身份认证

课程 设计 领导形象设计圆作业设计ao工艺污水处理厂设计附属工程施工组织设计清扫机器人结构设计 报告课程名称网络安全技术课题名称安全网络身份认证系统的设计与实现专业班级学号姓名指导教师邓作杰、黄鲲、谭小兰2014年12月10日湖南 工程 路基工程安全技术交底工程项目施工成本控制工程量增项单年度零星工程技术标正投影法基本原理 学院课程设计任务书课程名称网络安全技术课题安全网络身份认证系统的设计与实现专业班级学生姓名学号指导老师邓作杰、黄鲲、谭小兰审批刘洞波任务书下达日期2014年12月10日任务完成日期2014年12月31日目录4一、设计内容与设计要求41．设计内容42．设计要求：5二、安全网络身份认证系统主要功能的设计与实现5课题研究背景62.1身份认证的概念72.2基于密码的身份认证：72.2.1口令核对82.2单向认证92.3赋向认证102.4.零知识证明身份认证：102.4.1零知识证明身份认证的概念102.4.2身份的零知识证明112.5密码认证的特点132.6身份认证 协议 离婚协议模板下载合伙人协议 下载渠道分销协议免费下载敬业协议下载授课协议下载 ：152.6.1身份认证的应用18三、心得体会18四、参考文献：19五、评分表一、设计内容与设计要求1．设计内容计算机网络世界中一切信息包括用户的身份信息都是用一组特定的数据来表示的，计算机只能识别用户的数字身份，所有对用户的授权也是针对用户数字身份的授权。如何保证以数字身份进行操作的操作者就是这个数字身份合法拥有者，也就是说保证操作者的物理身份与数字身份相对应，安全网络身份认证就是为了解决这个问题，作为防护网络资产的第一道关口，安全网络身份认证有着举足轻重的作用。本课题要求学生设计与实现一个安全的网络身份认证系统，用于身份验证，能够抵抗大多数的攻击。2．设计要求：(1)安全的网络身份认证系统的基本功能要求：a．抵抗重放攻击，可采用序列号、时间戳、应答响应、流密码、密钥反馈机制；b．认证信息在网络上应当进行加密；c．利用公钥机制共享身份验证信息。(2)在规定的时间内以小组为单位完成相关的系统功能实现、数据测试和记录并进行适当的 分析 定性数据统计分析pdf销售业绩分析模板建筑结构震害分析销售进度分析表京东商城竞争战略分析 。(3)按本任务书的要求，编写《课程设计报告》（Word文档格式）。并用A4的复印纸打印并装订；(4)在规定的时间内，请各班学习委员收齐课程设计报告交邓作杰老师。二、安全网络身份认证系统主要功能的设计与实现身份认证是实现信息安全的基本技术，在本文中简要的介绍下几种不同类别的身份认证以及身份认证中的协议。在信息的传输与处理的过程中，有关如何保护信息使之不被非法窃取或篡改，亦即信息的认证与保密的问题，越快越多地受到关注。在认证技术中，消息认证与身份认证是两大重要方面，其中消息认证用于保信息的完整性与抗否认性，身份认证则用于鉴别用户身份。本文集中针对身份认证技术及应用作了简要分析课题研究背景计算机网络安全性研究始于本世纪60年代末期。当时，计算机系统的脆弱性已日益为美国政府和私营部门的一些机构所认识。但是．由于当时计算机的速度和性能较为落后．使_Lfj的范围也不广，再加上美国政府把它当作敏感问题而加以控制，因此有关计算机安全的研究一直局限在较小的范围。进入80年代后．计算机的性能得到了极大的提高，应用范围也在不断扩人，计算机已遍及世界各个角落。并且，人们利用互联网络把孤立的单机系统连接起来，相互通信和共享资源。但是．随之而来并日益严峻的问题便是计算机信息安全问题。人们在这方面所做的研究与计算机’性能和应用的飞速发展极不相适应。因此，它己成为未来信息技术中的主要问题之一。网络系统遭受的攻击，大部分是建立在入侵者获得已经存在的通信通道或伪装身份与用户建立通讯通道的基础上．使用包括消息窃听、身份伪装、消息伪造与篡改、消息重放等手段。