結(jié)合公鑰認(rèn)證方案的kerberos研究(論文)

1、結(jié)合公鑰認(rèn)證方案的結(jié)合公鑰認(rèn)證方案的KerberosKerberos研究研究摘要：要：身份認(rèn)證是網(wǎng)絡(luò)通信雙方在通信時(shí)驗(yàn)證對(duì)方身份的技術(shù)。身份認(rèn)證是網(wǎng)絡(luò)通信雙方在通信時(shí)驗(yàn)證對(duì)方身份的技術(shù)。KerberosKerberos是基于可信第三方基于可信第三方KDCKDC使用對(duì)稱密鑰加密算法的認(rèn)證協(xié)議。本文在對(duì)多種身使用對(duì)稱密鑰加密算法的認(rèn)證協(xié)議。本文在對(duì)多種身份認(rèn)證方法研究基礎(chǔ)上，闡述了份認(rèn)證方法研究基礎(chǔ)上，闡述了KerberosKerberos

2、的原理，并分析其安全性和缺的原理，并分析其安全性和缺陷，提出利用陷，提出利用KerberosKerberos公鑰擴(kuò)展方式來改善公鑰擴(kuò)展方式來改善KerberosKerberos系統(tǒng)。系統(tǒng)。關(guān)鍵詞：身份認(rèn)證；關(guān)鍵詞：身份認(rèn)證；KerberosKerberos；公鑰證書；；公鑰證書；PKINITPKINIT協(xié)議協(xié)議第一章第一章身份認(rèn)證的研究與應(yīng)用身份認(rèn)證的研究與應(yīng)用1.1身份認(rèn)證概述身份認(rèn)證的本質(zhì)是被認(rèn)證方有一些信息，如秘密的信息、個(gè)人持有

3、的特殊硬件、個(gè)人特有的生物學(xué)信息，除被認(rèn)證方自己外，該信息不能被任何第三方偽造。如果被認(rèn)證方能采用某些方法，使認(rèn)證方相信他確實(shí)擁有那些秘密，則他的身份就得到了認(rèn)證。1.2身份認(rèn)證方法的分類根據(jù)被認(rèn)證方賴以證明身份的秘密的不同，身份認(rèn)證方法可以分為三大類:基于秘密信息的身份認(rèn)證技術(shù)，基于信物的身份認(rèn)證技術(shù)和基于生物特征的身份認(rèn)證技術(shù)。大致來講，有以下幾種身份認(rèn)證形式:(1)根據(jù)用戶所知道的某個(gè)信息，如口令、密碼(2)根據(jù)用戶所擁有的某個(gè)東

4、西，用戶必須持有的合法的物理介質(zhì)，如智能卡、身份證、密鑰盤(3)根據(jù)用戶所具有的某種生物特征，如指紋、聲音、視網(wǎng)膜掃描等。l基于口令的認(rèn)證方式基于口令的認(rèn)證方式是較常用的一種技術(shù)。認(rèn)證方收到口令后，將其與系統(tǒng)中存儲(chǔ)的用戶口令進(jìn)行比較，以確認(rèn)對(duì)象是否為合法訪問者。其優(yōu)點(diǎn)在于簡(jiǎn)單易行，一般的系統(tǒng)，如Windows，Unix，ware均提供對(duì)口令認(rèn)證的支持。但這種方式存在嚴(yán)重的安全問題。它是一種單因素的認(rèn)證，安全性僅依賴于口令，口令一旦泄漏，

5、用戶即可被冒充。也存在口令在傳輸過程中被截獲的安全隱患。2基于信物(智能卡)的認(rèn)證方式智能卡具有硬件加密功能，有較高的安全性。每個(gè)用戶持有一張智能卡，智能卡存儲(chǔ)用戶個(gè)性化的秘密信息，同時(shí)在驗(yàn)證服務(wù)器中也存放該秘密信息。但其缺陷在于智能卡也可能會(huì)丟失、被復(fù)制，在這種情況下，系統(tǒng)的安全性也無從保障。3基于生物特征的認(rèn)證方式這種認(rèn)證方式以人體惟一的、可靠的、穩(wěn)定的生物特征，如指紋、虹膜、掌紋等為依據(jù)，利用計(jì)算機(jī)的強(qiáng)大功能進(jìn)行圖像處理和模式識(shí)別

6、。該技術(shù)具有網(wǎng)絡(luò)安全技安全技術(shù)課術(shù)課程論文免責(zé)聲明：文檔在線網(wǎng)中所有的文檔資料均由文檔在線網(wǎng)會(huì)員提供該文檔資料的版權(quán)屬于提供者所有。文檔在線網(wǎng)會(huì)對(duì)會(huì)員提供的文檔資料進(jìn)行篩選和編輯，但是并不聲明或保證其內(nèi)容的合法性和正確性?！?—Stard，數(shù)據(jù)加密標(biāo)準(zhǔn))作為協(xié)議的基礎(chǔ)，這就帶來了密鑰交換、密鑰存儲(chǔ)、以及密鑰管理的困難，N個(gè)用戶想同時(shí)通信，就需要N(N1)2個(gè)密鑰沒有提供有效抵御口令猜測(cè)攻擊的手段，同時(shí)還存在時(shí)鐘同步問題。1.3.6X.5

