第四讲-信息安全技术之认证技术学习资料.ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,商学院,屈维意,博士 讲师,认证技术,第三讲 信息安全技术之,信息安全技术体系,安全认证,认证技术,学习目标,掌握数字摘要的原理,1,掌握数字签名的原理,2,掌握数字时间戳的原理,3,掌握数字认证的原理,4,了解生物特征识别技术,5,认证技术,认证技术,认证技术,认证技术,认证活动一直贯穿于人类的学习与生活：,新生入学,时，学校要查看他们的入学录取通知书，这是学校对于学生的认证，以便识别你是张三而不是李四；,去银行取钱,时，要出示用户的存折卡，一般还要输入用户的密码，这是银行对储户的认证。,去食堂吃饭、到图书馆借书,时，需要出示我们的校园一卡通，这是食堂和图书馆对学生身份的认证。上述情况都是认证活动在我们生活中的体现。简单说，信息认证也是对我们现实世界的数字模拟。,认证技术,中国政府的政令通常是以红头文件下发的，之所以有效力，是因为上面有政府的公章。但是，在网络上怎么能够保证其所公布的文件同样是有效果的？信息的一个重要特征是可以复制，又有什么样的例子可以说明复制的文件是有法律效力的？网络信息经济时代在给我们带来快捷便利的同时，也提出了新的挑战。,认证技术,这些疑问直接导致了,数字签名和数字认证,技术的诞生。,认证的最终目的是识别有效的用户，安全在一定意义上总要花费一定的代价。我们总是希望能够使用尽可能小的花费实现最大程度（设计目标）的安全。这就需要我们选择具体的实现方式，至于具体方式的选择，应该从实际情况，即安全的需要出发。,认证技术,在现实生活中，我们个人的身份主要是通过各种证件来确认的，比如：身份证、护照、学生证、军官证、户口本等。单位进出的出入证，楼层进出的门禁卡、令牌等。,现实认证方法,认证技术,通常有三种方法验证主体身份。,1,）是只有该主体了解的秘密，如口令、密钥；,2,）是数字签名、数字认证、智能卡；,3,）是只有该主体具有的独一无二的特征或能力，如指纹、声音、视网膜图或签字等。,单独用一种方法进行认证不充分,网络认证方法,认证技术,认证技术,数字摘要,认证技术,数字摘要,数字摘要是信息发送方利用,Hash,算法对信息进行处理后，生成的一个有128位二制位的特殊字符串。,将数字摘要一起发送给接收方，接收方可以根据数字摘要判断信息在传输过程中是否被篡改过。,原文与数字摘要是一一对应的关系，如果原文被篡改，数字摘要将无法匹配。,认证技术,Hash,函数,Hash,函数适用任意信息长度,产生的摘要是定长的（128位）,易于计算,通过摘要得到原信息计算上不可行,（1）给,定消,息,x,，,如果寻找一个,xx,，,使得,h(x)=h(x),在计算上不可行,（2）给定摘要,z,，,如果寻找一个消息,x,使,h(x)=z,计算上不可行,认证技术,银行乙：,请将,200元资金从本账号转移至,12345,账号上。,客户小麦,Hash,算法：数字摘要生成器,sdsjdsjdadajddsadassdasdsasadasdasasdsa,支付通知,支付通知的,数字摘要,认证技术,数字摘要的原理,发送方,接收方,信息,数字摘要,A,信息,数字摘要,A,如果二者相同，,说明接收到的,数据在传输过程,中没有被篡改。,1.Hash,数字摘要,B,2.Hash,3.,二者,比较,认证技术,数字摘要的特点,在一定程度上保证信息的真实性，防止信息在传输过程中被篡改。,数字摘要,的特点,优点,缺点,单靠数字摘要并,不能保证信息的,完整性，必须和,信息加密等其他,安全技术结合起,来使用。