ch4身份认证与访问控制.ppt

信息安全,第4讲 身份认证与访问控制,重点 口令认证 访问控制的概念 Windows 系统的安全机制 难点 访问控制模型 要求 掌握口令安全策略 了解访问控制的概念 熟悉Windows 系统的安全机制,引言,安全威胁 假冒攻击、非授权访问 解决方案 身份认证 验证用户身份 授权与访问控制 授予用户对文件或设备资源等的访问权 限定用户对资源的访问、如何访问,安全机制的逻辑结构,4.1 用户身份认证,一、身分认证的概念 二、口令认证 三、口令认证协议,一、身分认证的概念,系统的安全性还取决于系统能否正确验证用户的身份 身份认证是指系统确认用户身份的过程。目的是证实用户的真实身份与其所声称的身份是否相符，用户必须提供他是谁的证明。 系统常用的用户认证的方式： 利用用户所掌握的秘密信息，如口令等。 利用用户所拥有的东西，如IC卡、电子钥匙 利用用户所特有的生物特征：如指纹、视网膜等特征 数字证书,二、基于口令的认证,1、口令认证原理 2、口令认证的弱点 3、口令选取策略 4、口令保护策略 5、简单口令认证,1、口令认证原理,用户名口令某人身份； 用户名是预先在系统中建立的一个用户账号； 口令具有共享秘密的属性，是相互约定的代码，只有用户和系统知道。 每个合法用户都有一个用户名和一个口令 认证形式：当用户要使用系统时，系统提示用户输入用户名和口令。系统将用户的输入与保存的用户信息进行对比。若验证通过，系统允许该用户的访问操作，否则拒绝,口令易泄漏 写下来、误操作、骗取口令、被木马盗取等 易被电子监控 嗅探、监控窃取 易被黑客破解 易受字典攻击、暴力攻击 弱口令：口令字符串较短，或仅由数字、或仅由字母组成、或名字缩写、或常用单词、生日、电话号码等易猜的字符串作为口令 可能被忘记,2、口令认证的弱点,选择长口令：口令长度要不小于8； 扩大口令字符空间：口令中要包含大、小写英文字母、数字、标点符号中的至少三种； 选用无规律的口令：不要使用缺省口令，也不要和登录名相同；不要使用单词、常用短语等作为口令；不要和用户的信息如姓名、生日、电话号码、家庭成员的名字等相关 口令要便于记忆。,3、口令选取策略,除了以上口令安全措施外，对使用口令进行访问还采取更严格的控制，通常有以下一些措施： 定期更改其口令； 只保留口令的加密形式，传输的口令也应加密，防止被窃取 限制不成功登录次数，使用帐号锁定 目的是防止字典式攻击或穷举法攻击。 限制登录时间； 不显示最后一次登录名 增加认证的信息量,4、口令保护策略,5、简单口令认证,先为用户注册提供用户名和口令短语 系统通过验证用户输入口令的正确性鉴别用户身份,讨论： 1、你在开发应用系统中是如何实现口令认证的？ 2、口令认证的SQL注入攻击,口令认证威胁,网络环境下口令认证的威胁 被动攻击：监听 主动攻击：伪造、重放,一次性口令协议 质询/响应协议 Kerberos协议,三、口令认证协议,一次性口令 这些口令都是使用一次 下一个口令不能由前面的口令预测 或提前生成口令列表，每次使用一个 或利用单向函数生成序列 例如：电子银行口令卡,一次性口令协议,每次认证时认证服务器端都给客户端发送一个不同的“质询“字串，客户端程序收到这个“质询“字串后，做出相应的“应答“挑战应答协议,质询/响应协议,MAC=H(R,K),MAC=H(R,K),比较MAC和MAC,客户和服务端共享一个秘密串 1) 客户向认证服务器发出请求，要求进行身份认证； 2) 认证服务器从用户数据库中查询用户是否是合法的用户，若不是，则不做进一步处理； 3) 认证服务器内部产生一个随机数，作为“质询“发送给客户； 4) 客户将秘密串和质询串合并，使用某一算法（例如MD5算法）生成一个字节串作为应答； 5) 认证服务器将应答串与自己的计算结果比较，若二者相同，则通过一次认证；否则，认证失败； 6) 认证服务器通知客户认证成功或失败。