物联网信息安全之实体认证
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
动态口令卡是发给每 个用户的动态口令发 生器，通过同步信任 认证算法，以时间为 参数，每隔16-64秒 产生一个一次性使用 的“动态口令”。
18
双因素动态口令卡--举例
Login: JSMITH Passcode: 2468723656
PASSCODE = PIN
+
TOKENCODE
令牌码: 每 60秒变 化一次
物联网信息安全之
实体认证
1
主要内容
实体认证的基本概念 非密码的认证机制 认证协议 Kerberos认证 X.509认证 公钥基础设施PKI 接入认证协议
2
安全的信息交换应满足的性质
保密性（ Confidentiality） 完整性（Integrity）
数据完整性，未被未授权篡改或者损坏 系统完整性，系统未被非授权操纵，按既定的功能运行
SecureID 美国Axend(现被Symantec公司兼并)是较早推
出双因素身份认证系统的公司。 我国一些信息技术公司也相继推出了动态口令
认证系统。如网泰金安信息技术公司、北京亿 青创新信息技术有限公司、四川安盟电子信息 安ห้องสมุดไป่ตู้有限公司等。
17
双因素动态口令卡--举例
北京亿青创新信息技 术有限公司---易码通 （EasyPass）动态口 令系统。
访访问问请请求求被通过 (加密的(加) 密的)
算法
PIN 1234
1110110100 0101010110 1010101010 0101001010
时钟
1001010100 1010001010
1001010100
1110110101
0101000111
64-bit 种子
用户进入一个 SecurID保护的网络, 应用或 服务。系统将提示用户输入用户名和一次 性密码 (PASSCODE)
匙 用户本身的特征：指纹、笔迹、声纹、手型、
血型、视网膜、虹膜、DNA以及个人动作方 面的一些特征
8
主要内容
实体认证的基本概念 非密码的认证机制 认证协议 Kerberos认证 X.509认证 公钥基础设施PKI 接入认证协议
9
非密码的认证机制
A. 口令机制 B. 一次性口令机制 C. 基于智能卡的机制 D. 基于个人特征的机制
使用时戳，两端维持同步的时钟。 15
双因素动态口令卡
双因素动态口令卡
基于密钥/时间双因素的身份认证机制； 用户登录口令随时间变化，口令一次性使用，
无法预测，可以有效抵御密码窃取和重放攻击 行为
16
双因素动态口令卡
相关产品
如Security Dynamics公司的SecureID设备 基于时间同步的动态密码认证系统RSA
可用性（Availability） 认证/鉴别（Authenticity）
数据源认证 实体身份的认证，适用于用户、进程、系统、信息等
不可否认性（ Non-repudiation）
防止源点或终点的抵赖
3
身份认证
The property that ensures that the identity of a subject or resource is the one claimed.
12
强壮口令应符合的规则
+ X + + X
X 电话号码、
生日等敏感
+ 输入8字符 记录于纸上或
以上口令 放置于办公处
X
信息 个人名字
使用重复
或呢称
的字符
=强壮的口令
13
对付线路窃听的措施
使用保护口令机制：如单向函数。
对于每个用户，系统将帐户和散列值对存储在一 个口令文件中，当用户输入口令x，系统计算其散 列值H(x)，然后将该值与口令文件中相应的散列 值比较，若相同则允许登录。
通常将本地鉴别结果传送到远程。 （1）安全 （2）易用
6
身份认证分类
身份认证可以是单向的也可以是双向的。 单向认证是指通信双方中只有一方向另一方
进行鉴别。 双向认证是指通信双方相互进行鉴别。
7
身份认证
进行身份认证的几种依据
用户所知道的 ：密码、口令 用户所拥有的：身份证、护照、信用卡、钥
身份认证就是确认实体是它所声明的。
身份认证是最重要的安全服务之一。实体的身份认 证服务提供了关于某个实体身份的保证。（所有其 它的安全服务都依赖于该服务）
身份认证可以对抗假冒攻击的危险
4
身份认证的需求和目的
身份认证需求：
某一成员（声称者）提交一个主体的身份并 声称它是那个主体。
身份认证目的：
与 UCT时钟同 步
唯一的 64-bit 种子
内部电池
19
令牌码的产生
• 令牌码的产生? • 时间 – UCT时间 • 算法 – 伪随机函数 • 种子 – 随机数
1110110100
0101010110
=
1010101010
Algorithm
20
认证过程
登录者
ACE/代理
ACE/服务器
User-ID: 安盟 password: 1234 234836
使别的成员（验证者）获得对声称者所声称 的事实的信任。
5
身份认证分类
身份认证可以分为本地和远程两类。 本地身份认证（单机环境）：实体在本地环境
的初始化鉴别（就是说，作为实体个人，和设 备物理接触，不和网络中的其他设备通信）。
需要用户进行明确的操作
远程身份认证（网络环境）：连接远程设备、 实体和环境的实体鉴别。
10
A.口令机制
常规的口令方案中的口令是不随时间变化的口令， 该机制提供弱鉴别(weak authentication)。
口令或通行字机制是最广泛研究和使用的身份鉴 别法。
口令系统有许多脆弱点
外部泄露 口令猜测 线路窃听 重放
11
对付口令猜测的措施
• 教育、培训； • 严格限制非法登录的次数； • 口令验证中插入实时延迟； • 限制最小长度，至少6~8字节以上 • 防止用户特征相关口令， • 口令定期改变； • 及时更改预设口令； • 使用机器产生的口令。
安全性仅依赖于口令
14
B.一次性口令机制
近似的强鉴别（towards strong authentication) 一次性口令机制确保在每次认证中所使用
的口令不同，以对付重放攻击。 确定口令的方法：
