第5章身份认证和访问控制

《第5章身份认证和访问控制》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第5章身份认证与访问控制清华大学出版社主编贾铁军副主编常艳俞小怡编著侯丽波宋少婷熊鹏高等院校计算机与信息类规划教材网络安全实用技术目录5.2数字签名概述25.3访问控制技术概述35.4安全审计概述45.1身份认证技术概述15.5本章小结5目录教学目标●理解身份认证的概念及常用认证方式方法●了解数字签名的概念、功能、原理和过程●掌握访问控制的概念、原理、类型、机制和策略●理解安全审计的概念、类型、跟踪与实施●了解访问列表与Telnet访问控制实验重点重点5.1身份认证技术概述5.1.1身份认证的概念身份认证基本方法有三种：用户物件认证；有关信息确认或体貌特征识别。认证（Authen

2、tication）是指对主客体身份进行确认的过程。身份认证（IdentityAuthentication）是指网络用户在进入系统或访问受限系统资源时，系统对用户身份的鉴别过程。1.身份认证的概念2.认证技术的类型认证技术是用户身份认证与鉴别的重要手段，也是计算机系统安全中一项重要内容.从鉴别对象上,分为消息认证和用户身份认证:（1）消息认证：用于保证信息的完整性和不可否认性。（2）身份认证：鉴别用户身份。包括识别和验证两部分。识别是鉴别访问者的身份，验证是对访问者身份的合法性进行确认。从认证关系上，身份认证也可分为用户与主机间的认证和主机之间的认证，5.1身份认证技术概述5.1.

3、2常用的身份认证方式1.静态密码方式静态密码方式是指以用户名及密码认证的方式，是最简单最常用的身份认证方法。2.动态口令认证动态口令是应用最广的一种身份识别方式，基于动态口令认证的方式主要有动态安风险和隐患的环境.短信密码和动态口令牌（卡）两种方式，口令一次一密。3.USBKey认证采用软硬件相结合、一次一密的强双因素（两种认证方法）认证模式。其身份认证系统主要有两种认证模式：基于冲击/响应模式和基于PKI体系的认证模式.常用的网银USBKey如图5-2所示.4.生物识别技术生物识别技术是指通过可测量的生物信息和行为等特征进行身份认证的一种技术。认证系统测量的生物特征一般是用户唯

4、一生理特征或行为方式。生物特征分为身体特征和行为特征两类。图5-1动态口令牌5.1身份认证技术概述4.生物识别技术生物识别技术是指通过可测量的生物信息和行为等特征进行身份认证的一种技术。认证系统测量的生物特征一般是用户唯一生理特征或行为方式。生物特征分为身体特征和行为特征两类。5.CA认证国际认证机构通称为CA，是对数字证书的申请者发放、管理、取消的机构。用于检查证书持有者身份的合法性，并签发证书，以防证书被伪造或篡改。发放、管理和认证是一个复杂的过程，即CA认证过程，如表5-1所示。5.1身份认证技术概述表5-1证书的类型与作用证书名称证书类型主要功能描述个人证书个人证书个人网

5、上交易、网上支付、电子邮件等相关网络作业单位证书单位身份证书用于企事业单位网上交易、网上支付等Email证书用于企事业单位内安全电子邮件通信部门证书用于企事业单位内某个部门的身份认证服务器证书企业证书用于服务器、安全站点认证等代码签名证书个人证书用于个人软件开发者对其软件的签名企业证书用于软件开发企业对其软件的签名注：数字证书标准有：X.509证书、简单PKI证书、PGP证书和属性证书5.1身份认证技术概述CA主要职能是管理和维护所签发的证书，并提供各种证书服务，包括书的签发、更新、回收、归档等.CA系统的主要功能是管理其辖域内的用户证书.CA的主要职能体现在3个方面：（1）管理

6、和维护客户的证书和证书作废表（CRL）。（2）维护整个认证过程的安全。（3）提供安全审计的依据。5.1身份认证技术概述5.1.3身份认证系统概述1.身份认证系统的构成身份认证系统的组成包括：认证服务器、认证系统客户端和认证设备。系统主要通过身份认证协议和认证系统软硬件进行实现。其中，身份认证协议又分为：单向认证协议和双向认证协议。若通信双方只需一方鉴别另一方的身份，则称单项认证协议；如果双方都需要验证身份，则称双向认证协议。如图5-3所示。图5-3认证系统网络结构图5.1身份认证技术概述【案例5-1】AAA认证系统现阶段应用最广。认证（Authentication）是验证用户身份

7、与可使用网络服务的过程；授权（Authorization）是依据认证结果开放网络服务给用户的过程;审计（Accounting）是记录用户对各种网络服务的用量，并计费的过程。案例5-15.1身份认证技术概述1）固定口令认证固定口令认证方式简单，易受攻击：（1）网络数据流窃听（Sniffer）。（2）认证信息截取/重放。（3）字典攻击。（4）穷举尝试（BruteForce）。（5）窥探密码。（6）社会工程攻击。（7）垃圾搜索。2）一次性口令密码体制一次性口令认证系统组成：（1）生成不