基于口令的身份认证方案安全性分析及其改进

摘要：常规口令身份认证方案一般采用哈希函数在客户端、服务器端之间构造交互,在抵抗重放攻击、字典攻击方面存在一定的缺陷,即使采用了口令加盐技术、哈希链算法,虽能够提高安全等级,但不能应对所有形式的攻击方式,且在效率与安全方面难以平衡。对当前广泛使用的口令认证技术进行了分析,比较研究了多种改进方案,提出了基于哈希函数和质询挑战相结合的综合身份认证方案,采用了哈希函数、加盐技术和时间戳技术,实现了对网络窃听、重放攻击、假冒攻击及字典攻击的防护,易于编程实现,且服务器端的资源占用无较大增加。