一种基于聚合签名的服务会话认证协议

为满足Web服务的会话认证需求,提高多方服务交互环境下的认证效率,基于IBC体制中无可信PKG签名思想提出一种基于身份的聚合签名算法,并使用该算法设计一种新的服务会话认证协议。该协议在保证多方服务实例安全共享会话的同时,能够解决密钥托管和防PKG伪造用户签名等问题,认证方只需对多个会话实例认证信息的聚合签名进行一次验证就能确信各签名是否来自指定的会话参与方,从而减少会话认证量。相比类似方案,该协议具有更高的计算效率。     

三方认证协议BNV的分析及改进

多个主体之间的安全会话需要有可靠的多方认证协议来保证。基于安全协议的操作语义模型,分析了三方认证协议BNV的安全性,结果表明该协议存在一致性和同步性缺陷。为此,修改了协议的消息结构并添加了标识协议主体身份的消息项。对改进后协议的安全性进行分析,结果表明改进后的协议不存在原协议的缺陷,协议参与主体满足一致性与同步性要求。最后,基于改进后协议,提出了一个n方认证协议的协议原型。     

一种Web服务安全通信机制的研究与实现

随着Web服务技术与应用的发展，Web服务安全问题日益突出。Web服务安全通信要求保证应用层SOAP消息的安全传输，而现有的安全传输方案，如SSL，TLS等不适用于应用层的消息安全保护，无法满足上述要求。针对Web服务应用模式，提出了一种基于XML安全技术的Web服务安全通信机制，利用安全会话实现了较高的实体认证安全性和安全通信效率，并为此设计和实现了保证应用层SOAP消息安全传输的SOAPSec系统。该机制具有灵活性和可扩展性，可满足典型Web服务应用场景下的安全通信需求。     

普适计算中的跨域认证与密钥建立协议

当服务使用者与提供者位于不同注册域时需要跨域认证,认证成功的实体需要建立一个会话密钥保证后续通信安全。针对该问题,提出一种跨域认证与密钥建立协议,借助各实体的注册服务器完成双向认证,结合签密法建立新的会话密钥。经典SVO逻辑证明,该协议能保证密钥的公平性和隐密性,且能抵抗各种安全攻击。     

微移动协议HAWAII安全认证方案研究

考虑到IP层微移动性管理协议HAWAII现行安全认证方案存在攻击漏洞，本文把认证、授权与计费协议引入HAWAII进行移动认证扩展。通过公钥证书与数字签名实现通信实体相互确认，同时采用加密会话信息和拒绝反向信令策略防止会话窃取攻击，能够最终实现HAWAII协议移动认证安全增强的效果。     

对一种无线Web服务密钥协商协议的改进

极大的商务应用潜力对无线网络中Web服务的安全与效率提出了更高的要求,其中之一就是密钥协商问题。研究者从不同角度提出基于口令的密钥协商改进方案。近期,张学英与杨晋吉提出的一种无线环境下的Web服务身份认证密钥协商协议(Z-Y协议)经证明存在严重的安全缺陷。改进方案不仅继承原协议较高的效率和基本安全属性,而且能够有效地抵抗中间人攻击和重放攻击,弥补了原协议安全性能的不足。     

基于Cookie的Web服务安全认证系统

Web服务是一种崭新的分布式计算模式，是下一代电子商务的框架。但Web服务能否顺利发展的关键是其安全问题，对Web服务请求者的身份进行认证是解决安全问题的重要途径。为克服HTTP协议的无状态性，在对基于cookie的认证机制的实现原理和过程进行分析和研究的基础上，提出了一种基于Cookie的认证系统，详细介绍了其工作流程。谊认证系统具备单点登录和适应所有浏览器等特点，比较适合于Web服务在单域内的安全认证。     

基于SOAP的Web服务认证密钥协商协议设计

身份认证是信息安全中的一个基本问题。本文通过分析基于SOAP的Web服务结构以及安全规范,提出了一个分布式环境下无状态Web服务认证密钥协商协议。最后阐述了协议的特点及安全性。     

