身份认证与访问安全

第5章 身份认证与访问控制技术

第5章 身份认证与访问控制技术

教学目标

● 理解身份认证的概念及常用认证方式方法 ● 了解数字签名的概念、功能、原理和过程

● 掌握访问控制的概念、原理、类型、机制和策略 ● 理解安全审计的概念、类型、跟踪与实施 ● 了解访问列表与Telnet访问控制实验

5.1 身份认证技术概述

5.1.1 身份认证的概念

身份认证基本方法有三种：用户物件认证；有关信息确认或体貌特征识别。 1. 身份认证的概念

认证（Authentication）是指对主客体身份进行确认的过程。

身份认证（Identity Authentication）是指网络用户在进入系统或访问受限系统资源时，系统对用户身份的鉴别过程。

2. 认证技术的类型

认证技术是用户身份认证与鉴别的重要手段，也是计算机系统安全中的一项重要内容。从鉴别对象上，分为消息认证和用户身份认证两种。

（1）消息认证：用于保证信息的完整性和不可否认性。

（2）身份认证：鉴别用户身份。包括识别和验证两部分。识别是鉴别访问者的身份，验证是对访问者身份的合法性进行确认。

从认证关系上，身份认证也可分为用户与主机间的认证和主机之间的认证，

5.1.2 常用的身份认证方式

1. 静

身份鉴别与访问控制技术综述

魏明欣，何长龙，李伟平

正元信息技术股份有限公司 长春130012)

1

2

3

(1.吉林省政府发展研究中心 长春130015 2.北京大学电子政务研究院 北京 100018 3.长春吉大

摘要：身份认证是网络安全的最基本元素，它们是用户登录网络时保证其使用和交易安全的首要因素。本文首先介绍了常用的身份鉴别和访问控制的基本概念，对身份鉴别和访问控制技术的机制、实现方法等及相关知识进行简要介绍，以期对初次接触这两个领域的读者有所帮助。

一、概述

身份鉴别与访问控制技术是信息安全理论与技术的一个重要方面。其原理，如图1所示。

用户在访问网络信息时，必须首先进行身份鉴别，只有通过身份鉴别的用户请求，才能被转发到访问监控服务，访问监控服务根据访问请求中的身份和资源信息和取得对应的授权策略和资源的访问控制策略，以决定用户能否访问该资源。

身份库由身份（用户）管理员管理，授权策略和资源的访问控制策略由安全管理员按照需要进行配置和管理。身份信息管理、授权策略和访问控制策略管理、用户在访问资源时所产生的身份鉴别信息、访问控制信息，以及入侵侦测系统实时或非实时地检测是否有入侵行为等系统运行期产生的安全审计信息均记录到安全审计系统，供审

xxxx

统一身份与访问管理系统解决方案

www.novell.com 2014年10月

统一身份与访问管理系统方案建议书

联系信息

关于本文中的任何信息，请联系技术工程师王庆先生，他的详细联系方式为： 电话： 电子邮件： 13813992658@139.com TWang@novell.com 版本历史

版本 1.0 日期 2014年10月 备注 第1版 免责声明

本建议书不得视为或解释为Novell和xxxx之间有效而且有约束力的协议。建议书根据从xxxx获得的信息而编制，Novell 对本建议书内容的准确性、完整性或充分性或建议书的使用不做任何担保，而且特别明确表示，对于本建议书的适销性和对特定目的的适用性，不做任何明示或暗示的担保。此外，Novell 公司保留修订本建议书及其内容的权利。

版权 ? 2014

版权所有。未经Novell公司同意，严禁复制或者修订本建议书的任何内容。xxxx仅能够在内部复制和传播。

2014年10月 2/28

xxxx

统一身份与访问管理系统解决方案

www.novell.com 2014年10月

统一身份与访问管理系统方案建议书

联系信息

关于本文中的任何信息，请联系技术工程师王庆先生，他的详细联系方式为： 电话： 电子邮件： 13813992658@139.com TWang@novell.com 版本历史

版本 1.0 日期 2014年10月 备注 第1版 免责声明

本建议书不得视为或解释为Novell和xxxx之间有效而且有约束力的协议。建议书根据从xxxx获得的信息而编制，Novell 对本建议书内容的准确性、完整性或充分性或建议书的使用不做任何担保，而且特别明确表示，对于本建议书的适销性和对特定目的的适用性，不做任何明示或暗示的担保。此外，Novell 公司保留修订本建议书及其内容的权利。

