【正文】 te Authority)通過為用戶發(fā)放數(shù)字證書 (Certificate)來證明用戶公鑰與用戶身份的對應(yīng)關(guān)系 。 第 5講 認(rèn)證 3） 智能卡 網(wǎng)絡(luò)通過用戶擁有什么東西來識別的方法 ， 一般是用智能卡或其它特殊形式的標(biāo)志 ， 這類標(biāo)志可以從連接到計算機(jī)上的讀出器讀出來 。 智能卡技術(shù)將成為用戶接入和用戶身份認(rèn)證等安全要求的首選技術(shù) 。 這樣智能卡的讀取器必將成為用戶接入和認(rèn)證安全解決方案的一個關(guān)鍵部分 。 安全性高 。更普通的是通過視網(wǎng)膜膜血管分布圖來識別 ，原理與指紋識別相同 ， 聲波紋識別也是商業(yè)系統(tǒng)采用的一種識別方式 。 某些系統(tǒng)在建立一個加密鏈路后再進(jìn)行口令的傳輸以解決此問題 ， 如配置鏈路加密機(jī) 。 為保證安全性 ， 口令應(yīng)當(dāng)經(jīng)常更換 。 但缺點是難于記憶 。 簡單和安全是互相矛盾的兩個因素 。 安全的口令要求 ： 1) 位數(shù) 6位 。 3)字母與數(shù)字混合 。 第 5講 認(rèn)證 二、基于口令的身份認(rèn)證 不安全的口令則有如下幾種情況： (1)使用用戶名 （ 帳號 ） 作為口令 。將用戶名顛倒或者加前后綴作為口令 ， 比如說著名的黑客軟件 John， 如果你的用戶名是 fool，那么它在嘗試使用 fool作為口令之后 ， 還會試著使用諸如 fool12 loof、 loof12 lofo等作為口令 ， 只要是你想得到的變換方法 ， John也會想得到 。 這種口令很脆弱 ， 因為這樣往往可以得到一個 6位或者 8位的口令 ， 但實際上可能的表達(dá)方式只有 100 12 31=37200種 。 這種方法比前幾種方法要安全一些 。 (5)使用 5位或 5位以下的字符作為口令 。 B、 定期更換口令 。 D、 用口令破解程序測試口令 。 由于認(rèn)證信息要通過網(wǎng)絡(luò)傳遞 ， 并且很多認(rèn)證系統(tǒng)的口令是未經(jīng)加密的明文 ， 攻擊者通過竊聽網(wǎng)絡(luò)數(shù)據(jù) ， 就很容易分辨出某種特定系統(tǒng)的認(rèn)證數(shù)據(jù) ， 并提取出用戶名和口令 。 最常見的是電子郵件被非法截獲 。 攻擊者仍可以采用離線方式對口令密文實施字典攻擊； 對付重放的方法有： 1在認(rèn)證交換中使用一個序數(shù)來給每一個消息報文編號 ， 僅當(dāng)收到的消息序號合法時才接受之； 2使用時間戳 (A接受一個新消息僅當(dāng)該消息包含一個 A認(rèn)為是足夠接近 A所知道的時間戳 )。 所以大多數(shù)系統(tǒng)都建議用戶在口令中加入特殊字符 ， 以增加口令的安全性 。 如果用戶的密碼較短 ， 很容易被窮舉出來 ， 因而很多系統(tǒng)都建議用戶使用長口令 。 第 5講 認(rèn)證 社交工程： 攻擊者冒充合法用戶發(fā)送郵件或打電話給管理人員 ， 以騙取用戶口令 。 垃圾搜索： 攻擊者通過搜索被攻擊者的廢棄物 ， 得到與攻擊系統(tǒng)有關(guān)的信息 ， 如果用戶將口令寫在紙上又隨便丟棄 ， 則很容易成為垃圾搜索的攻擊對象 。 為降低猜中的概率： 1減少口令使用壽命 ， 即提高口令更換的頻率 。 3增加可能口令的數(shù)目 ， 即提高口令的字符個數(shù) 。 第 5講 認(rèn)證 讓硬件解密商品不能發(fā)揮作用 。 然后加密這個復(fù)合串 。 第 5講 認(rèn)證 例：打入一個用戶名后 ， 不論賬戶是否存在 ， 都在相同時間里要求輸入口令 。 6. 系統(tǒng)中只保存口令的加密形式 第 5講 認(rèn)證 （ OTP： One Time Password） 在登錄過程中加入不確定因素 ， 使每次登錄過程中傳送的信息都不相同 ， 以對付重放攻擊 。 用于人工控制環(huán)境中 。 3） 使用時間戳 ， 兩端維持同步的時鐘 。 這種集成電路卡 ， 是隨著 Integrated Circuit（ 集成電路 ） 卡的縮寫 ， 也稱 “ MEMORY CARD”和 “ SMART CARD”， 中文譯作 “ 聰明卡 ” 、 “ 智慧卡 ” 和半導(dǎo)體技術(shù)的發(fā)展以及社會對信息的安全性和存儲容量要求的日益提高而應(yīng)運(yùn)而生的 。 第 5講 認(rèn)證 IC卡優(yōu)點： 存儲容量大 、 體積小而輕 、 保密性強(qiáng) 、 網(wǎng)絡(luò)要求低 數(shù)據(jù)可靠性高 IC卡防磁 、 防靜電 、 防潮 、 耐溫 、抗干擾能力強(qiáng) ， 一張 IC卡片可重復(fù)讀寫十萬次 ，卡中數(shù)據(jù)可保存幾十年 。 內(nèi)部數(shù)據(jù)保密性 、 可靠性好 ， 讀寫穩(wěn)定可脫機(jī)工作 ， 易于安裝維護(hù)； 第 5講 認(rèn)證 智能卡技術(shù)規(guī)范 1） ISO 7816 描述智能卡底層接口標(biāo)準(zhǔn) ， 定義讀卡器和智能卡之間如何傳遞字節(jié)流 。 