基于MD5算法的动态口令技术的软件实现

相关主题

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

第二层加密使用ＭＤ５加密算法，由于ＭＤ５算法的理论不可逆性决定了破坏者无法根据密文推出明文，这样保证了动态口令的安全性。此外ＭＤ５加密算法把任意长度（小于２的６４次方Ｂｉｔ）的信息通过加密产生１２８位信息摘要（固定位数），而动态口令的位数也是固定的（一般为６位或８位），故ＭＤ５算法很适合应用在动态口令技术的实现中。
４㊀结㊀论
本文阐述了用双密钥和ＭＤ５算法对用户ＩＤ和当前时间进行两层加密，从而产生动态口令的编程技术。该方法在保持硬件实现动态口令优点的同时，提出了用软件实现动态口令技术的整套方案。本方案已经成功应用于温州医学院计算机实验室的计算机专业学生身份认证系统，结果表明本方案完全能够满足一般性认证系统的需要，而且可以直接在现有基础上开发，无需任何额外的硬件成本。本方案也非常适用于各类中小型商务网站的身份认证系统。
Ａｂｓｔｒａｃｔ㊀㊀Ｔｈｅｐｒｉｎｃｉｐｌｅｏｆｄｙｎａｍｉｃｐａｓｓｗｏｒｄｔｅｃｈｎｏｌｏｇｙｉｓｄｅｓｃｒｉｂｅｄｉｎｄｅｔａｉｌｓ．ＡｓｏｆｔｗａｒｅｍｅｔｈｏｄｆｏｒｉｍｐｌｅｍｅｎｔｉｎｇｄｙｎａｍｉｃｐａｓｓｗｏｒｄｔｅｃｈｎｏｌｏｇｙｂａｓｅｄｏｎＭＤ５ｅｎｃｒｙｐｔａｌｇｏｒｉｔｈｍｉｓｓｔｕｄｉｅｄ，ａｎｄｉｔｓａｃｔｕａｌｒｅｓｕｌｔｓａｒｅｄｅｍｏｎｓｔｒａｔｅｄｔｈｒｏｕｇｈｅｘａｍｐｌｅｓ．ＣｅｒｔａｉｎｈｅｌｐｉｓｏｆｆｅｒｅｄｔｏｔｈｅｄｅｖｅｌｏｐｍｅｎｔｏｆｄｙｎａｍｉｃｐａｓｓｗｏｒｄｔｅｃｈｎｏｌｏｇｙｆｏｒＥＣｏｍｍｅｒｃｅｗｅｂｓｉｔｅｓ．Ｋｅｙｗｏｒｄｓ㊀㊀Ｄｙｎａｍｉｃｐａｓｓｗｏｒｄｔｅｃｈｎｏｌｏｇｙ㊀ＭＤ５ａｌｇｏｒｉｔｈｍ㊀Ｅｎｃｒｙｐｔ
叶㊀晰㊀叶依如
（温州医学院计算机系㊀浙江温州３２５０３５）
摘㊀要㊀㊀描述动态口令技术的基本原理，研究一种基于ＭＤ５加密算法的动态口令技术的软件实现方法，并通过实例演示了该方法的实际效果。对于开发各类电子商务网站的动态口令技术可以提供一定的帮助。关键词㊀㊀动态口令技术㊀ＭＤ５算法㊀加密
１㊀动态口令技术的基本原理
动态口令又称为一次性口令ＯＴＰ（ＯｎｅＴｉｍｅＰａｓｓｗｏｒｄ），其特点是：用户根据服务商提供的动态口令令牌的显示数字来输入动态口令，而且每个登录服务器的口令只使用一次，窃听者无法用窃听到的登录口令来做下一次登录，同时利用单向散列函数（如ＭＤ５算法等）的不可逆性，防止窃听者从窃听到的登录口令推出下一次登录口令。选取动态口令认证这种方案的商用系统采用的是静态密码与令牌相结合的方式进行身份鉴别。这种方式在检查用户静态密码（知道什么）的同时，验证用户是否持有正确的令牌（拥有什么）。令牌常用的有两种方式，一种是基于时间同步机制，另一种是基于挑战应答机制。采用时间同步机制的令牌，每分钟会提供给用户一个不同的口令，与验证方同步获得验证，本例实现的动态口令也是基于时间同步机制的。
