14三月2024訪(fǎng)問(wèn)控制與審計(jì)監(jiān)控課件課程內(nèi)容訪(fǎng)問(wèn)控制與審計(jì)監(jiān)控知識(shí)體知識(shí)域訪(fǎng)問(wèn)控制模型訪(fǎng)問(wèn)控制技術(shù)審計(jì)和監(jiān)控技術(shù)知識(shí)子域標(biāo)識(shí)和鑒別技術(shù)典型訪(fǎng)問(wèn)控制方法和實(shí)現(xiàn)強(qiáng)制訪(fǎng)問(wèn)控制模型訪(fǎng)問(wèn)控制模型基本概念自主訪(fǎng)問(wèn)控制模型信息安全審計(jì)安全監(jiān)控知識(shí)域：訪(fǎng)問(wèn)控制模型知識(shí)子域：訪(fǎng)問(wèn)控制基本概念理解標(biāo)識(shí)、鑒別和授權(quán)等訪(fǎng)問(wèn)控制的基本概念理解各種安全模型的分類(lèi)和關(guān)系訪(fǎng)問(wèn)控制的概念和目標(biāo)訪(fǎng)問(wèn)控制：針對(duì)越權(quán)使用資源的防御措施目標(biāo)：防止對(duì)任何資源（如計(jì)算資源、通信資源或信息資源）進(jìn)行未授權(quán)的訪(fǎng)問(wèn)，從而使資源在授權(quán)范圍內(nèi)使用，決定用戶(hù)能做什么，也決定代表一定用戶(hù)利益的程序能做什么。資源不是無(wú)限開(kāi)放的，在一定約束條件下使用網(wǎng)絡(luò)及信息具有價(jià)值，難免會(huì)受到各種意外的或者蓄意的未授權(quán)的使用和破壞必須授權(quán)才可以訪(fǎng)問(wèn)Window7中的自主訪(fǎng)問(wèn)控制訪(fǎng)問(wèn)控制的作用未授權(quán)訪(fǎng)問(wèn)：包括未經(jīng)授權(quán)的使用、泄露、修改、銷(xiāo)毀信息以及頒發(fā)指令等。非法用戶(hù)對(duì)系統(tǒng)資源的使用合法用戶(hù)對(duì)系統(tǒng)資源的非法使用作用：機(jī)密性、完整性和可用性術(shù)語(yǔ)：主體與客體主體發(fā)起者，是一個(gè)主動(dòng)的實(shí)體，可以操作被動(dòng)實(shí)體的相關(guān)信息或數(shù)據(jù)用戶(hù)、程序、進(jìn)程等客體一種被動(dòng)實(shí)體，被操作的對(duì)象，規(guī)定需要保護(hù)的資源文件、存儲(chǔ)介質(zhì)、程序、進(jìn)程等主體與客體之間的關(guān)系主體：接收客體相關(guān)信息和數(shù)據(jù)，也可能改變客體相關(guān)信息一個(gè)主體為了完成任務(wù)，可以創(chuàng)建另外的主體，這些子主體可以在網(wǎng)絡(luò)上不同的計(jì)算機(jī)上運(yùn)行，并由父主體控制它們客體：始終是提供、駐留信息或數(shù)據(jù)的實(shí)體主體和客體的關(guān)系是相對(duì)的，角色可以互換授權(quán)規(guī)定主體可以對(duì)客體執(zhí)行的操作：讀寫(xiě)執(zhí)行拒絕訪(fǎng)問(wèn)…標(biāo)識(shí)標(biāo)識(shí)是實(shí)體身份的一種計(jì)算機(jī)表達(dá)，每個(gè)實(shí)體與計(jì)算機(jī)內(nèi)部的一個(gè)身份表達(dá)綁定標(biāo)識(shí)的主要作用：訪(fǎng)問(wèn)控制和審計(jì)訪(fǎng)問(wèn)控制：標(biāo)識(shí)用于控制是否允許特定的操作審計(jì)：標(biāo)識(shí)用于跟蹤所有操作的參與者，參與者的任何操作都能被明確地標(biāo)識(shí)出來(lái)主體標(biāo)識(shí)的實(shí)例主體的標(biāo)識(shí)在UNIX中，主體（用戶(hù)）的身份標(biāo)識(shí)為0-65535之間的一個(gè)整數(shù)，稱(chēng)為用戶(hù)身份號(hào)（UID）用戶(hù)登錄時(shí)的UID可以改變，有效UID是用于訪(fǎng)問(wèn)控制的用戶(hù)身份UID=22permitreadIf登錄uid=22and有效uid=35，thenread?If登錄uid=35and有效uid=22，thenread？