本文为软考信息安全工程师个人学习笔记依据官方考试大纲与公开技术规范整理仅用于学习交流不作为商业用途。一、认证产品的主要形态认证产品按照实现方式可以划分为三种基本形态形态实现方式典型实例硬件实体模式以独立物理设备承载认证功能认证网关、U盾、指纹采集仪软件模式完全通过软件程序实现认证逻辑网络准入控制软件、身份认证网关系统软硬结合模式后端软件管理平台配合前端硬件令牌U盾配合网银客户端、智能卡配合认证服务器三种形态并非互斥实际部署中常根据安全等级和应用场景混合使用。二、认证产品的主要类型2.1 系统安全增强类这类产品通过将硬件令牌或生物特征与传统口令相结合提升登录环节的安全强度。组合方式应用场景U盘口令使用专用U盘作为登录凭证接入计算机智能卡口令企业内网刷卡登录、门禁联动生物信息口令指纹登录操作系统、网站或邮箱银行U盾是该类产品最典型的代表——用户在进行网上支付时必须插入U盾并输入口令两者同时验证通过才能完成交易。2.2 生物认证类基于人体生理特征进行身份验证的产品常见形态包括人证核验智能终端车站、政务大厅身份核验指纹U盘内置指纹传感器的存储设备人脸识别门禁系统指纹采集仪与指纹比对引擎人脸自动识别平台2.3 电子认证服务类以数字证书为核心的认证服务体系主要产品包括数字证书认证系统CA系统证书管理服务器可信网络身份认证平台SSL证书用于网站HTTPS加密与身份验证数字证书服务时间戳公共服务平台个人多源可信身份统一认证服务平台电子认证服务依赖CA机构颁发的数字证书证书中包含用户公钥及身份信息由CA用私钥签名保证真实性。2.4 网络准入控制类技术特点采用基于802.1X协议、RADIUS协议、VPN等身份验证技术与网络交换机、路由器、安全网关等设备联动对入网设备主机、移动PC、智能手机等进行身份认证和安全合规性验证防范非安全设备接入内部网络。不同场景的准入技术选择场景常用认证技术企业内网802.1X RADIUS远程办公VPN认证家庭宽带PPPoE拨号认证公共场所网页Portal认证2.5 身份认证网关类技术特点利用数字证书、数据同步、网络服务重定向等技术提供集中、统一的认证服务形成身份认证中心。核心功能单点登录SSO一次认证即可访问多个授权系统安全审计记录所有认证与访问行为业务级访问控制基于身份和权限控制对应用系统的访问与网络准入控制的区别网络准入控制工作在网络层控制设备能否接入网络身份认证网关工作在应用层控制用户能否访问具体业务系统。三、认证产品的主要技术指标认证产品的评价指标分为三类安全功能要求、性能要求和安全保障要求。指标说明考核要点算法支持认证技术依赖密码技术需支持DES/3DES、AES、SHA-1、RSA、SM1/SM2/SM3/SM4等算法国产算法SM系列支持情况是合规性考核重点认证准确性包括认假率和拒真率两个核心参数生物识别类产品需重点考核用户支持数量产品最大可承载的用户规模如校园网认证系统需支持数万人并发安全保障级别安全保证措施、可靠程度、抵抗攻击能力对应国家信息安全产品认证等级认假率与拒真率参数英文定义风险认假率FARFalse Acceptance Rate错误地将非授权用户接受为合法用户的概率安全风险——冒名顶替通过认证拒真率FRRFalse Rejection Rate错误地将合法用户拒绝的概率可用性风险——合法用户无法登录两者存在此消彼长的关系阈值调高则拒真率上升、认假率下降阈值调低则相反。实际产品需在安全性与可用性之间取得平衡。四、认证技术的典型应用场景4.1 校园网认证应用建设目标在校园内部建立数字证书发放与服务体系对数字身份凭证进行全生命周期管理。核心建设内容数字身份管理通过严格的身份核验流程实现物理身份与数字身份的一一对应对数字证书的申请、发放、吊销、更新进行闭环管理统一认证管理系统整合用户与应用系统资源构建网络信任基础设施平台实现基于数字证书的身份认证基于角色或资源的授权管理统一安全策略的设定与维护责任认定的安全设计PKI应用支持系统为校园内部其他应用系统提供可信的数据电文服务实际部署说明校园网师生上网认证通常采用专用计费认证系统如802.1XRADIUS架构而非完整的CA数字证书体系。CA证书体系更多用于校内重要业务系统如教务管理、学籍管理的高安全等级访问控制。4.2 网络路由认证路由安全是网络安全的基础路由器设备的访问及路由消息交换均需要认证机制保护。1用户认证当用户通过Telnet或SSH访问路由器进行管理操作时必须经过身份认证才能被允许登录。常见方式包括密码认证password模式仅需输入口令配置简单但安全性较低AAA认证用户名密码权限分级安全性更高2路由器邻居认证当两个相邻路由器交换路由信息时需要进行身份验证确保只接收可信的路由更新防止恶意路由注入。路由协议是否支持认证OSPF支持RIP支持EIGRP支持认证模式对比模式安全性说明明文认证低口令在网络中明文传输容易被嗅探截获消息摘要认证高仅传输哈希值如MD5不暴露真实口令推荐使用实际部署中应优先选择消息摘要认证模式避免使用明文认证。