【Android论文栏目提醒】：网学会员为广大网友收集整理了，基于Android令牌的动态密码认证系统的研究与实现 - 硕士论文，希望对大家有所帮助！
ｋ１■●，■ 看ｒＩ分类号——ＵＤＣ 学校代码 量Ｑ塑２ 劣滗理歹大穿 学 位 论 文 题 目 叁主墅垂兰Ｑ迪全监丝边查蜜塑丛堡垒丝丝盟窒鱼塞丑 英文Ｔｈｅ Ｒｅｓｅａｒｃｈ ａｎｄ Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ ｏｆ ｔｈｅ Ｄｙｎａｍｉｃ Ｐａｓｓｗｏｒｄ 题 目！ｅ选！塾曼卫！ｉ曼垒！ｉＱ望§Ｙ墨！曼婴垫垦墨曼鱼Ｑ旦笪边亟！Ｑｉ亟！鱼ｋ曼塾 研究生姓名 圭￡剑 教授 指导教师姓名——Ｊ型墨星———一职称 申请学位级别 塑±
论文提交Ｅｔ期 至Ｑ１２生量旦
论文答辩日期 ２Ｑ羔２生§旦 学位授予单位盍銎垄三盘堂学位授予日期 答辩委员会主席 型 垒 评阅人 刘 泉 刘可文 ２０１２年５月 Ｉ ｌ ｌ ｌ ｌｌｌｌ ｌｌ ｌ ｌ ｌｌ ｌ Ｉ Ｉ！｝ Ｙ２０９９９６７ 独创性声明 本人声明，所呈交的
论文是本人在导师指导下进行的研究工作及取得的研究成果。
尽我所知，除了文中特别加以标注和致谢的地方外，
论文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得武汉理工大学或其他教育机构的学位或证书而使用过的材料。
与我一同工作的同志对本研究所做的任何贡献均已在
论文中作了明确的说明并表示了谢意。
２，ｏ，２．Ｉ．声寥 学位
论文使用授权书 本人完全了解武汉理工大学有关保留、使用学位
论文的规定，即学校有权保留并向国家有关部门或机构送交
论文的复印件和电子版，允许
论文被查阅和借阅。
本人授权武汉理工大学可以将本学位
论文的全部内容编入有关数据库进行检索，可以采用影印、缩印或其他复制手段保存或汇编本学位
论文。
同时授权经武汉理工大学认可的国家有关机构或
论文数据库使用或收录本学位
论文，并向社会公众提供信息服务。
（保密的
论文在解密后应遵守此规定）研究生（签名）：匆，参１ 导师（签名 期：如Ｉ】．ｊ．２》 摘 要 随着信息技术的不断发展，人们的日常生产活动已经离不开计算机网络，由于计算机网络的开放性，各类安全威胁随之而来，对于存储在系统中的重要信息一旦泄露，会给用户造成重大损失。
身份认证作为网络安全的基础和核心，对建立完善的安全机制意义重大，是当前网络安全的研究重点。
口令认证是最常用的一种身份认证方式，基于静态密码的口令认证以其简单易用的特点成为大部分信息系统的首选，然而静态密码由于自身的安全缺陷，受到攻击的概率很高，已完全不能满足安全要求较高的系统。
动态密码认证技术可以有效的解决其缺陷，然而现有的动态密码认证系统由于口令牌缺少通信模块，导致其内置数据无法进行更新，失步问题难以有效解决，用户的自主操作权也受到了限制，扩展性比较差。
随着移动互联网的到来，以Ａｎｄｒｏｉｄ为代表的智能移动终端极大的提升了数据传输速率，使得上述问题可以得到很好的解决。
基于此，本文研究和实现了一种基于Ａｎｄｒｏｉｄ令牌的动态密码认证系统，并将其应用于企业信息系统员工薪资查询认证。
