网络身份认证
合集下载
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
– 实体对象：主体，用户、程序或服务， – 票证：用户主体之间访问认证
网络安全 第4章 网络身份认证
• Kerberos弱点：
– 单点故障 – 必须实施处理大量信息 – 密钥需要暂时性的存在工作站上，存在威胁 – 会话密钥被解密后仍保留在缓存中，存在威
胁 – 对密码猜测的字典攻击 – 密钥更新过程复杂
网络安全 第4章 网络身份认证
• 标识、认证、授权和稽核
– 标识：一种能够确保主体（用户、程序获进 程）就是它所宣称的那个实体的方法
– 认证：证明、确认标识的正确性 – 授权：认证通过后，对主体访问资源的能力
的安排。是操作系统的核心功能。 – 稽查：对主体行为的审核和记录
网络安全 第4章 网络身份认证
网络安全 第4章 网络身份认证
默认拒绝
• 一般授权的基本原则
– 默认拒绝 – 需要知晓:授予能够实现业务的最小权限，
与最小特权原则一致
网络安全 第4章 网络身份认证
4 单点登录
• 脚本方式 • Kerberos
网络安全 第4章 网络身份认证
脚本方式
• 包含有每一用户ID、口令字和对应平台 登录命令的批处理文件
该消息。
网络安全 第4章 网络身份认证
• 无仲裁数字签名（直接数字签名）
– 仅涉及通信双方 – 有效性依赖发方密钥的安全性
• 有仲裁数字签名
– 使用第三方认证
网络安全 第4章 网络身份认证
数字签名技术
网络安全 第4章 网络身份认证
身份认证
• 证实客户的真实身份与其所声称的身份是否相 符的过程。
网络安全 第4章 网络身份认证
存储卡
• 直接使用存在卡中的信息与库中信息比 对
• 可结合普通口令机制，双重比对
网络安全 第4章 网络身份认证
智能卡
• 卡本身具有认证比对功能，加强卡自身 安全保护
• 随后再进一步认证
网络安全 第4章 网络身份认证
3 授权
• 授权方法 • 默认拒绝
网络安全 第4章 网络身份认证
有感知的口令
• 常规问题＋个性化回答
网络安全 第4章 网络身份认证
一次性口令
• 令牌装置＋同步机制 • 令牌装置＋异步机制（交互应答＋认证
服务器通信＝“间接的同步”）
网络安全 第4章 网络身份认证
网络安全 第4章 网络身份认证
网络安全 第4章 网络身份认证
密码认证
• 对称密码体制认证 • 公钥密码体制认证 • HASH认证 • ……
• 依据
– Something the user know (所知）
• 密码、口令等
– Something the user possesses （拥有）
• 身份证、护照、密钥盘等
– Something the user is (or How he behaves)
• 指纹、笔迹、声音、虹膜、DNA等
1 概述
• 认证技术
– 提供信息完整性、防止抵赖和篡改的安全技 术。
– 是最重要的安全服务之一。 – 认证服务提供了关于某个实体身份的保证。
（所有其它的安全服务都依赖于该服务）
网络安全 第4章 网络身份认证
• 数字签名
– 手写签名的电子化
• 消息认证
– 消息来源和内容的合法性
• 数字摘要（杂凑函数）
网络安全 第4章 网络身份认证
• 对付线路窃听的措施:使用保护口令机制(如单向函数)
声称者
验证者
消息
p
f
id q
q id
比较
id
是或不是
网络安全 第4章 网络身份认证
• 对付重放攻击的措施
声称者
p
q
f
salt
消息 r id nrv
g
id nrv
网络安全 第4章 网络身份认证
验证者 id q
g 比较 是或不是
授权方法
• 角色访问方法：不同角色的业务访问需求可能 类似
• 组访问原则方法：需要同样访问权限的用户的 集合
• 物理和逻辑位置访问原则： • 时间： • 事务类型限制：事务实例取值的不同，访问权
限赋予可能也不同。（银行取钱，职责不同， 能操作的金额应该不一致；数据库管理员负责 建立人事数据库，但他未必有权访问这些数据 记录）
网络安全 第4章 网络身份认证
网络安全 第4章 网络身份认证
口令机制
