信息认证技术

信息认证技术第一页，共六十五页，2022年，8月28日认证的具体实现原理

1.使用验证者与共同知道的信息方式：用户与口令方式用户名与口令是最简单的认证方式明文口令是最简洁的数据传输，保护口令不被泄密可以在用户和认证系统之间进行加密。

第二页，共六十五页，2022年，8月28日认证的具体实现原理单一加密形式下的用户名与口令传输方式适合的应用环境（a）用户终端可以直接连接认证系（b）认证数据库不为非法用户所获得。认证数据库通常情况下不会直接存放用户的口令，可以存放口令的hash值或是加密值。第三页，共六十五页，2022年，8月28日用户名与口令的认证实现方式用户将口令使用认证系统的公钥加密后传输给认证系统，认证系统对加密数据解密后得到口令，对此数据做hash（或是加密），将这一结果与数据库中的值做比较，若数据匹配，则是合法用户，否则不是。第四页，共六十五页，2022年，8月28日用户名与口令的认证实现方式第五页，共六十五页，2022年，8月28日口令数据库的加密存储第六页，共六十五页，2022年，8月28日挑战/应答式（质询/响应式）口令（1/2）挑战/应答式（质询/响应式）口令是目前口令认证机制的基础。其原理适用于令牌与智能卡的认证。认证一个用户可以等同地证明这个用户拥有某个私钥，由于认证系统知道用户的公钥，因此可以选取一个随机数字发送给用户，用户收到后使用自己的私钥进行加密，然后传递给认证系统，认证者使用用户的公钥进行解密，然后比较解密结果是否等于随机数字。

第七页，共六十五页，2022年，8月28日挑战/应答式（质询/响应式）口令（2/2）第八页，共六十五页，2022年，8月28日口令认证机制存在的弊端

（1）口令的更新（2）口令的记忆（3）口令的概率分布人们使用的口令并非均匀随机地分布在可能的密钥空间。多数人出于方便的考虑，类似于A6KX853H这样随机、安全的密码总是很难进入到我们的数字生活中。

第九页，共六十五页，2022年，8月28日口令认证机制存在的弊端假设非法者能够破译系统或是通过其他途径获得口令数据库，虽然口令数据库是口令的hash值，不能够逆向计算求得。但是，恶意的主动攻击者完全可以利用现有的口令字典计算那些现有口令的hash值，然后对二者进行比较，从而找到合适的匹配值。

第十页，共六十五页，2022年，8月28日抵抗字典式攻击的办法

在口令的后面添加由计算机产生的随机字符串，记为salt，然后把计算得到的hash值和salt值同时存储到数据中。如果随机数字salt取的符合一定要求，比如随机性能、长度等，能在一定程度上限制上述攻击。

第十一页，共六十五页，2022年，8月28日补充说明一安全的实现是有代价的。多数服务器在进行认证时只是存放用于进行用户识别的用户ID和口令特征的静态认证列表。这种方式的优点是配置简洁方便，缺点是破解者能够花费较小的代价获得口令列表。

第十二页，共六十五页，2022年，8月28日补充说明二ISP服务商通常会将远程访问服务器的共享认证列表放在较为安全的服务器商，达到使用外部认证或共享认证。此种认证的优点是只需考虑一台服务器的安全配置就可以了，因此在配置更方便的同时，认证的安全性能提高了。直接导致了专用认证服务器的产生，Kerberos认证服务也是这样一种方式。认证服务器对用户进行认证时会对整个认证过程加密，从而避免Hacker截取用户的ID与口令。

第十三页，共六十五页，2022年，8月28日2.利用认证者所具有的物品进行认证

利用硬件实现的认证方式安全令牌智能卡

第十四页，共六十五页，2022年，8月28日安全令牌安全性要求较高的场合使用硬件来实现认证，如安全令牌。安全令牌通常是每隔固定间隔产生一个脉冲序列的同步序列发生器。

