业务系统与非业务系统使用相同的口令 口令一直不变
防止口令猜测
❖ 严格限制登录的次数 ❖ 限制最小长度，至少6至8位以上 ❖ 防止使用用户特征相关的口令 ❖ 定期改变口令 ❖ 使用机器生成的口令
10
口令设置（举例）
找到一个生僻但易记的短语或句子（可以摘自歌 曲、书本或电影），然后创建它的缩写形式，其中包 括大写字母和标点符号等。
❖ 单向鉴别和双向鉴别
▪ 单向鉴别：通信双方中只有一方向另一方进行鉴别 ▪ 双向鉴别：通信双方相互进行鉴别
4
鉴别系统的组成
❖ 被验证者P（Prover）：出示身份标识的人，又称声 称者（Claimant）
❖ 验证者V（Verifier）：检验声称者提出的身份标识的 正确性和合法性，决定是否满足要求
何特征
16
基于生物特征的身份认证（二）
❖ 视网膜扫描
▪ 扫描眼球后方的视网膜上面的血管的图案；
❖ 虹膜扫描
▪ 虹膜是眼睛中位于瞳孔周围的一圈彩色的部分 ▪ 虹膜有其独有的图案，分叉，颜色，环状，光环以及
皱褶
❖ 语音识别
▪ 记录时说几个不同的单词，然后识别系统将这些单词 混杂在一起，让他再次读出给出的一系列单词
信息安全访问控制技术详解
目录：访问控制技术
❖ 知识子域：标识和鉴别技术
▪ 理解账号和口令管理的基本原则 ▪ 了解生物识别技术及其实现（虹膜、指纹、掌纹等） ▪ 了解其他鉴别技术（令牌、票据等） ▪ 了解单点登录技术（SSO）及其实现（Kerberos等）
2
标识和鉴别的作用
❖ 作为访问控制的一种必要支持，访问控制的执行 依赖于确知的身份
▪ 口令猜测 ▪ 线路窃听 ▪ 重放攻击 ▪ ……
8
脆弱的口令……
少于8个字符 单一的字符类型，例如只用小写字母，或只用数字 用户名与口令相同 最常被人使用的弱口令：
自己、家人、朋友、亲戚、宠物的名字 生日、结婚纪念日、电话号码等个人信息 工作中用到的专业术语，职业特征 字典中包含的单词，或者只在单词后加简单的后缀
❖ 面部扫描
▪ 人都有不同的骨骼结构，鼻梁，眼眶，额头和下颚形 状
17
指纹识别的实现原理
❖ 通过特殊的光电扫描和计算机图像处理技术，对指 纹进行采集、分析和比对，自动、迅速、准确地认 证出个人身份。
❖ 指纹识别的过程
▪ 按照用户和姓名等信息将其存在指纹数据库中的模板指 纹调出来，然后再用用户输入的指纹与该模板的指纹相 匹配，以确定这两幅指纹是否出于同一幅指纹。
❖ 每个人所具有的唯一生理特征
▪ 指纹，视网膜，声音，虹膜、语音、面部、签名等
❖ 指纹
▪ 一些曲线和分叉以及一些非常微小的特征 ▪ 提取指纹中的一些特征并且存储这些特征信息：节省
资源，快速查询
❖ 手掌、手型
▪ 手掌有折痕，起皱，还有凹槽 ▪ 还包括每个手指的指纹 ▪ 人手的形状（手的长度，宽度和手指）表示了手的几
12
一次性口令机制
❖ 确保在每次鉴别中所使用的口令不同，以对付重 放攻击
❖ 口令的确定方法：
▪ 两端共同拥有一串随机口令，在该串的某一位置保 持同步
▪ 两端共同使用一个随机序列生成器，在该序列生成 器的初态保持同步
▪ 使用时间戳，两端维持同步的时钟
13
双因素动态口令卡
❖ 基于密钥/时间双因素的身份鉴别机制 ❖ 用户登录口令随时间变化，口令一次性使用，无法预
❖可信赖者TP（Trusted Third Party）：参与鉴别的 第三方，参与调解纠纷
TP
P
V
5
鉴别的基本途径
❖基于你所知道的（What you know ）
▪ 知识、口令、密码
❖基于你所拥有的（What you have ）
▪ 身份证、信用卡、钥匙、智能卡、令牌等
❖基于你的个人特征（What you are）
▪ 访问控制直接对机密性、完整性、可用性及合法使 用资源提供支持
❖ 作为数据源认证的一种方法
▪ 与数据完整性机制结合起来使用
❖ 作为审计追踪的支持
▪ 在审计追踪记录时，提供与某一活动关联的确知身 份
3
鉴别的分类
❖ 本地鉴别和远程鉴别
▪ 本地鉴别：实体在本地环境的初始化鉴别 ▪ 远程鉴别：连接远程设备的实体鉴别
指纹图象 采集仪
图象输入 通道
18
指纹细节 匹配
认证结果
虹膜识别的实现原理（一）
❖ 虹膜是环绕在瞳孔四周有色彩的部分
▪ 每一个虹膜都包含一个独一无二的基于像冠、水晶体、细 丝、斑点、结构、凹点、射线、皱纹和条纹等特征的结构
▪ 每一个人的虹膜各不相同，一个人的左眼和右眼就可能不 一样，即使是双胞胎的虹膜也可能不一样
▪ 人的虹膜在出生后6-18个月成型后终生不再发生变化
19
虹膜识别的实现原理（二）
20
基于生物特征的认证系统的误判
❖ 第一类错误：错误拒绝率（FRR）误报 ❖ 第二类错误：错误接受率（FAR）漏报 ❖ 交叉错判率（CER）：FRR=FAR的交叉点 ❖ CER用来反映系统的准确度
FAR(II) %
CER
21
FRR(I) 安全性
基于个人令牌的身份认证
❖集成电路卡（Integrated Circuit Card）简称IC卡 ，其中镶嵌集成电路芯片
▪ 指纹，笔迹，声音，手型，脸型，视网膜，虹膜
❖ 双因素、多因素认证
6
常见的鉴别技术
❖ 基于口令的身份认证 ❖ 基于生物特征的身份认证 ❖ 基于个人令牌的身份认证 ❖ Kerberos身份认证协议
7
基于口令的身份认证
❖ 口令是使用最广泛的身份鉴别方法 ❖ 选择原则：易记、难猜测、抗分析能力强 ❖ 口令提供弱鉴别，面临的威胁：
I like the song Take Me to Your Heart !
My son Tom was born at 8:05
IltsTM2YH! MsTwb@8:05
ห้องสมุดไป่ตู้
防止线路窃听
❖ 使用保护口令机制：单向函数
❖ 攻击者很容易构造一张q与p对应的表，表中的p 尽可能包含所期望的值
▪ 解决办法：在口令后使用随机数
测，可以有效抵御密码窃取和重放攻击
14
双因素动态口令的强度
❖ 没有器件而知道口令p，不能导致一个简单的攻击 ❖ 拥有器件而不知道口令p，不能导致一个简单的攻击 ❖ 除非攻击者也能进行时间同步，否则难以实现重放攻
击 ❖ 知道q而不知道设备安全值dsv，不能导致一个简单
的攻击
15
基于生物特征的身份认证（一）