管理身份和认证

比较主体和客体
身份注册、证明和创建
智能卡和硬件令牌、生物识别技术
多因素身份认证MFA
短信服务SMS
无口令身份认证
设备身份认证
服务身份认证
身份管理分为集中式和分散式
SSO单点登录是集中式
LDAP协议
身份管理系统FIM
基于云的联合
本地联合
混合联合
准时制
凭证管理系统
取消配置和离职
过度权限和权限蔓延
主体、客体和实体的区别
同步令牌和异步令牌的区别
生物识别设备的CER

网络协议

网络协议是一组规则和约定，用于在计算机网络中实现数据通信和交换信息。它定义了网络中不同设备之间的通信方式、数据格式、错误处理以及其他与网络通信相关的细节。网络协议是确保不同设备之间能够相互理解和正确传递数据的基础。

在计算机网络中，通信的每个步骤都需要遵循特定的协议。不同的协议用于不同的任务，例如：

1. IP (Internet Protocol)：IP 是互联网协议，负责在全球范围内对数据包进行路由和传递。

2. TCP (Transmission Control Protocol)：TCP 是传输控制协议，用于可靠地传输数据。它确保数据的有序传输，并检测和纠正传输中的错误。

3. HTTP (Hypertext Transfer Protocol)：HTTP 是用于在Web浏览器和Web服务器之间传递数据的协议，它用于访问和获取网页、图片等资源。

4. FTP (File Transfer Protocol)：FTP 是用于在客户端和服务器之间传输文件的协议，允许用户上传和下载文件。

5. SMTP (Simple Mail Transfer Protocol)：SMTP 是用于在邮件服务器之间传递电子邮件的协议。

6. DNS (Domain Name System)：DNS 是域名系统，将域名转换为与之对应的 IP 地址。

这些协议共同构成了互联网和计算机网络的基础设施，使得不同的设备和系统能够有效地进行通信，并实现了全球范围内的信息交换。网络协议的遵循是网络通信的关键，它使得我们能够浏览网页、发送电子邮件、下载文件等日常网络活动成为可能。

Identity as a Service

IDaaS是“Identity as a Service”的缩写，即身份识别服务。它是一种云计算服务模型，用于管理和提供身份验证、访问控制和身份管理功能。

在传统的计算环境中，组织通常需要自行建立和维护身份验证和访问控制系统。这包括建立用户帐户、密码管理、多因素身份验证、单点登录（SSO）等功能。然而，随着云计算和移动设备的普及，组织面临着更多的身份和访问管理挑战。

IDaaS 提供了一种解决方案，将身份管理和访问控制功能外包给云服务提供商。通过 IDaaS，组织可以将用户身份验证和访问控制的工作交由专业的服务提供商处理，从而降低了内部管理和维护的成本，并提高了安全性和可扩展性。

IDaaS 提供的功能通常包括：

1. 用户认证：包括用户名和密码、多因素身份验证（如短信验证码、指纹、面部识别等）等，用于验证用户的身份。

2. 访问控制：确定用户对特定资源或应用程序的访问权限，并根据规则进行授权和认证。

3. 单点登录（SSO）：允许用户在通过一次身份验证后，访问多个应用程序或服务而无需再次输入凭据。

4. 身份管理：管理用户的身份信息，包括用户帐户的创建、修改和删除等操作。

5. 集成性：IDaaS 可以与现有的企业系统和云服务进行集成，使得身份验证和访问控制可以无缝地与其他服务结合使用。

IDaaS 的使用可以帮助组织提高安全性，简化身份管理流程，并提供更好的用户体验。各种云服务提供商都提供不同类型的IDaaS解决方案，可以根据组织的需求选择合适的服务。

同步令牌和异步令牌

同步令牌和异步令牌是在计算机编程和网络通信中常用的两种令牌处理方式，它们的主要区别在于令牌的使用时机和处理方式。

1. 同步令牌（Synchronous Token）：

   • 同步令牌是在处理流程中的每个步骤都需要等待令牌的返回或确认才能继续进行的令牌。
   • 在同步令牌机制中，发出请求后，程序会阻塞等待服务器的响应或返回结果，只有在得到响应后才能继续执行后续的操作。
   • 这意味着处理流程是按顺序执行的，每个步骤都要等待上一个步骤的完成才能进行，保证了数据的一致性和可靠性。

2. 异步令牌（Asynchronous Token）：

   • 异步令牌是在处理流程中，请求发出后不需要立即等待响应，而是可以继续执行后续的操作，而不阻塞程序。
   • 在异步令牌机制中，请求发出后，程序可以继续执行其他任务，而不必等待服务器的响应。当服务器完成操作后，会发送一个异步通知或回调，通知客户端请求的结果。
   • 这种处理方式适用于需要处理大量请求或处理时间较长的任务，可以提高系统的并发性和吞吐量。

总结：
同步令牌和异步令牌的主要区别在于令牌的使用时机和处理方式。同步令牌需要等待每个步骤的返回或确认才能继续进行，而异步令牌可以在请求发出后不立即等待响应，而是继续执行后续的操作。异步令牌适用于需要处理大量请求或处理时间较长的任务，可以提高系统的并发性和吞吐量，而同步令牌保证了数据的一致性和可靠性。选择使用哪种令牌处理方式取决于具体的应用场景和需求。

