協(xié)議安全技術(shù)認(rèn)證協(xié)議(參考版)
2025-01-12 02:39本頁面
【正文】 A 。 2022/2/6 教材與參考書 ? 教材： ? 張世永，網(wǎng)絡(luò)安全原理與應(yīng)用，科學(xué)出版社， 2022 ? 參考書 ? 闕喜戎 等 編著，信息安全原理及應(yīng)用，清華大學(xué)出版社 ? Christopher , Curitis , T. Ertem Osmanoglu（常曉波等譯） . 安全體系結(jié)構(gòu)的設(shè)計、部署與操作，清華大學(xué)出版社， 2022(Christopher , et al, Security Architecture, design, deployment amp。 ? 證書主體和頒發(fā)者的屬性 ? 這類擴(kuò)展支持可選主體名字或頒發(fā)者名字。 ? 例如，用戶密鑰被泄露，CA的密鑰被泄露，或者用戶不再使用某一個CA頒發(fā)的證書等 。 ? CA 之間交換公開密鑰（即交換證書）。 ? 通過訪問公共目錄服務(wù)獲取對方的證書，或直接傳遞。 ? CA 用其私有密鑰對證書進(jìn)行了簽名 ? 用戶可用 CA 的公開密鑰驗(yàn)證證書的有效性； ? 任何擁有 CA 公開密鑰的用戶都可以從證書中提取被該證書認(rèn)證的用戶的公開密鑰； ? 除了 CA外，任何用戶都無法偽造證書或篡改證書的內(nèi)容； ? 由于證書是不可偽造的，可將證書存放數(shù)據(jù)庫（即目錄服務(wù)）中，而無需進(jìn)行特殊的保護(hù)。 ? 簽名技術(shù)。 ? 領(lǐng)域間互通的前提 ? 支持不同領(lǐng)域之間進(jìn)行用戶身份鑒別的機(jī)制； ? 互通領(lǐng)域中的 Kerberos 服務(wù)器之間必須共享一個密鑰； ? 同時兩個 Kerberos 服務(wù)器也必須進(jìn)行相互注冊。 ? 領(lǐng)域的劃分是根據(jù)網(wǎng)絡(luò)的管理邊界來劃定的。 ? 所有用戶均在 Kerberos 服務(wù)器上注冊。 ? Kerberos 服務(wù)器數(shù)據(jù)庫中擁有所有參與用戶的 UID 和口令散列表。 ? 鑒別轉(zhuǎn)發(fā)能力 ? 更有效的方法來解決領(lǐng)域間的認(rèn)證問題 ? 口令攻擊 ? 提供了一種預(yù)鑒別（ preauthentication）機(jī)制，使口令攻擊更加困難。 ? 報文字節(jié)順序 ? 采用抽象語法表示（ ）和基本編碼規(guī)則（ BER）來進(jìn)行規(guī)范。 ? 字節(jié)順序：沒有遵循標(biāo)準(zhǔn) ? 票據(jù)有效期 ? 有效期最小為 5分鐘，最大約為 21小時 , 往往不能滿足要求 ? 認(rèn)證轉(zhuǎn)發(fā)能力 ? 不允許簽發(fā)給一個用戶的鑒別證書轉(zhuǎn)發(fā)給其他工作站或其他客戶使用 Kerberos（ V4）協(xié)議的缺陷 2022/2/6 Kerberos（ V4）協(xié)議的缺陷（續(xù)） ? 領(lǐng)域間的鑒別 ? 管理起來困難 ? 加密操作缺陷 ? 非標(biāo)準(zhǔn)形式的 DES 加密（傳播密碼分組鏈接 PCBC）方式，易受攻擊 ? 會話密鑰 ? 存在著攻擊者重放會話報文進(jìn)行攻擊的可能 ? 口令攻擊 ? 未對口令提供額外的保護(hù)，攻擊者有機(jī)會進(jìn)行口令攻擊 2022/2/6 ? 加密系統(tǒng) ? 支持使用任何加密技術(shù) 。 Kerberos設(shè)計思路（續(xù)） 2022/2/6 Kerberos設(shè)計思路（續(xù)） 電影院售票處 電影院乙 購票許可證 這是我的購票許可證 你的電影票 這是我的電影票 許可證部門 觀眾 我要買票，這是我的信用卡密碼 問題：解決了重復(fù)使用信用卡問題，但是其他兩個問題沒有解決 引入了許可證可信問題 2022/2/6 ? 兩種票據(jù) ? 票據(jù)許可票據(jù)（ Ticket granting ticket） ? 客戶訪問 TGS 服務(wù)器需要提供的票據(jù)，目的是為了申請某一個應(yīng)用服務(wù)器的 “服務(wù)許可票據(jù)”； ? 票據(jù)許可票據(jù)由 AS 發(fā)放； ? 用 Tickettgs 表示訪問 TGS 服務(wù)器的票據(jù)； ? Tickettgs 在用戶登錄時向 AS 申請一次，可多次重復(fù)使用； ? 服務(wù)許可票據(jù)（ Service granting ticket） ? 是客戶時需要提供的票據(jù)； ? 用 TicketV 表示訪問應(yīng)用服務(wù)器 V 的票據(jù)。 ? 解決辦法 ? 票據(jù)重用（ ticket reusable）。 ? 會話過程 ： Kerberos設(shè)計思路 (1) C ? AS: IDC || PC || IDv (2) AS ? C: Ticket (3) C ? V : IDC || Ticket ? 其中： Ticket = EKv[IDC || ADC || IDv] 2022/2/6 ? 會話過程 ： Kerberos設(shè)計思路（續(xù)） Ticket = EKv[IDC , ADC , IDv] C AS V (1) IDC , PC , IDv Ticket IDC , Ticket IDC：用戶 C的標(biāo)識 PC ：用戶口令 IDv：服務(wù)器標(biāo)識 ADC：用戶網(wǎng)絡(luò)地址 搜索數(shù)據(jù)庫看用戶是否合法 如果合法，驗(yàn)證用戶口令是否正確 如果口令正確，檢查是否有權(quán)限訪問服務(wù)器 V 用與 AS共享密鑰解密票據(jù) 檢查票據(jù)中的用戶標(biāo)識與網(wǎng)絡(luò)地址是否與用戶發(fā)送的標(biāo)識及其地址相同 如果相同，票據(jù)有效，認(rèn)證通過 用戶
試題試卷相關(guān)推薦
鄂ICP備17016276號-1