第３６卷 第７期 计算机工程 ２０１０年４月 ＶｏＬ３６ Ｎｏ．７ Ｃｏｍｐｕｔｅｒ Ｅｎｇｉｎｅｅｒｉｎｇ Ａｐｒｉｌ ２０１０ ・安全技术・ 文章编号：１０ｏｏ－＿Ｉ３４２８（２ｏ１０１ｏ７—ｏ１４２—０２ 文献标识码：Ａ 中圈分类号：Ｎ９４５ 对一个口令认证协议的可攻击性分析及改进 柯芳芳，唐西林，章启恒 （华南理工大学理学院数学系，广州５ ｉ ０６４０） 擅要：Ｒｈｅｅ Ｈ Ｓ等人（Ｃｏｍｐｕｔｅｒ Ｓｔａｎｄａｒｄｓ＆Ｉｎｔｅｒｌａｃｅｓ，２００９，Ｎｏ．１）提出的协议使用移动设备代替智能卡记忆数据降低风险和成本，但该协 议仍存在一些不足。针对该问题，基于Ｃｈａｎ．Ｃｈｅｎｇ攻击案例，指出该协议难以抵抗假冒攻击和离线ＶＩ令猜测攻击，为克服这些缺陷，给 出一种改进方案，通过实验证明了该方案可以有效抵抗上述２种攻击，并能保证其［１令的秘密性及身份认证的安全性。 关键词：１３令认证；智能卡；假冒攻击；离线ＶＩ令猜测攻击 Ａｔｔａｃｋ Ａｎａｌｙｓｉｓ ａｎｄ Ｉｍｐｒｏｖｅｍｅｎｔ ｏｆ Ｐａｓｓｗｏｒｄ Ａｕｔｈｅｎｔｉｃａｔｉ０ｎ Ｐｒｏｔｏｃｏｌ ＫＥ Ｆａｎｇ—ｆａｎｇ，ＴＡＮＧ Ｘｉ—ｌｉｎ，ＺＨＡＮＧ Ｑｉ—ｈｅｎｇ （Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｍａｔｈｅｍａｔｉｃｓ，Ｓｃｈｏｏｌ ｏｆ Ｓｃｉｅｎｃｅ，Ｓｏｕｔｈ Ｃｈｉｎａ Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｔｅｃｈｎｏｌｏｇｙ，Ｇｕａｎｇｚｈｏｕ ５ １ ０６４０） ［Ａｂｓｔｒａｃｔ］Ｔｈｅｌ ｐｒｏｔｏｃｏｌ ｐｒｏｐｏｓｅｄ ｂｙ Ｒｈｅｅ Ｈ Ｓ ｅｔ ａｌ（Ｃｏｍｐｕｔｅｒ Ｓｔａｎｄａｒｄｓ＆Ｉｎｔｅｒｆａｃｅｓ，２００９ Ｎｏ．１）ｕｓｅｓ ｍｏｂｉｌｅ ｅｑｕｉｐｍｅｎｔ ｔｏ ｒｅｐｌａｃｅ ｓｍａｒｔ ｃａｒｄ ｔｏ ｒｅｄｕｃｅ ｒｉｓｋ ａｎｄ ｃｏｓｔ，ｂｕｔ ｉｔ ｅｘｉｓｔｓ ｓｏｍｅ ｄｅｍｅｒｉｔｓ．Ａｉｍｉｎｇ ａｔ ｔｈｉｓ ｐｒｏｂｌｅｍ，ｂａｓｅｄ ｏｎ Ｃｈａｎ—Ｃｈｃｎｇ ａｔｔａｃｋ ｃａｓｅ，ｉｔ ｐｏｉｎｔｓ ｏｕｔ ｔｈａｔ ｔｈｅ ｐｒｏｔｏｃｏｌ ｃａｎ ｎｏｔ ｒｅｓｉｓｔ ｉｍｐｅｒｓｏｎａｔｉｏｎ ａｔｔａｃｋ ａｎｄ ｏｆｆ－ｌｉｎｅ ｐａｓｓｗｏｒｄ ｇｕｅｓｓｉｎｇ ａｔｔａｃｋ Ｉｎ ｏｒｄｅｒ ｔｏ ｏｖｅｒｃｏｌｎｅ ｔｈｅｓｅ ｄｒａｗｂａｃｋｓ，ｉｔ ｇｉｖｅｓ ｔｈｅ ｉｍｐｒｏｖｅｄ ｓｃｈｅｍｅ． Ｉｔ＇ Ｅｘｐｅｒｉｍｅｎｔａｌ ｒｅｓｕｌｔｓ ｓｈｏｗ ｔｈｉｓ ｓｃｈｅｍｅ ｉｓ ｓｔｒｏｎｇｌｙ ｒｅｓｉｓｔａｎｔ ｔｏ ｂｏｔｈ ｏｆ ｔｈｅｓｅ ａｔｔａｃｋｓ，ｗｈｉｃｈ ｋｅｅｐｓ ｔｈｅ ｐａｓｓｗｏｒｄ ｓｅｃｒｅｔ ａｎｄ ａｕｔｈｅｎｔｉｃａｔｉｎｇ ＩＤ． ［Ｋｅｙ ｗｏｒｄ］ｐａｓｓｗｏｒｄ ａｕｔｈｅｎｔｉｃａｔｉｏｎ；ｓｍａｒｔ ｃａｒｄ；ｉｍｐｅｒｓｏｎａｔｉｏｎ ａｔｔａｃｋ；ｏｆｆ－ｌｉｎｅ ｐａｓｓｘｘｏｒｄ ｇｕｅｓｓｉｎｇ ａｔｔａｃｋ ｌ概述 线１２１令猜测攻击，并以安全的移动设备代替智能卡从而降低 口令认证协议是远程用户登录系统中必不可少的一个方 成本。