天瑞科技 - 深圳电脑维修，深圳电脑维护，深圳电脑修理， 上门维修电脑，深圳电脑上门维修

天瑞电脑公司　　正在为您转接...

常规口令 　　

在现实生活中，我们个人的身份主要是通过各种证件来确认的，比如：身 份证、户口本等。计算机世界与现实世界非常相似，各种计算资源（如：文 件、数据库、应用系统）也需要认证机制的保护，确保这些资源被应该使用的 人使用。在大多数情况下，认证机制与授权和记账也紧密结合在一起。 　　

目前各类计算资源主要靠固定口令的方式来保护。比如你需要访问一个NT 系统，首先必须在这个NT上设置一个账户，并设定密码。当通过网络访问NT资 源时，系统会要求输入你的账户名和密码。在账户和密码被确认了以后，你就 可以访问NT上的资源了。 　　

这种以固定口令为基础的认证方式存在很多问题，最明显的是以下几种。 　　

■ 网络数据流窃听(Sniffer) 由于认证信息要通过网络传递，并且很多 认证系统的口令是未经加密的明文，攻击者通过窃听网络数据，就很容易分辨 出某种特定系统的认证数据，并提取出用户名和口令。 　　

■ 认证信息截取/重放(Record/Replay) 有的系统会将认证信息进行简单 加密后进行传输，如果攻击者无法用第一种方式推算出密码，将使用截取/重放 方式。 　　

■ 字典攻击 由于多数用户习惯使用有意义的单词或数字作为密码，某些 攻击者会使用字典中的单词来尝试用户的密码。所以大多数系统都建议用户在 口令中加入特殊字符，以增加口令的安全性。 　　

■ 穷举尝试(Brute Force) 这是一种特殊的字典攻击，它使用字符串的 全集作为字典。如果用户的密码较短，很容易被穷举出来，因而很多系统都建 议用户使用长口令。 　　

■ 窥探 攻击者利用与被攻击系统接近的机会，安装监视器或亲自窥探合 法用户输入口令的过程，以得到口令。 　　

■ 社交工程 攻击者冒充合法用户发送邮件或打电话给管理人员，以骗取 用户口令。 　　

■ 垃圾搜索 攻击者通过搜索被攻击者的废弃物，得到与攻击系统有关的 信息，如果用户将口令写在纸上又随便丢弃，则很容易成为垃圾搜索的攻击对 象。 　　

虽然用户可以通过经常更换密码和增加密码长度来保证安全，但这同时也 给用户带来了很大麻烦。 　 　

一次性口令 　　

为了解决固定口令的诸多问题，安全专家提出了一次性口令（OTP：One Time Password）的密码体制，以保护关键的计算资源。 　　

OTP的主要思路是：在登录过程中加入不确定因素，使每次登录过程中传送 的信息都不相同，以提高登录过程安全性。例如：登录密码=MD5(用户名＋密码 ＋时间），系统接收到登录口令后做一个验算即可验证用户的合法性。 　　

1.不确定因子选择与口令生成 　　

这些不确定因子选择方式大致有以下几种： 　　

■ 口令序列(S/KEY) 口令为一个单向的前后相关的序列，系统只用记录第 N个口令。用户用第N－1个口令登录时，系统用单向算法算出第N个口令与自己 保存的第N个口令匹配，以判断用户的合法性。由于N是有限的，用户登录N次后 必须重新初始化口令序列。 　　

■ 挑战/回答(CRYPTOCard) 用户要求登录时，系统产生一个随机数发送 给用户。用户用某种单向算法将自己的秘密口令和随机数混合起来发送给系 统，系统用同样的方法做验算即可验证用户身份。 　　

■ 时间同步(SecureID) 以用户登录时间作为随机因素。这种方式对双方 的时间准确度要求较高，一般采取以分钟为时间单位的折中办法。在SecureID 产品中，对时间误差的容忍可达±1分钟。 　　

■ 事件同步(Safe Word) 这种方法以挑战/回答方式为基础，将单向的前 后相关序列作为系统的挑战信息，以节省用户每次输入挑战信息的麻烦。但当 用户的挑战序列与服务器产生偏差后，需要重新同步。 　　

一次性口令的生成方式有以下几种： 　　

■ Token Card（硬件卡） 用类似计算器的小卡片计算一次性口令。对于 挑战/回答方式，该卡片配备有数字按键，便于输入挑战值；对于时间同步方 式，该卡片每隔一段时间就会重新计算口令；有时还会将卡片作成钥匙链式的 形状，某些卡片还带有PIN保护装置。 　　

