信息安全導(dǎo)論課程-ch14-認(rèn)證應(yīng)用系統(tǒng)課件

1、密碼編碼學(xué)與網(wǎng)絡(luò)安全 電子工業(yè)出版社2006 - 2007第14章 認(rèn)證應(yīng)用系統(tǒng)14.1 Kerberos14.2 X.509/CA14.3 公鑰基礎(chǔ)設(shè)施PKI*14.a PKI in Windows*14.b EJBCA*14.c OpenCA*14.d CA with OpenSSL認(rèn)證系統(tǒng)Kerberos主要是局域網(wǎng)上的認(rèn)證系統(tǒng)，它早期基于對稱算法，封裝了加密、鑒別等安全服務(wù)，提供了統(tǒng)一的用戶接口。后期Kerberos也開始支持公鑰，使用證書。PKI/CA好像是解決電子商務(wù)安全的正確道路。CA是一個離線中心，因此適合互聯(lián)網(wǎng)這種分布式又管理松散的環(huán)境。但是維護(hù)一個CA(不管是商用CA或自己

2、獨立的CA)給人的感覺是過于復(fù)雜。14.1 KerberosLAN上的安全KerberosKerberos in WindowsKerberos in LinuxLAN上安全服務(wù)器、工作站、用戶用戶使用工作站訪問服務(wù)器資源局域網(wǎng)上安全問題竊聽導(dǎo)致泄密重放攻擊假冒用戶，用戶盜用工作站假冒工作站，工作站地址被盜用對應(yīng)的可能安全方法工作站核認(rèn)用戶身份工作站向服務(wù)器證實自己的身份(信任用戶身份)用戶和服務(wù)器相互認(rèn)證/鑒別KerberosThe Network Authentication ProtocolKerberos is a network authentication protocol. It

3、 is designed to provide strong authentication for client/server applications by using secret-key cryptography. A free implementation of this protocol is available from the MIT. Kerberos is available in many commercial products as well./kerberos/www/ /faqs/kerberos-faq/general/ 閱讀Designing an Authent

4、ication System: a Dialogue in Four Scenes/kerberos/www/dialogue.html Kerberos v4 Overview Kerberos v4請求域間服務(wù)Kerberos v4 Message Kerberos v5 MessageKerberos中的passwd、key、encpasswd keyn個字符的串7n個比特序列往返56b折疊并xor56bit DES keyPCBCCnEk(Cn-1 XOR Pn-1 XOR Pn) Kerberos in Windows密鑰發(fā)行中心 (KDC)一種網(wǎng)絡(luò)服務(wù)，提供在 KerberosV5

5、 身份驗證協(xié)議中使用的會話票證和臨時會話密鑰。票證用于安全原則的標(biāo)識數(shù)據(jù)集，是為了進(jìn)行用戶身份驗證而由域控制器發(fā)行的。Windows 中的兩種票證形式是票證授予式票證 (TGT) 和服務(wù)票證。票證授予式票證 (TGT)用戶登錄時，Kerberos 密鑰分發(fā)中心 (KDC) 頒發(fā)給用戶的憑據(jù)。當(dāng)服務(wù)要求會話票證時，用戶必須向 KDC 遞交 TGT。因為 TGT 對于用戶的登錄會話活動通常是有效的，它有時稱為“用戶票證”。票證授予服務(wù) (TGS)由“Kerberos V5 密鑰分發(fā)中心 (KDC)”服務(wù)提供的一種 Kerberos V5 服務(wù)，它在域中發(fā)行允許用戶驗證服務(wù)的服務(wù)票證。Kerbero

6、s in Windows (2k3)Kerberos V5 身份驗證Kerberos V5 是在域中進(jìn)行身份驗證的主要安全協(xié)議；同時要驗證用戶的身份和網(wǎng)絡(luò)服務(wù)。Kerberos V5 工作原理概述Kerberos V5 身份驗證機制頒發(fā)用于訪問網(wǎng)絡(luò)服務(wù)的票證。這些票證包含加密的數(shù)據(jù)，其中包括加密的密碼，用于向請求的服務(wù)確定用戶的身份。除了輸入密碼或智能卡憑據(jù)，整個身份驗證過程對用戶都是不可見的。Kerberos V5 中的一項重要服務(wù)是密鑰發(fā)行中心 (KDC)。KDC 作為 Active Directory 目錄服務(wù)的一部分在每個域控制器上運行，它存儲了所有客戶端密碼和其他帳戶信息。-Kerb