第２６卷第１１期㊀㊀㊀２００９年１１月㊀㊀
计算机应用与软件ＣｏｍｐｕｔｅｒＡｐｐｌｉｃａｔｉｏｎｓａｎｄＳｏｆｔｗａｒｅ
Ｖｏｌ２６Ｎｏ．１１０９Ｎｏｖ．２０
基于ＭＤ５算法的动态口令技术的软件实现
图２㊀客户端文件运行效果图
（４）客户在网站输入用户ＩＤ、静态密码和动态口令后，如果正确即登录成功。
３．４㊀碰撞问题
３㊀主要关键技术解决和实施效果
３．１㊀时间的同步问题
基于时间同步机制的动态口令系统一般每６０秒产生一个新口令。如果用类似动态口令令牌的硬件实现方法，由于其同步的基础是国际标准时间，故对令牌的晶振频率有严格的要求，以降低系统失去同步的几率。但随着时间的流逝，误差总是会出现的，当服务器和令牌的时间偏移超过一定值时，则系统验证会出错。而用软件实现动态技术则没有这方面的问题，只要定期通过校时网站（如：ｔｉｍｅ．ｗｉｎｄｏｗｓ．ｃｏｍ等）校准一下服务器和客户端的系统时间即可解决同步的问题。
参考文献
［１］吴佩萱．基于时间同步机制的动态密码认证系统［Ｊ］．长江大学学报：自然版，２００５，２（７）：２５６２５７．［２］李传目．一次性口令技术的研究［Ｊ］．集美大学学报：自然科学版，２００３，８（２）：１６０１６３．［３］胡天麟，刘嘉勇，陈芳，等．基于ＭＤ５的ＯＴＰ认证系统的原理及实现［Ｊ］．信息技术，２００５（９）：１４０１４２．［４］动态密码基础、原理．２００９－０１－１６．ｈｔｔｐ：／／ｈｉ．ｂａｉｄｕ．ｃｏｍ／ｇｅｇｏ／ｂｌｏｇ／ｉｔｅｍ／ｂａ５３ｃ６１１５２７ｆｅ２１７ｂ８１２７ｂ８９．ｈｔｍｌ．
ＳＯＦＴＷＡＲＥＩＭＰＬＥＭＥＮＴＡＴＩＯＮＯＦＤＹＮＡＭＩＣＰＡＳＳＷＯＲＤＴＥＣＨＮＯＬＯＧＹＢＡＳＥＤＯＮＭＤ５ＡＬＧＯＲＩＴＨＭ
ＹｅＸｉ㊀ＹｅＹｉｒｕ
（ＤｅｐａｒｔｍｅｎｔｏｆＣｏｍｐｕｔｅｒ，ＷｅｎｚｈｏｕＭｅｄｉｃａｌＣｏｌｌｅｇｅ，Ｗｅｎｚｈｏｕ３２５０３５，Ｚｈｅｊｉａｎｇ，Ｃｈｉｎａ）
收稿日期：２００９－０２－０１。叶晰，讲师，主研领域：信息安全，计算机网络，系统分析与设计。图１㊀动态口令的产生和验证流程图
客户端软件（即相当于硬件实现中的动态口令令牌）保存有用户密钥和用户ＩＤ号，软件中的时钟计数器Ｔ每隔６０秒自动用密钥Ｋ和Ｋ同时加密用户ＩＤ和当前时间ｔ（精确到分Ａ１Ａ２钟），然后我们用ＭＤ５算法对加密结果进行单向散列加密（即第二层加密），产生两个等长的３２位十六进制摘要。最后我们
２㊀动态口令的软件实现过程
２．１㊀客户端动态口令的产生
动态口令的产生和验证过程如图１所示。为了方便描述，对图中采用的符号做如下定义：Ａ为用户；Ｓ为认证服务器；ＩＤＡ为Ａ的标识；Ｋ为用户密钥１；Ｋ为用户密钥２；ＰＡ１Ａ２Ａ为动态口令；Ｔ为时钟计时器。
２．２㊀动态口令的验证
验证服务器收到用户输入的用户ＩＤ、静态密码和动态口令后，先验证用户ＩＤ和静态密码是否正确。如正确则在数据库中读出该用户的密钥Ｋ和Ｋ。这两个密钥在发布动态口令客Ａ１Ａ２户端软件时应该已确定，并存放在验证服务器端数据库内。使用密钥Ｋ和Ｋ对用户ＩＤ和当前时间ｔ进行同客户端相同的Ａ１Ａ２处理，最终产生验证服务器端的动态口令，并与客户端产生的动态口令进行比较，一致则通过验证。
