[論文レビュー] A Flexible and Secure Remote Systems Authentication Scheme Using Smart Cards

Manik Lal Das|ArXiv.org|Jan 3, 2008

User Authentication and Security Systems参考文献 7被引用数 3

ひとこと要約

この論文では、パスワードや検証者テーブルを必要とせず、複数のユーザーが同じIDを共有することを防ぐ、柔軟で安全なスマートカードを用いたリモート認証方式を提案する。暗号技術を用いて、再生、なりすまし、盗難検証者、推測、サービス拒否攻撃に対して耐性を持たせつつ、ユーザーが簡単にパスワードを変更できる。

ABSTRACT

The paper presents an authentication scheme for remote systems using smart card. The scheme prevents the scenario of many logged in users with the same login identity, and does not require password/verifier table to validate the users' login request. The scheme provides a user-friendly password change option, and withstands the replay, impersonation, stolen-verifier, guessing, and denial-of-service attacks.

研究の動機と目的

• パスワードまたは検証者テーブルに依存する従来のリモート認証方式のセキュリティと使いやすさの制限を解消すること。
• 既存システムで一般的な脆弱性である、複数のユーザーが同じIDでログインすることを防ぐこと。
• 資格情報を露呈させずに、安全で使いやすいパスワード変更メカニズムを提供すること。
• 再生、なりすまし、サービス拒否攻撃を含む幅広い攻撃に対して耐性を持つこと。
• サーバー側にパスワードを保存しないスマートカードベースの認証により、システムの柔軟性とセキュリティを向上させること。

提案手法

• 本方式は、サーバーにパスワードや検証者を保存しないで、スマートカードを介してユーザーを認証するために対称鍵暗号と暗号ハッシュ関数を用いる。
• 各ユーザーには、スマートカードに安全に保存された固有の秘密鍵が割り当てられ、認証トークンの計算に使用される。
• 認証プロトコルは、ユーザーとサーバー間のチャレンジ・レスポンス機構を含み、スマートカードの秘密鍵を用いて検証される。
• パスワード変更は、前向き機密性を保持し、旧資格情報を露呈させないサーバー側での更新プロトコルを通じてサポートされる。
• 本方式は、ユーザーとサーバーの相互認証を保証し、なりすまし攻撃を防止する。
• 再生攻撃は、プロトコル交換に時刻スタンプまたはノンスベースのチャレンジを組み込むことで防止される。

実験結果

リサーチクエスチョン

• RQ1 サーバーにパスワードまたは検証者テーブルを保存せずに、リモート認証をどのようにして安全に実現できるか？
• RQ2 複数のユーザーが同じログインIDを共有することを防ぐにはどのようなメカニズムが必要か？
• RQ3 スマートカードベースのシステムにおいて、安全で柔軟なパスワード変更をどのように実現できるか？
• RQ4 再生、なりすまし、推測攻撃に対して効果的に耐性を持つ暗号技術は何か？
• RQ5 スマートカードベースの方式は、強力なセキュリティと使いやすいパスワード管理を両立できるか？

主な発見

• 本方式は、各ログインを固有のスマートカードと秘密鍵に束縛することで、複数のユーザーが同じIDでログインすることを効果的に防止する。
• サーバーにパスワードまたは検証者テーブルを保存しないため、資格情報の漏洩リスクが低減される。
• 認証交換において時刻スタンプまたはノンスベースのチャレンジを用いることで、再生攻撃が防止される。
• チャレンジ・レスポンス機構の暗号的強度とスマートカードの秘密鍵の機密性により、なりすましと推測攻撃が撃退される。
• レート制限メカニズムと有効なスマートカード認証の要件により、サービス拒否攻撃が軽減される。
• 更新時にユーザーのパスワードが露呈されないため、本方式は安全で使いやすいパスワード変更をサポートする。