CN113904833B - 一种基于门限的动态多因素身份认证方法和通信方法 - Google Patents

Abstract

本发明公开了一种基于门限的动态多因素身份认证方法和通信方法。本发明允许用户通过口令、多个可选设备、生物特征进行身份认证，支持用户根据需求从n个认证因素中自主选择t个因素进行认证。利用基于门限的不经意伪随机函数和认证密钥交换协议构造门限多因素认证协议框架。本发明使用除口令外其他t‑1个因素中的任意一个，通过修改的TOPRF协议将口令增强为随机密钥，使用该随机密钥运行AKE协议进行身份认证。除口令外，其他因素都对应TOPRF中的一个密钥。设备因素的密钥存储在本地，生物因素通过模糊提取技术将用户生物特征提取成密钥，以防止服务器存储文件泄漏时发生生物因素泄漏。

Description

一种基于门限的动态多因素身份认证方法和通信方法

技术领域

本发明属于信息安全技术领域，涉及一种动态的、实用的用户身份认证方法，尤其涉及一种基于门限的动态多因素身份认证协议设计和实现方法。

背景技术

近年来，多因素认证(Multi-factor Authentication，MFA)逐渐深入人们的生产生活中。如基于银行卡和PIN码的认证方式、基于口令和短信验证码的认证、基于生物特征和电子护照的认证等。用户的认证因素通常分为三类：用户所知(如口令、PIN码等)、用户所有(如智能卡、智能手机等)、用户所是(如声音、指纹等)，多因素认证方式即是将其中的多个因素相结合。与基于单一因素的认证方式不同，多因素认证要求用户认证时出示t个指定因素，攻击者只有在同时获得t个因素的情况下才能仿冒用户，增强了认证的安全性。

然而，现有的多因素认证方式均要求用户出示t个固定因素。例如GoogleAuthenticator要求同时提供口令和PIN码。Jarecki等人在文献1(Jarecki S，Krawczyk H，Shirvanian M，et al.Two-Factor Authentication with End-to-End PasswordSecurity[J].IACR International Workshop on Public Key Cryptography，2018.431-461.)中提出的OpTFA协议要求用户认证时同时提供口令和智能手机。Far等人在文献2(FarH，Bayat M，Das A K，et al.LAPTAS：lightweight anonymous privacy-preservingthree-factor authentication scheme for WSN-based IIoT[J].Wireless Networks，2021，27(4)：1-24.)中提出的LAPTAS协议要求同时提供口令、智能卡和生物特征。由于“静态”多因素认证方式要求用户随时随地携带t个因素，限制了用户使用因素的灵活性。

同时，t个固定因素也限制了多因素认证的安全性。一般来说，认证因素越多(如t＝5)，认证系统所能提供的安全性越高，而我们难以要求用户同时携带更多的认证因素维持安全性。例如，现实生活中通常采用双因素认证或三因素认证，其安全性远不如五因素认证，但要求用户同时携带5个认证因素不具备可行性。

调查发现，用户在家庭中或工作场所中拥有多个电子设备已成为常态。例如家庭中的智能音箱、工作场所中的内网服务器，而出行时便于携带的智能手机、智能手表、平板电脑也为较多用户所拥有。甚至不常用的旧手机也可以用作备用认证因素。目前尚未有研究考虑动态的多因素身份认证。

发明内容

本发明提供一种通用的动态多因素用户身份认证方法和通信方法，允许用户通过口令、多个可选设备、生物特征进行身份认证，支持用户根据需求从n个认证因素中自主选择t个因素进行认证。利用基于门限的不经意伪随机函数(Threshold ObliviousPseudorandom Function，TOPRF)和认证密钥交换协议(Authenticated Key-Exchange，AKE)构造门限多因素认证协议框架(Threshold Multi-factor Authentication，TMFA)。本发明的主要思想是使用除口令外其他t-1个因素中的任意一个，通过修改的TOPRF协议将口令增强为随机密钥，使用该随机密钥运行AKE协议进行身份认证。除口令外，其他因素都对应TOPRF中的一个密钥。设备因素的密钥存储在本地，生物因素通过模糊提取技术将用户生物特征提取成密钥，以防止服务器存储文件泄漏时发生生物因素泄漏。TOPRF保证了动态多因素认证协议中因素对服务器的不可见性，即服务器并未获知用户注册了哪些因素进行身份认证。进一步保证了即使服务器被攻击者捕获，用户的认证因素仍然安全。再者，利用门限方案的刷新机制，TMFA协议能实现远程撤销故障设备的功能。本发明提高了多因素协议的安全性，有效实现了多因素身份认证中用户使用因素的灵活性。

