基于Diff-Hellman的改进Yang-Shieh智能卡认证协议

第31卷　第6期西南师范大学学报(自然科学版)2006年12月Vol.31　No.6Journal of S out hwest China N ormal Universit y (Nat ural S cience)Dec.2006文章编号:10005471(2006)06011004基于Diff 2Hellman 的改进Yang 2Shieh 智能卡认证协议①杨照芳,　程小平西南大学计算机与信息科学学院,重庆400715摘要:提出了基于Diff 2Hellman 的改进Y ang 2Shieh 智能卡认证协议(D H Y S),并采用串空间理论形式化证明了D HYS 的安全性.DH YS 在增强Y a ng 2Shieh 认证协议安全性的同时,无任何附加限制,保留了原Y ang 2Shieh 协议的全部优点.关　键　词:认证协议;认证测试;串空间模型;智能卡中图分类号:TP393108文献标识码:AY ang 和Shieh 于1999年提出了基于分解因数和求离散对数双重难题的Y a ng 2Shieh 智能卡认证协议[1],该协议被广泛应用于各种基于智能芯片卡的远端用户认证系统中.Chang 和Chen [2]非形式化分析了Y ang 2Shieh 协议的缺陷:入侵者构造虚假的登录请求可通过远端主机的身份认证.Fan 等人[3]对Y ang 2Shie h 协议进行了改进,方案要求用户名遵循特定格式,不能自由选择用户名.R 1Jiang 等人的改进方案[4]要求远端主机必需保存用户的部分秘密信息,然而一旦远端主机遭受攻击,可能导致系统中所有智能卡秘密信息的泄漏.本文提出基于Diff 2Hell man 算法的改进Y ang 2Shieh 智能卡认证协议(简称D H YS),可抵抗文献[24]中的攻击,且远端主机无需保存用户的任何信息,确保智能卡系统的整体安全性.1　Yang 2Shieh 智能卡认证协议缺陷的形式化分析111　认证测试理论简介Thayer ,Herz og 和Gutt man 于1998年提出了串空间理论[5](Strand S paces ),把协议的描述和目标的安全属性转化为图的结构,然后借助图的理论和方法进行论证和分析.2001年G ut tman 在串空间理论基础上提出三种针对密码认证协议的认证测试[6]方法(表1),不能通过任何一种测试的认证协议都是有缺陷的.表1　认证测试Tabl e 1　The Aut hent icat ion Test s测试名称测试边通过条件传出测试+{h}k ]-…a …k -1|K p 传入测试+…a …]-{h }kk |K p 非请求项测试-{h }kk |K p112　协议缺陷的形式化分析Y ang 2Shieh 智能卡认证协议的正常串空间包括发起者串和响应者串.发起者串的高度为3,迹为〈+①收稿日期5基金项目西南师范大学科技基金资助项目(SWNUQ 3)作者简介杨照芳(6),女,湖北襄樊人,讲师,主要从事计算机网络与信息安全的研究:2001212:200400.:197.ID i CID i ,-{r j }CID i,+X i I D i X i {r j }CI D ineg 〉(ID i ,CID i ,r j ,n ,e,g 的含义见文献[1]),其中,ID i ,X i ,n ,e,g ,r j ∈T(明文空间),C ID i ∈K (密钥空间).迹中,用{r j }CID i代替了Yang 2Shie h 智能卡认证协议登录过程(图1)中的现时(nonce )消息N =f (C I D i ,r j ),其中,f 为单向哈希函数,CID i 为哈希函数的密钥.由于认证协议使用Y e i 验证用户身份,在迹中我们用ID i X i {r j }CID i代替Y i ,表明Y e i 必须满足公式Y ei mod n =ID iX i Nmod n ,其中N=f (CID i ,r j ).响应者串的高度为3,迹为〈-ID i CID i ,+{r j }CID i,-X i ID i X i {r j }CI D i ne g 〉,其中,ID i ,X i ,n ,e,g ,r j ∈T ,CID i ∈K.根据认证测试理论:(1)发起者串结点〈s 1,2〉以{h}k 形式接收r j ,应进行非请求测试,但在结点〈s 1,1〉中C ID i 以明文传送,不能保证C I D -1i |K p ,不满足非请求测试的要求.(2)r j 以形式{h}k 唯一产生于响应者串结点〈s 2,2〉,并以同样的形式被结点〈s 2,3〉接收,根据认证测试理论,应对边〈s 2,2〉]〈s 2,3〉进行传入测试和传出测试.