一种基于动态令牌的双向认证方案

针对静态口令身份认证技术的安全缺陷,在动态令牌产生机制的基础上,笔者结合双向认证技术的特点,设计了一种新的动态令牌双向认证方案。与传统的双向认证方案相比,该方案实现简单、执行效率高,能够实现网络环境下用户和服务器的双向认证,减少了服务器的开销,能够避免各种攻击,大大提高了用户访问的安全性,能够有效保护用户信息安全。     

基于手机令牌方式的动态身份认证系统

本文提出基于手机令牌方式的动态身份认证系统，该系统在手机令牌和认证服务器上分别独立地产生同步动态认证密码。系统定义了安全身份认证协议，通过该协议解决了手机令牌认证服务器的同步校正问题，并且用户能够使用手机“短信”，完成认证服务、帐号解锁、取消动态身份认证服务和无线报警提示等功能。系统具有使用成本低，稳定性高，便于用户使用的特点，并能够主动有效地发现非法用户的假冒攻击行为。     

飞天诚信推出二合一身份认证产品：OTP c400

近日,飞天诚信最新发布动态令牌、USB Key二合一身份认证产品——OTP c400动态令牌,这是一款以智能卡芯片为核心,结合USB Key和动态口令技术的复合身份认证产品,能够同时实现USB Key和动态令牌功能,联机时可使用PKI签名加解密、脱机时可使用动态口令进行身份认证,有效防止身份盗用、冒用以及身份欺诈,为客户提供功能齐全、安全性高的身份认证解决方案。OTPc 400采用无驱型USB接口的智能卡芯片,集成多种强身份验证方法,结合全球卓越的USB与动态口令解决方案,遵循公认的OATH标准算法并提供高度安全的RSA1024位密钥的内置支持,有效降低用户潜在损失风险。     

可定制的身份认证功能组件的设计与实现

鉴于各种身份认证方式原理的复杂性和认证形式的多样性,分别通过模块化方法和控件式开发方法,设计并实现了各种认证参数均由用户设定,而具体的认证过程又完全透明的具有可定制功能的身份认证组件.组件为用户提供了通行字认证方式、零知识认证方式、基于生物特征的认证方式和基于令牌的认证方式.组件可以为身份认证方案技术的开发人员节省程序编写时间,方便那些对认证理论不太了解的用户集成身份认证功能模块.     

基于私有目录容器的用户数据文件保护方法

由于管理员等特权用户的存在,用户私有数据文件难以得到有效的保护。为真正做到用户的私有数据文件被用户自身所控,包括管理员在内的其他任何人均不能访问,建立包括用户令牌属性的私有目录容器,并在操作系统内核强制访问控制框架下设计实现基于用户令牌的私有目录容器访问控制机制,为用户自身私有数据文件的安全访问提供保护。只有私有目录容器属主才能访问该目录容器内的数据文件,任何其他用户均无权访问。进程的用户令牌只能通过身份认证获取,可有效防止通过用户身份仿冒获取容器属主身份,从而有效保护用户私有数据文件的安全。     

基于动态信任值的智能手机隐式认证方案

在智能手机隐私安全领域,隐式认证具有高安全性、友好交互体验等优点,但存在行为特征采集不便、认证模型复杂的问题。提出一种基于动态信任值的分级隐式认证方案。利用机器学习方法进行模型训练,提取用户划屏行为特征作为前级认证数据,并将前级输出概率经信任值检测作为后级认证数据,进而得到最终认证结果。同时基于真实用户历史认证变化的稳定性和连续性,通过计算一定时间窗口内的认证概率均值作为动态信任更新值,使信任值在真实用户认证结果变化范围内波动。实验结果表明,该方案的分类准确率达到98.63%,等错误率仅为3.43%,与只包含前级认证的方案相比准确性更高,并且能够有效阻挡冒名者非法使用手机。     

基于Fingercode和同态加密的指纹认证方案

针对开放网络中进行指纹身份认证时的双方指纹隐私保护问题,提出了基于Fingercode和同态加密的指纹认证方案。相较传统方案,该方案中服务器端模板以加密形式保存,保护了用户指纹数据的安全性;设计了安全认证协议,使得服务器和用户可以联合计算双方指纹特征的距离而不会泄露各自特征数据的隐私。协议中采用了数据打包技术,能够明显减轻服务器与用户之间的通讯压力和计算复杂度。分析和实验结果表明,该方案具有安全性和一定的实用性。     

一种安全增强型无线认证与密钥协商协议

针对当前3G网络身份认证与密钥协商方案存在扩展性差、用户身份信息易泄露的问题,提出一种基于无线公钥体制的安全增强型无线认证与密钥协商协议,实现实体间的双向身份认证,保护空中接口及有线通信链路,防止用户和接入网络身份标识泄露。该方案支持数字签名,可提供不可否认性业务。形式化方法验证分析表明,该协议能够满足安全需求。     

