網(wǎng)絡(luò)安全技術(shù)及應(yīng)用實(shí)踐教程 習(xí)題集 第5章

1、第5章 身份認(rèn)證與訪問控制1.選擇題（1）在常用的身份認(rèn)證方式中，（）是采用軟硬件相結(jié)合、一次一密的強(qiáng)雙因子認(rèn)證 模式，具有平安性、移動(dòng)性和使用的方便性。A.智能卡認(rèn)證B.動(dòng)態(tài)令牌認(rèn)證C. USB KeyD.用戶名及密碼方式認(rèn)證（2）以下（）屬于生物識(shí)別中的次級(jí)生物識(shí)別技術(shù)。A.網(wǎng)膜識(shí)別B.DNAC.語音識(shí)別D.指紋識(shí)別（3）數(shù)據(jù)簽名的（）功能是指簽名可以證明是簽字者而不是其他人在文件上簽字。A.簽名不可偽造B.簽名不可變更C.簽名不可抵賴D.簽名是可信的（4）在綜合訪問控制策略中，系統(tǒng)管理員權(quán)限、讀/寫權(quán)限、修改權(quán)限屬于（）oA.網(wǎng)絡(luò)的權(quán)限控制B.屬性平安控制C.網(wǎng)絡(luò)服務(wù)平安控制D.目錄級(jí)平

2、安控制（5）以下（）不屬于AAA系統(tǒng)提供的服務(wù)類型。A.認(rèn)證B.鑒權(quán)C.訪問D.審計(jì)解答：（1） B （2） C （3） A （4） D （5） C2.填空題（1）身份認(rèn)證是計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的用戶在進(jìn)入系統(tǒng)或訪問不同 的系統(tǒng)資源時(shí)，系統(tǒng)確認(rèn)該用戶的身份是否、和 的過程。解答：（1）保護(hù)級(jí)別、真實(shí)、合法、唯一（2）數(shù)字簽名是指用戶用自己的 對(duì)原始數(shù)據(jù)進(jìn)行 所得到，專門用于保證信息來源的、數(shù)據(jù)傳輸?shù)?和 o（2）私鑰加密、特殊數(shù)字串、真實(shí)性、完整性、防抵賴性（3）訪問控制包括三個(gè)要素，即、和 o訪問控制的主要內(nèi)容包括、和 三個(gè)方面。（3）主體 客體、控制策略、認(rèn)證、控制策略實(shí)現(xiàn)、審計(jì)（4）訪問控制模

3、式有三種模式，即、和。(4)自主訪問控制DAC、強(qiáng)制訪問控制MAC、基本角色的訪問控制RBAC(5)計(jì)算機(jī)網(wǎng)絡(luò)平安審計(jì)是通過一定的,利用 系統(tǒng)活動(dòng)和用戶活動(dòng)的歷史操作事件，按照順序、和 每個(gè)事件的環(huán)境及活動(dòng),是對(duì)和的要補(bǔ)充和完善。(5)平安策略、記錄及分析、檢查、審查、檢驗(yàn)、防火墻技術(shù)、入侵檢測(cè)技術(shù)解答：(1)保護(hù)級(jí)別、真實(shí)、合法、唯一(2)私鑰加密、特殊數(shù)字串、真實(shí)性、完整性、防抵賴性(3)主體 客體、控制策略、認(rèn)證、控制策略實(shí)現(xiàn)、審計(jì)(4)自主訪問控制DAC、強(qiáng)制訪問控制MAC、基本角色的訪問控制RBAC(5)平安策略、記錄及分析、檢查、審查、檢驗(yàn)、防火墻技術(shù)、入侵檢測(cè)技術(shù)3.簡答題(1)

4、簡述數(shù)字簽名技術(shù)的實(shí)現(xiàn)過程?對(duì)一個(gè)電子文件進(jìn)行數(shù)字簽名并在網(wǎng)上傳輸，通常需要的技術(shù)實(shí)現(xiàn)過程包括：網(wǎng)上身份 認(rèn)證、進(jìn)行簽名和對(duì)簽名的驗(yàn)證。.身份認(rèn)證的實(shí)現(xiàn)過程PKI提供的服務(wù)首先是認(rèn)證，即身份識(shí)別與鑒別，就是確認(rèn)實(shí)體即為自己所聲明的實(shí) 體。認(rèn)證的前提是甲、乙雙方都具有第三方CA所簽發(fā)的證書。認(rèn)證分單向認(rèn)證和雙向認(rèn) 證。1)單向認(rèn)證，單向認(rèn)證是甲、乙雙方在網(wǎng)上通信時(shí)，甲只需要認(rèn)證乙的身份。 這時(shí)甲需要獲取乙的證書，獲取的方式有兩種，一種是在通信時(shí)乙直接將證書傳送給甲，另 一種是甲向CA的目錄服務(wù)器查詢索取。甲獲得乙的證書后，首先用CA的根證書公鑰驗(yàn)證 該證書的簽名，驗(yàn)證通過說明該證書是第三方CA簽