,认证技术,认证技术,数字签名,认证技术,签名概念,在政治、军事、外交、商业和日常生活中，人们经常需要对纸质材料进行签名。,签名起到确认、核准、生效和负责任等多种作用。,随着计算机网络技术的发展，电子商务、电子政务和电子金融等系统得到广泛应用，人们需要通过网络信息传输对电子的文件、契约、合同、信件和,帐单等进行数字签名以替代手写签名。,认证技术,传统手写签名,表明文件的来源，识别签名人,签名人对文件内容的确认,能够构成签名人对文件内容正确性和完整性负责的根据,指一个人亲笔在一份文件上写下名字或留下印记、印章或其他特殊符号，以确定签名人的身份，并起到确认、核准、生效和负责任等多种作用,主要功能：,认证技术,数字签名,数字签名技术是结合消息摘要函数和公钥加密算法的具体加密应用技术。数字签名,(Digital Signature),指一个用自己的非对称密码算法,(,如：,RSA,算法,),私钥加密后的信息摘要，附在消息后面；别人得到这个数字签名及签名前的信息内容，使用该用户分发的非对称密码算法公钥，就可以检验签名前的信息内容在传输过程或分发过程中是否己被篡改并且可以确认发送者的身份。,认证技术,数字签名,为了实现网络环境下的身份鉴别、数据完整性认证和抗否认的功能，数字签名应满足以下要求：,(1),签名者发出签名的消息后，就,不能再否认,自己所签发的消息；,(2),接收者能够,确认或证实,签名者的签名，但不能否认；,(3),任何人都,不能伪造,签名；,(4),第三方,可以确认收发双方之间的消息传送，但不能伪造这一过程，这样，当通信的双方关于签名的真伪发生争执时，可由第三方来解决双方的争执。,认证技术,数字签名概念,数字签名是附着于数字信息（数据电文）的。电子签名可以是数据电文的一个组成部分，也可以是数据电文的附属,数字签名必须能够识别签名人的身份并表明签名人认可与数据签名相联系的数据电文的内容。,数字签名解决的主要问题是在电子商务活动中确保信息、单据的真实性和不可抵赖性。,10011100010100011000,sig,K,密钥,K,认证技术,发送方将发送消息通过,Hash,函数生成数字摘要；,利用发送方私钥对数字摘要进行加密，形成数字签名，与消息明文一同发送；,接收方得到消息，对消息明文,Hash,函数运算，得到实际的数字摘要；,利用发送方公钥对数字签名进行解密，得到预期的摘要；,对比两个摘要，如果相同，表示数字签名有效，否则无效。,数字签名的过程,认证技术,数字签名的原理,发送方,接收方,信息,数字摘要,A,数字签名,数字摘要,B,数字签名,数字摘要,A,3.,发送,5.Hash,信息,+,数字签名,信息,如果两者相同，,说明接收到的,数据是完整的，,即在传输过程,中没有被篡改,1.Hash,2.,发送方私,人密钥加密,信息,+,数字签名,4.,接收,6.,发送方公,开密钥解,7.,比较,两者,如果可以解密，说明发送者身份是真实的,认证技术,数字签名的特点,不可,伪造,数字签名是由发送方的私人密钥加密产生的，而私人密钥只有发送方自己知道，如果发送方没有泄露，别人无法知道私人密钥，也就无法伪造数字签名,信息无,法篡改,数字签名是信息在发送方经过加密得到的，信息被篡改，对应的数字签名也将改变，接收方进行签名验证不会通过,。,不可抵赖,私人,/,公开密钥对是一一对应的，一个私人密钥只分配给一个发送方。,认证技术,数字签名的功能,防止发送方否认自己的行为,防止接收方伪造信息,防止他人,冒充身份,防止篡改,信息,如果发送方抵赖自己对某次交易的操作，那么接收方可以提供收到的数字签名作为证据，追究责任。,接收方伪造信息时，只需要简单地用发送方的公开密钥验证即可得知真伪。,用来签名的私人密钥只有发送方自己知道，用来验证签名的公开密钥只发送给了接收方，且发送时加密。