《物聯網信息安全》課件第4章

4.1身份認證4.2訪問控制技術4.3安全審計第4章物聯網身份認證、訪問控制與安全審計技術

4.1身份認證

4.1.1身份認證的概念與分類

1.身份認證的概念

認證(Authentication)是指對主客體身份進行確認的過程。身份認證(IdentityAuthentication)是指網絡用戶在進入系統(tǒng)或訪問受限系統(tǒng)資源時，系統(tǒng)對用戶身份的鑒別過程。身份認證的基本方法有三種：用戶物件認證、有關信息確認和體貌特征識別。

2.認證技術的類型

(1)消息認證：

(2)用戶身份認證：在真實世界中對用戶的身份認證的基本方法可以分為以下三種：

(1)根據已知的信息證明身份(whatyouknow，你知道什么)；

(2)根據已擁有的東西證明身份(whatyouhave，你有什么)；

(3)直接根據獨一無二的身體特征來證明身份(whoyouare，你是誰)，比如指紋、面貌等。4.1.2常用的身份認證方式

1.靜態(tài)密碼認證

靜態(tài)密碼是最簡單也是最常用的身份認證方法，它基于“你知道什么”的驗證手段。用戶的密碼是由用戶自己設定的，只有他自己才知道，因此只要能夠輸入正確的密碼，計算機就認為他是這個用戶。

2.?USBKey認證

從技術角度看，客戶證書USBKey是用于網上銀行電子簽名和數字認證的工具，它內置微型智能卡處理器，采用1024位非對稱密鑰算法對網上數據進行加密、解密和數字簽名，以確保網上交易的保密性、真實性、完整性和不可否認性?；赨SBKey的身份認證方式主要有兩種應用模式：

1)基于沖擊—響應的雙因子認證方式

2)基于數字證書的認證方式

USBKey結合了現代密碼學技術、智能卡技術和USB技術，是新一代身份認證產品，它具有以下特點：

(1)雙因子認證。

(2)帶有安全存儲空間。

(3)硬件實現加密算法。

(4)便于攜帶，安全可靠。

3.動態(tài)口令認證

1)動態(tài)口令認證簡介

動態(tài)口令技術是一種讓用戶的密碼按照時間或使用次數不斷地動態(tài)變化，每個密碼只能使用一次的技術，它是基于“你有什么”的驗證手段。它采用一種稱為動態(tài)令牌的專用硬件，內置電源、密碼生成芯片和顯示屏，密碼生成芯片運行專門的密碼算法，根據當前時間或使用次數生成當前密碼并顯示在顯示屏上。圖4-1動態(tài)口令牌

2)動態(tài)口令的產生

(1)口令生成算法。

(2)時間同步。

3)用戶密鑰的產生和分配

用戶密鑰數據是動態(tài)口令產生的基礎，因此必須在非常安全的情況下產生和分配：

(1)密鑰的分配和產生由維護模塊負責，當用戶進行注冊時，服務器隨機產生用戶的密鑰，然后分發(fā)給用戶(分發(fā)時最好是讓用戶親自來取)，并在自己的數據庫中進行保存，以供以后產生口令時使用。

(2)用戶可以根據需要申請服務器重新產生密鑰數據。

(3)為了安全起見，密鑰數據的保存必須經過加密保存。

4)動態(tài)口令身份認證過程

(1)客戶向認證服務器發(fā)出請求，要求進行身份認證。

(2)認證服務器從用戶數據庫中查詢該用戶是否合法，若不合法，則不作進一步處理。

(3)認證服務器內部產生一個隨機數，作為“提問”，發(fā)送給客戶。

(4)客戶將用戶名字和隨機數合并，使用單向Hash函數(例如MD5算法)生成一個字符串。

(5)客戶端利用動態(tài)口令生成算法產生動態(tài)口令(利用時間對密鑰加密并摘要)，利用自己的動態(tài)口令對這個字符串進行加密，然后將加密的結果作為應答傳給服務器。

(6)認證服務器根據當前的時間計算用戶的動態(tài)口令，然后用該口令對所接收到的應答串進行解密。

(7)認證服務器利用解密結果與自己的計算結果(Hash值)進行比較，若相同(實則驗證密鑰)，則通過一次認證；否則認證失敗。

(8)認證服務器通知客戶認證成功或失敗。以后的認證由客戶不定時發(fā)起，過程中沒有客戶認證請求這一步。兩次認證的時間間隔不能太短，否則就給網絡、客戶和認證服務器帶來太大的開銷，也不能太長，否則不能保證用戶不被他人盜用IP地址，一般定為1～2分鐘。

5)常用動態(tài)口令機制

(1)基于時間同步的動態(tài)口令機制。

(2)基于事件同步的動態(tài)口令機制。

(3)基于挑戰(zhàn)/應答的動態(tài)口令機制。

6)安全性分析

(1)信道竊聽：

(2)窮舉嘗試和字典攻擊：

(3)重放攻擊：

(4)中間人攻擊：

(5)口令泄露：

4．短信密碼認證

短信密碼以手機短信的形式請求包含六位隨機數的動態(tài)密碼，身份認證系統(tǒng)將隨機的六位密碼以短信形式發(fā)送到客戶的手機上，客戶在登錄或者交易認證時輸入此動態(tài)密碼，從而確保系統(tǒng)身份認證的安全性。它利用“你有什么”的方法，具有以下優(yōu)點：

