用户鉴别机制资料.ppt

公司 徽标 第七讲 用户鉴别机制 用户鉴别机制 教学目的 通学习，应能掌握挑战/响应鉴别和基于证书的鉴别。 教学重点 1、挑的鉴别 教学难点 1、挑战/响应鉴别 2、基于证书的鉴别 鉴别 通过定用户/系统的身份而建立信任。 没有鉴别，加密就毫无用处 鉴码 鉴别令牌 基于证书的鉴别 生物方式鉴别 口令 即密码 由字母、数字、特殊字符构成 口令保护不是万能的 明文口令 ID=zxj Pwd=dkdf ID=zxj Pwd=dkdf 成功 问题1：数据库中包含明文口令（应放加密后的口令） 成功 返回应用数据 先加密口令再存储和验证 ID=zxj Pwd=dkdf ID=zxj Pwd=·@#fk4 成功 问题2：口令以明文形式传递到服务器上（可能被截获） 成功 返回应用数据 口令加密程序 口令推导形式 基于口令鉴别机制的变形 不是口令本身 使用口令推导的值（不是存储口令或加密） 在数据库中存储计算的结果（推导的值） 用户输在本地进行计算。然后将推导值发给服务器认证。 要求 每次对同一口令执行算法时，结果要相同 算法输出（令推导）不能让人看出原口令 攻击者不可能提供错误口令而得到正确的口令推导值 口令消息摘要 在用户数据库中存放口令导出的消息摘要 第一步：在服务器端计算口令的消息摘要 Tiger Newroad april …. 口令 D(l4gsae0/546saer9IP)*$@ 口令的消息摘要 MD5/SHA-1 第二步：在用户数据库中保存用户id和口令消息摘要 服务器 用户数据库 Id Password Ldy k4%dj Amd 0gk34 Dke #^ad9 用户鉴别 ID=zxj Pwd=+{:9mm ID=zxj Pwd=+{:9mm 成功 成功 返回应用数据 口令加密程序 +{:9mm 强化安全—增加随机性 Id=zxj Id=zxj Id合法 随机挑战程序 返回随机挑战 返回随机挑战 随机挑战下的验证 要这个用户口令的消息摘要 这个用户口令的消息摘要 加密程序 比较两个加密结果 相同则认证通过 +{:9mm 用这个摘要加密挑战数得@946 Id=zxj Pwd=@946 摘要 挑战数 摘要加密挑战数的结果 说明 每次挑战数不同，所以每次用户口令消息摘要加密的随机挑战也不同。 破坏者想重难成功。 这是许多实际鉴别机制的基础（Windows NT4.0) 安全问题 口令不是最简单最便宜的鉴别机制 安全措口令太多 于是口令维护是个大问题。 口令要求 最空格 至少一个小写字母、一个大写字母、一个数字和一个特殊字符 口令以字母开头 鉴别令牌 是替代口令的办法 是个小设备，每次使用时生成一个新的随机数。 这个别的基础。 这个小设备 处理器 LCD显示 电池 小键盘（可选） 实时时钟（可选） 生成令牌 每个鉴别令牌（设备）预编程了一个唯一数字：随机种子seed。 Seed 鉴别令牌 Seed= 615019191 记录生成 户数据库 id=zxj Seed=615019191 Seed 鉴别令牌 Seed= 615019191 Id=zxj PwdId=zxj Seed=? Seed=615019191 口令验证程序 Seed=615019191 Pwd口令正确 登录成功 鉴别令牌类型 鉴别令牌 挑战/响应令牌 基于时间令牌 挑战/响应令牌 Id=zxj Id=zxj Id合法 随机挑战程序 返回随机挑战 返回随机挑战 用户用口令的消息摘要签名随机挑战 Id=zxj Pwd=90184112124832 随机挑战 8102811291012 用种子615019191作为加密密钥 Seed 90184112124832 Id=zxj Seed=? Seed=615019191 口令验证程序 Seed=615019191 Pwd=90184112124832 口令正确 登录成功 问题 令牌操作烦琐 先输入PIN以访问令牌 从屏幕上阅读随机挑战 将随机挑战输入令牌 从令牌加密后的随机挑战 输入到电脑上的password 基于发送随机挑战 不需要在令牌上输入信息 基于时间令牌 内部使用种子值和系统时间生成密码 Seed 72123461900158 id=zxj Pwd=72123461900158 Id=zxj Seed=? Seed=615019191 口令验证程序 Seed=615019191 Pwd=90184112124832 口令正确 登录成功 每隔60秒生成一个新的 基于证书的鉴别 回忆: 证书由证书签发机构签发 包括被签发钥及其他相关信息 证书签发机构要对这个证书进行签名(证书字段计算消然