而本文则认为文献［４］协议仍然存在一些不足，依然难 面。早在２０世纪８０年代，动态口令认证协议被广泛应用于 以抵抗假冒攻击和离线口令猜测攻击。 各种远程登录系统中。口令认证协议发展至今，远程用户登 ２文献【４ｌ协议 录系统一般分为３个阶段：（１）注册阶段。用户提供身份证明 本文用到的符号如下： 表示用户；Ｓ表示服务器； 和ＩＣｌ令给服务器进行注册，成为合法用户。（２）登录阶段。用 表示用户身份证明；Ｐ 表示用户口令；Ｐ为一个大素数； 户输入口令，提交登录请求和登录信息。（３）验证阶段。服务 Ｈ（）， （）为Ｈａｓｈ函数；Ｘ 为服务器密钥；ｅ为服务器公钥； 器验证用户合法性，验证通过后并向用户提交双向认证信息。 Ｇ为阶为Ｐ的群。 随着口令认证协议的发展，对于口令认证协议的发展，相应 的口令认证协议的攻击也发展起来。对于口令认证协议的攻 ２．１注册阶段 击有几种：离线口令猜测攻击，假冒攻击，窃取凭证攻击， 注册阶段的步骤为：（１）Ｕ 通过安全信道提交 和ＰＷ， 拒绝服务器攻击，重放攻击等。在传统的口令认证方案中， 给服务器Ｓ。（２）Ｓ接收到１Ｄ 和ＰＷ，后，Ｓ产生一个随机数 服务器储存相应的二元对（ ，Ｐ ），用户登录是输入口令与 并计算： ＝（ ． ！），其中，ｌ∈Ｇ， ．＝１Ｄｉ ・Ｈ（Ｐ ）ｍｏｄｐ， 其匹配即可。但这种储存用户口令的方法容易遭受窃取凭证 ： ｍｏｄＰ。（３）Ｓ通过安全信道将（ （）， （・），Ｐ， ）写入用 的攻击。此后的诸多协议中，虽然将二元对改为验证冈子列 户Ｕ，的移动设备保存。 表保存，这仍然难以抵抗诸多攻击方法且保存用户口令数据 ２．２登录阶段 的问题认未解决。在Ｅ／Ｇａｍａｌ签名认证方案ｌＪ 和基于身份认 如果用户要登录服务器，将移动设备插入终端，输入他 证签名方案 的基础上，文献［３】提出一个智能卡１３令认证方 的身份１Ｄ 和口令｜Ｄ 。移动设备执行以下操作：（１）选取随 案，它具有以下意义：（１）用户可以随意修改密码；（２）远程认 机数 ， ∈Ｇ。（ ）计算 万 Ｉｉ ｍ０ｄ 及 ＝（Ｙｉ ）。 证系统不再储存口令相关的验证因子列表；（３）运用时问戳方 案，系统可以抵抗重放攻击。为减少风险和降低成本，许多 （ＩＤｉ‘） ｍｏｄＰ。（３）计算Ｍ＝Ｈ（ ０Ｔ０ＩＤｉ）ｍｏｄＰ， ＝（ ２） ・ 协议多使用智能卡保存一些数据，以此不再增加服务器的存 ＭｒｏｏｄＰ，Ｃ３＝（ ２） ＝（ ） ｒｏｏｄＰ，其中，７１为当前时间戳。 储负担。