可信网络连接双向认证协议的设计与分析

格式：pdf
大小：611.95 KB
文档页数：9

３～７］。但随着对ＴＮ和学术界的高度关注和支持［Ｃ相关技术和架构研究的不断深入，其安全性缺陷也
正逐渐凸显。其中只针对终端进行单向可信认证、
２０１４０１２１收稿日期：－－）基金项目：江苏省自然科学基金资助项目（ＢＫ２０１３１０６９，ＢＫ２０１１１１５作者简介：徐明飞，硕士生，主要研究可信计算、网络安全，ｈｉｘｕｍｉｎｆｅｉ６３．ｃｏｍ＠１ｇ通信作者：吴礼发，教授，博士生导师，主要研究网络安全等，ｗｕｌｉｆａｉ．１６３．ｃｏｍ＠ｖｐ
Ｄｅｓｉｎａｎｄａｎａｌｓｉｓｏｆｍｕｔｕａｌａｕｔｈｅｎｔｉｃａｔｉｏｎｒｏｔｏｃｏｌｇｙｐｆｏｒｔｒｕｓｔｅｄｎｅｔｗｏｒｋｃｏｎｎｅｃｔ
［１，２］，。ＴＮｎｅｔｗｏｒｋｃｏｎｎｅｃｔＴＮＣ）Ｃ是一种开放的
网络接入控制解决方案，在传统的基于身份认证的网络接入控制技术基础上，增加了基于可信平台硬件模块的平台身份认证与完整性验证，将终端可信扩展到了网络，极大地提高了安全性，得到了工业界
３０８
自然科学版）解放军理工大学学报（
第１５卷
平台身份和配置信息的泄露、无法抵御伪装及重放攻击等问题尤为突出。针对上述问题，本文提出了一种基于可信第三方的可信网络连接双向认证协议（ｔｒｕｓｔｅｄｎｅｔｗｏｒｋｃｏｎｎｅｃｔｍｕｔｕａｌａｕｔｈｅｎｔｉｃａｔｉｏｎ，，实现了终端和待接入网络的ｒｏｔｏｃｏｌＴＮＣＭＡＰ）ｐ既保证了终端的安全，防双向身份和双向平台认证，止终端对网络造成破坏，又保证了终端从网络获取可信的服务；对平台身份采用直接匿名证明（ｄｉｒｅｃｔ，技术保证了平台身份ａｎｏｎｍｏｕｓａｔｔｅｓｔａｔｉｏｎＤＡＡ）ｙ；隐私信息的安全利用可信第三方公钥对配置信息进行加密，防止了伪装攻击，保证了机密性；通过用户私钥确认和增加时间戳，解决了重放攻击的问题。
ＸＵＭｉｎｅｉ，Ｌｉａ，ＺｈｅｎＥＮＧＸｉａｏｕａｎＵＺｈｅｎｉＷＵＨＯＮＧＺＺＨＯｇｆｆｇ，ｇｇ，ｊ
（，Ｎ）ＣｏｌｌｅｅｏｆＣｏｍｍａｎｄＩｎｆｏｒｍａｔｉｏｎＳｓｔｅｍ，ＰＬＡＵｎｉｖ．ｏｆＳｃｉ．＆Ｔｅｃｈ．ａｎｉｎ２１０００７，Ｃｈｉｎａｇｙｊｇ
身份凭证确认用户的真实身份；会话密钥协商与确认阶段是实现通信双方会话密钥的协商与确认；双通过采用已有向平台身份认证与完整性验证阶段，
１２，１３］的平台直接匿名证明［的方法，在防止平台身份
实现了对双向平台身份的隐私信息泄露的前提下，，认证；通过引入可信第三方（ａｒｔｔｒｕｓｔｅｄｔｈｉｒｄｐｙ，利用其公钥对收集的平台配置信息进行加ＴＴＰ）密，在保证平台配置信息隐私的前提下，验证平台配置是否符合接入策略。通过以上３个阶段的处理，网络接入认证机制的安全性得到了有效提高。本协议中，ＴＴＰ负责任何进入网络的设备Ｄ的
Ｖｏｌ．１５Ｎｏ．４Ａｕ．２０１４ｇ
可信网络连接双向认证协议的设计与分析
徐明飞，指挥信息系统学院，江苏南京２１０００７
