第四章身份认证技术.pptVIP

第4章 身份认证技术 如何验证一个人的身份呢？ 在现实生活中，验证一个人的身份主要通过以下方式： 你所知道的信息：暗号 你所拥有的东西：印章 你的独一无二的身体特征 身份认证技术 身份认证方法基于以下几个因素： 口令 物理上的密钥或卡 指纹或视网膜 展示在特定场所或网络地址上的证据 可以验证申请人身份的其他可信任方 身份认证方法与所表示的身份有关： 实体认证 身份以参与通信会话的某个人、系统或应用程序来代表 数据源认证 当事人的身份以某个信息来代表，表明信息是由该当事人发出的。 口令和个人识别码（PIN） 用户名?口令是最常用的身份认证方法 口令是静态数据，在验证过程中需要在计算机内存和网络中传输，而每次验证过程中使用的验证信息都是相同的，很容易被驻留在计算机内存中的木马程序或网络中的监听设备截获。 UＣ明文传输用户密码 去年底爆发的互联网泄密风波正扩散至移动互联网领域，日前，一位自称初级黑客的网友在天涯网发布《有图有真相 你还敢用UC上网吗？》的帖子，声称UC浏览器使用明文的方式传输用户密码，导致第三方可以轻松窃取UC浏览器用户登录各个网站的用户名和密码。 通过笔记本电脑在星巴克、麦当劳等人流密集地区伪造无密码的无线热点AP，在电脑上安装Wireshark软件进行抓包。 　 在手机上打开UC浏览器，然后访问Gmail登录，同时在电脑上启用Wireshark进行抓包监听，如果测试登录的用户名为williamlong，密码为1234567890123，登录完成后停止抓包然后进行分析，抓包的截图显示该用户名和密码为明文传输，通讯协议为HTTP，连接的是广州的 　一台服务器，这证明了原有的HTTPS安 全连接遭到了破坏。 　 为什么HTTPS是安全的？ HTTPS（超文本传输安全协议，Hypertext Transfer Protocol Secure）是一种常见的网络传输协议，提供客户端和服务器的加密通讯，HTTPS的主要思想是在不安全的网络上创建一安全信道，对监听和中间人攻击提供合理的保护。 　　HTTP是不安全的，通过监听和中间人攻击等手段，可以获取网站帐户和敏感信息等，HTTPS被设计为可防止前述攻击，并被认为是安全的。 比如上面这个案例，通过伪造WiFi热点进行抓包监听，如果手机使用原生浏览器的话，通常来说，是无法监听到HTTPS方式访问的内容，HTTPS通讯内容均为加密信息，很难被破解。但是所有的HTTP访问信息都会被获取，如果用户使用HTTP访问一些隐私信息，则存在隐私泄漏的风险，例如用户使用百度有哪些信誉好的足球投注网站（目前百度只有HTTP版本），那么搜素的关键词就会被第三方监听，从而带来泄密的风险，这也就是2010年5月Google在全球部署HTTPS加密有哪些信誉好的足球投注网站的原因了，有了HTTPS版本的Google有哪些信誉好的足球投注网站，手机用户即使在不安全的无线热点进行有哪些信誉好的足球投注网站，其有哪些信誉好的足球投注网站的内容也不会被人窃取。 　可见普通的HTTP浏览是不安全的，而HTTPS浏览相比比较安全。 UC浏览器的问题  使用手机内置的浏览器，在不安全的WiFi下问HTTPS仍然是相对安全的，然而UC浏览是一种中转压缩的技术进行加速，实现快捷上网，节省用户流量，这样，所有的访问都通过UC的代理服务器整理后传送UC浏览器客户端。当用户通过UC浏览器登录Gmail的时候，UC浏览器会把用户访问的URL地址和提交的信息发送到附近的一台UC服务器，这里存在的漏洞是，UC浏览器手机端和UC服务器之间的通讯是采用HTTP协议，并且包括用户名和密码在内的所有信息均为明文传输，这使得UC浏览器和UC服务器之间的通讯可以被监听和抓包，第三方可以通过这种方法获取手机用户的帐户密码等敏感信息，用户通过登录的任何网站都会被监听，包括邮箱、网站后台、网银、网上支付等。 以上就是针对基于口令的身份认证所存在的通信窃取问题。 出此之外，基于口令的身份认证主要还面临着如下威胁： 　外部泄露 　猜测　 　重放 　危及主机安全 身份认证协议 １．变换后的口令 口令在客户端通过单向函数处理成为变换后的口令形式，再传送给服务器。 ２．提问－答复 ３．时间戳 身份认证协议 ４．　一次性口令 ５．　数字签名 Kerberos 简介 Kerberos 麻省理工学院为Athena 项目开发的一个认证服务系统 目标是把UNIX认证、记帐、审计的功能扩展到网络环境： 公共的工作站，只有简单的物理安全措施 集中管理、受保护的服务器 多种网络环境，假冒、窃听、篡改、重发等威胁 基于Needham-Schroeder认证协议，可信第三方 基于对称密钥密码算法,实现集中的身份认证和密钥分配, 通信必威体育官网网址性、完整性 　 Kerberos 包含了３种信息交换顺序： １．认证服务（ＡＳ）交换 ２．标