基于身份的认证密钥协商协议的改进

针对已有的基于身份的认证密钥协商协议存在的安全问题,提出一种改进的基于身份的认证密钥协商协议。该协议采用双线性对运算方法,用户双方的临时和长期私钥结合进行最终会话密钥的计算,解决了原协议中存在的PKG前向安全性问题、单一依赖临时或长期私钥而存在的问题和已知临时会话密钥泄漏攻击的问题。在保证改进协议正确基础上,对协议的安全属性及协议性能进行了分析。采用SVO逻辑对协议进行形式化分析,验证了改进协议的认证性和安全性。结果表明,改进的协议满足基于身份认证密钥协商协议的所有安全性要求,与已有基于身份的认证密钥协商协议相比具有更好的安全属性及计算效率。     

一种基于Mobile Agent的Web Service新型安全模式

移动代理和Web服务相结合的应用在最近几年得到广泛研究,然而,安全问题仍然是一个主要关注点.提出了一种新型的基于移动代理的Web 服务安全模式.这种模式提供了一种新的认证协议,而不使用用户名/密码对,因为它对移动代理是不可行的,并且针对当前的安全机制给出了一种替代方法,而不使用基于认证结构CA(Certification Authorities)的公钥基本措施.在这种模式下,人们可以简化密钥管理,并且减少计算量,特别是面向组的Web服务.     

基于Authentication Test方法的高效安全IKE形式化设计研究

基于Authentication Test方法，围绕高效安全Internet密钥交换（ESIKE）协议的安全目标，提出一种具体地构建唯一满足两个通信实体变换边的形式化协议设计方法，设计出了高效安全的IKE协议；并且基于Strand Space模型和Authentication Test方法，形式化分析ESIKE协议，证明了其所具有的安全特性．该ESIKE协议克服了原有Internet密钥交换（IKE）协议存在的安全缺陷，提供了安全的会话密钥及安全关联（SA）协商，保护了通信端点的身份，并且保证了协议发起者和响应者间的双向认证．同时，ESIKE仅需3条消息及更少的计算量，更加简单、高效．     

融合双层卫星网络的星地和星间AKA协议

天地一体化网络以其大时空、天网地网和星地融合的特性备受关注,卫星不仅可以作为应急通信补充,还可以充当空中中继站,扩大地面网络覆盖范围,在军用和民用场景都占据着重要地位。实体身份认证和密钥协商机制可以防止假冒实体加入天地一体化网络,窃取用户隐私行为的发生,保障网络信息安全。针对天地一体化网络星地传输时延较大、链路高度暴露、星上处理能力有限以及星间拓扑结构动态时变等特点,提出一种轻量级的双层卫星网络的星间和星地组网实体身份认证（AKA,authenticated key agreement）协议,以实现安全的卫星组网架构,后续基于协商的会话密钥保护数据传输。所提协议基于对称密码体制,采用轻量级密码算法,引入群密钥和分层管理机制,针对双层卫星网络的不同场景特点,将认证协议分为高轨卫星星地和星间认证、层间和同轨道低轨卫星间认证以及相邻轨道低轨卫星间认证3部分。群密钥和分层管理机制提高了群组间信息的传递效率,减轻了地面控制中心的认证压力,且在三方认证协议中实现了双重验证,提高了认证安全强度。不同于以往的单场景认证,部分认证协议采取复用认证参数的形式,在一次认证转发过程中可实现双场景的认证需求。通过协议形式化安全仿真工具 Scyther 分析结果表明,所提协议均实现了安全接入认证。与现有协议相比,所提协议提高了认证安全性,降低了通信和计算开销。     

面向无人装置协同操作的安全认证协议

无人装置协同操作动态组网需要安全的群组通信。依据无线环境中的不同安全域,提出了一种具有身份保护的安全组网协议。该协议采用基于身份的匿名签名算法设计了安全组网机制,实现了传感器节点、作动器节点、密钥分发中心和控制台的四方安全认证和密钥交换,并为安全域内的无人操作装置建立了安全传输通道;采用匿名身份认证与可追溯机制相结合的方式,构建了无人操作装置间动态组网和数据安全传输,以为协同操作提供实时、安全的数据通道,实现无人操作装置在传感器和作动器级的协同。     

