網(wǎng)絡(luò)安全--認(rèn)證技術(shù)課件-wenkub
2023-02-13 17:04:24 本頁面
【正文】 性 USB接口的設(shè)備 安全握手協(xié)議的基本思想 網(wǎng)絡(luò)環(huán)境中的認(rèn)證 ? 分布式的網(wǎng)絡(luò)環(huán)境 ? 大量客戶工作站和分布在網(wǎng)絡(luò)中的服務(wù)器 ? 服務(wù)器向用戶提供各種網(wǎng)絡(luò)應(yīng)用和服務(wù) ? 用戶需要訪問分布在網(wǎng)絡(luò)不同位置上的服務(wù) ? 服務(wù)器的安全 ? 服務(wù)器需要通過授權(quán)來限制用戶對資源的訪問 ? 授權(quán)和訪問控制是建立在用戶身份認(rèn)證基礎(chǔ)上的 ? 通信安全都要求有初始認(rèn)證握手的要求 單向認(rèn)證 ? 只有通信的一方認(rèn)證另一方的身份，而沒有反向的認(rèn)證過程 ? 電子郵件 ? 不要求發(fā)送方和接收方同時在線 ? 郵件接收方對發(fā)送方進(jìn)行認(rèn)證 ? 單向認(rèn)證 不是 完善的安全措施，可以非常容易地冒充驗(yàn)證方，以欺騙被驗(yàn)證方 原始的單向認(rèn)證技術(shù) 發(fā)送方 接收方 用戶名 /密碼 發(fā)送方的用戶名和密碼通過明文方式傳送，易竊聽 接收方檢驗(yàn)用戶名和密碼，然后進(jìn)行通信，通信中沒有保密 基于密碼技術(shù)的單向認(rèn)證 ? 不再發(fā)送明文的用戶名和密碼，而是基于“挑戰(zhàn) – 響應(yīng)”方式 ? 符號 ? f(KAliceBob, R)：使用 Alice和 Bob的共享秘密、按照某種規(guī)則對 R做密碼變換 ? KAliceBob{R}：使用 KAliceBob作為共享密鑰，基于秘密密鑰算法對 R進(jìn)行加密 ? h(KAliceBob, R)：計(jì)算 R和 KAliceBob的哈希值 ? [R]Alice： Alice使用私鑰對數(shù)據(jù) R簽名 ? {R}Alice：使用 Alice的公鑰對數(shù)據(jù) R加密 基于共享秘密的單向認(rèn)證技術(shù) 1 Alice Bob I am Alice 挑戰(zhàn) R f(KAliceBob, R) 偵聽者可以看到 R和 f(KAliceBob, R)，但是不能計(jì)算出 KAliceBob 不要求 f 可逆，因此 f 可以是一個哈希函數(shù) 偵聽者掌握 R和 f(KAliceBob, R)后，可以進(jìn)行離線口令猜解 攻取 Bob的數(shù)據(jù)庫，則可以冒充 Alice 基于共享秘密的單向認(rèn)證技術(shù) 2 Alice Bob I am Alice KAliceBob{ R} R 偵聽者可以看到 R和 f(KAliceBob, R)，但是不能計(jì)算出 KAliceBob 如果 R是一個有格式的數(shù)據(jù)且具有有限時效，則 Alice可以認(rèn)證 Bob，防止假冒 要求可逆的密碼算法 偵聽者掌握 R和 f(KAliceBob, R)后，可以進(jìn)行離線口令猜解 攻取 Bob的數(shù)據(jù)庫，則可以冒充 Alice 基于共享秘密的單向認(rèn)證技術(shù) 3 Alice Bob I am Alice, KAliceBob{ timestamp} timestamp是時戳（當(dāng)前時間）。 Bob解密結(jié)果，當(dāng)結(jié)果在一定時差內(nèi)，則 Alice通過認(rèn)證 高效：只需要一條消息 要求 Alice和 Bob有同步的時鐘 攻擊者若能夠調(diào)整 Bob的時間，則可以重新使用以前偵聽到的加密時戳 動作迅速的攻擊者可以利用偵聽的加密時戳在另一臺機(jī)器上冒充 Alice 攻取 Bob的數(shù)據(jù)庫，則可以冒充 Alice 基于公鑰體制的單向認(rèn)證技術(shù) 1 Alice Bob I am Alice R [R]Alice Alice對數(shù)據(jù) R用自己的私鑰簽名， Bob用 Alice的公鑰檢驗(yàn)簽名 偵聽者無法冒充 Alice，即使他攻取了 Bob的數(shù)據(jù)庫 可以誘騙 Alice對特定數(shù)據(jù)的簽名 基于公鑰體制的單向認(rèn)證技術(shù) 2 Alice Bob I am Alice {R}Alice Bob用 Alice的公鑰加密數(shù)據(jù) R，并要求 Alice解密 偵聽者無法冒充 Alice，即使他攻取了 Bob的數(shù)據(jù)庫 如果想知道其他人發(fā)送給 Alice的加密信息，可以誘騙 Alice解密 R 雙向認(rèn)證 ? 