复制成功
  • 图案背景
  • 纯色背景

笔记

  • 2019-11-16
    为大人带来形象的羊生肖故事来历 为孩子带去快乐的生肖图画故事阅读
    谈谈怎样学好数学_苏步青-中学生文库
wzs1990112..

上传于:2015-06-17

粉丝量:25

趁现在的双手还能拥抱彼此,趁我们还能呼吸,去见你想见的人,做你想做的事。



SmartID_一种基于智能手机的Web数字身份管理民系统

下载积分:1250

内容提示: 复旦大学硕士学位论文SmartID:一种基于智能手机的Web数字身份管理系统姓名:王毅申请学位级别:硕士专业:计算机软件与理论指导教师:韩伟力20090430 Sm artID:一种基于智能手机的W eb数字身份管理系统摘要摘要基于用户名/m 令的认证是当前最常用的认证机制之一,广泛地应用于操作系统以及电子邮件、网上银行等W eb应用系统中以鉴别用户的身份。随着网络和W eb技术的不断发展,使用基于用户名/n令认证机制鉴别用户身份面临了一些严重的问题,其中包括多用户口令的管理以及来自网络钓鱼( Phi shi ng) 等常见攻击的威胁。本论文利用智能手机作为应用平台提出了一种新的用...

文档格式:PDF| 浏览次数:9| 上传日期:2015-06-17 22:31:04| 文档星级:
复旦大学硕士学位论文SmartID:一种基于智能手机的Web数字身份管理系统姓名:王毅申请学位级别:硕士专业:计算机软件与理论指导教师:韩伟力20090430 Sm artID:一种基于智能手机的W eb数字身份管理系统摘要摘要基于用户名/m 令的认证是当前最常用的认证机制之一,广泛地应用于操作系统以及电子邮件、网上银行等W eb应用系统中以鉴别用户的身份。随着网络和W eb技术的不断发展,使用基于用户名/n令认证机制鉴别用户身份面临了一些严重的问题,其中包括多用户口令的管理以及来自网络钓鱼( Phi shi ng) 等常见攻击的威胁。本论文利用智能手机作为应用平台提出了一种新的用户数字身份管理系统一基于智能手机的W eb数字身份管理系统,称为Sm artID。Sm artID采用的硬件设备主要是目前已经流行的具有蓝牙功能的智能手机,以实现登录界面认证和口令管理。Sm artID以智能手机作为平台实现多用户口令的有效管理;通过高强度加密手段保存认证信息以保护用户口令信息:通过蓝牙作为通信媒介传递认证信息;通过登录界面认证达到反网络钓鱼的效果。与同类口令管理和反钓鱼攻击工具相比,Sm artID在有效保护用户的W eb数字身份方面具有非常明显的优势:它可以实现登录界面的严格鉴别以抵御钓鱼攻击;它可以实现在W eb应用程序登录界面中自动输入用户名/m 令,免去用户记忆和输入冗长复杂的口令;它部署成本低,不需更改W eb服务器原有的认证机制。关键词:数字身份管理;网络钓鱼;登录界面认证;智能手机l AbstractU sernam e/passw ordi sone ofthe m ostfrequentl y-used m echani sm sofauthenti cati on and i ti sw i del yused fori denti fyi ngusers i noperati on system sand w ebappfi cati on system s,e.g.,E—m ai lW i th thedevel opm entof the Internet andW ebappfi cafi on,authenti cati onbasedsystem s,e-banki ng system s, etc· ·onU sernam e/passw ordfaces seri ousprobl em s i ncl udi ng passw ord m anagem entandthreatsfromPhi shi ngattacks.Thi spaper proposesa novel di gi tal i denti ty m anagem ent system , Sm artl D ,w hi ch uses a sm artphoneas apl atformtom anageuser’S W ebdi 【gi tali denti ti es·The hardw are of Sm artl D m ai nl yi ncl udesa sm artphone equi ppedw i thBl uetooth,w hi chi squi te popul arnow .W i th such sm art phone, Logi nuseri nterface( LU I) authenti cati onandpassw ord m anagem entcan bei m pl em entedsecurel yandconveni entl y.Thi spapertri es to m ake use of the sm artphonetom anageuse’s m ul ti pl ew ebdi gi tali denti ti eseffi ci entl y;to protectuser’S keyi nform ati onby encrypti ngauthenti cati on data andpreservi ngthese datai n sm artphone;totransm i tauthenti cati on data to a user’to real i ze anti - phi shi ng by veri fyi ngthel oonuser i nterface.Com paredw i thSpersonal com putervi a bl uetoothcom m uni cati on;other passw ord m anagem entsystem sandanti - phi shi ng tool s,Sm