第5章-身份认证与访问控制ppt课件.ppt

《第5章-身份认证与访问控制ppt课件.ppt》由会员分享，可在线阅读，更多相关《第5章-身份认证与访问控制ppt课件.ppt（57页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用第第第第5 5 5 5章章章章 身份认证与访问控制身份认证与访问控制身份认证与访问控制身份认证与访问控制上海教育高地建设项目上海教育高地建设项目上海教育高地建设项目上海教育高地建设项目高等院校规划教材高等院校规划教材高等院校规划教材高等院校规划教材（第（第2版）版）上海市精品课程上海市精品课程上海市精品课程上海市精品课程 网络安全技术网络安全技术网络安全技术网络安全技术经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费

2、者购买商品的价款或接受服务的费用目目 录录 5.3数字签名技术数字签名技术3 5.4访问控制技术访问控制技术45.6访问访问列表与列表与Tenet访问访问控制控制实验实验 6 5.1身份认证技术概述身份认证技术概述15.5安全审计技术安全审计技术55.2登录认证与授权管理登录认证与授权管理 2 5.7本章小结本章小结7经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用教教 学学 目目 标标教学目标教学目标理解理解理解理解身份认证技术的概念、种类和常用方法身份认证技术的概念、种类和常用方法身份认证技术的概念、种类和常

3、用方法身份认证技术的概念、种类和常用方法 了解网络安全的登录认证与授权管理了解网络安全的登录认证与授权管理了解网络安全的登录认证与授权管理了解网络安全的登录认证与授权管理 掌握掌握掌握掌握数字签名及访问控制技术及应用与实验数字签名及访问控制技术及应用与实验数字签名及访问控制技术及应用与实验数字签名及访问控制技术及应用与实验 掌握掌握掌握掌握安全审计技术及应用安全审计技术及应用安全审计技术及应用安全审计技术及应用重点重点重点重点为了提醒为了提醒为了提醒为了提醒学弟学妹学弟学妹学弟学妹学弟学妹珍惜大学时光珍惜大学时光珍惜大学时光珍惜大学时光,华中科技大学大四华中科技大学大四华中科技大学大四华中科技

4、大学大四姜新姜新姜新姜新花了数月时间写成一份长达万字的花了数月时间写成一份长达万字的花了数月时间写成一份长达万字的花了数月时间写成一份长达万字的“悔过书悔过书”。文章在学校贴吧发出后，立刻引来了大量网友热评，文章在学校贴吧发出后，立刻引来了大量网友热评，文章在学校贴吧发出后，立刻引来了大量网友热评，文章在学校贴吧发出后，立刻引来了大量网友热评，众人众人众人众人纷纷表示纷纷表示纷纷表示纷纷表示绝不辜负绝不辜负绝不辜负绝不辜负“过来人过来人过来人过来人”的忠告的忠告的忠告的忠告。姜新表示，。姜新表示，。姜新表示，。姜新表示，希望希望希望希望看过的学弟学妹都看过的学弟学妹都看过的学弟学妹都看过的学弟

5、学妹都能吸取能吸取能吸取能吸取自己教训自己教训自己教训自己教训,切莫虚度光阴切莫虚度光阴切莫虚度光阴切莫虚度光阴。http:/ 5.1.15.1.15.1.15.1.1身份认证的概念和方法身份认证的概念和方法身份认证的概念和方法身份认证的概念和方法通常，通常，身份身份认证认证基本方法基本方法有有三种三种三种三种：用户物件认证；有关信息确：用户物件认证；有关信息确认或体貌特征识别。认或体貌特征识别。认证认证认证认证（Authentication）是指对）是指对主客体身份主客体身份进行确认进行确认的过程。的过程。网络中的网络中的身份认证身份认证身份认证身份认证（IdentityAuthentica

6、tion）是指网络用户）是指网络用户在在进入进入系统或系统或访问访问受限系统资源时受限系统资源时,系统对用户身份的系统对用户身份的鉴别鉴别过程。过程。1.身份认证的概念身份认证的概念你有什么？你知道什么？你是谁？你有什么？你知道什么？你是谁？你有什么？你知道什么？你是谁？你有什么？你知道什么？你是谁？多数银行的网银服务多数银行的网银服务，除了向客户提供，除了向客户提供U盾盾证书保护模式证书保护模式外，还推出了外，还推出了动态口令方式动态口令方式，可免除携带，可免除携带U盾的不便。动态口令是一种动态密码技术，在使用网盾的不便。动态口令是一种动态密码技术，在使用网银过程中，输入用户名后，即可通过绑

