《電子技術(shù)應(yīng)用》
您所在的位置：首頁(yè) > 通信與網(wǎng)絡(luò) > 設(shè)計(jì)應(yīng)用 > 面向云計(jì)算服務(wù)的鑒權(quán)協(xié)議研究
面向云計(jì)算服務(wù)的鑒權(quán)協(xié)議研究
2019年電子技術(shù)應(yīng)用第11期
黨引弟，國(guó)佃利，張 姍
華北計(jì)算機(jī)系統(tǒng)工程研究所，北京100083
摘要： 5G通信技術(shù)的快速落地，面向云計(jì)算服務(wù)的系統(tǒng)迎來(lái)了全新機(jī)遇與挑戰(zhàn)，用戶通過(guò)移動(dòng)泛在網(wǎng)絡(luò)可在任何時(shí)間、任何地點(diǎn)遠(yuǎn)程登錄該系統(tǒng)獲取所需的云計(jì)算服務(wù)。面向云計(jì)算服務(wù)的系統(tǒng)的鑒權(quán)協(xié)議能夠?qū)崿F(xiàn)用戶遠(yuǎn)程服務(wù)過(guò)程中身份認(rèn)證與數(shù)據(jù)保護(hù)密鑰生成，可抵御一系列潛在的網(wǎng)絡(luò)攻擊威脅，確保個(gè)人服務(wù)數(shù)據(jù)機(jī)密性與隱私性?；谏锾卣黩?yàn)證技術(shù)提出了一個(gè)新的面向云計(jì)算服務(wù)系統(tǒng)鑒權(quán)協(xié)議。在該協(xié)議中，服務(wù)器與用戶能夠在交互流程中完成相互之間的身份鑒別，確保兩者間協(xié)商的會(huì)話工作密鑰的機(jī)密性，并通過(guò)BAN-邏輯形式化證明了該鑒權(quán)協(xié)議的完整性與正確性。與近期提出的相關(guān)協(xié)議相比，新提出的面向云計(jì)算服務(wù)系統(tǒng)鑒權(quán)協(xié)議在安全性能上優(yōu)勢(shì)較為突出。
中圖分類號(hào)： TN918
文獻(xiàn)標(biāo)識(shí)碼： A
DOI：10.16157/j.issn.0258-7998.190910
中文引用格式： 黨引弟，國(guó)佃利，張姍. 面向云計(jì)算服務(wù)的鑒權(quán)協(xié)議研究[J].電子技術(shù)應(yīng)用，2019，45(11)：82-86.
英文引用格式： Dang Yindi，Guo Dianli，Zhang Shan. Research on authentication protocol for cloud computing service system[J]. Application of Electronic Technique，2019，45(11)：82-86.
Research on authentication protocol for cloud computing service system
Dang Yindi，Guo Dianli，Zhang Shan
National Computer System Engineering Research Institute of China，Beijing 100083，China
Abstract： With the fast-developing domain of 5G wireless communication technologies, the cloud system for computing service ushered in new chances and challenges. Users could login this system to access the required computing services via mobile ubiquity networks at any time any place. The authentication protocol for cloud computing system could realize user′s identity verification and session key generation in the remote services providing process, and resist a range of potential network attacking threat, ensure the secrecy and privacy of personal data. In this work, we propose a new authentication protocol for cloud computing service system based on biological verification technology. In this proposal, servers and users could complete the identity verification process with the transmitted messages, and this mechansim protect the secrecy of the agreeed session key. Subsequently, we present the formal demonstration with BAN-logic for proving the completeness and correctness of our proposal. Compared with the related protocols, the proposed authentication protocol for cloud computing service system achieves better security properties.
Key words : cloud computing；authentication protocol；privacy；BAN-logic

0 引言

    隨著5G通信技術(shù)的迅猛發(fā)展，云計(jì)算與移動(dòng)通信結(jié)合發(fā)展而來(lái)的云服務(wù)系統(tǒng)進(jìn)入了發(fā)展的快車道[1-2]。云計(jì)算服務(wù)系統(tǒng)可提供在線實(shí)時(shí)的計(jì)算服務(wù)，用戶可通過(guò)遠(yuǎn)程登錄便捷地獲取自己的資源數(shù)據(jù)和相應(yīng)的計(jì)算流程。尤其在手機(jī)終端處理海量隱私服務(wù)數(shù)據(jù)時(shí)，云計(jì)算服務(wù)系統(tǒng)相較于傳統(tǒng)的在本地處理模式上有著無(wú)可比擬的優(yōu)勢(shì)。由于開(kāi)放的網(wǎng)絡(luò)環(huán)境存在諸多安全威脅，保證獲取的服務(wù)數(shù)據(jù)完整性、機(jī)密性、可用性以及隱私性至關(guān)重要，鑒權(quán)協(xié)議能夠通過(guò)身份鑒別實(shí)現(xiàn)訪問(wèn)授權(quán)管理，并以挑戰(zhàn)應(yīng)答模式進(jìn)行信息交互完成數(shù)據(jù)保護(hù)密鑰協(xié)商生成，有效解決在云計(jì)算服務(wù)系統(tǒng)中存在的數(shù)據(jù)濫用、隱私泄露、非法入侵等安全問(wèn)題。其應(yīng)用模型如圖1所示。