artl D hassi gni fi cant advantagesi nprotecti ngphi shi ngattackby stri ctl y veri fyi ngthel ogi nuser i nterfaceuser’S W ebdi gi tali denti ti es:Sm artl D candef endagai nstbeforesubm i tti nguser' si denti tyi nform ati on.;Sm artl Dcan autom ati cal l yfi l lusernam e/passw ordi nto a correct l ogmi nterface SO thatusers do not need totype com pl ex passw ords m anual l y;Sm artIDhas l owdepl oym ent cost’ becauseauthenti cati ngm echani smi n current W ebtherets no need tom odi fy ori gi nalSerVerS.Keyw ords:D i gi talIdenti tyM anagem ent,Phi shi ng, Logi nInterfaceAuthenti cati on,Sm artPhone2 Sm artID:一种基于智能手机的W eb数字身份管理系统第一章绪论1.1引言第一章绪论互联网的快速、便捷等优势使得互联网得到快速发展,网上交易、信息查询等网络应用已经成了人们日常生活的一部分。在互联网快速发展的同时,互联网的安全性受到了人们越来越多的关注。为了提高安全性,大多数网站采取了身份认证的策略,而在各种用户身份认证策略中,用户名/口令认证是常用的方法。用户名/口令是用户最重要的身份标识符之一,在采用用户名/N 令认证的W eb应用系统中,W eb服务器通过验证用户的用户名/D令判断其身份、访问权限等。但是用户在实际应用中很有可能泄露自己的用户名/D令,三个典型的场景如下:( 1) 用户A因为难以记住自己在某网站注册的用户名/口令而将其写在纸上,但是这个纸上的口令被用户B看到了;( 2) 用户A收到了一封所谓的中奖的邮件,A按照邮件提示点击了其中的链接打开了一个熟悉的页面,A在该页面中输入自己的用户名和口令并且提交,而事实上这是一个伪造的页面,A的用户名和口令就泄露给了页面伪造者;( 3) 用户A在没有锁定系统的情况下离开了计算机,接着一个用户B过来非法使用了该计算机从而看到了计算机中存储的大量机密信息,包括用户A的多个用户名和口令。总结来说,当前用户名/口令这一用户认证机制面临的主要挑战包括:l 、口令记忆困难,输入困难:Fl orenci o等[2】指出,每个普通用户平均拥有25个配有口令的账号,平均每天输8次口令,平均在3.9个不同网站使用同一口令。这导致用户需要记忆和输入大量冗长而复杂的口令。对普通的用户来说,记忆和输入这些口令是非常困难的。另一方面,在不同的网站使用相同的口令也给口令的私密性留下了隐患:一旦攻击者获取了用户在某个网站的口令则很容易猜出该用户在另外一些网站的口令;。‘。‘2、容易遭受网络钓鱼攻击:网络钓鱼者利用欺骗性的电子邮件和伪造的网页( 网页与真实的十分类似) ,骗取用户输入个人账号资料、口令等。对普通的用户,尤其是缺乏计算机专业知识的用户来说,如何通过视觉识别出合法的用户登录界面是一件很困难的事情;3、用户离开时未锁定计算机导致系统被他人恶意使用:由于当前的操作系统无法判断合法用户是否已经暂时离开,如果合法用户在离开已经登录的操作系统时没有锁定系统,那么系统就有可能被恶意用户使用,计算机中保存的用户私3 Sm artID:一种基于智能手机的W eb数字身份管理系统第一章绪论密信息或者公司机密信息都可能被查看、复制、修改甚至删除。1.2本文工作为了解决以上提及的当前用户名/口令认证机制存在的三个安全性问题,本文提出了一种基于智能手机的W eb数字身份管理系统,即Sm artID。整个系统由计算机端的操作系统登录模块GIN A( Graphi cal Identi fi cati on andAuthenti cati on,图形标识和身份验证) 插件和浏览器插件以及手机端应用程序构成,通过蓝牙连接实现计算机端和手机端的通信。Sm artID利用具有蓝牙功能的智能手机解决以上提及的口令记忆输入难、容易遭受网络钓鱼攻击和用户离开时未锁定计算机导致系统被他人恶意使用这三个用户名口令认证的安全性问题。Sm artID能在操作系统和W eb应用的用户登录界面中自动输入相应的口令,免去了用户对于口令的记忆困难和输入困难。Sm artID使用智能手机验证登录界面的合法性,将需要保护的包括IP地址、W eb页面特征等在内的登录界面信息储存于智能手机,在登录时通过对登录界面信息的验证到达反网络钓鱼的目的。同时Sm artID计算机端定时检测蓝牙信号特征的变化,从而实现用户携带智能手机离开主机时自动锁定操作系统。除了能解决用户名口令的安全性问题外,Sm artID还有很多优势,使得其具有广泛的应用性和研究价值:>首先,Sm artID的部署成本非常低,对原有W .eb系统改动很少。这是因为Sm artID主要依赖具备一定计算能力和通信能力的智能手机完成登录界面认证和口令管理任务,不需要更改W eb服务器原有的认证机制,对原有计算机系统的改动也非常少。而智能手机技术日益成熟并已被广泛使用,手机所能够承载的计算能力和近距离无线通信( 如蓝牙通信) 能力越来越强,所以Sm artID很容易得到广泛应用。>其次,Sm artID的安全性较高。在Sm artID中,登录界面认证和口令管理的功能完全由智能手机完成,由于智能手机相对于计算机被攻击的可能性较小,所以利用手机作为认证要素具有平台安全性高的特点,而且能够自动检测登录界面以抵御钓鱼攻击等传统认证手段无法抵御的网络攻击行为。