第11章 身份认证与访问控制
计算机安全的身份验证与访问控制
计算机安全的身份验证与访问控制计算机安全是指保护计算机系统和数据不受未经授权的访问、使用、披露、破坏或干扰的活动的科学技术或措施。
在计算机安全的层面上，身份验证与访问控制是一项关键且基本的安全措施。
它们确保只有授权的用户才能访问计算机系统和相关资源，有效防止未经授权的访问和信息泄露。
一、身份验证身份验证是根据用户提供的凭据，即用户名和密码，确认用户的身份是否合法。
通过这种方式，计算机系统可以验证用户的真实身份，并根据用户的权限授予相应的访问权限。
身份验证通常包括以下几种方式：1. 用户名和密码验证：这是最常见的身份验证方式。
用户需要输入其唯一的用户名和密码，系统通过比对数据库中存储的相应用户信息来验证身份。
2. 双因素认证：双因素认证是在用户名和密码之外，通过第二个因素来验证用户的身份。
这个因素可以是指纹、虹膜扫描、手机短信验证码等。
双因素认证大大提高了身份验证的安全性，更难以被破解。
3. 生物识别技术：生物识别技术通过扫描指纹、面部识别或虹膜扫描等方式，验证用户的身份。
这种方式相对于传统的密码更为安全，因为生物特征是唯一且不易被模仿的。
二、访问控制访问控制是指在确认用户的身份合法后，系统对用户的访问行为进行控制，只允许用户进行授权的操作和访问特定的资源。
以下是常见的访问控制方法：1. 强制访问控制（MAC）：MAC 是一种基于用户的信用级别或安全等级控制对资源的访问方式。
系统管理员根据资源的敏感性和用户的安全等级分配不同的权限给用户，限制用户对资源的访问。
2. 自主访问控制（DAC）：DAC是一种基于文件或目录所有者的权限控制方式。
文件或目录的所有者可以设定对文件或目录的访问权限，决定其他用户是否可以读取、写入或执行相应的操作。
3. 角色访问控制（RBAC）：RBAC是通过定义不同角色并将用户分配到相应角色来实现访问控制的方式。
每个角色包含特定的权限，用户通过分配到相应的角色而获得权限。
4. 基于属性的访问控制（ABAC）：ABAC是一种基于用户的属性或条件的访问控制方式。
4身份认证和访问控制(武汉大学国际软件学院信息安全课程)
强壮口令应符合的规则
+ X 电话号码、
个人名字 或呢称 生日等敏感 信息
X+
+
输入8字符 以上口令
X
记录于纸上或 放臵于办公处
+
X
使用重复 的字符
=强壮的口令
武汉大学国际软件学院 13
对付线路窃听的措施
使用保护口令机制：如单向函数。
对于每个用户，系统将帐户和散列值对存储 在一个口令文件中，当用户输入口令x，系 统计算其散列值H(x)，然后将该值与口令文 件中相应的散列值比较，若相同则允许登录。 安全性仅依赖于口令
安盟身份认 证服务器
354982
相同的种子 相同的时间
武汉大学国际软件学院
22
C.基于智能卡的机制
优点
基于智能卡的认证方式是一种双因素的认证 方式（PIN+智能卡） 智能卡提供硬件保护措施和加密算法
缺点
智能卡和接口设备之间的信息流可能被截获 智能卡可能被伪造 职员的作弊行为
武汉大学国际软件学院 23
=
1110110100 0101010110 1010101010
Algorithm
武汉大学国际软件学院
20
认证过程
登录者
User-ID: 安盟 password: 1234 234836
ACE/代理
ACE/服务器
访问请求 访问请求被通过 (加密的 (加密的 ) )
算法
PIN 1234
1234 234836
身份认证目的：
武汉大学国际软件学院
身份认证及访问控制概述
身份认证及访问控制概述
基本概念
