对一个多服务器环境下三因子认证协议的分析与改进

舒 琴，王圣宝，韩立东

(杭州师范大学信息科学与工程学院，浙江 杭州 311121)

0 引言

1981年，Lamport[1]提出首个基于可记忆口令的用户身份认证协议.口令基认证协议沿用至今，具有极好的易用性.1997年，Yen和Liao[2]指出在传统口令基协议中，服务器上维护的口令列表的丢失，将导致敌手针对用户的冒充攻击.为避免口令列表的使用，Hwang等[3]在2000年首次将智能卡引入口令基认证协议.随后，为消除所谓的智能卡被盗攻击，研究者又进一步引入生物信息(包括指纹、掌纹以及声音等)来作为第三类认证因子.2002年，Lee等[4]提出首个同时使用口令、智能卡和指纹这三类认证因子的认证协议.不久，许多三因子认证协议被陆续提出[5-7].

大多数现有认证协议都基于单服务器模式，它要求用户对每一个想要访问的服务器都执行注册程序，以获得访问权限.在许多实际应用中，为了提高可扩展性、可用性和运行效率，可采用多服务器认证架构.这种架构中，只要求用户在注册中心服务器注册一次，便可借此访问该系统中其他服务器.

最近，Lwamo等[8]提出了一个全新的多服务器环境下的三因子认证协议，并声称该协议安全且高效.我们对该协议进行了详细的安全审查，结果发现它无法抵抗多种攻击，例如拒绝服务攻击、智能卡被盗攻击和用户伪造攻击等.进一步，本文针对这些安全缺陷分别提出相应改进措施.

1 回顾Lwamo等的协议

Lwamo等的协议假设注册中心和授权服务器基于可信计算架构，可确保敌……