【0527】身份鉴别技术
身份鉴别技术
概念
网络安全的AAA机制
鉴别Authentication，授权Authorization，审计Audience
鉴别就是可信地确认实体是它所声明的。
鉴别需要满足的要求：
（1）A能向B证明自己的确是A；
（2）A证明身份后，B得不到任何用于假冒A的有用信息，其他实体无法向第三方声称自己是A
相关实体：
（1）申请者
（2）验证者
（3）攻击者
身份鉴别系统的主要要求
（1）验证者正确鉴别合法申请者的概率极大化
（2）
基本方法
所知【如通行口令】；所有【如磁卡】；唯一特征【如指纹】
鉴别方式分类：依据鉴别信息是否共享进行分类，鉴别可分为对称鉴别和非对称鉴别。
对称鉴别方法的例子有：口令和使用对称密码技术加密的质询。非对称鉴别方法的例子有：使用非对称密码技术和在不暴露任何信息情况下对信息所有者的信息进行验证的技术。
依据鉴别过程是否采用密码技术，鉴别分为使用密码技术的鉴别和使用非密码技术的鉴别。非密码技术的身份鉴别技术包括使用口令或质询－响应表。使用密码技术的身份鉴别技术实例包括使用加密来保护传输期间的口令。
攻击方法：
信道截获：很多口令是明文在信道上传输，会被截获
口令猜测：
重放：
修改或伪造：
常用身份鉴别技术和安全性
保证消息的实时性的基本方法：
1.时间戳
局限性：网络延迟的因素，时间窗设置太小无法包容网络延迟，太大攻击风险增大
2.质询/响应方式：A期望从B获得消息，先随机发送一个质询
过程：当声称者想让验证者进行鉴别时，声称者向验证者发出鉴别要求，验证者发给声称者一 个自己产生的随机质询消息n 。声称者输入口令 p， p和 id 经过散列函数 f 计算的结果 （等于 q）再和n 通过散列函数 h 计算得到r，r发送至验证者。验证者将保存的 q 和生成 的n 通过散列函数 h 计算得到 r’，通过比较r’ 和r是否相等来确定鉴别是否通过。
质询—响应的身份鉴别，其安全性一方面取决于散列函数的安全性；另一方面，由于是单向鉴别，还存在着验证者的假冒和重放攻击。这可以通过双向鉴别或时间戳来解决。例如，在系统每次输出的密文信息中附加日期与时间信息，鉴别双方都可以根据密文中的日期时间 来判断消息是否是当前的。如果是前面的消息重放，用户则拒绝给出回答。
局限性：只适用于连接性
基于口令的身份鉴别技术
基本口令鉴别
口令鉴别协议PAP
引入散列函数（字典攻击）
ID—口令,单向加密
安全性分析:攻击者事先计算好各种长度的字符串的消息摘要,存放在字典文件里,再进行对比查找.
加盐salt（把随机salt和原来的口令组合）
加盐就是在进行散列运算时，增加 随机salt 字符串的输入，通过 salt 和口令混合加密得出散列值。
一次性口令鉴别OTP
对抗重放攻击。
主要思路:每次登陆传送的鉴别信息不一样.
OTP 主要的实现方式有三种：第一种是质询－响应方式。鉴别时，系统随机给出一个信息，用户将该信息连同其鉴别信息（可能经过计算处理）提交系统进行鉴别；第二种方法采用时钟同步机制，与质询－响应方式的差异是随机信息是同步时钟信息。第三种方法是采用 S/KEY 一次性口令身份鉴别协议。
一个基于OTP的用户鉴别方案(S-key方案)
安全性分析:小数攻击【M修改成小数，攻击者就可以截取声称者发的消息后继续迭代计算散列函数，最后冒充声称者得到服务器发送的信息。】；缺乏完整性保护机制。不能保护用户鉴别过程受到各种主动攻击：包括注入虚假信息，修改传输过程中的鉴别数据，修改口令文件等。
双因子身份鉴别
生物特征鉴别
基于零知识证明的鉴别协议
A要证明自己知道秘密,但是不能泄露秘密信息.
Kerberos 身份鉴别系统
Kerberos 的鉴别原理很简单，它采用对称密钥加密技术来提供可信任的第三方鉴别服务。通信双方共享一个密钥 K，通信的一方可以通过验证对方是否知道密钥 K，来验证对方的身份。这种鉴别存在一个密钥分发问题，即通信双方如何知道他们的共享密钥。显然不能把共享密钥通过通信线路明文传输，那样容易被监听者窃取。Kerberos 采用如下机制来解决这个问题：它建立一个公正的第三方密钥分发中心（KDC，Key Distribution Center）， KDC 负责给通信双方生成共享密钥，并通过票据（Ticket）给通信双方分发共享密钥。
KDC 由鉴别服务器（AS，Authentication Server）和票据授予服务器（TGS，Ticket Granting Server）组成。
票据由 AS 和 TGS 分发，票据用于秘密地向服务器发送持有票据的用户的身份鉴别信息。票据和鉴别码一起使用可以确认使用票据的客户和发送票据的用户是同一个用户。
Kerberos 域内鉴别过程
域内鉴别包括三个阶段，即鉴别服务交换，票据许可服务交换和客户机/服务器鉴别交换。
（1）鉴别服务交换
该阶段客户机获得与票据分发服务器 TGS 通信的许可票据。
（2）票据许可服务交换
该阶段客户机获得与应用服务器 S 通信的许可票据。
（3）客户机/服务器鉴别交换阶段
该阶段用于服务请求。
这个域中包括一个 Kerberos 鉴别系统，很多客户和很多应用服务器。该 Kerberos 服务器必须满足如下要求：
（1）鉴别系统数据库中保存所有用户的 ID 和用户口令的散列码。所有用户都要向鉴别服务器AS 注册。
（2）Kerberos 服务器必须与每个应用服务器共享一个密钥，所有应用服务器也必须向鉴别服务器 AS注册。
Kerberos局限性
- 不能抵抗口令猜测攻击
- 抗重放攻击问题 【票据的生存期较长，容易被重放攻击】
- 密钥的存储问题 【Kerberos 鉴别服务器保存所有用户或服务器的共享秘密密钥，密钥管理与分配任务复杂，需要特别细致的安全保护措施（甚至应采用硬件/物理方法），付出的系统代价很大，如果服务器一旦被攻破其后果是灾难性的. 】
- 鉴别域之间的信任问题
做题：
数字证书的安全性依赖的是( 基于公钥密码体制的数字签名机制）
实现双向鉴别是对身份鉴别系统的基本要求。（错误）
口令鉴别协议是弱身份鉴别机制。（正确）
措施（甚至应采用硬件/物理方法），付出的系统代价很大，如果服务器一旦被攻破其后果是灾难性的. 】
4. 鉴别域之间的信任问题
做题：
数字证书的安全性依赖的是( 基于公钥密码体制的数字签名机制）
实现双向鉴别是对身份鉴别系统的基本要求。（错误）
口令鉴别协议是弱身份鉴别机制。（正确）
本文来自互联网用户投稿，文章观点仅代表作者本人，不代表本站立场，不承担相关法律责任。如若转载，请注明出处。 如若内容造成侵权/违法违规/事实不符，请点击【内容举报】进行投诉反馈！