,接收方通过对数字签名的验证，即可以判断出信息是否完整，接收方只信任完整的信息，而将被篡改信息丢弃,认证技术,数字签名与手写签名的区别,数字签名,数字签名中的签名同信息是分开的；,数字签名利用一种公开的方法对签名进行验证，任何人都可以对之进行检验；,有效签名的复制同样是有效的签名,手写签名,签名与所签署之信息是一个整体；,是由经验丰富的接收者,通过同预留的签名样本相比较而作出判断的；,签名的复制是无效的签名,认证技术,运用数字信封的数字签名,hash,认证技术,双重签名,双重签名就是进行两次签名，是为了解决电子交易中三方之间信息传输的安全性问题。假设发送方有两个信息,A,和,B,分别发送给接收方,1,和,2,，双重签名的具体做法是，发送方分别用,Hash,函数对信息,A,和,B,进行处理，生成各自的数字摘要,A,和,B,，然后将二者在合并起来，形成一个新的信息,C,，再用,Hash,函数处理得到它的数字摘要,C,，最后用发送方的私人密钥对双重数字摘要进行加密，即得到双重数字签名。,认证技术,PI,H,PIMD,OI,H,OIMD,H,POMD,E,Dual,signature,KRc,PI：支付命令 PIMD：PI消息摘要,OI：订单信息 OIMD：OI消息摘要,H：哈希函数（SHA-1）POMD：支付/订单消息摘要,：,连结,E：加密函数（RSA）,KRc：用户私钥,双重签名过程,认证技术,双重签名的原理,接收方,订单,信息,信用卡,信息,订单,双重数,字摘要,b,如果二者相同，,说明接收到的,数据在传输过程,中没有被篡改。,数字摘要,C,网上商家,银行,密文,1,数字,摘要,A,数字,摘要,B,密文,2,双重数,字摘要,a,4.,发送,密文,1,数字,摘要,A,数字,摘要,B,密文,2,双重数,字摘要,a,5,6,3,1,1,3,7,8.,比较,9.,发送,密文,2,信用卡,信息,数字,摘要,D,数字,摘要,A,双重数,字摘要,a,双重数,字摘要,c,如果二者相同，,说明接收到的,数据在传输过程,中没有被篡改。,13.,比较,12,10,11,消费者,认证技术,数字签名,实施,用户首先可以下载或者购买数字签名软件，然后安装在个人电脑上。在产生密钥对后，软件自动向外界传送公开密钥。由于公共密钥的存储需要，所以需要建立一个鉴定中心（,CA,）完成个人信息及其密钥的确定工作。鉴定中心是一个政府参与管理的第三方成员，以便保证信息的安全和集中管理。用户在获取公开密钥时，首先向鉴定中心请求数字确认，鉴定中心确认用户身份后，发出数字确认，同时鉴定中心向数据库发送确认信息。然后用户使用私有密钥对所传信息签名，保证信息的完整性、真实性，也使发送方无法否认信息的发送，之后发向接收方；接收方接收到信息后，使用公开密钥确认数字签名，进入数据库检查用户确认信息的状况和可信度；最后数据库向接收方返回用户确认状态信息。,认证技术,美国数字签名标准,数字签名标准（,DSS:Digital Signature Standard）由美国国家标准技术研究所（NIST）于1991年提出，并于1994年正式成为美国联邦信息处理标准（FIPS PUB186），这标志着数字签名已得到政府的支持。DSS使用的签名算法称为数字签名算法（DSA:Digital Signature Algorithm）。2000年1月美国政府将RSA和椭圆曲线密码引入数字签名标准DSS，进一步丰富了DSS的算法。目前，DSS的应用已十分广泛，并被多个国际标准化组织采纳作为标准。美国的一些州已经通过相关法律，正式承认数字签名的法律意义。这是数字签名得到法律支持的重要标志。