基于身份密码系统和区块链的跨域认证协议

随着信息网络技术的快速发展和网络规模的持续扩张,网络环境中提供的海量数据和多样服务的丰富性和持久性都得到了前所未有的提升.处于不同网络管理域中的用户与信息服务实体之间频繁交互,在身份认证、权限管理、信任迁移等方面面临一系列安全问题和挑战.本文针对异构网络环境中用户访问不同信任域网络服务时的跨域身份认证问题,基于IBC身份密码系统,结合区块链技术的分布式对等网络架构,提出了一种联盟链上基于身份密码体制的跨信任域身份认证方案.首先,针对基于IBC架构下固有的实体身份即时撤销困难问题,通过加入安全仲裁节点来实现用户身份管理,改进了一种基于安全仲裁的身份签名方案mIBS,在保证功能有效性和安全性的基础上,mIBS性能较ID-BMS方案节省1次哈希运算、2次点乘运算和3次点加运算.其次,本文设计了区块链证书用于跨域认证,利用联盟链分布式账本存储和验证区块链证书,实现域间信任实体的身份核验和跨域认证.所提出的跨域认证协议通过安全性分析证明了其会话密钥安全,并且协议的通信过程有效地减轻了用户端的计算负担.通过真实机器上的算法性能测试,与现有同类方案在统一测试标准下比较,本文方案在运行效率上也体现出了明显的优势.     

基于区块链技术的高效跨域认证方案

为解决现有公钥基础设施（PKI）跨域认证方案的效率问题,利用具有分布式多中心、集体维护和不易篡改优点的区块链技术,提出基于区块链技术的高效跨域认证方案,设计了区块链证书授权中心（BCCA）的信任模型和系统架构,给出了区块链证书格式,描述了用户跨域认证协议,并进行了安全性和效率分析。结果表明,在安全性方面,该方案具有双向实体认证等安全属性;在效率方面,与已有跨域认证方案相比,利用区块链不可篡改机制,使用哈希算法验证证书,能减少公钥算法签名与验证的次数、提升跨域认证效率。     

基于多层区块链的跨域认证方案

针对现有集中式身份认证方式在物联网应用场景下管理成本高、异构信任域之间的证书管理困难以及跨域认证场景下多信任域难以互相信任的问题,提出了一种基于多层区块链的跨域认证方案.使用本地区块链来进行物联网应用场景下分布式的节点管理,使用公共区块链来进行区块链之间的跨链身份认证,设计了跨域认证协议.针对跨域访问时存在的多个管理域相互信任问题,提出了基于信任度评价的委托权益证明(DPOS)来评估节点的可信度.最后对跨域认证方案进行了安全和效率分析,分析表明该方案在保证较好安全性和有效性的基础上,提升了跨域认证的效率.     

基于无证书签名的云端跨域身份认证方案

针对基于无证书的身份认证方案无法满足跨域匿名认证需求的不足,利用双线性映射提出一种云环境下的跨域身份认证方案。基于无证书签名的合法性和消息的有效性,实现用户与云服务提供商的身份真实性鉴别,并在双向跨域认证过程中完成会话密钥的协商。引入分层ID树结构确保身份的唯一性,"口令+密钥"的双因子认证过程增强跨域身份认证方案的安全性。利用临时身份实现用户身份的匿名性,对用户的恶意匿名行为具有可控性。分析结果表明,该认证方案在CK模型中是安全的,并能抵抗伪造、重放与替换攻击,具有较高的安全性。     

一种新的信息服务实体跨域认证模型

为解决基于身份的信息服务多信任域认证系统不能实现身份即时撤销的问题,提出了一种可撤销的身份签名方案。在SM9(国产标识密码)签名算法的基础上,引进一个安全仲裁来保管实体的部分私钥,通过终止安全仲裁给实体发送签名信令来撤销实体的签名能力,从而实现 身份 的即时撤销。在该方案的基础上,利用基于证书的公钥基础设施(PKI)与基于身份的密码体制(IBC)的组合应用优点,提出了一种新的信息服务实体跨域认证模型。该模型不仅具有灵活高效的认证特点,而且适合构建大规模信息服务实体的应用环境。同时,设计了一种跨域认证协议,实现了跨信任域的双向实体认证和密钥协商。分析结果表明,该协议具有较高的安全性及较少的通信量和计算量。     

IMS中的一种跨域信任机制

分析了IMS中媒体层、控制层和应用层的认证机制,针对IMS用户漫游时跨域认证造成开销过大的问题,在IMS控制层提出了一种跨域信任机制。该机制通过在HSS和S-CSCF中增加信任证书数据库、证书目录、声明发生器和标签提取器四个功能模块,实现了用户漫游时的单次认证策略,减小了因重复认证造成的开销。利用Open SER实现了IMS中各个实体的功能,搭建了简易的IMS仿真环境,然后在仿真网络中对跨域信任机制进行验证。仿真结果表明,跨域信任机制减少了0.417 7 s的时间开销。     

