網(wǎng)絡(luò)安全概述-05認(rèn)證技術(shù)基礎(chǔ)

1、第5講 認(rèn)證技術(shù)根底11、 概述訪(fǎng)問(wèn)控制：控制用戶(hù)和系統(tǒng)，系統(tǒng)和資源進(jìn)展通訊和交互維護(hù)免受未授權(quán)訪(fǎng)問(wèn)為授權(quán)做預(yù)備2標(biāo)識(shí)、認(rèn)證、授權(quán)和稽查標(biāo)識(shí)：一種可以確保主體用戶(hù)、程序獲進(jìn)程就是它所聲稱(chēng)的那個(gè)實(shí)體的方法認(rèn)證：證明、確認(rèn)標(biāo)識(shí)的正確性授權(quán)：認(rèn)證經(jīng)過(guò)后，對(duì)主體訪(fǎng)問(wèn)資源的才干的安排。是操作系統(tǒng)的中心功能?；椋簩?duì)主體行為的審核和記錄32、 標(biāo)識(shí)與認(rèn)證生物標(biāo)識(shí)和認(rèn)證口令有感知的口令一次性口令令牌安裝密碼認(rèn)證存儲(chǔ)卡智能卡4生物標(biāo)識(shí)和認(rèn)證所謂生物識(shí)別技術(shù)，就是經(jīng)過(guò)計(jì)算機(jī)與光學(xué)、聲學(xué)、生物傳感器和生物統(tǒng)計(jì)學(xué)原理等高科技手段親密結(jié)合，利用人體固有的生理特征和行為特征來(lái)進(jìn)展個(gè)人身份的堅(jiān)決。本質(zhì)：方式識(shí)別5用于鑒別

2、的生物特征人臉虹膜視網(wǎng)膜人耳手型指紋掌紋手背靜脈分布頭部特征靜態(tài)手部特征語(yǔ)音筆跡習(xí)慣性簽名打字韻律步態(tài)靜脈血流速度動(dòng)態(tài)6基于特征的生物認(rèn)證方法需求遵守的幾個(gè)規(guī)范普遍性意味著這一特征每一個(gè)人必需擁有特征獨(dú)一性這一特征與他人沒(méi)有任何的共性穩(wěn)定性這一特征不隨時(shí)間、外界環(huán)境等發(fā)生變 化可接受性這一特征可被人們接受和認(rèn)可防偽性這一特征不易仿造、竊取可搜集性這一特征必需可以容易地由提供的技 術(shù)設(shè)備丈量可執(zhí)行性這一特征必需準(zhǔn)確、快速、強(qiáng)壯，并 且不要求過(guò)多的資源7 生物認(rèn)證的一個(gè)主要問(wèn)題是掃描的結(jié)果或多或少都會(huì)與模板不同系統(tǒng)接受冒名頂替者的概率稱(chēng)作錯(cuò)誤匹配率FAR錯(cuò)誤接受率系統(tǒng)回絕授權(quán)個(gè)人的概率稱(chēng)作錯(cuò)誤不匹

3、配率FRR錯(cuò)誤回絕率FAR與FRR相互制約8口令機(jī)制口令或通行字機(jī)制是最廣泛研討和運(yùn)用的身份鑒別法。通常為長(zhǎng)度為58的字符串。選擇原那么：易記、難猜、抗分析才干強(qiáng)。口令系統(tǒng)有許多脆弱點(diǎn)：外部泄露口令猜測(cè)線(xiàn)路竊聽(tīng)危及驗(yàn)證者重放9對(duì)付外部泄露的措施教育、培訓(xùn)；嚴(yán)厲組織管理方法和執(zhí)行手續(xù)；口令定期改動(dòng)；每個(gè)口令只與一個(gè)人有關(guān)；輸入的口令不再如今終端上；運(yùn)用易記的口令，不要寫(xiě)在紙上。10對(duì)付口令猜測(cè)的措施教育、培訓(xùn)；嚴(yán)厲限制非法登錄的次數(shù)；口令驗(yàn)證中插入實(shí)時(shí)延遲；限制最小長(zhǎng)度，至少68字節(jié)以上防止用戶(hù)特征相關(guān)口令，口令定期改動(dòng)；及時(shí)更改預(yù)設(shè)口令；運(yùn)用機(jī)器產(chǎn)生的口令。11有感知的口令常規(guī)問(wèn)題個(gè)性化回答1

