網(wǎng)絡(luò)安全--認(rèn)證技術(shù)課件-文庫吧
2025-01-15 17:04 本頁面
【正文】 Alice, KAliceBob{ timestamp} timestamp是時(shí)戳（當(dāng)前時(shí)間）。 Bob解密結(jié)果，當(dāng)結(jié)果在一定時(shí)差內(nèi)，則 Alice通過認(rèn)證 高效：只需要一條消息 要求 Alice和 Bob有同步的時(shí)鐘 攻擊者若能夠調(diào)整 Bob的時(shí)間，則可以重新使用以前偵聽到的加密時(shí)戳 動(dòng)作迅速的攻擊者可以利用偵聽的加密時(shí)戳在另一臺(tái)機(jī)器上冒充 Alice 攻取 Bob的數(shù)據(jù)庫，則可以冒充 Alice 基于公鑰體制的單向認(rèn)證技術(shù) 1 Alice Bob I am Alice R [R]Alice Alice對數(shù)據(jù) R用自己的私鑰簽名， Bob用 Alice的公鑰檢驗(yàn)簽名 偵聽者無法冒充 Alice，即使他攻取了 Bob的數(shù)據(jù)庫 可以誘騙 Alice對特定數(shù)據(jù)的簽名 基于公鑰體制的單向認(rèn)證技術(shù) 2 Alice Bob I am Alice {R}Alice Bob用 Alice的公鑰加密數(shù)據(jù) R，并要求 Alice解密 偵聽者無法冒充 Alice，即使他攻取了 Bob的數(shù)據(jù)庫 如果想知道其他人發(fā)送給 Alice的加密信息，可以誘騙 Alice解密 R 雙向認(rèn)證 ? 用于通信雙方的相互認(rèn)證 ? 認(rèn)證的同時(shí)可以協(xié)商會(huì)話密鑰 基于共享秘密的雙向認(rèn)證 1 Alice Bob I am Alice R1 f(KAliceBob, R1) 基于“挑戰(zhàn) – 響應(yīng)”方式 雙方使用共享的秘密對數(shù)據(jù)進(jìn)行密碼變換，實(shí)現(xiàn)對通信對方的認(rèn)證 效率不高：消息過多 R2 f(KAliceBob, R2) 基于共享秘密的雙向認(rèn)證 2 Alice Bob I am Alice, R2 R1, f(KAliceBob, R2) 基于“挑戰(zhàn) – 響應(yīng)”方式 雙方使用共享的秘密對數(shù)據(jù)進(jìn)行密碼變換，實(shí)現(xiàn)對通信對方的認(rèn)證 效率提高：消息減少為三條 f(KAliceBob, R1) 基于共享秘密的雙向認(rèn)證 3 Alice Bob I am Alice, f(KAliceBob, timestamp) 基于“挑戰(zhàn) – 響應(yīng)”方式，使用 時(shí)戳（ timestamp） 作為挑戰(zhàn) 雙方使用共享的秘密對挑戰(zhàn)進(jìn)行密碼變換，實(shí)現(xiàn)對通信對方的認(rèn)證 效率提高：消息減少為二條 f(KAliceBob, timestamp+1) 基于公鑰技術(shù)的雙向認(rèn)證 Alice Bob I am Alice, {R2}Bob R2,{R1}Alice 基于“挑戰(zhàn) – 響應(yīng)”方式 雙方使用對方的 公鑰 加密數(shù)據(jù)，要求對方加密，實(shí)現(xiàn)對通信對方的認(rèn)證 R1 使用 KDC的認(rèn)證 1 ? 問題：假設(shè)基于秘密密鑰技術(shù)實(shí)現(xiàn)認(rèn)證 ? 如果網(wǎng)絡(luò)上有 n個(gè)節(jié)點(diǎn)，則每個(gè)節(jié)點(diǎn)都必須知道 n1個(gè)密鑰。 ? 每增加一個(gè)節(jié)點(diǎn)，就必須生成 n個(gè)新的密鑰。密鑰分發(fā)非常困難 ? 解決方法：使用密鑰分發(fā)中心 KDC ? KDC是一個(gè)可靠的節(jié)點(diǎn)，知道每個(gè)節(jié)點(diǎn)的密鑰，即KDC和每一個(gè)節(jié)點(diǎn)都共享一個(gè)密鑰。 ? 每個(gè)節(jié)點(diǎn)希望和其它節(jié)點(diǎn)通信，則首先和 KDC聯(lián)系，由 KDC分配一個(gè)臨時(shí)的會(huì)話密鑰。 使用 KDC的認(rèn)證 2 Alice Bob Alice wants bob KAlice{use KAB for Bob}, Ticket to Bob=KBob{use KAB for Alice} KDC是一個(gè)存儲(chǔ)所有用戶密鑰的數(shù)據(jù)庫。用戶可以和 KDC進(jìn)行安全通信 Alice請求 KDC分配一個(gè)會(huì)話密鑰，以與 Bob通信 KDC生成一個(gè)會(huì)話密鑰 KAB，并用 Alice的密鑰加密發(fā)給 Alice。同時(shí)，KDC還用 Bob的密鑰加密 KAB，交給 Alice轉(zhuǎn)發(fā)。 