43、网络安全：防范与应对全解析

网络安全：防范与应对全解析

1. 中央认证：简化与安全的平衡

在许多组织中，用户常常要在不同计算机上拥有多个用户配置文件和密码。每次访问新服务器时，都得提供密码，这不仅让用户感到繁琐，也给网络管理员管理所有用户的独立账户带来极大困难。

为解决此问题，越来越多组织采用中央认证（也称为网络认证、单点登录或目录服务）。在这种认证方式中，使用登录服务器来验证用户身份。用户不再登录文件服务器或应用服务器，而是登录认证服务器。该服务器会将用户 ID 和密码与数据库进行比对，若用户是授权用户，就会颁发证书（也称为凭证）。

当用户尝试访问需要用户 ID 和密码的受限服务或资源时，会被要求验证，其软件会向认证服务器出示证书（认证服务器会再次验证）。若认证服务器验证证书有效，服务或资源就会允许用户访问。这样，用户无需为使用的每个新资源或服务重新输入密码，还能避免意外将密码泄露给未授权服务，实现用户与服务或资源的相互认证。最常用的认证协议是麻省理工学院开发的 Kerberos。

虽然许多系统仅使用一个认证服务器，但也可针对组织的不同部分建立一系列认证服务器。每个服务器能验证其域内的客户端，还可将认证凭证传递给其他域的认证服务器。

Kerberos认证流程

• 登录阶段 ：用户向计算机上的 Kerberos 软件提供用户 ID 和密码，该软件将包含用户 ID（不包含密码）的请求发送到 Kerberos 认证服务器（密钥分发中心，KDC）。KDC 检查数据库中的用户 ID，若找到则接受登录并进行两项操作。一是生成 KDC 的服务票据（ST），包含 KDC 信息、时间戳和唯一会话密钥（SK1），用