• 身份认证是指用户身份的确认技术，它是物联网信息安全的第一道防 线，也是最重要的一道防线。身份认证可以实现物联网终端用户安全 接入到物联网中，合理的使用各种资源。身份认证要求参与安全通信 的双方在进行安全通信前，必须互相鉴别对方的身份。在物联网应用 系统，身份认证技术要能够密切结合物联网信息传送的业务流程，阻 止对重要资源的非法访问。
• 终端身份安全存储。重点研究终端身份信息在终端设备中的安全存储 方式以及终端身份信息的保护。重点关注在重点设备遗失情况下，终 端设备的身份信息、密钥、安全参数等关键信息不能被读取和破解， 从而保证整个网络系统的安全。
3
1 身份认证
基于PKI/WPKI轻量级认证
基于PKI/WPKI轻量级认证技术研究包括：
4
1 身份认证
新型身份认证
• 一般基于以下一个或几个因素：静态口令、用户所拥有的东西（如令 牌、智能卡等）、用户所具有的生物特征（如指纹、虹膜、动态签名 等）。在对身份认证安全性要求较高的情况下，通常会选择以上因素 中的两种从而构成“双因素认证”。
非对称密钥认证
• 非对称加密算法的认证要求认证双方的个人秘密信息（如口令）不用 在网络上传送，减少了认证的风险。这种认证方式通过请求认证者和 认证者之间对一个随机数作数字签名与验证数字签名的方法来实现。
12
2 访问控制分类
基于角色的访问控制
• 基于角色的访问控制模型中，权限和角色相关，角色是实现访问控制 策略的基本语义实体。用户被当作相应角色的成员而获得角色的权限。
基于属性的访问控制
• 基于属性的访问控制主要是针对面相服务的体系结构和开放式网络环 境，在这种环境中，要能够基于访问的上下文建立访问控制策略，处 理主体和客体的异构性和变化性。
统一身份认证及访问控制
统一身份认证及访问控制技术方案1.方案概述1.1. 项目背景随着信息化的迅猛发展，政府、企业、机构等不断增加基于Internet/Intranet 的业务系统，如各类网上申报系统，网上审批系统，OA 系统等。
系统的业务性质，一般都要求实现用户管理、身份认证、授权等必不可少的安全措施；而新系统的涌现，在与已有系统的集成或融合上，特别是针对相同的用户群，会带来以下的问题：1)如果每个系统都开发各自的身份认证系统将造成资源的浪费，消耗开发成本，并延缓开发进度；2)多个身份认证系统会增加整个系统的管理工作成本；3)用户需要记忆多个帐户和口令，使用极为不便，同时由于用户口令遗忘而导致的支持费用不断上涨；4)无法实现统一认证和授权，多个身份认证系统使安全策略必须逐个在不同的系统内进行设置，因而造成修改策略的进度可能跟不上策略的变化；5)无法统一分析用户的应用行为；因此，对于有多个业务系统应用需求的政府、企业或机构等，需要配置一套统一的身份认证系统，以实现集中统一的身份认证，并减少整个系统的成本。
单点登录系统的目的就是为这样的应用系统提供集中统一的身份认证，实现“一点登录、多点漫游、即插即用、应用无关"的目标，方便用户使用。
1.2. 系统概述针对上述状况，企业单位希望为用户提供统一的信息资源认证访问入口，建立统一的、基于角色的和个性化的信息访问、集成平台的单点登录平台系统。
该系统具备如下特点：∙单点登录：用户只需登录一次，即可通过单点登录系统（SSO）访问后台的多个应用系统，无需重新登录后台的各个应用系统。
后台应用系统的用户名和口令可以各不相同，并且实现单点登录时，后台应用系统无需任何修改。
∙即插即用：通过简单的配置，无须用户修改任何现有B/S、C/S应用系统，即可使用。
解决了当前其他SSO解决方案实施困难的难题。
∙多样的身份认证机制：同时支持基于PKI/CA数字证书和用户名/口令身份认证方式，可单独使用也可组合使用。