版权 ? 2014

版权所有。未经Novell公司同意，严禁复制或者修订本建议书的任何内容。xxxx仅能够在内部复制和传播。

2014年10月 2/28

CA身份认证和电子签名方案

多应用系统CA身份认证和电子签名解决方案

1、用户背景

某港口始建于1892年，是具有117年历史的国家特大型港口。2008年完成港口吞吐量3亿多吨，居世界第七位；完成集装箱1002万标准箱，居世界第十位；进口铁矿石吞吐量居世界港口第一位，进口原油吞吐量居全国港口第一位，外贸吞吐量居全国港口第二位。集装箱作业效率、铁矿石卸船效率世界港口第一。

2、用户需求

总结用户需求如下：

某港务局金蝶软件的财务系统（EAS），该系统提供用户B/S和C/S两种

架构可以选择，港务局内网用户采用C/S架构的系统，目前采用的简单的用户名/口令认证登录方式存在安全隐患。为保证业务的安全运营，需要采用强身份认证系统来保证应用系统的登录安全。

某港务局网上财务结算系统，负责港务局20多家二级单位的财务结算，

采用C/S架构，目前采用的简单的用户名/口令认证登录方式存在安全隐患。为保证业务的安全运营，需要采用强身份认证系统来保证应用系统的登录安全。

内部OA系统业务流中的重要表单数据，需要满足数据的完整性校验和

实现用户操作的不可抵赖性保证。

3、解决方案

建设数字证书认证服务器，解决服务器和个人用户身份真实性的问题。

具体建设方案如下：

证书服务器

城市乡村一个样

递铺小学501班程周指导老师：周雪萍

暑假里，我乘车去乡下探望大伯伯，汽车在不停地向前飞驰。透过宽大的车窗，我欣赏着窗外美丽的风景，眺望远处的锦绣山河。

来到大伯家，门前，金色的麦浪时起时伏，收割机在田野上欢快地忙碌着。绿油油的秧苗，排列在道路两旁，插秧机，来来回回不知疲倦地工作着，农民伯伯脸上露出了欢快的笑容。那远处，还有许多的厂房，厂里正在生产新产品，产品源源不断地运出厂房，运往全国各地，甚至世界各国。村子四周，一幢幢高楼拔地而起，一条条马路平坦宽阔，村子中央，一座现代化的游乐场设施俱全，旁边还有一座依山傍水的公园……

记得前几年的暑假，我也乘着汽车去大伯伯家，沿途看见农民伯伯拿着镰刀，戴着草帽，顶着火辣辣的太阳，弯腰收割，低头插秧，一会儿他们就汗流满面，浑身湿透，身上像刚洗过澡一样。远处是矮矮的平房，稀稀拉拉的散步布在树林中，荒野上。几条崎岖不平的沙石公路，弯弯曲曲地躺在那里，汽车颠颠簸簸，疲惫不堪地开过。如今，处处高楼林立，家家庭院小楼，高速公路纵横交错，四通八达。

家乡的变化可真大啊！我为家乡日新月异的变化感到骄傲，真是城市乡村一个样！

统一身份认证技术研究

作者：苏星晔 徐方南

来源：《中国新通信》2015年第02期

【摘 要】 随着企业信息化的不断发展，企业应用系统越来越趋于多样化和复杂化，用户对服务质量的要求也越来越高，统一身份认技术已成为各系统必不可少的一部分。本文通过对统一身份认技术中的单点登录的相关技术进行研究，梳理了实现单点登录的主要方式。

【关键词】 统一身份认证 单点登录

一、前言

随着信息网络技术的发展，许多企业都建立了大量的应用系统。由于每个应用系统都有各自的登录界面和安全策略，用户都需要单独进行注册后才能登录。于是，用户需要记忆与不同系统对应的用户名和密码来进行身份认证，这无疑增加了出错的可能性及操作的复杂度。 因此，提出了统一身份认证的概念，即将不同的认证方式进行整合和统一，在多个应用系统中，用户只需要认证身份一次，认证后就可以访问具有相应权限的其他应用系统，从而实现单点登录和统一身份认证。