根据系统设计要求，结合对动态密码认证技术原理的研究和对其特点、安全性的分析，本文选择基于时间同步的动态密码认证机制为方案原型进行了相关设计。
文中使用基于ＨＭＡＣ．ＳＨＡ－１的消息摘要算法为动态密码生成算法核心，使用ＲＳＡ非对称加密算法进行密钥的分配管理，使用基于ＮＴＰ协议的误差调整机制实现客户端和服务器端的时间同步，由于软件令牌可以与认证服务器进行实时通信，使得上述工作都可以从口令牌发起，用户的自主操作权得到了提升。
利用Ａｎｄｒｏｉｄ智能移动终端的特点，本文在认证协议中加入了地理信息验证机制，在密码生成算法中加入硬件特征码ＩＭＥＩ做为输入参数之一，并实现客户端ＰＩＮ码双因素认证。
软件令牌数据交互采用Ｈ田即协议和ＸＭＬ技术，客户端对ＸＭＬ数据的解析采用比ＳＡＸ方式更快的ＰＵＬＬ方式。
针对令牌通信安全弱点，本文采用改进的Ｓ／Ｋｅｙ方案进行了信道优化。
认证服务器端方面本文采用企业级应用开发框架Ｊ２ＥＥ进行实现，并选择ＷｅｂＳｅｒｖｉｃｅ技术开发对外认证接口，以实现动态密码认证系统的独立性。
经过功能、性能和安全性方面的相关测试与分析，表明系统可以稳定可靠的工作，基本满足本文认证系统的设计要求和员工薪资查询的认证需求。
关键词：Ａｎｄｒｏｉｄ，动态密码，时间同步，Ｓ／Ｋｅｙ，Ｊ２ＥＥ Ａｂｓｔｒａｃｔ Ｗｉｔｈ ｔｈｅ ｃｏｎｔｉｎｕｏｕｓ ｄｅｖｅｌｏｐｍｅｎｔ ｏｆ ｉＴ，ｐｅｏｐｌｅ’Ｓ ｄａｉｌｙ ｐｒｏｄｕｃｔｉｏｎ ａｃｔｉｖｉｔｉｅｓ ｈａｖｅｂｅｅｎ ｉｎｓｅｐａｒａｂｌｅ ｆｒｏｍ ｔｈｅ ｃｏｍｐｕｔｅｒ ｎｅｔｗｏｒｋ，ｄｕｅ ｔｏ ｔｈｅ ｏｐｅｎｎｅｓｓ ｏｆ ｔｈｅ ｃｏｍｐｕｔｅｒｎｅｔｗｏｒｋ，ｖａｄｏｕｓ ｔｙｐｅｓ ｏｆ ｓｅｃｕｒｉｔｙ ｔｈｒｅａｔｓ ｈａｖｅ ａｐｐｅａｒｅｄ，ｗｈｅｎ ｔｈｅ ｉｍｐｏｒｔａｎｔｉｎｆｏｒｍａｔｉｏｎ ｓｔｏｒｅｄ ｉｎ ｔｈｅ ｓｙｓｔｅｍ ｉＳ ｒｅｖｅａｌｅｄ，ｔｈｅ ｕｓｅｒ ｗｉｌｌ ｈａｖｅ ａ ｇｒｅａｔ ｌｏｓｓ．Ａｓ ｔｈｅｆｏｕｎｄａｔｉｏｎ ａｎｄ ｃｏｒｅ ｏｆ ｎｅｔｗｏｒｋ ｓｅｃｕｆｉｔｙ’ ｉｄｅｎｔｉｔｙ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｉｓ ｏｆ ｇｒｅａｔｓｉｇｎｉｆｉｃａｎｃｅ ｔｏ ｅｓｔａｂｌｉｓｈ ａ ｐｅｒｆｅｃｔ ｓｅｃｕｄｔｙ ｍｅｃｈａｎｉｓｍ，ａｎｄ ｉｓ ｔｈｅ ｃｕｒｒｅｎｔ ｒｅｓｅａｒｃｈｆｏｃｕｓ．Ｐａｓｓｗｏｒｄ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｉｓ ｔｈｅ ｍｏｓｔ ｃｏｍｍｏｎ ｆｏｒｍ ｏｆ ｉｄｅｎｔｉｔｙ ａｕｔｈｅｎｔｉｃａｔｉｏｎ，丽ｔｈ ｉｔｓ ｓｉｍｐｌｅ ａｎｄ ｅａｓｙ－ｔｏ－ｕｓｅ ｆｅａｔｕｒｅｓ，ｐａｓｓｗｏｒｄ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｂａｓｅｄ ｏｎ ｓｔａｔｉｃｐａｓｓｗｏｒｄｓ ｈａｓ ｂｅｃｏｍｅ ｔｈｅ ｆｉｒｓｔ ｃｈｏｉｃｅ ｆｏｒ ｔｈｅ ｍｏｓｔ ｉｎｆｏｒｍａｔｉｏｎ ｓｙｓｔｅｍｓ．