• 口令或通行字机制是最广泛研究和使用的身份鉴别法。 通常为长度为5~8的字符串。选择原则：易记、难猜、 抗分析能力强。
• 口令系统有许多脆弱点：
– 外部泄露 – 口令猜测 – 线路窃听 – 危及验证者 – 重放
网络安全 第4章 网络身份认证
• 对付外部泄露的措施
– 教育、培训； – 严格组织管理办法和执行手续； – 口令定期改变； – 每个口令只与一个人有关； – 输入的口令不再现在终端上； – 使用易记的口令，不要写在纸上。
网络安全 第4章 网络身份认证
• 对付口令猜测的措施
– 教育、培训； – 严格限制非法登录的次数； – 口令验证中插入实时延迟； – 限制最小长度，至少6~8字节以上 – 防止用户特征相关口令， – 口令定期改变； – 及时更改预设口令； – 使用机器产生的口令。
– 消息的完整性
• 身份认证
– 实体所宣称与实体本身的相符性
网络安全 第4章 网络身份认证
数字签名
• 消息认证用于保护通信双方之间的数据 交换不受第三方的侵犯，但不能保证双 方自身的相互欺骗。
• 假定A发送一个认证的消息给B，双方可 能存在的争议形式：
– B伪造一个不同的消息，但声称消息来自A； – A否认发送过消息，B无法证明A确实发送了
2 标识与认证
• 生物标识和认证 • 口令 • 有感知的口令 • 一次性口令 • 令牌装置 • 密码认证 • 存储卡 • 智能卡
网络安全 第4章 网络身份认证
生物标识和认证
• 等误判率：随着敏感度的变化，错判与 漏判的比率会发生变化，两者比率相同 时的数值
• 指纹、手掌轮廓、视网膜（眼球后方视 网膜上的血管的图形）、虹膜（瞳孔周 围彩色部分）、动态签名、动态键盘输 入、语音识别、面部特征、手型拓扑
– 用户使用方便 – 管理员需要事先编写脚本 – 管理员跟踪活替换口令更改机制 – 脚本本身的机密性、完整性要求极高 – 平台升级可能会要求脚本升级
网络安全 第4章 网络身份认证
Kerberos
• 分布式单点登录的实例 • 使用对称加密算法体系 • 主要组件：
– 密钥分发中心：存有所有用户和服务的密钥；具有 密钥分发和认证功能；客户和服务充分信任KDC是 系统安全的基础
网络安全 第4章 网络身份认证
• Kerberos弱点：
– 单点故障 – 必须实施处理大量信息 – 密钥需要暂时性的存在工作站上，存在威胁 – 会话密钥被解密后仍保留在缓存中，存在威
胁 – 对密码猜测的字典攻击 – 密钥更新过程复杂
网络安全 第4章 网络身份认证
• 标识、认证、授权和稽核
– 标识：一种能够确保主体（用户、程序获进 程）就是它所宣称的那个实体的方法
– 认证：证明、确认标识的正确性 – 授权：认证通过后，对主体访问资源的能力
的安排。是操作系统的核心功能。 – 稽查：对主体行为的审核和记录
网络安全 第4章 网络身份认证
网络安全 第4章 网络身份认证
默认拒绝
• 一般授权的基本原则
– 默认拒绝 – 需要知晓:授予能够实现业务的最小权限，
与最小特权原则一致
网络安全 第4章 网络身份认证
4 单点登录
• 脚本方式 • Kerberos
网络安全 第4章 网络身份认证
脚本方式
• 包含有每一用户ID、口令字和对应平台 登录命令的批处理文件
该消息。
网络安全 第4章 网络身份认证
• 无仲裁数字签名（直接数字签名）
– 仅涉及通信双方 – 有效性依赖发方密钥的安全性
• 有仲裁数字签名
– 使用第三方认证
网络安全 第4章 网络身份认证
数字签名技术
网络安全 第4章 网络身份认证
身份认证
• 证实客户的真实身份与其所声称的身份是否相 符的过程。
网络安全 第4章 网络身份认证
存储卡
• 直接使用存在卡中的信息与库中信息比 对
• 可结合普通口令机制，双重比对
网络安全 第4章 网络身份认证
智能卡
• 卡本身具有认证比对功能，加强卡自身 安全保护
• 随后再进一步认证
网络安全 第4章 网络身份认证
3 授权
• 授权方法 • 默认拒绝
网络安全 第4章 网络身份认证
有感知的口令
• 常规问题＋个性化回答
网络安全 第4章 网络身份认证
一次性口令
• 令牌装置＋同步机制 • 令牌装置＋异步机制（交互应答＋认证