为了实施这些攻击手段，入侵者必须能够进入系统中。在很多情况下，入侵者是系统的合法用户之一；而对于那些非法用户．最简单直接的方法便是破解合法用户的密码，尔后伪装成合法用户进入到系统中。因此．用户身份验证和访问控制是网络安全中最直接也是最前沿的一道防线。身份认证技术在信息安全中占有极其重要的地位，是安全系统中的第一道关卡。用户在登录安全系统之前，必须首先向身份认证系统表明自己的身份。身份验证系统首先验证用户的真实性，然后根据授权数据库中用户的权限设置确定其是否有权访问所申请的资源。身份认证在安全系统中的地位极其重要，是最基本的安全服务，其它的安全服务都要依赖于它。一旦身份认证系统被攻破，那么系统的所有安全措施将形同虚设。黑客攻击的目标往往也就是身份认证系统。大致上来讲，身份认证可分为用户与主机间的认证和主机与主机间的认证。本文只讨论用户与主机间的身份认证方式。用户与主机问的认证可以基于如下一个或几个因素：·用户所知道的信息，如口令；·用户所拥有的实物，如物理令牌；·用户所具有的生物特征，如指纹、声音等。2.1身份认证的概念身份认证是系统审查用户身份的过程，从而确定该用户是否具有对某种资源的访问和使用权限。身份认证通过标识和鉴别用户的身份，提供一种判别和确认用户身份的机制。计算机网络中的身份认证是通过将一个证据与实体身份绑定来实现的。实体可能是用户、主机、应用程序甚至是进程。身份认证技术在信息安全中处于非常重要的地位，是其他安全机制的基础。只有实现了有效的身份认证，才能保证访问控制、安全审计、入侵防范等安全机制的有效实施。在真实世界中，验证一个用户的身份主要通过以下三种方式：所知道的。根据用户所知道的信息来证明用户的身份。所拥有的。根据用户所拥有的东西来证明用户的身份。本身的特征。直接根据用户独一无二的体态特征来证明用户的身份，例如人的指纹、笔迹、DNA、视网膜及身体的特殊标志等。2.2基于密码的身份认证：2.2.1口令核对鉴别用户身份最常见也是最简单的方法就是口令核对法：系统为每一个合法用户建立一个用户名／口令对，当用户登录系统或使用某项功能时，提示用户输人自己的用户名和口令，系统通过棱对用户输人的用户名、口令与系统内已有的台法用户的用户名／口令对(这些用户名／口令对在收稿日期2000—09—20系统内是加密存储的)是否匹配，如与某一项用户名／口令对匹配，则该用户的身份得到了认证。这种方法的缺点是其安全性仅仅基于用户口令的保密性，而用户口令一般较短且容易猜测，因此这种 方案 气瓶 现场处置方案 .pdf气瓶 现场处置方案 .doc见习基地管理方案.doc关于群访事件的化解方案建筑工地扬尘治理专项方案下载 不能抵御口令猜测攻击；另外，攻击者可能窃听通信信道或进行网络窥探(sniffing)，口令的明文传输使得攻击者只要能在口令传输过程中获得用户口令，系统就会被攻破。尤其在网络环境下，明文传输的缺陷使得这种身份认证方案变得极不安全。解决的办法是将口令加密传输，这时可以在一定程度上弥补上面提到的第二个缺陷，但攻击者仍可以采用离线方式对口令密文实施字典攻击；加密传输口令的另一个困难是加密密钥的交换，当采用对称密钥加密方式时，要求认证方和被认证方共享一个密钥，但由于身份认证前双方的身份还不明确，不可能预先共享一个密钥，解决的办法是求助于第三方——一个可信任的权威机构，这就是下面要分析的认证方案的思想。当采用非对称密钥加密方式时，口令可以用认证方的公钥加密，由于公钥可以通过公开的渠道获得，这时不存在采用对称密钥加密时遇到的那种矛盾，当然，这也需要密钥分发机制的配合。由此可看到，身份认证与密钥分发经常是联系在一起的，所以，下面提到的许多认证协议中也包含了密钥分发的功能。2.2单向认证如果通信的双方只需要一方被另一方鉴别身份，这样的认证过程就是一种单向认证，前面提到的口令核对法实际也可以算是一种单向认证，只是这种简单的单向认证还没有与密钥分发相结合。