4、2一次性口令令牌安裝同步機(jī)制令牌安裝異步機(jī)制交互應(yīng)對(duì)認(rèn)證效力器通訊“間接的同步13密碼認(rèn)證對(duì)稱(chēng)密碼體制認(rèn)證公鑰密碼體制認(rèn)證HASH認(rèn)證14存儲(chǔ)卡直接運(yùn)用存在卡中的信息與庫(kù)中信息比對(duì)可結(jié)合普通口令機(jī)制，雙重比對(duì)15智能卡卡本身具有認(rèn)證比對(duì)功能，加強(qiáng)卡本身平安維護(hù)隨后再進(jìn)一步認(rèn)證163、 授權(quán)授權(quán)方法默許回絕17授權(quán)方法角色訪(fǎng)問(wèn)方法：不同角色的業(yè)務(wù)訪(fǎng)問(wèn)需求能夠類(lèi)似組訪(fǎng)問(wèn)原那么方法：需求同樣訪(fǎng)問(wèn)權(quán)限的用戶(hù)的集合物理和邏輯位置訪(fǎng)問(wèn)原那么：時(shí)間：事務(wù)類(lèi)型限制：事務(wù)虛例取值的不同，訪(fǎng)問(wèn)權(quán)限賦予能夠也不同。銀行取錢(qián)，職責(zé)不同，能操作的金額應(yīng)該不一致；數(shù)據(jù)庫(kù)管理員擔(dān)任建立人事數(shù)據(jù)庫(kù)，但他未必有權(quán)訪(fǎng)問(wèn)這些數(shù)據(jù)記

5、錄18默許回絕普通授權(quán)的根本原那么默許回絕需求知曉:授予可以實(shí)現(xiàn)業(yè)務(wù)的最小權(quán)限，與最小特權(quán)原那么一致194、 單點(diǎn)登錄腳本方式KerberosSesame20腳本方式包含有每一用戶(hù)ID、口令字和對(duì)應(yīng)平臺(tái)登錄命令的批處置文件用戶(hù)運(yùn)用方便管理員需求事先編寫(xiě)腳本管理員跟蹤活交換口令更改機(jī)制腳本本身的性、完好性要求極高平臺(tái)晉級(jí)能夠會(huì)要求腳本晉級(jí)21Kerberos(科波羅斯)分布式單點(diǎn)登錄的實(shí)例運(yùn)用對(duì)稱(chēng)加密算法體系主要組件：密鑰分發(fā)中心：存有一切用戶(hù)和效力的密鑰；具有密鑰分發(fā)和認(rèn)證功能；客戶(hù)和效力充分信任KDC是系統(tǒng)平安的根底實(shí)體對(duì)象：主體，用戶(hù)、程序或效力，票證：用戶(hù)主體之間訪(fǎng)問(wèn)認(rèn)證 Kerbero

6、s協(xié)議主要用于計(jì)算機(jī)網(wǎng)絡(luò)的身份鑒別(Authentication), 其特點(diǎn)是用戶(hù)只需輸入一次身份驗(yàn)證信息就可以憑仗此驗(yàn)證獲得的票據(jù)(ticket-granting ticket)訪(fǎng)問(wèn)多個(gè)效力，即SSO(Single Sign On)。由于在每個(gè)Client和Service之間建立了共享密鑰，使得該協(xié)議具有相當(dāng)?shù)钠桨残浴?22Kerberos認(rèn)證過(guò)程見(jiàn)圖用戶(hù)向AS認(rèn)證AS發(fā)送初時(shí)票證給用戶(hù)用戶(hù)懇求訪(fǎng)問(wèn)文件效力器TGS運(yùn)用會(huì)話(huà)迷藥創(chuàng)建新票證用戶(hù)提取一個(gè)繪畫(huà)迷藥并將票證發(fā)給文件效力器2324Kerberos弱點(diǎn)：?jiǎn)吸c(diǎn)缺點(diǎn)必需實(shí)施處置大量信息密鑰需求暫時(shí)性的存在任務(wù)站上，存在要挾會(huì)話(huà)密鑰被解密后仍保

7、管在緩存中，存在要挾對(duì)密碼猜測(cè)的字典攻擊密鑰更新過(guò)程復(fù)雜25SesameSecure European System for application in a Multi-vendor Environment是為理處理Kerberos的弱點(diǎn)而提出的。SESAME運(yùn)用公開(kāi)加密算法和對(duì)稱(chēng)加密算法來(lái)實(shí)現(xiàn)對(duì)通訊的維護(hù)、實(shí)現(xiàn)對(duì)稱(chēng)密鑰的交換和訪(fǎng)問(wèn)控制。與Kerberos不同的是，SESAME提供兩種Certificates或者Tickets,一個(gè)用來(lái)提招認(rèn)證，另外的一個(gè)提供應(yīng)客戶(hù)訪(fǎng)問(wèn)答應(yīng)。SESAME的同樣也容易被字典式攻擊。同時(shí)基于對(duì)稱(chēng)和非對(duì)稱(chēng)密碼體制PAS特權(quán)證書(shū)取代訪(fǎng)問(wèn)票證：主體身份、允許訪(fǎng)問(wèn)范圍、

