网络安全基础之认证

对于计算机系统来说，识别用户和验证用户权限是至关重要的！常见的认证方法有以下几种：

 

   （1）基础认证

这是最简单的一类认证，常见的口令保护即是一例。

 

   （2）生物特征和智能卡

生物特征使用独一无二的人体特征，例如指纹、视网膜扫描或面部扫描等，来鉴定用户，指纹扫描装置、面部扫描装置和视网膜扫描装置，正在取代使用口令登录系统。

 

   （3）Kerberos

   内部的计算机攻击（例如，来自一个合法用户的攻击）很普遍并且能造成很大的破坏。例如，对组织不满的用户，通过网络访问让组织的网络失效，或者盗窃有价值的组织信息。据不完全统计，有70%~90%的公司网络攻击是来自内部的。一种集中式的、安全的认证系统，能对此类的安全性攻击较容易地做出快速反应。Kerberos是MIT研制的一种免费使用和公开源码的协议，能防御内部的安全性攻击，它采用秘密密钥加密技术认证网络用户，并维持网络通信的完整性和隐私性。

    网上有篇文章对Kerberos作了通俗的解释。

 

   （4）单一登录

单一登录系统通过允许用户使用单一的口令仅登录一次的方式，简化了认证过程。用户

经单一登录系统认证后，就能通过多台计算机访问多个应用程序。如果攻击者可以使用口令，那么所有由该口令保护的应用程序，都能被访问和遭受到攻击。单一登录通常有如下几种形式：

客户端登录脚本（workstation login script）为单一登录最简单的形式。用户在客户端登录后，从菜单中选择应用程序。客户端登录脚本把用户的口令发送到应用程序服务认证用户，以便于将来访问那些应用程序。由于用户的口令经常以明文形式存储在客户计算机上，所以许多客户端登录脚本没有提供足够的安全性等级。即使脚本采用了简单的口令加密，但算法也一定在系统内，这就意味着，任何得到计算机访问权的入侵者都能解密。

认证服务器脚本（authentication server script）通过一台中心服务器认证用户，中心服务器控制着用户与用户想访问的应用程序间的连接。认证服务器脚本比客户端登录脚本更加安全的原因在于，口令都被保存在服务器内，而服务器总体上比客户机更加安全。然而，如果服务器的安全性被破坏，那么整个系统的安全性也将被破坏。

基于令牌的认证（token-based authentication）是最先进的单一登录系统，一旦用户得到认证，将发布一个唯一的令牌，使用户能访问指定的应用程序。kerberos使用的就是基于令牌的认证。

 

 

注： 本文参照 《操作系统》整理。

（美）Harvey M. Deitel, Paul J. Deitel, David R. Choffnes著，清华大学出版社，2007. V3 

 

2010.4.2