第5章 身份認(rèn)證與訪問控制

1、賈鐵軍 沈?qū)W東 蘇慶剛等編著 機(jī)械工業(yè)出版社機(jī)械工業(yè)出版社 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 身份認(rèn)證技術(shù)的概念、種類和方法身份認(rèn)證技術(shù)的概念、種類和方法 數(shù)字簽名技術(shù)及應(yīng)用數(shù)字簽名技術(shù)及應(yīng)用 訪問控制技術(shù)及應(yīng)用訪問控制技術(shù)及應(yīng)用 安全審計(jì)技術(shù)及應(yīng)用安全審計(jì)技術(shù)及應(yīng)用 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 理解身份認(rèn)證技術(shù)的概念、種類和方法理解身份認(rèn)證技術(shù)的概念、種類和方法 了解登錄認(rèn)證與授權(quán)管理了解登錄認(rèn)證與授權(quán)管理 掌握數(shù)字簽名技術(shù)及應(yīng)用掌握數(shù)字簽名技術(shù)及應(yīng)用 掌握訪問控制技術(shù)及應(yīng)用掌握訪問控制技術(shù)及應(yīng)用 掌握安全審計(jì)技術(shù)及應(yīng)用掌握安全審計(jì)技術(shù)及應(yīng)用 第

2、第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 5.1 身份認(rèn)證技術(shù)概述身份認(rèn)證技術(shù)概述 1. 認(rèn)證技術(shù)的概念認(rèn)證技術(shù)的概念 認(rèn)證認(rèn)證（Authentication）是通過對網(wǎng)絡(luò)系）是通過對網(wǎng)絡(luò)系 統(tǒng)使用過程中的主客體進(jìn)行鑒別，并經(jīng)過確認(rèn)統(tǒng)使用過程中的主客體進(jìn)行鑒別，并經(jīng)過確認(rèn) 主客體的身份以后，給這些主客體賦予恰當(dāng)?shù)闹骺腕w的身份以后，給這些主客體賦予恰當(dāng)?shù)?標(biāo)志、標(biāo)簽、證書等的過程。標(biāo)志、標(biāo)簽、證書等的過程。 身份認(rèn)證身份認(rèn)證（Identity and Authentication Management）是計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的用戶在進(jìn)）是計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的用戶在進(jìn) 入系統(tǒng)或訪問不同保護(hù)級別的系

3、統(tǒng)資源時，系入系統(tǒng)或訪問不同保護(hù)級別的系統(tǒng)資源時，系 統(tǒng)確認(rèn)該用戶的身份是否真實(shí)、合法和唯一的統(tǒng)確認(rèn)該用戶的身份是否真實(shí)、合法和唯一的 過程。過程。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 2. 身份認(rèn)證的作用身份認(rèn)證的作用 身份認(rèn)證與鑒別是信息安全中的第一道防身份認(rèn)證與鑒別是信息安全中的第一道防 線，線，是保證計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全的重要措施之是保證計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全的重要措施之 一一,對信息系統(tǒng)的安全有著重要的意義。對信息系統(tǒng)的安全有著重要的意義。 身份認(rèn)證可以確保用戶身份的真實(shí)、合法身份認(rèn)證可以確保用戶身份的真實(shí)、合法 和唯一性。認(rèn)證是對用戶身份和認(rèn)證信息的生和唯一性。認(rèn)證是對

4、用戶身份和認(rèn)證信息的生 成、存儲、同步、驗(yàn)證和維護(hù)的整個過程的管成、存儲、同步、驗(yàn)證和維護(hù)的整個過程的管 理。因此，可以防止非法人員進(jìn)入系統(tǒng)，防止理。因此，可以防止非法人員進(jìn)入系統(tǒng)，防止 非法人員通過各種違法操作獲取不正當(dāng)利益、非法人員通過各種違法操作獲取不正當(dāng)利益、 非法訪問受控信息、惡意破壞系統(tǒng)數(shù)據(jù)的完整非法訪問受控信息、惡意破壞系統(tǒng)數(shù)據(jù)的完整 性的情況的發(fā)生，嚴(yán)防性的情況的發(fā)生，嚴(yán)防“病從口入病從口入”關(guān)口。關(guān)口。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 3. 認(rèn)證技術(shù)種類認(rèn)證技術(shù)種類(1)(1) 認(rèn)證技術(shù)是計(jì)算機(jī)網(wǎng)絡(luò)安全中的一個重要認(rèn)證技術(shù)是計(jì)算機(jī)網(wǎng)絡(luò)安全中的一個重要 內(nèi)

5、容，一般可以分為兩種：內(nèi)容，一般可以分為兩種： (1) 消息認(rèn)證消息認(rèn)證 (2) 身份認(rèn)證身份認(rèn)證： 1) 識別識別 2) 驗(yàn)證驗(yàn)證 常用的身份認(rèn)證技術(shù)主要包括：常用的身份認(rèn)證技術(shù)主要包括： (1) 基于秘密信息的身份認(rèn)證方法基于秘密信息的身份認(rèn)證方法 1) 口令認(rèn)證口令認(rèn)證 2) 單項(xiàng)認(rèn)證單項(xiàng)認(rèn)證 3) 雙向認(rèn)證雙向認(rèn)證 4) 零知識認(rèn)證零知識認(rèn)證 (2)基于物理安全的身份認(rèn)證方法基于物理安全的身份認(rèn)證方法 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 3. 認(rèn)證技術(shù)種類認(rèn)證技術(shù)種類(2)(2) 基于生物學(xué)的認(rèn)證方案基于生物學(xué)的認(rèn)證方案包括包括基于指紋識基于指紋識 別的身份認(rèn)證別的身

6、份認(rèn)證、基于聲音識別的身份認(rèn)證基于聲音識別的身份認(rèn)證以以 及及基于虹膜識別的身份認(rèn)證基于虹膜識別的身份認(rèn)證等技術(shù)。等技術(shù)。 基于智能卡的身份認(rèn)證機(jī)制基于智能卡的身份認(rèn)證機(jī)制在認(rèn)證時需在認(rèn)證時需 要一個硬件，稱為智能卡。智能卡中存有秘要一個硬件，稱為智能卡。智能卡中存有秘 密信息，通常是一個隨機(jī)數(shù)，只有持卡人才密信息，通常是一個隨機(jī)數(shù)，只有持卡人才 能被認(rèn)證能被認(rèn)證。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 認(rèn)證技術(shù)是信息安全理論與技術(shù)的一個重要方面。認(rèn)證技術(shù)是信息安全理論與技術(shù)的一個重要方面。 用戶在訪問安全系統(tǒng)之前，首先經(jīng)過身份認(rèn)證系統(tǒng)識用戶在訪問安全系統(tǒng)之前，首先經(jīng)過身份認(rèn)證