1.3论文的组织本文详细介绍了基于智能手机的W eb数字身份管理系统的设计思想、关键4 Sm artID:一种基于智能手机的W eb数字身份管理系统第一章绪论技术、相关实验以及安全性分析。论文组织结构如下:第二章介绍反网络钓鱼和数字身份管理的研究现状,并简单地分析其优缺点。第三章详细分析了本系统,说明本系统完成了哪些用户需求,在实现过程中有哪些问题必须解决;第四章中通过使用流程图详细地描述了基于智能手机的W eb数字身份管理系统的设计;第五章描述了与本系统的实现原型和与性能相关的两个实验,并通过对比分析出本系统的优势;最后一章对基于智能手机的W eb数字身份管理系统做出了总结性的结论和展望。5 Sm artl D:一种基于智能手机的W eb数字身份管理系统第二章相关工作第二章相关工作2.1网络钓鱼与反网络钓鱼的研究2.1.1网络钓鱼网络钓鱼(Phi shi ng)[6】是在网络上盗窃用户数字身份的一种常见攻击形式,具有方法简单、危害巨大的特点。网络钓鱼行为同时使用了社会工程学和技术欺骗手段,网络钓鱼者利用欺骗性的电子邮件和伪造的网页( 网页与真实的网页十分类似) ,骗取用户输入个人账号资料、口令等。另外一种钓鱼攻击称为网址嫁接( Pharm i ng) ,通过修改地址映射将用户引导到钓鱼网站上去,所以更具有侦测难度。这些钓鱼攻击都是试图使用户将自己的敏感信息如口令和信用卡号码等提交到假的用户登录界面中。这里的用户登录界面( Lo#nU ser Interface.LUI)定义为:用户可以在其中输入用户名/D令的用户交互界面。对于未受严格训练的用户来说,既没有意识,也没有能力从海量的常规用户登录界面中识别出恶意的用户登录界面。(1)如图2.1,网络钓鱼攻击的主要流程:a.钓鱼者发送有针对性的钓鱼邮件给用户,这些邮件包含了部分用户个人信息或者声称邮件来自某可信站点,骗取用户信任,并以中奖、核对消费等内容,诱惑用户访问指定网站。b.用户因为受链接文字、P地址或者U ni code编码等欺骗,访问伪造网站,并且向假冒网站提交用户名口令等用户信息。c.钓鱼者获得这些用户信息。d.钓鱼者使用受害用户的用户名口令等认证信息进入其它网络服务器。6 Sm artID:一种基于智能手机的W eb数字身份管理系统第二章相关工作d使用受害者身份进入其他I)c)9络服务器嗣_t¨ 型i —自a发送有针对性的邮』蟊钓r劈忿用户c获取用户信息b访问伪造网站一勇其他服务器伪造网站图2.1网络钓鱼工作流程(2)网络钓鱼的发展现状:钓鱼攻击相对于其它形式的网络犯罪来说,还是一种比较新的网络犯罪,近年来发现的钓鱼网站数量急剧增多,对网络的安全性造成了巨大威胁。反钓鱼工作组Anti -Phi shi ng W orki ng Group[1]的报告显示,2008年12月涉及窃取口令的钓鱼网站多达31173个,比2008年1月增长了827%。报告同时显示,使用键盘记录器等恶意程序进行窃取口令的攻击也比以往有所增长,2008年7月APW G收到的此类攻击数量多达1519次。我国发生的钓鱼攻击事件的数量也是急速上升,根据APW G2006和2007年的报告,中国的钓鱼网站数量仅次于美国,位居世界第二,而根据APW G2008年下半年的报告,中国的网络钓鱼攻击没有得到很好地控制,钓鱼网站数量仍然处于世界第三。网络钓鱼极大地影响了网络安全问题从而降低人们对网络应用的信心,中国金融认证中-I二, (CFCA)2007年调查显示,在表示不会使用网上银行的用户中,94.7%是因为网络安全问题。2.1.2反网络钓鱼的研究目前的反网络钓鱼技术还处于发展阶段,近年来对网络钓鱼的研究群体逐渐扩大,也出现了不少解决方案。大体上,这些解决方案可以分为以下三个类别:服务器端防御,客户端防御和预防性的防御。(1)服务器端防御机制:7 Sm artID:一种基于智能手机的W eb数字身份管理系统第二章相关-T作服务器端防御网络钓鱼攻击的主要措施有在通信过程中加入验证信息,构建更加安全的W eb应用程序,使用数字证书或强令牌认证系统( 典型的如RSASecureID)以及简化域名系统等等。Content Veri fi cati onCerti fi cates[8]是一种基于w 曲数字证书机制来防御网络钓鱼攻击的方法。在通信过程中,服务器端向客户端出示由可信的第三方机构颁发的数字证书,在客户端验证证书内容通过后,通信才能继续进行。客户端将数字证书以图标或者印章等形式显示在浏览器窗口的显著位置,以吸引用户的注意力。这种方法的主要缺点之一是用户只能盲目的信任或者拒绝证书。Tygar等[9】提出一个W eb服务器自认证的方法,该方法引入了一种用户容易验证但是攻击者很难伪造的机制。这种机制要求保存部分与用户登录界面相关的状态信息,并且为每个用户在客户端和服务端都独立生成唯一的一幅图片,用来进行交换验证。这种方法的缺点在于服务器必须改变原有的认证机制,用户还必须改变其W eb登录习惯并能分辨两幅图片的不同之处。(2)客户端防御机制:客户端防御网络钓鱼攻击的主要方法是基于浏览器的网络钓鱼防御机制,即在浏览器中嵌入反网络钓鱼机制,对这类机制的研究可以大致分为两类。第一类是如何利用浏览器为用户提供更加安全的用户登录界面,以建立用户和浏览器之间的安全通道。Trusted Brow ser使用同步的随机边界颜色来确保用户和浏览器之间是安全的。可信的内容会在一个可信窗口中标识出来,而W eb页面的内容会显示在一个非可信窗口中。如果存在窗口引用,窗口的边界风格就会通过一个随机数产生器按照一定频率改变,以吸引用户注意力【10】。针对攻击者的主要目标是获取用户名和口令,一些研究者提出了专门针对口令的保护措施。M ati as等在1997年提出一个保护口令的方法,该方法在浏览器会话的初始阶段使用密钥,为每个站点产生不同的121令【11】,其口令的产生方法是将用户输入口令与站点域名结合经过哈希函数产生。微软的Passport采用相近的原理,它能够在用户登录Passport站点时记录用户口令,然后在用户登录参与了Passport项目的W eb站点的时候使用已记录的机密信息进行认证。