改进的跨域直接匿名认证方案

针对现有的直接匿名认证方案在不同信任域之间无法有效实现的问题,在原来直接匿名认证方案的基础上,设计了一种跨域的直接匿名认证方案,将外域的证书颁发者作为一个代理,直接由外域的证书颁发者颁发证书,有效解决了可信计算平台在不同信任域内的隐私保护问题;另外,对不同信任域内的可信计算平台进行了权限设计。经分析论证,改进的方案满足匿名性、不可伪造性和能够防范重放攻击,进一步提高了认证方案的执行效率。     

一种多信任域内的直接匿名证明方案

针对可信计算平台的原始直接匿名证明方案在多信任域的环境下存在的不足,提出了一种多信任域内的直接匿名证明方案.该方案扩展了原始的直接匿名证明方案,解决了可信计算平台在多信任域内的隐私性保护问题.利用理想系统/现实系统模型对该方案进行了安全性的分析和证明.分析表明,该方案满足匿名性和不可伪造性.最后分析方案的计算性能,实验验证了方案的有效性和可行性.     

无线移动网络跨可信域的直接匿名证明方案?

基于信任委托的思想,提出一种移动环境下的跨可信域的直接匿名(direct anonymous attestation,简称DAA)证明方案,采用代理签名技术和直接匿名证明方法,实现对移动终端在多可信域之间漫游时的可信计算平台认证,并在认证过程中协商会话密钥,增强了远程证明体系的安全性。利用 Canetti-Krawczyk(CK)模型对方案的认证协议的认证安全性和匿名安全性进行了形式化分析和证明。分析表明,该方案能够抵抗平台伪装攻击和重放攻击,其性能适用于无线网络环境。     

无线移动网络跨可信域的直接匿名证明方案

基于信任委托的思想,提出一种移动环境下的跨可信域的直接匿名(direct anonymous attestation,简称DAA)证明方案,采用代理签名技术和直接匿名证明方法,实现对移动终端在多可信域之间漫游时的可信计算平台认证,并在认证过程中协商会话密钥,增强了远程证明体系的安全性.利用Canetti-Krawczyk(CK)模型对方案的认证协议的认证安全性和匿名安全性进行了形式化分析和证明.分析表明,该方案能够抵抗平台伪装攻击和重放攻击,其性能适用于无线网络环境.     

可信计算平台认证机制研究

证明是可信计算的一个重要功能。该文介绍了可信计算组织在可信计算平台上采用的2种认证协议——可信第3方模型和直接匿名证明，分析了其优缺点。对于直接匿名证明，给出了实现应注意的问题和在企业内部网安全登录的应用实例，提出了为了获得更好的隐私性，可以对其进行扩展的方法。     

基于特定区间承诺值证明机制改进的DAA认证方案

针对目前可信计算平台直接匿名认证(DAA)机制的不足,提出一种改进的匿名认证方案。该方案先采用CA验证示证者的EK证书,协助示证者和DAA颁布者各自生成会话密钥,使DAA颁布者能够为示证者颁发秘密的DAA证书;然后示证者用两承诺值相等协议及CFT证明协议来证明承诺值位于某个特定区间的方法,向验证者证明其平台的真实合法性。分析表明,该方案具有较高的安全性,还具备不可欺骗性、匿名性、撤消性,效率更高。     

基于可信计算的P2P匿名通信系统

基于P2P的匿名通信网络在保证用户节点匿名的前提下,不能保证匿名节点的可信性,在介绍P2P匿名通信技术的基础上,将可信计算理论引入其中,提出基于可信计算的P2P匿名通信系统;利用可信计算理论中的硬件级可信平台模块和直接匿名证明理论,增加匿名节点可信性认证和监测环节,有效地解决了入网节点安全问题,使得基于P2P的匿名通信系统更加的安全和全面。     

适合可信计算环境基于口令的双向匿名认证密钥协商协议

如何保持双向匿名性是构建可信计算环境的核心问题之一,针对可信计算环境的特点,提出了一个基于口令的匿名认证密钥协商协议,并且在计算性Diffie-Hellman假设和存在强抗碰撞的单向杂凑函数条件下,基于随机预言机模型证明了该协议是安全的。另外,该协议可以有效抵抗字典攻击和资源耗尽型拒绝服务攻击。分析结果表明,该协议能够为密钥协商双方提供隐私保护,而且在执行效率方面明显优于VIET等其它方案     

