系统安全设计

系统安全设计实验指南

中国海洋大学信息科学与工程学院

目录

系统安全设计实验指南 (1)

实验一身份认证技术 (3)

1.1 身份认证的概念 (3)

1. 身份认证的概念 (3)

2. 认证技术的类型 (3)

1. 静态密码方式 (3)

2. 动态口令认证 (3)

3. USB Key认证 (3)

5. CA认证 (3)

1.3 身份认证系统概述 (4)

1. 身份认证系统的构成 (4)

1.4.常用认证系统及认证方法 (4)

2.一次性口令密码体制 (5)

3.双因素安全令牌及认证系统 (5)

4. 单点登入系统 (5)

实验二访问控制技术 (6)

2.1 访问控制的概念及原理 (6)

1.访问控制的概念及要素 (6)

2.访问控制的功能及原理 (6)

2.2 访问控制的类型及机制 (6)

1. 访问控制的类型 (6)

实验三数据库系统实验 (8)

实验四公文流转系统设计与实现 (8)

实验一身份认证技术

1.1 身份认证的概念

身份认证基本方法有三种：用户物件认证；有关信息确认或体貌特征识别。

1. 身份认证的概念

认证（Authentication）是指对主客体身份进行确认的过程。

身份认证（Identity Authentication）是指网络用户在进入系统或访问受限系统资源时，系统对用户身份的鉴别过程。

2. 认证技术的类型

认证技术是用户身份认证与鉴别的重要手段，也是计算机系统安全中的一项重要内容。从鉴别对象上，分为消息认证和用户身份认证两种。

（1）消息认证：用于保证信息的完整性和不可否认性。

（2）身份认证：鉴别用户身份。包括识别和验证两部分。识别是鉴别访问者的身份，验证是对访问者身份的合法性进行确认。

从认证关系上，身份认证也可分为用户与主机间的认证和主机之间的认证，

1.2 常用的身份认证方式

1. 静态密码方式

静态密码方式是指以用户名及密码认证的方式，是最简单最常用的身份认证方法。

2. 动态口令认证

动态口令是应用最广的一种身份识别方式，基于动态口令认证的方式主要有动态短信密码和动态口令牌（卡）两种方式，口令一次一密。图5-1

动态口令牌

3. USB Key认证

采用软硬件相结合、一次一密的强双因素（两种认证方法）认证

模式。其身份认证系统主要有两种认证模式：基于冲击/响应模式和基

于PKI体系的认证模式。常用的网银USB Key如图5-2所示。

图5-2 网银USB Key

4. 生物识别技术

生物识别技术是指通过可测量的生物信息和行为等特征进行身份认证的一种技术。认证系统测量的生物特征一般是用户唯一生理特征或行为方式。生物特征分为身体特征和行为特征两类。

5. CA认证

国际认证机构通称为CA，是对数字证书的申请者发放、管理、取消的机构。用于检查证书持有者身份的合法性，并签发证书，以防证书被伪造或篡改。发放、管理和认证是一个复杂的过程，即CA认证过程，如表5-1所示。

表5-1 证书的类型与作用

证书名称证书类型主要功能描述

个人证书个人证书个人网上交易、网上支付、电子邮件等相关网络作业

单位证书单位身份证书用于企事业单位网上交易、网上支付等Email证书用于企事业单位内安全电子邮件通信部门证书用于企事业单位内某个部门的身份认证

服务器证书企业证书用于服务器、安全站点认证等

代码签名证书个人证书用于个人软件开发者对其软件的签名企业证书用于软件开发企业对其软件的签名

注：数字证书标准有：X.509证书、简单PKI证书、PGP证书和属性证书。

CA主要职能是管理和维护所签发的证书，并提供各种证书服务，包括证书的签发、更新、回收、归档等。CA系统的主要功能是管理其辖域内的用户证书。

CA的主要职能体现在3个方面：

（1）管理和维护客户的证书和证书作废表（CRL）。

（2）维护整个认证过程的安全。

（3）提供安全审计的依据。

1.3 身份认证系统概述

1. 身份认证系统的构成

身份认证系统的组成包括：认证服务器、认证系统

客户端和认证设备。系统主要通过身份认证协议和认证系

统软硬件进行实现。其中，身份认证协议又分为：单向认证协议和双向认证协议。若通信双方只需一方鉴别另一方的身份，则称单项认证协议；如果双方都需要验证身份，则称双向认证协议。如图5-3所示。图5-3 认证系统网络结构图

【案例5-1】AAA认证系统现阶段应用最广。认证（Authentication）是验证用户身份与可使用网络服务的过程；授权（Authorization）是依据认证结果开放网络服务给用户的过程；审计（Accounting）是记录用户对各种网络服务的用量，并计费的过程。

1.4.常用认证系统及认证方法

1.固定口令认证

固定口令认证方式简单，易受攻击：

（1）网络数据流窃听（Sniffer）。

（2）认证信息截取/重放。

（3）字典攻击。

（4）穷举尝试（Brute Force）。

（5）窥探密码。

（6）社会工程攻击。

（7）垃圾搜索。

2.一次性口令密码体制

一次性口令认证系统组成：

（1）生成不确定因子。

（2）生成一次性口令。

3.双因素安全令牌及认证系统

（1）E-Securer的组成

图5-4 E-Securer安全认证系统

（2）E-Securer的安全性。

（3）双因素身份认证系统的技术特点与优势。

4. 单点登入系统

单点登入（Single Sign On，SSO）也称单次登入，是在多个应用系统中，用户只需要登入一次就可以访问所有相互信任的应用系统。

单点登入优势体现在5个方面：

（1）管理简单。

（2）管理控制便捷。

（3）用户使用简捷。

（4）网络更安全。

（5）合并异构网络。

实验内容：

在电影《龙门飞甲》中设计了这样一个情节，西厂厂工雨化田和他的手下商量了一个“龙门飞甲，便知真假”的暗号，用于辨识身份，不料这个暗号被与雨化田长得很像的风里刀窃听到前一句，在对阵时风里刀使用该暗号的上半句成功的骗过了雨化田的手下。这个暗号实际上是一个身份认证的方法，请根据所学内容分析该身份认证方法的原理，在实际使用中存在的弱点，最后请根据所学知识帮助雨化田他们设计一个高强度安全的身份认证方法。

写成实验报告上交。