【文章內容簡介】 ，每個通信參與方都需要記住所有其他用戶的公鑰，不僅增加負擔而且無法更新維護；其次每個通信方產生自己的私鑰和公鑰，而它們的可信賴程度不同，一旦出現(xiàn)問題和糾紛需要權威中間機構進行仲裁。 在實際網絡環(huán)境中，采用證書（ certificate）的方式來分發(fā)公鑰。證書是一種特殊格式的數(shù)據(jù)記錄，它包含有證書代表的通信參與方的名字、身份信息、公鑰以及簽發(fā)機構、簽發(fā)日期、序列號、有效期等相關數(shù)據(jù)，由證書權威機構（ Certificate Authority,CA）用自己的私鑰進行簽名。證書權威機構扮演可信第三方的角色，它是大家信任的組織、機構。所有的公鑰認證系統(tǒng)都采用了證書方式，證書被設計存放在目錄服務系統(tǒng)中，通信參與方擁有CA的公鑰，可以從目錄服務中獲得通信對方的證書，通過驗證 CA簽名可以相信證書中列出的對方公鑰。 KDC方式和 CA方式是分發(fā)密鑰的主要技術，它們各有自己明顯的優(yōu)勢和缺陷。公鑰方式的身份認證協(xié)議安全強度要高，但是計算開銷大，因此越來越多的安全系統(tǒng)傾向于利用公鑰進行認證和建立對稱的會話密鑰，利用傳統(tǒng)密鑰進行大量數(shù)據(jù)傳輸?shù)姆椒?，例?SSL協(xié)議、 PGP等。 可審性的另一個重要功能是審計。審計提供歷史事件的記錄。審計記錄將每個人及其在計算機系統(tǒng)中或在物理世界中的行動聯(lián)系起來。如果沒有正確的身份標識與身份鑒別，審計記錄也是沒有用的，因為無法保證這些記錄事件確實是誰執(zhí)行的。 在物理世界，審計的方法有入門的日志、簽名本、錄像儀等。這些物理記錄的目的是提供執(zhí)行各種行動的記錄。應該特別指出的是，必須采用完整性服務以保證這些審計記錄沒有被修改過。否則，這些審計記錄是值得懷疑的。 審計功能 在電子世界，計算機系統(tǒng)提供日志，以記錄用戶 ID的行動。假如身份標識與身份鑒別功能的作用合適，這些事件就能跟蹤用戶的行為。同樣，必須保護好計算機系統(tǒng)上的審計記錄，防止非授權者對其進行修改，事實上，審計記錄要防止任何人的修改。 由上述分析可知，可審性服務并不能阻止攻擊。它與其他服務結合，尤其是機密性和完整性服務結合，對試圖執(zhí)行某些操作者進行正確的身份標識與身份鑒別。可審性服務還提供用戶對系統(tǒng)執(zhí)行的操作記錄，因此事件能重構。 在完整性服務與可審性服務中都提到數(shù)字簽名。數(shù)字簽名是通信雙方在網上交換信息用公鑰密碼防止偽造和欺騙的一種身份認證。在傳統(tǒng)密碼中，通信雙方用的密鑰是一樣的，既然如此，收信方可以偽造、修改密文，發(fā)信方也可以抵賴他發(fā)過該密文，若產生糾紛，將無法裁決誰是誰非。 數(shù)字簽名 由于公鑰密碼的每個用戶都有兩個密鑰，所以實際上有兩個算法，如用戶 A，一個是加密算法 EA，一個是解密算法 DA。 若 A要向 B送去信息 m， A可用 A的保密的解密算法 DA對 m進行加密得 DA（ m） ,再用 B的公開算法 EB對 DA（ m）進行加密得 C＝ EB（ DA（ m）） B收到密文 C后先用他自己掌握的解密算法 DB對 C進行解密得 DB（ C）＝ DB（ EB（ DA（ m）））＝ DA（ m） 再用 A的公開算法 EA對 DA（ m）進行解密得 EA（ DA（ m））＝ m 從而得到了明文 m。 由于 C只有 A才能產生， B無法偽造或修改 C，所以 A也不能抵賴，這樣就能達到簽名的目的。不是所有公鑰系統(tǒng)都具有數(shù)字簽名的能力， RSA第一個提出這樣的功能。 Kerberos鑒別是一種使用對稱密鑰加密算法來實現(xiàn)通過可信第三方密鑰分發(fā)中心（ KDC）的身份認證系統(tǒng)。