电子商务安全技术 第05章 身份认证与访问控制

第四章身份认证与访问控制4.1身份认证的常用识别法。4.2访问控制。4.1身份认证的常用识别法身份认证的定义：证实客户的真实身份与其所声称的身份是否相符的过程。身份认证的依据：（1）somethingtheuserknow(根据用户知道什么来判断，所知）口令、密码等（2）somethingtheuserprocesses(根据用户拥有什么来判断，拥有）身份证、护照、门钥匙、磁卡钥匙等（3）somethingtheuseris(orhowhebehaves),(根据用户是什么来判断，特征）指纹、声音、视网膜、签名、DNA等常用的身份认证技术（1）口令识别法（2）签名识别法（3）指纹识别技术（4）语音识别系统（1）口令识别法口令识别是应用最为广泛的身份认证技术。口令长度：通常为长度为5~8的字符串。选择原则：易记、难猜、抗分析能力强。口令识别的脆弱点：网络窃听重放攻击字典攻击暴力攻击社交工程不安全口令的分析使用用户名（账号）作为口令使用用户名（账号）的变换形式作为口令使用自己或者亲友的生日作为口令使用学号、身份证号、单位内的员工号码等作为口令使用常用的英文单词作为口令安全口令的建议口令长度至少要有8位口令应包括大小写字母、数字，或者控制符等不要将口令写在电脑上或纸条上要养成定期更换口令的习惯一月一换尽量不要在电脑上保存口令一次性口令一次性口令（OTP，OneTimePassword）：一次性的主要思路是：在登录过程中加入不确定因素，使每次登录过程中传送的口令都不相同，以提高登录过程安全性。一次性口令的特点：◈概念简单，易于使用◈基于一个被记忆的密码，不需要任何附加的硬件◈算法安全◈不需要存储诸如密钥、口令等敏感信息一次性口令的原理基于客户端/服务器模式客户端：每次登录生成一次性口令；服务器：验证客户端的一次性口令。一次性口令的安全原理使用一次性口令序列n次第一个口令——使用单向函数n次p(1)=f(f(f(f(s))))第二个口令——使用单向函数n-1次p(2)=f(f(f(s)))依次类推一次性口令产生和验证过程①用户输入登录名和相关身份信息ID。②如果系统接受用户的访问，则给用户传送一次性口令建立所使用的单向函数f及一次性密码k，这种传送通常采用加密方式。③用户选择“种子”密钥x，并计算第一次访问系统的口令z=fn（x）。向第一次正式访问系统所传送的数据为（k，z）。④系统核对k，若正确，则将（ID，fn（x））保存。⑤当用户第二次访问系统时，将（ID，fn-1（x））送系统。系统计算f（fn-1（x）），将其与存储的数据对照，如果一致，则接受用户的访问，并将（ID，fn-1（x））保存。⑥当用户第三次访问系统时，将（ID，fn-2（x））送系统。系统计算f（fn-2（x）），将其与存储的数据对照，如果一致，则接受用户的访问，并保存新计算的数据。⑦当用户每一次想要登录时，函数相乘的次数只需-1。一次性口令系统实例1991年，贝尔通信研究中心（Bellcore）首次研制出了基于一次性口令思想的身份认证系统S/KEY。S/KEY最初使用DES算法，后因安全问题改用MD4作为其加密算法。FreeBSD操作系统下的一次性口令系统——OPIE(One-timePasswordsInEverything)OPIE使用比S/KEY的MD4更为强壮的MD5算法，因此一般认为OPIE更为安全。（2）签名识别法签名识别——不是能识别出被鉴别的签名是什么字，而是要能识别出签名的人。签名识别的方法：根据最后的签名进行识别根据签名的书写过程进行识别记录签名书写过程的技术电动绘图仪——使用杠杆控制系统，在绘图笔上配有水平和垂直两个加速计，同时还配有压力测量计。签名识别法的使用首先提供一定数量的签名系统分析签名，提取特征通过比较签名，进行身份识别（3）指纹识别技术指纹识别——基于每个人指纹的唯一性和稳定性。指纹识别的主要技术：现代电子集成制造技术可靠的匹配算法指纹取像的几种技术和特点目前指纹取像主要有三种技术：光学全反射技术、晶体传感器技术和超声波扫描技术。光学全反射技术：利用光的全反射原理晶体传感器技术：硅电容传感器超声波扫描技术：利用超声波扫描反射原理指纹取像常用技术的比较比较项目光学全反射硅晶体电容传感超声波扫描体积大小中耐用性非常耐用容易损坏一般成像能力干手指差，汗多的和稍胀的手指成像模糊干手指好，但汗多的和稍胀的手指不能成像非常好耗电较多较少较多成本低低很高指纹识别技术的优缺点优点：（1）是独一无二的特征，并且它们的复杂度足以提供用于鉴别的足够特征；（2）指纹识别的速度很快，使用非常方便；（3）识别指纹时，用户的手指与指纹采集头直接接触，这是读取人体生物特征最可靠的方法。（4）采集头会更小型化，并且价格会更低廉。缺点：（1）某些群体的指纹因为指纹特征很少，故而很难成像；（2）在犯罪记录中使用指纹，使得某些人害怕“将指纹记录在案”。（3）每一次使用指纹时都会在指纹采集头上留下用的指纹印痕，这些指纹有可能被他人复制。（4）语音识别技术语音识别的要求：创造一个良好的环境规定用户朗读的单词语音识别——不是能识别出用户说的是什么，而是要能识别出是谁说的。语音识别的过程首先对用户的语音进行采样；系统提取语音特征，得到参考样本；通过比较参考样本和语音结果，判别真伪。语音识别技术的弱点要求受测者多次重复语音，分析过程较长；语音受人的身体状况和精神状态的影响。