基于自验证公钥的跨域口令认证密钥协商协议

结合自验证公钥密码学和口令构造了一个用户可以直接通信的跨域口令认证密钥协商协议。域服务器通过口令认证实现对域内用户的认证, 并与对方域服务器一起协助用户完成认证和密钥协商。该过程中, 域服务器不能获取关于会话密钥的任何信息, 且各参与方之间能够实现相互认证。与同类协议相比, 该协议需要较小的计算和通信代价, 并能抵抗字典攻击和未知会话密钥共享攻击。     

计算机分布式环境中的认证与密钥分配研究

根据网络和计算机分布式环境的特点,采用单钥算法和公钥算法相结合的方法设计了认证与密钥分配协议,协议采用单钥密码算法设计域内认证与密钥分配协议,而采用公钥密码算法实现域间认证和密钥交换,简化了系统的密钥管理问题,为了保证公钥的真实性,文章提出了一种适合计算机分布式环境的,可在全球扩展的分层次公钥分配架构,协议中用户采用公钥算法进行联网初始登录,代替键入口令,有效地防止口令猜测和重放攻击。     

改进的跨域口令认证密钥交换协议

描述一个跨域口令认证密钥交换协议,在其基础上对跨域C2C-PAKE协议的安全模型进行改进。通过引入公钥密码体制,结合离散对数高可靠等特点,提出改进的跨域口令认证密钥交换协议。该协议步骤简单,具有语义安全性、密钥保密性,实现了服务器与用户之间的双向认证,能对抗不可检测在线字典攻击等常见攻击。安全性分析表明该协议是安全有效的。     

基于椭圆曲线的跨域端到端口令认证密钥协商协议

跨域端到端口令认证密钥协商协议(C2C-PAKA)的主要目的是使分布在不同域中持有不同口令的两个客户端可以在各自服务器的协助下实现相互认证并协商出共同的会话密钥。本文中,我们基于椭圆曲线上的离散对数问题,在直接通信架构下给出一个跨域的口令认证的密钥协商协议。该协议中,诚实的服务器是不能获取任何关于会话密钥的值。各参与方之间能够实现相互认证。与同类协议比较,该协议具有较小的通信负担和计算负担,更易于实现。此外,协议还能够抵抗字典攻击、口令泄露模仿攻击和未知会话密钥共享攻击等通用攻击类型,同时能够实现前向安全、无密钥控制和已知会话密钥安全等安全属性。     

一种利用Diffie-Hellman密钥协商改进的Kerberos协议

身份认证是成功实现安全的基础.Kerberos协议提供了一种通过可信第三方来实现身份认证的可靠方案,但是Kerberos协议不能很好地防范口令猜测攻击.提出了一种利用DiffieHellman密钥协商对Kerberos协议进行改进的身份认证协议-KDH协议.性能分析与实验结果表明,此协议能有效地防范口令猜测攻击.     

基于混沌映射的用户匿名三方口令认证密钥协商协议

在基于混沌的三方口令认证密钥协商协议中,用户通过低熵的口令实现相互认证和共享会话密钥,以避免在身份认证过程中公钥基础设施或存储用户长期密钥的安全威胁。通过分析Lee提出的基于混沌映射的口令认证密钥协商协议,发现其协议不能进行口令变更,而且仅适用于用户和服务器之间的两方通信。为了改进此方案,提出两个基于切比雪夫混沌映射的用户匿名三方口令认证密钥协商协议,包括基于时钟同步的密钥协商方案和基于随机数的密钥协商方案。其中基于时钟同步的用户匿名三方口令认证密钥协商协议通信量少,基于随机数的用户匿名三方口令认证密钥协商协议更容易实现。两个方案的优点是用户仅选择一个简单的口令进行相互认证和密钥协商,服务器不需要再保护用户口令表,避免了口令相关的攻击,而且在相互认证过程中用户使用临时身份和哈希函数,实现用户匿名性,在增强协议安全性的同时,减少了通信过程中消息的数量,提高了协议的执行效率,具有完美前向安全,并用BAN逻辑证明了其安全性。     

