|
|
知识路径: > 认证技术原理与应用 > 认证技术方法 > 口令认证技术 >
|
|
被考次数:6次
|
|
被考频率:
中频率
|
|
总体答错率:
34%
|
|
知识难度系数:
|
|
考试要求:
熟悉
|
|
相关知识点:11个
|
|
|
|
口令认证是基于用户所知道的秘密而进行的认证技术,是网络常见的身份认证方法。网络设备、操作系统和网络应用服务等都采用了口令认证技术。例如,Windows2000系统、UNIX系统、BBS、电子邮件、Web服务、FTP服务都用到了口令认证。口令认证一般要求参与认证的双方按照事先约定的规则,用户发起服务请求,然后用户被要求向服务实体提供用户标识和用户口令,服务实体验证其正确性,若验证通过,则允许用户访问。
|
|
|
设用户A的标识为UA,口令为PA,服务方实体为B,则认证过程描述如下:
|
|
|
|
第二步,B收到(UA,PA)消息后,检查UA和PA的正确性。若正确,则通过用户A的认证。
|
|
|
|
目前,服务方实体B通常会存储用户A的口令信息。一般安全要求把口令进行加密变换后存储,口令非明文传输。
|
|
|
口令认证的优点是简单,易于实现。当用户要访问系统时,要求用户输入“用户名和口令”即可。例如,当使用者以超级管理员身份访问Solaris操作系统时,要求输入root用户名和root的口令信息,如下图所示。
|
|
|
|
|
但是,口令认证的不足是容易受到攻击,主要攻击方式有窃听、重放、中间人攻击、口令猜测等。因此,要实现口令认证的安全,应至少满足以下条件:
|
|
|
|
|
. 口令认证协议要抵抗攻击,符合安全协议设计要求;
|
|
|
|
目前,为了保证口令认证安全,网络服务提供商要求用户遵循口令生成安全策略,即口令设置要符合口令安全组成规则,同时对生成的口令进行安全强度评测,从而促使用户选择安全强度较高的口令。如下图所示,某系统要求用户的口令设置符合安全规则,同时进行口令安全强度检查。
|
|
|
|
|