信息安全原理与技术ch06-身份认证与访问控制
- 格式：pdf
- 大小：289.79 KB
- 文档页数：54
2011-7-20 Ch6-身份认证与访问控制 20
（2）被认证方向认证方发回一个响应 （response），该响应由单向散列函数计算得 出，单向散列函数的输入参数由本次认证的标识 符、秘诀（secret）和提问构成； （3）认证方将收到的响应与它自己根据认证标识 符、秘诀和提问计算出的散列函数值进行比较， 若相符则认证通过，向被认证方发送“成功”消 息，否则，发送“失败”消息，断开连接。在双方 通信过程中系统将以随机的时间间隔重复上述三 步认证过程。
2011-7-20
Ch6-身份认证与访问控制
21
CHAP的优点 • 通过不断地改变认证标识符和提问消息的 值来防止回放(playback)攻击。 • 利用周期性的提问防止通信双方在长期会 话过程中被攻击。 • 虽然CHAP进行的是单向认证，但在两个方 向上进行CHAP协商，也能实现通信双方的 相互认证。 • CHAP可用于认证多个不同的系统。
13
口令认证 • 口令认证过程： ①用户将口令传送给计算机； ②计算机完成口令单向函数值的计算； ③计算机把单向函数值和机器存储的值比较。 • 不足之处： – 以明文方式输入口令容易泄密； – 口令在传输过程中可能被截获； – 口令以文件形式存储在认证方，易于被攻击者获取； – 用户为了记忆的方便，访问多个不同安全级别的系统 时往往采用相同的口令，使得攻击者也能对高安全级 别系统进行攻击。 – 只能进行单向认证，即系统可以认证用户，而用户无 法对系统进行认证。
2011-7-20
IC卡认证方式
• 是一种基于“用户所拥有”的认证手段 IC卡由合法用户随身携带，登录时必须将IC卡 插入专用的读卡器中读取其中的信息，以验证用户 的身份。 • 优点： 通过IC卡硬件的不可复制性可保证用户身份不 会被仿冒。 • 缺点： 由于每次从IC卡中读取的数据还是静态的，通 过内存扫描或网络监听等技术还是很容易能截取到 用户的身份验证信息。因此，静态验证的方式还是 存在着根本的安全隐患。
2011-7-20 Ch6-身份认证与访问控制 8
动态口令方式
• 是一种让用户的密码按照时间或使用次数不断动态 变化，每个密码只使用一次的技术 采用动态密码卡(专用硬件)，密码生成芯片运 行专门的密码算法，根据当前时间或使用次数生成 当前密码。用户将动态令牌上显示的当前密码输 入，由这个信息的正确与否可识别使用者的身份。 • 优点： 采用一次一密的方法，不能由产生的内容去预测 出下一次的内容。而且输入方法普遍(一般计算机键 盘即可)，能符合网络行为双方的需要。 • 缺点： 如果客户端硬件与服务器端程序的时间或次数 不能保持良好的同步，就可能发生合法用户无法登 录的问题，这使得用户的使用非常不方便。
2011-7-20 Ch6-身份认证与访问控制 19
提问-握手认证协议CHAP CHAP（Challenge Handshake Authentication Protocol）采用的是挑战/应答方法，它通过三 次握手（3-way handshake）方式对被认证方的 身份进行周期性的认证。 • 认证过程： （1）在通信双方链路建立阶段完成后，认证 方（authenticator）向被认证方（peer）发送一 个提问（challenge）消息；
2011-7-20
Ch6-身份认证与访问控制
18
基于挑战/应答的认证机制
（3) 认证服务器内部产生一个随机数，作为"提 问"，发送给客户； （4) 客户将用户名字和随机数合并，使用单向 Hash函数（例如MD5算法）生成一个字节串作为 应答； （5) 认证服务器将应答串与自己的计算结果比 较，若二者相同，则通过一次认证；否则，认 证失败； （6) 认证服务器通知客户认证成功或失败。
6.1.1身份认证的基本方法