(1)安全性：

(2)普及性：

(3)易收費：

(4)易維護：

5．IC卡認證

1)?IC卡簡介

IC卡即IntegratedCircuitCard，稱為集成電路卡，有些國家和地區(qū)也稱智能卡(smartcard)、智慧卡(intelligentcard)、微電路卡(microcircuitcard)或微芯片卡等，它是將一個微電子芯片嵌入符合ISO7816標準的卡基中做成的卡片。

2)?IC卡的分類

IC卡可以按照嵌入芯片的類型、數據讀寫方式、數據交換方式和卡的不同應用領域來分類。

3)?IC卡的結構

IC卡的物理支撐一般是一個塑料長方卡，它的尺寸從通用磁卡演化而來，都遵從相關的國際標準ISO7810，其標準尺寸為85.5?×?54?×?0.84mm。有些IC卡上還貼有磁條，可以和磁卡兼容。

IC卡經常使用的存儲器芯片種類及特性如下：

(1)?ROM(ReadOnlyMemory)：

(2)?RAM(RandomAccessMemory)：

(3)?PROM(ProgrammableROM)：

(4)?EPROM(ErasablePROM)：

(5)?EEPROM(ElectronicallyEPROM)：

智能卡經常使用的微控制芯片有兩種類型：

(1)帶加密運算的微控制器(MPU+CAU)：

(2)不帶加密運算的微控制器(MPU)：

4)?IC卡的特點與安全性

IC卡的特點主要有：

(1)體積小而且重量輕，非常便于攜帶。

(2)存儲容量大。IC卡存儲器可分成若干應用區(qū)，便于一卡多用。內部的RAM、ROM、EEPROM等存儲器的容量從幾個字節(jié)到幾兆字節(jié)，可以存放文字、聲音、圖形、圖像等

信息。

(3)可靠性高。IC卡防磁、防靜電，抗干擾能力強，可靠性比磁卡高。

(4)使用壽命長。信息可讀寫十萬次，使用壽命長。

(5)保密性強、安全性高?？梢詮挠布蛙浖煞矫鎸崿F安全策略，可以控制卡內不同區(qū)域的存取特性。

6.生物識別技術

1)生物識別的起源和發(fā)展

生物識別的歷史可追溯到古代埃及人通過測量人的高矮來鑒別他們，這種基于測量人體身體的某一部位或者舉止的某一方面的識別技術一直延續(xù)了幾個世紀。

2)常見的生物特征識別技術

(1)指紋識別。

(2)虹膜識別。

(3)視網膜識別。

(4)面部識別。

(5)手掌識別。

(6)紅外溫譜圖。

(7)人耳識別。

與其他生物特征識別技術比較，人耳識別具有以下幾個特點：

①與人臉識別方法比較，人耳識別方法不受面部表情、化妝品和胡須變化的影響，同時保留了面部識別圖像采集方便的優(yōu)點，與人臉相比，整個人耳的顏色更加一致、圖像尺寸更小，數據處理量也更小。

②與指紋識別方法比較，人耳圖像的獲取是非接觸的，其信息獲取方式容易被人接受。

③與虹膜識別方法比較，人耳圖像采集更為方便。并且，虹膜采集裝置的成本要高于人耳采集裝置。

(8)味紋識別。

(9)聲音識別。

(10)簽名識別。

(11)基因(DNA)識別。

(12)其他識別方法。

3)指紋識別系統(tǒng)的介紹

(1)指紋圖像的采集。常用的采集指紋圖像技術有以下兩種：

①光學錄入技術：

②超聲波錄入技術：

(2)解碼。

(3)比對和匹配。

其他生物識別的過程與上述指紋識別系統(tǒng)的過程基本是一致的，區(qū)別在于：

(1)采集設備不同。

(2)提取的特征點不同。

(3)在計算機處理方面，各種生物識別系統(tǒng)的算法都不同，在指紋識別系統(tǒng)中，采用不同的掃描方式，所采用的算法也不同。另一方面，對于大型的生物識別系統(tǒng)，都牽涉到數據庫技術和網絡技術，成千上萬的采集樣本存儲不可能在同一個服務中，甚至同一個地方，怎樣快速地在異地網絡上檢索、比對、匹配所采集的樣本特征是一個重要的技術關鍵。

