物理安全與身份認(rèn)證-資料下載頁
2025-01-09 21:51本頁面
【正文】 性不強(qiáng) 。 針對這種無序的狀況 ， 應(yīng)有規(guī)劃有目的地建立起全球一體化的分層 （ 樹狀 ） 結(jié)構(gòu) ， 形成良好的信任鏈條 。 Kerberos認(rèn)證系統(tǒng) 局限性 第 3講 物理安全與身份認(rèn)證 52 4． 重放攻擊的問題： 長票的生存期較長 ， 容易被重放攻擊；對短票而言 ， 如果攻擊者技術(shù)高明 ， 也有機(jī)會重放攻擊 ， 況且攻擊者可以著手破壞系統(tǒng)的時鐘同步性 。 我們建議 ， 在 Kerberos引入序列號循環(huán)機(jī)制 ， 即讓傳送的消息帶上一定的序列號 ， 這些序列號在由系統(tǒng)循環(huán)地賦予消息 ， 再結(jié)合系統(tǒng)原有的生存期控制 ， 將有效地保證一定的時間段里只能存在唯一的合法消息 ， 從而消除了重放的可能性 。 當(dāng)然 ， 這必須付出一定的系統(tǒng)開銷代價(jià) 。 Kerberos認(rèn)證系統(tǒng) 局限性 第 3講 物理安全與身份認(rèn)證 53 5． 密鑰的存儲問題： Kerberos認(rèn)證中心要求保存大量的共享私鑰 ， 無論是管理還是更新都有很大的困難 ， 需要特別細(xì)致的安全保護(hù)措施 （ 甚至應(yīng)采用硬件 /物理方法 ） ， 將付出極大的系統(tǒng)代價(jià) 。 6． 系統(tǒng)程序的安全性 、 完整性問題： 對 Kerberos系統(tǒng)程序進(jìn)行攻擊 ， 特別是惡意篡改登錄程序 ，是有效的攻擊方法 。 所以 ， 必須花一定的系統(tǒng)代價(jià)去防范對認(rèn)證系統(tǒng)本身的集中攻擊 。 其中 ， 建立高性能的防火墻和進(jìn)行日志是必要的 。 Kerberos認(rèn)證系統(tǒng) 局限性 第 3講 物理安全與身份認(rèn)證 PKI即公開密鑰體系 ， 是一種遵循既定標(biāo)準(zhǔn)的密鑰管理平臺 ， 它能夠?yàn)樗芯W(wǎng)絡(luò)應(yīng)用提供加密和數(shù)字簽名等密碼服務(wù)及所必需的密鑰和證書管理體系 ， PKI技術(shù)是信息安全技術(shù)的核心 ， 也是電子商務(wù)的關(guān)鍵和基礎(chǔ)技術(shù) 。 PKI的技術(shù)包括加密 、 數(shù)字簽名 、 數(shù)據(jù)完整性機(jī)制 、 數(shù)字信封 、 雙重?cái)?shù)字簽名等 。 （ 1） PKI技術(shù)的信任服務(wù) 在網(wǎng)絡(luò)通信和網(wǎng)絡(luò)交易中 ， 特別是在電子政務(wù)和電子商務(wù)業(yè)務(wù)中 ， 最需要的安全保證有四個方面：身份標(biāo)識和認(rèn)證 、 保密或隱私 、 數(shù)據(jù)完整性和不可否認(rèn)性 。 PKI可以完全提供以上四個方面的保障 ， 提供的服務(wù)主要包括下述三方面內(nèi)容 。 ① 認(rèn)證 。 ② 支持密鑰管理 。 ③ 完整性與不可否認(rèn) 。 公鑰基礎(chǔ)設(shè)施 PKI 54 第 3講 物理安全與身份認(rèn)證 （ 2） PKI的意義 ① 可以構(gòu)建一個可管 、 可控和安全的互連網(wǎng)絡(luò) 。 ② 可以在互連網(wǎng)中構(gòu)建一個完整的授權(quán)服務(wù)體系 。 ③ 通過 PKI可以建設(shè)一個普適性好和安全性高的統(tǒng)一平臺 。 （ 1） PKI的標(biāo)準(zhǔn) 從整個 PKI體系建立與發(fā)展的歷程來看 ， 與 PKI相關(guān)的標(biāo)準(zhǔn)主要包括以下幾種： ① (1988) 。 ② (1993)信息技術(shù)之開放系統(tǒng)互連：概念 、 模型及服務(wù)簡述 。 ③ (1993)信息技術(shù)之開放系統(tǒng)互連：鑒別框架 。 ④ PKCS系列標(biāo)準(zhǔn) 。 ⑤ OCSP在線證書狀態(tài)協(xié)議 。 ⑥ LDAP輕量級目錄訪問協(xié)議 。 