[企業(yè)管理]cisp0203訪問控制與審計監(jiān)控(編輯修改稿)
2025-02-17 12:48 本頁面
【文章內(nèi)容簡介】 v便于授權管理，如系統(tǒng)管理員需要修改系統(tǒng)設置等內(nèi)容時，必須有幾個不同角色的用戶到場方能操作，增強了安全性v便于處理工作分級，如文件等資源分級管理v利用安全約束，容易實現(xiàn)各種安全策略，如最小特權、職責分離等v便于任務分擔，不同角色完成不同的任務49知識域：訪問控制技術v知識子域：標識和鑒別技術167。 理解賬號和口令管理的基本原則167。 了解生物識別技術及其實現(xiàn)（虹膜、指紋、掌紋等）167。 了解其他鑒別技術（令牌、票據(jù)等）167。 了解單點登錄技術（ SSO）及其實現(xiàn)（ Kerberos等）50標識和鑒別的作用v作為訪問控制的一種必要支持，訪問控制的執(zhí)行依賴于確知的身份167。 訪問控制直接對機密性、完整性、可用性及合法使用資源提供支持v作為數(shù)據(jù)源認證的一種方法167。 與數(shù)據(jù)完整性機制結合起來使用v作為審計追蹤的支持167。 在審計追蹤記錄時，提供與某一活動關聯(lián)的確知身份51鑒別的分類v本地鑒別和遠程鑒別167。 本地鑒別：實體在本地環(huán)境的初始化鑒別167。 遠程鑒別：連接遠程設備、實體和環(huán)境的實體鑒別v單向鑒別和雙向鑒別167。 單向鑒別：通信雙方中只有一方向另一方進行鑒別167。 雙向鑒別：通信雙方相互進行鑒別52鑒別系統(tǒng)的組成v被驗證者 P（ Prover）：出示身份標識的人，又稱聲稱者（ Claimant）v驗證者 V（ Verifier）：檢驗聲稱者提出的身份標識的正確性和合法性，決定是否滿足要求v可信賴者 TP（ Trusted Third Party）：參與鑒別的第三方，參與調(diào)解糾紛P VTP53鑒別的基本途徑v基于你所知道的（ What you know ）167。 知識、口令、密碼v基于你所擁有的（ What you have ）167。 身份證、信用卡、鑰匙、智能卡、令牌等v基于你的個人特征（ What you are）167。 指紋，筆跡，聲音，手型，臉型，視網(wǎng)膜，虹膜v雙因素、多因素認證54常見的鑒別技術v基于口令的身份認證v基于生物特征的身份認證v基于個人令牌的身份認證vKerberos身份認證協(xié)議55基于口令的身份認證v口令是使用最廣泛的身份鑒別方法v選擇原則：易記、難猜測、抗分析能力強v口令提供弱鑒別，面臨的威脅：167。 口令猜測167。 線路竊聽167。 重放攻擊167。 ……56防止口令猜測v嚴格限制登錄的次數(shù)v限制最小長度，至少 6至 8字節(jié)以上v防止使用用戶特征相關的口令v定期改變口令v使用機器生成的口令57防止線路竊聽v使用保護口令機制：單向函數(shù)v攻擊者很容易構造一張 q與 p對應的表，表中的 p盡可能包含所期望的值167。 解決辦法：在口令后使用隨機數(shù)58一次性口令機制v確保在每次鑒別中所使用的口令不同，以對付重放攻擊v口令的確定方法：167。 使用時間戳，兩端維持同步的時鐘167。 兩端共同擁有一串隨機口令，在該串的某一位置保持同步167。 