CN1276342C

CN1276342C - 基于动态口令的身份鉴别方法

Info

Publication number: CN1276342C
Application number: CN 01108417
Authority: CN
Inventors: 袁丁; 范平志
Original assignee: Individual
Current assignee: Individual
Priority date: 2001-05-11
Filing date: 2001-05-11
Publication date: 2006-09-20
Anticipated expiration: 2021-05-11
Also published as: CN1385781A

Abstract

本发明公布了一种基于动态口令的用户身份鉴别方法，可以运用在诸如远程网络登录，数据库访问，电子商务，电子邮件等多种应用中。本发明具有以下特点：(1)不使用类似于IC卡这样的存储介质，以避免增加用户的额外开销；(2)可以抵御重传攻击，“中间人”攻击，字典攻击等，具有很好的安全性；(3)方案简单，易于编程实现。

Description

基于动态口令的身份鉴别方法

技术领域

本发明涉及一种在网络通信中基于客户/服务器模式下客户端合法身份的安全鉴别的方法。

发明背景

随着互联网应用，特别是电子商务的迅猛发展，网络用户的身份识别变得越来越重要。目前，已出现许多身份识别方法，但最为流行并行之有效的是基于口令的身份鉴别方法。

目前，基于口令的身份鉴别系统最为常用的做法是：用户在服务器端注册自己的用户名和口令，然后服务器将用户名和口令保留在一个口令文件中。在用户登录识别时，用户端输入用户名和口令并传给服务器；服务器端将接收到的信息与用户注册的用户名和口令进行比较；若两者相同，则认为用户的身份是合法的，否则服务器将拒绝用户的登录访问请求。一般而言，用户的口令在网络传送过程中是经过加密的，故具有一定程度的安全性。

但是，该方法有两个明显的缺陷：(1)若服务器中保留的用户口令文件一旦丢失，则系统中所有用户的口令均有可能被他人盗用，从而使整个系统均不安全；(2)一个非法的第三者可以在口令传输过程中，通过网络截获用户的口令，无论该口令是否加密，非法入侵者都可以使用该截获到的口令冒充合法用户骗取服务器的信任而登录系统，这就是密码学中的所谓重传攻击。

为了解决上述问题，一种方案是服务器首先将用户的口令作一次杂凑运算后再存放在口令文件中。所谓杂凑运算或杂凑算法，就是将一个任意长的数字字符串X通过一个映射方法变成一个较短的定长数字串，记为E(X)。杂凑运算的一个主要特性是已知X，我们很容易计算E(X)；反之，已知E(X)，却难于计算出X。在这里，“难”定义成：即使世界上所有计算机都用来计算，从E(X)计算出X也要花费数百万年的时间。打碎盘子就是一个很好的杂凑运算的例子。把盘子打碎成数千片碎片是很容易的事情，然而，要把所有的碎片再拼成一个完整的盘子，却是非常困难的事情。典型的杂凑算法有MD4、MD5、SHA等，详情可参阅“吴世忠，祝世雄，张文政等译，《应用密码学：协议、算法与C源程序》，机械工业出版社，第307-330页”。使用杂凑算法处理口令文件的好处是即便服务器保留的口令文件丢失，也不至于暴露整个系统的用户口令。换言之，该方法可以解决上述的问题1，但仍然无法解决问题2。因而，重传攻击的弱点依然存在。

实际上，一个较好的解决思路是让用户每次请求服务时传输的口令信息动态变化。这样，就可以有效地抵御重传攻击。目前，基于该思路的方法有许多种，比如中国专利(98109269，97118429)，以及美国专利(6161178，6088143)等。但是，这些方法均要使用类似于IC卡这样的存储介质，并且存在以下的安全隐患和不足：(1)存在字典攻击的可能性。为了便于记忆，用户口令一般只有4-8个字符，非法的第三方可以截获网上传输的用户口令信息，进行字典遍历查找，从而使字典攻击成为一种可能；(2)由于用户要购买类似于IC卡这样的存储介质，不可避免地要增加额外开销；(3)用户不管到世界上任何地方去，都必须带上类似于IC卡这样的存储装置，否则无法上网登录，这给用户带来了许多不便之处。

基于上述分析，本发明提出了一个新的口令鉴别方案。该方案具有以下特点：(1)不用类似于IC卡这样的存储介质；(2)可以抵御重传攻击；(3)可以抵御字典攻击；(4)方案简单，易于编程实现。

发明内容

为了便于描述本项发明内容，下面先就相关数学符号作一个解释说明。

(1)ID表示用户的身份证(如用户名)，S表示用户的口令。这里需要说明的是S只是用户登录请求时在口令录入界面中输入的内容，而实际上在网上传输的是对S进行变换后的一个动态口令。而ID一旦选定，则不能变更。

