第15章 身份認(rèn)證(新)

網(wǎng)絡(luò)安全—技術(shù)與實(shí)踐（第2版）

清華大學(xué)出版社普通高等教育“十一五”國(guó)家級(jí)規(guī)劃教材教育部2011年精品教材第15章身份認(rèn)證口令認(rèn)證系統(tǒng)二三

四身份認(rèn)證系統(tǒng)的組成和要求一五基于證書的認(rèn)證個(gè)人生物特征的身份認(rèn)證技術(shù)一次性口令認(rèn)證技術(shù)一六智能卡技術(shù)及應(yīng)用第15章身份認(rèn)證口令認(rèn)證系統(tǒng)二三

四身份認(rèn)證系統(tǒng)的組成和要求一五基于證書的認(rèn)證個(gè)人生物特征的身份認(rèn)證技術(shù)一次性口令認(rèn)證技術(shù)一六智能卡技術(shù)及應(yīng)用15.1身份證明概述防止身份欺詐通信和數(shù)據(jù)系統(tǒng)的安全性計(jì)算機(jī)的訪問和使用安全區(qū)的出入熱點(diǎn)必要性實(shí)現(xiàn)安全、準(zhǔn)確、高效和低成本的數(shù)字化認(rèn)證15.1.1身份欺詐的方式象棋大師問題Mafia欺詐恐怖分子欺詐多身份欺詐15.1.2身份證明系統(tǒng)的組成出示證件的人示證者P(Prover)檢驗(yàn)證件的合法性和正確性驗(yàn)證者V(Verifier)竊聽并偽裝示證者騙取驗(yàn)證者的信任攻擊者A(Attacker）必要時(shí)，有第四方參與，即可信者，參與糾紛調(diào)解。身份認(rèn)證具有實(shí)時(shí)性，證實(shí)實(shí)體本身；消息認(rèn)證不具時(shí)間性，除認(rèn)證消息的合法和可靠還要知道其含義。15.1.2身份證明系統(tǒng)的要求

1.最大可能正確識(shí)別合法示證者5.通信有效性

3.最大可能防止攻擊者偽裝欺騙

4.計(jì)算有效性

2.不具有可傳遞性10.可證明安全性6.秘密參數(shù)能安全存儲(chǔ)8.第三方實(shí)時(shí)參與7.交互識(shí)別9.第三方的可信性15.1.3身份證明的基本分類

2.身份識(shí)別（Identityrecognition）

1.身份驗(yàn)證（Identityverification）你是否是你所聲稱的你？我是否知道你是誰(shuí)？15.1.4實(shí)現(xiàn)身份證明的基本途徑通過這三者之一或組合實(shí)現(xiàn)所知：個(gè)人掌握的知識(shí)，如口令，秘密所有：個(gè)人所具有的東西，如身份證、護(hù)照等個(gè)人特征：指紋、筆跡等服務(wù)質(zhì)量評(píng)價(jià)指標(biāo)：拒絕率（FRR）漏報(bào)率（FAR）第15章身份認(rèn)證口令認(rèn)證系統(tǒng)二三

四身份認(rèn)證系統(tǒng)的組成和要求一五基于證書的認(rèn)證個(gè)人生物特征的身份認(rèn)證技術(shù)一次性口令認(rèn)證技術(shù)一六智能卡技術(shù)及應(yīng)用

15.2.1口令認(rèn)證系統(tǒng)概述定義：根據(jù)已知事物驗(yàn)證身份的方法，被廣泛使用。選擇原則：易記；難以猜中或發(fā)現(xiàn)；能抵御蠻力破解攻擊。系統(tǒng)分類：（1）非保密的聯(lián)機(jī)系統(tǒng)---多個(gè)用戶共用一個(gè)口令；