7、系統(tǒng)識 別身份，然后訪問監(jiān)控設(shè)備，根據(jù)用戶的身份和授權(quán)別身份，然后訪問監(jiān)控設(shè)備，根據(jù)用戶的身份和授權(quán) 數(shù)據(jù)庫，決定用戶是否能夠訪問某個資源。數(shù)據(jù)庫，決定用戶是否能夠訪問某個資源。 身份認(rèn)證在安全系統(tǒng)中的地位極其重要，身份認(rèn)證在安全系統(tǒng)中的地位極其重要，是最基是最基 本的安全服務(wù)本的安全服務(wù)，其他的安，其他的安 全服務(wù)都要依賴于對用戶全服務(wù)都要依賴于對用戶 身份的認(rèn)證。身份的認(rèn)證。一般身份認(rèn)一般身份認(rèn) 證可分為用戶與主機(jī)間的證可分為用戶與主機(jī)間的 認(rèn)證和主機(jī)與主機(jī)之間的認(rèn)證和主機(jī)與主機(jī)之間的 認(rèn)證。認(rèn)證。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 目前，計(jì)算機(jī)及網(wǎng)絡(luò)系統(tǒng)中常用的身份目

8、前，計(jì)算機(jī)及網(wǎng)絡(luò)系統(tǒng)中常用的身份 認(rèn)證方式主要有以下幾種：認(rèn)證方式主要有以下幾種： 1. 用戶名及密碼方式用戶名及密碼方式 用戶名及密碼方式是最簡單也是最常用用戶名及密碼方式是最簡單也是最常用 的身份認(rèn)證方法，的身份認(rèn)證方法，由用戶自己設(shè)定，只有用由用戶自己設(shè)定，只有用 戶本人知道。只要能夠正確輸入密碼，計(jì)算戶本人知道。只要能夠正確輸入密碼，計(jì)算 機(jī)就認(rèn)為操作者就是合法用戶。機(jī)就認(rèn)為操作者就是合法用戶。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 2. 智能卡認(rèn)證智能卡認(rèn)證 智能卡是一種內(nèi)置集成的電路芯片，芯智能卡是一種內(nèi)置集成的電路芯片，芯 片中存有與用戶身份相關(guān)的數(shù)據(jù)，智能卡由片

9、中存有與用戶身份相關(guān)的數(shù)據(jù)，智能卡由 專門的廠商通過專門的設(shè)備生產(chǎn)，是不可復(fù)專門的廠商通過專門的設(shè)備生產(chǎn)，是不可復(fù) 制的硬件。制的硬件。 智能卡由合法用戶隨身攜帶，登錄時必智能卡由合法用戶隨身攜帶，登錄時必 須將智能卡插入專用的讀卡器讀取其中的信須將智能卡插入專用的讀卡器讀取其中的信 息，以驗(yàn)證用戶的身份。息，以驗(yàn)證用戶的身份。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 3. 動態(tài)令牌認(rèn)證動態(tài)令牌認(rèn)證 動態(tài)口令技術(shù)動態(tài)口令技術(shù)是一種讓用戶密碼按照時是一種讓用戶密碼按照時 間或使用次數(shù)不斷變化、每個密碼只能使用間或使用次數(shù)不斷變化、每個密碼只能使用 一次的技術(shù)。它采用一種動態(tài)令牌的專

10、用硬一次的技術(shù)。它采用一種動態(tài)令牌的專用硬 件，內(nèi)置電源、密碼生成芯片和顯示屏，密件，內(nèi)置電源、密碼生成芯片和顯示屏，密 碼生成芯片運(yùn)行專門的密碼算法，根據(jù)當(dāng)前碼生成芯片運(yùn)行專門的密碼算法，根據(jù)當(dāng)前 時間或使用次數(shù)生成當(dāng)前密碼并顯示。用戶時間或使用次數(shù)生成當(dāng)前密碼并顯示。用戶 使用時只需要將動態(tài)令牌上顯示的當(dāng)前密碼使用時只需要將動態(tài)令牌上顯示的當(dāng)前密碼 輸入客戶端計(jì)算機(jī)，即可實(shí)現(xiàn)身份認(rèn)證。輸入客戶端計(jì)算機(jī)，即可實(shí)現(xiàn)身份認(rèn)證。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 4. USB Key認(rèn)證認(rèn)證 基于基于USB Key的身份認(rèn)證方式是近幾年的身份認(rèn)證方式是近幾年 發(fā)展起來的一種方便

11、、安全的身份認(rèn)證技術(shù)。發(fā)展起來的一種方便、安全的身份認(rèn)證技術(shù)。 它它采用軟硬件相結(jié)合、一次一密的強(qiáng)雙因子采用軟硬件相結(jié)合、一次一密的強(qiáng)雙因子 認(rèn)證模式，認(rèn)證模式，很好地解決了安全性與易用性之很好地解決了安全性與易用性之 間的矛盾。間的矛盾。 USB Key內(nèi)置單片機(jī)或智能卡芯片，可內(nèi)置單片機(jī)或智能卡芯片，可 以存儲用戶的密鑰或數(shù)字證書，利用以存儲用戶的密鑰或數(shù)字證書，利用USB Key內(nèi)置的密碼算法實(shí)現(xiàn)對用戶身份的認(rèn)證。內(nèi)置的密碼算法實(shí)現(xiàn)對用戶身份的認(rèn)證。 基于基于USB Key身份認(rèn)證系統(tǒng)主要有兩種身份認(rèn)證系統(tǒng)主要有兩種 應(yīng)用模式：應(yīng)用模式：一是基于沖擊一是基于沖擊/響應(yīng)的認(rèn)證模式，響應(yīng)的認(rèn)

12、證模式， 二是基于二是基于PKI體系的認(rèn)證模式。體系的認(rèn)證模式。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 5. 生物識別技術(shù)生物識別技術(shù) 生物識別技術(shù)生物識別技術(shù)主要是指通過可測量的身主要是指通過可測量的身 體或行為等生物特征進(jìn)行身份認(rèn)證的一種技體或行為等生物特征進(jìn)行身份認(rèn)證的一種技 術(shù)。術(shù)。生物特征是指唯一的可以測量或可自動生物特征是指唯一的可以測量或可自動 識別和驗(yàn)證的生理特征或行為方式。識別和驗(yàn)證的生理特征或行為方式。 生物特征分為生物特征分為身體特征身體特征和和行為特征行為特征兩類。兩類。 身體特征包括：身體特征包括：指紋、掌型、視網(wǎng)膜、虹膜、指紋、掌型、視網(wǎng)膜、虹膜、

