信息安全技术与实施（第4版） 课件 项目3 信息认证技术与应用

重识身份认证厚德强能、求实创新第三章任务1身份认证基本原理1身份认证类别2身份认证方法3厚德强能、求实创新你知道的身份认证方式有哪些？厚德强能、求实创新同学们通过课本知识和网络阐述：身份认证的基本原理身份认证的类型（特别强调：举例）身份认证的方法（特别强调：举例）请制作PPT进行讲解分享。反转课堂厚德强能、求实创新身份认证基本原理11身份认证基本原理身份认证是一个实体向另外一个实体证明其所声称的身份的过程。身份认证的概念身份认证是信息系统安全保护中的第一道关卡，信息系统中的很多安全防护技术和措施（如：访问控制、安全审计等）都要依赖于身份认证系统提供的“信息”——用户的身份。厚德强能、求实创新身份认证系统由验证对象、认证协议、鉴别实体构成。验证对象（声称者）是需要鉴别的实体；认证协议是验证对象和鉴别实体之间进行认证信息交换所遵从的规则；鉴别实体（验证者）根据验证对象所提供的认证依据，给出身份的真实性或属性判断。1身份认证基本原理厚德强能、求实创新1身份认证基本原理身份认证一般由标识（Identification）和鉴别（Authentication）两部分组成。（1）标识。标识是用来代表实体对象（如人员、设备、数据、服务、应用）的身份标志，确保实体的唯一性和可辨识性，同时与实体存在强关联。标识一般用名称和标识符（ID）来表示，通过唯一标识符，可以代表实体。例如，网络管理人员常用IP地址、网卡地址作为计算机设备的标识，操作系统以符号串作为用户的标识，如root、guest等。（2）鉴别。鉴别是对实体所声称的属性进行识别验证的过程。鉴别的依据主要有所知道的秘密信息（如口令、验证码、电子签名、数字证书等）、所拥有的实物凭证（如令牌、能卡、U盾等）、所具有的个体特征（如指纹、声音、虹膜、人脸等生物特征）和所表现的行为特征（如鼠标使用习惯、键盘敲键力度、所在地理位置等）。厚德强能、求实创新2身份类别（1）根据验证对象提供的鉴别依据类型数量单因素认证（SFA，Single-FactorAuthentication）双因素认证（2FA，Two-FactorAuthentication，）多因素认证（MFA，Multi-FactorAuthentication，）（2）根据鉴别依据所利用的时间长度一次性口令（OTP，OneTimePassword）持续认证（Continuousauthentication）（3）按照认证过程中鉴别双方参与角色及所依赖的外部条件单向认证双向认证第三方认证厚德强能、求实创新2身份类别单向认证双向认证第三方认证厚德强能、求实创新3身份认证方法要实现口令认证的安全，认证系统应至少满足以下条件：①

