網(wǎng)絡(luò)安全05-認(rèn)證技術(shù)(2)-wenkub
2023-02-13 12:58:52 本頁面
【正文】 性 USB接口的設(shè)備 安全握手協(xié)議的基本思想 網(wǎng)絡(luò)環(huán)境中的認(rèn)證 ? 分布式的網(wǎng)絡(luò)環(huán)境 ? 大量客戶工作站和分布在網(wǎng)絡(luò)中的服務(wù)器 ? 服務(wù)器向用戶提供各種網(wǎng)絡(luò)應(yīng)用和服務(wù) ? 用戶需要訪問分布在網(wǎng)絡(luò)不同位置上的服務(wù) ? 服務(wù)器的安全 ? 服務(wù)器需要通過授權(quán)來限制用戶對(duì)資源的訪問 ? 授權(quán)和訪問控制是建立在用戶身份認(rèn)證基礎(chǔ)上的 ? 通信安全都要求有初始認(rèn)證握手的要求 單向認(rèn)證 ? 只有通信的一方認(rèn)證另一方的身份，而沒有反向的認(rèn)證過程 ? 電子郵件 ? 不要求發(fā)送方和接收方同時(shí)在線 ? 郵件接收方對(duì)發(fā)送方進(jìn)行認(rèn)證 ? 單向認(rèn)證 不是 完善的安全措施，可以非常容易地冒充驗(yàn)證方，以欺騙被驗(yàn)證方 原始的單向認(rèn)證技術(shù) 發(fā)送方 接收方 用戶名 /密碼 發(fā)送方的用戶名和密碼通過明文方式傳送，易竊聽 接收方檢驗(yàn)用戶名和密碼，然后進(jìn)行通信，通信中沒有保密 基于密碼技術(shù)的單向認(rèn)證 ? 不再發(fā)送明文的用戶名和密碼，而是基于“挑戰(zhàn) – 響應(yīng)”方式 ? 符號(hào) ? f(KAliceBob, R)：使用 Alice和 Bob的共享秘密、按照某種規(guī)則對(duì) R做密碼變換 ? KAliceBob{R}：使用 KAliceBob作為共享密鑰，基于秘密密鑰算法對(duì) R進(jìn)行加密 ? h(KAliceBob, R)：計(jì)算 R和 KAliceBob的哈希值 ? [R]Alice： Alice使用私鑰對(duì)數(shù)據(jù) R簽名 ? {R}Alice：使用 Alice的公鑰對(duì)數(shù)據(jù) R加密 基于共享秘密的單向認(rèn)證技術(shù) 1 Alice Bob I am Alice 挑戰(zhàn) R f(KAliceBob, R) 偵聽者可以看到 R和 f(KAliceBob, R)，但是不能計(jì)算出 KAliceBob 不要求 f 可逆，因此 f 可以是一個(gè)哈希函數(shù) 偵聽者掌握 R和 f(KAliceBob, R)后，可以進(jìn)行離線口令猜解 攻取 Bob的數(shù)據(jù)庫，則可以冒充 Alice 基于共享秘密的單向認(rèn)證技術(shù) 2 Alice Bob I am Alice KAliceBob{ R} R 偵聽者可以看到 R和 f(KAliceBob, R)，但是不能計(jì)算出 KAliceBob 如果 R是一個(gè)有格式的數(shù)據(jù)且具有有限時(shí)效，則 Alice可以認(rèn)證 Bob，防止假冒 要求可逆的密碼算法 偵聽者掌握 R和 f(KAliceBob, R)后，可以進(jìn)行離線口令猜解 攻取 Bob的數(shù)據(jù)庫，則可以冒充 Alice 基于共享秘密的單向認(rèn)證技術(shù) 3 Alice Bob I am Alice, KAliceBob{ timestamp} timestamp是時(shí)戳（當(dāng)前時(shí)間）。 Bob解密結(jié)果，當(dāng)結(jié)果在一定時(shí)差內(nèi)，則 Alice通過認(rèn)證 高效：只需要一條消息 要求 Alice和 Bob有同步的時(shí)鐘 攻擊者若能夠調(diào)整 Bob的時(shí)間，則可以重新使用以前偵聽到的加密時(shí)戳 動(dòng)作迅速的攻擊者可以利用偵聽的加密時(shí)戳在另一臺(tái)機(jī)器上冒充 Alice 攻取 Bob的數(shù)據(jù)庫，則可以冒充 Alice 基于公鑰體制的單向認(rèn)證技術(shù) 1 Alice Bob I am Alice R [R]Alice Alice對(duì)數(shù)據(jù) R用自己的私鑰簽名， Bob用 Alice的公鑰檢驗(yàn)簽名 偵聽者無法冒充 Alice，即使他攻取了 Bob的數(shù)據(jù)庫 可以誘騙 Alice對(duì)特定數(shù)據(jù)的簽名 基于公鑰體制的單向認(rèn)證技術(shù) 2 Alice Bob I am Alice {R}Alice Bob用 Alice的公鑰加密數(shù)據(jù) R，并要求 Alice解密 偵聽者無法冒充 Alice，即使他攻取了 Bob的數(shù)據(jù)庫 如果想知道其他人發(fā)送給 Alice的加密信息，可以誘騙 Alice解密 R 雙向認(rèn)證 ? 