第5章-身份认证与访问控制技术.ppt

5.1 身份认证技术概述 1 身份认证及重要性 身份认证：证实客户真实身份与其所生成的身份是否相符的过程。 计算机网络世界中一切信息包括用户的身份信息都是用一组特定的数据来表示的，计算机只能识别用户的数字身份，所有对用户的授权也是针对用户数字身份的授权。 身份认证就是为了解决如何保证以数字身份进行操作的操作者就是这个数字身份合法拥有者， 也就是说保证操作者的物理身份 与数字身份相对应这一个问题。 5.1 身份认证技术概述 5.1 身份认证技术概述 5.1 身份认证技术概述 5.1 身份认证技术概述 5.1 身份认证技术概述 1.身份认证的原理 现实世界中对用户的身份认证基本方法包括： (1) 根据你所知道的信息来证明你的身份 (你所知道的 ) 如暗号； (2) 根据你所拥有的东西来证明你的身份 (你所拥有的 ) 如身份证、学生证； (3) 直接根据独一无二的身体特征来证明你的身份 (生物特征 ) ，比如指纹、面貌等。 网络世界的身份验证方法与现实世界相仿。 5.1 身份认证技术概述 5.1 身份认证技术概述 5.1 身份认证技术概述 5.1 身份认证技术概述 5.1 身份认证技术概述 令牌认证：根据“用户所知”和“用户所有”进行身份认证的方法。属于双因素认证，且一次一密。 令牌：在动态口令技术中，用于生成和表现随机密码的载体工具。 令牌码：令牌产生的伪随机数。 种子：用于生成令牌码的参数。 PIN：个人信息码，由用户设定。 密码：PIN+令牌码。 令牌认证原理： （1）用户访问受保护资源时，输入用户名、令牌上显示的令牌码和PIN。 （2）认证服务器根据保存的用户令牌种子和PIN，计算出令牌码。 （3）服务器比对用户输入的令牌码和重新生成的令牌码，从而确定用户身份的合法性。 每个令牌码只在当前通信中有效，只使用一次。 令牌认证包括：挑战/应答令牌和时间令牌。 5.3.2 时间令牌 令牌和服务器共同拥有一个相同的随机种子，认证时双方将当前的时间和随机种子做加密或是hash运算，然后由认证服务器对这一个结果做校验比较。 时间令牌的复杂性在于：要对时间进行校验就必须保证令牌与认证服务器的时间完全同步。 令牌在生产时厂家就将种子和标准时间写入。 5.8 访问控制模型 2. 基于角色控制的基本思想 以角色为中介，对用户进行授权控制。系统管理员可根据需要定义角色并为其设置合适的访问权限。 根据用户所担任的工作职责或级别分配相应的角色，使用户获得相关的权限集。 根据用户在组织内的角色作出访问授权与控制。 用户不能自主的将访问权限传给他人。 用户 角色 用户/角色指派 权限 角色/权限指派 5.8 访问控制模型 角色是用户与访问权限的桥梁，连接主体与客体。 一个用户可以扮演多个角色。 一个角色可以拥有多个用户成员。 角色可以划分成不同的等级，通过角色等级关系反映一个组织的职权和责任关系。 用“相互排斥”定义模型中的互斥角色。用“基数限制”定义一个角色可被分配的最大用户数。 5.8 访问控制模型 基于角色控制的特点： （1）访问权限与角色相关联，不同角色有不同权限。 （2）角色继承：角色之间可能有互相叠加的职责与权力，属于不同角色的用户可能需要执行一些相同的操作。 （3）最小权限原则：用户所拥有的权力不能超过他执行工作时所需的权限。 （4）职责分离。如银行中授权付款和实施付款是分开的职能操作。 （5）角色容量：一个特定时间段内，一些角色只能由一定数量的用户占用，创建角色时指定容量。 角色定义 权限配置 2.时间窗口 令牌可以实现一次一密，关键是时间同步。 如果时间不同步，合法用户无法认证。 为避免因硬件上造成的时间不同步，采用时间窗口技术。 时间窗口：认证服务器为了匹配令牌时间，采取的对服务器时间加上或减去某个时间的最大值。 具体方法：如出现不同步情况，认证服务器会在服务器时间的基础上，在时间窗的范围内加上或减去1,2,3……秒做多次尝试，如在时间窗内认证成功，则记录改增减值（时间偏移量）。如在初始时间窗内仍无法认证，则增大时间窗的范围。 5.3 认证令牌 生物特征识别：通过自动化技术利用人体的生理特征或行为特征进行身份鉴定。 分类：指纹识别、虹膜识别、手掌识别、视网膜识别和脸相识别； 方法：声音识别、笔迹识别和击键识别等。 须满足条件： 普遍性：每个人都应该具有这一特征。 唯一性：每个人在这一特征上有不同的表现。 稳定性：不会随着年龄的增长、时间的改变而改变。 易采集性：这一特征应该是容易测量的。 可接受性：人们是否接受这种生物识别方式。 5.4 生物特征认证 1. 足够有效 口令认证采用精确匹配原则，而生物特征认证采用足够有效原则； 匹配软件把收集到被认证者的生物特征信息与数据库的模板进行匹配，看匹配结果