(2)E(X)表示对字符串X进行一次杂凑运算，E²(X)表示对X进行两次杂凑运算。

(3)N_n表示用户在第n次鉴别时产生的一个随机数。

(4)M_n表示服务器第n次鉴别时产生的一个随机数。

(5)V_n表示用户的第n次口令验证因子，由服务器保留。用户每次成功登录后，V_n均会被服务器更新为V_n+1，即它是一个动态变化的值。V_n’是服务器基于接收到的用户数据计算得到的口令验证因子。由于数据通过不安全信道传输，故等式V_n＝V_n’不一定成立。若V_n＝V_n’，则认为用户身份合法；否则，用户身份非法。

(6)H_nj(j＝1，2)表示第n次鉴别时服务器发送给用户端的数据。由于数据通过不安全信道传输，用户接收到的数据不一定是H_nj，为了区分，用H_nj’(j＝1，2)表示。

(7)C_nj(j＝1，2，3，4)表示第n次鉴别时用户端发送给服务器的数据。由于数据通过不安全信道传输，服务器接收到的数据不一定是C_nj，为了区分，用C_nj’(j＝1，2，3，4)表示。

(8)表示通常意义下的异或运算符。

(9)//表示级联运算符，例如，S//N₁表示将用户口令S的尾部与随机数N₁首部相连接，从而形成一个更长的数据。

本发明分为两个阶段：注册阶段和认证鉴别阶段。

注册阶段(见图1)

1、用户选择自己的身份证ID和口令S，选择一个随机数N₁，再利用选定的杂凑函数计算初始口令验证因子V₁＝E²(S//N₁)。

2、用户将身份证ID，随机数N₁和计算值V₁通过安全信道传给服务器(可通过面对面直接递交、特快专递或挂号邮件递交)。

3、服务器收到上述数据后，在服务器端生成一个系统口令文件，该文件中的每一个记录由用户的身份证ID，一个随机数N₁和初始口令验证因子V₁组成。其中，V₁将作为用户的第一次口令验证因子。

认证鉴别阶段(见图2)

对于第n次身份鉴别，n＝1，2，3，…，按如下顺序进行：

1、用户将自己的身份证ID及登录服务请求发送给服务器；

2、服务器由用户ID在系统口令文件中查找用户口令验证因子V_n及用户前一次产生的随机数N_n，若查不到则拒绝服务；查到后，服务器产生一个随机数M_n，计算H_n1＝M_nV_n，即通过用户的口令验证因子将M_n屏蔽，然后将数据H_n1，H_n2＝N_n发送给用户；

3、用户使用口令S和接收到的H_n2’计算E(S//H_n2’)和E²(S//H_n2’)，并用E²(S//H_n2’)与接收到的数据H_n1’作异或运算，从而得到M_n’；产生一个新的随机数N_n+1，计算下面的数据并发送给服务器，

C_n1＝E(S//H_n2’)E(M_n’)，C_n2＝E²(S//N_n+1)E²(M_n’)

C_n3＝E(N_n+1//E²(S//N_n+1))，C_n4＝N_n+1

注意：数据C_n1在第n次认证时使用，数据C_n2在第n+1次认证时使用，数据C_n3供服务器检验新口令验证因子E²(S//N_n+1)和随机数N_n+1是否被人为修改或由于网络的不可靠性使数据传输出现差错，从而确保整个系统的可靠性。

4、服务器端用已产生的随机数M_n和计算值E(M_n)对接收到的数据C_n1’做异或运算，并计算V_n’＝E(C_n1’E(M_n))，将计算得到的V_n’与存储在服务器口令文件中的合法口令验证因子V_n进行比较验证。

5、若V_n’≠V_n，则认为用户身份非法，服务器将拒绝用户的登录请求，同时已有的用户口令验证因子V_n和随机数N_n将保持不变。

6、若V_n’＝V_n，则认为用户身份合法，并利用计算值E²(M_n)从接收到的数据C_n2’中恢复出新的口令验证因子V_n+1’＝C_n2’E²(M_n)，为确保服务器口令文件数据的安全性，同时做如下检验：判断等式C_n3’＝E(V_n+1’//C_n4’)是否成立。若成立，则服务器接受用户的服务请求，存储V_n+1和N_n+1以供下次登录使用，已有的口令验证因子V_n＝E²(S//N_n)和随机数N_n将被V_n+1’和C_n4’取代；否则，服务器将拒绝用户的登录请求，同时已有的用户口令验证因子V_n和随机数N_n将保持不变。

