（计算机应用技术专业论文）基于usb+key网络环境下身份认证技术的研究及应用.pdf

上海水产人学硕十学位论文 基于o s bk e y 网络环境下身份认证技术的研究及应用 摘要 本课题来源于上海市政府二o o 四年“实事项目”上海市市民信箱电子 邮件系统。本课题所实现的系统模型上海市市民信箱身份认证系统，该系统 实现了邮件资源服务器和市民用户双方可靠的双向身份验证，保证了实名制信箱 用户的真实性以及确保市民访问的邮件服务器的真实性。借助于该系统，既能改 善同常帐单投送渠道，方便了市民；也为加强政府与市民的联系提供了基础。 身份认证服务是提供网络安全中其他安全服务的自口提和基础。随着i n t e m e t 的 发展，尤其是电子商务的出现和迅速发展，信息安全问题己成为社会关注的热点， 特别是网络环境下的信息安全已成为影响国家安全、经济发展、社会稳定的重大 关键问题。研制和开发适合不同网络环境下的身份认证系统具有重要意义和重大 的社会经济效益和广阔应用前景。特别是安全管理方面，国外对我国仍然有很多 技术出口限制，同时，网络安全事关国家主权和安危的问题，我们必须依靠自己 的力量来解决。因此，对该系统的研制开发将有利于我国信息化建设和发展。 本文首先对现有的身份认证技术进行了对比研究，从而对网络环境下身份认 证系统及其可能遭受的攻击和威胁有了进一步的认识，特别是对基于u s bk e y 技 术的网络环境下的身份认证技术进行了深入的研究，它是近几年发展起来的一种 方便、安全、经济的身份认证技术，采用软硬件相结合一次一密的强双因子认证 模式，很好地解决了安全性与易用性之间的矛盾。紧接着以身份认证协议和身份 认证机制为研究重点，论述了已有的身份认证系统的主要认证机制，并且对在网 络环境中使用身份认证机制的常见认证协议进行了分析，针对市民信箱身份认证 系统的实际应用及网络中身份认证系统的特点，设计了一套基于动态口令认证机 制的请求响应方式的身份认证协议，并对该协议进行了非形式化的分析，证明其 逻辑设计的合理性、协议的有效性和安全性，能够抵御重放攻击、网络监听、中 日j 人攻击和暴力攻击。然后再对身份认证的密码学理论进行了研究，密码机制实 现了身份认i e 的认证信息安令传输、完整悱保i e 和0 in 丁否认性保证。本文主要对 j ：海水产人学硕t 学位论文 m d 5 和r s a 算法进行深入的研究，将中国剩余定理应用于r s a 加解密运算，改 进了r s a 加解密算法程序设计中的运算问题，降低运算时间复杂度，提高加解密 算法整体运行效率。最后本课题研究结合使用密码技术和硬件令牌的身份认证技 术，设计了基于u s bk e y 网络环境下的市民信箱身份认证系统模型，该系统使用 r s a 公钥密码技术和m d 5 单向散列函数，设计和实现了一套身份认证协议以及相 关应用接口，可以更加安全和有效地解决网上应用中面临的网络身份认证问题。 经过初步测试，基于u s bk e y 网络环境下的市民信箱身份认证系统基本上能 够达到预期的目标，可以实现邮件资源服务器和市民用户双方可靠的双向身份验 证。该系统对客户而言，没有任何的操作要求，只要将载有个人登记信息的特制 u s b k e y ，插入连接网络的p c 上，通过身份认证后，就能很方便地打开自己的个 人信箱。 可以预见，身份认证技术必将越来越广泛地应用于生活和工作的各个领域， 潜在巨大的市场和良好的经济效益。因为时间所限，本文仅仅对基于u s bk e y 的 身份认证作了部分研究，很多地方还有待进一步深入研究和完善。数字证书可以 很好地支持身份认证技术，下一步的研究可以结合当前的数字证书技术，研究相 关认证机制。网络身份认证系统的前景是非常光明的，身份认证技术理论和实践 还有很多东西需要进一步深入研究。 关键词：u s bk e y ，身份认证，密码学，认证协议，r s a , m d 5 ，中国剩余定理 上海水产人学硕 学忙论文 s t u d ya n da p p l i c a t i o no hi da u t h e n t i c a t i o nt e c h n i q u eu n d e r n e t w o r ke n v i r o n m e n tb a s e do nu s b k e y a b s t r a c t t h i sd i s s e r t a t i o no r i g i n a t e sf r o mo n eo fs h a n g h a im u n i c i p a lg o v e m m e n t 。sr e a l s i t u a t i o np r o j e c t si n2 0 0 4 w h i c hi s s h a n g h a ir e s i d e n t s e m a i ls y s t e m s h a n g h a i r e s i d e n t s 。