7、09基于X.509證書[6][6]的認(rèn)證技術(shù)類似于Kerberos技術(shù)，它也依賴于共同依賴的第三方來實(shí)現(xiàn)認(rèn)證，這里可依賴的第三方是指CA(CertificateAuthity)的認(rèn)證機(jī)構(gòu)。該認(rèn)證機(jī)構(gòu)負(fù)責(zé)認(rèn)證用戶的身份并向用戶簽發(fā)數(shù)字證書。數(shù)字證書遵循X.509標(biāo)準(zhǔn)所規(guī)定的格式，因此稱為X.509證書。持有此證書的用戶就可以憑此證書訪問那些信任CA的服務(wù)器。基于X.509證書的認(rèn)證實(shí)際上是將個(gè)體之間的信任轉(zhuǎn)化為個(gè)體對(duì)組織機(jī)構(gòu)的信任，因此這

8、種認(rèn)證系統(tǒng)需要有CA的支持。目前，使用最多的認(rèn)證方式還是最簡(jiǎn)單的口令形式，類似于系統(tǒng)登錄過程中輸入用戶名口令的基本認(rèn)證方式系統(tǒng)事先保存每個(gè)用戶的二元組信息，進(jìn)入系統(tǒng)時(shí)用戶輸入其對(duì)應(yīng)的用戶名和密碼，系統(tǒng)根據(jù)保存的用戶信息與用戶輸入的信息相比較，從而判斷用戶身份的合法性。其安全性僅基于用戶口令的保密性，不能有效的抵御口令猜測(cè)攻擊并且用戶名和口令都是以明文方式在網(wǎng)絡(luò)中傳輸，極易遭受重放攻擊(ReplayAttack)。攻擊者通過監(jiān)聽網(wǎng)絡(luò)連接來

9、獲得合法用戶的登錄名和口令等認(rèn)證信息，隨后利用這個(gè)獲得的登錄用戶名和口令對(duì)系統(tǒng)進(jìn)行非法訪問。1.4身份認(rèn)證技術(shù)的評(píng)價(jià)身份認(rèn)證在一個(gè)安全系統(tǒng)中起著至關(guān)重要的作用，因此認(rèn)證技術(shù)決定了系統(tǒng)安全程度。如何評(píng)價(jià)某一認(rèn)證技術(shù)，可以遵循以下幾個(gè)標(biāo)準(zhǔn)[7][7]:(l)可行性(2)認(rèn)證強(qiáng)度(3)認(rèn)證粒度(4)認(rèn)證數(shù)據(jù)正確。在深入比較和分析各種認(rèn)證方法的基礎(chǔ)上，Kerberos協(xié)議是身份認(rèn)證領(lǐng)域中較為成熟的應(yīng)用協(xié)議，具有如下的一些優(yōu)點(diǎn)：它是基于可信賴的第

10、三方的認(rèn)證方式，適合于開放式的復(fù)雜網(wǎng)絡(luò)環(huán)境認(rèn)證過程設(shè)計(jì)合理，安全性高采用集中的用戶帳號(hào)管理，減少了系統(tǒng)維護(hù)的負(fù)擔(dān)采用雙向認(rèn)證機(jī)制等等。第一章第一章KerberosKerberos協(xié)議分析協(xié)議分析2.1Kerberos概述Kerberos是MIT在80年代中期為其Athena[8]計(jì)劃開發(fā)的一種基于KDC概念和Needhamschroeder方法的分布式認(rèn)證服務(wù)系統(tǒng)，它可以在不安全的網(wǎng)絡(luò)環(huán)境中為用戶對(duì)遠(yuǎn)程服務(wù)器的訪問提供自動(dòng)的鑒別，數(shù)據(jù)安

11、全性和完整性服務(wù)，以及密鑰管理服務(wù)。Kerberos的設(shè)計(jì)是針對(duì)以下要求實(shí)現(xiàn)的：(l)安全性:網(wǎng)絡(luò)中的竊聽者不能獲得必要的信息來假冒網(wǎng)絡(luò)的用戶(2)可靠性:Kerberos應(yīng)該具有高度的可靠性，并采用一個(gè)系統(tǒng)支持另一個(gè)系統(tǒng)的分布式服務(wù)結(jié)構(gòu)(3)透明性:用戶除了被要求輸入密碼外，不會(huì)覺察出認(rèn)證的進(jìn)行過程(4)可擴(kuò)充性:系統(tǒng)應(yīng)能夠支持更多的用戶和服務(wù)器，具有較好的伸縮性Kerberos的設(shè)計(jì)目的分為三個(gè)領(lǐng)域:認(rèn)證、授權(quán)、記賬，可用作建造安全