《计算系统与网络安全ppt教学课件第7章协议安全技术（认证协议）》由会员分享，可在线阅读，更多相关《计算系统与网络安全ppt教学课件第7章协议安全技术（认证协议）（63页珍藏版）》请在金锄头文库上搜索。
1、2018/9/10,电子科技大学 计算机科学与工程学院,计算系统与网络安全 Computer System and Network Security,2018/9/10,X.509认证协议,Kerberos认证协议,第7章 协议安全技术（认证协议）,身份认证技术回顾,2018/9/10,X.509认证协议,Kerberos认证协议,第7章 协议安全技术（认证协议）,身份认证技术回顾,2018/9/10,回顾：身份认证,身份认证的定义： 声称者向验证者出示自己的身份的证明过程 证实客户的真实身份与其所声称的身份是否相符的过程 身份认证又叫身份鉴别、实体认证、身份识别 认证目的： 使别的成员（验证
2、者）获得对声称者所声称的事实的信任。身份认证是获得系统服务所必须的第一道关卡。,2018/9/10,回顾：身份认证（续）,身份认证可以分为本地和远程两类。 本地：实体在本地环境的初始化鉴别（就是说，作为实体个人，和设备物理接触，不和网络中的其他设备通信）。 远程：连接远程设备、实体和环境的实体鉴别。 实体鉴别可以是单向的也可以是双向的。单向认证是指通信双方中只有一方向另一方进行鉴别。双向认证是指通信双方相互进行鉴别。,2018/9/10,回顾：身份认证（续）,身份认证系统的组成： 认证服务器 认证系统用户端软件 认证设备 认证协议,2018/9/10,回顾：身份认证（续）,常见的协议 PAP
3、CHAP Kerberos X.509,2018/9/10,口令认证协议PAP,PAP：Password Authentication Protocol用于用户向PPP（Point-to Point Protocol )服务器证明自己的身份 仅在链路建立初期进行认证，一旦完成认证，以后即不再进行认证,2018/9/10,口令认证协议PAP（续）,Client,Server,Usernames and Passwords Are Sent in the Clear,PAP的两次消息交换,2018/9/10,口令认证协议PAP（续）,C023表示PAP,Code 1 Authenticate-Re
4、quest 2 Authenticate-Ack 3 Authenticate-Nak,Identifier： one octet唯一标识消息,Length： two octets 包含Code, Identifier, Length and Data fields 的长度,Data： 具体格式取决于Code取值,PPP中PAP的协议格式,2018/9/10,口令认证协议PAP（续）,Authenticate-Request,Code2：Authenticate-Ack Code3：Authenticate-Nak,PPP中PAP的协议格式,2018/9/10,口令认证协议PAP ：总结,PA
5、P采用两次消息交换完成认证过程,Authentication-Request Messages (Send Until Response),Authentication-Response Message,Client,Server,Usernames and Passwords Are Sent in the Clear,2018/9/10,挑战应答认证协议CHAP,CHAP: Challenge Handshake Authentication Protocol 用于用户与PPP服务器之间的认证 在链路建立初期进行认证 与PAP不同，以后可以再次进行认证,2018/9/10,挑战应答认证协议
6、CHAP（续）,CHAP Authentication,Client,Server,Server computes hash of challenge message plus secret If equals the response message, authentication is successful,CHAP的三次消息交互,2018/9/10,挑战应答认证协议CHAP（续）,CHAP协议格式,2018/9/10,挑战应答认证协议CHAP（续）,CHAP协议格式,2018/9/10,挑战应答认证协议CHAP（续）,CHAP协议格式,2018/9/10,挑战应答认证协议CHAP（续）,
7、Message： 取决于具体实现，一般为可读字符,Code ： 3 Success 4 Failure,CHAP协议格式,2018/9/10,挑战应答认证协议CHAP：总结,2018/9/10,X.509认证协议,Kerberos认证协议,第7章 协议安全技术（认证协议）,身份认证技术回顾,2018/9/10,是美国麻省理工学院（MIT）开发的一种身份鉴别服务。 “Kerberos”的本意是希腊神话中守护地狱之门的守护者。 Kerberos提供了一个集中式的认证服务器结构，认证服务器的功能是实现用户与其访问的服务器间的相互鉴别。 Kerberos建立的是一个实现身份认证的框架结构。 其实现采用
8、的是对称密钥加密技术，而未采用公开密钥加密。 公开发布的Kerberos版本包括版本4和版本5。,Kerberos,2018/9/10,Kerberos设计目标,安全性 能够有效防止攻击者假扮成另一个合法的授权用户。 可靠性 分布式服务器体系结构，提供相互备份。 对用户透明性 可伸缩 能够支持大数量的客户和服务器。,2018/9/10,基本思路： 使用一个（或一组）独立的认证服务器（AS Authentication Server），来为网络中的用户（C）提供身份认证服务； 认证服务器 (AS)，用户口令由 AS 保存在数据库中； AS 与每个服务器（V）共享一个惟一保密密钥（Kv）（已被安全