与密钥分发相结合的单向认证主要有两类方案：一类采用对称密钥加密体制，需要一个可信赖的第三方——通常称为KDC(密钥分发中心)或AS‘认证服务器)．由这个第三方来实现通信双方的身份认证和密钥丹发；另一类采用非对称密钥加密体制．无需第三方参与。需第三方参与的单向认证：(1)A—KT)C：IDIDBN。(2)KDC—AEEKlIT)BllN1】EmEKID]](3)A—B：ExEK。llID]E[M]。无需第三方参与的单向认证：A—B：EKUb_K．]llEM]。当信息不要求保密时．这种无需第三方的单向认证可简化为A—B：M}lEEH(M)]。其中A、B为通信双方；KDC：为密钥分发中心；IDhIT)B：为A、B的标识，N为序号；E：用A和KDC的密钥K。加密；Eb：用B和KDC的密钥Kb加密；K：A、B的会话密钥；EKub：用B的公钥加密；E：用A的秘密密钥加密；M：为明文；H(M)：M的散列值2.3赋向认证在双向认证过程中．通信双方需要互相认证鉴别各自的身份，然后交换会话密钥，双向认证的典型方案如下：（1）A—KDc：ID^IDBlIN。(2)KDC—A：Eh[KllIT)BllNllEKb[KID]]。(3)A—B：EKbEKllID^]。(4)B—A：EKlEN2]。(5)A—B：EKU(N)]。(其中f(N)为N的某一个函数，其他符号约定同上)这种认证在密钥交换时有两个阃题需要注意：(1)保密性：为了防止伪装或暴露会话密钥，基本认证与会话密钥必须以保密形式通信。这就要求预先保存密钥供加密使用(2)实效性：应有效防止消息重放攻击。常见的消息重放攻击有：简单重放(攻击者复制一条消息．以后再重新发送)；可被日志记录的复制品【攻击者在一个合法有效的时闯窗内重放一个带时间戳的消息)}不能被检测到的复制品(原始信息被拦截，而重放的信息到达目的地)；反向重放，不做修改(向发送者重放)对付重放的方法有：①在认证交换中使用一个序数来给每一个消息报文编号，仅当收到的消息序号合法时才接受之}②使用时间戳(A接受一个新消息仅当该消息包含一个A认为是足够接近A所知道的时间戳)；③盘问／应答方式(A期望从B获得一个新消息．则先发给B一个临时值．并要求后续从B收到的消息包含正确的这个临时值)。2.4.零知识证明身份认证：2.4.1零知识证明身份认证的概念零知识证明是由在20世纪80年代初出现的一种身份认证技术。零知识证明是指证明者能够在不向验证者提供任何有用信息的情况下，使验证者相信某个论断是正确的。2.4.2身份的零知识证明通常的身份认证都要求传输口令或身份信息(尽管是加密传输)，如果不传输这些信息，身份也能得到证明就好了，这就需要身份的零知识证明技术。零知识证明是这样一种技术，被认证方P掌握某些秘密信息，P想设法让认证方V相信他确实掌握那些信息，但又不想让V也知道那些信息。一个解释零知识证明的通俗例子是洞穴问题见图1。有一个洞，设P知道咒语．可打开C和D之间的秘密门，不知道者都将走人死胡同中，那么P如何向V出示证明使其相信他知道这个秘密，但又不告诉V有关咒语。可采用下面这种协议：(1)V站在A点(2)P进人洞中任意一点C或D。(3)当P进洞之后，V走到B点(4)V叫P：“从左边出来”或“从右边出来”。(5)P按要求实现(以咒语，即解数学难题)。(6)P和V重复执行(1)～(5)共n次。这种问题还可用其他协议方法解决，一般来说．被认证方P掌握的秘密信息可以是某些长期没有解决的猜想问题的证明，如图的三色问题等，也可以是缺乏有效算法的难题解法，如大数因式分解等，还可以是一些单项函数或哈密顿回路等等。但信息的本质是可以验证的，即可通过具体的步骤来检测它的正确性。2.5密码认证的特点密码是用户与计算机之间以及计算机与计算机之间共享的一个秘密，在通信过程中其中一方向另一方提交密码，表示自己知道该秘密，从而通过另一方的认证。