常見(jiàn)的主體標(biāo)識(shí)還包括用戶(hù)名、卡、令牌等，也可以是指紋、虹膜等生物特征客體標(biāo)識(shí)的實(shí)例客體的標(biāo)識(shí)文件名UNIX中提供不同的文件標(biāo)識(shí)：絕對(duì)路徑文件名相對(duì)路徑文件名鑒別確認(rèn)實(shí)體是它所聲明的，提供了關(guān)于某個(gè)實(shí)體身份的保證，某一實(shí)體確信與之打交道的實(shí)體正是所需要的實(shí)體口令、挑戰(zhàn)-應(yīng)答、生物特征鑒別所有其它的安全服務(wù)都依賴(lài)于該服務(wù)需求：某一成員（聲稱(chēng)者）提交一個(gè)主體的身份并聲稱(chēng)它是那個(gè)主體目的：使別的成員（驗(yàn)證者）獲得對(duì)聲稱(chēng)者所聲稱(chēng)的事實(shí)的信任訪(fǎng)問(wèn)控制的兩個(gè)重要過(guò)程第一步：鑒別檢驗(yàn)主體的合法身份第二步：授權(quán)限制用戶(hù)對(duì)資源的訪(fǎng)問(wèn)權(quán)限訪(fǎng)問(wèn)控制模型主體客體訪(fǎng)問(wèn)控制實(shí)施訪(fǎng)問(wèn)控制決策提交訪(fǎng)問(wèn)請(qǐng)求請(qǐng)求決策決策提出訪(fǎng)問(wèn)請(qǐng)求什么是訪(fǎng)問(wèn)控制模型對(duì)一系列訪(fǎng)問(wèn)控制規(guī)則集合的描述，可以是非形式化的，也可以是形式化的。組成訪(fǎng)問(wèn)控制模型的分類(lèi)訪(fǎng)問(wèn)控制模型強(qiáng)制訪(fǎng)問(wèn)控制模型（MAC）自主訪(fǎng)問(wèn)控制模型（DAC）訪(fǎng)問(wèn)矩陣模型訪(fǎng)問(wèn)控制列表（ACL）權(quán)能列表（CapacityList）Bell-Lapudula模型Biba模型Clark-Wilson模型ChineseWall模型保密性模型完整性模型基于角色訪(fǎng)問(wèn)控制模型（RBAC）混合策略模型知識(shí)域：訪(fǎng)問(wèn)控制模型知識(shí)子域：自主訪(fǎng)問(wèn)控制模型理解自主訪(fǎng)問(wèn)控制的含義了解訪(fǎng)問(wèn)矩陣模型，理解和分析應(yīng)用訪(fǎng)問(wèn)矩陣模型的實(shí)現(xiàn)（訪(fǎng)問(wèn)控制列表、權(quán)能列表）自主訪(fǎng)問(wèn)控制的含義允許客體的屬主（創(chuàng)建者）決定主體對(duì)該客體的訪(fǎng)問(wèn)權(quán)限靈活地調(diào)整安全策略具有較好的易用性和可擴(kuò)展性常用于商業(yè)系統(tǒng)安全性不高訪(fǎng)問(wèn)許可訪(fǎng)問(wèn)許可：描述主體對(duì)客體所具有的控制權(quán)定義了改變?cè)L問(wèn)模式的能力或向其它主體傳送這種能力的能力訪(fǎng)問(wèn)許可的類(lèi)型有主型（Owner）每個(gè)客體設(shè)置一個(gè)擁有者（一般是客體的生成者），擁有者是唯一有權(quán)修改客體訪(fǎng)問(wèn)控制表的主體，擁有者對(duì)其客體具有全部控制權(quán)等級(jí)型（Hierarchical）自由型（Laissez-faire）自主訪(fǎng)問(wèn)控制的實(shí)現(xiàn)機(jī)制和方法實(shí)現(xiàn)機(jī)制訪(fǎng)問(wèn)控制表/矩陣實(shí)現(xiàn)方法訪(fǎng)問(wèn)控制表（AccessControlLists）訪(fǎng)問(wèn)能力表（CapacityList）

訪(fǎng)問(wèn)控制矩陣行：主體（用戶(hù)）列：客體（文件）矩陣元素：規(guī)定了相應(yīng)用戶(hù)對(duì)應(yīng)于相應(yīng)的文件被準(zhǔn)予的訪(fǎng)問(wèn)許可、實(shí)施行為客體x客體y客體z主體aR、W、OwnR、W主體bRR、W、Own主體cR主體dR、WR、W訪(fǎng)問(wèn)控制表訪(fǎng)問(wèn)控制矩陣按列：訪(fǎng)問(wèn)控制表訪(fǎng)問(wèn)控制表：每個(gè)客體可以被訪(fǎng)問(wèn)的主體及權(quán)限客體y主體b主體dRWOwnRW權(quán)能表訪(fǎng)問(wèn)控制矩陣按行：訪(fǎng)問(wèn)能力表訪(fǎng)問(wèn)能力表：每個(gè)主體可訪(fǎng)問(wèn)的客體及權(quán)限主體b客體x客體yRRWOwn訪(fǎng)問(wèn)控制表與訪(fǎng)問(wèn)能力表的比較ACLCL保存位置客體主體瀏覽訪(fǎng)問(wèn)權(quán)限容易困難訪(fǎng)問(wèn)權(quán)限傳遞困難容易訪(fǎng)問(wèn)權(quán)限回收容易困難使用集中式系統(tǒng)分布式系統(tǒng)自主訪(fǎng)問(wèn)控制的特點(diǎn)優(yōu)點(diǎn)：根據(jù)主體的身份和訪(fǎng)問(wèn)權(quán)限進(jìn)行決策具有某種訪(fǎng)問(wèn)能力的主體能夠自主地將訪(fǎng)問(wèn)權(quán)的某個(gè)子集授予其它主體靈活性高，被大量采用缺點(diǎn)：安全性較弱信息在移動(dòng)過(guò)程中其訪(fǎng)問(wèn)權(quán)限關(guān)系會(huì)被改變。