《身份認證》ppt課件-文庫吧
2025-04-18 18:30 本頁面
【正文】 機用剛使用過的口令代替保存的 yn。 ? (1) 口令認證協(xié)議 (PAP) ? 最初設(shè)計口令認證協(xié)議時 ， 是希望為主機向另一臺使用 PPP協(xié)議的主機認證自己提供一種簡單方法 ， 其詳細描述見 RFC1334， 使用簡單 “ 用戶 ID口令 ” 對進行認證 ， 認證信息以明文方式傳輸 ， 沒有采取措施防止 “ 重試攻擊 ” 或猜測口令攻擊 。 ? (2) 詢問握手認證協(xié)議 (CHAP) 描述見 RFC1994， 它為認證 PPP鏈路提供了一種更安全的機制 ， 采用提問 /應(yīng)答方式進行認證 ， 由于認證過程由服務(wù)器方控制 ， 可以避免 “ 重試攻擊 ” 。 (3) 遠程認證撥號用戶管理協(xié)議 (RADIUS) ? CHAP雖然對撥號用戶的認證比 PAP要強，但它本身不具備充分的擴展性。另外，雖然 CHAP不在網(wǎng)上傳輸任何秘密，卻需要通過 Hash函數(shù)來操作大量共享秘密，為了保存這些秘密，擁有大量撥號用戶的企業(yè)必須維護很大的數(shù)據(jù)庫。 RADIUS采用客戶 /服務(wù)器模型來安全地對遠程網(wǎng)絡(luò)連接用戶和會話進行管理，旨在更容易地管理訪問控制方案，同時也支持 PAP、 CHAP等其它類型的用戶認證。其具體描述見 RFC2058。 (1) EKE (Encrypted Key Exchange)： ? Bellovin等將對稱密鑰加密算法與公開密鑰機制相結(jié)合 ， 提出了 EKE協(xié)議 ， 并在此基礎(chǔ)上發(fā)展成一個協(xié)議族 ， 如 DHEKE、 SPEKE等 。 這些協(xié)議有以下特點： – 通過給竊聽者不完整的信息 ， 令其不能進行猜測口令的字典式攻擊 。 – 前向保密：攻擊者得到一個口令并不能使其獲得以前會話過程中使用的會話密鑰 。 – 防強力攻擊：會話密鑰的失竊無助于攻擊者進行強力攻擊 。 ? EKE的最大的問題是它仍然是有 “ 明文等價 ” 問題，需要客戶和服務(wù)器雙方共享口令或口令的 hash值。一些對它的改進如 AEKE解決了 “ 明文等價 ” 問題，但犧牲了前向保密； BSPEKE又帶來了很大的時間開銷和算法復(fù)雜性。 (2) SRP (Secure Remote Password) ? Wu等提出了一種不同于 EKE方式的口令認證技術(shù)， 該技術(shù)不加密任何協(xié)議流 ， 而代之與一組預(yù)先定義好的數(shù)學(xué)關(guān)系 ， 通過短暫的交換數(shù)據(jù)過程建立起口令參數(shù) 。 SRP是一種基于檢驗的零知識協(xié)議 ， 可以抵御字典式攻擊 。 ? SRP還有以下一些性質(zhì)： – 雙向認證 – 攻擊者即使竊取到主機口令文件也不會直接損害用戶 主機認證 – 攻擊者攻破主機之后也不能從合法的認證過程中獲得用戶口令 – 防強力攻擊：會話密鑰的失竊無助于攻擊者進行強力攻擊 。 – 前向保密：攻擊者得到一個口令并不能使其獲得以前會話過程中使用的會話密鑰 。 3主機認證 ? ? 當(dāng)前在 Inter上對主機認證采用得最多的還是基于網(wǎng)絡(luò)的 ， 網(wǎng)絡(luò)認證又可分為兩大類： ? (1) 基于地址 ? (2) 基于主機名 ? 不管是基于地址還是基于主機名的認證，可靠性都是很低的，網(wǎng)絡(luò)地址，無論是 IP地址，還是網(wǎng)卡 MAC地址，都很容易被偽裝，基于主機名的認證問題比基于地址更為嚴重，它過分依賴于 DNS，這樣，當(dāng) Inter某處 DNS被攻破后，很容易會被欺騙。 ? 使用密碼學(xué)技術(shù) ? 這種認證方案包括了用戶認證一節(jié)里所列NTLM認證，以及下面就要談到的基于Kerberos或基于公開密鑰技術(shù)的認證。這一類技術(shù)都依賴于某一 “ 秘密 ” 或保密密鑰，在主機認證中，如何在主機上安全存放這一“ 秘密 ” 將是一個關(guān)鍵的問題。 身份認證實例 Kerberos 引言 ? Kerberos: part of Project Athena at MIT ? Greek Kerberos: 希臘神話故事中一種三個頭的狗，還有一個蛇形尾巴。是地獄之門的守衛(wèi)。 ? Modern Kerberos: 意指有三個組成部分的網(wǎng)絡(luò)之門的保衛(wèi)者?！叭^”包括： – 認證 (authentication) – 簿記 (accounting) – 審計 (audit) 問題 ? 在一個開放的分布式網(wǎng)絡(luò)環(huán)境中，用戶通過工作站訪問服務(wù)器上提供的服務(wù)。 – 服務(wù)器應(yīng)能夠限制非授權(quán)用戶的訪問并能夠認證對服務(wù)的請求。 – 工作站不能夠被網(wǎng)絡(luò)服務(wù)所信任其能夠正確地認定用戶，即工作站存在三種威脅。 ? 一個工作站上一個用戶可能冒充另一個用戶操作； ? 一個用戶可能改變一個工作站的網(wǎng)絡(luò)地址，從而冒充另一臺工作站工作； ? 一個用戶可能竊聽他人的信息交換，并用回放攻擊獲得對一個服務(wù)器的訪問權(quán)或中斷服務(wù)器的運行。 Kerberos要解決的問題 ? 所有上述問題可以歸結(jié)為一個非授權(quán)用戶能夠獲得其無權(quán)訪問的服務(wù)或數(shù)據(jù)。 ? 不是為每一個服務(wù)器構(gòu)造一個身份認證協(xié)議，Kerberos提供一個中心認證服務(wù)器，提供用戶到服務(wù)器和服務(wù)器到用戶的認證服務(wù) 。 ? Kerberos采用傳統(tǒng)加密算法。 ? Kerberos Version4和 Ver
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1