,认证技术,认证技术,数字时间戳,认证技术,数字时间戳,数字时间戳就是对电子文件签署的日期和时间进行安全性保护和有效证明的技术，他必须由专门的数字时间戳服务中心来添加。,数字时间戳实际上是一个经过加密后形成的凭证文档。一般包括三个部分：,信息的数字摘要,数字时间戳服务中心收到数字摘要的时间和日期,数字时间戳服务中心的数字签名,认证技术,数字时间戳的原理,发送方,数字时间戳服务中心,信息,数字摘要,A,数字摘要,A,数字时间戳,数字摘要,A,+,时间信息,2.,加时间,3.,数字,签名,数字时间戳,1.Hash,DTS,认证技术,认证技术,数字证书,认证技术,Who are you,？,网络中，我如何能相信你,认证技术,为什么要使用数字证书？,网络系统安全分析,认证技术,数字证书,是由权威机构,CA,证书授权（,Certificate Authority,）中心发行的，能提供在,Internet,上进行身份验证的一种权威性电子文档，人们可以在互联网交往中用它来证明自己的身份和识别对方的身份。,认证技术,数字证书如同我们日常生活中使用的身份证，它是持有者在网络上证明自己身份的凭证。在一个电子商务系统中，所有参与活动的实体都必须用证书来表明自己的身份。证书是一个经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。证书一方面可以用来向系统中的其它实体证明自己的身份，另一方面由于每份证书都携带着证书持有者的公钥，所以证书也可以向接收者证实某人或某个机构对公开密钥的拥有，同时也起着公钥分发的作用。,简单地说，证书的构成就是一个公钥，再加上公钥所有者的标识，以及被信任的第三方对上述信息的数字签名。公证方的数字签名保证了公钥及其所有者的对应关系，同时也保证了证书中的公钥信息不会被篡改。,认证技术,认证技术数字证书的原理,公钥,公钥,私钥,私钥,数字证书采用公钥机制，证书颁发机构提供的程序为用户产生一对密钥，一把是公开的公钥，它将在用户的数字证书中公布并寄存于数字证书认证中心。另一把是私人的私钥，由用户自己安全存放。,数字证书认证中心,CA,证书申请与颁发,证书申请与颁发,认证技术,数字证书的功能,数字证书采用公钥体制，当发送信息时，发送方使用接收方的公开密钥对数据加密，而接收方则使用自己的私人密钥解密，信息可以无误传输。,数字证书可确认对方身份的功能,数字证书对其发送的信息进行数字签名，从而使交易各方难以否认自己的操作。,双方在线签订合同和进行支付时，数字证书会产生数字摘要，如果数据被篡改，摘要就会不吻合。,数字证书,的功能,保证操作的不可抵赖性,保证交易和支付数据不被篡改,证实交易参与方的身份,数据加密,认证技术,消费者证书,支付网关证书,服务器证书,CA,认证中心证书,个人数字证书通常生成在,IE,浏览器内，消费者使用时只需要做相应的选择即可。,主要颁发给银行或者网上商家的业务服务器。银行服务器与消费者客户端,建立,SSL,连接时，服务器将证书发送给消费者。,LOGO,数字证书的种类,如果支付通过支付网关进行，则需要支付网关也申请一个数字证书，商家或者银行首先获取支付网关的数字证书，证实合法后，才传送信息。,负责数字证书的颁发和参与方的身份认证，是保证支付安全的核心。,认证技术,验证使用者身份,Text in here,证书查询,证书更新,制定规章制度,吊销证书,CA,认证中心的功能,颁发数字证书,证书发放可以通过在线和离线两种,方式，另外还会发送一个密钥对,申请时要验证用户真实身份；使用时,使用序列号进行验证，确保有效。