一种动态口令认证系统的设计与实现.pdfVIP

第 26卷 计算机应用 Vo.l 26 2006年 12 月 C ompu ter pp lication s Dec. 2 006 文章编号: 100 1- 90 81( 2006) 12Z - 0 104- 03 一种动态口令认证系统的设计与实现 李 辉, 刘文军 (北京化工大学 信息科学与技术学院, 北京 100029) ( 2004000 525@ grad. bu ct. edu. cn ) 摘 要: 身份认证在 网络应用系统 中起着重要 的作用 。动态 口令身份认证弥补 了传统口令身份 认证 的不足, 是一种更安全的身份认证机制 。公开密钥密码体制 的出现, 为信息提供 了更安全 的加密 方法 。将公开密钥密码体制应用于身份认证系统, 提出了一种挑战 /应答方式的动态 口令身份认证系 统的实现方法 。 关键词: 身份认证; 动态口令; 挑战 /应答机制; R S 公钥 中图分类号: TP309. 08 文献标识码: 0 引言 1 动态 口令系统的设计 随着计算机和网络的普及, 网络 安全 问题变得 越来越 重 1. 1 系统设计思想 要 。身份认证作为网络应用系 统中的第一道 防线, 目的是 验 为了弥补静态 口令身 份认证 的缺点, 提高 身份认 证的安 证通信双方的身份, 防止 非法 用户 窃取 和假 冒合 法用 户 [ 1] 。 全性和可靠性, 将 静态 口令和动态 口令相结合, 用动态 口令 来 作为简单有效的安全 措施, 口令一 直是身 份认证 普遍采 用的 弥补静态 口令易于被截获 /重放攻击 的弱点; 同时静态 口令 又 方式。而在广泛应用的口令认 证 中, 使用的大都是静态 口令, 作为动态 口令的补充, 在请求 动态 口令认证 之前必 须先通 过 其工作原理 是 系统 为 每个 用户 维 护一 个 二元 组 信 息 (用 户 静态 口令的认证 。本系 统不仅 充分利 用了挑战 /应答 方式 的 ID、口令 ) 。用户登录系统时, 输 入 自己 的 ID 和 口令, 系 统将 优点, 还使用公钥 密码体制对应答进行加密, 这样第三方即使 用户输入 的信息和 自己维护 的信息做 比较, 来判 断用户 身份 已经破译 了 H ash 算法, 也无法进行身份验证 。 的合法性 [ 2] 。我们之所 以称 其为静 态 口令, 是因为如果 不去 本系统设计主要功能有: 系统 以用 户 ID、静态 口令 、动 态 修改它, 它是永远可用的, 是固定、静态的。这种用户名 / 口令 口令为标识用户的唯一 参数; 动态 口令在用 户端 由软件令 牌 身份认证机制的优点是使用简 单方便, 但也显示出一些缺点: 生成, 并用公钥加 密后进行传输; 客户端和认证服务器之间 的 首先, 为了维护这些密码, 需要 不断规 划和定 期更改, 以得 到 所有通信 内容均用 R S 算法产生的密钥 对加密后进 行传输; 更高的安全性, 因此会耗费大量的人力、物力; 其二, 它是一种 发出挑战和收到应答的时间差 大于 3m in, 服务器就 认为该 用 不安全的验证方式, 容易被第三方暴力破解或截获。 户不合法, 攻击者 不大可能在 这么短 的时间 内破解 截获的信 动态 口令是较安 全的身份 认证机 制, 这 种机制 下每次 登 息。 录使用的口令都不相 同[ 3] 。动态 口令主要 有两种实 现方式: