客戶端驗證

為了建立安全通信通道，客戶端認證涉及到客戶端到服務(wù)器的識別和驗證。安全協(xié)議(如安全套接字層)（SSL）或傳輸層的安全性（TLS））通常與客戶端提供的可信公鑰證書一起使用，將客戶端識別到服務(wù)器上。在Windows平臺上運行的Internet可以是客戶端 Explorer，Internet信息服務(wù)器（IIS）或支持SSL / 其它Web服務(wù)器TLS。

安全會話是通過使用密鑰交換的公共密鑰認證來建立的，以獲得唯一的會話密鑰，然后可以用來保證整個會話中數(shù)據(jù)的完整性和機密性。您可以通過將證書映射到具有先前建立的訪問控制權(quán)的用戶或組帳戶，以實現(xiàn)額外的身份驗證。該智能卡通過安全存儲作為私鑰材料和加密引擎進行數(shù)字簽名或密鑰交換來增強公鑰認證過程。

智能卡登錄

在過去，交互式登錄意味著用戶可以通過使用共享憑證（如散列密碼）將用戶認證到網(wǎng)絡(luò)。 Windows 2000支持公鑰交互登錄，并使用存儲在智能卡上的X.509版3證書和私鑰。代替密碼，用戶識別和認證圖形（GINA）PIN碼輸入模塊； PIN用于向用戶認證卡。

使用智能卡登錄網(wǎng)絡(luò)提供了一種強大的身份驗證形式，因為它使用基于密碼學(xué)的身份證明和擁有證書來識別用戶到域。

例如，如果惡意人員獲得用戶密碼，那么該人可以使用密碼來承擔(dān)用戶在互聯(lián)網(wǎng)上的身份。許多人選擇容易記住的密碼，這使得密碼本身非常弱，并且可以攻擊。

在智能卡的情況下，同樣惡意的人將不得不同時獲得用戶的智能卡和PIN來偽造用戶。由于需要額外的信息層來模擬用戶，這種組合使得攻擊更加不可能。一個額外的好處是，在PIN碼連續(xù)輸入多次錯誤后，智能卡被鎖定，使得智能卡的字典攻擊非常困難。 (請注意，PIN不需要一系列數(shù)字，也可以使用其他字母數(shù)字字符)對智能卡的攻擊不會被檢測到，因為惡意人員必須擁有他或她擁有的智能卡的合法所有者會注意到它丟失了。

在智能卡登錄過程中，用戶的公共密鑰證書通過安全處理從卡中檢索，并將其驗證為有效，并從值得信賴的發(fā)行人那里獲得。在認證過程中，將包含在證書中的公鑰挑戰(zhàn)發(fā)布到卡上，以驗證卡確實擁有并能夠成功使用相應(yīng)的私鑰。公鑰 - 私鑰驗證成功后，證書中包含的用戶身份將被引用并存儲在Active中 Directory中的用戶對象構(gòu)建令牌，并將授權(quán)票據(jù)返回客戶端（TGT）。Microsoft已經(jīng)登錄了公共密鑰 Internet Explorer 510Microsoft實施與Internet工程任務(wù)組（IETF）草案RFC 1510中指定的公鑰擴展兼容。