Kerberos认证实例KerberosKerberosprovidesauthenticationinadistributedenvironment.ThewordKerberoshasbeenderivedfromGreekmythologywherethewordmeans“athree-headeddog”.Here,‘dog’ismeanttosymbolizesecurity,andKerberosdoessobyprovidingthefollowingthreemainfacilities:AuthenticationAccountingAuditing.KerberosAuthenticationneeded.ServerWorkstation1Workstation2Workstation3User1User2User3:::KerberosThesecondandthethirdfacilitiesareyettobeimplemented.Inanetworkenvironmentasabove,serverneedstoauthenticateeachworkstationanditsusertoensurethatthedataaccessandotherservicesareprovidedonlytotheauthorizedusers.Kerberosusessymmetrickeycryptographicalgorithm(DES)toauthenticateusers.Kerberos认证要解决的问题Kerberos认证方案安全的三种方案Kerberos认证实例Kerberos认证应该做到：4.2访问控制访问控制的概念：确保主体对客体的访问只能是授权的，未经授权的访问是不允许的，而且操作是无效的。•主体（Subject）：或称为发起者(Initiator)，是一个主动的实体，规定可以访问该资源的实体（通常指用户、进程、作业等）。•客体（Object）：又称作目标（target)，规定需要保护的资源（所有可供访问的软、硬件资源）。•授权（Authorization)：规定可对该资源执行的动作（例如读、写、执行或拒绝访问）。访问控制的内容保密性控制：保证数据资源不被非法读出；完整性控制：保证数据资源不被非法改写或删除；有效性控制：保证网络所有客体不被非法主体破坏。访问控制的目的保护被访问的客体安全，在保证安全的前提下最大限度共享资源。访问控制的核心访问控制的核心是授权控制，既控制不同用户对信息资源的访问权限。对授权控制的要求有：一致性：也就是对信息资源的控制没有二义性，各种定义之间不冲突；统一性：对所有信息资源进行集中管理，安全政策统一贯彻；要求有审计功能，对所授权记录可以核查；尽可能地提供细粒度的控制。访问控制中的重要概念访问控制策略：就是关于在保证系统安全及文件所有者权益前提下，如何在系统中存取文件或访问信息的描述，它由一整套严密的规则所组成。访问控制机构：则是在系统中具体实施这些策略的所有功能的集合，这些功能可以通过系统的硬件或软件来实现。将访问控制策略与机构分开的好处1.可以方便地在先不考虑如何实施的情况下，仔细研究系统的安全需求；2.可以对不同的访问控制策略进行比较，也可以对实施同一策略的不同机构进行比较；3.可以设计一种能够实施各种不同策略的机构，这样的机构即使是由硬件组成也不影响系统的灵活性。访问控制策略中的措施自主访问控制（discretionarypolicies)，又称任意访问控制，它允许用户可以自主地在系统中规定谁可以存取它的资源实体。所谓自主，是指具有授与某种访问权力的主体（用户）能够自己决定是否将访问权限授予其他的主体。强制访问控制(mandatorypolicies)，指用户的权限和文件（客体）的安全属性都是固定的，由系统决定一个用户对某个文件能否实行访问。所谓“强制”，是指安全属性由系统管理员人为设置，或由操作系统自动进行设置，用户不能修改这些属性。访问控制的一般策略自主访问控制存取许可：定义或改变存取模式，或向其他用户（主体）传送。存取模式：规定主体对客体可以进行何种形式的存取操作。存取模式主要有：读、写、执行、空模式等自主访问控制的实施目录表访问控制访问控制表（AccessControlList）访问控制矩阵（AccessControlMatrix目录表访问控制Obj1OwnRWOObj2ROObj3RWOUserA每个主体都附加一个该主体可访问的客体的目录表。访问控制表（ACL）每个客体附加一个它可以访问的主体的明细表。userAOwnRWOuserBROuserCRWOObj1userAOwnRWOuserBROuserCRWOObj1访问控制矩阵（ACM）任何访问控制策略最终均可被模型化为访问矩阵形式：行对应于用户，列对应于目标，每个矩阵元素规定了相应的用户对应于相应的目标被准予的访问许可、实施行为。目标xR、W、OwnR、W、Own目标y目标z用户a用户b用户c用户dRRR、W、OwnR、WR、W目标用户强制访问控制强制——安全属性由系统管理员人为设置，或由操作系统自动地按照严格的安全策略与规则进行设置，用户和他们的进程不能修改这些属性。强制访问控制——指访问发生前，系统通过比较主体和客体的安全属性来决定主体能否以他所希望的模式访问一个客体。强制访问控制实质——根据安全等级的划分，将主体和客体分级，然后根据主体和客体的级别标记来决定访问模式。级别划分——实体的安全属性可以分为：绝密、机密、秘密、内部和公开等。访问准则——只有当主体的密级高于客体的密级时，访问才是允许的，否则将拒绝访问。两种访问控制的特点自主访问控制灵活性安全隐患强制访问控制强制性限制性基于角色的访问控制角色控制的优势