信息安全复习九：身份认证

已于 2023-04-25 21:33:12 修改
阅读量1.5k 收藏 10
点赞数 3
分类专栏： 信息安全 文章标签： 网络 信息安全 安全 密码
于 2023-04-25 18:02:35 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_51184727/article/details/130369149
版权

一、章节梗概

1.身份认证的基本概念
2.基于口令的身份认证：Unix口令，动态口令
3.基于密码的身份认证技术
①.质询与应答认证技术
②.Needham-Schroeder 协议
③.KERBEROS协议

二、身份认证的基本概念

2.1 定义

宣称者向验证方出示证据，证明其身份的交互过程
至少涉及两个参与者，是一种协议
分为双向认证和单向认证

2.2 区分身份认证和报文鉴别

区分
1.报文鉴别是静态附加在报文之上；身份认证是动态的协议交互的过程；报文鉴别可以作为基本方法，用于设计身份认证协议
2.身份认证一般和时间相关，具有实时性

重大区别就是:
要保证用于身份认证的报文的“鲜活性”
最早是由毛文波提出的，鲜活性在身份认证里指用于身份认证的凭证每次都不一样;

对身份认证最大的威胁是：重放攻击

三、基于口令的身份认证

3.1 介绍

基于口令认证的一般过程分为两个阶段:
初始化阶段：
1.用户选择口令
2.口令经哈希后把哈希值存储在口令文件里
身份认证阶段：
1.用户登录系统，输入口令
2.系统同样方向计算哈希值，和之前存放在口令文件里的哈希值比较

是弱的认证方法：
口令在相当长一段时间内固定
明文存放或哈希之后存放
通过设置规则(如要求字母、数字、长度等)，避免设置弱口令
Salt(盐值)提高字典攻击的穷举空间，有大量的应用实例：Unix口令和动态口令

3.2 对基于口令认证的攻击

1.重放攻击（因口令一般一段时间内固定)
2.穷举攻击：8个字符相当于40-50bits的穷举空间
3.字典攻击：
什么是口令字典?
典型的口令词典:容易被采用作为口令的词条
在线字典攻击:攻击者从字典文件里的词条拿出来一个一个去匹配口令

怎么防御在线字典攻击?
a.随机口令设置
b.或者通过一些规则避免设置弱的口令，增加穷举者攻击空间的目的
避免设置弱的口令，提高字典攻击的难度。

4.离线字典攻击
a.建立离线字典文件
字典文件包含两列：①口令②口令对应的哈希值
口令列表，与攻击目标系统采用同样哈希算法，计算生成口令的哈希值

b.获取password 文件
password文件里的哈希值与字典文件里的哈希值进行比对

离线字典攻击原理：
在这里插入图片描述

防范离线字典攻击典型方法:
撒点盐的方法，通过撒点盐的方法来提高离线字典攻击的穷举空间

以UNIX口令系统为例—撒盐方法

在这里插入图片描述

Salt(使用加密技术生成的随机数）
在这里插入图片描述

5.基于口令的认证方式总结
●一种弱的认证方法
窃取A的password ，将在很长一段时间拥有A的权限，直到A发现
●特别的，网络环境下远程认证
远程登录，password 传递形式，加密还是明文
早期的互联网协议，telnet 、 http 、 ftp都是明文传递
网络环境下口令认证又会带来新的问题
●可以通过设置一些规则避免简单的口令
●一种普遍的身份认证方式，因为容易部署、易使用

3.3 动态口令

解决的问题：基于口令的身份认证易受重放攻击，如何避免口令固定被重放?
需要事先共享口令序列，每次认证后更新，当前期待的口令与前一个的口令不一样。

如何共享?
要解决这个问题最早的方案是Lamport动态口令方案
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