9、分发）。 会话过程：,Kerberos设计思路,(1) C AS: IDC | PC | IDv (2) AS C: Ticket (3) C V : IDC | Ticket 其中： Ticket = EKvIDC | ADC | IDv,2018/9/10,会话过程：,Kerberos设计思路（续）,Ticket = EKvIDC , ADC , IDv,C,AS,V,IDC：用户C的标识 PC ：用户口令 IDv：服务器标识 ADC：用户网络地址,搜索数据库看用户是否合法 如果合法，验证用户口令是否正确 如果口令正确，检查是否有权限访问服务器V,用与AS共享密钥解密票据 检查票据中的用户
10、标识与网络地址是否与用户发送的标识及其地址相同 如果相同，票据有效，认证通过,用户,认证服务器,应用服务器,2018/9/10,Kerberos设计思路（续）,电影院,电影院售票处,观众,2018/9/10,Kerberos设计思路（续）,电影院,电影院售票处,观众,问题之一：信用卡问题,问题：如何买票 答案：出示信用卡卡号和密码,2018/9/10,Kerberos设计思路（续）,电影院,电影院售票处,观众,问题之二：票的有效期问题,我要买票，这是我的信用卡密码,2018/9/10,Kerberos设计思路（续）,电影院甲,电影院售票处,观众,问题之三：多个电影院问题,2018/9/10,K
11、erberos设计思路（续）,上述协议的问题： （1）口令明文传送 （2）票据的有效性（多次使用） （3）访问多个服务器则需多次申请票据（即口令多次使用）,如何解决,上述协议问题？,2018/9/10,问题： 用户希望输入口令的次数最少。 口令以明文传送会被窃听。 解决办法票据重用（ticket reusable）。引入票据许可服务器（TGS - ticket-granting server） 用于向用户分发服务器的访问票据； 认证服务器 AS 并不直接向客户发放访问应用服务器的票据，而是由 TGS 服务器来向客户发放。,Kerberos设计思路（续）,2018/9/10,Kerberos设计
12、思路（续）,电影院售票处,电影院乙,许可证部门,观众,问题：解决了重复使用信用卡问题，但是其他两个问题没有解决 引入了许可证可信问题,2018/9/10,两种票据 票据许可票据（Ticket granting ticket） 客户访问 TGS 服务器需要提供的票据，目的是为了申请某一个应用服务器的 “服务许可票据”； 票据许可票据由 AS 发放； 用 Tickettgs 表示访问 TGS 服务器的票据； Tickettgs 在用户登录时向 AS 申请一次，可多次重复使用； 服务许可票据（Service granting ticket） 是客户时需要提供的票据； 用 TicketV 表示访问应用
13、服务器 V 的票据。,Kerberos的票据,2018/9/10,Kerberos设计思路（续）,电影院售票处,电影院,共享信用卡信息：不用向许可证部门初始信用卡密码,初始电影票,共享“购票许可证”信息：不用出示信用卡及密码,共享“电影票” 信息：不用多次购买许可证,许可证部门,观众,购买电影票,最后一个问题：票的有效期问题,电影院,电影院,解决方法：时间,2018/9/10,Kerberos设计思路（续）,票据许可服务器（TGS）,服务器（V）,认证服务器（AS）,用户（C）,2018/9/10,Kerberos设计思路（续）,票据许可服务器（TGS）,服务器（V）,认证服务器（AS）,用户
14、（C）,2018/9/10,Kerberos设计思路（续）,票据许可服务器（TGS）,服务器（V）,认证服务器（AS）,用户（C）,可能被盗用,2018/9/10,Kerberos设计思路（续）,票据许可服务器（TGS）,服务器（V）,认证服务器（AS）,用户（C）,Kc,tgs,问题：单向认证,Kc,Kc,Ktgs,Kv,Ktgs,Kv,2018/9/10,Kerberos设计思路（续）,票据许可服务器（TGS）,服务器（V）,认证服务器（AS）,用户（C）,Kc,tgs,Kc,v,Kc,Kc,Ktgs,Kv,Ktgs,Kv,2018/9/10,Kerberos V4协议描述：第一阶段,票据
15、许可服务器（TGS）,服务器（V）,认证服务器（AS）,用户（C）,TickettgsEKtgsKC,tgs, IDC, ADC, IDtgs, TS2, LT2,Kc,tgs,2018/9/10,Kerberos V4协议描述：第二阶段,票据许可服务器（TGS）,服务器（V）,认证服务器（AS）,用户（C）,TickettgsEKtgsKC,tgs, IDC, ADC, IDtgs, TS2, LT2,TicketVEKVKC,V, IDC, ADC, IDV, TS4, LT4,AUCEKC,tgsIDC, ADC, TS3,Kc,v,2018/9/10,Kerberos V4协议描述：第
16、三阶段,票据许可服务器（TGS）,服务器（V）,认证服务器（AS）,用户（C）,TickettgsEKtgsKC,tgs, IDC, ADC, IDtgs, TS2, LT2,TicketVEKVKC,V, IDC, ADC, IDV, TS4, LT4,AUCEKc,vIDC, ADC, TS5,2018/9/10,Kerberos V4协议描述：共享密钥及会话密钥,票据许可服务器（TGS）,服务器（V）,Kc,认证服务器（AS）,用户（C）,Kc,tgs,KC,V,2018/9/10,Kerberos设计思路,票据许可服务器（TGS）,服务器（V）,认证服务器（AS）,用户（C）,TickettgsEKtgsKC,tgs, IDC, ADC, IDtgs, TS2, LT2,TicketVEKVKC,V, IDC, ADC, IDV, TS4, LT4,
