下列各种协议中，不属于身份认证协议的是（）。

免费智能真题库 > 历年试卷 > 信息安全工程师 > 2017年上半年信息安全工程师上午试卷综合知识

第26题

知识点： IPSec 认证身份认证

关键词：身份认证协议章/节： VPN 类型和实现技术

A. S/Key口令协议

B. Kerberos协议

C. X.509协议

D. IPSec协议

相关试题：VPN 实现技术（密码算法、秘钥管理、认证访问控制、IPSec协议、SSL协议等）

更多>

第55题 2016年下半年

53%

以下关于IPSec协议的叙述中，正确的是（55）。

第61题 2020年下半年

43%

身份认证是证实客户的真实身份与其所声称的身份是否相符的验证过程。下列各种协议中，不属于身份认证协议的是（61)。

第38题 2022年下半年

IPSec VPN 的功能不包括()。


知识点讲解
· IPSec · 认证 · 身份认证

IPSec

IPSec是Internet Protocol Security的缩写。在TCP/IP协议网络中，由于IP协议的安全脆弱性，如地址假冒、易受篡改、窃听等，Internet工程组（IETF）成立了IPSec工作组，研究提出解决上述问题的安全方案。根据IP的安全需求，IPSec工作组制定了相关的IP安全系列规范：认证头（Authentication Header，简称AH）、封装安全有效负荷（Encapsulatin Security Payload，简称ESP）以及密钥交换协议。

IPAH

IP AH是一种安全协议，又称为认证头协议。其安全目的是保证IP包的完整性和提供数据源认证，为IP数据报文提供无连接的完整性、数据源鉴别和抗重放攻击服务。其基本方法是将IP包的部分内容用加密算法和Hash算法进行混合计算，生成一个完整性校验值，简称ICV（Integrity Check Value），同时把ICV附加在IP包中，如下图所示。

IP AH协议包格式

在TCP/IP通信过程中，IP包发送之前都事先计算好每个IP包的ICV，按照IP AH的协议规定重新构造包含ICV的新IP包，然后再发送到接收方。通信接收方在收到用IP AH方式处理过的IP包后，根据IP包的AH信息验证ICV，从而确认IP包的完整性和来源。IP认证头（AH）的信息格式如下图所示。

IP认证头（AH）的信息格式

IP ESP

IP ESP也是一种安全协议，其用途在于保证IP包的保密性，而IP AH不能提供IP包的保密性服务。IP ESP的基本方法是将IP包做加密处理，对整个IP包或IP的数据域进行安全封装，并生成带有ESP协议信息的IP包，然后将新的IP包发送到通信的接收方。接收方收到后，对ESP进行解密，去掉ESP头，再将原来的IP包或更高层协议的数据像普通的IP包那样进行处理。RFC 1827中对ESP的格式做了规定，AH与ESP体制可以合用，也可以分用。

IP AH和IP ESP都有两种工作模式，即透明模式（Transport mode）和隧道模式（Tunnel Mode）。透明模式只保护IP包中的数据域（data payload），而隧道模式则保护IP包的包头和数据域。因此，在隧道模式下，将创建新的IP包头，并把旧的IP包（指需做安全处理的IP包）作为新的IP包数据。

密钥交换协议

基于IPSec技术的主要优点是它的透明性，安全服务的提供不需要更改应用程序。但是其带来的问题是增加网络安全管理难度和降低网络传输性能。

IPSec还涉及密钥管理协议，即通信双方的安全关联已经事先建立成功，建立安全关联的方法可以是手工的或是自动的。手工配置的方法比较简单，双方事先对AH的安全密钥、ESP的安全密钥等参数达成一致，然后分别写入双方的数据库中。自动的配置方法就是双方的安全关联的各种参数由KDC（Key Distributed Center）和通信双方共同商定，共同商定的过程就必须遵循一个共同的协议，这就是密钥管理协议。目前，IPSec的相关密钥管理协议主要有互联网密钥交换协议IKE、互联网安全关联与密钥管理协议ISAKMP、密钥交换协议Oakley。

