《信息認(rèn)證技術(shù)》ppt課件 (2)-全文預(yù)覽
【正文】 碼的必需的邏輯性。當(dāng)反復(fù)計(jì)算的降到 1時(shí)， S／key必須被重新初始化 S／ key系統(tǒng)中的四個(gè)程序 ? 有四個(gè)程序被包含在 S／ key系統(tǒng)中。 ? 另外， S／ key系統(tǒng)操作完全獨(dú)立于 unix password系統(tǒng)。 S／ key系統(tǒng)的優(yōu)缺點(diǎn) ? 優(yōu)點(diǎn) ? 實(shí)現(xiàn)原理簡單 ? 缺點(diǎn) ? 會(huì)給使用帶來一點(diǎn)麻煩（如口令使用一定次數(shù)后就需重新初始化）。 用戶如何使用 S／ key系統(tǒng)（二） ? 計(jì)算 N－ 1次后形成本次口令，當(dāng)本次口令送給計(jì)算機(jī)時(shí)，計(jì)算機(jī)將所得的口令通過該算法計(jì)算一次，并將結(jié)果與計(jì)算機(jī)保存的上一個(gè)結(jié)果比較，若相同，則身份驗(yàn)證通過，而且將本次用戶的輸入保留，作為下一次用于比較的值。 S／ key認(rèn)證方式說明 ? 一般的 S／ key系統(tǒng)是基于一些不可逆算法的（如 MD4和 MD5），也就是說這一類算法如果擁有源數(shù)據(jù)，正向計(jì)算出結(jié)果速度很快。 ? 用戶使用的源口令永遠(yuǎn)也不會(huì)在網(wǎng)絡(luò)上傳輸，包括登錄時(shí)或其它需要口令的情形，這樣就可以保護(hù)用戶的帳戶和口令不會(huì)因此而被竊取。 雙向認(rèn)證 ? 單向認(rèn)證， ? 默認(rèn)通信方 A對(duì) B的檢驗(yàn) ? 在通信中，需要確定和你進(jìn)行通信對(duì)話的人是 Alice而不是 Bob，有必要也對(duì)對(duì)方進(jìn)行驗(yàn)證，雙方互相進(jìn)行驗(yàn)證的這種方式我們稱為雙向認(rèn)證 ? 目前實(shí)用的認(rèn)證方式有 ? S／ key ? 防止竊聽和竊取，但實(shí)現(xiàn)有困難 ? Kerberos ? Radius ? Kerberos和 Radius認(rèn)證方式都是在服務(wù)器和客戶機(jī)都支持相應(yīng)的認(rèn)證方式的條件下才能使用，因而需要復(fù)雜的設(shè)置。 雙要素認(rèn)證 ? 我們進(jìn)行驗(yàn)證時(shí)考慮使用驗(yàn)證者的某個(gè)屬性或是共知信息，如果單獨(dú)使用某個(gè)方面無法體現(xiàn)安全的要求，就考慮使用驗(yàn)證者的多個(gè)信息來實(shí)現(xiàn)。在這種方式下，智能卡提供了一種非常安全的方式以進(jìn)行用戶認(rèn)證、交互式登錄、代碼簽名和安全 傳送等。 使用散列算法而不是加密算法主要是散列算法容易實(shí)現(xiàn)而且需要的 CPU資源比加密 運(yùn)算少，這對(duì)低當(dāng)?shù)牧钆铺幚砥鳂O為有利，即節(jié)省成本又延長電池壽命。如果匹配成功后，服務(wù)器記錄下令牌與服務(wù)器時(shí)間的偏移量。 概念解釋 — 時(shí)間令牌 ? 時(shí)間令牌 ? 令牌和認(rèn)證服務(wù)器共同擁有一個(gè)相同的隨機(jī)種子，認(rèn)證時(shí)雙方將當(dāng)前時(shí)間和隨機(jī)種子做加密或是 hash運(yùn)算，然后有認(rèn)證服務(wù)器對(duì)這一結(jié)果進(jìn)行校驗(yàn)比較。 示例 ? 完全通過人為的管理是不現(xiàn)實(shí)的，所以對(duì)每個(gè)用戶配置一個(gè)令牌。 ? 用戶在訪問受保護(hù)的資源時(shí)，輸入用戶名，令牌上顯示的通行碼和 PIN，而不是口令。 便攜鑰匙鏈?zhǔn)降陌踩钆?，和帳?hào)綁定之后，按一下就會(huì)顯示你目前的登入 PIN碼（用戶名與密碼依然是登入的前提），這個(gè) PIN碼叫做瞬時(shí)密碼，而且這個(gè)瞬時(shí)密碼每隔 60秒會(huì)更換一次，換個(gè)方法講，沒有這個(gè)東西，你就進(jìn)不去游戲了。 ? 直接導(dǎo)致了專用認(rèn)證服務(wù)器的產(chǎn)生， Kerberos認(rèn)證服務(wù)也是這樣一種方式。 ? 多數(shù)服務(wù)器在進(jìn)行認(rèn)證時(shí)只是存放用于進(jìn)行用戶識(shí)別的用戶 ID和口令特征的靜態(tài)認(rèn)證列表。 ? 但是， 惡意的主動(dòng)攻擊者 完全可以利用現(xiàn)有的口令字典計(jì)算那些現(xiàn)有口令的hash值，然后對(duì)二者進(jìn)行比較，從而找到合適的匹配值。 ? 認(rèn)證一個(gè)用戶可以等同地證明這個(gè)用戶擁有某個(gè)私鑰 ， 由于認(rèn)證系統(tǒng)知道用戶的公鑰 ， 因此可以選取一個(gè)隨機(jī)數(shù)字發(fā)送給用戶 ， 用戶收到后使用自己的私鑰進(jìn)行加密 ， 然后傳遞給認(rèn)證系統(tǒng) ， 認(rèn)證者使用用戶的公鑰進(jìn)行解密 ， 然后比較解密結(jié)果是否等于隨機(jī)數(shù)字 。 ? 認(rèn)證數(shù)據(jù)庫通常情況下不會(huì)直接存放用戶的口令，可以存放口令的 hash值或是加密值。 ? 單一加密形式下的用戶名與口令傳輸方式適合 的應(yīng)用環(huán)境 ? （ a）用戶終端可以直接連接認(rèn)證系 ? （ b）認(rèn)證數(shù)據(jù)庫不為非法用戶所獲得。 ? 其原理適用于令牌與智能卡的認(rèn)證 。 口令認(rèn)證機(jī)制存在的弊端 ? 假設(shè)非法者能夠破譯系統(tǒng)或是通過其他途徑獲得口令數(shù)據(jù)庫，雖然口令數(shù)據(jù)庫是口令的 hash值，不能夠逆向計(jì)算求得。 補(bǔ)充說明一 ? 安全的實(shí)現(xiàn)是有代價(jià)的。 ? 此種認(rèn)證的優(yōu)點(diǎn)是只需考慮一臺(tái)服務(wù)器的安全配置就可以了，因此在配置更方便的同時(shí)，認(rèn)證的安全性能提高了。 ? 安全令牌通常是每隔固定間隔產(chǎn)生一個(gè)脈沖序列的同步序列發(fā)生器。令牌產(chǎn)生的偽隨機(jī)數(shù)稱為一次性口令或者一次通行碼。 ? 令牌認(rèn)證
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1