挑戰(zhàn)/響應(yīng)鑒權(quán)需要服務(wù)請(qǐng)求人，IACS操作員，和服務(wù)提供者事先知道一個(gè)"秘密"碼。當(dāng)請(qǐng)求服務(wù)時(shí)，服務(wù)提供者對(duì)服務(wù)請(qǐng)求者發(fā)送一個(gè)隨機(jī)數(shù)字或字符串作為一個(gè)挑戰(zhàn)。服務(wù)請(qǐng)求者使用這個(gè)秘密碼為服務(wù)提供者生成一個(gè)唯一響應(yīng)。如果這個(gè)響應(yīng)為期望的，它證明服務(wù)請(qǐng)求者已經(jīng)在網(wǎng)絡(luò)上獲得"秘密"且沒有泄露秘密。 

　　挑戰(zhàn)/響應(yīng)鑒權(quán)針對(duì)了傳統(tǒng)密碼鑒權(quán)的信息安全漏洞。當(dāng)密碼（加密或明碼）在網(wǎng)上發(fā)送，發(fā)送了一部分真實(shí)的"秘密"。把秘密送給遠(yuǎn)程設(shè)備執(zhí)行鑒權(quán)。因此，傳統(tǒng)密碼的交換總是要遭受發(fā)現(xiàn)或重發(fā)的風(fēng)險(xiǎn)。因?yàn)檫@個(gè)秘密事先已知，且永遠(yuǎn)不在挑戰(zhàn)/響應(yīng)系統(tǒng)中發(fā)送，發(fā)現(xiàn)的風(fēng)險(xiǎn)被排除。如果服務(wù)提供者永不發(fā)送兩次相同的挑戰(zhàn)，并且接收器能夠探測(cè)到所有副本，網(wǎng)絡(luò)捕獲和重發(fā)攻擊的風(fēng)險(xiǎn)被消除。

　　公共的挑戰(zhàn)/響應(yīng)系統(tǒng)是：

　　●因特網(wǎng)工程任務(wù)組（IETF）的RFC1994-PPP-CHAP協(xié)議允許遠(yuǎn)程客戶端通過串行或撥號(hào)鏈路連接服務(wù)器?？蛻舳巳詰?yīng)知道這個(gè)密碼，但CHAP使用一種挑戰(zhàn)/響應(yīng)系統(tǒng)校驗(yàn)密碼，不通過串行鏈路發(fā)送，所以攻擊者不會(huì)看見或?qū)嵤┲匕l(fā)。

　　● Kerberos IETF的RFC1510-Kerberos是一種集中式服務(wù)器系統(tǒng)，為小型單一授權(quán)網(wǎng)絡(luò)而設(shè)計(jì)。它允許服務(wù)器對(duì)客戶端提供一種簡(jiǎn)單安全"票"概念的服務(wù)。一個(gè)理論上的例子是對(duì)象鏈接和嵌入（OLE?）OPC? 服務(wù)器，它從中心Kerberos 服務(wù)器得到的一張數(shù)據(jù)讀票，在PLC應(yīng)答數(shù)據(jù)請(qǐng)求前，把票發(fā)送給這臺(tái)PLC。Windows?和UNIX?/Linux?都有支持Kerberos的選項(xiàng)。

　　● 挑戰(zhàn)/響應(yīng)鑒權(quán)不能直接用于對(duì)用戶的鑒權(quán)，因?yàn)橛脩舨辉敢馐止そY(jié)合密碼和挑戰(zhàn)來計(jì)算合適的響應(yīng)。像PPP-CHAP協(xié)議碰到直接接受用戶密碼這種問題時(shí)，采用間接的挑戰(zhàn)/響應(yīng)鑒權(quán)管理，不讓用戶知道。然而，當(dāng)用戶進(jìn)入時(shí)，這種混合方法仍然為攻擊者提供了觀察鍵擊的機(jī)會(huì)。

