第8章 身份认证和访问控制35.ppt

《第8章 身份认证和访问控制35.ppt》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、第8章身份认证和访问控制南京邮电大学信息安全系《网络信息安全》教研组9/16/20211南京邮电大学信息安全系主要内容8.1单机状态下的身份认证8.2S/KEY认证协议8.3Kerberos认证协议基于口令的认证方式基于智能卡的认证方式基于生物特征的认证方式一次性口令技术最初的S/KEY认证协议改进的S/KEY认证协议简单的认证会话更加安全的认证会话Kerberosv4认证会话Kerberos的跨域认证Kerberos的优缺点9/16/20212南京邮电大学信息安全系身份认证的概念和作用用户要向系统证明他就是他所声称的那个人。

2、识别：明确访问者的身份（信息公开）验证：对访问者声称的身份进行确认（信息保密）作用：•限制非法用户访问网络资源。•安全系统中的第一道关卡，是其他安全机制基础。•一旦被攻破，其他安全措施将形同虚设。9/16/20213南京邮电大学信息安全系安全系统中的身份认证和访问控制访问监视器根据用户身份和授权数据库决定能否访问某个资源9/16/20214南京邮电大学信息安全系8.1单机状态下的身份认证验证用户身份的方法：•用户知道的东西：如口令、密码等。•用户拥有的东西：如智能卡、通行证、USBKey。•用户具有的生物特征：如指纹、脸型、声

3、音、视网膜扫描、DNA等。•用户行为特征：如手写签字、打字韵律等。9/16/20215南京邮电大学信息安全系8.1.1基于口令的认证方式联机攻击：联机反复尝试口令进行登录脱机攻击：截获口令密文后进行强力攻击（1）直接明文存储口令风险大：任何人只要得到存储口令的数据库，就可得到全体人员（包括最高管理员）的口令。多用于权限提升。对口令的攻击9/16/20216南京邮电大学信息安全系（2）Hash散列存储口令•口令x的散列值F(x)又叫通行短语（Passphrase）•散列函数为文件、报文或其他数据产生“数字指纹”认证方法：1）系统

4、的口令文件中存储每个用户的账号和口令散列值对；2）用户登录时输入口令x，系统计算出F(x)；3）系统将它与口令文件中相应的散列值比对，成功即允许登录。9/16/20217南京邮电大学信息安全系（3）加盐的Hash散列存储口令“加盐”的作用：避免由于相同的明文口令对应相同的口令散列而造成多个用户的口令同时被破解。盐（salt）：散列口令前与口令相结合的长为12bit的随机常数——即使两个用户口令相同，只要salt值不同，口令散列将不同。lijie和wangfeng口令都为“password”，/etc/shadow文件中的口令散

5、列为：lijie：qdUYgW6vvNB.Uwangfeng：zs9RZQrI/0aH29/16/20218南京邮电大学信息安全系基于口令认证方式的安全性1）即使黑客或管理员得到口令文件，由散列值计算出明文口令很难，所以比口令明文的认证安全。2）基于口令明文或散列（静态口令）认证是单因素认证，而用户多选择易记忆、易被猜测的口令，同时窃取口令文件后也可进行字典式攻击。3）在计算机网络和分布式系统中使用更不安全。9/16/20219南京邮电大学信息安全系8.1.2基于智能卡的认证方式双因素认证方式：所知道的东西（PIN）和所拥有的

6、东西（智能卡）。1）每个用户的智能卡存储用户秘密信息，身份认证服务器也存放该信息；2）用户输入PIN，智能卡识别PIN是否正确；3）若正确则读出智能卡中的秘密信息，并利用它与主机进行认证。硬件加密的安全性高；即使PIN或智能卡被窃取，用户仍不会被冒充。9/16/202110南京邮电大学信息安全系8.1.3基于生物特征的认证方式生物统计学的生物特征计算机强大计算功能图像处理和模式识别网络技术1）生物识别系统捕捉生物特征的样品；2）提取唯一特征数据并转化为数字符号（存储成该人的特征模板）；3）登录时人们同生物特征识别系统交互来进行

7、身份认证，以确定匹配与否。抓图/抽取特征/比较/匹配9/16/202111南京邮电大学信息安全系基于生物特征认证方式的安全性•特征因人而异和随身携带——他人模仿难•识别速度相对慢使用代价高使用面窄不适合在网络环境中使用在网络上泄露也不好更新有误报（FalsePositives）和漏报（FalseNegatives）9/16/202112南京邮电大学信息安全系8.2S/KEY认证协议8.2.1一次性口令技术网络环境下身份认证的困难性：1）明文口令：易被嗅探，也容易受到字典攻击。2）口令散列：直接“重放”就可以假冒合法用户登录，并

8、不需要解密得到口令本身。——不能使用静态口令，而必须使用一次性口令9/16/202113南京邮电大学信息安全系一次性口令技术的发展•1980年代首次提出利用散列函数产生一次性口令•1991年贝尔通信提出挑战/应答（Challenge/Response）式动态密码身份认证系统S