• 用户名/密码方式 • IC卡认证方式 • 动态口令方式 • 生物特征认证方式 • USB Key认证方式
2011-7-20
Ch6-身份认证与访问控制
6
用户名/密码方式
• 是一种基于“用户所知道”的验证手段 每一个合法用户都有系统给的一个用户名/口令 对，当用户要求访问提供服务的系统时，系统就要求 输入用户名、口令，在收到口令后，将其与系统中存 储的用户口令进行比较，以确认被认证对象是否为合 法访问者。如果正确，则该用户的身份得到了验证。 • 优点： 由于一般的操作系统都提供了对口令认证的支 持，对于封闭的小型系统来说是一种简单可行的方 法。 • 缺点： 是一种单因素的认证，它的安全性依赖于密码。 由于许多用户为了防止忘记密码，经常会采用容易被 他人猜到的有意义的字符串作为密码，因此极易造成 密码泄露。密码一旦泄露，用户即可被冒充。 2011-7-20 Ch6-身份认证与访问控制22
CHAP的不足 CHAP认证的关键是秘诀，CHAP的 秘诀以明文形式存放和使用，不能利用 通常的不可逆加密口令数据库。并且 CHAP的秘诀是通信双方共享的，因此给 秘诀的分发和更新带来了麻烦，要求每 个通信对都有一个共享的秘诀，这不适 合大规模的系统。
6.1.2 常用身份认证机制
• 简单认证机制 • 基于DCE/Kerberos的认证机制 • 基于公共密钥的认证机制 • 基于挑战/应答的认证机制
2011-7-20
Ch6-身份认证与访问控制
12
简单认证机制 • 口令认证
• 一次性口令(One-Time Password)
2011-7-20
Ch6-身份认证与访问控制
信息安全原理与技术
郭亚军 宋建华 李莉
清华大学出版社
第6章 身份认证与访问控制
• 主要知识点： -- 身份认证 -- 访问控制概述 -- 自主访问控制 -- 强制访问控制 -- 基于角色的访问控制
2011-7-20
Ch6-身份认证与访问控制
2
6.1身份认证
认证一般可以分为两种: • 消息认证:用于保证信息的完整性和抗否认 性。在很多情况下，用户要确认网上信息 是不是假的，信息是否被第三方修改或伪 造，这就需要消息认证。 • 身份认证:用于鉴别用户身份。包括识别和 验证，识别是指明确并区分访问者的身 份；验证是指对访问者声称的身份进行确 认。
2011-7-20 Ch6-身份认证与访问控制 25
6.2.1访问控制的基本概念
• 访问控制（Access Control）：访问控制规定了 主体对客体访问的限制，并在身份识别的基础 上 ， 根 据 身 份 对 提 出 资 源 访问的请求加以控 制。访问控制决定了谁能够访问系统，能访问 系统的何种资源以及如何使用这些资源。访问 控制所要控制的行为主要有读取数据、运行可 执行文件、发起网络连接等。
2011-7-20 Ch6-身份认证与访问控制 9
生物特征认证方式
• 以人体惟一的、可靠的、稳定的生物特征(如 指纹、虹膜、脸部、掌纹等)为依据，采用计 算机的强大功能和网络技术进行图像处理和模 式识别。 优点： 使用者几乎不可能被仿冒。 • – – 缺点： 较昂贵。 不够稳定(辩识失败率高)。
Ch6-身份认证与访问控制 10
2011-7-20 Ch6-身份认证与访问控制 24
6.2.1访问控制的基本概念
• 主体（Subject）：主体是指主动的实体，是访问 的发起者，它造成了信息的流动和系统状态的改 变，主体通常包括人、进程和设备。 • 客体（Object）：客体是指包含或接受信息的被 动实体，客体在信息流动中的地位是被动的，是 处于主体的作用之下，对客体的访问意味着对其 中所包含信息的访问。客体通常包括文件、设 备、信号量和网络节点等。 • 访问（Access）：是使信息在主体和客体之间流 动的一种交互方式。访问包括读取数据、更改数 据、运行程序、发起连接等。
2011-7-20 Ch6-身份认证与访问控制 17