tx4-t1.gif

    基于口令的雙因子鑒權(quán)協(xié)議能夠?qū)崿F(xiàn)對(duì)于用戶口令與智能卡的認(rèn)證，在用于云計(jì)算服務(wù)系統(tǒng)這類風(fēng)險(xiǎn)等級(jí)較高的場(chǎng)景中，智能卡的較低的抗破解能力容易引發(fā)較為嚴(yán)重的安全問(wèn)題[3-4]。一旦攻擊者利用邏輯計(jì)算、電磁攻擊或物理破解的方式攻破智能卡的安全防護(hù)屏障，并獲取存放在安全存儲(chǔ)單元中的秘密信息，其可通過(guò)暴力搜索的方式離線猜測(cè)出智能卡歸屬用戶的口令，最終非法侵入該用戶的云端賬戶，惡意獲取用戶隱私服務(wù)數(shù)據(jù)。

    2013年，TAN Z[5]設(shè)計(jì)了一個(gè)面向遠(yuǎn)程醫(yī)療信息系統(tǒng)的鑒權(quán)協(xié)議，并聲稱可以解決上述雙因子認(rèn)證中存在的威脅風(fēng)險(xiǎn)，然而該協(xié)議經(jīng)分析發(fā)現(xiàn)無(wú)法抵御拒絕服務(wù)攻擊。2015年，GUO D等人[6]設(shè)計(jì)了適用于移動(dòng)云服務(wù)環(huán)境下的鑒權(quán)協(xié)議，實(shí)現(xiàn)了用戶在動(dòng)態(tài)移動(dòng)云網(wǎng)絡(luò)下的兩方身份驗(yàn)證與數(shù)據(jù)傳輸保護(hù)密鑰的可信派生。2019年，WANG H等人[7]針對(duì)云服務(wù)系統(tǒng)中分布式存儲(chǔ)架構(gòu)提出了多服務(wù)器模型下的鑒權(quán)協(xié)議，并給出了詳盡的安全性分析證明該協(xié)議可以抵御現(xiàn)有的幾種網(wǎng)絡(luò)攻擊威脅。然而上述鑒權(quán)協(xié)議均無(wú)法抵御攻擊者通過(guò)離線暴力破解的方式獲取用戶口令，并且無(wú)法保護(hù)用戶的服務(wù)數(shù)據(jù)的隱私性，導(dǎo)致云計(jì)算服務(wù)器系統(tǒng)數(shù)據(jù)庫(kù)中的隱私數(shù)據(jù)可以關(guān)聯(lián)相對(duì)應(yīng)的用戶。2015年，GUO D等人[8]將生物特征驗(yàn)證技術(shù)引入至鑒權(quán)協(xié)議中，提出了一種可應(yīng)用在云計(jì)算服務(wù)系統(tǒng)中的三因子認(rèn)證方案，可實(shí)現(xiàn)口令、生物特征與智能卡的身份校驗(yàn)，極大地提升了鑒權(quán)協(xié)議的健壯性。接下來(lái)一段時(shí)間中，研究者針對(duì)可以應(yīng)用于云計(jì)算服務(wù)系統(tǒng)中的身份校驗(yàn)問(wèn)題提出了大量的鑒權(quán)認(rèn)證協(xié)議，以提供更強(qiáng)大的安全屬性與更高的計(jì)算效率[9-10]。值得一提的是，在鑒權(quán)認(rèn)證協(xié)議中，安全性與效率之間存在無(wú)法避免的二元矛盾屬性，如何衡量?jī)烧咧g的關(guān)系最優(yōu)化地實(shí)現(xiàn)協(xié)議是目前急需解決的難題。