,申请查询和用户证书查询,确保证书的有效性,私人密钥泄漏，有效期到期,认证技术,数字认证流程图,明文,摘要,DES加密,数字签名,密文,对称密钥,RSA加密,数字信封,B公司的公用密钥,认证中心,RSA加密,数字签名,密文,数字信封,A公司的公用密钥,RSA解密,RSA解密,对称密钥,B公司的私用密钥,DES解密,明文,摘要,摘要,认证中心,比较两者是否一致,A公司,B公司,A公司的私用密钥,A公司的数字证书,认证技术,认证技术,口令认证,认证技术,企业购买安全类产品分布,最脆弱的环节：,用户的身份认证,身份被盗，其他所有的安全措施都仅仅只是摆设！,认证技术,用户设定静态密码，计算机验证,技术层面,口,令存储：密文方式存储,口令传输：一般采用,CS,模式，加密口令或散列函数运算后传输,安全问题,静态,传输过程容易被截获,系统中用户口令以文件形式存储，攻击者易获取文件信息,无法抵御重放攻击,只能进行单向认证,静态口令,认证技术,静态口令,认证技术,B,E,C,D,A,易猜测的密码,木马程序,网络欺诈,从不更换密码,密码破解工具,静态密码时代隐患,认证技术,背景,经常出差需要通过,VPN,拨入公司内部，担心密码被盗而带来的麻烦，使用动态密码之后解除这方面的顾虑了。,由于安全性的工作要求，,企业定期修改各种业务系统的登录密码,，,动态密码之后可解除频繁更换以及记忆各种密码的顾虑。,由于公司应用系统太多（,ERP,、,HR,、邮件、,VPN,），每个系统登录都需要输入一次密码，,结合统一认证,，,同一个帐号配合动态密码，安全便捷，提升了工作效率，减少,IT,的管理成本。,Windows/Linux,服务器容易遭受暴力破解密码攻击,，,开机密码时候增加动态口令认证,，,保障操作系统登录安全。,认证技术,动态口令,是一种让用户的密码按照时间或使用次数不断动态变化，每个密码只使用一次的技术。,用户进行认证时候，除输入账号和静态密码之外，必须要求输入动态密码，只有通过系统验证，才可以正常登录或者交易，从而有效保证用户身份的合法性和唯一性。,动态口令最大的,优点,在于，用户每次使用的口令都不相同，使得不法分子无法仿冒合法用户的身份。,认证技术,动态口令,动态密码定义,（,1),根据专门的算法生成一个不可预测的,6/8,位的随机数字组合,（,2,）每个密码一次有效,（,3,）被公认为最安全的身份认证方案,登录形式,认证技术,动态口令,动态口令认证技术被认为是目前能够,最有效解决用户的身份认证方式之一,认证技术,短信密码,硬件令牌,手机令牌,动态密码类型,认证技术,Token Card,（令牌卡）用类似计算器的小卡片计算一次性口令。对于挑战,/,回答方式，该卡片配备有数字按键，便于输入挑战值；对于时间,/,事件同步方式，该卡片每隔一段时间就会重新计算口令；有时还会将卡片作成钥匙链式的形状，某些卡片还带有,PIN,保护装置。,动态口令的生成设备,认证技术,动态令牌,基于时间同步方式的，每,60,秒变换一次,OTP,口令,认证技术,短信密码,:,以手机短信形式请求包含,6,位随机数的动态密码，客户在登录或者交易认证时候输入该条短信上的动态密码，从而确保系统身份认证的安全性。,特点,行业,原因,运营商内部应用,有短信网关，整合方便,大型企事业（政府、电力、银行等）,本身有短信平台，整合方便，对于成本 考虑少,中小企业登录,通过短信包的形式,适应行业,认证技术,系统对接,-,ERP/OA,等应用系统,认证技术,系统对接,-,Windows,开机登录,认证技术,认证技术,生物特征识别技术,认证技术,步态识别,语音识别,笔迹分析,击键识别,生物特征识别的概念,生物特征识别是一种典型的模式识别，生物特征识别技术是指通过计算机技术利用人的生理特征或行为特征进行身份鉴定，它以生物技术为基础，以信息技术为手段，将本世纪生物和信息这两大热门技术融为一体。