现存的ＶＩ令认证协议基本上是与智能卡结合使用， ｆ４）发送Ｃ＝（ ， ， ，Ｃ２， ，Ｔ）到服务器Ｓ，同时，要求验证 可惜智能卡成本较高且申请对象。文献［４］协议是在现有 智能卡Ｉ：１令认证协议的基础上进行改进，使其协议能配合移 基金项目：国家自然科学基金资助项目（ｔ０５７１０６１） 动设备使用，降低成本。移动设备虽然成本较低，但不具备 作者筒介：柯芳芳（１９８４－－），女，硕士研究生，主研方向：密码学； 良好的防篡改性。文献［４］协议指出了Ｆａｎ—ｃｈａｎ—ｚｈａｎｇ 议难 唐西林，教授；章启恒，硕士研究生 以抵抗假冒攻击以及ｋｈａｎ—ｚｈａｎｇ协议不能抵抗假冒攻击和离 收稿日期：２００９—１Ｏ一１ ０ Ｅ—ｍａｉｌ：２８５７９７７１３＠ｑｑ．ｃｏｒｎ 一１４２～ 登录。 ２．３验证阶段 服务器Ｓ接收到ｆ／ 的登录信息后，执行以下操作： （１）验证，Ｄ的合法性。如果不合法，则拒绝登录。 （２）检验，与， 的时间问隔是否超时，如果 一Ｔ ）≥ＡＴ， 则拒绝登录。其中， 为当前时间戳，ＡＴ为时问参数。 （３）检验Ｃ （ｃ ） ｒｏｏｄｐ？Ｈ（（ｒ：）‘０Ｔ０ＩＤｉ）ｍｏｄｐ，若相 等则接受登录请求，否则拒绝登录。 （４） 为当前时间戳，Ｓ计算Ｃ４＝ （ｃ 。０Ｔ ）ｒｏｏｄＰ，并 发送（Ｃ ，Ｔ ）到ｆ／ 的移动设备。 （５）Ｕ，接收到（ ，Ｔ ）后， 检验（ 一７＇ ≥ＡＴ，若然， 拒绝 录。其中， 为当前时间戳。 （６）Ｕ 计算Ｃ ＝☆（（ ０Ｔ ）ｒｏｏｄＰ，验证 是否等于 ，若相等则认为服务器为真，双向验证完成。若不等则拒 绝登录。 ３对文献Ｉ４１协议的攻击 ３．１ Ｃｈａｒｔ—Ｃｈｅｎｇ攻击案例及攻击可行性分析 文献［４］协议基于ＥＬＧａｍａｔ密码，其安全性依赖于有 限域上计算离散对数的困难性。同样方案有Ｈｗａｎｇ～Ｌｉ方案， 对这些方案的有效攻击有Ｓｈｅｎ—Ｌｉｎ—Ｈｗａｎｇ攻击和 Ｃｈａｎ—Ｃｈｅｎｇ攻击。本文所做的假冒攻击是基于Ｃｈａｎ—Ｃｈｅｎｇ 攻击的有效攻击。 ３．１ １ Ｈｗａｎｇ—Ｌｉ方案 注册过程为：服务器随机挑选１个数Ｓ∈［１，２．…，Ｐ一１】为 它的私钥且秘密保存。一个远程用户：博自己的身份 ，计算 该 产懿ＶＩ令ｐｗｄ ，ｐｗｄ ＝Ｉ 。照务器将Ｐ ｍ 荇入一个氆 能卡中，并通过一个安全的信道将智能卡和ＶＩ令ｐｗｄｉ传给用 户Ｕ 。 登录过程为：如果用户要登录服务器，用户将其智能 插入终端，输入他的身份，Ｄ，和口令ｐｗｄ，智能卡将进行如 下操作：计算Ｃｔ＝ＩＤ ｍｏｄ ；『＝ （７ ０Ｐｗｄｉ）；Ｍ＝［１９ ｍｏｄｐ； Ｃ２＝Ｍ Ｈ ｍｏｄＰ，将Ｃ＝（ ，Ｃｉ， ，Ｔ）发给服务器。 没想该远程服务器在时间 收到了消息Ｃ；Ｔ 是服务器 当前的日期和时间。认证过程如下：（１）检验 的合法性， 如果 形式是不合法的，则登录的请求就会被拒绝。（２）检 验７１与７＿ 的时问间隔是否超时，如果（丁一７ ）≥ＡＴ，则拒绝 登录。其中，７１ 为当前时间戳；ＡＴ为时间参数。