摘要：针对可信网络连接认证协议的现有方案存在单向认证、平台身份和配置信息泄露、无法抵御伪装及提出了一种新的认证协议。该协议通过引入可信第三方实现了双向用户身份和平台重放攻击等安全问题，身份的认证，防止了伪装攻击。直接匿名证明方法和时间戳的应用，保护了平台身份和配置信息的安全，防止了重放攻击。采用Ｂ验证了本协议可以提高认证的安全性，具有ＡＮ逻辑对协议进行形式化描述及分析，较高的应用价值。关键词：可信网络连接；双向认证协议；安全性分析ＢＡＮ逻辑；中图分类号：ＴＰ３０９：／．ｉｓｓｎ．１００９ＤＯＩ１０．７６６６３４４３．２０１４０１２１００１－ｊ
第１解放军理工大学学报（自然科学版）５卷第４期）０１４年８月ＪｏｕｒｎａｌｏｆＰＬＡＵｎｉｖｅｒｓｉｔｏｆＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏＮａｔｕｒａｌＳｃｉｅｎｃｅＥｄｉｔｉｏｎ２ｙｇｙ（
：ＡｂｓｔｒａｃｔＴｈｅｒｅａｒｅｓｏｍｅｓｅｃｕｒｉｔｒｏｂｌｅｍｓｉｎｔｈｅｅｘｉｓｔｉｎｔｒｕｓｔｅｄｎｅｔｗｏｒｋｃｏｎｎｅｃｔａｕｔｈｅｎｔｉｃａｔｉｏｎｒｏｔｏ－ｙｐｇｐ，，，ｃｏｌｓｓｕｃｈａｓｏｎｅａａｕｔｈｅｎｔｉｃａｔｉｏｎｌａｔｆｏｒｍｉｄｅｎｔｉｔａｎｄｃｏｎｆｉｕｒａｔｉｏｎｉｎｆｏｒｍａｔｉｏｎｌｅａｋａｅｉｎａｂｉｌｉｔｔｏ－ｗｙｐｙｇｇｙ，ｒｏｂｌｅｍｓｒｏｔｏｃｏｌｒｅｓｉｓｔｔｈｅｍａｓｕｅｒａｄｅａｎｄｒｅｌａａｔｔａｃｋｓ．Ｉｎｏｒｄｅｒｔｏｓｏｌｖｅｔｈｅａｎｅｗａｕｔｈｅｎｔｉｃａｔｉｏｎｐｐｑｐｙ，ｗａｓｔｒｕｓｔｅｄｔｈｉｒｄｗａｓｉｎｔｒｏｄｕｃｅｄｉｎｔｏｔｈｅｓｏｔｈａｔｂｏｔｈｔｈｅｕｓｅｒａｎｄｔｈｅｒｏｏｓｅｄ．Ｔｈｅａｒｔｒｏｔｏｃｏｌｌａｔ－ｐｐｐｙｐｐ，ｆｏｒｍ’ ｓｂｉｄｉｒｅｃｔｉｏｎａｌｉｄｅｎｔｉｔｓｅｃｕｒｉｔａｕｔｈｅｎｔｉｃａｔｉｏｎｃｏｕｌｄｂｅａｃｈｉｅｖｅｄａｎｄｍａｓｕｅｒａｄｅａｔｔａｃｋｓｒｅｖｅｎｔｅｄ．ｙｙｑｐｒｏｔｏｃｏｌｕｓｅｓｔｈｅＤｉｒｅｃｔＡｎｏｎｍｏｕｓＡｔｔｅｓｔａｔｉｏｎｍｅｔｈｏｄｔｏｕａｒａｎｔｅｅｔｈｅｓａｆｅｔｏｆｔｈｅｌａｔｆｏｒｍｉｄｅｎｔｉＴｈｅ－ｐｙｇｙｐ，ｔａｎｄｃｏｎｆｉｕｒａｔｉｏｎｉｎｆｏｒｍａｔｉｏｎａｎｄｕｓｅｓｔｉｍｅｓｔａｍｔｏｒｅｌａａｔｔａｃｋｓ．ＢＡＮｌｏｉｃｗａｓａｌｉｅｄｔｏｒｅｖｅｎｔｙｇｐｐｐｙｇｐｐｄｅｓｃｒｉｂｉｎａｎｄａｎａｌｚｉｎｔｈｅｒｏｔｏｃｏｌｆｏｒｍａｌｌ．Ｖａｌｉｄａｔｉｏｎｒｅｓｕｌｔｓｓｈｏｗｔｈａｔｔｈｅｒｏｔｏｃｏｌｉｓｒａｃｔｉｃａｂｌｅａｎｄｇｙｇｐｙｐｐｃａｎｉｍｒｏｖｅｔｈｅｓｅｃｕｒｉｔｏｆｔｈｅａｕｔｈｅｎｔｉｃａｔｉｏｎｅｆｆｅｃｔｉｖｅｌ．ｐｙｙ：；；；ＫｅｗｏｒｄｓｔｒｕｓｔｅｄｎｅｔｗｏｒｋｃｏｎｎｅｃｔｍｕｔｕａｌａｕｔｈｅｎｔｉｃａｔｉｏｎｒｏｔｏｃｏｌＢＡＮｌｏｉｃａｎａｌｓｉｓｓｅｃｕｒｉｔａｎａｌｓｉｓｐｇｙｙｙｙ不仅要有有效应对日益复杂的网络安全威胁，、顶层的网络安全体系设计可信的终端计算环境，还要把终端计算环境的可信扩展到网络，使网络成为一个可信的计算环境。为此，可信计算组织（ｔｒｕｓ－提出了可信计算机制与ｔｅｄｃｏｍｕｔｉｎＴＣＧ）ｒｏｕｐｇｇｐ，网络接入控制技术相结合的可信网络连接（ｔｒｕｓｔｅｄ

