电子商务安全技术 第05章 身份认证与访问控制.ppt

《电子商务安全技术 第05章 身份认证与访问控制.ppt》由会员上传分享，免费在线阅读，更多相关内容在PPT专区-天天文库。

1、第四章身份认证与访问控制4.1身份认证的常用识别法。4.2访问控制。4.1身份认证的常用识别法身份认证的定义：证实客户的真实身份与其所声称的身份是否相符的过程。身份认证的依据：（1）somethingtheuserknow(根据用户知道什么来判断，所知）口令、密码等（2）somethingtheuserprocesses(根据用户拥有什么来判断，拥有）身份证、护照、门钥匙、磁卡钥匙等（3）somethingtheuseris(orhowhebehaves),(根据用户是什么来判断，特征）指纹、声音、视网膜、签名、DNA等常用的身份认证技术（1）口令识别法（2）签名识别法（3）指纹识别技术（4

2、）语音识别系统（1）口令识别法口令识别是应用最为广泛的身份认证技术。口令长度：通常为长度为5~8的字符串。选择原则：易记、难猜、抗分析能力强。口令识别的脆弱点：网络窃听重放攻击字典攻击暴力攻击社交工程不安全口令的分析使用用户名（账号）作为口令使用用户名（账号）的变换形式作为口令使用自己或者亲友的生日作为口令使用学号、身份证号、单位内的员工号码等作为口令使用常用的英文单词作为口令安全口令的建议口令长度至少要有8位口令应包括大小写字母、数字，或者控制符等不要将口令写在电脑上或纸条上要养成定期更换口令的习惯一月一换尽量不要在电脑上保存口令一次性口令一次性口令（OTP，OneTimePassword

3、）：一次性的主要思路是：在登录过程中加入不确定因素，使每次登录过程中传送的口令都不相同，以提高登录过程安全性。一次性口令的特点：◈概念简单，易于使用◈基于一个被记忆的密码，不需要任何附加的硬件◈算法安全◈不需要存储诸如密钥、口令等敏感信息一次性口令的原理基于客户端/服务器模式客户端：每次登录生成一次性口令；服务器：验证客户端的一次性口令。一次性口令的安全原理使用一次性口令序列n次第一个口令——使用单向函数n次p(1)=f(f(f(f(s))))第二个口令——使用单向函数n-1次p(2)=f(f(f(s)))依次类推一次性口令产生和验证过程①用户输入登录名和相关身份信息ID。②如果系统接受用户

4、的访问，则给用户传送一次性口令建立所使用的单向函数f及一次性密码k，这种传送通常采用加密方式。③用户选择“种子”密钥x，并计算第一次访问系统的口令z=fn（x）。向第一次正式访问系统所传送的数据为（k，z）。④系统核对k，若正确，则将（ID，fn（x））保存。⑤当用户第二次访问系统时，将（ID，fn-1（x））送系统。系统计算f（fn-1（x）），将其与存储的数据对照，如果一致，则接受用户的访问，并将（ID，fn-1（x））保存。⑥当用户第三次访问系统时，将（ID，fn-2（x））送系统。系统计算f（fn-2（x）），将其与存储的数据对照，如果一致，则接受用户的访问，并保存新计算的数据。⑦当

5、用户每一次想要登录时，函数相乘的次数只需-1。一次性口令系统实例1991年，贝尔通信研究中心（Bellcore）首次研制出了基于一次性口令思想的身份认证系统S/KEY。S/KEY最初使用DES算法，后因安全问题改用MD4作为其加密算法。FreeBSD操作系统下的一次性口令系统——OPIE(One-timePasswordsInEverything)OPIE使用比S/KEY的MD4更为强壮的MD5算法，因此一般认为OPIE更为安全。（2）签名识别法签名识别——不是能识别出被鉴别的签名是什么字，而是要能识别出签名的人。签名识别的方法：根据最后的签名进行识别根据签名的书写过程进行识别记录签名书写过

6、程的技术电动绘图仪——使用杠杆控制系统，在绘图笔上配有水平和垂直两个加速计，同时还配有压力测量计。签名识别法的使用首先提供一定数量的签名系统分析签名，提取特征通过比较签名，进行身份识别（3）指纹识别技术指纹识别——基于每个人指纹的唯一性和稳定性。指纹识别的主要技术：现代电子集成制造技术可靠的匹配算法指纹取像的几种技术和特点目前指纹取像主要有三种技术：光学全反射技术、晶体传感器技术和超声波扫描技术。光学全反射技术：利用光的全反射原理晶体传感器技术：硅电容传感器超声波扫描技术：利用超声波扫描反射原理指纹取像常用技术的比较比较项目光学全反射硅晶体电容传感超声波扫描体积大小中耐用性非常耐用容易损坏一

7、般成像能力干手指差，汗多的和稍胀的手指成像模糊干手指好，但汗多的和稍胀的手指不能成像非常好耗电较多较少较多成本低低很高指纹识别技术的优缺点优点：（1）是独一无二的特征，并且它们的复杂度足以提供用于鉴别的足够特征；（2）指纹识别的速度很快，使用非常方便；（3）识别指纹时，用户的手指与指纹采集头直接接触，这是读取人体生物特征最可靠的方法。（4）采集头会更小型化，并且价格会更低廉。缺点：（1）某些群体的指纹因为指纹