资源简介

(共22张PPT)
3.2.2 身份认证与安全
新课导入
人们利用信息系统对数据进行访问，也是引起数据不安全的一个重要环节。为了系统的安全，需要对访问者进行管制和约束。
身份认证用于检验访问者身份的合法性，控制哪些用户能够登录系统并获取系统资源，有效的身份识别是信息安全的保障。
学习新知
1.身份认证
身份认证是用户在进入系统或访问受限数据资源时，系统对用户身份的鉴别过程。
身份认证技术能够有效防止数据资源被非授权使用，保障数据资源的安全。
身份认证的范围较广，没有统一的分类方法，根据身份认证的发展情况和认证技术的不同可以大致分为以下三类：
（1）用户名+口令的认证技术
优点：操作简单，不需要任何附加设施，且成本低、速度快，主要包括静态口令和动态口令。
（2）依靠生物特征识别的认证技术
由于不同的人具有相同生物特征的可能性是极低的，生物特征识别认证技术主要是根据这一点进行身份识别。
该认证技术需事先对用户身上某些生物特征进行采集，将采集到的数据保存到数据库中，在进行身份识别时，将识别得到的特征数据与数据库中已有的特征数据进行比较，从而完成身份识别，达到事先指定的相似度才允许通过。
（2）依靠生物特征识别的认证技术
目前比较成熟的认证技术有指纹识别技术、语音识别技术，虹膜验证技术，人脸识别技术。
生物特征识别的验证方式具有防伪性能好，随时随地可用等优点。
（3）USB Key认证技术
该认证方式采用软硬件相结合、一次一密的认证模式，很好地解决了安全性与易用性之间的矛盾。
USB Key是一种采用USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USB Key内置的密码算法实现对用户身份的认证。
（3）USB Key认证技术
2.访问控制
身份认证：用户是否有权限进入系统使用数据资源。
访问控制：用户对数据操作的权限。
访问控制是在保障授权用户能获取所需资源的同时拒绝非授权用户的安全机制。
非授权用户没有访问权限，授权用户有访问权限，但是授权用户中存在存取权限的差别，如读取、写入、执行、删除、追加等存取方式。
（1）访问控制的概述
访问控制一般是指系统对用户身份及其所属的预先定义的策略组，用以限制其使用数据资源的手段。
访问控制三个要素：主体、客体、控制策略。
访问控制三个要素
主体是指提出访问资源的具体请求或发起者，通常指用户或依照用户执行的指令；
客体是指被访问的资源，即需要保护的资源；
控制策略，也称为授权，是指允许对资源执行的具体操作，主要是读、写、删除、拒绝访问等。
（2）访问控制的功能及原理
访问控制的基本功能：保证合法用户访问受保护的系统资源，防止非法用户访问受保护的系统资源，或防止合法用户访问非授权的系统资源。
访问控制原理模型
（3）用户账户管理
系统管理员通过对用户账号权限大小的设置来管理数据的安全，目的是保证访问系统资源的用户是合法的，不同权限的用户所拥有的数据范围不一样。
关于用户权限授予策略具体如下：
系统管理员
①系统管理员应根据各部门不同用户业务的实际需求对访问系统的用户分别建立账户或组策略，分别施行授予或撤销管理措施和执行过程。
②系统管理员授予用户的身份应具有唯一性，不允许多人共享一个账户。
③对系统中的任何用户的登录都应进行身份识别。
④保证有足够的口令强度和防攻击能力，确保核心数据的访问安全。
课堂随练
1.实现身份认证的技术手段有多种，以下属于生物特征识别验证方式的是（ ）。
A.应用凯撒密码
B.动态短信口令
C.指纹识别技术
D. USB Key认证
C
课堂随练
2.要使重要的信息资源不被非法窃取，以下措施无效的是（ ）。
A．设置使用权限
B．设置口令密码
C．对信息内容加密
D．将文件属性设为隐藏
D
课堂随练
3.下列使用了USB Key认证技术的是( )：
A.指纹身份认证技术
B.用户使用医保卡刷卡挂号
C.某应用软件必须插入“U盾”后，才能打开使用
D.某手机使用安全软件的“支付保镖”功能
C
课堂随练
4.下列技术和认证模式对应正确的是( )：
A.短信验证码——静态口令
B.指纹识别技术——生物特征识别
C.“U盾”——用户名+口令
D.QQ账号密码——动态口令
B
课堂随练
5.下列选项中，可以避免对信息系统数据越权访问的操作是( )
A.加强管理
B.身份认证
C.访问控制
D.分配权限
D
谢谢欣赏
2022.4.21

展开更多......

收起↑