网络信息安全的访问控制与身份认证
网络信息安全的访问控制与身份认证网络信息安全一直以来都备受关注，随着互联网的快速发展和普及，信息的安全问题变得日益突出。
为了保护网络数据的安全，许多组织和机构都采取了各种措施，其中最常见和有效的措施之一就是访问控制与身份认证。
一、访问控制的概念及重要性访问控制是指在计算机网络中对访问请求者进行身份验证和权限控制，以确保只有合法用户可以获取到系统或网络中的资源。
它是保护网络安全的第一道防线，具有至关重要的意义。
访问控制能够确保只有经过身份认证的用户才能进入系统，防止未经授权的用户非法访问或篡改数据，从而保护网络数据的安全。
它可以限制用户对系统资源的使用，确保系统只对有权限的用户开放。
二、身份认证的方式与技术1.用户名和密码认证这是最常见的身份认证方式之一，用户通过输入正确的用户名和密码来验证自己的身份。
系统根据用户输入的信息与数据库中存储的信息进行比对，如果匹配成功，则认证通过。
2.生物特征识别生物特征识别是一种身份认证技术，通过识别和验证人体生物特征（如指纹、虹膜、声音等）来确认用户的身份。
这种方式可以有效抵制密码泄露和盗用的风险。
3.数字证书认证数字证书认证是一种基于公钥加密的身份认证方式，依赖于密码学技术和数字证书基础设施。
用户通过数字证书来证明自己的身份，确保通信过程中的安全性和无法被篡改。
4.双因素认证双因素认证是将两种或多种身份认证方式结合在一起使用的方式，以提高认证的安全性。
常见的双因素认证方式包括密码加令牌、密码加指纹等。
三、网络访问控制的常用技术手段1.防火墙防火墙是一种常见的网络访问控制技术，它可以根据规则策略过滤网络数据包，限制网络访问。
防火墙能够保护网络内部的资源免受未经授权的访问和攻击。
2.网络隔离网络隔离是通过物理或逻辑手段将不同的网络环境分割开来，避免未经授权的访问。
不同的网络环境可以根据安全级别的不同进行分割，确保敏感数据不被外部网络访问。
3.访问控制列表（ACL）访问控制列表是一种用于设置网络设备（如路由器、交换机）访问权限的技术手段。
网站访问控制与身份鉴别技术
网站访问控制与身份鉴别技术随着互联网的快速发展，网站的访问控制和身份鉴别变得越来越重要。
保护网站的安全性和用户的隐私，确保只有授权用户能够访问敏感信息和功能，成为每个网站管理员和开发人员的首要任务。
本文将介绍一些常用的网站访问控制与身份鉴别技术。
一、基本概念1. 网站访问控制网站访问控制是指通过设置权限和规则，对用户访问网站的行为进行限制和管理的过程。
它可以根据用户的身份、角色、IP地址、时间等条件来对用户的访问进行控制，从而保证只有授权用户可以进行访问。
2. 身份鉴别技术身份鉴别技术是指通过验证用户提供的身份信息，确定用户的真实身份的过程。
常用的身份鉴别技术包括密码验证、双因素认证、生物识别技术等，这些技术可以有效地防止非法用户冒充他人身份进行访问。
二、常用的网站访问控制技术1. 用户名和密码验证用户名和密码验证是目前最常见的身份鉴别方式。
用户在注册时输入用户名和密码，然后在登录时再次输入相同的用户名和密码进行验证。
这种方式简单、快捷，但安全性相对较低，容易被破解。
2. 双因素认证双因素认证是指在用户名和密码验证的基础上，再增加一层身份验证的方式。
比如，在输入用户名和密码后，系统会向用户发送一条验证码，用户需要输入正确的验证码才能完成登录。
这种方式提高了安全性，但增加了用户的操作步骤。
3. 生物识别技术生物识别技术是指通过识别用户的生物特征，如指纹、面容、声纹等，来验证用户的身份。
这种方式比较安全，因为生物特征是独一无二的，不可伪造。
