基于层级化身份的可证明安全的认证密钥协商协议

目前基于身份的认证密钥协商协议均以单个私钥生成器(PKG)为可信第三方,但这种系统结构难以满足身份分层注册与认证需求。该文以基于层级化身份的加密(HIBE)系统为基础重构了私钥的组成元素,并利用椭圆曲线乘法循环群上的双线性映射提出一个基于层级化身份的认证密钥协商协议,为隶属于不同层级的云实体提供了安全的会话密钥协商机制。基于CDH(Computational Diffie-Hellman)与GDH(Gap Diffie-Hellman)假设,该文证明了新协议在eCK模型下具有已知密钥安全性、前向安全性和PKG前向安全性,并且能够抵抗基于密钥泄露的伪装攻击。     

基于身份的认证密钥协商协议的安全分析与改进

对基于身份的标准模型下可证明安全的认证密钥协商协议进行安全性分析,发现恶意的密钥生成中心(PKG,pfivate key generator)能计算出所有的会话密钥,即它在无会话密钥托管模式下不满足PKG前向安全性.因此,为满足无托管的要求,提出一个改进的基于身份的认证密钥协商协议,并在标准模型下证明其为安全的认证密钥协商协议.结果表明,改进后协议满足完善前向安全性和PKG前向安全性.     

一种基于移动公网的安全专网认证与密钥协商方案

针对移动公网保障端到端安全的不足,提出了一种基于改进的Diffie-Hellman密钥交换协议机制的安全专网认证和密钥协商设计方案。该方案可以在终端接入移动公网的基础上,实现通信双方端到端的相互认证,同时协商出独立于网络的密钥。性能分析表明,该方案结构简单,安全高效,符合移动通信系统的要求。     

不同PKG环境下可证安全的基于身份AKA协议

目前大多数基于身份认证密钥协商协议需要参与协议双方在同一个PKG环境下,而实际应用中需要在不同PKG环境下的用户之间也能进行安全通信。该文结合twin Diffie-Hellman问题提出了一个全新的不同PKG环境下的基于身份认证密钥协商协议。利用Cash等人在2008年欧密会上提出的trapdoor test技术在eCK模型中将新协议的安全性规约到标准的CDH和BDH 假设。     

一个新的广播信道会议密钥协商协议

群组用户试图在开放式网络上进行安全通信时,需运行一个会议密钥协议来支持一个共同的会议密钥K.本文中,利用基于MDS码(Maximum Distance Code,极大最小距离可分码)的秘密共享方案作为基本构件,提出了一个新颖高效、可证明安全的广播信道下会议密钥协商协议.该协议在广义的Diffie-Hellman Problem(DHP)困难假设下,被动攻击者得不到任何有关诚实参与者协商出的会议密钥的信息;且无论存在多少恶意参与者,诚实参与者一定能够协商出一共同的会议密钥.     

高效的匿名的基于口令的认证密钥协商协议

基于口令的密钥协商协议可以为网络上仅共享一个口令的通信双方建立会话密钥.提出了一个基于口令的认证密钥协商协议,并且对所提出的协议安全性进行了分析,分析结果表明该协议在计算性Diffie-Hellman假设下,可以抵抗字典攻击.该协议能够为用户提供隐私保护并且实现非关联性,而且,该密钥协商协议能够抵抗拒绝服务攻击.     

标准模型下高效的基于口令认证密钥协商协议

基于口令的认证密钥协商协议是利用预先共享的口令协商安全性较高的密钥。现有的基于口令认证密钥协商协议大多需要较大的计算量,或者只在随机预言模型下证明了协议的安全性。该文提出了新的标准模型下基于口令密钥协商协议,协议只需要一个生成元。 与其它标准模型下的协议相比,新协议不需要CPA或CCA2安全的加密方案,因而具有计算复杂度低和协议描述简单的特点。相对于殷胤等人在标准模型下可证安全的加密密钥协商协议一文中提出的协议,新协议将指数运算降低了64%。最后,基于DDH假设,在标准模型下证明了协议的安全性。     

可证明安全的随机密钥协商协议

主要研究随机密钥协商问题,针对Diffie-Hellman协议、SAKA协议和改进Lin协议、E-SAKA协议等存在的不具有认证功能和不能抵抗中间人攻击等缺陷,应用动态双向认证因子认证方法和非时间同步技术提出一种随机密钥协商协议,该协议适用于OTP动态口令系统设计,同时解决密钥协商过程中的动态认证和时间同步问题。最后,在标准模型下证明了方案的安全性。     

