身份鉴别名词解释
信息安全的关卡——身份鉴别
由 口 令 身 份 证 明பைடு நூலகம்有 大 数 分 解 离
够 完 多 种 体 制
符号 加 以解释：
，
ＡＳ： 认 证 服 务 器 ，
下 面我们举 一个大数 分解体 制
嘲 １ ：Ｃ上 用户身份码 ， Ｄｃ
票 证 发 放 服 务 器 ，Ｉ Ｄｖ：Ｖ的 身 份 码 ， Ｉ ｇ ： ＴＧＳ 的 身 份 码 Ｄｔ ｓ
ｙ ｝ ｒ ｏｄ ｒ Ｉ ｓｂ ｒ ｏ
密 钥 Ｋ ， 并 已 用 户 口 令 导 出 的 密 钥 加 密 送 出 其 Ｔｃ ｅ， Ｅ ｉ ｔ＝ ｋ
式协议 的过 例子来 看 一下什么是
份证 明 假 设 Ｐ为 被 认 证 方 ． ｖ
Ⅱ ｖｂ ｉｉ
限 【 Ｉ 『 ＡＤ。 ｊＩ ｌ Ｄ 『 Ｉ
令最 一 ～
搿 使Ｈ（ 为 ｍｏ 瑚） ｍ舳 曲 愚
井将得 出相应 的 ｖ
．
商 一 晕 ｒ的 我皤二 劬ｅ 认 卞 ＇ ０
一
作为Ｐ 的公锝 计算震 卜 ；
使 ｏ ｄｍ，将 ｓ， ｒｏ
密 密钥。
证 过 程
１ 、认证 业务交换 ， 甩户ｃ从认
同 的机 器 ・ Ｋｅｂ ｒｓ 于 对 称 ｒｅ。 基
，
把 台法
与 网 络 上 的 每 个 实 体 分 不 同 的 秘 密 密 钥 ， 是 否
证 实
明
便是 身份 的证 明。
基 于 不 同 的 数 学 们 对 Ｋｅｂ ｒ ｓ 证 系 ｒｅｏ 认
五 哥生物特征 的鉴 肪 式
在 安全一 和智能卡 所ｊ 善 ． 口令 可 ｛ 走， 更 呵靠 、
证服 务器 获取票证 授权证 如 图，用户在 工作站上 提 出 申 请 票 证 授 权 证 ，然 后 ，ＡＳ 送 票 证 回
第4章 身份鉴别
基于时间的动态口令身份鉴别
应用系统
动态口令令牌 种子密钥 动态口令 服务器 种子密钥
动态口令服务器利用用户的种子密钥和同 样的方式生成动态口令，并比较待验证的 动态口令和自己生成的动态口令是否相同
基于时间的动态口令身份鉴别
应用系统
动态口令令牌 种子密钥
返回验证结果 动态口令 服务器 种子密钥
鉴别服务器 Authentication Service 身份鉴别获得访 问TGS的票据 用户 访问TGS获得访问 应用服务器的票据 密钥库
AS
TGS
票据签发服务 Ticket Grant Service 应用服务器
C
使用票据访问应用服务器
V
Kerberos协议交互过程
用户C
IDC || IDtgs || TS1 Ek (kc,tgs || IDtgs || TS2 || Lifetime2 || Tickettgs) c 生成kc,tgs AS
基于时间的动态口令身份鉴别
用户输入用户名/动 态口令到登录客端 应用系统
动态口令令牌 种子密钥 动态口令 服务器 种子密钥
基于时间的动态口令身份鉴别
提交用户名/动态口令
应用系统
动态口令令牌 种子密钥 动态口令 服务器 种子密钥
基于时间的动态口令身份鉴别
应用系统
动态口令令牌 种子密钥
请求动态口令验证
基于时间的动态口令身份鉴别
拒绝或允许用户访问
应用系统
动态口令令牌 种子密钥 动态口令 服务器 种子密钥
基于时间的动态口令的时间同步问题
动态口令令牌与动态口令服务需尽可能的时
间同步 无法保证完全同步，动态口令服务在验证口 令不成功时，需要在误差范围内考虑可能的 备选时间段序号
第8章 身份鉴别技术分解
身份鉴别的相关实体 （1）申请者（Claimant），出示身份信息的实体，又 称作示证者（Prover），提出某种认证请求；
（2）验证者（Verifier），检验申请者提供的认证信 息的正确性和合法性，决定是否满足其认证要求；
（3）攻击者，可以窃听和伪装申请者，骗取验证者 的信任。 （4）鉴别系统在必要时会有第三方，即可信赖者（ 可信第三方）参与仲裁。
对身份鉴别系统的主要要求
