2021-05-05

金融信息安全实训

第三章 身份认证与访问控制

1.身份认证

身份认证是信息安全中最前沿的一道防线，其他的安全服务都要依赖于它。一旦身份认证系统被攻破，那么系统的所有安全措施将形同虚设。

身份认证指的是对实体身份的证实，用以识别合法或者非法的实体，阻止非法实体假冒合法实体窃取或者访问网络资源。

典型的身份认证机密：静态口令、动态口令、密保问题、图形验证、各类证照、各类卡片、USB-key、手机。

2.生物认证

生物认证：基于个人独特的生理或行为特征进行自动身份认证的技术。

生物认证的特点：普遍性、方便性、不可复制性、高安全性、主动监控技术。

常用生物认证的基本原理：指纹、掌纹、手形、静脉、虹膜、视网膜、温谱、DNA、人脸、声纹、笔迹签名、步态识别、味纹。

3.访问控制

身份认证是二值化过程，要么通过要么拒绝，而授权则有着更加细粒度的控制。

基于角色的访问控制（RBAC）：把许可权与角色或用户组联系在一起，用户通过充当合适的角色而获得该角色的许可权。

 RBAC是一种非自主型的访问控制模式，在大多数信息管理系统中，角色由系统管理员创建、删除、修改和定义权利。用户被分配为某个角色后，就被赋予了该角色所拥有的权利与责任，这种授权方式是强制性的，用户只能被动地接受，不能自主地决定为角色增加或减少权利，也不能把自己角色的权利转授给其他用户。

总结：通过今天的实训，让我充分掌握弱口令爆破工具、SQLServer2010、MyEclipse等软件，了解弱爆破工具的使用，让我们体会到信息时代，密码安全的重要性，会有很多破解密码的软件，要加强自己的密码意识，不要轻易被他人破解。