[发明专利]一种基于密码、智能卡和生物特征的远程身份认证方法

说明书

技术领域

本发明涉及信息安全和网络技术领域，特别涉及一种基于密码、智能卡和生物特征的远程身份认证方法。

背景技术

随着网络技术和通信技术的快速发展，传统形式的身份认证方法不再是安全的，用户名和密码等能够被攻击者盗取，智能卡容易被盗或丢失，并且密码也存在被遗忘或泄露的危险。然而，生物特征识别技术，如指纹、面孔和虹膜，基于重要的生理或行为特征提供了一种更可靠和更自动的身份验证方式。这些生物特征通常是普遍可得，唯一的并且不能够被复制、丢失和忘记。

由于以上优点，一些基于生物统计学基础的远程用户认证方案被设计来解决单密码身份验证问题。与传统的密码认证方案相比，基于生物特征的远程用户认证是更加安全和可靠的，并且它能够抵抗各种专业的攻击。

在2002年，Lee等人提出一种使用智能卡的基于指纹的远程用户认证方法。在他们方法的登录阶段，用户把智能卡插入到读卡器中，键入ID和密码，然后用户的指纹印记在指纹输入设备。只有当用户的指纹成功验证之后，用户才可以访问服务器。然而，他们的方案不能抵抗伪装攻击(Lin and Lai，2004)、密谋袭击(Chang and Lin，2004)。

在2003年，Kim et al.(2003)提出了一种使用智能卡和指纹的公钥密码身份验证方案，然而它也被证明是不安全的(Scott，2004)。

Khan and Zhang(2007)指出Lin and Lai’s(2004)基于生物识别的身份验证方案是容易遭受服务器欺骗攻击。

在2009年，Fan and Lin(2009)提出一种真正的远程三因素认证方法，此方法引入了加密的生物信息。

最近Li and Hwang(2010)提出了一个基于生物识别验证、智能卡和单向散列函数的远程用户认证方案。与其他方案相比较，这个方案是更有效的。然而Li等人发现Li and Hwang(2010)的方法不能提供适当的身份验证和无法抵抗中间人攻击，并且这些缺点使方案无法适用于实际应用。

在2012年，Li等人提出一种新的消除了这些弱点和支持会话密钥协商的基于生物识别的远程用户认证方案。但是Li等人的方法不能够抵抗拒绝服务器攻击、验证表被盗攻击、重放攻击和前向保密。

发明内容

本发明的目的在于提供了一种基于密码、智能卡、生物特征三因素的远程身份认证方法，能够抵抗拒绝服务器攻击、验证表被盗攻击、重放攻击和前向保密的问题。

为达到上述目的，本发明采用如下技术方案：

一种基于密码、智能卡和生物特征的远程身份认证方法，包括注册步骤、登录步骤和认证步骤，其中，注册步骤进一步包括，注册中心根据用户的注册信息生成参数组一，并将所述参数组一存入智能卡，所述注册信息包括身份标识、密码和生物信息，所述参数组一包括与生物信息相关的参数；登录步骤进一步包括，所述智能卡根据用户提供的身份标识、密码和生物信息进行本地合法性验证，如果智能卡验证用户合法，所述智能卡生成随机数，并生成与所述随机数相关的第一验证数据，并将第一验证数据发送给服务器；认证步骤进一步包括，所述服务器根据所接收到的第一验证数据对用户身份进行合法性验证，如果所述服务器验证用户身份合法，则生成用于验证服务器身份的第二验证数据，并将第二验证数据发送给智能卡；所述智能卡根据接收到的第二验证数据对服务器身份进行合法性验证，如果智能卡验证服务器身份合法，则生成第三验证数据，并将第三验证数据发送给服务器；所述服务器根据接收到的第三验证数据对用户身份进行二次验证，如果服务器验证用户身份合法，服务器和智能卡生成相同的会话密钥。