網(wǎng)絡(luò)安全--認(rèn)證技術(shù)課件-文庫(kù)吧在線文庫(kù)
【正文】 Bob I am Alice KAliceBob{ R} R 偵聽(tīng)者可以看到 R和 f(KAliceBob, R)，但是不能計(jì)算出 KAliceBob 如果 R是一個(gè)有格式的數(shù)據(jù)且具有有限時(shí)效，則 Alice可以認(rèn)證 Bob，防止假冒 要求可逆的密碼算法 偵聽(tīng)者掌握 R和 f(KAliceBob, R)后，可以進(jìn)行離線口令猜解 攻取 Bob的數(shù)據(jù)庫(kù)，則可以冒充 Alice 基于共享秘密的單向認(rèn)證技術(shù) 3 Alice Bob I am Alice, KAliceBob{ timestamp} timestamp是時(shí)戳（當(dāng)前時(shí)間）。 Alice解密得到 KAB，并把用 Bob的密鑰加密的 KAB發(fā)送給 Bob Alice和 Bob可以基于 KAB實(shí)現(xiàn)雙向認(rèn)證 f(KAliceBob, R2) KDC 生成密鑰 KAB Kerberos認(rèn)證協(xié)議 網(wǎng)絡(luò)環(huán)境的認(rèn)證需求 ? 分布式網(wǎng)絡(luò)環(huán)境 ? 服務(wù)器 +工作站 ? 服務(wù)器向用戶提供各種網(wǎng)絡(luò)應(yīng)用的服務(wù) ? 用戶需要訪問(wèn)分布在網(wǎng)絡(luò)上的、不同位置的服務(wù)（或資源） ? 服務(wù)器的安全 ? 服務(wù)器需要授權(quán)技術(shù)來(lái)限制用戶對(duì)資源的訪問(wèn) ? 授權(quán)和訪問(wèn)控制建立在對(duì)用戶身份認(rèn)證的基礎(chǔ)之上 Kerberos認(rèn)證服務(wù) ? Kerberos：一種基于 對(duì)稱密鑰 、在網(wǎng)絡(luò)上實(shí)施 身份認(rèn)證 的服務(wù) ? 身份認(rèn)證作為網(wǎng)絡(luò)上一種標(biāo)準(zhǔn)的安全服務(wù)來(lái)提供 ? 能夠?qū)崿F(xiàn)用戶和服務(wù)器之間的雙向認(rèn)證 ? 集中式的認(rèn)證服務(wù) ? 通過(guò)運(yùn)行在網(wǎng)絡(luò)中某個(gè)安全節(jié)點(diǎn)的密鑰分發(fā)中心（ KDC，又稱為認(rèn)證服務(wù)器）提供認(rèn)證服務(wù) ? 用戶能夠用用戶名和口令登錄工作站，工作站使用用戶名和密碼與 KDC聯(lián)系，代替用戶獲得使用遠(yuǎn)程資源所需要的信息 ? Kerberos v4 and Kerberos v5 ? 相互競(jìng)爭(zhēng)市場(chǎng)， v4用戶量大 Kerberos特征 ? 提供一種基于可信第三方的認(rèn)證服務(wù) ? KDC作為第三方，若用戶與服務(wù)器都信任 KDC，則 Kerberos就可以實(shí)現(xiàn)用戶與服務(wù)器之間的雙向鑒別。從登錄到登出這一段時(shí)間稱為一個(gè) 登錄會(huì)話 。 ? 用戶使用用戶名和口令登錄工作站，工作站代替用戶向 KDC申請(qǐng)?jiān)L問(wèn)網(wǎng)絡(luò)服務(wù)的門(mén)票。認(rèn)證值是用會(huì)話密鑰 SA加密當(dāng)前時(shí)間，證明工作站知道會(huì)話密鑰。 為了實(shí)現(xiàn)雙向認(rèn)證， Bob將他加密得到的認(rèn)證值加 1，使用 KAB加密并發(fā)回。 