e m a i li da u t h e n t i c a t i o ns y s t e mh a sb e e ni m p l e m e n t e di n t h i sd i s s e r t a t i o n w h i c hg u a r a n t e e sr e l i a b l eb i d i r e c t i o n a l i da u t h e n t i c a t i o nt ob o t he m a i ls e r v e ra n du s e r s j te n s u r e st h e a u t h e n t i c i t yo fb o t he m a i ls y s t e m su s e r sa n de m a i ls e r v e lw i f ht h ea i do f t h es y s t e m ，i t sc o n v e n i e n tt od e l i v e rd a i l yb i l l st or e s i d e n t sa n dp r o v i d et h ef o u n d a t i o n t os n n g t h e nt h eg o v e m m e n ta n dt h er e s i d e n t s r e l a t i o n s t h ei da u t h e n t i c a t i o ns e r v i c ei st h ep r e m i s ea n df o u n d a t i o na m o n ga l lt h en e t w o r k s e c u r i t ys e r v i c e s w i t ht h ed e v e l o p m e n to fi n t e r n e t e s p e c i a l l yt h ea p p e a r a n c ea n dt h e r a p i dd e v e l o p m e n to fe l e c t r o n i cc o m m e r c e ，i n f o r m a t i o ns e c u r i t yh a sb e e nt h ef o c u so f s o c i e t y i np a r t i c u l a r , i n f o r m a t i o ns e c u r i t yu n d e rn e t w o r ke n v i r o n m e n th a si n f l u e n e e d t h en a t i o n a ls e c u f i t y ，t h ee c o n o m i cd e v e l o p m e n ta n dt h es o c i a ls t a b i l i t ys i g n i f i c a n t l y t o r e s e a r c ha n dd e v e l o pd i f i e r e n ti da n t h e n t i c a t i o ns y s t e m st os u i tt ov a r i o u sn e t w o r k e n v i r o n m e n t s ，w h i c hi so fg r e a ti m p o r t a n c e ，h a ss i g n i f i c a n ts o c i a le c o n o m i cb e n e f i t s a n db r o a da p p l i c a t i o np r o s p e c t s s p e c i a l l yi ns a f e t ym a n a g e m e n t ，o v e r s e a sh a v em a n y h i g l i t e c he x p o r t sl i m i tt oo u rc o u n t r y a tt h es a m et i m e ，n e t w o r ks e c u r i t yi sr e l a t e dt o n a t i o n a ls o v e r e i g n t ya n ds a f e t y , w em u s ts o l v et h ep r o b l e mb yo u r s e l v e s t h e r e f o r e ，t o r e s e a r c ha n dd e v e l o pt h ei da u t h e n t i c a t i o ns y s t e mw i l lb ea d v a n t a g e o u st ot h e i n f o r m a t i o n i z a t i o nc o n s t r u c t i o na n dt h ed e v e l o p m e n to fo u rc o u n t r v f i r s t l y , f r o mt h er e s e a r c hc o m p a r i n gt oa l lk i n d so fi da u t h e n t i c a t i o nt e c h n i q u e ，w e h