8、允許訪(fǎng)問(wèn)時(shí)間、有效期限等信息PAS包括數(shù)字簽名信息，證明PAC來(lái)源的可信26認(rèn)證過(guò)程用戶(hù)發(fā)送證書(shū)AS發(fā)送令牌以與PAS通訊用戶(hù)將令牌發(fā)給PAS，懇求訪(fǎng)問(wèn)資源PAS創(chuàng)建并發(fā)送PAC給用戶(hù)用戶(hù)發(fā)送PAC向資源認(rèn)證參見(jiàn)以下圖2728參考： 所謂PKI就是一個(gè)公鑰概念和技術(shù)實(shí)施和提供平安效力的具有普適性的平安根底設(shè)備。但PKI的概念在不斷的延伸和擴(kuò)展。 PKI根底設(shè)備采用證書(shū)管理公鑰，經(jīng)過(guò)第三方的可信任機(jī)構(gòu)CA把用戶(hù)的公鑰和用戶(hù)的其他標(biāo)識(shí)信息捆綁在一同，在internet網(wǎng)上驗(yàn)證用戶(hù)的身份。5、 PKI認(rèn)證一29 什么是惡意程序 什么是黑客(Hacker) 什么是網(wǎng)絡(luò)平安隔離卡 什么是入侵及入侵檢測(cè)系

9、統(tǒng) 什么是公鑰密碼 什么是RSA公鑰密碼 什么是分組密碼及密碼分析 什么是數(shù)字簽名 什么是Hash函數(shù) 什么是PKI(公鑰根底設(shè)備) 什么是信息隱藏技術(shù) 什么是信息平安 什么是可信電子信息系統(tǒng) 什么是密鑰托管(KeyEscrow) 什么是數(shù)字證書(shū) 什么是PGP(PrettyGoodPrivacy) 什么是步態(tài)識(shí)別 什么是DynamicID動(dòng)態(tài)口令卡 什么是DynamicID身份認(rèn)證效力器 什么是IDShield身份認(rèn)證系統(tǒng)30PKI：基于公鑰密碼體制的認(rèn)證技術(shù)框架MAC：音訊認(rèn)證RSA：公鑰密碼算法SHA：平安雜湊算法 DSS：數(shù)字簽名規(guī)范AS：認(rèn)證效力器CA：認(rèn)證中心RA：注冊(cè)機(jī)構(gòu)RS：業(yè)務(wù)

10、受理點(diǎn)CRL：證書(shū)撤銷(xiāo)列表DES：數(shù)據(jù)加密規(guī)范Recoverykey：私鑰Encryptedkey：密鑰31PKI相關(guān)規(guī)范32一、認(rèn)證根本概念1、問(wèn)題的提出2、認(rèn)證的分類(lèi)3、音訊認(rèn)證4、身份認(rèn)證5、認(rèn)證協(xié)議331、問(wèn)題的提出認(rèn)證就是確認(rèn)實(shí)體是它所聲明的。認(rèn)證是最重要的平安效力之一。認(rèn)證效力提供了關(guān)于某個(gè)實(shí)體身份的保證。一切其它的平安效力都依賴(lài)于該效力認(rèn)證可以對(duì)抗冒充攻擊的危險(xiǎn)342、認(rèn)證的種類(lèi)數(shù)字簽名：手寫(xiě)簽名的電子化音訊認(rèn)證：音訊來(lái)源和內(nèi)容的合法性HASH函數(shù)：音訊的完好性身份認(rèn)證：實(shí)體所聲稱(chēng)與實(shí)體本身的相符性認(rèn)證協(xié)議：身份認(rèn)證、密鑰交換353、音訊認(rèn)證1需求：在網(wǎng)絡(luò)通訊中，有一些針對(duì)音訊內(nèi)

