[企業(yè)管理]cisp0203訪問控制與審計監(jiān)控(編輯修改稿)
2025-02-17 12:48 本頁面
【文章內(nèi)容簡介】 v便于授權(quán)管理，如系統(tǒng)管理員需要修改系統(tǒng)設(shè)置等內(nèi)容時，必須有幾個不同角色的用戶到場方能操作，增強(qiáng)了安全性v便于處理工作分級，如文件等資源分級管理v利用安全約束，容易實(shí)現(xiàn)各種安全策略，如最小特權(quán)、職責(zé)分離等v便于任務(wù)分擔(dān)，不同角色完成不同的任務(wù)49知識域：訪問控制技術(shù)v知識子域：標(biāo)識和鑒別技術(shù)167。 理解賬號和口令管理的基本原則167。 了解生物識別技術(shù)及其實(shí)現(xiàn)（虹膜、指紋、掌紋等）167。 了解其他鑒別技術(shù)（令牌、票據(jù)等）167。 了解單點(diǎn)登錄技術(shù)（ SSO）及其實(shí)現(xiàn)（ Kerberos等）50標(biāo)識和鑒別的作用v作為訪問控制的一種必要支持，訪問控制的執(zhí)行依賴于確知的身份167。 訪問控制直接對機(jī)密性、完整性、可用性及合法使用資源提供支持v作為數(shù)據(jù)源認(rèn)證的一種方法167。 與數(shù)據(jù)完整性機(jī)制結(jié)合起來使用v作為審計追蹤的支持167。 在審計追蹤記錄時，提供與某一活動關(guān)聯(lián)的確知身份51鑒別的分類v本地鑒別和遠(yuǎn)程鑒別167。 本地鑒別：實(shí)體在本地環(huán)境的初始化鑒別167。 遠(yuǎn)程鑒別：連接遠(yuǎn)程設(shè)備、實(shí)體和環(huán)境的實(shí)體鑒別v單向鑒別和雙向鑒別167。 單向鑒別：通信雙方中只有一方向另一方進(jìn)行鑒別167。 雙向鑒別：通信雙方相互進(jìn)行鑒別52鑒別系統(tǒng)的組成v被驗(yàn)證者 P（ Prover）：出示身份標(biāo)識的人，又稱聲稱者（ Claimant）v驗(yàn)證者 V（ Verifier）：檢驗(yàn)聲稱者提出的身份標(biāo)識的正確性和合法性，決定是否滿足要求v可信賴者 TP（ Trusted Third Party）：參與鑒別的第三方，參與調(diào)解糾紛P VTP53鑒別的基本途徑v基于你所知道的（ What you know ）167。 知識、口令、密碼v基于你所擁有的（ What you have ）167。 身份證、信用卡、鑰匙、智能卡、令牌等v基于你的個人特征（ What you are）167。 指紋，筆跡，聲音，手型，臉型，視網(wǎng)膜，虹膜v雙因素、多因素認(rèn)證54常見的鑒別技術(shù)v基于口令的身份認(rèn)證v基于生物特征的身份認(rèn)證v基于個人令牌的身份認(rèn)證vKerberos身份認(rèn)證協(xié)議55基于口令的身份認(rèn)證v口令是使用最廣泛的身份鑒別方法v選擇原則：易記、難猜測、抗分析能力強(qiáng)v口令提供弱鑒別，面臨的威脅：167。 口令猜測167。 線路竊聽167。 重放攻擊167。 ……56防止口令猜測v嚴(yán)格限制登錄的次數(shù)v限制最小長度，至少 6至 8字節(jié)以上v防止使用用戶特征相關(guān)的口令v定期改變口令v使用機(jī)器生成的口令57防止線路竊聽v使用保護(hù)口令機(jī)制：單向函數(shù)v攻擊者很容易構(gòu)造一張 q與 p對應(yīng)的表，表中的 p盡可能包含所期望的值167。 解決辦法：在口令后使用隨機(jī)數(shù)58一次性口令機(jī)制v確保在每次鑒別中所使用的口令不同，以對付重放攻擊v口令的確定方法：167。 使用時間戳，兩端維持同步的時鐘167。 兩端共同擁有一串隨機(jī)口令，在該串的某一位置保持同步167。 