胡新月， 姜 楠

(大連民族學院 計算機科學與工程學院，遼寧 大連 116600)

基于混沌的OTP移動商務身份認證方案設計與實現(xiàn)

胡新月， 姜 楠

(大連民族學院 計算機科學與工程學院，遼寧 大連 116600)

隨著3G時代的到來移動電子商務以其隨身移動、方便快捷、省時高效、利潤豐厚等特點，成為電子商務新的發(fā)展方向，但移動電子商務的身份認證問題卻成為了制約其快速發(fā)展的重要瓶頸。為解決上述問題，作者在現(xiàn)有身份認證技術的基礎上，結合移動電子商務自身的特點，應用基于一次性口令(OTP)認證技術，融入獨特的混沌HASH加密方式，提出了在移動商務環(huán)境下的OTP身份認證方案。該方案包含了用戶注冊、雙向認證和敏感信息安全存儲等內(nèi)容。與傳統(tǒng)身份認證方案相比，該方案更多的考慮了移動商務的安全性要求以及移動設備的技術局限性。符合移動商務自身特點，身份認證過程安全高效。

移動商務；一次性口令；混沌HASH；身份認證

1 引言

移動網(wǎng)絡的高開放性和移動終端的高可移動性，給電子商務的發(fā)展的提高帶來了諸多便利，如何可以有效的保證在移動互聯(lián)的貿(mào)易方式中可交換信息的安全性和正確性，如何防范黑客對信息的截取和攻擊，以及保障交易數(shù)據(jù)的可靠性，就成為了移動電子商務發(fā)展中迫切需要解決的問題。

本文介紹分析原始OTP移動商務身份認證系統(tǒng)。特別設計混沌HASH算法對服務器端的信息加密，從而確保系統(tǒng)整體的安全性。改進原始OTP移動商務身份認證系統(tǒng)，實現(xiàn)雙向認證、客戶端與服務器的散列次數(shù)同步、通信數(shù)據(jù)之間的加密、融入混沌HASH算法加密方式對服務器端的信息加密。搭建J2ME平臺，編程實現(xiàn)基于混沌的移動商務身份認證系統(tǒng)，并在模擬器上進行仿真實驗。分析實驗結果驗證系統(tǒng)的安全性和性能。

2 OTP移動商務身份認證系統(tǒng)

OTP全稱是One Time Password，也稱一次性動態(tài)口令或是動態(tài)密碼，是由特別的算法所生成的不可預測的一組隨機數(shù)組，無需第三方認證，而且一組密碼僅可使用一次。

OTP認證是一種獨特的摘要認證方式，給其輸入一組不定長度的信息，通過單向散列函數(shù)，將其壓縮或擴充成特定長度的一組值并輸出出來，因為有特定的單向散列函數(shù)的原因，即使輸人的原始信息變化非常小，但是輸出的信息也會發(fā)生相當大的變化。單向散列函數(shù)的特性決定通過輸出信息去反向求得原輸入信息是不能實現(xiàn)的，即單向散列函數(shù)的單向性。

3 混沌加密方式

將混沌的概念應用于加密，最早是由英國數(shù)學家 Matthews[4]在 20世紀 80年代末提出的，自Matthews后許多新混沌密碼方案不斷被提出，而且涌現(xiàn)出很多的混沌密碼學研究成就，顯示出了混沌在保密安全方面的重大應用前景。混沌系統(tǒng)產(chǎn)生的混沌序列是一種非線性序列，它提供了具有良好隨機性、相關性和復雜性的偽隨機序列，而且混沌序列具有較好的散布性和不可逆性、防偽性以及初值敏感性，這恰好滿足單向HASH函數(shù)的條件，所以用混沌映射構造單向HASH函數(shù)是十分適合的。

類 Hénon系統(tǒng)

