Tecnología de seguridad de la información - (3) Tecnología de identificación y autenticación

• Solicite el nombre de usuario, ingrese el nombre de usuario y sepa que esta persona es una persona en el sistema, cuál es la identificación
• Identifíquelo como persona en el sistema y luego use la contraseña para verificar. Si encuentra que la contraseña ingresada es consistente con la contraseña en el sistema, ingresar al sistema es una verificación.
• En pocas palabras, la tecnología de identificación y autenticación es un sistema de respuesta completo.
• En la era del Internet de las cosas y el Internet de los vehículos, la tecnología de identificación y autenticación ha experimentado nuevos cambios y en algunos lugares no se requieren contraseñas. Por ejemplo, no puede ingresar su nombre de usuario, contraseña y código de verificación cuando ingresa al garaje.

1. El concepto de logotipo

1.1 Concepto

• La identidad se refiere a la referencia digital de una entidad. Una entidad puede ser un objeto de operación comercial o un iniciador de operación comercial, es decir, incluye objetos y sujetos.
  • El sujeto es la persona o cosa que visita activamente.
  • El objeto es a lo que se accede.
  • Si un programa quiere acceder a su cuenta bancaria, ese programa es una entidad.
• Entidades de diferentes naturalezas, categorías y formas requieren diferentes identificaciones. Establecer un sistema de identificación para entidades relacionadas con la seguridad de la información es una de las tareas básicas para construir un sistema de seguridad de la información.
  • Por ejemplo, el número de identificación de estudiante al ingresar a un estudiante de primer año es un trabajo técnico de identificación.
• La autenticación de identidad, el control de acceso, la tecnología de auditoría, los protocolos de red, etc., necesitan utilizar la identificación para identificar programas, dispositivos, redes, usuarios, recursos, etc. y realizar las operaciones correspondientes; en la protección de seguridad de la red, es necesario indicar el descubrimiento. de contenido malicioso en el sistema de filtrado o firewall. Host o red, es posible que también desee bloquear ciertos tipos de conexiones de red, por lo que necesita utilizar identificadores de host, red y conexión.
  • De lo contrario, no sé desde qué host bloquear la conexión.

1.2 Clasificación

1. Identificación de la entidad del sistema

• Identificación de recursos del sistema : como la dirección de memoria.
• Identificación de usuario, grupo y rol : como la cuenta que inició sesión en Windows, diferentes grupos, roles de administrador y roles de superusuario en la cuenta de Windows.
• Logotipo de certificado digital : Por ejemplo, la banca en línea tiene un logotipo de certificado digital y Alipay tiene un logotipo de certificado digital, lo que indica que se puede utilizar el certificado digital.

2.Identificación de la entidad de red

• Identificación de host, red y conexión : como el estado actual de la conexión con Baidu
• Identificador de recursos de red
• Conexión y su identificación de estado.

2. Contraseña y tecnología de desafío-respuesta

2.1 Concepto

• La persona autenticada (reclamante) puede obtener autenticación afirmando saber algo, donde "algo" generalmente incluye una contraseña y respuestas a preguntas relacionadas. La tecnología de confirmación de la identidad correspondiente se denomina contraseña o tecnología de autenticación de desafío-respuesta.

2.2 Amenazas a la seguridad enfrentadas

• Fuga externa : filtrar contraseñas usted mismo, lo que resulta en el robo de cuentas
• Adivinación de contraseñas : adivinar contraseñas, como ataques de canal lateral
• Escucha de línea : escucha a escondidas los paquetes de comunicación del servidor que se especializan en la verificación de contraseñas y el desafío-respuesta, el descifrado de paquetes de comunicación y el descifrado de las contraseñas de todos, como la filtración general de los buzones de correo de NetEase.
• Ataque de reproducción -> NRV (valor no repetido): si alguien inicia sesión en Alipay, intercepta los paquetes de datos y analiza que uno de los paquetes se utiliza para enviar el nombre de usuario y la contraseña, si lo reproduce para ver si puede abrir el cuenta, debe agregar una marca de tiempo para evitar la reutilización
• Ataque al verificador : si la contraseña es difícil de descifrar, ataque directamente al servidor.
  • Explotar el servidor se refiere a apoderarse del servidor, es decir, usar un diccionario para forzar la contraseña del servidor de la otra persona,
    de modo que pueda ingresar al servidor de la otra persona, por eso se llama Servidor Explosivo.

