第二章 安全认证

2.1 安全认证概述

认证

定义：对实体的身份进行审核，证实其合法性的过程，适用于用户、进程、系统、网络连接等。
作用：识别合法实体与非法实体。信息系统的第一道安全防线，是访问控制等其它安全机制的基础。

认证的基本过程

1、 标识

定义：为每个实体取一个系统可以识别的内部名称。
作用：追踪和控制实体在系统中的行为。
特点：具有唯一性，通常是公开的。

2、 鉴别

定义：实体标识与实体联系的过程
作用：证实实体是否名副其实或有效
特点：鉴别过程应该是私密的。

身份鉴别方法

用户知道的事情
用户身体特征
用户拥有的可表明身份的实物

2.2 基于知识的身份认证

定义：根据用户掌握的知识，对其进行身份认证。
最普遍的技术：基于口令的身份认证。

动态口令技术

定义：动态口令(One-TimePassword,OTP)，又叫动态令牌、动态密码。
基本思想：依据用户身份信息，并引入不确定因子，产生随机变化的口令。

2.3 基于令牌的身份认证

令牌：持有人身份的标志。
特点：唯一、易识别、不易伪造
常见的令牌：
智能卡

USB key

2.4 基于生理特征的身份认证

2.5 基于行为特征的身份认证

2.6 人工交互认证

2.7 多因素和附加认证技术

多因素认证：组合使用两种或两种以上的认证技术，以提高安全性或者可用性。
附加认证技术：
在基本认证方式（例如用户名+口令）基础上，通过用户的附加信息，例如登录时间、IP地址、
MAC地址、地理位置进行认证。
目的：限制用户在特定的时间段、特定主机或地理位置进行访问，提高安全性。