第四讲-网络安全协议

WindowsWindows操作系统安全机制操作系统安全机制电子邮件安全电子邮件安全2009-04-102•自己看书第四讲第四讲网络安全协议分析网络安全协议分析2009-04-104Contents•Kerberos•SSL•SET2009-04-105Contents•Kerberos•SSL•SET2009-04-106•是美国麻省理工学院（MIT）开发的一种身份鉴别服务•“Kerberos”的本意是希腊神话中守护地狱之门的守护者•Kerberos提供了一个集中式的认证服务器结构，认证服务器的功能是实现用户与其访问的服务器间的相互鉴别•Kerberos建立的是一个实现身份认证的框架结构•其实现采用的是对称密钥加密技术，而未采用公开密钥加密•公开发布的Kerberos版本包括版本4和版本5Kerberos简介2009-04-107•基本思路：–使用一个（或一组）独立的认证服务器（AS—AuthenticationServer）来为网络中的用户（C）提供身份认证服务；–认证服务器(AS)，用户口令由AS保存在数据库中；–AS与每个服务器（V）共享一个惟一保密密钥（Kv）（已被安全分发）。Kerberos设计思路2009-04-108•会话过程：Kerberos设计思路（续）Ticket=EKv[IDC,ADC,IDv]CASV(1)IDC,PC,IDvTicketIDC,TicketIDC：用户C的标识PC：用户口令IDv：服务器标识ADC：用户网络地址搜索数据库看用户是否合法如果合法，验证用户口令是否正确如果口令正确，检查是否有权限访问服务器V用与AS共享密钥解密票据检查票据中的用户标识与网络地址是否与用户发送的标识及其地址相同如果相同，票据有效，认证通过用户认证服务器应用服务器2009-04-109Kerberos设计思路（续）电影院我要买票你的电影票这是我的电影票电影院售票处观众2009-04-1010Kerberos设计思路（续）电影院我要买票，这是我的信用卡密码你的电影票这是我的电影票电影院售票处观众问题之一：信用卡问题问题：如何买票答案：出示信用卡卡号和密码2009-04-1011Kerberos设计思路（续）电影院你的电影票这是我的电影票电影院售票处这是我的电影票这是我的电影票观众问题之二：票的有效期问题我要买票，这是我的信用卡密码2009-04-1012Kerberos设计思路（续）电影院甲你的电影票这是我的电影票电影院售票处电影院乙这是我的电影票？？？观众问题之三：多个电影院问题我要买票，这是我的信用卡密码2009-04-1013Kerberos设计思路（续）•上述协议的问题：–（1）口令明文传送–（2）票据的有效性（多次使用）–（3）访问多个服务器则需多次申请票据（即口令多次使用）•如何解决2009-04-1014•问题：–用户希望输入口令的次数最少。–口令以明文传送会被窃听。•解决办法–票据重用（ticketreusable）。–引入票据许可服务器（TGS-Ticket-GrantingServer）•用于向用户分发服务器的访问票据；•认证服务器AS并不直接向客户发放访问应用服务器的票据，而是由TGS服务器来向客户发放。Kerberos设计思路（续）2009-04-1015Kerberos设计思路（续）电影院售票处电影院乙购票许可证这是我的购票许可证你的电影票这是我的电影票许可证部门观众我要买票，这是我的信用卡密码问题：解决了重复使用信用卡问题，但是其他两个问题没有解决引入了许可证可信问题2009-04-1016•两种票据–票据许可票据（TicketGrantingTicket）•客户访问TGS服务器需要提供的票据，目的是为了申请某一个应用服务器的“服务许可票据”；•票据许可票据由AS发放；•用Tickettgs表示访问TGS服务器的票据；•Tickettgs在用户登录时向AS申请一次，可多次重复使用；–服务许可票据（Servicegrantingticket）•是客户访问服务器时需要提供的票据；•用TicketV表示访问应用服务器V的票据。Kerberos的票据2009-04-1017Kerberos设计思路（续）电影院售票处电影院共享信用卡信息：不用向许可证部门初始信用卡密码初始电影票共享“购票许可证”信息：不用出示信用卡及密码共享“电影票”信息：不用多次购买许可证许可证部门观众购买电影票最后一个问题：票的有效期问题电影院电影院解决方法：时间2009-04-1018Kerberos设计思路（续）票据许可服务器（TGS）服务器（V）具有有效期的Ticket共享对称密钥Ktgs共享对称密钥Kv认证服务器（AS）用户（C）共享用户口令Kc购买具有有效期的Ticket2009-04-1019Kerberos设计思路（续）票据许可服务器（TGS）服务器（V）认证服务器（AS）用户（C）我想看电影EKc{Ektgs{购票许可证}}Ektgs{购票许可证}Ekv{票}Ekv{票}共享对称密钥Ktgs共享对称密钥Kv共享用户口令KcKcKcKtgsKvKtgsKv2009-04-1020Kerberos设计思路（续）票据许可服务器（TGS）服务器（V）认证服务器（AS）用户（C）我想看电影EKc{Ektgs{购票许可证，时间限制}}Ektgs{购票许可证，时间限制}Ekv{票,时间限制}Ekv{票，时间限制}共享对称密钥Ktgs共享对称密钥Kv共享用户口令Kc可能被盗用KcKcKtgsKvKtgsKv2009-04-1021Kerberos设计思路（续）票据许可服务器（TGS）服务器（V）认证服务器（AS）用户（C）我想看电影EKc{Kc,tgs,Ektgs{含Kc,tgs的购票许可证，时间限制}}Ektgs{含Kc,tgs的购票许可证，时间限制}EKc,tgs{Ekv{票,时间限制}}Ekv{票，时间限制}共享对称密钥Ktgs共享对称密钥Kv共享用户口令KcKc,tgs问题：单向认证