现代认证技术知识讲义

本资料来源上节的主要内容逻辑安全的主要威胁及解决办法PKI的含义数字证书的内容数字证书的验证CRL（证书撤销列表）的结构数字证书的应用第六讲认证技术认证技术认证的简介口令认证认证令牌X.509认证生物特征认证消息认证码认证的举例

认证活动一直贯穿于人类的学习与生活：新生入学时，学校要查看他们的入学录取通知书，这是学校对于学生的认证，以便识别你是张三而不是李四；去银行取钱时，要出示用户的存折卡，一般还要输入用户的密码，这是银行对储户的认证。上述情况都是认证活动在我们生活中的体现。简单说，信息认证也是对我们现实世界的数字模拟。认证的需求和目的问题的提出

身份欺诈。认证的需求

某一成员（声称者）提交一个主体的身份并声称它是那个主体。认证目的

使别的成员（验证者）获得对声称者所声称的事实的信任。认证（Authentication）的作用认证就是确认实体（或消息）是它所声明的。认证是最重要的安全服务之一。认证服务提供了关于某个实体身份的保证。（所有其它的安全服务都依赖于该服务）认证可以对抗假冒攻击的危险。认证的两种情形身份认证：某一实体确信与之打交道的实体正是所需要的实体。只是简单地认证实体本身的身份，不会和实体想要进行何种活动相联系。消息认证：鉴定某个指定的数据是否来源于某个特定的实体。不是孤立地鉴别一个实体，也不是为了允许实体执行下一步的操作而认证它的身份，而是为了确定被认证的实体与一些特定数据项有着静态的不可分割的联系。身份认证的分类单向认证是指通信双方中只有一方向另一方进行认证。双向认证是指通信双方相互进行认证。

身份认证证系统的的简介一方是出出示证件件的人，，称作示示证者P(Prover)，又称声声称者(Claimant)。另一方为为验证者者V（Verifier),检验声称称者提出出的证件件的正确确性和合合法性，，决定是是否满足足要求。。一个安全全的身份识别别协议至少应满满足以下下两个个条件：：1.示证者A能向验证证者B证明他的的确是A。2.在示证者A向验证者者B证明他的的身份后后，验证者B没有获得得任何有有用的信信息，B不能模仿仿A向第三方方证明他他是A。零知识的的基本思思想ABCD你向别人人证明你你知道某某种事物物或具有有某种东东西，而而且别人人并不能能通过你你的证明明知道这这个事物物或这个个东西，，也就是是不泄露露你掌握握的这些些信息。。(1)V站在A点；(2)P进入洞中中任一点点C或D；(3)当P进洞之后后，V走到B点；(4)V叫P：(a)从左边出出来，或或(b)从右边出出来；(5)P按要求实实现(以咒语打打开门)；(6)P和V重复执行行(1)～(5)共n次。身份认证证的分类类所知密码、口口令等。。所有身份证、、护照、、密钥盘盘、UsbKey等。所是指纹、笔笔迹、声声音、虹虹膜、DNA等口令散列口令令认证口令更改改散列口令令系统不存存储明文文。明文不再再网上传传输。根据摘要要无法推推出口令令。重放攻击击。穷举攻击击改进方案案（一））改进方案案（二））口令更新新对于大部部分系统统而言，，初始化化时，系系统管理理员给每每个用户户指定一一个通过过散列计计算出来来的临时时口令，，认证数数据库中中保存临临时口令令的摘要要。然后后，管理理员通过过某些带带外的方方式，如如邮件或或者电话话，告诉诉用户的的口令。。用户口令令应定期期修改口令更新新的实现现口令小结结口令是当当前最常常用的认认证方式式现代口令令系统以以质询/响应系统统和散列列密码算算法为基基础明文口令令不存储储在任何何地方系统管理理员不知知道终端端用户口口令用户第一一次登入入时需要要更改口口令口令事实实上是最昂贵的认证方方式之一一认证令牌牌认证令牌牌是简单单口令最最常见的的替代品品。认证令牌牌就是为为每一次次认证产产生一个个用于认认证的新新值的设设备。认证令牌牌一般是是由一个个处理器器、一个个液晶显显示屏（（LCD）和一块块电池组组成的。。每个令牌牌都用称称为种子子唯一值值的编程程，种子子可确保保每个令令牌产生生唯一的的输出代代码。认证服务务器必须须知道每每个令牌牌的编程程种子数数。令牌认证证是双因因子认证证（口令令是单因因子）。。认证令牌牌类型质询/响应令牌牌。时间令牌牌。质询/响应令牌牌质询/响应令牌牌（续1）质询/响应令牌牌（续2）时间令牌牌质询/响应令牌牌的缺陷陷：用户认证证必须准准确地读读取两个个不同值值（质询询和响应应）正确地输输入三个个不一样样的数值值（PIN、质询、、响应））时间令牌牌是更容容易的令令牌时间令牌牌的实现现时钟的同同步令牌时钟钟在生产产过程时时对其初初始化并并植入了了校对因因子。令牌每60秒产生一一个新的的通行字字。认证服务务器通过过以服务务器时钟钟为中心心点，加加上或减减去几分分钟的滑滑动窗口口来尝试试和查找找认证通通行码，，同时调调整时间间偏移量量。如果通行行码在内内部窗口口未获匹匹配，则则在大窗窗口内查查找，若若匹配，，用户需需在输入入一次确确保用户户不是伪伪造的，，再次匹匹配，认认证通过过并同时时调整时时间偏移移量，否否则，认认证不通通过。认证令牌牌小结认证令牌牌主要有有两种类类型：质质询/响应和时时间令牌牌。认证令牌牌引入了了双因素素认证的的概念质询/响应令牌牌看起来来很像一一个小计计算器，，有一个个液晶显显示屏（（LCD）和一个个小键盘盘。用户户通过小小键盘输输入质询询和PIN。令牌计计算出响响应并显显示在液液晶显示示屏上，，用户把把响应输输入到登登录提示示符下。。本质上，，质询/响应令牌牌对种子子数和质质询一起起进行散散列运算算生成一一个伪随随机数，，然后截截取该数数的部分分字符显显示在液液晶显示示屏上。。质询/响应令牌牌和基于于口令的的质询/响应方案案不同在在于它需需要对产产生的伪伪随机数数进行截截取。认证令牌牌小结（（续）时间令牌牌看起来来好像一一个小钥钥匙装饰饰物，只只有液晶晶显示屏屏而没有有小键盘盘。用户户只要在在登录提提示符下下输入PIN，紧接着着输入令令牌产生生的伪随随机数即即可。实质上，，时间令令牌维护护着一个个实时时时钟，它它的输出出与种子子数一起起参加散散列运算算产生一一个伪随随机数，，然后截截取部分分字符显显示在液液晶显示示屏上。。时间令牌牌关键在在于时钟钟同步、、校对、、窗口设设置。尽管我们们在这里里并没有有涉及到到，但是是确实有有一种用用软件实实现的令令牌，运运行在PC上，PDA和手机上上等，可可以把这这些设备备变成认认证令牌牌。X.509（数字证证书）的的认证证AA{tA,rA,B,sign(rA,tA),EKUb(Kab)}X.509的单向认证BA1．A{tA,rA,B,sign(rA,tA),

