22、网络认证与椭圆曲线密码系统全解析

网络认证与椭圆曲线密码系统全解析

1. 认证协议的优缺点与应用场景

Kerberos 协议具有显著优势，它可摒弃繁琐的非对称算法。然而，其 Kerberos 服务器和票据授予服务器需始终保持在线可访问状态，且中央服务器易成为攻击目标。一旦攻击者控制 Kerberos 服务器，整个系统将陷入危险。因此，Kerberos 主要应用于大学和公司网络，这些网络的运营商相对可信。而在全球互联网中，人们更倾向于使用公钥基础设施。

在企业场景中，如 Crypt & Co. 公司希望为员工提供远程办公服务，员工可在家登录办公室电脑，外勤人员也需远程访问公司电脑，客户可通过网络获取特定信息。这些操作都需要可靠的认证过程。但如果员工可访问多台公司电脑，认证需统一管理，否则会出现问题。例如，员工为每台电脑设置不同密码并定期更新，易出现疏忽错误；员工离职后，若未全部封禁其访问权限，可能仍能访问公司电脑。所以，在本地网络中，多人访问多台电脑时，需制定并执行统一的认证策略。

2. AAA 服务器及其认证流程

为解决上述认证管理问题，可采用 AAA 服务器（AAA 代表认证、授权、计费）。所有认证数据（如密码、一次性密码、公钥）和访问权限信息都记录在中央服务器上，拨号点在线可用。AAA 服务器认证流程如下：
1. 用户（如 Alice）连接到 AAA 客户端。
2. AAA 客户端要求 Alice 进行身份验证，如输入用户 ID 和密码。
3. AAA 客户端决定是否借助 AAA 服务器进行认证（通常选择借助）。
4. AAA 客户端向 AAA 服务器发送访问请求消息，包含 Alice 的用户 ID 和密码（或其哈希值）、AAA 客户端标