a v ef i l r t h e ru n d e r s t a n d i n gt ot h ei da u t h e n t i c a t i o ns y s t e mu n d e rn e t w o r ke n v i r o n m e n t a n dh a v es o m ei d e a st h a ts o m ea t t a c k sm a yo c c u rt ot h ea u t h e n t i c a t i o ns y s t e m e s p e c i a l l yt h i s d i s s e r t a t i o nc a r r i e so nat h o r o u g hr e s e a r c ho ni da u t h e n t i c a t i o n t e c h n i q u eu n d e rn e t w o r ke n v i r o n m e n tb a s e do nu s bk e y i t sac o n v e n i e n t ，s a f ea n d e c o n o m i c a li da u t h e n t i c a t i o nt e c h n i q u ed e v e l o p e di nr e c e n ty e a r s w h i c hi sao n e t i m e p a s s w o r da u t h e n t i c a t i o nm o d ew i t hd o u b l ef a c t o r sc o m b i n i n gs o f t w a r ew i t hh a r d w a r e i nt h i sw a y i th a ss o l v e dt h ec o n t r a d i c t i o nb e t w e e ns a f e t ya n du s a b i l i t y s e c o n d l y , t h i sd i s s e r t a t i o nt a k e sa u t h e n t i c a t i o np r o t o c o la n da u t h e n t i c a t i o n m e c h a n i s ma sk e yr e s e a r c h e s i te l a b o r a t e sm a i na u t h e n t i c a t i o nm e c h a n i s m si ne x i s t e d i da u t h e n t i c a t i o ns y s t e m s i ta l s oh a sat h o r o u g ha n a l y s i st oc o m m o na u t h e n t i c a t i o n i i l 上海水产人学硕十学何论文 p r o t o c o li na u t h e n t i c a t i o nm e c h a n i s mu n d e rn e t w o r ke n v i r o n m e n t a c c o r d i n gt ot h e p r a c t i c a la p p l i c a t i o no fs h a n g h a ir e s i d e n t s e m a i li da u t h e n t i c a t i o ns y s t e ma n dt h e c h a r a c t e r i s t i co fi da u t h e n t i c a t i o ns y s t e mu n d e rn e t w o r ke n v i r o n m e n t ，w ed e s i g na c h a l l e n g e r e s p o n s ea u t h e n t i c a t i o np r o t o c o lb a s e do nd y n a m i cp a s s w o r da u t h e n t i c a t i o n m e c h a n i s m t h i sd i s s e r t a t i o nh a san o n f o r m a l i z a t i o na n a l y s i st ot h ep r o t o c o l ，i th a s p r o v e dt h er a t i o n a l i t yo nl o g i c a ld e s i g n ，v a l i d i t ya n ds a f e t yo ft h ep r o t o c 0 1 i ta l s oc a l l r e s i s tt h er e p l a ya t t a c k ，t h es n o o pa t t a c k , t h em i d d l e m a na t t a c ka n