信息安全技术——（三）标识与认证技术

• 询问用户名，输入用户名，知道这个人是系统中的人，就是标识
• 标识你这个人是系统中的人，再用密码验证，发现输入密码和系统中密码一致，进入这个系统就是验证
• 简单来说，标识与认证技术就是一整套的应答体系
• 在物联网、车联网时代，标识与认证技术有了新的变化，有些地方不用密码。比如开车进车库不能输入用户名、密码和验证码

1.标识的概念

1.1概念

• 标识（Identity）是指对实体的数字化指代。实体既可以是一个业务操作对象，也可以是业务操作发起者，即包括客体与主体。
  • 主体就是主动访问的人或东西。
  • 客体就是被访问的那个东西。
  • 如果一个程序想访问你的银行账户，这个程序就是一个实体。
• 不同性质、类别和形式的实体需要不同的标识，对信息安全相关实体建立标识体系就是构建信息安全系统的基础工作之一
  • 比如大一入学时的学号就是标识的技术工作。
• 身份认证、访问控制、审计技术、网络协议等都需要利用标识对程序、设备、网络、用户和资源等进行识别并进行相应操作；在网络安全防护中，需要在过滤或防火墙系统中指明发现恶意主机或网络，还有可能要阻断某类网络连接，因此需要使用主机、网络和连接标识
  • 否则不知道阻断哪一台主机的连接

1.2分类

1.系统实体标识

• 系统资源标识：如内存地址
• 用户、组、角色标识：如登录windows的账户，windows账户中不同的组、管理员角色、超级用户角色
• 数字证书标识：如网银有数字证书标识、支付宝有数字证书标识，表明可以使用数字证书的许可

2.网络实体标识

• 主机、网络和连接标识：如目前和百度的连接状态
• 网络资源标识
• 连接及其状态标识

2.口令与挑战-响应技术

2.1概念

• 被认证者（声称者）可以通过声称知道某事获得认证，其中，“某事”一般包括口令与相关问题的回答，相应身份的确认技术被称为口令或挑战-响应认证技术

2.2面临的安全威胁

• 外部泄露：自己泄露密码，导致账户被盗用
• 口令猜测：猜口令，如侧信道攻击
• 线路窃听：窃听专门进行口令验证与挑战-响应的服务器通信包，解密通信包，破译所有人的密码，如网易邮箱的整体泄密事件
• 重放攻击->NRV(Non Repeated Value)：如有人登录支付宝，把数据包截下来，分析其中一个包是用来发送用户名和密码的，重放一下看能够撞开账号，这就需要加一个时间戳，避免重用
• 对验证方的攻击：如果口令不好破解，直接把服务器爆破。
  • 爆破服务器指的是抓服务器，也就是用字典暴力破解人服务器的密码，
    这样就可以进人家服务器，所以叫爆破服务器

2.3经典口令方案

1.口令方案1

• 防范对验证方的攻击，q不是原始密码，而且限门单项函数不能反推
• 防不住线路窃听
  
• 防不住重放攻击
  

2.口令方案2

• 1.对验证方的攻击防得住
  2.能防住线路窃听，听的是q’
  3.防不住重放攻击
  

3.口令方案3：现代PC登录系统验证方法，包括支付宝、淘宝

3.非公钥在线认证技术

密码有对称密码和非对称密码，认证就有对称密码认证技术和非对称密码认证技术，称公钥在线认证技术和非公钥在线技术

3.1概念

• 传统情况下，验证者和声称者之间共享一个对称密钥，并通过一些交互验证密钥的存在
  
• 但在大型网络环境下，使用对称密钥认证，每个可能的验证者和声称者之间都需要共享一个密钥，因此每个验证者都需要保存大量的密钥，即“密钥爆炸”
• 因此，大型网络环境下，认证系统中可以设置可信的在线认证服务器，验证者和声称者仅保存各自的密钥，但服务器有全部用户的密钥

3.2由验证者联系服务器

• 声称者用自己的密钥加密一个信息，其中包括用于抵御重放攻击的NRV，将加密结果发送给验证者，因为验证者没有声称者的密钥，因此不能直接完成认证，但验证者可以请求服务器为他服务，服务器与验证者共享了一个密钥，因此可以建立安全通信，而服务器也存储了声称者的密钥，因此可以进行验证
• 利用共享的密钥，声称者首先安全地与认证服务器交互，获得一个类似的数据，一般称为许可证，并将该许可证发给验证者，后者可以通过与认证服务器共享的密钥验证许可证的合法性

4.公钥认证技术

• 基于公钥密码技术的认证不需要在线的服务器
• 由离线服务器作为声称者颁发一个数字证书和私钥，数字证书包含与声称者私钥相对应的公钥和身份信息及服务器的数字签名，这样，数据文件的真实性和完整性得到保护。
• 验证中，验证者首先从公开渠道或从声称者获得数字证书，随后通过验证离线服务器的签名验证该证书的真实性和完整性，再通过其中的声称者公钥验证声称者发来的或回答的数据的有效性，由于这些数据经过了声称者私钥的处理，因此仅可用相应的公钥验证这些数据的有效性，验证通过则说明声称者拥有相应的私钥
• 双向与三向认证
  

5.PKI技术

5.1概念

PKI即公开密钥基础设施，利用公钥密码技术所构建的、解决网络安全问题的、普遍适用的一种基础设施

5.2PKI组成