传统认证危机四伏 身份认证路在何方

　　【IT168 报道】我们生活的现实世界是一个真实的物理世界，每个人都拥有独一无二的物理身份。而今我们也生活在数字世界中，一切信息都是由一组特定的数据表示，当然也包括用户的身份信息。而计算机只能识别用户的数字身份，所以计算机给用户的授权也是针对用户数字身份进行的。保证访问者的数字身份与物理身份相对应，就是身份认证管理系统所需要解决的问题。
　　

    身份认证——进入大门的钥匙

　　数据存在的价值就是被合理访问，建立信息安全体系的目的是保证系统中的数据只能被有权限的“人”访问。如果没有有效的身份认证管理手段，访问者的身份就很容易被伪造，使得任何安全防范体系都形同虚设。

    记得2006年中一个最经典的安全理论：“不要让安全木桶漏了底儿”。这个木桶理论在安全领域被广为接受，信息安全体系看作一个木桶，那么防火墙、入侵检测、VPN、安全网关等安全设备就是木桶的壁板，而身份管理就相当于木桶底。由此可见，身份认证管理是整个信息安全体系的基础。
　　
　　另外，从应用系统的安全管理特性上看，身份认证是进入应用系统的钥匙。我们通常将应用系统的安全范围定义在5大类安全技术，分别为：身份认证、访问控制、数据保密性、数据完整性以及不可否认性。身份认证作为排位靠前的安全管理技术，原因在于，它是对一个用户合法身份的管理，是进入网络大门的第一道通行证，它授权系统的外部用户或内部用户对系统资源的访问以及对敏感信息的访问。

    例如：出入控制和存取控制。出入控制主要是阻止非授权用户进入机构或组织，一般是以电子技术、生物技术或者电子技术与生物技术结合阻止非授权用户进入。存取控制指主体访问客体时的存取控制，如通过对授权用户存取系统敏感信息时进行安全性检查，以实现对授权用户的存取权限的控制，如用PKI体系建立CA系统等。
1