四、身份认证协议的分类

1.弱的身份认证
基于口令、PIN码等
动态口令( one time passwords )半强的

2.强的(基于密码技术的）身份认证
质询与应答技术

3.基于可信第三方的身份认证（不但实现身份认证、还解决密钥分发问题)
Needham-Schroeder 协议
Kerberos协议

五、身份认证协议之质询与应答

引入
强的(基于密码技术的）身份认证：质询与应答技术
1.对称密钥实现质询与应答
2.公开密钥实现质询与应答

质询与应答的基本逻辑
在这里插入图片描述
在这里插入图片描述
质询与应答的实现方式

使用对称密钥秘密体制
①对称密钥加密②报文鉴别码

用公开密钥密码体制
①数字签名

5.1 对称密钥实现质询与应答

基于对称密钥–基本思想
在这里插入图片描述
单向身份认证，对称密钥
在这里插入图片描述
反射攻击
在这里插入图片描述
单向身份认证，使用时间戳
在这里插入图片描述
双向认证，对称密钥加密
在这里插入图片描述
对称密钥实现身份认证小结：
对称密钥密码技术通信之前需要做的事情是什么?
密钥交换。
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述

5.2 公开密钥实现质询与应答

基于公开密钥
单向认证协议，基于数字签名
在这里插入图片描述
双向认证协议，基于数字签名
在这里插入图片描述
单向认证协议，基于对时间戳签名
在这里插入图片描述
质询与问答协议的标准化
在这里插入图片描述

六、Needham-Schroeder 协议

Needham-Schroeder 协议解决的主要问题？
密钥分发和认证。

思考：要求参与方事先完成对称密钥交换，可扩展性( Scalability）是个问题。
任意通信两方需要共享不同的密钥随着ServerlClient数量的增加…密钥如何分发，如何管理?最初Needham-Schroeder协议提出的动机就是要解决上述问题（密钥分发和认证)
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

协议历史
最著名的安全协议之一
1978年首次公开发表，1981年被发现有一定缺陷
几经改进最终称为Kerberos协议的基础

Needham-Schroeder提供的安全服务
在这里插入图片描述
Needham-Schroeder协议本身细节
在这里插入图片描述
对Needham-Schroeder协议的攻击
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