二、单点登录的实现方式

2.1基于cookie的方式

Cookie是Web服务器通过HTTP响应在客户端浏览器中保存的信息，可以包含任何内容，但通常包含用户会话状态信息。目前，cookie已广泛应用于Web中，如Microsoft的Passport单点登录服务就是

一、背景描述

随着信息化的迅猛发展，政府、企业、机构等不断增加基于

Internet/Intranet 的业务系统，如各类网上申报系统，网上审批系统，OA 系统等。系统的业务性质，一般都要求实现用户管理、身份认证、授权等必不可少的安全措施，而新系统的涌现，在与已有系统的集成或融合上，特别是针对相同的用户群，会带来以下的问题：

1、每个系统都开发各自的身份认证系统，这将造成资源的浪费，消耗开发成本，并延缓开发进度；

2、多个身份认证系统会增加系统的管理工作成本；

3、用户需要记忆多个帐户和口令，使用极为不便，同时由于用户口令遗忘而导致的支持费用不断上涨；

4、无法实现统一认证和授权，多个身份认证系统使安全策略必须逐个在不同的系统内进行设置，因而造成修改策略的进度可能跟不上策略的变化；

5、无法统一分析用户的应用行为

因此，对于拥有多个业务系统应用需求的政府、企业或机构等，需要配置一套统一的身份认证系统，以实现集中统一的身份认证， 并减少信息化系统的成本。单点登录系统的目的就是为这样的应用系统提供集中统一的身份认证，实现“一点登录、多点漫游、即插即用、应用无关”的目标，方便用户使用。

二、CAS简介

CAS（Central Authenti

统一身份认证技术研究

作者：苏星晔 徐方南

来源：《中国新通信》2015年第02期

【摘 要】 随着企业信息化的不断发展，企业应用系统越来越趋于多样化和复杂化，用户对服务质量的要求也越来越高，统一身份认技术已成为各系统必不可少的一部分。本文通过对统一身份认技术中的单点登录的相关技术进行研究，梳理了实现单点登录的主要方式。

【关键词】 统一身份认证 单点登录

一、前言

随着信息网络技术的发展，许多企业都建立了大量的应用系统。由于每个应用系统都有各自的登录界面和安全策略，用户都需要单独进行注册后才能登录。于是，用户需要记忆与不同系统对应的用户名和密码来进行身份认证，这无疑增加了出错的可能性及操作的复杂度。 因此，提出了统一身份认证的概念，即将不同的认证方式进行整合和统一，在多个应用系统中，用户只需要认证身份一次，认证后就可以访问具有相应权限的其他应用系统，从而实现单点登录和统一身份认证。

二、单点登录的实现方式

2.1基于cookie的方式

Cookie是Web服务器通过HTTP响应在客户端浏览器中保存的信息，可以包含任何内容，但通常包含用户会话状态信息。目前，cookie已广泛应用于Web中，如Microsoft的Passport单点登录服务就是

仲恺农业工程学院实验报告纸

计算机科学与工程 （院、系） 网络工程 专业 081 班 网络安全实验 课

学号 200810224128 姓名 张丽丽 实验日期 2011/11/06 教师评定 实验一 Windows访问控制与安全配置

一、开发语言及实现平台或实验环境

Windows XP操作系统的计算机

二、实验目的

（1）通过实验掌握安全策略与安全模板的使用

三、实验要求

（1）掌握安全模板的管理和设置 （2）按照模板配置各项安全属性

四、实验原理

“安全模板”是一种可以定义安全策略的文件表示方式，它能够配置账户和本地策略、事件日志、受限组、文件系统、注册表以及系统服务等项目的安全设置。安全模板都以.inf格式的文本文件存在，用户可以方便地复制、粘贴、导入或导出某些模板。此外，安全模板并不引入新的安全参数，而只是将所有现有的安全属性组织到一个位置以简化安全性管理，并且提供了一种快速批量修改安全选项的方法。

系统已经预定义了几个安全模板以帮助加强系统安全，在默认情况下，这些模板存储在\目录下。它们分别是： 1.Compatws.inf

提供基本的安全策略，执行具有较低级别的安全性