身份認(rèn)證ppt課件(完整版)
【正文】 令可在多長時(shí)間內(nèi)有效 。雖說只簡單口令認(rèn)證就可以阻止不少威脅了，但由于在開放式系統(tǒng)中，竊聽者很容易探聽到時(shí)明文方式傳輸?shù)目诹?，也就很容易成功地偽裝成該用戶。身份認(rèn)證技術(shù)與應(yīng)用示例 網(wǎng)絡(luò)與信息安全課程 2022/4/5 公安大學(xué) CSIS05 主要內(nèi)容 ? 概述 ? 用戶認(rèn)證 ? 主機(jī)認(rèn)證 ? Kerberos系統(tǒng) ? 基于公開密鑰的身份認(rèn)證 一、概述 ? 認(rèn)證 (Authentication)證實(shí)客戶的真實(shí)身份與其所聲稱的身份是否相符的過程 ， 是保證系統(tǒng)安全的重要措施之一 。這種方式不可能充分滿足安全需求，但由于它簡單、方便，在短時(shí)間內(nèi)還不會(huì)完全消失。 ? ACE方式利用了前面提到過的兩個(gè)因素： ① 用戶輸入 PIN， 表明他知道某種秘密 ② 用戶輸入正確口令 ， 表明他擁有 ACE卡 。另外，雖然 CHAP不在網(wǎng)上傳輸任何秘密，卻需要通過 Hash函數(shù)來操作大量共享秘密，為了保存這些秘密，擁有大量撥號(hào)用戶的企業(yè)必須維護(hù)很大的數(shù)據(jù)庫。一些對(duì)它的改進(jìn)如 AEKE解決了 “ 明文等價(jià) ” 問題，但犧牲了前向保密； BSPEKE又帶來了很大的時(shí)間開銷和算法復(fù)雜性。 身份認(rèn)證實(shí)例 Kerberos 引言 ? Kerberos: part of Project Athena at MIT ? Greek Kerberos: 希臘神話故事中一種三個(gè)頭的狗，還有一個(gè)蛇形尾巴。 ? 不是為每一個(gè)服務(wù)器構(gòu)造一個(gè)身份認(rèn)證協(xié)議，Kerberos提供一個(gè)中心認(rèn)證服務(wù)器，提供用戶到服務(wù)器和服務(wù)器到用戶的認(rèn)證服務(wù) 。 ? 要求客戶端系統(tǒng)將它們自己向服務(wù)器作身份認(rèn)證，但相信客戶端系統(tǒng)負(fù)責(zé)對(duì)其用戶的識(shí)別。理想情況下，用戶除了要求輸入口令以外應(yīng)感覺不到認(rèn)證的發(fā)生。這些密鑰已經(jīng) 物理上或以更安全的手段分發(fā)。 (b) Ticketgranting Service Exchange Message(3) client 請(qǐng)求 servicegranting ticket IDv: 告訴 TGS用戶要訪問服務(wù)器 V； Tickettgs : 向 TGS證實(shí)該用戶已被 AS認(rèn)證； Authenticatorc:由 client生成，用于驗(yàn)證 ticket； Message(4) TGS返回 servicegranting ticket EKc,tgs : 僅由 C和 TGS共享的密鑰；用以保護(hù) Message(4)； Kc,tgs: session key的副本，由 TGS生成，供 client和 server之間 信息的安全交換，而無須共用一個(gè)永久密鑰。 (1) C ? AS : IDC || IDtgs || TS1 (2) AS ? C : EKC[Kc,tgs || IDtgs || TS2 || Lifetime2 || Tickettgs] (3) C ? TGS: IDtgsrem || Tickettgs || Authenticatorc (4) TGS ? C: EKc,tgs[Kc,tgsrem || IDtgsrem || TS4 || Tickettgsrem] (5) C ? TGSrem: IDvrem || Tickettgsrem || Authenticatorc (6) TGS ? C: EKc,tgsrem[Kc,vrem || IDvrem || TSb || Ticketvrem] (7) C ? Vrem: Ticketvrem || Authenticatorc C AS TGS TGSrem Vrem (1) (2) (3) (4) (5) (6) (7) Kerberos Version 5 ? 改進(jìn) version 4 的環(huán)境缺陷 – 加密系統(tǒng)依賴性 – Inter協(xié)議依賴性 – 消息字節(jié)次序 – Ticket的時(shí)效性 – Authentication forwarding – Interrealm authentication Kerberos Version 5 ? 改進(jìn) Version 4 的技術(shù)缺陷 – Double encryption – PCBC encryption – Session key – Password attacks Kerberos References ? MIT Kerberos Web Site: ? USC/ISI Kerberos Page: ? PasswordtoKey Transformation ? Propagating Cipher Block Chaining Mode Kerberos協(xié)議模型的分析 ? 可以證明 Kerberos協(xié)議模型功能的正確性 ? 發(fā)現(xiàn) Kerberos協(xié)議模型依賴于安全的時(shí)間服務(wù) 功能特性分析 ? 可信第三方 – 所需的共享密鑰分配和管理變得十分簡單 – AS擔(dān)負(fù)認(rèn)證工作，減輕應(yīng)用服務(wù)器的負(fù)擔(dān) – 安全相關(guān)數(shù)據(jù)的集中管理和保護(hù)，從而使攻擊者的入侵很難成功 ? Ticket – AS的認(rèn)證結(jié)果和會(huì)話密鑰安全地傳送給應(yīng)用服務(wù)器
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1