便携钥匙链式的安全令牌，和帐号绑定之后，按一下就会显示你目前的登入PIN码（用户名与密码依然是登入的前提），这个PIN码叫做瞬时密码，而且这个瞬时密码每隔60秒会更换一次，换个方法讲，没有这个东西，你就进不去游戏了。第十五页，共六十五页，2022年，8月28日

令牌有点像一个小计算器，粗略一看也有点像汽车的遥控器，所有的令牌差不多都有一个处理器，一个液晶屏和一个电池，有些令牌还有供用户输入信息的小键盘和一个时钟。每个牌都有一个唯一的种子数，种子可确保令牌输出唯一的代码集。令牌产生的伪随机数称为一次性口令或者一次通行码。

用户在访问受保护的资源时，输入用户名，令牌上显示的通行码和PIN，而不是口令。每个通行码用一次后就不再使用，大多数系统中，认证系统不直接检验通行码，而是让所信任的认证服务器去做这个事情。

认证服务器必须知道每个令牌的编程种子数，因为认证系统知道每个特定令牌的种子数后，才能检查访问用户提供的伪随机数是否正确。

令牌认证是双因素认证或者称2-因素认证，要使用令牌认证必须拥有令牌和PIN，两者缺一不可第十六页，共六十五页，2022年，8月28日示例比如在一个有严格安全等级的实验室，就可以使用安全令牌来实现：当用户UserA使用控制器的时候，需要系统对他的使用行为进行认证，但是，如果UserA暂时离开或是有其他等级不同的用户到来的时候，都必须从新进行认证或是更改认证权限。

第十七页，共六十五页，2022年，8月28日示例完全通过人为的管理是不现实的，所以对每个用户配置一个令牌。每隔一个固定的时间间隔，认证系统都和用户所携带的令牌进行认证当用户离开（或是其他用户）的时候，认证系统就自动把访问控制禁止，这样就会避免敏感信息的泄漏。

第十八页，共六十五页，2022年，8月28日概念解释-令牌

令牌实际上是一个可以为每一次认证产生不同的认证值的小型电子设备，其易于携带。认证令牌的实现有两种具体的方式时间令牌挑战/应答式令牌。

第十九页，共六十五页，2022年，8月28日概念解释—时间令牌

时间令牌令牌和认证服务器共同拥有一个相同的随机种子，认证时双方将当前时间和随机种子做加密或是hash运算，然后有认证服务器对这一结果进行校验比较。时间令牌的实现非常复杂，产生这个问题的原因在于要对时间进行校验，必须保证令牌与认证服务器的时间同步。

第二十页，共六十五页，2022年，8月28日在服务器端认证的时侯，如果服务器发现通行码不匹配，这时服务器会向前或者向后调一下时间再一次做散列处理后，进行匹配;如果还不匹配的话，服务器还会扩大向前或向后调整时间的范围，再做散列处理，进行匹配。如果匹配成功后，服务器记录下令牌与服务器时间的偏移量。向前或者向后调整超过一定范围后就被认为失败.从令牌安全角度来讲，在用户使用令牌的时候需要输入一个PIN,如果输入正确的PIN后会产生一个正确的种子数；输入错的话也不会提示失败，而是给出一个错误的种子数，继续使用。每个令牌都有一种特定的错误种子数，以便服务器跟踪。第二十一页，共六十五页，2022年，8月28日概念解释—挑战应答令牌

挑战应答令牌由认证系统产生一个随机数，令牌和认证系统使用同样的密钥对这个数字进行加密或是hash变换，然后进行校验。

第二十二页，共六十五页，2022年，8月28日使用散列算法而不是加密算法主要是散列算法容易实现而且需要的CPU资源比加密运算少，这对低当的令牌处理器极为有利，即节省成本又延长电池寿命。

使用令牌时，令牌和认证服务器需要有相同的种子数。种子数是一个适当长度的随机数，不同令牌的种子数不同，令牌中的种子数是不向外公开的，由于令牌没有接口接收质询，所以用户需要看到认证服务器返回的质询后，将其输入到令牌中。第二十三页，共六十五页，2022年，8月28日智能卡智能卡卡中存储有用户的私钥、登录信息和用于不同目的的公钥证书，如数字签名证书和数据加密证书等

