4身份認(rèn)證和訪問(wèn)控制(武漢大學(xué)國(guó)際軟件學(xué)院信息安全課程)(已修改)
2025-03-17 10:54 本頁(yè)面
【正文】 1 信息安全 身份認(rèn)證和訪問(wèn)控制 楊敏 武漢大學(xué) 國(guó)際軟件學(xué)院 武漢大學(xué)國(guó)際軟件學(xué)院 2 ? 身份認(rèn)證的基本概念 ? 身份認(rèn)證機(jī)制 ? 訪問(wèn)控制的基本概念 ? 訪問(wèn)控制實(shí)現(xiàn)方法 ? 訪問(wèn)控制策略 主要內(nèi)容 武漢大學(xué)國(guó)際軟件學(xué)院 3 身份認(rèn)證 ? The property that ensures that the identity of a subject or resource is the one claimed. ? 身份認(rèn)證就是確認(rèn)實(shí)體是它所聲明的。 ? 身份認(rèn)證是最重要的安全服務(wù)之一。實(shí)體的身份認(rèn)證服務(wù)提供了關(guān)于某個(gè)實(shí)體身份的保證。（所有其它的安全服務(wù)都依賴(lài)于該服務(wù)） ? 身份認(rèn)證可以對(duì)抗假冒攻擊的危險(xiǎn) 武漢大學(xué)國(guó)際軟件學(xué)院 4 身份認(rèn)證的需求和目的 ? 身份認(rèn)證需求： ? 某一成員（聲稱(chēng)者）提交一個(gè)主體的身份并聲稱(chēng)它是那個(gè)主體。 ? 身份認(rèn)證目的： ? 使別的成員（驗(yàn)證者）獲得對(duì)聲稱(chēng)者所聲稱(chēng)的事實(shí)的信任。 武漢大學(xué)國(guó)際軟件學(xué)院 5 身份認(rèn)證分類(lèi) ? 身份認(rèn)證可以分為本地和遠(yuǎn)程兩類(lèi)。 ? 本地身份認(rèn)證 （單機(jī)環(huán)境）：實(shí)體在本地環(huán)境的初始化鑒別（就是說(shuō)，作為實(shí)體個(gè)人，和設(shè)備物理接觸，不和網(wǎng)絡(luò)中的其他設(shè)備通信）。 ? 需要用戶進(jìn)行明確的操作 ? 遠(yuǎn)程身份認(rèn)證 （網(wǎng)絡(luò)環(huán)境）：連接遠(yuǎn)程設(shè)備、實(shí)體和環(huán)境的實(shí)體鑒別。 ? 通常將本地鑒別結(jié)果傳送到遠(yuǎn)程。 ? （ 1）安全 ? （ 2）易用 武漢大學(xué)國(guó)際軟件學(xué)院 6 身份認(rèn)證分類(lèi) ? 身份認(rèn)證可以是單向的也可以是雙向的。 ? 單向認(rèn)證 是指通信雙方中只有一方向另一方進(jìn)行鑒別。 ? 雙向認(rèn)證 是指通信雙方相互進(jìn)行鑒別。 武漢大學(xué)國(guó)際軟件學(xué)院 7 身份認(rèn)證 ? 進(jìn)行身份認(rèn)證的幾種依據(jù) ? 用戶所知道的 ： 密碼、口令 ? 用戶所擁有的： 身份證、護(hù)照、信用卡、鑰匙 ? 用戶本身的特征： 指紋、筆跡、聲紋、手型、血型、視網(wǎng)膜、虹膜、 DNA以及個(gè)人動(dòng)作方面的一些特征 武漢大學(xué)國(guó)際軟件學(xué)院 8 主要內(nèi)容 ? 身份認(rèn)證的基本概念 ? 身份認(rèn)證機(jī)制 ? 訪問(wèn)控制的基本概念 ? 訪問(wèn)控制實(shí)現(xiàn)方法 ? 訪問(wèn)控制策略 武漢大學(xué)國(guó)際軟件學(xué)院 9 常用的身份認(rèn)證機(jī)制 ? A. 口令機(jī)制 ? B. 一次性口令機(jī)制 ? C. 基于智能卡的機(jī)制 ? D. 基于個(gè)人特征的機(jī)制 武漢大學(xué)國(guó)際軟件學(xué)院 10 ? 常規(guī)的口令方案中的口令是不隨時(shí)間變化的口令，該機(jī)制提供 弱鑒別 (weak authentication)。 ? 口令或通行字機(jī)制是最廣泛研究和使用的身份鑒別法。 ? 口令系統(tǒng)有許多脆弱點(diǎn) ? 外部泄露 ? 口令猜測(cè) ? 線路竊聽(tīng) ? 重放 武漢大學(xué)國(guó)際軟件學(xué)院 11 對(duì)付外部泄露的措施 ? ? 