（2）安全性要求高的系統(tǒng)---每個(gè)用戶配有專用口令；防止泄露的措施：個(gè)人身份和口令用軟件加密，如Bell的UNIX系統(tǒng)就用加密方式。采用通行短語(yǔ)（PassPhrases）代替口令，通過密鑰碾壓（KeyCrunching）技術(shù)生成較短的隨機(jī)性密鑰。15.2.1口令認(rèn)證系統(tǒng)概述（續(xù)）通常采用郵寄方式。銀行系統(tǒng)通常采用夾層信封，由計(jì)算機(jī)將護(hù)字符印在中間紙層上，只有拆封才能讀出。在使用口令時(shí)，我們還應(yīng)注意防止別人騙取口令。為了安全，系統(tǒng)常常限定嘗試輸入口令的次數(shù)?？诹罘职l(fā)系統(tǒng)的安全性也不容忽視還有一個(gè)方法是詢問法（Questionaries。15.2.1口令認(rèn)證系統(tǒng)概述（續(xù)）系統(tǒng)檢驗(yàn)用戶的口令。有時(shí)需雙向驗(yàn)證，用戶也要檢驗(yàn)系統(tǒng)口令。一種單向函數(shù)檢驗(yàn)口令框圖15.2.2一種雙方互換口令的安全驗(yàn)證方法甲方乙方護(hù)字符P參考值Q護(hù)字符Q參考值P選出隨機(jī)參數(shù)x1y'1x1y1=f(Q,x1)y'1?=f(Q,x1)x2選隨機(jī)數(shù)x2y2=f(P,x2)y'2?=f(P,x2)y'2甲乙分別以P、Q作為護(hù)字符。為驗(yàn)證，雙方彼此知道對(duì)方的口令，并通過一個(gè)單向函數(shù)f進(jìn)行響應(yīng)。

3.口令有效期

2.限制試探次數(shù)

1.系統(tǒng)消息

8.系統(tǒng)口令的生成4.雙口令系統(tǒng)

6.封鎖用戶系統(tǒng)

5.最小長(zhǎng)度

7.根口令的保護(hù)15.2.3口令的控制措施15.2.3口令的控制措施被檢口令與易猜中口令表逐個(gè)比較；檢驗(yàn)費(fèi)時(shí)；口令都有一定的可猜測(cè)性。用戶選擇口令，程序檢驗(yàn)，若易于猜中須重新選擇可猜中性與安全性之間折中反應(yīng)法（Reactive）支持法（Proactive）15.2.4口令的安全存儲(chǔ)以口令加密方式存儲(chǔ)存儲(chǔ)口令的單向雜湊一般方法UNIX系統(tǒng)中的口令存儲(chǔ)口令為8個(gè)字符：7bitASCII碼（56bit）+12bit填充（用戶輸入口令的時(shí)間）第一次輸入64bit全0進(jìn)行加密，再以第一次的加密結(jié)果為輸入，迭代25次最后一次變換成11個(gè)字符作為口令密文。檢驗(yàn)時(shí)用戶發(fā)送ID和口令。15.2.4口令的安全存儲(chǔ)本質(zhì)上是由一個(gè)隨機(jī)數(shù)生成器產(chǎn)生的，可以由安全服務(wù)器用軟件生成。一般用于第三方認(rèn)證。即使口令被截獲也難以使用。用戶需要輸入PIN碼（持卡人知道）難以用來(lái)進(jìn)行違法活動(dòng)。美國(guó)的SecureDynamicsInc.的SecureID和RSA公司的SecurID令牌。用智能卡令牌（Token）產(chǎn)生一次性口令第15章身份認(rèn)證口令認(rèn)證系統(tǒng)二三

四身份認(rèn)證系統(tǒng)的組成和要求一五基于證書的認(rèn)證個(gè)人生物特征的身份認(rèn)證技術(shù)一次性口令認(rèn)證技術(shù)一六智能卡技術(shù)及應(yīng)用15.3個(gè)人生物特征的身份認(rèn)證技術(shù)