虽然上面两个方法的目的并不是针对网络钓鱼攻击,但是却具有一定防御钓鱼攻击的能力。Ross等在2005年提出了一个针对网络钓鱼攻击的口令保护方案,这种保护方案采取与M ati as类似的方法,为某个站点产生不同的域名相关口令【12】,使用浏览器插件将用户口令与域名的结合进行哈希操作。比如,当攻击者将用户引诱至A网站而要求其输入其在B网站的登录口令的时候,攻击者得到的是一个用户口令与A网站域名结合的字符串的哈希结果,因此这个结果即使被攻击者得到也不能被应用于在B网站进行登8 Sm artl D:一种基于智能手机的W eb数字身份管理系统第二章相关工作录。采用这种方法,用户机器本身不需要存储任何V1令。Hal derm an等同样提出了一个管理用户口令的系统【13】,与Ross等的方法相反,系统将用户口令经过哈希后进行保存,为了防止黑客对1:3令的暴力攻击(Brute ForceARack) ,系统使用了Kel sey等提出的强哈希函数[14】。基于浏览器的网络钓鱼防御机制的第二类研究是如何利用浏览器自动检测网络钓鱼攻击。目前的网络钓鱼检测工具大部分是嵌入于Internet Expl orer,Fi refox等浏览器中,如SpoofGuard,eBayTool bar,N etcrafl Tool bar等等。各大银行、电子商务站点也推出针对自身的网络钓鱼防御方案,比如招商银行推出的一网通网盾【17】,以浏览器插件的形式嵌入Internet Expl orer浏览器内,用户如果使用IE浏览器试图在可疑的假冒招商银行站点进行交易时,该工具就会暂时中断交易,弹出对话框向用户提出警告,用户可以选择将该网址提交给招商银行验证是否为合法站点或者忽略该警告继续完成交易。传统的检测工具主要使用黑名单,页面特征检测等技术来检测及防御网络钓鱼攻击;目前在浏览器检测网络钓鱼攻击方面也有一些比较新的探索性的研究,比如Pan等提出的基于文档对象模型的W eb页面异常检测的方法[ 15】以及Zhang等提出的基于TF.IDF算法和搜索引擎的W eb页面检测方法[16】。(3)预防性防御机制:由于网络钓鱼攻击者在攻击之前会有一些准备性的工作,因此有些防御方法使用预防性机制来防御网络钓鱼攻击,在钓鱼网站的域名或者钓鱼攻击的传播途径上防御钓鱼攻击。比如某些容易遭受网络钓鱼攻击的品牌将近似域名都进行注册,防止攻击者使用这些近似域名来欺骗用户。但是由于可能受到攻击的域名越来越多,不可能将所有的近似域名都提前进行注册,因此有研究者要求域名注册机构增强对域名注册的监管,一旦有存在对某一品牌攻击可能的域名注册申请,就拒绝注册请求;或者是要求域名注册机构对新注册的域名保留一段时间的观察期,以便可能受到攻击的品牌提出反对意见。由于网络钓鱼攻击很多都是使用电子邮件作为传播途径,因此垃圾邮件的过滤也是一个预防钓鱼攻击的有效方法,这种方法通常采用发信人过滤或者基于消息内容的过滤,做到准确地从各种邮件中识别出钓鱼消息。2.2数字身份管理随着因特网及其应用的发展,同时管理多个身份的问题受到越来越多的关9 Sm artID:一种基于智能手机的W eb数字身份管理系统第二章相关工作注,人们对健壮可靠的身份管理系统(Identi ty M anagem ent System ,IM S) 的需求越来越广泛。在身份管理方面,身份窃取成为了一个严峻的挑战。加拿大公共安全部门的一项报告显示[281,美国在2002.2003一年间身份窃取引起的损失约达到530亿美元,加拿大2002年损失约25亿美元。2003年,欧洲的研究人员对当时的提供用户控制的身份管理系统进行了调研[29】,涉及领域包括电子政务、电子商务和电子医疗等,在对大量身份管理产品和原型进行了评价后,报告结论指出“ 没有一个评价过的产品达到标准",并且“ 在隐私、安全性和可靠性方面都存在重大缺陷"。“ 信息社会身份的未来( Future ofIdenti ty i n the Inform ati onSoci ety, FIDIS)” [47]和“ 欧洲隐私与身份管理(Pri vacyandIdenti ty M anagem entforEurope,PRIM E),,【48]是两个由欧盟发起的对身份管理的研究,研究包括确立实体身份以及实体间的关系、身份的匹配、侦测虚假身份等。根据数字身份管理系统架构的差别,可以将目前已经出现的数字身份管理系统分为:以领域为中心( Dom ai n-Centri c) 的身份管理和以用户为中心(Uscr-Centri c)的身份管理[46】。在分析这些身份管理系统前,有必要先明确一下身份管理领域的相关概念。(1)数字身份管理的相关定义和定律根据Eap等的定义【46】,身份是一个人与一个组或者组织的从属关系;数字身份管理是对用户凭证和用户访问在线系统的管理,用户凭证是指口令、数字证书、智能信息卡、生物特征等用于验证用户身份的身份标识;认证是身份管理的一部分,作用是验证特定的身份;身份提供者(Identi tyProvi der, IdP)是一个验证用户登录真实性的可信实体,能够认证用户,并最终向可信方提供身份管理服务;可信方( Rel yi ng-party, RP) 是一个服务提供者,它依赖第三方的IdP为其提供用户身份管理;单点登录( Si ngl e Si gn.O n, SSO ) 是一个认证系统,能使用户只认证一次就能获得进入多个软件系统的权限。Eap等【46】认为在数字身份管理上还没有统一的标准,但Cam eron在2005年提出的数字身份管理的七条定律[32】得到了很多研究人员的认同,这七条定律探讨了当今身份管理中常见问题。第一条:用户控制与认可。系统必须让用户控制使用什么数字身份,防止用户受骗,并验证任何一个向用户索要用户信息的实体的身份,这一点是身份管理的精华[32][44】。本文提出的Sm artID能够使用户管理自己的多个口令,并且验证任何一个用户需要登录的网站的身份,这一点符合了用户控制与认可定律。第二条:最小暴露。因为安全性可能遭破坏,身份管理系统应当允许匿名登10 Sm artID:一种基于智能手机的W eb数字身份管理系统第二章相关工作录,匿名登录能防止身份暴露[31]【33】【35】。