信息安全導(dǎo)論課程-ch14-認(rèn)證應(yīng)用系統(tǒng)-全文預(yù)覽
【正文】 server (TGS) ? certificate B 小結(jié) ? Kerberos適合在 LAN上使用， Windows域就是用的它。 ? Certificate 證書印象 ? PKI/ ? CA in Win2k ? EJBCA B Certificate 證書印象 ? 證書是可靠發(fā)布公鑰的載體 –公鑰及其持有人信息 ? 其他信息 (用途、有效期、 ) –簽發(fā)人及其簽名 (對上面信息 ) ? 例子解析見備注行 m s roo t 證書 . c e rB ? 分發(fā)公鑰 ? 證書格式 –內(nèi)容、格式和編碼、簽名 ? 鑒別協(xié)議 – X509中推薦的協(xié)議 ? 應(yīng)用 – IPSec、 SSL/TLS、 SET、 S/MIME、 PGP、 … ? RFC 2459 – Inter Public Key Infrastructure Certificate and CRL Profile B 從公鑰到證書 ? 審核 B 證書格式 ? 版本 ? 序列號 ? 簽名算法標(biāo)識 其參數(shù) ? 簽發(fā)者名字 ? 不早于，不遲于 ? 主題名 (持有人名 ) ? 算法標(biāo)識 其參數(shù) 公鑰 ? 簽發(fā)人標(biāo)識 (重名 ) ? 持有人標(biāo)識 ? 擴(kuò)展 ? 簽名算法 參數(shù) 簽名 B X509v3 擴(kuò)展 ? V3以可選擴(kuò)展項的形式體現(xiàn) ? (擴(kuò)展名字，值，是否可忽略 ) – 密鑰標(biāo)識符 – 密鑰用途 ? 簽名、加密、密鑰交換、 CA等組合 – 私鑰使用期限 ? 對應(yīng)的公鑰一般有更長的期限以用于驗證 – 策略信息等 – 頒發(fā)者和持有人的更多信息 – 證書路徑的約束信息 ? 編碼解析 openssl asn1parse in dump B 證書中心 CA ? Certificate Authority – 權(quán)威的證書簽發(fā)者 ? 接受請求、審核、 (收費(fèi) )、簽發(fā) – 商業(yè) CA機(jī)構(gòu) ? Certificate Request – 申請人產(chǎn)生自己的公鑰 (私鑰 ) – 提交 PKCS10格式的申請 ? 公鑰、自己的身份信息，用戶自己的簽名 ? 審核頒發(fā) – 面對面的交涉 。 – Kerberos 客戶端安裝在每個工作站和服務(wù)器上。 (4)客戶向請求的網(wǎng)絡(luò)服務(wù)出示服務(wù)票證。 B – Kerberos V5 身份驗證過程按如下方式工作： (1)客戶端上的用戶使用密碼或智能卡向 KDC 進(jìn)行身份驗證。這些票證包含加密的數(shù)據(jù)，其中包括加密的密碼，用于向請求的服務(wù)確定用戶的身份。因為 TGT 對于用戶的登錄會話活動通常是有效的，它有時稱為“用戶票證”。 ? 票證 – 用于安全原則的標(biāo)識數(shù)據(jù)集，是為了進(jìn)行用戶身份驗證而由域控制器發(fā)行的。 ? PKI/CA好像是解決電子商務(wù)安全的正確道路。后期Kerberos也開始支持公鑰，使用證書。 B Kerberos ? LAN上的安全 ? Kerberos ? Kerberos in Windows ? Kerberos in Linux B LAN上安全 ? 服務(wù)器、工作站、用戶 – 用戶使用工作站訪問服務(wù)器資源 ? 局域網(wǎng)上安全問題 – 竊聽導(dǎo)致泄密 – 重放攻擊 – 假冒用戶，用戶盜用工作站 – 假冒工作站，工作站地址被盜用 ? 對應(yīng)的可能安全方法 – 工作站核認(rèn)用戶身份 工作站向服務(wù)器證實自己的身份 (信任用戶身份 ) – 用戶和服務(wù)器相互認(rèn)證 /鑒別 B Kerberos動機(jī) ? 目標(biāo) –防竊聽，防假冒 –透明，只要輸入一個口令 –可靠，合法性的唯一標(biāo)識依據(jù)就是獲得 KB訪問 –可擴(kuò)展伸縮性，適應(yīng)模塊化和分布式 ? 服務(wù) –鑒別 Authentication –授權(quán) Authorization –記帳 Accounting B Kerberos B 閱讀 B Kerberos v4的啟發(fā)協(xié)議 ? V4 核心舉例 – C是客戶、 V是服務(wù)器、 AS是鑒別服務(wù)器 – C － AS： IDc＋ Pc＋ IDv， Pc是 c的口令 – C － AS： Ticket ＝ Ekv(IDc＋ ADc＋ IDv) ? ADc是 C的網(wǎng)絡(luò)地址， kv是 AS和 V的共享密鑰 – C － V ： IDc＋ Ticket ? 問題 – Pc的明文傳輸 –用戶口令的一次輸入，重復(fù)使用 –票據(jù)的生存周期 –對服務(wù)器的鑒別 B Kerberos v4 Overview ? B Kerberos v4 ? 請求域間服務(wù) B Kerberos v4 Message ? B Kerberos v5 ? 改進(jìn) – 不僅依賴于 DES – 不僅使用 IP協(xié)議 – 使用 – 擴(kuò)展了票據(jù)有效期 – 鑒別的轉(zhuǎn)發(fā) (代理 /轉(zhuǎn)讓 ) – 加強(qiáng)了領(lǐng)域間的鑒別能力 – 省去了不必要的雙重加密 – PCBC－ CBC – 增強(qiáng)了抗口令攻擊的能力 – 增加了一票據(jù)對會話密鑰的能力 B Kerberos v5 Message B Kerberos中的 passwd、 key、 enc ? passwd ? key n個字符的串 ?7n個比特序列 ?往返 56b折疊并 xor ? 56b
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1