7、定的手机一次性银过程中，输入用户名后，即可通过绑定的手机一次性收到本次操作的密码收到本次操作的密码,此密码只可使用一次此密码只可使用一次,便利安全。便利安全。案例案例5-15-1经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用5.1身份认证技术概述身份认证技术概述 5.1.15.1.15.1.15.1.1身份认证的概念和方法身份认证的概念和方法身份认证的概念和方法身份认证的概念和方法身身份份认认证证与与鉴鉴别别是是信信息息安安全全中中的的第第一一道道防防线线，对对信信息息系系统统的的安安全全有有着着重重要要的的意

8、意义义。身身份份认认证证可可以以确确保保用用户户身身份份的的真真实实、合合法法和和唯唯一一性性。因因此此，可可以以防防止止非非法法人人员员进进入入系系统统，防防止止非非法法人人员员通通过过各各种种违违法法操操作作获获取取不不正正当当利利益益、非非法法访访问问受受控控信信息息、恶恶意意破破坏坏系系统统数数据据的的完完整整性的情况的发生，严防性的情况的发生，严防“病从口入病从口入”关口。关口。2.身份认证的作用身份认证的作用3.3.3.3.身份认证的种类和方身份认证的种类和方身份认证的种类和方身份认证的种类和方法法法法认证技术认证技术是用户身份是用户身份认证与鉴别认证与鉴别的重要手段的重要手段，也

9、是计算机系统，也是计算机系统安全中一项重要内容安全中一项重要内容.从从鉴别对象鉴别对象上上,分为分为消息认证消息认证和和用户身份认证用户身份认证:（1）消息认证：用于保证信息的完整性和不可否认性。）消息认证：用于保证信息的完整性和不可否认性。（2）身份认证：鉴别用户身份。包括）身份认证：鉴别用户身份。包括识别和验证识别和验证两部分两部分。识别识别是是鉴别鉴别访问者的身份，访问者的身份，验证验证是对访问者身份的合法性是对访问者身份的合法性进行确认进行确认。从从认证关系认证关系上，身份认证上，身份认证也可分为也可分为用户与主机间的认证和主机用户与主机间的认证和主机之间的认证，之间的认证，经营者提供

10、商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用5.1身份认证技术概述身份认证技术概述5.1.2 5.1.2 5.1.2 5.1.2 身份认证系统及认证身份认证系统及认证身份认证系统及认证身份认证系统及认证方式方式方式方式身份认证身份认证是系统安全的是系统安全的第一道关卡第一道关卡。用户在访问系统前，。用户在访问系统前，先要经过身份认证系统识别身份，通过访问监控设备，根据先要经过身份认证系统识别身份，通过访问监控设备，根据用户的身份和授权数据库，用户的身份和授权数据库，决定所访问资源的权限。授权决定所访问资源的权限。授权数

11、据库由安全管理员按照需要数据库由安全管理员按照需要配置。审计系统根据设置记载配置。审计系统根据设置记载用户的请求和行为，同时入侵用户的请求和行为，同时入侵检测系统检测异常行为。访问检测系统检测异常行为。访问控制和审计系统都依赖于身份控制和审计系统都依赖于身份认证系统提供的认证系统提供的“认证信息认证信息”鉴别和审计，如图鉴别和审计，如图5-1所示。所示。图图5-l身份认证和访问控制过程身份认证和访问控制过程经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用5.1身份认证技术概述身份认证技术概述5.1.2 5.1.2

12、 5.1.2 5.1.2 身份认证系统及认证身份认证系统及认证身份认证系统及认证身份认证系统及认证方式方式方式方式1.用户名及密码方式用户名及密码方式用户名用户名/密码方式是最简单、最常用的身份认证方法，是密码方式是最简单、最常用的身份认证方法，是基于基于“你知道什么你知道什么”的验证手段的验证手段。2.智能卡认证智能卡认证智能卡智能卡是一种内置集成的电路芯片，存有与用户身份相是一种内置集成的电路芯片，存有与用户身份相关的数据，由专门厂商通过专用设备生产。智能卡认证是基关的数据，由专门厂商通过专用设备生产。智能卡认证是基于于“你有什么你有什么”的认证方式，由合法用户随身携带，硬件不的认证方式，

