一、网络安全三目标 + 四道关

先说清楚"网络安全"到底在防什么。教材给的三大目标是：

围绕这三点，网络上做的防护动作可以拢成四道关，按顺序排：

① 认证 Authentication   你是谁？（本节）
② 授权 Authorization    你能干什么？（能访问哪些资源）
③ 记账 Accounting       你干了什么？（留下日志）
④ 加密/完整性校验        说的话别人听不懂、改了看得出来（7.2 起）

前三道在行业里合成一个词：AAA（Authentication / Authorization / Accounting）。

📌 本节只负责第 ① 道，但要先记住它的位置：认证是"验明正身"，不是"发通行证"。小区门口保安核对了你的脸和门禁卡（认证），至于你能进 3 号楼还是全小区随便走（授权），是另一件事。

二、认证的基本动作：申告 → 证明 → 核对

认证这个词听着玄，其实就三个动作，你在任何一个登录框前都完整地做过一遍：

核心难点全在第 ② 步和第 ③ 步：

• 服务器里必须先有你的"底档"（口令、指纹模板、证书公钥）；
• 你提交的东西最好别原样保存（口令不该存明文，见第四节）；
• 材料得是别人偷不走、猜不到的——正因为"偷不走"很难做到，才有了下面三类要素。

三、三类认证要素：你能拿什么来证明自己（第一张配图）

不管什么方案，能用来证明身份的材料只有三大类：

三者各有死穴，所以安全的做法是叠加：

多因素认证（MFA）＝ 从三类里凑齐两类以上。

📌 最容易搞错的一点："密码 + 密保问题"不是多因素，因为两样都是知识要素（都靠你脑子里记的东西）。真正的多因素至少跨两类，比如"密码 + 手机验证码"（知识 + 持有）或"口令 + 指纹"（知识 + 生物）——这才是"窃取一样也进不来"。

四、用户认证的五种常见做法

1. 用户名 + 口令：最常用，也最需要小心

这是全世界用得最多的方式，关键细节在服务器那一边怎么保存口令：

• 绝不存明文：数据库里存的应当是口令的哈希值（单向函数的结果）+ 每个账号一段随机盐；
• 验证时服务器算一次哈希，和存的那份比——对得上说明你输的口令对；
• 好处是即使数据库被拖走，也拿不到原始口令（只能暴力猜，见 5.21 那句"抓包只能离线猜"）。

口令这条路真正的漏洞往往不在数学，而在人：

• 弱口令与撞库：同一个口令在到处复用，一个站泄露，全网遭殃；
• 暴力/字典破解：服务器端要有错误次数限制 + 锁定（Windows 里就叫"账户锁定阈值"，Demo 里会看到）；
• 钓鱼：直接骗你交出口令——再强的加密也挡不住你亲手说出去；
• 明文传输：口令在网线上裸奔，被嗅探直接读走（所以才有 HTTPS、WPA2 加密这些"外包装"）。

2. 一次性口令（OTP）：用过就作废

口令每天不变 = 偷一次能用很久。OTP 的思路是让口令具备时效：

📌 关键作用：即使口令被偷，攻击者手里的那个也已经过期了。这也是"密码 + 短信验证码"能算多因素的原因——第二样材料必须此刻拿到。

3. 挑战-应答（Challenge-Response）：口令不上线

这是把"口令"变聪明的一招，思路和 5.21 的四步握手一模一样：

服务器 → 客户端：给你一个随机数（挑战 challenge）
客户端 → 服务器：用共享密钥/私钥把这个随机数算一遍，只交结果（应答 response）
服务器：自己也算一遍，对得上就是本人

全程共享密钥和口令从来没在网络上出现过——偷看的人只能拿到"这次的结果"，换一个随机数就对不上（这叫重放攻击无效）。

4. 数字证书：拿第三方的"公章"证明身份

前面三种都依赖"服务器早就认识你"。那陌生人之间怎么互相认证？答案是找一个双方都信的第三方：

• 认证机构 CA（Certificate Authority）用它的私钥给你的公钥签一份"身份证"，这就是数字证书；
• 任何人拿 CA 的公钥一验，就知道"这份公钥确实属于这个网站/这台设备，且没被改过"；
• 浏览器地址栏的小锁、企业 Wi-Fi 的"服务器证书"，走的都是这套逻辑（细节留到后面的加密小节）。

5. 生物认证：方便，但不可撤销

指纹、人脸之所以好，是因为你走哪儿带哪儿。但有两件事得知道：

• 系统里存的通常是特征模板（一串数学特征），不是你的原始指纹照片；
• 比对往往在本机芯片里完成，只把"通过/不通过"的结论交出去；
• 最大缺点是改不了：口令泄露可以改，指纹泄露一辈子改不了。所以它适合当第二因素，不适合当唯一的钥匙。