基于可信计算平台的Web服务身份认证机制研究

本文针对当前较为常用的Web服务身份认证方法在安全性、执行效率上的不足,通过引入可信计算技术,结合DAA（直接匿名认证）协议,提出了一种基于可信计算平台的身份认证方法,并给出相应的安全性分析。     

基于可信计算的Ad hoc网络认证方案

针对在Ad hoc网络平台完整性证明方面存在的缺陷,基于可信计算技术提出一种认证方案。节点间通过直接匿名认证协议进行认证,利用平台配置寄存器值和存储测量日志进行平台证明,确认当前平台状态以及完整性,确保通信过程中节点平台的可信,消除了因平台完整性破坏带来的安全隐患,并且满足Ad hoc网络的动态拓扑和自组织特性。     

基于线性方程组的门限匿名认证方案

现有的很多匿名认证方案中,匿名认证过程较为复杂,匿名的可控性比较随意,针对这两个问题,在求解离散对数困难性的基础上,提出了一个新的门限匿名认证方案。借助线性方程组的求解理论,获得成员的秘密份额和公钥身份等信息;基于门限共享的思想,实现示证者身份的匿名认证和匿名追踪。该方案中认证者的匿名性、门限可追踪性以及身份的不可冒充性满足了匿名认证的安全需求,在电子商务、移动通信等众多领域将具有广阔的应用前景。     

可监管匿名认证方案

随着互联网中隐私保护技术的发展,身份认证已成为保护计算机系统和数据安全的一道重要屏障.然而,信息技术的快速发展使传统身份认证手段暴露出一些弊端,例如,区块链技术的兴起对身份认证提出了更高的要求,在认证身份的同时需要保护用户的身份隐私等.采用匿名认证技术可解决用户身份隐私泄露的问题,但目前大多数方案未考虑可监管的问题,一旦用户出现不诚信行为,很难进行追责,因此,需要在匿名认证过程中建立监管机制.针对以上问题和需求,主要设计了一种可监管的匿名认证方案,通过匿名证书的方式确定用户的资源访问权限和使用权限,同时,用户在出示证书时可选择性地出示属性,确保用户的隐私信息不过度暴露;此外,方案中引入监管机制,可信中心（CA）对匿名认证过程进行监管,一旦出现欺诈行为,可对相关责任人进行追责.该方案主要采用安全的密码学算法构建,并通过了安全性的分析证明,能够高效实现可监管的匿名身份认证,适宜在区块链（联盟链）和其他具有匿名认证需求和可监管需求的系统中使用.     

A Generic Framework for Anonymous Authentication in Mobile Networks

Designing an anonymous user authentication scheme in global mobility networks is a non-trivial task because wireless networks are susceptible to attacks and mobile devices powered by batteries have limited communication, processing and storage capabilities. In this paper, we present a generic construction that converts any existing secure password authen- tication scheme based on a smart card into an anonymous authentication scheme for roaming services. The security proof of our construction can be derived from the underlying password authentication scheme employing the same assumptions. Compared with the original password authentication scheme, the transformed scheme does not sacrifice the authentication effciency, and additionally, an agreed session key can be securely established between an anonymous mobile user and the foreign agent in charge of the network being visited. Furthermore, we present an instantiation of the proposed generic construction. The performance analysis shows that compared with other related anonymous authentication schemes, our instantiation is more effcient.     

车载自组织网络中一种有效的匿名认证方法

针对现有车载自组织网络（Vehicular Ad-hoc Network,VANET）匿名认证方案在网络规模较大时存在复杂性和执行效率方面的问题,提出了一种基于盲签名和组合公钥（Combined Public Key,CPK）算法的认证方案,并对该方案所包含的认证协议进行了详细描述。安全性和执行效率分析表明,与现有方案相比提出的匿名认证方案在保证用户匿名性的同时还具有较高的执行效率。     

