针对身份鉴别的主要威胁和攻击手段

身份鉴别造成威胁包括四个方面：

• 口令圈套。口令圈套是网络安全的一种诡计，与冒名顶替有关。常用的口令圈套通过一个编译代码模块实现，它运行起来和登录屏幕一模一样，被插入到正常登录过程之前，最终用户看到的只是先后两个登录屏幕，第一次登录失败了，所以用户被要求再输入用户名和口令。

• 口令破解。口令破解就像是猜测自行车密码锁的数字组合一样，在该领域中已形成许多能提高成功率的技巧。

• 算法考虑不周。口令输入过程必须在满足一定条件下才能正常地工作，这个过程通过某些算法实现。在一些攻击入侵案例中，入侵者采用超长的字符串破坏了口令算法,成功地进入了系统。

• 编辑口令。编辑口令需要依靠操作系统漏洞，如果公司内部的人建立了一个虚设的账户或修改了一个隐含账户的口令，这样，任何知道那个账户的用户名和口令的人便可以访问该机器了。

针对身份鉴别的典型攻击手段：

• 信道截获：由于认证信息要通过网络传递，并且很多认证系统的口令是未经加密的明文，攻击者通过窃听网络数据，就很容易分辨出某种特定系统的认证数据，并提取出用户名和口令，或者其它有关的鉴别信息。

• 口令猜测：包括重放、修改或伪造、反送攻击、交错攻击和选择性攻击等。

  重放：非授权用户截获信息，然后再传送给接收者。

  修改或伪造：非授权用户截获信息，替换或修改信息后再传送给接收者，或者非授权用户冒充合法用户发送信息。

  其它：如反送攻击、交错攻击和选择性攻击等。