本文是关于网络认证和Internet计算机的认证

私募比特币 Internet核算机运用更先进和安全的加密身份验证方法来替换用户名和暗码。为了了解身份和认证在互联网核算机中的含义，咱们有必要首要了解它们在当今网络中的运用方法。登录网站时，用户名一般是电子邮件地址或一串字母和数字。它是您的仅有标识符，能够将服务器上的相关数据与您的身份联系起来。暗码是一种身份验证手法。理论上，只要您知道暗码，服务器将您的暗码解释为它与您通讯的依据。可是，事实是暗码并不是一个好的长途身份验证机制。当您在网站上输入暗码时，您的核算机会将暗码发送到服务器并与暗码数据库进行查看。不幸的是，黑客能够拜访这些暗码数据库。在最坏的情况下，暗码以明文方式存储在服务器上，这是十分不安全的。即便暗码是加密的，破解暗码也仅仅黑客是否乐意为了取得拜访权而投入核算和金钱资源的问题。互联网核算机是一个以网络速度运转的区块链核算网络，能够无限地增加其容量。它的规划是经过在多个数据中心之间仿制数据和核算来供给安全性，以避免单个核算供货商的歹意行为。需求留意的是，虽然仿制能够维护数据的完好性，但不能避免信息的走漏；在互联网核算机上运用暗码依然会遭到与传统网络相同的安全问题的影响。因而，在因特网核算机上，咱们用恰当的加密认证替代暗码。咱们在因特网核算机上用于认证的首要加密机制是数字签名计划。数字签名是一个适当规范的概念，发明于20世纪70年代末，自90年代中期以来得到了广泛的运用。它一般由以下三种算法组成：密钥生成：密钥生成可视为暗码的挑选。一般，密钥的生成将创立一对密钥：一个是有必要像暗码相同保密的私钥，另一个是从私钥派生的公钥。签名：签名需求信息和私钥生成。当运用数字签名进行用户身份验证时，该算法在具有私钥的客户端上运转。验证：算法接纳信息、签名和公钥，验证签名是否与信息和公钥共同。这儿的要害特点是，与查看暗码不同，暗码需求存储在服务器上。在这种情况下，签名验证只能依据揭露信息进行，由于服务器存储了公钥列表，每个用户都有一个，公钥和签名不需求保密。Internet核算机上的运用是依据容器之间经过传递信息进行通讯的。更详细地说，交互模是依据恳求的，类似于长途进程调用。当容器a调用容器B时，容器a指定方针容器、要调用的函数的称号以及函数的参数。当在容器B上核算指定的函数时，容器也知道该函数是由容器a调用的。当求值完结时，容器a将得到函数的返回值作为呼应。当用户与容器交互时，相同的长途进程调用模也适用。当用户调用容器时，用户向方针容器发送恳求。恳求还指定了一个带有参数的函数，用户能够在呼应中取得返回值。当恳求更改时，容器还知道调用它的用户的身份。注：在ICP平台上，容器是最基本的组件，能够了解为容器，类似于以太坊等区块链公共链平台上的智能合约。这些容器能够仿制、分叉和自组织。上图是用户发送恳求的示意图。中心的浅灰色区域显现中心恳求，包含方针容器ID、函数名、参数以及调用方的标识或主体。深灰色区域显现包含身份验证信息、签名和公钥的信封。如左图所示，调用者的主体是经过散列从公钥派生的。这项技能广泛运用于区块链范畴，如比特币或以太坊地址。此外，图的右侧部分显现了数字签名计划中作为音讯的恳求内容怎么经过签名绑定到公钥。当因特网核算机收到这样一个恳求时，它不只查看签名在指定的公钥下是否有用，并且还查看公钥和调用者之间的联系。为了保证音讯实际上是由音讯中指定的调用者发送的，容器会疏忽这些技能细节。假如查看了一切内容，则Internet核算机将评价容器上指定的函数，但假如其间一个查看失利，则丢掉恳求。下面是关于咱们运用的身份格局的一些细节。咱们从der格局的公钥开端，用sha-224散列得到一个28字节的字符串。咱们将增加一个字节来区别身份主题和公钥，以及咱们在Internet核算机的其他方位（如容器）运用的身份主题。这29个字节由用户署理的内部二进制表明。在将主体转换为文本表明时，咱们首要增加一个CRC-32过错检测码。然后，运用base32对生成的字符串进行编码，最终在每组中创立5个字符的组，用破折号分隔。咱们挑选这种格局是为了支撑简略的仿制和张贴以及正确的过错检测，一起依然答应ASCII符号中少于64个字符与DNS等互联网协议兼容。到目前为止，咱们看到的计划在结构上有点不灵敏。它们将用户的身份主体与单个加密密钥绑定，可是这种约束使得用户很难与来自不同设备的容器进行交互，由于他们需求在这些设备之间同享相同的加密密钥，这既费事又不安全。相反，咱们在不同的加密密钥之间运用授权。如上图所示，您能够看到从黄色键到橙色键的托付。此托付包含托付密钥，即橙色密钥；一些附加参数，如托付规模的到期或约束；以及代表团密钥的签名，即黄色密钥。当运用橙色密钥对恳求进行签名时，用户能够运用黄色密钥中的托付来运用黄色密钥中的标识。