RSA用户认证系统

RSA 公司建立在“双因素认证”基础上的用户认证系统 RSA 安全解决方案,可以向授权的员工发放单独登记的设备,以生成个人使用令牌代码,这一代码可以根据时间而变化。每60秒就会生成一个不同的令牌代码,保护网络的认证服务器能够验证这个变化的代码是否有效。每个认证设备都是唯一的,别人无法通过记录以前的令牌代码来预测将来的代码。服务器、客户端和中间代理软件协同工作,局域网、远程拨号、Internet/VPN连接或 Intranet/Extranet 应用中的用户认证,都可以通过 RSA 认证服务器完成。当用户试图访问受保护的系统时,连接设备中内置的 RSA 代理软件将启动一个认证会话,而不是基本密码会话。大多数领先的远程访问服务器、防火墙、VPN、路由器、Internet 服务器和 Internet 浏览器产品都内置了与 RSA 认证服务器双因素认证系统的兼容能力;此外,TACACE+和RADIUS 认证系统均支持 RSA 认证服务器会话。     

基于Restful的身份认证服务

利用Restful Web服务技术,设计一种身份认证服务。该服务将身份认证发布为Rest服务,供本地用户和远程用户调用,同时采用加密令牌方式将用户认证信息保存客户端的令牌中,应用服务不再使用Session保存认证用户信息,而是通过解密令牌密文获取认证用户信息,既保证用户的信息安全,又使得应用服务器具有良好的动态伸缩性。     

基于J2EE Web服务的统一用户身份认证系统的研究与设计

通过研究和探讨J2EE Web服务技术,并结合单点登录、SSL等技术,建立了中小企业信息化服务平台中的统一用户身份认证系统。利用基于MVC的Struts技术实现了系统的架构;通过采用基于Session的用户会话跟踪技术,实现了统一认证服务的认证令牌;采用基于SSL的安全机制,保护了数据在传输时的完整性;另外,还研究了使用Web服务技术来进行各应用子系统的集成,实现了各应用子系统统一用户身份的认证。     

一种基于联盟链的物联网匿名交易方案

针对物联网终端交易的跨平台、去中心化、隐私、安全需求,提出基于联盟链的匿名交易方案,确保用户身份隐匿。通过划分基础域和互联域实现中心化身份认证和去中心化交易;对身份认证,提出基于Merkle树的双因素认证方案,实现各节点身份与消息的去耦;针对通信中明文消息暴露用户身份问题,提出基于CoinJoin思想的聚合签名隐私保护方案,混淆交易身份,以抵抗身份关联分析攻击;最后针对一致性和记账权问题,提出基于信誉评价策略的共识机制。安全性与效率分析表明,所提方案能以较低存储和计算开销保护终端身份隐私。     

可监管匿名认证方案

随着互联网中隐私保护技术的发展,身份认证已成为保护计算机系统和数据安全的一道重要屏障.然而,信息技术的快速发展使传统身份认证手段暴露出一些弊端,例如,区块链技术的兴起对身份认证提出了更高的要求,在认证身份的同时需要保护用户的身份隐私等.采用匿名认证技术可解决用户身份隐私泄露的问题,但目前大多数方案未考虑可监管的问题,一旦用户出现不诚信行为,很难进行追责,因此,需要在匿名认证过程中建立监管机制.针对以上问题和需求,主要设计了一种可监管的匿名认证方案,通过匿名证书的方式确定用户的资源访问权限和使用权限,同时,用户在出示证书时可选择性地出示属性,确保用户的隐私信息不过度暴露;此外,方案中引入监管机制,可信中心（CA）对匿名认证过程进行监管,一旦出现欺诈行为,可对相关责任人进行追责.该方案主要采用安全的密码学算法构建,并通过了安全性的分析证明,能够高效实现可监管的匿名身份认证,适宜在区块链（联盟链）和其他具有匿名认证需求和可监管需求的系统中使用.     

基于分离机制网络的可信域内快速认证协议

分离机制网络明确地分离了主机身份与位置信息,将互联网体系划分为接入网与核心网两大类,很好地解决了互联网的扩展性和移动性等问题.基于分离机制网络,结合可信计算技术,提出一种终端域内切换时的快速认证方案,在对终端用户身份进行认证的同时,对终端平台进行身份认证和完整性校验.在本方案中,终端进行域内切换时不需要本域的认证中心再次参与,仅由接入交换路由器通过Token即可完成认证.认证过程可以保持用户身份和平台信息的匿名性,减轻了认证中心的负担.与其他方案相比,本方案在认证开销、认证延迟以及安全性等方面均有明显优势.安全性分析结果表明本方案是安全高效的.     

Enhanced authentication for outsourced educational contents through provable block possession

In recent years, the volume of educational contents has been explosively increased thanks to the rapid development of multimedia technologies. Furthermore, the development of smart devices has made various educational institutes use them as effective learning tools. Since more and more educational contents become available not only at school zone but at a variety of online learning systems, it becomes increasingly unaffordable for a single educational contents provider to store and process them locally. Therefore, many educational contents providers are likely to outsource the contents to cloud storage for cost saving. These phenomena raise one serious concern: how to authenticate educational contents users in a secure and efficient way? The most widely used password-based authentication suffers from numerous drawbacks in terms of security. Multi-factor authentication protocols based on diverse communication channels such as SMS, biometric, hardware token could enhance security, however they inevitably bring poor usability. To this end, we present a data block-based authentication scheme, which provides provable security and guarantees usability invariant such that users do nothing but entering a password. In addition, the proposed scheme supports efficient user revocation. To the best of our knowledge, our scheme is the first data block-based authentication scheme for outsourced educational contents that is provably secure without usability degradation. The experiment on Amazon EC2 cloud shows that the proposed scheme guarantees nearly constant time for user authentication.     