生物识别设备的CER

生物识别设备的CER是指”Correct Error Rate”，即正确错误率。CER是用来衡量生物识别系统的性能的指标之一。

在生物识别系统中，CER用于衡量系统在进行生物特征认证时所产生的错误率。生物识别技术通常使用个人生理特征（如指纹、虹膜、面部、声音等）或行为特征（如签名、敲击模式等）来进行认证或身份验证。CER衡量了生物识别系统在验证过程中出现错误的频率。

CER通常以百分比表示，计算公式如下：
CER = (错误认证数 / 总认证尝试数) * 100%

例如，如果在生物识别系统中有100次认证尝试，其中有5次是错误的，则CER为：
CER = (5 / 100) * 100% = 5%

较低的CER意味着生物识别系统具有较高的准确性和可靠性，即系统较少产生错误认证。而较高的CER可能表明系统需要改进，以提高认证的准确性和可信度。

在生物识别技术的应用中，准确性是非常重要的，特别是在需要高度安全性的场景，如金融交易、边境安全、身份验证等。因此，生物识别设备的CER是一个重要的性能指标，用来评估其实际应用价值和可靠性。

问责制

问责制是一种管理和组织原则，旨在确保管理者或领导者对其职责和行为负责，并对其决策和行动承担责任。问责制是建立在透明度、诚信和责任感的基础上，通过建立明确的权责关系，对个人或组织的行为进行监督和评估，以确保其按照既定的目标和规范履行职责。

在政府和组织管理中，问责制通常包括以下要素：

1. 透明度：要求组织的决策和行为公开透明，对外界公开相关信息，使公众和利益相关者能够了解其决策过程和结果。

2. 责任明确：确保每个职位和角色的责任和职责明确，并建立明确的权责关系，使每个成员知道自己在组织中的职责。

3. 监督和评估：对组织内部和外部的决策和行为进行监督和评估，确保其符合规范和目标，及时发现和纠正问题。

4. 后果追究：对于不履行职责或违反规范的行为，进行适当的后果追究，以确保个人和组织对其行为负责。

问责制在政府机构、企业组织、非营利组织等各种组织中都是非常重要的管理原则。它有助于提高组织的效率、透明度和稳定性，增强管理者和领导者的责任感和决策能力，同时也是公众对组织行为进行监督和评价的基础。

组织需要准确的身份标识和身份认证来支持问责制。日志记录事件，包括谁采取了行动，但如果没有准确的身份标识和身份认证，那么我们无法信赖日志。

短信（SMS）的漏洞和安全风险

短信（SMS）作为一种用于双因素身份认证的方式，确实存在一些潜在的漏洞和安全风险。这些漏洞导致了美国国家标准与技术研究所（NIST）不建议将短信用于双因素身份认证。以下是其中一些主要漏洞：

1. SIM 卡交换攻击：黑客可以通过社交工程或欺骗运营商，获取目标用户的手机号并将其绑定到另一个SIM卡。这使得黑客可以接收目标用户的短信验证码，并通过双因素认证。

2. 短信拦截：黑客可以通过恶意软件或其他技术手段拦截目标用户的短信验证码，从而获取双因素认证所需的第二个因素。

3. 伪造短信：黑客可能使用伪造的短信，冒充合法的服务提供商向用户发送虚假的验证码，从而欺骗用户提供身份验证。

4. 用户社会工程：黑客可以试图通过社交工程技巧，欺骗用户将接收到的验证码提供给黑客，从而绕过双因素认证。

由于以上漏洞和安全风险，NIST不建议将短信用于双因素身份认证。相反，NIST建议使用更安全的替代方式，例如基于硬件或软件的令牌、生物识别技术（如指纹或面部识别）或使用推送通知的移动应用程序等。这些方法提供了更高的安全性和防御性，减少了短信认证可能面临的潜在风险。

准时制（Just-In-Time，JIT）

准时制（Just-In-Time，JIT）是一种生产和供应链管理的方法，旨在通过在需要时提供所需的物资、零件和产品，以最大限度地减少库存和降低成本。

JIT的目标是在任何时间点都只生产所需数量的产品，以满足实际的需求，而不是为了库存而大规模生产。这种方法要求生产和供应链中的各个环节都高度协调和精确地运作，以确保物料和零件在所需的时间和地点准确地到达，使生产线能够持续运转，并避免过多的库存积压。

JIT的特点包括：

1. 定制生产：JIT强调生产根据实际需求进行，避免过度生产和库存积压。

2. 精密计划：JIT要求生产和供应链计划高度精确，以确保物料和产品在需要时及时到位。

3. 现场管理：JIT侧重于现场生产线的精细管理，包括生产速度的控制、质量保证和设备维护等。

4. 紧密合作：JIT要求供应链中的各个环节之间紧密合作，包括供应商、生产线、仓储和分销等。

优点：

• 减少库存：JIT可以显著减少库存水平，从而节约仓储成本和库存风险。
• 节约成本：由于只生产所需数量，减少了过度生产的成本和浪费。
• 增加灵活性：JIT使企业能够更快地适应市场需求的变化。