但是，生物识别技术还存在一定的误识别率和实施成本较高的问题。
三、网站访问控制与身份鉴别技术的应用场景1. 金融机构网站金融机构的网站通常涉及大量的敏感信息和资产，如用户的财务数据、交易记录等。
为了保护用户的利益和数据的安全，金融机构需要采用较为严格的访问控制和身份鉴别技术，确保只有经过授权的用户才能访问相关信息。
2. 政府机关网站政府机关的网站通常包含着大量的公共信息和行政数据，如政策法规、办事指南等。
系统身份认证与访问控制：如何实现系统身份认证与访问控制
系统身份认证与访问控制：如何实现系统身份认证与访问控制在信息时代，随着网络和云计算的快速发展，人们对系统的安全性和数据的保护越来越重视。
为了确保系统的安全，防止非法用户的入侵和信息泄露，系统身份认证和访问控制变得至关重要。
本文将详细介绍系统身份认证与访问控制的概念和原理，并讨论如何实现系统身份认证与访问控制。
什么是系统身份认证？系统身份认证是验证用户身份的过程，以确定用户是否有权访问系统或执行特定操作。
它旨在防止非法用户冒充他人身份，并确保只有授权的用户才能访问系统。
系统身份认证通常包括以下几个步骤：1.用户提供凭据：用户需要提供一些凭据来证明自己的身份，例如用户名和密码、数字证书、指纹或面容识别等。
2.验证凭据的有效性：系统会验证用户提供的凭据是否有效，例如检查用户名和密码是否匹配、验证数字证书的合法性、比对指纹或面容等。
3.授权访问权限：如果用户提供的凭据有效，系统会授予用户相应的访问权限，允许其访问系统或执行特定操作。
系统身份认证的目的是确保只有合法的用户才能访问系统，从而提高系统的安全性和数据的保护。
什么是访问控制？访问控制是管理用户对系统资源和数据的访问权限的过程。
它定义了谁可以访问系统中的什么资源，以及如何访问这些资源。
访问控制旨在确保用户只能访问其需要的资源，并限制他们对系统中敏感信息的访问。
访问控制通常包括以下几个方面：1.身份验证：在用户访问资源之前，系统需要验证用户的身份，确保其具有合法的身份。
2.授权：一旦用户的身份得到验证，系统需要确定用户是否具有访问特定资源的权限。
授权可以基于用户的角色、组织结构、权限级别等进行。
3.审计：访问控制还需要对用户的访问行为进行审计，以便监控和追踪用户对系统资源的使用情况，并及时发现异常行为。
通过访问控制，系统可以确保只有合法的用户能够访问特定资源，从而提高系统的安全性和数据的保护。
如何实现系统身份认证与访问控制？要实现系统身份认证与访问控制，我们可以采取以下几个步骤：步骤一：确定身份认证与访问控制的需求首先，我们需要确定系统的身份认证与访问控制的需求。
网络信息安全的身份认证与访问控制
网络信息安全的身份认证与访问控制随着互联网的迅猛发展，网络信息安全问题日益成为人们关注的焦点。
在网络世界中，用户的身份认证和访问控制是确保网络安全的重要环节。
本文将探讨网络信息安全的身份认证和访问控制的意义、现状以及相关技术和措施。
一、身份认证的意义身份认证是建立在数字身份的基础上，通过一系列的验证过程确认用户的真实身份。
身份认证的意义在于：首先，保护个人隐私。
在网络世界中，个人信息容易泄露，身份认证机制能够降低身份被冒用的风险，确保个人信息的安全。
其次，预防犯罪行为。
网络上存在各种各样的犯罪行为，如网络诈骗、网络盗窃等。
通过身份认证，可以减少非法操作、降低犯罪活动的发生。
第三，维护网络秩序。
身份认证机制可以对用户进行有效管理和监控，确保网络资源的合理分配和使用。
二、身份认证的现状目前，网络中常用的身份认证方式包括密码认证、生物识别认证和数字证书认证等。
首先，密码认证是最常用的身份认证方式之一。