提供了抗修改能力，用于保护其中的用户证书和私钥。在这种方式下，智能卡提供了一种非常安全的方式以进行用户认证、交互式登录、代码签名和安全e-mail传送等。第二十四页，共六十五页，2022年，8月28日使用智能卡比使用口令进行认证具有更高的安全性智能卡方式下需要使用物理对象（卡）来认证用户智能卡的使用必须提供一个个人标识号PIN（PersonalIdentificationNumber），这样可以保证只有经过授权的人才能使用该智能卡没有智能卡，攻击者不能存取和使用经过卡保护的信息资源，也就没有口令或任何可重用信息的传输在存取和使用资源之前，智能卡通过要求用户提供物理对象（卡）和卡使用信息（如卡的PIN）的方式来增强纯软件认证方案的安全性，这种认证方式称为双要素认证，第二十五页，共六十五页，2022年，8月28日与口令认证方式的不同之处用户把卡插入连接到计算机的读写器中，并输入卡的PIN，Windows就可以使用卡中存储的私钥和证书来向Windows2000域控制器的KDC(密匙分配中心)认证用户。认证完用户以后，KDC将返回一个许可票据。第二十六页，共六十五页，2022年，8月28日说明硬件器件实现的安全问题的最大隐患在于其本身有可能丢失因此，一般通过口令对其加以保护。

第二十七页，共六十五页，2022年，8月28日双要素认证

我们进行验证时考虑使用验证者的某个属性或是共知信息，如果单独使用某个方面无法体现安全的要求，就考虑使用验证者的多个信息来实现。比如我们在使用钥匙开门锁的时候，如果进入的地方比较机密，而又当心钥匙有可能丢失，就同时配置一个密码锁加以保证。这种方式我们称为双要素认证。对于有口令的令牌和智能卡的实现都属于这种方式。

第二十八页，共六十五页，2022年，8月28日双向认证

单向认证，默认通信方A对B的检验在通信中，需要确定和你进行通信对话的人是Alice而不是Bob，有必要也对对方进行验证，双方互相进行验证的这种方式我们称为双向认证

第二十九页，共六十五页，2022年，8月28日认证方式的实际应用

目前实用的认证方式有S／key防止窃听和窃取，但实现有困难KerberosRadiusKerberos和Radius认证方式都是在服务器和客户机都支持相应的认证方式的条件下才能使用，因而需要复杂的设置。

第三十页，共六十五页，2022年，8月28日1.S／key认证方式

通过监听TCP／IP网络中信息，可以获得用户登录用的帐号和口令，被截获的用户帐号和口令有助于发动对系统的攻击。S／key是一个一次性口令系统，可以用来对付这种类型的攻击行为。

第三十一页，共六十五页，2022年，8月28日S／key认证方式的特点使用S／key系统时，网络中传送的帐户和口令只使用一次后就销毁。用户使用的源口令永远也不会在网络上传输，包括登录时或其它需要口令的情形，这样就可以保护用户的帐户和口令不会因此而被窃取。S／key系统的机制保护的是进行身份鉴别时的安全性，并不保证信息在传送过程中的保密性和完整性。

第三十二页，共六十五页，2022年，8月28日使用S／key类系统两方面的操作

在客户方，必须有方法产生正确的一次性口令。

在服务主机方必须能够验证该一次性口令的有效性，并能够让用户安全地修改源口令。

第三十三页，共六十五页，2022年，8月28日S／key认证方式说明一般的S／key系统是基于一些不可逆算法的（如MD4和MD5），也就是说这一类算法如果拥有源数据，正向计算出结果速度很快。但如果没有源数据而试图反向计算出源数据，则目前来看基本上是不可能的。

第三十四页，共六十五页，2022年，8月28日用户如何使用S／key系统（一）用户在使用S／key系统时，在计算机上对其口令进行初始化，由计算机保存将该源口令按照选定的算法计算N次的结果。用户自己在客户端必须有能够进行计算的程序或工具。