跨域基于口令认证的密钥交换协议的分析与改进

由于网络中存在安全问题,通信双方必须在通信前进行身份鉴别和密钥交换.跨域基于口令的认证密钥交换协议(C2C-PAKE)利用同一域间客户与服务器问预先共享的口令,使分布在不同域中持有不同口令的两个用户可以协商并分配一个共享的会话密钥.描述一个跨域C2C-PAKE协议,给出协议的交互过程,分析其安全性及其可能遭受的两种攻击,并给出对应的改进方案.     

基于混合机制的Kerberos安全性增强方案

针对Kerberos协议的弱点和安全性问题,提出了一个基于混合加密机制的Kerberos改进方案,目的是防范口令攻击和内部攻击。给应用服务器和AS服务器分配公钥和私钥,用户与服务器之间的会话密钥由DH密钥交换生成。给出了改进后的 Kerberos 协议的六个步骤,并对安全性进行分析。分析结果表明,新方案能够增强Kerberos协议的安全性,而且比公钥加密机制高效。     

基于无证书密钥协商的Kerberos改进协议

Kerberos认证协议容易遭受口令攻击和重放攻击,且需要2次双线性对运算、2次指数运算和1次椭圆曲线上的点乘运算,计算量大。为此,利用高效的无证书密钥协商对Kerberos协议进行改进。用户与认证服务器之间通过使用无证书签密技术抵抗伪造攻击。分析结果证明,改进协议符合密钥协商的6个基本安全要求,满足已知密钥安全性、完美前向安全性、抗未知密钥共享安全性、密钥不可控性、已知会话临时信息安全性,能抵抗口令攻击、重放攻击、中间人攻击及密钥泄漏伪装攻击,并且仅需3次点乘运算,具有较高的效率。     

无证书隐式认证改进的Kerberos单点登录协议

针对Kerberos单点登录协议存在的口令攻击、重放攻击、密钥需要托管和效率不高等问题,引入一种无对数运算的无证书隐式认证与密钥协商协议对其进行了改进。在随机预言机模型下证明了新协议的强安全性,分析了改进后Kerberos单点登录协议的优势。引入的密钥协商协议仅需3次点乘运算和2次哈希运算,计算开销较低。采用隐式认证方式,避免了原Kerberos中第三方对信息的无举证窃听,有效克服了中间人攻击。     

基于跨域认证与密钥协商的协议模型

为解决跨域认证与密钥协商中存在的重复计算问题,提出一种基于跨域认证与密钥协商的协议模型。利用公钥加密算法,将跨域认证与密钥协商2种常用协议有机结合,以较少的计算资源、存储资源和网络带宽,在单一的协议内同时实现跨域认证和密钥协商的过程。理论分析和性能比较结果表明,该协议能够提供保密性、鉴别机制、完整性和不可抵赖性等安全保证,且具有较高的处理效率。     

无证书密钥协商协议对跨域Kerberos的改进

针对Kerberos域间认证方案中存在的密钥数量庞大和系统安全性脆弱等问题,提出一种可认证的无证书密钥协商协议。该协议通过无证书密码学理论弥补原Kerberos域间认证的缺陷,只需一轮消息交换即可建立安全的域间会话密钥,并提供完善的前向安全性。安全性分析结果表明,改进的协议可以有效解决密钥的管理问题及第三方无举证窃听。     

一种新的信息服务实体跨域认证模型

为解决基于身份的信息服务多信任域认证系统不能实现身份即时撤销的问题,提出了一种可撤销的身份签名方案。在SM9(国产标识密码)签名算法的基础上,引进一个安全仲裁来保管实体的部分私钥,通过终止安全仲裁给实体发送签名信令来撤销实体的签名能力,从而实现 身份 的即时撤销。在该方案的基础上,利用基于证书的公钥基础设施(PKI)与基于身份的密码体制(IBC)的组合应用优点,提出了一种新的信息服务实体跨域认证模型。该模型不仅具有灵活高效的认证特点,而且适合构建大规模信息服务实体的应用环境。同时,设计了一种跨域认证协议,实现了跨信任域的双向实体认证和密钥协商。分析结果表明,该协议具有较高的安全性及较少的通信量和计算量。     