一般地，（1）式中各參數(shù)取值范圍為a=1.4，b=0.3，0.2≤w≤1.3，初值在[-1.2，1.2]之間時，其最大李雅普諾夫（Lyapunov）指數(shù)大于零，此時系統(tǒng)是混沌的。

利用前面所述的類Hénon映射構造一個帶密鑰(w，k1，k2)的HASH函數(shù)，以第一輪循環(huán)選取的初始值(w，k1，k2)作為密鑰，在其中 k1=x0、k2=x1。 要滿足系統(tǒng)是混沌的，所以要求 xi?[-1.2，1.2]，因此在該算法中規(guī)定密鑰ki取在[-1.2，1.2]之間。

步驟一：將要處理的明文消息 mi(i?[0，N]，N 為明文消息字節(jié)數(shù))，按相應的ASCII碼轉(zhuǎn)換為數(shù)字碼，之后線性變換為[0，1]之間的數(shù)，設 ci=0.225+0.003chi(i?[0，N]，chi為 mi對應的 ASCII碼)，這樣處理后所有明文消息就轉(zhuǎn)換成了一個實數(shù)序列ci。

步驟二：將初始值即密鑰(w，k1，k2)代入類 Hénon映射（1），也就是令 x0=k1，x1=k2，進行 r輪迭代得到xr+1，其中r=(k+[N/256])([.]為取整運算，k為取定的大于0的整數(shù)）。

步驟三：令 x0=c0，x1=xr+1，代入類 Hénon 映射(1)中，迭代 r次得到 x1r+1，然后令 x0=c1，x1=x1r+1再進行第二輪r次迭代得到x2r+1，…，這樣經(jīng)過N輪迭代后得到xNr+1。然后對xNr+1進行r次迭代，可生成實值序列{xNr+1， xNr+2，…， xNr+r}。 令 xNr+1=y1，xNr+2=y2，…，xNr+r=yr，即得到 yj(j=1，…，r)；

步驟四：從混沌序列 yj中取出 yr、yr-7、…、yr-49這樣8個迭代結果，再分別通過變換，把上述8個迭代結果依次分別映射成32位的0-1數(shù)據(jù)串，最后將所有數(shù)據(jù)串合起來構成256位的散列值，即為加密后的結果。

4 基于混沌的OTP移動商務身份認證系統(tǒng)方案設計

用戶注冊：

1.客戶端向服務器端發(fā)送注冊請求。

2.用戶輸入基本信息，包括用戶名、密碼其中將用戶名和通行密語發(fā)送給服務器。

3.服務器接受客戶端發(fā)來的用戶名和密碼，驗證用戶名是否存在，若不存在則將用戶信息存入數(shù)據(jù)庫，反之則提示已存在同名用戶，需重新輸入用戶名。

4.如果用戶成功注冊，則會收到服務器端發(fā)來的提示信息。

5.服務器端將用戶的用戶名與密碼經(jīng)混沌HASH加密后分別存儲到相應數(shù)據(jù)庫中。

雙向認證：

加密算法HASH（）；散列次數(shù)N；通行密語P；隨機種子S。

1.服務器收到客戶端發(fā)來的用戶名，檢測用戶名是否存在。若不存在則返回給客戶端該用戶沒有注冊。若存在則發(fā)送給客戶端一個隨機種子S，轉(zhuǎn)到步驟2。

2.客戶端接收到隨機種子，用MD5函數(shù)對用戶的通行密語P、隨機種子S和字符進行N次加密，散列次數(shù)是個迭代值，N由客戶端與服務器端各自生成，認證成功一次N就加1。最后客戶端將散列值HASH（P+S）n發(fā)送給服務器，并存儲 HASH（P+S）n-1。

3.服務器計算自己的HASH （P+S）n-1和HASH（P+S）n，將 HASH（P+S）n與從客戶端發(fā)來的 HASH（P+S）n相比較。如果不相同就停止客戶端的認證，并告知客戶端認證失敗。如果相同就確認客戶端為合法身份，并將服務器計算的HASH（P+S）n-1返回給客戶端。