第三十五页，共六十五页，2022年，8月28日用户如何使用S／key系统（二）计算N－1次后形成本次口令，当本次口令送给计算机时，计算机将所得的口令通过该算法计算一次，并将结果与计算机保存的上一个结果比较，若相同，则身份验证通过，而且将本次用户的输入保留，作为下一次用于比较的值。用户在下一次计算口令时，自动将计算次数减1（第二次计算N－2次）。

第三十六页，共六十五页，2022年，8月28日用户如何使用S／key系统（三）监听者也无法从所监听到的口令中得到用户的源口令，同时他所监听到的信息也不能作为登录用信息。在计算机内部也不保存用户的源口令，达到进一步的口令安全。

第三十七页，共六十五页，2022年，8月28日S／key系统的优缺点

优点实现原理简单缺点会给使用带来一点麻烦（如口令使用一定次数后就需重新初始化）。依赖于某种算法的不可逆性的，算法也是公开的，当有关于这种算法可逆计算研究有了新进展时，系统将被迫重新选用其它更安全的算法。

第三十八页，共六十五页，2022年，8月28日S／key和秘密密码特点S／key和秘密密码不象Unixpassword需要限制在8位以内，它们可能会更长。一般都使用6到7位的长度。另外，S／key系统操作完全独立于unixpassword系统。

第三十九页，共六十五页，2022年，8月28日S／key密码生成S／key通过连接“种子”（seed）和秘密密码来生成一次性密码，然后通过反复计算多次应用MD4hash，再把结果变成六个英文字。这六个英文字就是你的一次性密码。

如果用户提供的密码的hash值与先前的密码相一致，那用户就通过了认证；每个成功的登陆确保用户和登陆程序保持同步之后，计算的次数就不断减少。当反复计算的降到1时，S／key必须被重新初始化

第四十页，共六十五页，2022年，8月28日S／key系统中的四个程序有四个程序被包含在S／key系统中。密码程序接受一个反复计算数，一个种子，和一个秘密密码，然后产生一个一次性密码。Keyinit程序被用来初始化S／key，然后改变密码，反复计算数或种子；它不是接受一个秘密密码，就是一个反复计算数，种子和一次性密码。Keyinfo程序会检查文件，然后打印出被调用的当前反复计算数和种子。最后，login和su程序包含了用于认证S／key一次性密码的必需的逻辑性。login程序也可以不使用unix密码。

第四十一页，共六十五页，2022年，8月28日2Kerberos认证系统

(1)概述

(2)Kerberos的认证原理(3)Kerberos的技术特点第四十二页，共六十五页，2022年，8月28日(1)概述

Kerberos认证的核心算法为密码学中的DES，鉴别模型为CBC模式；Kerberos协议是Needham-Schroeder协议的变型，目前通用版本为k5，是1994年公布的；Kerberos认证起源于非法收集用户口令的恶意攻击，系统按照用户名与口令对用户进行识别；Kerberos采用的是客户机/服务器模型（以下简称C/S）。第四十三页，共六十五页，2022年，8月28日(2)Kerberos的认证原理

第四十四页，共六十五页，2022年，8月28日

第四十五页，共六十五页，2022年，8月28日kerberos的实现过程1、请求票据－许可票据：客户c向Kerberos认证中心（KDC）申请可以访问票据中心TGS2、票据－票据许可3、请求服务器票据4、服务器票据5、请求服务

第四十六页，共六十五页，2022年，8月28日(3)Kerberos的技术特点

Kerberos是分布式认证服务，允许代表合法者的进程或客户在不通过网络发送敏感消息的情况下来向验证者（应用服务器）证实自己的身份，这样可以保证C/S之间传输数据的完整性和保密性。

