基于usbkey的银行atm认证系统研究推荐.docVIP

PAGE 基于ＵＳＢＫＥＹ的银行ＡＴＭ认证系统 摘要对当前ATM应用中的安全缺陷进行了分析设计了一个基于USBKEY的身份认证系统并对系统的组成及其功能进行了阐述讨论了基于USBKEY的认证系统的工作原理并对身份认证系统的安全性进行了剖析设计的认证系统克服了传统口令认证的弱点解决了ATM应用中持卡人身份认证的安全问题 关键词TMPKIUSBKEY认证系统 　　 1当前ATM应用的安全隐患分析 　　当前ATM应用的操作过程如下所述持卡人将银行卡插入ATM经过ATM的读卡机检查是否为合法的银行卡后提示输入用户的身份识别码(PIN码)ATM对PIN码格式进行校验无误后提示用户输入交易类型和交易额并将这些请求信息发网银行主机银行主机对请求信息进行校验验证操作者是否是该卡的合法持卡人若银行主机对请求信息校验无误后则进行相应的账务处理并向ATM发出响应信息ATM则根据主机的响应信息进行单据打印、吐现金、退卡等处理至此一个完整的ATM交易结束 　　以上可以看出现有的ATM应用对持卡人身份的合法性判断主要采用输入数字的PIN码法该方法存在多种安全隐患(1)网络数据流窃听在ATM与银行主机之间通过网络传递的交易请求信息是未经加密或经过简单加密处理的信息容易被攻击者通过窃听技术窃取用户信息(2)穷举尝试攻击者使用有意义的数字作为密码来不断尝试持卡人的密码如果持卡人的密码是未经过改动的初始密码或一个特殊、容易被分析的数字则密码很容易被攻击者穷举出来(3)窥探攻击者利用与ATM接近的机会通过安装监视器或亲自窥探合法用户输入口令的过程等方式以得到持卡人的口令(4)按键侧录该程序会使持卡人在使用ATM的同时同步向外发送报告使持卡人的所有操作都一览无遗攻击者可以很轻易地获得持卡人的口令(5)垃圾搜索攻击者通过搜索合法者持卡人使用过的废弃物如打印单据等得到与被攻击系统有关的信息(6)网络钓鱼犯罪分子通常会给用户发送一封看似合法的电子邮件或手机短信要求对方提供银行账号和密码如果用户将自己的银行账号和密码告之对方犯罪分子就可以通过自制的银行卡到ATM机上提款 为解决现有ATM应用的安全隐患最有效和最直接的办法是防止犯罪分子获取持卡人的口令然而随着社会的发展高科技知识的普及犯罪分子的手段越来越高明持卡人的口令经常被窃取因此如何保证在犯罪分子非法获取口令后持卡人的经济利益不受损害成为值得研究的热点问题 　　2认证系统实现的理论基础 　　2.1PKI 　　公钥基础设施PKI是利用非对称密码算法来实现并提供安全服务的具有通用性的密钥管理平台 　　完整的PKI系统具有认证机构(CA)、数字证书库、密钥备份及恢复系统、证书作废系统、应用接口(API)等五个基本构成部分认证机构证书的签发机构是整个PKJ的核心是PKJ应用中权威的、可信任的、公正的第三方机构；数字证书库用于存储己签发的数字证书及公钥用户可由此获得所需的其他用户的证书及公钥；密钥备份及恢复系统对用户的解密密钥进行备份当丢失时进行恢复签名私钥为确保其唯一性而不作备份；证书作废系统证书由于某种原因需要作废终止使用通过证书撤销列表CRL来实现；应用接口(API)完整的PKI必须提供良好的应用接口系统使得各种应用能够以安全、一致、可信的方式与PKI交互 　　2.2数字证书 　　数字证书是公开密钥体系的密钥管理媒介是权威性的电子文档形同网络环境中的身份证用于证明某一主体的身份以及其公开密钥的合法性又称为数字ID数字证书将证书持有者的身份信息和其所拥有的公钥进行绑定还包含CA对该证书的签名该签名保障了证书也即主体身份的合法性和有效性证书和对应的私钥一起可以提供诸如身份认证完整性、机密性和不可否认性等安全服务 　　2.3数字签名 　　签名是证明当事者的身份和数据真实性的一种信息起到确认、核准、生效和负责任等作用一个完善的数字签名应满足以下三个条件 　　(1)签名者事后不能抵赖自己的签名； 　　(2)任何其他人不能伪造签名； 　　(3)如果当事人双方关于签名的真伪发生争执能够在公正的仲裁者面前通过验证签名来确认其真伪 　　利用公开密钥密码可以实现满足以上条件的数字签名以下是一个通用的数字签名模型； 　　设e,Kd)是一个公开密钥密码M、C分别是明文和密文E、D分别是加密算法和解密算法Ke,Kd分别是公钥和私钥用户A施加数字签名用户B验证数字签名 　　(1)A、B向CA申请证书故各自的公开密钥Ke均在共享的证书库中以此作为对方及仲裁者验证签名的依据之一； 　　(2)A用自己保密的签名密钥KdA对明文M进行签名；SA=D(M,KdA)SA即为A对M的签名A将SA发送给B并将SA留底； 　　(3)B收到SA后在证书库中查阅A公开的验证签名密钥KeA对签名进行验证 　　E(SA,Ke