（３）检 验 Ｃ１～ ＝１ＤｉＩ“ “ ’是否成立，如果成立，则服务器就会接 受请求，否则拒绝。 ３．】．２ Ｃｈａｎ－Ｃｈｅｎｇ攻击 恶意用户如果有‘个合法的身份和口令对（ ，｜ｐ ），则 可’、 很容易地伪造另一个合法身份和口令对，选１个随机数 ｊ’，计算１０ｌ＝ （ｏｒｏｄ ｐ）．Ｐ ＝／／９ ＝１Ｄ“＝尸 ｍｏｄＰ。之 后，该恶意用户就可以用该口令成功登录服务器。 ３ １．３ 文献［４］协议的攻击可行性分析 在对文献［４】协议的攻击巾，恶意用户有一个合法的身份 和口令对（ＩＤｊ，Ｐ ），根据注册时所得信息成功构造出登录请 求信息（，Ｄ＿， ，ｃ，－（＝１＝ ｃ：．Ｔ ）也可以假冒用户１Ｄ，登录。 ３．２对文献ｌ４Ｉ协议假冒攻击１ 对文献【４］协议假冒攻击的一种方法为： （１）攻击 挑选 ：价 （ｍ。ｄ ）， ’为随机数。发送 （ＩＤ ，Ｊｐ ）发送到服务器Ｓ进行注册。Ｓ接收到ＩＤ．和尸 后， Ｓ产生一个随机数， 并计算： ＝（ ．， ）， ∈Ｇ： ， ， Ｙ．Ｉ＝ＩＤ ・Ｈ（Ｐ 、＝ｉＤ ” ｒｏｏｄＰ Ｙ ＝ＩＤ ＝强） ｒｏｏｄＰ。Ｓ 通过安全信道将（日（・），厅（），Ｐ， ）写入Ｅ的移动设备保存。 （２）Ｅ利用所得数据计算： Ｘ —ＨＩＰ 、西 ｚｉ；ｌ ＿、 ＩＤｔ ＝ｌＤ ｒｏｏｄｐ ｘ ：Ｉ一ｚ ＤＩ 、：ｌＤ ｌ 并发送（ＩＤｉ，】 ， ， ． ，Ｔ ）到服务器，其中， ＝ ， Ｃｔ’＝ ，， ＝Ｃ３，Ｃ：＝ ・Ｈ（Ｘ ０Ｔ ０１１９ｉ）。 （３）服务器检验ＩＤｉ，（ 一Ｔ ）≥ＡＴ正确后，计算 （ｃ７）＝Ｈ（（ ）。０Ｔ ０ＩＤｉ），则攻击者Ｅ可通过服务器 进行验证。 ３．３对文献Ｉ４ｌ协议假冒攻击２ 对文献［４］协议假冒攻击的另一种方法为： （１）攻击者截获用户登录信息Ｃ＝（ ， ，Ｃ ，Ｃ２，Ｃ３，丁），令 ＝１Ｄ， Ⅳ（ ，）， ＝， ， ＝ ，攻击者发送（ ， ， ， ，ｃ：， ）到服务器。 （２）服务器检验，Ｄ，【丁 Ｔ ）≥ＡＴ正确后，计算： ・（ｃ ）＝Ｈ（Ｔ ）＝爿（（ ）。０Ｔ０ＩＤｉ），则攻击者Ｅ通过服 务器验证。 ３．４窃取凭证＋猜测口令攻击 假设攻击者有能力取得移动设备中储存的数据 ，那么 攻击者可以执行离线１３令猜测攻击。 根据上述方法，令Ｃ３＝ ，当服务器通过验证后计算 ， Ｖ （Ｃ３。７’ ）＝ ‘万 ①７’ ），发送到Ｅ。那么Ｅ检验 １ 矗（ Ｉ ｉＩ 。ｒ ）是否等于Ｃ４，若相等则口令猜测成功。 ４文献Ｉ４ｌ协议的改进及安全分析 以下协议是对文献［４】协议的改进方案，分为３个阶段： 注册阶段，登录阶段，验证阶段。 ４．１注册阶段 注册阶段的步骤如下： （１）Ｕ 通过安全信道提交 ，和Ｐ 给服务器Ｓ。 （２）Ｓ接收到１Ｄｉ和Ｊ１） 后，Ｓ产生一个随机数ｒｉ并计算： ＝［１９ｉ Ｔ日（尸 ）ｍｏｄＰ， ＝，Ｄ＿， ０Ｈ（［Ｄｉ０ ）ｒｏｏｄＰ。 （３）Ｓ通过安全信道将（Ｈ（），， （），Ｐ， ， ）写入用户 的移 动设备保存。 ４．