本发明提供的技术方案如下：

一、m-TOPRF协议

由于口令无需携带，且不会丢失，本发明要求口令作为必选因素。故本发明对TOPRF协议做出相应修改，得到m-TOPRF协议。具体来说，TOPRF允许服务器和客户端通过该协议运行伪随机函数(Pseudorandom Function，PRF)，其中，服务器拥有密钥s，客户端输入x。协议运行后，客户端得到伪随机函数值F_s(x)，但客户端不知道关于密钥s的任何信息，同时服务器不知道关于输入x的任何信息。对于TOPRF，密钥s由多个服务器分享，即s被划分为n个影子

可以防止某一台服务器被攻击导致密钥泄漏。其中，典型的(t，n)TOPRF协议里存在n台服务器分割共享密钥s，认证过程要求至少t台服务器同时运行TOPRF协议以恢复出密钥s。当不超过t台服务器被攻击时，攻击者无法离线获得正确的输出F_s(x)。

m-TOPRF要求从n个实体中固定一个实体。即m-TOPRF中存在1台主服务器，和n-1台其他服务器，与1个客户端运行协议。其中，1台主服务器分享一半密钥，其他n-1台服务器分享另一半密钥。这一改变可通过访问结构(Access structure)实现，访问结构可以设置各实体的组合来构造m-TOPRF。简言之，主服务器持有一半密钥，其余各服务器分别持有另一半密钥的

如此一来，可以使用(2，2)秘密共享和(t-1，n-1)秘密共享构造m-TOPRF。其中，m-TOPRF的密钥s被(2，2)秘密共享划分为s₁，s₂两部分，s₂被(t-1，n-1)秘密共享划分为

主服务器持有s₁，其余各服务器分别持有s_2i。为构造秘密s，需要s₁和t-1个共享的

共同参与重构。这里，以客户端输入口令为例对m-TOPRF协议进行描述：

初始化阶段

1.客户端C随机生成密钥s，以及s的影子s₁和s₂，满足s＝s₁+s₂。客户端C发送s₁给主服务器S₁。然后，客户端C通过(t-1，n-1)秘密共享生成s₂的影子s_2i，并分别将s_2i发送给n-1台S₂服务器。各服务器存储各自的影子。

认证阶段

1.用户在客户端C上输入口令pw选择随机数r，计算α←H(pw)^r。其中，左箭头表示赋值，H()表示哈希函数。客户端C将α分别发送给S₁和t-1台S₂服务器。客户端C从n-1台其他服务器里选择t-1台服务器，记这些服务器中第i台服务器的索引值为i，索引集合为I，即t-1台服务器分别为

2.各服务器接收到来自客户端C的消息后，S₁计算

各

算

S₁将

发送给客户端C。各

将

发送给客户端C。

3.客户端C接收到来自各服务器的消息后，计算

其中，λ_i表示i在I中的拉格朗日插值系数。

注意，此处客户端上的输入可以不止是用户口令，也可以是其他任意值。

二、TMFA基本原理

TMFA协议建立在m-TOPRF和AKE协议之上。TMFA里存在1个服务器(对应m-TOPRF中的主服务器)，用于处理用户口令，及实现认证。同时还包括1个客户端，方便用户输入，以及其他n-1个因素，一般为设备(对应m-TOPRF中的其他n-1个服务器)，如智能手机、智能手表等。这n-1中也可以包括生物因素，通过模糊验证技术进行提取。TMFA协议工作原理如下：

(1)用户在客户端输入口令pw运行m-TOPRF协议，通过服务器和任意t-1台设备将用户口令pw增强为随机密钥rw。

(2)用户使用rw解密设备中存储的密文c(该密文为注册阶段用户和服务器协商生成，并存储在设备中)，获得AKE协议的用户私钥k_U和服务器公钥K_S。

(3)用户使用密钥k_U和K_S与服务器运行AKE协议，输出AKE协议的会话密钥。

本发明的有益效果是：

本发明提供一种基于门限的动态多因素身份认证协议的设计方法和多因素身份认证。该方法具有通用性，支持任意设备。利用本发明提供的技术方案，可以实现用户从n个认证因素中自主选择t个(每次可不同)因素进行认证，既提高了多因素协议的安全性，又具备更高的用户友好性。实现了动态多因素身份认证。