13、由合法用户随身携带，硬件不可复制无法被仿冒，登录时或同行时须将智能卡在专用读卡可复制无法被仿冒，登录时或同行时须将智能卡在专用读卡器读取身份验证信息。器读取身份验证信息。3.动态令牌认证动态令牌认证动态口令技术动态口令技术是一种让用户密码按照时间或使用次数不是一种让用户密码按照时间或使用次数不断变化、每个密码只能使用一次的技术。它采用一种动态令断变化、每个密码只能使用一次的技术。它采用一种动态令牌的专用硬件，内置电源、密码生成芯片和显示屏，密码生牌的专用硬件，内置电源、密码生成芯片和显示屏，密码生成芯片运行专门的密码算法，根据当前时间或使用次数生成成芯片运行专门的密码算法，根据当前时间或使用次

14、数生成当前密码并显示在显示屏上。当前密码并显示在显示屏上。经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用5.1身份认证技术概述身份认证技术概述5.1.2 5.1.2 5.1.2 5.1.2 身份认证系统及认证身份认证系统及认证身份认证系统及认证身份认证系统及认证方式方式方式方式4.身份认证系统的组成身份认证系统的组成包括：包括：认证认证服服务务器（器（Authentication Server）、）、认证认证系系统统用用户户端端软软件（件（Authentication Client Software）、）、认证

15、设备认证设备（Authenticator）。）。身份身份认证认证系系统统主要是通主要是通过过身份身份认证协议认证协议和有关和有关软软硬件硬件实现实现的。的。5.USBKey认证认证采用软硬件相结合、一次一密的采用软硬件相结合、一次一密的强双因素强双因素(两种认证方法两种认证方法)认证模式认证模式.其身份认证系统有其身份认证系统有两种认证模式两种认证模式：基于冲击：基于冲击/响应模式和基于响应模式和基于PKI体系体系的认证模式的认证模式.XX银行的银行的“USBKEY”是为了保障网上银行是为了保障网上银行“客户证书客户证书”的安全性，推出了电子证书存储器简称的安全性，推出了电子证书存储器简称US

16、BKEY即即U盾，可将客户的盾，可将客户的“证证书书”专门存放于盘中，即插即用，非常安全可靠。专门存放于盘中，即插即用，非常安全可靠。U盾只存放银行的证书，盾只存放银行的证书，不可导入或导出其他数据。只需先安装其驱动程序，即可导入相应的证书。不可导入或导出其他数据。只需先安装其驱动程序，即可导入相应的证书。网上银行支持网上银行支持USBkey证书功能，证书功能，U盾具有安全性、移动性、方便性特点。盾具有安全性、移动性、方便性特点。案例案例5-25-2经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用5.1身份认证技

17、术概述身份认证技术概述 6.生物识别技术生物识别技术是指通过可测量的身体或行为等生物特征进行身份认证是指通过可测量的身体或行为等生物特征进行身份认证的技术。的技术。1)指纹识别技术。指纹识别技术。2)视网膜识别技术。视网膜识别技术。3)声音识别技术。声音识别技术。7.CA认证系统认证系统CA(CertificationAuthority)认证是对网络用户身份证认证是对网络用户身份证的发放、管理和认证的过程。的发放、管理和认证的过程。讨论思考：讨论思考：讨论思考：讨论思考：（1 1）身份认证的概念、种类和方法有哪些？）身份认证的概念、种类和方法有哪些？）身份认证的概念、种类和方法有哪些？）身份认

18、证的概念、种类和方法有哪些？（2 2）常见的身份认证系统的认证方式有哪些？）常见的身份认证系统的认证方式有哪些？）常见的身份认证系统的认证方式有哪些？）常见的身份认证系统的认证方式有哪些？经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用5.2登录认证与授权管理登录认证与授权管理1.固定口令安全问题固定口令安全问题固定口令认证方式固定口令认证方式简单，易受攻击简单，易受攻击：（1）网络数据流窃听（）网络数据流窃听（Sniffer）。）。（2）认证信息截取）认证信息截取/重放。重放。（3）字典攻击。）字典攻击。（4）

