信息安全支撑技术

信息安全支撑技术

这一部分内容包括密码学、身份鉴别和访问控制，密码学有完整的材料整理，这里不再赘述

身份鉴别

身份鉴别的概念

• 标识：标识是实体身份的一种计算机表达，每个实体与计算机内部的一个身份表达绑定
• 鉴别：确认实体是它所声明的，提供了关于某个实体身份的保证，某一实体确信与之打交道的实体正是所需要的实体

标识与鉴别的作用：

• 作为访问控制的一种必要支持，访问控制的执行依赖于确知的身份
• 作为数据源认证的一种方法
• 作为审计追踪的支持

鉴别系统的构成：验证者、被验证者、可信赖者

鉴别的类型：单向鉴别、双向鉴别、第三方鉴别

鉴别的方式：

• 基于实体所知 [知识、密码、PIN码等]
• 基于实体所有 [身份证、钥匙、智能卡、令牌等]
• 基于实体特征 [指纹，笔迹，声音，视网膜等]
• 双因素、多因素认证

基于实体所知的鉴别

使用最广泛的身份鉴别方法，实现简单、成本低，提供弱鉴别

面临的威胁：暴力破解、木马窃取、线路窃听、重放攻击

密码暴力破解安全防护

• 使用安全的密码
• 系统、应用安全策略
• 随机验证码：变形、干扰、滑块、图像识别

木马窃取密码安全防护

使用密码输入控件
安全的输入框，避免从输入框中还原密码
软键盘，对抗击键记录
随机排列字符，对抗屏幕截图重现

密码嗅探攻击安全防护

加密：单向函数

攻击者很容易构造一张q与p对应的表，表中的p尽可能包含所期望的值

解决办法：在口令中使用随机数

一次性口令：每次鉴别中所使用的密码不同

• 有效应对密码嗅探及重放攻击

实现机制：

• 两端共同拥有一串随机口令，在该串的某一位置保持同步
• 两端共同使用一个随机序列生成器，在该序列生成器的初态保持同步
• 使用时间戳，两端维持同步的时钟

密码嗅探及重放攻击防护

挑战机制

1. 客户端：请求登录
2. 服务器：给出随机数作为挑战请求
3. 将登录信息（用户名、密码）与随机数合并，使用单向函数（如MD5）生产字符串，作为应答返回服务器
4. 服务认证后返还结果

基于实体所有的鉴别

• 采用较多的鉴别方法
• 使用用户所持有的东西来验证用户的身份
• 用于鉴别的东西通常不容易复制

鉴别物体

• IC卡：[内存卡、逻辑加密卡、CPU卡]
• 特点：难以复制、安全性高

安全威胁及防护

• 损坏：封装应坚固耐用，承受日常使用中各种可能导致卡片损坏的行为
• 复制：
  • 保证IC卡中存储和处理的各种信息不被非法访问、复制、篡改或破坏PIN码甚至其他技术实现对数据的安全防护
  • 确保逻辑安全措施得到落实

基于实体特征的鉴别

使用每个人所具有的唯一生理特征

鉴别的方式：指纹、掌纹、静脉、虹膜、视网膜、语音、面部扫描

鉴别系统的有效性判断

• 错误拒绝率 [FRR ]
• 错误接受率 [FAR]
• 交叉错判率 [CER] ：FRR=FAR的交叉点，CER用来反映系统的准确度

Kerberos体系

单点登录基本概念

单点登录概念：

单一身份认证，身份信息集中管理，一次认证就可以访问其授权的所有网络资源。单点登录实质是安全凭证在多个应用系统之间的传递或共享

单点登录的安全优势：减轻安全维护工作量，减少错误、提高效率、统一安全可靠的登录验证

Kerberos协议介绍

• 由美国麻省理工学院开发，用于通信实体间的身份认证，1994年V5版本作为Internet标准草案公布
• 基于对称密码算法为用户提供安全的单点登录服务
• 包含可信第三方认证服务

Kerberos协议的优点：避免本地保存密码及会话中传输密码、客户端和服务器可实现互认

Kerberos体系构成

运行环境构成

• 密钥分发中心 [KDC]
  • 系统核心，负责维护所有用户的账户信息，由AS和TGS两个部分构成
    • 认证服务器 [AS :Authentication Server]
    • 票据授权服务器 [TGS :Ticket Granting Server]
• 应用服务器
• 客户端

其他概念：票据许可票据 [TGT]、服务许可票据 [SGT]

Kerberos认证过程

Kerberos工作过程-获得TGT

1. 客户机以明文向AS发送访问TGS请求

   • 请求信息：用户名、IP地址、时间戳、随机数等
   • AS验证用户 [只验证是否存在]