五、设备认证：不光认人，还要认机器（第二张配图）

企业网络里，光认人是不够的——你自己的笔记本，和一台来路不明的设备，凭什么待遇一样？ 于是有了针对"设备"的认证：

1. MAC 地址过滤：最省事，也最不牢靠

交换机/无线 AP 上登记一份"允许上网的 MAC 地址表"（5.4、5.14 的表），不在名单里的直接不放行。

听起来很美，问题是——MAC 地址可以在软件里随意改写（网卡驱动就能改）。攻击者只要嗅探到一个合法设备的 MAC 并照抄，过滤表就等于形同虚设。而且名单要手工维护，设备一多就是灾难。

📌 所以 5.21 把"MAC 过滤"和"隐藏 SSID"一起列为伪安全——能挡住随手蹭网的人，挡不住真正有目的的人。

2. 802.1X 端口认证：连上先验身，过关才开闸

这是企业网的正牌做法，思路非常直观：

交换机的端口平时是"半开"的——只放行认证协议本身，其他流量一律不通；认证通过后，端口才真正打开。

它有固定的三个角色：

看点在于：判断权不在交换机手里，而在统一的服务器上——所以员工入职/离职只需在服务器上开一个账号，不用去每台交换机改配置。Enterprise 级 Wi-Fi（5.21 的 WPA2-企业）就是 802.1X 在无线上的版本：每人一套账号，而不是"全公司共用一个密码"。

3. 数字证书与"准入检查"

设备也能像网站一样持有证书（证明"这台机器是公司发的"）。更严格的场合还会加一步准入检查：设备合规（杀毒开着没、补丁打了没）才允许接入——这类做法统称网络准入控制。

六、认证 ≠ 授权：过了门，还有门

再强调一次这组最容易混淆的概念：

二者缺一不可。只有认证没有授权，等于"谁都放进来随便逛"；只有授权没有认证，等于"规则写得再细，也不知道该给谁"。行业里还有个朴素原则叫最小权限：只给完成工作必需的那部分权限。

七、动手 Demo（Demo89）

目标：在自己每天用的设备上，把"认证"这套东西指认出来，并看清"谁能上网"是被谁管着的。

A. 数一数你今天经过了几道认证

拿手机做素材，按下面三列表格填一遍（这是最直观的"三类要素"实操）：

看到什么算成功：你能一眼判断出"这一步是单因素还是多因素、用的哪一类材料"。

B. 看 Windows 管账号的两条命令

net user                      # 本机有哪些账户
net accounts                  # 本机的口令策略：最短长度、锁定阈值、有效期

net accounts 的输出就是"限制访问用户"最直接的落地：最短密码长度和账户锁定阈值（连错几次就锁）两条，直接把"猜口令"这条路的成本抬上去了。

C. 看一次"认证"与"授权"的分家

打开一个共享文件夹的属性 → 安全选项卡：

• 上面列的是有哪些用户/组（这是认证已经知道的对象）；
• 下面列的读取/写入/完全控制勾选，就是授权——"这个人能干什么"。

D. 30 秒实验一：看 Wi-Fi 用的是哪种认证

netsh wlan show interfaces        # 看当前连接
netsh wlan show profiles          # 看已保存的网络

对着一个已保存的网络执行 netsh wlan show profile name="网络名" key=clear，输出里的「身份验证」字段通常会写 WPA2-个人 或 WPA2-企业——这就是 5.21 那张表在你自己电脑上的样子（企业＝802.1X）。

E. 30 秒实验二：思考一个"反例"

问自己：只靠 MAC 地址过滤，能防住什么、防不住什么？

• 能防：邻居随手输密码蹭网、自己人私接路由器；
• 防不住：会改 MAC 的人（改一处设置就绕过了）。

F. 一个"看得见"的对比

用手机连着 Wi-Fi 试着打开一个需要登录的网站，先不登录观察：你能连上网、能打开页面（网络可达 + 已认证到 Wi-Fi），但看不到里面的内容（没有通过业务系统的认证）。这就是两层认证的直观区别——"能上网"从来不代表"有权访问"。