PKI的理解 ? 基于 公開(kāi)密鑰理論和技術(shù) 建立起來(lái)的安全體系。 ? PKI的應(yīng)用涉及電子商務(wù)、電子政務(wù)、電子事務(wù)等諸多領(lǐng)域， PKI具有非常廣闊的市場(chǎng)應(yīng)用前景。 ? 認(rèn)證機(jī)構(gòu)標(biāo)識(shí)：頒發(fā)該證書(shū)的機(jī)構(gòu)惟一的 。 ? 任何具有證書(shū)授權(quán)中心（ certificate authority, CA）公鑰的用戶都可以驗(yàn)證證書(shū)有效性。 ? PKI應(yīng)用接口系統(tǒng) ? 為各種各樣的應(yīng)用提供安全、一致、可信任的方式與 PKI交互，確保所建立起來(lái)的網(wǎng)絡(luò)環(huán)境安全可靠，并降低管理成本。 ? PKI管理協(xié)議包括 PKI CMP、消息格式、 CMMF、PKCS10。 CA的概念 ? 認(rèn)證中心： CA負(fù)責(zé)簽發(fā)證書(shū)和管理證書(shū)，對(duì)證書(shū)的真實(shí)性負(fù)責(zé)，是 PKI的核心。 ? 證書(shū)管理服務(wù)器 ? 主要完成證書(shū)的生成、作廢等操作控制。 ? 接受最終用戶數(shù)字證書(shū)的查詢、撤銷。 ? 但有的系統(tǒng)中，將 RA合并在 CA中。 ? 在注冊(cè)初始化和證書(shū)獲得階段產(chǎn)生共享秘密。 ? CA生成證書(shū)。OCSP使用證書(shū)序列號(hào)、 CA名稱和公開(kāi)密鑰的散列值作為 關(guān)鍵字查詢 目標(biāo)的證書(shū)。 數(shù)字證書(shū)的應(yīng)用（ 2） ? B收到 A傳送過(guò)來(lái)的密文和加過(guò)密的 DES密鑰，先用自己的私鑰對(duì)加密的 DES密鑰進(jìn)行解密，得到 DES密鑰。 ? 證書(shū)庫(kù)難于維護(hù)，難于滿足實(shí)際性能的需求。 ? 證書(shū)狀態(tài)的在線查詢（ＯＣＳＰ）：比ＣＲＬ更具有時(shí)效性。 網(wǎng)狀模型 CA A B 橋 橋 B 橋 A A 橋 B 橋 A 橋 B 橋 橋 A 橋 B 小結(jié) CA的主要職責(zé) ? 證書(shū)的結(jié)構(gòu)，如何實(shí)現(xiàn)用戶身份與其公鑰的綁定。 ? B用相同的 hash算法對(duì)收到的明文再進(jìn)行一次 hash運(yùn)算，得到一個(gè)新的信息摘要。 ? A用自己的私鑰對(duì)信息摘要進(jìn)行加密得到 A的數(shù)字簽名，并將其附在數(shù)字信息上。 ? 檢查該證書(shū)的預(yù)期用途是否符合 CA在該證書(shū)中指定的所有策略限制。 ? 開(kāi)始密鑰恢復(fù)處理。 ? 確定主體所提供信息的有效性。 ? 歷史數(shù)據(jù)歸檔。 CA的核心功能 ? 接受驗(yàn)證最終用戶數(shù)字證書(shū)的申請(qǐng)。 CA還全面負(fù)責(zé) CA服務(wù)和 CA運(yùn)行。 CA的簡(jiǎn)介 ? CA機(jī)構(gòu)，又稱為證書(shū)認(rèn)證 (Certificate Authority)中心，作為電子交易中受信任的第三方，承擔(dān)公鑰體系中 公鑰的合法性檢驗(yàn) 的責(zé)任。 ? 注冊(cè)機(jī)構(gòu)和本地注冊(cè)機(jī)構(gòu) RA：證書(shū)發(fā)放審核部件 ， 接受個(gè)人申請(qǐng)，對(duì)證書(shū)申請(qǐng)者進(jìn)行資格審查并發(fā)送給 CA。