基于二次剩余的多服务器环境下的身份认证协议

多服务器环境下的身份认证协议实现了用户只需要一次注册即可跟多个服务器实现交互认证,基于二次剩余构造了一个注册中心在线的多服务器环境下身份认证协议。该协议中,注册中心参与实现对用户的认证并协助用户和服务器建立后继通信的会话密钥,并且服务器之间是可以相互区分的。协议能够抵抗字典攻击、口令泄露模仿攻击常见攻击,同时能够实现相互认证,以及前向安全、已知会话密钥安全和无密钥控制等会话密钥的安全属性。     

A DoS and fault-tolerant authentication protocol for group communications in ad hoc networks

In this paper, a novel authentication protocol is proposed, which satisfies both security and reliability requirements for group communications in ad hoc networks. The security features include identity anonymity and location intracability, periodic one-way session key and pseudonym identity refreshment with implicit authentication, dynamic joining and leaving an in-progress communication session, and data encryption. The reliability features include efficient Denial of Service tolerance for broadcasting refreshment messages, fault-tolerance for recovering lost refreshment messages, robustness for resisting the clock skews among member nodes and seamless key switch without disrupting ongoing data transmissions. The performance and security analysis show that the communication and computation overhead of the proposed protocol is similar to the existing one, while the security can be enhanced significantly. The simulation results demonstrate the robustness of the proposed protocol under severe Denial of Service attack and poor wireless channel quality.     

身份基认证密钥协商协议

安全有效地传递信息是计算机安全通信研究领域的主要目标。为了使得用户间能在公开网络进行安全通信,文中提出了一种新的两轮双方认证密钥协商协议,通过分析新协议的安全属性指出了构造双方认证密钥协商的一些原则。该协议实现了通信双方的相互身份认证功能,使通信双方能确认对方的身份,同时还提供了密钥协商的功能。     

在线建立会话密钥身份认证协议的设计与实现

挑战-应答身份认证协议由于安全性较高,用户端运算量较小成为中小型网络应用系统十分青睐的身份认证解决方案。本文在分析、改进挑战-应答经典协议的基础上,从易于实现、符合用户使用习惯的角度,提出一种新的挑战-应答协议,并对其进行了安全性分析,在B/S模式下实现了应用。这种协议具有高安全性的同时,结构简捷,易于实现,而且能够让通信双方在线建立会话密钥,对加密随后的通信具有重要意义。     

UC安全的双向口令认证密钥协商协议

针对多数口令密钥协商(PAKE)协议不具备双向认证功能的问题,基于通用可组合(UC)模型,提出一种UC安全的双向口令认证密钥协商(MPAKE)协议。定义具有双向认证功能的PAKE协议理想函数,描述实体之间的双向认证关系,并利用联合状态UC模型构造实现该理想函数的协议,使协议实体之间可以使用共享参数。该协议基于口令实现了双向认证,并能够协商出会话密钥。通过构造仿真器及其执行的操作分析MPAKE的不可区分性,从而证明该协议是UC安全的,并且结构简单,可保证在任意多方环境中并行运行时的安全。     

Analysis and design of a smart card based authentication protocol

Numerous smart card based authentication protocols have been proposed to provide strong system security and robust individual privacy for communication between parties these days. Nevertheless, most of them do not provide formal analysis proof, and the security robustness is doubtful. Chang and Cheng （2011） proposed an efficient remote authentication protocol with smart cards and claimed that their proposed protocol could support secure communication in a multi-server environment. Unfortunately, there are opportunities for security enhancement in current schemes. In this paper, we identify the major weakness, i.e., session key disclosure, of a recently published protocol. We consequently propose a novel authentication scheme for a multi-server envi- ronment and give formal analysis proofs for security guarantees.     

基于椭圆曲线的跨域端到端口令认证密钥协商协议

跨域端到端口令认证密钥协商协议(C2C-PAKA)的主要目的是使分布在不同域中持有不同口令的两个客户端可以在各自服务器的协助下实现相互认证并协商出共同的会话密钥。本文中,我们基于椭圆曲线上的离散对数问题,在直接通信架构下给出一个跨域的口令认证的密钥协商协议。该协议中,诚实的服务器是不能获取任何关于会话密钥的值。各参与方之间能够实现相互认证。与同类协议比较,该协议具有较小的通信负担和计算负担,更易于实现。此外,协议还能够抵抗字典攻击、口令泄露模仿攻击和未知会话密钥共享攻击等通用攻击类型,同时能够实现前向安全、无密钥控制和已知会话密钥安全等安全属性。