5、發(fā)的有效證書。然后檢查證書的有效期 及檢查該證書是否已被作廢(LRC檢查)而進(jìn)入黑名單。2)雙向認(rèn)證。甲乙雙方在網(wǎng)上查詢對(duì)方證書的有效性及黑名單時(shí)，采用LDAP 協(xié)議(Light Directory Access Protocol),它是一種輕型目錄訪問協(xié)議，過程如下圖。網(wǎng)上通信的雙方，在互相認(rèn)證身份之后，即可發(fā)送簽名的數(shù)據(jù)電文。.數(shù)字簽名與對(duì)簽名的驗(yàn)證實(shí)現(xiàn)過程數(shù)字簽名的全過程分兩大局部，即簽名與驗(yàn)證。數(shù)字簽名過程分兩局部：左側(cè)為簽名過程，右側(cè)為驗(yàn)證過程。即發(fā)方將原文用哈希算法 求得數(shù)字摘要，用簽名私鑰對(duì)數(shù)字摘要加密求得數(shù)字簽名，然后將原文與數(shù)字簽名一起發(fā)送 給收方；收方驗(yàn)證簽名，即用發(fā)方公鑰

6、解密數(shù)字簽名，得出數(shù)字摘要；收方將原文采用同樣 哈希算法又得一新的數(shù)字摘要，將兩個(gè)數(shù)字摘要進(jìn)行比擬，如果兩者匹配，說明經(jīng)數(shù)字簽名 的電子文件傳輸成功。如圖5-5所示。簽名過程驗(yàn)證過程圖5-5數(shù)字簽名原理.原文保密的數(shù)據(jù)簽名的實(shí)現(xiàn)方法上述數(shù)字簽名中定義的對(duì)原文做數(shù)字摘要及簽名并傳輸原文，實(shí)際上在很多場(chǎng)合傳輸?shù)?原文要求保密，不許別人接觸。要求對(duì)原文進(jìn)行加密的數(shù)字簽名方法的實(shí)現(xiàn)涉及到“數(shù)字信 封”的問題,這個(gè)處理過程稍微復(fù)雜一些，但數(shù)字簽名的基本原理仍是相同的，其簽名過程 如圖5-8所示。數(shù)字簽名簽名驗(yàn)證0D松息卜0D松息卜PVAI數(shù)字與名F二 |PBa Sca p/ ?方人的證 PBb Scb

7、skMD信息摘要信息加密信息、且E+DE密 有 息DS數(shù)字簽名DS故？簽名Hash1加密信息DE、1數(shù)？信封有息 摘要PVB 一B-MD 砸 摘要口信息H數(shù)字簽名圖5-8原文加密的數(shù)字簽名實(shí)現(xiàn)方法這是一個(gè)典型的“數(shù)字信封”處理過程。其基本原理是將原文用對(duì)稱密鑰加密傳輸，而將 對(duì)稱密鑰用收方公鑰加密發(fā)送給對(duì)方。如同將對(duì)稱密鑰放在同一個(gè)數(shù)字信封，收方收到數(shù)字 信封，用自己的私鑰解密信封，取出對(duì)稱密鑰解密得原文。原文加密的數(shù)字簽名的過程：(1)發(fā)方A將原文信息進(jìn)行哈希(Hash)運(yùn)算，得到一哈希值，即數(shù)字摘要MD。(2)發(fā)方A用自己的私鑰PVa,采用非對(duì)稱RSA算法對(duì)數(shù)字摘要MD進(jìn)行加密，即得 數(shù)字

8、簽名DS。(3)發(fā)方A用對(duì)稱算法DES的對(duì)稱密鑰SK對(duì)原文信息、數(shù)字簽名DS及發(fā)方A證書 的公鑰PBa采用對(duì)稱算法加密，得加密信息E。(4)發(fā)方用收方B的公鑰PBb,采用RSA算法對(duì)對(duì)稱密鑰SK加密，形成數(shù)字信封DE, 就好像將對(duì)稱密鑰SK裝到了一個(gè)用收方公鑰加密的信封里。(5)發(fā)方A將加密信息E和數(shù)字信封DE 一起發(fā)送給收方B。(6)收方B接收到數(shù)字信封DE后，首先用自己的私鑰PVb解密數(shù)字信封，取出對(duì)稱密 鑰SK。(7)收方B用對(duì)稱密鑰SK通過DES算法解密加密信息E,還原出原文信息、數(shù)字簽名 DS及發(fā)方A證書的公鑰PBa。(8)收方B驗(yàn)證數(shù)字簽名，先用發(fā)方A的公鑰解密數(shù)字簽名得數(shù)字摘要M

