网络安全基础篇之<六>

******身份认证和访问控制

--

****身份认证：证实客户的真实身份与其所声称的名称是否相符的过程。

***依据：1.something the use to know :密码、口令等2.something the use processes (拥有)：身份证、护照、密钥盘等。3.特征：指纹、笔迹、声纹、虹膜、DNA 等。

***协议：PAP 、CHAP 、KerBeros、X.509。

***形式：单项认证、双向认证。

**1.单项认证：传统加密，公鈅加密。

**2.双向认证：消息重放威胁，应对的方式：1.使用一个时序来给每一个消息报文，序数合法才接受。2.时间戳。3.盘问/应答方式

***一个简单的认证对话：

**1.引入认证服务器(AS)，知道所有的用户的口令并将它们存储在一个中央数据库中。2.AS与每一个服务器共有一个唯一的保密密钥。

***更安全的认证对话：用户输入口令次数最少、密文传输。

******访问控制

--

****访问控制：1.对进入系统的控制。2.针对越权使用资源的防御措施。

***分类：1.自主访问控制。2.强制访问控制。3.基于角色的访问控制。

***目的：为了限制访问主体用户、进程服务等对客体文件系统的访问权限。

**作用：对访问系统数据的人的身份进行鉴别，验证和法性，是进行记帐和审计的前提。

***访问控制实现的机制：1.访问控制表。2.访问能力表。2.访问控制矩阵。3.授权关系表。

**访问控制的一般策略：1.自主访问控制。2.强制访问控制。3.自主/强制访问的问题。4.基于角色的访问控制。

**** RBAC 参考模型：



****授权管理

***三种：自主访问控制、强制访问控制、基于角色的访问控制的授权。