（1）验证者正确鉴别合法申请者的概率极大化。 （2）不具可传递性（Transferability），验证者B不可能重用申 请者A提供给他的信息来伪装申请者A，而成功地骗取其他人的验 证，从而得到信任。 （3）攻击者伪装申请者欺骗验证者成功的概率要小到可以忽略的 程度，能抗击已知密文攻击，即能对抗攻击者截获到申请者和验 证者的多次通信密文，然后伪装申请者欺骗验证者。 （4）计算有效性，为实现身份鉴别所需的计算量要小。 （5）通信有效性，为实现身份鉴别所需通信次数和数据量要小。 （6）秘密参数能安全存储。 （7）相互鉴别，有些应用中要求双方能互相进行身份鉴别。 （8）第三方的实时参与，如在线公钥检索服务。 （9）第三方的可信赖性。 （10）可证明安全性。
③ {Ek(rB )}
方案示意2
用户A
假定用户A、B已安全共享对称密钥k
①’ } 用户B
特点：B的质问信息是密文！ T怎么构造出 Ek(rB，rA ) ？
对手T ① { IDB，IDA， rB } ①{ IDA ，IDB ，rB } ②{ Ek(rB，rB2 ) } ② { Ek(rB，rB2 ) } ③ { rB2’ }
2.身份鉴别的基本方法
所知 （Knowledge）
(按照证据特点)
所有 （Possesses）
现代密码学第十讲身份鉴别协议(精)
31
挑战-应答身份鉴别协议
基于公钥加密的挑战-响应
单向认证：
r为随机数
双向认证：
r1, r2为随机数
32
挑战-应答身份鉴别协议
基于数字签名的挑战-响应
带时戳的单向认证：
certA,certB为公钥证书; SA,SB为私钥;
20
口令认证协议
5）一次口令（向强口令的过渡） 防止窃听和随后的口令重放（无时变参数） 解决办法：每个口令只用一次 变体：
一次口令的共享列表 顺序更新一次口令 基于单向函数的一次口令序列：
21
口令认证协议
一次口令的共享列表 用户和系统都同意一个口令列表。列表中的每一个口令只能使用一次。 首先，系统和用户都要保存一个长的口令列表。其次，如果用户不按次序使用口
6
身份鉴别的定义
身份鉴别的定义： 1、在诚实的情况下，声称者A能向验证者B
证明他确实是A； 2、在声称者A向验证者B声称他的身份后，
验证者B不能获得任何有用的信息，B也不 能模仿A向其他第三方证明他就是A。 3、任何不同于A的实体C以A的身份，让B相 信C是A的概率可忽略不计
7
身份鉴别的定义
用于实现身份识别的协议。
带随机数的单向认证：
带随机数的双向认证：
33
挑战-应答身份鉴别协议
3）基于零知识证明的挑战-应答
零知识(Zero-knowledge)(ZK)证明的起源
Alice：我知道肯德基的土豆泥的配方以及做法。 Bob：不，你不知道。 Alice：我知道。 Bob：你不知道。 Alice：我确实知道！ Bob：请你证实这一点！ Alice：好吧，我告诉你！（她悄悄地说出了土豆泥的秘方） Bob：太有趣了！现在我也知道了。我要告诉《华盛顿邮报》 Alice：啊呀！
5.身份鉴别--wjf
1身份鉴别和访问控制2实体鉴别的目的和过程•实体鉴别（身份鉴别）：某一实体确信与之打交道的实体正是所需要的实体。
只是简单地鉴别实体本身的身份，不会和实体想要进行何种活动相联系。
•在实体鉴别中，身份由参与某次通信连接或会话的远程参与者提交。
这种服务在连接建立或在数据传送阶段的某些时刻提供，使用这种服务可以确信(仅仅在使用时间内): 一个实体此时没有试图冒充别的实体，或没有试图将先前的连接作非授权地重演。
3实体鉴别分类•实体鉴别可以是单向的也可以是双向的。
单向鉴别是指通信双方中只有一方向另一方进行鉴别。
双向鉴别是指通信双方相互进行鉴别。
4实现身份鉴别的途径•三种途径之一或他们的组合（1）所知（Knowledge ）:密码、口令（2）所有（Possesses):身份证、护照、信用卡、钥匙（3）个人特征：指纹、笔迹、声纹、手型、血型、视网膜、虹膜、DNA 以及个人动作方面的一些特征设计依据：安全水平、系统通过率、用户可接受性、成本等5非密码的鉴别机制A.口令机制B.一次性口令机制C.询问—应答机制D.基于地址的机制E.基于个人特征的机制F.基于设备的鉴别6A ．口令机制•常规的口令方案涉及不随时间变化的口令，提供所谓的弱鉴别(weak authentication)。