缺点：

• 对生产和供应链的要求高：JIT要求精确的计划和高效的协调，需要企业具备高度的组织能力。
• 高风险：由于物料供应和生产需要高度同步，如果出现供应链中的任何问题，可能会导致生产中断。

JIT最初是由日本的丰田汽车公司引入，后来被广泛应用于制造业和供应链管理领域。虽然它带来了许多优势，但在实际应用中也需要认真评估和解决一些潜在的风险和挑战。

单点登录SSO

SSO是”Single Sign-On”的缩写，即单点登录。它是一种身份认证和授权技术，允许用户在一次登录后，可以无需多次输入凭据即可访问多个相关系统或应用。

在传统的登录过程中，用户通常需要为每个系统或应用程序输入用户名和密码进行认证。这意味着用户需要记住多个不同的凭据，不仅不便利，而且可能增加安全风险，因为用户可能会使用相同的密码在多个系统上登录。

SSO解决了这个问题，通过一次登录过程，将用户的凭据（通常是用户名和密码）传递给认证中心（或称为身份提供者），然后由认证中心对用户进行认证。一旦用户通过认证，认证中心会颁发一个令牌（通常是加密的），这个令牌可以被用户带到其他系统或应用程序中。其他系统或应用程序会验证该令牌，并在令牌有效的情况下，信任认证中心的认证结果，从而免去了用户再次输入凭据的过程。

SSO的优点包括：

1. 便利性：用户只需一次登录，即可访问多个系统，简化了登录过程。

2. 安全性：用户的凭据只传递给认证中心，减少了凭据在多个系统中传递的风险。

3. 管理效率：对于组织而言，SSO简化了用户凭据的管理，减少了密码重置的次数。

4. 用户体验：提供更好的用户体验，减少了用户的登录疲劳。

SSO被广泛应用于企业内部系统、云服务、社交媒体平台等各种网络应用。它是现代身份认证和访问控制的重要组成部分，提高了安全性和便利性。

[12/20] 练习题测试结果

正确率 12/20

组织正在考虑创建一个基于云的联合，并使用第三方服务来共享联盟身份。创建完成后，人们将使用什么作为登录ID?
A. 普通账户
B. 基于云的联合分配的账户
C. 混合身份管理
D. 单点登录

A.本地身份管理系统将为组织提供最大的控制权，并且是最佳选择。基于云的解决方案由第三方控制。
本地或基于云的解决方案都是必需的。没有必要在混合解决方案中同时拥有两者。身份管理解决方案提供单点登录(SSO) ，但SSO 是身份管理的好处，而不是一种身份管理。

---

根据美国国家标准与技术研究院(NIST)的建议，普通用户什么时候需要更改口令？仅在口令泄露时

---

用户居家访问公司网络时使用用户名登录。管理层希望为这些用户实施第二种身份认证因素。管理层想要一个安全的解决方案，但也想限制成本。以下哪项最符合这些要求？
A. 短信(SMS)
B. 指纹扫描
C. 身份认证器应用程序
D．个人身份识别码(PIN)

C. 身份认证器应用程序
PIN 码是“你知道什么“的身份认证因素，因此与口令一起使用时，不提供双重身份认证。
双重身份认证（Two-Factor Authentication，2FA）是一种用于增强账户安全性的身份验证方式。它要求用户在登录或进行重要操作时，除了提供常规的用户名和密码（第一因素）外，还需要提供第二个独立的认证因素，以确认其身份。

常见的第二因素包括以下几种：

1. 短信验证码：在用户输入用户名和密码后，系统会向其注册的手机号发送一个一次性验证码，用户需要在登录页面输入该验证码才能完成登录。

2. 软件令牌：用户需要使用特定的手机应用或计算机程序生成一个一次性的令牌码，然后输入到登录页面。

3. 硬件令牌：类似于软件令牌，但使用物理硬件设备来生成令牌码，如USB密钥。

4. 生物识别：使用指纹、虹膜扫描、面部识别等生物特征作为第二因素。

通过引入第二因素，双重身份认证提供了额外的安全层，即使黑客获得了用户的密码，也很难绕过第二因素的验证。这样，即使用户的密码被泄露，其账户仍然相对安全。

双重身份认证广泛应用于各种在线服务，如银行账户、电子邮件、社交媒体、云存储等。它已成为一种普遍推荐的安全措施，有助于减少账户被盗的风险，提高个人和组织的安全性。

[17/20] CISSP官方学习手册（第9版）第13章练习题

1. A
2. A
3. B 正确答案C
   主体接受信息，主体是主动的
   客体提供信息

主体访问客体，但客体不访问主体

主体和客体可以互换
4. D
5. B
6. B
7. A
8. C
9.A
10. A 正确答案C
手机身份认证器比SMS短信服务要更安全。

11. B
12. B,C,D
13. A
14. C,D 正确答案A,D
    组织需要身份标识和身份认证来支持问责制
15. C
16. C
17. C
18. D
19. C
20. D

17 / 20

575 / 810