用于通信雙方的相互認(rèn)證 ? 認(rèn)證的同時(shí)可以協(xié)商會(huì)話密鑰 基于共享秘密的雙向認(rèn)證 1 Alice Bob I am Alice R1 f(KAliceBob, R1) 基于“挑戰(zhàn) – 響應(yīng)”方式 雙方使用共享的秘密對(duì)數(shù)據(jù)進(jìn)行密碼變換，實(shí)現(xiàn)對(duì)通信對(duì)方的認(rèn)證 效率不高：消息過多 R2 f(KAliceBob, R2) 基于共享秘密的雙向認(rèn)證 2 Alice Bob I am Alice, R2 R1, f(KAliceBob, R2) 基于“挑戰(zhàn) – 響應(yīng)”方式 雙方使用共享的秘密對(duì)數(shù)據(jù)進(jìn)行密碼變換，實(shí)現(xiàn)對(duì)通信對(duì)方的認(rèn)證 效率提高：消息減少為三條 f(KAliceBob, R1) 基于共享秘密的雙向認(rèn)證 3 Alice Bob I am Alice, f(KAliceBob, timestamp) 基于“挑戰(zhàn) – 響應(yīng)”方式，使用 時(shí)戳（ timestamp） 作為挑戰(zhàn) 雙方使用共享的秘密對(duì)挑戰(zhàn)進(jìn)行密碼變換，實(shí)現(xiàn)對(duì)通信對(duì)方的認(rèn)證 效率提高：消息減少為二條 f(KAliceBob, timestamp+1) 基于公鑰技術(shù)的雙向認(rèn)證 Alice Bob I am Alice, {R2}Bob R2,{R1}Alice 基于“挑戰(zhàn) – 響應(yīng)”方式 雙方使用對(duì)方的 公鑰 加密數(shù)據(jù)，要求對(duì)方加密，實(shí)現(xiàn)對(duì)通信對(duì)方的認(rèn)證 R1 使用 KDC的認(rèn)證 1 ? 問題：假設(shè)基于秘密密鑰技術(shù)實(shí)現(xiàn)認(rèn)證 ? 如果網(wǎng)絡(luò)上有 n個(gè)節(jié)點(diǎn)，則每個(gè)節(jié)點(diǎn)都必須知道 n1個(gè)密鑰。 使用 KDC的認(rèn)證 2 Alice Bob Alice wants bob KAlice{use KAB for Bob}, Ticket to Bob=KBob{use KAB for Alice} KDC是一個(gè)存儲(chǔ)所有用戶密鑰的數(shù)據(jù)庫。如果 KDC是安全的，并且協(xié)議沒有漏洞，則認(rèn)證是安全的。這部分信息稱為訪問遠(yuǎn)程資源的 門票 。 ? 工作站可以代替用戶實(shí)施認(rèn)證。 ? TGT的作用 ? 申請(qǐng)?jiān)L問遠(yuǎn)程服務(wù)或資源的信息 ? 工作站發(fā)送 TGT給 KDC ? KDC根據(jù) TGT中的用戶名和會(huì)話密鑰，給雙方生成一個(gè)共享密鑰 Kerberos配置 ? Kerberos服務(wù)器稱為 KDC ? 每個(gè)實(shí)體都和 KDC共享一個(gè)秘密密鑰，稱為該實(shí)體的主密鑰。用戶主密鑰由口令生成。 工作站將口令轉(zhuǎn)換為 Alice的主密鑰，并用此主密鑰解密證書，得到會(huì)話密鑰。 KDC解密 TGT得到 SA，并用 SA解密認(rèn)證值，檢驗(yàn)時(shí)戳實(shí)現(xiàn)對(duì) Alice工作站的認(rèn)證。 用戶和遠(yuǎn)程節(jié)點(diǎn)的通信 工作站 解密門票得到 KAB 解密認(rèn)證值 檢驗(yàn)時(shí)戳 Ticket=KB{“ Alice” , KAB} Authenticator=KAB{timestamp} KAB{timestamp+1} Bob Alice的工作站將訪問 Bob的門票發(fā)送給 Bob，并發(fā)送一個(gè)認(rèn)證值 Bob解密門票得到 KAB和名字 Alice。 Alice可以檢驗(yàn)時(shí)戳實(shí)現(xiàn)對(duì) Bob的認(rèn)證。 PKI的內(nèi)容和目標(biāo) ? PKI技術(shù)以 公鑰技術(shù) 為基礎(chǔ)，以 數(shù)字證書 為媒介，結(jié)合對(duì)稱加密和非對(duì)稱加密技術(shù)，將個(gè)人、組織、設(shè)備的 標(biāo)識(shí)信息 與各自的 公鑰 捆綁在一起。 ? 一個(gè)被廣泛認(rèn)識(shí)并且被普遍接受的 相當(dāng)標(biāo)準(zhǔn)化 的結(jié)構(gòu)。 ? 似乎可
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1