安全性要求高時(shí)，護(hù)字符和持證等提供的安全性不能滿足要求；新的生物統(tǒng)計(jì)學(xué)（Biometrics）方法正在成為實(shí)現(xiàn)個(gè)人身份認(rèn)證最簡(jiǎn)單而安全的方法。優(yōu)點(diǎn)可信度高個(gè)人特征因人而異，難以偽造隨身攜帶，不易丟失已用于刑事案件偵查15.3.1手書簽字驗(yàn)證依據(jù)：每個(gè)人的簽名動(dòng)作和字跡具有明顯的個(gè)性，手書簽名可作為身份驗(yàn)證的可靠依據(jù)。發(fā)展：機(jī)器自動(dòng)識(shí)別手書簽字的研究，是模式識(shí)別的重要課題之一。英國(guó)物理實(shí)驗(yàn)室的VERISIGN系統(tǒng)IBM公司的加速度動(dòng)態(tài)識(shí)別方法Cadix公司的筆跡識(shí)別系統(tǒng)（軟件Penop）不知真跡時(shí)按得到的信息隨手簽的字已知真跡時(shí)的模仿簽字或映描簽字應(yīng)用舉例可能的偽造簽字類型

依據(jù)：沒有兩個(gè)人（包括孿生兒）的指紋完全相同，且指紋形狀不隨時(shí)間變化，提取方便。15.3.2指紋驗(yàn)證美國(guó)Fingermatrix公司指紋閱讀機(jī)（RidgeReader）個(gè)人接觸證實(shí)PTV-PersonalTouchVerification系統(tǒng)Identix公司的IdentixSystemFBI已成功將小波理論應(yīng)用于壓縮和識(shí)別指紋圖樣自動(dòng)指紋身份識(shí)別系統(tǒng)（AFIS）應(yīng)用舉例15.3.3語(yǔ)音驗(yàn)證美國(guó)Texas儀器公司曾設(shè)計(jì)一個(gè)16個(gè)字集的系統(tǒng)美國(guó)AT&T公司為一種語(yǔ)音口令系統(tǒng)（VPS）德國(guó)漢堡的Philips公司和西柏林的HeinrichHertz研究所合作研制了AUROS自動(dòng)說(shuō)話人識(shí)別系統(tǒng)語(yǔ)聲紋識(shí)別技術(shù)可用于防止黑客進(jìn)入語(yǔ)音函件和電話服務(wù)系統(tǒng)

依據(jù)：每個(gè)人的語(yǔ)音都各有其特點(diǎn)，而人對(duì)于語(yǔ)音的識(shí)別能力是很強(qiáng)的，適用于個(gè)人身份認(rèn)證。發(fā)展：機(jī)器自動(dòng)識(shí)別語(yǔ)言認(rèn)證的研究，是語(yǔ)言識(shí)別的重要課題之一。應(yīng)用舉例15.3.4視網(wǎng)膜圖樣驗(yàn)證視網(wǎng)膜血管圖樣的身份識(shí)別系統(tǒng)。系統(tǒng)的成本較高，目前僅在軍事系統(tǒng)和銀行系統(tǒng)中采用。

依據(jù)：人的視網(wǎng)膜血管圖樣（即視網(wǎng)膜脈絡(luò)）具有良好的個(gè)人特征。發(fā)展

依據(jù)：具有個(gè)人特征，可以提供比指紋更細(xì)致的信息。發(fā)展：視網(wǎng)膜血管圖樣的身份識(shí)別系統(tǒng)。應(yīng)用舉例15.3.5虹膜圖樣驗(yàn)證可用于安全入口、接入控制、信用卡、POS、ATM、護(hù)照等的身份認(rèn)證美國(guó)IriScanInc.已研發(fā)出此種產(chǎn)品