19、穷举尝试（）穷举尝试（BruteForce）。）。（5）窥探密码。）窥探密码。（6）社会工程攻击）社会工程攻击(冒充冒充)。（7）垃圾搜索。）垃圾搜索。2.一次性口令密码体制一次性口令密码体制一次性口令认证系统一次性口令认证系统组成：组成：（1）生成不确定因子。）生成不确定因子。（2）生成一次性口令。）生成一次性口令。5.2.1 5.2.1 常用登录认证方式常用登录认证方式 经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用 3.双因素安全令牌及认证系统双因素安全令牌及认证系统E-Securer安全身份认证系统安全

20、身份认证系统是面向安全领域开发的是面向安全领域开发的AAA（认证、授权、（认证、授权、审计）系统，提供了双因素（审计）系统，提供了双因素（TwoFactor）身份认证、统一授权、集中审计等）身份认证、统一授权、集中审计等功能，可以为网络设备、功能，可以为网络设备、VPN、主机系统、主机系统、数据库系统、数据库系统、WEB服务器、应用服务系统服务器、应用服务系统等提供集中的身份认证和权限控制。等提供集中的身份认证和权限控制。(1)双因素身份认证系统组成双因素身份认证系统组成1)身份认证服务器提供数据存储、身份认证服务器提供数据存储、AAA服服务、管理等功能，是整个系统的核心部分。务、管理等功能，

21、是整个系统的核心部分。2)双因素安全令牌（双因素安全令牌（SecureKey）用于）用于生成用户当前登录的动态口令，采用加密算生成用户当前登录的动态口令，采用加密算法及可靠设计，可防止读取密码信息。法及可靠设计，可防止读取密码信息。3)认证代理（认证代理（AuthenticationAgent）安）安装在被保护系统上，被保护系统通过认证代装在被保护系统上，被保护系统通过认证代理向认证服务器发送认证请求，从而保证被理向认证服务器发送认证请求，从而保证被保护系统身份认证的安全。保护系统身份认证的安全。5.2登录认证与授权管理登录认证与授权管理图图5-2RSA双因素安全令牌双因素安全令牌案例案例5-

22、35-3经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用 (2)认证系统功能认证系统功能(3)双因素身份认证系统的技术特点和优势双因素身份认证系统的技术特点和优势1)双因素身份双因素身份认证.系系统与安全令牌配合与安全令牌配合,为用用户提供双因素提供双因素认证安全保安全保护2)基于角色的基于角色的权限管理限管理.通通过用用户与角色的与角色的结合合,角色与角色与权限的配置限的配置,可有可有针对性的性的实现用用户的的职责分担分担,方便灵活配置用方便灵活配置用户对资源源设备的的访问权限限;3)完善完善详细的的审计。系。

23、系统提供用提供用户认证、访问的的详细记录，提供，提供详细的的审计跟踪信息；跟踪信息；4)高通用性。采用高通用性。采用RADIUS、Tacacs+、LDAP等国等国际标准准协议，具有高，具有高度的通用性；度的通用性；5)高可靠性。多个高可靠性。多个协议模模块之之间可以可以实现负载均衡，多台均衡，多台统一一认证服服务器器之之间实现热备份，份，认证客客户端可以在多台服端可以在多台服务器之器之间自自动切切换；6)E-Securer自自动定定时数据数据备份，防止关份，防止关键数据数据丢失；采用高可用配置，失；采用高可用配置，保保证持持续稳定工作；定工作；7)高并高并发量。系量。系统采用采用现今成熟技今成

24、熟技术设计，选用企用企业级数据数据库系系统，并，并且且进行了大量的性能行了大量的性能优化，保化，保证系系统提供提供实时认证、高并、高并发量运行；量运行；8)管理界面管理界面简洁易用。采用基于易用。采用基于WEB的的图形化管理界面，极大的方便了形化管理界面，极大的方便了管理管理员对系系统进行集中的管理、行集中的管理、维护、审计工作；工作；9)开放式体系，开放式体系，产品支持主流操作系品支持主流操作系统（UNIX、Windows）和网）和网络设备。5.2登录认证与授权管理登录认证与授权管理经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的

25、价款或接受服务的费用 在某企业网络系统使用的在某企业网络系统使用的“VPN接入认证接入认证”和和“登登录认证录认证”的的用户身份认证子系统用户身份认证子系统中，中，VPN用户、网络资源访问用户、网络资源访问人员、应用作业操作人员、网络管理员和系统管理员的各类用人员、应用作业操作人员、网络管理员和系统管理员的各类用户身份认证应用。主要包括：户身份认证应用。主要包括：VPN接入认证、应用软件登录认接入认证、应用软件登录认证、主机系统登录认证、命令授权审计、网络设备登录认证、证、主机系统登录认证、命令授权审计、网络设备登录认证、命令授权审计、命令授权审计、Windows域登录认证、域登录认证、Lot

