臺灣博碩士論文加值系統

隨著網際網路（Internet）的快速興起，電子商務（E-Commerce）成為一股熱潮，使得原先存在於實體世界的行為都可以透過網路來達成，例如：電子拍賣、電子投票、電子彩劵…等。然而，在虛擬世界中進行這些行為前，確認該使用者的身分變成首務之要。所以，如何在分散式的網路（distributed network）上，使遠端伺服器確認使用者的身分與使用權限則變成相當重要的議題，本研究以通行碼認證機制作為主要的研究方向，採三種不同的設計方式，提出兼具安全性與完整性的機制，使得在分散式網路傳輸過程中保護通行碼（password），達成使用者身分認證的目的，同時讓使用者認證遠端伺服器身分是否合法。除此，為確保認證後傳輸資料的私密性與完整性，機制還須兼具金鑰交換的部分。此外，本研究主要提出三個機制，機制主要採用單向雜湊函數並結合智慧卡的方式，以降低計算與通信的時間成本。因此，本機制可滿足下列特性：抵擋現存攻擊法攻擊、人性化需求、雙向認證、低計算與通訊成本、協議會議金鑰，以及解決安全通道不合理的假設問題。除此，由於機制三探討在多重伺服器的架構上的使用者通行碼認證機制，因此還滿足單次註冊、單次單入的特性。

Owing to the rapid development of the Internet, each user can finish various kinds of trade via the network. Therefore, it is an important issue that how to confirm the identity of user and user’s access rights for any remote server. In this thesis, main object of research is about password authentication scheme. We adopt various designs to propose secure and efficient schemes to protect the password when the transmission via the public network and achieves the goal of authentication. Besides, we provide key exchange agreement for assure of the privacy and integrity of transmission message after authenticated. Specially, we reduce the computation and communication load. Therefore, the proposed schemes satisfy several secure properties including user friendly, mutual authentication, lower computation and communication cost, use nonce or timestampt to prevent replay attack, use session key to ensure privacy and integrality, and solve the unreasonable assumption problem of secure channel. Fourthermore, third password authentication scheme is based on multi-server architecture. Therefore, it must satisfy single registeration and Single Sign On properties.

誌謝 I
摘要 II
Abstract III
目錄 IV
圖目錄 VII
表目錄 VIII
第一章 緒論 1
1.1 研究背景與動機 1
1.2 研究目的 3
1.3 研究限制 4
1.4 研究架構 4
第二章 文獻探討 6
2.1 身分認證協定的相關介紹 6
2.1.1 身分認證方法介紹 6
2.1.2 通行碼分類方法 7
2.1.3 通行碼身分認證協定設計準則 8
2.1.4 攻擊法介紹 11
2.2 相關理論與技術介紹 14
2.2.1 橢圓曲線密碼學 14
2.2.2 簽密法 15
2.2.3 Diffie-Hellman金鑰交換協定（Diffie-Hellman Key agreement） 17
2.2.4 單向雜湊函數（one-way hash function） 18
2.2.5 互斥或（exclusive-or, XOR） 19
2.2.6 智慧卡 20
第三章 使用認證表之通行碼認證機制 22
3.1 相關機制介紹 22
3.1.1 以赫序函數為基礎的通行碼身份認證協定之研究 22
3.1.2 遠端使用者通行碼認證機制上的學習 24
3.2 本研究所提之機制一－使用認證表之通行碼認證機制 26
3.2.1 符號定義 26
3.2.2 本研究機制一 27
3.3 相關分析 30
3.3.1 安全性與完整性分析 30
3.3.2 效能分析 35
第四章 無使用認證表之通行碼認證機制 37
4.1 相關機制介紹 37
4.1.1 對一個具效率性以通行碼為基礎且使用智慧卡的遠端使用者認證機制的改進 38
4.2 本研究所提之機制二－無使用認證表之遠端使用者身分認證機制 40
4.2.1 符號定義 40
4.2.2 本研究機制二 41
4.3 相關分析 45
4.3.1 安全性與完整性分析 45
4.3.2 效能分析 50
第五章 植基於橢圓曲線之遠端使用者身分認證機制 52
