第三章 信息安全技术-验证技术、数字证书技术x

TechnologyofElectronicBusinessSecurity2004年12月1日-1-第三章信息安全技术TechnologyofElectronicBusinessSecurity2004年12月1日-2-本章学习内容：加密技术数字签名密钥管理技术验证技术数字证书技术TechnologyofElectronicBusinessSecurity2004年12月1日-3-3.5验证技术验证：消息验证、身份验证、时间验证。目的：完整性身份鉴别、访问控制不可否认验证方法：基于口令基于令牌基于生物特征基于地址基于数字时间戳TechnologyofElectronicBusinessSecurity2004年12月1日-4-3.5验证技术（Cont.）图3-6身份验证原理授权数据库访问控制器资源安全管理员用户合法与不可信用户身份及授权信息身份验证访问控制访问管理/监控器TechnologyofElectronicBusinessSecurity2004年12月1日-5-3.5验证技术（Cont.）基于口令的验证最常用、但较弱的访问控制技术。通过用户身份标志+口令，进行身份验证。通常系统保存用户身份及口令，其中身份标志公开，但口令保密。因此基于口令的验证关键在于口令的机密性。口令验证失效：通常是由于口令被泄露（窥测、获取口令记录）、猜测、通信窃听、重发、避开。对策：讨论。TechnologyofElectronicBusinessSecurity2004年12月1日-6-3.5验证技术（Cont.）口令选择的原则容易记易不易猜中不易分析定期更换口令管理不能保存口令明文。保存口令经单向函数变换后的值。使用一次性口令。TechnologyofElectronicBusinessSecurity2004年12月1日-7-3.5验证技术（Cont.）验证协议对被验证者（客户端）与系统（服务器）之间传输的验证信息通信的管理与决策的标准/机制。目的：避免通信窃取及重放。变换后的口令：用户在客户端输入的口令用单向函数变换。服务器同样对数据库中的口令变换。比较两个变换后的口令。提问/答复：用户请求登录时，服务器向客户端提问一个随机值，用户用单向函数将个人信息与提问随机值计算变换，服务器用同样的方法验算。时间同步（SecureID）：用户以登录时间作为变换随机值。要求客户端与服务器时间同步。TechnologyofElectronicBusinessSecurity2004年12月1日-8-3.5验证技术（Cont.）口令系列（S/KEY）：口令为一个单向的前后相关的序列。服务器记录第N个口令。用户用N-1个口令第N-1次登录时，服务器用单向函数推算出第N个口令，与保存的口令比较。并保存第N-1个口令。登录N次后，服务器生成新的口令序列。数字签名：服务随机提问+私钥形成数字签名。X.509认证协议：CCITT建议。Kerberos认证协议：MIT开发。TechnologyofElectronicBusinessSecurity2004年12月1日-9-3.5验证技术（Cont.）零知识技术：用户通过证明自己知道自己的密钥来证明自己的身份。基本思想：被认证者P掌握秘密信息(身份信息)I(P)，并在不让验证者V知道I(P)的前提下使V确信P掌握I(P)。方法：基于第三方的难题解法(如大数因数分解)。TechnologyofElectronicBusinessSecurity2004年12月1日-10-3.5验证技术（Cont.）基于个人令牌的验证令牌(Token)：储存、生成身份信息的可移动设备（硬件令牌）/软件（软件令牌）。两因素验证：要求用户提供两种格式的标识。一个单一标识因素（例如口令）加另一个因素（格式为认证令牌）。简单的两因素方法（基于用户了解的内容加用户处理的内容）提供比可再用的密码更可靠级别的用户认证。TechnologyofElectronicBusinessSecurity2004年12月1日-11-3.5验证技术（Cont.）USB令牌/加密卡：USB接口，有处理和存储能力。内含安全文件系统，可以存储数字证书、密钥和其它机密信息。可应用于存储数字证书、个人机密资料、数字签名、电子商务身份认证、银行在线交易、安全电子邮件、VPN、安全通信系统集成、内部系统权限管理。TechnologyofElectronicBusinessSecurity2004年12月1日-12-3.5验证技术（Cont.）智能卡(SC卡)：含处理器和存储器。类似的信用卡。除接口外（读卡器），功能与USB-Token类似。TechnologyofElectronicBusinessSecurity2004年12月1日-13-3.5验证技术（Cont.）PCMCIA卡(PC卡)：移动设备网络接入接口。可存储个人及移动设备地址信息，带有加解密功能。允许移动用户通过因特网安全地访问企业网络。