網(wǎng)絡(luò)安全14用戶認(rèn)證(參考版)
2025-01-12 23:13本頁(yè)面
【正文】 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 43 聯(lián)合身份管理 ? 身份管理系統(tǒng)要素 ? 認(rèn)證 ? 授權(quán) ? 審計(jì) ? 物質(zhì)供應(yīng) ? 工作流自動(dòng)化 ? 管理 ? 口令同步 ? 自助口令重置 ? 聯(lián)合 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 44 聯(lián)合身份認(rèn)證 ? 身份聯(lián)合：身份管理在多個(gè)安全域上的擴(kuò)展 ? 跨域的身份管理 ? 身份映射 ? 聯(lián)合身份標(biāo)準(zhǔn)：安全聲明標(biāo)記語(yǔ)言（ SAML），定義在線商業(yè)伙伴之間的安全信息交換。 Kerberos 總結(jié) 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 38 基于公鑰加密的遠(yuǎn)程認(rèn)證 ? 需要確保彼此的公鑰提前已經(jīng)獲知 ? 采用一個(gè)中心認(rèn)證服務(wù)器 Authentication Server (AS) ? 用時(shí)間戳或臨時(shí)交互號(hào)的變形協(xié)議 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 39 雙向認(rèn)證： Denning AS 協(xié)議 ? Denning 81 協(xié)議描述如下 : 1. A AS: IDA || IDB 2. AS A: EPRas[IDA||PUa||T] || EPRas[IDB||PUb||T] 3. A B: EPRas[IDA||PUa||T] || EPRas[IDB||PUb||T] || EPUb[EPRas[Ks||T]] ? 會(huì)話密鑰由 A選擇，所以不存在會(huì)話密鑰被 AS泄密的危險(xiǎn) ? 時(shí)間戳可用于防止重放攻擊，但需要時(shí)鐘同步。 不過(guò)由于沒(méi)有使用非對(duì)稱密鑰自然也就無(wú)法具有抗否認(rèn)性 ， 這也限制了它的應(yīng)用 。 再加上時(shí)間戳的使用就很大程度上的保證了用戶鑒別的安全性 。 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 37 概括起來(lái)說(shuō) Kerberos協(xié)議主要做了兩件事 1． Ticket的安全傳遞 。 ? 鑒別轉(zhuǎn)發(fā)能力 ? 更有效的方法來(lái)解決領(lǐng)域間的認(rèn)證問(wèn)題 ? 口令攻擊 ? 提供了一種預(yù)鑒別（ preauthentication）機(jī)制，使口令攻擊更加困難。 ? 報(bào)文字節(jié)順序 ? 采用抽象語(yǔ)法表示（ ）和基本編碼規(guī)則（ BER）來(lái)進(jìn)行規(guī)范。 ? 字節(jié)順序：沒(méi)有遵循標(biāo)準(zhǔn) ? 票據(jù)有效期 ? 有效期最小為 5分鐘，最大約為 21小時(shí) , 往往不能滿足要求 ? 認(rèn)證轉(zhuǎn)發(fā)能力 ? 不允許簽發(fā)給一個(gè)用戶的鑒別證書(shū)轉(zhuǎn)發(fā)給其他工作站或其他客戶使用 2022/2/5 Kerberos（ V4）協(xié)議的缺陷 30 Kerberos（ V4）協(xié)議的缺陷（續(xù)） ? 領(lǐng)域間的鑒別 ? 管理起來(lái)困難 ? 加密操作缺陷 ? 非標(biāo)準(zhǔn)形式的 DES 加密（傳播密碼分組鏈接 PCBC）方式，易受攻擊 ? 會(huì)話密鑰 ? 存在著攻擊者重放會(huì)話報(bào)文進(jìn)行攻擊的可能 ? 口令攻擊 ? 未對(duì)口令提供額外的保護(hù)，攻擊者有機(jī)會(huì)進(jìn)行口令攻擊 2022/2/5 31 ? 加密系統(tǒng) ? 支持使用任何加密技術(shù) 。 2022/2/5 19 Kerberos的票據(jù) ? 兩種票據(jù) ? 票據(jù)許可票據(jù)（ Ticket granting ticket） ? 客戶訪問(wèn) TGS 服務(wù)器需要提供的票據(jù)，目的是為了申請(qǐng)某一個(gè)應(yīng)用服務(wù)器的 “服務(wù)許可票據(jù)”； ? 票據(jù)許可票據(jù)由 AS 發(fā)放； ? 用 Tickettgs 表示訪問(wèn) TGS 服務(wù)器的票據(jù)； ? Tickettgs 在用戶登錄時(shí)向 AS 申請(qǐng)一次，可多次重復(fù)使用； ? 服務(wù)許可票據(jù)（ Service granting ticket） ? 是客戶時(shí)需要提供的票據(jù)； ? 用 TicketV 表示訪問(wèn)應(yīng)用服務(wù)器 V 的票據(jù)。 ? 解決辦法 ? 票據(jù)重用（ ticket reusable）。 ? 用基于 NeedhamSchroeder的認(rèn)證協(xié)議實(shí)現(xiàn) 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 16 Kerberos v4 概覽 ? 基于第三方的認(rèn)證方案 ? 認(rèn)證服務(wù)器 (AS) ? 用戶初始與 AS對(duì)話以標(biāo)識(shí)自身 ? AS 發(fā)放一個(gè)高度可信的認(rèn)證證書(shū) (ticket granti
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1