第三条:用户决定。在特定身份关系中,一个身份管理系统只能向必要的正当方显示身份信息。Cam eron认为应该让用户自己决定信任谁,身份管理系统只是向用户提供必要信息以帮助用户做出决定,比如在用户首次进入一个服务网站时,InfoCard[37]只是向用户给出警告和服务网站的信息。在本文提出的Sm artID中,对于新出现的登录界面,Sm artID也只是向用户提供警告和必要信息,用户自己做出是否信任的决定,这一点符合了用户决定定律。第四条:有向的身份。身份管理系统必须同时支持双向的身份认证以便相互了解对方和单向的身份认证以防止身份信息不必要的泄露。现实中,人们需要了解正在与谁交往,在因特网中也往往如此。第五条:参与者和技术的多元化。身份管理系统必须能支持多个IdP、RP和多种不同技术的参与。本文提出的Sm artID支持任何具有登录界面的网站,而且不影响系统原有的认证方式,这一点符合了参与者和技术的多元化定律。第六条:人的整合。身份管理系统必须具有人机交互机制。本文提出的Sm artID具有非常简单而且友好的人机交互机制,这一点符合了人的整合定律。第七条:体验一致。对于多种服务,身份管理系统必须向用户提供简单的一致的体验,典型的如SSO 。可见Sm artID符合了Cam eron身份管理定律中的多条定律,是具有良好风格的以用户为中心的身份管理系统。(2)联合身份管理(FederatedIdenti ty M anagem ent,FIM )联合身份管理是身份管理的研究重点之一,数字身份管理通常与身份联合技术相关联。身份联合是在具有相互信任关系的多个站点或不同的服务之间建立连接的一种机制,用户就可以安全地在各个原本孤立的站点或服务间自由地切换。身份联合技术不仅简化了身份的管理,而且也降低了身份窃取的风险[49】。联合身份管理方案得到许多组织和机构的提倡。SAM L[30]是由结构化信息标准促进组织O ASIS制订的,这个非营利性组织得到了EDS、IBM 和Sun等重量级n.厂商的资助,旨在推动及促进W eb服务。另一家行业组织自由联盟( Li berty Al l i ance) [40]和O ASIS在联合身份管理方面开展的工作一样,自由联盟同样由这些IT厂商,以及包括通用汽车和富达在内的非技术公司创办而成,目的在于形成联合身份管理方面的最佳实践,它实际上使用了O ASIS已确定的SAM L令牌。同时,微软及IBM 已制订了一项不同的专有规范,名为W S.Federati on。W S.Federati on让客户可以使用名为微软活动目录联合服务的产品,把安装的活动目录与其它活动目录连接起来。该系统可以读取SAM L令牌以及其它类型的身份信息,不过处理令牌的方式并不相同。1l Sm artID:一种基丁二智能手机的W eb数字身份管理系统第-二章相关工作针对联合身份管理的改进方案也有许多。Abhi l asha等提出了一种在数字身份联合系统中的称作零知识举证(zeroknow l edge proofs) 和分布式hash表的加密协议,在保存用户身份信息的同时不降低安全性[50】。M i chael 等提出了基于公证人的联合身份管理模型,由受信任的第三方提供身份公证服务,其特点是避免了身份提供者IdPs和服务提供者RPs间的直接接触,这样可以更好的保护用户隐私,防止身份信息泄露【51】。Abhi l asham 则考虑了生物学因素在联合身份管理系统的应用,认为生物学认证本身不足以成为最决定性的身份证据,必须要与口令等其它身份标识相结合,形成多因素认证机制以加强认证,提出了针对联合身份管理系统的两阶段认证机制,结合了生物学认证和多因素认证【52】。( 3) 以领域为中心( Dom ai n-Ccntri c) 的身份管理系统为了消除隐私泄露的风险,以领域为中心的身份管理系统被设计成为被强保护的孤立型系统,因此不可能分享用户信息[461。在这种架构内,每个服务提供者都拥有自己的身份管理系统,甚至在同一组织内,用户可能需要多次登录,因为每个服务提供者都要验证其用户的真实性。以领域为中心的身份管理系统也引入了联合身份管理方案,这种方案使多个组织能分享资源。典型的以领域为中心的身份管理系统有Kerberos[33]、中央认证系统(CAS)【45]、Shi bbol eth[42]等。Kerberos是一个认证系统,当用户在其终端登录,Kerberos客户端将用户身份送至一个称作密钥分布中心( keydi stri buti oncenter, KDC) 的可信第三方服务器。KDC拥有两个部分一个认证服务( authenti cati on server, AS) 和一个票据授予服务(ti cket granti ng servi ce, TGS) 。如果验证通过,AS发布一个“ ti cket"和一个会话密钥到Kerberos客户端。这个“ ti cket"使Kerberos客户端的用户能进入其网络内的服务。因为“ ti cket"只是授予了特定的服务内容,所以KDC只能和该种服务相关联,限制了服务的扩展。CAS主要应用于W eb应用,向不同的服务提供者提供一个中央认证服务。当用户首次登录一个服务,服务提供者将用户重定向到CAS进行认证。如果认证成功,CAS给予用户一个“ ti cket"并将用户引导回该服务,服务提供者在允许用户访问前将验证CAS给予的“ ti cket"。CAS不是一个真正的单点登录( SS0) ,每个服务提供者都要求新的CAS“ ti cket",所以用户仍然需要多次登录。然而CAS确实能有助于消除网络上身份数据的复制。Shi bbol eth是一个联合身份管理系统,用户在IdP进行认证后能访问信任联盟内的资源。Shi bbol eth工作原理与CAS相似,它也不是真正意义上的SSO ,但它支持信任联盟的概念。当用户访问一个信任联盟内的服务网站,服务提供者将用户重定向到IdP进行认证。