Ｈｏｗｅｖｅｒ，ｄｕｅ ｔｏ ｉｔｓ ｏｗｎ ｓｅｃｕｒｉｔｙ ｆｌａｗｓ，ｔｈｅ ｐｒｏｂａｂｉｌｉｔｙ ｏｆ ａｔｔａｃｋ ｔｏ ｓｔａｔｉｃ ｐａｓｓｗｏｒｄ ｉｓ ｈｉｇｈ，ｔｈｉｓｃａｎ ｎｏｔ ｍｅｅｔ ｔｈｅ ｈｉ．ｇｈ ｓａｆｅｔｙ ｒｅｑｕｉｒｅｍｅｎｔｓ ｏｆ ｓｙｓｔｅｍ．Ｔｈｅ ｄｙｎａｍｉｃ ｐａｓｓｗｏｒｄａｕｔｈｅｎｔｉｃａｔｉｏｎ ｔｅｃｈｎｏｌｏｇｙ ｃａｎ ｅｆｆｅｃｔｉｖｅｌｙ ｓｏｌｖｅ ｔｈｅ ｓｈｏｒｔｃｏｍｉｎｇｓ，ｈｏｗｅｖｅｒ，ｄｕｅ ｔｏｔｈｅ ｌａｃｋ ｏｆ ｃｏｍｍｕｎｉｃａｔｉｏｎ ｍｏｄｕｌｅ ｆｏｒ ｔｈｅ ｔｏｋｅｎ ｉｎ ｔｈｅ ｅｘｉｓｔｉｎｇ ｄｙｎａｍｉｃ ｐａｓｓｗｏｒｄａｕｔｈｅｎｔｉｃａｔｉｏｎ ｓｙｓｔｅｍ，ｉｔｓ ｉｎｔｅｍａｌ ｄａｔａ ｃａｎ ｎｏｔ ｂｅ ｕｐｄａｔｅｄ，ｔｈｅ ｌｏｓｓ ｏｆｓｙｎｃｈｒｏｎｉｚａｔｉｏｎ ｐｒｏｂｌｅｍ ｉｓ ｄｉｆｆｉｃｕｌｔ ｔｏ ｓｏｌｖｅ ｅｆｆｅｃｔｉｖｅｌｙ，ｔｈｅ ｕｓｅｒ’Ｓ ｒｉｇｈｔ ｔｏ ｏｐｅｒａｔｅ ｔｈｅｔｏｋｅｎ ａｕｔｏｎｏｍｏｕｓｌｙ ｉｓ ａｌｓｏ ｌｉｍｉｔｅｄ，ｔｈｅ ｅｘｐａｎｓｉｏｎ ｉｓ ｒａｔｈｅｒ ｐＯＯＬＷｉｔｈ ｔｈｅ ａｄｖｅｎｔ ｏｆ ｍｏｂｉｌｅ ｉｎｔｅｒａｃｔ，ａｓ ｔｈｅ ｒｅｐｒｅｓｅｎｔａｔｉｖｅ ｏｆ ｓｍａｒｔ ｍｏｂｉｌｅ ｔｅｒｍｉｎａｌｓ，Ａｎｄｒｏｉｄ ｇｒｅａｔｌｙ ｉｍｐｒｏｖｅｄ ｄａｔａ ｔｒａｎｓｍｉｓｓｉｏｎ ｒａｔｅｓ，ｃａｎ ｂｅ ａ ｇｏｏｄ ｓｏｌｕｔｉｏｎ ｔｏ ｔｈｅｐｒｏｂｌｅｍ． Ｂａｓｅｄ ｏｎ ｔｈｉｓ，ｔｈｉｓ ａｒｔｉｃｌｅ ｓｔｕｄｉｅｓ ａｎｄ ｒｅａｌｉｚｅｓ ａ ｋｉｎｄ ｏｆ ｄｙｎａｍｉｃ ｐａｓｓｗｏｒｄａｕｔｈｅｎｔｉｃａｔｉｏｎ ｓｙｓｔｅｍ ｂａｓｅｄ ｏｎ ｔｈｅ Ａｎｄｒｏｉｄ ｔｏｋｅｎ ａｎｄ ｕｓｉｎｇ ｉｔ ｉｎ ｅｍｐｌｏｙｅｅ ｓａｌａｒｙｑｕｅｒｙ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｏｆ ｅｎｔｅｒｐｒｉｓｅ ｉｎｆｏｒｍａｔｉｏｎ ｓｙｓｔｅｍ．Ａｃｃｏｒｄｉｎｇ ｔｏ ｔｈｅ ｓｙｓｔｅｍｄｅｓｉｇｎ ｒｅｑｕｉｒｅｍｅｎｔｓ，ｃｏｍｂｉｎｅｄ ｗｉｔｈ ｔｈｅ ｒｅｓｅａｒｃｈ ｏｎ ｔｈｅ ｐｒｉｎｃｉｐｌｅ ｏｆ ｄｙｎａｍｉｃｐａｓｓｗｏｒｄ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ ｔｈｅ ａｎａｌｙｓｉｓ ｏｎ ｉｔｓ ｃｈａｒａｃｔｅｒｉｓｔｉｃｓ ａｎｄ ｓａｆｅｔｙ，ｔｈｉｓ ａｒｔｉｃｌｅｃｈｏｏｓｅ ｄｙｎａｍｉｃ ｐａｓｓｗｏｒｄ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｍｅｃｈａｎｉｓｍ ｂａｓｅｄ ｏｎ ｔｉｍｅ－ｓｙｎｃｈｒｏｎｏｕｓ ｆｏｒｔｈｅ ｐｒｏｇｒａｍ ｐｒｏｔｏｔｙｐｅ ｔｏ ｄｅｓｉｇｎ．