证书系统与身份认证.pptVIP

电子商务安全导论电子商务安全导论电子商务安全导论电子商务安全导论第7章证书系统与身份确认*第7章证书系统与身份确认7.1认证与身份证明7.2Kerberos7.1认证与身份证明*通信和数据系统的安全性取决于确认用户或终端的身份传统的身份证明：通过检验“物”和“人”电子的身份证明：个人识别号(PIN,PersonalIdentificationNumber)0103027.1认证与身份证明*示证者(申请者)，出示证件的人，提出某种要求验证者，检验示证者的证件的正确性和合法性，决定是否满足其要求可信赖者，调解示证者和验证者之间可能发生的纠纷攻击者，通过窃听等手段，伪装示证者骗取验证者的信任身份证明系统的组成01消息认证不提供时间性；身份证明具有实时性消息认证除证实消息的合法性、完整性外，还需要知道消息内容；身份证明通常证实身份本身身份证明与消息认证的差别：02身份证明系统的要求7.1认证与身份证明*验证者正确识别合法示证者的概率极大化01不具可传递性，验证者B不可能重用示证者A提供给他的信息02攻击者伪装示证者欺骗验证者成功的概率小到可以忽略，特别是要能抗已知密文攻击03计算有效性，实现身份证明所需的计算量小04通信有效性，实现身份证明所需通信次数和数据量小05秘密参数安全存储067.1认证与身份证明*以下4条是某些身份识别系统提出的要求：01交互识别，有些应用中要求双方互相进行身份认证02第三方的实时参与，如在线的公钥检索服务、个人身份证查询03第三方的可信赖性04可证明安全性05身份证明的基本分类7.1认证与身份证明*身份证实：对个人身份进行肯定或否定。一般方法是将输入的个人信息与卡上或库存中的信息进行比较，得出结论。认证信息一般是经过公式和算法运算后所得的结果。身份识别：一般方法是输入个人信息，经处理提取成模板信息，试着在数据库中有哪些信誉好的足球投注网站找出一个与之匹配的模板，而后给出结论。例如，人的指纹、虹膜、相貌、DNA等实现身份证明的基本途径7.1认证与身份证明*所知(Knowledge)：个人所知道或掌握的知识，如密码、生日、数字、文字等01所有(Possesses)：个人所具有的东西，如身份证、护照、信用卡、钥匙等01个人特征(Characteristics)：如指纹、笔迹、声音、手型、脸型、血型、视网膜、虹膜、DNA以及个人一些习惯性动作等特征01身份证明系统的质量指标7.1认证与身份证明*0504020301拒绝率(FRR,FalseRejectionRate)，合法用户遭拒绝的概率或虚报率，Ⅰ型错误率漏报率(FAR,FalseAcceptanceRate)，非法用户伪造身份成功的概率，Ⅱ型错误率为保证系统良好的服务质量，要求Ⅰ型错误率要足够小为保证系统的安全性，要求要求Ⅱ型错误率要足够小两个指标是矛盾的、此消彼长。要考虑性价比。7.1认证与身份证明*通行字（口令）认证系统通行字（Password，口令、护字符）：一种根据已知事物验证身份的方法，也是一种研究和使用最广的身份验证法易记难于被别人猜中或发现抗分析能力强通行字的控制措施7.1认证与身份证明*01系统消息：显示系统信息的文字尽量减少02限制试探次数03通行字有效期04双通行字系统：对于敏感信息还需输入另外的口令05最小长度06封锁用户系统：对于长期不用的帐号封锁07根通行字的保护：root系统管理员用户08系统生成通行字09通行字的检验：保证口令不易被破解7.1认证与身份证明*生物统计学终生不变的个人特征：DNA、视网膜、虹膜、指纹目前已经商业化的技术：手书签字验证、指纹验证、语音验证、视网膜图样验证、虹膜图样验证、脸型验证等个人特征的身份证明技术通行字的安全存储对于用户的通行字多以加密形式存储（Basic）许多系统可以存储通行字的单向杂凑值（Digest）7.2Kerberos*Kerberos是一种典型的用于客户机和服务器认证的认证体系协议，是一种基于对称密码体制(单钥密码体制)的安全认证服务系统。美国麻省理工学院MIT的Athena计划的一个部分。Kerberos分为认证(Authentication)、计账(Accounting)和审计(Audit)三个部分本书只介绍认证部分Kerberos的认证中心服务任务被分配到两个相对独立的“认证服务器AS”和“票据授权服务器TGS”上7.2Kerberos*为了与其他服务的用户相区别，Kerberos用户