软考6&7-认证技术原理与应用&访问控制

认证技术原理与应用

6.1认证技术相关的名词解释

认证机制：认证机制=验证对象+认证协议+鉴别实体，是网络安全的基础性保护措施，是实施访问控制的前提

认证：A向B证明自己身份的过程(认证=标识+鉴别)

验证对象：需要被鉴别的对象

鉴别实体：根据验证对象所提供的认证依据，给出身份的真实性或属性判断

标识：用来代表实体对象的身份标识

鉴别：利用口令、电子签名等对(验证对象)声称者的属性进行识别验证的过程

认证协议：A与B之间进行认证信息交换所遵从的规则

认证依据：例如鉴别所用到的口令、电子签名等

6.2.1认证类型与认证过程

认证类型：单向认证、双向认证、第三方认证
单向认证：验证者对声称者进行单方面的鉴别，而声称者不需要识别验证者的身份
实现单向认证的技术有两种：基于共享秘钥、基于挑战响应（挑战：随机数）

6.2.2

双向认证：是指在认证过程中验证者对声称者进行单方面的鉴别，同时，声称者也对验证者的身份进行确认。
参与认证的实体双方互为验证者

6.2.3

第三方认证：是指两个实体在鉴别过程中通过可信的第三方来实现。第三方与每个认证的实体共享秘密，实体A和B分别与它共享秘密秘钥KPA、KPB。当实体A发起认证请求时，实体A向可信第三方申请获取实体A和实体B的秘钥KAB,然后实体A和实体B使用KAB加密保护双方的认证消息

6.2.4

kerberos认证技术
kerberos是一个网络认证协议，其目标是使用秘钥加密为客户端/服务器应用程序提供强身份认证。其技术原理是利用对称密码技术(DES加密算法)，使用可信的第三方来为应用服务器提供认证服务，并在用户和服务器之间建立安全信道。

一个kerberos系统涉及四个基本实体：

1、kerberos客户机，用户用来访问服务器设备
2、AS（Authentication Server, 认证服务器），识别用户身份并提供TGS会话秘钥
3、TGS（Ticket Granting Server，票据发放服务器）为申请服务的用户授予票据(Ticket)
4、应用服务器(Application Server), 为用户提供服务的设备或系统

过程：

1、kerberos客户向AS请求TGS票据
2、发送TGT给客户
3、发送TGT和应用服务器票据申请
4、发送应用票据给客户
5、发送会话票据到服务器
6、应用服务器确认请求

6.2.5

PKI公钥基础设施
PKI（Public Key Infrastructure）就是有关创建、管理、存储、分发和撤销公钥证书所需要的硬件、软件、人员、策略和过程的安全服务设施

RA(Registration Authority)：证书登记权威机构，将公钥和对应的证书持有者的身份及其他属性联系起来，进行注册和担保；注册机构提供用户和CA之间的一个接口，他获取用户信息并进行资格审查，然后向CA发起证书的请求。较小的机构，可以由CA兼任RA的工作

CA(Certification Authority)：证书授权机构，主要进行证书的颁发、废止和更新

7.1

访问控制参考模型组成要素

三个基本要素：

主体、客体、授权访问

组成要素	内容
主体	主体是客体的操作实施者。通常是人、进程或设备等，一般代表用户执行操作的进程
客体	客体是被主体操作的对象
参考监视器	参考监视器是访问控制的决策单元和执行单元的集合体
访问控制数据库	主体访问客体的权限及其访问方式的信息，提供访问控制决策判断的依据，也称为访问控制策略库
审计库	存储主体访问客体的操作信息，包括访问成功、访问失败以及访问操作信息

7.2自主访问控制(DAC)

自主访问控制：按照自己的安全策略授予系统中的其它用户对“客体”的访问权。

基于行的自主访问控制：
在每个主体上附加一个它可以访问的客体明细表
关键：口令表，前缀表(主体权限)，能力表(rwx)

基于列的自主访问控制
在每个客体上都附加一个可以访问它的主体明细表

7.3口令安全管理遵守的原则

• 口令选择应至少在8个字符以上，应选用大小写字母、数字、特殊字符组合
• 禁止使用与账号相同的口令
• 更换系统默认口令，避免使用默认口令
• 限制账号登录次数，建议为3次
• 禁止共享账号和口令
• 口令文件应加密存放，并只有超级用户才能读取
• 禁止以明文形式在网络上传递口令
• 口令应有时效机制，保证经常更改，并且禁止重用口令
• 对所有账号运行口令破解工具，检查是否存在弱口令或没有口令的账号

7.4linux访问控制（下午题必考）

每个文件上使用“9比特位模式”来标识访问控制权限信息，这些二进制位标识了“文件的拥有者、文件的拥有者组、其它用户”对文件所具有的访问权限和方式