26、usDomino登录认登录认证。证。5.2登录认证与授权管理登录认证与授权管理4.认证系统的主要应用认证系统的主要应用案例案例5-35-3经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用 在大型企业中，在大型企业中，常用常用多种不同的应用服务器多种不同的应用服务器，如，如ERP、Web服务系统、营销管理系统、服务系统、营销管理系统、电子邮件系统等，员工经常需要电子邮件系统等，员工经常需要同时访问多种应用，不同的系统同时访问多种应用，不同的系统之间的账户和要求不同之间的账户和要求不同.如图如图5-3所示所示 5.2

27、登录认证与授权管理登录认证与授权管理5.2.2用户单次登录认证用户单次登录认证1多次登录的弊端多次登录的弊端案例案例5-35-3图图5-3不同应用系统的多次登录不同应用系统的多次登录经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用 2.单次登入面临的挑战单次登入面临的挑战单次登录单次登录（SingleSignOn，SSO）也称）也称单点登录单点登录，是指用户只向网络进行一次身份验证，以后再无需另外是指用户只向网络进行一次身份验证，以后再无需另外验证身份，便可访问所有被授权的网络资源。验证身份，便可访问所有被授权的

28、网络资源。SSO面临面临的挑战包括的挑战包括3个方面：个方面：1)多种应用平台。多种应用平台。2)不同的安全机制。不同的安全机制。3)不同的账户服务系统。不同的账户服务系统。3单次登录的优点单次登录的优点实现实现单次登录优点单次登录优点包括：包括：（1）管理更）管理更简单。（2）管理控制更方便。）管理控制更方便。（3）用）用户使用更快捷。使用更快捷。（4）网）网络更安全。更安全。（5）合并异构网）合并异构网络。5.2登录认证与授权管理登录认证与授权管理经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用 某某银行机构

29、的认证与授权管理的目标体系银行机构的认证与授权管理的目标体系，如，如图图5-4所示。所示。5.2登录认证与授权管理登录认证与授权管理5.2.3银行认证授权管理应用银行认证授权管理应用1.认证与授权管理目标认证与授权管理目标图图5-4认证与授权管理目标体系认证与授权管理目标体系案例案例5-65-6经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用 2.认证授权管理的原则认证授权管理的原则为实现上述的目标，应遵循以下的为实现上述的目标，应遵循以下的指导原则指导原则：(1)统一规划管理，分步部署实施统一规划管理，分步部署

30、实施 1)进行认证和授权管理的统一规划，并制订工作计划；进行认证和授权管理的统一规划，并制订工作计划；2)制订及维护认证和授权相关业务流程；制订及维护认证和授权相关业务流程；3)统一用户编码规则，制订及维护认证凭证政策；统一用户编码规则，制订及维护认证凭证政策；4)确定用户身份信息的数据源和数据流，并进行数据质量管理；确定用户身份信息的数据源和数据流，并进行数据质量管理；5)认证和授权分权管理委派；认证和授权分权管理委派；6)对银行认证和授权的现状进行周期性的审计和跟踪。对银行认证和授权的现状进行周期性的审计和跟踪。(2)建立统一信息安全服务平台建立统一信息安全服务平台,提供统一的身份认证和访

31、问管理服务提供统一的身份认证和访问管理服务(3)保护现有保护现有IT投资，并便于未来扩展投资，并便于未来扩展5.2登录认证与授权管理登录认证与授权管理讨论思考：讨论思考：讨论思考：讨论思考：（1 1）双因素身份认证系统的技术特点和优势有呢些？）双因素身份认证系统的技术特点和优势有呢些？）双因素身份认证系统的技术特点和优势有呢些？）双因素身份认证系统的技术特点和优势有呢些？（2 2）实现单次登录）实现单次登录）实现单次登录）实现单次登录SSOSSO对于用户的优点是什么？对于用户的优点是什么？对于用户的优点是什么？对于用户的优点是什么？（3 3）认证授权管理的原则是什么？）认证授权管理的原则是什么