4.客戶端比較HASH（P+S）n-1的值是否相同。如不同則終止認證。如果相同就將自己的N加1，并通知服務器雙向認證成功。

5.服務器端收到客戶端雙向認證成功信息后，N加1并保存。

OTP雙向認證過程如圖1所示:

用戶名、通行密語和散列次數(shù)加密存儲。

用戶在注冊成功之后，服務器便存儲了該用戶的用戶名與密碼，為了保證信息的安全，采用基于混沌構造的HASH函數(shù)和MD5分別對用戶名與通行密語等進行加密，并存儲在數(shù)據(jù)庫中。本文設計三個數(shù)據(jù)庫表：A、B、C各數(shù)據(jù)庫表如下表1、表2、表3所示：

數(shù)據(jù)庫A存儲用戶名的明文（ID）及用戶名通過MD5加密后的密文 （Md5ID）和隨機種子（random）。數(shù)據(jù)庫B存儲A的用戶名加密映射后的用戶名（MD5ID）與混沌HASH函數(shù)的加密種子（seed）以及混沌HASH函數(shù)加密次數(shù)（time）。數(shù)據(jù)庫C存儲的是數(shù)據(jù)庫A的混沌HASH加密后用戶名（HASHID）以及用戶密碼（pass）。三個數(shù)據(jù)庫之間的邏輯關系如圖2所示：

6 仿真試驗

在搭建的模擬移動平臺上進行仿真試驗，從試驗結果及對比分析中進一步驗證本方案的可行性與優(yōu)勢。圖3和圖4分別顯示的是登錄正確和錯誤的系統(tǒng)情況。

7 方案分析

系統(tǒng)的性能分析：

在移動商務的背景下，移動終端的處理能力相對比較低，所以選擇的混沌HASH算法和MD5加密散列算法都是高性能、低運算的算法，使移動終端運算壓力大大減少。整個身份認證從開始到結束客戶端只與服務器端通信，降低了其他信息被劫持的可能性。而且由于不使用第三方認證而是采用一次性動態(tài)口令，在很大程度上降低了運行成本。該系統(tǒng)使用JAVA語言開發(fā)，在目前幾乎所有的手機上均可保證正常安裝和使用本系統(tǒng)。

系統(tǒng)的安全分析：

服務器端的三個數(shù)據(jù)庫表分別存儲不同信息，信息相互之間有聯(lián)系，并使用混沌HASH加密與MD5加密相結合，保證存儲信息即使泄露也不會被破解，保證了用戶信息和系統(tǒng)的雙安全。

客戶端和服務端通信信息都經(jīng)過加密，只在用戶注冊的時候通行密語在客戶端和服務端上傳播過一次，其他通信信息都經(jīng)過加密以確保安全?；煦鏗ASH函數(shù)和MD5函數(shù)對用戶的用戶名通行密語和隨機種子等信息加密，隨機種子通過隨機函數(shù)生成，每次的隨機種子不同，設計的散列次數(shù)也不同，這樣每次的口令就不相同，保證了口令的一次性和唯一性，所以不法者采用重放攻擊是不會成功的。系統(tǒng)認證方式為雙向認證，當攻擊者冒充服務器時客戶端的散列次數(shù)和冒充的服務端的散列次數(shù)不相同，所以雙向認證失敗，保證了用戶和服務器的安全。

本系統(tǒng)只有在用戶名，通行密語、隨機種子和散列次數(shù)同時被竊取時才會被冒充成功，而且通行密語、散列次數(shù)都不在網(wǎng)絡上傳輸，如果被竊取應該是用戶的失誤，這種失誤不是系統(tǒng)所能彌補的，所以總的來說本系統(tǒng)在技術層面上是有很高安全性的。