基于证书签密的IPv6网络跨域认证协议

为了解决IPv6网络互连过程中基于身份认证的域内用户与基于无证书认证的域内用户之间进行跨域认证和密钥协商的问题,提出了一种随机预言机模型下可证明安全的基于证书签密的认证方案,设计了一种IPv6网络跨域认证协议并对其安全性和效率进行了分析。结果表明,在安全性方面,该协议具有完美向前保密和双向实体认证等安全属性,满足了认证的安全需求;在效率方面,与同类协议相比,该协议无须进行公钥加/解密运算,也不受同步环境的限制,只需五条消息就能实现跨域认证,计算开销和通信开销都相对较小。     

主动网基于交叉证书的多信任域认证模型

认证是保证主动网安全性的前提和基础,传统的主动网认证采用基于证书的认证方法,由于基于身份的PKI(ID-PKI)可以避免传统公钥密码体制中使用证书带来的种种弊端,因此越来越倍受关注。多种认证技术的并存是不可避免的事实,如何在不同类型的信任域间实现跨域认证是主动网安全研究的重要问题之一。在探讨ID-PKI在主动网上实施问题的基础上,提出了一种基于交叉证书的多信任域认证模型,在不同类型的信任域间提供双向实体认证,能较好地符合主动网认证的实际需要。     

主动网基于交叉证书的多信任域认证模型

认证是保证主动网安全性的前提和基础，传统的主动网认证采用基于证书的认证方法，由于基于身份的PKI（ID-PKI）可以避免传统公钥密码体制中使用证书带来的种种弊端，因此越来越倍受关注。多种认证技术的并存是不可避免的事实，如何在不同类型的信任域问实现跨域认证是主动网安全研究的重要问题之一。在探讨ID-PKI在主动网上实施问题的基础上，提出了一种基于交叉证书的多信任域认证模型，在不同类型的信任域问提供双向实体认证，能较好地符合主动网认证的实际需要。     

基于动态信任值的DAA跨域认证机制

针对直接匿名认证(DAA)方案只提供单域认证的局限性,提出一种基于动态信任值的DAA跨域认证机制,通过将信任关系量化为[0,1]之间的信任值,并对域间信任值与信任阈值进行比较来实现可信平台模块(TPM)用户的跨域访问。实验结果表明,该机制能减小跨域认证时TPM的工作负载,节省DAA认证的时间开销,并给出信任值的变化范围。     

基于国密算法的车载以太网控制器身份认证方法

随着智能网联汽车的发展,车载以太网的信息安全成为汽车行业关注的重点。安全认证是保证车载以太网信息安全的关键技术之一。现有的车载以太网认证技术难以兼顾安全性和车载控制器性能要求。国密算法在车载网络信息安全的应用逐渐成为趋势,但在车载以太网领域的应用研究还处于起步阶段。为了满足车载控制器相对较低的性能和车载以太网的安全要求,提出了基于国密算法的两阶段信任链车载以太网控制器身份认证方法。该身份认证方法可适用于车载以太网不同的网络拓扑架构,通过基于认证凭证的信任链将车载以太网控制器身份认证的初始化阶段和车辆使用阶段进行关联。初始化阶段认证在整车下线首次安装控制器或售后更换控制器时,由整车厂诊断仪触发。在初始化阶段,基于复杂的 SM2 国密算法和身份证书建立完整认证。车辆使用阶段认证在每次车辆重新上电或网络唤醒时,由以太网网关触发。在车辆使用阶段,基于 SM4 对称国密算法和认证凭证信任链建立快速认证。认证凭证通过认证凭证函数生成,并且每一次认证凭证都基于之前成功认证的随机会话编号动态产生,形成信任链。基于车载以太网控制器进行了测试验证,测试结果表明,该方法资源占用较低并具有较高的安全性,能够同时满足车载以太网控制器身份认证性能和安全两方面的需求。     

普适环境中的隐私保护认证协议设计

针对普适环境中的认证和隐私保护问题,运用哈希链和部分盲签名技术,提出一种新的隐私保护认证协议。该协议运用哈希链构造信任书,保证每个信任书只能使用一次,利用部分盲签名在信任书中嵌入用户访问次数,对用户的访问次数进行控制。在实现用户匿名访问和双向认证的同时,解决服务滥用和非授权访问问题。仿真结果表明,与同类协议相比,该协议具有更好的安全特性和较高的执行效率。     

Hardware-assisted credential management scheme for preventing private data analysis from cloning attacks

The majority of mobile apps use credentials to provide an automatic login function. Credentials are security tokens based on a user’s ID and password information. They are created for initial authentication, and this credential authentication then replaces user verification. However, because the credential management of most Android apps is currently very insecure, the duplication and use of another user’s credentials would allow an attacker to view personal information stored on the server. Therefore, in this paper, we analyze the vulnerability of some major mobile SNS apps to credential duplication that would enable access to personal information. To address the identified weaknesses, we propose a secure credential management scheme. The proposed scheme first differentiates the credential from the smart device using an external device. Using a security mechanism, the credential is then linked with the smart device. This ensures that the credential will be verified by the special smart device. Furthermore, based on experimental results using a prototype security mechanism, the proposed scheme is shown to be a very useful solution because of its minimal additional overhead.     