密码通常由一组字符串来组成，为便于用户记忆，一般用户使用的密码都有长度的限制。但出于安全考虑，在使用密码时需要注意以下几点：（1）不使用默认密码、（2）设置足够长的密码、（3）不要使用结构简单的词或数字组合、（4）增加密码的组合复杂度、（5）使用加密、（6）避免共享密码、（7）定期更换密码就密码的安全使用来说，计算机系统应该具备下列安全性：（1）入侵者即使取得储存在系统中的密码也无法达到登录的目的。这需要在密码认证的基础上再增加其他的认证方式，如地址认证。（2）通过监听网络上传送的信息而获得的密码是不能用的。最有效的方式是数据加密。（3）计算机系统必须能够发现并防止各类密码尝试攻击。可使用密码安全策略。基于IP地址的身份认证：不可靠，也不可取基于物理地址：（如MAC地址）的身份认证较为可靠，目前在计算机网络中的应用较为广泛。基于物理安全性验证1.智能卡认证智能卡也称IC卡，是由一个或多个集成电路芯片组成的设备，可以安全地存储密钥、证书和用户数据等敏感信息，防止硬件级别的窜改。智能卡芯片在很多应用中可以独立完成加密、解密、身份认证、数字签名等对安全较为敏感的计算任务，从而能够提高应用系统抗病毒攻击以及防止敏感信息的泄漏。2.双因素身份认证，简单地讲是指在身份认证过程中至少提供两个认证因素，如“密码+PIN”等。双因素认证与利用ATM取款很相似：用户必须利用持银行卡，再输入密码，才能提取其账户中的款项。双因素认证提供了身份认证的可靠性。3.生物特征身份认证：生物特征认证的概念生物特征认证又称为“生物特征识别”，是指通过计算机利用人体固有的物理特征或行为特征鉴别个人身份。在信息安全领域，推动基于生物特征认证的主要动力来自于基于密码认证的不安全性，即利用生物特征认证来替代密码认证。人的生理特征与生俱来，一般是先天性的。满足以下条件的生物特征才可以用来作为进行身份认证的依据：普遍性。即每一个人都应该具有这一特征。唯一性。即每一个人在这一特征上有不同的表现。稳定性。即这一特征不会随着年龄的增长和生活环境的改变而改变。易采集性。即这一特征应该便于采集和保存。可接受性。即人们是否能够接受这种生物识别方式。2.6身份认证协议：Kerberos协议Kerberos协议简介Kerberos是为基于TCP/IP的Internet和Intranet设计的安全认证协议，它工作在Client/Server模式下，以可信赖的第三方KDC（密钥分配中心）实现用户身份认证。在认证过程中，Kerberos使用对称密钥加密算法，提供了计算机网络中通信双方之间的身份认证。Kerberos设计的目的是解决在分布网络环境中用户访问网络资源时的安全问题。由于Kerberos是基于对称加密来实现认证的，这就涉及到加密密钥对的产生和管理问题。在Kerberos中会对每一个用户分配一个密钥对，如果网络中存在N个用户，则Kerberos系统会保存和维护N个密钥对。同时，在Kerberos系统中只要求使用对称密码，而没有对具体算法和标准作限定，这样便于Kerberos协议的推广和应用。Kerberos已广泛应用于Internet和Intranet服务的安全访问，具有高度的安全性、可靠性、透明性和可伸缩性等优点。Kerberos系统的组成一个完整的Kerberos系统主要由以下几个部分组成：（1）用户端（2）服务器端（3）密钥分配中心（4）认证服务器（5）票据分配服务器（6）票据（7）时间戳Kerberos的基本认证过程SSL协议：SSL协议概述SSL是一种点对点之间构造的安全通道中传输数据的协议，它运行在传输层之上、应用层之下，是一种综合利用对称密钥和公开密钥技术进行安全通信的工业标准。在通信过程中，允许一个支持SSL协议的服务器在支持SSL协议的客户端使协议本身获得信任，使客户端得到服务器的信任，从而在两台机器间建立一个可靠的传输连接。