TechnologyofElectronicBusinessSecurity2004年12月1日-14-3.5验证技术（Cont.）人机界面令牌：手持式移动输入设备，带有输入界面、口令验证。TechnologyofElectronicBusinessSecurity2004年12月1日-15-3.5验证技术（Cont.）软件令牌：在智能卡等硬件设备上安装的、在客户端上运行的，或作为Web浏览器插件运行的二进制程序。软件令牌运行时，显示一个用户可以输入个人识别号码（PIN）的窗口，软件令牌计算其通行代码。该用户可以通过将通行代码输入登录表单而得到认证。TechnologyofElectronicBusinessSecurity2004年12月1日-16-3.5验证技术（Cont.）基于生物特征的验证生理特征：手形、手纹、指纹、脸型、耳廓、视网膜、虹膜、脉搏。行为特征：签字、声音、步态。验证技术：手形识别、指纹识别、面容识别、耳形识别、视网膜识别、虹膜识别、语音识别…。统称模式识别。即生物识别系统对生物特征取样，并将其数字化，形成特征模板，保存在数据库中。身份验证时，识别系统提取用户特征，并将它与数据库中相应用户特征模板比较。特点：方便、安全。TechnologyofElectronicBusinessSecurity2004年12月1日-17-3.5验证技术（Cont.）基于地址的验证依据呼叫/访问的发送地址对用户进行认证。通过将呼叫/访问者的地址与合法用户的地址比较；或与合法地址用户进行应答，以验证用户身份的合法性。基于数字时间戳(DigitalTime-stamp)的验证由受信任的第三方（数字时间戳服务机构）（DigitalTime-stampService，DTS）提供的经加密后形成的凭证，是数字签名的一种应用。目的：对交易信息的时间验证。构成：交易信息的数字摘要；DTS机构收到信息的日期和时间；DTS机构的数字签名。TechnologyofElectronicBusinessSecurity2004年12月1日-18-3.5验证技术（Cont.）消息摘要摘要时间戳Internet私钥时间戳发送方DTS机构（第三方）图3-7数字时间戳服务过程加密时间摘要+时间Hash新摘要HashTechnologyofElectronicBusinessSecurity2004年12月1日-19-3.6数字证书技术目的：提供身份认证。数字证书将某方的身份与其某个公开密钥安全联系在一起的数据结构。主要内容：证书序列号、所有者的名称、公开密钥、有效期、认证机构（发行者）的名称与数字签名。类型：个人证书：颁发给个人，用于身份验证和安全电子邮件的数字证书。服务器证书：颁发给指定Web服务器，用于声明特定的网站服务器是安全的及安全站点的身份。TechnologyofElectronicBusinessSecurity2004年12月1日-20-3.6数字证书技术（Cont.）服务器自动与客户端用户进行安全的交易信息通信。服务器自动对通信加密；持有数字证书的服务器为受信任的安全站点。客户端可以直接从这里下载或运行文件，而不用担心会危害计算机或数据。客户端浏览器/邮件管理器访问安全网站（地址以“https”打头）时，服务器将自动向客户端发送证书。开发者证书（代码签名、数字证书）：颁发给软件开发者，并用作其软件身份的数字标识。用IE下载程序(如ActiveX、dll、Java或其他客户端运行的程序)时，IE将用MicrosoftAuthenticode技术核实该程序身份，即匹配发布者的身份与软件身份证书。TechnologyofElectronicBusinessSecurity2004年12月1日-21-3.6数字证书技术（Cont.）认证机构提供互联网认证服务：签发和管理数字证书、时间戳。受信任的第三方机构或公司/网站。认证机构+数字证书：便于公钥交换，提供比较集中统一的、权威的、可信任的身份认证。基于数字证书信息安全通信发送方产生信息的数字摘要。用私钥对数字摘要进行非对称加密，生成数字签名。对“信息+数字签名+数字证书”进行对称加密。用对方数字证书中的公开密钥对密钥进行非对称加密TechnologyofElectronicBusinessSecurity2004年12月1日-22-3.6数字证书技术（Cont.）发送加密后的信息及数字信封接收方用私有密钥解密数字信封，得到对方的对称密钥。用对方的对称密钥解密信息。用对方数字证书中的公开密钥解密签名得到数字摘要。用Hash生成接受到的信息的数字摘要。比较两个数字摘要。验证完整性。TechnologyofElectronicBusinessSecurity2004年12月1日-23-3.6数字证书技术（Cont.）消息摘要私钥发送方图3-8基于数字证书信息安全通信过程解密Hash签名证书对方证书的公钥加密对称密钥加密消息加密数字信封私钥对称密钥解密证书签名消息摘要摘要验证Hash接收方对方公钥对方公钥