5.1 植基於圓的多重伺服器的使用者認證機制 52
5.1.1 使用者註冊階段 52
5.1.2 使用者登入階段：（假設第w次登入） 53
5.1.3 認證階段與會議金鑰協議階段 53
5.1.4 使用者變更通行碼階段 54
5.2 本研究機制三－植基於橢圓曲線之遠端使用者身分認證機制 55
5.2.1 系統架構 55
5.2.2 單次登入架構（Single Sign On, SSO） 56
5.2.3 符號定義 56
5.2.4 本研究機制三 57
5.3 相關分析 64
5.3.1 安全性與完整性分析 64
5.3.2 效能分析 73
第六章 結論與未來研究方向 75
參考文獻 77

[1] 丁建華，“一個利用智慧卡之遠端雙向認證與金鑰交換的有效機制”，國立台灣科技大學資訊工程系碩士學位論文，2003年。
[2] 王仁群，“遠端使用者通行碼認證機制上的學習”，朝陽科技大學資訊管理系碩士學位論文，2004年。
[3] 中央健康保險局，http://www.nhi.gov.tw/07information/issue/fin-Q&A.htm，2002年。
[4] 余彥宏，“智慧卡離線交易認證機制之研究”，義守大學資訊工程研究所碩士學位論文，2004年。
[5] 巫坤品、王青青（譯），“密碼學與網路安全－原理與實務第三版”，台北：��峯資訊股份有限公司，William Stallings（著），第1章，2004年5月。
[6] 吳育展，“以智慧卡為基礎的密碼驗證架構之研究與其應用”，逢甲大學資訊工程學系碩士班碩士學位論文，2002年。
[7] 吳威震，“多重伺服器驗證機制之研究”，世新大學資訊管理學系碩士學位論文，2004年。
[8] 周伯錕，“利用智慧卡之遠端身份認證之研究”，國立中興大學資訊科學研究所碩士學位論文，2003年。
[9] 林文儀，“橢圓曲線版的ElGamal數位簽署及其變形”，東海大學應用數學研究所碩士學位論文，2003年。
[10] 林燕卿，“僅使用通行碼之多個體鑑別式金鑰交換協定”，國立台灣科技大學資訊管理系碩士學位論文，2002年。
[11] 洪銘鴻、丁守誠、林勝芳、陳正鎔，“利用Smart Card建立安全使用者身份認證”，ECDL2005電子商務與數位生研討會，頁1360-1364，2005年。
[12] 張真誠、林祝興、江季翰，“電子商務安全”， 台北：松崗電腦圖書資料股份有限公司，2000年2月。
[13] 陳帥名，“免儲存驗證資訊之通行碼身份認證協定”，天主教輔仁大學資訊工程研究所碩士學位論文，2004年。
[14] 陳建銘，“以赫序函數為基礎的通行碼身份認證協定之研究”，天主教輔仁大學資訊工程研究所碩士學位論文，2003年。
[15] 陳嘉宏，“使用ElGamal加密機制的通行碼驗證與金鑰交換協定”，國立交通大學資訊科學研究所碩士學位論文，2002年。
[16] 曾志光、鄭光廷譯，“計算機組織與設計－軟硬體界面”，台北：��峯資訊股份有限公司，第4章，2000年3月。
[17] 黃國榮，“植基於橢圓曲線密碼學之具有身分驗證金鑰交換協定研究”，東海大學資訊科學與工程研究所碩士學位論文，2003年。
[18] 賴峙樺，“以橢圓曲線為基礎之簽密法的研究”，淡江大學資訊工程學系碩士學位論文，2003年。
[19] 賴溪松、韓亮、張真誠，“近代密碼學及其應用”，台北：旗標出版股份有限公司， 2003年8月。
[20] 顧維棋、陳建銘、蔡濠全，“以赫序函式為基礎的通行碼身份認證協定”，Communication of the CCISA, Vol. 9, no. 3, pp. 32-42, June 2003.
[21] Chan, Chou Kwong and Cheng, Lee Ming, “Cryptanalysis of a Timestamp-Based Password Authentication Scheme,” Computers and Security, Vol. 21, no. 1, pp. 74-76, 2002.
[22] Chen, Chien Ming and Ku, Wei Chi, “Stolen-Verifier Attack on Two New Strong-Password Authentication Protocols,” IEICE Transaction on Communication, Vol. E85-B, no. 11, pp. 2519-2521, November 2004.
[23] Chien, Hung Yu, Jan, Jinn Ke and Tseng, Yuh Min, “An Efficient and Practical Solution to Remote Authentication: Smart Card,” Computers and Security, Vol. 21, no. 4, pp. 372-375, 2002.
[24] Hwang, Jing Jang and Yeh, Tzu Chang, “Improvement on Peyravian-Zunic’s Password Authentication Schemes,” IEICE Transaction on Communication, Vol. E85-B, no. 4, pp. 823-825, April 2002.
[25] Juang, Wen Shenq, “Efficient Multi-Server Password Authentication Key Agreement Using Smart Cards,” IEEE Transaction on Consumer Electronics, Vol. 50, no. 1, pp. 251-255, February 2004.
