基于身份的远程用户认证方案

研究近期提出的2个远程用户认证方案,对其进行伪造攻击。利用基于身份的签名思想提出一个基于身份的远程用户认证方案,在实现动态认证的同时无须用户与远程服务器端交互,通信量小,远端服务器无须保存或维护任何口令或验证表,存储代价低,可以避免口令攻击、重放攻击、伪造攻击、中间人攻击等,安全性高。     

一种高效安全的动态口令认证方案

动态口令身份认证技术相对于传统的静态口令身份认证技术有更高的安全性.基于ElGamal公钥密码体制和挑战-应答机制,提出了一种新型的结合智能卡和指纹特征的动态口令身份认证方案,实现了服务器和用户之间的双向认证,该方案能够有效地防止重放攻击,并且可以抵御假冒服务器攻击.     

一种动态口令身份认证协议的设计与研究

动态口令用户认证机制是当前身份认证技术发展的一个重要方面,在分析了SAS-2和2GS两种动态口令用户认证协议的基础上,提出了一种更安全的动态口令用户认证协议。该协议不仅能有效地抵御SAS-2协议不能抵御盗取验证因子的攻击,而且纠正了2GS协议不能实现双向认证和抵御拒绝服务攻击的缺陷,有效地保护了用户的信息,提高了网络安全。     

抗凭证泄露攻击的图形口令认证方案

图形口令既可以减轻用户记忆传统文本口令的负担, 又可以简化用户输入口令的步骤, 近年来, 广泛应用于移动设备的用户认证. 现有的图形口令认证方案面临严峻的安全问题. 首先, 图形口令容易遭受肩窥攻击: 用户的登录过程被攻击者通过眼睛或者摄像头等方式偷窥导致图形口令泄露. 更为严重的是, 这类认证方案不能抵抗凭证泄露攻击: 服务器存储与用户图形口令有关的认证凭证并利用其验证用户身份, 攻击者如果得到服务器保存的凭证就可以通过离线口令猜测攻击恢复用户图形口令. 为了解决上述问题, 提出了一个安全的图形口令认证方案(GADL). GADL方案通过将随机的挑战值嵌入到用户的图形口令来抵御肩窥攻击, 因此攻击者即使捕获了用户的登录信息也无法得到用户图形口令. 为了解决服务器凭证数据库泄露问题, GADL方案采用了一种确定性的门限盲签名技术来保护用户图形口令. 该技术利用多个密钥服务器来协助用户生成凭证, 使得攻击者即使获得凭证也无法实施离线猜测攻击来获得用户口令. 给出的安全性分析证明了GADL方案可以抵抗上述攻击. 此外, 给出了全面的性能分析表明GADL方案在计算、存储和通信开销这3个方面性能较高, 且在移动设备上易于部署.     

基于口令的身份认证系统研究

阐述了基于静态口令与动态口令身份认证系统的工作原理,针对网络窃听、截取/重放、字典攻击、伪造服务器攻击、口令泄露等几种常见网络攻击手段,对两种认证方案的安全性和优缺点进行了分析,指出了动态口令在身份认证领域的优势和未来的发展前景。     

无双线性对的动态口令认证与密钥协商方案

提出了一种椭圆曲线密码体制下基于身份的双向认证方案,用于解决基于移动终端的动态口令机制身份认证方案在双向认证和会话密钥方面的不足。该方案使用移动端令牌生成动态口令,采用三次握手原理实现身份认证,支持安全会话密钥协商、一次性口令、双向认证和轻量级服务器存储。分析表明,该方案可以抵抗针对移动终端口令认证方案的常见攻击,安全有效,满足安全设计目标。     

基于ECC的PostgreSQL口令认证的研究与改进

口令认证技术是最常用的身份认证技术,它可分为两类:静态口令和动态口令.介绍了PostgreSQL 口令认证的原理,虽然PostgreSQL口令认证机制在一定程度上采用了动态口令认证方式,但是其口令认证方式仍然存在不能抵抗字典攻击以及冒充攻击等局限性.其次基于椭圆曲线,对PostgreSQL口令认证机制进行了改进,提出了一种可以弥补PostgreSQL 口令认证机制存在上述漏洞的改进方案.结果表明改进方案能够进行双向认证,有效地防止冒充攻击、重放攻击和字典攻击,提高了PostgreSQL口令认证机制的安全性.     