口令信息要安全加密存储。②

口令信息要安全传输。③

口令认证协议要抵抗攻击，符合安全协议设计要求。④

口令选择要避免弱口令，即口令设置要符合口令安全组成规则，同时对生成的口令进行安全强度评测，确保用户选择安全强度较高的口令。（1）口令认证厚德强能、求实创新3身份认证方法（2）智能卡认证厚德强能、求实创新（3）基于生物特征认证3身份认证方法生物特征是指个体的生理特征或行为特征。（1）唯一性：每个人的生物特征都是独一无二的，难以复制。（2）便捷性：用户无需记住复杂的密码或携带实体凭证，避免了口令信息容易遗忘、泄露，智能卡可能丢失或被伪造的不足。（3）高安全性：生物特征认证技术在高安全需求的场景中（如金融、政府机构等）具有显著优势，能够有效防止身份冒充和欺诈行为。（1）数据泄露风险：生物特征数据一旦被泄露，用户无法像更改密码那样轻易地更改生物特征，因此数据泄露的风险较大。（2）技术复杂性：生物特征认证技术涉及复杂的图像处理和特征提取算法，对硬件和软件的要求较高。（3）用户接受度：部分用户可能对生物特征数据的采集和存储存在隐私担忧，影响其接受度。优点缺点用来进行身份认证的生物特征信息包括：指纹、人脸、虹膜等。厚德强能、求实创新（4）基于人机识别认证3身份认证方法基于人机识别认证利用计算机求解问题的困难性来区分计算机和人的操作，防止计算机程序进行恶意操作，如恶意注册、暴力猜解口令等。这种技术通常称为CAPTCHA（CompletelyAutomatedPublicTuringtesttotellComputersandHumansApart）技术，主要包括文本CAPTCHA、图像CAPTCHA、语音CAPTCHA（1）防止自动化攻击：有效防止自动化程序进行恶意注册、暴力猜解口令等攻击。（2）用户体验：对于大多数用户来说，CAPTCHA挑战相对简单，不会显著增加操作复杂性。（3）多模态支持：提供多种类型的CAPTCHA，增加了系统的灵活性和可访问性。（1）用户友好性不足：CAPTCHA可能对视力、听力等不佳的用户不友好。（2）面临破解风险：随着图像和语音识别技术的发展，简单的CAPTCHA可能被自动化程序破解。（3）用户体验影响：在高流量的网站或应用中，频繁或复杂的使用CAPTCHA可能会降低用户的满意度。优点缺点厚德强能、求实创新（5）S/KEY认证3身份认证方法S/KEY认证是一种基于一次性口令（OneTimePassword,OTP）的身份认证系统，旨在解决传统静态口令容易泄露等安全问题。S/KEY认证通过在每次登录时使用不同的口令，提高了系统的安全性。厚德强能、求实创新（1）实现简单：S/KEY认证系统实现简单，成本不高，用户使用方便。（2）防止重放攻击：由于每次使用的口令不同，即使攻击者截获了一次性口令，也无法通过重放攻击获取访问权限。（1）口令序列有限：用户登录一定次数后，必须重新初始化口令序列。（2）依赖Hash算法：S/KEY认证依赖Hash算法的不可逆性。如果Hash算法的可逆性计算研究有新进展，系统将被迫重新选用其他更安全的算法。（3）无法防范假冒服务器：由于服务器发出的挑战信息及客户端计算的OTP均以明文传输，攻击者可利用中间人攻击来获取一系列口令冒充合法用户。优点缺点（5）S/KEY认证3身份认证方法厚德强能、求实创新（6）Kerberos认证3身份认证方法Kerberos认证建立在客户端（Client）和应用服务器（Server）对Kerberos认证服务器信任的基础上，通过Kerberos认证服务器可信仲裁的角色，提供安全的身份认证和会话密钥管理.厚德强能、求实创新（6）Kerberos认证3身份认证方法可以访问网址查看过程：/Eleven-Liu/p/16934365.html数字签名与报文认证厚德强能、求实创新第三章任务2数字签名技术1报文认证技术2厚德强能、求实创新数字签名技术11数字签名技术数字签名的概念在以计算机文件为基础的事务处理中则采用电子形式的签名，即数字签名。数字签名电子签名厚德强能、求实创新①

签名是可信的：任何人都可以方便地验证签名的有效性。②

签名是不可伪造的：除了合法的签名者之外，任何其他人伪造其签名是困难的。这种困难性指实现时计算上是不可行的。③

签名是不可复制的：对一个消息的签名不能通过复制变为另一个消息的签名。如果一个消息的签名是从别处复制的，则任何人都可以发现消息与签名间的不一致性，从而拒绝签名的消息。④

签名的消息是不可改变的：经签名的消息不能被篡改。一旦签名的消息被篡改，则任何人都可以发现消息与签名之间的不一致。⑤

签名是不可否认的：签名者不能否认自己的签名。1数字签名技术数字签名作为一种防止源点和终点否认的认证技术，具有以下特性：厚德强能、求实创新数字签名机制1数字签名技术数字签名通常基于公钥密码体制实现，且是只对消息的摘要而不是对消息本身进行签名。厚德强能、求实创新1数字签名技术练一练案件：电子合同纠纷，鉴定电子数据真伪A公司与B公司签署了一份物资采购电子合同。但在产生纠纷的时候，现A、B两公司各拿出了一份内容不同的电子合同。要求：辨别A、B两家公司出示的电子合同真伪厚德强能、求实创新如何判别电子合同“真伪”？问题提出：电子合同辨别真伪的关键要素是数字签名结论一：1数字签名技术厚德强能、求实创新电子合同哈希数字摘要59096539f4b93f2d数字签名加密私有密钥“数字签名”的产生？不可逆唯一性1数字签名技术厚德强能、求实创新电子合同哈希数字摘要XXXXXXXXXXXX不可逆、唯一性解密数字签名公开密钥YYYYYYYYYYYYY是否相同？1数字签名技术厚德强能、求实创新结论二：解密（数字签名）

