信息安全管理和技术试题答案(4)

DSS签名使用FIPS80-1和安全hash标淮(SHS)产生和核实数字签名。许多加密者认为SHS所指定的安全散列算法(SHA)是当今可以得到的最强劲的散列算法。

16

第十二章 身份认证

一、选择题

1. Kerberos的设计目标不包括（B）。

A. 认证 B.授权 C.记账 D.审计

2. 身份鉴别是安全服务中的重要一环，以下关于身份鉴别叙述不正确的是（B）。 A. 身份鉴别是授权控制的基础

B. 身份鉴别一般不用提供双向的认证

C. 目前一般采用基于对称密钥加密或公开密钥加密的方法 D. 数字签名机制是实现身份鉴别的重要机制

3. 基于通信双方共同拥有的但是不为别人知道的秘密，利用计算机强大的计算能力，以该秘密作为加密和解密的密钥的认证是（C）。

A. 公钥认证 B. 零知识认证 C. 共享密钥认证 D. 口令认证4. Kerberos在请求访问应用服务器之前，必须（ A. 向Ticket Granting服务器请求应用服务器 B. 向认证服务器发送要求获得“证书” C. 请求获得会话密钥

D. 直接与应用服务器协商会话密钥

5．（C）是一个对称DES加密系统，它使用一个集中式的专钥密码功能，系统的核心是KDC。

A. TACACS B. RADIUS C. 二、填空题

1． 身份认证是 验证信息发送者是真的 ，而不是冒充的，包括信源、信宿等的认证和识别。

三、问答题

1. 解释身份认证的基本概念。

身份认证是指用户必须提供他是谁的证明，过程是为了限制非法用户访问网络资源，它是其他安全机制的基础。 身份认证是安全系统中的第一道关卡，识别身份后，定是否能够访问某个资源。一旦身份认证系统被攻破，系统的所有安全措施将形同虚设，黑客攻击的目标往往就是身份认证系统。

2. 单机状态下验证用户身份的三种因素是什么？（1）用户所知道的东西：如口令、密码。（2）用户所拥有的东西：如智能卡、身份证。（3）用户所具有的生物特征：如指纹、声音、视网膜扫描、

3. 有哪两种主要的存储口令的方式，各是如何实现口令验证的？1. 直接明文存储口令

有很大风险，只要得到了存储口令的数据库，就可以得到全体人员的口令。比如攻击者可以设法得到一个低优先级的帐号和口令，进入系统后得到明文存储口令的文件，令。

2. Hash散列存储口令

散列函数的目的是为文件、报文或其他分组数据产生列值对在一个口令文件中，当用户登录时，用户输入口令散列值进行比对，成功即允许登录。

4. 了解散列函数的基本性质。

散列函数H必须具有性质： ? H能用于任何长度的数据分组；

A）。ticket Kerberos

这种证实客户的真实身份与其所声称的身份是否相符的

D. PKI

由访问监视器根据用户的身份和授权数据库决DNA “指纹”。对于每一个用户，系统存储帐号和散x，系统计算F(x)，然后与口令文件中相应的17

的请求

等。 这样他就可以得到全体人员的口

? H产生定长的输出；

? 对任何给定的x，H(x)要相对容易计算；

? 对任何给定的码h，寻找x使得H(x)=h在计算上 是不可行的，称为单向性；

? 对任何给定的分组x，寻找不等于x的y，使得H(y)=H(x)在计算上是不可行的，称为弱抗冲突（Weak Collision Resistance）； ? 寻找对任何的(x,y)对，使得H(y)=H(x)在计算上是不可行的，称为强抗冲突（Strong Collision Resistance）。

5. 使用口令进行身份认证的优缺点？

优点在于黑客即使得到了口令文件，通过散列值想要计算出原始口令在计算上也是不可能的，这就相对增加了安全性。

严重的安全问题（单因素的认证），安全性仅依赖于口令，而且用户往往选择容易记忆、 容易被猜测的口令（安全系统最薄弱的突破口）6. 利用智能卡进行的双因素的认证方式的原理是什么？智能卡具有硬件加密功能，有较高的安全性。每个用户持有一张智能卡，智能卡存储用户个性化的秘密信息，同时在验证服务器中也存放该秘密信息。进行认证时，用户输入智能卡认证PIN，成功后，即可读出智能卡中的秘密信息，进而利用该秘密信息与主机之间进行认证。 双因素的认证方式（件保护措施和加密算法，可以利用这些功能加强安全性能。