基于口令的认证密钥交换协议

提出一种基于(t, n)门限秘密共享技术的分布式口令认证密钥交换方案。用户口令的验证密钥通过秘密共享方案在服务器组内进行分配,验证任务需要t个服务器协调来完成,任意t-1个服务器合谋无法获得诚实服务器关于口令验证的任何信息。动态生成每个服务器的局部密钥,保证了方案的前向安全性。通过身份认证的各用户之间以对服务器组保密的方式交换会话密钥。该方案在DDH假设下被证明是安全的。     

带惩罚因子的动态口令认证机制

计算机安全保密中的认证是用于鉴别用户身份的。常规的基于口令的认证机制不具备防口令猜测性，为此，本文提出了带惩罚因子的认证方案，通过对输入错误的分析，区分真正用户与入侵者进而对可能入侵者施行罚性的输入。此外，为了防止窃密者通过观察操作者的动作来获取口令，提出了动态口令输入法。     

基于动态ID的远程用户身份认证方案

用户身份认证作为网络安全和信息安全的第一道屏障,有着非常重要的作用.口令与智能卡相结合的认证方式可以克服传统口令认证方式的诸多弊端,能够提高网络和信息系统整体的安全性.对基于动态ID的远程用户身份认证方案进行了分析,指出了该方案在入侵者持有用户智能卡的情况下,即使不知道用户口令也能够伪装成合法用户通过远程系统的身份验证,获取系统的网络资源.提出了一种改进方案,能有效抵御重放攻击、伪造攻击、口令猜测攻击、内部攻击和伪装攻击.     

口令重用行为与多维口令体系研究

互联网的迅速发展与网络服务的高度分散,促使广大网民不断注册更多的账户,并导致口令重用行为普遍化,使得用户信息面临泄露的风险。为此,基于2011年底互联网泄密门数据和大学生在线调查数据,分析了网民口令的结构特征和重用行为,并由此设计融入信息维度和分级管理思想的多维口令体系。该体系以根口令-重用码结构为基础,内容维包含多个独立的信息因子,构成口令的可记忆性主体;形式维负责形式变换,以提升口令的复杂性和安全性;时空维用于保障口令的时效性和重用性。对比量化分析结果表明,该口令体系具备良好的记忆性和便捷性,能有效抵御暴力攻击和熟人攻击。     

基于线性代数的登录口令生成与验证算法研究

计算机或网络中的一些信息系统需要获得一定的授权才能使用,而且很多授权都有一定的使用期限,例如登录口令。通过提供不同的授权可以控制用户对信息系统的使用权。阐述了一种基于线性代数的口令生成及验证的方法,并对此方法的安全性进行了论证。     

动态字典破解用户口令与安全口令选择

口令认证一直是最主要的身份认证方式。考虑到口令要满足口令策略和易记忆的要求,用户常常会将个人信息组合起来作为口令。因此,为了调查此类口令的比例,以2011年泄露的四种真实口令集为实验素材,预先设定口令的组合结构和格式,使用程序统计使用个人信息组合作为口令的比例。实验结果表明,使用姓名、电话号码、特殊日期等信息组合而成的口令比例为12.41%~25.53%。根据这一规律,提出了动态字典攻击。攻击者可以在获得用户部分个人信息后,生成具有针对性的动态字词典,并以此来破解用户口令。最后,还讨论了如何选择口令以防止攻击者通过动态字典破解用户口令。     

Hybritus: a password strength checker by ensemble learning from the query feedbacks of websites