=

哈希（电子合同）真解密（数字签名）

≠

哈希（电子合同）假问题解决：如何判别电子合同的真伪？步骤一：利用“公开密钥”对“数字签名”解密运算出数字摘要①步骤二：利用“哈希函数”对“电子合同”哈希运算出数字摘要②步骤三：比对“数字摘要①”和“数字摘要②”的异同，判别真伪1数字签名技术厚德强能、求实创新盲签名1数字签名技术群签名数字签名的分类：（1）完全盲签名（2）部分盲签名仲裁投标厚德强能、求实创新报文认证技术2厚德强能、求实创新2报文认证技术报文完整性检验的一般机制报文内容的认证厚德强能、求实创新2报文认证技术利用消息认证码进行认证报文内容的认证厚德强能、求实创新消息认证与保密2报文认证技术报文内容的认证厚德强能、求实创新报文的发送顺序在通信过程中具有重要的安全意义，重放攻击就是攻击者利用通信双方没有有效认证消息的发送顺序，将截获的报文在以后的时间重新发送，扰乱正常通信的一种攻击方式。要实现报文顺序的认证，最重要的一点是在通信中增加标识报文顺序的信息，常见的标识报文顺序的信息有序列、时间戳、挑战/响应。2报文认证技术报文顺序的认证（1）采用序列号进行认证（2）采用时间戳进行认证（3）采用挑战/响应进行认证PKI与数字证书厚德强能、求实创新第三章任务3PKI公钥基础设施1数字证书2如何保障信息安全31PKI公钥基础设施PKI的概念厚德强能、求实创新公钥是公开的，因此不需确保秘密性，但必须确保公钥的真实性和完整性，绝对不允许攻击者替换或篡改用户的公钥。如果公钥的真实性和完整性受到危害，则基于公钥的各种应用的安全将受到危害。公钥基础设施PKI（PublicKeyInfrastructure）是有关创建、管理、存储、分发和撤销公钥证书所需要的硬件、软件、人员、策略和过程的安全服务基础设施，提供了一种系统化的、可扩展的、统一的、容易控制的公钥分发方法，其核心是密钥和证书管理服务。基于PKI的主要安全服务有身份认证、完整性保护、数字签名、会话加密管理、密钥恢复等，PKI及其相关应用保证了信息的保密性、完整性、真实性和不可否认性。作为网络空间中一种可信的第三方，PKI保持着对每个用户密钥的跟踪，包括两种基本操作：证明，将公钥值与所有者绑定的过程；验证，验证证书依然有效的过程。1PKI公钥基础设施PKI的功能厚德强能、求实创新厚德强能、求实创新PKI的组成1PKI公钥基础设施终端实体（EndEntity，EE）证书认证机构（CertificateAuthority，CA）证书注册机构（RegistrationAuthority，RA）证书和证书废除列表（CertificateRevocationList，CRL）存储库厚德强能、求实创新PKI的组成1PKI公钥基础设施（1）终端实体EEEE是PKI产品或服务的最终使用者，可以是个人、组织、设备（如路由器、防火墙）或计算机中运行的进程。（2）证书认证机构CACA是具备权威性、可信任性和公正性的，用于颁发并管理数字证书的可信第三方实体，是PKI的信任基础。CA的核心功能包括证书的申请、审核、颁发、撤销、查询、归档和证书废除列表的发布等证书全生命周期的管理服务。CA的构成主要包括目录服务器、OCSP服务器、注册服务器、签发服务器等。根据证书颁发机构的层次，可以划分为根CA和从属CA。厚德强能、求实创新PKI的组成1PKI公钥基础设施（3）证书注册机构RARA是数字证书注册审批机构，是CA面对用户的窗口和CA证书发放、管理功能的延伸，负责接收用户的证书注册和撤销申请，对用户的身份信息进行审查，并决定是否向CA提交签发或撤销数字证书的申请。在实际应用中，RA通常与CA合并在一起。RA也可以独立出来，减轻CA的压力，增强CA系统的安全性。（4）证书和CRL存储库证书和CRL存储库用于对证书和CRL等信息进行存储和管理，并提供查询功能。CRL提供了一种检验证书有效性的方式。当用户名称改变、私钥泄露或业务中止等原因，需要一种方法将现行的证书吊销，即撤销公钥与PKI实体身份信息的绑定关系，这种方法为证书废除列表CRL。任何一个证书被撤销以后，CA就要发布CRL来声明该证书是无效的，并列出所有被废除的证书的序列号。如何验证身份一旦利用了证明书确认了身份的同时，通信的加密也就可以实现了。为什么呢？证明书里面包含了用来加密的密钥。比如说，你要和一个自称比尔的男人通信。这个自称比尔的男人，会在通信的最开始，通过网络将证明书发给你，那么通过这个证明书，就证实了他就是比尔。然后，你用这个“证明书中的密钥”，将你要发送给比尔的内容进行加密，然后发送给比尔。用“证明书中的密钥”加密过的内容，只能用比尔自己才有的另一个“私人的密钥”才能解密。这样的话，如果你发送给比尔的内容被他人窃取的话，他人也无法解密。只要比尔自己好好保管好自己才有的“私人的密钥”，那么如果有人拿着比尔的“证明书中的密钥”想要胡作非为的话，那就是不可能的。因为用“证明书中的密钥”加密过的内容，只有比尔自己才有的“私人的密钥”才能解密。所以这么一来，PKI提供的证明书可以用来身份确认和通信加密。同时实现了这两个重要的功能。1PKI公钥基础设施厚德强能、求实创新先前说到，用包含在证明书里的公开密钥去给通信内容加密，这个过程大家已经知道。但是PKI提供的证明书真的可以被信任吗？说到底，证明书也就是普通的文件而已。不像货币那样，本身有着特殊的材质或者物理上的防伪措施。这么想是完全对的，因为实际上，认证机关所用的证书生成器说到底也就是一个软件而已，如果搞到这个软件，谁都可以发行证明书。所以说，在技术上，伪造证明书是非常简单的。所谓假的证明书，比如说有一个所谓的“比尔的证明书”，但是里面含有的公开密钥是史提芬的公开密钥。那么，别人发给比尔的信息，史蒂芬可以解密，反而比尔自己不能解密。这样看来，这个认证机关就至关重要了，认证机关的可信度，直接与证书的可信度挂钩，也就是与整个PKI机制的可信度息息相关。关于认证机关的权威性和可信度的问题，其实是一个社会基础设施建设的话题了。