7．RFID身份認證

(1)基于哈希函數的RFID認證協(xié)議。

(2)基于狀態(tài)的RFID認證協(xié)議。

(3)基于密鑰加密的RFID認證協(xié)議。

8．無線傳感器網絡的身份認證

當前在無線傳感器網絡上的身份認證協(xié)議主要有TinyPK認證協(xié)議、強用戶認證協(xié)議和基于密鑰共享的認證協(xié)議等。

(1)?WSNTinyPk認證協(xié)議。

(2)基于密鑰共享的WSN認證協(xié)議。

(3)基于WSN的強用戶認證協(xié)議。

4.2訪問控制技術

4.2.1訪問控制的基本概念

訪問控制就是在身份認證的基礎上，依據授權對提出的資源訪問請求加以控制，主要分為網絡訪問控制和系統(tǒng)訪問控制。4.2.2訪問控制的基本原則

訪問控制的基本原則有如下幾個方面：

(1)最小特權原則。完成某種操作時賦予網絡中每個主體必需的最小特權。

(2)多人負責原則。授權分散化，關鍵的任務由多人來承擔，保證沒有人具有完成任務的全部授權或信息。

(3)職責分離原則。將不同的責任分派給不同的人員以期達到互相牽制的目的，消除一個人執(zhí)行兩項不相容的工作的風險。4.2.3訪問控制方式

1.自主訪問控制

1)基本介紹

自主訪問控制(DiscretionaryAccessControl，DAC)是在確認主體身份以及(或)它們所屬的組的基礎上控制主體的活動，實施用戶權限管理、訪問屬性(讀、寫、執(zhí)行)管理等，是一種最為普遍的訪問控制手段。

2)自主訪問控制的方法

(1)基于行的自主訪問控制。

①權限表(CapabilitiesList，CL)：

②前綴表：

③口令字：

(2)基于列的自主訪問控制。

①保護位：

②訪問控制表(AccessControlList，ACL)：

2.強制訪問控制

強制訪問控制(MandatoryAccessControl，MAC)的主要特征是對所有主體及其所控制的客體實施強制訪問控制，即系統(tǒng)強制主體服從訪問控制政策。

1)?Bell-Lapadula安全模型

2)?Biba安全模型

3.基于角色的訪問控制

1)基本思想

基于角色的訪問控制(Role-BasedAccessControl，RBAC)的要素包括用戶、角色、許可等基本定義。用戶是一個可以獨立訪問計算機系統(tǒng)中的數據或者用數據表示的其他資源的主體；角色是一個組織或任務中的工作或者位置，它代表了一種權利、資格和責任；許可是允許對一個或多個客體執(zhí)行的操作。

2)基本特點

RBAC的基本特點如下：

(1)訪問權限與角色相關聯，不同的角色有不同的權限。

(2)角色繼承。

(3)最小權限原則，即指用戶所擁有的權力不能超過他執(zhí)行工作時所需的權限。

(4)職責分離。

(5)角色容量。

3)系統(tǒng)結構

RBAC由RBAC數據庫、身份認證模塊、系統(tǒng)管理模塊、會話管理模塊組成。

4)系統(tǒng)運行步驟

RBAC系統(tǒng)的運行包括以下步驟：

(1)用戶登錄時向身份認證模塊發(fā)送用戶標識、用戶口令，確認用戶身份；

(2)會話管理模塊從RBAC數據庫檢索該用戶的授權角色集并送回用戶；

(3)用戶從中選擇本次會話的活躍角色集合，在此過程中會話管理模塊維持動態(tài)角色互斥；

(4)會話創(chuàng)建成功；

(5)在此會話過程中，系統(tǒng)管理員若要更改角色或許可，可在此會話結束后進行或終止此會話后立即進行。

4.3安全審計

4.3.1安全審計概述

1.安全審計的概念及目的

計算機安全審計(Audit)是指按照一定的安全策略，利用記錄、系統(tǒng)活動和用戶活動等信息，檢查、審查和檢驗操作事件的環(huán)境及活動，發(fā)現系統(tǒng)漏洞、入侵行為或改善系統(tǒng)性能的過程，也是審查評估系統(tǒng)安全風險并采取相應措施的一個過程，主要作用和目的包括五個方面：

(1)對潛在的攻擊者起到威懾和警示作用；

(2)測試系統(tǒng)的控制情況，并及時作出調整；

(3)對已出現的破壞事件，做出評估并提供依據；

(4)對系統(tǒng)控制、安全策略與規(guī)程中的變更進行評價和反饋，以便修訂決策和部署；

(5)協(xié)助發(fā)現入侵或潛在的系統(tǒng)漏洞及隱患。

2.安全審計的類型

從審計級別上來說安全審計可分為三種類型：

(1)系統(tǒng)級審計：

(2)應用級審計：

(3)用戶級審計：4.3.2系統(tǒng)日記審計

1.系統(tǒng)日志的內容

2.安全審計的記錄機制

3.日志分析

4.審計事件的查閱與存儲4.3.3審計跟蹤

1.審計跟蹤的概念及意義

審計跟蹤(AuditTrail)指按事件順序檢查、審查、檢驗其運行環(huán)境及相關事件活動的過程。審計跟蹤主要用于實現重現事件、評估損失、檢測系統(tǒng)產生的問題區(qū)域、提供有效的應急災難