[发明专利]一种基于脆弱因子分析的口令加强方法

说明书

本发明公开了一种基于脆弱因子分析的口令加强方法，该方法包括：通过特征描述，特征匹配算法，特征修改策略集合构成脆弱特征向量；组合若干脆弱特征向量构成口令脆弱特征库。当在某服务或网站注册或者修改口令时，获取口令文本并将口令文本与口令脆弱特征库的脆弱特征向量进行匹配，解析出口令中可能存在的所有脆弱因子，生成脆弱因子集合；基于脆弱因子集合，求解口令的最佳修改位置集合。遍历最佳修改位置集合中所有位置，并在每个位置随机选择修改策略集合中的修改策略来执行，最终完成口令的加强。本发明具有主动性口令加强、脆弱特征库的即插即用及自动卸料等特点，可以有效抵御包括传统攻击方法在内的多种口令猜测攻击。

技术领域

本发明属于密码安全的技术领域，特别涉及一种口令加强方法。

背景技术

随着信息化进程的深入推进，口令在当前各类计算机系统中广泛运用，作为保障用户信息安全身份认证的基本手段，在可预见的未来，口令仍将是最主要的身份认证方式。用户的口令需要满足可用性和安全性两方面的要求，可用性用于衡量了口令的可记忆性，安全性用于衡量口令的可猜测性。然而大多数用户没有足够的信息确保他们使用的口令是否足够安全，为了确保用户口令的安全性，主流的服务或网站会在用户注册和修改密码时，提供口令生成策略(Password Creation Policies，简称PCP，下同)帮助用户生成更安全的口令。根据设计方法的不同，可以将这些口令生成策略分为基于启发式规则的，基于系统随机分配的，基于攻击算法的共三类。目前最广泛被使用的PCP是基于启发式规则设计的，比如限制口令的长度至少为8，口令必须包含大写字母或者特殊字符等规则。通常情况下，这些规则并不能起到有效的作用，用户往往基于原有的口令进行简单的修改以满足口令策略的要求，而不是创建一个全新的口令。另一种常见的PCP是基于系统随机分配的，随机产生的口令串可以满足口令的安全性要求，然而用户往往难以记忆这些随机串，从而导致这种策略生成口令的可用性大大降低。基于攻击算法的PCP，比如基于概率上下文无关文法算法的PCP，主要依据口令攻击算法来对口令的强弱进行分析判定，对判定为安全的口令不做任何修改，对判定为不安全的口令进行随机一到两个字符的修改，以达到口令增强安全性的目的。

随着互联网服务的飞速发展，用户信息泄露或者口令泄露事件频发，口令攻击的手段也在不断演化发展。通过口令脆弱性行为的研究发现，用户在构造口令时往往会重复利用以前使用过的口令信息或者利用一些用户姓名，生日等个人信息来构造口令。攻击者利用这些信息，进行更具威胁性的定向口令猜测攻击，将会造成难以估量的损失。然后目前主流的口令生成策略却无法应对这些情况。

发明内容

本发明的目的在于继承传统口令生成策略的优点上，提供一种基于口令脆弱因子分析的口令加强方法，该方法在继承了PCFG模型的基础上，提出了全新的口令脆弱因子的概念及其分析方法，可以准确的定位口令脆弱性的原因，并依据定位对现有的口令进行修改加强，在实用性和有效性上大大超过现有的PCP方法。

本发明的目的通过下述技术方案实现：一种基于脆弱因子分析的口令加强方法，包括以下步骤：

步骤1：创建口令脆弱特征库

通过添加一系列口令特征向量来创建口令脆弱特征库；其中，每个特征向量包括特征描述、特征匹配算法及特征修改策略集合；

特征描述：是用易于理解的语言描述口令在某一方面的脆弱性；

特征匹配算法：用于判定一个口令是否符合特征描述；

特征修改策略集合：包含对符合特征描述的口令文本进行加强的多种可供选择的策略；

步骤2：口令分析

创建或者更新口令，获取口令文本；将特征库中的特征向量和该口令文本逐一进行匹配，基于匹配成功的特征向量生成口令文本的脆弱因子集合；

步骤3：口令加强