11、容的攻擊方法偽造音訊竄改音訊內(nèi)容改動(dòng)音訊順序音訊重放或者延遲定義描畫(huà)：對(duì)收到的音訊進(jìn)展驗(yàn)證，證明確實(shí)是來(lái)自聲稱(chēng)的發(fā)送方，并且沒(méi)有被修正正。假設(shè)在音訊中參與時(shí)間及順序信息，那么可以完成對(duì)時(shí)間和順序的認(rèn)證363、音訊認(rèn)證2實(shí)現(xiàn)音訊認(rèn)證的根本方法：Message encryption：用整個(gè)音訊的密文作為認(rèn)證標(biāo)識(shí)接納方必需可以識(shí)別錯(cuò)誤MAC：一個(gè)公開(kāi)函數(shù)，加上一個(gè)密鑰產(chǎn)生一個(gè)固定長(zhǎng)度的值作為認(rèn)證標(biāo)識(shí)Hash function：一個(gè)公開(kāi)函數(shù)將恣意長(zhǎng)度的音訊映射到一個(gè)固定長(zhǎng)度的散列值，作為認(rèn)證標(biāo)識(shí)37 Hash函數(shù)(也稱(chēng)雜湊函數(shù)或雜湊算法)就是把恣意長(zhǎng)的輸入音訊串變化成固定長(zhǎng)的輸出串的一種函數(shù)。這個(gè)輸出

12、串稱(chēng)為該音訊的雜湊值。 Hash函數(shù)主要用于完好性校驗(yàn)和提高數(shù)字簽名的有效性,目前已有很多方案。這些算法都是偽隨機(jī)函數(shù),任何雜湊值都是等能夠的。輸出并不以可區(qū)分的方式依賴(lài)于輸入;在任何輸入串中單個(gè)比特的變化,將會(huì)導(dǎo)致輸出比特串中大約一半的比特發(fā)生變化。38一個(gè)平安的雜湊函數(shù)應(yīng)該至少滿(mǎn)足以下幾個(gè)條件： 輸入長(zhǎng)度是恣意的; 輸出長(zhǎng)度是固定的,根據(jù)目前的計(jì)算技術(shù)應(yīng)至少取128bits長(zhǎng),以便抵抗生日攻擊; 對(duì)每一個(gè)給定的輸入,計(jì)算輸出即雜湊值是很容易的; 給定雜湊函數(shù)的描畫(huà),找到兩個(gè)不同的輸入音訊雜湊到同一個(gè)值是計(jì)算上不可行的，或給定雜湊函數(shù)的描畫(huà)和一個(gè)隨機(jī)選擇的音訊,找到另一個(gè)與該音訊不同的音訊使

13、得它們雜湊到同一個(gè)值是計(jì)算上不可行的。394、身份認(rèn)證1定義：證明客戶(hù)的真實(shí)身份與其所聲稱(chēng)的身份能否相符的過(guò)程。根據(jù)：Something the user know (所知密碼、口令等Something the user possesses 擁有身份證、護(hù)照、密鑰盤(pán)等Something the user is (or How he behaves)即個(gè)人特征識(shí)別或說(shuō)生物特征識(shí)別指紋、筆跡、聲音、虹膜、DNA等404、身份認(rèn)證2音訊認(rèn)證與身份認(rèn)證的差別：身份認(rèn)證實(shí)體鑒別普通都是實(shí)時(shí)的，音訊鑒別普通不提供實(shí)時(shí)性。實(shí)體鑒別只證明實(shí)體的身份，音訊鑒別除了要證明報(bào)文的合法性和完好性外，還需求知道音訊的含

14、義。數(shù)字簽字是實(shí)現(xiàn)身份識(shí)別的有效途徑。但在身份識(shí)別中音訊的語(yǔ)義是根本固定的，普通不是“終生的，簽字是長(zhǎng)期有效的。415、認(rèn)證協(xié)議1雙方認(rèn)證 (mutual authentication) 通訊雙方相互進(jìn)展認(rèn)證單向認(rèn)證 (one-way authentication) 通訊雙方只需一方向另一方進(jìn)展鑒別425、認(rèn)證協(xié)議2最常用的協(xié)議。該協(xié)議使得通訊各方相互認(rèn)證鑒別各自的身份，然后交換會(huì)話(huà)密鑰?；阼b別的密鑰交換中心問(wèn)題有兩個(gè)：嚴(yán)密性實(shí)效性為了防止偽裝和防止暴露會(huì)話(huà)密鑰，根本鑒別和會(huì)話(huà)密碼信息必需以嚴(yán)密方式通訊，這就要求預(yù)先存在嚴(yán)密或公開(kāi)密鑰供實(shí)現(xiàn)加密運(yùn)用。第二個(gè)問(wèn)題也很重要，由于涉及防止音訊重放攻

