電子文件的加密識別是基于用戶端主機IP地址的一種識別機制，它允許網(wǎng)絡管理員為具有某一特定IP地址的授權用戶制定訪問權限。用戶識別與IP地址相關，對訪問的協(xié)議不做直接的限制。服務器和用戶端無需增加、修改任何軟件。網(wǎng)管員可以決定對每個用戶的授權、允許訪問的服務器資源、應用程序、訪問時間以及允許建立的會話次數(shù)等等。

電子文件加密識別技術

一、機構識別

網(wǎng)絡檔案館與用戶實施電子文件傳輸時，都要鑒別對方是否是可信。

如甲方收到帶有乙方數(shù)字簽名的一份文件，用屬于乙方的公鑰(公共密鑰)解密，他要確定公鑰屬于乙方，而不是在網(wǎng)上冒充乙方的其他人。

一種確定公鑰屬于乙方的辦法就是通過秘密途徑接收由乙方親自送來的公鑰，這種辦法在實際的檔案信息交換中顯然是不現(xiàn)實的。

如果交換雙方通過Internet獲取各自的公鑰，則需要對這些密鑰進行驗證。甲方就不能簡單地向乙方詢問其公鑰，因為在網(wǎng)絡上可能存在第三者截獲甲方的請求，并發(fā)送它自己的公鑰，借以閱讀甲方傳送給乙方的所有電子文件。因此，需要一個第三方來驗證公鑰確實屬于乙方的，這樣的第三方被稱為識別機構，在所局域網(wǎng)中由網(wǎng)管中心承擔。通過識別機構來認證信息利用雙方的身份，是保證網(wǎng)絡傳輸保密安全的重要措施之一。

識別機構是提供身份驗證的第三方機構。持卡用戶要與網(wǎng)上檔案館進行信息通信，但檔案館無法確定對方不是冒充的，于是請求識別機構對其進行認證，網(wǎng)管中心通過調(diào)查、驗證和鑒別后，將包含對方公鑰的證書傳給檔案館。同樣，持卡人也可對檔案館進行驗證。

二、身份識別

身份識別是判明確認用戶真實身份的重要環(huán)節(jié)，因為非法用戶常采用竊取口令、修改或偽造、阻斷服務等方式對網(wǎng)絡信息系統(tǒng)進行攻擊，阻止系統(tǒng)資源的合法管理和利用。身份訪問之目的是拒絕非法用戶訪問系統(tǒng)資源，合法用戶只能訪問系統(tǒng)授權和指定的資源。根據(jù)識別中采用的因素多少，可分為單因素、雙因素、多因素識別等方法。

1、單因素識別

用戶身份識別的最簡單方法就是口令，系統(tǒng)事先保存每個用戶的二元組信息，進入系統(tǒng)時用戶輸入二元組信息，系統(tǒng)根據(jù)保存的用戶信息和用戶輸入的信息相比較，從而判斷用戶身份的合法性。這種身份識別方法操作十分簡單，但同時又最不安全，因為其安全性僅僅基于用戶口令的保密性，而用戶口令一般較短且容易猜測，因此這種方案不能抵御口令猜測攻擊。

2、雙因素識別

雙因素法是基于智能卡的用戶身份識別機制，用戶的二元組信息預先存于智能卡中，然后在認證服務器中存入某個事先由用戶選擇的某個隨機數(shù)。用戶訪問系統(tǒng)資源時，用戶輸入二元組信息,系統(tǒng)首先判斷智能卡的合法性，然后由智能卡鑒別用戶身份。若用戶身份合法，再將智能卡中的隨機數(shù)送給認證服務器作進一步識別。這種方案基于智能卡物理保密安全性，即不易偽造和直接讀取其中數(shù)據(jù)，沒有管理中心發(fā)放的智能卡，則不能訪問系統(tǒng)檔案信息資源，即使智能卡丟失，入侵者仍然需要猜測用戶口令。

3、多因素識別

多因素法是基于Kerberos的識別，是一種共享秘密的驗證協(xié)議，因為用戶和密鑰分配中心都知道用戶的密碼。

Kerberos協(xié)議定義了一系列用戶端。密鑰分配中心和服務器之間得到并使用Kerberos許可證的通信規(guī)則。Kerberos識別分為幾個基本步驟。

當一個用戶初始化登錄到WindowsNT時，用戶端的KerberosSSP(安全性服務接口)得到一個初始的Kerberos許可證(TGT)，WindowsNT把這個TGT作為用戶登錄環(huán)境的一部分存貯在用戶端的許可證緩存中。

當一個用戶端程序試圖訪問一個服務器上的網(wǎng)絡服務時，用戶端的運行時刻在自己的許可證緩存中檢查有無一個有效的訪問服務器的會話許可證。

如果沒有，用戶端向密鑰分配中心發(fā)出一個請求，申請一個訪問服務器的會話許可證，然后把申請到的會話許可證緩存到本地。用戶端在與服務器建立初始化鏈接時把會話許可證遞交給服務器，服務器對會話許可證進行驗證。由于會話許可證的一部分是使用服務器與密鑰分配中心之間共享的密鑰進行加密，而服務器端的Kerberos運行時刻在緩存中擁有一份共享的密鑰的拷貝，所以服務器不需要鏈接到密鑰分配中心上的驗證服務就能夠直接對用戶端進行識別。