如用戶(hù)A可將其對(duì)目標(biāo)C的訪(fǎng)問(wèn)權(quán)限傳遞給用戶(hù)B,從而使不具備對(duì)C訪(fǎng)問(wèn)權(quán)限的B可訪(fǎng)問(wèn)C。知識(shí)域：訪(fǎng)問(wèn)控制模型知識(shí)子域：強(qiáng)制訪(fǎng)問(wèn)控制模型理解強(qiáng)制訪(fǎng)問(wèn)控制的分類(lèi)和含義掌握典型強(qiáng)制訪(fǎng)問(wèn)控制模型：Bell-Lapudula模型、Biba模型、ChineseWall模型和Clark-Wilson模型強(qiáng)制訪(fǎng)問(wèn)控制的含義主體對(duì)客體的所有訪(fǎng)問(wèn)請(qǐng)求按照強(qiáng)制訪(fǎng)問(wèn)控制策略進(jìn)行控制，客體的屬主無(wú)權(quán)控制客體的訪(fǎng)問(wèn)權(quán)限，以防止對(duì)信息的非法和越權(quán)訪(fǎng)問(wèn)主體和客體分配有一個(gè)安全屬性應(yīng)用于軍事等安全要求較高的系統(tǒng)可與自主訪(fǎng)問(wèn)控制結(jié)合使用常見(jiàn)強(qiáng)制訪(fǎng)問(wèn)控制模型BLP模型1973年提出的多級(jí)安全模型，影響了許多其他模型的發(fā)展，甚至很大程度上影響了計(jì)算機(jī)安全技術(shù)的發(fā)展Biba模型1977年，Biba提出的一種在數(shù)學(xué)上與BLP模型對(duì)偶的完整性保護(hù)模型Clark-Wilson模型1987年，DavidClark和DavidWilson開(kāi)發(fā)的以事物處理為基本操作的完整性模型，該模型應(yīng)用于多種商業(yè)系統(tǒng)ChineseWall模型1989年，D.Brewer和M.Nash提出的同等考慮保密性與完整性的安全策略模型，主要用于解決商業(yè)中的利益沖突BLP模型的組成主體集：S客體集：O安全級(jí)：密級(jí)和范疇密級(jí)：絕密、機(jī)密、秘密、公開(kāi)范疇：NUC、EUR、US偏序關(guān)系：支配≥安全級(jí)L=(C,S)高于安全級(jí)L’=(C’,S’)，當(dāng)且僅當(dāng)滿(mǎn)足以下關(guān)系：C≥C’，SS’BLP模型規(guī)則（一）簡(jiǎn)單安全特性：S可以讀O，當(dāng)且僅當(dāng)S的安全級(jí)可以支配O的安全級(jí)向下讀*—特性：S可以寫(xiě)O，當(dāng)且僅當(dāng)O的安全級(jí)可以支配S的安全級(jí)向上寫(xiě)B(tài)LP模型規(guī)則（二）當(dāng)一個(gè)高等級(jí)的主體必須與另一個(gè)低等級(jí)的主體通信，即高等級(jí)的主體寫(xiě)信息到低等級(jí)的客體，以便低等級(jí)的主體可以讀主體有一個(gè)最高安全等級(jí)和一個(gè)當(dāng)前安全等級(jí)，最高安全等級(jí)必須支配當(dāng)前等級(jí)主體可以從最高安全等級(jí)降低下來(lái)，以便與低安全等級(jí)的實(shí)體通信BLP模型實(shí)例Biba模型的組成主體集：S客體集：O完整級(jí)：完整級(jí)和范疇完整等級(jí)：Crucial，VeryImportant，Important范疇：NUC、EUR、US偏序關(guān)系：支配≥安全級(jí)L=(C,S)高于安全級(jí)L’=(C’,S’)，當(dāng)且僅當(dāng)滿(mǎn)足以下關(guān)系：C≥C’，SS’Biba模型規(guī)則與實(shí)例S可以讀O，當(dāng)且僅當(dāng)O的安全級(jí)支配S的安全級(jí)S可以寫(xiě)O，當(dāng)且僅當(dāng)S的安全級(jí)支配O的安全級(jí)Clark-Wilson模型的目標(biāo)解決商業(yè)系統(tǒng)最關(guān)心的問(wèn)題：系統(tǒng)數(shù)據(jù)的完整性以及對(duì)這些操作的完整性一致性狀態(tài)：數(shù)據(jù)滿(mǎn)足給定屬性，就稱(chēng)數(shù)據(jù)處于一個(gè)一致性狀態(tài)實(shí)例：今天到目前為止存入金額的總數(shù)：D今天到目前為止提取金額的總數(shù)：W昨天為止所有賬戶(hù)的金額總數(shù)：YB今天到目前為止所有賬戶(hù)的金額總數(shù)：TB一致性屬性：D+YB-W=TBChineseWall模型的組成（一）主體集：S客體集：O無(wú)害客體：可以公開(kāi)的數(shù)據(jù)有害客體：會(huì)產(chǎn)生利益沖突，需要限制的數(shù)據(jù)PR(S)表示S曾經(jīng)讀取過(guò)的客體集合最早來(lái)源主要是指金融投資銀行業(yè)需要將投資決策人和了解非公開(kāi)的能夠影響投資決策的信息的人隔開(kāi)，類(lèi)似于避免內(nèi)幕交易。