七、Kerberos协议

7.1 KERBEROS协议解决的问题

KERBEROS是一个经过长期考验的认证协议
解决的问题：认证、数据完整性、保密性
在这里插入图片描述
在这里插入图片描述

KERBEROS协议解决的问题
在这里插入图片描述

KERBEROS协议解决的问题小结
在这里插入图片描述
在这里插入图片描述

7.2 KERBEROS的引入协议

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

7.3KERBEROS的完整对话

前提条件
在这里插入图片描述

在这里插入图片描述

在这里插入图片描述
谈谈基于Kerberos的Windows Network Authentication[上篇]
PKI、身份认证、CA

liuaa41
关注
  • 3
    点赞
  • 踩
  • 10
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
信息安全概论期末复习资料
12-05
信息安全概论期末复习资料，参考书清华大学出版社 介绍信息安全的基本概念、原理、知识体系与应用，主要涉及密码学基础与应用、消息认证，身份验证，数字签名，网络安全，软件安全与恶意程序，计算机病毒，SDL（软件安全开发生命周期）-软件安全设计初窥，STRIDE 威胁建模方法，网络安全法等信息安全领域的基础知识。
05_《计算机安全原理与实践》用户认证
qq_42171569的博客
04-30 1640
05_《计算机安全原理与实践》用户认证 前言 NIST SP 800-63-3 将用户认证定义为：信息系统对用户电子式提交的身份建立信任的过程。系统根据用户提交的认证信息判断用户是否被授权使用系统的某些资源。举个例子，在使用window系统时需要输入pin来登录设备，获得pc的使用权。本章将简要罗列用户验证的相关原理，对书中留下的主要问题进行简要讨论。 1.认证方法和风险评估 1.1 四种认证方法 计算机系统主要基于四种方法对用户进行认证： 1.个人所知道的信息：可以是个人标识码或口令，或是关于预设问题的应
身份认证攻击
最新发布
cikagre的博客
05-10 614
网络服务认证攻击是指攻击者试图以非法方式获取或绕过对网络服务的认证机制的过程。
【网络信息安全】鉴别和密钥分配协议
萌宅鹿的技术小屋
03-30 6239
鉴别和密钥分配主要内容鉴别协议 主要内容 鉴别协议 Needham-Schroeder双向鉴别协议 改进的Needham-Schroeder协议 单向鉴别协议 密钥分配协议 对称密钥的分配 公开密钥的分配 使用公开加密算法分配对称密钥 鉴别和密钥分配的作用： 鉴别能正确识别信息发送方身份，且检测信息内容的任何修改。 对加密明文的保密主要依赖于密钥的保密： 密钥管理涉及...
信息安全概论复习笔记 第九章 身份认证（不是重点，做了解吧）
csdncaozhenming的博客
04-23 1967
信息安全概论复习笔记 第九章 身份认证（不是重点，做了解吧）
基于非对称加密证书（算法）机制实现的单向身份鉴别和双向身份鉴别原理
pz641的博客
10-30 493
单向认证一般是指客户端确认服务端身份，而双向认证一般是指客户端和服务器端都需要验证对方的身份。双向认证的客户端需要从服务器端下载服务器的公钥证书进行验证，还需要把客户端的公钥证书上传到服务器端给服务器端进行验证，等双方都认证通过后，才开始建立安全通信通道进行数据传输。
Needham-Schroeder协议原理及实现(Java)
星留影的刹那间
05-01 8366
基本介绍 Needham-Schroeder是一个基于对称加密算法的协议，它要求有可信任的第三方KDC参与，采用Challenge/Response的方式，使得A、B互相认证对方的身份。 协议过程 (1)A→KDC:IDA∣∣IDB∣∣N1(1)A→KDC:ID_A||ID_B||N_1(1)A→KDC:IDA​∣∣IDB​∣∣N1​ (2)KDC→A：EKa[KS∣∣IDB∣∣N1,Ekb[KS...
物联网信息安全复习资料.docx
04-17
《物联网信息安全复习资料》 物联网信息安全是当前信息技术领域的重要研究方向，它涉及到物联网设备、数据传输、信息处理等环节的安全保障。本复习资料基于机械工业出版社出版的《物联网信息安全》一书，由桂小林、...
湘潭大学信息安全复习要点2021年版
05-30
- 数字签名涉及公钥和私钥的使用顺序，理解其在验证消息完整性和身份认证中的作用。 12. 背包问题与Diffie-Hellman协议： - 背包问题在公钥密码系统中用于密钥选择，要求理解和计算。 - Diffie-Hellman协议的...
网络信息安全期末复习笔记存档
07-07
【网络信息安全期末复习笔记存档】是一份针对网络信息安全课程的重点复习资料，涵盖了计算机与网络安全的基本概念、密码算法与协议、网络安全的现状、OSI安全框架、不同类型的攻击及其特点，安全服务和安全机制等...
信息安全导论期末重点复习资料1
08-08
【信息安全导论】期末复习资料概述 信息安全是网络时代维护数据安全、保护用户隐私和确保系统稳定运行的关键领域。本复习资料主要涵盖了信息安全的基础概念、威胁类型、安全属性以及防护措施，旨在帮助学习者全面...
安全协议期末复习（自用版）
qq_53237633的博客
01-09 1340
安全协议期末复习自由版
口令认证机制
weixin_45639224的博客
08-02 1890
口令认证机制
基于密码技术的身份认证——基于对称密码体制的身份认证
m0_73514785的博客
01-26 1606
B收到消息TokenAB后，解密“EBP（RB||KAB||A||Text3）”获得KAB，并利用。A，B双方的会话密钥加密“（TNA||B||Text5）”，然后将它们合并生成消息TokenAB发送给B；到消息TokenAB后，解密“EBP（TNP||KAB||A||Text2）”获得KAB，并利用其解密“KAB。（TNA||B||Text5）”，B根据解密得到的内容，检查用户ID，A，B，时间戳或序列号TNP，TNA的。P生成A，B双方的会话密钥KAB，分别联合RA和RB，用。
哈工大计算机网络课程网络安全基本原理详解之：密钥分发中心与公钥认证中心
大数据开发、JAVA开发、人工智能AI
07-31 1015
哈工大计算机网络课程网络安全基本原理详解之：密钥分发中心与公钥认证中心
计算机网络安全复习三——密钥分发与认证协议
qq_52737907的博客
12-27 5311
计算机网络安全复习
信息安全与身份认证技术详解
悦分享
10-03 338
