基于手机令牌的动态口令身份认证系统

随着无线网络的日益完善,通过手机无线接入Internet的用户不断增加,因此解决无线接入用户的身份认证问题极为重要。动态12令已经成为认证机制新的发展趋势,它提供了比传统静态口令更高的安全性。文中设计了一种基于挑战／应答机制的动态口令认证协议,并根据此协议设计了一个基于手机令牌的动态口令身份认证系统,论述了系统的组成、认证过程,分析了系统的安全性。分析表明,该系统具有安全性高、适用面广、使用方便、系统成本低的特点。     

基于动态群签名的802.11s Mesh网络接入认证

802.11s Mesh网络作为新一代的无线局域网（WLAN）标准能有效弥补802.11b协议在易布署性和安全性方面中存在的不足。由于802.11s Mesh网络原有接入认证协议时间复杂性较高,针对性地提出了一种基于动态群签名技术的接入认证协议,在认证服务器、密钥分发者和接入点之间通过四轮交互即可实现所有接入点之间的相互认证。通过论证,该接入认证协议能有效提高接入认证过程的计算性能和通信性能,并保证接入认证过程的安全性。     

一种基于SD卡的口令认证密钥协商方案

手机恶意软件的日益泛滥对移动支付的安全性带来了巨大的挑战。现有移动支付系统中的认证机制过于依赖静态口令与短信验证码,存在较大的安全隐患。文中针对远程移动支付应用场景,提出了一种基于SD卡的口令认证密钥协商方案,在保证用户与支付系统的双向认证以及会话密钥的安全性的同时,能够抵抗口令猜测攻击、SD卡被盗攻击以及钓鱼软件攻击。     

可证明安全的随机密钥协商协议

主要研究随机密钥协商问题,针对Diffie-Hellman协议、SAKA协议和改进Lin协议、E-SAKA协议等存在的不具有认证功能和不能抵抗中间人攻击等缺陷,应用动态双向认证因子认证方法和非时间同步技术提出一种随机密钥协商协议,该协议适用于OTP动态口令系统设计,同时解决密钥协商过程中的动态认证和时间同步问题。最后,在标准模型下证明了方案的安全性。     

物联网中基于动态密钥轻量级RFID认证协议

针对物联网中感知层RFID系统信息及用户隐私易被泄露等问题,提出一种基于动态密钥轻量级RFID安全认证协议。该协议利用标签及读写器自身产生的随机数、CRC编码函数及一定算法生成动态密钥,并利用该密钥及加密算法来加密认证过程中的重要参数,确保数据传输过程中的机密性。运用BAN逻辑形式化分析方法对该协议安全性进行证明。通过对该协议的安全性、复杂性分析表明,该协议安全、可靠,运行效率较高,适合低成本RFID系统对应用安全的需要。     

基于动态身份远程用户认证方案的研究

针对基于动态身份远程用户认证,可有效防止用户关键信息泄露,保证已认证用户通过授权获取网络服务.针对Wen-Li提出的基于动态身份远程用户认证与密钥协商方案进行安全性分析,指出该方案存在安全缺陷,可能导致泄露用户部分关键信息,进而遭受网络攻击.在保留Wen-Li方案优点基础上提出一种改进的远程用户认证方案,重新设计了认证过程中的会话密钥和密钥确认消息,与Wen-Li方案相比,改进方案能够抵御中间人攻击以及盗窃智能卡攻击,并增强了方案的前向安全性.     

