身份认证与访问控制

电子商务信息安全技术身份认证与访问控制曹健身份认证与访问控制•身份认证•访问控制身份认证传输介质transmissionmedium用户A用户B传送信息接收信息入侵者C攻击截取篡改伪造中断保密性、可访问性完整性、不可否认性用户A’用户B’身份认证•身份认证是验证主体的真实身份与其所声称的身份是否符合的过程。•认证的结果只有两个：符合和不符合。•适用于用户、进程、系统、信息等。•应用实例：进入银行金库、登录到某台电脑上、从ATM机上取款。身份认证身份认证系统的组成•出示证明的人，称作示证者P（Prover），又称声称者（Claimant）。•验证者V（Verifier)，检验声称者提出的证明的正确性和合法性，决定是否满足要求。•第三方是可信赖者TP（Trustedthirdparty)，参与调解纠纷（在许多应用场合下没有第三方）。身份认证用户身份合法性的识别：（1）根据用户知道什么来判断Somethingtheuserknows（2）根据用户拥有什么来判断Somethingtheuserpossesses（3）根据用户是什么来判断Somethingtheuseris身份认证用户所知（Somethingtheuserknows）•如：口令认证•简单，但不安全，容易遗忘身份认证不安全口令的种类：•使用用户名(帐号)作为口令•使用用户名(帐号)的变换形式作为口令•使用自己或亲友的生日作为口令•使用学号、员工号码、身份证号作为口令•使用常用的英文单词作为口令身份认证安全口令的特点:（1）8位长度或更长（2）必须包括大小写\数字字符\控制符（3）设置一定的使用期（4）不要太常见(如user,guest,admin等)身份认证身份认证一次性口令(One-TimePassword,OTP)•自定义口令的问题•提出者——LeslieLamport•基本思想:OTP=H(用户名+秘密通行短语+随机数)•实现机制：–挑战/应答机制–口令序列（S/Key）机制–时间同步–事件同步机制身份认证一次性口令(One-TimePassword,OTP)•SecurID卡系统——基于时间同步身份认证口令维护时应注意的一些问题:（1）不要共享口令。（2）不要用系统指定的口令。（3）不要用电子邮件传送口令。（4）暂停或删除闲置的用户账号。（5）限制登录时间。（6）限制登录次数。（7）核实最后一次登录。身份认证用户所有（Somethingtheuserpossesses）•如：身份证、学生证、户口簿通行磁卡、智能信息卡电子标签（RFID）身份认证用户所有（Somethingtheuserpossesses）•相对复杂，成本较高，安全性较高•和“用户所知”结合使用，安全更有保障•需要妥善保管，随身携带，谨防丢失身份认证用户特征（Somethingtheuseris）•行为特征：签名、笔迹、步态等•生物特征：指纹、面孔、声音、虹膜、视网膜、掌纹、DNA。身份认证签名鉴别•伪造签名的种类：–自由伪造–模仿伪造–摹写伪造•手写签名的鉴别方式：–人工鉴别（靠专家对字体进行鉴别）–机器鉴别（靠机器对签名的结果或过程进行鉴别）身份认证手写签名的机器鉴别•联机签名鉴别（在线签名鉴别）–优点——得到动态信息（书写速度、时序信息、运笔压力、握笔倾斜度）–缺点——需要特别的输入设备（手写板）•脱机签名鉴别（离线签名鉴别）–优点——不需要特别的输入设备–缺点——不能得到动态信息–伪动态特征——重笔道区域身份认证笔迹鉴别•传统笔迹鉴别–繁琐：手工选择、剪切文件–不准：很难避免主观人为因素影响•计算机笔迹鉴别身份认证指纹识别——最成熟的识别技术优点:（1）指纹是人体独一无二的特征；（2）识别速度快，使用方便；（3）手指与指纹采集头相互接触，更可靠；（4）采集头体积小，价格低廉。缺点：（1）成像质量与识别技术的限制；（2）指纹库规模的限制；（3）指纹采集在采集头上留下印痕使得复制成为可能。