同样由于CID i 采用明文传送,无法保证CID i C ID -1i |K p ,因此,协议是不安全的.图1　Yang 2Shieh 智能卡认证协议登录过程Fig 11　Login Phase i n Yang 2Shieh Scheme113　协议攻击脚本Y ang 2Shieh 智能卡认证协议的入侵者攻击脚本如下:(1)监听Y ang 2Shieh 智能卡认证协议登录过程(图1),截获消息M 1={I D i ,C I D i },N =f (CID i ,r j ),M 2={X i ,Y i ,n ,e,g},M 2中X i =g riPW imod n ,Y i =s i h r iNi mod n;(2)选择随机数t ,计算ID f =t e mod n ,发送M ′1={ID f ,CID i };(3)从远端主机接收现时消息N =f (CID i ,r j );(4)选择随机数v ,计算X f =v e mod n ,Y f =tv Nmod n ,发送登录请求M ′2={X f ,Y f ,n ,e,g}.因为M ′2可以满足Y f emod n =ID fX fNmod n ,故入侵者成功通过远端主机的身份认证.2　基于Diff 2H ellman 的改进协议D H YS 及其安全性证明211　D H YSD H YS 的用户注册阶段与Y ang 2Shieh 智能卡认证协议相同,登录阶段和验证阶段修改如下:(1)登录阶段,用户U i 将智能卡插入读卡器,输入ID i 和P W i .智能卡判断用户输入ID i 和智能卡中存储的ID i 是否匹配,如果不匹配则拒绝用户登录,否则执行下列登录过程:(111)选择随机数x ,向远端主机发送初始化信息M 1={I D i ,CID i ,g x,g},发起一次登录会话;(112)远端主机接收M 1后验证CID i 卡号是否有效,无效则拒绝登录请求,有效则生成随机数y ,发送消息N ={g y }.(113)智能卡接收消息N ,选择随机数r i ,计算g xy =(g y )x,X i =gr iPWimod n ,Y i =s ihr i f (gx y,CID i )imod n ,发送登录请求M 2={X i ,Y i ,n ,e },其中X i =gr i PW imod n ,Y i =s ihr i f (g xy,CID i )imod n.(2)验证阶段,远端主机计算g x y =(g x )y ,验证公式Y e i mod n =ID i X f (g xy ,CI D i)imod n 是否成立,若成立,则通过身份验证,接受用户登录请求,否则拒绝登录请求.D H YS 可抵抗文献[24]的攻击,因为用g x 和g y 求解g xy 属离散对数难题,故入侵者无法构造虚假的Y f ,同时随机数r i ,x 和y 在每次登录会话中均有变化,r i 的变化会加大入侵者截获X i 离线猜测PW i 的难度,x 和y 的变化可防范重放攻击,哈希函数的非冲突性确保ID i X f (gxy,CID i)i≠ID i X f (gx ′y ′,CID i)i,入侵者不能在新的登录会话中重放旧的登录请求M 2.212　D H YS 安全性的形式化证明采用串空间理论[5]从交互过程的秘密性、完整性以及用户与远端主机的互认证性3个方面形式化证明D YS 的安全性111第6期 杨照芳,等:基于Diff 2Hell man 的改进Y a ng 2Shieh 智能卡认证协议7H .定义1　令∑为1个串空间,则有:①i nit [ID i ,C ID i X i ,Y i ,n ,e ,g ,g x ,g y ]是发起者的串,其迹为〈+ID i CID i g x g ,-g y ,+X i {ID i X i CID i }g xyne 〉,∑init是发起者串的集合;②re sp [ID i ,CID i ,X i ,Y i ,n ,e ,g ,g x,g y]是响应者的串,其迹为〈-ID i CID i g xg ,+g y,-X i {I D i X i C ID i }g x y ne 〉,∑resp是响应者串的集合.D H YS 的串空间记为(∑,P)D H YS =∑in it∪∑resp∪P ,其中P 是入侵者的串集合.定义2　若原子项m 和n 满足下列4个条件,则m 是n 可匹配的[7],记为m Ζn.