兩端共同使用一個隨機序列生成器，在該序列生成器的初態(tài)保持同步59雙因素動態(tài)口令卡v基于密鑰 /時間雙因素的身份鑒別機制v用戶登錄口令隨時間變化，口令一次性使用，無法預測，可以有效抵御密碼竊取和重放攻擊60雙因素動態(tài)口令的強度v沒有器件而知道口令 p，不能導致一個簡單的攻擊v擁有器件而不知道口令 p，不能導致一個簡單的攻擊v除非攻擊者也能進行時間同步，否則難以實現(xiàn)重放攻擊v知道 q而不知道設備安全值 dsv，不能導致一個簡單的攻擊61基于生物特征的身份認證（一）v每個人所具有的唯一生理特征167。 指紋，視網(wǎng)膜，聲音，虹膜、語音、面部、簽名等v指紋167。 一些曲線和分叉以及一些非常微小的特征167。 提取指紋中的一些特征并且存儲這些特征信息：節(jié)省資源，快速查詢v手掌、手型 167。 手掌有折痕，起皺，還有凹槽167。 還包括每個手指的指紋 167。 人手的形狀（手的長度，寬度和手指）表示了手的幾何特征 62基于生物特征的身份認證（二）v視網(wǎng)膜掃描 167。 掃描眼球后方的視網(wǎng)膜上面的血管的圖案；v虹膜掃描 167。 虹膜是眼睛中位于瞳孔周圍的一圈彩色的部分167。 虹膜有其獨有的圖案，分叉，顏色，環(huán)狀，光環(huán)以及皺褶v語音識別 167。 記錄時說幾個不同的單詞，然后識別系統(tǒng)將這些單詞混雜在一起，讓他再次讀出給出的一系列單詞v面部掃描 167。 人都有不同的骨骼結構，鼻梁，眼眶，額頭和下顎形狀63指紋識別的實現(xiàn)原理v通過特殊的光電掃描和計算機圖像處理技術，對指紋進行采集、分析和比對，自動、迅速、準確地認證出個人身份。v指紋識別的過程167。 按照用戶和姓名等信息將其存在指紋數(shù)據(jù)庫中的模板指紋調(diào)出來，然后再用用戶輸入的指紋與該模板的指紋相匹配，以確定這兩幅指紋是否出于同一幅指紋。指紋圖象采集儀圖象輸入通道指紋細節(jié)匹配認證結果64虹膜識別的實現(xiàn)原理（一）v虹膜是環(huán)繞在瞳孔四周有色彩的部分167。 每一個虹膜都包含一個獨一無二的基于像冠、水晶體、細絲、斑點、結構、凹點、射線、皺紋和條紋等特征的結構167。 每一個人的虹膜各不相同，一個人的左眼和右眼就可能不一樣，即使是雙胞胎的虹膜也可能不一樣167。 人的虹膜在出生后 618個月成型后終生不再發(fā)生變化65虹膜識別的實現(xiàn)原理（二）66基于生物特征的認證系統(tǒng)的誤判v第一類錯誤：錯誤拒絕率（ FRR）v第二類錯誤：錯誤接受率（ FAR）v交叉錯判率（ CER）： FRR=FAR的交叉點vCER用來反映系統(tǒng)的準確度%安全性FAR(II) FRR(I)CER67基于個人令牌的身份認證v集成電路卡（ Integrated Circuit Card）簡稱 IC卡，其中鑲嵌集成電路芯片vIC卡的分類167。 IC卡接口類型? 接觸式 IC卡? 非接觸式 IC卡? 雙界面卡167。 嵌入集成電路芯片的形式和類型? 非加密存儲卡? 邏輯加密卡? CPU卡（又稱智能卡）68智能卡的安全特性v硬件167。 與外界通信前，先完成智能卡與終端間的認證167。 加入安全傳感器，防止在數(shù)據(jù)被讀出或寫入時被修改167。 發(fā)生異常，智能卡復位，或者置標志位，使智能卡操作系統(tǒng)做出相應反應167。 存儲器加密，不保存任何明文v軟件167。 使用需要通過雙因素認證，進入操作智能卡的安全狀態(tài)167。 信息采用文件系統(tǒng)進行保存，依據(jù)類型或密鑰的不同，提供不同的訪問操作167。 支持 DES、
教學課件相關推薦
鄂ICP備17016276號-1