２登录阶段 如果用户要登录服务器，将移动设备插入终端，输入其 身份，Ｄ和１３令Ｐ 。移动设备执行以下操作：（１）计算 ． ＝ ｍｏＱＰ，Ｃｌ＝ｈ（Ｙ ０ ￣Ｔ）ｍｏｄｐ，其中，Ｔ为当 前时间戳。（２）发送Ｃ＝（ ，Ｃ．，ｒ）到服务器Ｓ要求验证登录。 ４．３验证阶段 服务器Ｓ接收到 的登录信息后，执行以下操作： （１）验证ＩＤｉ是否正确。若不正确，则拒绝登录。（２）若 （７１一Ｔ ）≥ＡＴ，则拒绝登录。其中，７１ 为当前时间戳；△ 为 时问参数。（３）检验ｈ（Ｈ（ＩＤｉ０ｘｉ）０ ７１）ｒｏｏｄＰ是否等于ｃＩ， （下转第１４６页） 一１４３— 实践中，尚未发现满足上述条件并且可以解码为一段有意义 表１ 不同算法之间的比较 的指令序列的情况，因此，该算法具有较强的适用性，另外 在算法的第（５）步又添加了一些附加条件（判断指令类型）来确 Ｗｉｎ３２ Ｖｅｌｏｓｔ ｌ１ ８６ 保该方法对于识别ｃａｌｌ指令后保存有用字符串这种类型混淆 Ｗｍ３２ Ｎｏｒｔｈｅｒ Ｗ¨１３２ Ｈａｈａｒ】ｌｑ Ａ 的有效性。 Ｗｊｎ３２ ＫａｉｂＩ Ａ Ｗ１ｎ３２ Ａｒｍｖｖｉｒｕｓ （２）算法第２阶段 １）考虑常量地址表的构造，该地址表是在解码的同时对 ５结束语 指令中涉及到的常量地址记录而得到的，恶意代码经常使用 混淆与反混淆的斗争有愈演愈烈的趋势，病毒制作者总 一些方法把标号或变量传递给寄存器，再对寄存器操作从而 是不断利用各种新的技术方法来对源程序进行混淆以增加静 增加反汇编时数据分析的难度，因此，这个常量地址表的构 态分析的难度，而反病毒工作者也针锋相对，积极寻求新思 造可以将这些地址记录下来，以便于判断是否存在混淆。 路来应对新问题。本文提出的算法对ｃａｌｌ指令后插入数据这 一２）考虑子过程异常返回，即算法的第（２）步所做的判断， 类的混淆能够很好的解决，可以应用在静态反汇编过程中， 大多数的病毒通常采用的技术是通过ｐｕｓｈ和ｒｅｔ指令使控制 提高反汇编的正确率。混淆手段是多种多样的，本文提出的 流到达栈顶的值确定的地址，而一些高级的技术可以通过对 算法也仅能解决一部分问题，而ｃａｌｌ指令后是非字符串或编 这２条指令变形来达到同样的目的ｌ４ Ｊ。对于这种情况，通过 码后的字符串以及子函数不以ｒｅｔ指令返回时的情况，将是下 一简单的语义判断来确定它的行为。 步重点研究的内容。总之，为了得到更好的反汇编结果， ３）考虑ｃａｌｌ指令后混淆数据的确定，从常量地址表中确 必须考虑使用多种方法来对抗混淆 ｊ。 定了大于ａｄｄｒ３的最小地址ａｄｄｒ４后，并不能就此确定２个地 参考文献 址间就是混淆数据，必须要判断ａｄｄｒ４一ａｄｄｒ３的值，若为０表 ［１］Ｋｒｕｅｇｅｌ Ｃ，Ｒｏｂｅｒｔｓｏｎ Ｗ，Ｖａｌｅｕｒ Ｆ，ｅｔ ａ１．Ｓｔａｔｉｃ Ｄｉｓａｓｓｅｍｂｌｙ ｏｆ 明ｃａｌｌ指令的下一条指令是正常的指令，若大于设定的范围， Ｏｂｆｕｓｃａｔｅｄ Ｂｉｎａｒｉｅｓ［Ｄ］．