　　● 在理論上，挑戰(zhàn)/響應(yīng)鑒權(quán)的一個(gè)弱點(diǎn)是能為攻擊者提供離線對(duì)挑戰(zhàn)和響應(yīng)的檢查。如果用已知算法和鑰匙創(chuàng)建這個(gè)響應(yīng)，攻擊者可以用這個(gè)知識(shí)計(jì)算出"秘密。"使用強(qiáng)力密碼算法可以避免這個(gè)漏洞，它使逆算困難且花費(fèi)時(shí)間。

　　● 挑戰(zhàn)/響應(yīng)鑒權(quán)用于網(wǎng)絡(luò)服務(wù)鑒權(quán)最弱的地方，位于在鑒權(quán)協(xié)商過程中系統(tǒng)允許"擊退攻擊"。在擊退攻擊中，攻擊者引導(dǎo)服務(wù)提供者同意使用一種弱智的鑒權(quán)方法，諸如明碼密碼或沒有鑒權(quán)。如果供應(yīng)商提供防止擊退的方法，就可以避免這個(gè)漏洞，諸如在服務(wù)設(shè)備設(shè)置中禁用網(wǎng)絡(luò)服務(wù)鑒權(quán)，僅用安全版本的協(xié)議，并且用戶要啟用這些方法。

　　● 用于挑戰(zhàn)/響應(yīng)鑒權(quán)的密碼，鑰匙，或秘密應(yīng)在物理上和網(wǎng)絡(luò)上做某種分布，減少暴露風(fēng)險(xiǎn)和危及系統(tǒng)。分布方法在設(shè)計(jì)和執(zhí)行時(shí)需特別小心，避免成為信息安全系統(tǒng)中的薄弱環(huán)節(jié)。

　　在控制系統(tǒng)中，對(duì)用戶直接使用挑戰(zhàn)/響應(yīng)鑒權(quán)是不可行的，因?yàn)閷?duì)控制系統(tǒng)或工業(yè)網(wǎng)絡(luò)訪問有快速動(dòng)態(tài)的要求，而這種鑒權(quán)方法可能引入延遲。

　　對(duì)網(wǎng)絡(luò)服務(wù)鑒權(quán)，使用挑戰(zhàn)/響應(yīng)鑒權(quán)比多數(shù)傳統(tǒng)密碼或源識(shí)別鑒權(quán)機(jī)制要更好。

　　為在將來提供適當(dāng)?shù)男畔踩?，工業(yè)自動(dòng)化和控制系統(tǒng)裝置和它們的協(xié)議足夠復(fù)雜，可以使用挑戰(zhàn)/響應(yīng)鑒權(quán)。在購(gòu)買系統(tǒng)時(shí)，應(yīng)注意良好和適時(shí)的挑戰(zhàn)/響應(yīng)鑒權(quán)協(xié)議，諸如挑戰(zhàn)握手鑒權(quán)協(xié)議（CHAP），這種鑒權(quán)操作使用挑戰(zhàn)/響應(yīng)方法。CHAP與密碼鑒權(quán)協(xié)議使用同樣的方法，但CHAP提供一種更高級(jí)的信息安全。CHAP可以用于遠(yuǎn)程用戶，路由器，和網(wǎng)絡(luò)訪問服務(wù)器，在連接之前提供鑒權(quán)。

　　對(duì)網(wǎng)絡(luò)用戶鑒權(quán)，挑戰(zhàn)/響應(yīng)鑒權(quán)比加密密碼提供更多信息安全。

　　管理主加密算法和主密碼增加了復(fù)雜性，因?yàn)樾畔踩^程包括更多部門，這對(duì)信息安全機(jī)制的牢固性是個(gè)重要考量。

　　物理或令牌鑒權(quán)很像"密碼鑒權(quán)，"除了要對(duì)請(qǐng)求訪問的他或她擁有的設(shè)備或令牌，諸如信息安全令牌或智能卡檢測(cè)決定真實(shí)性。另外，PKI鑰匙正嵌入到物理設(shè)備中，諸如通用串行總線（USB）。