㊀㊀２８２㊀㊀㊀
计算机应用与软件
２００９年
把两个摘要分别分割为８块，进行异或运算并取每块最右边位得到最终的８位动态口令。
（３）网站根据该用户ＩＤ和其相应的密钥Ｋ和Ｋ生成一Ａ１Ａ２个可执行文件（ＥＸＥ文件），并发放给该客户。当客户登录网站时，必须先运行该文件得到该时段（精确到分钟）的动态口令。客户端文件运行效果如图２所示。
３．２㊀主要加密过程
用密钥Ｋ和Ｋ对用户ＩＤ和当前时间ｔ进行第一层加密，Ａ１Ａ２其部分ＶＢ代码如下：
ＦｏｒＩ＝１ＴｏＬｅｎ（ｓｔｒＳｏｕｒｃｅ）㊀ᶄ 从待加（解）密字符串中取出一个字符㊀ｓｔｒＣｈａｒ１＝Ｍｉｄ（ｓｔｒＳｏｕｒｃｅ，Ｉ，１）㊀ᶄ 取字符的低字节和Ｋｅｙ１进行异或运算㊀ｂＬｏｗＤａｔａ＝ＡｓｃＢ（ＭｉｄＢ（ｓｔｒＣｈａｒ１，１，１））ＸｏｒＫｅｙ１㊀ᶄ 取字符的高字节和Ｋｅｙ２进行异或运算㊀ｂＨｉｇＤａｔａ＝ＡｓｃＢ（ＭｉｄＢ（ｓｔｒＣｈａｒ１，２，１））ＸｏｒＫｅｙ２㊀ᶄ 将运算后的数据合成新的字符㊀ｓｔｒＳｔｒｉｎｇ＝ｓｔｒＳｔｒｉｎｇ＆ＣｈｒＢ（ｂＬｏｗＤａｔａ）＆ＣｈｒＢ（ｂＨｉｇＤａｔａ）ＮｅｘｔＩＦｏｒＫ＝１ＴｏＬｅｎ（ｓｔｒＳｔｒｉｎｇ）㊀ｓｔｒＣｈａｒ２＝Ｍｉｄ（ｓｔｒＳｔｒｉｎｇ，Ｋ，１）㊀ｓｔｒＥｎｃｒｙｐｔ＝ｓｔｒＥｎｃｒｙｐｔ＆ＡｓｃＢ（ｓｔｒＣｈａｒ２）ＮｅｘｔＫ
０㊀引㊀言
目前网络安全越来越受到重视，银行和各种大型电子商务网站都采用了提供免费的动态口令令牌或动态口令卡来加强网络身份认证系统的安全性。但对于中小型的电子商务网站来讲，提供硬件的动态口令令牌来加强安全性成本太高，显然是不现实的。开发一种简单易行的软件实现动态口令技术的方法能解决中小型电子商务网站的燃眉之急。动态口令技术的软件实现无需购买任何硬件，只需一次编程就可解决所有问题。
从上面的数据我们可以看到：动态口令软件连续运行１１天可能会出现一次碰撞（即出现一次相同的动态口令），连续运行５３天则大约出现２９次碰撞，连续运行半年则会出现大约３５０次碰撞，总体碰撞率不高，而且实际应用中我们只是在需要登录时才会运行一下客户端文件并得到该时刻的动态口令，得到动态口令后即关闭程序，而不会连续运行Βιβλιοθήκη Baidu序。
不同的明文如果经过加密后密文是一样的，则我们称这种现象为碰撞。由于动态口令位数固定，所以碰撞是在所难免的。本程序实际应用中动态口令每分钟变一次，在测试中为了提高效率，我们让动态口令每秒变一次，其碰撞数据如表１所示。
表１㊀碰撞数据表用户ＩＤ１９７６０１３０１９７６０１３０１９７６０１３０１９７６０１３０ｙｅｘｉ２０００ＪａｍｅｓＸｉＹｅＫｅｙ１１２１２１２２１２２１２２１２２Ｋｅｙ２２５２５２５５２５５２５５２５５口令数１５７８６７５８７５７５８７５２６１６９８２６１６９７２６１７００碰撞次数１２９２６３５６３２７３５８碰撞率０．００６３％０．０３８２％０．０３４３％０．１３６０％０．１２５０％０．１３６８％