,质询/响应协议,4.2 访问控制,一、访问控制的概念 二、访问控制描述 三、访问控制类型,访问控制：是对用户进入系统的控制，并限制已授权用户依权访问本系统资源的过程，用于保护系统资源以防对其进行未授权的访问 授权：赋予用户对资源的访问权限 如只读、读写、执行、完全控制等 实际访问能力取决于访问权限 + 资源属性,一、访问控制概念,2、访问控制的三要素 主体（subject）： 访问操作的主动发起者，它提出对资源的访问请求，如用户或应用进程等 客体（object）： 通常指被调用的程序或要存取的数据访问，它包括文件、程序、内存、目录、队列、进程间报文、I/O设备和物理介质等。 访问权限（Access right）： 主体对某个客体拥有的访问权力，如读、写、删除、执行等操作权。,一、访问控制概念,几种常用的描述形式 1. 访问控制矩阵 2. 授权关系表 3. 访问能力表 4. 访问控制列表,二、访问控制描述,1、访问控制矩阵,基本思想就是将所有的访问控制信息存储在一个矩阵中集中管理，由一个矩阵来表示： 每一行：一个主体 每一列：一个客体 矩阵元素：相应的主体对客体的访问权。,2、授权关系表,授权关系表描述了主体和客体之间各种授权关系的组合,3、访问能力表,访问能力表是从主体出发描述控制信息，能力标记了某一主体对客体的访问权限：该主体能不能访问那个客体；以及能对那个客体进行一些什么样的访问,4、访问控制表,访问控制列表是从客体出发描述控制信息，可以用来对某一资源指定任意一个用户的访问权限。,三、访问控制类型,常用三种类型： 自主访问控制 强制访问控制 基于角色的访问控制,用户有权对自身所创建的访问对象(文件、数据表等)进行访问，并决定是否将自己客体的访问权或部分访问权授予其他主体，这种控制方式是自主的 基于自主访问控制，一个用户可以自主选择哪些用户可以访问以及如何访问他的文件 优点：应用灵活与可扩展性，经常被用于商业系统 可以通过访问访问能力表或访问控制表来实现,1、自主访问控制,是指由系统对用户所创建的对象进行统一的强制性控制，按照规定的规则决定哪些用户可以对哪些对象进行什么样操作类型的访问，即使是创建者用户，在创建一个对象后，也可能无权访问该对象 为所有的主体和客体指定安全属性，该安全属性反映了该主体或客体的敏感等级和访问权限 不同级别标记了不同重要程度和能力的实体 不同级别的主体对不同级别的客体的访问是在强制的安全策略下实现的。,2、强制访问控制,通过定义角色的权限，为系统中的主体分配角色来实现访问控制。 角色是指一个或一群用户在组织内可执行的操作的集合 RBAC核心思想：将访问权限分配给角色，系统的用户担任一定的角色，不同的角色被赋予不同的访问权限，系统的访问控制机制只看到角色，而看不到用户。,3、基于角色访问控制,4.3 Windows 系统的安全机制,一、Windows 的安全模型 二、用户帐户管理 三、用户登录验证 四、系统访问控制 五、Windows 的安全策略,Windows的安全模型由以下几个关键组件构成： 强制登录：要求所有用户必须登录，通过认证后才可以访问资源。 自主访问控制：允许对象所有者控制谁被允许访问该对象以及访问的方式。 对象的访问控制：用户要访问某资源必须是先通过一次认证，并且该资源允许被访问，以及只能按允许的方式访问。 审核：对用户访问资源作了相应的记录，同时也记录一些系统所定义的关键事件。,一、Windows xp的安全模型,Windows的安全子系统包括以下几个关键部分： 登录进程(LP)。包括Winlogon和Netlogon，接受本地用户或者远程用户的登录请求，处理用户信息，为用户做一些初始化工作。 图形化认证接口GINA：提供一个交互式的界面为用户登录提供认证请求 安全账号管理器(SAM)。