ISS_ch04

Size: px

Start display at page:

Download "ISS_ch04"

质庄
5 years ago
Views:

1 第4章章用户身份认证技术石文昌博士/教授

2 第 2 页 4.1 身份认证技术概述

3 第 3 页重要身份认证技术基于口令的身份认证质询 - 响应式身份认证基于生物特征的身份认证基于位置的身份认证

4 第 4 页 4.2 身份标识与认证

5 第 5 页 UNIX 账户文件 /etc/passwd

6 第 6 页 UNIX 组文件 /etc/group

7 第 7 页 Linux 用户登录过程

8 第 8 页 Linux 用户修改口令过程

9 第 9 页 4.3 口令处理方法

10 第 10 页口令字段信息的生成

11 第 11 页二进制位串到字符串的转换位的位串 ==> 11 个 6 位的位组 ; 2. 每个位组 ==> 二进制数值, 得到 11 个整数 ; 3. 每个整数 ==> 字符, 得到 11 个字符 ; 个字符 ==> 字符串

12 第 12 页增强的口令字段生成

13 第 13 页液体撒盐实验

14 第 14 页口令撒盐算法

15 第 15 页撒盐的身份认证 : 口令字段生成

16 第 16 页撒盐的身份认证 : 口令字段维护

17 第 17 页撒盐的身份认证 : 身份认证

18 第 18 页 UNIX 口令示例

19 第 19 页 UNIX 口令文件 /etc/shadow

20 第 20 页 4.4 网络环境的身份认证

21 第 21 页网络环境用户身份认证需求客户机 A 用户登录客户机 B 客户机 C 网络服务器群用户希望 : 不管操作哪台计算机, 只要以相同的身份登录, 都能获得所需的服务

22 第 22 页方案 4.7 网络身份认证方法参考本地主机身份认证方法给出在网络环境中进行用户身份认证的方法同一个用户可以在不同的主机上顺利进行身份认证

23 第 23 页方案 4.7 网络身份认证方法第一部分 : 身份认证信息管理第二部分 : 客户机软件的功能第三部分 : 服务器软件的功能

24 第 24 页方案 4.7 身份认证信息的管理 wenchang:x:500:300:wenchang Shi:/home/wenchang:/bin/bash wenchang:$1$k7tyrjao$ds/p61xhiz1xwaqlcdnqz1:14091:0:99999:7::: sisefellow:x:300:wenchang,binliang,zhiyong,zhaohui 帐户信息口令信息用户组信息

25 第 25 页方案 4.7 客户机软件的功能用户提供的 : 帐户信息 + 口令信息身份认证请求把请求发送给服务器由服务器进行身份认证

26 第 26 页方案 4.7 服务器软件的功能身份认证请求帐户信息 + 口令信息根据请求中的账户信息和口令信息, 结合身份认证信息数据库中的对应信息, 判断账户和口令的合法性把判断结果返回给客户机

27 第 27 页方案 4.8 客户 / 服务端兼顾的认证客户机 / 服务器模式客户机和服务器都可以执行认证根据用户确定哪些认证由服务器执行, 哪些认证由客户机执行

28 第 28 页方案 4.8 客户 / 服务端兼顾的认证由客户机执行 root:x:0:0:root:/root:/bin/bash -wenchang::500:300::: +weinan::501:301::: +::999:999::: 由服务器执行表示所有账户

29 第 29 页方案 4.8 客户 / 服务端兼顾的认证查询本机账户信息, 判断是否由本机认证若需本机认证, 则客户机执行认证若需服务器认证, 则向服务器发请求 ( 含账户名和口令 )

30 第 30 页方案 4.8 客户 / 服务端兼顾的认证服务器根据认证请求和认证信息数据库进行认证把认证结果返回给客户机

31 第 31 页网上身份认证系统 NIS 美国 Sun 公司开发的 NIS(Network Information Service) 系统

32 第 32 页 4.5 安全的网络身份认证

33 第 33 页密码体制秘密密钥密码体制单钥密码体制公开密钥密码体制双钥密码体制

34 第 34 页公钥加密与数字签名公钥加密公钥私钥加密解密数字签名私钥公钥签名验证

35 第 35 页方案 4.9 互认证与加密通信 Alice 和 Bob 相互通信用公开密钥密码算法和秘密密钥密码算法 Alice 与 Bob 之间的身份认证和信息加密传输

