第5章身份认证与网络安全.ppt

第5章 身份认证与网络安全 身份认证技术概述 基于口令的身份认证 双因素认证技术 基于X509证书的身份认证 安全认证协议 USB Key认证 基于生物特征的身份认证 零知识认证技术 网络认证与授权管理 5.1身份认证技术 认证（Authentication）指的是对某人或某物与其所声称的是否相符或有效进行确认的一个过程。 5.1.1身份认证技术简介 G.J.Simmons在1984年提出了认证系统的信息理论。他将信息论用于研究认证系统的理论安全性和实际安全问题，也指出了认证系统的性能极限以及设计认证码所必须遵循的原则。 信息安全包括两种主要的认证技术：消息认证与身份认证，消息认证用于保证信息在传送过程中的完整性和信息来源的可靠性，身份认证是指计算机及网络系统确认操作者身份的过程，身份认证则用于鉴别用户身份，限制非法用户访问网络资源。身份认证用于解决访问者的物理身份和数字身份的一致性问题，给其他安全技术提供权限管理的依据。 5.1.2身份认证系统的特征 一个身份认证系统一般需要具有以下特征： 验证者正确识别合法用户的概率极大； 攻击者伪装成合法用户骗取验证者信任的成功率极小； 通过重放认证信息进行欺骗和伪装的成功率极小； 计算有效性：实现身份认证的算法计算量足够小； 通信有效性：实现身份认证所需的通信量足够小； 秘密参数能够安全存储； 第三方的可信赖性高； 可证明安全性。 5.1.3用户身份认证的分类 根据被认证方证明身份的秘密的不同，认证用户身份的方法大体有三种，这三种方法可以单独使用或联合使用： 1．用户知道的秘密 2．用户拥有的令牌 3．用户本身的生物特征 5.2基于口令的身份认证 基于口令的认证方式就是用户输入自己的口令，计算机验证并给予用户相应的权限。 5.2.1 口令的存储 一般有两种方法进行口令存储： 1.直接明文存储口令 2.散列存储口令 散列函数的目的是为文件、报文或其他分组数据产生类似于“指纹”的特征信息。 5.2.2口令机制 1．口令传递 2．激励-响应 3．一次性口令 5.2.3 对口令协议的基本攻击 1．窃听 2．重放 3．中间人攻击 4．口令猜测 5．内部人员辅助攻击 6．秘密揭露 5.2.4口令认证的安全性 设计安全口令机制的困难之处在于口令空间通常较小，比随机密钥更易受到攻击。特别是离线口令猜测攻击之类的穷尽有哪些信誉好的足球投注网站攻击非常有效。 5.3 双因素认证技术 通过组合两种不同条件来证明一个人的身份，称之为双因素认证。 双因素身份认证机制，通常是在静态密码的基础上，增加一个物理因素，从而构成一个他人无法复制和识破的安全密码。 5.3.1 双因素认证原理 双因素身份认证系统主要由三个部分组成:动态口令产生算法、客户端软件代理和管理服务器。 5.3.2动态口令的产生 动态口令产生算法，一般是采用特定的运算函式或流程，即基本函数，加上具有变动性的一些参数，即基本元素。利用基本元素经过基本函数的运算流程得到结果，产生的内容再转换为使用的密码，由于基本元素具有每次变化的特性，因此每次产生的密码都会不相同，所以称为动态口令。 5.3.3客户端软件代理 客户端软件代理是实现认证功能的中间部分，它部署在应用服务器上，用来实施动态口令的安全策略。客户端软件代理主要功能是将具体应用的身份认证请求通过安全的通道传输给管理服务器，并通知用户验证结果。 5.3.4管理服务器 管理服务器是网络中认证引擎。其主要作用为：验证用户口令的有效性、向用户签发口令令牌、签发可信代理主机证书、实时监控，创建日志信息等。 5.3.5双因素身份验证系统的几个要点 1．时间同步机制 2．时间漂移的处理 3．输入错误的处理 5.4基于X509证书的身份认证 基于X.509证书的认证技术依赖于共同依赖的第三方来实现认证，这里可依赖的第三方是指CA的认证机构。 该认证机构负责证明用户的身份并向用户签发数字证书，主要职责包括：证书颁发、证书更新、证书废除、证书和CRL的公布、证书状态的在线查询、证书认证和制定政策等。 X.509数字证书就是其中一种被广泛使用的数字证书，是国际电信联盟-电信（ITU-T）部分标准和国际标准化组织的证书格式标准。 图5-2 X.509数字证书的格式和吊销列表的格式 X.509 证书标准文件数据格式包括： 版本号——X.509 版本号，这将最终影响证书中包含的信息的类型和格式。 顺序号——证书序列号是赋予证书的惟一整数值，它用于将本证书与同一 CA 颁发的证书区分开来。 签字算法识别符——产生证书算法的识别符。 颁发者名称——签发证书实体的惟一名，通常为某个 CA。 有效期——证书仅在有限的时间段内有效。该域表示两个日期的序列，即证书有效期 开始的日期及证书有效期结束的日