第4章身份鉴别分解.pptx

第4章 身份鉴别 身份鉴别(Authentication) 解决你是谁的问题 身份鉴别包括身份标识(Identification)和身份鉴别(Authentication)两部分 身份标识，即确定你是谁并签发一个身份凭证，如身份证、用户名/口令、数字证书 身份鉴别，即根据你提交的身份凭证，验证确定你就是你声称的人，而不是假冒者 不同的身份标识手段，确定了不同的身份鉴别方法、技术 身份鉴别中验证的用户特定信息 用户所知道的特定信息，如口令、密码 用户所拥有或持有的特定信息，如动态口令令牌、USB Key 用户所具有的个人特征，如指纹、虹膜、面像 身份鉴别技术、方案或协议 身份鉴别技术，指最基本、基础的技术 身份鉴别方案或协议，指在技术上构建的具体方式和流程 常用的身份鉴别技术 用户名/口令 静态口令 普通方式 挑战、响应方式 动态口令 密码技术 对称密钥 非对称密钥 生物特征 指纹、虹膜、面像 用户名/口令身份鉴别 普通静态口令身份鉴别 用户名/口令 用户名/口令 普通静态口令身份鉴别 用户名/口令散列值 用户名/口令散列值 挑战-响应式静态口令身份鉴别 用户名/口令 挑战-响应式静态口令身份鉴别 用随机串和口令生成散列值 (HMAC) 返回随机串 提交用户名及散列值 用户端 从数据库获取用户口令 用之前返回的随机串和获取的口令生成散列值，比较是否相同 允许或拒绝用户访问 用户名/口令 静态口令的安全性 口令复杂难记忆，用户常采用简单的口令，如个人的生日、电话，易于被猜测、破解，如通过社会工程学破解 易于被木马监听 若口令采用明文方式传输，则易于被截获 若口令以明文保存在数据库中，则容易遭受来自外部和内部的攻击、窃取 静态口令的特点 优点 操作使用简单 用户不需要额外装置 缺点 不安全 动态口令身份鉴别 基于时间的动态口令 基于挑战码的动态口令 手机一次性口令 动态口令系统的组成 动态口令令牌 动态口令服务器 应用系统 动态口令系统的组成 种子密钥 动态口令令牌 动态口令服务器 种子密钥 动态口令令牌与动态口令服务器之间共享一个秘密，称为动态口令种子密钥 应用系统 基于时间的动态口令身份鉴别 种子密钥 动态口令令牌 动态口令服务器 种子密钥 从某个参考时间点开始，将时间分成一个个的时间段，如按1秒、15秒、30秒，并给每个时间段编号 …… …… 1 2 165 166 应用系统 基于时间的动态口令身份鉴别 种子密钥 动态口令令牌 动态口令服务器 种子密钥 请求访问 要求身份鉴别 应用系统 基于时间的动态口令身份鉴别 种子密钥 动态口令令牌 动态口令服务器 种子密钥 动态口令令牌用当前时刻对应的时间段所对应的编号和种子密钥采用单向不可逆函数(如散列函数)生成一个字节串，并将字节串转化为可显示的字符，即动态口令 应用系统 基于时间的动态口令身份鉴别 种子密钥 动态口令令牌 动态口令服务器 种子密钥 用户输入用户名/动态口令到登录客端 应用系统 基于时间的动态口令身份鉴别 种子密钥 动态口令令牌 动态口令服务器 种子密钥 提交用户名/动态口令 应用系统 基于时间的动态口令身份鉴别 种子密钥 动态口令令牌 动态口令服务器 请求动态口令验证 种子密钥 应用系统 基于时间的动态口令身份鉴别 种子密钥 动态口令令牌 动态口令服务器 种子密钥 动态口令服务器利用用户的种子密钥和同样的方式生成动态口令，并比较待验证的动态口令和自己生成的动态口令是否相同 应用系统 基于时间的动态口令身份鉴别 种子密钥 动态口令令牌 动态口令服务器 种子密钥 返回验证结果 应用系统 基于时间的动态口令身份鉴别 种子密钥 动态口令令牌 动态口令服务器 种子密钥 拒绝或允许用户访问 应用系统 基于时间的动态口令的时间同步问题 动态口令令牌与动态口令服务需尽可能的时间同步 无法保证完全同步，动态口令服务在验证口令不成功时，需要在误差范围内考虑可能的备选时间段序号 基于挑战码的动态口令生成 种子密钥 动态口令令牌 动态口令服务器 种子密钥 应用系统 基于挑战码的动态口令生成 种子密钥 动态口令令牌 动态口令服务器 种子密钥 请求登录 要求身份鉴别并 返回随机字串 应用系统 基于挑战码的动态口令生成 种子密钥 动态口令令牌 动态口令服务器 种子密钥 用户将返回的随机串字输入到动态口令令牌 应用系统 基于挑战码的动态口令生成 种子密钥 动态口令令牌 动态口令服务器 种子密钥 动态口令令牌用返回的随机字串、种子密钥和单向不可逆函数(如散列函数)生成一个字节串，并将字节串转化为可显示的字符，即动态口令 应用系统 基于挑战码的动态口令生成 种子密钥 动态口令令牌 动态口令服务器 种子密钥 用户输入用户名/动态口令到登录客户端 应用系统 基于挑战码的动态口令生成 种子密钥 动态口令令