32、？）认证授权管理的原则是什么？）认证授权管理的原则是什么？经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用5.3数字签名技术数字签名技术 数字签名数字签名数字签名数字签名（DigitalSignature）又称）又称公钥数字签名公钥数字签名或或电子签章电子签章，是以电子形式是以电子形式存储于存储于信息中或以附件或逻辑上与之有联系的数据，信息中或以附件或逻辑上与之有联系的数据，用于用于辨识辨识数据签署人的身份，并数据签署人的身份，并表明表明签署人对数据中所包含信息的签署人对数据中所包含信息的认可认可。基于基于公钥密

33、码体制和私钥密码体制都可公钥密码体制和私钥密码体制都可获得获得数字签名，目前主数字签名，目前主要是基于公钥密码体制的数字签名。要是基于公钥密码体制的数字签名。包括包括普通数字签名和特殊数字普通数字签名和特殊数字签名签名两种两种。5.3.15.3.1数字签名的概念及功能数字签名的概念及功能数字签名的概念及功能数字签名的概念及功能 2.数字签名的方法及功能数字签名的方法及功能 保证保证信息传输的完整性、发送者的身份信息传输的完整性、发送者的身份认证认证、防止防止交易中的抵赖交易中的抵赖行为发生。行为发生。数字签名技术数字签名技术是将摘要信息用发送者的私钥加密，与原文是将摘要信息用发送者的私钥加密，

34、与原文一起传送给接收者。一起传送给接收者。最终目的最终目的是是实现实现6种种安全保障功能：安全保障功能：（）必（）必须可信。（）无法抵可信。（）无法抵赖。（）不可。（）不可伪造。造。（）不能重用。（）不（）不能重用。（）不许变更。（）更。（）处理快、理快、应用广。用广。1.数字签名的概念数字签名的概念经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用5.3.2 5.3.2 数字签名的种类数字签名的种类1手写签名或图章识别手写签名或图章识别将将手写签名或印章作为图像手写签名或印章作为图像，扫描后在数据库中加以存储，扫

35、描后在数据库中加以存储，当验证此人的手写签名或盖印时，也用光扫描输入，并将原当验证此人的手写签名或盖印时，也用光扫描输入，并将原数据库中的对应图像调出，用模式识别的数学计算方法对将数据库中的对应图像调出，用模式识别的数学计算方法对将两者进行比对，以确认该签名或印章的真伪。两者进行比对，以确认该签名或印章的真伪。2生物识别技术生物识别技术生物识别技术生物识别技术是利用人体生物特征进行身份认证的一种是利用人体生物特征进行身份认证的一种技术。生物特征是一个人与他人不同的唯一表征，它是可以技术。生物特征是一个人与他人不同的唯一表征，它是可以测量、自动识别和验证的。生物识别系统对生物特征进行取测量、自动

36、识别和验证的。生物识别系统对生物特征进行取样，提取其唯一的特征进行数字化处理，转换成数字代码，样，提取其唯一的特征进行数字化处理，转换成数字代码，并进一步将这些代码组成特征模板存于数据库中。并进一步将这些代码组成特征模板存于数据库中。5.3数字签名技术数字签名技术 经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用3.密码、密码代号或个人识别码密码、密码代号或个人识别码主要是指用一种传统的主要是指用一种传统的对称密钥加对称密钥加/解密的身份识别和签名方法解密的身份识别和签名方法。甲方需要乙方签名一份电子文件，甲方可

37、产生一个随机码传送给乙甲方需要乙方签名一份电子文件，甲方可产生一个随机码传送给乙方，乙方用事先双方约定好的对称密钥加密该随机码和电子文件回方，乙方用事先双方约定好的对称密钥加密该随机码和电子文件回送给甲方，甲方用同样的对称密钥解密后得到电文并核对随机码，送给甲方，甲方用同样的对称密钥解密后得到电文并核对随机码，如随机码核对正确，甲方即可认为该电文来自乙方。如随机码核对正确，甲方即可认为该电文来自乙方。4基于量子力学的计算机基于量子力学的计算机基于量子力学的计算机被称作基于量子力学的计算机被称作量子计算机量子计算机，是以量子力学原理直，是以量子力学原理直接进行计算的计算机。它比传统的图灵计算机具