网络和分布式系统中的认证

文中在Ｋｅｒｂｅｒｏｓ认证协议的基础上，采用Ｙａｋｓｈｅ体制，提出了一个公钥密码交互式认证体制。     

基于公钥密码体制的Kerberos协议的改进

随着计算机网络的发展,网络安全问题已变得日益重要,而身份认证在安全系统中的地位极其关键,是最基本的安全服务。Kerberos协议是基于私钥密码系统的身份认证协议。文中首先对Kerberos协议的认证原理进行分析;然后基于公钥体制的加密技术和Kerberos协议,提出了一个安全性更高的身份认证协议;最后分析了两种协议的异同。     

新的域间身份认证协议及其形式化验证

Internet上不同的安全域间要实现信息资源的安全访问首先需要认证.目前常用的认证协议是Kerberos协议,但在网络环境下,该协议无法对真实的客户端进行认证.因此,给出了新的域间身份认证协议以及相应的"现时"产生方案,并利用改进的Spi演算对所设计的认证协议进行了分析,证明了该协议的安全性,能够有效地解决网间的信息安全传输.     

基于区块链技术的高效跨域认证方案

为解决现有公钥基础设施（PKI）跨域认证方案的效率问题,利用具有分布式多中心、集体维护和不易篡改优点的区块链技术,提出基于区块链技术的高效跨域认证方案,设计了区块链证书授权中心（BCCA）的信任模型和系统架构,给出了区块链证书格式,描述了用户跨域认证协议,并进行了安全性和效率分析。结果表明,在安全性方面,该方案具有双向实体认证等安全属性;在效率方面,与已有跨域认证方案相比,利用区块链不可篡改机制,使用哈希算法验证证书,能减少公钥算法签名与验证的次数、提升跨域认证效率。     

An optimized authentication protocol for mobile networks

Practical secure communication of mobile systems with low communication cost has become one of the major research directions. An established public key infrastructure (PKI) provides key management and key distribution mechanisms, which can lead to authentication and secure communication. Adding public key cryptography to Kerberos provides a nice congruence to public key protocols, which can obviate the human users’ burden to manage strong passwords. This paper emphasizes on authentication as a considerable issue related to security. Additionally, an efficient and secure hybrid authentication protocol for large mobile network is proposed. Its infrastructure accommodates explosive growth of the large mobile network. It reduces the communication cost for providing secure network access in inter-domain communication. This method is based on symmetric cryptosystem, PKI, challenge–response and hash chaining.     

安全域间信息资源访问的协议和方法

为了保护内部网络的安全，必须设置应用边界安全设备．Internet上不同的应用安全域间要实现信息资源的安全访问，首先需要认证．Kerberos是目前比较常用的认证协议，一般的应用边界安全设备（如SOcks5）中就应用了该认证协议，但应用该协议存在一定的缺陷：在应用边界安全设备链的认证过程中，资源域中的应用边界安全设备认证对象是主体域中的应用边界安全设备，而不是真正发起资源请求的客户端，因此资源域中的应用边界安全设备审计的对象是主体域中的应用边界安全设备，而不是真正的客户端．在Kerberos域间认证的基础上，给出了新的域间认证协议以及身份传递协议，使用新的协议不仅能够提供应用边界安全设备对用户访问请求的安全审计而且只需要两次域间的网络连接，这两次域间网络连接不需要主体和客体直接进行，而是通过应用边界安全设备完成的，提高了系统的通信效率，扩大了该系统的应用范围，适合于现有的企业网环境，能有效地解决企业网与企业网之间的信息安全传输．