2.3 Esquema de contraseña clásico

1. Esquema de contraseña 1

• Para evitar ataques al verificador, q no es la contraseña original y la función única limitada por la puerta no se puede revertir.
• No se puede evitar la escucha clandestina
  
• No se puede proteger contra ataques de repetición
  

2. Esquema de contraseña 2

• 1. Puede prevenir ataques al verificador
  2. Puede prevenir escuchas de línea, lo que está escuchando es q'
  3. No puede prevenir ataques de repetición
  

3. Solución de contraseña 3: método de verificación del sistema de inicio de sesión de PC moderno, incluidos Alipay y Taobao

3. Tecnología de autenticación en línea de clave no pública

Hay contraseñas simétricas y contraseñas asimétricas para la contraseña , y hay tecnología de autenticación de contraseña simétrica y tecnología de autenticación de contraseña asimétrica para la autenticación , que se denominan tecnología de autenticación en línea de clave pública y tecnología en línea de clave no pública.

3.1 Concepto

• Tradicionalmente, se comparte una clave simétrica entre el verificador y el reclamante y la existencia de la clave se verifica mediante alguna interacción.
  
• Sin embargo, en un entorno de red grande, al utilizar autenticación de clave simétrica, cada posible verificador y reclamante debe compartir una clave, por lo que cada verificador debe guardar una gran cantidad de claves, lo que se denomina "explosión de claves".
• Por lo tanto, en un entorno de red grande, se puede configurar un servidor de autenticación en línea confiable en el sistema de autenticación. El verificador y el reclamante solo guardan sus propias claves, pero el servidor tiene las claves de todos los usuarios.

3.2 El verificador contacta al servidor

• El reclamante cifra un mensaje con su propia clave, incluido NRV para resistir ataques de repetición, y envía el resultado del cifrado al verificador. Debido a que el verificador no tiene la clave del reclamante, no puede completar directamente la autenticación, pero el verificador puede Solicitar el servidor para notificarle, el servidor comparte una clave con el verificador para que se pueda establecer una comunicación segura, y el servidor también almacena la clave del reclamante para que se pueda realizar la verificación.
• Usando la clave compartida, el reclamante primero interactúa de forma segura con el servidor de autenticación para obtener datos similares, generalmente llamados licencia, y emite la licencia al verificador, quien puede verificarla usando la clave compartida con el servidor de autenticación.

4. Tecnología de autenticación de clave pública

• La autenticación basada en criptografía de clave pública no requiere un servidor en línea
• Un certificado digital y una clave privada son emitidos por el servidor fuera de línea como reclamante. El certificado digital contiene la clave pública y la información de identidad correspondiente a la clave privada del reclamante y la firma digital del servidor. De esta manera, la autenticidad e integridad del El archivo de datos está protegido.
• Durante la verificación, el verificador primero obtiene un certificado digital de canales públicos o del reclamante, luego verifica la autenticidad e integridad del certificado verificando la firma del servidor fuera de línea y luego verifica el certificado enviado o respondido por el reclamante a través del formulario del reclamante. clave pública. La validez de los datos. Dado que estos datos han sido procesados ​​por la clave privada del reclamante, solo se puede utilizar la clave pública correspondiente para verificar la validez de los datos. Si la verificación es exitosa, significa que el reclamante tiene la clave privada correspondiente.
• Autenticación bidireccional y triple
  

5.Tecnología PKI

5.1 Concepto

PKI es una infraestructura de clave pública, una infraestructura de aplicación universal construida utilizando tecnología de criptografía de clave pública para resolver problemas de seguridad de la red.

Composición de 5.2PKI