基于挑战/应答的认证机制
• 每次认证时认证服务器端都给客户端发送一个 不同的"挑战"字串，客户端程序收到这个"挑战 "字串后，做出相应的"应答"。 • 典型的认证过程为： （1) 客户向认证服务器发出请求，要求进行身份 认证； （2) 认证服务器从用户数据库中查询用户是否是 合法的用户，若不是，则不做进一步处理；
2011-7-20 Ch6-身份认证与访问控制 3
授权数据库 安全管理员
访问监控器 用户 身份认证 访问控制
资源数据库
图6.1身份认证是安全系统中的第一道关卡
2011-7-20
Ch6-身份认证与访问控制
4
相关概念
• 单向认证和双向认证 • 软件认证和硬件认证 • 单因子认证和双因子认证 • 静态认证和动态认证 • – – – 认证手段: 基于用户所知道的(what you know) 基于用户所拥有的(what you have) 基于用户本身的（生物特征如：语音特征、笔迹 特征或指纹）
一次性口令(One-Time Password) 一次性口令机制确保在每次认证中所使用 的口令不同，以对付重放攻击。 • 确定口令的方法 – 两端共同拥有一串随机口令，在该串的某一位 置保持同步； – 两端共同使用一个随机序列生成器，在该序列 生成器的初态保持同步； – 使用时戳，两端维持同步的时钟。
•
2011-7-20
USB Key认证方式
• 采用软硬件相结合、一次一密的强双因子认证模 式。 USB Key是一种USB接口的硬件设备，它内置单 片机或智能卡芯片，可以存储用户的密钥或数字证 书，利用USB Key内置的密码学算法实现对用户身份 的认证。 • 两种应用模式： – 基于挑战/应答的认证模式 – 基于PKI体系的认证模式 • 优点： 便于携带、使用方便、成本低廉、安全可靠性 很高 ，被认为将会成为身份认证的主要发展方向。 • 缺点： 2011-7-20 Ch6-身份认证与访问控制 11 安全性不如生物特征认证。
2011-7-20
Ch6-身份认证与访问控制
23
（2）被认证方向认证方发回一个响应 （response），该响应由单向散列函数计算得 出，单向散列函数的输入参数由本次认证的标识 符、秘诀（secret）和提问构成； （3）认证方将收到的响应与它自己根据认证标识 符、秘诀和提问计算出的散列函数值进行比较， 若相符则认证通过，向被认证方发送“成功”消 息，否则，发送“失败”消息，断开连接。在双方 通信过程中系统将以随机的时间间隔重复上述三 步认证过程。
2011-7-20
Ch6-身份认证与访问控制
21
CHAP的优点 • 通过不断地改变认证标识符和提问消息的 值来防止回放(playback)攻击。 • 利用周期性的提问防止通信双方在长期会 话过程中被攻击。 • 虽然CHAP进行的是单向认证，但在两个方 向上进行CHAP协商，也能实现通信双方的 相互认证。 • CHAP可用于认证多个不同的系统。
13
口令认证 • 口令认证过程： ①用户将口令传送给计算机； ②计算机完成口令单向函数值的计算； ③计算机把单向函数值和机器存储的值比较。 • 不足之处： – 以明文方式输入口令容易泄密； – 口令在传输过程中可能被截获； – 口令以文件形式存储在认证方，易于被攻击者获取； – 用户为了记忆的方便，访问多个不同安全级别的系统 时往往采用相同的口令，使得攻击者也能对高安全级 别系统进行攻击。 – 只能进行单向认证，即系统可以认证用户，而用户无 法对系统进行认证。
2011-7-20
IC卡认证方式
• 是一种基于“用户所拥有”的认证手段 IC卡由合法用户随身携带，登录时必须将IC卡 插入专用的读卡器中读取其中的信息，以验证用户 的身份。 • 优点： 通过IC卡硬件的不可复制性可保证用户身份不 会被仿冒。 • 缺点： 由于每次从IC卡中读取的数据还是静态的，通 过内存扫描或网络监听等技术还是很容易能截取到 用户的身份验证信息。因此，静态验证的方式还是 存在着根本的安全隐患。