安全的认证密钥协商协议研究

对基于证书的密钥协商协议的设计与分析进行了比较深入的研究,研究内容包括：可证明安全的基于证书的密钥协商协议以及一种新的可认证密钥协商协议。主要研究成果有：介绍了密钥协商协议的概念和安全特性;提出一个新的认证密钥交换协议AKE-1。AKE-1效率较高,并且在最新的eCK07模型下是安全的,证明基于随机预言假设和CDH假设。另外,基于AKE-1,提出一轮的变体（满足只有一个实体在线）和三轮的变体（提供密钥确认属性）,以满足不同的应用。     

多属性机构环境下的属性基认证密钥交换协议

已有基于属性的认证密钥交换协议都是在单属性机构环境下设计的,而实际应用中不同属性机构下的用户也有安全通信的需求。该文在Waters属性基加密方案的基础上提出了一个多属性机构环境下的属性基认证密钥交换协议,并在基于属性的eCK(extended Canetti-Krawczyk)模型中将该协议的安全性归约到GBDH(Gap Bilinear Diffie-Hellman)和CDH(Computational Diffie-Hellman)假设,又通过布尔函数传输用线性秘密共享机制设计的属性认证策略,在制订灵活多样的认证策略的同时,显著地降低了通信开销。     

基于公钥的可证明安全的异构无线网络认证方案

该文针对3G-WLAN异构网络的接入安全,对异构网络的实体进行抽象,建立了一种通用的认证模型。在该模型的基础上,利用Canetti-Krawczyk (CK)模型设计了一种新的接入认证与密钥协商方案。该方案利用公钥基础设施分配公钥,简化接入端服务器和归属端服务器间的认证过程和认证信息;利用椭圆曲线密码机制,减少了移动终端的认证计算量;最后利用CK模型对提出的协议进行了形式化分析和证明。分析表明该方案是安全有效的。     

Internet网络环境中认证与密钥分配的研究

本文根据ＩＳＯ制定的ＯＳＩ安全结构，提出了一种解决ｉｎｔｒａｎｅｔ安全性问题的全面安全模式，并设计了一个适用于Ｉｎｔｅｒｎｅｔ环境的认证与密钥分配协议；新协议采用分层机制，在低层利用ｉｎｔｒａｎｅｔ本地网的已有认证与密钥分配协议，在高层则采用双钥密码体制来设计跨ｉｎｔｒａｎｅｔ的认证与密钥分配协议。新协议与已有密码协议有很好的兼容性，且不降低原协议的安全性，并为ｉｎ－ｔｒａｎｅｔ的各种远程访问提供安全保护，有利于网络的安全管理     

一种WLAN Mesh网络漫游接入认证协议

针对WLAN Mesh网络节点漫游接入过程中现有协议的不足,通过利用EMSA(efficient mesh security association)初始认证过程中所建立的安全链路和消息认证码技术,并引入修改后的DH(Diffie Hellman)密钥交换过程,提出了一种能有效满足漫游接入性能和安全性需求的接入认证协议。该协议不仅具有基本的SK(session key,会话密钥)安全属性,还具有较小的接入时延,能够适应Mesh网络拓扑变化的特性,在完成双向接入认证过程的同时,完成了密钥的生成,并能较好地隐藏终端节点的身份信息。     

移动互联网安全接入机制研究

文中关注移动互联网网络接入安全性,介绍移动互联网面临的安全威胁,研究移动互联网的网络结构和接口协议,提出跨网系的统一认证与授权管理技术,阐述网络接入安全需求,针对EAPSIM和EAP-AKA两种安全机制,分析网络接入鉴权与密钥协商流程,以及演进分组核心网络各网元设备功能,实现用户和网络之间的认证性、机密性和完整性的安全防护,为移动互联网网络安全体制建设提供理论依据与技术支撑。     

基于AKA的IMS接入认证机制

IP多媒体子系统(IMS)作为3G网络的核心控制平台,其安全问题正面临着严峻的挑战。IMS的接入认证机制的实现作为整个IMS安全方案实施的第一步,是保证IMS系统安全的关键。基于认证和密钥协商(AKA)的IMS接入认证机制是由因特网工程任务组(IETF)制定,并被3GPP采用,广泛应用于3G无线网络的鉴权机制。此机制基于"提问/回答"模式实现对用户的认证和会话密钥的分发,由携带AKA参数的SIP消息在用户设备(UE)和IMS网络认证实体之间进行交互,按照AKA机制进行传输和协商,从而实现用户和网络之间的双向认证,并协商出后续通信所需的安全性密钥对。     