一种WLAN Mesh网络漫游接入认证协议

针对WLAN Mesh网络节点漫游接入过程中现有协议的不足,通过利用EMSA(efficient mesh security association)初始认证过程中所建立的安全链路和消息认证码技术,并引入修改后的DH(Diffie Hellman)密钥交换过程,提出了一种能有效满足漫游接入性能和安全性需求的接入认证协议。该协议不仅具有基本的SK(session key,会话密钥)安全属性,还具有较小的接入时延,能够适应Mesh网络拓扑变化的特性,在完成双向接入认证过程的同时,完成了密钥的生成,并能较好地隐藏终端节点的身份信息。     

3G认证和密钥分配协议的形式化分析及改进

介绍了第三代移动通信系统所采用的认证和密钥分配(AKA)协议,网络归属位置寄存器/访问位置寄存器(HLR/VLR)对用户UE(用户设备)的认证过程和用户UE对网络HLR/VLR的认证过程分别采用了两种不同的认证方式,前者采用基于"询问-应答"式的认证过程,后者采用基于"知识证明"式的认证过程.使用BAN形式化逻辑分析方法分别对这两种认证过程进行了分析,指出在假定HLR与VLR之间系统安全的前提下,基于"知识证明"式的认证过程仍然存在安全漏洞.3GPP采取基于顺序号的补充措施;同时,文中指出了另一种改进方案.     

基于手机令牌的移动应用双向身份认证方案研究

随着移动信息化的发展,移动应用的安全问题已成为用户关注的焦点。身份认证存在多种解决方案,其中动态口令技术是目前身份认证问题的最有效解决方案。在分析目前动态口令存在缺陷的基础上,提出了一种改进的基于手机令牌的挑战/应答动态口令身份认证方案,它以指纹作为令牌使用凭证,能双向可信认证,并以分段双通道方式进行加密通信。此外,对新方案进行了安全性分析。分析结果表明该方案具有安全性高、使用简便、成本低的特点,完全满足移动应用通信中安全级别较高的身份认证要求。     

基于嵌入微LINUX的开机安全认证系统

提出了一种高安全性的开机安全认证方法,该认证系统在硬盘上嵌入一个微Linux系统作为认证系统的载体,并且使用USB移动介质作为KEY盘来保存硬盘启动扇区、分区表、以及登录密钥等系统启动的必要信息,只有同时拥有密钥和KEY盘的合法用户才能通过验证并登录计算机系统.这种方法实现了重要信息如密钥和启动信息等与硬盘原始数据的独立存储,而且可以应用基于微Linux系统下性能优良的MD5和DES等加密算法,从而增强了开机认证的安全性.     

基于事件的一次性口令双向认证的实现

针对静态口令身份认证技术易受攻击的安全缺陷,在事件同步一次性口令产生机制的基础上,结合公钥密码体制,设计并实现了一种新的一次性口令双向认证方案。与传统的挑战／响应双向认证方案相比,该方案实现简单、执行效率高,适用于电子商务过程中的身份认证,能够实现网络环境下用户和服务器的双向认证,避免各种攻击,可以大大提高用户访问的安全性,有效保护用户信息。     

基于信任列表的可信第三方跨域认证模型

目前国内已有31家获得电子认证服务许可的第三方认证机构（certification authority,CA）,跨CA的信任和验证日益迫切。针对该问题,提出了一种基于信任列表的可信第三方跨域认证模型。该模型依托公钥基础设施（public key infrastructure,PKI）所提供的数字证书等安全服务,通过引入新的信任机制更好地管理和控制了可信根证书列表,既避免了传统信任列表模型的诸多缺点,又能够有效实现多CA互信互认。为支持这一跨信任域模型的实际运行,设计了相应的工作流程和多CA认证方案,并开发了多CA应用支撑模块,以及就其中的关键技术问题进行了详细论述。分析表明,该模型能够让应用系统灵活地动态兼容不同CA所颁发的数字证书,且在认证效率、安全性、实用性以及应用改造等方面均具有明显优势。      

基于AKA的IMS接入认证机制

IP多媒体子系统(IMS)作为3G网络的核心控制平台,其安全问题正面临着严峻的挑战。IMS的接入认证机制的实现作为整个IMS安全方案实施的第一步,是保证IMS系统安全的关键。基于认证和密钥协商(AKA)的IMS接入认证机制是由因特网工程任务组(IETF)制定,并被3GPP采用,广泛应用于3G无线网络的鉴权机制。此机制基于"提问/回答"模式实现对用户的认证和会话密钥的分发,由携带AKA参数的SIP消息在用户设备(UE)和IMS网络认证实体之间进行交互,按照AKA机制进行传输和协商,从而实现用户和网络之间的双向认证,并协商出后续通信所需的安全性密钥对。     

