《无线网络安全技术》研讨课-第五讲

,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,第四讲 密钥管理,/,认证协议,无线网络安全技术,1,密钥管理,（,1,）密钥的生存周期,（,2,）密钥的产生,（,3,）密钥的分配,（,4,）密钥管理的其他阶段,2,2,密钥管理,3,在一种安全策略指导下密钥的产生、 存储、分配、删除、归档及应用。,处理密钥自产生到最终销毁的整个过程中的有关问题包括系统的初始化、密钥的产生、存储、备份,/,恢复、装入、分配、保护、更新、泄露、撤销和销毁等内容。,所有的密码技术都依赖于密钥的保密。,密钥的管理本身是一个很复杂的课题而且是保证安全性的关键点。,密钥管理方法因所使用的密码体制对称密码体制和公钥密码体制而异。,3,所有的密钥都有生存期,密钥的生命周期：授权使用该密钥的周期。一个密钥主要经历以下主要阶段：,产生、登记、存储、分发、注入、应用、更换和销毁,原因：,1,拥有大量的密文有助于密码分析一个密钥使用得太多了会给攻击者增大收集密文的机会,.,2,假定一个密钥受到危及或用一个特定密钥的加密,/,解密过程被分析则限定密钥的使用期限就相当于限制危险的发生,.,密钥的生存期。,4,4,密钥的产生,密钥长度的选择,密钥长度的选择与具体的应用有关，如加密数据的重要性、保密期限长短、可能破译者的计算能力等。,密钥的类型,不同种类的密钥类型产生的方法不同。,密钥产生的方式,集中式,分散式,5,5,密钥的分配,无中心的密钥分配模式,中心化密钥分配模式,公钥密码体制的密钥分配,6,6,无中心的密钥分配模式,(1) A,向,B,发出建立会话密钥的,请求,和一个一次性,随机数,N,1,。,(2) B,用与,A,共享的,主密钥,对应答的消息加密，并发给,A,，应答的消息中包括,B,选取的,会话密钥,、,B,的身份,，,f(N,1,),和另一个一次性,随机数,N,2,。,(3) A,用新建立的,会话密钥加密,f(N,2,),并发送给,B,。,7,7,中心化密钥分配模式,(1) A,向,KDC,发出会话密钥请求。请求内容包括,A,与,B,的身份以及一次性随机数,N,1,。,(2) KDC,为,A,的请求发出应答。应答内容包括：一次性会话密钥,Ks,、,A,的请求、用,B,与,KDC,的共享密钥加密一次性会话密钥,Ks,和,A,的身份，其中应答信息是用,A,与,KDC,的共享密钥加密。,8,8,中心化密钥分配模式,(,续,),(3) A,存储会话密钥，并向,B,转发用,B,与,KDC,的共享密钥加密一次性会话密钥,Ks,和,A,的身份。,(4) B,使用会话密钥,Ks,加密另一个一次性随机数,N,2,，并将加密结果发送给,A,。,(5) B,使用会话密钥,Ks,加密,f(N,2,),，并将加密结果发送给,B,。,9,9,公钥密码体制的密钥分配,A,用,B,的公钥加密,A,的身份和一个一次性随机数,N,1,后发给,B,。,B,解密的,N,1,，并用,A,的公钥加密,N,1,和另一个一次性随机数,N,2,后发给,A,。,A,用,B,的公钥加密,N,2,后发给,B,。,B,选取一个会话密钥,Ks,，用,B,的私钥加密后再用,A,的公钥加密，发送给,B,。,A,用,A,的私钥和,B,的公钥解密得,Ks,。,10,10,密钥管理的其他阶段,密钥使用,注意内存的密钥泄露。私钥不出,USB Key,。,密钥存储,现更多存储在,Usb Key,中。,密钥更新,更容易的解决办法是从旧密钥中产生新的密钥。公私钥对重新生成。,密钥备份,可信第三方托管或使用主密钥（公钥）加密保存。主要针对加密密钥。,密钥销毁,(,撤销不同,),物理上彻底粉碎。,11,11,公钥算法密钥管理,公钥的分配问题,公开发布,公开可访问的目录,公钥机构,(,Public-Key Authority),公钥证书,使用公钥加密分配对称密码体制的密钥,12,公钥的公开发布,使用者将自己的公钥发送给接收者或广播给所有人。,例如：,PGP,用户将,PGP,公钥附在发送消息后或直接通过新闻组及邮件列表散布。