36 第 36 页方案 4.9 互认证与加密通信 (I) {[K sess ]K PUB-B }K PRI-A (III) [M]K sess (III) [M]K sess Alice Bob (II) {[K sess ]K PUB-A }K PRI-B Alice 的密钥对 :K PUB-A,K PRI-A Bob 的密钥对 :K PUB-B,K PRI-B

37 第 37 页方案 4.10 网上认证与加密通信通过服务器认证客户机上的用户身份不能在网络中传输明文的或者加密过的用户口令

38 第 38 页方案 4.10 网上认证与加密通信在服务器上存放服务器和用户的密钥对用户登录时把用口令加密的用户私钥传给用户若以输入的口令解密成功, 则得到用户私钥执行互认证

39 第 39 页方案 4.11 客户 / 服务端兼顾的增强认证在客户机上登录客户机和服务器都可以执行认证根据用户确定哪些认证由服务器执行, 哪些认证由客户机执行不能在网络中传输明文的或者加密过的用户口令

40 第 40 页方案 4.11 客户 / 服务端兼顾的增强认证在客户机的账户信息中添加标识 :+ 或 -, 分别标识服务器认证客户机认证 ( 方案 4.8) 在服务器中保存服务器和客户机的密钥对, 客户机私钥加密存放 ( 方案 4.10) 用户登录时, 若需服务器认证, 则客户机把账户名信息传给服务器, 服务器把密钥信息传给客户机 ( 私钥是加密的 ) ( 方案 4.10) 客户机用输入的口令解密私钥, 解密成功后执行互认证若只需客户机认证, 则认证直接由客户机实施即可

41 第 41 页网上身份认证系统 NIS+ 美国 Sun 公司开发的 Secure RPC 支持方案 4.10 Sun 公司开发的以 Secure RPC 为基础的 NIS+ 系统支持方案 4.11

42 第 42 页 4.6 面向服务的再度认证

43 第 43 页颐和园游玩的启示进园 : 购买门票划船 : 在门票的基础上, 另外购买船票特色服务项目 : 在颐和园划船推而广之 : 门票通行证船票服务卡通行证 + 服务卡获得特色服务

44 第 44 页方案 4.12 身份认证 + 服务认证用户身份认证和服务认证方法不能在网络中传输明文的或者加密过的用户口令不能使用公开密钥密码算法

45 第 45 页方案 4.12 身份认证 + 服务认证

46 第 46 页服务认证系统 Kerberos 美国麻省理工学院 (MIT) 开发的 Kerberos 认证系统

47 第 47 页 4.7 统一的身份认证框架

48 第 48 页插拔式统一认证框架 PAM PAM(Pluggable Authentication Modules) 是一个统一的身份认证框架起初, 它是由美国 Sun 公司为 Solaris 操作系统开发的后来, 很多操作系统都实现了对它的支持

49 第 49 页 PAM 认证系统的构成 PAM 应用编程接口 (API) PAM 模块 ( 动态装载库 ), 提供以下服务功能支持 : 身份认证 (auth) 账户管理 (account) 口令管理 (password) 会话管理 (session) PAM 配置文件

50 第 50 页 PAM 认证系统的工作原理

51 第 51 页例 4.3 配置文件 /etc/pam.conf 示例 UNIX 系统中为 OpenSSH 服务程序定义的配置信息 sshd auth required /lib/security/pam_env.so sshd auth sufficient /lib/security/pam_unix.so likeauth nullok sshd auth required /lib/security/pam_deny.so sshd account required /lib/security/pam_unix.so sshd passwordrequired /lib/security/pam_cracklib.so retry=3 sshd passwordsufficient /lib/security/pam_unix.so nullok use_authtok md5 shadow sshd passwordrequired /lib/security/pam_deny.so sshd session required /lib/security/pam_limits.so sshd session required /lib/security/pam_unix.so