dt h eb r u t e f o r c e a t t a c k t h i r d l y , t h i sd i s s e r t a t i o nm a k e sat h o r o u g hs t u d yt ot h ec r y p t o l o g y c r y p t o g r a m m e c h a n i s mp r o v i d e ss a f et r a n s m i s s i o no f a u t h e n t i c a t i o ni n f o r m a t i o n ，i n t e g r i t ya n d n o n r e p u d i a t i o nt oi da u t h e n t i c a t i o ns y s t e m i np a r t i c u l a r , i tm a i n l yd i s c u s s e sb o t h m d 5a l g o r i t h ma n dr s a a l g o r i t h m b ya p p l y i n gc h i n e s er e m a i n d e rt h e o r e mt or s a e n c r y p t i o na n dd e c r y p t i o no p e r a t i o n s ，i ti m p r o v e st h eo p e r a t i o n si nt h ep r o g r a m m i n g , r e d u c e st h et i m ec o m p l e x i t yi nt h eo p e r a t i o n sa n de n h a n c e sr s aa l g o r i t h m se f f i c i e n c y t o t a l l y l a s t l y , t h i sd i s s e r t a t i o ni m p l e m e n t ss h a n g h a ir e s i d e n t s e m a i li da u t h e n t i c a t i o n s y s t e mb yu s i n gb o t hc r y p t o l o g ya n dh a r d w a r et o k e n i td e s i g n sa ni da u t h e n t i c a t i o n p r o t o c o lb yu s i n gr s ap u b l i ck e yt e c h n o l o g ya n dm d 5 h a s hf u n c t i o n t h e r e f o r e ，i tc a n s o l v et h ei da u t h e n t i c a t i o np r o b l e mu n d e rn e t w o r ke n v i r o n m e n tm o r es a f e l ya n d e f f i c i e n t l y a f t e rs o m et e s t i n g ，i tp r o v e st h a ts h a n g h a ir e s i d e n t s e m a i li da u t h e n t i c a t i o n s y s t e mh a sr e a c h e dt h ea n t i c i p a t e dg o a l ，t h es y s t e mg u a r a n t e e sr e l i a b l eb i d i r e c t i o n a li d a u t h e n t i c a t i o nt ob o t he m a i ls e r v e ra n du s e r s i t sv e r ye a s yf o rt h eu s e r st oo p e r a t e ，i f h ep l u g st h eu s bk e yw h i c hi ss p e c i a l l ym a d ew i t hp e r s o n a li n f o r m a t i o ni n t ot h ep c a n dt h ep ci sc o n n e c t e dt ot h ei n t e r n e t ，a f t e rb e i n ga u t h e n t i c a t e d ，h e 1 1g oi n t oh i s i n d i v i d u a lm a i l b o xc o n v e n i e n t l y b e c a u s et i m ei sl i m i t e d ，w ej u s td os o m er e s e a r c ht o t h ei da u t h e n t i c a t i o nt e c h n i q u eb a s e