[论文解读] A Flexible and Secure Remote Systems Authentication Scheme Using Smart Cards

Manik Lal Das|ArXiv.org|Jan 3, 2008

User Authentication and Security Systems参考文献 7被引用 3

一句话总结

本文提出了一种灵活且安全的远程认证方案，利用智能卡实现，无需存储密码或验证表，防止多个用户共享同一身份。该方案采用密码学技术抵御重放、冒充、窃取验证表、猜测及拒绝服务攻击，同时支持用户友好的密码修改。

ABSTRACT

The paper presents an authentication scheme for remote systems using smart card. The scheme prevents the scenario of many logged in users with the same login identity, and does not require password/verifier table to validate the users' login request. The scheme provides a user-friendly password change option, and withstands the replay, impersonation, stolen-verifier, guessing, and denial-of-service attacks.

研究动机与目标

• 解决依赖密码或验证表的传统远程认证方案在安全性和可用性方面的局限性。
• 防止多个用户使用同一身份登录，这是现有系统中的常见漏洞。
• 提供一种安全且用户友好的机制，用于密码修改，且不暴露凭证。
• 抵御广泛的攻击，包括重放、冒充和拒绝服务攻击。
• 通过基于智能卡的认证，实现系统灵活性与安全性的提升，且无需在服务器端存储密码。

提出的方法

• 该方案使用对称密钥密码学和密码哈希函数，通过智能卡对用户进行认证，而无需在服务器上存储密码或验证信息。
• 每位用户被分配一个唯一密钥，安全存储于其智能卡中，用于计算认证令牌。
• 认证协议采用用户与服务器之间的挑战-响应机制，通过智能卡的密钥进行验证。
• 密码修改通过安全的服务器端更新协议实现，确保前向安全性，并防止旧凭证暴露。
• 该方案确保用户与服务器之间的相互认证，防止冒充攻击。
• 通过在协议交互中引入时间戳或一次性随机数（nonce）挑战，防止重放攻击。

实验结果

研究问题

• RQ1 如何在不将密码或验证表存储于服务器的情况下，实现安全的远程认证？
• RQ2 哪些机制可以防止多个用户使用同一登录身份？
• RQ3 在基于智能卡的系统中，如何安全且灵活地支持密码修改？
• RQ4 哪些密码学技术能有效抵御重放、冒充和猜测攻击？
• RQ5 基于智能卡的方案能否同时实现强安全性与用户友好的密码管理？

主要发现

• 所提出的方案通过将每个登录绑定至唯一的智能卡和密钥，成功防止多个用户使用同一身份登录。
• 系统无需在服务器上存储密码或验证表，降低了凭证泄露的风险。
• 通过在认证交互中使用时间戳或一次性随机数（nonce）挑战，该方案有效抵御重放攻击。
• 凭借挑战-响应机制的密码学强度以及智能卡密钥的保密性，成功阻止冒充和猜测攻击。
• 通过速率限制机制和有效智能卡认证的强制要求，缓解了拒绝服务攻击。
• 该方案支持安全且用户友好的密码修改，且在更新过程中不暴露用户的密码。