一、身份认证技术概述
1、身份认证
- 是网络安全的第一道防线。
- 是最基本的安全服务，其他的安全服务都依赖于它。
- 在物联网应用系统中，身份认证也是整个物联网应用层信息安全体系的基础。
2、基本身份认证技术
（1）双方认证
是一种双方相互认证的方式。
（2）可信第三方认证
认证过程必须借助于一个双方都能信任的可信第三方（如：Kerberos 认证协议）。
3、基于 PKI/WPKI 轻量级认证技术
（1）PKI（公钥基础设施）
是一个用公钥技术来实施和提供安全服务的、具有普适性的安全基础设施。
（2）WPKI
- Wireless PKI
- 是为了满足无线通信的安全需求而发展起来的公钥基础设施。
4、新型身份认证技术 —— 零知识身份认证技术
不需要提供私密信息也能够识别用户身份
技术思想：有两方，认证方 V 和被认证方 P，P 掌握了某些私密信息，P 想设法让 V 相信它确实掌握了那些信息，但又不想让 V 知道他掌握的那些信息具体内容是什么。
5、非对称密钥认证
- 通过请求认证者和认证者之间对一个随机数作为数字签名与验证数字签名的方法来实现。
- 要求（用于实现数字签名和验证数字签名的密钥对必须与进行认证的一方唯一对应）
二、Kerberos 网络用户身份认证系统
1、Kerberos 简介
2、Kerberos 系统要解决的问题
- 在一个开放的分布环境中，工作站的用户想获得分布在网络中的服务器上的服务；服务器应能够限制授权用户的访问，并能鉴别服务请求的种类。
- 但在这种环境下，存在以下三种威胁：
- 攻击者可能假装成其他用户操作工作站。
- 攻击者可以变更工作站的网络地址，从而冒充另一台工作站发送请求。
- 攻击者可以监听信息交换并使用重播攻击，以获得服务或破坏正常操作。
3、Kerberos 系统的功能
- 提供一个集中的认证服务器，其功能上实现服务器与用户之间的相互认证。
- 采用可信任的第3方密钥分配中心（KDC）保存与所有密钥持有者通信的主密钥（秘密密钥）
- 安全机制（首先对发出请求的用户进行身份验证，确认是否是合法的用户，如果是，再审核该用户是否有权对他所请求的服务或主机进行访问）。
4、Kerberos 系统的目的
- 安全：非法用户不能伪装成合法用户来窃听有关信息。
- 可靠：用户依靠Kerberos提供的服务来取得进行访问控制所需的服务。
- 透明：整个系统对用户来说应该是透明的。除了需要输入一个口令外，用户感觉不到认证服务的发生。
- 可扩缩：系统应采用模块化、分布式结构，能支持大量客户和服务器。
5、Kerberos 系统的角色
（1）认证服务器 AS
作为第三方对用户进行身份认证。
（2）票据许可服务器 TGS
向已通过 AS 认证的用户发送用户获取业务服务器 V 所提供的服务的票据。
6、Kerberos 系统的缩写
7、Kerberos 系统的凭证
（1）票据（Ticket）
（2）鉴别码（Authentication）
8、Kerberos 系统的认证过程
9、Kerberos 系统的优缺点
（1）优点
- 较高的安全性
- 用户透明性好
- 扩展性好
（2）缺点
- 服务器在回应用户的口令时,不验证用户的真实性。
- 随着用户数的增加，密钥管理较复杂。
- AS 和 TGS 是集中式管理，容易形成瓶颈，系统的性能和安全也严重依赖于 AS 和 TGS 的性能和安全。
10、Kerberos 系统的安全性
（1）旧的鉴别码很有可能被存储和重用
票据的有效期可能很长，典型的为八小时
（2）鉴别码基于这样一个事实，即网络中的所有时钟基本上是同步的
如果能够欺骗主机，使它的正确时间发生错误，那么旧鉴别码就能被重放。
（3）Kerberos 对猜测口令攻击很脆弱
若能收集足够多的票据，则有很大机会找到口令。
（4）恶意软件的攻击
11、小结
三、公钥基础设施 PKI
1、PKI
- Public Key Infrastructure
- 是一个包括硬件、软件、人员、策略和规程的集合，能够为所有网络应用提供基于公钥密码体制的加密和数字签名等密码服务，以及所必须的密钥和证书的产生、管理、存储、分发和撤销等功能。
- PKI技术是电子商务的关键和基础。
- PKI 技术是信息安全技术的核心。
2、PKI 的动机
（1）在开放的环境中为开放性业务提供加密和数字签名服务
（2）公钥技术
- 如何提供数字签名功能？
- 如何实现不可否认服务？
- 公钥和身份如何建立联系（为什么要相信这是某个人的公钥)？
- 公钥如何管理？
（3）方案
- 引入证书(certificate)
3、PKI 的基本组成
（1）公钥证书
- 是由可信实体签名的电子记录，记录将公钥和密钥所有者的身份捆绑在一起。
- 是 PKI 的基本部件
（2）认证机构（CA，Certificate Authority）
- PKI 的核心，主要任务是颁发和作废公钥证书。
（3）注册机构（RA，Registration Authority）
- 多数用于在证书请求过程中核实证书申请者的身份。
（4）证书管理机构（CMA，Certificate Management Authority）
- 将 CA 和 RA 合起来
（5）PKI 管理标准
- 用于定义证书颁发、吊销、更新和续订等证书管理的细节
（6）数字证书库
- 用于存储已签发的数字证书及公钥
（7）密钥备份及恢复系统
- 提供备份与恢复密钥的机制（由可信的机构来完成）
- 只能备份解密密钥，不能备份签名私钥
（8）证书注销系统
4、PKI 的基本体系结构图
5、PIK 的信任模型
（1）分级模型
（2）对等模型
6、PKI 中的证书（Certificate，简称 cert）
- PKI 适用于异构环境中，所以证书的格式在所使用的范围内必须统一。
- 证书是一个机构颁发给一个安全个体的证明，所以证书的权威性取决于该机构的权威性。
- 一个证书中，最重要的信息是
- 个体名字、个体的公钥
- 机构的签名、算法和用途
- 签名证书和加密证书分开
- 最常用的证书格式为 X.509 v3
7、小结
四、密钥的管理
1、密钥的分配
- 公开发布
- 公开可访问目录
- 公钥授权
- 公钥证书
2、公钥的分配
（1）分开发布
（2）公开可访问目录
（3）公钥授权
（4）公钥证书
（5）利用公钥分配对称密钥
A. 简单的秘密钥分配
B. 具有保密性和真实性的秘密钥分配
3、Diffie-Hellman 密钥交换
（1）目的
使两个用户能安全地交换密钥。
（2）只限于进行密钥交换
（3）有效性建立在计算离散对树困难性的基础之上
（4）三方或多方 Diffie-Hellman 密钥交换