,指纹识别,虹膜识别,掌纹识别,面像识别,生,理,特,征,行,为,特,征,认证技术,生物识别技术优势,认证技术,生物识别应用的发展趋势,刑侦领域,现代指纹识别,自动虹膜识别,虹膜识别,进入应用领域,静脉识别,发展中,多模态生物识别,20,世纪,90,年代,1993,1997,21,世纪,认证技术,社会应用普适化,精度更高，设备更小,多模态生物识别,更人性化，非接触的方式采集,生物识别应用的发展趋势,认证技术,生物统计特征识别技术的性能对比,认证技术,指纹认证,指纹采集,图像处理,特征提取,数据库,指纹采集,图像处理,特征提取,匹配,鉴别结果,训练模块,鉴别模块,指纹禁门系统、指纹考勤系统；,公安、保安、金融等系统；,电脑、手机、身份证等。,认证技术,超声波指纹图像,半导体电容式,光学采集,油墨,+,指纹卡,超声波的反射信号,根据指纹与半导体电容感应,利用光的全反射来成像,利用的是指纹“触物留痕”的特性,指纹识别应用的发展阶段,认证技术,公司企业,社保,税务,银行,政府,指纹识别,指纹识进入全面的应用,认证技术,虹,膜,认,证,到目前为止，虹膜识别的错误率是各种生物特征识别中最低的。,目前，国际上掌握虹膜识别核心技术的仅有美国公司IRIDIAN和我国的中国科学院自动化研究所模式识别国家重点研究室两家单位。,认证技术,安全防护,边防控制,金融终端等各种产品,1991,1993,2005,现在,虹膜识别的应用和发展,JOHN DAUGMAN,实现了,一个高性能的自动虹膜识别原型系统,中国第一个,虹膜识别专利,得到批准,美国洛斯阿拉莫斯,国家实验室的,JOHNSON,实现了,一个自动虹膜识别系统,认证技术,金融业,银行业,商业保密机构,医疗记录,公司考勤,学校管理,社区控制,门禁,电子商务,军事基地,枪械库,核能设备,电脑机房,政府办公室,资料保密室,民用级别,商用级别,国家级别,虹膜识别的应用和发展,认证技术,语音识别,实验室理想条件,实际应用场合（远程、噪声背景）,训练阶段,识别阶段,认证技术,语音识别系统框架,特征提取,训练,模式匹配,拒识,语法,模型,结果,语音,说话人自适应,认证技术,语音识别,潜在应用,语音监听,语音拨号,语音命令,语音导航,语音搜索,语音听写,语音翻译,认证技术,步态识别认证,步态识别是一种新兴的生物特征识别技术，旨在通过人们走路的姿态进行身份识别，与其他的生物识别技术相比，步态识别具有非接触远距离和不容易伪装的优点。在智能视频监控领域，比面像识别更具优势。,步态是指人们行走时的方式，这是一种复杂的行为特征。罪犯或许会给自己化装，不让自己身上的哪怕一根毛发掉在作案现场，但有样东西他们是很难控制的，这就是走路的姿势。英国南安普敦大学电子与计算机系的马克,尼克松教授的研究显示，人人都有截然不同的走路姿势，因为人们在肌肉的力量、肌腱和骨骼长度、骨骼密度、视觉的灵敏程度、协调能力、经历、体重、重心、肌肉或骨骼受损的程度、生理条件以及个人走路的“风格”上都存在细微差异。对一个人来说，要伪装走路姿势非常困难，不管罪犯是否带着面具自然地走向银行出纳员还是从犯罪现场逃跑，他们的步态就可以让他们露出马脚。,认证技术,步,态,识,别,认,证,认证技术,例：周克华案件,认证技术,笔迹识别,优点：,绝对无法仿冒的使用者认证技术。,缺点：,较昂贵。,不够稳定,(辩识失败率高)。,“字如其人”，每个人写的字都有自己的特征,认证技术,思考问题,（1）数字摘要的原理是什么？,（2）数字签名的实现过程？,（3）数字时间戳是如何签署的？,（4）数字认证的功能有哪些？,（,5,）动态口令的原理是什么？,（,6,）常见的生物特征识别技术有哪些？,