如果认证成功,IdP给予用户一个S, aJ VIL令牌[30】并将用户引导回该服务,这个令牌包含一个加密随机码,允许服务提供者获得用12 Sm artID:一种基于智能手机的W eb数字身份管理系统第二章相关工作户属性,如用户昵称或者用户从属关系等。Shi bbol eth也允许用户匿名登录。以上三种身份管理系统为代表的以领域为中心的身份管理不存在用户控制与认可,而且只适用于独立的系统,不满足身份管理协同性的需求,因此研究人员转向了以用户为中心的身份管理。( 4) 以用户为中心( U scr-Centri e) 的身份管理以用户为中心的身份管理将身份管理的控制权从服务机构转至用户,使用户在如何保存其身份方面拥有更大的灵活度,使用户自己能够控制这些身份信息的分享和使用,并且向用户提供更强的隐私安全[38】。目前已经有了许多以用户为中心的身份管理系统,但是却没有通用的“ 以用户为中心"的评测标准[31][34][38]。典型的以用户为中心的身份管理有InfoCard、O pcnID、自由联盟( Li bertyAl l i ance)等等。微软的InfoCard以Cam eron的七条身份定律作为其设计的指导方针【37】,是一个允许共用的架构,使用户在使用各种网络服务时能够根据不同的IdP使用相应的身份。当用户访问支持hfoCard的服务网站时,服务网站返回一个包含InfoCard标签的登录页面。这个标签能被InfoCard浏览器插件截取到,从而页面弹出用户熟悉的“ 信息卡"界面( 这一点符合第七条定律) 并且让用户为当前服务网站选择一个适当的身份凭证( 这一点符合第一条定律) 。如果当前服务网站不在访问过的网站列表中,InfoCard弹出包含当前服务网站信息的警示框,用户自己选择拒绝或者信任该网站( 这一点符合第三条定律) 。然而在InfoCard系统中,用户还是必须记住在某个服务网站应该使用哪个相应的身份凭证,这一点还是给用户记忆造成了负担。目前仍然处于发展中的O penl D[43]和Sxi p[36]采用的Yadi s协议【4l 】。Yadi s是一个服务探索系统,由服务提供者决定采用何种最适当的协议并基于特定Yadi s ID来认证用户。这个Yadi s ID可以是一个U RL或者其它能将D解析到U RL的标识[ 39】,比如O ASIS可扩展资源标识( Extensi bl eResourceIdenti fi er,XRI) 。当用户访问支持Yadi s的服务网站时,服务网站要求用户输入其Yadi s ID,然后将用户引导到相应的IdP网站进行认证。如果认证成功,IdP将用户引导回到服务网站。在2006年引入的O penID2.0[44】目前已经得到众多网站的支持,用户可以自己建立一个O penID认证服务网站作为其IdP,也可以选择一个可信任的IdP, l :匕如Veri Si gn免费提供了个人IdP服务(http://pi p.veri si gnl abs.corn/)。也是在2006年,Sxi p公司提出了Identi ty2.0136],它的框架与O penl D相似。Sxi pper作为一个Fi refox浏览器插件,允许使用用户名或与O penID类似的Identi ty2.0认证机制登录。Li bertyAl l i ance[40】主要针对基于身份的W ebservi ces,提倡联合身份管理方13 Sm artID:一种基于智能手机的W eb数字身份管理系统第二章相关工作法,着重建立企业之间的信任关系以及通过信任环将原本孤立的用户账户联合起来,目标是建立能够协同工作、管理隐私和防止身份窃取的公开标准。2.3口令管理基于用户名/D令的身份认证是当前最常用的身份认证机制之一,广泛地应用在操作系统、电子邮件、W eb应用系统中用于鉴别用户的身份。随着网络和W eb技术的不断发展,使用基于用户名/N 令认证机制鉴别用户身份面临了一些严重的问题,这包括,多用户口令的管理以及来自网络钓鱼( Phi shi ng) 等常见攻击的威胁。为了保护用户的口令,同时有效防御各种网络钓鱼攻击,各种的口令管理工具不断涌现。根据口令管理工具的是否需要服务器端支持,可以将这些口令管理工具分为CS结构口令管理系统和独立型口令管理软件。( 1) CS结构E1令管理系统比如Keyehai ns[53]就是在M acO SX上运行的一套流行的口令管理工具,它利用了口令管理服务器与本地的同步灵活地解决了用户的口令管理问题,用户能在不同机器上与口令管理服务器进行账号的同步。目前较为流行的安全口令管理系统是动态令牌系统,典型的有RSA公司的Securel D[5],网易公司的将军令[7】等。RSA Securel D是一种双因素认证方法,通过用户所拥有的和知道的两方面来提供一个比重用口令更可以被信赖的方式。每间隔60秒自动地更换用户的口令,使黑客掌握的信息只有短暂的时效性,并且极大地复杂了黑客的操作流程。这种技术被广泛地应用于VPN s& W LAN s,电子邮件,Intranets&Extranets,M i crosoft W i ndow sDesktops,W ebServers等等。国产的将军令是专为保护网易通行证(《大话西游》、《梦幻西游》)、经销商账号的口令保护产品,它可以大大地提高账号的安全性。将军令和Securel D一样,每60秒产生一个不同的动态口令,用户在登录时,不仅需要普通口令还要输入动态口令。将军令通过用户账号、口令和动态口令的三重验证,绑定将军令的账号。在账号口令被恶意盗用时,依然可以将用户的损失尽量减低,因为盗号人没有用户的那台将军令,无法确定动态口令的出现规律,依然无法进入游戏盗取游戏人物的装备和宝宝等虚拟物品。以上系统的典型特征是利用专用便携的硬件定时动态生成一个口令,输入到口令框中作为认证要素,与其它认证要素结合可大幅度提高系统认证的安全性,然而这类解决方案还是存在很多缺点。首先这类方案虽然解决了口令记忆困难的问题,但没有解决用户口令输入困难的问题。其次,这类方案需要特殊的硬件支持,部署的成本相对较高,而且用户需要额外携带这些硬件。