Alice解密得到 KAB，并把用 Bob的密鑰加密的 KAB發(fā)送給 Bob Alice和 Bob可以基于 KAB實(shí)現(xiàn)雙向認(rèn)證 f(KAliceBob, R2) KDC 生成密鑰 KAB Kerberos認(rèn)證協(xié)議 網(wǎng)絡(luò)環(huán)境的認(rèn)證需求 ? 分布式網(wǎng)絡(luò)環(huán)境 ? 服務(wù)器 +工作站 ? 服務(wù)器向用戶提供各種網(wǎng)絡(luò)應(yīng)用的服務(wù) ? 用戶需要訪問分布在網(wǎng)絡(luò)上的、不同位置的服務(wù)（或資源） ? 服務(wù)器的安全 ? 服務(wù)器需要授權(quán)技術(shù)來限制用戶對資源的訪問 ? 授權(quán)和訪問控制建立在對用戶身份認(rèn)證的基礎(chǔ)之上 Kerberos認(rèn)證服務(wù) ? Kerberos：一種基于 對稱密鑰 、在網(wǎng)絡(luò)上實(shí)施 身份認(rèn)證 的服務(wù) ? 身份認(rèn)證作為網(wǎng)絡(luò)上一種標(biāo)準(zhǔn)的安全服務(wù)來提供 ? 能夠?qū)崿F(xiàn)用戶和服務(wù)器之間的雙向認(rèn)證 ? 集中式的認(rèn)證服務(wù) ? 通過運(yùn)行在網(wǎng)絡(luò)中某個(gè)安全節(jié)點(diǎn)的密鑰分發(fā)中心（ KDC，又稱為認(rèn)證服務(wù)器）提供認(rèn)證服務(wù) ? 用戶能夠用用戶名和口令登錄工作站，工作站使用用戶名和密碼與 KDC聯(lián)系，代替用戶獲得使用遠(yuǎn)程資源所需要的信息 ? Kerberos v4 and Kerberos v5 ? 相互競爭市場， v4用戶量大 Kerberos特征 ? 提供一種基于可信第三方的認(rèn)證服務(wù) ? KDC作為第三方，若用戶與服務(wù)器都信任 KDC，則 Kerberos就可以實(shí)現(xiàn)用戶與服務(wù)器之間的雙向鑒別。如果 KDC是安全的，并且協(xié)議沒有漏洞，則認(rèn)證是安全的。 ? 安全性 ? 能夠有效防止攻擊者假冒合法用戶 ? 可靠性 ? Kerberos服務(wù)自身可采用分布式結(jié)構(gòu)， KDC之間互相備份 ? 透明性 ? 用戶只需要提供用戶名和口令，工作站代替用戶實(shí)施認(rèn)證的過程 ? 可伸縮性 ? 能夠支持大量用戶和服務(wù)器 Kerberos背景 ? 在 MIT的 Athena項(xiàng)目中開發(fā)的一種認(rèn)證服務(wù) ? 試圖解決如下問題 ? 在公用網(wǎng)絡(luò)中，用戶通過 工作站 訪問網(wǎng)絡(luò)服務(wù)，這些服務(wù)是由分布在網(wǎng)絡(luò)中的服務(wù)器提供的 ? 服務(wù)器能夠?qū)τ脩舻拿恳豁?xiàng)服務(wù)請求進(jìn)行認(rèn)證 ? 僅僅依賴工作站對用戶的認(rèn)證是不夠的 ? 用戶訪問每一種網(wǎng)絡(luò)服務(wù)，都需要向服務(wù)器證明其身份 ? 安全威脅：工作站無法保證用戶的身份真實(shí)性 ? 非法用戶訪問某個(gè)工作站，并假冒另一個(gè)合法用戶 ? 非法用戶更改工作站網(wǎng)絡(luò)地址，假冒另一個(gè)工作站 ? 非法用戶竊聽消息交換過程，并實(shí)施重放攻擊 ? 目標(biāo)：在各種情況下，都能防止用戶對服務(wù)的非授權(quán)訪問 Kerberos的幾個(gè)概念 1 ? 主密鑰 ? 每個(gè) 實(shí)體 （使用 Kerberos的用戶和資源）和 KDC之間共享一個(gè) 秘密密鑰 ，稱為實(shí)體的主密鑰 ? 門票 ? 用戶需要訪問遠(yuǎn)程服務(wù)或資源，其工作站代替用戶向KDC提出申請。 KDC為雙方生成一個(gè) 共享密鑰 ，并分別用用戶和遠(yuǎn)程服務(wù)的主密鑰加密這個(gè)會(huì)話密鑰，再將這些信息發(fā)送給工作站。該消息包括用遠(yuǎn)程資源或服務(wù)的主密鑰加密的會(huì)話密鑰，以及用戶的名字等信息。這部分信息稱為訪問遠(yuǎn)程資源的 門票 。 ? 用戶將門票轉(zhuǎn)發(fā)給要訪問的遠(yuǎn)程服務(wù)，遠(yuǎn)程服務(wù)可以解密獲得用戶名字和會(huì)話密鑰。 Kerberos的幾個(gè)概念 2 ? 門票分發(fā) 門票 ? 用戶提供 用戶名和口令 登錄到工作站， 主密鑰 根據(jù)其口令生成。從登錄到登出這一段時(shí)間稱為一個(gè) 登錄會(huì)話 。 ? 工作站可以代替用戶實(shí)施認(rèn)證。為了降低口令被盜的風(fēng)險(xiǎn)，工作站并不記憶口令并在會(huì)話過程中使用口令，而是首先向 KDC申請 會(huì)話密
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1