密码学中基于口令验证和身份确认的网络安全研究

《密码学中基于口令验证和身份确认的网络安全研究》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、万方数据第30卷第2期2008年6月湘潭师范学院学报(自然科学版)JournalofXiangtanNormalUniversity(NaturaIScienceEditiofl)V01．30No．2Jme．2008密码学中基于口令验证和身份确认的网络安全研究高明柯1，陈锡文2，王倩3(1．湖南科技大学数学与计算科学学院，湖南湘潭41120l；2．中南大学软件学院．湖南长沙410083；3．湖南交通职业技术学院，湖南长沙410004)摘要：网络的发展已经对现有的通信安全技术提出了更高的要求，本文以湖南某大学教务管理信息系统在校园网内的通信安全机制为背景阐述了密码学中基于口令验证

2、和身份确认的网络安全机制的设计，展望了密码学的发展动向。关键词：口令验证；身份确认；网络安全；密码学中图分类号：T1：'393．08文献标识码：A文章编号：1671—0231(2008)02—0061—051引言随着网络技术的飞速发展，网络已经无处不在，用户对网络安全和可靠方面的要求越来越高，用户对随时随地使用网络的需求日益增强，网络安全已经成为2l世纪计算机领域的安全信息网络已经成为未来网络的发展方向。安全信息环境具有开放性特点，必须考虑网络环境的安全防护，数据安全和证书管理是安全信息环境支持实时应用的保障，安全信息环境的安全防护安全是信息互联网络实用化过程中必须解决的问题。

3、1．1什么是身份确认和口令验证身份认证是解决信息安全问题的重要途径，是其它安全机制的基础，身份认证作为网络安全管理的重要关卡。用于鉴别用户身份，防止未经授权的非法访问。现代的身份认证技术正向智能化、密码化、多因素、大容量和快速响应等方向发展。系统身份认证、登录访问、基于口令的访问权限、基于身份确认的访问权限、口令管理、网络银行、教务管理系统、企业管理系统、证券交易等大型数据库管理系统的用户访问权限控制、远程控制和通信都离不开网络的安全技术。身份确认常见技术有基于口令(Password)的身份确认，基于智能卡(Smartcard)的身份确认，基于Kerbe瑚身份确认和PKI／CA

4、系统，基于生物特征的身份确认技术有指纹、声纹、虹膜、视网膜、睑部、掌纹识别的身份确认技术和量子身份认证等技术。口令验证可以看成是密码学中的单向身份认证协议。由于其成本低，操作性强，用户界面好，简单易行，速度快等优点，成为目前较为广泛的认证方法。在传统的验证技术中，最常见而且最简单的访问控制方法是使用口令。通过对口令的匹配来确认用户的合法性，也是单因素认证方法。当被认证对象要求访问提供服务的系统时．提供服务的认证方要求被认证对象提交该对象的口令，认证方在收到口令后，将其与系统中存储的用户口令进行比较，以确认被认证对象是否为合法的访问者。1．2基于身份确认和口令验证的信息安全机制的

5、设计思想纵观现有的各种网络安全机制，基本上都是采用了单一的加密算法，这种单一安全机制很难保证自己要传送的信息和被访问信息的安全，本文将采用信息传送和被访问过程多元化、多种加密手段进行处理的方式。在两个站点要通讯前，双方必须以某种安全方式获得对方的公共密钥证书，整个基于身份确认和口令验证的网络安全通信机制大致分为如下几步：第一步，访问方提出通信要求，系统对访问方所提出的访问要求进行识别，确认是否需要进行口令验证和身份确认，如果访问要求触及到口令验证和身份确认，那么系统自动提示访问者进入13令验证和身份初次确认；第二步，进入身份确认系统之后通信双方相互间进行身份验证，以确定消息的发

6、送者和接收者的真实身份，其中最为传统的方式是双方互发用户名和口令给对方和安全服务器，只有双方的身份都被确认和双方的口令验证都得到了认可之后才能交换本次通信过程中所需收稿日期：20∞一04—26作者简介：高明柯(1980一)。男．湖南湘潭人，助教。研究方向：现代密码学算法与实现。6l万方数据要的公共密钥；第三步，双方商定采用会期密钥加密数据的方式进行保密通信。综合前面的三步，给予身份确认和口令验证的信息安全机制主要工作流程如图l所示。2．设计模型基于身份确认和口令验证的网络通信安全机制结构模型包括了口令管理子模块、身份认证、密钥管理子模块、证书管理子模块与数据安全子模块。一2．1

7、功能模块(1)身份管理子模块，该模块一般由4方组成：一方是出示证件的人，称作出示身份证明者(晰e)，在通信系统中通常被称为申请者(Q蛔)，出示者提出某种通信要求；另一方为验证者v(Verifier)，检验出示身份证明者提出的证件的正确性和合法性，确定其身份是否和他的访问请求是与通信的相关权限相符，如果第三方是攻击者肯定会窃听和伪装成为合法出示身份证明者骗取验证者的信任。认证系统在必要时也会有第四方，即通信系统中的可信赖者参与网络通信过程中存在的纠纷调节，第四方可以由系统中的管理员承当。(2)