7、eros V5 身份驗證過程按如下方式工作： (1)客戶端上的用戶使用密碼或智能卡向 KDC 進(jìn)行身份驗證。 (2)KDC 為此客戶頒發(fā)一個特別的票證授予式票證?？蛻舳讼到y(tǒng)使用 TGT 訪問票證授予服務(wù) (TGS)，這是域控制器上的 Kerberos V5 身份驗證機制的一部分。 (3)TGS 接著向客戶頒發(fā)服務(wù)票證。 (4)客戶向請求的網(wǎng)絡(luò)服務(wù)出示服務(wù)票證。服務(wù)票證向此服務(wù)證明用戶的身份，同時也向該用戶證明服務(wù)的身份。 Kerberos V5 服務(wù)安裝在每個域控制器上，每個域控制器作為 KDC 使用。域控制器在用戶登錄會話中作為該用戶的首選 KDC 運行。Kerberos 客戶端安裝在每個工

8、作站和服務(wù)器上?？蛻舳耸褂糜蛎?wù) (DNS) 定位最近的可用域控制器。如果首選 KDC 不可用，系統(tǒng)將定位備用的 KDC 來提供身份驗證。Windows域了解以下概念Windows ServerDomain / Active Directory Workstation join the DomainLogin into a DomainResource in a Domain并練習(xí)驗證相關(guān)概念使用虛擬機VmwareKerberos in LinuxKerberos Infrastructure HOWTO/HOWTO/Kerberos-Infrastructure-HOWTO/index.h

9、tml In Fedora Core based GNU/Linuxthe packages required to provide Kerberos service are:“#rpm -qa grep krb”krb5-serverkrb5-libsAbout choosing a realm nameKerberos in Linux/etc/krb5.confdefault_realm = GNUD.IErealms GNUD.IE = kdc = kerberos1.gnud.ie:88 kdc = kerberos2.gnud.ie:88 admin_server = kerber

10、os1.gnud.ie:749 default_domain = gnud.ie domain_realm .gnud.ie = GNUD.IE gnud.ie = GNUD.IEKerberos in LinuxCreate administrative user# /usr/Kerberos/sbin/kadmin.local -q addprinc admin/admin To start automatically # /sbin/chkconfig krb5kdc on# /sbin/chkconfig kadmin onStart up manually # /etc/rc.d/i

11、nit.d/krb5kdc start# /etc/rc.d/init.d/kadmin startCreate the user principal # kadmin.local Kerberos in LinuxTime SynchronizationThe Network Time Protocol (NTP)NTP package/etc/ntp.confserver Kerberos in LinuxPAM - Pluggable Authentication Module /usr/share/doc/pam_krb5-1.55/pam.d auth required /lib/s

12、ecurity/pam_krb5.so use_first_pass Apache Web Server AllowOverride None AuthType KerberosV5 AuthName Kerberos Login KrbAuthRealm GNUD.IE require valid-uservs. wins/windows2000/techinfo/planning/security/kerbsteps.aspAdditional Resources RFC 1510 (2942/3244)/rfcsearch.htmlKerberos FAQ/faqs/kerberos-f

13、aq/general/index.html Fermilab Kerberos/docs/strongauth/ /docs/strongauth/html/ /docs/manuals/linux/RHL-9-Manual/ref-guide/pt-security-reference.html14.2 X.509/CAX509定義了公鑰認(rèn)證服務(wù)框架。Certificate 證書印象PKI/X.509CA in Win2kEJBCACertificate 證書印象證書是可靠發(fā)布公鑰的載體公鑰及其持有人信息其他信息(用途、有效期、)簽發(fā)人及其簽名(對上面信息)例子解析見備注行X.509分發(fā)公鑰