主要負(fù)責(zé)產(chǎn)生、分配并管理所有參與網(wǎng)上交易的實(shí)體所需的身份認(rèn)證數(shù)字證書(shū)。 ? 密鑰 /證書(shū)用法：描述該主體的公 /私密鑰對(duì)的合法用途。 ? 數(shù)字證書(shū)是一個(gè)經(jīng) 數(shù)字證書(shū)授權(quán)中心 數(shù)字簽名的包含公開(kāi)密鑰 擁有者 信息以及 公開(kāi)密鑰 的文件。 ? 核心是要解決信息網(wǎng)絡(luò)空間中的 信任 問(wèn)題，確定可信賴的數(shù)字身份。 ? PKI是生成、管理、存儲(chǔ)、分發(fā)和吊銷基于公鑰密碼學(xué)的 公鑰證書(shū) 所需要的硬件、軟件、人員、策略和規(guī)程的總和。 KDC用會(huì)話密鑰 SA加密 Bob的名字、 KAB和門(mén)票，發(fā)送給 Alice的工作站。 TGT用 KDC的主密鑰 KA加密，只有 KDC可以解密。 ? 工作站向 KDC申請(qǐng)會(huì)話密鑰， KDC生成會(huì)話密鑰，并發(fā)送一個(gè)門(mén)票分發(fā)門(mén)票 (TGT)給工作站， TGT包括用 KDC的主密鑰加密的會(huì)話密鑰，還包括用戶名字和會(huì)話密鑰過(guò)期時(shí)間等。該消息包括用遠(yuǎn)程資源或服務(wù)的主密鑰加密的會(huì)話密鑰，以及用戶的名字等信息。 ? 每個(gè)節(jié)點(diǎn)希望和其它節(jié)點(diǎn)通信，則首先和 KDC聯(lián)系，由 KDC分配一個(gè)臨時(shí)的會(huì)話密鑰。 Bob解密結(jié)果，當(dāng)結(jié)果在一定時(shí)差內(nèi)，則 Alice通過(guò)認(rèn)證 高效：只需要一條消息 要求 Alice和 Bob有同步的時(shí)鐘 攻擊者若能夠調(diào)整 Bob的時(shí)間，則可以重新使用以前偵聽(tīng)到的加密時(shí)戳 動(dòng)作迅速的攻擊者可以利用偵聽(tīng)的加密時(shí)戳在另一臺(tái)機(jī)器上冒充 Alice 攻取 Bob的數(shù)據(jù)庫(kù)，則可以冒充 Alice 基于公鑰體制的單向認(rèn)證技術(shù) 1 Alice Bob I am Alice R [R]Alice Alice對(duì)數(shù)據(jù) R用自己的私鑰簽名， Bob用 Alice的公鑰檢驗(yàn)簽名 偵聽(tīng)者無(wú)法冒充 Alice，即使他攻取了 Bob的數(shù)據(jù)庫(kù) 可以誘騙 Alice對(duì)特定數(shù)據(jù)的簽名 基于公鑰體制的單向認(rèn)證技術(shù) 2 Alice Bob I am Alice {R}Alice Bob用 Alice的公鑰加密數(shù)據(jù) R，并要求 Alice解密 偵聽(tīng)者無(wú)法冒充 Alice，即使他攻取了 Bob的數(shù)據(jù)庫(kù) 如果想知道其他人發(fā)送給 Alice的加密信息，可以誘騙 Alice解密 R 雙向認(rèn)證 ? 用于通信雙方的相互認(rèn)證 ? 認(rèn)證的同時(shí)可以協(xié)商會(huì)話密鑰 基于共享秘密的雙向認(rèn)證 1 Alice Bob I am Alice R1 f(KAlice
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1