安全性分析

本发明方案简单，易于编程实现。由于不使用类似于IC卡这样的存储介质，可以避免增加用户的额外开销。此外，本发明还具有很好的安全性，可以抵御如下攻击：

1、抵御重传攻击

由于每次在信道上传的用户登录验证数据都不同，所以可抵御重传攻击。

2、抵御“中间人”攻击

所谓“中间人”攻击，指非法第三方通过截获相邻两次用户的动态口令，从而可以插入自己的口令来伪造合法用户，对系统实施攻击。假设攻击者截获了下面两组数据：

E(S//N_n)E(M_n)，E²(S//N_n+1)E²(M_n)

E(S//N_n+1)E(M_n+1)，E²(S//N_n+2)E²(M_n+1)

由于攻击者不知道E(M_n)，E²(M_n)，E(M_n+1)，E²(M_n+1)，E(M_n+2)，E²(M_n+2)，故攻击者不可能得到E(S//N_n)，E(S//N_n+1)或E(S//N_n+2)。所以，“中间人”攻击不会成立。

3、抵御字典攻击

假设攻击者截获了下面两组数据：

N_n，M_nE²(S//N_n)

E(S//N_b)E(M_n)，E²(S//N_n+1)E²(M_n)，N_n+1

由于攻击者不知道M_n，S，E(M_n)，E²(M_n)，故攻击者不可能得到数据E(S//N_n)E(M_n)或E²(S//N_n+1)E²(M_n)，所以字典攻击不会成立。

附图说明

图1是用户的注册过程。

图2是用户身份的鉴别过程。

图3是用户端的程序流程图。

图4是服务器端的程序流程图。

实施方案

本发明主要使用了随机数产生函数和一个安全的单向杂凑函数。为了安全起见，建议选择MD5算法或SHA算法完成杂凑运算。

以下举例说明本发明在电子邮件中的一个应用。假设用户已经注册完毕，下面是其鉴别过程：

鉴别过程

1、用户将身份证ID以及要求接收电子邮件的服务请求发给邮件服务器。

2、邮件服务器由用户ID在系统口令文件中查找用户口令验证因子V_n及用户前一次产生的随机数N_n，若查不到则拒绝服务；查到后，服务器选择一个随机数M_n，计算H_n1＝M_nV_n，即通过用户的口令验证因子将M_n屏蔽，然后将数据H_n1，H_n2＝N_n发送给用户；

3、用户使用口令S和接收到的H_n2’计算E(S//H_n2’)和E²(S//H_n2’)，并用E²(S//H_n2’)与接收到的数据H_n1’作异或运算，从而得到M_n’；产生一个新的随机数N_n+1，计算下面的数据并发送给邮件服务器，

C_n1＝E(S//H_n2’)E(M_n’)，C_n2＝E²(S//N_n+1)E²(M_n’)

C_n3＝E(N_n+1//E²(S//N_n+1))，C_n4＝N_n+1

4、邮件服务器端用已产生的随机数M_n和计算值E(M_n)对接收到的C_n1’做异或运算，并计算V_n’＝E(C_n1’E(M_n))，将计算得到的V_n’与存储在服务器口令文件中的合法口令验证因子V_n进行比较验证；

6、若V_n’＝V_n，则认为用户身份合法，并利用计算值E²(M_n)从接收到的数据C_n2’中恢复出新的口令验证因子V_n+1’＝C_n2’E²(M_n)，同时做如下检验：判断等式C_n3’＝E(V_n+1’//C_n4’)是否成立。若成立，则邮件服务器接受用户的服务请求，存储V_n+1和N_n+1以供下次登录使用，已有的口令验证因子V_n＝E²(S//N_n)和随机数N_n将被V_n+1’和C_n4’取代，并执行第七步；否则，邮件服务器将拒绝用户的登录请求，同时已有的用户口令验证因子V_n和随机数N_n将保持不变。

7、邮件服务器从用户邮箱中取出电子邮件，并发送给用户。

程序流程图

为了便于描述，引入变量符号L。当服务器确认用户的身份合法且用户新产生的口令验证因子E²(S//N_n+1)和随机数N_n+1没有被修改时，L＝1；否则，L＝0。图3表示用户端的程序流程图，图4表示服务器端的程序流程图。

Claims

1、一种基于动态口令的用户身份鉴别方法，其特征在于：该方法由下述注册阶段和验证阶段组成，

(1)注册阶段：用户通过一个安全的信道在服务器端注册自己的身份证ID和口令S，用户任意选择一个随机数N₁，并利用选定的杂凑函数计算初始口令验证因子V₁＝E²(S//N₁)；在服务器端生成一个系统口令文件，该文件中的每一个记录由用户的身份证ID，一个随机数N₁和初始口令验证因子V₁组成；