教育、培訓(xùn)； ? ? 嚴(yán)格組織管理辦法和執(zhí)行手續(xù)； ? ? 口令定期改變； ? ? 每個(gè)口令只與一個(gè)人有關(guān)； ? ? 輸入的口令不再現(xiàn)在終端上； ? ? 使用易記的口令，不要寫(xiě)在紙上。 武漢大學(xué)國(guó)際軟件學(xué)院 12 對(duì)付口令猜測(cè)的措施 ? ? 教育、培訓(xùn)； ? ? 嚴(yán)格限制非法登錄的次數(shù)； ? ? 口令驗(yàn)證中插入實(shí)時(shí)延遲； ? ? 限制最小長(zhǎng)度，至少 6~8字節(jié)以上 ? ? 防止用戶特征相關(guān)口令， ? ? 口令定期改變； ? ? 及時(shí)更改預(yù)設(shè)口令； ? ? 使用機(jī)器產(chǎn)生的口令。 武漢大學(xué)國(guó)際軟件學(xué)院 13 強(qiáng)壯口令應(yīng)符合的規(guī)則 個(gè)人名字或呢稱(chēng) 電話號(hào)碼、生日等敏感信息 輸入 8字符以上口令 記錄于紙上或放置于辦公處 使用重復(fù)的字符 ? X X X X + + + + =強(qiáng)壯的口令 武漢大學(xué)國(guó)際軟件學(xué)院 14 對(duì)付線路竊聽(tīng)的措施 ? 使用保護(hù)口令機(jī)制：如單向函數(shù)。 ? 對(duì)于每個(gè)用戶，系統(tǒng)將帳戶和散列值對(duì)存儲(chǔ)在一個(gè)口令文件中，當(dāng)用戶輸入口令 x，系統(tǒng)計(jì)算其散列值 H(x)，然后將該值與口令文件中相應(yīng)的散列值比較，若相同則允許登錄。 ? 安全性?xún)H依賴(lài)于口令 武漢大學(xué)國(guó)際軟件學(xué)院 15 ? 近似的強(qiáng)鑒別 （ towards strong authentication) ? 一次性口令機(jī)制確保在每次認(rèn)證中所使用的口令不同，以對(duì)付重放攻擊。 武漢大學(xué)國(guó)際軟件學(xué)院 16 雙因素動(dòng)態(tài)口令卡 ? 雙因素動(dòng)態(tài)口令卡 ? 基于密鑰 /時(shí)間雙因素的身份認(rèn)證機(jī)制； ? 用戶登錄口令隨時(shí)間變化，口令一次性使用，無(wú)法預(yù)測(cè)，可以有效抵御密碼竊取和重放攻擊行為 武漢大學(xué)國(guó)際軟件學(xué)院 17 雙因素動(dòng)態(tài)口令卡 ? 相關(guān)產(chǎn)品 ? 如 Security Dynamics公司的 SecureID設(shè)備 ? 基于時(shí)間同步的動(dòng)態(tài)密碼認(rèn)證系統(tǒng) RSA SecureID ? 美國(guó) Axend(現(xiàn)被 Symantec公司兼并 )是較早推出雙因素身份認(rèn)證系統(tǒng)的公司。 ? 我國(guó)一些信息技術(shù)公司也相繼推出了動(dòng)態(tài)口令認(rèn)證系統(tǒng)。如網(wǎng)泰金安信息技術(shù)公司、北京億青創(chuàng)新信息技術(shù)有限公司、 四川安盟電子信息安全有限公司 等。 武漢大學(xué)國(guó)際軟件學(xué)院 18 雙因素動(dòng)態(tài)口令卡 舉例 ? 北京億青創(chuàng)新信息技術(shù)有限公司 易碼通（ EasyPass）動(dòng)態(tài)口令系統(tǒng)。 ? 動(dòng)態(tài)口令卡是發(fā)給每個(gè)用戶的動(dòng)態(tài)口令發(fā)生器，通過(guò)同步信任認(rèn)證算法，以時(shí)間為參數(shù)，每隔 1664秒產(chǎn)生一個(gè)一次性使用的“動(dòng)態(tài)口令”。 武漢大學(xué)國(guó)際軟件學(xué)院 19 雙因素動(dòng)態(tài)口令卡 舉例 Login: JSMITH Passcode: 2468 723656 PIN TOKENCODE 令牌碼 : 每 60秒變化一次 唯一的 64bit 種子 內(nèi)部電池 與 UCT
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1