基于移动终端的双因子身份认证系统.docxVIP

基于移动终端的双因子身份认证系统 1 基于移动终端的otp与共享密钥的双因子身份认证系统 考虑到用户/密码和omp身份认证方案的缺点，本文提出了基于移动设备的omp和共享密钥技术的双因素身份认证系统。根据分析，该系统可以有效解决上述两种方案的缺点，从而有效解决客户隐患的潜在安全问题。 2 生成共享密钥 为了方便描述, 文中约定表示符号如下: , ——用户的身份标识; ——秘密通行短语; KEY——移动终端与认证服务器之间的共享密钥; ——种子值; , ——用户第 ——单向哈希函数; ——对 MAC MAC (para1, para2, …) ——用密钥KEY计算para1、para2等参数的报文验证码. 3 s.key S/KEY系统由两部分组成:即注册阶段和认证阶段. 3.1 用户身份标识 用户选择用户身份标识 = 第 = 用户将 3.2 tep233研磨坡4.4%对接受的被压 第 Step1 Step2 Step3 Step4 服务器对收到的 3.3 防止网络钓鱼攻击 S/KEY系统存在以下严重的安全缺陷 (1) S/KEY系统不能防止小数攻击.当 (2) S/KEY系统不能防止网络钓鱼攻击.攻击者可以冒充 (3) S/KEY系统不能防止客户机信息泄露引起的冒充攻击.攻击者利用木马、间谍软件等恶意程序控制客户机, 窃取用户秘密通行短语 4 钥技术安全分析 系统将一次性口令和共享密钥技术安全有效地结合在一起, 引入移动终端对认证服务器和用户身份提供真实性保证 4.1 生成用户共享密钥ko 用户选择用户身份标识 = 第 = 然后, 用户使用自己的移动终端随机生成与认证服务器之间的共享密钥KEY, 并由移动终端保存. 最后, 用户将 注册过程如图1所示. 4.2 认证服务器更新过程 这一阶段引入另外一种密码算法——报文验证码 (MAC) 第 Step1 Step2 Step3 Step4 Step5 Step6 认证服务器对收到的 Step7 认证服务器对保存的信息进行更新, 序列号减一, 认证口令改为 认证过程如图2所示. 5 androidst认证客户端 文中使用蓝牙技术实现了原型系统, 系统包括Sevlet认证服务器, Applet认证客户端, MIDlet手机程序以及客户机蓝牙程序.其中Sevlet认证服务器完成用户的注册和一次性口令的验证;Applet认证客户端提示用户输入秘密通行短语 对于相关的密码操作, Sevlet认证服务器和Applet认证客户端采用JCE (Java Cryptographic Extensions) 实现, MIDlet手机程序采用Bouncy Castle Lightweight Crypto API实现. 对于蓝牙传输, 客户机蓝牙程序采用BlueZ Bluetooth protocol stack for Linux配合Rococosoft’s Impronto Developer Kit for Java实现, MIDlet手机程序通过调用JSR82 API实现. 5.1 防钓鱼欺骗的主要措施 系统实现了用户身份和认证服务器身份之间的双向认证, 可以有效防范以下攻击行为: (1) 小数攻击、网络钓鱼:使用共享密钥KEY生成报文验证码MAC, 用户可以通过移动终端验证认证服务器身份的真实性, 防止攻击者冒充认证服务器向用户发起“小数”攻击来获得一次性口令, 或者利用网络钓鱼欺骗用户. (2) 重放攻击:通过在认证过程中使用客户机和认证服务器各自生成的随机数, 可以有效防止重放攻击. (3) 口令猜测、字典攻击:用户、认证服务器身份的真实性依赖于使用共享密钥KEY生成报文验证码MAC.共享密钥KEY由移动终端随机生成并进行存放, 不需要用户记忆, 其长度和随机性完全可以满足密钥的选择规则, 因此可以有效防止攻击者采取的口令猜测和字典攻击. (4) 客户机恶意程序:通过移动终端生成每个一次性口令的报文验证码MAC, 认证服务器可以确定用户身份是否真实.因为即使攻击者使用木马、间谍软件等恶意程序入侵客户机窃取了用户的秘密通行短语 (5) 移动终端恶意程序 (6) 除了可以防范一些常见的攻击以外, 方案还可以主动发现用户的客户机是否遭受攻击, 秘密通行短语是否遭窃.如果攻击者使用木马、间谍软件等恶意程序入侵客户机窃取了用户的秘密通行短语 5.2 认证系统测试 考虑到当前移动终端的计算能力, 系统在设计时采用报文验证码算法代替了传统的公钥密码算法, 同时将少量的加密计算放在移动终端, 每次认证移动终端只需做2次报文验证码计算. 原型系统选择HMAC-SHA1作为MAC函数, 在局域网环境下, 通过在Nokia N70手机上进行测试, 系统性能参数如表1