•口令或通行字机制是最广泛研究和使用的身份鉴别法。
通常为长度为5~8的字符串。
选择原则：易记、难猜、抗分析能力强。
•禁止不必要的用户登录服务器。
如邮件服务器不应该给用户使用SHELL的权利;•尽可能强制新添加的用户在第一次登录时修改密码;•保护好系统中密码配置文件不被窃取;•禁止Root远程登录;少用Telnet或安装SSL加密Telnet信息;•保护用户名不要泄露。
因为登录一台机器需要两个部分—用户名和口令。
•不要将多台计算机的用户密码设成一样的,防止黑客攻破一台机器后就可攻击所有机器。
78对付口令猜测的措施•严格限制非法登录的次数；•口令验证中插入实时延迟；•限制最小长度，至少6~8字节以上•防止用户特征相关口令，•口令定期改变；•及时更改预设口令；•使用机器产生的口令。
计算机考试名词解释 2
计算机考试名词解释(30题）1 信息技术：指的是用来扩展人们信息器官功能、协助人们更有效地进行信息处理的一门技术。
2 信息处理：指的是信息的收集；信息的传递；信息的加工信息的存储；信息的施用。
3 信息产业：(也称为“电子信息产业”)是指信息设备生产制造，以及利用这些设备进行信息采集、储存、传递、处理、制作与服务的所有行业与部门的总和。
4 比特中文译为（“二进位数字”、“二进位”或简称为“位”，既没有颜色，也没大小和质量。
比特只有2 种取值：0和1，一般无大小之分。
如同DNA是人体组织的最小单位、原子是物质的最小组成单位一样，比特是组成数字信息的最小单位。
数值、文字、符号、图像、声音、命令······都可以使用比特来表示。
5 集成电路：以半导体单晶片作为基片,采用平面工艺，将晶体管、电阻、电容等元器件及其连线所构成的电路制作在基片上所构成的一个微型化的电路或系统。
6 CPU：主要由运算器、控制器和寄存器组3个部分组成；CPU的任务：取指令并完成指令所规定的操作。
7 PC机主板：主板又称母板，在主板上通常安装有CPU插座、芯片组、存储器插槽、扩充卡插槽、显卡插槽、BIOS、COMS存储器、辅助芯片和若干用于连接外围设备的I/O接口。
还有两块特别有用的集成电路(一块是闪烁存储器，另一块是CMOS存储器），8 芯片组是PC机各组成部分相互连接和通信的枢纽（南桥芯片：多种I/O设备的控制功能；2. I/O总线(PCI总线) 功能；3. 提供了各种I/O接口）。
9 什么是BIOS中文名为“基本输入/输出系统”，它是存放在主板上只读存储器（ROM）芯片中的一组机器语言程序功能：诊断计算机故障、启动计算机工作、控制基本外设的输入输出操作。
10 内存储器：由存储器芯片和半导体集成电路组成。
（存取速度快，成本高、容量相对较小，直接与CPU连接，CPU(指令)可以对内存中的指令及数据进行读、写操作，属于挥发性存储器，用于临时存放正在运行的程序和数据）。
网络安全 -身份鉴别
讨论议题
• 鉴别的基本概念 • 鉴别机制 • 鉴别与交换协议 • 典型鉴别实例
鉴别的需求和目的
• 问题的提出
– 身份欺诈
• 鉴别需求： 某一成员（声称者）提交一 个主体的身份并
声称它是那个主体。 • 鉴别目的：
使别的成员（验证者）获得对声称者所声称 的事实的信任。
身份鉴别
• 定义：证实客户的真实身份与其所声称 的身份是否相符的过程。
• 数据源鉴别：为了确定被鉴别的实体与一些特定数据 项有着静态的不可分割的联系。
• 对数据单元被篡改和重复不提供保护。 • 与完整性有关的数据原发鉴别必须确保自从数据项离
开它的信源没有被修改。
数据源鉴别方法：
1）加密：给数据项附加一个鉴别项，然后加密该结果 2）封装或数字签名 3）实体鉴别扩展：通过完整性机制将数据项和鉴别交换联系 起来
