WINDOWS域智能卡认证实施方案设计

论文摘要

随着信息技术的飞速发展,系统安全成为越来越重要的一个问题,受到人们的广泛关注。而身份认证技术作为保证系统安全的第一道屏障,起着至关重要的作用。传统的Windows身份认证机制是基于用户名/密码方式的认证,这就存在口令易被猜测、截获以及冒用身份等一系列安全隐患。而目前我国没有自主知识产权的通用操作系统,所以对Windows的身份认证机制进行研究和改进,对于增强系统安全是很有必要并且有着重要意义的。Windows操作系统在登录安全上提供了基于第三方智能卡的认证方式,这种方式相比较传统的用户名/口令认证方式在安全性上有极大提高。在文章中,我们使用中铁信安公司研发的智能卡设备,并利用Windows的CA系统颁发的证书完成了用户智能卡登录域控制器的方案设计,该方案具有相当的普适性,在很多企事业单位、政府机关的局域网络环境均有较高的实用价值,它成为一种具有典型意义的Windows局域网安全登录方案。本文首先介绍了Windows 2000安全子系统的原理,模型和组件间的相互作用。重点描述了访问控制原理和算法。接着,我们还介绍了Kerberos协议的原理和应用。然后,我们详细介绍了Windows 2000登录流程和身份认证的实现。我们注意到,Windows域服务还支持另一种域登录的验证方式,这就是通过智能卡登录。智能卡是一种具有微处理器及内嵌操作系统的设备,作为支持Windows域登录来说,它还需要支持微软的标准PC/SC智能卡软件标准,并且必须提供微软授权的CSP程序。另外,使用基于智能卡的域登录往往是通过证书认证方式实现域用户的身份验证,因此,必须建立一套能与域控制器相结合的CA系统,并能通过智能卡颁发签名证书,用户利用这样的智能卡就能成功的进行基于智能卡的域登录验证。然后,我们说明如何实现自定义的EpGina.dll模块来提供了一种基于USB Key的身份认证机制。这里我们将使用中铁信安（北京）信息安全技术有限公司研制的CopLock-Key-Key智能卡设备。最后介绍了整个系统的架构和方案的实现流程,并给出了系统的一些特点,展望下一步的工作。

论文目录

• 摘要
• ABSTRACT
• 目录
• 图表目录
• 第一章 引言
• 1.1 研究的目的与意义
• 1.2 本文的工作
• 第二章 Windows 2000安全子系统与Kerberos协议
• 2.1 Windows 2000安全系统组件
• 2.2 安全标识符
• 2.2.1 安全描述符和访问控制
• 2.3 安全审计
• 2.4 Kerberos的概念
• 2.4.1 共享的秘密
• 2.4.2 多重认证
• 2.5 在Windows 2000中的Kerberos组件
• 2.5.1 密钥分发中心
• 2.5.2 账户数据库
• 2.5.3 Kerberos安全支持提供者
• 2.5.4 DNS名称解析
• 2.6 Kerberos为Windows 2000提供的支持
• 2.6.1 一站式登录
• 2.7 Windows 2000域登录认证过程
• 2.7.1 域登录概述
• 2.7.2 跨域访问网络资源
• 2.7.3 可传递的信任关系
• 2.7.4 凭证信息缓存
• 2.8 Kerberos组件在域登录上的应用
• 2.8.1 Kerberos协议扩展
• 第三章 USB Key域登录的应用
• 3.1 Windows 2000身份认证过程
• 3.1.1 认证协议
• 3.1.2 Windows 2000登录过程
• 3.1.3 Winlogon初始化
• 3.1.4 用户登录步骤
• 3.1.5 Windows 2000/XP使用自定义Gina
• 3.2 技术路线
• 3.3 CopLock-Key结构和特点
• 3.4 系统登录策略
• 3.5 CopLock-Key域登录应用
• 3.5.1 安装域控制器
• 3.5.2 安装CA
• 3.5.3 发放智能卡
• 3.5.4 智能卡登录
• 3.6 系统特点
• 第四章 方案设计及实施
• 4.1 总体拓扑
• 4.2 实施步骤
• 4.2.1 部署域控制器
• 4.2.2 安装证书颁发机构
• 4.2.3 部署证书颁发机构
• 4.2.4 部署智能卡注册站
• 4.2.5 颁发智能卡证书
• 4.2.6 部署智能卡用户
• 第五章 结束语
• 致谢
• 参考文献