7. 有哪些生物特征可以作为身份认证的依据，这种认证的过程是怎样的？以人体唯一的、可靠的、稳定的生物特征（如指纹、虹膜、脸部、掌纹等）为依据，采用计算机强大的计算功能和网络技术进行图象处理和模式识别。该技术具有很好的安全性、可靠性和有效性。 所有的工作有一的特征将会被提取并且被转化成数字符号，进行身份认证，以确定匹配或不匹配。

8. 了解什么是基于时间同步、基于事件同步、挑战1）基于时间同步认证技术是把流逝的时间作为变动因子（户密钥卡和认证服务器所产生的密码在时间上必须同步。2) 基于事件同步认证技术是把变动的数字序列（事件序列）作为密码产生器的一个运算因子与用户的私钥共同产生动态密码。用户密钥卡和认证服务器保持相同的事件序列。3) 挑战/应答方式的变动因子是由认证服务器产生的随机数字序列（码卡的密码生成的变动因子，由于每一个Challenge是在同一个地方产生，不需要同步。

9. 掌握S/KEY协议的认证过程。? 客户向需要身份认证的服务器提出连接请求；? 服务器返回应答，带两个参数? 客户输入口令，系统将口令与性口令，传给服务器；? 服务器端必须存储有一个文件（ 登录的一次性口令，服务器收到用户传过来的一次性口令后，再进行一次先前存储的口令比较，匹配则通过身份认证，并用这次一次性口令覆盖原先的口令。下次客户登录时，服务器将送出那 么口令的匹配应该没有问题。

10. 了解S/KEY协议的优缺点。S/KEY的优点：? 用户本身的秘密口令并没有在网上传播；? 下一次用户连接时生成的口令与上一次生成的是不一样的，有效地保护了用户口令的安，口令文件也可被进行离线的字典式攻击。

PIN（个人身份识别码）PIN+智能卡），即使PIN或智能卡被窃取，用户仍不会被冒充。智能卡提供硬

4个步骤：抓图、抽取特征、比较和匹配。生物捕捉系统捕捉到生物特征的样品，唯这些符号被存成那个人的特征摸板，人们同识别系统交互 /应答式的非同步的认证技术？

60秒作为变化单位，用“滑动窗口”技术）

Challenge），它也是密 Challenge都是唯一的、不会重复使用，并且

seed、seq；

seed连接，做sed次Hash计算（MD4或MD5），产生一次

UNIX系统中位于/etc/skeykeys），它存储每一个用户上次 Hash运算，与 seq’=seq-1，这样，如果用户确实是原来的那个真实客户，

18

， 。用

全；

? 实现原理简单，Hash函数还可以用硬件实现。

S/KEY的缺点：

? 口令使用到一定次数后就需要重新初始化，因为每次seq要减1；

? 依赖于MD4/MD5的不可逆性，当这种算法的 可逆计算研究有了新进展时，系统将被 迫选用其他更安全的算法； ? 会话内容是没有保密性的；

? 重复使用以前使用的密钥，会给入侵者提供入侵的机会；

? 维护一个很大的一次性密钥列表也很麻烦，即使提供产生一次性密钥的硬件，所有用户 也必须都安装这样的硬件。

11. 了解RADIUS协议的基本概念、特点和认证过程。

（1）RADIUS（Remote Authentication Dial-in User Service）是一个在拨号网络中提供注册、验证功能的工业标准。

（2）是由朗讯公司提出的C/S安全协议，已成为Internet的正式协议标准，是当前流行的AAA（认证Authentication、授权Authorization、计费Accounting）协议。

（3）是网络接入服务器（NAS）和后台服务器（RADIUS服务器，有DB）之间的一个常见协议，使得拨号和认证放在两个分离网络设备上。 RADIUS的特点

（1） RADIUS协议使用UDP作为传输协议。使用两个UDP端口分别用于认证（以及认证通过后对

用户的授权）和计费。1812号是认证端口，1813号是计费端口。

（2） RADIUS服务器能支持多种认证方法。当用户提交用户名和密码时，RADIUSPAP（口令认证协议）或者CHAP（质询握手协议）、UNIX Login和其他认证方法。RADIUS的认证过程

（1）接入服务器从用户那里获取用户名和口令（PAP口令或CHAP加密口令），将其同用户的一些其他信息（如主叫号码、接入号码、占用的端口等）打成RADIUS数据包向RADIUS服务器发送，通常称为认证请求包。

（2）RADIUS服务器收到认证请求包后，首先查看接入服务器是否已经登记，然后根据包中用户名、口令等信息验证用户是否合法。如果用户非法，则向接入服务器发送访问拒绝包；如果用户合法，那么RADIUS服务器会将用户的配置信息（如用户类型、地址等）打包发送到接入服务器，该包被称为访问接受包。