SSL协议主要提供了3个方面的安全服务。认证。利用数字证书技术和可信第三方认证机构，为客户机和服务器之间的通信提供身份认证功能，以便于彼此之间进行身份识别。机密性。在SSL客户机和服务器之间传输的所有数据都经过了加密处理，以防止非法用户进行窃取、篡改和冒充。完整性。SSL利用加密算法和Hash函数来保证客户机和服务器之间传输的数据的完整性。SSL协议分为上下两部分：上层为SSL握手协议，下层为SSL记录协议。其中SSL握手协议主要用来建立客户机与服务器之间的连接，并协商密钥；而SSL记录协议则定义了数据的传输格式。SSL握手协议SSL握手协议提供了客户机与服务器之间的相互认证，协商加密算法，用于保护在SSL记录中发送的加密密钥。握手协议在任何应用程序的数据传输之前进行。如图4-9描述了SSL握手协议一次握手的操作过程。SSL记录协议SSL记录协议建立在可靠的传输层协议之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。SSL协议的特点SSL是一个通信协议。为了实现安全性，SSL的协议描述比较复杂，具有较完备的握手过程。这也决定了SSL不是一个轻量级的网络协议。另外，SSL还涉及到大量的计算密集型算法：非对称加密算法，对称加密算法和数据摘要算法。2.6.1身份认证的应用2.1LKerberos认证服务Kerberos是一种受托的第三方认证服务【trustedthird—partyauthenticationservice)，它是建立在前面提到的双向认证的模型基础上的，Kerberos要求信任第三方——即Kerberos认证服务器Kerberos把网络划分成安全域，称为区域(realms)，每个区域有自己的认证服务器并实现自己的安全策略。在每个区域内的认证过程是这样的：Kerberos为客户和服务提供证明自己身份的票(ticket)以及双方安全通信的会话密钥(sessionkey)。除客户第一次获得的初始票(initialticket)是由Kerberos认证服务器(Kerberosauthenticatjonserver一记作AS)签发外，其他票是由发票服务器(ticket—grantingserver，记作TGS)签发的，一个票可以使用多次直至过期。当客户方请求服务方提供一个服务时，不仅要向服务方发送从发票服务器领来的票，同时还要自己生成一个一次性使用的证(authenticator)一同发送。具体过程分以下三步2．1．1客户C从AS处取得初始票(1)c—As：IID,(2)As÷c}EKEKllT]。(初始票T=Ex[KllID,J1AI1Ⅱ)噼]，其中AU为C的网络地址。)2．1．2客户C从TGS处取得某项服务的票(3)c÷TGS：1130TllA，此处A一Ex--[1uA]。(4)TGS~C：E⋯2K。llT]。(可多次使用的桑T=EEKllIDlIADllID，]。)2．1，3客户C向S请求谊项服务(5)c÷s：AT，此处A一Ek，[IDllADIDtimestamp】。(6)s÷c：Ex[timestamp十1]。其中，timestamp是时间戳，其作用是使客户C确信与它会话的确实是服务S(只有S才知道K，故只有S才能发回这个信息)。(该小节中的符号约定同上。)2．2HTTP中的身份认证HTTP协议且前的三个版本中，HTTP1．0较完善，是且前用得最广泛的一个版本，其中提供了一个基于口令的基本认证方法。且前，所有的Web服务器都可以通过“基本身份认证支持访问控制。当用户请求某个页面或运行某个CGI程序时，被访问对象所在目录下有访问控制文件，规定哪些用户可以访问该且录，Web服务器读取该访问控制文件，从中获得访问控制信息并要求客户方提交用户名／口令组台，浏览器将用户输入的用户名和口令对经过一定的编码传给服务方，在检验了用户身份和口令后，服务方才发送回所请求的页面或执行CGI程序。