網絡安全之身份認證

在網絡環境下的信息世界，身份是區別于其他個體的一種標識。為了與其他個體有所區別，身份必須具有唯一性。當然，唯一性也是有范圍的，如電話號碼，在一個區域內是唯一的，如果考慮多個區域，可能會有相同的號碼，但只要再添加區域號段，又能唯一區分開來。網絡環境下的身份不僅僅用于標識一個人，也可以用于標識一個機器、一個物體，甚至一個虛擬的東西（如進程、會話過程等）。因此，網絡環境下的身份是只在一定范圍內用于標識事、物、人的字符串。
一、身份認證概述

網絡環境下的認證不是對某個事物的資質審查，而是對事物真實性的確認。結合起來考慮，身份認證就是要確認通信過程中另一端的個體是誰（人、物、虛擬過程）。

那么，怎么知道通信的另一端是誰呢？通常，通信協議都要求通信者把身份信息傳輸過來，但這種身份信息僅用于識別，不能保證該信息是真實的，因為這個身份信息在傳輸過程中是可以被惡意篡改的。那么，怎樣才能防止身份信息在傳輸過程中被惡意篡改呢？事實上要完全杜絕惡意篡改是不可能的，特別是在公共網絡（如互聯網）上傳輸的信息，而能做的，就是在身份信息被惡意篡改后，接收端可以很容易檢測出來。

要識別真偽，首先要“認識”真實的身份。通過網絡傳遞的身份可能是陌生人的身份，如何判斷真偽？這里需要闡述一個觀點：要識別真偽，必須先有信任。在網絡環境下，信任不是對一個人的可靠性認可，而是表明已經掌握了被驗證身份者的重要秘密信息，如密鑰信息。假設A與B之間有一個得到確信的共享密鑰，不管這個共享密鑰是怎么建立的，他們之間就建立了相互信任。如果A確信掌握B的公開密鑰，也可以說A對B建立了信任，但還不能說明B對A建立了信任。從上述討論不難看到，在完全沒有信任基礎的情況下，新的信任是不能通過網絡建立的，否則是不可靠的。

二、身份認證機制

身份認證的目的是鑒別通信中另一端的真實身份，防止偽造和假冒等情況發生。進行身份認證的技術方法主要是密碼學方法，包括使用對稱加密算法、公開密鑰密碼算法、數字簽名算法等。

對稱加密算法是根據Shannon理論建立的一種變換過程，該過程將一個密鑰和一個數據充分混淆和置亂，使非法用戶在不知密鑰的情況下無法獲得原始數據信息。當然一個加密算法幾乎總伴隨著一個對應的解密算法，并在對稱密鑰的參與下執行。典型的對稱加密算法包括DES和AES。

公鑰密碼算法需要2個密鑰和2個算法：一個是公開密鑰，用于對消息的加密；一個是私鑰（私有密鑰），用于對加密消息的解密。根據名稱可以理解，公開密鑰是一個能公開的密鑰，而私鑰只能由合法用戶掌握。典型的公鑰密碼算法包括RSA公鑰密碼算法和數字簽名標準DSS。

數字簽名實際是公鑰密碼的一種應用，其工作原理是，用戶使用自己的私鑰對某個消息進行簽名，驗證者使用簽名者的公開密鑰進行驗證，這樣就實現了只有擁有合法私鑰的人才能產生數字簽名（不可偽造性）和得到用戶公鑰的公眾才可以進行驗證（可驗證性）的功能。

根據身份認證的對象不同，認證手段也不同，但針對每種身份的認證都有很多種不同的方法。如果被認證的對象是人，則有三類信息可以用于認證：（1）你所知道的（what you know），這類信息通常理解為口令；（2）你所擁有的（what you have），這類信息包括密碼本、密碼卡、動態密碼生產器、U盾等；（3）你自身帶來的（what you are），這類信息包括指紋、虹膜、筆跡、語音特征等。一般情況下，對人的認證只需要一種類型的信息即可，如口令（常用于登錄網站）、指紋（常用語登錄電腦和門禁設備）、U盾（常用于網絡金融業務），而用戶的身份信息就是該用戶的賬戶名。在一些特殊應用領域，如涉及資金交易時，認證還可能通過更多方法，如使用口令的同時也使用U盾，這類認證稱為多因子認證。

如果被認證的對象是一般的設備，則通常使用“挑戰—應答”機制，即認證者發起一個挑戰，被認證者進行應答，認證者對應答進行檢驗，如果符合要求，則通過認證；否則拒絕。移動通信系統中的認證就是一個典型的對設備的認證，這里設備標識是電話卡（SIM卡或USIM卡），認證過程則根據不同的網絡有不同的方法，例如，GSM網絡和3G網絡就有很大區別，LTE網絡又與前2種網絡有很大不同，但都使用了“挑戰—應答”機制。

在物聯網應用環境下，一些感知終端節點的資源有限，包括計算資源、存儲資源和通信資源，實現“挑戰—應答”機制可能需要付出很大代價，這種情況下需要輕量級認證。為了區分對人的認證和對設備的認證，把這種輕量級認證稱為對物的認證。其實，對物的認證不是很嚴格的說法，因為在具體技術上是對數據來源的認證。

三、對“人”的認證

人在網絡上進行一些活動時通常需要登錄到某個業務平臺，這時需要進行身份認證。身份認證主要通過下面3種基本途徑之一或其組合來實現：所知（what you know），個人所知道的或掌握的知識，如口令；所有（what you have），個人所擁有的東西，如×××、護照、信用卡、鑰匙或證書等；個人特征（what you are），個人所具有的生物特性，如指紋、掌紋、聲紋、臉形、DNA、視網膜等。