Ｃａｌｉｆｏｒｎｉａ，ＵＳＡ：Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｃａｌｉｆｏｒｎｉａ 则表明ｃａｌｌ指令后是大量数据定义或者这条ｃａｌｌ指令本身是 Ｓａｎｔａ Ｂａｒｂａｒａ，２００４． 解码错误的。经过对大量病毒的分析确定该值范围值为 ［２］Ｌｉｎｎ Ｃ，Ｄｅｂｒａｙ Ｓ．Ｏｂｆｕｓｃａｔｉｏｎ ｏｆ Ｅｘｅｃｕｔａｂｌｅ Ｃｏｄｅ ｔｏ Ｉｍｐｒｏｖｅ ３０ Ｂｙｔｅ，这样可以保证该算法的准确性，减少误报的可能。 Ｒｅｓｉｓｔａｎｃｅ ｔｏ Ｓｔａｔｉｃ Ｄｉｓａｓｓｅｍｂｌｙ［Ｃ］／／Ｐｒｏｃ．ｏｆ ｔｈｅ １０ｔｈ ＡＣＭ ４）混淆数据的提取与错误解码指令的清除，解码错误的 Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｅｃｕｒｉｔｙ． 指令会导致基本块的划分以及控制流图的构造出错，因此， Ｗａｓｈｉｎｇｔｏｎ Ｄ．Ｃ，ＵＳＡ：［Ｓ．ｎ．］，２００３：２９０—２９９． 需要对它们产生的错误结果进行清除。此时需要注意一种情 ［３］Ｅｉｌａｍ Ｅ．Ｒｅｖｅｒｓｉｎｇ：Ｓｅｃｒｅｔｓ ｏｆ Ｒｅｖｅｒｓｅ Ｅｎｇｉｎｅｅｒｉｎｇ［Ｍ］．［Ｓ．１．】： 况，解码错误的指令可能会涉及到后面的部分正常指令，这 Ｗｉｌｅｙ Ｐｕｂｌｉｓｈｉｎｇ，ｌｎｃ．，２００５． 时候要对解错的指令重新进行解码。 ［４］Ｌａｋｈｏｔｉａ Ａ，Ｋｕｍａｒ Ｅ Ｕ，Ｖｅｎａｂｌｅ Ｍ．Ａ Ｍｅｔｈｏｄ ｆｕｒ Ｄｅｔｅｃｔｉｎｇ ４实验验证 Ｏｂｆｕｓｃａｔｅｄ Ｃａｌｌｓ ｉｎ Ｍａｌｉｃｉｏｕｓ Ｂｉｎａｒｉｅｓ［Ｊ］．ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ 本文所设计的算法在课题组设计的原形系统 Ｓｏｆｔｗａｒｅ Ｅｎｇｉｎｅｅｒｉｎｇ．２００５，３ １（１ １）：９５５—９６７． Ｒａｄｕｘ（Ｒｅｖｅｒｓｅ ａｎａｌｙｓｉｓ ｆｏｒ ｄｅｔｅｃｔｉｎｇ ｕｎｓａｆｅ ｅｘｅｃｕｔａｂｌｅｓ）中得 ［５］Ｕｄｕｐａ Ｓ Ｋ，Ｄｅｂｒａｙ Ｓ Ｋ，Ｍａｄｏｕ Ｍ．Ｄｅｏｂｆｕｓｃａｔｉｏｎ：Ｒｅｖｅｒｓｅ 到了应用，对几个知名病毒进行测试后，对ｃａｌｌ指令后混淆 Ｅｎｇｉｎｅｅｒｉｎｇ Ｏｂｆｕｓｃａｔｅｄ Ｃｏｄｅ［Ｃ］／／Ｐｒｏｃ．ｏｆ ｔｈｅ １ ２ｔｈ Ｗｏｒｋｉｎｇ 数据的识别情况如表１所示。注：此处的混淆次数表示病毒 Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｒｅｖｅｒｓｅ Ｅｎｇｉｎｅｅｒｉｎｇ．Ｗａｓｈｉｎｇｔｏｎ Ｄ．Ｃ．，ＵＳＡ：１ＥＥＥ 使用的ｃａｌｌ指令后插入有用或垃圾数据的次数。结果显示本 Ｃｏｍｐｕｔｅｒ Ｓｏｃｉｅｔｙ，２００５：４５—５４． 算法在对ｃａｌｌ指令后混淆数据的识别方面是令人满意的。 编辑任吉慧 （上接第１４３页） 若相等则接受登录请求，否则拒绝登录。