身份认证概述
身份认证常被用于通信双方相互确认身份，以保证通信的安全，它是证实被认证对象是否属实和是否有效的一个过程。身份认证是信息安全的第一道防线，对信息系统的安全有着重要的意义，是信息安全体系的基础环节。互联网的广泛性和开放性使得非法用户可以借机进行破坏，他们很容易伪造和盗用用户的身份。因此，有效、可信的身份认证手段是确保整个安全系统可信的基础。
身份认证技术的基本思想是通过验证被认证对象的某一特殊属性，来达到确认被认证对象是否真实有效的目的。被认证对象的属性可以是口令、证书、数字签名，或者像指纹、声音、视网膜这样的生理特征。当前，网络上流行的身份认证技术主要有基于口令的认证、基于智能卡认证、动态口令认证、生物特性认证、USB Key认证等，这些认证技术并非单独使用，有很多认证过程同时使用了多种认证机制。
身份认证的方式
身份认证技术根据不同的侧重点可以有多种划分方式。我们根据认证方法将身份认证技术大致分类如下：
（1）基于账号和口令的用户身份认证。系统给每个提出申请的用户分配一个具有唯一性的标识ID，用户设定自己的口令PW。用户要注册进入系统时，向系统提交标识ID和PW，系统根据ID检索口令表得到相应的口令PW。如果两个PW一致，就认为是合法用户并接受用户，否则用户被拒绝。基于账号和口令的身份认证技术具有成本低、易实现、用户界面友好等特点，所以目前该技术被一般的计算机系统广泛采用。
（2）基于对称密钥／公开密钥的用户身份认证。数据在信道中的传输一般都会采取对称密钥／公开密钥加密措施，以保证数据传输过程中的安全性。在传统的对称密钥密码体制中，加密与解密方法相同，密钥管理较不方便，密码体制单一且容易被攻击或窃取。使用基于公开密钥的身份认证技术，可以很好地解决对称加密过程中密钥无法安全共享的这一问题，它可以减轻因密钥管理不善而带来的安全威胁。公开密钥密码体制的加密和解密是由通信双方使用不同的两个密钥来实现的。
（3）基于KDC的身份认证。在基于对称密钥加密的身份认证协议中，需要认证双方共享一个对称密钥，但是随着系统中用户逐渐增多，密钥数量会逐渐变得庞大。当用户的数量较大时，密钥的数量增长很快，也就意味着密钥的管理很难，并且增加了密钥存储的危险性，降低了身份认证的安全性。为了减轻密钥管理的难度并且降低密钥的安全风险，可增加一个如密钥分配中心（KDC, Key Distributed Center）这样的可靠中介机构来保存和分发密钥。一般的KDC的工作原理如图1-5所示。
图1-5
其中，K a 是A与KDC之间的对称密钥，K b 是B与KDC之间的对称密钥，K ab 是由KDC颁发的A与B之间的对称密钥，KDC给出的K a (K ab ,A)等称为通知单ticket。常见的基于KDC的身份认证协议有Needham-Schroeder协议、扩展的Needham-Schroeder协议和Otway-Rees认证方法等。
（4）基于数字证书的用户身份认证。公开密钥认证方式中的关键问题是确保公开密钥的真实性。现今流行的一个解决的办法是采用数字证书的方式来保证实体公开密钥的真实性。证书由实体的身份标识、公开密钥、对身份标识和公开密钥的数字签名以及其他附加信息构成，数字证书由可信第三方来制作和颁发。其认证原理如图1-6所示。
图1-6
在A与B进行相互认证时，首先A需获得B的数字证书C b ，并使用可信第三方的公开密钥对C b 的签名进行验证，通过后生成会话密钥K s ，然后用B的公开密钥对自己的身份标识A和K s 进行加密得到PK b (A,K s )，并将结果和自己的证书C a 一并发送给B方。B接收到信息后，同样利用可信第三方提供的公开密钥对证书C a 的签名进行验证，然后对PK b (A,K s )进行解密，再利用A的公开密钥对自己的身份标识B和K s 进行加密，将结果PK a (B,K s )返回给A。A接收后对其进行解密，验证K s ，完成身份认证，构建会话密钥K s 。以后双方的交互就能建立在此会话密钥基础上进行。
（5）基于生物特征的用户身份认证。生物特征识别技术是通过计算机利用人体所固有的生理特征或行为特征（如指纹、手形或视网膜等）来进行的个人身份鉴别。目前生物认证技术已被广泛使用，包括指纹识别、语音识别以及视网膜识别等。与传统的身份鉴别手段相比，基于生物特征的用户身份认证技术具有以下优点：不易遗忘或者丢失；防伪性能较好；与拥有者具有绝对相关性。
PKI是以公开密钥技术为基础并提供安全服务的安全机制。它提供公钥加密和数字签名的功能，并且对密钥和数字证书进行管理。本节重点阐述了密码学基础与身份认证相关理论：首先介绍了对称密钥加密技术和公开密钥加密技术，然后介绍了单向散列函数算法与数字签名的原理，最后详细介绍了身份认证相关的理论与几种常见的身份认证方式。这些都是PKI技术的基础。