Ｉｎ ｔｈｅ ａｒｔｉｃｌｅ，ｕｓｉｎｇ ｍｅｓｓａｇｅ ｄｉｇｅｓｔ ａｌｇｏｒｉｔｈｍ ａｓ ｔｈｅｃｏｒｅ ｉｎ ｔｈｅ ｄｙｎａｍｉｃ ｐａｓｓｗｏｒｄ ｇｅｎｅｒａｔｉｏｎ ａｌｇｏｒｉｔｈｍ ｂａｓｅｄ ｏｎ ｔｈｅ ＨＭＡＣ—ＳＨＡ－１，ｕｓｉｎｇ ｔｈｅ ＲＳＡ ａｓｙｍｍｅｔｒｉｃ ｅｎｃｒｙｐｔｉｏｎ ａｌｇｏｒｉｔｈｍ ｆｏｒ ｋｅｙ ｄｉｓｔｒｉｂｕｔｉｏｎ ｍａｎａｇｅｍｅｎｔ，ｕｓｉｎｇ ｅｒｒｏｒ ａｄｊｕｓｔｍｅｎｔ ｍｅｃｈａｎｉｓｍ ｔｏ ａｃｈｉｅｖｅ ｔｉｍｅ ｓｙｎｃｈｒｏｎｉｚａｔｉｏｎ ｂｅｔｗｅｅｎ ｃｌｉｅｎｔ ＩＩａｎｄ ｓｅｒｖｅｒ ｂａｓｅｄ ｏｎ ＮＴＰ ｐｒｏｔｏｃｏｌ，ｂｅｃａｕｓｅ ｏｆ ｔｈｅ ｓｏｆｔｗａｒｅ ｔｏｋｅｎ Ｃａｌｌ ｒｅａｌ－ｔｉｍｅｃｏｍｍｕｎｉｃａｔｅ ｗｉｔｈ ｔｈｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｓｅｒｖｅｒ，ＳＯ ｔｈａｔ ｔｈｅ ｗｏｒｋ ｃａｎ ｂｅ ｉｎｉｔｉａｔｅｄ ｆｒｏｍ ｔｈｅｔｏｋｅｎ，ｔｈｅ ｕｓｅｒ’Ｓ ｒｉｇｈｔ ｔｏ ａｕｔｏｎｏｍｏｕｓ ｏｐｅｒａｔｉｏｎ ｈａｓ ｉｍｐｒｏｖｅｄ．Ｂａｓｅｄ ｏｎ ｔｈｅ ｆｅａｔｕｒｅｓｏｆ Ａｎｄｒｏｉｄ ｓｍａｒｔ ｍｏｂｉｌｅ ｔｅｒｍｉｎａｌｓ，ｔｈｉｓ ａｒｔｉｃｌｅ ａｄｄ ｇｅｏｇｒａｐｈｉｃ ｉｎｆｏｒｍａｔｉｏｎａｕｔｈｅｎｔｉｃａｔｉｏｎ ｍｅｃｈａｎｉｓｍ ｉｎ ｔｈｅ ｐｒｏｇｒａｍ，ａｄｄ ｔｈｅ ｈａｒｄｗａｒｅ ｆｅａｔｕｒｅ ｃｏｄｅ ＩＭＥＩｎｕｍｂｅｒ ａｓ ｔｈｅ ｏｎｅ ｏｆ ｔｈｅ ｐａｒａｍｅｔｅｒｓ ｉｎ ｔｈｅ ｐａｓｓｗｏｒｄ ｇｅｎｅｒａｔｉｏｎ ａｌｇｏｒｉｔｈｍ，ａｎｄ ｒｅａｆｉｚｅｔｈｅ ＰⅣｔｗｏ－ｆａｃｔｏｒ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｉｎ ｃｌｉｅｎｔ．ｎｅ ｓｏｆｔｗａｒｅ ｔｏｋｅｎ ｄａｔａ ｅｘｃｈａｎｇｅ ｕｓｉｎｇｔｈｅ ＨＴＴＰ ｐｒｏｔｏｃｏｌ ａｎｄ ＸＭＬ ｔｅｃｈｎｏｌｏｇｙ，ｔｈｅ ＸＭＬ ｄａｔａ ａｎａｌｙｓｉｓ ｕｓｉｎｇ ＰＵＬＬ ｗａｙｗｈａｔ ｉｓ ｆａｓｔｅｒ ｔｈａｎ Ｐｕｌｌ ｗａｙ ｉｎ ｔｈｅ ｃｌｉｅｎｔ．Ｆｏｒ ｔｈｅ ｖｕｌｎｅｒａｂｉｌｉｔｙ ｏｆ ｃｏｍｍｕｎｉｃａｔｉｏｎ ｏｎｔｈｅ ｓｏｆｔｗａｒｅ ｔｏｋｅｎ，ｔｈｉｓ ａｒｔｉｃｌｅ ｕｓｅ ｔｈｅ ｉｍｐｒｏｖｅｄ Ｓ／ＫｅＹ ｐｒｏｇｒａｍ ｔｏ ｏｐｔｉｍｉｚｅ ｉｎｃｈａｎｎｅｌ．Ｆｏｒ ｔｈｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｓｅｒｖｅｒ，ｔｈｅ ａｒｔｉｃｌｅ ｕｓｉｎｇ ｅｎｔｅｒｐｒｉｓｅ·ｃｌａｓｓ ａｐｐｌｉｃａｔｉｏｎｄｅｖｅｌｏｐｍｅｎｔ ｆｒａｍｅｗｏｒｋ Ｊ２ＥＥ ｔｏ ｒｅａｌｉｚｅ，ａｎｄ ｃｈｏｏｓｅ ＷｅｂＳｅｒｖｉｃｅ ｔｅｃｈｎｏｌｏｇｙ ｔｏｄｅｖｅｌｏｐ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｉｎｔｅｒｆａｃｅ，ｉｎ ｏｒｄｅｒ ｔｏ ａｃｈｉｅｖｅ ｔｈｅ ｉｎｄｅｐｅｎｄｅｎｃｅ ｏｆ ｔｈｅａｕｔｈｅｎｔｉｃａｔｉｏｎ ｓｙｓｔｅｍ．