Password authentication is vulnerable to dictionary attacks.Password strength measurement helps users to choose hard-to-guess passwords and enhance the security of systems based on password authentication.Although there are many password strength metrics and tools,none of them produces an objective measurement with inconsistent policies and different dictionaries.In this work,we analyzed the password policies and checkers of top 100 popular websites that are selected from Alexa rankings.The checkers are inconsistent and thus they may label the same password as different strength labels,because each checker is sensitive to its configuration,e.g.,the algorithm used and the training data.Attackers are empowered to exploit the above vulnerabilities to crack the protected systems more easily.As such,single metrics or local training data are not enough to build a robust and secure password checker.Based on these observations,we proposed Hybritus that integrates different websites'strategies and views into a global and robust model of the attackers with multiple layer perceptron(MLP)neural networks.Our data set is comprised of more than 3.3 million passwords taken from the leaked,transformed and randomly generated dictionaries.The data set were sent to 10 website checkers to get the feedbacks on the strength of passwords labeled as strong,medium and weak.Then we used the features of passwords generated by term frequency-inverse document frequency to train and test Hybritus.The experimental results show that the accuracy of passwords strength checking can be as high as 97.7%and over 94%even if it was trained with only ten thousand passwords.User study shows that Hybritus is usable as well as secure.     

密码创建方案①

密码是计算机安全的重要组成部分,是保护用户各类账号的前线。本方案的目的在于建立一个创建强密码,保护这些密码以及更换频率的标准。内容有密码的安全性,密码保护标准,密码构造指导方针等。研究了用于个人、基于家用的机器、与工作相关的网络系统的密码方案。     

Impact of restrictive composition policy on user password choices

This study investigates the efficacy of using a restrictive password composition policy. The primary function of access controls is to restrict the use of information systems and other computer resources to authorised users only. Although more secure alternatives exist, password-based systems remain the predominant method of user authentication. Prior research shows that password security is often compromised by users who adopt inadequate password composition and management practices. One particularly under-researched area is whether restrictive password composition policies actually change user behaviours in significant ways. The results of this study show that a password composition policy reduces the similarity of passwords to dictionary words. However, in this case the regime did not reduce the use of meaningful information in passwords such as names and birth dates, nor did it reduce password recycling.     

中文语境下的口令分析方法

针对目前口令语义分析挖掘主要针对英文口令，且局限于常见的单词或姓氏等口令单元的问题，在中文语境下，利用古诗、成语建立模式库，使用口令字符串的数据分析技术，提出了一种基于已知口令元的中文语境口令分析方法。首先，识别出已知口令元；然后，将其视作单个口令自由度；最后，计算给定攻击成功率下的自由度攻击成本，得出口令安全性的量化数值。设计实验对大量明文口令进行量化分析之后，可知在使用中文语境的口令中，80%的用户口令不具有高安全性，能够被字典攻击轻易攻破。     

基于动态口令的身份认证方法

本文提出了一种采用安全单钥管理技术,在客户机和认证中心两端建立加密和认证协议,将用户在客户机端输入的静态口令和认证系统自动生成的静态口令,通过密钥元素代替表,代替成一次一变的认证密钥,再生成动态口令实现身份认证,从而,建立基于动态口令身份认证系统.     

密码装备应用技术发展研究

文章分析了密码装备技术发展的主要特点,对构建网络环境下的信息安全密码保障体系、密码算法、密码系统安全理论、密码测评和安全性分析技术等方面进行了研究探讨。     

基于集成学习的口令强度评估模型

针对现有的口令评估模型通用性差,没有一个可以对从简单口令到非常复杂口令都适用的评估模型的问题,设计了一种基于多模型的集成学习的口令评估模型。首先,使用真实的口令训练集训练多个现有的口令评估模型作为子模型;其次,将多个经过训练的子模型作为基学习器进行集成学习,采用偏弱项投票法的结合策略实现各个子模型的优势集成;最后,实现一个以高准确性为前提的通用口令评估模型。实验中使用网络泄露的真实用户口令数据集作为实验数据,实验结果表明,基于多模型集成学习模型针对不同复杂程度的口令进行口令强度评估,其评估结果准确率高、通用性强,所提模型在口令评估方面具有较好的适用性。