基于ECC的智能終端一次性口令雙向認(rèn)證研究.pdf

1、隨著網(wǎng)絡(luò)的不斷發(fā)展，人們?cè)诟鞣矫鎸?duì)網(wǎng)絡(luò)的依賴性逐步增加?，F(xiàn)在，以網(wǎng)絡(luò)為平臺(tái)的網(wǎng)上購(gòu)物、網(wǎng)上銀行、網(wǎng)上金融交易等迅速盛行，但是消費(fèi)者也必須對(duì)相應(yīng)的安全問題提高警惕，賬號(hào)、口令被盜成了越來越常見的問題。尤其是最近幾年，隨著智能終端市場(chǎng)份額的逐步增加，更多的消費(fèi)者選擇在智能終端進(jìn)行網(wǎng)上交易，因此，智能終端的安全問題更是成為人們關(guān)注的焦點(diǎn)。
　　 如何準(zhǔn)確的鑒別用戶的身份、保護(hù)用戶的信息、維護(hù)個(gè)人和企業(yè)的利益是要盡快解決的安全問題。靜態(tài)

2、口令的認(rèn)證是基于用戶名Id和口令Pw這組信息，因此，這種認(rèn)證方法的安全性主要取決于口令Pw的保密性及健壯性，靜態(tài)口令認(rèn)證機(jī)制在一些在線交易中已經(jīng)不能滿足消費(fèi)者在安全方面的需求。
　　 針對(duì)上述提到的靜態(tài)口令認(rèn)證的缺陷，Leslie Lamport首次提出了一次性口令OTP的思想。OTP的主要思路是:在登錄認(rèn)證時(shí)，加入不確定的因子，由于這個(gè)因子的存在，使用戶每次認(rèn)證的口令都不一樣，采用一次一密的方法來提高安全性。而且，OTP認(rèn)證不

3、涉及到第三方，理論上來說，是一種較安全的身份認(rèn)證機(jī)制。
　　 針對(duì)智能終端系統(tǒng)資源受限的特點(diǎn)，結(jié)合已有一次性口令認(rèn)證方案的一些缺點(diǎn)，例如使用一段時(shí)間后用戶需要重新注冊(cè)、計(jì)算繁瑣、計(jì)算量大、沒有實(shí)現(xiàn)雙向認(rèn)證、使用明文傳輸、不能抵御冒充攻擊等，研究了一種新型的適用于智能終端的一次性口令身份認(rèn)證方案——ST-OTP。ST-OTP認(rèn)證方案采用橢圓曲線加密算法ECC，在保證完成一次性口令認(rèn)證基本功能的前提下，提供了客戶端與服務(wù)器之間的互相

4、認(rèn)證，并對(duì)傳輸?shù)臄?shù)據(jù)進(jìn)行有選擇性的加密。ST-OTP方案認(rèn)證步驟簡(jiǎn)單、運(yùn)算量較小、可以有效的保護(hù)客戶端信息，能抵御重放攻擊、冒充攻擊、拒絕服務(wù)攻擊等常見的攻擊手段。
　　 選擇目前比較流行的Android嵌入式操作系統(tǒng)作為平臺(tái)來驗(yàn)證ST-OTP方案相對(duì)于S/KEY、SAS、SAS-2一次性口令認(rèn)證方案的區(qū)別，在Android平臺(tái)上用Java語(yǔ)言編程，分別實(shí)現(xiàn)S/KEY、SAS、SAS-2、ST-OTP這四種認(rèn)證方案注冊(cè)過程、登錄