新型密碼-DQ密碼的設(shè)計(jì)
加入技術(shù)交流群
隨著電子商務(wù)和電子政務(wù)的興起，網(wǎng)絡(luò)信息安全成為當(dāng)前重要研究課題。密碼是一種重要信息安全技術(shù)，身份認(rèn)證是網(wǎng)絡(luò)信息安全的第一道關(guān)口，而傳統(tǒng)的用戶名和密碼的認(rèn)證存在諸多風(fēng)險，采用動態(tài)密碼的身份認(rèn)證系統(tǒng)得到了普遍認(rèn)可。這里提出了一種基于動態(tài)密碼和密碼信息分離的身份認(rèn)證的構(gòu)架。
2 設(shè)計(jì)基礎(chǔ)
2．1 動態(tài)密碼
通常的身份認(rèn)證技術(shù)是利用密碼及簽名技術(shù)實(shí)現(xiàn)的。動態(tài)密碼就是將原先靜態(tài)的密碼變成動態(tài)的，即密碼時刻以一定的規(guī)則進(jìn)行變化。目前網(wǎng)絡(luò)銀行普遍采取的密碼卡就是動態(tài)密碼的一種。認(rèn)證時，用戶根據(jù)提示，比如，第N行，第M個數(shù)字，輸入密碼卡上的數(shù)字。每次認(rèn)證時，服務(wù)器給出的提示都是不同的，所以即便有人盜竊其中一次的密碼，由于密碼的變動性，仍然無法登錄賬戶。
2．2 輸入與密碼信息分離
密碼學(xué)在現(xiàn)代信息社會具有特殊的重要性。大多數(shù)密碼系統(tǒng)要求用戶輸入全部的密碼，而其密碼的輸入系統(tǒng)都準(zhǔn)確無誤地表達(dá)用戶密碼信息。這使得木馬或黑客可以輕而易舉地盜取用戶的所有密碼信息。密碼卡的出現(xiàn)，在某種意義上實(shí)現(xiàn)了用戶部分輸入密碼信息，使得用戶輸入與密碼信息分離。
而傳統(tǒng)密碼盜竊是因?yàn)橛脩裘看蔚卿浀臏?zhǔn)確表達(dá)輸入密碼信號為黑客和木馬提供機(jī)會，一個記錄輸入和發(fā)送便可以產(chǎn)生一個木馬。如果能夠把用戶的輸入與密碼信息分離，這樣就大大增強(qiáng)了密碼體系的安全性。這種從物理層面的分離是任何黑客或木馬不可超越的。
2．3 人工識別
由于用戶每次登陸使用密碼時，都是自動手動操作，因此利用人工識別判斷圖片，幾乎無需增加任何成本。但對于盜號者而言，一旦盜取需要人工識別，與之前的機(jī)器直接盜取，這將極大增加難度和成本。
3 設(shè)計(jì)過程
3．1 方案流程
利用動態(tài)密碼，輸入與密碼信息分離，以及人工識別技術(shù)，給出一種安全有效的密碼認(rèn)證方案，其流程圖如圖l所示。
3．2 密碼生成函數(shù)
首先根據(jù)用戶名u，從數(shù)據(jù)庫中調(diào)出用戶名u相對應(yīng)的全碼Acode=(a1 a2 a3 a4 a5 a6)并從全碼中隨機(jī)抽出1～4個字符。這里以3個字符為例，再從全碼字符之外隨機(jī)抽出4～7個字符，作為干擾碼。共從兩個碼中抽出8個字符，所以這里取5個干擾碼Dcode=(dm1 dm2 dm3 dm4 dm5)。
從全碼Acode中抽出3個字符，與干擾碼中的字符一起隨機(jī)排列，加上提示碼1到8，組成示碼：
其中，全碼字符對應(yīng)的提示碼為隨機(jī)口令Lcode=[2 5 8]。
將示碼圖像化，形成示碼圖片。服務(wù)器接收用戶登錄信息后，使用密碼生成函數(shù)F=f(u)，調(diào)出用戶名DQ對應(yīng)的全碼whu029，在其中隨機(jī)抽出3個字符w02，在whu029之外任意選擇5個字符mlove作為干擾碼。w02和干擾碼mlove一起隨機(jī)排列v12ewmoo，再加上提示碼12345678形成示碼。
其中，2w0所對應(yīng)的(3 5 7)為此次的隨機(jī)口令。
服務(wù)器形成并傳遞示碼Seode圖片。用戶看到其中的2w0是自己設(shè)置的全碼中的字符，就輸入對應(yīng)的357此時即登錄成功。倘若輸入錯誤或者超時服務(wù)器記錄非法嘗試一次，記錄超過三次就啟動保護(hù)措施。
評論