ChineseWall模型的組成（二）公司數(shù)據(jù)集CD：與某家公司相關(guān)的若干客體利益沖突COI：若干相互競(jìng)爭(zhēng)的公司的數(shù)據(jù)集銀行COI類(lèi)銀行a銀行b銀行c石油公司COI類(lèi)公司w公司u公司v公司xChineseWall模型實(shí)例自主訪(fǎng)問(wèn)控制與強(qiáng)制訪(fǎng)問(wèn)控制的比較自主訪(fǎng)問(wèn)控制細(xì)粒度靈活性高配置效率低強(qiáng)制訪(fǎng)問(wèn)控制控制粒度大靈活性不高安全性強(qiáng)基于角色的訪(fǎng)問(wèn)控制由Ferraiolo等人在90年代提出美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院NIST成立專(zhuān)門(mén)機(jī)構(gòu)進(jìn)行研究1996年提出一個(gè)較完善的基于角色的訪(fǎng)問(wèn)控制參考模型RBAC96RBAC模型的基本思想RBAC的基本思想是根據(jù)用戶(hù)所擔(dān)任的角色來(lái)決定用戶(hù)在系統(tǒng)中的訪(fǎng)問(wèn)權(quán)限。一個(gè)用戶(hù)必須扮演某種角色，而且還必須激活這一角色，才能對(duì)一個(gè)對(duì)象進(jìn)行訪(fǎng)問(wèn)或執(zhí)行某種操作。安全管理員用戶(hù)角色/權(quán)限指定訪(fǎng)問(wèn)或操作激活RBAC96的組成RBAC0:含有RBAC核心部分RBAC1:包含RBAC0，另含角色繼承關(guān)系(RH)RBAC2:包含RBAC0，另含限制(Constraints)RBAC3:包含所有層次內(nèi)容，是一個(gè)完整模型RBAC模型的組成（一）用戶(hù)（User）：訪(fǎng)問(wèn)計(jì)算機(jī)資源的主體，用戶(hù)集合為U角色（role）：一種崗位，代表一種資格、權(quán)利和責(zé)任，角色集合為R權(quán)限（permission）：對(duì)客體的操作權(quán)力，權(quán)限集合為P用戶(hù)分配（UserAssignment）將用戶(hù)與角色關(guān)聯(lián)。用戶(hù)u與角色r關(guān)聯(lián)后，將擁有r的權(quán)限RBAC模型的組成（二）權(quán)限分配（PermissionAssignment）將角色與權(quán)限關(guān)聯(lián)權(quán)限p與角色r關(guān)聯(lián)后，角色r將擁有權(quán)限p激活角色（ActiveRole）角色只有激活才能起作用，否則不起作用通過(guò)會(huì)話(huà)激活角色會(huì)話(huà)（Session）用戶(hù)要訪(fǎng)問(wèn)系統(tǒng)資源時(shí)，必須先建立一個(gè)會(huì)話(huà)一次會(huì)話(huà)僅對(duì)應(yīng)一個(gè)用戶(hù)，一次會(huì)話(huà)可激活幾個(gè)角色RBAC模型的基本機(jī)制RBAC模型實(shí)例RBAC模型的特點(diǎn)便于授權(quán)管理，如系統(tǒng)管理員需要修改系統(tǒng)設(shè)置等內(nèi)容時(shí)，必須有幾個(gè)不同角色的用戶(hù)到場(chǎng)方能操作，增強(qiáng)了安全性便于處理工作分級(jí)，如文件等資源分級(jí)管理利用安全約束，容易實(shí)現(xiàn)各種安全策略，如最小特權(quán)、職責(zé)分離等便于任務(wù)分擔(dān)，不同角色完成不同的任務(wù)知識(shí)域：訪(fǎng)問(wèn)控制技術(shù)知識(shí)子域：標(biāo)識(shí)和鑒別技術(shù)理解賬號(hào)和口令管理的基本原則了解生物識(shí)別技術(shù)及其實(shí)現(xiàn)（虹膜、指紋、掌紋等）了解其他鑒別技術(shù)（令牌、票據(jù)等）了解單點(diǎn)登錄技術(shù)（SSO）及其實(shí)現(xiàn)（Kerberos等）標(biāo)識(shí)和鑒別的作用作為訪(fǎng)問(wèn)控制的一種必要支持，訪(fǎng)問(wèn)控制的執(zhí)行依賴(lài)于確知的身份訪(fǎng)問(wèn)控制直接對(duì)機(jī)密性、完整性、可用性及合法使用資源提供支持作為數(shù)據(jù)源認(rèn)證的一種方法與數(shù)據(jù)完整性機(jī)制結(jié)合起來(lái)使用作為審計(jì)追蹤的支持在審計(jì)追蹤記錄時(shí)，提供與某一活動(dòng)關(guān)聯(lián)的確知身份鑒別的分類(lèi)本地鑒別和遠(yuǎn)程鑒別本地鑒別：實(shí)體在本地環(huán)境的初始化鑒別遠(yuǎn)程鑒別：連接遠(yuǎn)程設(shè)備、實(shí)體和環(huán)境的實(shí)體鑒別單向鑒別和雙向鑒別單向鑒別：通信雙方中只有一方向另一方進(jìn)行鑒別雙向鑒別：通