口令认证协议的分析与设计

口令认证协议的分析与设计摘要本文在分析常见的口令机制及其安全性的基础上介绍了一种非对称环境下的口令认证机制以及公共口令的概念。

结合网络应用的具体要求，设计出安全的口令身份认证协议，并提出可行的实现方案。

关键词身份认证公共口令公钥技术1引言开放式网络上不断增长的重要应用对网络安全提出了迫切的需要，身份认证系统作为网络安全的第一道防线，其安全性对整个网络的安全具有十分重要的作用。

实现身份认证的方式有多种，如基于IC卡方式的身份认证系统，但这种系统费用较大，难以实现。

另外一种更常见的方式是运用用户名/口令机制，但就目前来看，这种机制由于没有足够的安全保护而容易受到窃听、重放、口令猜测等攻击。

本文介绍了非对称的环境下使用口令来实现身份认证的机制[1]，以防止上述各种攻击。

非对称环境是指认证服务器能够存储一个强秘密信息，但用户只用一个弱的人为记忆的口令作为唯一的认证密钥。

在一些应用中这种非对称的情况很自然地出现了，如远程用户认证，这时用户并不携带任何能够存储一个强秘密信息的计算设备。

还有一些协议的应用如SSL和SET 也会出现这种情况，其中客户端并不拥有认证服务器的公钥。

因此，本文利用公共口令的概念，设计了基于激励－响应的加密口令身份认证协议。

2口令机制及其安全性常见的口令机制口令传递最简单的口令机制是以明文的形式把口令从用户传送到服务器。

为了验证口令，服务器中存储了一个文件，其中包含了口令的明文形式或口令在单向函数下的映射。

后者是Unix系统的经典方法，而且还用于ftp和telnet的远程认证。

在远程认证的情况下，这种机制的缺陷很明显，因为口令会很容易地被窃听者从网络上读取下来。

激励－响应更为安全的口令认证形式使用的是激励－响应机制。

在这种情况下，口令从不以明文的形式传送，而是用来对每一次认证时认证服务器所选取的激励进行秘密的函数计算。

这提供了认证的新鲜性，但也使口令容易受到口令猜测攻击。

这种攻击是指：假设入侵者拥有一个相对较小的口令字典，其中包含了许多普通的口令。

WAPI协议分析及移动终端设计

端口访问到无线局域网了。如果ＳＡ重新关联至ＡＴＰ时，必
须重新进行相互身份鉴别。若鉴别成功，ＡＰ允许ＳＡ接则Ｔ
入，则解除其关联。否
协议数据才会通过鉴别器传送到网络，当受控制端口是未鉴别状态时，协议数据就不能通过鉴别器传送了，别器实体鉴只能利用非受控端口传送鉴别数据。鉴别访问者实体负责鉴别信息的发送，ＩＩ鉴ＩＩ务实体负责鉴别网络上发送来的鉴别
信息。当ＳＡ身份鉴别成功后，可以ቤተ መጻሕፍቲ ባይዱ 用ＡＴ就Ｐ提供的受控
即为这种安全架构在无线局域网中应用的完美体现。２Ａｌ．ＷＰ简介ＷＡＩ中国第一个自主的无线网络安全接入技术标Ｐ是
准。２００３年中国宽带无线Ｉ准工作组制定了中国自己的Ｐ标无线局域网国家标准Ｇ５２．１标准，即ＷＡＩ议。Ｂ１６９１Ｐ协ＷＡＰＩ机制已由ＩＯＩＣ授权的注册权威机构（ＥＳ／ＥＩＥＥＲｇｓａｉｕｈｒｙ审查获得认可，分配了用于该机制ｅｉｒｔｎＡｔｉ）ｔｏｏｔ并
组织ＩＮ也将３１ＡＡ８０作为ＷＬＮＴＰＵＡＣ／ＤＰ端口号，这也
是我国目前在该领域惟一获得批准的协议。Ｐ采用国家ＷＡＩ
统中的定义了两类端口：受控端口和受控端口，非其中非受
控端口允许任何鉴别数据在网络中传送，鉴别器实体就能够