(1)m,n 为同一类原子项;(2)n =n ′n ″,且m Ζn ′或m Ζn ″;(3)m ={m ′}k ,n ={n ′}k ,且m ′Ζn ′;(4)m =f (m ′1,…,m ′t ),n =f (n ′1,…,n ′t ),存在i 使得m ′i Ζn ′i ∧m ′j Ζn ′j ,其中(1≤i ,j ≤t )∧(j ≠i ).定理1　假设C 是(∑,P )DH YS上的丛(bundle ),g x 和g y 是唯一产生于C 上的正常串,g x ≠g y ,f (x ,y)是单向哈希函数,且D H 问题是难解的,如果存在n ∈O (O 表示入侵者根据猜测及以知信息构造的集合),m 为可验证的匹配项,n Ζm ,则|G p |≥1(G p 为入侵者可能猜测的信息集合).证　根据项产生的因果关系,从串的最高节点开始分析.显然存在s ∈∑init,使得unt erm (〈s ,1〉)=(ID i ,CID i ,g x ,g ),unt erm (〈s ,2〉)=(g y ),unt erm (〈s ,3〉)=(X i ,{I D i X i C I D i }g x y ,n ,e ).假设unterm (n)=(X ′i ,{ID i X ′i C ID ′i }g x ′y′,n ,e),如果unt erm (n)Ζunte rm (〈s ,3〉),f (x ,y)是单向哈希函数,则入侵者需要知道g xy .因为g y 是唯一产生于C 上的正常串,存在r ∈∑resp,g y源于结点〈r ,2〉,形式为{g y },入侵者可获取相应的g y ′.但入侵者还必须知道x 才能计算g xy ,或者求解D H 问题,根据假设求解D H 问题是困难的,所以入侵者必须猜测x.而g x 是唯一产生于C 上的正常串,x 从不单独出现且DH 问题是难解的,所以入侵者只能猜测x ′,这时G p ={x}.同样入侵者可获取g x ′,猜测y ′,得到G p ={y}.对于所有的可验证匹配项m ,都有|G p |≥1.根据定理1得出,如果入侵者不能成功猜测随机数x ,也就无法对远端主机冒充用户U i ,即提供了远端主机对U i 的认证;同理,也可以保证U i 对远端主机的认证.命题1　如果对于k |K p ,如果k 不是C 中任何结点的项,则对于任意的m ∈A ,{m}k 一定产生于正常结点.证　假设{m}k 产生于一个入侵者结点,则显然{m}k 唯一产生于类型为E 的入侵者串p =〈-k ,-h ,+{h}k 〉.假设{m}k 产生于结点〈p ,3〉,若{m}k ={h}k ,则有k ∈〈p ,1〉,与条件矛盾,故由{m}k <{h}k推出{m }k <h ,与假设矛盾,所以{m}k 一定产生于正常结点.因为随机数x 和y 不是C 中任何结点的项,且DH 问题是难解的,由命题1知,{ID i X i CID i }gxy一定产生于正常结点,保证了认证信息的秘密性.定理2　假设C 是(∑,P)D H Y S 上的丛,g y 是唯一产生于C 上的正常串,gx≠g y ,且D H 问题是难解的,f (x ,y)是单向哈希函数,如果r ∈∑resp,且高度为3,则存在s ∈∑init且高度为3.证　根据假设,响应串r 的迹为〈-ID i C I D i g x g ,+g y ,-X i {ID i X i CID i }g x yne 〉,因为g y唯一产生于C 上的正常串,由假设知g y <〈r ,2〉,因为g x ≠g y ,所以g y产生于〈r ,2〉.下面证明X i {ID i X i CID i }g x yne 来自正常结点.对于集合S ={n ∈C :X i {ID i X i C I D i }g x yne <t er m (n)},显然结点〈r ,3〉∈S ,所以S 不为空,这样S 至少有一个最小元素n 1,其符号为正.根据假设D H 问题是难解的,入侵者不能根据截获的g x ,g y 构造g xy ,故由命题1知n 1不可能源于入侵者串,只能是正常结点.即存在s ∈∑init,n 1<〈s ,3〉,也即存在∈Σ的高度为3定理保证了D YS 认证过程的完整性211西南师范大学学报(自然科学版) 第31卷s in it .2H .3　结 语本文采用串空间理论的认证测试方法形式化分析了Y ang 2Shieh 智能卡认证协议的缺陷,给出了相应的攻击脚本,提出了基于Diff 2Hell man 的改进Yang 2Shie h 智能卡认证协议(D H YS ),并形式化证明了D H YS 认证的安全性.D H YS 利用Diff 2Hellman 算法变换Yang 2Shieh 智能卡认证协议中现时的存在形式,可以抵抗文献[24]中的攻击、离线攻击及重放攻击,用户可自由更换登录密码,远端主机也无需保存用户的任何秘密信息,保证了智能卡系统的整体安全.