第四十七页，共六十五页，2022年，8月28日Kerberos的技术特点Kerberos时间戳（timestamp，减少基本认证所需要发送消息的数目）、票据许可（ticket-granting，为后续认证做准备）交叉认证（不同服务器见的认证）第四十八页，共六十五页，2022年，8月28日Kerberos的安全性能分析（1/3)1、Kerberos在C/S间产生的通信会话是动态的。按照时间戳的加入的可能性分析，这样，C/S间会话的通信数据，从一定程度上讲是经过加密的，也就是安全的。在一次会话结束时，则销毁该秘密密钥。

第四十九页，共六十五页，2022年，8月28日Kerberos的安全性能分析(2/3)2、有人使用一些方法分析Neuman-Stubblebine协议类中如同Kerberos的密钥，但是结果表明，分布中心产生的类Kerberos密钥匙和用户申请的票据服务是有缺陷的。第五十页，共六十五页，2022年，8月28日Kerberos的安全性能分析(3/3)3、Web快速增长的现状迫使管理计算机有能力每日处理大量的用户姓名和密码数据。执行多Kerberos服务的环境模型就有新的特性与变化，这种变化是由于受到密码技术或网络因素的影响，自然会降低C/S的执行效率。

Kerberos可以建立在PKI基础之上，但需要客户服务器端执行一定操作。这样在intranet的环境上，由于httpcookies的建立，会有安全隐患存在。

第五十一页，共六十五页，2022年，8月28日Kerberos的前景分析

Kerberos的一个重要应用领域是电子商务。电子商务所能提供的必须是基于开放的分布式计算机环境的安全上的服务，它对于公平的认证信任要求是苛刻的。Kerberos的广泛应用价值不仅体现在网络上，Kerberos同时可以在无线的地方性区域网络

(WLANs)的不同的环境上提供相异的安全需求。

第五十二页，共六十五页，2022年，8月28日Kerberos的前景分析硬件的安全性能是计算机系统安全的前提，通常认为操作系统的安全建立在硬件的安全基础上并以此为发展。Kerberos的另一个应用是可以将Kerberos与智能卡、操作系统整合，这种方案可以较好的指标与实现。Kerberos同样适用于小型动态系统的认证，可以利用其进行轻量级的远程智能化控制，尤其是家庭舒适的遥控操作。

第五十三页，共六十五页，2022年，8月28日3.6认证码

认证码（MAC，MessagesAuthenticationCodes），是与密钥相关的的单向散列函数，也称为消息鉴别码或是消息校验和。MAC与单向散列函数一样，但是还包括一个密钥。不同的密钥会产生不同的散列函数，这样就能在验证发送者的消息没有经过篡改的同时，验证是由哪一个发送者发送的。

第五十四页，共六十五页，2022年，8月28日认证码1974年，Gilbert(吉尔伯特)，MacWilliams(麦克威廉斯)，Sloane(斯隆)首次提出了认证码的概念，并用有限几何构造了认证码。80年代，Simmons(西蒙斯)等人系统地发展了认证码理论。一个没有仲裁的认证码由三方组成：发送方、接受方和入侵者。发送方和接受方互相信任，敌手想欺骗他们，敌手知道整个认证系统，但不知道发方和收方所采用的秘密的编码规则。

第五十五页，共六十五页，2022年，8月28日认证码的验证过程

第五十六页，共六十五页，2022年，8月28日认证码的验证过程

M是信息发送方要发送的消息，假设K是发送方和接受方共有的密钥，其认证码标记为MAC＝CK(M)，表示信息M在密钥K作用下的Hash函数值，这个函数值是一个固定长度的认证符。

发送方将要发送的消息M和验证码CK(M)一起发送给接受方，收方通过重新计算认证码CK(M)来实现对信息M和发送者的识别。

第五十七页，共六十五页，2022年，8月28日认证码的算法实现

二次同余操作探测码（QCMDC）的算法实现：

QCMDC认证码是一个很好的认证实现，不过目前该算法已经被攻破。

第五十八页，共六十五页，2022年，8月28日IBC-hash的算法实现由于上述算法中的每条消息都要用不同的密钥做散列计算，因此，算法的安全性受到密钥对长度的制约。IBC-ha