一种新型抵御字典攻击的方案.docVIP

一种新型抵御字典攻击的方案 　　摘要:身份验证是网络应用系统中的第一道防线,目的是验证通信双方的身份,防止非法用户窃取和假冒合法用户。尽管通过口令是最方便的身份验证方法,但它也伴随着字典攻击的威胁。分析了常用的几种一次性口令身份认证方案,在挑战-响应方案基础上,利用安全单向哈希函数提出并设计了一种新型身份验证方案。该方案不仅明显减少了认证服务器的开销,而且能有效地抵御字典攻击、拒绝服务攻击等攻击手段,显著增强了应用系统的安全性。 　　关键词:身份验证;在线字典攻击;哈希函数;密码协议;口令 　　中图法分类号:TP393文献标识码:A文章编号:1009-3044(2010)01-56-03 　　New Authentication Scheme to Counter Online Dictionary Attacks 　　WANG Chun-xiao1, ZHANG Peng2 　　(1.Computer Science and Technology College, Harbin University of Science and Technology, Harbin 150080, China; 2.Department of Mechanical Engineering, First Aeronautical Institute of Air Force, Xinyang 464000, China) 　　Abstract: Authentication is the first line of defence in the network application system. The aim is authenticating the identification of both side of communication and preventing illegal users to filch and masquerade genuine users. Though passwords are themost convenient means of authentication, they bring along themselves the threat of dictionary attacks. Several typical authentication protocols are analyzed. On the basis of challenge-response system a new type of authentication scheme by using one way hash functions is proposed and constructed. The scheme can not only reduce the overhead of the server obviously, but also counter the online dictionary attacks and denial of service (DoS) attacks and so on. The security of the application system greatly is enhanced. 　　Key words: authentication; online dictionary attacks; hash functions; cryptographic protocol; passwords 　　目前,大多数系统是使用口令进行用户身份验证。尽管基于口令身份验证虽然很方便,但自身也有很多缺点:易于猜测,在传输过程中容易被窃听。而且也存在实现上的弱点:若不加密,可以被清楚地看到明文;即使加密,也易受重放攻击、差分密码分析和线性密码分析等攻击手段地影响;特别是存储口令Hash值则易受到字典攻击。 　　基于口令的身份验证方案很容易遭到在线或离线的字典攻击。当方案被执行的时候,攻击者在通信线路上窃取到有效数据,然后不需任何服务就可以进行离线的口令分析。在进行字典攻击的时候,攻击者尝试用可能的口令进行在线登录。在过去,尽管认为离线的字典攻击很厉害,但可以通过各种使用公钥加密协议来阻止。第一个抵御离线字典攻击的认证协议叫做EKE,是Bllovin和Merritt在1992年时提出来的。后来有很多关于这个问题更好的协议被提出来。虽然到目前为止还没有一个完美的方法来抵御字典攻击,但有很多阻止的方法,但它们有些有安全缺陷,有些使用方法不切实际。 　　本文首先分析了目前较为常见的几种一次性口令身份验证机制,在挑战-响应方案的基础上,基于安全单向哈希函数设计了一种实用有效的一次性口