■ Soft Token（软件） 用软件代替硬件，某些软件还能够限定用户登录 的地点。 　　

■ IC卡 在IC卡上存储用户的秘密信息，这样用户在登录时就不用记忆自 己的秘密口令了。 　　

2.SDI ACE/Server 　　

下面以Security Dynamics公司的SDI ACE/Server为例介绍一次性口令系 统的组成。 　　

ACE/Server采用时间同步方式生成一次性口令(前面提到过的SecureID)， 加密算法和单向函数采用其专用加密算法和Hash函数。ACE/Server的主要特点 是：分布认证、集中管理、在线备份、审计和日志。即：多个ACE/Server可以 分布在企业计算环境的各个部分对关键资源进行保护，在管理上可以进行集中 管理；在容错方面，支持认证系统数据库的实时复制，在主认证服务器出现故 障时，另一台备份认证服务器可以马上接管其工作；另外ACE/Server还具备强 大的审计和日志功能。 　　

ACE/Server 可以用于NAS、FireWall、VPN、MainFrame、NT、NetWare 和大部分Unix和WebServers的资源保护，对DBMS的保护由另一产品BoKS和 ACE/Server配合完成。 　　

ACE/Server将管理范围划分成若干区(Realm)，一个区由一个Server管 理。如果需要很高的容错性，还可以在一个区内添加一台Backup Server作为 备用服务器。整个系统一共支持20个区，每个区支持100000用户。用户在区中 被统一管理，也可以跨区进行认证。 　　

ACE/Server的主要功能是提供远程/本地认证服务、认证转接、数据同 步、用户管理、审计和日志数据记录。Backup Server的主要任务是数据同步 和错误接管。ACE/Agent的功能是在各个被保护的对象上实施安全策略。 　　

RADIUS 　　

在网络接入设备的初期阶段，用户的认证和授权主要是由接入设备自身来 完成。这在用户数量较少时还能够很好地满足要求，但当用户数量达到一定规 模后，接入设备间的用户认证数据共享就成为了很大的问题。 　　

因为不可能限制用户必须通过某台特定的接入设备接入（这会严重降低资 源利用率），所以一个用户的信息必然存在于多个接入设备之上，这就给用户 信息的维护带来了很大的麻烦。 　　

这时人们开始注意到，应该将用户信息集中存放在一个地方，由一个“权 威机构”进行集中认证，于是就诞生了RADIUS协议，随后Cisco公司也推出了 类似的集中认证协议TACACS（最近版本为TACACS＋）。RADIUS和TACACS＋协 议为网络接入设备的集中认证（Authentication）、授权（Authorization） 和记账（Accounting）提供了基础。 　　

RADIUS是“Remote Authentication Dial In User Service”的简写， 其第一版为RFC 2058和2059，第二版为RFC 2138和2139。2138主要规定集中 认证和授权过程，2139则规定了记账过程。RADIUS规范使用UDP协议传输数 据。 　　

1.RADIUS主要特点 　　

RADIUS具有以下特点：通过网络传输的认证信息都经过加密，安全性高； 认证方式灵活，支持Unix Passwd、CHAP、挑战－回答认证等多种认证方式， 还支持认证转接（Authentication Forwarding）；协议扩展性好，通过变长 的属性串（Attribute Pair）能够进一步扩展RADIUS协议。 　　

值得一提的是，RADIUS本身并未规定如何进行授权操作，在实际应用中， 授权是通过定义ACL（Access Control List）属性串扩展RADIUS来实现的。 　　

2.认证/记账过程 　　

RADIUS的认证过程如下：NAS被看成RADIUS的客户端，当用户登录到NAS 时，客户端将用户提供的认证信息（如用户名和口令）发送给指定的RADIUS Server，并根据Server的回应作出相应的“允许/不允许登录”的决定。 　　

RADIUS Server 负责接收认证请求并进行认证，然后将认证结果（包括连 接协议、端口信息、 ACL 等授权信息）发送回RADIUS Client，Client根据 授权信息限制用户对资源的访问。 　　

一个RADIUS Server可以作为另一个RADIUS Server的客户端要求认证 （即认证转接），以提供灵活的认证方式。 　　

RADIUS Server和Client之间传递的认证信息用一个事先设置的口令进行 加密，防止敏感信息泄露。 　　

当用户成功的登录后，NAS会向RADIUS Server发送一个连接开始的记账信 息包，其中包括用户使用的连接种类、协议和其他自定义信息；当用户断开连 接后，NAS会向RADIUS Server发送一个连接结束的记账信息包，RADIUS Server根据设置为用户记账。 　　

一个典型的登录过程 　　

用户登录NAS； 　　

NAS发送“Access－Request”到RADIUS Server，其中包括用户名、密码 等信息； 　　

如果该用户可以直接认证，RADIUS Server 将根据设置认证该用户，并发 回“Access－Accept”；或拒绝该用户，并发回“Access－Reject”消息； 　　

如果该用户使用挑战－回答认证，RADIUS Server 将发送包含挑战信息的 “Access－Challenge”消息，NAS将挑战信息显示给用户； 　　

用户将回答提交给NAS，NAS将发送第二个“Access－Request”，Server 将根据此信息进行认证； 　　

如果该用户需要另一个RADIUS Server 进行认证，该Server 会利用认证 转接功能进行认证。