附图说明

图1是本发明的动态多因素认证协议的架构图。

具体实施方式

下面结合附图，通过实施例进一步描述本发明，但不以任何方式限制本发明的范围。

利用本发明提供方法设计的基于口令、多设备、生物特征进行的动态多因素用户身份认证，提高了现有密钥交换协议的安全性，支持用户根据需求随机从n个因素中自主选择t个认证因素进行认证，同时具备前向安全性、用户友好性等基本安全属性。实现了安全高效的动态多因素认证。

本发明的用户身份认证过程包括初始化阶段、用户注册和认证阶段。图1所示是本发明的身份认证协议的基本架构。其中的AKE协议以HMQV协议为例对本发明进行说明。注意，文中的左箭头(即←)表示赋值，$表示随机选取。初始化阶段是在安全信道上，认证和密钥交换是在公开信道(不安全)上；初始化阶段只需要执行一次，必须先完成初始化，才能执行认证阶段。认证阶段可以多次执行。

系统参数

本阶段在用户初始化之前，完成系统参数定义。

1.G₁、G₂是循环群，g₁、g₂分别为循环群G₁、G₂的生成元，G₁、G₂的阶分别为m₁、m₂；

2.H₁、H′₁、H₂和H′₂表示哈希函数，值域分别为

{0，1}^l、

和{0，1}^l。其中，l表示会话密钥的长度。

3.加密协议(Enc，Dec)。

初始化阶段

2.客户端C生成密钥s，以及s的影子s_D和s_S，满足s＝s_D+s_S。客户端C发送s_S给服务器S。然后，客户端C通过(t-1，n-1)秘密共享生成s_D的影子

并分别将

发送给各设备D_i。客户端C计算rw←H₁(pw，H′₁(pw)^s)。

3.客户端C通过

和

生成用户的私钥和公钥(k_U，K_U)，其中k_U为用户的私钥，K_U为用户的公钥。客户端C利用随机密钥rw加密用户私钥和服务器公钥(k_U，K_S)，生成密文c，其中K_S为服务器公钥。客户端C将用户公钥K_U发送给服务器S，将密文c发送给各设备D_i(1≤i≤n-1)。

4.各设备D_i存储密文c和各自的影子

5.服务器S通过

和

生成服务器的私钥和公钥(k_s，K_S)。服务器S发送服务器公钥K_S给客户端C，服务器S存储用户公钥K_U和影子s_S。

认证与密钥协商阶段

4.客户端C选择随机数

计算α＝H′₁(pw)^r。客户端C根据需求选择t-1台设备，设置索引值I。客户端C继续选择随机数

计算

客户端C将(U，X，α)发送给服务器S，客户端C将(U，S，α)发送给各设备D_i(i∈I)；U代表用户名。

5.各设备D_i接收到来自客户端C的消息(U，S，α)，设备D_i计算

将

发送给客户端C。

6.服务器S接收到来自客户端C的消息(U，X，α)，服务器S选择随机数

计算

服务器S将(Y，β_S)发送给客户端C，并输出会话密钥SK。

7.客户端C接收到来自服务器S的消息(Y，β_S)和来自各设备D_i的消息

客户端C计算

k_U，K_S←Dec_rw(c)，

输出会话密钥SK。其中，λ_i表示i在I中的拉格朗日插值系数

8.客户端C利用生成的会话密钥SK加密通信消息，发送给服务器S，若服务器S利用生成的会话密钥SK解密后得到可识别的消息，则认证成功。

需要注意的是，公布实施例的目的在于帮助进一步理解本发明，但是本领域的技术人员可以理解：在不脱离本发明及所附权利要求的精神和范围内，各种替换和修改都是可能的。因此，本发明不应局限于实施例所公开的内容，本发明要求保护的范围以权利要求书界定的范围为准。

Claims (4)

1.一种基于门限的动态多因素身份认证方法，其步骤包括：

初始化阶段，执行步骤1)～4)：

1)选取循环群G₁、G₂，g₁、g₂分别为循环群G₁、G₂的生成元，G₁、G₂的阶分别为m₁、m₂；选取哈希函数H₁、H′₁、H₂和H′₂，值域分别为

{0,1}^l、

和{0,1}^l，l表示会话密钥的长度；

2)客户端C生成密钥s，以及s的影子s_D和s_S，满足s＝s_D+s_S；客户端C发送s_S给服务器S，客户端C通过(t-1,n-1)秘密共享将s_D划分为n-1份分片并发送给各设备；客户端C根据用户在客户端输入认证因素pw计算rw←H₁(pw,H′₁(pw)^s)；其中设备D_i持有对s_D划分所得的第i份共享分片

n为用户设定的认证因素总数，t为参与认证的认证因素个数，n-1台设备中的每一设备用于采集或存储用户的一认证因素；

3)客户端C通过

和

生成用户的私钥k_U和公钥K_U，然后客户端C利用随机密钥rw加密用户私钥和服务器公钥(k_U,K_S)，生成密文c；其中K_S为服务器公钥；客户端C将用户公钥K_U发送给服务器S，将密文c发送给各设备；其中，←表示赋值，$表示随机选取；

