资源描述：
《usb key身份认证技术》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。
1、USBKey身份认证技术USBKey身份认证技术静文/王可一～中国高新技术企业【摘要】网络应用的安全问题十分重要,本文着重介绍了USBKey身份认证技术的特点,应用方式及基本原理【关键词】USBKey冲击一响应的双因子认证数字证书的认证目前常见的身份认证方式主要有三种,最常见的是使用用户名加口令的方式,但这也是最原始,最不安全的身份确认方式,非常容易由于外部泄漏等原因或通过口令猜测,线路窃听,重放攻击等手段导致合法用户身份被伪造:第二种是生物特征识别技术(包括指纹,声音,手迹,虹膜等),该技术以人
2、体唯一的生物特征为依据,具有很好的安全性和有效性,但实现的技术复杂,技术不成熟.实施成本昂贵,在应用推广中不具有现实意义;第三种也是现在电子政务和电子商务领域最流行的身份认证方式__基于USBKey的身份认证.一,USBKey身份认证简介基于USBKey的身份认证方式是近几年发展起来的一种方便,安全的身份认证技术.USBKey结合了现代密码学技术,智能卡技术和USB技术.是新一代身份认证产品.它采用软硬件相结合,一次一密的强双因子认证模式.很好地解决了安全性与易用性之间的矛盾.USBKey是一种U
3、SB接口的硬件设备,它内置单片机或智能卡芯片,可以存储用户的密钥或数字证书,利用USBKey内置的密码算法实现对用户身份的认证.l髂lc毒暾脚辐随糠馘二,USBKey身份认证原理每个USBKey硬件都具有用户PIN码.以实现双因子认证功能.USBKey内置单向散列算法(MD5),预先在USBKey和服务器中存储一个证明用户身份的密钥,当需要在网络上验证用户身份时,先由客户端向服务器发出～个验证请求.服务器接到此请求后生成一个随机数并通过网络传输给客户端(此为冲击).客户端将收到的随机数提供给插在客
4、户端上的USBKey,由USBKey使用该随机数与存储在USBKey中的密钥进行带密钥的单向散列运算(HMAC～MD5)并得到一个结果作为认证证据传送给服务器(此为响应).与此同时,服务器使用该随机数与存储在服务器数据库中的该客户密钥进行HMAC—MD5运算.如果服务器的运算结果与客户端传回的响应结果相同,则认为客户端是一个合法用户,原理如下图所示.霉辜麓行纛份馥镊魏囊}疆图中"R"代表服务器提供的随机数,"Key"代表密钥,"x"代表随机数和密钥经过HMAC—MD5运算后的结果.通过网络传输的只
5、有随机数"R"和运算结果"X".用户密钥"Key"既不在网络上传输也不在客户端电脑内存中出现,网络上的黑客和客户端电脑中的木马程序都无法得到用户的密钥.由于每次认证过程使用的随机数"R"和运算结果"x"都不一样,即使在网络传输的过程中认证数据被黑客截获.也无法逆推获得密钥.这就从根本上保证了用户身份无法被仿冒.三USBKey身份认证的特点1,双因子认证每一个USBKey都具有硬件PIN码保护,PIN码和硬件构成了用户使用USBKey的两个必要因素,即所谓"双因子认证".用户只有同时取得了USBKe
6、y和用户PIN码,才可以登录系统.即使用户的PIN码被泄漏,只要用户持有的USBKey不被盗取,合法用户的身份就不会被仿冒;如果用户的USBKey遗失.拾到者南于不知道用户PIN码,也无法仿冒合法用户的身份.2,带有安全存储空间USBKey具有8K一128K的安全数据存储空间.可以存储数字证书,用户密钥等秘密数据,对该存储空间的读写操作必须通过程序实现,用户无法直接读取,其中用户私钥是不可导出的,杜绝了复制用户数字证书或身份信息的可能性.3,硬件实现加密算法USBKey内置CPU或智能卡芯片,可以
7、实现PKI体系中使用的数据摘要,数据加解密和签名的各种算法,加解密运算在USBKev内进行,保证了用户密钥不会出现在计算机内存中,从而杜绝了用户密钥被黑客截取的可能性.支持RSA,DES,SSF33和3DES算法.4,便于携带.安全可靠如拇指般大的USBKey非常方便随身携带.并且密钥和证书不可导出,Key的硬件不可复制,更显安全可靠.四,USBKey身份认证系统的应用方式:1,基于冲击一响应的双因子认证方式当需要在网络上验证用户身份时,先南客户端向服务器发出一个验证请求.服务器接到此请求后生成一
8、个随机数并通过网络传输给客户端(此为冲击).客户端将收到的随机数通过USB接口提供给~Pass.由~Pass使用该随机数与存储在~Pass中的密钥进行MD5一HMAC运算并得到一个结果作为认证证据传给服务器(此为响应).与此同时,服务器也使用该随机数与存储在服务器数据库中的该客户密钥进行MD5一HMAC运算,如果服务器的运算结果与客户端传回的响应结果相同,则认为客户端是一个合法用户.密钥运算分别在ePass硬件和服务器中运行.不出现在客户端内存中,也不在网络上传输,南于MD5一HM
