信息安全复习九：身份认证

小鱼儿 2024-03-22 09:05 156阅读 0赞

## 一、章节梗概 ##

1.身份认证的基本概念  
2.基于口令的身份认证：Unix口令，动态口令  
3.基于密码的身份认证技术  
①.质询与应答认证技术  
②.Needham-Schroeder 协议  
③.KERBEROS协议

## 二、身份认证的基本概念 ##

### 2.1 定义 ###

宣称者向验证方出示证据，证明其身份的交互过程  
至少涉及两个参与者，是一种协议  
分为双向认证和单向认证

### 2.2 区分身份认证和报文鉴别 ###

**区分**  
1.报文鉴别是静态附加在报文之上；身份认证是动态的协议交互的过程；报文鉴别可以作为基本方法，用于设计身份认证协议  
2.身份认证一般和时间相关，具有实时性

**重大区别就是:**  
要保证用于身份认证的报文的“鲜活性”  
最早是由毛文波提出的，鲜活性在身份认证里指用于身份认证的凭证每次都不一样;

**对身份认证最大的威胁是**：重放攻击

## 三、基于口令的身份认证 ##

### 3.1 介绍 ###

基于口令认证的一般过程分为两个阶段:  
**初始化阶段**：  
1.用户选择口令  
2.口令经哈希后把哈希值存储在口令文件里  
**身份认证阶段**：  
1.用户登录系统，输入口令  
2.系统同样方向计算哈希值，和之前存放在口令文件里的哈希值比较

**是弱的认证方法：**  
口令在相当长一段时间内固定  
明文存放或哈希之后存放  
通过设置规则(如要求字母、数字、长度等)，避免设置弱口令  
Salt(盐值)提高字典攻击的穷举空间，有大量的应用实例：Unix口令和动态口令

### 3.2 对基于口令认证的攻击 ###

**1.重放攻击**（因口令一般一段时间内固定)  
**2.穷举攻击**：8个字符相当于40-50bits的穷举空间  
**3.字典攻击**：  
什么是口令字典?  
典型的口令词典:容易被采用作为口令的词条  
在线字典攻击:攻击者从字典文件里的词条拿出来一个一个去匹配口令

怎么防御在线字典攻击?  
a.随机口令设置  
b.或者通过一些规则避免设置弱的口令，增加穷举者攻击空间的目的  
避免设置弱的口令，提高字典攻击的难度。

**4.离线字典攻击**  
a.建立离线字典文件  
字典文件包含两列：①口令②口令对应的哈希值  
口令列表，与攻击目标系统采用同样哈希算法，计算生成口令的哈希值

b.获取password 文件  
password文件里的哈希值与字典文件里的哈希值进行比对

离线字典攻击原理：  
![在这里插入图片描述][4d6f57b67969489db2f84fc8013c0472.png]

防范离线字典攻击典型方法:  
撒点盐的方法，通过撒点盐的方法来提高离线字典攻击的穷举空间

以UNIX口令系统为例—撒盐方法

![在这里插入图片描述][2af1450dbd574b6c98eb0575d8b7377c.png]

Salt(使用加密技术生成的随机数）  
![在这里插入图片描述][d7e7d74482ff40de959d767b49b25740.png]

**5.基于口令的认证方式总结**  
●一种弱的认证方法  
窃取A的password ，将在很长一段时间拥有A的权限，直到A发现  
●特别的，网络环境下远程认证  
远程登录，password 传递形式，加密还是明文  
早期的互联网协议，telnet 、 http 、 ftp都是明文传递  
网络环境下口令认证又会带来新的问题  
●可以通过设置一些规则避免简单的口令  
●一种普遍的身份认证方式，因为容易部署、易使用