依據(jù)：用照片識(shí)別人臉輪廓（還可擴(kuò)展到對(duì)人耳形狀的識(shí)別）。發(fā)展：臉型自動(dòng)驗(yàn)證系統(tǒng)，用圖像識(shí)別、神經(jīng)網(wǎng)絡(luò)和紅外掃描探測(cè)人臉的“熱點(diǎn)”進(jìn)行采樣、處理并提取圖樣信息。應(yīng)用舉例15.3.6臉型驗(yàn)證Mirosoft公司的符合CyberWatch技術(shù)規(guī)范TureFace系統(tǒng)Visionics公司的面部識(shí)別產(chǎn)品“FaceItARGUS”15.3.7身份證明系統(tǒng)的設(shè)計(jì)美國(guó)國(guó)家標(biāo)準(zhǔn)局（NBS）的自動(dòng)身份驗(yàn)證技術(shù)的評(píng)價(jià)指南提出了下述12個(gè)需要考慮的問題：抗欺詐能力偽造容易程度；對(duì)設(shè)陷的敏感性；完成識(shí)別的時(shí)間；方便用戶；識(shí)別設(shè)備及運(yùn)營(yíng)的成本；設(shè)備使用的接口數(shù)目；更新所需時(shí)間和工作量；所需計(jì)算機(jī)系統(tǒng)的處理工作；可靠性和可維護(hù)性；防護(hù)器材費(fèi)用；分配和后勤支援費(fèi)用。主要考慮設(shè)備系統(tǒng)強(qiáng)度用戶可接受性系統(tǒng)成本第15章身份認(rèn)證口令認(rèn)證系統(tǒng)二三

四身份認(rèn)證系統(tǒng)的組成和要求一五基于證書的認(rèn)證個(gè)人生物特征的身份認(rèn)證技術(shù)一次性口令認(rèn)證技術(shù)一六智能卡技術(shù)及應(yīng)用15.4一次性口令認(rèn)證背景：電子商務(wù)的普及，也成為黑客的攻擊對(duì)象。攻擊的主要方式：竊取系統(tǒng)口令文件和竊聽網(wǎng)絡(luò)連接，以獲取用戶ID和口令。攻擊的主要目的：設(shè)法得到用戶ID和用戶密碼。攻擊的主要技術(shù)：緩沖區(qū)溢出技術(shù)、木馬技術(shù)、計(jì)算機(jī)病毒（主要是宏病毒和網(wǎng)絡(luò)蠕蟲）、分布式拒絕服務(wù)攻擊技術(shù)、窮舉攻擊（BruteForce）、Sniffer報(bào)文截獲等15.4.1挑戰(zhàn)/響應(yīng)機(jī)制-流程發(fā)起認(rèn)證請(qǐng)求客戶端將認(rèn)證請(qǐng)求發(fā)往服務(wù)器挑戰(zhàn)值用戶得到挑戰(zhàn)值輸入一次性口令設(shè)備一次性口令輸入客戶端客戶端送給服務(wù)器匹配返回認(rèn)證結(jié)果得到結(jié)果進(jìn)行后續(xù)操作缺點(diǎn)優(yōu)點(diǎn)可以保證很高的安全性需多次手工輸入，易造成失誤客戶端和服務(wù)器交互次數(shù)多服務(wù)器開銷大15.4.1挑戰(zhàn)/響應(yīng)機(jī)制-優(yōu)缺點(diǎn)15.4.2口令序列機(jī)制-原理在口令重置前，允許用戶登錄n次，那么主機(jī)需要計(jì)算出Fn(x)，并保存該值，其中F為一個(gè)單向函數(shù)。用戶第一次登錄時(shí)，需提供Fn-1(x)。系統(tǒng)計(jì)算Fn(Fn-1(x))，并驗(yàn)證是否等于Fn(x)。如果通過則重新存儲(chǔ)Fn-1(x)。下次登錄時(shí)，則驗(yàn)證Fn-2(x)，依此類推。挑戰(zhàn)/響應(yīng)機(jī)制的一種實(shí)現(xiàn)15.4.2口令序列機(jī)制為方便用戶使用，主機(jī)把