do nu s bk e y w es t i l lh a v em a n yt h i n g st os t u d y a n dt h ei da u t h e n t i c a t i o ns y s t e mc a nb ei m p r o v e df u r t h e r d i i g i t a lc e r t i f i c a t em a y s u p p o r ti da u t h e n t i c a t i o nw e l l ，w ec a ns t u d yt h ea u t h e n t i c a t i o nm e c h a n i s mb yu s i n g d i g i t a lc e r t i f i c a t e k e yw o r d s ：u s bk e y , i da u t h e n t i c a t i o n ，c r y p t o l o g y , a u t h e n t i c a t i o np r o t o c o l ，r s a , m d 5 ，c h i n e s er e m a i n d e rt h e o r e m 上海水产大学学位论文原创性声明 本人郑重声明：我恪守学术道德，崇尚严谨学风。所呈交的学位 论文，是本人在导师的指导下，独立进行研究工作所取得的成果。除 文中已经明确注明和引用的内容外，本论文不包含任何其他个人或集 体已经发表或撰写过的作品及成果的内容。论文为本人亲自撰写，我 对所写的内容负责，并完全意识到本声明的法律结果由本人承担。 学位论文作者签名： 醐翻年绷 上海水产大学学位论文版权使用授权书 学位论文作者完全了解学校有关保留、使用学位论文的规定， 同意学校保留并向国家有关部门或机构送交论文的复印件和电子 版，允许论文被查阅或借阅。本人授权上海水产大学可以将本学 位论文的全部或部分内容编入有关数据库进行检索，可以采用影 印、缩印或扫描等复制手段保存和汇编本学位论文。 保密 口 ，在年解密后适用本版权书。 本学位论文属于 学位 同期 指导黼签名：行润色 帆叩年占月占f 1 上海水产人学硕十学位论文 第一章绪论 1 1 课题的来源及其主要研究任务 1 1 1 课题的来源 本课题来源于上海市政府二o o 四年“实事项目”上海市市民信箱电子 邮件系统。本课题主要研究基于u s bk e y 网络环境下的身份认证技术，所实现的 系统模型上海市市民信箱身份认证系统，是为市民信箱客户端和服务器端提 供双向身份认证。“市民信箱”的推出，是上海市政府为贯彻、落实党的十五届五 中全会关于“信息化是我国产业优化升级和实现工业化、现代化的关键环节，要 把推进国民经济和社会信息化放在优先位置”的精神而推出的一项实事便民工程， 是上海信息港主体工程建设的重要组成部分，主要向市民提供实名制下的电子邮 件便民信息服务；通过这个渠道，市民除了可以收发电子邮件外，还可以自己申 订并接收各种与市民切身需要相关的有用信息。有了“市民信箱”这个随身的“虚 拟门牌号码”，无论是水、电、煤、固话、手机费缴费帐单，还是信用卡对帐单， 个人资信记录，包括医疗保障帐户、住房公积金帐户、养老保险帐户等，所有相 关的信息都能汇聚到个人的信箱中。由于市民信箱是一个“实名制”的电子邮件 信箱，借助于这个系统，既能改善帐单投送渠道，方便了百姓；也为加强政府与 市民的联系提供了基础。同时，代表个人真实身份的电子邮件帐户，在今后的信 息化社会中也有重要的作用。 在享受“市民信箱”带来快捷便利的同时，由于网络的开放性，必然存在着 不同程度的安全隐患。密码技术存在的信息安全性和运算复杂性这一对固有矛盾 在解决信息安全问题中愈显突出【1 j 。现代电子系统集成技术的快速发展和密码理论 同趋完善，尤其是u s bk e y 技术的出现，为解决计算机网络安全问题提供了一个 崭新的思路。我们所设计的上海市市民信箱身份认证系统就是基于这一技术实现 的。上海市市民信箱身份认证系统实现邮件资源服务器和市民用户双方可靠的双 向身份验证，保证了实名制信箱用户的真实性以及确保市民访问的邮件服务器的 真实性。 上海市市民信箱身份认证系统，对客户而言，没有任何的操作要求，只要将 载有个人登记信息的特制u s bk e y ，插入连接网络的p c 上，通过身份认证后，就 能很方便地 jj r 自己的个人信箱，这种u s bk e y 是与每个人的信箱配套使用的， 上海水产人学硕十学位论文 相互问不能通用，能有效保护个人隐私信息，借助于高科技手段将市民信箱变得 “平易近人”，是现有市民信箱电子邮件系统的一种有效的补充手段。有利于市民 信箱电子邮件系统加快进入寻常百姓的家庭，从而更好地发挥系统的功能。 1 1 2 研究任务 本文的研究任务主要包括以下几个方面： ( 1 ) 身份认证技术研究：对现有的身份认证技术进行了对比研究，特别是对基 于u s bk e y 技术的网络环境下的身份认证技术进行了深入的研究。 ( 2 ) 身份认证协议和认证机制分析：安全可靠的身份认证协议和认证机制是身 份认证技术的核心。针对市民信箱的实际应用，本文设计了一套安全性较高的、 双向身份认证协议。 ( 3 ) 身份认证的密码学理论研究：密码学是身份认证技术的基础，密码机制实 现了身份认证的认证信息安全传输、完整性保证和不可否认性保证。本文主要对 m d 5 和r s a 算法进行深入的研究，并且改进了r s a 加解密算法程序设计中的运 算问题，降低运算时间复杂度，提高加解密算法整体运行效率。 ( 4 ) 上海市市民信箱身份认证系统模型的设计及实现：包括m d 5 和r s a 算法 的分析和设计、身份认证协议的设计和安全性分析、市民信箱身份认证系统流程 设计，主要包括认证客户端、认证服务器端等。 1 2 国内外研究现状 身份认证是安全访问的第一道关卡，而密码学是信息安全的核心，身份认证 与密码学密不可分【2 j 。身份认证技术的目标是在i n t c m e t 上解决“我是谁”的问题， 就如同我们每个人都拥有一张证明个人身份的身份证或者护照。身份认证包括用 户向系统出示自己的身份证明和系统核查用户身份证明的过程。没有身份认证的 网络应用服务是非常脆弱的。身份认证方案的分析设计和对身份认证方案的攻击 这对矛盾相互竞争，促进了身份认证技术的向前发展。身份认证技术的发展，经 历了从软件认证到硬件认证，从单因子认证到多因子认证，从静态认证到动态认 证的过程1 3 j 。 在2 0 世纪8 0 年代s i m m o n s 提出系统的认证理论h j 之前，身份认证技术就己 经在计算机网络诞生之时歼始应用了。最仞的计算机网络规模很小，并且主要是 内部局域网。为了防止计算机资源的非授权访问和获取，每个用户与主机之日j 建 上海水产人学硕卜学位论文 立口令。用户在使用主机资源之前，首先通过终端输入口令，主机通过验证用户 输入的口令与自己保存的用户口令是否一致来确定该用户是否具有访问获取计算 机资源的资格。这种基于口令的身份认证方案简单易行，得到广泛的应用，并且 在i n t e m e t 高度发达的今天，仍然有很多服务在使用口令认证技术，典型的如e m a i l 服务、远程登录等。著名的k e r b e r o s 认证方案在用户登录的初始阶段也是采用口 令认证方案。口令认证方案是最基本的认证技术，它的缺点也很明显，其安全性 仅仅基于用户口令的保密性，而用户口令一般较短且容易猜测，因此这种方案不 能抵御口令猜测攻击；另外，攻击者可能窃听通信信道或进行网络窥探( s n i f f i n g ) ， 口令的明文传输使得攻击者只要能在口令传输过程中获得用户口令，系统就会被 攻破。为了避免口令的弱点，最受推崇的是基于各种密码技术的口令认证。采用 将口令加密传输的方式，这时可以在一定程度上弥补上面提到的缺陷，但攻击者 仍可以采用离线方式对口令密文实施字典攻击，加密传输口令的另一个困难是加 密密钥的交换，当采用对称密钥加密方式时，要求认证方和被认证方共享一个密 钥，但由于身份认证前双方的身份还不明确，不可能预先共享一个密钥。因此口 令认证方案是一种极不安全的身份认证方式。可以说基本上没有任何安全性可占。 将密码学引入身份认证技术后，口令认证方案就逐渐演变成基于密钥的认证 方案。r m n e e d h a m 和m d s c h r o e d e r 于1 9 7 8 年首次利用密码学技术设计了适用 于大规模计算机通信网络的n s 认证方案1 5 j ，以一次性随机数作为“挑战”证明 相互通信用户的身份。在n s 方案中，认证和密钥分配基于可信赖的第三方 认证服务器。这以后，广大爱好者开始系统地研究如何利用密码学技术来设计身 份认证方案。1 9 8 1 年，d e d e n n i n g 和g m s a c c o 分析了n s 方案，并指出由于 认证服务器传给用户的消息中没有包含任何证明消息新鲜性的信息，导致该方案 容易遭受重放攻击的威胁。随后二人采用时间戳技术对n - s 方案进行了改进，提 出了d e n n i n g s a c c o 方案 6 1 。基于这两种方案，m i t 开发了k e r b e r o s 认证方案1 7 。 k e r b e r o s 认证方案公开后受到了各方面的分析t s g a o j ，人们指出方案在实际应用中 存在的不足，其中对时日j 戳技术的争议最多。因为在大型的计算机网络系统中很 难做到严格的时问同步，这样方案中的认证消息就需要有效期。有效期过长，则 方案容易遭受重放攻击；有效期过短就会影响方案的有效性。为此，人们开始寻 找其它的方法来取代时白j 戳技术，并设计相应的认证方案。r k b a u e r ，t a b e r s o n 和r j f r e i e r t a g 提出了利用累加器值的新鲜性来证明认证消息的新鲜性，以期替代 时间戳。然而，认证双方的累加器仍然需要同步，即便是累加器对同步的要求没 有时间戳那么敏感，但是在网络用户较多的情况下，维持同步仍然具有很大的难 度。a k e h n e 等提出了采用随机数技术和由验证者自己产生时f j j 戳的方法束证实消 3 上海水产人学硕十学何论文 息新鲜性的认证方案【“j ，该方案也利用了时间戳，但是并不像k e r b e r o s 方案那样 严格要求系统时钟同步。n e u m a n ”j 等对该方案进行了改进。对于如何证明消息新 鲜性的研究，目i j i 仍然停留在随机数、时问戳和累加器这三种方法上。 