13、人體氣味、臉型、手的血管和人體氣味、臉型、手的血管和DNA等；等；行為行為 特征包括：特征包括：簽名、語音、行走步態(tài)等。簽名、語音、行走步態(tài)等。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 6. CA認(rèn)證認(rèn)證 CA (Certification Authority)是認(rèn)證機(jī)是認(rèn)證機(jī) 構(gòu)的國際通稱，構(gòu)的國際通稱，它是對數(shù)字證書的申請者發(fā)它是對數(shù)字證書的申請者發(fā) 放、管理、取消數(shù)字證書的機(jī)構(gòu)。放、管理、取消數(shù)字證書的機(jī)構(gòu)。 CA 的作用的作用是檢查證書持有者身份的合是檢查證書持有者身份的合 法性，并簽發(fā)證書法性，并簽發(fā)證書(用數(shù)學(xué)方法在證書上簽用數(shù)學(xué)方法在證書上簽 字字)，以防證書被偽造

14、或篡改。網(wǎng)絡(luò)身份證的，以防證書被偽造或篡改。網(wǎng)絡(luò)身份證的 發(fā)放、管理和認(rèn)證就是一個復(fù)雜的過程，也發(fā)放、管理和認(rèn)證就是一個復(fù)雜的過程，也 就是就是CA認(rèn)證。認(rèn)證。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 5.2 登錄認(rèn)證與授權(quán)管理登錄認(rèn)證與授權(quán)管理 1. 單次登錄所面臨的挑戰(zhàn)單次登錄所面臨的挑戰(zhàn) 單次登錄單次登錄（Single Sign On，簡稱，簡稱SSO） 是指用戶只向網(wǎng)絡(luò)進(jìn)行一次身份驗(yàn)證，以后再是指用戶只向網(wǎng)絡(luò)進(jìn)行一次身份驗(yàn)證，以后再 無需另外驗(yàn)證身份，便可訪問所有被授權(quán)的網(wǎng)無需另外驗(yàn)證身份，便可訪問所有被授權(quán)的網(wǎng) 絡(luò)資源。絡(luò)資源。 單次登錄技術(shù)單次登錄技術(shù)SSO所面臨的所

15、面臨的挑戰(zhàn)包括幾個挑戰(zhàn)包括幾個 方面方面。 (1) 多種應(yīng)用平臺多種應(yīng)用平臺 (2) 不同的安全機(jī)制不同的安全機(jī)制 (3) 不同的賬戶服務(wù)系統(tǒng)不同的賬戶服務(wù)系統(tǒng) 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 2. 單次登錄的優(yōu)點(diǎn)單次登錄的優(yōu)點(diǎn) 實(shí)現(xiàn)單次登錄實(shí)現(xiàn)單次登錄SSO，對于用戶的好處主要有：，對于用戶的好處主要有： (1) 管理更簡單管理更簡單 (2) 管理控制更方便管理控制更方便 (3) 用戶使用更快捷用戶使用更快捷 (4) 更高的網(wǎng)絡(luò)安全性更高的網(wǎng)絡(luò)安全性 (5) 合并異構(gòu)網(wǎng)絡(luò)合并異構(gòu)網(wǎng)絡(luò) 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 1. 認(rèn)證與授權(quán)管理目標(biāo)認(rèn)證與授

16、權(quán)管理目標(biāo)(1)(1) 用戶認(rèn)證與認(rèn)證授權(quán)管理目標(biāo)包括以下用戶認(rèn)證與認(rèn)證授權(quán)管理目標(biāo)包括以下7 個方面：個方面： (1) 目錄服務(wù)系統(tǒng)是架構(gòu)的基礎(chǔ)模塊目錄服務(wù)系統(tǒng)是架構(gòu)的基礎(chǔ)模塊 (2) 身份管理系統(tǒng)是實(shí)現(xiàn)不同應(yīng)用的身份身份管理系統(tǒng)是實(shí)現(xiàn)不同應(yīng)用的身份 存儲統(tǒng)一管理的基礎(chǔ)。存儲統(tǒng)一管理的基礎(chǔ)。 (3) 認(rèn)證管理系統(tǒng)并非必須，各系統(tǒng)往往認(rèn)證管理系統(tǒng)并非必須，各系統(tǒng)往往 自帶認(rèn)證模塊自帶認(rèn)證模塊 。 (4) 訪問管理系統(tǒng)因?yàn)橄到y(tǒng)資源的多樣性訪問管理系統(tǒng)因?yàn)橄到y(tǒng)資源的多樣性 呈現(xiàn)多種，目前最為成熟的是對呈現(xiàn)多種，目前最為成熟的是對Web資源的訪資源的訪 問管理（稱為問管理（稱為Web SSO） 第第

17、5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 1. 認(rèn)證與授權(quán)管理目標(biāo)認(rèn)證與授權(quán)管理目標(biāo)(2)(2) (5) 集成平臺（門戶服務(wù)器、應(yīng)用服務(wù)器或集成平臺（門戶服務(wù)器、應(yīng)用服務(wù)器或 EAI平臺）提供統(tǒng)一入口管理，建議認(rèn)證管理平臺）提供統(tǒng)一入口管理，建議認(rèn)證管理 系統(tǒng)和訪問管理系統(tǒng)施加在集成平臺上以實(shí)現(xiàn)系統(tǒng)和訪問管理系統(tǒng)施加在集成平臺上以實(shí)現(xiàn) 統(tǒng)一認(rèn)證和授權(quán)管理。統(tǒng)一認(rèn)證和授權(quán)管理。 (6) 監(jiān)控服務(wù)可以附加在各類平臺（集成平監(jiān)控服務(wù)可以附加在各類平臺（集成平 臺、認(rèn)證管理系統(tǒng)、訪問管理系統(tǒng)等）中，也臺、認(rèn)證管理系統(tǒng)、訪問管理系統(tǒng)等）中，也 可以是獨(dú)立的產(chǎn)品。可以是獨(dú)立的產(chǎn)品。 (7) 采用以