信雙方相互進(jìn)行鑒別鑒別系統(tǒng)的組成被驗(yàn)證者P（Prover）：出示身份標(biāo)識(shí)的人，又稱(chēng)聲稱(chēng)者（Claimant）驗(yàn)證者V（Verifier）：檢驗(yàn)聲稱(chēng)者提出的身份標(biāo)識(shí)的正確性和合法性，決定是否滿(mǎn)足要求可信賴(lài)者TP（TrustedThirdParty）：參與鑒別的第三方，參與調(diào)解糾紛PVTP鑒別的基本途徑基于你所知道的（Whatyouknow）知識(shí)、口令、密碼基于你所擁有的（Whatyouhave）身份證、信用卡、鑰匙、智能卡、令牌等基于你的個(gè)人特征（Whatyouare）指紋，筆跡，聲音，手型，臉型，視網(wǎng)膜，虹膜雙因素、多因素認(rèn)證常見(jiàn)的鑒別技術(shù)基于口令的身份認(rèn)證基于生物特征的身份認(rèn)證基于個(gè)人令牌的身份認(rèn)證Kerberos身份認(rèn)證協(xié)議基于口令的身份認(rèn)證口令是使用最廣泛的身份鑒別方法選擇原則：易記、難猜測(cè)、抗分析能力強(qiáng)口令提供弱鑒別，面臨的威脅：口令猜測(cè)線(xiàn)路竊聽(tīng)重放攻擊……防止口令猜測(cè)嚴(yán)格限制登錄的次數(shù)限制最小長(zhǎng)度，至少6至8字節(jié)以上防止使用用戶(hù)特征相關(guān)的口令定期改變口令使用機(jī)器生成的口令防止線(xiàn)路竊聽(tīng)使用保護(hù)口令機(jī)制：?jiǎn)蜗蚝瘮?shù)攻擊者很容易構(gòu)造一張q與p對(duì)應(yīng)的表，表中的p盡可能包含所期望的值解決辦法：在口令后使用隨機(jī)數(shù)一次性口令機(jī)制確保在每次鑒別中所使用的口令不同，以對(duì)付重放攻擊口令的確定方法：使用時(shí)間戳，兩端維持同步的時(shí)鐘兩端共同擁有一串隨機(jī)口令，在該串的某一位置保持同步兩端共同使用一個(gè)隨機(jī)序列生成器，在該序列生成器的初態(tài)保持同步雙因素動(dòng)態(tài)口令卡基于密鑰/時(shí)間雙因素的身份鑒別機(jī)制用戶(hù)登錄口令隨時(shí)間變化，口令一次性使用，無(wú)法預(yù)測(cè)，可以有效抵御密碼竊取和重放攻擊雙因素動(dòng)態(tài)口令的強(qiáng)度沒(méi)有器件而知道口令p，不能導(dǎo)致一個(gè)簡(jiǎn)單的攻擊擁有器件而不知道口令p，不能導(dǎo)致一個(gè)簡(jiǎn)單的攻擊除非攻擊者也能進(jìn)行時(shí)間同步，否則難以實(shí)現(xiàn)重放攻擊知道q而不知道設(shè)備安全值dsv，不能導(dǎo)致一個(gè)簡(jiǎn)單的攻擊基于生物特征的身份認(rèn)證（一）每個(gè)人所具有的唯一生理特征指紋，視網(wǎng)膜，聲音，虹膜、語(yǔ)音、面部、簽名等指紋一些曲線(xiàn)和分叉以及一些非常微小的特征提取指紋中的一些特征并且存儲(chǔ)這些特征信息：節(jié)省資源，快速查詢(xún)手掌、手型手掌有折痕，起皺，還有凹槽還包括每個(gè)手指的指紋人手的形狀（手的長(zhǎng)度，寬度和手指）表示了手的幾何特征基于生物特征的身份認(rèn)證（二）視網(wǎng)膜掃描掃描眼球后方的視網(wǎng)膜上面的血管的圖案；虹膜掃描虹膜是眼睛中位于瞳孔周?chē)囊蝗Σ噬牟糠趾缒び衅洫?dú)有的圖案，分叉，顏色，環(huán)狀，光環(huán)以及皺褶語(yǔ)音識(shí)別記錄時(shí)說(shuō)幾個(gè)不同的單詞，然后識(shí)別系統(tǒng)將這些單詞混雜在一起，讓他再次讀出給出的一系列單詞面部掃描人都有不同的骨骼結(jié)構(gòu)，鼻梁，眼眶，額頭和下顎形狀指紋識(shí)別的實(shí)現(xiàn)原理通過(guò)特殊的光電掃描和計(jì)算機(jī)圖像處理技術(shù)，對(duì)指紋進(jìn)行采集、分析和比對(duì)，自動(dòng)、迅速、準(zhǔn)確地認(rèn)證出個(gè)人身份。指紋識(shí)別的過(guò)程按照用戶(hù)和姓名等信息將其存在指紋數(shù)據(jù)庫(kù)中的模板指紋調(diào)出來(lái)，然后再用用戶(hù)輸入的指紋與該模板的指紋相匹配，以確定這兩幅指紋是否出于同一幅指紋。