9、D。(9)收方B同時(shí)將原文信息用同樣的哈希運(yùn)算，求得一個(gè)新的數(shù)字摘要MD，。(10)將兩個(gè)數(shù)字摘要MD和MD進(jìn)行比擬，驗(yàn)證原文是否被修改，如果二者相等，說明 數(shù)據(jù)沒有被篡改，是保密傳輸?shù)?，簽名是真?shí)的，否那么拒絕該簽名。這樣就做到了敏感信息 在數(shù)字簽名的傳輸中不被篡改，其他沒經(jīng)認(rèn)證和授權(quán)的人看不見或讀不懂原數(shù)據(jù)，起到了在 數(shù)字簽名傳輸中對(duì)敏感數(shù)據(jù)的保密作用。以上就是現(xiàn)行電子簽名中普遍被使用而又具有可操 作性的、平安的、數(shù)字簽名的技術(shù)實(shí)現(xiàn)原理和全部過程。(2)試述訪問控制的平安策略以及實(shí)施原那么？.基于身份的規(guī)那么的平安策略建立基于身份平安策略和基于規(guī)那么平安策略的基礎(chǔ)是授權(quán)行為。(1)基于身份

10、的平安策略是過濾對(duì)數(shù)據(jù)或資源的訪問，只有能通過認(rèn)證的那些主體才有 可能正常使用客體的資源?；谏矸莸钠桨膊呗园ɑ趥€(gè)人的策略和基于組的策略，主要 有兩種基本的實(shí)現(xiàn)方法，分別為能力表和訪問控制表?；趥€(gè)人的策略。基于個(gè)人的策略是指以用戶個(gè)人為中心建立的一種策略，由一些列表 組成。這些列表針對(duì)特定的客體，限定了哪些用戶可以實(shí)現(xiàn)何種平安策略的操作行為。 基于組的策略?；诮M的策略是基于個(gè)人的策略的擴(kuò)充，指一些用戶被允許使用同樣的訪問 控制規(guī)那么訪問同樣的客體。(2)基于規(guī)那么的平安策略基于規(guī)那么的平安策略中的授權(quán)通常依賴于敏感性。在一個(gè)平安系統(tǒng)中，數(shù)據(jù)或資源應(yīng)該標(biāo)注 平安標(biāo)記。代表用戶進(jìn)行活動(dòng)的進(jìn)

11、程可以得到與其原發(fā)者相應(yīng)的平安標(biāo)記。在實(shí)現(xiàn)上，由系 統(tǒng)通過比擬用戶的平安級(jí)別和客體資源的平安級(jí)別來判斷是否允許用戶進(jìn)行訪問。.綜合訪問控制策略訪問控制技術(shù)的目標(biāo)是防止對(duì)任何資源的非法訪問。從應(yīng)用方面的訪問控制策略包括以 下幾個(gè)方面。(1)入網(wǎng)訪問控制(2)網(wǎng)絡(luò)的權(quán)限控制(3)目錄級(jí)平安控制(4)屬性平安控制(5)網(wǎng)絡(luò)服務(wù)器平安控制(6)網(wǎng)絡(luò)監(jiān)測(cè)和鎖定控制(7)網(wǎng)絡(luò)端口和節(jié)點(diǎn)的平安控制(8)防火墻控制.平安策略實(shí)施原那么平安策略實(shí)施原那么：訪問控制平安策略的實(shí)施原那么圍繞主體、客體和平安控制規(guī)那么集三 者之間的關(guān)系展開。(1)最小特權(quán)原那么。是指主體執(zhí)行操作時(shí)，按照主體所需權(quán)利的最小化原那么分配