18、上架構(gòu)，可以提供身份信息的統(tǒng)采用以上架構(gòu)，可以提供身份信息的統(tǒng) 一存儲和統(tǒng)一管理，并實(shí)現(xiàn)身份認(rèn)證及資源訪一存儲和統(tǒng)一管理，并實(shí)現(xiàn)身份認(rèn)證及資源訪 問的集成管理，同時最大程度地保護(hù)我行現(xiàn)有問的集成管理，同時最大程度地保護(hù)我行現(xiàn)有 的的IT投資。投資。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 2. 認(rèn)證授權(quán)管理的原則認(rèn)證授權(quán)管理的原則 為達(dá)成以上的目標(biāo)模式，應(yīng)遵循以下的指為達(dá)成以上的目標(biāo)模式，應(yīng)遵循以下的指 導(dǎo)原則：導(dǎo)原則： (1) 統(tǒng)一規(guī)劃管理，分步部署實(shí)施統(tǒng)一規(guī)劃管理，分步部署實(shí)施 (2) 建立統(tǒng)一的信息安全服務(wù)平臺，提供統(tǒng)建立統(tǒng)一的信息安全服務(wù)平臺，提供統(tǒng) 一的身份認(rèn)證和訪問管

19、理服務(wù)一的身份認(rèn)證和訪問管理服務(wù) (3) 保護(hù)現(xiàn)有保護(hù)現(xiàn)有IT投資，并便于未來擴(kuò)展投資，并便于未來擴(kuò)展 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 5.3.1 數(shù)字簽名概念及功能數(shù)字簽名概念及功能 1. 數(shù)字簽名的概念數(shù)字簽名的概念 數(shù)字簽名數(shù)字簽名（Digital Signature）是指用戶）是指用戶 以個人的私鑰對原始數(shù)據(jù)進(jìn)行加密所得的特殊以個人的私鑰對原始數(shù)據(jù)進(jìn)行加密所得的特殊 數(shù)字串。專門用于保證信息來源的真實(shí)性、數(shù)數(shù)字串。專門用于保證信息來源的真實(shí)性、數(shù) 據(jù)傳輸?shù)耐暾院头赖仲囆?。?jù)傳輸?shù)耐暾院头赖仲囆浴?數(shù)字簽名在電子銀行、證券和電子商務(wù)等數(shù)字簽名在電子銀行、證券和電

20、子商務(wù)等 方面應(yīng)用非常廣泛。方面應(yīng)用非常廣泛。 從法律上講，從法律上講，簽名有兩個功能簽名有兩個功能，即標(biāo)識簽，即標(biāo)識簽 名人和表示簽名人對文件內(nèi)容的認(rèn)可。名人和表示簽名人對文件內(nèi)容的認(rèn)可。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 2. 數(shù)字簽名的方法和功能數(shù)字簽名的方法和功能(1)(1) 實(shí)現(xiàn)電子簽名的技術(shù)手段有多種，需要在實(shí)現(xiàn)電子簽名的技術(shù)手段有多種，需要在 確認(rèn)了簽署者的確切身份即經(jīng)過認(rèn)證之后，電確認(rèn)了簽署者的確切身份即經(jīng)過認(rèn)證之后，電 子簽名承認(rèn)人們可以用多種不同的方法簽署一子簽名承認(rèn)人們可以用多種不同的方法簽署一 份電子記錄。份電子記錄。方法包括：方法包括：基于基于PK

21、I 的公鑰密碼的公鑰密碼 技術(shù)的數(shù)字簽名；用一個獨(dú)一無二的以生物特技術(shù)的數(shù)字簽名；用一個獨(dú)一無二的以生物特 征統(tǒng)計(jì)學(xué)為基礎(chǔ)的識別標(biāo)識；手印、聲音印記征統(tǒng)計(jì)學(xué)為基礎(chǔ)的識別標(biāo)識；手印、聲音印記 或視網(wǎng)膜掃描的識別；一個讓收件人能識別發(fā)或視網(wǎng)膜掃描的識別；一個讓收件人能識別發(fā) 件人身份的密碼代號、密碼或個人識別碼件人身份的密碼代號、密碼或個人識別碼PIN； 基于量子力學(xué)的計(jì)算機(jī)等?；诹孔恿W(xué)的計(jì)算機(jī)等。 但比較成熟的、使用方便具有可操作性的、但比較成熟的、使用方便具有可操作性的、 在世界先進(jìn)國家和我國普遍使用的電子簽名技在世界先進(jìn)國家和我國普遍使用的電子簽名技 術(shù)還是術(shù)還是基于基于PKI 的數(shù)字簽

22、名技術(shù)。的數(shù)字簽名技術(shù)。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 2. 數(shù)字簽名的方法和功能數(shù)字簽名的方法和功能(2)(2) 數(shù)字簽名的功能：數(shù)字簽名的功能： (1)簽名是可信的簽名是可信的。文件的接受者相信簽名。文件的接受者相信簽名 者是慎重地在文件上簽名的；者是慎重地在文件上簽名的； (2)簽名不可抵賴簽名不可抵賴。發(fā)送者事后不能抵賴對。發(fā)送者事后不能抵賴對 報(bào)文的簽名，可以核實(shí)；報(bào)文的簽名，可以核實(shí)； (3)簽名不可偽造簽名不可偽造。簽名可以證明是簽字者。簽名可以證明是簽字者 而不是其他人在文件上簽字；而不是其他人在文件上簽字； (4)簽名不可重用簽名不可重用。簽名是文件的

23、一部分，。簽名是文件的一部分， 不可能將簽名移動到其它的文件上。不可能將簽名移動到其它的文件上。 (5)簽名不可變更簽名不可變更。簽名和文件就不能改變。簽名和文件就不能改變 ，簽名和文件也不可分離。，簽名和文件也不可分離。 (6)數(shù)字簽名有一定的處理速度數(shù)字簽名有一定的處理速度，能夠滿足，能夠滿足 所有的應(yīng)用需求。所有的應(yīng)用需求。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 1. 手寫簽名或圖章的識別手寫簽名或圖章的識別 即將手寫簽名或印章作為圖像，用光掃描即將手寫簽名或印章作為圖像，用光掃描 經(jīng)光電轉(zhuǎn)換后在數(shù)據(jù)庫中加以存儲，當(dāng)驗(yàn)證此經(jīng)光電轉(zhuǎn)換后在數(shù)據(jù)庫中加以存儲，當(dāng)驗(yàn)證此 人的手寫

