3.1 身份鉴别

1.标识与鉴别

（1）标识的概念: 标识是实体身份的一种计算机表达，每个实体与计算机内部的一个身份表达绑定
（2）鉴别: 确认实体是它所声明的，提供了关于某个实体身份的保证，某一实体确信与之打交道的实体正是所需要的实体
（3）标识与鉴别的作用
①作为访问控制的一种必要支持，访问控制的执行依赖于确知的身份
②作为数据源认证的一种方法
③作为审计追踪的支持

2.鉴别的基本概念

（1）鉴别系统的构成: 验证者、被验证者、可信赖者
（2）鉴别的类型: 单向鉴别、双向鉴别、第三方鉴别
（3）鉴别的方式
①基于实体所知(知识、密码、PIN码等)
②基于实体所有(身份证、钥匙、智能卡、令牌等)
③基于实体特征(指纹，笔迹，声音，视网膜等)
④双因素、多因素认证

3.基于实体所知的鉴别

（1）使用最广泛的身份鉴别方法
实现简单、成本低；提供弱鉴别
（2）面临的威胁
暴力破解、木马窃取、线路窃听、重放攻击

4.密码暴力破解安全防护

（1）暴力破解防护
①使用安全的密码(自己容易记，别人不好猜)
②系统、应用安全策略(帐号锁定策略)
③随机验证码：变形；干扰；滑块；图像识别

5.木马窃取密码安全防护

（1）使用密码输入控件
①安全的输入框，避免从输入框中还原密码
②软键盘，对抗击键记录
③随机排列字符，对抗屏幕截图重现

6.密码嗅探攻击安全防护

（1）加密:单向函数
（2）攻击者很容易构造一张q与p对应的表，表中的p尽可能包含所期望的值
解决办法:在口令中使用随机数
（3）一次性口令: 每次鉴别中所使用的密码不同， 有效应对密码嗅探及重放攻击
（4）实现机制
①两端共同拥有一串随机口令，在该串的某一位置保持同步
②两端共同使用一一个随机序列生成器，在该序列生成器的初态保持同步
③使用时间戳，两端维持同步的时钟

7.密码嗅探及重放攻击防护

（1）挑战机制
①客户端:请求登录
②服务器:给出随机数作为挑战请求
③将登录信息 (用户名、密码)与随机数合并，使用单向函数(如MD5)生产字符串，作为应答返回服务器
④服务认证后返还结果

8.基于实体所有的鉴别方法

（1）采用较多的鉴别方法
①使用用户所持有的东西来验证用户的身份
②用于鉴别的东西通常不容易复制
（2）鉴别物体
①IC卡(Integrated Circuit Card) 是将一个做电子芯片嵌入复合卡基，做成卡片形式的信息载体
②内存卡
③逻辑加密卡
④CPU卡
（3）特点： 难以复制、安全性高
（4）安全威胁及防护
①损坏 ，封装应坚固耐用，承受日常使用中各种可能导致卡片损坏的行为
②复制 ，保证IC卡中存储和处理的各种信息不被非法访问、复制、篡改或破坏PIN码甚至其他技术实现对数据的安全防护，确保逻辑安全措施得到落实
（5）使用每个人所具有的唯一生理特征
鉴别的方式：指纹、掌纹、静脉；虹膜、视网膜；语音；面部扫描

9.Kerberos协议

（1）什么是Kerberost协议
①1985年由美国麻省理工学院开发，用于通信实体间的身份证，1994年V5版本作为Internet标准草案公布
②基于对称密码算法为用户提供安全的单点登录服务
③包含可信第三方认证服务
（2）Kerberos协议的优点
①避免本地保存密码及会话中传输密码
②客户端和服务器可实现互认
（3）体系构成
①运行环境构成

• 密钥分发中心(KDC)
  • 系统核心，负责维护所有用户的账户信息
  • 由AS和TGS两个部分构成
    • 认证服务器(AS:Authentication Server)
    • 票据授权服务器(TGS:Ticket Granting Server)
• 应用服务器
• 客户端

②其他概念

• 票据许可票据(TGT)
• 服务许可票据(SGT)

（4）认证过程
认证过程由三个阶段组成，例如需要访问OA
第一次:获得票据许可票据(TGT)
第二次:获得服务许可票据(SGT)
第三次:获得服务
（5）工作过程
A.获得TGT
①客户机向AS发送访问TGS请求(明文)

• 请求信息:用户名、IP地址、时间戳、随机数等
• AS验证用户(只验证是否存在)

②AS给予应答

• TGT(包含TGS会话密钥)，使用KDC密码加密
• 其他信息(包含TGS会话密钥)，使用用户密码加密

B.获得SGT
①客户机向TGS发送访问应用服务请求

• 请求信息使用TGS会话密钥加密(包含认证信息)
• 包含访问应用服务名称(http)

②TGS验证认证信息(包含用户名等)后，给予应答

• SGT
• 客户机与应用服务器之间的会话密钥

C.获得服务
①客户机向应用服务器请求服务

• SGT(使用http服务器密码加密)
• 认证信息

②应用服务器(验证认证信息)
提供服务器验证信息(如果需要验证服务器)

10.AAA协议

（1）什么是AAA协议
认证、授权和计费(Authentication、Authorization、Accounting,AAA)
（2）常见AAA协议
①RADIUS协议
②TACACS+协议
③Diameter协议