在很多国家认证机关都是由政府在主导建设，常常被视作一个社会性基础设施的一个环节。如同建设各种社会机构，比如医院，银行，学校等等。1PKI公钥基础设施厚德强能、求实创新如何验证身份厚德强能、求实创新2数字证书基本概念数字证书（DigitalCertificate）也称公钥证书，是由证书认证机构（CA）签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及扩展信息的一种数据结构。数字证书可以说是网络上的安全护照或身份证，提供的是网络上的身份证明，它的持证主体可以是人、设备、组织机构或其他主体。按类别：个人证书、机构证书和设备证书；按用途：签名证书和加密证书；签名证书是用于证明签名公钥的数字证书加密证书是用于证明加密公钥的数字证书。厚德强能、求实创新2数字证书证书结构用户证书的结构实例版本号(version)证书序列号(serialNumber)签名算法标识符(signature)颁发者名称(issuer)有效期(validity)起始有效期终止有效期主体名称(subject)countryName（国家）stateOrProvinceName（省份）localityName（地市）organizationName（组织名称）organizationalUnitName（机构名称）CommanName（用户名称）主体公钥信息(subjectPublicKeylnfo)颁发机构的密钥标识符authorityKeyIdentifier主体密钥标识符subjectKeyIdentifierCRL分发点CRLDistributionPoints厚德强能、求实创新2数字证书证书结构查看百度证书信息厚德强能、求实创新2数字证书证书失效厚德强能、求实创新电子商务电子政务网上银行网上证券2数字证书PKI的应用