2011-7-20 Ch6-身份认证与访问控制 8
动态口令方式
• 是一种让用户的密码按照时间或使用次数不断动态 变化，每个密码只使用一次的技术 采用动态密码卡(专用硬件)，密码生成芯片运 行专门的密码算法，根据当前时间或使用次数生成 当前密码。用户将动态令牌上显示的当前密码输 入，由这个信息的正确与否可识别使用者的身份。 • 优点： 采用一次一密的方法，不能由产生的内容去预测 出下一次的内容。而且输入方法普遍(一般计算机键 盘即可)，能符合网络行为双方的需要。 • 缺点： 如果客户端硬件与服务器端程序的时间或次数 不能保持良好的同步，就可能发生合法用户无法登 录的问题，这使得用户的使用非常不方便。
2011-7-20 Ch6-身份认证与访问控制 19
提问-握手认证协议CHAP CHAP（Challenge Handshake Authentication Protocol）采用的是挑战/应答方法，它通过三 次握手（3-way handshake）方式对被认证方的 身份进行周期性的认证。 • 认证过程： （1）在通信双方链路建立阶段完成后，认证 方（authenticator）向被认证方（peer）发送一 个提问（challenge）消息；
2011-7-20
Ch6-身份认证与访问控制
18
基于挑战/应答的认证机制
（3) 认证服务器内部产生一个随机数，作为"提 问"，发送给客户； （4) 客户将用户名字和随机数合并，使用单向 Hash函数（例如MD5算法）生成一个字节串作为 应答； （5) 认证服务器将应答串与自己的计算结果比 较，若二者相同，则通过一次认证；否则，认 证失败； （6) 认证服务器通知客户认证成功或失败。
6.1.1身份认证的基本方法
• 用户名/密码方式 • IC卡认证方式 • 动态口令方式 • 生物特征认证方式 • USB Key认证方式
2011-7-20
Ch6-身份认证与访问控制
6
用户名/密码方式
• 是一种基于“用户所知道”的验证手段 每一个合法用户都有系统给的一个用户名/口令 对，当用户要求访问提供服务的系统时，系统就要求 输入用户名、口令，在收到口令后，将其与系统中存 储的用户口令进行比较，以确认被认证对象是否为合 法访问者。如果正确，则该用户的身份得到了验证。 • 优点： 由于一般的操作系统都提供了对口令认证的支 持，对于封闭的小型系统来说是一种简单可行的方 法。 • 缺点： 是一种单因素的认证，它的安全性依赖于密码。 由于许多用户为了防止忘记密码，经常会采用容易被 他人猜到的有意义的字符串作为密码，因此极易造成 密码泄露。密码一旦泄露，用户即可被冒充。 2011-7-20 Ch6-身份认证与访问控制22
CHAP的不足 CHAP认证的关键是秘诀，CHAP的 秘诀以明文形式存放和使用，不能利用 通常的不可逆加密口令数据库。并且 CHAP的秘诀是通信双方共享的，因此给 秘诀的分发和更新带来了麻烦，要求每 个通信对都有一个共享的秘诀，这不适 合大规模的系统。
6.1.2 常用身份认证机制
• 简单认证机制 • 基于DCE/Kerberos的认证机制 • 基于公共密钥的认证机制 • 基于挑战/应答的认证机制
2011-7-20
Ch6-身份认证与访问控制
12
简单认证机制 • 口令认证
• 一次性口令(One-Time Password)
2011-7-20
Ch6-身份认证与访问控制
信息安全原理与技术
郭亚军 宋建华 李莉
清华大学出版社
第6章 身份认证与访问控制
• 主要知识点： -- 身份认证 -- 访问控制概述 -- 自主访问控制 -- 强制访问控制 -- 基于角色的访问控制
2011-7-20
Ch6-身份认证与访问控制
2
6.1身份认证