ｎｅ ｒｅｌｅｖａｎｔ ｔｅｓｔ ａｎｄ ａｎａｌｙｓｉｓ ｏｎ ｆｅａｔｕｒｅｓ，ｐｅｒｆｏｒｍａｎｃｅ ａｎｄｓａｆｅｔｙ ａｓｐｅｃｔｓ ｓｈｏｗ ｔｈａｔ ｔｈｅ ｓｙｓｔｅｍ Ｃａｎ ｗｏｒｋ ｓｔｅａｄｉｌｙ ａｎｄ ｒｅｌｉａｂｌｙ，ａｎｄ ｍｅｅｔ ｔｈｅｄｅｓｉｇｎ ｒｅｑｕｉｒｅｍｅｎｔｓ ｆｏｒ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｓｙｓｔｅｍ ａｎｄ ｅｍｐｌｏｙｅｅ ｓａｌａｒｙ ｑｕｅｒｙａｕｔｈｅｎｔｉｃａｔｉｏｎ ｒｅｑｕｉｒｅｍｅｎｔｓ ｉｎ ｔｈｅ ａｒｔｉｃｌｅ ｂａｓｉｃａｌｌｙ．Ｋｅｙ ｗｏｒｄｓ：Ａｎｄｒｏｉｄ，Ｄｙｎａｍｉｃ ｐａｓｓｗｏｒｄ，Ｔｉｍｅ ｓｙｎｃｈｒｏｎｉｚａｔｉｏｎ，Ｓ／Ｋｅｙ，Ｊ２ＥＥ ⅡＩ 目 录第１章绪论…………………………………………………………………………１ １．１选题背景和意义……………………………………………………………１ １．２国内外研究和发展现状……………………………………………………４ １．３本文研究内容和章节安排…………………………………………………６第２章动态密码认证系统总体设计………………………………………………８ ２．１动态密码认证技术研究……………………………………………………．８ ２．１．１动态密码认证技术基本原理…………………………………………８ ２．１．２动态密码认证技术分析……………………………………………．８ ２．２动态密码认证系统模型改进………………………………………………．９ ２．３动态密码认证机制的选择………………………………………………．１０ ２．３．１ 基于时间同步的认证机制…………………………………………１０ ２．３．２基于事件同步的认证机制…………………………………………．１１ ２．３．３基于挑战厂应答的认证机制………………………………………。
１２ ２．３．４本文采用的认证机制………………………………………………１２ ２．４动态密码认证口令牌的选择……………………………………………．１３ ２．４．１动态密码的实现方式………………………………………………１３ ２．４．２基于Ａｎｄｒｏｉｄ终端的实现方式……………………………………１４ ２．５动态密码认证系统总体框架设计………………………………………．１４ ２．６本章小结…………………………………………………………………．１５第３章Ａｎｄｒｏｉｄ认证口令牌设计…………………………………………………１６ ３．１ Ａｎｄｒｏｉｄ平台技术研究……………………………………………………。
１６ ３．２认证口令牌功能框架设计………………………………………………．１７ ３．３关键技术解决方案………………………………………………………．．１８ ３．３．１动态密码生成算法设计……………………………………………１８ ３．３．２密钥安全管理设计…………………………………………………１９ ３．３．３ 时间同步方案设计…………………………………………………２０ ３．４认证协议设计……………………………………………………………．２２ ３．４．１注册阶段……………………………………………………………２２ ３．４．２令牌登录下载阶段…………………………………………………．２３ ３．４．３ 口令获取认证阶段…………………………………………………２４ ３．５令牌数据交互设计………………………………………………………。