[26] Juang, Ｗen Shenq, “Efficient Password Authentication Key Agreement Using Smart Cards,” Computers and Security, Vol. 23, pp. 167-173, October 2003.
[27] Ku, Wei Chi, Chen, Chien Ming and Lee, Hui Lung, “Cryptanalysis of Variant of Peyravian-Zunic’s Password Authentication Scheme,” IEICE Transaction on Communication, Vol. E86-B, no. 7, pp. 2178-2181, July 2003.
[28] Ku, Wei Chi and Chen, Shuai Min, “Weaknesses and Improvements of an Efficient Password Based Remote User Authentication Scheme Using Smart Cards,” IEEE Transactions on Consumer Electronics, Vol. 50, no. 1, pp. 204-207, February 2004.
[29] Ku, Wei Chi, Tsai, Hao Chuan and Chen, Shuai Min, “Two Simple Attack on Lin-Shen-Hwang’s Strong-Password Authentication Protocol,” ACM Operating Systems Review, Vol. b37, no. 4, pp. 26-31, October 2003.
[30] Lamport, Leslie, “Password Authentication with Insecure Communication,” Communications of the ACM, Vol. 24, no. 11, pp. 770-772, November 1981.
[31] Lee, Sung Woon, Kim, Hyun Sung and Yoo, Kee Young, “Improved Efficient Remote User Authentication Scheme using Smart Cards,” IEEE Transactions on Consumer Electronics, Vol. 50, no.2, pp. 565-567, May 2004.
[32] Lin, Chih Wei, Shen, Jau Ji and Hwang, Min Shiang, “Security Enhancement for Optimal Strong-Password Authentication Protocol,” ACM Operating System Review, Vol. 37, no. 2, pp. 7-12, 2003.
[33] Lin, Chun Li and Hwang, Tzonelih, “A Password Authentication Scheme with Secure Password Updating,” Computers and Security, Vol. 22, no. 1, pp. 68-72, 2003.
[34] Lin, Chun Li, Sun, Hung Min and Hwang, Tzonelih, “Attacks and Solutions on Strong-Password Authentication,” IEICE Transaction on Communication, Vol. E84 B, no. 9, pp. 2622-2627, 2001.
[35] Lin, Iuon Chang, Hwang, Min Shiang and Li, Hua Li, “A New Remote User Authentication Scheme for Multi-server Architecture,” Future Generation Computer Systems, Vol. 19, no. 1, pp. 13-22, January 2003.
[36] Peyravian, Mohammand and Zunic, Nevenko, “Methods for Protecting Password Transmission,” Computers and Security, Vol. 19, no. 5, pp. 466-469, 2000.
[37] Sandirigama, Manjula, Shimizu, Akihiro and Noda, Matu Tarow, “Simple and Secure Password Authentication Protocol (SAS),” IEICE Transaction on Communication, Vol. 83, no. 6, pp. 1363-1365, 2000.
[38] Shimizu, A., “A Dynamic Password Authentication Method by One-way Function,” IEICE Transaction, Vol. J73-D-I, no. 7, pp. 630-636, 1990.
[39] Sun, Hung Min, “An Efficient Remote Use Authentication Scheme Using Smart Cards,” IEEE Transactions on Consumer Electronics, Vol. 46, no. 4, pp. 958-961, 2000.
[40] Tsuji, Takasuke, Kamioka, T. and Shimizu, Akihiro, “Simple and Secure Password Authentication Protocol, Ver2. (SAS-2),” IEICE Technical Report, OIS2002-30, September 2002.
[41] Tsuji, Takasuke and Shimizu, Akihiro, “One-Time Password Authentication Protocol Against Theft Attacks,” IEICE Transaction on Communication, Vol. E87-B, no. 3, pp. 523-529, March 2004.
[42] Tsuji, Takasuke and Shimizu, Akihiro, “An Impersonation Attack on One-Time Password Authentication Protocol OSPA,” IEICE Transaction on Communication, Vol. E86-B, no. 7, pp. 2182-2185, July 2004.
[43] Yang, Chou Chen, Ghang, Ting Yi, Li, Jian Wei and Hwang, Min Shiang, “Security Enhancement for Protecting Password Transmission,” IEICE Transaction on Communication, Vol. E86-B, no. 7, pp. 2178-2181, July 2003.
[44] Yoon, Eun Jun, Ryu, Eun Kyung and Yoo, Kee Young, “Further Improvement of an Efficient Password Based Remote User Authentication Scheme Using Smart Cards,” IEEE Transactions on Consumer Electronics, Vol. 50, no. 2, pp. 612-614, May 2004.