（3）接入服务器收到访问接受/拒绝包时，首先要判断包中的签名是否正确，如果不正确将认为收到一个非法的包。如果签名正确，那么接入服务器会接受用户的上网请求，并用收到的信息对用户进行配置、授权（收到了访问接受包）；或者是拒绝该用户的上网请求（收到了访问拒绝包）。

12. 了解Kerberos系统的优点。

(1) 安全：网络窃听者不能获得必要信息以假冒其他用户，Kerberos应足够强壮以致于潜在的敌人无法找到它的弱点连接。

(2) 可靠：Kerberos应高度可靠并且应借助于—个分布式服务器体系结构，使得一个系统能够备份另一个系统。

(3) 透明：理想情况下用户除了要求输入口令以外应感觉不到认证的发生。

(4) 可伸缩：系统应能够支持大数量的客户和服务器，这意味着需要一个模块化的分布式结构。

13. 掌握一个简单的鉴别对话过程以及它所存在的问题。

在一个不受保护的网络环境中，最大的安全威胁是冒充。为了防止这种威胁，服务器必须能够证实请求服务的用户的身份。

在这里我们使用一个鉴别服务器(AS)，它知道每个用户的口令并将这些口令存储在一个集中的数据库中。另外，AS与每个服务器共享一个惟一的密钥，这些密钥已经通过安全的方式进行分发。认证过程如下：

PPP

IP

19

服务器能支持

(1) 一用户登录一个工作站，请求访问服务器V。客户模块C运行在用户的工作站中，它

要求用户输入口令，然后向AS服务器发送一个报文，里面有用户ID、服务器ID、用 户的口令。

(2) AS检查它的数据库、验证用户的口令是否与用户的ID匹配，以及该用户是否被允许访

问该数据库。若两项测试都通过，AS认为该用户是可信的，为了要让服务器V确信 该用户是可信的，AS生成一张加密过的票据，内含用户1D、用户网络地址、服务器

ID。因为是加密过的，它不会被C或对手更改。(3) C向V发送含有用户ID和票据的报文。V对票据进行解密，验证票据中的用户ID与未

加密的用户ID是否一致。如果匹配，则通过身份验证。 上面的对话没有解决两个问题： (1) 希望用户输入的口令次数最少。 (2) 前而的对话涉及口令的明文传输。

14. 掌握一个更安全的鉴别对话过程。为了解决这些问题，我们引入一个所谓的票据许可服务器认证过程如下：

(1) 用户通过向AS发送用户(2) AS发回一张加密过的票据，加密密钥是由用户的口令导出的。当响应抵达客户端时，客户端提示用户输入口今，由此产生密钥，并试图对收到的报文解密。若口令正确，票据就能正确恢复。因为只有合法的用户才能恢复该票据，这样，我们使用口令获得Kerberos的信任而无需传递明文口令。票据含有时间戳和生存期是防止对手的如下攻击：对手截获该票据，并等待用户退出在工作站的登录。对手既可以访问那个工作站，也可以将他的工作站的网络地址设为被攻击的工作站的网络地址。这样，对手就能重用截获的票据向戳和生存期，就能说明票据的有效时间长度。(3) 客户代表用户请求一张服务许可票据。(4) TGS对收到的票据进行解密，通过检查检查生存期，确保票据没有过期。然后比较用户的息是否一致。如果允许用户访问(5) 客户代表用户请求获得某项服务。客户向服务器传送一个包含用户的报文，服务器通过票据的内容进行鉴别。

15. 阐述Kerberos提供的在不同辖区间进行鉴别的机制。一个完整的Kerberos求：

(1) Kerberos服务器必须在其数据库中拥有所有参与用户的户均在Kerberos服务器上注册。(2) Kerberos服务器必须与每一个服务器之间共享一个保密密钥，所有服务器均在服务器上注册。

这样的环境被视为一个辖区 Kerberos提供了一种支持不同辖区间鉴别的机制：每一个辖区的Kerberos服务器之间共享一个保密密钥，两个这个方法存在的—个问题是对于大量辖区之间的认证，N(N一1)／2个安全密钥交换，以便使每个

16.阐述Single Sign on技术产生的背景和优点。背景

? 随着用户需要登录系统的增多，出错的可能性就会增加，受到非法截获和破坏的可能性也会增大，安全性就相应降低。? 如果用户忘记口令，就需要管理员的帮助，并等待进入系统，造成了系统和安全管理资