EKUb(Kab)}X.509的双向认证B2．B{tB,rB,A,rA,sign(rB,tB),

EKUa(Kba)}生物特征征认证虹膜识别别技术（眼睛中瞳瞳孔内的的织物状状的各色色环状物物）视网膜识识别技术术(激光照射射眼球的的背面以以获得视视网膜特特征)面部识别别技术声音识别别技术指纹识别别技术生物特征征数据生物统计计学用于于测定用用户的一一些物理理特征。。系统在用用户每次次出示生生物特征征是采集集到的特特征数据据是不同同的。生物认证证并不是是真正的的匹配。。系统没有有生物特特征的完完整记录录，而只只拥有一一些典型型特征数数据。生物认证证的关键键技术在在于生物物特征值值的提取取和匹配配。两个重要要性能指指标错误接受受率（FalseAcceptRatio，FAR）衡量用户户本应该该遭到拒拒绝却被被系统接接受的可可能性。。错误拒绝绝率（FalseRejectRatio，FRR）衡量用户户本应该该被系统统接受却却遭到拒拒绝的可可能性。。生物特征征认证的的优点易用的生生物特征征的解决决方案。。一对一匹匹配一对多匹匹配基于安全全的生物物特征解解决方案案。双因子认认证3因子认证证指纹一对对多匹配配举例指纹应用用举例消息认证证码消息认证证码（MAC，MessagesAuthenticationCodes），是与与密钥相相关的的的单向散散列函数数，也称称为消息息鉴别码码或是消消息校验验和。MAC与单向散列列函数一样，但但是还包包括一个个密钥。。不同的的密钥会会产生不不同的散散列函数数，这样样就能在在验证发送送者的消息息没有经经过篡改改的同时时，验证证是由哪哪一个发发送者发发送的。。消息认证证码的实实现过程程认证小结结口令不足足以保护护重要资资源，但但具有成成本低、、易实现现等特点点。认证令牌牌，特别别是时间间令牌，，是基于于口令的的强认证证方式。。X.509（数字证证书）的的认证方方式是安安全的，，但依赖赖于PKI平台。生物特征征认证是是复杂