基于TPCM可信根的可信网络连接设计与实现

Network and Information Security•网络与信息安全基于TPCM可信根的可信网络连接设计与实现!夏攀(北京可信华泰信息技术有限公司，北京100195)摘要：可信连接作为可信计算理论的重要组成部分，是实现信任在网络上传递的核心技术，在不同的产品和应用场景中有不同的实现方案$设计并实现了一种基于TPCM可信根的可信连接技术架构，通过TPCM在系统运行过程中对系统环境进行主动度量，实现平台的基础可信环境，并将度量结果报告进行签名，标识平台当前环境的可信状态，由此实现对通信双方身份的识别和可信验证，减少非法网络连接，使整个系统具备主动免疫防御能力，实现对未知威胁的有效防护$关键词：网络安全％可信计算3.0%可信平台控制模块％可信连接％主动免疫中图分类号：TP393.08文献标识码：A DOI:10.19358/j.issn.2096-5133.2021.04.002引用格式：夏攀#基于TPCM可信根的可信网络连接设计与实现[J].信息技术与网络安全&2021&40(4):7-13&19.Design and implementation of trusted network connectionbased on trusted root of TPCMXia Pan(Beijing Huatech Trusted Computing Information Technology Co.,Ltd.,Beijing100195,China)Abstract:As an important part of the theory of trusted computing,trusted connection is the core technology to realize trust transmission over the network.There are different implementation schemes in different products and application scenarios.This paper designs and realizes a trusted connection technique architecture based on TPCM trusted root.TPCM actively measures the system environment during system operation,realizes the basic trusted environment of the platform, and signs the measurement result report to identify the trustworthy status of the current environment of the platform, thereby realizing the identification and trustworthiness of the identities of the communicating parties,reducing illegal network connections,enabling the entire system with active immune defense capabilities,and realizing effective protection against unknown threats.Key words:network security；trusted computing 3.0；trusted platform control module；trusted network connection；active immune defense0引言新版国家网络安全等级保护标准《GB/T22239-2019信息安全技术网络安全等级保护基本要求》《GB/T25070-2019信息安全技术网络安全等级保护安全设计技术要求》《GB/T28448-2019信息安全技术网络安全等级保护测评要求》于2019年12月正式发布并实施&在基本要求中对计算环境安全、物联网安全、云安全、网络通信的“可信验证”要求进行了明确的描述[1-3]*可信连接作为可信计算的*基金项目：国家重点研发计划(2018YFB0803502)重要组成部分&其设计与实现也成为热门讨论的话题*从事可信计算的各个研究组织或机构都提岀了各自的可信计算标准[4-7]&在标准中针对可信连接也提岀了不同的要求[8-9]*可信连接通过验证访问网络的终端完整性&来决定访问的终端是否能够接入网络*参与通信的可信终端将自身的可信状态传递到网络&保证网络的可信*2004年，TCG组织最早开始研究制定可信网络连接相关的架构和标准,制定了可信网络连接的系统结构----可信连接(Trusted Network Connection,TNC),网络与信息安全•Network and Information Security实现了与微软的网络访问保护之间的互操作。

基于硬件加密设备的身份认证协议的设计及安全性分析

基于硬件加密设备的身份认证协议的设计及安全性分析
叶君耀;王英连
【期刊名称】《科技信息》
【年(卷),期】2009(000)034
【摘要】本文首先对CHAP身份认证协议进行了概述,指出了CHAP协议的安全缺陷,然后将CHAP协议进行了改进,结合密码学技术、身份认证技术以及硬件加密设备技术,设计了一种基于硬件加密设备的身份认证协议,即UBAP(USB Key-based Authenti-cation Protocol)协议,它采用软硬件相结合一次一密的强双因子认证模式,实现了服务器端和用户端双方可靠的双向身份认证,并对该协议进行非形式化的分析,证明其能够抵御重放攻击、服务器欺骗、网络监听、插入信道攻击、中间人攻击以及暴力攻击.
【总页数】2页(P1-2)
【作者】叶君耀;王英连
【作者单位】景德镇陶瓷学院信息工程学院;景德镇陶瓷学院机电学院
【正文语种】中文
【相关文献】
1.基于指纹认证与混合加密的网络身份认证协议的设计与实现
2.对两个无线传感器网络中匿名身份认证协议的安全性分析
3.基于指纹认证与混合加密的网络身份认证协议的设计与实现
4.基于SM2算法和区块链的移动端身份认证协议设计
5.基于SM2算法和区块链的移动端身份认证协议设计
因版权原因，仅展示原文概要，查看原文内容请购买。

下载提示

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

可信网络连接双向认证协议的设计与分析

合集下载

口令认证协议的分析与设计

WAPI协议分析及移动终端设计

基于TPCM可信根的可信网络连接设计与实现

基于硬件加密设备的身份认证协议的设计及安全性分析

文档推荐

最新文档