網(wǎng)絡安全-14-用戶認證(參考版)
2025-01-12 23:12本頁面
【正文】 2022/2/5 西安電子科技大學計算機學院 43 聯(lián)合身份管理 ? 身份管理系統(tǒng)要素 ? 認證 ? 授權 ? 審計 ? 物質(zhì)供應 ? 工作流自動化 ? 管理 ? 口令同步 ? 自助口令重置 ? 聯(lián)合 2022/2/5 西安電子科技大學計算機學院 44 聯(lián)合身份認證 ? 身份聯(lián)合：身份管理在多個安全域上的擴展 ? 跨域的身份管理 ? 身份映射 ? 聯(lián)合身份標準：安全聲明標記語言（ SAML），定義在線商業(yè)伙伴之間的安全信息交換。 Kerberos 總結 2022/2/5 西安電子科技大學計算機學院 38 基于公鑰加密的遠程認證 ? 需要確保彼此的公鑰提前已經(jīng)獲知 ? 采用一個中心認證服務器 Authentication Server (AS) ? 用時間戳或臨時交互號的變形協(xié)議 2022/2/5 西安電子科技大學計算機學院 39 雙向認證： Denning AS 協(xié)議 ? Denning 81 協(xié)議描述如下 : 1. A AS: IDA || IDB 2. AS A: EPRas[IDA||PUa||T] || EPRas[IDB||PUb||T] 3. A B: EPRas[IDA||PUa||T] || EPRas[IDB||PUb||T] || EPUb[EPRas[Ks||T]] ? 會話密鑰由 A選擇，所以不存在會話密鑰被 AS泄密的危險 ? 時間戳可用于防止重放攻擊，但需要時鐘同步。 不過由于沒有使用非對稱密鑰自然也就無法具有抗否認性 ， 這也限制了它的應用 。 再加上時間戳的使用就很大程度上的保證了用戶鑒別的安全性 。 2022/2/5 西安電子科技大學計算機學院 37 概括起來說 Kerberos協(xié)議主要做了兩件事 1． Ticket的安全傳遞 。 ? 鑒別轉(zhuǎn)發(fā)能力 ? 更有效的方法來解決領域間的認證問題 ? 口令攻擊 ? 提供了一種預鑒別（ preauthentication）機制，使口令攻擊更加困難。 ? 報文字節(jié)順序 ? 采用抽象語法表示（ ）和基本編碼規(guī)則（ BER）來進行規(guī)范。 ? 字節(jié)順序：沒有遵循標準 ? 票據(jù)有效期 ? 有效期最小為 5分鐘，最大約為 21小時 , 往往不能滿足要求 ? 認證轉(zhuǎn)發(fā)能力 ? 不允許簽發(fā)給一個用戶的鑒別證書轉(zhuǎn)發(fā)給其他工作站或其他客戶使用 2022/2/5 Kerberos（ V4）協(xié)議的缺陷 30 Kerberos（ V4）協(xié)議的缺陷（續(xù)） ? 領域間的鑒別 ? 管理起來困難 ? 加密操作缺陷 ? 非標準形式的 DES 加密（傳播密碼分組鏈接 PCBC）方式，易受攻擊 ? 會話密鑰 ? 存在著攻擊者重放會話報文進行攻擊的可能 ? 口令攻擊 ? 未對口令提供額外的保護，攻擊者有機會進行口令攻擊 2022/2/5 31 ? 加密系統(tǒng) ? 支持使用任何加密技術 。 2022/2/5 19 Kerberos的票據(jù) ? 兩種票據(jù) ? 票據(jù)許可票據(jù)（ Ticket granting ticket） ? 客戶訪問 TGS 服務器需要提供的票據(jù)，目的是為了申請某一個應用服務器的 “服務許可票據(jù)”； ? 票據(jù)許可票據(jù)由 AS 發(fā)放； ? 用 Tickettgs 表示訪問 TGS 服務器的票據(jù)； ? Tickettgs 在用戶登錄時向 AS 申請一次，可多次重復使用； ? 服務許可票據(jù)（ Service granting ticket） ? 是客戶時需要提供的票據(jù)； ? 用 TicketV 表示訪問應用服務器 V 的票據(jù)。 ? 解決辦法 ? 票據(jù)重用（ ticket reusable）。 ? 用基于 NeedhamSchroeder的認證協(xié)議實現(xiàn) 2022/2/5 西安電子科技大學計算機學院 16 Kerberos v4 概覽 ? 基于第三方的認證方案 ? 認證服務器 (AS) ? 用戶初始與 AS對話以標識自身 ? AS 發(fā)放一個高度可信的認證證書 (ticket granti
試題試卷相關推薦
鄂ICP備17016276號-1