3

我是密码学的新手，正在研究 PKI 和 PKCS 等。我了解 PKI 的基本概念以及它如何用于加密/解密。但是，我对如何使用 USB 令牌或智能卡等硬件令牌来安全登录您的计算机感到困惑。以下是我理解的步骤以及我感到困惑的部分（对于问题长度，请提前抱歉）：

场景：网络上的计算机 xyz 包含只有属于 SECRET 组的用户才能访问的数据。用户 Bob 和 Joe 属于该组，并已获得 USB 令牌，他们可以使用这些令牌提供凭据，使他们能够访问这些资源。USB 令牌采用双因素身份验证，需要输入密码。该令牌符合 PKCS11。

  1. Bob 将 USB 令牌插入 Linux 机器
  2. PAM-PKCS11 模块识别此事件并提示 Bob 输入他的密码。
  3. 一旦 Bob 正确输入了他的 4 位 PIN，模块将通过以下方式检查 Bob 令牌上证书的有效性（这会有所不同，但最低要求是多少？）：
    • 查找根证书以检查受信任的 CA
    • 检查证书有效期和撤销列表
    • 将令牌上的 ID 与用户文件（在哪里？，缺少步骤）或目录（LDAP 等）匹配
  4. 如果一切正常，模块会通知 PAM 成功的结果。
  5. 此行被标记为足够，因此 PAM 接受身份验证，并且 Bob 已登录并且可以查看仅限于 SECRET 组用户的信息。

我缺少的部分是关于 Bob 是否可以访问这台机器以及他与网络（甚至桌面）用户 Bob 的关系的信息存储在哪里。我了解有关 Bob 的其他识别数据将存储在 USB 上，包括 ID（例如，电子邮件地址）。但是，这种强大的安全性如何？如果有的话，在登录过程中在哪里使用加密（或者这不是这些令牌的真正目的）？如果有人拿到 USB 并知道 4 位数的 pin，这似乎就是所需要的，对吧？此外，CA 的信任本质上是否允许信任另一个用户无法获得新的 USB 令牌并使用受信任的 CA 来获取新证书，但指定所有识别数据与 Bob 的相同？我知道我缺少一些关键部分.. 但是在阅读了几十篇文章之后，这方面的解释似乎被掩盖了。使用硬件令牌作为身份验证登录到包含敏感数据的机器的充分手段是个好主意吗？或者此类令牌的目的主要是为了安全地存储在其他应用程序中使用的密钥对？感谢您的帮助！

4

1 回答 1

5

PAM（顾名思义）只处理身份验证。身份验证是关于证明用户是谁，即“向我证明你说你是谁”。这与授权是分开的，即“您有权访问此资源吗？”。

认证有三个方面：
1.我知道
2.我有
3.我是

典型的用户名/密码组合适合 1。而令牌或其他 PKCS 设备适合 2，而虹膜识别或指纹读取等生物识别技术适合 3。

您在安全性中拥有的这些方面越多，安全性就越好/越严格。在这种情况下，登录适合 1 和 2，因此比仅使用用户名和密码更安全。如果有人要从他身上取出他的别针并偷走他的设备，那么是的，它不会证明这是鲍勃在使用它。但是，如果 Bob 将他的用户名和密码也提供给某人，也不会这样做。

令牌的重点是引入“拥有”某些东西的第二个因素，您还需要 PIN 的事实意味着也需要“知道”某些东西。因此，系统可以更有信心地相信这个人就是他们声称的那个人。

您所指的缺少的部分是授权，如上所述，这是一个单独的身份验证过程，并且仅在用户进行身份验证后才会发生。在这种情况下，PAM 已对 Bob 进行了身份验证，并向操作系统确认 Bob 确实在使用该系统。但是，操作系统随后必须在步骤 5 中执行一些其他检查，以确认 Bob 有权访问该资源。

于 2009-04-30T00:01:15.530 回答