14、證書格式內(nèi)容、格式和編碼、簽名鑒別協(xié)議X509中推薦的協(xié)議應(yīng)用IPSec、SSL/TLS、SET、S/MIME、PGP、RFC 2459Internet X.509 Public Key Infrastructure Certificate and CRL Profile從公鑰到證書審核 證書格式版本序列號簽名算法標(biāo)識其參數(shù)簽發(fā)者名字不早于，不遲于主題名(持有人名)算法標(biāo)識其參數(shù)公鑰簽發(fā)人標(biāo)識(重名)持有人標(biāo)識擴展簽名算法參數(shù)簽名X509v3 擴展V3以可選擴展項的形式體現(xiàn)(擴展名字，值，是否可忽略)密鑰標(biāo)識符密鑰用途簽名、加密、密鑰交換、CA等組合私鑰使用期限對應(yīng)的公鑰一般有更長的期限以用于

15、驗證策略信息等頒發(fā)者和持有人的更多信息證書路徑的約束信息ASN.1 編碼解析#openssl asn1parse -in root.pem -dump證書中心 CACertificate Authority權(quán)威的證書簽發(fā)者接受請求、審核、(收費)、簽發(fā)商業(yè)CA機構(gòu)Certificate Request申請人產(chǎn)生自己的公鑰(私鑰)提交PKCS#10格式的申請公鑰、自己的身份信息，用戶自己的簽名審核頒發(fā)面對面的交涉; 代理RA證書發(fā)布X500目錄; 在線交換證書的獲得等問題證書是公開的，不需保密這很好信任對證書的信任基于對中心的信任CA是分層次的以減輕負(fù)載和壓力(尤其是審核)對多個中心的信任分散了

16、風(fēng)險，也引入了風(fēng)險證書的自證明前提: 已經(jīng)有CA的公鑰CA公鑰一般是自簽名證書的形式必須可靠的獲得，離線手工取得對方的證書證書是公開的，不需保密查目錄；在線交換判斷證書是否有效驗證證書中的簽名是否是CA的真實簽名(只是說這個證書是有效的)信任關(guān)系信任信任CA信任CA的簽名信任CA簽發(fā)的證書信任該持有人擁有這個公鑰 層次CA組織成為層次關(guān)系信任鏈信任某CA則信任其子CA及其子CA簽發(fā)的證書CA之間的相互信任相互給對方的公鑰簽署一個證書CA TreeA和B之間如何達(dá)成相互信任證書的撤銷證書中的有效期證書提前作廢的原因私鑰泄密用戶自己的、CA的持有人身份變化CRL - certificate rev

17、ocation list 由CA定期公布的證書黑名單作廢證書的序列號的表(序列號,撤銷時間)表的創(chuàng)建日期其他信息CRL位置、下次CRL更新時間簽名Online Certificate Status ProtocolOCSP 在線證書狀態(tài)協(xié)議可以用在線方式查詢指定證書的狀態(tài)RFC 2560 OCSP使用證書進(jìn)行身份鑒別前提: 已經(jīng)有某人的真實證書(公鑰)查目錄或在線交換鑒別鑒別對方是否是真實的持有人(某人)看對方是否擁有證書中公鑰對應(yīng)的私鑰使用挑戰(zhàn)應(yīng)答機制舉例SSL協(xié)議使用證書的鑒別過程鑒別A要和B通信，A要弄清楚B是否是他所期望的真的BAB：A向B請求證書AB：A給B一個隨機報文，讓B簽個名來

18、看看B ：B簽名，在簽名之前可施加自己的影響成分A ./demoCA/serialopenssl genrsa -out ./demoCA/private/cakey.pem 1024openssl req -new -days 10000 -key ./demoCA/private/cakey.pem -out careq.pemopenssl ca -selfsign -in careq.pem -out ./demoCA/cacert.pem #CA ready# user1openssl genrsa -out userkey.pem 1024openssl req -new -day

19、s 3650 -key userkey.pem -out userreq.pemopenssl ca -in userreq.pem -out usercert.pemmv *.pem ./demoCA/newcerts/.證書解析手工演示in windowsuse openssl.exeopenssl x509 -in cert.pem -text編程參考 .appsx509.c其他證書廠商提供的解析庫API證書操作 (in OpenSSL)PEM_read_bio_X509_AUX()X509_get_version()X509_get_issuer_name()X509_get_subject_name()X509_get_pubkey()X509_verify()解析證書例程推薦閱讀：CA運營機構(gòu)及其它請看IE中受信任的證書頒發(fā)機構(gòu)VeriSign/SDCA/ Shop365/ SHECA/ CFCA/ CNCA (gd) Misc/dzsw_aqx/dzsw_aqx_