更安全的匿名三因子多服务器身份认证协议研究

多服务器架构下的身份认证协议是远程认证的关键,但许多现有方案都存在潜在的攻击,未实现三因子安全性,忽略了匿名性。因此,需要指出其中的错误,并提出一个匿名的三因子方案。通过攻击者模型,攻击了温翔等人的方案,检验了新方案;使用椭圆曲线密码,保障认证阶段的核心安全性;使用模糊提取器与验证器,保护生物特征与口令;经与同类协议比较,分析了新协议的优势。分析表明,温翔等人的方案不能抵抗服务器仿冒用户,不具匿名性等。而新协议能有效防范智能卡丢失攻击、仿冒攻击等更多样的攻击,实现了匿名性、前向安全性等更全面的功能,计算效率也比前人提高了约14.8%。因此,可以应用于对安全性、可靠性要求较高的多服务器认证网络。     

Attribute-based authentication on the cloud for thin clients

We propose two new authentication schemes for the cloud that support private attribute-based authentication services. The basic scheme is non-anonymous attribute-based authentication scheme. The extended scheme of the basic scheme is fully anonymous attribute-based authentication scheme to realize full anonymity and unlinkability services. In the proposed schemes, a user is authenticated by the remote server if the intersection of the set of his/her assigned attributes and the server’s required attributes exceeds a satisfactory predefined level. Unlike existing attribute-based encryption and signature schemes that require the user to perform significant amount of elliptic curve bilinear pairings and modular exponentiations, and require the user to hold a significantly long decryption/signature key, in our schemes the user is not required to perform any bilinear pairings. With a fixed length private key, independent of the number of attributes, the cloud user performs only few exponentiations by which he/she is able to authenticate himself/herself to the remote server and establish a session key with the server with the condition that he/she satisfies a predefined level of the server’s attributes requirement. Therefore, our schemes are suitable for implementation on devices with limited resources. We provide the rigorous security of the proposed schemes and complexity analysis of our schemes. Finally, the security and performance comparisons of our schemes with the existing related schemes show that our schemes outperform other existing schemes.     

An Efficient Authentication Scheme for Access Control in Mobile Pay-TV Systems

In a mobile pay-TV system, a large number of messages are exchanged for mutual authentication purposes. In traditional authentication schemes, with one-to-one delivery, one authentication message per request is delivered from a head end system to subscribers. This results in the delivery of a large quantity of messages and therefore is inefficient and costly. Moreover, since most traditional schemes use an RSA-based signature for identity validation and nonrepudiation of communication, they suffer from high communication costs. Due to its wireless nature, mobile pay-TV is vulnerable to attacks during hand-off. As traditional schemes do not support hand-off authentication, they are insecure during hand-off. With these shortcomings, they are not suitable for mobile pay-TV. In this paper, we propose an innovative authentication scheme, in which, by providing one-to-many facility, only one authentication message for multiple requests is broadcasted from the head end system to subscribers. By employing bilinear property of pairing and elliptic curve cryptography, our scheme provides one-to-many facility in the case of multiple requests for the same service in a short period of time. This new scheme achieves better broadcast efficiency and performance on communication costs than traditional ones. Additionally, this scheme provides a hand-off authentication mechanism to protect the access of services while preventing attacks during hand-off; therefore, the scheme is more secure to support access control. Moreover, to provide anonymous authentication for protecting identity privacy, the scheme adopts an identity-based scheme while traditional schemes do not apply. The scheme inherits advantages of the identity-based scheme that a public key does not need to be certificated, the certification authority mechanism will not be needed and the key exchange overhead can be reduced. With these advantages of our scheme, it is well suited for mobile pay-TV system.     

TPM匿名认证机制的研究与应用*

分析了可信平台模块身份认证方案的匿名性机制,在修改直接匿名证言方案的基础上,提出了一个称为TOSS的可信在线服务系统设计方案.与传统在线服务系统相比,该系统是基于用户等级的,支持匿名访问、服务分级和时限控制,具有更好的安全性和服务进化功能.     

基于对的无线Ad hoc网络可追踪邻居匿名认证方案

为解决传统无线Ad hoc网络邻居匿名认证方案容侵性不佳以及难以锁定恶意节点身份的问题,提出一种基于双线性对的无线Ad hoc网络可追踪邻居匿名认证方案。采用基于身份的公钥系统,节点随机选择私钥空间中的数作为临时私钥,与身份映射空间的节点公钥以及一个公开的生成元模相乘得到临时公钥,利用双线性映射的性质协商会话密钥并实现匿名认证。通过在随机预言机模型下的形式化分析,表明本方案在BCDH问题难解的假设下可对抗攻击者的伪装行为,同时利用认证过程中交互的临时公钥可有效锁定恶意节点真实身份。