一种针对暴力破解的安口令保管库方案.PDFVIP

第３４卷第７期　　　 计算机应用与软件 Ｖｏｌ３４Ｎｏ．７ ２０１７年７月　　 ＣｏｍｐｕｔｅｒＡｐｐｌｉｃａｔｉｏｎｓａｎｄＳｏｆｔｗａｒｅ Ｊｕｌ．２０１７ 一种针对暴力破解的安全口令保管库方案 尹芷仪　江伟玉　沈嘉荟 （中国科学院信息工程研究所　北京 １０００９３） 摘　要　　当前口令管理工具和Ｗｅｂ认证系统普遍使用基于ＰＢＥ标准的加密方式，但是此类方法难以阻止暴力 破解技术恢复口令明文，不能保证口令的真正安全。针对此现象，提出一种基于口令云的口令保管库方案。该方 案拆分口令信息，将口令管理与保护功能从系统中独立出来，分开存储口令库组成部分并隐藏了计算口令密码相 关数据之间的关联。通过对服务器端口令保管库方案的安全性进行定量分析，认为该方案能够大大增强暴力破 解验证环节的难度，有效规避口令库泄露后的安全风险。 关键词　　口令保管库　ＰＢＥ　暴力破解 中图分类号　ＴＰ３　　　　文献标识码　Ａ　　　　ＤＯＩ：１０．３９６９／ｊ．ｉｓｓｎ．１０００３８６ｘ．２０１７．０７．０５９ ＡＳＥＣＵＲＥＰＡＳＳＷＯＲＤＶＡＵＬＴＳＳＣＨＥＭＥＦＯＲＢＲＵＴＥＦＯＲＣＥＡＴＴＡＣＫ  ＹｉｎＺｈｉｙｉ　ＪｉａｎｇＷｅｉｙｕ　ＳｈｅｎＪｉａｈｕｉ （ＩｎｓｔｉｔｕｔｅｏｆＩｎｆｏｒｍａｔｉｏｎＥｎｇｉｎｅｅｒｉｎｇ，ＣｈｉｎｅｓｅＡｃａｄｅｍｙｏｆＳｃｉｅｎｃｅｓ，Ｂｅｉｊｉｎｇ１０００９３，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ　　ＣｕｒｒｅｎｔｐａｓｓｗｏｒｄｍａｎａｇｅｍｅｎｔｔｏｏｌｓａｎｄＷｅｂａｕｔｈｅｎｔｉｃａｔｉｏｎｓｙｓｔｅｍｓｃｏｍｍｏｎｌｙｕｓｅＰＢＥｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ， ｂｕｔｓｕｃｈｍｅｔｈｏｄｓａｒｅｄｉｆｆｉｃｕｌｔｔｏｐｒｅｖｅｎｔｂｒｕｔｅｆｏｒｃｅｔｅｃｈｎｏｌｏｇｙｆｒｏｍｒｅｃｏｖｅｒｉｎｇｐｌａｉｎｔｅｘｔｐａｓｓｗｏｒｄｓａｎｄｇｕａｒａｎｔｅｅｉｎｇ ｇｅｎｕｉｎｅｓｅｃｕｒｉｔｙ．Ｉｎｖｉｅｗｏｆｔｈｉｓｐｈｅｎｏｍｅｎｏｎ，ｔｈｉｓｐａｐｅｒｐｒｅｓｅｎｔｓａｐａｓｓｗｏｒｄｂａｓｅｄｖａｕｌｔｂａｓｅｄｏｎｐａｓｓｗｏｒｄｃｌｏｕｄ，Ｔｈｅ ｓｃｈｅｍｅｓｐｌｉｔｓｔｈｅｐａｓｓｗｏｒｄｉｎｆｏｒｍａｔｉｏｎ，ｉｓｏｌａｔｅｓｔｈｅｐａｓｓｗｏｒｄｍａｎａｇｅｍｅｎｔａｎｄｐｒｏｔｅｃｔｉｏｎｆｕｎｃｔｉｏｎｓｆｒｏｍｔｈｅｓｙｓｔｅｍ， ｓｅｐａｒａｔｅｌｙｓｔｏｒｅｓｔｈｅｃｏｍｐｏｎｅｎｔｓｏｆｔｈｅｐａｓｓｗｏｒｄｌｉｂｒａｒｙａｎｄｈｉｄｅｓｔｈｅａｓｓｏｃｉａｔｉｏｎｂｅｔｗｅｅｎｔｈｅｒｅｌｅｖａｎｔｄａｔａｗｈｅｎ ｃａｌｃｕｌａｔｉｎｇｔｈｅｐａｓｓｗｏｒｄ．Ｂｙａｎａｌｙｚｉｎｇｔｈｅｓｅｃｕｒｉｔｙｏｆｔｈｅｖａｕｌｔｓｃｈｅｍｅ，ｉｔｉｓｃｏｎｓｉｄｅｒｅｄｔｈａｔｔｈｅｓｃｈｅｍｅｃａｎｇｒｅａｔｌｙ ｅｎｈａｎｃｅｔｈｅｄｉｆｆｉｃｕｌｔｙｏｆｔｈｅｃｒａｃｋｄｅｔｅｃｔｉｏｎａｎｄａｖｏｉｄｔｈｅｓｅｃｕｒｉｔｙｒｉｓｋａｆｔｅｒｔｈｅｐａｓｓｗｏｒｄｄａｔａｂａｓｅｉｓｌｅａｋｅｄ． Ｋｅｙｗｏｒｄｓ　　Ｐａｓｓｗｏｒｄｖａｕｌｔｓ　ＰＢＥ　Ｂｒｕｔｅｆｏｒｃｅａｔｔａｃｋ 用户的隐私和经济安全。无论是国外的 Ｇｏｏｇｌｅ ［４］ ［５］ ０　引　言 Ｇｍａｉｌ 、ＬｉｎｋｅｄＩｎ 公司，还是国内的天涯社区和 ＣＳ ＤＮ［６］ ［１０］ 等均出现过此类事件，即使是采用了 Ｐ