　　某些令牌僅支持單要素鑒權(quán)，所以簡(jiǎn)單擁有令牌就足以進(jìn)行鑒權(quán)操作。有些支持兩要素鑒權(quán)，為了完成鑒權(quán)操作，除了擁有令牌還需要PIN或密碼的知識(shí)。

　　令牌鑒權(quán)針對(duì)的漏洞是防止秘密容易地被復(fù)制或被他人共享。它消除了對(duì)于個(gè)人計(jì)算機(jī)（PC）或操作員站"安全"系統(tǒng)僅剩下一道密碼墻的情形。信息安全令牌沒有特別對(duì)裝置和供應(yīng)的訪問是不能復(fù)制的。

　　第二個(gè)收益是在一個(gè)物理令牌內(nèi)的秘密可以非常大，物理安全，且隨機(jī)生成。因?yàn)榍度朐诮饘倩蚬枥铮瑳]有像人工鍵入密碼相同的風(fēng)險(xiǎn)。

　　如果一個(gè)信息安全令牌丟失或被偷，授權(quán)用戶就不能訪問，不像傳統(tǒng)的密碼，對(duì)丟失或被偷沒有察覺。

　　物理/令牌鑒權(quán)的通常形式包括：

　　● 傳統(tǒng)物理鎖和鑰匙；

　　● 信息安全卡（磁卡，智能芯片卡，光學(xué)編碼卡）；

　　● 射頻設(shè)備卡的形式，鑰匙鏈，已裝標(biāo)簽；

　　● 有安全加密鑰的軟件狗，附在計(jì)算機(jī)的USB口，串口，或并口上；

　　● 一次鑒權(quán)碼生成器。

　　對(duì)單要素鑒權(quán)，最大的弱點(diǎn)是握有物理令牌意味著準(zhǔn)許訪問（比如，任何人發(fā)現(xiàn)一串丟失的鑰匙現(xiàn)在可以訪問他們能打開的任何地方）。當(dāng)結(jié)合第二種形式鑒權(quán)時(shí)，物理/令牌鑒權(quán)更加安全，諸如與令牌一道使用的一個(gè)記憶PIN。

　　兩要素鑒權(quán)是一種被接受的良好實(shí)踐，用于高級(jí)信息安全應(yīng)用。

　　令牌需要后勤和財(cái)政的支持發(fā)布，分配，和管理。它們通常也需要另外的服務(wù)器支持鑒權(quán)。

　　物理/令牌鑒權(quán)是一種有效的信息安全技術(shù)，并且在IACS環(huán)境中扮演很強(qiáng)的角色。

　　可靠而高安全令牌方案今天已經(jīng)實(shí)現(xiàn)。令牌正成為一種方便好用的形式，諸如鑰匙環(huán)鏈和把功能嵌入到照片ID卡中。

　　物理/令牌鑒權(quán)具有在IACS環(huán)境中扮演很強(qiáng)角色的潛力。訪問卡或其他令牌可以是訪問計(jì)算機(jī)有效的鑒權(quán)形式，只要計(jì)算機(jī)在安全區(qū)域（比如，操作員一旦具有第二個(gè)鑒權(quán)準(zhǔn)許訪問機(jī)房，這個(gè)卡可以啟用控制行為）。在需要增加信息安全的地方，單要素方法諸如密碼可以結(jié)合物理/令牌鑒權(quán)創(chuàng)建一個(gè)更安全的兩要素鑒權(quán)系統(tǒng)。

　　在有些的地方，確保物理令牌的硬件不被擺弄，諸如好奇的工程師，試圖放進(jìn)X-射線，或竄改令牌中存儲(chǔ)鑰匙和關(guān)聯(lián)算法的寄存器，對(duì)所有寄存器清零使設(shè)備無效。

　　如果實(shí)施物理/令牌鑒權(quán)，有充足的資源管理令牌發(fā)放是非常重要的，包括令牌分配，替換和退回。

本站僅提供存儲(chǔ)服務(wù)，所有內(nèi)容均由用戶發(fā)布，如發(fā)現(xiàn)有害或侵權(quán)內(nèi)容，請(qǐng)點(diǎn)擊舉報(bào)。