A mutual authentication and privacy mechanism for WLAN security

IEEE 802.11 wireless local area networks (WLAN) has been increasingly deployed in various locations because of the convenience of wireless communication and decreasing costs of the underlying technology. However, the existing security mechanisms in wireless communication are vulnerable to be attacked and seriously threat the data authentication and confidentiality. In this paper, we mainly focus on two issues. First, the vulnerabilities of security protocols specified in IEEE 802.11 and 802.1X standards are analyzed in detail. Second, a new mutual authentication and privacy scheme for WLAN is proposed to address these security issues. The proposed scheme improves the security mechanisms of IEEE 802.11 and 802.1X by providing a mandatory mutual authentication mechanism between mobile station and access point (AP) based on public key infrastructure (PKI), offering data integrity check and improving data confidentiality with symmetric cipher block chain (CBC) encryption. In addition, this scheme also provides some other new security mechanisms, such as dynamic session key negotiation and multicast key notification. Hence, with these new security mechanisms, it should be much more secure than the original security scheme. Copyright © 2006 John Wiley & Sons, Ltd.     

基于Diffie—Hellman的一次性口令认证方案

针对目前一次性口令的不足,借鉴质询/响应方案的思想设计了一种基于Diffie-Hellman的一次性口令认证方案.与传统方案相比,该方案不仅能够提供通信双方的相互认证,而且能够抵抗重放攻击、离线口令猜测攻击和假冒攻击,极大地增强了应用系统的安全性.     

一种RFID系统的Tag-Reader双向安全认证协议

为了保证RFID系统的信息安全,本文在分析现有RFID认证协议的基础上,提出一种基于Grain-Mac流密码加密算法的双向安全认证协议,采用流密码和密钥动态更新的方法实现了标签与阅读器的双向认证。仿真结果表明,该协议成本低、效率高、安全性好,且能够有效抵抗拒绝服务攻击,达到了预期的效果。     

视频监控设备身份认证机制的设计与实现

针对视频监控系统接入层中前端设备的身份安全问题,通过对会话初始协议(Session Initia-tion Protocol,SIP)进行研究和扩展,设计并改进了一种基于超文本传输协议(Hyper Text Transfer Pro-tocol,HTTP)摘要访问认证的SIP安全机制.前端设备在接入视频监控系统前,需要通过该安全机制与系统安全管理平台上的SIP服务器进行身份认证.认证双方基于公钥基础设施数字证书认证体系(Public Key Infrastructure/Certificate Authority,PKI/CA)获取对方的数字证书后解析公钥,在摘要认证的基础上使用公钥加密和私钥签名来保护认证序列的安全性,解密认证序列后通过异或校验和摘要校验实现双向身份认证.测试与分析结果表明,改进的安全机制能够抵御常见的SIP安全风险,实现设备与安管平台间的双向身份认证,在适当损失效率的情况下确保接入系统的设备身份合法可信.     

An Improved and Secure Two-factor Dynamic ID Based Authenticated Key Agreement Scheme for Multiserver Environment

The smart card based password authentication scheme is one of the most important and efficient security mechanism, which is used for providing security to authorized users over an insecure network. In this paper, we analyzed major security flaws of Jangirala et al.’s scheme and proved that it is vulnerable to forgery attack, replay attack, user impersonation attack. Also, Jangirala et al.’s scheme fail to achieve mutual authentication as it claimed. We proposed an improved two factor based dynamic ID based authenticated key agreement protocol for the multiserver environment. The proposed scheme has been simulated using widely accepted AVISPA tool. Furthermore, mutual authentication is proved through BAN logic. The rigorous security and performance analysis depicts that the proposed scheme provides users anonymity, mutual authentication, session key agreement and secure against various active attacks.