• 另一方为验证者V（Verifier),检验声称者提出 的证件的正确性和合法性，决定是否满足要求。
• 第三方是可信赖者TP （Trusted third party) ， 参与调解纠纷。
• 第四方是攻击者，可以窃听或伪装声称者骗取 验证者的信任。
鉴别模型
TP
A
B
对身份鉴别系统的要求
（1）验证者正确识别合法申请者的概率极大化。 （2）不具有可传递性（Transferability) （3）攻击者伪装成申请者欺骗验证者成功的概率要小到
• 依据：
– Something the user know (所知）
• 密码、口令等
– Something the user possesses （拥有）
• 身份证、护照、密钥盘等
– Something the user is (or How he behaves)
第3章身份鉴别技术共23页
声称者使用他的私有密钥签署某一消息，验证者使用声称 者的公开密钥验证签名。
如果签名能够被正确地验证，则验证者相信：声称者正是 他所声称的实体。
14
3.3 Kerberos认证系统
Kerberos协议是80年代由MIT开发的一种协议。其命名 是根据希腊神话中守卫冥王大门的长有三头的看门狗。
（1）用户所知道的某种信息（如：密码和口令） （2）用户拥有的某种物品（身份证、USK KEY） （3）用户具有的某种特征（指纹、DNA、脸型）
3
3.1.2 身份鉴别的两种情形
1、实体鉴别：也称身份鉴别,使某一实体确信与之打 交道的实体正是所需要的实体｡例如验证申请进入网 络系统者是否是合法用户,以防非法用户访问系统。
它的安全机制在于首先对发出请求的用户进行身份验证， 确认其是否是合法的用户；如果是，再审核该用户是否有权对 他所请求的服务或主机进行访问。从加密算法上来讲，其验证 是建立在对称加密的基础上的。他采用可信任的第三方，密钥 分发中心（KDC）保存与所有密钥持有者通信的保密密钥，其 认证过程颇为复杂，下面简化叙之 。
19
USER
SERVER
User访问SERVER的密钥
Output*3
解密
USER和TGS之间的会话密钥
User访问 SERVER的密钥
7、USER用自己和和TGS之间的会话密钥解密Output*3得到User访问SERVER的密钥 8、USER用TGS分配的server密钥访问SERVER
20
本章总结
本章目标
1.身份鉴别的基本概念 2.非密码的身份鉴别机制 3.基于密码算法的身份鉴别机制 4.Kerberos协议原理
1
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
身份鉴别名词解释
身份鉴别（Identity Authentication），也称为身份验证或身份认证，是指确认一个人或实体主体声明的身份是否真实和可信的过程。
它是确保只有授权个体可以访问特定资源或进行特定操作的关键步骤。
身份鉴别通常基于以下几种要素进行验证：
1. 证据：通过收集和分析个体提供的证据来验证其身份。
这些证据可以是个人信息（如姓名、出生日期、地址等），证件（如身份证、护照等），或其他可供验证的文件或数据。
2. 认证因素：身份鉴别可以依靠一个或多个认证因素来确认个体的身份。
常见的认证因素包括：
•知识因素：例如密码、密钥、PIN码等，个体必须提供正确的秘密信息以验证身份。
•所有权因素：例如身份证、护照、门禁卡等物理凭证，个体必须持有相应的凭证以验证身份。
•生物特征因素：例如指纹、面部识别、虹膜扫描等生物特征，个体的生物特征与事先存储的特征进行比对以验证身份。
3. 多因素认证：为了提高安全性，身份鉴别可以结合多个认证因素，例如同时要求提供密码和指纹扫描，或者通过短信验证码和知识问题的组合来验证身份。
身份鉴别在各个领域都有重要应用，包括电子商务、银行业务、网络服务、物理访问控制等。
它旨在防止身份冒用、数据泄露和未经授权的访问，确保只有合法的用户可以获得相应的权限和资源。
1/ 1。