[发明专利]一种基于S/Key系统的身份认证方法

说明书

技术领域

本发明涉及一种计算机网络安全领域中身份认证的方法，特别是基于S/Key系统的身份认证方法。

背景技术

身份认证是网络安全系统中的第一道屏障，其他的安全服务都要依赖于它。一旦身份认证系统被攻破，那么系统的所有安全措施将形同虚设。目前主要的身份认证方法仍然是基于用户名/密码的静态身份认证。但这种认证存在许多的缺点，首先用户必须记忆一些复杂的密码，其次静态密码在传输的过程中很容易被截获。目前较为安全的身份认证方法是采用一次性口令认证方法，或者生物特征识别的身份认证方法。一次性口令身份认证的主要思想是在登录过程中加入不确定因素，使每次登录过程中传送的信息都不同，以提高登录过程中的安全性。生物特征识别身份认证方法是以人体的生物特征(指纹，掌纹，虹膜等)代替口令，不需要用户登录时输入密码。

S/Key系统是目前实现一次性口令认证方法较为理想的系统。S/Key系统包含两部分内容：初始化部分和认证部分。

初始化注册：

用户随机选择秘密通行口令W，设置一次性口令序列的最大迭代值N，通过安全信道将W、N提交给认证服务器，服务器生成与该用户对应的种子值S，并且计算口令序列的第一个口令P₀＝H^N(W+S)。服务器保存和注册用户相关联的信息，用户的注册过程结束。

服务器上用户A的注册数据内容如下：

User ID：ID_A

Seed：S

Sequence Number：N

OTP：P₀

具体身份认证过程：

用户进行第i次登录时，先输入用户名ID_A向服务器发送认证请求。

服务器将保存的当前序列号N-i，种子值S，一同发送给客户端。

客户端收到服务器的应答信息后，提示用户输入秘密通行口令W，并通过自己的一次性口令计算程序，计算当前的认证口令P_i

P_i＝H^N-i(W+S)

然后客户端将计算得到的本次认证口令P_i发送给服务器。

服务器接收到本次认证口令后，利用单向哈希函数H对其再进行一次运算，得到P’_i-1，并将结果与上次保留的口令P_i-1作比较，如果相同，则接受用户的认证请求。并将P_i保存起来作为下次的口令验证。

S/Key系统可以达到在网络上传送的密码只使用一次的目的，可有效防止攻击者利用窃听到的旧口令进行重访攻击。但是S/Key系统仍然有严重的缺陷。首先，S/Key系统不能抵抗小数攻击；其次，如果攻击者通过键盘监听等攻击手段获得用户的秘密通行口令后，仍可以冒充合法用户成功通过认证。

另外，所有基于生物特征的识别技术是利用提取的生物特征数据作为识别码，因而在传送中易被非法截获。

发明内容

本发明针对现有的S/Key系统存在小数攻击，键盘监听的漏洞，以及单因子生物特征识别技术存在泄漏生物特征数据的缺点，提出一种基于S/Key系统的身份认证方法。