8 結論

電子商務的發(fā)展促進了全球經(jīng)濟的一體化，并使得全球商務得到了長足進步。而移動電子商務作為電子商務的新發(fā)展，具備著強勁的經(jīng)濟推動能力，其快速、隨時、方便的交易模式是未來電子商務發(fā)展的新特征。

與其他電子商務一樣，移動商務需要符合自身特點的身份認證系統(tǒng)來提供各商業(yè)行為的基礎。本文所提出的基于混沌的OTP移動商務身份認證系統(tǒng)正是為解決這類問題而開發(fā)的。與傳統(tǒng)靜態(tài)口令身份認證不同的是該認證方案操作簡單，安全性高，無需公鑰認證體系的支持，雙向認證，混沌HASH加密與MD5加密相結合等安全措施綜合應用，最大程度上防止各種攻擊，最終做到保障客戶端和服務器端的安全和高效。

本文通過分析原始OTP移動商務身份認證系統(tǒng)。特別設計混沌HASH算法對服務器端的信息加密，多種加密方式混合使用，從而確保系統(tǒng)整體的安全性。改進原始OTP移動商務身份認證系統(tǒng)，實現(xiàn)雙向認證、客戶端與服務器的散列次數(shù)同步、通信數(shù)據(jù)之間的加密、融入混沌HASH算法加密方式對服務器端的信息加密。搭建J2ME平臺，編程實現(xiàn)基于混沌的移動商務身份認證系統(tǒng)，并在模擬器上進行仿真實驗。驗證了該方案在移動身份認證環(huán)境中的安全性和可行性。隨著移動商務的發(fā)展移動身份認證必將會有長足發(fā)展。

[1]LAM PO R T L．Passw ord authentication w ith insecure communication[J]．C ommunications of the AC M，1981，24(11):770-772．

[2]W ang X Y，Y u H B．H ow to Break M D 5 and O ther H ASH Functions [M]．Berlin，H eidelberg:Springer V erlag，2005．

[3]W ang X Y，Lai X J，F(xiàn)eng D G．cryptanalysis ofthe H ASH functionsM D 4 and R IPEM D[C]∥Ad vancesin C ryptology-Euro crypt 2005．Berlin:Springer，2005．

[4]M atthew s R．O n the derivation of a chaotic encryption algorithm[J]．C ryptology，1989，3(1):29-42．

[5]姜楠，楊德禮，王德高．基于混沌理論的身份認證方案[J]．吉林大學學報:理學版，2008，46(4):711-715．

[6]Jiang N an， Y ang D e-li， W ang D e-gao．Identity authentication scheme based on chaotictheory [J]．Journal of Jilin U niversity(Science Edition)，2008，46(4):711-715．

Design and Implementation for an OTP Mobile Commerce Authentication Scheme Based on Chaos

Hu Xinyue，Jiang Nan
（School of Computer Science&Engineering,Dalian Nationalities University,Dalian,Liaoning 116600）

With the arrival of the age of 3G,mobile e-commerce,with its portable mobile,convenience,efficiency,profitableness and so on,is becoming the new trend of e-commerce development,but the mobile e-commerce authentication problem has become an important bottleneck restricting its rapid development.To solve this problem,this paper puts forward the OTP authentication scheme in the mobile business environment based on the existing authentication technology and combined with characteristics of mobile e-commerce application as well as one-time password (OTP)authentication technology and a unique chaotic HASH encryption method to encrypt information.The program contains a user registration,mutual authentication and secure storage of sensitive information and so on.Compared with the traditional authentication scheme,the program considers more about mobile commerce security requirements and the technical limitations of mobile devices.Consistent with its own characteristics of mobile commerce,identity authentication process is more safe and efficient.

mbile commerce;OTP;Chaos HASH function;identity authentication

I206

A

1005-1554（2011）02-0026-04

2011-03-20

胡新月（1987-），男，山東威海人，大連民族學院計算機科學與工程學院學生。