公鑰基礎(chǔ)設(shè)施 PKI 55 第 3講 物理安全與身份認(rèn)證 （ 2） PKI的體系結(jié)構(gòu) 完整的 PKI系統(tǒng)必須具有權(quán)威認(rèn)證機(jī)構(gòu) 、 數(shù)字證書庫 、 密鑰備份及恢復(fù)系統(tǒng) 、證書作廢系統(tǒng) 、 應(yīng)用接口 （ API） 等基本構(gòu)成部分 ， 構(gòu)建 PKI也將圍繞著這五大系統(tǒng)來著手構(gòu)建 。 ① 認(rèn)證機(jī)構(gòu) 。 ② 證書和證書庫 。 ③ 密鑰備份及恢復(fù)系統(tǒng) 。 ④ 密鑰和證書的更新 。 ⑤ 證書的歷史檔案 。 ⑥ 客戶端軟件 。 ⑦ 交叉認(rèn)證 。 公鑰基礎(chǔ)設(shè)施 PKI 56 第 3講 物理安全與身份認(rèn)證 57 身份認(rèn)證 — 公鑰證書 （ 亦稱數(shù)字證書 ）： 它是由一個第三方證書授權(quán)中心 (CA)發(fā)行的，經(jīng) CA數(shù)字簽名的包含用戶的公鑰和與用戶身份相關(guān)的信息，是一個實(shí)體在網(wǎng)上信息交流及商務(wù)交易活動中的身份證明，具有唯一性。在基于證書的安全通信中，數(shù)字證書是證明用戶合法身份和提供用戶合法公鑰的憑證，是建立保密通信的基礎(chǔ)。 通常使用的是 符合 。它包含以下一些內(nèi)容：證書的版本信息；證書的序列號，每個證書都有一個唯一的證書序列號；證書所使用的簽名算法；證書的發(fā)行機(jī)構(gòu)名稱；證書的有效期；證書所有者的名稱；證書所有者的公開密鑰；證書發(fā)行者對證書的簽名。 第 3講 物理安全與身份認(rèn)證 58 Windows 2023 安全模型的主要特性： 用戶驗(yàn)證和訪問控制。 其中 Kerberos V5驗(yàn)證機(jī)制是 Windows 2023 安全系統(tǒng)所提供兩種不同驗(yàn)證中的一種，是服務(wù)網(wǎng)絡(luò)驗(yàn)證的默認(rèn)方式。 Win2023的 Kerberos V5驗(yàn)證機(jī)制 第 3講 物理安全與身份認(rèn)證 59 1. Kerberos V5 和域控制器 Kerberos V5 服務(wù)安裝在每個域控制器上； Kerberos 客戶機(jī)安裝在每個 Windows 2023 工作站和服務(wù)器上。 每個域控制器起著 KDC（密鑰分配中心）的作用。Win2023 系統(tǒng)使用域名服務(wù) (DNS) 查詢定位最近的可用域控制器。該域控制器則會在用戶登錄期間對該用戶起首選 KDC 的作用。如果首選 KDC 失效， Windows 2023 系統(tǒng)將確定一個替換 KDC 提供驗(yàn)證。 Win2K的 Kerberos V5驗(yàn)證機(jī)制 第 3講 物理安全與身份認(rèn)證 60 2. 驗(yàn)證的分派 驗(yàn)證的分派管理員授予用戶或計(jì)算機(jī)帳戶的權(quán)限。默認(rèn)情況下，只有域管理員才被賦予該權(quán)限。該權(quán)限必須有選擇的賦予可信任的服務(wù)器程序。 在一個 N 級應(yīng)用程序中，用戶針對中級服務(wù)進(jìn)行驗(yàn)證。中級服務(wù)則代表用戶針對后臺數(shù)據(jù)進(jìn)行驗(yàn)證。分派依賴可信任的中級服務(wù)進(jìn)行分派。委托分派的含義是服務(wù)可模仿用戶使用其他網(wǎng)絡(luò)服務(wù)。 Win2K的 Kerberos V5驗(yàn)證機(jī)制 第 3講 物理安全與身份認(rèn)證 61 3. Kerberos驗(yàn)證的好處 （ 1）服務(wù)器更加高效的驗(yàn)證。 （ 2）相互驗(yàn)證。 （ 3）授權(quán)驗(yàn)證。 （ 4）簡化信任管理。 （ 5）協(xié)同工作能力。 Win2K的 Kerberos V5驗(yàn)證機(jī)制 第 3講 物理安全與身份認(rèn)證 作 業(yè) ? P5 66名詞解釋與簡答題請?jiān)跁蟿澇龃鸢?。 ? 上網(wǎng)了解 Windows 202 202 2023R2 Server版的相關(guān)知識 。 62 第 3講 物理安全與身份認(rèn)證 演講完畢，謝謝觀看！
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1