skey认证方案的分析与改进

《skey认证方案的分析与改进》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、S/KEY认证方案的分析与改进殷松瑜，徐炜民（上海大学计算机工程学院，上海200072）摘要：本文提出的改进S/KEY身份认证协议，使用随机数与机密信息进行异或运算，屏蔽重要信息防止机密泄露，实现了用户和服务器间的相互认证，认证服务器的计算负载并没有增加。本方案克服了传统S/KEY一次性口令认证方案不能抵抗重放攻击，小数攻击，冒充攻击，中间人攻击安全漏洞，有效地防止了连接劫持、协议破坏攻击等攻击手段，显著地增强了应用系统的安全性。关键词：S/KEY身份认证；一次性口令；异或；散列函数中图法分类号：

2、TP393108文献标识码:AAnalysisandImprovementofS/KEYAuthenticationSchemeYINSong-yu，XVWei-min'SchoolofEngineeringandComputerScienceShanghaiUniversity，Shanghai2()0072》Abstract:ThispaperproposesanewimprovedS/KEYprotocol.Asisdescribedinmyauthenticationschemethatt

3、herandomnumberXORedbytheconfidentialinformationpreventsconfidentialinformationfromdisclosure，andamutualauthenticationbetweentheuserandtheserveriseffectivelycarriedout，butwhichdonotincreasetheoverheadofauthenticationserver.ThenewS/KEYsolutioncannotonly

4、overcomethevulnerabilitiesofsecuritythatthetraditionalS/KEYone-timepasswordprotocolwillnothelptheservertoresistthereplayattacks，smallintegerattacks，personateattacksandman-in-middleattacks，butalsoeffectivelypreventtheserverfromconnectionhijacking，proto

5、cal-brokenandotherattacks,sotheimprovedS/KEYprotocolsignificantlyenhancesthesecuritylevelofapplicationsystem.Keywords:S/KEYAuthentication;One-TimePassword;XOR;Hashfuctiono引言计算机通信技术和网络的发展使得M络成为信息交换的主要手段，越來越多的企业将电子商务作为重耍的运营模況。当企业用户在其业务活动中把自己完全展示给外部的用户和商

6、业合作奍或当通过网络获取客户的敏感数据时，M络的安全访问控制就成了保护企业信息安全，防止黑客恶意攻出破坏的重要丁•段。身份认证是确保M络系统屮信息安全的门户，网络应用系统的第一道防线。身份认证的B的就足验证通信双方足否符合其所声称的身份，防止非法川户窃収介法用户的兗份，以得到不应行的授权进入系统获得不正3利益或恶意破坏系统。传统的汄证技术是输入用户名/口令的某本认证方式，这利1认证铖人的问题足用户名和口令都以明文的；/忒在不安全的网络中传输，很容易受到恶意的窃听、篡改、放或在线猜测和离线字典攻市。

7、安全的基于证书的数字签名技术必须以完整的CA（CertificationAuthority,证书授权中心）体系为恭础，例B前在国内还没冇法律上所公汄的可信的第三方证书授权中心。对丁•在不安伞的网络环境中的企业来说，采用实现不太釔杂，又无需笫三方认证的一次性口令(OneTimePassword,OTP)认证技术是一种很有吸引力的的解决方案，从理论上讲，只使用一次的密码(ASingleUsePassword)足永远不会被破解，足最安全的密的。本文在分析研究S/KEY—次性U令认证技术的基础上，针对S/

8、KEY系统的缺陷tlK2][31提出了一种新的改进方案。已有的一碑改进方案"胃6^使川离散对数公钥加密技水，另外一些方案[8]使用对称加密方法，扯然改进A案宣称无需第三方公证，frl是如何管现分配加密密钥，是否坡后还是依靠公钥基础设施这些都足很难解决的问题，使用加密方法增加了系统开钔和实现的S杂度，这也就失去了U令认证的优点:实现方案简单，运行成本低等。而方案瓜然对S/KEY汄证技术打所改进，却并没有完全解决S/KEY系统的安全问题。本文所提出的方案使用随机数与机密信息进行异或运算