指紋圖象采集儀圖象輸入通道指紋細(xì)節(jié)匹配認(rèn)證結(jié)果虹膜識(shí)別的實(shí)現(xiàn)原理（一）虹膜是環(huán)繞在瞳孔四周有色彩的部分每一個(gè)虹膜都包含一個(gè)獨(dú)一無(wú)二的基于像冠、水晶體、細(xì)絲、斑點(diǎn)、結(jié)構(gòu)、凹點(diǎn)、射線(xiàn)、皺紋和條紋等特征的結(jié)構(gòu)每一個(gè)人的虹膜各不相同，一個(gè)人的左眼和右眼就可能不一樣，即使是雙胞胎的虹膜也可能不一樣人的虹膜在出生后6-18個(gè)月成型后終生不再發(fā)生變化虹膜識(shí)別的實(shí)現(xiàn)原理（二）基于生物特征的認(rèn)證系統(tǒng)的誤判第一類(lèi)錯(cuò)誤：錯(cuò)誤拒絕率（FRR）第二類(lèi)錯(cuò)誤：錯(cuò)誤接受率（FAR）交叉錯(cuò)判率（CER）：FRR=FAR的交叉點(diǎn)CER用來(lái)反映系統(tǒng)的準(zhǔn)確度%安全性FAR(II)FRR(I)CER基于個(gè)人令牌的身份認(rèn)證集成電路卡（IntegratedCircuitCard）簡(jiǎn)稱(chēng)IC卡，其中鑲嵌集成電路芯片IC卡的分類(lèi)IC卡接口類(lèi)型接觸式IC卡非接觸式IC卡雙界面卡嵌入集成電路芯片的形式和類(lèi)型非加密存儲(chǔ)卡邏輯加密卡CPU卡（又稱(chēng)智能卡）智能卡的安全特性硬件與外界通信前，先完成智能卡與終端間的認(rèn)證加入安全傳感器，防止在數(shù)據(jù)被讀出或?qū)懭霑r(shí)被修改發(fā)生異常，智能卡復(fù)位，或者置標(biāo)志位，使智能卡操作系統(tǒng)做出相應(yīng)反應(yīng)存儲(chǔ)器加密，不保存任何明文軟件使用需要通過(guò)雙因素認(rèn)證，進(jìn)入操作智能卡的安全狀態(tài)信息采用文件系統(tǒng)進(jìn)行保存，依據(jù)類(lèi)型或密鑰的不同，提供不同的訪(fǎng)問(wèn)操作支持DES、3DES和RSA等密碼算法單點(diǎn)登錄技術(shù)單點(diǎn)登錄（SSO，SingleSign-on）用戶(hù)只需在登錄時(shí)進(jìn)行一次注冊(cè)，就可以訪(fǎng)問(wèn)多個(gè)系統(tǒng)，不必重復(fù)輸入用戶(hù)名和密碼來(lái)確定身份實(shí)質(zhì)是安全上下文（SecurityContext）或憑證（Credential）在多個(gè)應(yīng)用系統(tǒng)之間的傳遞或共享單點(diǎn)登錄的優(yōu)點(diǎn)方便用戶(hù)方便管理員簡(jiǎn)化應(yīng)用系統(tǒng)開(kāi)發(fā)

Kerberos認(rèn)證協(xié)議美國(guó)麻省理工學(xué)院（MIT）為Athena項(xiàng)目開(kāi)發(fā)的一種身份鑒別協(xié)議“Kerberos”的本意是希臘神話(huà)中守護(hù)地獄之門(mén)的守護(hù)者Kerberos提供了一個(gè)網(wǎng)絡(luò)環(huán)境下的身份認(rèn)證框架結(jié)構(gòu)實(shí)現(xiàn)采用對(duì)稱(chēng)密鑰加密技術(shù)公開(kāi)發(fā)布的Kerberos版本包括版本4和版本5安全性、可靠性、可伸縮性、透明性Kerberos認(rèn)證協(xié)議使用條件有一個(gè)時(shí)鐘基本同步的環(huán)境客戶(hù)機(jī)與KDC（KeyDistributionCenter），KDC與服務(wù)器在協(xié)議工作前已經(jīng)有了各自的共享密鑰組成密鑰分發(fā)中心（KDC）：由兩個(gè)獨(dú)立的邏輯部分組成認(rèn)證服務(wù)器AS（AuthenticationServer）票據(jù)授權(quán)服務(wù)器TGS（TicketGrantingServer）票據(jù)授權(quán)票據(jù)TGT獲得票據(jù)許可票據(jù)第一步：獲得票據(jù)許可票據(jù)用戶(hù)登錄客戶(hù)機(jī)請(qǐng)求主機(jī)服務(wù)認(rèn)證服務(wù)器（AS）在數(shù)據(jù)庫(kù)中驗(yàn)證用戶(hù)的訪(fǎng)問(wèn)權(quán)限，生成票據(jù)許可票據(jù)和會(huì)話(huà)密鑰，它們用由用戶(hù)口令導(dǎo)出的密鑰進(jìn)行加密AS客戶(hù)機(jī)請(qǐng)求票據(jù)許可票據(jù)票據(jù)+會(huì)話(huà)密鑰獲得服務(wù)許可票據(jù)第二步：獲得服務(wù)許可票據(jù)客戶(hù)機(jī)提示用戶(hù)輸入口令來(lái)對(duì)收到的報(bào)文進(jìn)行解密，然后將票據(jù)許可票據(jù)以及包含用戶(hù)名稱(chēng)、網(wǎng)絡(luò)地址和時(shí)間的鑒別符發(fā)往票據(jù)授權(quán)服務(wù)器TGS票據(jù)授權(quán)服務(wù)器TGS對(duì)票據(jù)和鑒別符進(jìn)行解密，驗(yàn)證請(qǐng)求，然后生成請(qǐng)求服務(wù)許可票據(jù)TGS客戶(hù)機(jī)請(qǐng)求服務(wù)許可票據(jù)票據(jù)+會(huì)話(huà)密鑰獲得服務(wù)第三步：獲得服務(wù)客戶(hù)機(jī)將票據(jù)和鑒別符發(fā)給服務(wù)器服務(wù)器驗(yàn)證票據(jù)和鑒別符中的匹配，然后許可訪(fǎng)問(wèn)服務(wù)。