網(wǎng)絡(luò)安全--認(rèn)證技術(shù)課件(編輯修改稿)
2025-02-12 17:04 本頁面
【文章內(nèi)容簡介】 鑰 ，這個密鑰僅用于本次會話。然后，工作站用這個會話密鑰替用戶申請訪問遠(yuǎn)程服務(wù)的門票。 ? 工作站向 KDC申請會話密鑰， KDC生成會話密鑰，并發(fā)送一個門票分發(fā)門票 (TGT)給工作站， TGT包括用 KDC的主密鑰加密的會話密鑰，還包括用戶名字和會話密鑰過期時間等。 ? TGT的作用 ? 申請訪問遠(yuǎn)程服務(wù)或資源的信息 ? 工作站發(fā)送 TGT給 KDC ? KDC根據(jù) TGT中的用戶名和會話密鑰，給雙方生成一個共享密鑰 Kerberos配置 ? Kerberos服務(wù)器稱為 KDC ? 每個實體都和 KDC共享一個秘密密鑰，稱為該實體的主密鑰。 ? KDC有一個記錄實體名字和對應(yīng)主密鑰的數(shù)據(jù)庫。這個數(shù)據(jù)庫用 KDC的主機(jī)密鑰 KKDC進(jìn)行加密。 ? 用戶使用用戶名和口令登錄工作站，工作站代替用戶向 KDC申請訪問網(wǎng)絡(luò)服務(wù)的門票。用戶主密鑰由口令生成。 ? 用戶只需記住口令，其它網(wǎng)絡(luò)設(shè)備需要記住自己的主密鑰。 ? 算法： DES 獲得會話密鑰和 TGT Alice 工作站 Alice, password KDC 生成密鑰 SA TGT=KKDC{“ Alice” , SA} Alice needs a TGT KA{SA, TGT} Alice輸入用戶名和口令，登錄工作站 工作站向 KDC申請會話密鑰，申請中包含 Alice的名字 KDC使用 Alice的主密鑰加密 訪問 KDC的證書 ，該證書包括：會話密鑰 SA和 TGT TGT包括會話密鑰、 Alice的用戶名和過期時間。 TGT用 KDC的主密鑰 KA加密，只有 KDC可以解密。 工作站將口令轉(zhuǎn)換為 Alice的主密鑰，并用此主密鑰解密證書，得到會話密鑰。然后工作站就拋棄 Alice的主密鑰。 用戶請求和遠(yuǎn)程節(jié)點通信 Alice 工作站 rlogin Bob 生成密鑰 KAB 解密 TGT得到 SA 解密認(rèn)證值 檢驗時戳 Ticket=KB{“ Alice” , KAB} Alice wants Bob TGT=KKDC{“ Alice, SA} Authenticator=SA{timestamp} SA{“ Bob” , KAB, Ticket} KDC Alice請求訪問遠(yuǎn)程服務(wù) Bob 工作站將 TGT、名字 Bob和一個認(rèn)證值發(fā)給 KDC。認(rèn)證值是用會話密鑰 SA加密當(dāng)前時間，證明工作站知道會話密鑰。 KDC解密 TGT得到 SA，并用 SA解密認(rèn)證值，檢驗時戳實現(xiàn)對 Alice工作站的認(rèn)證。 KDC生成會話密鑰 KAB，并用 Bob的主密鑰加密 Alice的名字和 KAB，生成訪問 Bob的門票。門票和 KAB稱為 Alice訪問 Bob的證書 。 KDC用會話密鑰 SA加密 Bob的名字、 KAB和門票，發(fā)送給 Alice的工作站。 用戶和遠(yuǎn)程節(jié)點的通信 工作站 解密門票得到 KAB 解密認(rèn)證值 檢驗時戳 Ticket=KB{“ Alice” , KAB} Authenticator=KAB{timestamp} KAB{timestamp+1} Bob Alice的工作站將訪問 Bob的門票發(fā)送給 Bob，并發(fā)送一個認(rèn)證值 Bob解密門票得到 KAB和名字 Alice?，F(xiàn)在 Bob可以假設(shè)任何知道 KAB的實體都代表 Alice。 Bob解密認(rèn)證值并驗證時戳，以確認(rèn)和它通信的實體確實知道 KAB，從而實現(xiàn)了對 Alice工作站的認(rèn)證。 為了實現(xiàn)雙向認(rèn)證， Bob將他加密得到的認(rèn)證值加 1，使用 KAB加密并發(fā)回。 Alice可以檢驗時戳實現(xiàn)對 Bob的認(rèn)證。 Alice和 Bob的后續(xù)通信：根據(jù)不同需求實施不同的保護(hù) 備份 KDC ? 單一 KDC的問題： KDC的崩潰導(dǎo)致所有認(rèn)證無法進(jìn)行 ? 解決方法 ? 多個 KDC ? 每個 KDC可以替換任何一個 KDC，它們具有相同的KDC主密鑰和相同的數(shù)據(jù)庫 ? 