Server共享一个密钥
c
s
Login ,IDc
IDc, R
MAC=H(R,K)
IDc, MAC
OK / Disconnect
MAC’=H(R,K) 比较MAC’和MAC
12
一次性口令认证（OTP）
❖ S/Key ❖ SecurID
Pass phrase + challenge
OTP Token
ID challenge
OTP
Server OTP
/rfcs/rfc1760.html /rfc/rfc2289.txt
的口令。
❖限制登录次数
▪ 免受字典式攻击或穷举法攻击
18
对称码认证
❖基于对称密码算法的鉴别依靠一定协议下的数据加 密处理。通信双方共享一个密钥（通常存储在硬件 中），该密钥在询问—应答协议中处理或加密信息 交换。
❖单向认证：仅对实体中的一个进行认证。 ❖双向认证：两个通信实体相互进行认证。
19
1. Kerberos 简介 2. Kerberos 缺陷
一次性口令认证（OTP）
❖ SKEY验证程序
▪ 其安全性依赖于一个单向函数。为建立这样的系统A输入 一随机数R，计算机计算f（R）, f（ f（R））， f（ f（ f （R）） ），…,共计算100次，计算得到的数为x1, x2 , x3 ,… x100，A打印出这样的表，随身携带，计算机将x101存 在A的名字旁边。
MAC的计算可以基于Hash算, 对称密钥算法，公开密钥算法
11
一次性口令认证（OTP）
❖一次性口令机制确保在每次认证中所使用的口令不 同，以对付重放攻击。
❖确定口令的方法：
（1）两端共同拥有一串随机口令，在该串的某一位置保持 同步； （2）两端共同使用一个随机序列生成器，在该序列生成器 的初态保持同步； （3）使用时间戳，两端维持同步的时钟。
身份认证技术在网络空间安全中 的重要性及应用
本节主要内容
1
身份认证技术概述
2
基于口令的身份认证
3
对称密码认证
4
非对称密码认证
5
生物认证技术
6
移动互联时代的认证技术
2
概述-信息的基础是身份认证
❖ 数学家、信息论的创始人仙农在题为“通讯的数学理论”的 论文中指出：“信息是用来消除随机不定性的东西”。
5
概述-身份认证的基本模型
❖ 身份认证系统一般组成：示证者，验证者，攻击者及可 信第三方（可选）
❖ 示证者（Claimant，也称申请者） ▪ 提出某种要求
❖ 验证者（Verifier） ▪ 验证示证者出示的证件的正确性与合法性，并决定是 否满足其要求。
❖ 攻击者（Attacker） ▪ 可以窃听或伪装示证者，骗取验证者的信任。
▪ 第一次登录，键入x100 ▪ 以后依次键入xi，计算机计算f(xi)，并将它与xi+1比较。
14
众人科技的介绍
15
口令管理
❖ 口令管理
▪ 口令属于“他知道什么”这种方式，容易被窃取。 ▪ 口令的错误使用：
• 选择一些很容易猜到的口令； • 把口令告诉别人； • 把口令写在一个贴条上并把它贴在键盘旁边。
▪ 口令管理的作用：
• 生成了合适的口令 • 口令更新 • 能够完全保密
16
口令管理
❖口令的要求：
▪ 包含一定的字符数； ▪ 和ID无关； ▪ 包含特殊的字符； ▪ 大小写； ▪ 不容易被猜测到。 ▪ 跟踪用户所产生的所有口令，确保这些口令不相同， ▪ 定期更改其口令。 ▪ 使用字典式攻击的工具找出比较脆弱的口令。许多安全
工具都具有这种双重身份：
• 网络管理员使用的工具：口令检验器 • 攻击者破获口令使用的工具：口令破译器
17
口令管理
❖口令产生器
▪ 不是让用户自己选择口令，口令产生器用于产生随机的 和可拼写口令。
❖口令的时效
▪ 强迫用户经过一段时间后就更改口令。 ▪ 系统还记录至少5到10个口令，使用户不能使用刚刚使用
❖ 著名数学家、控制论的创始人维纳在指出：“信息是人们适 应外部世界并且使这种适应反作用于外部世界的过程中，同 外部世界进行交换的内容的名称。”
❖ 信息=确定性的内容的名称；内容的名称=ID，确定性= Certainty
身份认证是信息交互的基础 （信息化的第一道门）
3
概述-概念
❖ 概念
▪ 身份认证是网络安全的核心，其目的是防止未授权 用户访问网络资源。