,缺点：易于伪造,任何人都可以创建一个密钥，并宣称是,A,的并进行散布。,在伪装被发现之前，假冒者一直可以伪装成用户,A,。,13,公开可访问的目录,密钥管理,在一个公开目录上注册密钥可以获得更大程度的安全性,目录必须是可信任的：,包含,姓名，对应的公钥,用户可以在目录上安全的进行注册,用户可以随时替换公钥,目录定期发布,目录可以通过网络方式访问,仍然容易被伪装和窃听,14,公钥机构,通过严格控制目录的公钥发布来提高安全性,要求用户可靠知道维护公钥目录机构的公钥,用户通过与目录的交互以安全的得到需要的公钥,要求：用户需要得到公钥时可以实时访问目录。,用户,A,和用户,B,通信的时候要求相互认证以保证公钥的时效性（不是过期的）。,缺陷：,瓶颈问题：每次通信都需要访问公钥机构,目录仍然容易被篡改,密钥管理,15,公钥证书,提供一种跟公钥机构一样安全可靠的机制，但不需要直接访问公钥机构。,公钥证书,将用户的身份和用户的公钥绑定在一起,通常还需要其他信息，例如有效期限，使用的权限等,所有的内容由可信的第三方或者证书机构签发,密钥管理,16,公钥证书,公钥证书的交换,密钥管理,17,公钥证书要求,任何通信方可以读取证书并确认证书拥有者的姓名和公钥,任何通信方可以验证该证书是否出自公钥证书机构,只有公钥证书机构才可以发行并更新证书,任何通信方可以验证证书的时效性,用户信息,公钥,证书发布时间,证书权威的信息,证书权威的签名,C,A,= E(PRauth, T|ID,A,|PUa),密钥管理,18,公钥证书,X.509,证书格式,使用最广泛的公钥证书格式,应用于,IP,安全、安全套阶层,(SSL,),、安全电子交易,(SET),以及安全电子邮件,(S,/MIME,),证书验证协议,证书撤销列表,(CRL: Certificate,Revocation List),在线证书状态协议,(,OCSP,: Online,Certificate Status Protocol),密钥管理,19,使用公钥密码分配密钥,由于公钥密码需要大量的计算开销，这限制了公钥密码系统的使用。,数字签名,密钥分配,密钥管理,20,简单的密钥分配,(Merkle,s,),Alice,生成一临时公,/,私钥对，并将她的公钥和标示,ID,A,发给,Bob,Bob,生成会话密钥,Ks,并用,Alice,的公钥加密发给,A,A,解密后得到会话密钥,Ks,，双方用,Ks,进行安全通信,Simple Use of Public-Key Encryption to Establish a Session Key,密钥管理,21,Diffie-Hellman,密钥交换,基于计算离散对数的难度的基础上的。,Diffie-Hellman,密钥交换,Alice,Bob,公开素数,q,和本原根,a,随机生成秘密参数,X,A,：,X,A,q,随机生成秘密参数,X,B,：,X,B,B: nonce,（挑战）,B-A: EK,M|nonce(,应答）,27,对称加密方法,Needham-Schroeder,的利用,KDC,的协议,用于密钥分配和相互认证,28,对称加密方法,Mutual Authentication,第,4,步和第,5,步用于对抗重放攻击,该协议仍然容易遭受重放攻击,假设攻击者,X,已知一个旧的会话密钥,X,可以模仿,A,重放步骤,3,并诱使,B,使用旧的密钥,除非,B,记得所有先前的会话密钥，否则,B,不知道该消息是否是重放的。,如果,X,截获了步骤,4,的握手消息，则它可以模仿步骤,5,中,A,的响应。,从此，,X,可以发送伪造的消息给,B,，而,B,认为这是,A,使用经过认证后的会话密钥发送给它的。,29,对称加密方法,Denning,的协议，通过在第,2,步和第,3,步增加时间戳的方式克服,Needham-Schroeder,协议的缺点,1. A, KDC:ID,A,|ID,B,2. KDC A:E,Ka,K,s,|ID,B,|T|E,Kb,K,s,|ID,A,|T,3. A B:E,Kb,K,s,|ID,A,|T,4. B A:E,Ks,N,1,5. A B:E,Ks,f(N,1,),及时性的验证：,|,时钟,-T| ,t,1,+,t,2,由于时间戳使用安全的主密钥加密，攻击者即使知道旧的会话密钥，仍然无法成功重放。