4.3 用户登录设备认证以华为设备为例设备登录认证主要有两种配置模式密码认证模式[Huawei] telnet server enable // 开启Telnet功能 [Huawei] user-interface vty 0 4 // 进入虚拟终端线路配置 [Huawei-ui-vty0-4] protocol inbound telnet // 允许Telnet接入 [Huawei-ui-vty0-4] authentication-mode password // 设置为密码认证 [Huawei-ui-vty0-4] set authentication password cipher huawei // 设置登录密码AAA认证模式[Huawei-ui-vty0-4] authentication-mode aaa // 认证方式改为AAA [Huawei] aaa // 进入AAA视图 [Huawei-aaa] local-user admin123 password cipher admin123 // 创建用户并设置密码 [Huawei-aaa] local-user admin123 service-type telnet // 指定用户服务类型为Telnet [Huawei-aaa] local-user admin123 privilege level 15 // 设置用户权限等级为15最高权限等级说明华为VRP系统将用户权限分为0-15级等级15为最高管理权限可执行所有配置命令。4.4 人脸识别门禁与eID人脸识别门禁通过采集人脸特征信息与预存模板进行比对实现人员身份判定与门禁控制。相比传统刷卡门禁可有效防范伪造证件、冒用他人证件等问题同时人员进出记录和现场图像可实时上传管理端。eID公民网络电子身份标识属性说明颁发主体国家主管部门身份对应与个人真实身份一一对应技术构成由一对非对称密钥和包含其公钥及相关信息的数字证书组成核心用途在线识别公民真实身份eID是国家网络安全基础设施的重要组成部分其安全性建立在非对称加密和数字证书技术之上。4.5 HTTP认证HTTP协议支持多种认证方式主要包括认证方式说明基本访问认证BAA客户端将用户名密码经Base64编码后发送安全性较低数字摘要认证不传输明文密码仅传输哈希摘要安全性优于BAANTLMWindows网络认证协议采用挑战-响应机制Negotiate支持协商选择认证协议如Kerberos或NTLMWindows Live ID微软账户联合认证HTTP BAA认证流程客户端 服务器 │ │ │ ① GET / HTTP/1.1 │ │ ───────────────────────────────→ │ │ │ │ ② HTTP/1.1 401 Unauthorized │ │ WWW-Authenticate: Basic realm │ │ ←─────────────────────────────── │ │ │ │ ③ GET / HTTP/1.1 │ │ Authorization: Basic 凭证 │ │ ───────────────────────────────→ │ │ │ │ ④ 验证凭证 │ │ 成功→HTTP/1.1 200 OK │ │ 失败→HTTP/1.1 403 Forbidden │ │ ←─────────────────────────────── │流程说明客户端首次请求未携带认证凭证服务器返回401状态码要求客户端进行身份验证客户端弹出登录框用户输入用户名密码后将凭证编码后重新发送请求服务器验证凭证通过则返回200 OK及受保护资源失败则返回403 Forbidden安全提示BAA认证的Base64编码并非加密仅为编码转换在HTTP明文传输环境下可被轻易解码。应配合HTTPS使用或改用摘要认证及更安全的认证机制。五、认证技术的应用价值总结认证技术在信息安全体系中承担三个层面的核心作用层面作用技术支撑身份认证确认访问者的真实身份口令、智能卡、生物特征、数字证书来源证实确认数据或消息的发送方身份数字签名私钥签名、公钥验证信息安全保护保障数据的机密性与完整性加密传输、哈希校验、访问控制三者相互配合身份认证解决你是谁的问题来源证实解决数据从哪来的问题信息安全保护解决数据是否安全的问题共同构建完整的信任体系。本章小结本章节围绕认证产品与应用展开产品形态掌握硬件实体、软件、软硬结合三种形态的区别与典型实例产品类型区分系统安全增强、生物认证、电子认证服务、网络准入控制、身份认证网关五类产品的技术特点与应用场景特别注意网络准入控制网络层与身份认证网关应用层的层级差异技术指标理解算法支持、认证准确性认假率FAR/拒真率FRR、用户支持数量、安全保障级别四项核心指标掌握认假率与拒真率的定义与权衡关系应用场景了解校园网统一认证、路由器邻居认证OSPF/RIP/EIGRP明文vs摘要、设备登录认证password vs AAA模式及华为配置、人脸门禁与eID、HTTP认证BAA流程与安全风险的技术要点上述内容中认假率与拒真率的概念辨析、网络准入控制与身份网关的区别、路由认证模式选择、HTTP BAA认证流程为高频考点设备登录认证配置可能出现在案例分析题中。本文为软考信息安全工程师个人学习笔记依据官方考试大纲与公开技术规范整理仅用于学习交流不作为商业用途。