數(shù)據(jù)一致性 ? 設(shè)置其中一個 KDC用來保存數(shù)據(jù)庫的主備份，其它KDC從該 KDC更新數(shù)據(jù)庫 ? KDC的更新操作不頻繁 域 ? 網(wǎng)絡(luò)上的實體被劃分成不同的域 ? 每個域都有自己的 KDC服務(wù)器 ? 所有用戶和服務(wù) /資源都在 KDC上注冊 ? 如果域中有多個 KDC，則它們是等價的：擁有相同的 KDC主密鑰，擁有相同的數(shù)據(jù)庫 ? 不同域的 KDC擁有不同的 KDC主密鑰以及不同的數(shù)據(jù)庫，因為它們是為不同的實體集合服務(wù)的 域間認(rèn)證 ? 問題：某個域中的實體需要認(rèn)證另外一個域中的實體的身份 ? 方法：域 B的 KDC可以在域 A中注冊成為一個實體，這使得域A中的用戶可以訪問域 B的 KDC，就像訪問域 A中其它資源一樣 Alice Bob REQ(“ AliceA” , “ bKDCA” ) 訪問 bKDC的證書 aKDC bKDC REQ(“ AliceA” , “ BobB” ) 訪問 Bob的證書 登錄請求 Kerberos v4的缺陷 ? 依賴性 ? 對 IP協(xié)議的依賴性和對時間依賴性 ? 門票有效期一般為 5分鐘到 21小時，往往不能滿足需求 ? 領(lǐng)域間的鑒別、管理困難 ? 非標(biāo)準(zhǔn)的 DES加密，易受攻擊 ? 未對用戶口令進(jìn)行額外保護(hù)，易受攻擊 Kerberos v5 的改進(jìn) ? 支持任何加密技術(shù) ? 除 IP協(xié)議以外，還支持其它通信協(xié)議 ? 門票有效期：任意長度 ? 具有鑒別轉(zhuǎn)發(fā)能力 ? 更有效的方法來解決域間認(rèn)證問題 ? 提供一種預(yù)鑒別機(jī)制，使得口令攻擊更困難 PKI技術(shù) 安全的主要威脅 ? 假冒：指非法用戶假冒合法用戶身份獲取敏感信息； ? 截取：指非法用戶截獲通信網(wǎng)絡(luò)的數(shù)據(jù)； ? 篡改：指非法用戶改動所截獲的信息和數(shù)據(jù)； ? 否認(rèn)：指通信的單方或多方事后否認(rèn)曾經(jīng)參與某次活動； 常見的解決方法 信息竊取 信息冒充 信息篡改 信息抵賴 加密技術(shù) 完整性技術(shù) 認(rèn)證技術(shù) 數(shù)字簽名 PKI的含義 ? PKI(Public Key Infrastructure，公鑰基礎(chǔ)設(shè)施 )，是一個 基于公鑰概念和技術(shù) 實現(xiàn)的、具有通用性的安全基礎(chǔ)設(shè)施。 ? PKI公鑰基礎(chǔ)設(shè)施的主要任務(wù)是在開放環(huán)境中為開放性業(yè)務(wù)提供 公鑰加密 和 數(shù)字簽名服務(wù) 。 ? PKI是生成、管理、存儲、分發(fā)和吊銷基于公鑰密碼學(xué)的 公鑰證書 所需要的硬件、軟件、人員、策略和規(guī)程的總和。 PKI的內(nèi)容和目標(biāo) ? PKI技術(shù)以 公鑰技術(shù) 為基礎(chǔ)，以 數(shù)字證書 為媒介，結(jié)合對稱加密和非對稱加密技術(shù)，將個人、組織、設(shè)備的 標(biāo)識信息 與各自的 公鑰 捆綁在一起。 ? 其主要目的是通過 自動管理密鑰和證書 ，為用戶建立起一個安全、可信的網(wǎng)絡(luò)運行環(huán)境，使用戶可以在多種應(yīng)用環(huán)境下方便地使用 加密和數(shù)字簽名 技術(shù)，在互聯(lián)網(wǎng)上驗證用戶的身份 ，從而保證了互聯(lián)網(wǎng)上所傳輸信息的真實性、完整性、機(jī)密性和不可否認(rèn)性。 ? PKI是目前為止既能實現(xiàn)用戶 身份認(rèn)證 ，又能保證互聯(lián)網(wǎng)上所傳輸 數(shù)據(jù)安全 的惟一技術(shù)。 PKI的理解 ? 基于 公開密鑰理論和技術(shù) 建立起來的安全體系。 ? 一個被廣泛認(rèn)識并且被普遍接受的 相當(dāng)標(biāo)準(zhǔn)化 的結(jié)構(gòu)。 ? 提供信息安全服務(wù)的具有 普適性 的安全基礎(chǔ)設(shè)施。 ? CA認(rèn)證、數(shù)字證書、目錄服務(wù)以及相關(guān)安全應(yīng)用組件 模塊的集合
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1