9.2.6SSL

SSL是Secure Sockets Layer的缩写，是一种应用于传输层的安全协议，用于构建客户端和服务端之间的安全通道。该协议由Netscape开发，包含握手协议、密码规格变更协议、报警协议和记录层协议。其中，握手协议用于身份鉴别和安全参数协商；密码规格变更协议用于通知安全参数的变更；报警协议用于关闭通知和对错误进行报警；记录层协议用于传输数据的分段、压缩及解压缩、加密及解密、完整性校验等。

SSL协议是介于应用层和TCP层之间的安全通信协议。其主要目的在于两个应用层之间相互通信时，使被传送的信息具有保密性及可靠性，如下图所示。SSL的工作原理是将应用层的信息加密或签证处理后经TCP/IP网络送至对方，收方经验证无误后解密还原信息。

SSL协议工作机制

如下图所示，SSL协议是一个分层协议，最底层协议为SSL记录协议（SSL Record Protocol），其位于传输层（如TCP）之上，SSL记录协议的用途是将各种不同的较高层协议（如HTTP或SSL握手协议）封装后再传送。另一层协议为SSL握手协议（SSL Handshake Protocol），由3种协议组合而成，包含握手协议（Handshake Protocol）、密码规格变更协议（Change Cipher Spec）及报警协议（Alert protocol），其用途是在两个应用程序开始传送或接收数据前，为其提供服务器和客户端间相互认证的服务，并相互协商决定双方通信使用的加密算法及加密密钥。

SSL协议组成示意图

SSL协议提供三种安全通信服务。

（1）保密性通信。握手协议产生秘密密钥（secret key）后才开始加、解密数据。数据的加、解密使用对称式密码算法，例如DES、AES等。

（2）点对点之间的身份认证。采用非对称式密码算法，例如RSA、DSS等。

（3）可靠性通信。信息传送时包含信息完整性检查，使用有密钥保护的消息认证码（Message Authentication Code，简称MAC）。MAC的计算采用安全杂凑函数，例如SHA、MD5。

SSL记录协议（record protocol）的数据处理过程如下图所示，其步骤如下：

（1）SSL将数据（data）分割成可管理的区块长度。

（2）选择是否要将已分割的数据压缩。

（3）加上消息认证码（MAC）。

（4）将数据加密，生成即将发送的消息。

（5）接收端将收到的消息解密、验证、解压缩，再重组后传送至较高层（例如应用层），即完成接收。

SSL记录协议数据处理示意图

认证

认证又分为实体认证和消息认证两种。实体认证是识别通信对方的身份，防止假冒，可以使用数字签名的方法。消息认证是验证消息在传送或存储过程中有没有被篡改，通常使用报文摘要的方法。

基于共享密钥的认证

如果通信双方有一个共享的密钥，则可以确认对方的真实身份。这种算法依赖于一个双方都信赖的密钥分发中心（Key Distribution Center，KDC），如下图所示，其中的A和B分别代表发送者和接收者，K_A、K_B分别表示A、B与KDC之间的共享密钥。

基于共享密钥的认证协议

认证过程如下：A向KDC发出消息{A，K_A（B，K_S）}，说明自己要与B通信，并指定了与B会话的密钥K_S。注意，这个消息中的一部分（B，K_S）是用K_A加密的，所以第三者不能了解消息的内容。KDC知道了A的意图后就构造了一个消息{K_B（A，K_S）}发给B。B用K_B解密后就得到了A和K_S，然后就可以与A用K_S会话了。

然而，主动攻击者对这种认证方式可能进行重放攻击。例如A代表雇主，B代表银行。第三者C为A工作，通过银行转账取得报酬。如果C为A工作了一次，得到了一次报酬，并偷听和复制了A和B之间就转账问题交换的报文，那么贪婪的C就可以按照原来的次序向银行重发报文2，冒充A与B之间的会话，以便得到第二次、第三次……报酬。在重放攻击中攻击者不需要知道会话密钥K_S，只要能猜测密文的内容对自己有利或是无利就可以达到攻击的目的。

基于公钥的认证

这种认证协议如下图所示。A向B发出E_B（A，R_A），该报文用B的公钥加密。B返回E_A（R_A，R_B，K_S），用A的公钥加密。这两个报文中分别有A和B指定的随机数R_A和R_B，因此能排除重放的可能性。通信双方都用对方的公钥加密，用各自的私钥解密，所以应答比较简单。其中的K_S是B指定的会话键。这个协议的缺陷是假定双方都知道对方的公钥。