在网络安全中，身份认证技术作为第一道，甚至是最重要的一道防线，有着重要地位，可靠的身份认证技术可以确保信息只被正确的“人”所访问。身份认证技术提供了关于某个人或某个事物身份的保证，这意味着当某人（或某事）声称具有一个特别的身份时，认证技术将提供某种方法来证实这一声明是正确的。用户在对内网不同部门进行访问之前，需要对身份信息进行审核，准入控制用户身份的认证、授权可以在接入控制设备上完成，也可以交由服务器完成。如果在接入控制设备上完成，则相当在接入控制设备上配置一个本地的用户认证服务器。
密钥分配&&认证中心&&证书原理
LY_624的专栏
05-11 2557
一、密钥分配 1.对称密钥的分配 2.公钥的分配 二、认证中心及证书 1.什么是CA？ 2.CA电子商务网络示意图 3.证书的内容 4.证书图标 5.CA的功能 6.使用证书提供的服务 7.证书服务 三、应用
【kerberos】kerberos 认证浅析
九师兄
06-28 2296
转载并且补充：Kerberos认证浅析在希腊神话中Kerberos是守护地狱之门的一条凶猛的三头神犬，而本文介绍的Kerberos认证协议是由美国麻省理工学院(MIT)首先提出并实现的。Kerberos认证是一个三路处理过程，依赖称为密钥分发中心（KDC）的第三方服务来验证计算机相互的身份，并建立密钥以保证计算机间安全连接。本质上每台计算机分享KDC一个秘钥，而KDC有两个部件：一个Kerberos 认证服务器和一个票据授权服务器。如果KDC不知道被请求目标服务器，则会求助于另一个KDC来完成认证。它允许在
用java写一个信息安全身份认证系统
05-29
好的，以下是用 Java 实现一个基于信息安全的身份认证系统的基本框架： ```java import java.security.MessageDigest; import java.security.NoSuchAlgorithmException; import java.util.HashMap; import java.util.Map; import java.util.Scanner; public class AuthSystem { private Map<String, String> users; public AuthSystem() { users = new HashMap<>(); } public void register(String username, String password) { String hashedPassword = hashPassword(password); users.put(username, hashedPassword); System.out.println("User " + username + " registered"); } public boolean login(String username, String password) { String hashedPassword = hashPassword(password); if (users.containsKey(username) && users.get(username).equals(hashedPassword)) { System.out.println("User " + username + " logged in"); return true; } else { System.out.println("Invalid username or password"); return false; } } private String hashPassword(String password) { String hashedPassword = null; try { MessageDigest md = MessageDigest.getInstance("SHA-256"); md.update(password.getBytes()); byte[] bytes = md.digest(); StringBuilder sb = new StringBuilder(); for (byte b : bytes) { sb.append(String.format("%02x", b)); } hashedPassword = sb.toString(); } catch (NoSuchAlgorithmException e) { e.printStackTrace(); } return hashedPassword; } public static void main(String[] args) { AuthSystem authSystem = new AuthSystem(); Scanner scanner = new Scanner(System.in); while (true) { System.out.println("Enter 1 to register, 2 to login, or 3 to exit"); int choice = scanner.nextInt(); scanner.nextLine(); if (choice == 1) { System.out.println("Enter username:"); String username = scanner.nextLine(); System.out.println("Enter password:"); String password = scanner.nextLine(); authSystem.register(username, password); } else if (choice == 2) { System.out.println("Enter username:"); String username = scanner.nextLine(); System.out.println("Enter password:"); String password = scanner.nextLine(); authSystem.login(username, password); } else if (choice == 3) { break; } else { System.out.println("Invalid choice"); } } } } ``` 以上代码中，我们使用了 Java 的 MessageDigest 类来对用户的密码进行 SHA-256 哈希，确保用户密码不会明文存储。身份认证系统提供了注册和登录功能，当用户注册时，系统将其用户名和哈希过的密码存储在用户列表中。当用户登录时，系统将用户输入的密码哈希后与存储在列表中的密码进行比较，如果匹配，则认为登录成功。在主函数中，我们使用了 Scanner 类来获取用户输入，并根据用户选择来执行不同的操作。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值