24、簽名或蓋印時，也用光掃描輸入，并人的手寫簽名或蓋印時，也用光掃描輸入，并 將原數(shù)據(jù)庫中的對應(yīng)圖像調(diào)出，用模式識別的將原數(shù)據(jù)庫中的對應(yīng)圖像調(diào)出，用模式識別的 數(shù)學(xué)計(jì)算方法對將兩者進(jìn)行比對，以確認(rèn)該簽數(shù)學(xué)計(jì)算方法對將兩者進(jìn)行比對，以確認(rèn)該簽 名或印章的真?zhèn)?。名或印章的真?zhèn)巍?第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 2. 生物識別技術(shù)生物識別技術(shù) 生物識別技術(shù)是利用人體生物特征進(jìn)行身生物識別技術(shù)是利用人體生物特征進(jìn)行身 份認(rèn)證的一種技術(shù)。份認(rèn)證的一種技術(shù)。 生物特征個人的唯一表征生物特征個人的唯一表征，可以測量、自，可以測量、自 動識別和驗(yàn)證。動識別和驗(yàn)證。 人們同識別系統(tǒng)交互進(jìn)行身份

25、認(rèn)證時，識人們同識別系統(tǒng)交互進(jìn)行身份認(rèn)證時，識 別系統(tǒng)獲取其特征并與數(shù)據(jù)庫中的特征模板進(jìn)別系統(tǒng)獲取其特征并與數(shù)據(jù)庫中的特征模板進(jìn) 行比對，確定匹配確認(rèn)。行比對，確定匹配確認(rèn)。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 3. 密碼、密碼代號或個人識別碼密碼、密碼代號或個人識別碼 是一種傳統(tǒng)的對稱密鑰加是一種傳統(tǒng)的對稱密鑰加/解密的身份識解密的身份識 別和簽名方法。適用遠(yuǎn)程網(wǎng)絡(luò)傳輸，因?qū)ΨQ密別和簽名方法。適用遠(yuǎn)程網(wǎng)絡(luò)傳輸，因?qū)ΨQ密 鑰管理困難，不適用于電子簽名。鑰管理困難，不適用于電子簽名。 4. 基于量子力學(xué)的計(jì)算機(jī)基于量子力學(xué)的計(jì)算機(jī) 量子計(jì)算機(jī)是以量子力學(xué)原理直接進(jìn)行計(jì)量子計(jì)算機(jī)

26、是以量子力學(xué)原理直接進(jìn)行計(jì) 算的計(jì)算機(jī)，機(jī)具有更強(qiáng)大的功能，其計(jì)算速算的計(jì)算機(jī)，機(jī)具有更強(qiáng)大的功能，其計(jì)算速 度要比現(xiàn)代的計(jì)算機(jī)快幾億倍。量子計(jì)算機(jī)是度要比現(xiàn)代的計(jì)算機(jī)快幾億倍。量子計(jì)算機(jī)是 利用一種新的量子密碼的編碼方法，即利用光利用一種新的量子密碼的編碼方法，即利用光 子的相位特性編碼。子的相位特性編碼。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 5. 基于基于PKI的電子簽名的電子簽名 數(shù)字簽名只是電子簽名的一種特定形式，數(shù)字簽名只是電子簽名的一種特定形式， 基于基于PKI 的電子簽名被稱作數(shù)字簽名。的電子簽名被稱作數(shù)字簽名。 目前，具有實(shí)際意義的電子簽名只有公鑰目前，具有實(shí)

27、際意義的電子簽名只有公鑰 密碼理論。所以，國內(nèi)外普遍目前使用的還是密碼理論。所以，國內(nèi)外普遍目前使用的還是 基于基于PKI 的數(shù)字簽名技術(shù)。作為公鑰基礎(chǔ)設(shè)施，的數(shù)字簽名技術(shù)。作為公鑰基礎(chǔ)設(shè)施， PKI 可提供多種網(wǎng)上安全服務(wù)，如認(rèn)證、數(shù)據(jù)可提供多種網(wǎng)上安全服務(wù)，如認(rèn)證、數(shù)據(jù) 保密性、數(shù)據(jù)完整性和不可否認(rèn)性。保密性、數(shù)據(jù)完整性和不可否認(rèn)性。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 1. 身份認(rèn)證的實(shí)現(xiàn)身份認(rèn)證的實(shí)現(xiàn)(1)(1) PKI 提供的服務(wù)首先是認(rèn)證，即身份識別提供的服務(wù)首先是認(rèn)證，即身份識別 與鑒別，就是確認(rèn)實(shí)體即為自己所聲明的實(shí)與鑒別，就是確認(rèn)實(shí)體即為自己所聲明的實(shí) 體。

28、認(rèn)證的前提是甲、乙雙方都具有第三方體。認(rèn)證的前提是甲、乙雙方都具有第三方 CA 所簽發(fā)的證書。所簽發(fā)的證書。 認(rèn)證分單向認(rèn)證和雙向認(rèn)證。認(rèn)證分單向認(rèn)證和雙向認(rèn)證。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 1. 身份認(rèn)證的實(shí)現(xiàn)身份認(rèn)證的實(shí)現(xiàn)(2)(2) 雙向認(rèn)證。甲乙雙方在網(wǎng)上查詢對方證書雙向認(rèn)證。甲乙雙方在網(wǎng)上查詢對方證書 的有效性及黑名單時，采用的有效性及黑名單時，采用LDAP協(xié)議協(xié)議(Light Directory Access Protocol)，它是一種輕型，它是一種輕型 目錄訪問協(xié)議，過程如圖所示。目錄訪問協(xié)議，過程如圖所示。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證

29、與訪問控制 2. 數(shù)字簽名與驗(yàn)證數(shù)字簽名與驗(yàn)證 網(wǎng)上通信的雙方，在互相認(rèn)證身份之后，網(wǎng)上通信的雙方，在互相認(rèn)證身份之后， 即可發(fā)送簽名的數(shù)據(jù)電文。即可發(fā)送簽名的數(shù)據(jù)電文。 數(shù)字簽名的全過程分兩大部分，即簽名與數(shù)字簽名的全過程分兩大部分，即簽名與 驗(yàn)證。驗(yàn)證。 3. 數(shù)字簽名的操作過程數(shù)字簽名的操作過程 數(shù)字簽名的操作過程需要有發(fā)方的簽名證數(shù)字簽名的操作過程需要有發(fā)方的簽名證 書的私鑰及其驗(yàn)證公鑰。書的私鑰及其驗(yàn)證公鑰。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 1. 訪問控制的概念訪問控制的概念(1)(1) 訪問控制訪問控制（Visit Control）是指對網(wǎng)絡(luò)中）是指對網(wǎng)絡(luò)中

