您好,欢迎访问山东渔翁信息技术股份有限公司官方网站
渔翁信息

专注密码硬件研发生产定制

咨询热线: 400-6686-188

产品中心

热门产品

联系我们

咨询热线:400-6686-188

市场合作:孙经理:13806311977

售后服务:房经理:0631-5651692

邮箱:support@fisherman-it.com

地址:济南市高新区齐鲁软件园F座

新闻中心 您的位置:首页 > 新闻中心 >

基于口令的身份认证

文章出处:渔翁信息作者:渔翁信息人气:发表时间:2018-11-09 16:46

口令是最简单也最常用的一种接入控制与身份认证手段。所谓简单口令就是日常生活中经常使用的口令,普通老百姓常称之为“密码”,在分布式环境与移动应用领域更被广泛使用,到目前很多系统的认证技术都基于简单口令。系统提前保存用户的身份信息与口令字。当被认证对象提出访问服务的系统时,给出服务的认证方需被认证对象提交口令信息,认证方收到口令后,比较它和系统里存储的用户口令,来辨认被认证对象是不是合法访问者。这种认证方式叫做简单口令协议(PAP)认证。

PAP协议只操作于连接建立阶段,数据传输过程中不实施PAP认证。

这种认证方法的好处是简单有效、实用便捷、费用低廉、使用灵活,因此,一般系统如UNIX、Windows NT、NetWare等都可支持口令认证,对封闭的小型系统而言也算是一种简单行得通的方法。然而,基于口令的认证方法显然有如下不足。

(1)用户每访问系统的时候均需通过明文的方式输进口令,很轻易让内存中运行的黑客软件记下从而导致泄密。

(2)口令在传输时可能会遭遇截获。因用明文在网络上传输,只要局域网内存在Sniffer,那么一点没有安全性可言。

(3)窃取口令者只需口令的位数比较少,也无需生僻的字符做口令,用如今的计算速度破解口令并不难。

(4)认证系统集中管理口令的安全性。全部用户的口令通过文件或数据库存储形式存于认证方,攻击者可用服务系统中有的漏洞获取用户口令。

(5)发放与修改口令均会涉及到非常多的安全性问题,仅需要有个环节发生泄露,那么身份认证也就没有了意义。

(6)为方便记忆,用户很可能向多个不一样安全级别的系统均设置了同样的口令,低安全级别系统的口令很易让攻击者取得,从而用于攻击高安全级别系统。

(7)只可实施单向认证,也就是系统可认证用户,但用户无法认证系统。攻击者可能装为认证系统骗用户的口令。

基于口令的认证方法仅是认证的初期阶段,有特别多的安全隐患。对口令认证协议的主要攻击手段有口令猜测攻击、中间人攻击、窃取凭证攻击、拒绝服务攻击等。目前的口令认证协议如果能抵抗以上攻击则认为是安全的。

口令的加密传输与存储是简单口令机制的改进手段。因传的为用户口令的密文形式,系统只存储口令的密文,除此之外系统入侵者还能借助离线方式向口令密文进行字典攻击。

  1. 一键分享到

返回顶部