InationSecurityCourseandLaboratoriesISCAL资讯安全课程课件

,按一下以編輯母片標題樣式,按一下以編輯母片文字樣式,第二層,第三層,第四層,第五層,Information Security Fundamentals and Practices-5,*,按一下以編輯母片標題樣式,按一下以編輯母片文字樣式,第二層,第三層,第四層,第五層,*,*,Information Security Fundamentals and Practices-5,*,按一下以編輯母片標題樣式,按一下以編輯母片文字樣式,第二層,第三層,第四層,第五層,*,*,Information Security Fundamentals and Practices-5,*,按一下以編輯母片標題樣式,按一下以編輯母片文字樣式,第二層,第三層,第四層,第五層,*,*,Information Security Fundamentals and Practices-5,*,按一下以編輯母片標題樣式,按一下以編輯母片文字樣式,第二層,第三層,第四層,第五層,Information Security Course and Laboratories(ISCAL),*,Information Security Fundamentals and Practices-5,*,按一下以編輯母片標題樣式,按一下以編輯母片文字樣式,第二層,第三層,第四層,第五層,*,*,Information Security Fundamentals and Practices-5,*,按一下以編輯母片標題樣式,按一下以編輯母片文字樣式,第二層,第三層,第四層,第五層,*,*,按一下以編輯母片標題樣式,按一下以編輯母片文字樣式,第二層,第三層,第四層,第五層,*,*,Information Security Fundamentals and Practices-5,*,按一下以編輯母片標題樣式,按一下以編輯母片文字樣式,第二層,第三層,第四層,第五層,*,*,Information Security Fundamentals and Practices-5,*,按一下以編輯母片標題樣式,按一下以編輯母片文字樣式,第二層,第三層,第四層,第五層,*,*,Information Security Fundamentals and Practices,資訊安全概論與實務,潘天佑博士 主編,版權聲明：本教學投影片僅供教師授課講解使用，投影片內之圖片、文字及其相關內容，,未經著作權人許可，不得以任何形式或方法轉載使用。,Information Security Fundament,認證、授權與存取控制,第二篇 第,5,章,認證、授權與存取控制第二篇 第5章,On the Internet,nobody knows youre a dog.,Cartoon by Peter Steiner.The New Yorker,July 5,1993 issue(Vol.69 no.20)page 61,身分識別是網際網路的一大挑戰,On the Internet,nobody knows,安全性,組織政策要確保只有得到授權的人可以讀取機密的資訊；只有得到授權的人可以修改資料或程式；並確保使用者不會輕易的造成系統無法運作。,可用性,存取控制的機制應讓使用者易於瞭解，並且儘量不影響他們的正常工作方式與習慣。存取控制的機制要能夠每次都如預期的運作。,擴展性,當一個組織的人員、系統或工作量增加時，存取控制的機制不應隨之變為過度複雜，以致影響系統效能與行政效率。,存取控制的基本需求,安全性組織政策要確保只有得到授權的人可以讀取機密的資訊；只有,責任分擔,(separation of duties),應該避免讓一個人完整的知道或持有一個秘密的資訊或流程。,最低權限,(least privilege),每人只擁有足以完成工作的最低權限。,知的必要性,(need-to-know),每人對秘密資訊知的權利端視其所負責業務的需要性。,資訊分類,(information classification),使用者,(,人,),與被使用者,(,系統或資料,),間應有清楚的權限對應關係。,存取控制的主要概念,責任分擔(separation of duties)應該避,預防性,偵測性,指導性,嚇阻性,復原性,存取控制的類別,預防性偵測性指導性嚇阻性復原性存取控制的類別,存取控制的威脅,拒絕服務,(denial of service),緩衝區溢位,(buffer overflow),惡意程式,(malware),密碼破解,(password cracker),欺騙,(spoofing),中間監看,(sniffer),垃圾搜尋,(dumpster diving),窺視,(shoulder surfing),未經授權之資料探勘,(unauthorized data mining),電子訊號外洩,(emanation),物件重用,(object reuse),資料剩磁,(data remanence),存取控制的威脅拒絕服務(denial of service,偷竊,偷竊是存取控制的最大威脅。,入侵,入侵可能是實體或虛擬的，也可能兩者結合。,社交工程,社交工程也常結合實體與虛擬的詐欺。,實體與虛擬的威脅,偷竊偷竊是存取控制的最大威脅。入侵入侵可能是實體或虛擬的，也,身分,讓使用者擁有一個唯一、可電子讀取的名稱，電腦系統以此識別使用者身分。,身分認證,確認使用該電子身分者為使用者本人。,授權,系統通過身分認證後，授予使用者的讀、寫、執行、刪除等權限。,責任歸屬,能讓已經授權的使用者對自己在系統上的行為負責。,系統存取控制,身分讓使用者擁有一個唯一、可電子讀取的名稱，電腦系統以此識別,電子世界中身分的類型：,使用者名稱,(username),，,各種電子識別證、智慧卡、提款卡等，,銀行的帳戶號碼,(account number),等，,將在後面細談的生物特徵,(biometrics),也是一種電子身分。