信息安全系統(tǒng)中用戶身份認證技術(shù)的研究

(成都信息工程大學(xué) 四川 成都 610225)

一、引言

身份認證技術(shù)是計算機及網(wǎng)絡(luò)系統(tǒng)確認操作者身份的過程，主要是解決驗證網(wǎng)絡(luò)通訊雙方真實身份的問題。本文所研究的身份認證技術(shù)是依據(jù)動態(tài)口令機制實現(xiàn)身份認證，使用戶可以用隨機的口令進行登錄，能夠徹底解決現(xiàn)存的信息安全系統(tǒng)中身份識別與認證方面的問題，繼承了動態(tài)口令的認證模式，提出其時間同步與否帶來的弊端，同時拓展了認證渠道，增加了物理認證匹配因素。

二、信息安全系統(tǒng)基于復(fù)合結(jié)構(gòu)身份認證算法分析

動態(tài)驗證碼生成算法分析

1.流行生成隨機序列方法

動態(tài)口令認證系統(tǒng)的核心技術(shù)就在于生成動態(tài)口令的算法，而動態(tài)口令恰恰是由一組組隨機序列組合而成的。可以說，動態(tài)口令是否安全取決于隨機序列的安全性，而隨機序列是否安全則取決于生成該序列的算法的安全性。隨機序列的安全性在于該序列的組成是否夠“亂”以及周期是否夠“長”，讓破譯者無法找出各數(shù)字的前后相關(guān)性。

2.動態(tài)驗證碼生成算法

動態(tài)碼生成算法采用目前較為流行的生成隨機序列的方法之一：生成隨機種子。其算法可以描述為：隨機數(shù)是由隨機種子(Rand Seed)在系統(tǒng)中參照系統(tǒng)時鐘生成的，通常的方法是以當(dāng)日零點為起點，用randomize( )語句取得種子，然后按照公式 Rand_Number =(Rand Seed *x +y)%z 獲得偽隨機數(shù)，其中x,y,z均為任意指定的自然數(shù)。

三、認證系統(tǒng)模型構(gòu)建

(一)認證系統(tǒng)頂層設(shè)計架構(gòu)

基于WEB的認證系統(tǒng)，其體系結(jié)構(gòu)主要分為4層，界面層是由企業(yè)級客戶端組成，部署了認證系統(tǒng)的客戶端代理軟件；傳輸層由認證協(xié)議和防火墻組成，認證協(xié)議的設(shè)計決定了該系統(tǒng)的認證可靠性，防火墻的配置決定了認證的安全性，將外網(wǎng)與內(nèi)網(wǎng)有效的隔離；認證層主要由認證服務(wù)器、動態(tài)碼生成服務(wù)器以及數(shù)據(jù)庫組成，動態(tài)碼的生成算法決定了其隨機性的概率，其算法限制了認證的新鮮因子的有效性，間接影響認證協(xié)議抵抗重放性攻擊；應(yīng)用層由企業(yè)級應(yīng)用服務(wù)器構(gòu)成，它為認證系統(tǒng)提供統(tǒng)一接口，方便認證系統(tǒng)的嵌入。

(二)認證系統(tǒng)協(xié)議設(shè)計

1.認證協(xié)議設(shè)計應(yīng)遵循的原則

認證協(xié)議的設(shè)計需要一個比較完善的設(shè)計理論來進行指導(dǎo)，客觀地設(shè)計出一個比較安全的認證協(xié)議。協(xié)議設(shè)計時應(yīng)注意的一些原則：

(1)每個信息說清楚它的意思，對信息的解釋完全應(yīng)該依靠它的內(nèi)容。每個信息可以用一個完整的、有意義的語句來描述，這個語句是由信息的各個部分組成起來。如：A→B：EKb{Ta,Kab,B,A}

(2)信息在傳送時，簽名必須在加密之前來完成，這也是保證發(fā)送信息的認證主體知道所發(fā)送的信息的內(nèi)容。

(3)如果認證主體的身份對某一個信息的意義來說是必要的，那么認證方案必須謹(jǐn)慎的處理用戶的身份信息。

(4)在挑戰(zhàn)/響應(yīng)的認證協(xié)議的模式中，可預(yù)測的值可以用來保證新鮮性，但是如果這一可預(yù)測的值對協(xié)議的影響很大，那么就應(yīng)該對該值進行保護。

2.認證協(xié)議設(shè)計

依據(jù)前面設(shè)計協(xié)議時應(yīng)注意的原則，針對基于雙因素的系統(tǒng)設(shè)計需求，設(shè)計出適合本系統(tǒng)的認證協(xié)議，用形式化方式表述如下：

M1:A→S:{UserID,MAC}K；

M2:A→S:{Ri,M=H(UserID,K)}K；

M3:A→S:{X=A⊕(B+UserID),Y=H(B)⊕B,Ri+1};

經(jīng)過對該協(xié)議形式化分析，可以知道該協(xié)議是一個安全協(xié)議，協(xié)議中對隨機數(shù)Ri+1進行了加密保護，減少了認證過程中信息的泄漏；增加了用戶MAC硬件因素，增加了認證的復(fù)雜度，也就提高了認證的安全性；由于協(xié)議執(zhí)行中有新鮮的隨機數(shù)Ri+1參與，協(xié)議有效地抵抗重放攻擊；協(xié)議實現(xiàn)了雙向認證，有效地避免單向認證造成的安全漏洞。

(三)身份認證系統(tǒng)認證方式

身份認證系統(tǒng)的認證過程大致上來講，可分為用戶與主機間的認證和主機與主機之間的認證。本認證系統(tǒng)模型擬采用雙因素認證方式，一是用戶所知道的東西：用戶UserID、靜態(tài)口令；二是物理因素：軟件生成令牌，即生成動態(tài)口令；同時附加硬件識別，即客戶端MAC地址(或硬盤ID)，有效地提高抵抗非法用戶攻擊的能力。如圖1所示：

圖1

四、結(jié)論

網(wǎng)絡(luò)身份認證技術(shù)已經(jīng)走向成熟，隨著Internet的日益普及和深入生活，人們會慢慢地體會到對于身份認證系統(tǒng)的迫切需求。本文基于當(dāng)前身份認證主要方式，分析身份認證協(xié)議，構(gòu)建基于復(fù)合架構(gòu)的身份認證模型。