12、給主體 權(quán)力。最小特權(quán)原那么的優(yōu)點(diǎn)是最大限度地限制了主體實(shí)施授權(quán)行為，可以防止來自突發(fā)事件、 錯(cuò)誤和未授權(quán)主體的危險(xiǎn)。也就是說，為了到達(dá)一定目的，主體必須執(zhí)行一定操作，但他只 能做他所被允許做的，其他除外。(2)最小泄漏原那么。是指主體執(zhí)行任務(wù)時(shí)，按照主體所需要知道的信息最小化的原那么分 配給主體權(quán)力。(3)多級(jí)平安策略。是指主體和客體間的數(shù)據(jù)流向和權(quán)限控制按照平安級(jí)別的絕密 (TS)、秘密(S)、機(jī)密(C)、限制(RS)和無級(jí)別(U) 5級(jí)來劃分。多級(jí)平安策略的優(yōu) 點(diǎn)是防止敏感信息的擴(kuò)散。具有平安級(jí)別的信息資源，只有平安級(jí)別比它高的主體才能夠訪 問。(3)簡述平安審計(jì)的目的和類型？目的和意義

13、在于：(1)對(duì)潛在的攻擊者起到重大震懾和警告的作用；(2)測(cè)試系統(tǒng)的控制是否恰當(dāng)，以便于進(jìn)行調(diào)整，保證與既定平安策略和操作能夠協(xié)調(diào) 一致。(3)對(duì)于已經(jīng)發(fā)生的系統(tǒng)破壞行為，作出損害評(píng)估并提供有效的災(zāi)難恢復(fù)依據(jù)和追究責(zé) 任的證據(jù)；(4)對(duì)系統(tǒng)控制、平安策略與規(guī)程中特定的改變作出評(píng)價(jià)和反應(yīng)，便于修訂決策和部署。(5)為系統(tǒng)管理員提供有價(jià)值的系統(tǒng)使用日志，幫助系統(tǒng)管理員及時(shí)發(fā)現(xiàn)系統(tǒng)入侵行為 或潛在的系統(tǒng)漏洞。平安審計(jì)有三種類型：(1)系統(tǒng)級(jí)審計(jì)(2)應(yīng)用級(jí)審計(jì)(3)用戶級(jí)審計(jì)(4)簡述Windows NT的平安模型及訪問控制過程？Windows NT的平安模型Windows NT采用的是微內(nèi)核(Mi

14、crokernel)結(jié)構(gòu)和模塊化的系統(tǒng)設(shè)計(jì)。有的模塊運(yùn)行 在底層的內(nèi)核模式上，有的模塊那么運(yùn)行在受內(nèi)核保護(hù)的用戶模式上。Windows NT的平安模型由4局部構(gòu)成(1)登錄過程(Logon Process, LP)：接受本地用戶或者遠(yuǎn)程用戶的登錄請(qǐng)求，處理用戶 信息，為用戶做一些初始化工作。(2)本地平安授權(quán)機(jī)構(gòu)(Local Security Authority, LSA)：根據(jù)平安賬號(hào)管理器中的數(shù)據(jù) 處理本地或者遠(yuǎn)程用戶的登錄信息，并控制審計(jì)和日志。這是整個(gè)平安子系統(tǒng)的核心。(3)平安賬號(hào)管理器(Security Account Manager, SAM)：維護(hù)賬號(hào)的平安性管理的數(shù)據(jù) 庫。(

15、4)平安引用監(jiān)視器(Security Reference Monitor, SRM)：檢查存取合法性，防止非法存 取和修改。這4局部在訪問控制的不同階段發(fā)揮各自不同的作用。Windows NT的訪問控制過程(1)創(chuàng)立賬號(hào)。當(dāng)一個(gè)賬號(hào)被創(chuàng)立時(shí)，Windows NT系統(tǒng)為它分配一個(gè)平安標(biāo)識(shí)(SID)。 平安標(biāo)識(shí)和賬號(hào)惟一對(duì)應(yīng)，在賬號(hào)創(chuàng)立時(shí)創(chuàng)立，賬號(hào)刪除時(shí)刪除，而且永不再用。平安標(biāo)識(shí) 與對(duì)應(yīng)的用戶和組的賬號(hào)信息一起存儲(chǔ)在SAM數(shù)據(jù)庫里。(2)登錄過程(LP)控制。每次用戶登錄時(shí)，用戶應(yīng)輸入用戶名、口令和用戶希望登 錄的服務(wù)器/域等信息，登錄主機(jī)把這些信息傳送給系統(tǒng)的平安賬號(hào)管理器，平安賬號(hào)管理 器將

