基于Android令牌的動態(tài)密碼認(rèn)證系統(tǒng)的研究與實現(xiàn).pdf

1、隨著信息技術(shù)的不斷發(fā)展，人們的日常生產(chǎn)活動已經(jīng)離不開計算機網(wǎng)絡(luò)，由于計算機網(wǎng)絡(luò)的開放性，各類安全威脅隨之而來，對于存儲在系統(tǒng)中的重要信息一旦泄露，會給用戶造成重大損失。身份認(rèn)證作為網(wǎng)絡(luò)安全的基礎(chǔ)和核心，對建立完善的安全機制意義重大，是當(dāng)前網(wǎng)絡(luò)安全的研究重點?？诹钫J(rèn)證是最常用的一種身份認(rèn)證方式，基于靜態(tài)密碼的口令認(rèn)證以其簡單易用的特點成為大部分信息系統(tǒng)的首選，然而靜態(tài)密碼由于自身的安全缺陷，受到攻擊的概率很高，已完全不能滿足安全要求較高的

2、系統(tǒng)。動態(tài)密碼認(rèn)證技術(shù)可以有效的解決其缺陷，然而現(xiàn)有的動態(tài)密碼認(rèn)證系統(tǒng)由于口令牌缺少通信模塊，導(dǎo)致其內(nèi)置數(shù)據(jù)無法進行更新，失步問題難以有效解決，用戶的自主操作權(quán)也受到了限制，擴展性比較差。隨著移動互聯(lián)網(wǎng)的到來，以Android為代表的智能移動終端極大的提升了數(shù)據(jù)傳輸速率，使得上述問題可以得到很好的解決。
　　 基于此，本文研究和實現(xiàn)了一種基于Android令牌的動態(tài)密碼認(rèn)證系統(tǒng)，并將其應(yīng)用于企業(yè)信息系統(tǒng)員工薪資查詢認(rèn)證。根據(jù)系統(tǒng)

3、設(shè)計要求，結(jié)合對動態(tài)密碼認(rèn)證技術(shù)原理的研究和對其特點、安全性的分析，本文選擇基于時間同步的動態(tài)密碼認(rèn)證機制為方案原型進行了相關(guān)設(shè)計。文中使用基于HMAC-SHA-1的消息摘要算法為動態(tài)密碼生成算法核心，使用RSA非對稱加密算法進行密鑰的分配管理，使用基于NTP協(xié)議的誤差調(diào)整機制實現(xiàn)客戶端和服務(wù)器端的時間同步，由于軟件令牌可以與認(rèn)證服務(wù)器進行實時通信，使得上述工作都可以從口令牌發(fā)起，用戶的自主操作權(quán)得到了提升。利用Android智能移動終

4、端的特點，本文在認(rèn)證協(xié)議中加入了地理信息驗證機制，在密碼生成算法中加入硬件特征碼IMEI做為輸入?yún)?shù)之一，并實現(xiàn)客戶端PIN碼雙因素認(rèn)證。軟件令牌數(shù)據(jù)交互采用HTFP協(xié)議和XML技術(shù)，客戶端對XML數(shù)據(jù)的解析采用比SAX方式更快的PULL方式。針對令牌通信安全弱點，本文采用改進的S/Key方案進行了信道優(yōu)化。認(rèn)證服務(wù)器端方面本文采用企業(yè)級應(yīng)用開發(fā)框架J2EE進行實現(xiàn)，并選擇WebService技術(shù)開發(fā)對外認(rèn)證接口，以實現(xiàn)動態(tài)密碼認(rèn)證系統(tǒng)