如果需要雙向鑒別，服務(wù)器返回一個(gè)鑒別符服務(wù)器客戶(hù)機(jī)請(qǐng)求服務(wù)提供服務(wù)器鑒別符Kerberos認(rèn)證協(xié)議的特點(diǎn)優(yōu)點(diǎn)單點(diǎn)登錄，只要用戶(hù)拿到了TGT并且該TGT沒(méi)有過(guò)期，就可以使用該TGT通過(guò)TGS完成到任一個(gè)服務(wù)器的認(rèn)證而不必重新輸入密碼與授權(quán)機(jī)制相結(jié)合支持雙向的身份認(rèn)證通過(guò)交換“跨域密鑰”實(shí)現(xiàn)分布式網(wǎng)絡(luò)環(huán)境下的認(rèn)證缺點(diǎn)AS和TGS是集中式管理，容易形成瓶頸，系統(tǒng)的性能和安全也嚴(yán)重依賴(lài)于AS和TGS的性能和安全時(shí)鐘同步問(wèn)題身份認(rèn)證采用的是對(duì)稱(chēng)加密機(jī)制，隨用戶(hù)數(shù)量增加，密鑰管理較復(fù)雜知識(shí)域：訪(fǎng)問(wèn)控制技術(shù)知識(shí)子域：典型訪(fǎng)問(wèn)控制方法和實(shí)現(xiàn)理解集中訪(fǎng)問(wèn)控制的基本概念及其實(shí)現(xiàn)（RADIUS、TACACS、TACACS+和Diameter等）理解非集中訪(fǎng)問(wèn)控制的基本概念及其實(shí)現(xiàn)（域等）集中訪(fǎng)問(wèn)控制的基本概念及實(shí)現(xiàn)RADIUS協(xié)議TACACS協(xié)議TACACS+協(xié)議Diameter協(xié)議RADIUS協(xié)議遠(yuǎn)程用戶(hù)撥號(hào)認(rèn)證系統(tǒng)（RemoteAuthenticationDialInUserService）最初由Livingston公司提出，為撥號(hào)用戶(hù)進(jìn)行認(rèn)證和計(jì)費(fèi)，經(jīng)多次改進(jìn)，形成了一項(xiàng)通用的認(rèn)證計(jì)費(fèi)協(xié)議RADIUS是一種C/S結(jié)構(gòu)的協(xié)議，它的客戶(hù)端最初就是NAS（NetAccessServer）服務(wù)器，現(xiàn)在任何運(yùn)行RADIUS客戶(hù)端軟件的計(jì)算機(jī)都可以成為RADIUS的客戶(hù)端基本設(shè)計(jì)組件有認(rèn)證、授權(quán)和記賬RADIUS協(xié)議的基本消息交互流程基本交互步驟如下：用戶(hù)輸入用戶(hù)名和口令radius客戶(hù)端根據(jù)獲取的用戶(hù)名和口令，向radius服務(wù)器發(fā)送認(rèn)證請(qǐng)求包（access-request）radius服務(wù)器將該用戶(hù)信息與users數(shù)據(jù)庫(kù)信息進(jìn)行對(duì)比分析，如果認(rèn)證成功，則將用戶(hù)的權(quán)限信息以認(rèn)證響應(yīng)包（access-accept）發(fā)送給radius客戶(hù)端；如果認(rèn)證失敗，則返回access-reject響應(yīng)包。radius客戶(hù)端根據(jù)接收到的認(rèn)證結(jié)果接入/拒絕用戶(hù)。如果可以接入用戶(hù)，則radius客戶(hù)端向radius服務(wù)器發(fā)送計(jì)費(fèi)開(kāi)始請(qǐng)求包（accounting-request）radius服務(wù)器返回計(jì)費(fèi)開(kāi)始響應(yīng)包（accounting-response）radius客戶(hù)端向radius服務(wù)器發(fā)送計(jì)費(fèi)停止請(qǐng)求包（accounting-request）radius服務(wù)器返回計(jì)費(fèi)結(jié)束響應(yīng)包（accounting-response）RADIUS協(xié)議的特點(diǎn)簡(jiǎn)單明確，可擴(kuò)充使用UDP端口1812，1813；不足：口令傳輸一般為明文；可使用MD5進(jìn)行加密；授權(quán)作為認(rèn)證的一部分；屬性值空間有限；最多支持255個(gè)并發(fā)請(qǐng)求；最多支持255個(gè)廠(chǎng)商定義屬性值；單向RADIUSServerPSTN/ISDNCorporateNetworkTACACS+協(xié)議終端訪(fǎng)問(wèn)控制器訪(fǎng)問(wèn)控制系統(tǒng)（TerminalAccessControllerAccess-ControlSystem）TACACS+是TACACS的最新版本基于TCP