两端共同拥有一串随机口令，在该串的某一位 置保持同步；
两端共同使用一个随机序列生成器，在该序列 生成器的初态保持同步；
18
双因素动态口令卡--举例
Login: JSMITH Passcode: 2468723656
PASSCODE = PIN
+
TOKENCODE
令牌码: 每 60秒变 化一次
物联网信息安全之
实体认证
1
主要内容
实体认证的基本概念 非密码的认证机制 认证协议 Kerberos认证 X.509认证 公钥基础设施PKI 接入认证协议
2
安全的信息交换应满足的性质
保密性（ Confidentiality） 完整性（Integrity）
数据完整性，未被未授权篡改或者损坏 系统完整性，系统未被非授权操纵，按既定的功能运行
SecureID 美国Axend(现被Symantec公司兼并)是较早推
出双因素身份认证系统的公司。 我国一些信息技术公司也相继推出了动态口令
认证系统。如网泰金安信息技术公司、北京亿 青创新信息技术有限公司、四川安盟电子信息 安ห้องสมุดไป่ตู้有限公司等。
17
双因素动态口令卡--举例
北京亿青创新信息技 术有限公司---易码通 （EasyPass）动态口 令系统。
访访问问请请求求被通过 (加密的(加) 密的)
算法
PIN 1234
1110110100 0101010110 1010101010 0101001010
时钟
1001010100 1010001010
1001010100
1110110101
0101000111
64-bit 种子
用户进入一个 SecurID保护的网络, 应用或 服务。系统将提示用户输入用户名和一次 性密码 (PASSCODE)
匙 用户本身的特征：指纹、笔迹、声纹、手型、
血型、视网膜、虹膜、DNA以及个人动作方 面的一些特征
8
主要内容
实体认证的基本概念 非密码的认证机制 认证协议 Kerberos认证 X.509认证 公钥基础设施PKI 接入认证协议
9
非密码的认证机制
A. 口令机制 B. 一次性口令机制 C. 基于智能卡的机制 D. 基于个人特征的机制
使用时戳，两端维持同步的时钟。 15
双因素动态口令卡
双因素动态口令卡
基于密钥/时间双因素的身份认证机制； 用户登录口令随时间变化，口令一次性使用，
无法预测，可以有效抵御密码窃取和重放攻击 行为
16
双因素动态口令卡
相关产品
如Security Dynamics公司的SecureID设备 基于时间同步的动态密码认证系统RSA
可用性（Availability） 认证/鉴别（Authenticity）
数据源认证 实体身份的认证，适用于用户、进程、系统、信息等
不可否认性（ Non-repudiation）
防止源点或终点的抵赖
3
身份认证
The property that ensures that the identity of a subject or resource is the one claimed.
12
强壮口令应符合的规则
+ X + + X
X 电话号码、
生日等敏感
+ 输入8字符 记录于纸上或
以上口令 放置于办公处
X
信息 个人名字
使用重复
或呢称
的字符
=强壮的口令
13
对付线路窃听的措施
使用保护口令机制：如单向函数。
对于每个用户，系统将帐户和散列值对存储在一 个口令文件中，当用户输入口令x，系统计算其散 列值H(x)，然后将该值与口令文件中相应的散列 值比较，若相同则允许登录。
通常将本地鉴别结果传送到远程。 （1）安全 （2）易用
6
身份认证分类
身份认证可以是单向的也可以是双向的。 单向认证是指通信双方中只有一方向另一方
进行鉴别。 双向认证是指通信双方相互进行鉴别。
7
身份认证
进行身份认证的几种依据
用户所知道的 ：密码、口令 用户所拥有的：身份证、护照、信用卡、钥
身份认证就是确认实体是它所声明的。
身份认证是最重要的安全服务之一。实体的身份认 证服务提供了关于某个实体身份的保证。（所有其 它的安全服务都依赖于该服务）
身份认证可以对抗假冒攻击的危险
4
身份认证的需求和目的
身份认证需求：
某一成员（声称者）提交一个主体的身份并 声称它是那个主体。
身份认证目的：
与 UCT时钟同 步
唯一的 64-bit 种子
内部电池
19
令牌码的产生
• 令牌码的产生? • 时间 – UCT时间 • 算法 – 伪随机函数 • 种子 – 随机数
1110110100
0101010110
=
1010101010
Algorithm
20
认证过程
登录者
ACE/代理
ACE/服务器
User-ID: 安盟 password: 1234 234836
使别的成员（验证者）获得对声称者所声称 的事实的信任。
5
身份认证分类
身份认证可以分为本地和远程两类。 本地身份认证（单机环境）：实体在本地环境
的初始化鉴别（就是说，作为实体个人，和设 备物理接触，不和网络中的其他设备通信）。
需要用户进行明确的操作
远程身份认证（网络环境）：连接远程设备、 实体和环境的实体鉴别。
10
A.口令机制
常规的口令方案中的口令是不随时间变化的口令， 该机制提供弱鉴别(weak authentication)。
口令或通行字机制是最广泛研究和使用的身份鉴 别法。
口令系统有许多脆弱点
外部泄露 口令猜测 线路窃听 重放
11
对付口令猜测的措施
• 教育、培训； • 严格限制非法登录的次数； • 口令验证中插入实时延迟； • 限制最小长度，至少6~8字节以上 • 防止用户特征相关口令， • 口令定期改变； • 及时更改预设口令； • 使用机器产生的口令。
安全性仅依赖于口令
14
B.一次性口令机制
近似的强鉴别（towards strong authentication) 一次性口令机制确保在每次认证中所使用
的口令不同，以对付重放攻击。 确定口令的方法：
两端共同拥有一串随机口令，在该串的某一位 置保持同步；
两端共同使用一个随机序列生成器，在该序列 生成器的初态保持同步；