部分身份認(rèn)證ppt課件-閱讀頁
2025-05-22 02:47本頁面
【正文】 GT的生命周期結(jié)束，故 TGT也稱為登陸票證。 認(rèn)證過程的模型 (1) 認(rèn)證過程的模型 (2) A （用戶） AS TGS V 登陸 取得票證 得到服務(wù) (1)A (2)KA(Ks,KTGS(A, Ks)) (3)KTGS(A, Ks),V,Ks(A) (4)Ks(V,KAV),KV(A, KAV)) (5)KV(A,KAV),KAV(t) (6)KAV(t+1) 步驟 1 ? 客戶機(jī)登陸服務(wù)器，向 AS發(fā)送賬戶名認(rèn)證Authenticator （記做 A），申請(qǐng)初始票據(jù) TGT，而該賬戶的 key的 hash值則作為用戶的 user key(記做 KA)緩存在客戶機(jī)中。 ? KDC上除了 user key 以外，還有 TGS自身的 key，我們稱它為 (記做 KTGS) 。 ? AS將 TGT用 KTGS 加密 (記做 KTGS(A, Ks)) ，將 KS和TGT 用 AS端的 KA加密，發(fā)送給客戶端。 ? 客戶端向 TGS發(fā)出到某個(gè)服務(wù)器 V的 Service Ticket申請(qǐng)，用會(huì)話密鑰 Ks加密時(shí)間戳，然后把以下內(nèi)容發(fā)送給 TGS： ? SPN:全稱是 Service Principal Name，記要訪問的服務(wù)器名稱，這個(gè)在第一次發(fā)送的時(shí)候是明文的，后面再次發(fā)送的時(shí)候就是密文了。 ? 被 TGS Key加密的 TGT。在解密時(shí)間戳以后， 評(píng)估是不是一個(gè)重放攻擊，如果通過測(cè)試，則會(huì)創(chuàng)建一個(gè)用于建立客戶機(jī)和 ServerV之間的會(huì)話密鑰 KAV，然后再創(chuàng)建 KAV的一個(gè)拷貝，這兩個(gè)相同的會(huì)話密鑰有不同的用處。 步驟 5 ? 客戶機(jī)得到 Ks(V, KAV)和 Ticket(Kv(A,KAV))后，可以解密得到到服務(wù)器 V的會(huì)話密鑰 KAV，但 Ticket的內(nèi)容無法解密。 步驟 6 ? 服務(wù)器 V用和 KDC之間的會(huì)話密鑰 Kv解密 Ticket，可得到客戶機(jī)向 KDC申請(qǐng)的到自己的請(qǐng)求服務(wù)的會(huì)話密鑰 KAV，再用 KAV解密客戶機(jī)發(fā)來的加密的時(shí)間戳，可以證明這不是一個(gè)重放攻擊，同時(shí)證明客戶機(jī)是Ticket的真正擁有者。 Kerberos協(xié)議的缺陷 ? 無法抵抗弱口令。 ? 需要嚴(yán)格的時(shí)鐘，但目前大多數(shù)使用的時(shí)鐘都可以篡改。 ? 目前只能用于局域網(wǎng)或企業(yè)網(wǎng)中。 ? 時(shí)間戳可以指出某此驗(yàn)證的具體時(shí)間，這樣可以是驗(yàn)證方發(fā)現(xiàn)這樣一個(gè)驗(yàn)證請(qǐng)求是否曾經(jīng)已經(jīng)出現(xiàn)過。一般情況下都是以 U盾的形式出現(xiàn)的。 EAP（可擴(kuò)展的身份驗(yàn)證協(xié)議） ? EAP 是一組以插件模塊的形式為任何 EAP 類型提供結(jié)構(gòu)支持的內(nèi)部組件。目前常用的的兩種插件為 MD5Challenge 和 EAPTLS ，其中前者使用類似 chap的技術(shù)，屬于對(duì)稱方式的認(rèn)證，后者使用數(shù)字證書，屬于非對(duì)稱方式的認(rèn)證，具體使用哪種是可以由用戶選擇的。 ? 但是隨著移動(dòng)辦公及駐地網(wǎng)運(yùn)營等應(yīng)用的大規(guī)模發(fā)展，服務(wù)提供者需要對(duì)用戶的接入進(jìn)行控制和配置。這個(gè)認(rèn)證協(xié)議使用的認(rèn)證核心是 EAP。 ? 在登陸時(shí)，服務(wù)器會(huì)隨機(jī)發(fā)一組矩陣坐標(biāo)（ X，Y），用戶按照要求刮開密保卡對(duì)應(yīng)坐標(biāo)的格子，取出里邊的數(shù)值填寫提交。 ? 用戶將所有格子刮開后，密?？▽⒉辉俦Ｃ?，此時(shí)需要重新更換密?？?。 動(dòng)態(tài)電子口令卡基本原理 ? 銀行在柜臺(tái)發(fā)售這種裝置時(shí)，與網(wǎng)銀用戶綁定建立一對(duì)一對(duì)應(yīng)關(guān)系，使用唯一的 128位種子將其初始化；其內(nèi)部芯片每分鐘都會(huì)使用一種算法，組合該種子與當(dāng)前時(shí)間，生成一個(gè)隨機(jī)的數(shù)字。 ? 服務(wù)器端和每個(gè)對(duì)應(yīng)的“動(dòng)態(tài)口令牌”都使用同樣的一套算法，可以自定義計(jì)算數(shù)組的時(shí)間間隔。但同一時(shí)間算出的數(shù)字都是一樣的，要不就會(huì)驗(yàn)證不能通過，這個(gè) 6位阿拉伯?dāng)?shù)字的計(jì)算過程中時(shí)間是一個(gè)很重要的參數(shù)，使用時(shí)間參數(shù)時(shí) 2者的時(shí)間必須要保持一致，要不就會(huì)時(shí)間不同步導(dǎo)致動(dòng)態(tài)口令牌失效！ ? U盾：網(wǎng)銀賬號(hào)、網(wǎng)銀口令、 U盾本體、 U盾口令。 電子口令卡與 U盾的安全性對(duì)比
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1