用户通过设置独立密码来验证身份。
然而，单一密码容易被猜测或者被恶意破解，存在安全隐患。
其次，生物识别认证通过人体的特征信息（如指纹、虹膜等）来确认身份。
生物识别认证具有高度的安全性和便利性，但成本较高，实施难度较大。
最后，数字证书认证通过公钥加密来验证身份，具有较高的安全性。
然而，数字证书的申请和管理过程相对复杂，需要专业知识。
三、访问控制的意义访问控制是指在网络中对用户进行权限管理和控制，对用户的访问进行限制和监控。
访问控制的意义在于：首先，保护敏感信息。
在网络中，存在大量的敏感信息，如商业机密、个人隐私等。
访问控制可以限制非授权用户对敏感信息的访问，减少信息泄露的风险。
其次，防止未授权入侵。
非法入侵是网络安全中的常见问题，通过访问控制可以对非法入侵进行监控和阻止，提高网络的安全性。
第三，保障系统的正常运行。
访问控制可以限制用户对系统资源的使用，防止资源被滥用和耗尽，保障系统的正常运行。
四、访问控制的技术和措施针对网络的身份认证和访问控制，目前有多种技术和措施可供选择：首先，多因素认证是一种提高认证安全性的有效方式。
网络访问控制与身份认证
网络访问控制与身份认证网络的快速发展和普及给我们的生活带来了诸多便利，然而随之而来的网络安全问题也越来越严重。
为了保障网络安全，网络访问控制和身份认证技术逐渐被引入。
本文将介绍网络访问控制和身份认证的概念、作用以及一些常见的技术方法。
一、网络访问控制的概念和作用网络访问控制是指对网络资源和服务的访问进行控制和管理的技术手段。
它的目的是确保只有经过授权的用户可以访问网络资源，从而保证网络的安全性和可用性。
网络访问控制的作用主要有以下几个方面：1. 提高网络安全性：通过控制访问权限，阻止未经授权的用户进入网络，减少网络攻击和数据泄露的风险。
2. 保护网络资源：避免网络资源被滥用或破坏，确保网络资源的正常运行和有效利用。
3. 提升网络性能：限制非必要的网络访问，减少网络拥堵，提高网络的传输效率和响应速度。
二、身份认证的概念和作用身份认证是指验证用户身份的过程，确保用户所声明的身份与其真实身份相匹配。
它是网络访问控制的重要组成部分，用于确认用户是否具有合法的访问权限。
身份认证的作用主要有以下几个方面：1. 确保访问的合法性：通过身份认证，可以防止非法用户冒充他人身份进行网络访问，提高网络的安全性。
2. 个性化服务提供：根据用户的身份信息，网络可以提供个性化的服务，为用户提供更好的用户体验。
3. 追踪和审计：身份认证可以方便对用户进行追踪和审计，发现和记录不当行为或违法行为。
三、常见的网络访问控制和身份认证技术1. 用户名和密码认证：这是最常见也是最基础的身份认证方式，用户通过输入正确的用户名和密码来验证身份。
2. 二次认证：在基本的用户名和密码认证之后，再通过短信验证码、指纹识别、声纹识别等方式进行二次验证，提高身份认证的安全性。
3. 密钥认证：通过使用加密算法生成密钥，并将密钥分发给用户进行认证，确保通信的安全性。
4. IP地址过滤：通过设置访问控制列表，限制特定IP地址或IP地址范围对网络资源的访问权限。
网络身份认证与访问控制
网络身份认证与访问控制随着互联网的快速发展和普及，网络身份认证与访问控制在网络安全中扮演着至关重要的角色。
本文将探讨网络身份认证和访问控制的概念、原理以及其在保护网络安全中的作用。
一、概述网络身份认证是指通过验证用户提供的身份信息来确定其在网络上的真实身份的过程。
它确保了用户在进行网络交互时的真实性和合法性。
而访问控制是指根据用户的身份、权限和需求对网络资源的访问进行控制和管理，以确保网络资源的安全和保密。