30、的某些資源訪問進(jìn)行的控制，只有被授予不同的某些資源訪問進(jìn)行的控制，只有被授予不同 權(quán)限的用戶，才有資格訪問特定的資源、程序權(quán)限的用戶，才有資格訪問特定的資源、程序 或數(shù)據(jù)。為了保護(hù)數(shù)據(jù)的安全性，還可限定一或數(shù)據(jù)。為了保護(hù)數(shù)據(jù)的安全性，還可限定一 些數(shù)據(jù)資源的讀寫范圍。是在保障授權(quán)用戶能些數(shù)據(jù)資源的讀寫范圍。是在保障授權(quán)用戶能 獲取所需資源的同時拒絕非授權(quán)用戶的安全機(jī)獲取所需資源的同時拒絕非授權(quán)用戶的安全機(jī) 制。制。網(wǎng)絡(luò)的訪問控制技術(shù)是通過對訪問的申請、網(wǎng)絡(luò)的訪問控制技術(shù)是通過對訪問的申請、 批準(zhǔn)和撤銷的全過程進(jìn)行有效的控制批準(zhǔn)和撤銷的全過程進(jìn)行有效的控制。 第第5 5章章 身份認(rèn)證與訪問控制身

31、份認(rèn)證與訪問控制 1. 訪問控制的概念訪問控制的概念(2)(2) 訪問控制是系統(tǒng)保密性、完整性、可用性訪問控制是系統(tǒng)保密性、完整性、可用性 和合法使用性的基礎(chǔ)，是網(wǎng)絡(luò)安全防范和保護(hù)和合法使用性的基礎(chǔ)，是網(wǎng)絡(luò)安全防范和保護(hù) 的主要策略。其的主要策略。其主要任務(wù)主要任務(wù)是保證網(wǎng)絡(luò)資源不被是保證網(wǎng)絡(luò)資源不被 非法使用和非法訪問，也是維護(hù)網(wǎng)絡(luò)系統(tǒng)安全、非法使用和非法訪問，也是維護(hù)網(wǎng)絡(luò)系統(tǒng)安全、 保護(hù)網(wǎng)絡(luò)資源的重要手段。保護(hù)網(wǎng)絡(luò)資源的重要手段。 訪問控制是主體依據(jù)某些控制策略或權(quán)限訪問控制是主體依據(jù)某些控制策略或權(quán)限 對客體本身或是其資源進(jìn)行的不同授權(quán)訪問。對客體本身或是其資源進(jìn)行的不同授權(quán)訪問。 訪問

32、控制包括三個要素，即主體、客體和訪問控制包括三個要素，即主體、客體和 控制策略。控制策略。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 1. 訪問控制的概念訪問控制的概念(3)(3) 訪問控制策略有訪問控制策略有7種種： (1) 入網(wǎng)訪問控制策略入網(wǎng)訪問控制策略 (2) 網(wǎng)絡(luò)的權(quán)限控制策略網(wǎng)絡(luò)的權(quán)限控制策略 (3) 目錄級安全控制策略目錄級安全控制策略 (4) 屬性安全控制策略屬性安全控制策略 (5) 網(wǎng)絡(luò)服務(wù)器安全控制策略網(wǎng)絡(luò)服務(wù)器安全控制策略 (6) 網(wǎng)絡(luò)監(jiān)測和鎖定控制策略網(wǎng)絡(luò)監(jiān)測和鎖定控制策略 (7) 網(wǎng)絡(luò)端口和節(jié)點(diǎn)的安全控制策略。網(wǎng)絡(luò)端口和節(jié)點(diǎn)的安全控制策略。 第第5 5章章

33、 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 2. 訪問控制的內(nèi)容訪問控制的內(nèi)容 訪問控制的實(shí)現(xiàn)首先要考慮對合法用戶進(jìn)訪問控制的實(shí)現(xiàn)首先要考慮對合法用戶進(jìn) 行驗(yàn)證，然后是對控制策略的選用與管理，最行驗(yàn)證，然后是對控制策略的選用與管理，最 后要對非法用戶或是越權(quán)操作進(jìn)行管理。后要對非法用戶或是越權(quán)操作進(jìn)行管理。 訪問控制包括認(rèn)證、控制策略實(shí)現(xiàn)和安訪問控制包括認(rèn)證、控制策略實(shí)現(xiàn)和安 全審計(jì)三個方面的內(nèi)容。全審計(jì)三個方面的內(nèi)容。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 1. 訪問控制的層次訪問控制的層次 一般可以將訪問控制分為一般可以將訪問控制分為2個層次：個層次：物理物理 訪問控制和邏輯訪

34、問控制訪問控制和邏輯訪問控制。 通常，通常，物理訪問控制物理訪問控制包括標(biāo)準(zhǔn)的鑰匙、門包括標(biāo)準(zhǔn)的鑰匙、門 、鎖和設(shè)備標(biāo)簽等，而、鎖和設(shè)備標(biāo)簽等，而邏輯訪問控制邏輯訪問控制則是在數(shù)則是在數(shù) 據(jù)、應(yīng)用、系統(tǒng)和網(wǎng)絡(luò)等層面實(shí)現(xiàn)的。據(jù)、應(yīng)用、系統(tǒng)和網(wǎng)絡(luò)等層面實(shí)現(xiàn)的。 對于銀行、證券等重要金融機(jī)構(gòu)的網(wǎng)站，對于銀行、證券等重要金融機(jī)構(gòu)的網(wǎng)站， 網(wǎng)絡(luò)信息安全重點(diǎn)關(guān)注的是邏輯訪問控制，物網(wǎng)絡(luò)信息安全重點(diǎn)關(guān)注的是邏輯訪問控制，物 理訪問控制則主要由其他類型的安全部門完成理訪問控制則主要由其他類型的安全部門完成 。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 2. 訪問控制的模式訪問控制的模式 主要的訪問

35、控制模式有三種：主要的訪問控制模式有三種： (1)自主訪問控制（自主訪問控制（DAC） (2)強(qiáng)制訪問控制（強(qiáng)制訪問控制（MAC） (3)基于角色的訪問控制（基于角色的訪問控制（RBAC） 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 3. 訪問控制規(guī)則訪問控制規(guī)則 (1)訪問者訪問者 主體對客體的訪問可以基于身份，也可以主體對客體的訪問可以基于身份，也可以 基于角色。即基于角色。即“訪問者訪問者”可以是身份標(biāo)識，也可以是身份標(biāo)識，也 可以是角色。從業(yè)務(wù)角度對系統(tǒng)進(jìn)行統(tǒng)一的角可以是角色。從業(yè)務(wù)角度對系統(tǒng)進(jìn)行統(tǒng)一的角 色定義是實(shí)現(xiàn)統(tǒng)一訪問管理的最佳實(shí)踐。色定義是實(shí)現(xiàn)統(tǒng)一訪問管理的最佳實(shí)踐