最后,如果一个原14 Sm artID:一种基于智能手机的W eb数字身份管理系统第二章相关.T作本采用用户名/口令方式登录的普通网站改用这类方案,则需要改变系统原有的认证方式,必须重构服务器登录模块。( 2) 独立型口令管理软件现在市面上流行的各种口令管理软件(例如Passw ordAgent,Al asend[22]等),主要运行于用户使用的个人计算机上,本地保存了用户的账号信息,不需要服务器支持。因此这些口令管理软件的优点是不需要修改原有的认证机制,在存储了用户登录界面信息和相应的口令之后使用时无需用户再次输入口令。虽然这种口令管理软件在一定程度上减轻了用户的口令记忆困难和输入困难,但是因为集成在一个单一的软件或IE插件中,容易成为黑客的攻击目标,而且一旦计算机操作系统被恶意的黑客代码控制,攻击者很容易获取到系统中的大量合法口令,从而失去安全性。即使这类口令管理软件对用户的口令的存储是加密的,但攻击者仍然可以使用暴力破解或者字典攻击获得用户的口令。同时,这种独立型模式只允许软件和一台固定的计算机绑定,不具备移动性,易造成用户的多次重复的输入注册,降低了易用性,而且也不能实现自动登录操作系统和自动锁定系统。(3)利用智能手机实现的口令管理因为智能手机具有很高的计算能力和安全性,所以一些方案使用了智能手机作为存储机密信息的可信手持设备。O prea等[23】引入了一种基于可信移动设备的方案用于确保远端应用的安全性,Parno等【25】和M annan等[24】提出两种新颖的方案利用可信移动电话和PDA反网络钓鱼,然而这几种方案都需要修改服务器端模块,所以部署成本较高,而本文引入的Sm artID却无需更改服务器端模块。15 Sm artID:一种基于智能手机的W eb数字身份管理系统第三章Sm artID的分析第三章Sm artl D的分析随着网络交易量的逐年提升,安全性也成为了一个网站性能的重要考量指标,所以作为最常用认证机制之一的用户名口令认证也受到人们越来越多的关注。为了提高安全性,很多人选择在不同的网站注册时使用不同的用户名口令,但是口令冗长复杂等特性给用户的记忆和输入操作造成了很大的负担。于是,人们希望使用软件来管理这些用户名口令,保存在W eb应用中注册的账号信息并完成自动登录等功能。基于智能手机的W eb数字身份管理系统Sm artl D不仅能满足用户对W 曲应用的口令管理的需求,而且能有效地管理操作系统的口令。Sm artID由手机端和计算机端两部分组成,分别负责口令管理和与用户交互功能,而手机与计算机的通信采用蓝牙实现。Sm artID手机端所要完成的口令管理功能包括用户账号的保存、使用、查看、修改和删除以及对登录界面的验证,这些功能由安装在智能手机上的应用程序实现。·Sm artID计算机端所要完成的交互功能主要包括通过更改操作系统底层的登录模块来实现的Sm artID自身的系统登录方式以及通过IE浏览器上的插件来实现Sm artID与W eb应用的自动交互。Sm artID对操作系统的更改主要集中在GIN A模块上,使其能够和手机直接通过蓝牙通信传输信息,自动登录和锁定计算机系统;Sm artID对浏览器也做相应更改,即在浏览器中加入插件实现将正确的用户名和口令填入到合法的界面中,大大简化了用户的操作。Sm artID充分利用了现在市面上流行的移动设备——具备蓝牙功能的智能手机。蓝牙是一种短距离无线通信技术,免去了传统的连接电缆,从而使传输更加方便。蓝牙技术传输范围相对较大,可穿透不同物质以及扩散;每个蓝牙适配器都采用唯一的地址码,确保了蓝牙设备互不干扰;蓝牙适配器采用硬件电路加密,不易被黑客截取和解密用户的传输信息;另外还具有功耗低、成本低的特性。这些特性使蓝牙成为数据传输的良好媒介。3.1系统功能分析Sm artID实现的主要功能是以下三个方面:自动登录计算机操作系统( O S登录)一、在计算机系统启动后,GIN A模块开启蓝牙服务和显示操作系统登录界面,16 Sm artl D:一种基于智能手机的W eb数字身份管理系统第三章Sm artl D的分析通过监听蓝牙信号,等待手机端的登录。在启动Sm artID手机端应用程序后,手机与计算机通过蓝牙建立会话,手机端的应用程序验证计算机操作系统登录界面信息与已存的相应计算机操作系统登录界面信息是否匹配,判定当前所要登录的计算机是否合法。如果合法,Sm artID手机端应用程序获取保存在手机上的系统账号信息,最终由GIN A模块将其中的用户名/口令填写到登录界面上并且提交,完成自动登录操作系统。这一自动登录流程避免了用户的记忆负担和手动输入错误,同时提高了系统的安全性。二、自动登录应用程序( W 曲登录)Sm artID的自动登录应用程序功能主要是针对W 曲页面,用户无需手动输入用户名和口令,Sm artID实现自动登录论坛或网上银行等W 曲应用程序。这一功能由计算机上的浏览器端发起。在需要登录时,用户只需点击浏览器上的登录按钮,浏览器插件通过GIN A向手机端发送自动登录的请求。手机端的应用程序验证当前页面的登录界面信息与已存的相应网页的登录界面信息是否匹配,判定当前所要登录的W eb应用是否合法。如果合法,Sm artID手机端应用程序获取保存在手机上的W eb应用账号信息,最终由浏览器插件将其中的用户名/D令填写到W eb应用的登录界面上,完成自动登录W eb应用。三、离机锁定在合法用户忘记锁定计算机系统而离开计算机之后,为防止恶意的用户继续使用电脑从而盗取系统中的各种机密资料,必须实现离机自动锁定功能。Sm artID通过对蓝牙信号的检测,判断手机是否已经离开计算机,因为用户一般随身携带手机,所以Sm artID可以判断当前用户是否离开了计算机,一旦发现用户离开计算机端就立即锁定计算机系统,防止非法用户的使用。这一功能可以有效地提高系统的安全性,并给很多用户提供方便。3.2关键问题和解决策略Sm artl D使用个人白名单技术【3】,在登录前需要用户将登录界面信息和相应的用户认证信息收集并记录到智能手机中,这些信息组成了用户的账号,这些账号构成了个人白名单;当用户需要在某界面登录时,Sm artID将重新收集当前的登录界面信息,发送至手机端与相应账号中的登录界面信息进行比对。