二、网络身份认证网络身份认证是网络安全的基础步骤，它可以使用多种方式来验证用户的身份。
常见的身份认证方法包括密码认证、指纹识别、证书认证等。
1. 密码认证密码认证是最常见和简单的身份认证方式之一。
用户需要在登录时提供正确的用户名和密码才能获得访问权限。
密码认证虽然简单易用，但也容易受到暴力破解或密码泄漏的攻击。
2. 指纹识别指纹识别是一种生物识别技术，通过扫描和比对指纹图像来验证用户的身份。
它具有高度的准确性和安全性，但相对于其他认证方式来说，成本较高。
3. 证书认证证书认证基于公钥加密技术，用户在登录时需要提供其证书，而服务器则通过验证证书的有效性来确认用户的身份。
证书认证具有较高的安全性，但复杂度较高，需要密钥管理和证书颁发机构的支持。
三、访问控制访问控制是在身份认证完成后，对用户进行授权和控制其对网络资源的访问。
访问控制的目标是防止未经授权的访问和滥用网络资源。
1. 基于角色的访问控制基于角色的访问控制是一种常见且有效的访问控制方式。
它将用户分为不同的角色，每个角色拥有特定的权限。
通过将用户分配到相应的角色，可以限制其对资源的访问权限，并实现不同用户之间的隔离。
2. 强制访问控制强制访问控制是一种较为严格的访问控制方式，它基于预先定义的安全策略对用户进行授权。
只有在符合安全策略的情况下，用户才能获取特定的权限和访问权限。
强制访问控制通常应用于对机密信息的保护，如军事和政府领域。
3. 自愿访问控制自愿访问控制是一种基于用户主动选择的访问控制方式。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
耗电 成本
较多 低
较少 低
较多 很高
返回本节
第11章
身份认证与访问控制
3. 指纹识别系统中的固件和软件
固件 (1) 指纹采集头中的固件负责处理图像和与PC 的连接。在大多数的系统中，固件显得相对简 单，它不停的将数据传送给计算机。
返回本节
第11章
身份认证与访问控制
(2) 使用USB接口是目前一个好的接口方案， 能够提供电源、带宽和即插即用功能；传输到 计算机的指纹需要进行加密；并在不读取指纹 的状态下，固件应该转入低功耗状态。
返回本节
第11章
身份认证与访问控制
11.2.1 签名识别法
1. 记录书写过程的技术
（1）早期技术
电动绘图仪使用一个杠杆控制系统来记录笔 尖的运动，而这个运动过程被转化成数字，并 通过通信线路送入计算机中。目前使用的绘图 笔上配有两个加速计和压力测量计，同时绘图 笔上还接有信号线，通过它们可把以上各种设 备测量到的信息传送给具有分析能力的设备。返回本节ຫໍສະໝຸດ 第11章身份认证与访问控制
5. 指纹识别技术的可靠性问题
(1) 指纹都有几个独一无二的可测量的特征点， 每个特征点大约有7个特征，10个手指至少可以 产生4 900个独一无二的可测量的特征点，这足 以说明指纹识别是否是一个更加可靠的鉴别方 式。
返回本节
第11章
身份认证与访问控制
(2) 指纹识别系统应用的重要衡量指标是识别 率。主要由两部分组成，拒判率（FRR）和误 判率（FAR）。可以根据不同的用途来调整这 两个值。
返回本章首页
第11章
身份认证与访问控制
(3) 每当识别出一个变化后，就计算该时刻前 后100ms内频率为300 Hz ~2 500 Hz声波的能量， 从而得到用户声音的参考样本。
(4) 当受测者访问系统时，他将被要求说一段 由系统指定的话，每隔10ms，系统将对这段话 进行傅里叶分析，并将所得结果与每个参考样 本进行比较，从而判别受测者的真伪。
第11章
身份认证与访问控制
（4）系统核对k，若正确，则将（ID，f n (x) ）保存。
