信息認(rèn)證技術(shù)ppt課件(2)(已修改)
2025-05-24 06:01 本頁面
【正文】 認(rèn)證的具體實(shí)現(xiàn) ： 用戶與口令方式 ? 用戶名與口令是最簡單的認(rèn)證方式 ? 明文口令是最簡潔的數(shù)據(jù)傳輸 ， 保護(hù)口令不被泄密可以在用戶和認(rèn)證系統(tǒng)之間進(jìn)行加密 。 ? 單一加密形式下的用戶名與口令傳輸方式適合 的應(yīng)用環(huán)境 ? （ a）用戶終端可以直接連接認(rèn)證系 ? （ b）認(rèn)證數(shù)據(jù)庫不為非法用戶所獲得。 ? 認(rèn)證數(shù)據(jù)庫通常情況下不會(huì)直接存放用戶的口令，可以存放口令的 hash值或是加密值。 用戶名與口令的認(rèn)證實(shí)現(xiàn)方式 ? 用戶將口令使用認(rèn)證系統(tǒng)的公鑰加密后傳輸給認(rèn)證系統(tǒng)，認(rèn)證系統(tǒng)對加密數(shù)據(jù)解密后得到口令，對此數(shù)據(jù)做 hash（或是加密），將這一結(jié)果與數(shù)據(jù)庫中的值做比較，若數(shù)據(jù)匹配，則是合法用戶，否則不是。 用戶名與口令的認(rèn)證實(shí)現(xiàn)方式 口令數(shù)據(jù)庫的加密存儲 挑戰(zhàn) /應(yīng)答式（質(zhì)詢 /響應(yīng)式）口令（ 1/2） 挑戰(zhàn) /應(yīng)答式 （ 質(zhì)詢 /響應(yīng)式 ） 口令 ? 是目前口令認(rèn)證機(jī)制的基礎(chǔ) 。 ? 其原理適用于令牌與智能卡的認(rèn)證 。 ? 認(rèn)證一個(gè)用戶可以等同地證明這個(gè)用戶擁有某個(gè)私鑰 ， 由于認(rèn)證系統(tǒng)知道用戶的公鑰 ， 因此可以選取一個(gè)隨機(jī)數(shù)字發(fā)送給用戶 ， 用戶收到后使用自己的私鑰進(jìn)行加密 ， 然后傳遞給認(rèn)證系統(tǒng) ， 認(rèn)證者使用用戶的公鑰進(jìn)行解密 ， 然后比較解密結(jié)果是否等于隨機(jī)數(shù)字 。 挑戰(zhàn) /應(yīng)答式（質(zhì)詢 /響應(yīng)式）口令（ 2/2） 口令認(rèn)證機(jī)制存在的弊端 ? （ 1）口令的更新 （ 2）口令的記憶 （ 3）口令的概率分布 ? 人們使用的口令并非均勻隨機(jī)地分布在可能的密鑰空間。多數(shù)人出于方便的考慮，類似于 A6KX853H這樣隨機(jī)、安全的密碼總是很難進(jìn)入到我們的數(shù)字生活中。 口令認(rèn)證機(jī)制存在的弊端 ? 假設(shè)非法者能夠破譯系統(tǒng)或是通過其他途徑獲得口令數(shù)據(jù)庫，雖然口令數(shù)據(jù)庫是口令的 hash值，不能夠逆向計(jì)算求得。 ? 但是， 惡意的主動(dòng)攻擊者 完全可以利用現(xiàn)有的口令字典計(jì)算那些現(xiàn)有口令的hash值，然后對二者進(jìn)行比較，從而找到合適的匹配值。 抵抗字典式攻擊的辦法 ? 在口令的后面添加由計(jì)算機(jī)產(chǎn)生的隨機(jī)字符串，記為 salt，然后把計(jì)算得到的hash值和 salt值同時(shí)存儲到數(shù)據(jù)中。 ? 如果隨機(jī)數(shù)字 salt取的符合一定要求，比如隨機(jī)性能、長度等，能在一定程度上限制上述攻擊。 補(bǔ)充說明一 ? 安全的實(shí)現(xiàn)是有代價(jià)的。 ? 多數(shù)服務(wù)器在進(jìn)行認(rèn)證時(shí)只是存放用于進(jìn)行用戶識別的用戶 ID和口令特征的靜態(tài)認(rèn)證列表。 ? 這種方式的優(yōu)點(diǎn)是配置簡潔方便，缺點(diǎn)是破解者能夠花費(fèi)較小的代價(jià)獲得口令列表。 補(bǔ)充說明二 ? ISP服務(wù)商通常會(huì)將遠(yuǎn)程訪問服務(wù)器的共享認(rèn)證列表放在較為安全的服務(wù)器商，達(dá)到使用外部認(rèn)證或共享認(rèn)證。 ? 此種認(rèn)證的優(yōu)點(diǎn)是只需考慮一臺服務(wù)器的安全配置就可以了，因此在配置更方便的同時(shí)，認(rèn)證的安全性能提高了。 ? 直接導(dǎo)致了專用認(rèn)證服務(wù)器的產(chǎn)生， Kerberos認(rèn)證服務(wù)也是這樣一種方式。認(rèn)證服務(wù)器對用戶進(jìn)行認(rèn)證時(shí)會(huì)對整個(gè)認(rèn)證過程加密，從而避免 Hacker截取用戶的 ID與口令。 ? 利用硬件實(shí)現(xiàn)的認(rèn)證方式 ? 安全令牌 ? 智能卡 安全令牌 ? 安全性要求較高的場合使用硬件來實(shí)現(xiàn)認(rèn)證，如安全令牌。 ? 安全令牌通常是每隔固定間隔產(chǎn)生一個(gè)脈沖序列的同步序列發(fā)生器。 便攜鑰匙鏈?zhǔn)降陌踩钆疲蛶ぬ柦壎ㄖ?，按一下就?huì)顯示你目前的登入 PIN碼（用戶名與密碼依然是登入的前提），這個(gè) PIN碼叫做瞬時(shí)密碼，而且這個(gè)瞬時(shí)密碼每隔 60秒會(huì)更換一次，換個(gè)方法講，沒有這個(gè)東西，你就進(jìn)不去游戲了。 ? 令牌有點(diǎn)像一個(gè)小計(jì)算器，粗略一看也有點(diǎn)像汽車的遙控器，所有的令牌差不多都有一個(gè)處理器，一個(gè)液晶屏和一個(gè)電池，有些令牌還有供用戶輸入信息的小鍵盤和一個(gè)時(shí)鐘。每個(gè)牌都有一個(gè)唯一的種子數(shù)，種子可確保令牌輸出唯一的代碼集。令牌產(chǎn)生的偽隨機(jī)數(shù)稱為一次性口令或者一次通行碼。 ? 用戶在訪問受保護(hù)的資源時(shí)，輸入用戶名，令牌上顯示的通行碼和 PIN，而不是口令。每個(gè)通行碼用一次后就不再使用，大多數(shù)系統(tǒng)中，認(rèn)證系統(tǒng)不直接檢驗(yàn)通行碼，而是讓所信任的認(rèn)證服務(wù)器去做這個(gè)事情。 ? 認(rèn)證服務(wù)器必須知道每個(gè)令牌的編程種子數(shù)，因?yàn)檎J(rèn)證系統(tǒng)知道每個(gè)特定令牌的種子數(shù)后，才能檢查訪問用戶提供的偽隨機(jī)數(shù)是否正確。 ? 令牌認(rèn)證是雙因素認(rèn)證或者稱 2因素認(rèn)證
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1