服务器通信＝“间接的同步”）
网络安全 第4章 网络身份认证
网络安全 第4章 网络身份认证
网络安全 第4章 网络身份认证
密码认证
• 对称密码体制认证 • 公钥密码体制认证 • HASH认证 • ……
• 依据
– Something the user know (所知）
• 密码、口令等
– Something the user possesses （拥有）
• 身份证、护照、密钥盘等
– Something the user is (or How he behaves)
• 指纹、笔迹、声音、虹膜、DNA等
1 概述
• 认证技术
– 提供信息完整性、防止抵赖和篡改的安全技 术。
– 是最重要的安全服务之一。 – 认证服务提供了关于某个实体身份的保证。
（所有其它的安全服务都依赖于该服务）
网络安全 第4章 网络身份认证
• 数字签名
– 手写签名的电子化
• 消息认证
– 消息来源和内容的合法性
• 数字摘要（杂凑函数）
网络安全 第4章 网络身份认证
• 对付线路窃听的措施:使用保护口令机制(如单向函数)
声称者
验证者
消息
p
f
id q
q id
比较
id
是或不是
网络安全 第4章 网络身份认证
• 对付重放攻击的措施
声称者
p
q
f
salt
消息 r id nrv
g
id nrv
网络安全 第4章 网络身份认证
验证者 id q
g 比较 是或不是
授权方法
• 角色访问方法：不同角色的业务访问需求可能 类似
• 组访问原则方法：需要同样访问权限的用户的 集合
• 物理和逻辑位置访问原则： • 时间： • 事务类型限制：事务实例取值的不同，访问权
限赋予可能也不同。（银行取钱，职责不同， 能操作的金额应该不一致；数据库管理员负责 建立人事数据库，但他未必有权访问这些数据 记录）
网络安全 第4章 网络身份认证
网络安全 第4章 网络身份认证
口令机制
• 口令或通行字机制是最广泛研究和使用的身份鉴别法。 通常为长度为5~8的字符串。选择原则：易记、难猜、 抗分析能力强。
• 口令系统有许多脆弱点：
– 外部泄露 – 口令猜测 – 线路窃听 – 危及验证者 – 重放
网络安全 第4章 网络身份认证
• 对付外部泄露的措施
– 教育、培训； – 严格组织管理办法和执行手续； – 口令定期改变； – 每个口令只与一个人有关； – 输入的口令不再现在终端上； – 使用易记的口令，不要写在纸上。
网络安全 第4章 网络身份认证
• 对付口令猜测的措施
– 教育、培训； – 严格限制非法登录的次数； – 口令验证中插入实时延迟； – 限制最小长度，至少6~8字节以上 – 防止用户特征相关口令， – 口令定期改变； – 及时更改预设口令； – 使用机器产生的口令。
– 消息的完整性
• 身份认证
– 实体所宣称与实体本身的相符性
网络安全 第4章 网络身份认证
数字签名
• 消息认证用于保护通信双方之间的数据 交换不受第三方的侵犯，但不能保证双 方自身的相互欺骗。
• 假定A发送一个认证的消息给B，双方可 能存在的争议形式：
– B伪造一个不同的消息，但声称消息来自A； – A否认发送过消息，B无法证明A确实发送了
2 标识与认证
• 生物标识和认证 • 口令 • 有感知的口令 • 一次性口令 • 令牌装置 • 密码认证 • 存储卡 • 智能卡
网络安全 第4章 网络身份认证
生物标识和认证
• 等误判率：随着敏感度的变化，错判与 漏判的比率会发生变化，两者比率相同 时的数值
• 指纹、手掌轮廓、视网膜（眼球后方视 网膜上的血管的图形）、虹膜（瞳孔周 围彩色部分）、动态签名、动态键盘输 入、语音识别、面部特征、手型拓扑
– 用户使用方便 – 管理员需要事先编写脚本 – 管理员跟踪活替换口令更改机制 – 脚本本身的机密性、完整性要求极高 – 平台升级可能会要求脚本升级
网络安全 第4章 网络身份认证
Kerberos
• 分布式单点登录的实例 • 使用对称加密算法体系 • 主要组件：
– 密钥分发中心：存有所有用户和服务的密钥；具有 密钥分发和认证功能；客户和服务充分信任KDC是 系统安全的基础