基于公钥的认证协议

身份认证

身份认证的主要目标是检验身份，即确定合法用户的身份和权限，识别假冒他人身份的用户。认证系统可以与授权系统配合使用，在用户的身份通过认证后，根据其具有的授权来限制、其操作行为。常见的系统身份认证方式主要有入网访问控制和权限控制。

入网访问控制

入网访问控制为网络访问提供了第一层访问控制，限制未经授权的用户访问部分或整个信息系统。用户要访问信息系统，首先要获得授权，然后接受认证。对信息系统进行访问包含三个步骤：第一步，能够使用终端；第二步，进入系统；第三步，访问系统中的具体命令、交易、权限、程序和数据。目前，从市场上可以买到针对计算机、局域网、移动设备和拨号通信网的访问控制软件。访问控制规程要求为每个有效用户分配一个唯一的用户身份标识（UID），使用这个UID对要求访问信息系统用户的真实身份进行验证。可以使用数字证书、智能卡、硬件令牌、手机令牌、签名、语音、指纹及虹膜扫描等生物特征鉴别。

其中，数字证书就是互联网通信中标志通信各方身份信息的一系列数据，提供了一种在Internet上验证身份的方式，其作用类似于司机的驾驶执照或日常生活中的身份证。它是由一个权威机构——CA机构，又称证书授权（Certificate Authority）中心发行的，人们可以在网上用它来识别对方的身份。数字证书有两种形式，即文件证书和移动证书USBKEY。其中移动证书USBKEY是一种应用了智能芯片技术的数据加密和数字签名工具，其中存储了每个用户唯一、不可复制的数字证书，在安全性上更胜一筹，是现在电子政务和电子商务领域最流行的身份认证方式。其原理是通过USB接口与计算机相连，用户个人信息存放在存储芯片中，可由系统进行读／写，当需要对用户进行身份认证时，系统提请用户插入USBKEY并读出上面记录的信息，信息经加密处理送往认证服务器，在服务器端完成解密和认证工作，结果返回给用户所请求的应用服务。

生物特征鉴别通过自动验证用户的生理特征或行为特征来识别身份。多数生物学测定系统的工作原理是将一个人的某些特征与预存的资料（在模板中）进行对比，然后根据对比结果进行评价。常见的测定方法如下。

（1）脸部照片。计算机对脸部进行照相并将其与预存的照片进行对比。这种方法能够成功地完成对用户的识别，只是在识别双胞胎时不够准确。

（2）指纹扫描。当用户登录时，可扫描用户的指纹并将其与预存的指纹进行对比，确定是否匹配。

（3）手型识别。这种方法与指纹扫描非常类似，不同之处在于验证人员使用类似于电视的照相机对用户的手进行拍照，然后将手的某些特征（如手指长度和厚度等）与计算机中存储的信息进行对比。

（4）虹膜扫描。这种技术是使用眼睛中有颜色的一部分来确定个人身份的方法，通过对眼睛进行拍照并对照片进行分析来确定用户身份，结果非常准确。

（5）视网膜扫描。这种方法对视网膜上的血管进行扫描，将扫描结果与预存的照片进行对比。

（6）语音扫描。这种方法通过对比用户的语音与计算机中预存的语音来验证用户身份。

（7）签名。将签名与预存的有效签名进行对比。

（8）击键动态。将用户键盘压力和速度与预存的信息进行对比。

（9）还有脸部温度测定等方法。

网络的权限控制

网络权限控制是针对网络非法操作所提出的一种安全保护措施。用户和用户组被赋予一定的权限。网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源；可以指定用户对这些文件、目录、设备能够执行哪些操作；可以根据访问权限将用户分为特殊用户（系统管理员）和一般用户，系统管理员根据用户的实际需要为他们分配操作权限。网络应允许控制用户对目录、文件、设备的访问。用户在目录一级指定的权限对所有文件和子目录均有效，用户还可进一步指定目录下子目录和文件的权限。对目录和文件的访问权限一般有八种：系统管理员权限、读权限、写权限、创建权限、删除权限、修改权限、文件查找权限、存取控制权限。

题号导航 2017年上半年信息安全工程师上午试卷综合知识

本试卷我的完整做题情况



	第26题在手机中做本题