（４） 为当前时问戳， ５结束语 Ｓ计算：Ｃ２＝ｈ（Ｈ（１Ｄｉ０ｔ）０Ｔ ）ｍｏｄＰ，并发送（ ，Ｔ ）到 本文利用假冒攻击和窃取凭证十猜测口令攻击的组合攻 的移动设备。（５）Ｕ 接收到（ ，７１ ）后，Ｕ 检验（ —Ｔ ）≥ＡＴ， 击方法对文献［４］协议进行有效攻击，并在其协议的基础上提 若成立，则拒绝登录。其中， 为当前时间戳。（６）Ｕ，计算 出改进方案，该方案可以有效弥补其不足，抵抗假冒攻击和 Ｃ２ ＝ｈ（Ｙ ０ ０Ｔ ）ｍｏｄｐ，验证 是否等于 ，若相等则 离线Ｈ令猜测攻击，具有口令秘密性和身份认证性。 认为服务器为真，双向验证完成。若不等则拒绝登录。 参考文献 ４．４安全分析 ［１］Ｅｌｇａｍａｌ Ａ Ｐｕｂｌｉｃ Ｋｅｙ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ ａｎｄ ａ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅｓ 安全分析如下： Ｂａｓｅｄ ｏｎ Ｄｉｓｃｒｅｔｅ Ｌｏｇａｒｉｔｈｍｓ［Ｊ］．ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｉｎｆｏｒｍａｔｉｏｎ Ｔｈｅｏｒｙ，１ ９８５，３ １（４）：４６９—４７２ （１）可以抵抗离线口令猜测攻击。在网络的发送信息中没 ［２］Ｓｈａｍｉｒ Ａ Ｄｅｎｔｉｔｙ—ｂａｓｅｄ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ ａｎｄ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅｓ［Ｃ］＃ 有关于ＶＩ令的敏感信息，因为攻击者无法获得 （ＩＤｉ ０Ｘｓ）， Ｐｒｏｃ．ｏｆＣＲＹＰＴＯ’８４．Ｂｅｒｌｉｎ，Ｇｅｒｍａｎｙ：Ｉｓ．ｎ．］，１９８４． 则无法通过验证，所以可保证口令的秘密性。 ［３】Ｃｈａｎ Ｊ Ｆ．Ｓｍａｒｔ Ｃａｒｄ—ｂａｓｅｄ Ｓｅｃｕｒｉｔｙ Ｐａｓｓｗｏｒｄ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ （２）可以抵抗假冒攻击。攻击即使采用上述方法中的假冒 Ｓｃｈｅｍｅ［Ｊ］．Ｃｏｍｐｕｔｅｒｓ ａｎｄ Ｓｅｃｕｒｉｔｙ，１ ９９６，１ ５（３）：１ ３ １—１ ３７． 攻击，攻击者注册以，可以得到 ，ｒ２，将两者比对后也无 ［４］Ｒｈｅｅ Ｈ Ｓ，Ｊｅｏｎｇ Ｏ Ｋ，Ｄｏｎｇ Ｈ，ｅｔ ａ１．Ａ Ｒｅｍｏｔｅ Ｕｓｅｒ Ａｕｔｈｅｎｔｉｏｎ 法得到日（ｚ ０Ｘｓ）或者ｚＤ｜ｔ，因而无法通过验证，可以保证 Ｓｃｈｅｍｅ Ｗｉｔｈｏｕｔ Ｕｓｉｎｇ Ｓｍａｒｔ Ｃａｒｄｓ［Ｊ］．Ｃｏｍｐｕｔｅｒ Ｓｔａｎｄａｒｄｓ＆ Ｉｎｔｅｒｆａｃｅｓ，２００９，３１（１）：６・１３ 双方的身份认证安全。 编辑陈文
