端点鉴别、

端点鉴别

端点鉴别概念

端点鉴别（end-point authentication）是一个实体经过计算机网络向另一个实体证明其身份的过程，这种鉴别应当在报文和数据交换的基础上，作为某鉴别协议的一部分独立完成。鉴别协议通常会在两个通信实体运行其他协议之前运行，鉴别协议首先建立相互满意的各方的标识；仅当鉴别完成之后，各方继续开始下面的工作。

鉴别协议ap 1.0——发送者直接发送一个报文表明身份

假设Alice要向Bob鉴别她自己的身份。
最简单的就是：Alice直接发送一个报文给Bob，说她就是Alice。
缺陷是Bob无法判断发送报文“I am Alice ”的人就是Alice，因为Trudy（入侵者）也可以发送这样的报文。

鉴别协议ap 2.0——ap1.0 的基础上，接收者对报文的来源IP地址进行鉴别

Alice说 “I am Alice ” ，并在她发送的IP数据包中包含了她的IP地址。
缺陷是Trudy可以生成一个分组，包括伪造的Alice的地址。

鉴别协议ap 3.0——使用秘密口令，口令为鉴别者和被鉴别者之间共享的秘密

Alice说 “I am Alice ” ，而且传送她的密码来证明。
口令为鉴别者和被鉴别者之间共享的秘密。比如Gmail、Telnet（远程终端协议）、FTP（文件传输协议）和许多服务都是使用口令鉴别。
缺陷是若Trudy窃听了Alice的通信，则可以得到Alice的口令。Trudy记录了Alice的分组，事后向Bob发送。
例子：

鉴别协议ap 3.1——对秘密口令进行加密，但是容易收到回放攻击（Playback Attack）威胁

完善鉴别协议ap 3.0 的下一个想法就是加密口令，通过加密口令，能够防止Trudy得知Alice的口令。假设Alice和Bob共享一个对称秘密秘钥K（A-B），则Alice可以加密口令，并向Bob发送其识别报文“ I am Alice ” 和加密的报文。Bob则解密口令，若口令正确，则鉴别了Alice。
虽然防止Trudy得知Alice的口令，缺陷是Bob受制于回放攻击，Trudy只需要窃听Alice的通信，并记录下该口令的加密版本，并向Bob回放该口令的加密版本，以假装她就是Alice。

鉴别协议ap 4.0

不重数（Nonce）：是在一个协议的生存期中只使用一次的数。

被鉴别者向鉴别者发送报文表明身份。
鉴别者选择一个不重数发送给被鉴别者。
被鉴别者用私钥加密不重数发送给鉴别者。