### 3.3 动态口令 ###

解决的问题：基于口令的身份认证易受**重放攻击**，如何避免口令固定被重放?  
需要事先共享口令序列，每次认证后更新，当前期待的口令与前一个的口令不一样。

如何共享?  
要解决这个问题最早的方案是Lamport动态口令方案  
![在这里插入图片描述][871b2ce8a92541d18c157506c3344a79.png]  
![在这里插入图片描述][90240d49544843dda78e808ca598c4fe.png]  
![在这里插入图片描述][f1325510c3e048139d783e1379fe569a.png]

## 四、身份认证协议的分类 ##

1.弱的身份认证  
基于口令、PIN码等  
动态口令( one time passwords )半强的

2.强的(基于密码技术的）身份认证  
质询与应答技术

3.基于可信第三方的身份认证（不但实现身份认证、还解决密钥分发问题)  
Needham-Schroeder 协议  
Kerberos协议

## 五、身份认证协议之质询与应答 ##

**引入**  
强的(基于密码技术的）身份认证：质询与应答技术  
1.对称密钥实现质询与应答  
2.公开密钥实现质询与应答

**质询与应答的基本逻辑**  
![在这里插入图片描述][e7ea0e1d97aa406a885fa71281133a2c.png]  
![在这里插入图片描述][85a8cd776291492c8adb3043a1414d83.png]  
**质询与应答的实现方式**

使用对称密钥秘密体制  
①对称密钥加密②报文鉴别码

用公开密钥密码体制  
①数字签名

### 5.1 对称密钥实现质询与应答 ###

基于对称密钥–基本思想  
![在这里插入图片描述][a394cfd53a27431786ca0e57c7b9b8fc.png]  
单向身份认证，对称密钥  
![在这里插入图片描述][4dded51d0eeb45669af2a1c1820dedd0.png]  
反射攻击  
![在这里插入图片描述][6f5737e9b43748708a7f392d1bd5866d.png]  
单向身份认证，使用时间戳  
![在这里插入图片描述][63bc9042207f474b8ac23f86baa07fd1.png]  
双向认证，对称密钥加密  
![在这里插入图片描述][2ba39012ae9e4378bcc10384d0151b6c.png]  
对称密钥实现身份认证小结：  
对称密钥密码技术通信之前需要做的事情是什么?  
密钥交换。  
![在这里插入图片描述][ab177750840e41179e7f4ae050fa31ea.png]  
![在这里插入图片描述][94f3bf7bdb644a71a9b3856ba60bb86a.png]

![在这里插入图片描述][b72729489f264d32bc7e21743ed3b874.png]  
![在这里插入图片描述][88bbacdff7d24fc1a8e460b63076a9c1.png]

### 5.2 公开密钥实现质询与应答 ###

基于公开密钥  
单向认证协议，基于数字签名  
![在这里插入图片描述][6927b66f73f54a368cf06a32ebec59af.png]  
双向认证协议，基于数字签名  
![在这里插入图片描述][5b0ea9c8b20944eea5be096606b25013.png]  
单向认证协议，基于对时间戳签名  
![在这里插入图片描述][6853fdd4dc064c1081d5ba771873a5e1.png]  
质询与问答协议的标准化  
![在这里插入图片描述][8d6297311f70408c81a6c13bffbe2175.png]

## 六、Needham-Schroeder 协议 ##

**Needham-Schroeder 协议解决的主要问题？  
密钥分发和认证。**

思考：要求参与方事先完成对称密钥交换，可扩展性( Scalability）是个问题。  
任意通信两方需要共享不同的密钥随着ServerlClient数量的增加…密钥如何分发，如何管理?最初Needham-Schroeder协议提出的动机就是要解决上述问题（密钥分发和认证)  
![在这里插入图片描述][53bee776a6994c76ac68ac6f75e5eb44.png]  
![在这里插入图片描述][67de7f4fcbb843d3b4bbad0974985a05.png]  
![在这里插入图片描述][77a695fdd10c46a2aaac3ad475309e78.png]

