4 挑战/响应鉴权

　　4.1 概述

　　挑战/响应鉴权需要服务请求人，IACS操作员，和服务提供者事先知道一个“秘密”码。当请求服务时，服务提供者对服务请求者发送一个随机数字或字符串作为一个挑战。服务请求者使用这个秘密码为服务提供者生成一个唯一响应。如果这个响应为期望的，它证明服务请求者已经在网络上获得“秘密”且没有泄露秘密。

　　4.2这项技术针对的信息安全漏洞

　　挑战/响应鉴权针对了传统密码鉴权的信息安全漏洞。当密码(加密或明码)在网上发送，发送了一部分真实的“秘密”。把秘密送给远程设备执行鉴权。因此，传统密码的交换总是要遭受发现或重发的风险。因为这个秘密事先已知，且永远不在挑战/响应系统中发送，发现的风险被排除。如果服务提供者永不发送两次相同的挑战，并且接收器能够探测到所有副本，网络捕获和重发攻击的风险被消除。

　　4.3 典型部署

　　公共的挑战/响应系统是：

　　?因特网工程任务组(IETF)的RFC1994—PPP-CHAP协议允许远程客户端通过串行或拨号链路连接服务器。客户端仍应知道这个密码，但CHAP使用一种挑战/响应系统校验密码，不通过串行链路发送，所以攻击者不会看见或实施重发。

　　? Kerberos IETF的RFC1510—Kerberos是一种集中式服务器系统，为小型单一授权网络而设计。它允许服务器对客户端提供一种简单安全“票”概念的服务。一个理论上的例子是对象链接和嵌入(OLE?)OPC? 服务器，它从中心Kerberos 服务器得到的一张数据读票，在PLC应答数据请求前，把票发送给这台PLC。Windows?和UNIX?/Linux?都有支持Kerberos的选项。

　　4.4 已知的问题和弱点

　　? 挑战/响应鉴权不能直接用于对用户的鉴权，因为用户不愿意手工结合密码和挑战来计算合适的响应。像PPP-CHAP协议碰到直接接受用户密码这种问题时，采用间接的挑战/响应鉴权管理，不让用户知道。然而，当用户进入时，这种混合方法仍然为攻击者提供了观察键击的机会。

　　?在理论上，挑战/响应鉴权的一个弱点是能为攻击者提供离线对挑战和响应的检查。如果用已知算法和钥匙创建这个响应，攻击者可以用这个知识计算出“秘密。”使用强力密码算法可以避免这个漏洞，它使逆算困难且花费时间。

　　?挑战/响应鉴权用于网络服务鉴权最弱的地方，位于在鉴权协商过程中系统允许“击退攻击”。在击退攻击中，攻击者引导服务提供者同意使用一种弱智的鉴权方法，诸如明码密码或没有鉴权。如果供应商提供防止击退的方法，就可以避免这个漏洞，诸如在服务设备设置中禁用网络服务鉴权，仅用安全版本的协议，并且用户要启用这些方法。

　　?用于挑战/响应鉴权的密码，钥匙，或秘密应在物理上和网络上做某种分布，减少暴露风险和危及系统。分布方法在设计和执行时需特别小心，避免成为信息安全系统中的薄弱环节。

　　4.5 在工业自动化和控制系统环境中使用的评估

　　在控制系统中，对用户直接使用挑战/响应鉴权是不可行的，因为对控制系统或工业网络访问有快速动态的要求，而这种鉴权方法可能引入延迟。

　　对网络服务鉴权，使用挑战/响应鉴权比多数传统密码或源识别鉴权机制要更好。

　　4.6 未来方向

　　为在将来提供适当的信息安全，工业自动化和控制系统装置和它们的协议足够复杂，可以使用挑战/响应鉴权。在购买系统时，应注意良好和适时的挑战/响应鉴权协议，诸如挑战握手鉴权协议(CHAP)，这种鉴权操作使用挑战/响应方法。CHAP与密码鉴权协议使用同样的方法，但CHAP提供一种更高级的信息安全。CHAP可以用于远程用户，路由器，和网络访问服务器，在连接之前提供鉴权。

　　4.7 推荐与指南

　　对网络用户鉴权，挑战/响应鉴权比加密密码提供更多信息安全。

　　管理主加密算法和主密码增加了复杂性，因为信息安全过程包括更多部门，这对信息安全机制的牢固性是个重要考量。

　　5 物理/令牌鉴权

　　5.1 概述

　　物理或令牌鉴权很像“密码鉴权，”除了要对请求访问的他或她拥有的设备或令牌，诸如信息安全令牌或智能卡检测决定真实性。另外，PKI钥匙正嵌入到物理设备中，诸如通用串行总线(USB)。

　　某些令牌仅支持单要素鉴权，所以简单拥有令牌就足以进行鉴权操作。有些支持两要素鉴权，为了完成鉴权操作，除了拥有令牌还需要PIN或密码的知识。

　　5.2这项技术针对的信息安全漏洞

　　令牌鉴权针对的漏洞是防止秘密容易地被复制或被他人共享。它消除了对于个人计算机(PC)或操作员站“安全”系统仅剩下一道密码墙的情形。信息安全令牌没有特别对装置和供应的访问是不能复制的。

　　第二个收益是在一个物理令牌内的秘密可以非常大，物理安全，且随机生成。因为嵌入在金属或硅里，没有像人工键入密码相同的风险。

　　如果一个信息安全令牌丢失或被偷，授权用户就不能访问，不像传统的密码，对丢失或被偷没有察觉。

　　5.3 典型部署

　　物理/令牌鉴权的通常形式包括：

　　? 传统物理锁和钥匙;

　　? 信息安全卡(磁卡，智能芯片卡，光学编码卡);

　　? 射频设备卡的形式，钥匙链，已装标签;

　　?有安全加密钥的软件狗，附在计算机的USB口，串口，或并口上;

　　? 一次鉴权码生成器。

　　5.4 已知的问题和弱点

　　对单要素鉴权，最大的弱点是握有物理令牌意味着准许访问(比如，任何人发现一串丢失的钥匙现在可以访问他们能打开的任何地方)。当结合第二种形式鉴权时，物理/令牌鉴权更加安全，诸如与令牌一道使用的一个记忆PIN。

　　两要素鉴权是一种被接受的良好实践，用于高级信息安全应用。

　　令牌需要后勤和财政的支持发布，分配，和管理。它们通常也需要另外的服务器支持鉴权。

　　5.5在工业自动化和控制系统环境使用的评估

　　物理/令牌鉴权是一种有效的信息安全技术，并且在IACS环境中扮演很强的角色。

　　5.6 未来方向

　　可靠而高安全令牌方案今天已经实现。令牌正成为一种方便好用的形式，诸如钥匙环链和把功能嵌入到照片ID卡中。

　　5.7 推荐与指南

　　物理/令牌鉴权具有在IACS环境中扮演很强角色的潜力。访问卡或其他令牌可以是访问计算机有效的鉴权形式，只要计算机在安全区域(比如，操作员一旦具有第二个鉴权准许访问机房，这个卡可以启用控制行为)。在需要增加信息安全的地方，单要素方法诸如密码可以结合物理/令牌鉴权创建一个更安全的两要素鉴权系统。

　　在有些的地方，确保物理令牌的硬件不被摆弄，诸如好奇的工程师，试图放进X-射线，或窜改令牌中存储钥匙和关联算法的寄存器，对所有寄存器清零使设备无效。

　　如果实施物理/令牌鉴权，有充足的资源管理令牌发放是非常重要的，包括令牌分配，替换和退回。

（罗克韦尔自动化（中国）有限公司 华镕）