15、擊。43二、身份認(rèn)證根本情況1、身份認(rèn)證的作用2、身份認(rèn)證的分類(lèi)3、身份認(rèn)證的模型和組成4、身份認(rèn)證的要求5、身份認(rèn)證的實(shí)現(xiàn)途徑6、身份認(rèn)證的機(jī)制441、身份認(rèn)證的作用身份認(rèn)證需求： 某一成員聲稱(chēng)者提交一 個(gè)主體的身份并聲稱(chēng)它是那個(gè)主體。身份認(rèn)證目的： 使別的成員驗(yàn)證者獲得對(duì)聲稱(chēng)者所聲稱(chēng)的現(xiàn)實(shí)的信任452、身份認(rèn)證的分類(lèi)1實(shí)體鑒別可以分為本地和遠(yuǎn)程兩類(lèi)。實(shí)體在本地環(huán)境的初始化鑒別就是說(shuō)，作為實(shí)體個(gè)人，和設(shè)備物理接觸，不和網(wǎng)絡(luò)中的其他設(shè)備通訊。銜接遠(yuǎn)程設(shè)備、實(shí)體和環(huán)境的實(shí)體鑒別。本地鑒別：需求用戶(hù)進(jìn)展明確的操作 遠(yuǎn)程鑒別：通常將本地鑒別結(jié)果傳送到遠(yuǎn)程。 1平安 2易用462、身份認(rèn)證的分類(lèi)2實(shí)體

16、鑒別可以是單向的也可以是雙向的。 單向鑒別是指通訊雙方中只需一方向另一方進(jìn)展鑒別。 雙向鑒別是指通訊雙方相互進(jìn)展鑒別。473、身份認(rèn)證的組成1ATPB可信任者A、B為聲稱(chēng)者(Claimant )或者驗(yàn)證者VVerifier)483、身份認(rèn)證的組成2一方是出示證件的人，稱(chēng)作示證者P(Prover)，又稱(chēng)聲稱(chēng)者(Claimant)。另一方為驗(yàn)證者VVerifier),檢驗(yàn)聲稱(chēng)者提出的證件的正確性和合法性，決議能否滿(mǎn)足要求。第三方是可信任者TP Trusted third party) ，參與調(diào)解糾紛。第四方是攻擊者，可以竊聽(tīng)或偽裝聲稱(chēng)者騙取驗(yàn)證者的信任。494、身份認(rèn)證的要求一個(gè)身份認(rèn)證系統(tǒng)應(yīng)滿(mǎn)足

17、如下要求：1驗(yàn)證者正確識(shí)別合法懇求者的概率極大化。 2不具有可傳送性Transferability) 3攻擊者偽裝成懇求者欺騙驗(yàn)證者勝利的概率要小到可以忽略的程度 4計(jì)算有效性 5通訊有效性 6參數(shù)能平安存儲(chǔ)*7交互識(shí)別，如在某些運(yùn)用中通訊雙方能相互認(rèn)證*8第三方的實(shí)時(shí)參與，如在線(xiàn)公鑰檢索效力*9第三方的可信任性*10可證明的平安性505、身份認(rèn)證的實(shí)現(xiàn)途徑三種途徑之一或它們的組合1所知Knowledge:密碼、口令2一切Possesses):身份證、護(hù)照、信譽(yù)卡、鑰匙3個(gè)人特征：指紋、筆跡、聲紋、手型、血型、視網(wǎng)膜、虹膜、DNA以及個(gè)人動(dòng)作方面的一些特征4他做的事情如手寫(xiě)簽名設(shè)計(jì)根據(jù)：平安程度、系統(tǒng)經(jīng)過(guò)率、用戶(hù)可接受性、本錢(qián)等51 簡(jiǎn)單地說(shuō),所謂數(shù)字簽名就是附加在數(shù)據(jù)單元上的一些數(shù)據(jù),或是對(duì)數(shù)據(jù)單元所作的密碼變換。這種數(shù)據(jù)或變換允許數(shù)據(jù)單元的接納者用以確認(rèn)數(shù)據(jù)單元的來(lái)源和數(shù)據(jù)單元的完好性并維護(hù)數(shù)據(jù),防止被人(例如接納者)進(jìn)展偽造。它是對(duì)電子方式的音訊進(jìn)展簽名的一種方法,一個(gè)簽名音訊能在一個(gè)通訊網(wǎng)絡(luò)中傳輸?；诠€密碼體制和私鑰密碼體制都可以獲得數(shù)字簽名,目前主要是基于公鑰密碼體制的數(shù)字簽名。包括普通數(shù)字簽名和特殊數(shù)字簽名。無(wú)仲裁的數(shù)字簽名有仲裁的數(shù)