(2)身份鉴别阶段：对于第n次身份鉴别，n＝1，2，3，…，按如下顺序进行，(a)用户将自己的身份证ID及登录服务请求发送给服务器；(b)服务器由用户ID在系统口令文件中查找用户口令验证因子V_n及用户前一次产生的随机数N_n，若查不到则拒绝服务；查到后，服务器产生一个随机数M_n，将H_n1＝M_nV_n与H_n2＝N_n一起发回给用户；(c)在用户端，用户使用口令S和接收到的数据H_n2’计算E(S//H_n2’)和E²(S//H_n2’)，并用E²(S//H_n2’)与接收到的数据H_n1’作异或运算，从而得到M_n’，同时产生一个新的随机数N_n+1，将计算值G_n1＝E(S//H_n2’)E(M_n’)，C_n2＝E²/S//N_n+1)E²(M_n’)，C_n3＝E(N_n+1//E²(S//N_n+1))和C_n4＝N_n+1一起发送给服务器；(d)服务器端用已产生的随机数M_n和计算值E(M_n)对接收到的C_n1’做异或运算，并计算V_n’＝E(C_n1’E(M_n))，将计算得到的V_n’与存储在服务器口令文件中的合法口令验证因子V_n进行比较验证；(e)若V_n’≠V_n，则服务器将拒绝用户的登录请求，同时已有的用户口令验证因子V_n和随机数N_n将保持不变；(f)若V_n’＝V_n，则认为用户身份合法，并利用计算值E²(M_n)从接收到的数据C_n2’中恢复出新的口令验证因子V_n+1’＝C_n2’E²(M_n)，同时做如下检验：判断等式C_n3’＝E(V_n+1’//C_n4’)是否成立，若成立，则服务器接受用户的服务请求，存储V_n+1和N_n+1以供下次登录使用，已有的口令验证因子V_n＝E²(S//N_n)和随机数N_n将被V_n+1’和C_n4’取代；否则，服务器将拒绝用户的登录请求，已有的用户口令验证因子V_n和随机数N_n将保持不变。

2、如权利1所述的方法，其特征为：服务器接收到用户的服务请求后，产生一个新的随机数M_n，使用用户的口令验证因子将其屏蔽，并与用户上次产生的随机数N_n一起传给用户；N_n供用户产生其动态口令E(S//N_n)时使用，M_n供用户屏蔽其动态口令E(S//N_n)及新的口令验证因子V_n+1＝E²(S//N_n+1)时使用。

3、如权利1所述的方法，其特征为：服务器验证完用户的动态口令后，对用户新产生的口令验证因子V_n+1和随机数N_n+1正确性进行验证，以确保服务器口令文件数据的安全性。

4、如权利1所述的方法，其特征为：客户端和服务器端选择MD5或SHA算法完成杂凑运算。

5、如权利1所述的方法，其特征为：在第n次登录时，用户使用自己的口令S和随机数N_n做相应的运算，以恢复出服务器产生的随机数M_n。

6、如权利1所述的方法，其特征为：第n次登录时，用户使用自己的口令S和随机数N_n产生自己的动态口令E(S//N_n)，用服务器产生的随机数M_n的一次杂凑运算值E(M_n)将其屏蔽，并发送给服务器，以供服务器验证其身份是否合法。

7、如权利1所述的方法，其特征为：第n次登录时，用户产生一个新的随机数N_n+1和新的口令验证因子E²(S//N_n+1)，用服务器产生的随机数M_n的两次杂凑运算值E²(M_n)将新的口令验证因子屏蔽，将屏蔽值和随机数N_n+1一起传给服务器，以供服务器下次验证时使用。

8、如权利1所述的方法，其特征为：服务器在第n次鉴别时，首先使用M_n的一次杂凑运算值E(M_n)和两次杂凑运算值E²(M_n)将用户的动态口令E(S//N_n)和新口令验证因子V_n+1＝E²(S//N_n+1)恢复出来。

9、如权利1所述的方法，其特征为：服务器在第n次鉴别时，需要判断等式V_n＝E(C_n1’E(M_n))是否成立；若成立，则用户的身份合法，接受用户的服务请求，否则，拒绝用户的服务请求。

10、如权利1所述的方法，其特征为：服务器在第n次鉴别并确认用户身份后，需要使用用户新产生的随机数C_n4’＝N_n+1和新的口令验证因子V_n+1’＝V_n+1＝E²(S//N_n+1)更换文件记录中用户的随机数N_n和口令验证因子V_n＝E²(S//N_n)，以供下次验证时使用。