网络攻防技术八：身份认证与口令攻击

---

一、身份认证

定义：正确识别与检查用户的身份，即身份认证。
本质：由被认证放提供标识自己身份的信息，信息系统对所提供的信息进行验证，从而判断被认证方是否是其声称的用户。
防御意义：其一防止攻击者轻易进入系统，其二有利于保护系统的可用性不受破坏。

身份认证基于所知、所有、所在、用户特征四种与用户有关的内容之一或者它们的组合实现。

身份认证技术：口令认证（所知）、信物认证（所有）、地址认证（所在）、用户特征认证（生物特征和行为特征）、密码学认证

1、口令认证

静态口令认证：注册生成的用户名和密码，服务器保证，登录校验。
安全威胁：口令监听（明文传输）、截取/重放（Cookie），穷举攻击（暴力破解）、简单口令猜测（弱口令）、字典攻击（小型爆破）、伪造服务攻击（Cookie/Session）、口令泄露（社会工程，木马、垃圾搜索）、直接破解系统口令文件（安全漏洞）
动态口令认证（一次性口令）：使用双因子实现（固定因子[用户的口令]、动态因子[时间等]）。

二、口令行为和口令猜测

脆弱口令行为：口令构造偏好性选择（服从均匀分布）、口令重用、基于个人信息构造口令。

口令猜测攻击：
  根据攻击过程种是否利用个人信息，口令猜测算法可以分为漫步攻击（不关心攻击对象信息，只关心允许次数）和定向攻击（关心攻击对象信息，尽可能快的猜测出所给定目标）。

三、操作系统口令破解

1、Windows

  用户账号和口令经过加密散列变化后以Hash列表的形式存放系统目录%Systemroot%\Windows\system32\config\的SAM文件

2、Unix

/etc/passwd保存账号信息
/etc/shadow保存密码信息

四、网络应用口令破解

脱库（拖库，导出数据）
洗库（清洗数据，数据分类，有价值的用户进行数据变现）
撞库（得到的用户密码在其他网站尝试登录）

五、口令防御

1、要求

1、口令必须符合复杂性要求
2、口令越长越好
3、注意保护口令安全
4、尽量不用重复的口令
5、限制口令重试次数
6、分组分类