用于通信雙方的相互認(rèn)證 ? 認(rèn)證的同時可以協(xié)商會話密鑰 基于共享秘密的雙向認(rèn)證 1 Alice Bob I am Alice R1 f(KAliceBob, R1) 基于“挑戰(zhàn) – 響應(yīng)”方式 雙方使用共享的秘密對數(shù)據(jù)進(jìn)行密碼變換，實(shí)現(xiàn)對通信對方的認(rèn)證 效率不高：消息過多 R2 f(KAliceBob, R2) 基于共享秘密的雙向認(rèn)證 2 Alice Bob I am Alice, R2 R1, f(KAliceBob, R2) 基于“挑戰(zhàn) – 響應(yīng)”方式 雙方使用共享的秘密對數(shù)據(jù)進(jìn)行密碼變換，實(shí)現(xiàn)對通信對方的認(rèn)證 效率提高：消息減少為三條 f(KAliceBob, R1) 基于共享秘密的雙向認(rèn)證 3 Alice Bob I am Alice, f(KAliceBob, timestamp) 基于“挑戰(zhàn) – 響應(yīng)”方式，使用 時戳（ timestamp） 作為挑戰(zhàn) 雙方使用共享的秘密對挑戰(zhàn)進(jìn)行密碼變換，實(shí)現(xiàn)對通信對方的認(rèn)證 效率提高：消息減少為二條 f(KAliceBob, timestamp+1) 基于公鑰技術(shù)的雙向認(rèn)證 Alice Bob I am Alice, {R2}Bob R2,{R1}Alice 基于“挑戰(zhàn) – 響應(yīng)”方式 雙方使用對方的 公鑰 加密數(shù)據(jù)，要求對方加密，實(shí)現(xiàn)對通信對方的認(rèn)證 R1 使用 KDC的認(rèn)證 1 ? 問題：假設(shè)基于秘密密鑰技術(shù)實(shí)現(xiàn)認(rèn)證 ? 如果網(wǎng)絡(luò)上有 n個節(jié)點(diǎn)，則每個節(jié)點(diǎn)都必須知道 n1個密鑰。 使用 KDC的認(rèn)證 2 Alice Bob Alice wants bob KAlice{use KAB for Bob}, Ticket to Bob=KBob{use KAB for Alice} KDC是一個存儲所有用戶密鑰的數(shù)據(jù)庫。如果 KDC是安全的，并且協(xié)議沒有漏洞，則認(rèn)證是安全的。這部分信息稱為訪問遠(yuǎn)程資源的 門票 。 ? 工作站可以代替用戶實(shí)施認(rèn)證。 ? TGT的作用 ? 申請?jiān)L問遠(yuǎn)程服務(wù)或資源的信息 ? 工作站發(fā)送 TGT給 KDC ? KDC根據(jù) TGT中的用戶名和會話密鑰，給雙方生成一個共享密鑰 Kerberos配置 ? Kerberos服務(wù)器稱為 KDC ? 每個實(shí)體都和 KDC共享一個秘密密鑰，稱為該實(shí)體的主密鑰。用戶主密鑰由口令生成。 工作站將口令轉(zhuǎn)換為 Alice的主密鑰，并用此主密鑰解密證書，得到會話密鑰。 KDC解密 TGT得到 SA，并用 SA解密認(rèn)證值，檢驗(yàn)時戳實(shí)現(xiàn)對 Alice工作站的認(rèn)證。 用戶和遠(yuǎn)程節(jié)點(diǎn)的通信 工作站 解密門票得到 KAB 解密認(rèn)證值 檢驗(yàn)時戳 Ticket=KB{“ Alice” , KAB} Authenticator=KAB{timestamp} KAB{timestamp+1} Bob Alice的工作站將訪問 Bob的門票發(fā)送給 Bob，并發(fā)送一個認(rèn)證值 Bob解密門票得到 KAB和名字 Alice。 Alice可以檢驗(yàn)時戳實(shí)現(xiàn)對 Bob的認(rèn)證。 PKI的內(nèi)容和目標(biāo) ? PKI技術(shù)以 公鑰技術(shù) 為基礎(chǔ)，以 數(shù)字證書 為媒介，結(jié)合對稱加密和非對稱加密技術(shù)，將個人、組織、設(shè)備的 標(biāo)識信息 與各自的 公鑰 捆綁在一起。 ? 一個被廣泛認(rèn)識并且被普遍接受的 相當(dāng)標(biāo)準(zhǔn)化 的結(jié)構(gòu)。 ? 似乎可
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1