它是美國麻省理工學院（ MIT）為了保護Athena項目中的網絡服務和資源而開發(fā)的，Kerberos版本 5的協(xié)議已被 Inter工程部 IEIF正式接受為 RFC 1510。 Kerberos鑒別 Kerberos在學術界和工業(yè)界都獲得了廣泛的支持，被眾多系統(tǒng)選作身份認證的基礎平臺。例如，開放軟件基金會 (Open Soft Foundation， OSF)開發(fā)的分布式計算環(huán)境 DCE就是以 Kerberos為身份認證平臺的，而在國外應用最廣泛的分布式文件系統(tǒng)（ Andrew File System， AFS）也采用了 Kerberos作為身份認證平臺。目前各主要操作系統(tǒng)都支持Kerberos認證系統(tǒng)，例如， SUN Microsoft公司在其高端服務器產品 Windows NT Kerberos系統(tǒng)。 Kerberos實際上已經成為工業(yè)界的事實標準。 Kerberos使用對稱密鑰加密算法來實現(xiàn)通過可信第三方密鑰分發(fā)中心的認證服務，它提供了網絡通信方之間相互的身份認證手段，而且并不依賴于主機操作系統(tǒng)和地址。 Kerberos設計的目標是在開放網絡上運行，不要求網絡上所有主機的物理安全，同時還假設通過網絡傳輸?shù)陌梢员蝗我饨孬@、修改和插入。 Kerberos系統(tǒng)非常適合在一個物理網絡并不安全的環(huán)境下使用，它的安全性經過了實踐的考驗。 Kerberos協(xié)議中有 3個通信參與方：需要驗證身份的通信雙方及一個雙方都信任的第三方，即密鑰分發(fā)中心（ KDC）。當某個網絡應用進程需要訪問另外一個服務進程時，需要構成了雙向的身份認證。將發(fā)起認證服務的一方稱為客戶方，將客戶方需要訪問的對象稱為服務器方。在 Kerberos中客戶方是通過向服務器方遞交自己的“憑據(jù)”（ ticket）來證明自己的身份的，該憑據(jù)是由 KDC專門為客戶方和服務器方在某一階段內通信而生成的。憑據(jù)中包括有客戶和服務器方的身份信息、在下一階段雙方使用的臨時加密密鑰（稱為會話密鑰，Session Key），還有證明客戶方擁有會話密鑰的身份認證者（ authenticator）信息。身份認證者信息的作用是防止攻擊者將來將同樣的憑據(jù)再次使用。 憑據(jù)是 KDC發(fā)出的。 Kerberos在 NeedhamSchroeder原始模型中加入了時間標記（ timestamp）以檢測重放攻擊（ Replay Attack）。與 KDC共享的密鑰構成了客戶方或者服務器方相信它接收到的憑據(jù)的真實性的基礎。為了提高安全性能，一個 Kerberos憑據(jù)只在一段有限的時間內有效，稱為憑據(jù)的生命期。當生命期過后憑據(jù)自動失效，以后的通信必須從KDC獲得新的憑據(jù)進行認證。 KDC自治管理的計算機和用戶等通信參與方的全體稱為領域（ realm） ,領域是從管理角度提出的概念，與物理網絡或者地理范圍等無關。在實際使用中，為了方便， 通常選擇與 Inter域名系統(tǒng)一致的名字來命名領域。不同領域中的用戶之間的身份認證也是可以進行的， Kerberos定義了通過共享密鑰進行領域間用戶認證的方式。 Kerberos保持一個它的客戶方以及密鑰的數(shù)據(jù)庫，這些密鑰是 KDC與客戶方之間共享的，是不能被第三方知道的。如果客戶是用戶，該密鑰就是用戶口令經過 Hash生成的，需要使用 Kerberos認證服務的其他網絡服務也需要進行登記并且在登記時協(xié)商共享密鑰，這些密鑰往往是機器隨機生成的。 公鑰基礎設施（ PKI）是在分布式計算系統(tǒng)中提供的使用公鑰密碼系統(tǒng)和 。PKI產品和服務允許使用者在網絡上