协议历史  
最著名的安全协议之一  
1978年首次公开发表，1981年被发现有一定缺陷  
几经改进最终称为Kerberos协议的基础

Needham-Schroeder提供的安全服务  
![在这里插入图片描述][2d827db85fd8429c842150378b915fde.png]  
Needham-Schroeder协议本身细节  
![在这里插入图片描述][4d4f1a4f5f214778921689b7be5ff072.png]  
对Needham-Schroeder协议的攻击  
![在这里插入图片描述][06f524d084fa47f2b33dce52fa12a399.png]  
![在这里插入图片描述][232754c8fffa4b0e9c853abf41b21741.png]  
![在这里插入图片描述][75f596f744ec48bfab664b9d8871c9fa.png]

## 七、Kerberos协议 ##

### 7.1 KERBEROS协议解决的问题 ###

KERBEROS是一个经过长期考验的认证协议  
解决的问题：认证、数据完整性、保密性  
![在这里插入图片描述][8151e3ecf8784209aa36563af36f0232.png]  
![在这里插入图片描述][4f97dd2c84f84bd3b0457b34185e48cf.png]

KERBEROS协议解决的问题  
![在这里插入图片描述][0f25e6cd2c744cc296c4317893e40dc7.png]

KERBEROS协议解决的问题小结  
![在这里插入图片描述][7a3e844af1da444babd9d3c31eecda8c.png]  
![在这里插入图片描述][1603107f91d24a8893f4da5a193610c8.png]

### 7.2 KERBEROS的引入协议 ###

![在这里插入图片描述][ca9005271b2c4b64a42c79ac9b80a0dc.png]  
![在这里插入图片描述][deedaf75ed8d427bb5882ff1fd0d8c78.png]  
![在这里插入图片描述][e25db3418f024dabb58049ed2933cbc2.png]  
![在这里插入图片描述][95ce6948ac56486a9c8b8699e82ec3e6.png]  
![在这里插入图片描述][731a36d6997245aa8c5af2beeedfc640.png]  
![在这里插入图片描述][dde697413ea44177b9c6ff2ec5a15b8f.png]

### 7.3KERBEROS的完整对话 ###

前提条件  
![在这里插入图片描述][170ce748a2a6470abc3438a43a7013a3.png]

![在这里插入图片描述][5b3eee6278064ad6836a0de17ab82fd2.png]

![在这里插入图片描述][e8bd6a1f94454a8ca4c040b30e5fa412.png]  
[谈谈基于Kerberos的Windows Network Authentication\[上篇\]][Kerberos_Windows Network Authentication]  
[PKI、身份认证、CA][PKI_CA]