基于杂凑函数的算法比加密算法容易设计并且运算速度快，l g o n g 于1 9 8 9 年提出了利用杂凑函数来设计认证方案的新思想。后来r b i r d 等人将这一思想与 对称密钥密码体制相结合，设计了一类运算量很小而且容易实现的认证方案一 k r y p t o k n i g h t 方案 1 3 j 。 以上所讨论的认证方案主要是基于对称密钥密码体制的。对称密钥密码技术 发展的时间较长，而且也较为成熟，算法简单，所以基于该密码机制的身份认证 方案计算复杂度低，易于实现，但是不足之处也很明显：对称密钥密码技术要求通 信双方必须共享同一个密钥，密钥的安全管理十分复杂。w d i f f i e 和m e h e l l m a n 提出了非对称密钥密码的新思想，并且给出了基于离散对数的密钥交换方案 d i f f i e h e l l m a n 方案u “，揭开了密码学研究的新篇章。1 9 7 8 年，m i t 的 r r i v e s t ，a s h a m i r 和l a d l e m a n 提出了r s a 密码体制u “，该体制是现在使用最为 广泛的非对称密钥密码体制。非对称密钥密码体制的计算复杂度较高，但是由于 不要求保密通信的双方事先共享任何秘密信息，可以有效地简化网络结构，因而 更适合用于大型计算机通信网络。 基于可信第三方的认证方案人们也作了大量研究。n e e d h a m s c h r o e d e r 认证方 案及其改进方案1 1 6 j 是较为完善的基于可信第三方的认证方案。s p x 方案u 7 】是由数 据设备公司开发的网络认证方案，其机制与k e r b e r o s 类似，采用了公钥密码体制 和单钥密码体制相结合的方法。t h a r d j o n o ，j s e b e r r y 提出了k u p e r e e 认证方案b ”， 该方案的认证机制也与k e r b e m s 相似，但是采用了公钥密码体制。 基于物理介质的身份认证也是目前广泛应用的用来证实身份的手段，在实际 使用过程中通常与其他技术一起使用。例如银行的a t m 卡必须要有口令即用户的 p i n ( p e r s o n a li d e n t i f i c a t i o nn u m b e 0 码，才能从a t m 机上提取现款。身份认证令牌 的主要优点是能够存储足够大的秘密，而且也不容易被复制，它需要诸如磁卡、i c 卡等特殊的硬件。i c 卡等身份令牌存在遗失或被盗的情况，使用口令来保护它就 可以增加安全性。i c 卡是一种内置集成电路的卡片，卡片中存有与用户身份相关 的数据， i c 卡由专门的厂商通过专门的设备生产，可以认为是不可复制的硬件。 然而由于每次从i c 卡中读取的数据还是静念的，通过内存扫描或网络监听等技术 还是很容易截取到用户的身份验证信息。而且由于磁卡不具有数据处理能力，持 卡人无法验证系统的真伪。因此，这种静态验证的方式还是存在根本的安全隐患。 动态口令技术是一种让用户的密码按照时f 日j 或使用次数不断动念变化，每个 4 上海水产人学硕十学位论文 密码只使用一次的技术。它采用一种称之为动态令牌的专用硬件，内置电源、密 码生成芯片和显示屏，密码生成芯片运行专门的密码算法，根据当前时间或使用 次数生成当前密码并显示在显示屏上。认证服务器采用相同的算法计算当前的有 效密码。用户使用时只需要将动态令牌上显示的当前密码输入客户端计算机，即 可实现身份的确认。由于每次使用的密码必须由动态令牌来产生，只有合法用户 才持有该硬件，所以只要密码验证通过就可以认为该用户的身份是可靠的。而用 户每次使用的密码都不相同，即使黑客截获了一次密码，也无法利用这个密码来 仿冒合法用户的身份。动态口令技术采用一次一密( o t p ) 的方法，有效地保证了用 户身份的安全性。但是如果客户端硬件与服务器端程序的时间或次数不能保持良 好的同步，就可能发生合法用户无法登陆的问题。并且用户每次登录时还需要通 过键盘输入一长串无规律的密码，一旦看错或输错就要重新来过，用户的使用非 常不方便。 生物特征认证是指采用每个人独一无二的生物特征来验证用户身份的技术。 常见的有指纹识别、声音识别、虹膜识别等。从理论上说，生物特征认证是最可 靠的身份认证方式，因为它直接使用人的物理特征来表示每一个人的数字身份， 不同的人具有相同生物特征的可能性可以忽略不计，因此几乎不可能被仿冒。作 为身份识别的依据，指纹的应用已经比较广泛，然而指纹识别易受脱皮、出汗、 干燥等外界条件的影响，并且这种接触式的识别方法要求用户直接接触公用的传 感器，给使用者带来了不便。随着不久前非典型性肺炎、禽流感等疾病的传播， 非接触式的生物特征识别将成为身份认证发展的必然趋势。生物特征认证基于生 物特征识别技术，受到现有的生物特征识别技术成熟度的影响，采用生物特征认 证还具有较大的局限性。首先，生物特征识别的准确性和稳定性还有待提高，特 别是如果用户身体受到伤病或污渍的影响，往往导致无法正常识别，造成合法用 户无法登陆的情况。其次，由于研发投入较大和产量较小的原因，生物特征认证 系统的成本非常高，目前只适合于一些安全性要求非常高的场合如银行、部队等 使用，还无法做到大面积推广【1 9 j 。 