52 第 52 页例 4.3 配置文件 /etc/pam.conf 示例 UNIX 系统中为 OpenSSH 服务程序定义的配置信息 sshd auth required /lib/security/pam_env.so sshd auth sufficient /lib/security/pam_unix.so likeauth nullok sshd auth required /lib/security/pam_deny.so sshd account required /lib/security/pam_unix.so sshd passwordrequired /lib/security/pam_cracklib.so retry=3 sshd passwordsufficient /lib/security/pam_unix.so nullok use_authtok md5 shadow sshd passwordrequired /lib/security/pam_deny.so sshd session required /lib/security/pam_limits.so sshd session required /lib/security/pam_unix.so 服务程序的名称

53 第 53 页例 4.3 配置文件 /etc/pam.conf 示例 UNIX 系统中为 OpenSSH 服务程序定义的配置信息 sshd auth required /lib/security/pam_env.so sshd auth sufficient /lib/security/pam_unix.so likeauth nullok sshd auth required /lib/security/pam_deny.so sshd account required /lib/security/pam_unix.so sshd passwordrequired /lib/security/pam_cracklib.so retry=3 sshd passwordsufficient /lib/security/pam_unix.so nullok use_authtok md5 shadow sshd passwordrequired /lib/security/pam_deny.so sshd session required /lib/security/pam_limits.so sshd session required /lib/security/pam_unix.so 服务类型

54 第 54 页例 4.3 配置文件 /etc/pam.conf 示例 UNIX 系统中为 OpenSSH 服务程序定义的配置信息 sshd auth required /lib/security/pam_env.so sshd auth sufficient /lib/security/pam_unix.so likeauth nullok sshd auth required /lib/security/pam_deny.so sshd account required /lib/security/pam_unix.so sshd passwordrequired /lib/security/pam_cracklib.so retry=3 sshd passwordsufficient /lib/security/pam_unix.so nullok use_authtok md5 shadow sshd passwordrequired /lib/security/pam_deny.so sshd session required /lib/security/pam_limits.so sshd session required /lib/security/pam_unix.so 命令控制标记 Requisite: 模块执行失败时报告失败并结束认证 Required: 模块执行失败时报告失败但继续认证 Sufficient: 模块执行成功时报告成功并结束认证 Optional: 模块的执行不影响报告结果和认证过程

55 第 55 页例 4.3 配置文件 /etc/pam.conf 示例 UNIX 系统中为 OpenSSH 服务程序定义的配置信息 sshd auth required /lib/security/pam_env.so sshd auth sufficient /lib/security/pam_unix.so likeauth nullok sshd auth required /lib/security/pam_deny.so sshd account required /lib/security/pam_unix.so sshd passwordrequired /lib/security/pam_cracklib.so retry=3 sshd passwordsufficient /lib/security/pam_unix.so nullok use_authtok md5 shadow sshd passwordrequired /lib/security/pam_deny.so sshd session required /lib/security/pam_limits.so sshd session required /lib/security/pam_unix.so 待执行的模块名称及必要的参数

56 第 56 页例 4.3 配置文件 /etc/pam.conf 示例 UNIX 系统中为 OpenSSH 服务程序定义的配置信息 sshd auth required /lib/security/pam_env.so sshd auth sufficient /lib/security/pam_unix.so likeauth nullok sshd auth required /lib/security/pam_deny.so sshd account required /lib/security/pam_unix.so sshd passwordrequired /lib/security/pam_cracklib.so retry=3 sshd passwordsufficient /lib/security/pam_unix.so nullok use_authtok md5 shadow sshd passwordrequired /lib/security/pam_deny.so sshd session required /lib/security/pam_limits.so sshd session required /lib/security/pam_unix.so OpenSSH 进行身份认证时, 首先执行 pam_env 模块, 然后执行 pam_unix 模块, 如果 pam_unix 执行成功且 pam_env 没有失败, 则认证结束并报告成功如果 pam_unix 执行失败, 则接着执行 pam_deny 模块

57 第 57 页

untitled

untitled 基於安全 LDAP 伺服器之整合服務認證系統設計與實現李明坤楊中皇高雄師範大學資訊教育研究所摘要網路世界裡, 辨識身分是一個大問題, 當越來越多的人開始使用網路服務時, 身分認證的問題就接踵而來網路上提供服務的伺服器眾