(TGS)的新的服务器。 ID、TGS ID来请求一张代表该用户的票据许可票据。

TGS证明。有了时间

TGS的1D是否存在来验证解密是否成功。然后

ID和网络地址与收到鉴别用户的信 V，TGS就返回一张访问请求服务的许可票据。

ID和服务许可票据

Kerberos服务器，一组工作站和一组应用服务器，满足下列要ID(UID)和口令散列表，所有用

Kerberos (Realm)。

Kerberos服务器与其他辖区内的Kerberos服务器互相注册。

可扩缩性不好。如果有N个辖区，那么需要Kerberos能够与其他所有的Kerberos辖区进行互操作。

20

环境包括一个

源的开销，降低了生产效率。

? 如果用户因此简化密码，或多个系统中使用相同口令，都会危害公司信息的保密性。

需求：网络用户可以基于最初访问网络时的一次身份验证，对所有被授权的网络资源进行无缝的访问。从而提高网络用户的工作效率，降低网络操作的费用，并且是在不降低网络的安全性和操作的简便性的基础上实现的。

把认证功能和帐号管理功能集成起来为不同域的登录提供一致的界面有如下好处： ? 减少了用户在不同子域中登录操作的时间； ? 用户可以不必记住一大堆认证的信息；

? 减少了管理员增加和删除用户帐号的操作时间以及降低修改用户的权限的复杂度； ? 管理员容易禁止或删除用户对所有域的访问权限而不破坏一致性。

17. 比较Single Sign on技术和传统系统中的跨域操作的不同，以及SSO技术的实现原理。

用户在传统系统中的跨域操作：分布式系统是由独立的子域组成的，这些子域往往由不同的不同的应用程序组成的。在每个子域里的操作可以保证较高的安全性。终端用户想要登录到一个子域中去，如先登录主域，再登录其他子域）在持用户在未来的某个时候可以在任何一个潜在的子域中的认证。可能在以下这几个方面被用来作为用户在子域登录和操作的依据：? 在主域中提供的信息被直接用于登录子域；? 在主域中提供的信息被用来获取另一套认证信息，这套信息存储在数据库中，用来登录子域；

? 在登录主域同时，立即与子域联系，建立对话，这意味着与子域中应用程序的联系在主域操作的同时就已经建立。——18.了解Windows NT安全子系统的各个组成部分。Windows NT的安全子系统主要由本地安全授权等组成。

（1）本地安全授权部分提供了许多服务程序，保障用户获得存取系统的许可权。它产生令牌、执行本地安全管理、提供交互式登录认证服务、控制安全审查策略和由的审查记录信息。

（2）安全帐户管理部分保存安全帐户数据库，该数据库包含所有组和用户的信息。提供用户登录认证，负责对用户在信息对比，并为用户输入一个安全标识符（（3）安全参考监视器负责访问控制和审查策略，由录等）的存取权限，检查主体（用户帐户等）的权限，产生必要的审查信息。客体的安全属性由安全控制项ACEACL的客体意味着任何主体都可访问。而有ACE，从而决定主体的访问是否允许。（4）Windows NT有一个安全登录序列，用以防止不可信应用窃取用户名和口令序列，并有用户帐号和口令等管理能力。（5）为了登录Windows NT（包括通过网络登录）别。每一域以及用户名唯一地标识了一个用户，在系统内部，使用是唯一的，不能被重用，也不能重新赋给其他任何用户。（6）口令存储在SAM数据库中并由（7）当登录时LSA保护服务器使用认只有被授权的用户可访问被保护的系统资源。

他必须对每一个子域单独出示能证明自己有效身份的证书。SSO中，系统首先需要收集到所有有关用户证书的信息，以便支

LSA、安全帐户管理Welcome对话框中输入的信息与SID）。

LSA支持。ACEACL的客体则由

，每一用户必须首先进行域以及用户名识DAC机制保护，以防止非法访问。SAM数据库中有关的信息，与口令进行对照鉴别，确

SAM和安全参考监视器

SRM产生 SAM

SAM数据库中的 SRM提供客体（文件、目

ACL，没有 SRM检查其中的每一项

SID表示。每个SID

OS和（比SRM21

终端用户在登录主域时所提供的信息有提供简洁统一的界面来描述，全部客体的组成访问控制表

百度搜索“77cn”或“免费范文网”即可找到本站免费阅读全部范文。收藏本站方便下次阅读，免费范文网，提供经典小说综合文库信息安全管理和技术试题答案(4)在线全文阅读。