38、有更强大的功能，接进行计算的计算机。它比传统的图灵计算机具有更强大的功能，它的计算速度要比现代的计算机快几亿倍。它的计算速度要比现代的计算机快几亿倍。5基于基于PKI的电子签名的电子签名基于基于PKI的电子签名被称作的电子签名被称作数字签名数字签名。有人称。有人称“电子签名电子签名”就是就是“数字签名数字签名”，其实这是一般性说法，数字签名只是电子签名的一，其实这是一般性说法，数字签名只是电子签名的一种特定形式。种特定形式。5.3数字签名技术数字签名技术 5.3.2 5.3.2 数字签名的种类数字签名的种类经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的

39、金额为消费者购买商品的价款或接受服务的费用5.3.3 5.3.3 数字签名过程及实现数字签名过程及实现1.身份认证的实现身份认证的实现PKI提供的服务首先是认证，即身份识别与鉴别，就是确认实体即为自己提供的服务首先是认证，即身份识别与鉴别，就是确认实体即为自己所声明的实体。认证的前提是双方都具有第三方所声明的实体。认证的前提是双方都具有第三方CA所签发的证书，认证分单所签发的证书，认证分单向认证和双向认证。向认证和双向认证。1)单向认证。单向认证。2)双向认证。双向认证。2.数字签名过程数字签名过程网上通信的双方，在互相认证身份之后，即可发送签名的数据电文。网上通信的双方，在互相认证身份之后，

40、即可发送签名的数据电文。数数字签名的全过程字签名的全过程分两大部分，即签名与验证。数字签名与验证的过程和技术分两大部分，即签名与验证。数字签名与验证的过程和技术实现的原理实现的原理，如图，如图5-6所示。所示。5.3数字签名技术数字签名技术 图5-5 双向认证过程 图图5-6 数字数字签签名原理名原理经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用 5.3数字签名技术数字签名技术 5.3.3 5.3.3 数字签名过程及实现数字签名过程及实现 图图5-8 数字数字签签名名验证过验证过程程3数字签名的操作过程数字签名

41、的操作过程数字签名数字签名的操作过程的操作过程如图如图5-7所示，需要有发方的签名证书所示，需要有发方的签名证书的私钥及其验证公钥。的私钥及其验证公钥。4数字签名的验证过程数字签名的验证过程收方收到发方的签名后进行收方收到发方的签名后进行签名验证签名验证，其，其具体操作过程具体操作过程如图如图5-8所示。所示。图图5-7数字签名操作过程数字签名操作过程经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用5.3.2 5.3.2 数字签名过程及实现数字签名过程及实现5原文保密的数据签名的实现方法原文保密的数据签名的实现方

42、法上述数字签名原理中定义的对原文做数字摘要及签名并传输原文，实际上述数字签名原理中定义的对原文做数字摘要及签名并传输原文，实际上在很多场合传输的原文要求保密，不许别人接触。要求对原文进行加密的上在很多场合传输的原文要求保密，不许别人接触。要求对原文进行加密的数字签名方法的实现涉及到数字签名方法的实现涉及到“数字信封数字信封”的问题，此处理过程稍微复杂一些，的问题，此处理过程稍微复杂一些，但数字签名的基本原理仍相同，其签名过程如图但数字签名的基本原理仍相同，其签名过程如图5-9所示。所示。5.3数字签名技术数字签名技术 图图5-9原文加密的数字签名实现方法原文加密的数字签名实现方法讨论思考：讨论

43、思考：讨论思考：讨论思考：（1 1）数字签名的概念及方法是什么？）数字签名的概念及方法是什么？）数字签名的概念及方法是什么？）数字签名的概念及方法是什么？（2 2）数字签名的功能和种类有哪些？）数字签名的功能和种类有哪些？）数字签名的功能和种类有哪些？）数字签名的功能和种类有哪些？（3 3）数字签名具体操作过程是什么？）数字签名具体操作过程是什么？）数字签名具体操作过程是什么？）数字签名具体操作过程是什么？经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用5.4访问控制技术访问控制技术 1.访问控制的概念及任务访问

44、控制的概念及任务访问控制访问控制访问控制访问控制（AccessControl）指指针对越权使用资源的防御措施针对越权使用资源的防御措施，即判断使用者是否有权限使用、或更改某一项资源，并且防止非，即判断使用者是否有权限使用、或更改某一项资源，并且防止非授权的使用者滥用资源。授权的使用者滥用资源。目的目的是限制访问主体对访问客体的访问权是限制访问主体对访问客体的访问权限。限。访问控制访问控制包含三方面含义：一是机密性控制，保证数据资源不被包含三方面含义：一是机密性控制，保证数据资源不被非法读出；二是完整性控制，保证数据资源不被非法增加、改写、非法读出；二是完整性控制，保证数据资源不被非法增加、改写