面向智能家居的区块链轻量级认证机制

5G技术为智能家居行业开拓了更大的发展空间,但安全问题也日益突出,用户身份认证作为信息安全防护的第一道关卡备受关注.智能家居系统传统的认证方法存在中心化信任挑战,且资源开销大.区块链技术因其去中心化、不可篡改等优势成为研究热点,为实现分布式智能家居系统安全认证提供了新思路.但无中心认证面临着用户与多个分布式终端认证的效率问题和用户隐私泄露问题两个方面的挑战.提出了一种基于区块链的动态可信轻量级认证机制(dynamic trusted lightweight authentication mechanism, DTL). DTL机制采用联盟链构建区块链系统,既保证了仅授权的智能家居传感器节点可加入网络,又满足分布式高效认证和安全访问需求.DTL具有以下优点:(1)针对认证效率问题,通过改进共识算法建立面向智能家居的动态可信传感设备组(DTsensorgroup,DTSG)认证机制,避免了传统的用户端与传感终端或者网关节点之间一对一的频繁认证引起的接入效率低和用户访问速率低问题,实现了轻量级认证;(2)针对用户隐私保护问题,创新性地设计了DTSG机制和零知识证明结合的认证方案,在不泄露用户...     

电力企业内部RSA双因素身份认证建设

针对目前电力系统网络设备与主机系统在身份认证过程中采用静态口令存在安全风险因素,介绍了RSA双因素身份认证体系,网络与信息管理员根据管理规范向用户发放单独的认证设备,初次使用设备时设定个人码(PIN码),使用时将用户的个人码与令牌码组合,形成双因素认证,通过统一时间同步服务器保证在相同的时间内令牌和认证服务器产生具有相同的令牌码,确保合法用户访问网络设备与主机资源。     

A secure and robust temporal credential-based three-factor user authentication scheme for wireless sensor networks

User authentication is one of the most important security services required for the resource-constrained wireless sensor networks (WSNs). In user authentication, for critical applications of WSNs, a legitimate user is allowed to query and collect the real-time data at any time from a sensor node of the network as and when he/she demands for it. In order to get the real-time information from the nodes, the user needs to be first authenticated by the nodes as well as the gateway node (GWN) of WSN so that illegal access to nodes do not happen in the network. Recently, Jiang et al. proposed an efficient two-factor user authentication scheme with unlinkability property in WSNs Jiang (2014). In this paper, we analyze Jiang et al.’s scheme. Unfortunately, we point out that Jiang et al.’s scheme has still several drawbacks such as (1) it fails to protect privileged insider attack, (2) inefficient registration phase for the sensor nodes, (3) it fails to provide proper authentication in login and authentication phase, (4) it fails to update properly the new changed password of a user in the password update phase, (5) it lacks of supporting dynamic sensor node addition after initial deployment of nodes in the network, and (6) it lacks the formal security verification. In order to withstand these pitfalls found in Jiang et al.’s scheme, we aim to propose a three-factor user authentication scheme for WSNs. Our scheme preserves the original merits of Jiang et al.’s scheme. Our scheme is efficient as compared to Jiang et al.’s scheme and other schemes. Furthermore, our scheme provides better security features and higher security level than other schemes. In addition, we simulate our scheme for the formal security analysis using the widely-accepted AVISPA (Automated Validation of Internet Security Protocols and Applications) tool. The simulation results clearly demonstrate that our scheme is also secure.     

云计算中基于可转换代理签密的可证安全的认证协议

云用户与公有云之间的双向认证是云计算中用户访问公有云的重要前提.2011年,Juang等首次提出了云计算环境下采用代理签名的认证协议,其优点是用户只需到私有云中注册,然后在私有云的帮助下通过公有云的认证.但是,该方案存在3个缺陷:1)为保护用户的隐私,每次会话都需更新用户公钥;2)当私有云中的许多用户同时登录不同的公有云时,私有云会遭遇网络拥堵;3)用户的私有云与访问的公有云之间需要预先共享秘密.为弥补上述不足,提出了一种保护用户隐私的可证安全的可转换代理签密方案,基于该方案设计了一种一轮云计算认证协议.新方案的优点在于用户向私有云注册后,就能通过公有云的认证,而不需要私有云的帮助,并且它还能保护用户的隐私性、抗抵赖性.协议不需要在每次会话开始前更新用户公钥,同时私有云与访问的公有云之间不再需要预先共享秘密.在随机谕言机模型下证明了新协议的安全性,并且比较说明新协议在效率方面优于Juang等的协议.