身份认证指纹识别技术的应用系统（1）嵌入式系统独立完整的系统，如指纹门锁、指纹考勤终端等；（2）连接PC的桌面应用系统系统结构灵活，可以多个系统共享指纹识别设备，可以建立大型数据库应用。但是，由于需要连接计算机才能完成指纹识别功能，限制了其使用的范围。身份认证掌纹识别——指纹识别的升级版•优点：（1）特征丰富、旋转不变性和唯一性（2）终身不变，不易仿造（3）采集设备成本较低，图像质量稳定（4）不涉及隐私，易于推广（5）容易与其他生物特征结合，实现一体化识别•采集设备身份认证人脸识别——最友好、最直接的识别方式•应用系统：–嵌入式系统–服务器、个人电脑•研究内容：–人脸检测（FaceDetection）–人脸表征（FaceRepresentation）–人脸鉴别（FaceIdentification）–表情/姿态分析(Expression/GestureAnalysis)–生理分类（PhysicalClassification）身份认证声音识别——一个富有挑战性的领域•独特的优势：(1)语音获取方便，接受度高；(2)获取语音的成本低廉(3)适合远程身份确认(4)算法复杂度低(5)不涉及隐私问题•应用领域：(1)考勤系统(2)语音电话拨号(3)电话银行(4)安全控制(5)司法系统(6)军队和国防身份认证•声纹识别技术分类：–说话人辨认–说话人确认–说话人探测/跟踪•训练方法：–与文本无关的说话人识别–与文本有关的说话人识别•缺点——无图无真相身份认证虹膜识别——非常可靠的识别方式•特点与依据：（1）虹膜的纤维组织细节复杂而丰富，具有极大的随机性（2）具有因人而异的固有特性（3）虹膜组织特征在出生半年至一年半内发育完全，终生不变（4）几乎不可能通过手术改变特性，更不可能改变得与特定对象相同（5）一般疾病不会对虹膜组织造成损伤•应用领域:（1）门禁和考勤（2）金融和证卷（3）电子护照和第二代身份证（3）其他需要身份认证的地方（4）信息安全（5）特殊行业身份认证视网膜识别——最可靠、最值得信赖的识别•视网膜识别的特点：（1）是极其固定的生物特征（2）不需要与设备接触，不会被伪造•视网膜识别的缺点：（1）健康方面的损害（2）对消费者没有吸引力（3）很难降低其成本身份认证适合用于身份认证的生物特征：（1）指纹（2）掌纹（3）面孔（4）声音（5）虹膜（6）视网膜（7）骨架能认证身份的生物特征应该具有以下特点：（1）广泛性：每个人都应该具有这种特征。（2）唯一性：每个人的具体特征各不相同。（3）稳定性：该特征应当不随时间地点发生变化。（4）可采集性：该特征应该便于测量。身份认证三种常见生物识别技术的对比（1）指纹识别：速度快、价格低，但采集时必须和仪器接触，容易被复制。（2）虹膜识别：准确率高，但黑眼睛人群成像效果不好，仪器昂贵。（3）人脸识别：非常友好，却受角度、光照和表情影响。发展前景——多种生物特征融合识别访问控制有一种崩溃叫做你密码输入错误有一种惊慌叫做你账号异地登陆有一种失落叫做你没有访问权限访问控制访问控制的概念•访问控制是为了限制访问主体（或称为发起者，是一个主动的实体，如用户、进程、服务等）对访问客体（需要保护的资源）的访问权限，从而使计算机系统在合法范围内使用。•访问控制机制决定用户及代表一定用户利益的程序能做什么，以及做到什么程度。访问控制访问控制系统的基本框架ReferenceMonitor主体客体控制规则库访问控制•访问控制由两个重要过程组成–通过认证来检验主体的合法身份；–通过授权（Authorization）来限制用户对资源的访问级别。•访问控制策略–基于身份的访问控制策略–基于规则的访问控制策略–基于角色的访问控制策略访问控制基于身份的访问控制策略–也称自主访问控制（DiscretionaryAccessControl，DAC），允许合法用户以用户或用户组的身份访问规定的客体，同时阻止非授权用户访问客体，某些用户还可以自主地把自己所拥有的客体的访问权限授予其他用户。