4)服务器S通过

和

生成服务器的私钥k_s和公钥K_S，然后服务器S发送服务器公钥K_S给客户端C，服务器S存储用户公钥K_U和影子s_S；认证阶段，执行步骤5)～9)：

5)客户端C选择随机数r，计算α＝H′₁(pw)^r；客户端C根据需求选择t-1台设备并为所选设备分别设置一索引值，得到一索引值集合I；其中该t-1台设备中第i台设备的索引值为i；客户端C继续选择随机数x，计算

客户端C将(U,X,α)发送给服务器S，客户端C将(U,S,α)发送给各设备；U代表用户名；

6)每一设备D_i根据收到的消息(U,S,α)计算

将

发送给客户端C；i＝1～n-1；

7)服务器S接收到来自客户端C的消息(U,X,α)，服务器S选择随机数

计算

然后将(Y,β_S)发送给客户端C；

8)客户端C接收到来自服务器S的消息(Y,β_S)和各设备D_i的消息

计算

其中，λ_i表示i在I中的拉格朗日插值系数；用户使用rw解密密文c获得用户私钥k_U和服务器公钥K_S；

输出会话密钥SK；

9)客户端C利用生成的会话密钥SK加密通信消息，发送给服务器S，若服务器S利用生成的会话密钥SK解密后得到可识别的消息，则认证成功。

2.如权利要求1所述的方法，其特征在于，所述认证因素pw为用户口令或生物因素。

3.如权利要求1所述的方法，其特征在于，所述设备包括手机、智能手表、智能音箱和平板电脑。

4.一种基于门限的动态多因素身份认证的通信方法

1)选取循环群G₁、G₂，g₁、g₂分别为循环群G₁、G₂的生成元，G₁、G₂的阶分别为m₁、m₂；选取哈希函数H₁、H′₁、H₂和H′₂，值域分别为

{0,1}^l、

和{0,1}^l，l表示会话密钥的长度；

2)客户端C生成密钥s，以及s的影子s_D和s_S，满足s＝s_D+s_S；客户端C发送s_S给服务器S，客户端C通过(t-1,n-1)秘密共享将s_D划分为n-1份分片并发送给各设备；客户端C根据用户在客户端输入认证因素pw计算rw←H₁(pw,H′₁(pw)^s)；其中设备D_i持有对s_D划分所得的第i份共享分片

n为用户设定的认证因素总数，t为参与认证的认证因素个数，n-1台设备中的每一设备用于采集或存储用户的一认证因素；

3)客户端C通过

和

生成用户的私钥k_U和公钥K_U，然后客户端C利用随机密钥rw加密用户私钥和服务器公钥(k_U,K_S)，生成密文c；其中K_S为服务器公钥；客户端C将用户公钥K_U发送给服务器S，将密文c发送给各设备；其中，←表示赋值，$表示随机选取；

4)服务器S通过

和

生成服务器的私钥k_s和公钥K_S，然后服务器S发送服务器公钥K_S给客户端C，服务器S存储用户公钥K_U和影子s_S；

5)客户端C选择随机数r，计算α＝H′₁(pw)^r；客户端C根据需求选择t-1台设备，并为所选设备分别设置一索引值，得到一索引值集合I；其中该t-1台设备中第i台设备的索引值为i；客户端C继续选择随机数x，计算

客户端C将(U,X,α)发送给服务器S，客户端C将(U,S,α)发送给各设备；U代表用户名；

6)每一设备D_i根据收到的消息(U,S,α)计算

将

发送给客户端C；i＝1～n-1；

7)服务器S接收到来自客户端C的消息(U,X,α)，服务器S选择随机数

计算

然后将(Y,β_S)发送给客户端C，并输出会话密钥SK；

8)客户端C接收到来自服务器S的消息(Y,β_S)和各设备D_i的消息

计算

用户使用rw解密密文c获得用户私钥k_U和服务器公钥K_S，

输出会话密钥SK；其中，λ_i表示i在I中的拉格朗日插值系数。

Images