兩端共同使用一個隨機(jī)序列生成器，在該序列生成器的初態(tài)保持同步59雙因素動態(tài)口令卡v基于密鑰 /時間雙因素的身份鑒別機(jī)制v用戶登錄口令隨時間變化，口令一次性使用，無法預(yù)測，可以有效抵御密碼竊取和重放攻擊60雙因素動態(tài)口令的強(qiáng)度v沒有器件而知道口令 p，不能導(dǎo)致一個簡單的攻擊v擁有器件而不知道口令 p，不能導(dǎo)致一個簡單的攻擊v除非攻擊者也能進(jìn)行時間同步，否則難以實(shí)現(xiàn)重放攻擊v知道 q而不知道設(shè)備安全值 dsv，不能導(dǎo)致一個簡單的攻擊61基于生物特征的身份認(rèn)證（一）v每個人所具有的唯一生理特征167。 指紋，視網(wǎng)膜，聲音，虹膜、語音、面部、簽名等v指紋167。 一些曲線和分叉以及一些非常微小的特征167。 提取指紋中的一些特征并且存儲這些特征信息：節(jié)省資源，快速查詢v手掌、手型 167。 手掌有折痕，起皺，還有凹槽167。 還包括每個手指的指紋 167。 人手的形狀（手的長度，寬度和手指）表示了手的幾何特征 62基于生物特征的身份認(rèn)證（二）v視網(wǎng)膜掃描 167。 掃描眼球后方的視網(wǎng)膜上面的血管的圖案；v虹膜掃描 167。 虹膜是眼睛中位于瞳孔周圍的一圈彩色的部分167。 虹膜有其獨(dú)有的圖案，分叉，顏色，環(huán)狀，光環(huán)以及皺褶v語音識別 167。 記錄時說幾個不同的單詞，然后識別系統(tǒng)將這些單詞混雜在一起，讓他再次讀出給出的一系列單詞v面部掃描 167。 人都有不同的骨骼結(jié)構(gòu)，鼻梁，眼眶，額頭和下顎形狀63指紋識別的實(shí)現(xiàn)原理v通過特殊的光電掃描和計算機(jī)圖像處理技術(shù)，對指紋進(jìn)行采集、分析和比對，自動、迅速、準(zhǔn)確地認(rèn)證出個人身份。v指紋識別的過程167。 按照用戶和姓名等信息將其存在指紋數(shù)據(jù)庫中的模板指紋調(diào)出來，然后再用用戶輸入的指紋與該模板的指紋相匹配，以確定這兩幅指紋是否出于同一幅指紋。指紋圖象采集儀圖象輸入通道指紋細(xì)節(jié)匹配認(rèn)證結(jié)果64虹膜識別的實(shí)現(xiàn)原理（一）v虹膜是環(huán)繞在瞳孔四周有色彩的部分167。 每一個虹膜都包含一個獨(dú)一無二的基于像冠、水晶體、細(xì)絲、斑點(diǎn)、結(jié)構(gòu)、凹點(diǎn)、射線、皺紋和條紋等特征的結(jié)構(gòu)167。 每一個人的虹膜各不相同，一個人的左眼和右眼就可能不一樣，即使是雙胞胎的虹膜也可能不一樣167。 人的虹膜在出生后 618個月成型后終生不再發(fā)生變化65虹膜識別的實(shí)現(xiàn)原理（二）66基于生物特征的認(rèn)證系統(tǒng)的誤判v第一類錯誤：錯誤拒絕率（ FRR）v第二類錯誤：錯誤接受率（ FAR）v交叉錯判率（ CER）： FRR=FAR的交叉點(diǎn)vCER用來反映系統(tǒng)的準(zhǔn)確度%安全性FAR(II) FRR(I)CER67基于個人令牌的身份認(rèn)證v集成電路卡（ Integrated Circuit Card）簡稱 IC卡，其中鑲嵌集成電路芯片vIC卡的分類167。 IC卡接口類型? 接觸式 IC卡? 非接觸式 IC卡? 雙界面卡167。 嵌入集成電路芯片的形式和類型? 非加密存儲卡? 邏輯加密卡? CPU卡（又稱智能卡）68智能卡的安全特性v硬件167。 與外界通信前，先完成智能卡與終端間的認(rèn)證167。 加入安全傳感器，防止在數(shù)據(jù)被讀出或?qū)懭霑r被修改167。 發(fā)生異常，智能卡復(fù)位，或者置標(biāo)志位，使智能卡操作系統(tǒng)做出相應(yīng)反應(yīng)167。 存儲器加密，不保存任何明文v軟件167。 使用需要通過雙因素認(rèn)證，進(jìn)入操作智能卡的安全狀態(tài)167。 信息采用文件系統(tǒng)進(jìn)行保存，依據(jù)類型或密鑰的不同，提供不同的訪問操作167。 支持 DES、
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1