    本文中，針對(duì)鑒權(quán)認(rèn)證協(xié)議中普遍存在的安全性與計(jì)算效率問(wèn)題，提出了一個(gè)新的面向云計(jì)算服務(wù)系統(tǒng)的鑒權(quán)協(xié)議，并基于生物特征驗(yàn)證技術(shù)實(shí)現(xiàn)了對(duì)用戶、云計(jì)算服務(wù)器間的可信身份校驗(yàn)，并通過(guò)BAN-邏輯[11]形式化地證明了該鑒權(quán)協(xié)議的完整性與正確性，建立了協(xié)議安全性與計(jì)算效率間的平衡關(guān)系。此外，新提出的鑒權(quán)協(xié)議針對(duì)用戶服務(wù)數(shù)據(jù)的匿名化處理，可實(shí)現(xiàn)在登錄過(guò)程中訪問(wèn)路徑的不可追蹤性。

1 鑒權(quán)協(xié)議的構(gòu)造

    本文提出了一個(gè)面向云計(jì)算服務(wù)系統(tǒng)的鑒權(quán)協(xié)議，引入生物特征驗(yàn)證技術(shù)實(shí)現(xiàn)了云計(jì)算服務(wù)器與用戶間的可信身份校驗(yàn)，能夠解決雙因子認(rèn)證技術(shù)中存在的安全風(fēng)險(xiǎn)漏洞，切實(shí)保障用戶隱私數(shù)據(jù)的安全性。在該方案中包含以下三個(gè)部分：用戶注冊(cè)流程、用戶登錄流程與鑒權(quán)流程。

    在面向云計(jì)算服務(wù)系統(tǒng)的鑒權(quán)協(xié)議中包含以下三個(gè)參與者：云計(jì)算服務(wù)器、隱私服務(wù)單元與用戶。其中云計(jì)算服務(wù)器負(fù)責(zé)用戶的注冊(cè)與鑒權(quán)，隱私服務(wù)單元負(fù)責(zé)存儲(chǔ)用戶的鑒權(quán)數(shù)據(jù)的存儲(chǔ)。表1中給出了協(xié)議中用到的符號(hào)及短語(yǔ)的解釋。

tx4-b1.gif

1.1 用戶注冊(cè)流程

tx4-1.1-x1.gif

1.2 用戶登錄流程

tx4-1.2-x1.gif

1.3 鑒權(quán)流程

tx4-1.3-x1.gif

2 協(xié)議的正確性證明

    本文使用BAN-邏輯[11]完成對(duì)提出的鑒權(quán)協(xié)議的形式化分析，進(jìn)而得到用戶與云計(jì)算服務(wù)器間可實(shí)現(xiàn)可信的身份校驗(yàn)。以下為BAN-邏輯分析方法中用到的符號(hào)以及邏輯推理假定：

tx4-2-x1.gif

tx4-t2.gif

tx4-t2-x1.gif

tx4-t2-x2.gif

3 協(xié)議的安全性分析

    本節(jié)對(duì)鑒權(quán)協(xié)議的安全性與完備性進(jìn)行分析，主要包括隱私性保護(hù)、抵抗用戶偽裝攻擊以及服務(wù)器偽裝攻擊與協(xié)議完備性四個(gè)方面。

3.1 用戶的隱私性保護(hù)

tx4-3.1-x1.gif

3.2 能夠抵抗偽裝攻擊

tx4-3.2-x1.gif

3.3 能夠抵抗服務(wù)器偽裝攻擊

tx4-3.3-x1.gif

3.4 協(xié)議完備性

    在新提出的鑒權(quán)協(xié)議中，任意用戶接入云計(jì)算服務(wù)器時(shí)協(xié)商會(huì)話密鑰時(shí)均需通過(guò)雙方的身份校驗(yàn)流程，并最終建立起安全的加密傳輸通道。值得注意的是，該鑒權(quán)協(xié)議中包含三輪數(shù)據(jù)校驗(yàn)環(huán)節(jié)，用戶身份校驗(yàn)、云計(jì)算服務(wù)器身份校驗(yàn)與會(huì)話密鑰協(xié)商校驗(yàn)。用戶與云計(jì)算服務(wù)器在每一輪數(shù)據(jù)校驗(yàn)環(huán)節(jié)均保證了鑒權(quán)協(xié)議的可信完備性，即任一數(shù)據(jù)校驗(yàn)環(huán)節(jié)失敗均導(dǎo)致鑒權(quán)失敗。因此，新提出的面向云計(jì)算服務(wù)系統(tǒng)的鑒權(quán)協(xié)議滿足協(xié)議的完備性。