36、。 (2) 資源資源 對資源的保護(hù)應(yīng)包括兩個層面：物理層和對資源的保護(hù)應(yīng)包括兩個層面：物理層和 邏輯層。邏輯層。 (3) 訪問控制規(guī)則訪問控制規(guī)則 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 4. 單點(diǎn)登錄的訪問管理單點(diǎn)登錄的訪問管理 根據(jù)登錄的應(yīng)用類型不同，可以將單點(diǎn)登根據(jù)登錄的應(yīng)用類型不同，可以將單點(diǎn)登 錄錄SSO分為以下分為以下三種類型三種類型： (1) 對桌面資源的統(tǒng)一訪問管理對桌面資源的統(tǒng)一訪問管理 (2) Web單點(diǎn)登錄單點(diǎn)登錄 (3) 對傳統(tǒng)對傳統(tǒng)C/S結(jié)構(gòu)應(yīng)用的統(tǒng)一訪問管理結(jié)構(gòu)應(yīng)用的統(tǒng)一訪問管理 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 1. 安全策略實(shí)施

37、原則安全策略實(shí)施原則 (1) 最小特權(quán)原則最小特權(quán)原則 (2) 最小泄漏原則最小泄漏原則 (3) 多級安全策略多級安全策略 2. 基于身份的規(guī)則的安全策略基于身份的規(guī)則的安全策略 建立基于身份安全策略和基于規(guī)則安全策建立基于身份安全策略和基于規(guī)則安全策 略的基礎(chǔ)是授權(quán)行為。略的基礎(chǔ)是授權(quán)行為。 (1) 基于身份的安全策略基于身份的安全策略 (2) 基于規(guī)則的安全策略基于規(guī)則的安全策略 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 3. 綜合訪問控制策略綜合訪問控制策略 訪問控制技術(shù)的目標(biāo)訪問控制技術(shù)的目標(biāo)是防止對任何資源的是防止對任何資源的 非法訪問。從應(yīng)用方面的訪問控制策略包括以非法

38、訪問。從應(yīng)用方面的訪問控制策略包括以 下幾個方面。下幾個方面。 (1) 入網(wǎng)訪問控制入網(wǎng)訪問控制 (2) 網(wǎng)絡(luò)的權(quán)限控制網(wǎng)絡(luò)的權(quán)限控制 (3) 目錄級安全控制目錄級安全控制 (4) 屬性安全控制屬性安全控制 (5) 網(wǎng)絡(luò)服務(wù)器安全控制網(wǎng)絡(luò)服務(wù)器安全控制 (6) 網(wǎng)絡(luò)監(jiān)測和鎖定控制網(wǎng)絡(luò)監(jiān)測和鎖定控制 (7) 網(wǎng)絡(luò)端口和節(jié)點(diǎn)的安全控制網(wǎng)絡(luò)端口和節(jié)點(diǎn)的安全控制 (8) 防火墻控制防火墻控制 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 1. AAA技術(shù)概述技術(shù)概述 AAA (Authentication、Authorization和和 Accounting，簡稱，簡稱AAA)是指認(rèn)證、鑒權(quán)和

39、審是指認(rèn)證、鑒權(quán)和審 計(jì)，基于計(jì)，基于AAA技術(shù)的中心認(rèn)證系統(tǒng)正是用于遠(yuǎn)技術(shù)的中心認(rèn)證系統(tǒng)正是用于遠(yuǎn) 程用戶的管理。程用戶的管理。 AAA并非一種具體的實(shí)現(xiàn)技術(shù)，并非一種具體的實(shí)現(xiàn)技術(shù)，而是一種而是一種 安全體系結(jié)構(gòu)安全體系結(jié)構(gòu)，它所實(shí)現(xiàn)的功能用簡單形象的，它所實(shí)現(xiàn)的功能用簡單形象的 比喻來說，即：它是誰比喻來說，即：它是誰? 可以做什么可以做什么? 最后做最后做 了些什么了些什么? AAA系統(tǒng)提供的服務(wù)有認(rèn)證、鑒權(quán)、審計(jì)系統(tǒng)提供的服務(wù)有認(rèn)證、鑒權(quán)、審計(jì) 3種種 。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 2. 遠(yuǎn)程鑒權(quán)撥入用戶服務(wù)遠(yuǎn)程鑒權(quán)撥入用戶服務(wù) 遠(yuǎn)程鑒權(quán)撥入用戶服務(wù)遠(yuǎn)程鑒

40、權(quán)撥入用戶服務(wù)(Remote Authentication Dial In User Service，簡稱，簡稱 RADIUS)，主要用于管理通過遠(yuǎn)程線路撥入，主要用于管理通過遠(yuǎn)程線路撥入 企業(yè)網(wǎng)絡(luò)獲得相應(yīng)訪問資源的分散用戶。企業(yè)網(wǎng)絡(luò)獲得相應(yīng)訪問資源的分散用戶。 當(dāng)用戶想要通過遠(yuǎn)程網(wǎng)絡(luò)與網(wǎng)絡(luò)接入服務(wù)當(dāng)用戶想要通過遠(yuǎn)程網(wǎng)絡(luò)與網(wǎng)絡(luò)接入服務(wù) 器建立連接時，運(yùn)行器建立連接時，運(yùn)行RADIUS協(xié)議的網(wǎng)絡(luò)接入?yún)f(xié)議的網(wǎng)絡(luò)接入 服務(wù)器作為客戶端負(fù)責(zé)把用戶的認(rèn)證、鑒權(quán)服務(wù)器作為客戶端負(fù)責(zé)把用戶的認(rèn)證、鑒權(quán) 和審計(jì)信息發(fā)送給事先配置好的和審計(jì)信息發(fā)送給事先配置好的RADIUS服務(wù)服務(wù) 器。器。 RADIUS服務(wù)器

41、同時根據(jù)用戶的動作進(jìn)行服務(wù)器同時根據(jù)用戶的動作進(jìn)行 審計(jì)并記錄其計(jì)費(fèi)信息。審計(jì)并記錄其計(jì)費(fèi)信息。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 3. 終端訪問控制器訪問控制系統(tǒng)終端訪問控制器訪問控制系統(tǒng) 終端訪問控制器訪問控制系統(tǒng)終端訪問控制器訪問控制系統(tǒng)TACACS （Terminal Access Controller Access Control System）的功能是通過一個或多個）的功能是通過一個或多個 中心服務(wù)器為網(wǎng)絡(luò)設(shè)備提供訪問控制服務(wù)。中心服務(wù)器為網(wǎng)絡(luò)設(shè)備提供訪問控制服務(wù)。 TACACS是是Cisco私有的協(xié)議，它支持獨(dú)私有的協(xié)議，它支持獨(dú) 立的身份認(rèn)證、鑒權(quán)和審計(jì)功能