２６ ３．５．１令牌配置文件设计与解析技术……………………………………２６ ３．５．２令牌数据交互机制设计……………………………………………２７ ３．６令牌通信安全机制设计…………………………………………………．２８ ３．６．１基于Ｓ／Ｋｅｙ的优化方案……………………………………………２８ ３．６．２方案分析……………………………………………………………３０ ３．６．３方案改进……………………………………………………………３１ ３．７本章小结…………………………………………………………………．．３３第４章认证服务器实现……………………………………………………………３４ ４．１认证服务器功能框架设计………………………………………………。
３４ ４．２开发环境搭建………………………………………………………………３５ ４．３ Ｊ２ＥＥ系统开发框架………………………………………………………３５ ４．４认证服务功能实现………………………………………………………。
３７ ４．４．１域账户认证实现……………………………………………………３７ ４．４．２短信密码认证实现…………………………………………………３８ ４．４．３地址认证实现………………………………………………………４１ ４．５数据库实现………………………………………………………………。
４２ ４．５．１数据库表设计………………………………………………………４２ ４．５．２数据库操作…………………………………………………………．４５ ４．６认证接口实现……………………………………………………………．４７ ４．６．１认证接口实现机制选择……………………………………………４７ ４．６．２认证接口开发………………………………………………………４７ ４．６．３认证接口安全信道设计……………………………………………４９ ４．７加密算法实现………………………………………………………………５０ ４．８本章小结…………………………………………………………………．５１第５章系统测试与分析…………………………………………………………．５２ ５．１系统功能测试与分析……………………………………………………。
５２ ５．２系统性能测试与分析……………………………………………………．５５ ５．３系统安全性测试与分析…………………………………………………．５６ ５．４本章小结……………………………………………………………………５７第６章总结与展望………………………………………………………………。
５８ ６．１工作总结………………………………………………………………… ６．２进一步展望……………………………………………………………．．ｊｌ受谢………………………………………………………………………………………………………参考文献…………………………………………………………………………… 武汉理工大学硕士学位
