信息認證技術(shù)ppt課件(2)(已修改)
2025-05-24 06:01 本頁面
【正文】 認證的具體實現(xiàn) ： 用戶與口令方式 ? 用戶名與口令是最簡單的認證方式 ? 明文口令是最簡潔的數(shù)據(jù)傳輸 ， 保護口令不被泄密可以在用戶和認證系統(tǒng)之間進行加密 。 ? 單一加密形式下的用戶名與口令傳輸方式適合 的應(yīng)用環(huán)境 ? （ a）用戶終端可以直接連接認證系 ? （ b）認證數(shù)據(jù)庫不為非法用戶所獲得。 ? 認證數(shù)據(jù)庫通常情況下不會直接存放用戶的口令，可以存放口令的 hash值或是加密值。 用戶名與口令的認證實現(xiàn)方式 ? 用戶將口令使用認證系統(tǒng)的公鑰加密后傳輸給認證系統(tǒng)，認證系統(tǒng)對加密數(shù)據(jù)解密后得到口令，對此數(shù)據(jù)做 hash（或是加密），將這一結(jié)果與數(shù)據(jù)庫中的值做比較，若數(shù)據(jù)匹配，則是合法用戶，否則不是。 用戶名與口令的認證實現(xiàn)方式 口令數(shù)據(jù)庫的加密存儲 挑戰(zhàn) /應(yīng)答式（質(zhì)詢 /響應(yīng)式）口令（ 1/2） 挑戰(zhàn) /應(yīng)答式 （ 質(zhì)詢 /響應(yīng)式 ） 口令 ? 是目前口令認證機制的基礎(chǔ) 。 ? 其原理適用于令牌與智能卡的認證 。 ? 認證一個用戶可以等同地證明這個用戶擁有某個私鑰 ， 由于認證系統(tǒng)知道用戶的公鑰 ， 因此可以選取一個隨機數(shù)字發(fā)送給用戶 ， 用戶收到后使用自己的私鑰進行加密 ， 然后傳遞給認證系統(tǒng) ， 認證者使用用戶的公鑰進行解密 ， 然后比較解密結(jié)果是否等于隨機數(shù)字 。 挑戰(zhàn) /應(yīng)答式（質(zhì)詢 /響應(yīng)式）口令（ 2/2） 口令認證機制存在的弊端 ? （ 1）口令的更新 （ 2）口令的記憶 （ 3）口令的概率分布 ? 人們使用的口令并非均勻隨機地分布在可能的密鑰空間。多數(shù)人出于方便的考慮，類似于 A6KX853H這樣隨機、安全的密碼總是很難進入到我們的數(shù)字生活中。 口令認證機制存在的弊端 ? 假設(shè)非法者能夠破譯系統(tǒng)或是通過其他途徑獲得口令數(shù)據(jù)庫，雖然口令數(shù)據(jù)庫是口令的 hash值，不能夠逆向計算求得。 ? 但是， 惡意的主動攻擊者 完全可以利用現(xiàn)有的口令字典計算那些現(xiàn)有口令的hash值，然后對二者進行比較，從而找到合適的匹配值。 抵抗字典式攻擊的辦法 ? 在口令的后面添加由計算機產(chǎn)生的隨機字符串，記為 salt，然后把計算得到的hash值和 salt值同時存儲到數(shù)據(jù)中。 ? 如果隨機數(shù)字 salt取的符合一定要求，比如隨機性能、長度等，能在一定程度上限制上述攻擊。 補充說明一 ? 安全的實現(xiàn)是有代價的。 ? 多數(shù)服務(wù)器在進行認證時只是存放用于進行用戶識別的用戶 ID和口令特征的靜態(tài)認證列表。 ? 這種方式的優(yōu)點是配置簡潔方便，缺點是破解者能夠花費較小的代價獲得口令列表。 補充說明二 ? ISP服務(wù)商通常會將遠程訪問服務(wù)器的共享認證列表放在較為安全的服務(wù)器商，達到使用外部認證或共享認證。 ? 此種認證的優(yōu)點是只需考慮一臺服務(wù)器的安全配置就可以了，因此在配置更方便的同時，認證的安全性能提高了。 ? 直接導致了專用認證服務(wù)器的產(chǎn)生， Kerberos認證服務(wù)也是這樣一種方式。認證服務(wù)器對用戶進行認證時會對整個認證過程加密，從而避免 Hacker截取用戶的 ID與口令。 ? 利用硬件實現(xiàn)的認證方式 ? 安全令牌 ? 智能卡 安全令牌 ? 安全性要求較高的場合使用硬件來實現(xiàn)認證，如安全令牌。 ? 安全令牌通常是每隔固定間隔產(chǎn)生一個脈沖序列的同步序列發(fā)生器。 便攜鑰匙鏈式的安全令牌，和帳號綁定之后，按一下就會顯示你目前的登入 PIN碼（用戶名與密碼依然是登入的前提），這個 PIN碼叫做瞬時密碼，而且這個瞬時密碼每隔 60秒會更換一次，換個方法講，沒有這個東西，你就進不去游戲了。 ? 令牌有點像一個小計算器，粗略一看也有點像汽車的遙控器，所有的令牌差不多都有一個處理器，一個液晶屏和一個電池，有些令牌還有供用戶輸入信息的小鍵盤和一個時鐘。每個牌都有一個唯一的種子數(shù)，種子可確保令牌輸出唯一的代碼集。令牌產(chǎn)生的偽隨機數(shù)稱為一次性口令或者一次通行碼。 ? 用戶在訪問受保護的資源時，輸入用戶名，令牌上顯示的通行碼和 PIN，而不是口令。每個通行碼用一次后就不再使用，大多數(shù)系統(tǒng)中，認證系統(tǒng)不直接檢驗通行碼，而是讓所信任的認證服務(wù)器去做這個事情。 ? 認證服務(wù)器必須知道每個令牌的編程種子數(shù)，因為認證系統(tǒng)知道每個特定令牌的種子數(shù)后，才能檢查訪問用戶提供的偽隨機數(shù)是否正確。 ? 令牌認證是雙因素認證或者稱 2因素認證
教學課件相關(guān)推薦
鄂ICP備17016276號-1