一种泛在网络的安全认证协议

泛在网络是标准的异质异构网络,保证用户在网络间的切换安全是当前泛在网的一个研究热点。该文对适用于异构网络间切换的认证协议EAP-AKA进行分析,指出该协议有着高认证时延,且面临着用户身份泄露、中间人攻击、DoS攻击等安全威胁,此外接入网络接入点的有效性在EAP-AKA协议中也没有得到验证,使得用户终端即使经过了复杂的认证过程也不能避免多种攻击。针对以上安全漏洞,该文提出一种改进的安全认证协议,将传统EAP-AKA的适用性从3G系统扩展到泛在网络中。新协议对传播时延和效率进行完善,为用户和接入点的身份信息提供有效性保护,避免主会话密钥泄露,采用椭圆曲线Diffie Hellman算法生成对称密钥,在每次认证会话时生成随机的共享密钥,并实现用户终端与家乡域网络的相互认证。通过开展实验,对协议进行比较分析,验证了新协议的有效性及高效率。     

适用于Intranet的分层鉴别与密钥分配协议

根据ISO制定的网络安全结构,结合Internet的具体特点,提出了一种解决Internet安全性的安全模式,并设计了一个适用于Internet环境的鉴别与密钥分配协议。新协议采用分层机制,在低层利用Intranet的已有鉴别与密钥分配协议,在高层则采用双钥密码体制设计了一个跨Intranet的鉴别与密钥分配协议。该协议不必更换客户机原有的应用软件,只需增加一个网际鉴别服务器,在原鉴别服务器的数据库中增添网际鉴别服务器的密钥即可实现跨Intranet保密通信。新协议与已有协议有很好的兼容性,安全性高,有利于网络的安全管理,并可以在各种远程访问中建立Intranet间的端—端保密通信。     

LPPA: Lightweight privacy‐preservation access authentication scheme for massive devices in fifth Generation (5G) cellular networks

Because of the requirements of stringent latency, high‐connection density, and massive devices concurrent connection, the design of the security and efficient access authentication for massive devices is the key point to guarantee the application security under the future fifth Generation (5G) systems. The current access authentication mechanism proposed by 3rd Generation Partnership Project (3GPP) requires each device to execute the full access authentication process, which can not only incur a lot of protocol attacks but also result in signaling congestion on key nodes in 5G core networks when sea of devices concurrently request to access into the networks. In this paper, we design an efficient and secure privacy‐preservation access authentication scheme for massive devices in 5G wireless networks based on aggregation message authentication code (AMAC) technique. Our proposed scheme can accomplish the access authentication between massive devices and the network at the same time negotiate a distinct secret key between each device and the network. In addition, our proposed scheme can withstand a lot of protocol attacks including interior forgery attacks and DoS attacks and achieve identity privacy protection and group member update without sacrificing the efficiency. The Burrows Abadi Needham (BAN) logic and the formal verification tool: Automated Validation of Internet Security Protocols and Applications (AVISPA) and Security Protocol ANimator for AVISPA (SPAN) are employed to demonstrate the security of our proposed scheme.     

基于5G用户卡的5G接入认证分析及试验

用户卡承载移动用户身份标识和网络接入认证的重要功能。5G SA网络在接入认证方面新增不同于4G网络的用户隐私保护、EAP-AKA'认证/5G AKA认证、5G密钥体系及5G安全上下文等特性,这些特性对5G用户卡提出新的要求。本文首先介绍5G SA网络的安全模型,然后介绍5G用户卡为支持5G接入认证特性所支持的的SUCI、双向认证、新增卡文件及服务等功能,在此基础上介绍5G SA实验网络中开展的基于5G用户卡的接入认证试验及其成果。     

一种基于VANET典型应用的安全鉴别机制

针对车联网中存在的信息安全问题,阐述了车载环境无线接入的安全鉴别研究现状,并提出了一种基于车载自组网（VANET）典型应用的安全鉴别机制,为解决车联网中通信的安全性和时效性冲突问题给出了一种思路。