此外，授权的力气在于可组合性。例如，橙色密钥能够将授权扩展到紫色密钥。这种结构与PKI和X.509十分类似，但这不是偶然。咱们从中学习并运用更轻量级的数据结构。托付的一个详细运用与网络认证有关。网络认证是万维网联盟（W3C）的一项新规范，首要针对网络运用的双要素认证。该规范的动机是，如前所述，暗码有严峻的安全缺点。当网络垂钓邮件、歹意软件和黑客进犯产生时，它们往往成为网络犯罪分子的猎物。双要素认证意味着除了暗码，登录网络运用程序还需求一个额定的安全要素，一般是用户具有的安全设备。实际上，它或许是一个安全的USB密钥或一个嵌入用户终端设备并由生物辨认技能激活的安全芯片，存储加密密钥。由于加密密钥从不脱离安全芯片，即运用户的电脑或手机被歹意软件感染，它们依然是安全的。当网络认证作为网络运用中的第二个要素时，协议流程如下：当用户经过供给用户名和暗码开端登录进程后，网络服务器将生成一个随机质询并发送给用户的浏览器。然后，浏览器将质询发送给安全设备，安全设备需求在签署质询之前与用户进行交互。然后，将签名的质询发送回服务器，服务器依据用户注册的公钥对质询上的签名进行验证。这保证了当您登录到网络运用程序时，除了暗码之外，还需求一个安全设备。网络认证是一种敞开的规范，它选用数字签名进行认证，并得到了广泛的设备支撑。可是，当咱们将其运用于网络核算机时，咱们有必要战胜一些妨碍。在传统网络中，网络认证选用面向会话的客户机-服务器模。用户在登录到运用程序并在同一会话中发送后续信息时进行一次身份验证。相比之下，互联网核算机完成了一个模，每个恳求都是独自验证的。特别地，由于浏览器和因特网核算机之间不存在有状况会话，因而不存在能够生成质询并由安全设备签名的服务器。可是，回顾过去，在典的网络身份验证进程中，安全设备需求为服务器发送的质询供给数字签名。为了运用相同的协议来完成恳求认证，咱们需求运用恳求自身作为质询，由安全设备签名，类似于咱们的一般恳求认证计划。咱们有必要战胜的另一个问题是，网络身份验证要求用户与每个签名进行交互。在Internet核算机供给的典前端中，一个页面的加载或许对应于多个恳求。由于咱们不想让用户明确地承认每个恳求，所以咱们运用上面的托付机制。当运用网络身份验证与容器交互时，咱们首要生成一个短期会话密钥。然后，经过网络认证对会话密钥进行授权，使得单个用户的交互能够触发多个对Internet核算机的恳求。虽然网络认证关于安全地存储加密密钥十分有协助，但它不只将这些密钥绑定到设备，还将它们绑定到特定的容器。原因在于浏览器的安全模，它严厉区别了运转在同一个web浏览器中的不同运用程序能够依据其来历拜访的状况。在互联网上，你能够以为一个来历大致适当于一个网站。在因特网核算机上，每个原点对应一个容器。这种严厉的状况别离关于安全性是必不可少的，可是它也使得比如密钥备份或支撑从多个设备无缝拜访同一容器之类的功用变得很费事，由于一切这些操作有必要对每个容器别离履行。咱们经过运用互联网身份服务来处理这个问题，即身份供给者，它类似于您在互联网上了解的。运用Google或Facebook登录。当用户第一次加载特定容器的前端时，前端会呈现一个按钮，供运用IC登录。当用户单击按钮时，浏览器将翻开一个弹出窗口，显现Internet身份服务，这是一个答运用户办理密钥和身份的特定运用程序。然后用户能够决议是否答应容器前端运用用户标识。假如用户赞同，浏览器将被重定向到容器的前端，并能够作为用户拜访容器。此机制将再次触发会话密钥和派遣机制。此刻，容器的前端将生成一个会话密钥对，并将公钥传输给Internet认证。假如用户承认，Internet认证将生成授权并将其返回到信息库的前端。作为经过大技能供给商进行签名的另一个优点，身份供给商的完好身份验证进程产生在用户端，因而对用户私家行为的露出要少得多，然后减少了身份盯梢（Internet identity services，FAQ）在用户盯梢方面，互联网身份认证将为容器的每个前端供给不同的身份，这对安全和隐私十分有利。不然，Internet身份验证将答应每个前端在用户的单个主体下登录。假如用户与不相关的服务交互，例如留言板和购物网站，这些服务能够将用户在这些网站上的行为相关起来。更糟糕的是，留言板的前端能够歹意调用购物网站的容器，并以用户的名义下订单。因而，因特网身份服务为用户登录的每个前端生成不同的身份，并经过主机名来区别它。这样，用户在不同服务上的行为就不那么简单追寻了。虽然前端依然能够运用用户的身份来调用Internet核算机上的任何容器，但一直只要与前端相关的身份才干履行调用。

最后编辑：2022-02-13

作者：链门户

这个作者貌似有点懒，什么都没有留下。

站内专栏 站点