主数据管理驱动的高校信息化SOA建设

异构信息系统在高校中的大量存在阻碍了数据资产整合与信息交互，面向服务的架构（SOA）的出现及在企业中的广泛采用为解决此问题提供了思路，但在高校中实施SOA存在难度大、难以形成以SOA为基础的信息化生态的问题。针对这些问题，提出主数据管理驱动的SOA建设方案。首先，在数据层面运用主数据管理平台对校级核心数据资产进行建模和整合；为实现数据同步和消费，并解决其中存在的协议转换及服务鉴权问题，提出了基于企业服务总线的解决方案；然后，针对遗留"信息孤岛"系统进行SOA改造，提出主数据驱动的建设方案。实验结果表明单用户、10用户、100用户及10000用户并发下的平均延迟分别为8、11、59及18 ms，表明在不同并发场景下所提方案性能均满足高校业务需求。实施结果表明，数据资产整合和信息交互问题得到了解决，因此方案具有可行性。     

CMM: Credential migration management system based on trusted computing in CGSP

In grid computing environment, grid users often need to authorize remote computers acting as original users’ identity. But the original user may be under the risk of information leakage and identity abused for sending his credential to remote computing environment. Existing grid security practice has few means to enforce the security of credential delivery. Trusted Computing (TC) technology can be added to grid computing environment to enhance the grid security. With TC using an essential in-platform (trusted) third party, Trusted Platform Module (TPM), we can use TC to protect the user credential. In this paper we present credential migration management (CMM) system, which is a part of Daonity project, to manifest migrating credential in security between different computers with TPM.     

A temporal-credential-based mutual authentication and key agreement scheme for wireless sensor networks

Wireless sensor network (WSN) can be deployed in any unattended environment. With the new developed IoT (Internet of Things) technology, remote authorized users are allowed to access reliable sensor nodes to obtain data and even are allowed to send commands to the nodes in the WSN. Because of the resource constrained nature of sensor nodes, it is important to design a secure, effective and lightweight authentication and key agreement scheme. The gateway node (GWN) plays a crucial role in the WSN as all data transmitted to the outside network must pass through it. We propose a temporal-credential-based mutual authentication scheme among the user, GWN and the sensor node. With the help of the password-based authentication, GWN can issue a temporal credential to each user and sensor node. For a user, his/her temporal credential can be securely protected and stored openly in a smart card. For a sensor node, its temporal credential is related to its identity and must privately stored in its storage medium. Furthermore, with the help of GWN, a lightweight key agreement scheme is proposed to embed into our protocol. The protocol only needs hash and XOR computations. The results of security and performance analysis demonstrate that the proposed scheme provides relatively more security features and high security level without increasing too much overhead of communication, computation and storage. It is realistic and well adapted for resource-constrained wireless sensor networks.     

云计算中跨域安全认证的关键技术研究

摘 要: 针对云计算环境中的数据访问,不仅要确保合法用户能快速访问到数据资源,而且要保证非法用户的访问权限受限,合理解决信任域内部的威胁以解决云计算技术带来的数据安全等问题,提出了一种能有效实现数据跨域访问的CDSSM模型,通过设置代理者Agent,首先区分首次跨域安全身份认证和重复跨域安全认证,巧妙优化了数据跨域安全身份认证的流程,然后通过充分利用身份认证中消息加密的密钥,将数据分块加密存储,最后有效的解决了域内的安全威胁,保证了用户数据的安全性。最后,笔者实现了CDSSM模型,实验表明本方案中的密钥不可伪造,可有效避免重放攻击,重复跨域身份认证的效率在50%以上,100MB以下文件的读写性能较好,大大提高了数据存储在云端的可靠性和安全认证的有效性。     

Enhanced dynamic credential generation scheme for protection of user identity in mobile-cloud computing

To improve the resource limitation of mobile devices, mobile users may utilize cloud-computational and storage services. Although the utilization of the cloud services improves the processing and storage capacity of mobile devices, the migration of confidential information on untrusted cloud raises security and privacy issues. Considering the security of mobile-cloud-computing subscribers’ information, a mechanism to authenticate legitimate mobile users in the cloud environment is sought. Usually, the mobile users are authenticated in the cloud environment through digital credential methods, such as password. Once the users’ credential information theft occurs, the adversary can use the hacked information for impersonating the mobile user later on. The alarming situation is that the mobile user is unaware about adversary’s malicious activities. In this paper, a light-weight security scheme is proposed for mobile user in cloud environment to protect the mobile user’s identity with dynamic credentials. The proposed scheme offloads the frequently occurring dynamic credential generation operations on a trusted entity to keep minimum processing burden on the mobile device. To enhance the security and reliability of the scheme, the credential information is updated frequently on the basis of mobile-cloud packets exchange. Furthermore, the proposed scheme is compared with the existing scheme on the basis of performance metrics i.e. turnaround time and energy consumption. The experimental results for the proposed scheme showed significant improvement in turnaround time and energy consumption as compared to the existing scheme.