[发明专利]一种新型防撞库关联时间多密码的身份认证方法

说明书

技术领域

本发明涉及信息安全领域及计算机技术，具体地，涉及一种对撞库攻击具有抗性的基于多密码、联合时间的身份认证方法。

背景技术

随着互联网的快速兴起，越来越多的人正在体会到其带来的便利。在特定的网站门户上，用户注册，登录属于自己的账号，在线完成相关操作。目前最常见的网络身份认证机制大都是基于用户名-密码对的安全认证策略。用户注册某网站时，自定义一用户名及与其唯一对应的密码，注册信息经Hash运算后保存在网站服务器硬盘中。登录账号时，用户输入的身份信息计算Hash值后与服务器内已存的Hash值进行对比，二者相同，登录认证成功，否则视作登录认证失败。简明的认证策略实则内含隐忧，对用户身份安全具有潜在威胁。

经常可以看到某网站服务器受到攻击，数据库被拖库从而导致用户密码或密码的Hash值泄露，而大部分泄露的Hash值均为用户自定义的简单密码经一次MD5或SHA-1计算后得到的，甚至没有加盐。这种类型的Hash值通过简单的在线破解查询，攻击者无需花费很大时间或计算成本，即可获取用户在该网站上的完整账号信息。进一步的，由于大量用户习惯在不同网站使用同一简单密码作为身份认证凭证，通过已破解的账号信息，攻击者甚至可以实施撞库攻击，破解并获取相同用户注册在其他网站上的身份信息。

针对复杂密码带来的密码疲劳问题，在发明名称为一种电子身份注册及认证登录的方法及其系统(CN104270338A)的发明公开了一种名为用户代理的移动终端上的应用程序或基于生物信息的验证平台。用户代理使得用户可以集中一站式管理其在所有系统上的登录用户名及密码，用户本身无需记住众多密码，只需要记住用户代理的密码即可。在不考虑密码疲劳的情况下，用户在不同系统、网站采用完全不同的密码、口令将会变得更为可行。

同时，如何设置复杂且不复用的密码对于保护用户账号信息安全具有重要意义。在Juels,Ari,and Ronald L.Rivest等人撰写的文献“Honeywords:Making Password-Cracking Detectable”中，一种可侦测恶意身份认证尝试的基于Hash加密算法的新型安全密码策略被首次提出。由于一账号的真实密码(Sugarword)伪装在与其极度相似的伪密码(Honeywords)中。真实密码的复杂度得到大大提升。进一步的，即使攻击者获取了包括真实密码在内的密码集合，只要攻击者使用伪密码进行登录尝试，其登录行为将被侦测和通报。

用户侧，包括Web前端、用户代理客户端等的安全措施从安全意义上看是不能被信任的(当然这不代表用户侧就没有保护密码的必要，用户侧也可以采取一定措施保护密码)。用户侧的安全措施都是可以被绕过的。因此服务器侧在保护用户密码的任务中承担主要责任。服务器侧在数据库层面的存储加密措施就是高强度的加盐Hash。加盐使得通过预先计算逆推Hash值对应的内容变得不再可能。与此同时，计算Hash值应采用强度更高，耗时较长的标准强散列算法，例如SHA-512或慢哈希算法等。盐的复用和长度不足等问题都应规避。

例行更新用户密码等账号信息对于账号的保护也具有很好的作用。在用户代理的协助下，生成并频繁更换密码。将时间引入密码的策略在Kenneth G.Paterson和Elizabeth A.Quaglia撰写的文献名称为“Time-Specific Encryption”，期刊名称为Security and Cryptography for Networks,Springer Berlin Heidelberg,2010.1-16中有所涉及。一密码仅在一特定的时间单元内有效。攻击者欲获取密码并实施攻击时必须将攻击的时间成本纳入考量。如果获取密码所需的时间成本已经长于该密码的生命周期，这样的攻击将毫无价值可言。复杂的密码集合可以保证在一定的时间内密码的频繁更换，而密码集合的概念恰好可以对应Honeywords的新密码策略。