（5）当用户第二次访问系统时，将（ ID，f n-1 (x) ）送 系统。系统计算 ，将其与存储的数据对照， 如果一致，则接受用户的访问，并将（ID, f n-1 (x) ）保 f ( f n1 ( x)) 存。
第11章
身份认证与访问控制
3．一次性口令协议
（1）用户输入登录名和相关身份信息ID。
（2）如果系统接受用户的访问，则给用户传送 一次性口令建立所使用的单向函数及一次性密 码，这种传送通常采用加密方式。 （3）用户选择“种子”密钥x，并计算第一次 z f n (x) 访问系统的口令 。向第一次正式访问系 统所传送的数据为（k,z）。
返回本节
第11章
身份认证与访问控制
2. 系统误差
（1）对人体物理特征的测量可能会出现多次 测量结果不一致的情况，所以，一个实用系统 必须考虑到这一点并允许测量误差的存在。但 由此产生的问题是，随着所允许的误差范围的 扩大，不同个人之间产生混淆的几率也越大。
返回本节
第11章
身份认证与访问控制
（2）因为在测量时出现误差是正常的，而且 是不可避免的，所以当系统收到一个各项参数 都非常精确的测量结果时，很可能意味着一个 入侵者找到了有关这个用户各方面的材料，而 且正利用它想闯入系统，因此，一个非常精确 的测量结果并不意味着用户身份的正确。
(1) 使用签名进行身份识别系统的用户，首先 要向系统提供一定数量的签名，系统分析用户 的这些签名，然后记录下它们各自的特征。
(2) 对于一些字体不固定的用户来说，系统要 求用户接受某些特殊的测量，这包括放宽用户 签名的误差范围，或允许用户以其他方式接受 检查。
返回本节
第11章
身份认证与访问控制
11.2.2 指纹识别技术
（4）不需要存储诸如密钥、口令等敏感信息。
返回本节
第11章
身份认证与访问控制
2．一次性口令的原理
一次性口令是基于客户/服务器模式的，它有 操作的两方，一方是用户端，它必须在一次登 录时生成正确的一次性口令；另一方是服务器 端，一次性口令必须被验证。一次性口令的生 成和认证都是基于公开的单向函数，如MD5、 MD4。
返回本节
第11章
身份认证与访问控制
6. 指纹识别技术的应用系统 （1）嵌入式系统
嵌入式系统是一个相对独立的完整系统，它 不需要连接其他设备或计算机就可以独立完成 其设计的功能，如指纹门锁、指纹考勤终端就 是嵌入式系统。其功能较为单一，主要用于完 成特定的功能。
返回本节
第11章
身份认证与访问控制
（2）连接PC的桌面应用系统
FRR和FAR是成反比的，用0~1.0或百分比来 表示。
第11章
身份认证与访问控制
(3) FRR实际上也是系统易用性的重要指标。 由于FRR和FAR是相互矛盾的，这就使得在应 用系统的设计中，要权衡易用性和安全性。一 个有效的办法是比对两个或更多的指纹，从而 在不损失易用性的同时，极大地提高了系统安 全性。
返回本节
第11章
身份认证与访问控制
2. 不足
SecurID系统在用户登录时要用到卡片时钟和 登录系统时钟，所以为了保证卡片时间和系统 时间的一致，系统服务器必须考虑卡片时钟的 缓慢漂移，从而作相应的调整。
返回本节
第11章
身份认证与访问控制
11.2 特征识别
11.2.1 签名识别法
11.2.2 指纹识别技术 11.2.3 语音识别系统 11.2.4 网膜图像识别系统
返回本节
第11章
身份认证与访问控制
（2） CHIT的书写器
由NPL National Physical Laboratory开发的 名为CHIT的书写器可以感知笔与纸的接触和分 离，同时也能在两块不同的区域中记录下笔在X 和Y方向的运动过程。
返回本节
第11章