4 功能性能分析

    本節(jié)分別與GUO D等人[6]，CHANG Y等人[9]與JANGIRALA S等人[10]提出的鑒權(quán)協(xié)議進(jìn)行分析比對(duì)，并通過(guò)表2展示了從協(xié)議安全性分析比對(duì)結(jié)果。

tx4-b2.gif

    通過(guò)表2可以看出GUO D等人提出的鑒權(quán)協(xié)議無(wú)法抵御服務(wù)器偽裝攻擊、重放攻擊，并且無(wú)法提供協(xié)議的前向安全性與形式化的安全性分析；CHANG Y等人提出的鑒權(quán)協(xié)議無(wú)法抵抗用戶偽裝攻擊、離線口令猜測(cè)攻擊、服務(wù)器偽裝攻擊，此外該協(xié)議無(wú)法保證用戶在登錄流程中的隱私；JANGIRALA S等人的協(xié)議同樣存在一定的安全缺陷，不能免于惡意用戶通過(guò)偽裝、離線口令猜測(cè)及身份竊取發(fā)起的攻擊。新提出的鑒權(quán)協(xié)議能夠滿足表2中的所有安全需求，能夠抵御一系列潛在的網(wǎng)絡(luò)攻擊威脅，確保個(gè)人服務(wù)數(shù)據(jù)機(jī)密性與隱私性。

5 結(jié)論

    面向云計(jì)算服務(wù)系統(tǒng)的鑒權(quán)協(xié)議針對(duì)云計(jì)算服務(wù)流程中面臨的網(wǎng)絡(luò)攻擊威脅以及隱私數(shù)據(jù)保護(hù)問(wèn)題，可提供用戶的遠(yuǎn)程身份校驗(yàn)以及數(shù)據(jù)保護(hù)工作密鑰的可信生成。在本文中，基于生物特征驗(yàn)證技術(shù)提出了一個(gè)適用于云計(jì)算服務(wù)場(chǎng)景三因子鑒權(quán)協(xié)議。另外，利用BAN-logic證明了鑒權(quán)協(xié)議的正確性和完整性。最后，針對(duì)鑒權(quán)協(xié)議中面臨的隱私性保護(hù)、用戶偽裝攻擊、服務(wù)器偽裝攻擊等問(wèn)題進(jìn)行了詳盡的安全性分析。

參考文獻(xiàn)

[1] 馮登國(guó)，張敏，張妍，等.云計(jì)算安全研究[J].軟件學(xué)報(bào)，2011，22(1)：71-83.

[2] 尤肖虎，潘志文，高西奇，等.5G移動(dòng)通信發(fā)展趨勢(shì)與若干關(guān)鍵技術(shù)[J].中國(guó)科學(xué):信息科學(xué)，2014，44(5)：551-563.

[3] KOCHER P，JAFFE J，JUN B. Differential power analysis[J].Proceedings of Advances in Cryptology，1999：388-397.

[4] MESSERGES T S，DABBISH E A，SLOAN R H.Examining smart-card security under the threat of power analysis attacks[J].IEEE Transactions on Computers，2002，51(5)：541-552.

[5] TAN Z.A user anonymity preserving three-factor authentication scheme for telecare medicine information systems[J]. Journal of Medical Systems，2014，38(3)：16.

[6] GUO D，WEN Q，LI W，et al.Analysis and improvement of chaotic map based mobile dynamic ID authenticated key agreement scheme[J].Wireless Personal Communications，2015，83(1)：35-48.

[7] WANG H，GUO D，ZHANG H，et al.Robust multiple servers architecture based authentication scheme preserving anonymity[J].Sensors，2019，19(14)：3144.

[8] GUO D，WEN Q，LI W，et al.An improved biometrics-based authentication scheme for telecare medical information systems[J].Journal of Medical Systems，2015，39(3)：20.

[9] CHANG Y，TAI W，CHANG H.Untraceable dynamicidentity-based remote user authentication scheme with verifiable password update[J].International Journal of Communication Systems，2015，27(11)：3430-3440.

[10] JANGIRALA S，MUKHOPADHYAY S，DAS A.A multiserver environment with secure and efficient remote user authentication scheme based on dynamic ID using smart card[J].Wireless Personal Communications，2017，95(3)：1-33.

[11] BURROWS M，ABADI M，NEEDHAM R.A logic of authentication[J].ACM Transactions on Computer Systems，1990，8(1)：18-36.



作者信息:

黨引弟，國(guó)佃利，張  姍

(華北計(jì)算機(jī)系統(tǒng)工程研究所，北京100083)

此內(nèi)容為AET網(wǎng)站原創(chuàng)，未經(jīng)授權(quán)禁止轉(zhuǎn)載。