论文 第１章绪论１．１选题背景和意义 ２１世纪，信息技术快速发展，各种网络应用层出不穷，给人们的生活带来了极大的便利，每天都有众多用户登录许多不同类型的信息系统，如社交网站，邮箱，购物网站等。
人们普遍习惯于在不同的系统设置相同的注册信息，包括相同的用户名和密码，这在带来方便记忆的同时也增加了信息泄漏的风险，由于不同的系统安全机制强度不同，一旦用户在某个系统的注册信息被盗取，则其他系统的安全也将面临着风险。
２０１１年下半年就发生了震惊社会的ＣＳＤＮ６００万用户密码泄漏事件，引发用户对自身隐私外泄的担忧，也足以说明信息安全的意识还没有真正深入人心。
信息安全问题在一定程度上制约着网络应用的发展，因此利用网络安全技术来保证应用系统的安全性成为信息时代的一个重要课题。
网络安全技术一般包括身份认证，授权控制，数据机密性，数据完整性，数据抗否认性和审计等多种机制【¨，如图１－１。
１．身份认证 用户在访问系统资源时，需通过身份认证系统对其身份合法性的确认，才能够访问被保护的信息【２１。
２．访问控制 限制用户对系统相关模块进行存取操作，其依赖于正确的用户身份验证，对机密性，完整性，抗否认性提供支持。
３．数据机密性 机密性是防止网络传输数据遭到被动攻击，让攻击者无法获取消息的源、宿、长度等特征。
４．数据完整性 完整性是防止遭到主动攻击，应用于消息流或其选定部分的检测。
５．数据抗否认性 抗否认性是防止发送方或接受方否认发送或接受过某条消息，消息发送出去后，接收方能证明消息确实是由发送方发出的。
武汉理工大学硕士学位
论文 ６．审计 安全审计系统用于记录用户的重要操作行为，为未知安全事故留下重要据。
臼一８ 授权数据库 安全管理员 ／／ 、 西二商 控制服务器 资源 ： 上 回一 审计员 图１－１安全系统结构图 可见身份认证是安全系统的第一道屏障，是信息安全的基础，一旦身份认证系统被攻破，其他的安全措施也将失去作用【３１。
身份认证的实现机制通常有以下三种： １．基于用户所具有的生物特征，如指纹、语音等进行认证； ２．基于用户所知道的秘密知识，如密码，密钥等进行认证； ３．基于用户所拥有的物品，如身份证、智能卡等进行认证。
基于生物特征的认证方式具有普遍性、唯一性和永久性等特征，但认证信息常以明文形式在网络上传输，易遭截获，受外界因素的影响，在进行特征提取或匹配时也常产生失误【４１。
基于秘密知识是最常用且最易于实现的一种身份认证方式，如我们常用的Ｗｉｎｄｏｗｓ系统和网络社区的登录都是采用静态密码技术，即系统为每个合法用户建立包含用户名，密码的～个组合，如图１．２，当用户登录系统时，通过核对其输入的用户名和密码与系统保存的组合信息是否匹配进行用户身份的确认。
但这种基于静态密码的认证方式在安全性方面存在很多问题【５Ｊ，如： １．网络数据流窃听 ２ 武汉理工大学硕士学位
论文 在上述的静态密码验证示意图中，我们看到密码需要经过网络传输，尤其是很多系统将未加密的密码直接在网络上传输，攻击者很容易通过相关软件对在网络上传输的数据进行窃听，以鉴别出用户的用户名和密码。
２．窥探、社交工程 攻击者利用与系统接近的机会，通过监视器等方式窥探用户输入密码的过程，或冒充合法用户取得管理人员的信任获得用户口令。
