網(wǎng)絡(luò)安全概述_05認(rèn)證技術(shù)基礎(chǔ)-文庫(kù)吧
2025-01-29 11:15 本頁(yè)面
【正文】 ? 令牌裝置＋異步機(jī)制（交互應(yīng)答＋認(rèn)證服務(wù)器通信＝“間接的同步”） 13 密碼認(rèn)證 ? 對(duì)稱密碼體制認(rèn)證 ? 公鑰密碼體制認(rèn)證 ? HASH認(rèn)證 ? …… 14 存儲(chǔ)卡 ? 直接使用存在卡中的信息與庫(kù)中信息比對(duì) ? 可結(jié)合普通口令機(jī)制，雙重比對(duì) 15 智能卡 ? 卡本身具有認(rèn)證比對(duì)功能，加強(qiáng)卡自身安全保護(hù) ? 隨后再進(jìn)一步認(rèn)證 16 授權(quán) ? 授權(quán)方法 ? 默認(rèn)拒絕 17 授權(quán)方法 ? 角色訪問方法 ：不同角色的業(yè)務(wù)訪問需求可能類似 ? 組訪問原則方法 ：需要同樣訪問權(quán)限的用戶的集合 ? 物理和邏輯位置訪問原則 ： ? 時(shí)間 ： ? 事務(wù)類型限制 ：事務(wù)實(shí)例取值的不同，訪問權(quán)限賦予可能也不同。（銀行取錢，職責(zé)不同，能操作的金額應(yīng)該不一致；數(shù)據(jù)庫(kù)管理員負(fù)責(zé)建立人事數(shù)據(jù)庫(kù)，但他未必有權(quán)訪問這些數(shù)據(jù)記錄） 18 默認(rèn)拒絕 ? 一般授權(quán)的基本原則 – 默認(rèn)拒絕 – 需要知曉 :授予能夠?qū)崿F(xiàn)業(yè)務(wù)的最小權(quán)限，與最小特權(quán)原則一致 19 單點(diǎn)登錄 ? 腳本方式 ? Kerberos ? Sesame 20 腳本方式 ? 包含有每一用戶 ID、口令字和對(duì)應(yīng)平臺(tái)登錄命令的批處理文件 – 用戶使用方便 – 管理員需要事先編寫腳本 – 管理員跟蹤活替換口令更改機(jī)制 – 腳本本身的機(jī)密性、完整性要求極高 – 平臺(tái)升級(jí)可能會(huì)要求腳本升級(jí) 21 Kerberos(科波羅斯 ) ? 分布式單點(diǎn)登錄的實(shí)例 ? 使用對(duì)稱加密算法體系 ? 主要組件： – 密鑰分發(fā)中心：存有所有用戶和服務(wù)的密鑰；具有密鑰分發(fā)和認(rèn)證功能；客戶和服務(wù)充分信任 KDC是系統(tǒng)安全的基礎(chǔ) – 實(shí)體對(duì)象：主體，用戶、程序或服務(wù)， – 票證：用戶主體之間訪問認(rèn)證 Kerberos協(xié)議主要用于計(jì)算機(jī)網(wǎng)絡(luò)的身份鑒別 (Authentication), 其特點(diǎn)是用戶只需輸入一次身份驗(yàn)證信息就可以憑借此驗(yàn)證獲得的票據(jù) (ticketgranting ticket)訪問多個(gè)服務(wù)，即 SSO(Single Sign On)。由于在每個(gè) Client和 Service之間建立了共享密鑰，使得該協(xié)議具有相當(dāng)?shù)陌踩浴? 22 ? Kerberos認(rèn)證過程（見圖） – 用戶向 AS認(rèn)證 – AS發(fā)送初時(shí)票證給用戶 – 用戶請(qǐng)求訪問文件服務(wù)器 – TGS使用會(huì)話迷藥創(chuàng)建新票證 – 用戶提取一個(gè)繪畫迷藥并將票證發(fā)給文件服務(wù)器 23 24 ? Kerberos弱點(diǎn)： – 單點(diǎn)故障 – 必須實(shí)施處理大量信息 – 密鑰需要暫時(shí)性的存在工作站上，存在威脅 – 會(huì)話密鑰被解密后仍保留在緩存中，存在威脅 – 對(duì)密碼猜測(cè)的字典攻擊 – 密鑰更新過程復(fù)雜 25 Sesame ? Secure European System for application in a Multivendor Environment ? 是為了解決 Kerberos的弱點(diǎn)而提出的。 SESAME使用公開加密算法和對(duì)稱加密算法來實(shí)現(xiàn)對(duì)通信的保護(hù)、實(shí)現(xiàn)對(duì)稱密鑰的交換和訪問控制。與 Kerberos不同的是，SESAME提供兩種 Certificates或者 Tickets,一個(gè)用來提供認(rèn)證，另外的一個(gè)提供給客戶訪問許可。 SESAME的同樣也容易被字典式攻擊。 ? 同時(shí)基于對(duì)稱和非對(duì)稱密碼體制 ? PAS（特權(quán)證書）取代訪
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1