可见，HTTP1，0采用的是前面讲述过的明文传输的口令核对方式(传输过程中尽管进行了编码，但并没有加密)，这当然是很不安垒的为增加安全性，用户可以选择使用SSL(SecureSocketsLayer)建立加密信道后再采用基本身份认证方式进行身份认证。当然，SSL中也有自己的更完善的身份认证机制，SSI工作在Socket层上，采用TCP作为传输协议提供数据的可靠传送和接收，它利用公钥与单钥体制对Web服务器和客户机(选项)的通信提供保密性、数据完整性和认证性。HTTP1．1新增加了大量的报头域，在身份认证上，不再传递口令的明文，而是将口令经过散列函数变换以后传输它的摘要。使用摘要认证，攻击者再也不能截获口令，他最多只能进行重放攻击，而且被限定在很短时间内，并只能用于同样的访问请求。尽管如此，摘要认证仍然不够安全，容易受到中闻者攻击，如一个恶意的或被破坏的代理可能将服务方的摘要认证回答换成基本认证回答，从而窃得I=1令。为HTTP提供更安全的认证方式需要与Ker—heros服务相结合。2．3IP中的身份认证1P协议由于在网络层，无法理解更高层的信息．昕以IP协议中的身份认证实际不可能是基于用户的身份认证，而是基于IP地址的身份认证。1P层的认证机构既要保证接收的就是由数据组报头中所识别出的、作为该数据组的源所发送的，还要保证数据组在传送中未被篡改。IPSec即是IP安全协议，它负责网络层及其下层的安全。IPSec提供了两种安全机制：认证和加密认证机制使IP通信的数据接收方能够确认数据发送方的真实身份以及数据在传辅过程中是否遭到改动加密机制通过对数据进行编码来保证数据的机密性，以防数据在传输过程中被他人截获而失密。IPSec的认证包头(Authent[cationHeader，AH)协议定义了认证的应用方法．封装安全负载(Encapsutat[ngSecurityPayload，ESP)协议定义了加密和可选认证的应用方法。在实际进行IP通信时．可以根据安全需求同时使用这两种协议或选择使用其中的一种。AH和ESP都可以提供认证服务，不过，AH提供的认证服务要强于ESP。在一个特定的IP通信中使用AH或ESP时，协议将与一组安全信息和服务发生关联，称为安全关联(SecurityAssoc[at[on，SA)。SA可以包含认证算法、加密算法、用于认证和加密的密钥。1PSec使用一种密钥分配和交换协议，如Internet安全关联和密钥管理协议(InternetSecurityAsaociationandKeyManagementProtocol，ISAKMP)来创建和维护SA。SA是～个单向的逻辑连接，也就是说，两个主机之间的认证通信将使用两个SA．分别用于通信的发送方和接收方。三、心得体会通过为期一周的网络信息安全与管理实训，使我拓宽了在这方面的知识，同时也锻炼了我的实践能力，从而是自己的综合素质得到了显著提高。其实这次实训的目的不仅仅限于单纯的实验配置，更注重的是每个人的知识面的拓展，还有在实训中的团队合作能力。在这次实训中，我不仅仅学习到了书本以外的知识，同时还通过实践解决了很多以前从未遇到过的问题。四、参考文献：1.《网络安全技术》，丰继林编著，清华大学出版社,2009.9；2.《计算机系统与网络安全技术》潘瑜等，高等教育出版社，2011年；3.《计算机网络安全技术》蔡立军，中国水利水电出版社，2005年。五、评分表计算机科学与技术系课程设计评分表课题名称：安全网络身份认证系统的设计与实现 项目 评价 设计方案的合理性与创造性 设计与调试结果 设计说明书的质量 答辩陈述与回答问题情况 课程设计周表现情况 综合成绩 教师签名：日期：（注：1．此页附在课程设计报告之后；2．综合成绩按优、良、中、及格和不及格五级评定。）