2. AS给予应答

   • TGT [包含TGS会话密钥]，使用KDC密码加密
   • 其他信息 [包含TGS会话密钥]，使用用户密码加密

Kerberos工作过程-获得SGT

1. 客户机向TGS发送访问应用服务请求：

   • 请求信息使用TGS会话密钥加密
   • 包含访问应用服务名称

2. TGS验证认证信息 [包含用户名等]后，给予应答：

• 发送服务许可票据SGT和客户机与应用服务器之间的会话密钥

Kerberos工作过程-获得服务

客户机向应用服务器请求服务
SGT（使用http服务器密码加密）
认证信息
应用服务器（验证认证信息）
提供服务器验证信息（如果需要验证服务器）

认证、授权和计费

RADIUS协议：最初为拨号用户进行认证和计费，现为通用的认证协议

• 协议特点：协议实现简单，传输简捷高效、仅对传输过程中的密码本身进行加密

TACACS+协议

• 优点：运行于TCP协议，具有较高的可靠性、对包头外所有数据加密，安全性较高
• 缺点：大型网络中实时性较差

访问控制

访问控制基本概念

• 访问控制：为用户对系统资源提供最大限度共享的基础上，对用户的访问权进行管理，防止对信息的非授权篡改和滥用

• 访问控制作用：

  • 保证用户在系统安全策略下正常工作、拒绝非法用户的非授权访问请求、拒绝合法用户越权的服务请求

访问控制模型

对一系列访问控制规则集合的描述，可以是非形式化的，也可以是形式化的。

访问控制模型的分类

自主访问控制模型

自主访问控制模型 [DAC]：客体的属主决定该客体的访问权限

• 优点：灵活，具有较好的易用性和可扩展性
• 缺点：安全性不高

实现机制：访问控矩阵

自主访问控制模型实现方式

• 访问控制表
  • 权限与客体关联
  • 在客体上附加一个主体明细表的方法来表示访问控制矩阵的
• 访问能力表
  • 权限与主体关联
  • 为每个用户维护一个表，表示主体可以访问的客体及权限

自主访问控制的特点

• 优点：根据主体的身份和访问权限进行决策、具有某种访问能力的主体能够自主地将访问权的某个子集授予其它主体、灵活性高，被大量采用
• 缺点：安全性不高、信息在传递过程中其访问权限关系会被改变

强制访问控制模型

强制访问控制 [MAC]：主体和客体都有一个固定的安全属性，系统用该安全属性来决定一个主体是否可以访问某个客体

• 特点：安全属性是强制的，任何主体都无法变更、安全性较高，应用于军事等安全要求较高的系统

强制访问控制模型-BLP

BLP模型概念

• 由D. Elliott Bell和Leonard J. LaPadula于1973年提出的一种模拟军事安全策略的计算机访问控制模型，简称为BLP模型

• 是第一个严格形式化的安全模型，采用多级访问控制模型，用于保证系统信息的机密性

• 包括自主安全策略与强制安全策略

• 强制安全策略为每一个主体和客体都分配了安全级，根据安全级进行访问控制

BLP模型的构成

安全级

• 密级：绝密、机密、秘密、公开
• 范畴：军事，外交，商务…

安全级之间支配关系（密级高于或等于、范畴包含）

安全策略

• 简单安全规则（向下读）
• *-规则（向上写）

强制访问控制模型-Biba

Biba模型概念

• 由Biba提出，与BLP模型数学上对偶的完整性保护模型
• 多级访问控制模型，保护数据完整性

Biba模型的访问控制策略：强制安全策略为每一个主体和客体都分配了完整级，根据完整级进行访问控制

Biba模型的构成

• 完整级：安全级和范畴

  • 安全级：极为重要，非常重要，重要
  • 范畴：军事，外交，商务

• 完整级存在支配关系：与BLP类似，安全级高于或等于，范畴包含

• 安全策略

  • 向上读：主体可以读客体，当且仅当客体的完整级别支配主体的完整级
  • 向下写：主体可以写客体，当且仅当主体的完整级别支配客体的完整级

强制访问控制模型-Clark-Wilson

Clark-Wilson模型概念

由计算机科学家David D. Clark和会计师David R. Wilson发表于1987年，是一个确保商业数据完整性的访问控制模型，侧重于满足商业应用的安全需求

Clark-Wilson模型的访问控制策略：每次操作前和操作后，数据都必须满足这个一致性条件

基于角色的访问控制模型

基于角色的访问控制 [RBAC] 模型

• 系统内置多个角色，将权限与角色进行关联
• 用户必须成为某个角色才能获得权限

基于角色访问控制模型访问控制策略

• 根据用户所担任的角色来决定用户在系统中的访问权限
• 用户必须成为某个角色，且还必须激活这一角色，才能对一个对象进行访问或执行某种操作

RBAC模型构成

RBAC模型四种类型

• RBAC0，基本模型，规定了所有RBAC的基本内容，四种要素，用户(U)、角色®、会话(S)和权限§
• RBAC1：包含RBAC0，加入安全等级及角色继承关系
• RBAC2：包含RBAC0，加入约束条件，例如财务和会计不能为同一人
• RBAC3：结合了RBAC1、RBAC2

特权管理基础设施

PMI是与应用相关的授权服务管理，建立在PKI提供的可信的身份认证服务的基础上，采用基于属性证书的授权模式

PMI的主要功能：对权限管理进行了系统的定义和描述、系统地建立起对用户身份到应用授权的映射、支持访问控制等应用

PMI的体系架构

PMI是属性证书、属性权威、属性证书库等部件的集合体，用来实现权限和属性证书的产生、管理、存储、分发和撤销等功能

• SOA:信任源点
• AA:签发属性证书
• ARA:证书签发请求
• LDAP:属性证书发布查询

属性证书：以证书形式给出用户和权限的关系