,但是新的问题产生了，这个机制要求时钟的可靠性，时钟需在整个网络保持同步。,分布的时钟可能会不同步,会产生禁止,-,重放攻击,Mutual Authentication,30,对称加密方法,Newman,协议,1. A, B:ID,A,|N,a,2. B KDC:ID,B,|N,b,|E,Kb,ID,A,|N,a,|T,b,3. KDC A:E,Ka,ID,B,|N,a,|K,s,|T,b,|E,Kb,ID,A,|K,s,|T,b,|N,b,4. A B:E,Kb,ID,A,|K,s,|T,b,|E,Ks,N,b,T,b,是与,B,时钟相关的时间，这就不需要各个时钟的同步了，因为,B,只检查自己生成的时间戳。,假定,A,和,B,利用上述协议建立了会话，则紧接着,A,想要和,B,建立新的会话，则使用下述协议即可：,1.,A, B: E,Kb,ID,A,|K,s,|T,b, N,a,2.,B, A: N,b, E,Ks,N,a,3.,A, B:,E,Ks,N,b,Mutual Authentication,31,公钥加密方法,Public-Key Distribution of Secret Keys (Needham-Schroeders Algorithm),使用公钥加密用于会话密钥分配的一个方法：,假定通信双发知道对方的公钥,这个假定通常并不现实,32,公钥加密方法,使用时间戳的协议,1. A, AS:,ID,A,|ID,B,2. AS A:,E,KRas,ID,A,|KU,a,|T|E,KRas,ID,B,|KU,b,|T,3. A B:,E,KRas,ID,A,|KU,a,|T|E,KRas,ID,B,|KU,b,|T|E,KUb,E,KRa,K,s,|T,该协议非常的简洁但要求时钟同步,由,W,oo,和,Lam,提出的使用,nonces,的方法,1. A, KDC:ID,A,|ID,B,2. KDC A:E,KRauth,ID,B,|KU,b,3. A B:E,KUb,N,a,|ID,A,4. B KDC:ID,B,|ID,A,|E,KUauth,N,A,5. KDC B:E,KRauth,ID,A,|KU,a,|E,KUb,E,KRauth,N,a,|K,s,|ID,B,6. B A:E,KUa,E,KRauth,N,a,|K,s,|ID,B,|N,b,7. A B:E,Ks,N,b,Mutual Authentication,33,单向认证,电子邮件的应用,并不需要收发双方同时在线,E-mail,的头必须是明文形式,通常要求消息被加密，使得邮件处理系统无法访问消息,同样的需要认证，接收者需要确定邮件来自宣称的发送方,对称加密方法,1. A, KDC:ID,A,|ID,B,|N,1,2. KDC A:E,Ka,K,s,|ID,B,|N,1,|E,Kb,K,s,|ID,A,3. A B:E,Kb,K,s,ID,A,|E,Ks,M,确保指定的接收者可以读取消息,同样的需提供认证以证明发送方是,A,不能抗重放攻击,Authentication Protocols,34,公钥加密方法,One-Way Authentication,先前讨论的机制也适用于电子邮件应用,35,公钥加密方法,One-Way Authentication,如果机密性是主要关心的，则更有效的方法是：,A B: E,KUb,K,s,|E,Ks,M,这个机制用,B,的公钥对该一次性密钥加密，比直接用,B,公钥加密整个消息更有效。,如果认证是主要关心的，则使用数字签名即可：,A B: M|E,KRa,H(M),攻击者可能会剥去消息的签名然后附上自己的，并宣称是他发送消息的。为了防止这种情况发生，消息和签名可以使用接收者的公钥加密。,A B: E,KUb,M|E,KRa,H(M),36,