八、常见误区

• "认证和授权是一回事。" —— 两件事：认证解决你是谁，授权解决你能干什么。过了认证不等于拿到了所有权限。
• "密码 + 密保问题就是多因素。" —— 不算。两者都是知识要素，属于"同类叠加"。多因素必须跨类。
• "MAC 地址过滤是很强的安全措施。" —— MAC 可以在软件里改写（5.4 提过 MAC 是扁平编号、可由驱动伪装），它只算"门帘"，不算"锁"。
• "短信验证码绝对安全。" —— 比没有强得多，但它依赖运营商通道，存在拦截与"补卡冒领"的软肋。
• "指纹比密码安全，所以可以只用指纹。" —— 指纹不可更换：一旦泄露，你没法"改一个指纹"。所以它更适合作为第二因素。
• "认证只发生在登录那一刻。" —— 802.1X 是连上端口就要认证；很多系统还会定期重新认证，或在一段时间不用后要求重新登录。
• "加密就等于安全了。" —— 加密负责别人看不懂，认证负责进来的是不是本人。7.2 起会讲加密，但认证这道关省不掉。
• "公司 Wi-Fi 用 WPA2-企业太麻烦，和家里一样一个密码就行。" —— 家里是"一个密码全员共享"，谁泄露了都查不出来；企业模式每人一套账号，能追责、能单独停用（Demo D 里能看到这两种模式的字样）。

九、动手自测

答案：① 机密性（别人看不到）、完整性（别人改不了）、可用性（别人搞不瘫）。② 申告身份 → 提交凭据 → 服务器核对；难点在②③，即"凭据不能被偷/猜"和"服务器里存的底档不能被直接拿走"。③ 知识要素（口令、PIN/密保问题）、持有要素（IC 卡、U 盾、手机令牌、短信验证码）、生物要素（指纹、人脸、虹膜/声纹）。④ 因为二者都是知识要素，属于同类叠加，一旦"你脑子里的东西"被套出来就同时失守；跨类例子：密码 + 手机验证码（知识+持有）、口令 + 指纹（知识+生物）、工牌 + PIN（持有+知识）。⑤ 因为时效性——即使用过一次的口令被偷，也已经作废；TOTP 用"当前时间 + 共享密钥"算，靠对表同步，每 30 秒一换；HOTP 用"使用次数 + 共享密钥"算，按次递增。⑥ 共享密钥/口令从不在网络上传输，抓到的应答换一个随机数就无效（能抵抗重放）；与 5.21 四步握手一样，都是"只交换算出来的结果，不交换密钥本身"。⑦ 解决陌生人之间的互信问题：前三种都要求服务器事先认识你，证书用可信第三方 CA 的签名把"公钥 ↔ 身份"绑起来，谁都能验。⑧ 因为 MAC 地址可以在软件里随意改写，攻击者嗅探到合法 MAC 后照抄即可绕过，且名单要手工维护；它只能挡住"随手蹭网"和"私接设备"的人。⑨ 客户端（supplicant，你的电脑/手机）、认证者（authenticator，交换机或 AP）、认证服务器（通常是 RADIUS）。判断权放服务器是为了统一管理：账号在服务器上开/停，无须逐台设备改配置，也能集中记录。⑩ 对应"授权"（以及 AAA 里的记账）。安检核对证件与登机牌＝认证；登机牌上的舱位决定你能进哪个候机区＝授权。⑪ 是同一套东西的两种叫法：WPA2-企业模式背后就是用 802.1X 做"每人一套账号"的认证（个人模式则是全公司共享一个 PSK 密码）。⑫ 缺点是不可撤销/不可更换——指纹、人脸泄露了没法"改一个"；因此更适合作为口令之外的第二因素，而不是唯一的钥匙。

十、下一步学什么

• ☑ 7.2（按教材顺序） —— 已完成：防止数据被窃听的方法（加密）——对称密钥 vs 公开密钥、密钥分发难题、混合加密（公钥送钥匙、AES 干重活）。

相关笔记

• 防止数据被窃听的方法（加密） —— 下一节：门关好之后，还要让半路的人"看得见却看不懂"——加密上场

• PC中也存在路由表（默认网关） —— 上一节把"包怎么出去"讲完了；本节开始问"谁有资格发这个包"（新章开篇）

• 无线局域网的安全性（WPA2） —— Personal/Enterprise 的分野就是本节的"共享口令 vs 802.1X"；那里列的"伪安全清单"本节给出了原理
• 接口是哪个（MAC地址） —— 为什么"MAC 地址过滤"不牢靠：MAC 是驱动可改的软件地址，不是焊死的身份证
• MAC地址表的管理（MAC地址表） —— 设备认证背后的"登记在案"思路，与交换机的 MAC 表登记是同一套逻辑
• 使用二层交换机切分网络（VLAN） —— VLAN 是"按网络切"，802.1X 是"按端口验身"；两者常一起部署在企业接入层
• 连接切分后的网络的方法（VLAN间的路由） —— 那里提过三层分工"隔离/连通/授权"，本节把"授权"前面的"认证"补上了
• 对必要的设置进行自动设置（DHCP） —— 办公网里"连上就自动拿到 IP"的前提，往往是 802.1X 已经悄悄放行；认证其实发生在 DHCP 之前