操作系統(tǒng)安全策略(1)-資料下載頁
2025-01-09 21:51本頁面
【正文】 院（ MIT）開發(fā)的一種身份鑒別服務(wù)。 ? “ Kerberos”的本意是希臘神話中守護地獄之門的守護者。 ? Kerberos提供了一個集中式的認證服務(wù)器結(jié)構(gòu)，認證服務(wù)器的功能是實現(xiàn)用戶與其訪問的服務(wù)器間的相互鑒別。 ? Kerberos建立的是一個實現(xiàn)身份認證的框架結(jié)構(gòu)。 ? 其實現(xiàn)采用的是對稱密鑰加密技術(shù)，而未采用公開密鑰加密。 ? 公開發(fā)布的 Kerberos版本包括版本 4和版本 5。 Kerberos 的設(shè)計目標 ? 安全性 – 能夠有效防止攻擊者假扮成另一個合法的授權(quán)用戶。 ? 可靠性 – 分布式服務(wù)器體系結(jié)構(gòu)，提供相互備份。 ? 對用戶透明性 ? 可伸縮 – 能夠支持大數(shù)量的客戶和服務(wù)器。 Kerberos的設(shè)計思路（ 1） ? 基本思路： – 使用一個（或一組）獨立的認證服務(wù)器（ AS —Authentication Server），來為網(wǎng)絡(luò)中的客戶提供身份認證服務(wù)； – 認證服務(wù)器 (AS)，用戶口令由 AS 保存在數(shù)據(jù)庫中； – AS 與每個服務(wù)器共享一個惟一保密密鑰（已被安全分發(fā)）。 ? 會話過程： (1) C ? AS: IDC （用戶的標識符） || PC （用戶口令） || IDV （服務(wù)器的標識符） (2) AS ? C: Ticket (3) C ? V : IDC || Ticket Ticket = EKV[IDC || ADC || IDV] 客戶網(wǎng)絡(luò)地址：防止攻擊者從另一臺工作站上冒充用戶 C Kerberos的設(shè)計思路 （ 2） ? 問題： – 用戶希望輸入口令的次數(shù)最少。 – 口令以明文傳送會被竊聽。 ? 解決辦法 – 票據(jù)重用（ ticket reusable）。 – 引入票據(jù)許可服務(wù)器（ TGS ticketgranting server） ? 用于向用戶分發(fā)服務(wù)器的訪問票據(jù)； ? 認證服務(wù)器 AS 并不直接向客戶發(fā)放訪問應(yīng)用服務(wù)器的票據(jù)，而是由 TGS 服務(wù)器來向客戶發(fā)放。 Kerberos中的票據(jù) ? 兩種票據(jù) – 服務(wù)許可票據(jù)（ Service granting ticket） ? 是客戶訪問服務(wù)器時需要提供的票據(jù)； ? 用 TicketV 表示訪問應(yīng)用服務(wù)器 V 的票據(jù)。 ? TicketV 定義為 EKv [ IDC‖AD C‖ID V‖TS 2‖LT 2 ]。 – 票據(jù)許可票據(jù)（ Ticket granting ticket） ? 客戶訪問 TGS 服務(wù)器需要提供的票據(jù)，目的是為了申請某一個應(yīng)用服務(wù)器的 “ 服務(wù)許可票據(jù) ” ； ? 票據(jù)許可票據(jù)由 AS 發(fā)放； ? 用 Tickettgs 表示訪問 TGS 服務(wù)器的票據(jù)； ? Tickettgs 在用戶登錄時向 AS 申請一次，可多次重復(fù)使用； ? Tickettgs 定義為 EKtgs [ IDC‖AD C‖ID tgs‖TS 1‖LT 1 ]。 其中 :TS時間戳 ,LT是票據(jù)的生存時間 ? AS向客戶發(fā)放的是票據(jù)許可票據(jù) (Tickettgs)，該票據(jù)可以被用戶保存，當客戶 C需要訪問某個網(wǎng)絡(luò)服務(wù) V時， C向 TGS提供Tickettgs，再由 TGS向客戶 C提供訪問服務(wù) V的服務(wù)許可票據(jù)TicketV。然后 C就可使用 TicketV 來訪問服務(wù) V，同時 TicketV被保存，供再次訪問服務(wù) V使用。 ? 此方案中，只有當客戶需要訪問一種新的網(wǎng)絡(luò)服務(wù)時，才需要向 TGS申請一個新的服務(wù)許可票據(jù)，但每次用戶登錄時，票據(jù)許可票據(jù) (Tickettgs)只需要向 AS申請一次。 Kerberos V4認證過程示意圖 Kerberos V4認證過程 (1) ? 第一階段，認證服務(wù)器的交互，用于獲取票據(jù)許可票據(jù)： (1) C → AS ： IDC‖ID tgs‖TS 1 (2) AS → C ： EKc [ KC,tgs‖ID tgs‖TS 2‖LT 2‖Ticket tgs ] 其中： Tickettgs = EKtgs [ KC,tgs‖ID C‖AD C‖ID tgs‖TS 2‖LT 2] Kerberos V4認證過程 (2) ? 第二階段，票據(jù)許可服務(wù)器的交互，用于獲取服務(wù)許可票據(jù)： (3) C → TGS ： IDV‖Ticket tgs‖AU C (4) TGS → C ： EKc,tgs [ KC,V‖ID V‖TS 4‖Ticket V ] 其中： Tickettgs = EKtgs [ KC,tgs‖ID C‖AD C‖ID tgs‖TS 2‖LT 2] TicketV = EKv [ KC,V‖ID C‖AD C‖ID V‖TS 4‖LT 4] AUC = EKc,tgs [ IDC‖AD C‖TS 3] Kerberos V4認證過程 (3) ? 第三階段，客戶與應(yīng)用服務(wù)器的交互，用于獲得服務(wù)： (5) C → V ： TicketV‖AU C (6) V → C ： EKc,v [ TS5 + 1] 其中： TicketV = EKv [ KC,V‖ID C‖AD C‖ID V‖TS 4‖LT 4] AUC = EKc,v [ IDC‖AD C‖TS 5] Thank you very much! 返回本章首頁 退 出
試題試卷相關(guān)推薦
鄂ICP備17016276號-1