,身分應有以下特性：,在一個存取控制系統中，每位使用者的身分應為唯一。有助於身分認證的進行與責任歸屬的釐清。,身分資料應保持最新，離職員工或已不使用的身分應立刻刪除。,機構內應有選定使用者名稱的政策，以免重複使用或在名稱上洩漏太多訊息。,身份,電子世界中身分的類型：身份,身分認證的方法,認證工具的強度,認證方式的強度,所知之事,所持之物,所具之形,通關密碼,PIN,工具產生單次密碼,智慧卡,私密金鑰,公開金鑰,智慧卡結合所知之事,形成雙重要素認證,指紋與聲紋等,視網膜,智慧卡、密碼與生物特徵形成三重要素認證,身分認證的方法認證工具的強度認證方式的強度所知之事所持之物所,單點登錄,1.,使用者在客戶端鍵入使用者名稱與通關密碼,4.,認證成功後，身分認證伺服器允許使用者使用應用伺服器。,認證伺服器,應用伺服器,應用伺服器,2.,使用者名稱與密碼傳送給認證伺服器,3.,認證伺服器認證使用者身分,單點登錄1.使用者在客戶端鍵入使用者名稱與通關密碼4.認,它是麻省理工學院所開發的自由軟體，微軟、思科、蘋果等公司都曾使用在其產品中，包括,Windows,Mac OS X,Apache,等。,Kerberos,協定建構於對稱式金鑰系統,(,於第七章說明,),，並需要信任第三者。進階的,Kerberos,可以在一些步驟中使用公開金鑰。,它的信任第三者稱為,Key Distribution Center(KDC),，包括兩部分：,Authentication Server(AS),與,Ticket Granting Server(TGS),。,Kerberos,以票證,(ticket),為基礎，做為使用者身分的憑證。,KDC,擁有網路上密鑰的完整資料庫。而其它成員,(,客戶或伺服端,),則只擁有自己的密鑰。當網路內任何兩者需要對話時，則由,KDC,完成身分認證後，發出一個會談金鑰,(session key),供兩端進行安全通訊。,Kerberos(I),它是麻省理工學院所開發的自由軟體，微軟、思科、蘋果等公司都曾,Kerberos(II),認證伺服器,應用伺服器,TGS,AS,2.,客戶端向,AS,要求登入系統。,1.,使用者在客戶端鍵入使用者名稱與通關密碼；客戶端以,one-way function,將密碼轉換為客戶端金鑰。,3.,若,AS,在資料庫中找到使用者，就回覆兩樣東西：,a.,一把會談金鑰,(,以客戶端金鑰加密,),，,b.,一張票證,(,以,TGS,金鑰加密,),。,4.,客戶端解開會談金鑰，用以與,TGS,會談；但票證只有,TGS,才能解開。客戶端保存這些東西可重複使用。,5.,當客戶端要使用應用伺服器或其他網路資源時，就以會談金鑰與票證向,TGS,提出要求。,6.TGS,發給客戶端與應用伺服器會談的金鑰與票證，並以應用伺服器的金鑰加密。,7.,客戶端以,TGS,新發給的會談金鑰與票證與應用伺服器進行相互認證與安全通訊。,Kerberos(II)認證伺服器應用伺服器TGSAS2.,非同步工具產生單次密碼,1.,使用者向身分認證伺服器要求登入,2.,身分認證伺服器產生一組挑戰隨機碼給使用者,3.,使用者將挑戰隨機碼輸入手持式電子認證工具,4.,手持式電子認證工具以密碼學計算回應值,(,亦即通關密碼,),5.,使用者將通關密碼送給身分認證伺服器,6.,認證成功後，身分認證伺服器允許使用者使用應用伺服器。,認證伺服器,應用伺服器,非同步工具產生單次密碼1.使用者向身分認證伺服器要求登入2,同步電子代符,(synchronous token),可以自動產生單次密碼，然而隨身攜帶的電子代符必須與身分認證伺服器之間保持同步，方法包括：,時間基準同步,：電子代符與身分認證伺服器之間保持精準的時間同步，因此在同一個時間，電子代符上顯示的數字,(,亦即使用者的單次通關密碼,),與伺服器裡的認證數字相同。,同步電子代符,事件基準同步,：電子代符每產生一次密碼，代符與伺服器的數字就會同步變更一次。但若代符產生密碼卻未被使用於系統登入，則代符與伺服器間就會失去同步；此時使用者需要對電腦輸入,PIN,後，讓兩者重新同步。,Acme Security,70596612,同步電子代符(synchronous token)可以自,智慧卡,(smart card),將晶片嵌入塑膠卡中，是最方便攜帶的電子身分認證工具。智慧卡可分為以下類別：,接觸式智慧卡,(contact smart cards),：包括塑膠卡身、晶片、與金屬接觸介面。卡片要插入讀卡機內，讓智慧卡晶片裡的微處理器與電腦或伺服器建立通訊。目前台灣的金融卡都是接觸式智慧卡。,非接觸式智慧卡,(contactless cards),：類似接觸式智慧卡，但是介面不是金屬接觸層，而是無線射頻,(RF),。非接觸式智慧卡使用更為方便，台北捷運悠遊卡即為一例。接觸與非接觸式智慧卡本身都沒有電源，要靠讀卡機以接觸或非接觸方式傳輸電力。,兩用智慧卡,(combi-cards),：是指同一張卡有接觸與非接觸式兩種介面，部分金融卡與悠遊卡結合成一張聯名卡，就具備兩種介面。,智慧卡,智慧卡(smart card)將晶片嵌入塑膠卡中，是最方,智慧卡結構,智慧卡晶片像一台微型電腦，內容包括軟、硬體兩部分。,硬體包括,CPU,和幾種記憶體：,RAM,與,ROM,分別為暫存與永久儲存之用；,EEPROM,的功能像電腦裡的硬碟或,flash,碟，其上的資料可修改，但斷電後資料仍然存在。,軟體包括,OS,和應用程式。,OS,例如像,Java Card,。,AP1,AP2,AP3,OS(,例如,Java Card),CPU,ROM,RAM,EEPROM,I/O,(,接觸或非接觸,),智慧卡結構智慧卡晶片像一台微型電腦，內容包括軟、硬體兩部分。,智慧卡攜帶方便，可以在不增加使用者負擔的情況下做到雙重要素認證,(two-factor authentication),，最常用的雙重要素認證是智慧卡結合通關密碼或,PIN,。