认证一般可以分为两种: • 消息认证:用于保证信息的完整性和抗否认 性。在很多情况下，用户要确认网上信息 是不是假的，信息是否被第三方修改或伪 造，这就需要消息认证。 • 身份认证:用于鉴别用户身份。包括识别和 验证，识别是指明确并区分访问者的身 份；验证是指对访问者声称的身份进行确 认。
2011-7-20 Ch6-身份认证与访问控制 25
6.2.1访问控制的基本概念
• 访问控制（Access Control）：访问控制规定了 主体对客体访问的限制，并在身份识别的基础 上 ， 根 据 身 份 对 提 出 资 源 访问的请求加以控 制。访问控制决定了谁能够访问系统，能访问 系统的何种资源以及如何使用这些资源。访问 控制所要控制的行为主要有读取数据、运行可 执行文件、发起网络连接等。
2011-7-20 Ch6-身份认证与访问控制 9
生物特征认证方式
• 以人体惟一的、可靠的、稳定的生物特征(如 指纹、虹膜、脸部、掌纹等)为依据，采用计 算机的强大功能和网络技术进行图像处理和模 式识别。 优点： 使用者几乎不可能被仿冒。 • – – 缺点： 较昂贵。 不够稳定(辩识失败率高)。
Ch6-身份认证与访问控制 10
2011-7-20 Ch6-身份认证与访问控制 24
6.2.1访问控制的基本概念
• 主体（Subject）：主体是指主动的实体，是访问 的发起者，它造成了信息的流动和系统状态的改 变，主体通常包括人、进程和设备。 • 客体（Object）：客体是指包含或接受信息的被 动实体，客体在信息流动中的地位是被动的，是 处于主体的作用之下，对客体的访问意味着对其 中所包含信息的访问。客体通常包括文件、设 备、信号量和网络节点等。 • 访问（Access）：是使信息在主体和客体之间流 动的一种交互方式。访问包括读取数据、更改数 据、运行程序、发起连接等。
2011-7-20 Ch6-身份认证与访问控制 17
基于挑战/应答的认证机制
• 每次认证时认证服务器端都给客户端发送一个 不同的"挑战"字串，客户端程序收到这个"挑战 "字串后，做出相应的"应答"。 • 典型的认证过程为： （1) 客户向认证服务器发出请求，要求进行身份 认证； （2) 认证服务器从用户数据库中查询用户是否是 合法的用户，若不是，则不做进一步处理；
2011-7-20 Ch6-身份认证与访问控制 3
授权数据库 安全管理员
访问监控器 用户 身份认证 访问控制
资源数据库
图6.1身份认证是安全系统中的第一道关卡
2011-7-20
Ch6-身份认证与访问控制
4
相关概念
• 单向认证和双向认证 • 软件认证和硬件认证 • 单因子认证和双因子认证 • 静态认证和动态认证 • – – – 认证手段: 基于用户所知道的(what you know) 基于用户所拥有的(what you have) 基于用户本身的（生物特征如：语音特征、笔迹 特征或指纹）
一次性口令(One-Time Password) 一次性口令机制确保在每次认证中所使用 的口令不同，以对付重放攻击。 • 确定口令的方法 – 两端共同拥有一串随机口令，在该串的某一位 置保持同步； – 两端共同使用一个随机序列生成器，在该序列 生成器的初态保持同步； – 使用时戳，两端维持同步的时钟。
•
2011-7-20
USB Key认证方式
• 采用软硬件相结合、一次一密的强双因子认证模 式。 USB Key是一种USB接口的硬件设备，它内置单 片机或智能卡芯片，可以存储用户的密钥或数字证 书，利用USB Key内置的密码学算法实现对用户身份 的认证。 • 两种应用模式： – 基于挑战/应答的认证模式 – 基于PKI体系的认证模式 • 优点： 便于携带、使用方便、成本低廉、安全可靠性 很高 ，被认为将会成为身份认证的主要发展方向。 • 缺点： 2011-7-20 Ch6-身份认证与访问控制 11 安全性不如生物特征认证。
2011-7-20
Ch6-身份认证与访问控制
23