３．认证信息截取／重放 攻击者发送一个服务器已经接受过的数据包，欺骗认证系统，从而获得对系统的登录权。
４．字典攻击、穷举尝试 正如前文所说，很多用户习惯使用对于自己有某些意义的单词如生日、电话号码等作为密码，攻击者会使用包含大多数单词的字典或字符串全集来尝试比对用户的密码。
因此很多系统都建议用户在设定的密码是加入特殊字符，并对密码位数进行最短长度限制，以增强密码的安全性。
５．垃圾搜索 攻击者通过搜索用户的废弃物，如写在纸上的密码等，从中得到与系统有关的密码信息。
图１．２静态密码验证示意图 这些攻击手段对信息的安全保护带来了很大的隐患，因此，我们需要采用～套更安全的身份认证方式。
为了解决静态密码在安全性方面的不足，一次性口令ＯＴＰ（Ｏｎｅ．Ｔｉｍｅ Ｐａｓｓｗｏｒｄ）即动态密码认证技术应运而生，它一般采用基于物品的认证方式在口令的产生中加入不确定因子，使得用户每次登录时的密码都不相同，从而提高系统的安全性。
３ 武汉理工大学硕士学位
论文１．２国内外研究和发展现状 美国是最早研究动态密码的国家，垄断了该领域的诸多专利技术。
上世纪８０年代初，Ｌｅｓｌｉｅ Ｌａｍｐｏｒｔ首次提出了利用哈希函数产生动态密码的思想，用户在进行身份认证时，网络上传输的密码都是密文形式，并且每次认证这些密码都是不同的，即能够成功登录的密文密码是一次有效的【副。
９０年代初，被Ｂｅｌｌｃｏｒｃ改进为基于ＤＥＳ加密算法的Ｓ／ＫＥＹ密码序列身份认证方案，之后更换为安全性更高的ＭＤ４和ＭＤ５算法ｌ丌。
而Ｓ瓜．ＥＹ方式缺点在于加密计算量比较大，针对此点，动态密码认证又发展了基于时间同步和挑战／应答两种形式，其借鉴了Ｌａｍｐｏｒｔ方式的优秀设计思想，采用不同形式的变动因子，并改进了计算量大的缺点。
此外，基于散列或异或运算的低复杂度双向认证方案也成为了一个重要方向，２１世纪初，Ｓａｎｄｉｒｉｇａｍａ Ｍ提出了ＳＡＳ方梨踟，因其不能抵抗重放和拒绝服务攻击，Ｋａｍｉｏｋａ Ｔ提出了修正版ＳＡＳ〔９１，Ｙｕａｎ Ｄｉｎｇ提出了改进方案ＳＤＰＡ〔１０１，为了减少方案的计算量，Ｔｓｕｊｉ Ｔ等改进修正版ＳＡＳ为ＳＡＳ．２１１１Ｊ。
动态密码在美国最初主要应用于军事，情报等安全级别很高的部门，随着信息技术的发展，人们的安全意识逐渐提高，动态密码开始进入商用领域。
如ＲＳＡＳｅｃｕｒｉｔｙ Ｉｎｃ．、Ｎｏｖｅｌｌ的Ａｃｔｉｖｃａｒｄ Ｉｎｃ．、ＩＢＭ和Ｅｎｉｇｍａ等公司都开发了基于动态密码的身份认证系统和商用产品，占据了全球大部分的市场分额。
由于信息安全意识的薄弱，我国在动态密码认证技术方面的研究起步比较晚，上世纪９０年代末，中科院ＤＣＳ中心成功研制出具有自主知识产权的动态密码认证系统。
随着我国信息技术的蓬勃发展，越来越多的研究机构和公司加入到动态密码认证技术的研发中，一些优秀的信息安全公司如上海宁盾科技，四川安盟公司脱颖而出，占据着行业的领导地位【ｌＭ３１。
动态密码在我国最初主要应用于一些外企的内部管理中。
进入２１世纪，随着我国互联网行业突飞猛进的发展，各种网络应用层出不穷，特别是网上交易与网上银行的用户呈现爆炸式的增长，人们的隐私信息越来越多的出现在互联网中，随之而来的安全问题也日.
相关文章
2013-9-18