这就必须解决“ 如何定义登录界面信息"。Sm artID采用的XM L( EXtensi bl e M arkupLanguage,可扩展标记语言) 文件格式保存用户账号信息,具有较好的可读性和扩展性。为防止因手机丢失等问题导致用户账号信息暴露给恶意的用户,就必须解决“ 如何保护存储在手机端账号信息” 。在维持计算机和智能手机间安全通17 Sm artl D:一种基于智能手机的W eb数字身份管理系统第三章Sm artl D的分析信的同时,Sm artID又需要做到离机锁屏,所以就必须解决“ 如何控制锁屏的距离” 。3.2.1定义登录界面信息对于一个安全的会话来说,会话的两方一验证者和被验证者都必须是安全的,口令管理就是要确保口令自身以及登录界面两方面的安全。实际上,很多用户习惯于通过某个登录界面输入自己的身份认证信息( 多为用户名口令) ,以此证明自己的身份,却忽略了登录界面本身的安全性。只有确保登录界面正确,才能确保用户填写的身份认证信息安全地传递给合法的对象,比如操作系统和W eb系统。Sm artID采用个人白名单技术,通过验证登录界面信息确保登录安全。Sm artID收集计算机系统注册认证信息作为操作系统的登录界面特征信息,这些注册认证信息包括:系统注册信息Regi sterto、系统序列号Seri al no、主机名H ostnam e、系统版本O Si nfo、网卡地址N ICM AC、硬盘号Di skID等。使用这些信息可以确定一个计算机系统,所以在登录前对这些信息进行验证能确保当前系统登录是安全的。操作系统登录界面信息的定义如下:定义一:操作系统登录界面信息=( 主机名,网卡地址,硬盘号,系统注册信息)。Sm artID收集网页上的部分特征信息作为W eb登录界面信息,包括:U RL、IP地址、部分网页源代码( 网页表单相关部分,主要是用户登录对话框) 的H ash值以及网页元素( 网页表单相关部分) 的名称和DO M ( 文档对象模型) 路径等。( 1) U RL( U ni f ormResourceLoeator,统一资源定位符)也被称为网页地址,是因特网上标准的资源的地址。钓鱼者经常使用容易产生混淆的字母和数字,比如数字1和字母l ,仿冒网站域名从而欺骗用户。Sm artID将U RL作为最基本的一个网站判断标准,以U RL为主键管理用户的W 曲账号信息。( 2) 由于Pharm i ng攻击通过篡改操作系统的H O STS文件或攻击网络路由上的P映射等方法,将用户输入的正确的U RL引导到仿冒网站上,所以Sm artID将D地址也作为W eb登录界面信息,比对口地址可以有效抵御Pharm i ng攻击。同时,针对大多数网站使用了一个U RL对应多个P的方法,Sm artID中的P地址采用多值的记录方式,即保存U RL对应的IP地址的列表。( 3) 由于用户最终登录时需要填写的是表单内的各项域,即用户登录对话框,而不同网站也往往有不同结构的各项域,对于这些域的DO M 路径进行记录比对也是识别钓鱼网站的一个有效的方法。此外,只有记录了DO M 路径才能做到自动登录时将用户名口令信息自动填写到正确的域上去,所以DO M 路径必不18 Sm artID:一种基于智能手机的W eb数字身份管理系统第三章Sm artID 的分析可少。( 4) Sm artID将部分网页源代码的H ash值也作为登录界面信息,是因为网页的源代码最能反映当前网站。在仿冒网站虽然和真实的网站表面相差无几,但是两者的源代码却完全不同。另外由于H ash运算使用严格的标准,运算对象任何微小的变化都能导致H ash值完全不同,考虑到网页源代码容易出现小的更改,对整个网页的源代码进行H ash运算的结果也容易变动。所以Sm artID仅获取网页表单相关部分的H ash值。由于这部分代码相对比较稳定,除非网页的结构发生大的变化,网页表单相关部分的H ash值不会发生变动,这样就能既保证准确性又能够在最大程度上防止误报。使用以上信息可以确定一个W eb站点,所以在登录前对这些信息进行验证能确保当前W eb登录是安全的。W eb应用登录信息定义如下:定义二:W eb应用登录信息=( U RL,口地址,登录对话框框DO M 路径,代码片段H ash值) 。以上定义的操作系统登录信息和W eb应用登录信息可以统称为界面登录信息,分别对应操作系统和W eb应用。Sm artl D保存的用户账号信息( 操作系统登录账号和W eb应用登录账号) 不仅包括用户名和口令,还包括了对应的登录界面信息。定义账号如下:定义三:账号=( 界面登录信息,用户认证信息) 。其中用户认证信息定义如下:定义四:用户认证信息=( 用户名,口令) 。由以上定义可知,操作系统登录账号与W eb应用登录账号在界面登录信息部分有区别,所以实际保存的两类账号的tag项也不同。在Sm artl D中,保存操作系统登录账号的XM L文件中一条账号信息的内容如下:<?ⅪIl l versi on=” 1.0什standal one=” no” ?><! 一O urto do l i st data..>.<Accounti d-” l ” ><U scrtype>O S</U scrtype><U sernam e>AD 85Cl5⋯ .( 密文) </U sernam e><Passw ord>155EE5⋯.(密文)</Passw ord><Regi sterto>· · 幸· </Regi stcrto><Seri al no>· · +}· .}· · .· 拳+· · · · .幸· · · · <./Scri al no><Hosnl锄e>● ● ● ● -● ● ● ● ● 宰事· · 母· · c::/Hosnl锄e><O Si nfo>M i crosoftW i ndow sXPProfessi onal2002Scrvoce19 Sm artID:一种基于智能手机的W eb数字身份管理系统第三章Sm a...

关注我们

关注微信公众号

您选择了以下内容