网络安全工程师必知的身份鉴别知识

1. 身份鉴别的定义

身份鉴别是网络安全中的一个关键概念，指的是确认用户、系统或实体的身份以确保其合法性和可信度的过程。在计算机系统和网络中，身份鉴别是确保只有授权用户或实体能够访问资源和执行特定操作的一种方式。

2. 身份鉴别的类型

身份鉴别的类型包括单向鉴别、双向鉴别、第三方鉴别，具体如下所述。

• 单向鉴别

单向鉴别是一种身份验证方式，其中只有一个实体需要证明其身份，而另一个实体则不需要验证自己的身份。例如，WEB服务端验证用户的账号和密码，而用户不验证WEB服务端；还有为什么前些年伪基站泛滥，就是因为GSM系统只验证手机合法性，而手机没有验证基站的合法性。

• 双向鉴别

双向鉴别是一种身份验证方式，其中两个实体都需要验证对方的身份。通常，客户端验证服务器的身份的同时，服务器也验证客户端的身份。例如，在SSL/TLS加密通信中，除了服务器提供数字证书以供客户端验证外，客户端也可能提供自己的数字证书以供服务器验证。

• 第三方鉴别

第三方鉴别是一种身份验证方式，其中存在一个独立的第三方实体，负责验证其他两个实体的身份。第三方鉴别通常用于确保通信双方的身份都是合法的。例如，证书颁发机构（CA），当通信双方都获得CA颁发的数字证书时，它们可以相互验证对方的身份，并信任CA的权威性。

3. 身份鉴别的方式

身份鉴别方式主要包括实体所知、实体所有、实体特征、多因素鉴别，具体如下所述。

• 实体所知

这种身份鉴别方式基于用户所知道的信息，例如密码、PIN码、安全问题答案等。用户需要提供一个仅他们知道的秘密信息来验证身份。

• 实体所有

这种身份鉴别方式基于用户所拥有的物理实体，如安全令牌、智能卡、手机等。用户需要展示或使用这些物理实体来验证身份。

• 实体特征

 这种身份鉴别方式基于用户的生物特征，例如指纹、掌纹、静脉、视网膜、虹膜、巩膜、面部识别、声纹等。这些生物特征是独一无二的，因此可以用于验证身份。

• 多因素鉴别

多因素鉴别结合了上述多种身份鉴别方式，要求用户提供两个或两个以上的验证因素，以增加安全性。通常包括实体所知、实体所有和/或实体特征的组合。 双因素认证（2FA）是多因素鉴别的一种常见形式，其中用户可能需要提供密码（实体所知）以及通过手机应用生成的一次性验证码（实体所有）。

这些身份鉴别方式的组合使用可以提高系统的安全性，因为攻击者需要同时攻克多个层面的难题才能成功冒充合法用户。在设计安全策略时，根据具体需求和威胁模型选择适当的身份鉴别方式是非常重要的。