協(xié)議?？蛻?hù)/服務(wù)器型協(xié)議：TACACS+客戶(hù)機(jī)通常是一個(gè)NAS；而TACACS+服務(wù)器是一個(gè)監(jiān)控程序，監(jiān)聽(tīng)49號(hào)端口?；驹O(shè)計(jì)組件有認(rèn)證、授權(quán)和記賬TACACS+認(rèn)證包類(lèi)型TACACS+認(rèn)證用到3種類(lèi)型的包：START：TACACS+客戶(hù)機(jī)發(fā)送給TACACS+服務(wù)器CONTINUE：TACACS+客戶(hù)機(jī)發(fā)送給TACACS+服務(wù)器。REPLY：TACACS+服務(wù)器發(fā)送給TACACS+客戶(hù)機(jī)TACACS+認(rèn)證過(guò)程客戶(hù)機(jī)發(fā)送一個(gè)START包給服務(wù)器。START包的內(nèi)容包括被執(zhí)行的認(rèn)證類(lèi)型（明文口令、PPPPAP或PPPCHAP等），還可能包括用戶(hù)名等其他認(rèn)證數(shù)據(jù)。START包只在一個(gè)認(rèn)證會(huì)話(huà)開(kāi)始時(shí)使用一次，序列號(hào)永遠(yuǎn)是1。服務(wù)器收到START包以后，回送一個(gè)REPLY包，指示認(rèn)證繼續(xù)還是結(jié)束。如果認(rèn)證繼續(xù)，REPLY包還需要指出需要哪些新信息。如果客戶(hù)機(jī)收到認(rèn)證結(jié)束的REPLY包，則認(rèn)證結(jié)束；如果收到認(rèn)證繼續(xù)的REPLY包，則向服務(wù)器發(fā)送CONTINUE包，其中包括服務(wù)器要求的信息，如此反復(fù)，直到認(rèn)證結(jié)束。TACACS+授權(quán)過(guò)程TACACS+授權(quán)過(guò)程分為以下兩步：客戶(hù)端向服務(wù)器發(fā)送一個(gè)REQUEST包，內(nèi)容包括用戶(hù)和過(guò)程的真實(shí)性、請(qǐng)求授權(quán)的服務(wù)和選項(xiàng)。服務(wù)器回復(fù)客戶(hù)端一個(gè)RESPONSE包。TACACS+協(xié)議的特點(diǎn)基于TCP端口49提供比RADIUS更多的授權(quán)選項(xiàng)支持?jǐn)?shù)據(jù)報(bào)文加密不足：有限的廠(chǎng)商支持TACACS+ServerTACACS+ClientAlicePSTN/ISDNCorporateNetworkDiameter協(xié)議Diameter協(xié)議作為下一代的AAA協(xié)議標(biāo)準(zhǔn)，是RADIUS協(xié)議的升級(jí)版本它包括基本協(xié)議、NAS（網(wǎng)絡(luò)接入服務(wù)）協(xié)議、EAP（可擴(kuò)展鑒別）協(xié)議、MIP（移動(dòng)IP）協(xié)議、CMS（密碼消息語(yǔ)法）協(xié)議等Diameter協(xié)議的基本內(nèi)容Diameter基礎(chǔ)協(xié)議為移動(dòng)IP（MobileIP）、網(wǎng)絡(luò)接入服務(wù)（NAS）等應(yīng)用提供最基本的服務(wù)，如用戶(hù)會(huì)話(huà)、計(jì)費(fèi)等，具有能力協(xié)商、差錯(cuò)通知等功能Diameter的NAS協(xié)議處理用戶(hù)MN的接入請(qǐng)求Diameter的EAP協(xié)議供了一個(gè)支持各種鑒別方法的標(biāo)準(zhǔn)機(jī)制Diameter的CMS協(xié)議實(shí)現(xiàn)了協(xié)議數(shù)據(jù)的端到端加密Diameter的MIP協(xié)議允許用戶(hù)漫游到外部域，并在經(jīng)過(guò)鑒權(quán)后接受外部域服務(wù)器和代理提供的服務(wù)。DIAMETER協(xié)議的特點(diǎn)提供傳輸?shù)目煽啃跃哂休^高安全性支持漫游，更好地適應(yīng)現(xiàn)代網(wǎng)絡(luò)的發(fā)展非集中訪(fǎng)問(wèn)控制域：一個(gè)信任范圍，或者是共享共同安全策略的主體和客體的集合每個(gè)域的訪(fǎng)問(wèn)控制與其它域保持獨(dú)立跨域訪(fǎng)問(wèn)必須建立信任關(guān)系，用戶(hù)可以從一個(gè)域訪(fǎng)問(wèn)另一個(gè)域中的資源信任可以是單向的，也可以是雙向的知識(shí)域：審計(jì)和監(jiān)控技術(shù)知識(shí)子域：信息安全審計(jì)了解安全審計(jì)的基本概念理解安全審計(jì)的作用和目標(biāo)了解審計(jì)系統(tǒng)的組成結(jié)構(gòu)知識(shí)子域：安全監(jiān)控了解常用安全監(jiān)控技術(shù)掌握內(nèi)容審計(jì)系統(tǒng)模型以及網(wǎng)絡(luò)不良信息內(nèi)容監(jiān)控方法安全審計(jì)安全審計(jì)的作用安全審計(jì)的基本概念安全審計(jì)的目標(biāo)