[4d6f57b67969489db2f84fc8013c0472.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/d16ae1f82ba24f2d987c905d1ad3146f.png
[2af1450dbd574b6c98eb0575d8b7377c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/99d7f6f9039447b8bd37f93cc46d2d8f.png
[d7e7d74482ff40de959d767b49b25740.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/b6e91609e2694b329a224be9485b6f2b.png
[871b2ce8a92541d18c157506c3344a79.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/218586aa7d824740bf31525b9e738f27.png
[90240d49544843dda78e808ca598c4fe.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/dd725dfa33b5412aadf9d6bdcfa94d34.png
[f1325510c3e048139d783e1379fe569a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/916278a4ba61420294de820295b37993.png
[e7ea0e1d97aa406a885fa71281133a2c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/e2e9f77138ea47cba08fa15019a4b475.png
[85a8cd776291492c8adb3043a1414d83.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/8cfa384b39224a0a9b6da1b223ef0999.png
[a394cfd53a27431786ca0e57c7b9b8fc.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/589158619dac4832a20537bb000de5d5.png
[4dded51d0eeb45669af2a1c1820dedd0.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/c04600d1a913478bb7cd44eb55c233b7.png
[6f5737e9b43748708a7f392d1bd5866d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/b097fc67d99e433aaad2f3c06a986e8d.png
[63bc9042207f474b8ac23f86baa07fd1.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/3f534c7d1c244bed9fbc03f6ecbde352.png
[2ba39012ae9e4378bcc10384d0151b6c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/f9633de99d7347238e23aee1c14c0229.png
[ab177750840e41179e7f4ae050fa31ea.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/1da007ee82d44bdd9f6f9b1e89780427.png
[94f3bf7bdb644a71a9b3856ba60bb86a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/59462318034a437f907c913a2b44210c.png
[b72729489f264d32bc7e21743ed3b874.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/ae4584d0e0a94a7e961ab0ccd4aabfd0.png
[88bbacdff7d24fc1a8e460b63076a9c1.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/65ee3dc964e14a31be29e7dc8ffbf864.png
[6927b66f73f54a368cf06a32ebec59af.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/183c2135a8dc47cc90236d39f38c20b7.png
[5b0ea9c8b20944eea5be096606b25013.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/eb4240c1019b4a74b8a8c5ee19e1cdd3.png
[6853fdd4dc064c1081d5ba771873a5e1.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/949a0be65d5d4353aa00cedff78e2b94.png
[8d6297311f70408c81a6c13bffbe2175.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/88906d2fb62d4e7c858a26d998883f22.png
[53bee776a6994c76ac68ac6f75e5eb44.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/7f3e2eeb773c40d8b2b281c19df7c353.png
[67de7f4fcbb843d3b4bbad0974985a05.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/c53f85e5f2924471ad1c6536c8fc0585.png
[77a695fdd10c46a2aaac3ad475309e78.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/4968cb1ca7e243b5b4addade32fa1baf.png
[2d827db85fd8429c842150378b915fde.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/cf8ed956c2144780961b664aceceedca.png
[4d4f1a4f5f214778921689b7be5ff072.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/c663eba09cb549adb9fe36a52417e116.png
[06f524d084fa47f2b33dce52fa12a399.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/2cb3b71e838a400d9ca7c7d0fa54ef57.png
[232754c8fffa4b0e9c853abf41b21741.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/22975ee49ae4424e8c0175a49f89431f.png
[75f596f744ec48bfab664b9d8871c9fa.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/0bb6935a49a547cea8be92cf23a2a4cc.png
[8151e3ecf8784209aa36563af36f0232.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/b1e55c236fc4470e99299b52bd406acf.png
[4f97dd2c84f84bd3b0457b34185e48cf.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/e177f8901501440781c8cb9b5e853ba4.png
[0f25e6cd2c744cc296c4317893e40dc7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/d78be89fd9f4431e9634fc9a3ba5182c.png
[7a3e844af1da444babd9d3c31eecda8c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/d63750fbe5cc42b4bdd3d899335b28ed.png
[1603107f91d24a8893f4da5a193610c8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/da7318f62bd14a74b24185570e87e5ce.png
[ca9005271b2c4b64a42c79ac9b80a0dc.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/030d24fd969a44d5a7ce8ed1a94bbcf5.png
[deedaf75ed8d427bb5882ff1fd0d8c78.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/89ed1b7e00604527a717370fab591fa6.png
[e25db3418f024dabb58049ed2933cbc2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/92263a2451ea45ee8a5d070880b46f46.png
[95ce6948ac56486a9c8b8699e82ec3e6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/ec8728409a39482698b21faadb044db8.png
[731a36d6997245aa8c5af2beeedfc640.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/e3743b8d310d4c42a543fd1884b0c9b6.png
[dde697413ea44177b9c6ff2ec5a15b8f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/954e88807e6d46af8c6bc173b777d4cc.png
[170ce748a2a6470abc3438a43a7013a3.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/1e66dcae7e614b7d9244a7ff5d8ed176.png
[5b3eee6278064ad6836a0de17ab82fd2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/6430d752a0aa4a3e8c5ee12e5b136b61.png
[e8bd6a1f94454a8ca4c040b30e5fa412.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/e9a15428747c49ccb351d940bf7f253c.png
[Kerberos_Windows Network Authentication]: https://www.cnblogs.com/artech/archive/2007/07/05/807492.html
[PKI_CA]: https://zhuanlan.zhihu.com/p/377562137