45、、删除和生成；三是有效性控制，保证资源不被非法访问主体使用和删除和生成；三是有效性控制，保证资源不被非法访问主体使用和破坏。其破坏。其主要任务主要任务是保证网络资源不被非法使用和非法访问，也是是保证网络资源不被非法使用和非法访问，也是维护网络系统安全、保护网络资源的重要手段。维护网络系统安全、保护网络资源的重要手段。访问控制访问控制三个要素三个要素：（1）主体）主体S（Subject）.是指是指提出提出访问资源具体访问资源具体请求请求.（2）客体）客体O（Object）.是指是指被访问被访问资源的资源的实体实体。（3）控制策略）控制策略A（Attribution）。）。控制控制规则。规则。5.

46、4.1访问控制的概念及内容访问控制的概念及内容经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用2.2.访问控制的内容访问控制的内容 访问控制的实现首先要考虑对合法用户进行验证，然访问控制的实现首先要考虑对合法用户进行验证，然后是对控制策略的选用与管理，最后要对非法用户或是越后是对控制策略的选用与管理，最后要对非法用户或是越权操作进行管理。权操作进行管理。访问控制的内容访问控制的内容包括三个方面：包括三个方面：(1)(1)认证：包括主体对客体的识别认证和客体对主体检验认证：包括主体对客体的识别认证和客体对主体检验认

47、证。认证。(2)(2)控制策略的具体实现：如何设定规则集合从而确保正控制策略的具体实现：如何设定规则集合从而确保正常用户对信息资源的合法使用，既要防止非法用户，也要考常用户对信息资源的合法使用，既要防止非法用户，也要考虑敏感资源的泄漏，对于合法用户而言，更不能越权行使控虑敏感资源的泄漏，对于合法用户而言，更不能越权行使控制策略所赋予其权利以外的功能。制策略所赋予其权利以外的功能。(3)(3)安全审计：使系统自动记录网络中的安全审计：使系统自动记录网络中的“正常正常”操作、操作、“非正常非正常”操作以及使用时间、敏感信息等。操作以及使用时间、敏感信息等。经营者提供商品或者服务有欺诈行为的，应当按

48、照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用1.1.访问控制的层次访问控制的层次 一般可以将访问控制一般可以将访问控制分为分为2 2个层次个层次：物理访问控制和逻辑访：物理访问控制和逻辑访问控制。问控制。通常，物理访问控制包括标准的钥匙、门锁和设备标签等，通常，物理访问控制包括标准的钥匙、门锁和设备标签等，而逻辑访问控制则是在数据、应用、系统和网络等层面实现的。而逻辑访问控制则是在数据、应用、系统和网络等层面实现的。对于银行、证券等重要金融机构的网站，网络信息安全重点对于银行、证券等重要金融机构的网站，网络信息安全重点关注的是逻辑访问控制，物理访问控

49、制则主要由其他类型的安全关注的是逻辑访问控制，物理访问控制则主要由其他类型的安全部门完成。部门完成。2.2.访问控制的模式访问控制的模式主要的访问控制模式有三种：主要的访问控制模式有三种：(1)(1)自主访问控制（自主访问控制（DACDAC）(2)(2)强制访问控制（强制访问控制（MACMAC）(3)(3)基于角色的访问控制（基于角色的访问控制（RBACRBAC）5.4.25.4.2访问控制的模式及管理访问控制的模式及管理访问控制的模式及管理访问控制的模式及管理经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或接受服务的费用3.

50、3.访问控制规则访问控制规则 (1)(1)访问者访问者 主体对客体访问可以主体对客体访问可以基于身份基于身份,也可也可基于角色基于角色。即。即“访问者访问者”可以是身份标识，也可以是角色。从业务角度对系统进行统一的角可以是身份标识，也可以是角色。从业务角度对系统进行统一的角色定义是实现统一访问管理的最佳实践。色定义是实现统一访问管理的最佳实践。(2)(2)资源资源 对资源的保护应包括两个层面：物理层和逻辑层。对资源的保护应包括两个层面：物理层和逻辑层。(3)(3)访问控制规则访问控制规则 四要素四要素:访问者访问者(主体主体),),资源资源(客体客体),),访问请求和访问响应访问请求和访问响应