三、信息識別

信息識別的目標是對敏感性文件加密，即使他人截獲文件也無法得到其內(nèi)容，從而保證數(shù)據(jù)的完整性，防止截獲人在文件中加入其它信息，并對數(shù)據(jù)和信息的來源進行驗證，以確保收發(fā)文者的身份。

1、密鑰系統(tǒng)的加密和解密

(1)基于私鑰體制的信息識別

基于私鑰體制的信息識別是一種傳統(tǒng)的信息來源識別方法，這種識別方法的基本原理是需要通信雙方共同約定一個口令或一組密碼，即建立一個通信雙方共享的密鑰。當通信的甲方要發(fā)送信息給乙方時，為了防止電子文件在公共信道被竊取，通信的甲方將信息用共享密鑰加密后再傳送。由于密鑰是通信雙方的共享密鑰，通信的乙方可以確定信息是由甲方發(fā)出的。這是一種簡單的信息來源的識別方法，在識別的同時對信息也進行了加密。此方法之特點是文件加密和解密用的是同一個密鑰，即加密密鑰也可用作解密密鑰，所以這種方法在密碼學中叫做對稱加密算法。對稱加密算法通常使用起來簡單快捷，密鑰較短，且破譯困難。

(2)兩種加密體制的區(qū)別

與對稱加密算法不同，公開密鑰系統(tǒng)采用的是非對稱加密算法，使用公開密鑰系統(tǒng)需要兩個密鑰——公開密鑰和私有密鑰。如果用公開密鑰對數(shù)據(jù)進行加密，只有用對應的私有密鑰才能進行解密。如果用私有密鑰對數(shù)據(jù)進行加密，則只有用對應的公開密鑰才能解密。因為只有接收方才擁有自己的公開密鑰，所以即使其他人得到了經(jīng)過加密的發(fā)送方的私有密鑰，也因為無法進行解密而保證了私有密鑰的安全性，從而也保證了電子文件傳輸?shù)谋Ｃ馨踩?。實際上文件在傳輸過程中實現(xiàn)了兩個加密解密過程，即文件本身的加密解密與私有密鑰的加密解密,是分別通過私有密鑰和公開密鑰來實現(xiàn)的。

2、密鑰系統(tǒng)的數(shù)字簽名與驗證

對文件進行加密只解決了第一個問題，而防止他人對傳輸文件進行破壞以及如何確定收發(fā)文人的身份，還需要采取數(shù)字簽名等手段。

(1)文件的簽名過程

文件的簽名過程實際上是通過一個哈希函數(shù)來實現(xiàn)的，哈希函數(shù)的輸入是需要簽名的文件，輸出是一組定長的代碼，叫做數(shù)字簽名。

數(shù)字簽名的特點是它代表文件的特征，文件如果發(fā)生改變，數(shù)字簽名的值也將發(fā)生變化。不同的文件將得到不同的數(shù)字簽名。一個最簡單的哈希函數(shù)是把文件的二進制碼相累加，取最后的若干位，哈希函數(shù)對發(fā)送數(shù)據(jù)的雙方都是公開的。只有加入數(shù)字簽名及驗證后，才能真正實現(xiàn)電子文件在公共網(wǎng)絡上保密安全地傳輸。如果第三方冒充發(fā)送方輸出一個文件，因為接收方在對數(shù)字簽名進行解密時使用的是發(fā)送方的公開密鑰，只要第三方不知道發(fā)送方的私有密鑰，解密出來的數(shù)字簽名和經(jīng)過計算的數(shù)字簽名必然相悖，這就提供了一個保密安全地識別對方身份的方法。

(2)數(shù)字簽名的加密解密過程

數(shù)字簽名的加密解密過程和秘密密鑰的加密解密過程雖然都是使用公開密鑰體系，但實現(xiàn)的過程正好相反。使用的密鑰對也不同，數(shù)字簽名使用的是發(fā)送方的密鑰對，發(fā)送方用自己的私有密鑰進行加密，接收方用發(fā)送方的公開密鑰進行解密，這是一對多的關系，任何擁有發(fā)送方公開密鑰的人都可以驗證數(shù)字簽名的正確性。而秘密密鑰的加密解密則使用的是接收方的密鑰對,這是多對一的關系，任何知道接收方公開密鑰的人都可以向接收方發(fā)送加密信息，只有唯一擁有接收方私有密鑰的人才能對信息解密。

這是一個既復雜又具周延性的過程。在實用過程中，通常一個用戶擁有兩個密鑰對，一個密鑰對用來對數(shù)字簽名進行加密解密，一個密鑰對用來對秘密密鑰進行加密解密，因此，這種方式為電子文件傳輸提供了更高的保密安全性。

admin

收藏 海報分享