42、。立的身份認(rèn)證、鑒權(quán)和審計(jì)功能。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 5.5 安全審計(jì)技術(shù)安全審計(jì)技術(shù) 1. 安全審計(jì)的概念及目的安全審計(jì)的概念及目的 計(jì)算機(jī)網(wǎng)絡(luò)安全審計(jì)（計(jì)算機(jī)網(wǎng)絡(luò)安全審計(jì)（Audit）是通過一）是通過一 定的定的安全策略安全策略，利用記錄及分析系統(tǒng)活動和用，利用記錄及分析系統(tǒng)活動和用 戶活動的歷史操作事件，按照順序檢查、審查戶活動的歷史操作事件，按照順序檢查、審查 和檢驗(yàn)每個事件的環(huán)境及活動，其中和檢驗(yàn)每個事件的環(huán)境及活動，其中系統(tǒng)活動系統(tǒng)活動 包括操作系統(tǒng)和應(yīng)用程序進(jìn)程的活動；包括操作系統(tǒng)和應(yīng)用程序進(jìn)程的活動；用戶活用戶活 動動包括用戶在操作系統(tǒng)中和應(yīng)用

43、程序中的活動，包括用戶在操作系統(tǒng)中和應(yīng)用程序中的活動， 如用戶使用何種資源、使用的時間、執(zhí)行何種如用戶使用何種資源、使用的時間、執(zhí)行何種 操作等方面，發(fā)現(xiàn)系統(tǒng)的漏洞和入侵現(xiàn)為并改操作等方面，發(fā)現(xiàn)系統(tǒng)的漏洞和入侵現(xiàn)為并改 進(jìn)系統(tǒng)的性能和安全。進(jìn)系統(tǒng)的性能和安全。安全審計(jì)就是對系統(tǒng)的安全審計(jì)就是對系統(tǒng)的 記錄與行為進(jìn)行獨(dú)立的審查與估計(jì)。記錄與行為進(jìn)行獨(dú)立的審查與估計(jì)。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 2. 安全審計(jì)的類型安全審計(jì)的類型 安全審計(jì)有三種類型：安全審計(jì)有三種類型： (1) 系統(tǒng)級審計(jì)系統(tǒng)級審計(jì) (2) 應(yīng)用級審計(jì)應(yīng)用級審計(jì) (3) 用戶級審計(jì)用戶級審計(jì) 第第5 5

44、章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 3. 安全審計(jì)系統(tǒng)的基本結(jié)構(gòu)安全審計(jì)系統(tǒng)的基本結(jié)構(gòu) 安全審計(jì)是通過對所關(guān)心的事件進(jìn)行記錄安全審計(jì)是通過對所關(guān)心的事件進(jìn)行記錄 和分析來實(shí)現(xiàn)的，因此和分析來實(shí)現(xiàn)的，因此審計(jì)過程包括審計(jì)發(fā)生審計(jì)過程包括審計(jì)發(fā)生 器、日志記錄器、日志分析器和報(bào)告機(jī)制器、日志記錄器、日志分析器和報(bào)告機(jī)制幾部幾部 分，如圖所示。分，如圖所示。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 1. 系統(tǒng)日志的內(nèi)容系統(tǒng)日志的內(nèi)容 系統(tǒng)日志的內(nèi)容包括日志系統(tǒng)可根據(jù)安系統(tǒng)日志的內(nèi)容包括日志系統(tǒng)可根據(jù)安 全的強(qiáng)度要求，選擇記錄下列部分或全部的全的強(qiáng)度要求，選擇記錄下列部分或全部的

45、 事件。事件。 (1) 審計(jì)功能的啟動和關(guān)閉。審計(jì)功能的啟動和關(guān)閉。 (2) 使用身份驗(yàn)證機(jī)制。使用身份驗(yàn)證機(jī)制。 (3) 將客體引入主體的地址空間。將客體引入主體的地址空間。 (4) 刪除客體。刪除客體。 (5) 管理員、安全員、審計(jì)員和一般操作管理員、安全員、審計(jì)員和一般操作 人員的操作。人員的操作。 (6) 其他專門定義的可審計(jì)事件。其他專門定義的可審計(jì)事件。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 2. 安全審計(jì)的記錄機(jī)制安全審計(jì)的記錄機(jī)制 不同的系統(tǒng)可以采用不同的機(jī)制記錄日志。不同的系統(tǒng)可以采用不同的機(jī)制記錄日志。 日志的記錄可以由操作系統(tǒng)完成，也可以由應(yīng)用日志的記錄可

46、以由操作系統(tǒng)完成，也可以由應(yīng)用 系統(tǒng)或其他專用記錄系統(tǒng)完成。系統(tǒng)或其他專用記錄系統(tǒng)完成。 通常，大部分情況都采用系統(tǒng)調(diào)用通常，大部分情況都采用系統(tǒng)調(diào)用Syslog 方式記錄日志，也可以用方式記錄日志，也可以用SNMP記錄。記錄。 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 3. 日志分析日志分析 日志分析就是在日志中尋找模式，主要日志分析就是在日志中尋找模式，主要 內(nèi)容如下：內(nèi)容如下： (1) 潛在侵害分析潛在侵害分析 (2) 基于異常檢測的輪廓基于異常檢測的輪廓 (3) 簡單攻擊探測簡單攻擊探測 (4) 復(fù)雜攻擊探測復(fù)雜攻擊探測 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 4. 審計(jì)事件查閱審計(jì)事件查閱 審計(jì)系統(tǒng)的安全主要是查閱和存儲的安審計(jì)系統(tǒng)的安全主要是查閱和存儲的安 全。全。審計(jì)事件的查閱應(yīng)該受到嚴(yán)格的限制，審計(jì)事件的查閱應(yīng)該受到嚴(yán)格的限制， 不能篡改日志。通常通過以下不同的層次保不能篡改日志。通常通過以下不同的層次保 證查閱的安全：證查閱的安全： (1) 審計(jì)查閱審計(jì)查閱 (2) 有限審計(jì)查閱有限審計(jì)查閱 (3) 可選審計(jì)查閱可選審計(jì)查閱 第第5 5章章 身份認(rèn)證與訪問控制身份認(rèn)證與訪問控制 5. 審計(jì)事件存儲審計(jì)事件存儲 審計(jì)事件的存儲也有安全要求，具體有如審計(jì)事件的存儲也有安全要求，具體有如 下幾種情況。下幾種情況。 (1) 受保