◆温 翔 常 竞
一种改进的智能卡多服务器身份认证方案
◆温 翔1常 竞2
(1.四川省计算机研究院 四川 610041;2.四川财经职业学院电子商务系 四川 610101)
智能卡;身份认证;密钥协商;多服务器;时间戳;中间人攻击
随着互联网的不断发展,网络安全越来越受到人们的重视。在网络安全领域,确保安全的身份认证一直是研究的热点。1981年,Lamport等人提出了一个在非安全信道上基于单向哈希函数使用口令表的远程身份认证方案,该方案首次采用哈希函数,提高了系统安全性,但也存在口令表受到攻击的安全风险。之后出现了许多基于单向哈希函数的改进方案。2008年,Tsai提出了基于单向哈希函数且无需存储口令表的高效多服务器认证系统,但此方案是基于静态身份认证协议,容易泄露用户身份且无法抵抗服务器假冒攻击。为了加强对用户信息的保护,Das等人提出了基于动态身份的智能卡用户身份认证方案,实现了用户的匿名身份认证。
以上方案都是基于单服务器环境下提出的,用户需要在每个服务器进行重复注册,已经不能适应当前主流的多服务器环境下多业务的处理要求。Chang等人在2004年提出了一个多服务器的认证方案,该方案基于对称密码体制,不能抵抗内部攻击,于是此后研究人员提出了更多的多服务器身份认证方案,特别是结合人体生物特征,Chuang等人在2014年提出了一个匿名的基于智能卡的生物特征值与口令相结合的多服务器环境下的密钥认证方案,但是2016年Wang等人指出Chuang的方案不能抵抗重放攻击、伪装攻击、智能卡丢失等攻击,并提出新的方案。最近Liu等人指出Wang的方案不能抵御恶意服务器攻击、中间人攻击、伪造攻击和重放攻击等,并提出了改进方案。
本文简要回顾了Liu等人的方案,详细分析了该方案受到伪造攻击、中间人攻击和重传攻击,在此基础之上,提出了可行的改进方案。
(1)服务器注册
(2)用户注册
(1)服务器认证
(2)用户身份认证
(3)密钥协商
在现实网络环境中,传输信道不是绝对安全的,传输的信息会发生被拦截、窃听和修改的攻击情况,同时也可能出现通过某种方法盗取智能卡里的信息。基于以上假设,Liu等人方案将受到以下安全攻击。
根据对Liu等人方案的安全性分析,可以得出该方案在认证方面的几个问题:
最后,在整个认证过程中,只要有攻击者截获了双方的认证信息,就能实现重放和中间人攻击,该方案没有体现认证的实时性。
(1)服务器注册
(2)用户注册
(1)服务器认证
(2)用户身份认证
(3)密钥协商
[1]LamportL.Password Authentication with Insecure Communication[J].Comm.of ACM,1981.
[2]Shimizu A.A Dynamic Password Authentication Method by One-way Function[J].IEICE Trans.on Information and System,1990.
[3]SandirigamaM,ShimizuA,Noda M T,Simple and Secure Password Authentication Protocol[J].IEICE Trans.on Comm,2000.
[4]Yuan D,Fan P Z.A Secure Dynamic Password Authentication Scheme[J].四川大学学报(自然科学版),2002.
[5]Fan C L,Chan Y C,ZhangZhikai.Robust remote authentication scheme with smart cards[J].Computer& Security,2005.
[6]Tsai J L. Efficient Multi-server Authentication Scheme Based on One-way Hash Function Without Verification Table [J]. Computer & Security,2008.
[7]Wang R.-C., Juang W.-S., Lei C.-L. User authentication scheme with privacy-preservation for multi-server environment. IEEE Communications Letters,2009.
[8]Das M L,Saxnan A,Gulati V P. A dynamic ID-based remote user authentication scheme[J]. IEEE Trans on Consumer Electronics,2004.
[9]Chang C,LeeJ.An efficient and secure multi server password authentication scheme using smartcards[C]//Procof the 15th IEEE International Conference on Network Based Information Systems,2012.
[10]Chuang M,Chen M .An anonymous multi-server authentication key agreement scheme based on trust computing using smart cards and biometrics [J]. Expert Systems with Applications,2014.
[11]王瑞兵, 陈建华, 张媛媛.一个匿名的基于生物特征的多服务器的密钥认证协议方案研究[J].计算机应用研究, 2016.
[12]刘鑫玥,潘巍,王新艳,王月莲.一种更安全的基于智能卡的多服务器身份认证方案研究[J].计算机应用研究,2017.
四川省科技厅科技支撑计划项目(2016GZ0427)。