第四章身份验证和访问控制.ppt

最常见的身分认证机制:口令（Password)
在现实中，黑客攻击目标的时候，90 ％会把破译普通用户的口令作为第一步。 比如先用“finger 远端主机名”找出主机 上的用户账号，然后用字典穷举法进行攻 击。因为事实上，很多用户都把自己常用 的英文单词或者自己的姓名作为口令。通 过一些程序，自动地从计算机字典里面去 找单词作为用户的口令输入给远端的主机， 尝试进入系统。这个破译过程是由程序来 完成的。
直到最近,先进的生物测定学身份验 证方法非常昂贵,并且只在高度安全的环 境中使用。目前,几百家公司已经生产出 低成本的生物测定学解决方案。这种方 法的例子包括指纹、面部特征扫描、视 网膜眼部扫描和声音分析。例如,康柏公 司提供标准鼠标大小的指纹扫描仪,它适 合安装在监视器旁边。
你在哪儿
“你在哪儿”是最弱的身份验证形式, 这种策略通过系统的位置确定你的身份。 例如 ，UNIX系统的rlogin和rsh应用程 序验证用户、主机或进程是部分根据它 们IP地址的来源。 但是,基于位置的身份验证方法很 容易被愚弄,尤其是在本地网络。
出示你所拥有的
这个方法稍微先进一些,因为需要通 过物理设备进行身份验证。证明“你所拥 有的”的一个好的例子是大楼准入门卡。 任何通过了扫描仪扫瞄门卡的人将会准许 进入大楼。但这种方法的局限是,身份验 证的基础是持有门卡。如果你把卡给了其 他人,这些人就可以进入大楼。因此,应该 建立一种更复杂的进入大楼的身份验证的 系统,不仅需要一张门卡,还要有口令，这 样就结合了拥有物品和知晓内容两种机制。
⑴口令的安全性
口令是计算机和用户双方知道的某个 "关键字“，作为一个确认符号串只能由用 户和操作系统本身识别。 口令的实际使用往往降低了其安全性。 三个方面： 口令字符串的选择 口令数据存放 口令查找匹配
口令的选择
世界100强的公司、小型公司和拥有强大安全 保证的互联网服务供应商们的薄弱环节，那就是： 在它们的用户中有的人可能会使用那些比较容易 被猜破的密码。有些人喜欢使用宠物的名字作为 密码，还有的人则把所喜欢的人的名字当成密码， 他们以为在这些密码前面或者后面添加一到两个 数字就很聪明了，其实也不尽然。这些简单的方 法对于今天的计算机来说都显得太过幼稚，因为 当今的计算机每秒钟可以对几百万的密码进行破 译尝试，它们通常可以在一分钟之内把一个密码 破译出来。
第四章 身份验证和访问控制
身份认证 (鉴别authentication)
网络的普及使任何人都可以试图登录 进入系统.确定用户合法身份，是进入网络 和系统的第一道安全关口，也是用户获取 权限的关键。 身份认证解决“你是谁”（Who are you?）的问题。它是验证用户、系统或系 统组件身份的一种能力。系统组件可以包 括内部过程,如应用程序,或从一台计算机 传到另一台计算机的网络包。
如果这种方法不能奏效，黑客就会 仔细地寻找目标的薄弱环节和漏洞，伺机 夺取目标中存放口令的文件shadow或者 passwd。在现代的Unix系统中，用户的 基本信息都是存放在passwd文件中的， 所有的口令都经过DES加密后专门放在 shadow文件中，处于严密的保护下。老 版本的Unix的口令都在passwd文件中。 一旦获得了这个文件，就可以用专用的破 解DES加密算法的程序来解析口令。
你是谁 ：用生物识别技术进行鉴别
就用户而言,证明“你是谁”的方法,是以 一些无法轻易复制或偷走的物理、遗传或其他 人类特征为基础的。 指纹是一种已被接受的用于唯一地识别 一个人的方法。手印是又一种被用于读取整个 手而不是仅仅手指的特征和特性。声音图像对 每一个人来说也是各不相的同。笔迹或签名不 仅包括字母和符号的组合方式，也包括了签名 时某些部分用力的大小，或笔接触纸的时间的 长短和笔移动中的停顿等细微的差别。视网膜 扫描是用红外线检查人眼各不相同的血管图像。
身种,证明他们是自己所声明的什 么身份。 证实你所知道的 出示你所拥有的 证明你是谁 识别你在哪儿
证实你所知道的
口令验证是Internet和计算机世界中最 普通的身份验证方法。当登录到一个计算 机网络时,它通常会询问你的口令，这就是 你所知道的。计算机把口令作为身份验证 基础。如果把口令给了其他人,则计算机会 授予这个人访问权,因为身份验证是基于已 知的口令。这不是计算机的失误,而是人的 错误。 没有安全专家会把口令作为强鉴别机 制，然而由于它简单、廉价和方便，因而 不可能马上就消失。
惊人的数字
在对3300个用户密码的进行调查过程 中，调查人员发现，有17%的密码是用三 个或三个以下的数字和字符组成的，有 15%的密码由四个数字或字符组成。在所 有被检查的密码中，几乎有近一半在持续 不到六个小时的搜索中被发现。 如果一个公司的CEO用"god123"来 保护重要文件的话，那么即使是非常好的 安全组和高技术数字屏障也无济于事。
例如,服务器的IP地址是192.168.2.3, 这个服务器中包含了有价值的信息,并且 只允许IP地址为192.168.2.4的系统访问。 假设有个系统的IP地址是192.168.2.5。只 要重新设置系统,使用192.168.2.4作为IP地 址,则服务器就会授权给这个非法系统,因 为服务器只能靠位置进行验证,而没有其 他方法。这种方式也无法抵御IP地址欺骗 攻击。
其吸引人的地方是生物识别绝不可能丢 失和被偷窃。但是， 生物识别技术也存在着 某些局限性。
需要特殊硬件，这就限制了生物技术只能 用在比较少的环境中。
因为生物技术极为依赖生物体的生理特点， 因此不可能给出极为准确的答案。比如没有 两个签字是绝对相同的，即使来自一个人， 还有一些莫明其妙的影响，例如疲劳程度、 心境状况和健康状况等。在匹配算法中必须 建立某些公差。假如某个调用者经鉴别只有9 3 %的可信度，你是否让其登录？
应该定期检查系统是否存在无口令 的用户，其次应定期运行口令破译程序 以检查系统中是否存在弱口令，这些措 施可以显著地减少系统面临的通过口令 入侵的威胁。另外，系统管理员应保护 好自己的口令，并要求用户定期更换自 己的口令。