–特点：（1）配置的粒度小，灵活易行；（2）配置的工作量大，效率低。访问控制基于身份的访问控制策略实现机制•访问控制矩阵（AccessControlMatrix）–利用二维矩阵规定任意主体和任意客体间的访问权限–矩阵中的行代表主体的访问权限属性，矩阵中的列代表客体的访问权限属性，矩阵中的每一格表示所在行的主体对所在列的客体的访问授权客体1客体2客体3主体1OwnRWOwnRW主体2ROwnRWW主体3RWR访问控制基于身份的访问控制策略实现机制•访问控制列表（AccessControlLists，ACLs）以文件为中心建立访问权限表，表中登记了客体文件的访问用户名及访问权隶属关系Object1UserAOWNRWOUserBRWOUserCRO访问控制基于身份的访问控制策略实现机制•访问控制能力列表（AccessControlCapabilitiesLists，ACLLs）以用户为中心建立访问权限表，为每个主体附加一个该主体能够访问的客体的明细表UserAObject1OWNRWOObject2RWOObject3RO访问控制基于规则的访问控制策略–也称强制访问控制（MandatoryAccessControl，MAC）每个用户及文件都被赋予一定的安全级别，用户不能改变自身或任何客体的安全级别，即不允许单个用户确定访问权限，只有系统管理员可以确定用户和组的访问权限。系统通过比较用户和访问的文件的安全级别来决定用户是否可以访问该文件。–特点：（1）配置的粒度大；（2）缺乏灵活性。访问控制基于规则的访问控制策略实现机制•用户与访问的信息的读写关系–下读（ReadDown）–上写（WriteUp）–下写（WriteDown）–上读（ReadUp）密级英文绝密TopSecret秘密Secret机密Confidential限制Restricted无密级Unclassified保密性完整性访问控制基于规则的访问控制策略实现机制用户安全级别用户AS用户BC……用户XT文件安全级别File1RFile2T……FilenS拒绝读取？客体1导弹计划级别：绝密主体：Jack级别：秘密允许读取？客体2电话簿级别：限制访问控制基于角色的访问控制策略（Role-basedAccess，RBAC）–将访问许可权分配给一定的角色，用户通过饰演不同的角色获得角色所拥有的访问许可权。用户与客体无直接联系，他只有通过角色才享有该角色所对应的权限，从而访问相应的客体。因此用户不能自主地将访问权限授给别的用户–特点：（1）增加一层间接性，带来了灵活性，便于职责分担、便于目标分级；（2）管理代价低。访问控制基于任务的访问控制（Task-basedAccessControl，TBAC）–对象的访问权限控制并不是静止不变的，而是随着执行任务的上下文环境发生变化。–TBAC模型由工作流、授权结构体、受托人集、许可集四部分组成，一般用五元组（S，O，P，L，AS）来表示，其中S表示主体，O表示客体，P表示许可，L表示生命期（Lifecycle），AS表示授权步。–TBAC从工作流中的任务角度建模，可以依据任务和任务状态的不同，对权限进行动态管理。因此，TBAC非常适合分布式计算和多点访问控制的信息处理控制以及在工作流、分布式处理和事务管理系统中的决策制定。访问控制基于对象的访问控制（Object-basedAccessControl，OBAC）–将访问控制列表与受控对象或受控对象的属性相关联，并将访问控制选项设计成为用户、组或角色及其对应权限的集合–允许对策略和规则进行重用、继承和派生操作。派生对象可以继承父对象的访问控制设置–可以减轻由于信息资源的派生、演化和重组等带来的分配、设定角色权限等的工作量。习题安全口令的特点有哪些？描述一个电子邮箱、社交论坛、电脑开机、网上银行等等的口令设计方法，争取既安全又好记忆。人体的哪些生物特征适合用于身份认证，为什么？基于身份、规则、角色的访问控制策略的定义及其特点。