16、這些信息與SAM數(shù)據(jù)庫中的信息進(jìn)行比擬，如果匹配，服務(wù)器發(fā)給客戶機(jī)或工作站允 許訪問的信息，記錄用戶賬號(hào)的特權(quán)、主目錄位置、工作站參數(shù)等信息，并返回用戶的平安 標(biāo)識(shí)和用戶所在組的平安標(biāo)識(shí)。工作站為用戶生成一個(gè)進(jìn)程。(3)創(chuàng)立訪問令牌。當(dāng)用戶登錄成功后，本地平安授權(quán)機(jī)構(gòu)(LSA)為用戶創(chuàng)立一個(gè)訪 問令牌，包括用戶名、所在組、平安標(biāo)識(shí)等信息。以后用戶每新建一個(gè)進(jìn)程，都將訪問并復(fù) 制令牌作為該進(jìn)程的訪問令牌。(4)訪問對(duì)象控制。當(dāng)用戶或者用戶生成的進(jìn)程要訪問某個(gè)對(duì)象時(shí)，平安引用監(jiān)視器 (SRM)將用戶/進(jìn)程的訪問令牌中的平安標(biāo)識(shí)(SID)與對(duì)象平安描述符(是NT為共享資 源創(chuàng)立的一組平安屬性，包括所

17、有者平安標(biāo)識(shí)、組平安標(biāo)識(shí)、自主訪問控制表、系統(tǒng)訪問控 制表和訪問控制項(xiàng))中的自主訪問控制表進(jìn)行比擬，從而決定用戶是否有權(quán)訪問該對(duì)象。 在這個(gè)過程中應(yīng)該注意：平安標(biāo)識(shí)(SID)對(duì)應(yīng)賬號(hào)的整個(gè)有效期，而訪問令牌只對(duì)應(yīng)某一 次賬號(hào)登錄。(5)用戶認(rèn)證與認(rèn)證授權(quán)的目標(biāo)是什么？用戶認(rèn)證與認(rèn)證授權(quán)管理目標(biāo)包括以下7個(gè)方面：(1)目錄服務(wù)系統(tǒng)是架構(gòu)的基礎(chǔ)模塊(2)身份管理系統(tǒng)是實(shí)現(xiàn)不同應(yīng)用的身份存儲(chǔ)統(tǒng)一管理的基礎(chǔ)。(3)認(rèn)證管理系統(tǒng)并非必須，各系統(tǒng)往往自帶認(rèn)證模塊。(4)訪問管理系統(tǒng)因?yàn)橄到y(tǒng)資源的多樣性呈現(xiàn)多種，目前最為成熟的是對(duì)Web 資源的訪問管理(稱為WebSSO)(5)集成平臺(tái)(門戶服務(wù)器、應(yīng)用服務(wù)

18、器或EAI平臺(tái))提供統(tǒng)一入口管理，建議 認(rèn)證管理系統(tǒng)和訪問管理系統(tǒng)施加在集成平臺(tái)上以實(shí)現(xiàn)統(tǒng)一認(rèn)證和授權(quán)管理。(6)監(jiān)控服務(wù)可以附加在各類平臺(tái)(集成平臺(tái)、認(rèn)證管理系統(tǒng)、訪問管理系統(tǒng)等) 中，也可以是獨(dú)立的產(chǎn)品。(7)采用以上架構(gòu)，可以提供身份信息的統(tǒng)一存儲(chǔ)和統(tǒng)一管理，并實(shí)現(xiàn)身份認(rèn)證 及資源訪問的集成管理，同時(shí)最大程度地保護(hù)我行現(xiàn)有的IT投資。(6)身份認(rèn)證的技術(shù)方法有哪些？特點(diǎn)是什么？目前，計(jì)算機(jī)及網(wǎng)絡(luò)系統(tǒng)中常用的身份認(rèn)證方式主要有以下兒種：.用戶名及密碼方式用戶名及密碼方式是最簡單也是最常用的身份認(rèn)證方法，由用戶自己設(shè)定，只有用戶本 人知道。只要能夠正確輸入密碼，計(jì)算機(jī)就認(rèn)為操作者就是合法用戶。.智能卡認(rèn)證智能卡是一種內(nèi)置集成的電路芯片，芯片中存有與用戶身份相關(guān)的數(shù)據(jù)，智能卡由專門 的廠商通過專門的設(shè)備生產(chǎn)，是不可復(fù)制的硬件。智能卡由合法用戶隨身攜帶，登錄時(shí)必須將智能卡插入專用的讀卡器讀取其中的信息、, 以驗(yàn)證用戶的身份。.動(dòng)態(tài)令牌認(rèn)證動(dòng)態(tài)口令技術(shù)是一種讓用戶密碼按照時(shí)間或使用次數(shù)不斷變化、每個(gè)密碼只能使用一次 的技術(shù)。它采用一種動(dòng)態(tài)令牌的專用硬件，內(nèi)