基于u s bk e y 的身份认证方式是近几年发展起来的一种方便、安全、经济的 身份认证技术，它采用软硬件相结合一次一密的强双因子认证模式，很好地解决 了安全性与易用性之间的矛盾。u s bk e y 是一种u s b 接口的硬件设备，它内置单 片机或智能卡芯片，可以存储用户的密钥或数字证书，将密码学算法内置于u s b k e y 实现对用户身份的认证。基于u s bk e y 身份认证系统毛要有两种应用模式： 一是基于冲击响应的认证模式，二是基于p k i 体系的认证模式。 5 上海水产人。硕十学位论文 1 3 课题的研究意义 本课题的研究意义不只是在于实现了上海市市民信箱身份认证系统模型，因 为随着i n t e r a c t 的发展，尤其是电子商务的出现和迅速发展，信息安全问题己成为 社会关注的热点，特别是网络环境下的信息安全己成为影响国家安全、经济发展、 社会稳定的重大关键问题。研制和开发适合不同网络环境下的身份认证系统具有 重要意义和重大的社会经济效益和广阔应用前景。身份认证服务是提供网络安全 中其他安全服务的前提和基础。如果不能准确识别网络通信端对端实体的真实身 份，所谓电子商务和政务电子化、办公自动化必将成为空谈，也就不可能在我国 建设一个稳定的、有序的、能良性发展的公用网络通信平台。特别是安全管理方 面，国外对我国仍然有很多技术出口限制，例如允许出口安全软件加密强度都很 低，而且核心机密完全掌握在别人手中。同时，网络安全事关国家主权和安危的 问题，我们必须依靠自己的力量来解决。因此，对该系统的研制开发将有利于我 国信息化建设和发展。 1 4 论文结构 本文共分为7 章，每章的主要内容如下： ( 1 ) 第一章：绪论。这一章主要介绍了本课题的来源，提出了本文的主要研究 任务，分析了国内外相关技术发展状况，说明了本课题研究的意义。 ( 2 ) 第二章：身份认证技术研究。这一章对身份认证技术进行深入的研究，首 先介绍了身份认证的概念、s i m m o n s 认证系统的信息理论以及身份信息的表示方 法，接着讨论了网络环境下身份认证系统及其可能遭受的攻击和威胁，最后分析 了目前主要的几种身份认证方式。 ( 3 ) 第三章：身份认证协议和认证机制分析。这一章主要是对身份认证协议和 身份认证机制进行了分析，介绍了认证协议的设计、分析方法和安全性；然后论 述了已有的身份认证系统的主要认证机制，并且对在网络环境中使用身份认证机 制的常见认证协议进行了分析。 ( 4 ) 第四章：身份认证的密码学理论基础。这一章首先介绍了现代密码学的主 要内容，随后分析了s h a n n o n 保密系统的信息理论，紧接着分析了对称加密和非 对称加密体制的工作原理、典型算法和优缺点， 最后再介绍了完整性机制原理、 不可否认机制原理以及与公钥认证机制密切联系的数字签名的概念。 ( 5 ) 第“錾：市民信箱身份认证系统模型设计。这一章主要i 羊细介绍了市民信 6 上海水产人学硕l 学位论文 箱身份认证系统的原理，然后分析了本系统所用到的m d 5 算法和r s a 加解密运 算设计，接着分析了客户端u s bk e y 认证信息的初始化过程以及有关的u s bk e y 原理，最后介绍了本系统中我们所设计的身份认证协议并对其安全性进行了分析。 ( 6 ) 第六章：市民信箱身份认证系统模型实现。这一章介绍了市民信箱身份认 证系统模型的具体实现过程，主要详细介绍了认证系统客户端流程和服务器端流 程，然后对模型系统的主要代码结构进行了分析，最后举例说明了模型的使用过 程，并对该模型系统的优点和缺点进行了分析。 ( 7 ) 第七章：总结及展望。 1 5 小结 本章介绍了本课题的来源，提出了本文的主要研究任务，分析了国内外相关 技术发展状况，说明了本课题研究的意义，最后介绍了本论文的组织结构。 上海水产人学硕十学何论文 第二章身份认证技术研究 身份认证是安全通信的第一步，当网络中的两个通信实体彼此互不信任时， 就必须进行身份认证。身份认证机制可以识别网络事务中所涉及到的各种身份， 防止身份欺诈，保证通信参与各方身份的真实性，从而保证网络活动的正常进行。 d i f f i e 和h e i l m a n 于1 9 7 6 年发表了“密码学的新方向”一文【驯，使人们认识到加 密和认证是信息安全的两个不同方向。认证理论和技术远不如信息保密那么成熟 和完善，由于其在现代通信中尤其是在开放型的网络环境中的重要性，越来越受 到人们的重视，发展极为迅速。1 9 7 8 年r s a 方案的提出，使得加密信道和认证信 道进行了分离，1 9 8 4 年s i m m o n 认证理论【2 1 , 2 2 , 2 3 j 的建立，使得信息认证有了理论 依据。 2 1 身份认证的概念 身份认证是系统审查用户身份的过程，实质上是查明用户是否具有他所出示 的对某种资源的使用和访问权力。身份认证通过标识和鉴别用户的身份，提供了 判明和确认通信双方真实身份的机制。身份认证采用各种先进技术，确认系统访 问者的身份和权限，使计算机系统的访问控制策略能够可靠地执行，防止攻击者 假冒合法用户获取访问权限，从而保证系统和数据的安全以及授权访问者的合法 利益。 身份认证的本质是被认证方有一