维护账号的安全性管理数据库。 本地安全授权机构(LSA)。根据安全账号管理器中的数据处理用户的登录信息，并控制审计和日志。 安全引用监视器(SRM)。检查访问合法性，防止越权访问,一、Windows xp的安全模型,二、用户帐户管理,1、用户账户 在Windows 中，访问控制依赖于系统能够惟一地识别出每个用户。用户账户提供了这种惟一性。 Windows 使用安全标识（SID）标识一个注册用户，SID和账户唯一对应，在账号创建时创建，账号删除时删除，而且永不再用。 两个内置用户账户 Administrator：管理计算机的内置帐户，对本机拥有完全控制权 Guest：供来宾访问计算机的帐户，权限有限,二、用户帐户管理,2本地帐户和域帐户 本地账户：即存储在本地计算机SAM中的用户帐户和组帐户。独立的计算机只使用本地帐户。本地帐户只允许用户登录到存储其帐户的计算机，并且只允许访问该计算机上的资源。 Windows 还提供了域的概念进行网络访问控制，域帐户存储在域中一个称为域控制器的中央计算机上。如果一台计算机加入了一个域，则应使用域帐户进行登录。,3、组账户 Windows使用组帐户对同类用户授予权限以简化帐户管理。 注意：用户帐户可以登录计算机，组帐户不能登录计算机。建立组帐户的目的是为了简化用户授权管理。 Windows 的内置组,二、用户帐户管理,4、用户账户管理器 Windows 中，可以通过控制面板中的“用户和密码”或者“用户帐户”来管理用户帐户和组帐户,二、用户帐户管理,三、用户登录验证,1、登录验证机制 Windows 安全模型赋予用户登录系统访问资源的能力，两种类型： （1）交互式登录 （2）网络身份验证 Windows 安全系统包括了三种不同的身份验证协议： （1）NTLM(与Windows NT 4.0系统兼容) （2）Kerberos V5 （3）智能卡,2、登录及身份验证过程 Windows 的Winlogon过程给出一个对话框，要求回答一个用户名和口令； Winlogon将用户名和口令传递给LSA，LSA决定该登录应该在本地计算机还使网络上进行身份验证； 若是本地登录，LSA查询SAM数据库，以确定用户的合法性。若用户通过验证，SAM把该用户的SID及该用户所属的所有组的SID返回给LSA。LSA使用这些信息创建一个访问令牌； Winlogon启动系统，该用户的访问令牌就成了用户进程在Windows 系统中的通行证。,三、用户登录验证,四、系统访问控制,Windows 访问控制策略基于自主访问控制，根据对用户授权决定用户可以访问哪些资源以及访问能力，以保证资源的合法受、控使用 1、访问控制方案 访问令牌：相当于用户访问系统资源的一个票证，它指明一个用户可拥有哪些特权； 安全标识符：与每个对象关联，其主要组件是访问控制表ACL； 访问控制表：Windows 访问控制机制的核心，定义了哪些用户SID或组SID对该资源的访问权。,2、文件系统的访问控制 文件系统： FAT和FAT32文件系统，为Windows 98/me所采用 NTFS文件系统，更高效、更安全，建议Windows 2000及更高版本使用 共享访问权限： 无、读取、修改、完全控制 本地访问权限： 读取、写入、读取及运行、列出文件夹、修改、完全控制,四、系统访问控制,对资源的访问权限可以通过资源的属性来设置,四、系统访问控制,五、Windows 的安全策略,1、密码策略 打开“控制面板”“管理工具” “本地安全策略” “安全设置” “帐户策略” “密码策略”,2、帐户锁定策略 打开 “本地安全策略” “安全设置” “帐户策略” “帐户锁定策略”,五、Windows 的安全策略,3、审核策略 打开 “本地安全策略” “安全设置” “本地策略” “审核策略”,五、Windows 的安全策略,审核报告被写入安全日之中，可通过“控