身份认证与访问控制
2. 签名识别法的使用
第11章
身份认证与访问控制
2. 语音识别系统的弱点
(1) 它往往要求受测者多次重复语音口令（对 采用口头叙述的系统往往要重复2次），因而分 析过程需要更长的时间。 (2) 人的身体状况会影响语音，比如，呼吸道 感染就会引起声音的变化，同时人的精神状况 也会对此产生影响。
第11章
身份认证与访问控制
软件
(1) 好的系统应该易于使用、可靠，用户不必 担心指纹的放置位置，算法要支持360旋转和 残缺的指纹。 (2) 对于手指的压感、旋转、质量，以及采集 头的灰尘和薄雾，系统都要能很好地解决监控 和无监控的操作。
返回本节
第11章
身份认证与访问控制
4. 指纹识别技术的优缺点
第11章
身份认证与访问控制
第11章 身份认证与访问控制
11.1 口令识别法
11.2 特征识别 11.3 识别过程 11.4 身份识别技术的评估 11.5 访问控制 思考题
返回目录
第11章
身份认证与访问控制
11.1 口令识别法
11.1.1 用户识别方法分类
11.1.2 不安全口令的分析
11.1.3 一次性口令
11.1.4 Secur ID卡系统
返回本章首页
第11章
身份认证与访问控制
11.1.1 用户识别方法分类
1. 用户识别的方法
（1）根据用户知道什么来判断。如果用户能说 出正确的口令，则说明他是真的，如经典的 UNIX口令系统。 （2）根据用户拥有什么来判断。如果用户能提 供正确的物理钥匙，则说明他是真的，如普通 的门钥匙和磁卡钥匙。
连接PC的桌面应用系统具有灵活的系统结构， 并且可以多个系统共享指纹识别设备，还可以 建立大型的数据库应用。当然，由于需要连接 计算机才能完成指纹识别的功能，限制了这种 系统在许多方面的应用。
返回本节
第11章
身份认证与访问控制
11.2.3 语音识别系统
1. 语音识别系统原理
(1) 语音识别系统要求用户说的话是从一个包 含16个单词的标准集中选出的; (2) 由16个单词组成了32个句子，在对这些句 子进行识别时，利用傅里叶分析，每隔10ms进 行一次采样，以寻找这个词句中语音变化大的 部分，从而找到语音特征。
现代电子集成制造技术使得可以制造相当小 的指纹图像读取设备，同时飞速发展的个人计 算机运算速度提供了在微机甚至单片机上可以 进行两个指纹的对比运算的可能。另外，匹配 算法可靠性也不断提高，指纹识别技术已经非 常成熟。
返回本节
第11章
身份认证与访问控制
2. 指纹取像的几种技术和特点
(1) 光学取像设备；
第11章
身份认证与访问控制
（6）当用户第三次访问系统时，将（ ID, f n-2 (x) ）送系统。系统计算f (f n-2 (x) )，将其与存储 的数据对照，如果一致，则接受用户的访问， 并保存新计算的数据。
（7）当用户每一次想要登录时，函数相乘的次 数只需-1。
返回本节
第11章
身份认证与访问控制
1．使用用户名（账号）作为口令 ；
2．使用用户名（账号）的变换形式作为口令； 3. 使用自己或者亲友的生日作为口令 ； 4. 使用学号、身份证号、单位内的员工号码等 作为口令；
5. 使用常用的英文单词作为口令 。
返回本节
第11章
身份认证与访问控制
11.1.3 一次性口令
1．一次性口令的特点
（1）概念简单，易于使用。 （2）基于一个被记忆的密码，不需要任何附加 的硬件。算 （3）法安全。
优点
(1) 指纹是人体独一无二的特征，并且它们的 复杂度足以提供用于鉴别的特征；如果想要增 加可靠性，只需登记更多的指纹，鉴别更多的 手指，最多可达10个，而每一个指纹都是独一 无二的。 (2) 指纹识别的速度很快，使用非常方便。