第3章 身份鉴别技术

《第3章 身份鉴别技术》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、第3章　身份鉴别本章目标1.身份鉴别的基本概念2.非密码的身份鉴别机制3.基于密码算法的身份鉴别机制4.Kerberos协议原理23.1身份鉴别的基本概念3.1.1身份鉴别的依据3.1.2身份鉴别的两种情形33.1.1身份鉴别的基本概念鉴别(Authentication)也叫验证,是防止主动攻击的一种重要技术｡就是验证用户身份的合法性和用户间传输信息的完整性与真实性｡身份鉴别的依据可以分为三种：（1）用户所知道的某种信息（如：密码和口令）（2）用户拥有的某种物品（身份证、USKKEY）（3）用户具有的某种特征（指纹、DNA、脸型）4

2、3.1.2身份鉴别的两种情形1、实体鉴别：也称身份鉴别,使某一实体确信与之打交道的实体正是所需要的实体｡例如验证申请进入网络系统者是否是合法用户,以防非法用户访问系统。2、数据原发鉴别：数据源发鉴别用于鉴定某个指定的数据是否来源于某个特定的实体｡如采用数字签名技术就是数据原发鉴别的具体运用53.2身份鉴别机制3.2.1非密码的鉴别机制3.2.2基于密码算法的鉴别63.2.1非密码的鉴别机制非密码的鉴别机制包括：口令机制、一次性口令机制、质询——应答机制、基于地址的机制、基于个人特征的机制。71.口令机制口令机制又称作通行字机制，它是

3、最广泛研究和使用的身份鉴别法。口令验证的识别过程：①用户将口令传送给计算机；②计算机完成口令单向函数值的计算；③计算机把单向函数值和机器存储的值比较。典型运用：计算机密码8在使用口令机制时，我们对付口令猜测的措施主要有：1）严格限制非法登录的次数；2）规定口令的最小长度，如至少6～8位以上；3）防止用户特征相关口令；4）确保口令定期改变；5）取消安装系统时所用的预设口令；6）使用机器产生的口令；7）定期对用户和系统管理者进行安全意识教育、培训。92.一次性口令机制两端共同使用一个随机序列生成器，在该序列生成器的初态保持同步；两端随机

4、序列生成器在同一时间会产生相同的随机数。典型运用：动态口令卡103.质询——应答机制基于质询/应答方式的身份鉴别机制就是每次鉴别时鉴别服务器端都给客户端发送一个不同的“质询”字串，客户端程序收到这个“质询”字串后，做出相应的“应答”。鉴别过程为:1、客户向鉴别服务器发出请求，要求进行身份鉴别;2、鉴别服务器从用户数据库中查询用户是否是合法的用户，若不是，则不做进一步处理;3、鉴别服务器内部产生一个随机数,作为“提问”，发送给客户4、客户将用户名字和随机数合并，使用单向Hash函数生成一个字节串作为应答;5、鉴别服务器将应答字串与本机

5、单向HASH函数的计算结果比较，若二者相同，则通过一次鉴别，否则鉴别失败;114.基于地址的机制基于地址的机制假定声称者的可鉴别性是以呼叫的源地址为基础的。如基于IP的认证方式或基于MAC的认证方式125.基于个人特征的机制通过识别用户的生理特征来认证用户的身份是安全性极高的身份认证方法。例如有：（1）指纹识别；（2）声音识别；（3）手迹识别；（4）视网膜扫描；（5）手形及掌纹等。133.2.2基于密码算法的鉴别基于密码的鉴别机制的基本原理是：因为声称者知道某一秘密密钥，从而使验证者相信，声称者正是其所声称的实体。对称密码技术和非对

6、称密码技术都可以被用来实现鉴别。141.基于对称密码算法的鉴别机制声称者使用对称密钥加密或封装某一消息。如果验证者能成功地解密消息或验证封装是正确的，那么验证者相信，消息来自声称者。2.基于公开密码算法的鉴别机制声称者使用他的私有密钥签署某一消息，验证者使用声称者的公开密钥验证签名。如果签名能够被正确地验证，则验证者相信：声称者正是他所声称的实体。153.3Kerberos认证系统Kerberos协议是80年代由MIT开发的一种协议。其命名是根据希腊神话中守卫冥王大门的长有三头的看门狗。它的安全机制在于首先对发出请求的用户进行身份验

7、证，确认其是否是合法的用户；如果是，再审核该用户是否有权对他所请求的服务或主机进行访问。从加密算法上来讲，其验证是建立在对称加密的基础上的。他采用可信任的第三方，密钥分发中心（KDC）保存与所有密钥持有者通信的保密密钥，其认证过程颇为复杂，下面简化叙之。16AS身份认证服务器USER登陆提供USER信息1、用户提供自己的信息给AS认证服务器17AS身份认证服务器USER用户和TGS之间的会话密钥TGT加密USER和AS共享密钥Output*Output*用户和TGS之间的会话密钥USER的信息加密TGS和AS之间的共享密钥2、AS服

8、务器认证USER的身份，并产生USER与TGS之间的会话密钥3、AS用TGS和AS之间的共享密钥加密（USER信息+用户与TSG之间的会话密钥）得到TGT（注意：此TGT文件USER无法解开）4、AS将（TGT+用户和TGS之间的会话