KcKcKtgsKvKtgsKv2009-04-1022Kerberos设计思路（续）票据许可服务器（TGS）服务器（V）认证服务器（AS）用户（C）我想看电影EKc{Kc,tgs,Ektgs{含Kc,tgs的购票许可证，时间限制}}Ektgs{含Kc,tgs的购票许可证，时间限制}EKc,tgs{Kc,v,Ekv{含Kc,v的票,时间限制}}Ekv{含Kc,v的票，时间限制}共享对称密钥Ktgs共享对称密钥Kv共享用户口令KcKc,tgsKc,vEkc,v{时间限制}KcKcKtgsKvKtgsKv2009-04-1023Kerberos协议描述：第一阶段票据许可服务器（TGS）服务器（V）认证服务器（AS）用户（C）IDC,IDtgs,TS1EKc{Kc,tgs,IDtgs,TS2,LT2,Tickettgs}Tickettgs＝EKtgs{KC,tgs,IDC,ADC,IDtgs,TS2,LT2}KcKcKtgsKvKtgsKvKc,tgs2009-04-1024Kerberos协议描述：第二阶段票据许可服务器（TGS）服务器（V）认证服务器（AS）用户（C）IDV,Tickettgs,AUCEKC,tgs{KC,V,IDV,TS4,TicketV}Tickettgs＝EKtgs{KC,tgs,IDC,ADC,IDtgs,TS2,LT2}TicketV＝EKV{KC,V,IDC,ADC,IDV,TS4,LT4}AUC＝EKC,tgs{IDC,ADC,TS3}KcKcKtgsKvKtgsKvKc,tgsKc,v2009-04-1025Kerberos协议描述：第三阶段票据许可服务器（TGS）服务器（V）认证服务器（AS）用户（C）TicketV,AUCEKC,V{TS5+1}Tickettgs＝EKtgs{KC,tgs,IDC,ADC,IDtgs,TS2,LT2}TicketV＝EKV{KC,V,IDC,ADC,IDV,TS4,LT4}AUC＝EKc,v{IDC,ADC,TS5}KcKcKtgsKvKtgsKvKc,tgsKc,v2009-04-1026Kerberos协议描述：共享密钥及会话密钥票据许可服务器（TGS）服务器（V）Kc认证服务器（AS）用户（C）Kc,tgsKC,VKcKcKtgsKvKtgsKvKc,tgsKc,v2009-04-1027Kerberos设计思路票据许可服务器（TGS）服务器（V）认证服务器（AS）用户（C）IDC,IDtgs,TS1EKc{Kc,tgs,IDtgs,TS2,LT2,Tickettgs}IDV,Tickettgs,AUCEKc,tgs{Kc,V,IDV,TS4,TicketV}TicketV,AU’CEKC,V{TS5+1}Tickettgs＝EKtgs{KC,tgs,IDC,ADC,IDtgs,TS2,LT2}TicketV＝EKV{KC,V,IDC,ADC,IDV,TS4,LT4}AUC＝EKC,tgs{IDC,ADC,TS3}KcKcKtgsKvKtgsKvKc,tgsKc,vAU‘C＝EKcv{IDC,ADC,TS5}2009-04-1028Kerberos协议交互过程2009-04-1029Contents•Kerberos•SSL•SET2009-04-1030HistoryofSSL•SSL:SecureSocketsLayerprotocol•Netscape公司于1994开发–SSLv2releasedin1995–SSLv3alsoreleasedin1995duetobugsinv2•1996年IETF成立工作组–TransportLayerSecurity(TLS)committee•1999年推出TLSv1–TLSv1wasbaseduponSSLv3•2003年推出TLS扩展•2006年推出TLSv1.12009-04-1031ARPRARPTCPUDPIPICMPIGMPSMTPHTTPTELNETDNSSNMP应用层传输层网络层网络接口层回顾:TCP/IP协议栈2009-04-1032回顾：TCP/IP的安全性问题及其解决方法ARPRARPTCPUDPIPICMPIGMPSMTPHTTPTELNETDNSSNMP应用层传输层层网络层网络接口层IP/IPSec网络层安全2009-04-1033ARPRARPTCPUDPIPICMPIGMPSMTPHTTPTELNETDNSSNMP应用层传输层层网络层网络接口层SSl/TLSSSL/TLS传输层安全回顾：TCP/IP的安全性问题及其解决方法2009-04-1034SSL的设计目标•Encryption（加密）–SSL被设计用来使用TCP提供一个可靠的端到端安全服务–为两个通信实体之间提供•保密性•完整性•验证（身份鉴别)•密钥交换•Scalability（可扩展性）–新的密钥算法可以容易的加入•Efficiency（高效性）–减少对CPU的使用•透明性–对应用层透明2009-04-1035SSL的设计目标•透明性DHRSADESRC4IDEASHA.........应用程序.....TelnetHTTPFTPTCPSPX........InternetEthernet可靠传输协议SSL协议实现应用协议明文数据流密文数据流2009-04-1036SSL的保密特性•连接是保密的，对称加密算法用于数据加密•实体的身份通过公钥加密算法得到验证•连接是可靠的，加密的消息摘要用于保证消息的完整性2009-04-1037SSL中的通信实体•通信实体（entity）是指SSL的参与者•在SSLv3中定义了两个通信实体–客户•客户是协议的发起者–服务器•服务器是协议的响应者SSLServer（SSL服务器）SSLClient（SSL客户）2009-04-1038SSL的协议分层IPTCPSSLRecordProtocolSSLHandshakeProtocolSSLChangeCipherSpecProt