参考文献:[1]Y a ng WH ,Shieh SP.Pa sswor d Authentica tio n Schemes with Smar t car d [J ].Co mpute rs &Securit y ,1999,18(8):727733.[2]　Fa n L ,Li J H ,Zhu HW.An Enhancement of Timestamp 2Base d Password Authe ntication Sche me [J ].Comp uter s &Se 2curity ,2002,21(7):665667.[3]　Cha n C K,Cheng LM.Cryptanalysis of a Time stamp 2Based Pa sswor d Aut hentication Scheme [J ].Compute rs &Sec uri 2t y ,2002,21(1):7476.[4]　R Jiang ,L Pan ,J H Li.Furt her Analysis of Pa sswor d Aut hentication Sche mes Based on Authentica tio n Tests [J ].Com 2puter s &Security ,2004,23(4):469477.[5]　Thayer FJ ,Herzog J C ,Gutt ma n JD.St rand spaces :Proving Security Protocols Cor rect [J ].Journal of Computer Secur 2ity ,1999,7(23):191230.[6]　G uttman JD.K e y Compromise ,Stra nd Spaces ,and t he Aut hentication Te st s [J ].Electronic Notes in Theoretical Com 2puter Science ,2001,47:121.[7]　李　莉,薛　锐,张焕国,等.基于口令认证的密钥交换协议的安全性分析[J ].电子学报,2005,33(1):166170.D H 2ba sed Impr ovement on Yang 2Shieh Authentication SchemeYAN G Zhao 2f ang ,　C H EN G X iao 2pingS chool of Comp ut er and Information S cience ,S out hwes t Universi ty ,Chongqing 400715,ChinaAbstract :Yang 2Shieh aut henticat ion sc heme is vul nerabl e to malicious att acks.In t his paper ,t he a ut hors proposed a D H 2based improve ment on Y a ng 2Shieh aut hentication scheme.At fi rst ,t he aut hor s formally anal yzed Y a ngeShieh πs password aut henticat ion scheme on t he basis of aut hentication t est s to disclose t hei nsecurit y of t he scheme.Then it was proposed t heir improveme nt on YangShieh πs aut he ntication scheme based on Diff 2Hell man ,which can wit hst and exi sti ng at tacks.Finall y ,t he a ut hors al so formall y a nal yzed t he improved sche me on t he ba si s of st rand space t heor y.K ey w or ds :aut he ntication p rotocol ;aut henticat ion t est ;st rand space model ;smart card责任编辑　张 311第6期 杨照芳,等:基于Diff 2Hell man 的改进Y a ng 2Shieh 智能卡认证协议。