身份認(rèn)證系統(tǒng)認(rèn)證協(xié)議的設(shè)計與分析(參考版)
2024-09-06 09:44本頁面
【正文】 用戶進(jìn)行身份認(rèn)證后，用戶和應(yīng)用服務(wù)器之間可以動態(tài)地建立一個共享的會話密鑰，本認(rèn)證協(xié)議相對 kerberos 認(rèn)證協(xié)議較為簡潔，但通過使用 BAN 邏輯證明協(xié)議的安全性較高，具有一定的應(yīng)用價值。 5 總結(jié) 本文在認(rèn)證協(xié)議設(shè)計時，主要是利用公鑰對 kerberos 進(jìn)行了改進(jìn)，并根據(jù)實際情況，去掉了一些不需要的步驟。這里我們主要采用了 BAN 邏輯分析協(xié)議的安全性， BAN 邏輯是基于知識和信仰的形式邏輯分析方法，它是通過認(rèn)證協(xié)議運行過程中消息的接收和發(fā)送，來從最初的信仰逐漸發(fā)展為協(xié)議運行要達(dá)到的目的主體的最終信仰。 在第四步中，服務(wù)器將 ra 加密后返回給用戶 C，由于 ra 的隨機性，所以攻擊者無法冒充，也無法進(jìn)行重放，這樣就驗證了此消息的真實性和新鮮性。 3）若 NNs，則認(rèn)為此消息為重放消息，將其拋棄。 對于服務(wù)器 S，除了保留同步變量 N 外，還要保存用戶票據(jù)的到期時間 Texp，以及用戶最后一次服務(wù)請求的序號 seq。為了防止在票據(jù)的生存期內(nèi)攻擊者對服務(wù)器請求消息的重放 ,協(xié)議中引入了請求的序列號 seq。 在第三步中，用戶 C 除了向應(yīng)用服務(wù)器 S 提交最初協(xié)議中的內(nèi)容外，還加入了 ra 和 seq， ra 為 C 生成的一個隨機數(shù)。改進(jìn)后的協(xié)議如下： 1）票據(jù)請求（ Ticket_req）， CAA:C,S,N,CERTc 2） 票據(jù)發(fā)放（ Ticket_rep）， AA C:Ts, ((Kcs,N) SIGNAA) ENCpubc Ts=((C,S,Kcs,N,lifetime)SIGNAA)ENCpubs 3）服務(wù)請求（ S_req）， CS:Ts,(N,ra,seq,opinion)Kcs 4）服務(wù)器身份認(rèn)證（ S_rep）， SC:(ra)Kcs（可選由 opinion 決定） 符號說明如下： ◆ Lifetime：票據(jù)生存時間，（從服務(wù)器第一次接收服務(wù)請求后開始計主頁： 時）； ◆ ra：隨機會話密鑰； ◆ seq：服務(wù)請求序列號； ◆ opinion：用戶是否要求對服務(wù)器驗證， 1 為要求， 0 為不要求。在此本系統(tǒng)采用了后一種方法?；谶@兩點考慮，在上述協(xié)議中可以引入票據(jù)生存期 (lifetime)參量，在生存期內(nèi)用戶能夠重復(fù)使用票據(jù)，而不必再向認(rèn)證代理 AA 提出申主頁： 請。當(dāng)應(yīng)用服務(wù)器 S 收到 N 后，便可以為此用戶設(shè)置本地變量 N 的值。對于同步變量 N，其應(yīng)為位數(shù)足夠大的整數(shù)，在初始使用時，由于客戶端 C、服務(wù)器 S 本地均沒有變量 N，我們可以認(rèn)為其值為 null， null 小于任何一個整數(shù)。 在規(guī)模較大、各實體比較分散的網(wǎng)絡(luò)環(huán)境下，實現(xiàn)系統(tǒng)各部分的時間同步可以說非常困難。當(dāng)應(yīng)用服務(wù)器 S 取得服務(wù)請求后， S 應(yīng)該可以驗證票據(jù)的發(fā)放者和票據(jù)的持有者的身份。 3 認(rèn)證協(xié)議設(shè)計思想的進(jìn)一步改進(jìn) 在 Kerberos 中，采用了發(fā)放票據(jù)的方法實現(xiàn)了權(quán)限的集中管理，我們也吸取這一思想，用戶向認(rèn)證代理 AA 證實自己的身份來取得票據(jù)。 對用戶驗證通過后，服務(wù)器 S 向客戶端 C 發(fā)送 s_rep 消息證明自己的身份： SC:(N+1)Kcs 當(dāng)客戶端 C 收 到此消息后，首先利用 Kcs 將其解開，檢查 N+1=Nc+1是否成立，如果成立，則認(rèn)為服務(wù)器 S 合法，因為只有 S 才能將票據(jù)Ts 解開來獲取 Kcs。 對票據(jù)本身檢查完畢后，還要對票據(jù)
試題試卷相關(guān)推薦
鄂ICP備17016276號-1