2） PC/SC (Personal Computer/Smart Card )工作組 Microsoft聯(lián)合其它幾家公司推出了稱為 PC/SC 的智能卡應(yīng)用程序標(biāo)準(zhǔn) ， 用于 Win32平臺的個人計算機(jī)與智能卡之間實現(xiàn)互通信 。 PC/SC 工作組持有對 PCICC互操作規(guī)范的所有權(quán) 。 目的是支持智能卡應(yīng)用程序在網(wǎng)絡(luò)計算機(jī) 、 PC機(jī) 、 ATM和 GSM平臺上實現(xiàn)應(yīng)用互操作 。 4） Java Card 論壇 1996年 10月推出了 Java Card API規(guī)范 ， 目前版本為， 1997年 4月 27日 ， Java Card論壇正式宣布成立 。 第 5講 認(rèn)證 Java Card就是能夠運(yùn)行 Java程序的智能卡 。 所謂 Java Card 規(guī)范 ， 主要是定義了 Java作為一種獨立于平臺的編程技術(shù)在智能卡上的應(yīng)用 。 也就是說Java applet能夠直接運(yùn)行在遵循 ISO7816標(biāo)準(zhǔn)的智能卡之上 。 在用戶進(jìn)行商務(wù)交易前 ， 服務(wù)器首先使用智能卡完成用戶身份的認(rèn)證 。 服務(wù)器及智能卡必須隨時保持相同的變動因子 ， 才能算出相同的動態(tài)密碼 。 認(rèn)證過程如下： 1） 登錄請求 。 2） 詢問 。 第 5講 認(rèn)證 3） 應(yīng)答 。 4） 驗證 。 由于密鑰存在于智能卡中 ， 運(yùn)算過程也是在智能卡中完成 ， 密鑰認(rèn)證是通過加密算法來實現(xiàn)的 ， 因而極大地提高了安全性 。 三、基于智能卡的身份認(rèn)證 第 5講 認(rèn)證 第 5講 認(rèn)證 詢問 /應(yīng)答身份認(rèn)證的優(yōu)點： 。 。 。認(rèn)證過程如下： 1） 用戶向服務(wù)器發(fā)出登錄請求 ， 服務(wù)器提示用戶輸入用戶 ID和用戶 PIN。 3） 智能卡根據(jù)內(nèi)在的密鑰 K與客戶機(jī)時間 T使用相同的專用算法計算動態(tài)密碼 RC， 并發(fā)送給服務(wù)器 。 三、基于智能卡的身份認(rèn)證 第 5講認(rèn)證 時間同步認(rèn)證卡在一個固定期間中 (通常是一分鐘 )產(chǎn)生同一個動態(tài)密碼 ， 依據(jù)時間的流逝產(chǎn)生不同的密碼 。 缺點： 1. 時間同步困難，可能造成必須重新輸入新密碼。常常需要與服務(wù)器重新對時。 三、基于智能卡的身份認(rèn)證 第 5講認(rèn)證 第 5講認(rèn)證 事件同步的身份認(rèn)證 優(yōu)點： 1. 容易使用。 缺點： 如果沒有 PIN號碼的保護(hù)及認(rèn)證卡借給別人使用時，會有安全的疑慮。 這些需要特殊硬件 ， 這就限制了生物技術(shù)只能用在比較少的環(huán)境中 。 實際上 ， 存在著某些局限性 。而使用指紋閱讀器難于做到這一點 。 還有 ， 因為生物技術(shù)具有極為本質(zhì)的特點 ， 因此不可能給出準(zhǔn)確的答案 。 在匹配算法中必須建立某些公差 。 這避免了需要主機(jī)數(shù)據(jù)庫 ， 而是依賴于卡的安全性來防止竄改 。 四、基于生物特征的身份認(rèn)證 第 5講認(rèn)證 優(yōu)點： 1. 絕對無法仿冒的使用者認(rèn)證技術(shù)。 2. 不夠穩(wěn)定 (辯識失敗率高 )。如果不傳輸這些信息，身份也能得到證明就好了，這就需要零知識證明技術(shù) (The proof of zero knowledge) 。 第 5講認(rèn)證 解釋零知識證明的通俗例子是洞穴問題。 第 5講認(rèn)證 P如何使 V相信自己掌握了洞穴的秘密 : 1)V站在 A點。 3)當(dāng) P進(jìn)洞之后， V走到 B點。 5)P按要求實現(xiàn) (以咒語，即解數(shù)學(xué)難題 )。 被認(rèn)證方 P掌握的秘密信息一般是長期沒有解決的猜想問題的證明，但能通過具體的步驟來驗證它的正確性。 ? 輸出長度固定。 ? 單一性 常見單項雜湊函數(shù) ? MD4 ? MD5 ? SHA MD5 ? 明文分組，采用填充方法使其成為 512bit的整數(shù)倍。 ? Hmd5運(yùn)算。 ? 用戶認(rèn)證：基于使用者本身的認(rèn)證。 ? 客戶認(rèn)證：一般基于源地址而不是基于用戶的訪問授權(quán)的認(rèn)證。 ? 服務(wù)器應(yīng)能夠限制非授權(quán)用戶的訪問并能夠鑒別對服務(wù)的請求。 ? 一個工作站上一個用戶可能冒充另一個用戶操作； ? 一個用戶可能改變一個工作站的網(wǎng)絡(luò)地址，從而冒充另一臺工作站工作； ? 一個用