第２０卷第５期 ２０１ ３年１Ｏ月 ＪＯＵＲＮＡＬ ＯＦ ＤＯＮＧＧＵＡＮ ＵＮＩＶＥＲＳＩＴＹ ＯＦ ＴＥＣＨＮＯＬＯＧＹ 东莞理工学院学报 Ｖｏ１．２Ｏ Ｎｏ．５ Ｏｃｔ． ２０１３ 基于动态密钥的８ １ Ｐ授权认证机制的设计与实现 章忠宪（漳州职业技术学院余兵顾亚丽 ３６３０００） 计算机工程系，福建漳州摘要：会话初始化协议（ＳＩＰ）广泛应用在嵌入式移动终端设备中，但由于ＳＩＰ协议本身特点使得其在复 杂、开放的网络应用环境中容易被攻击者模仿、篡改。虽然已经提出了很多增强ＳＩＰ协议安全性的认证机制， 但由于认证过程计算性能消耗大，不适合在嵌入式设备中使用。在传统Ｈｔｔｐ摘要认证的基础上，提出了一种 基于动态密钥的认证机制，以较低的计算代价改进了ＳＩＰ协议的安全性，对ＳＩＰ协议在嵌入式设备中普及有一 定的实用价值。 关键词：会话初始化协议；认证；动态密钥 中图分类号：ＴＰ３９３ 文献标识码：Ａ 文章编号：１００９—０３１２（２０１３）０５—００６７—０５ 会话初始化协议（ＳＩＰ）是一种应用层上的信令控制协议，用来实现多媒体会话过程的建立、修改 和终止 Ｊ。ＳＩＰ协议在设计上参考了互联网上流行的Ｈ１ＴＩ１Ｐ等协议，以文本的形式表示消息的语法、语 义和编码。采用文本的方式让ＳＩＰ协议的实现变得简单，但在复杂、开放的网络应用环境中，ＳＩＰ协议 容易被攻击者模仿、篡改。身份认证是ＳＩＰ应用系统中的第一条防线，在ｒｆｃ３２６１中规定ＳＩＰ使用Ｈｔｔｐ 摘要认证进行身份认证 儿 。该认证机制简单方便，也能够解决注册劫持等安全问题，但也存在很多弊 端。如它只能单向认证，客户端没有办法验证服务器的身份，容易受到伪装服务器攻击；没有对ＳＩＰ消 息的头域行加密，会造成信息泄露。 针对Ｈｔｔｐ摘要认证所存在的缺陷，目前已经有几种安全改进方案：基于Ｄｉｆｉｅ—Ｈｅｌｌｍａｎ密钥交换 协议的安全认证机制 Ｊ、基于椭圆曲线密码（ＥＣＤＨ）安全认证机制 。这些改进方案可以在很大 程度上提高ＳＩＰ协议的安全性，但由于Ｄｉｆｉｅ—Ｈｅｌｌｍａｎ密钥交换协议和椭圆曲线密码这两种密码机 制本身比较复杂，应用在服务器和高新能的Ｐｃ机上效果不错。但ＳＩＰ协议经常应用在嵌入式终端设备 中，嵌入式设备系统资源相对有限，如果在ＳＩＰ协议中使用前面两种认证机制，则资源消耗过大。 本文首先指出ＳＩＰ协议传统认证机制（Ｈｔｔｐ摘要认证机制）的缺陷，然后在Ｈｔｔｐ摘要认证机制的 基础上，利用动态密钥的原理，提出了一种适合嵌入式移动终端中ＳＩＰ协议的安全认证机制，在不增加 太多额外计算资源的情况下，可以防止ＳＩＰ应用系统受到密码离线猜测、服务器伪装等方式的攻击。 １ 基于动态密钥的ＳＩＰ认证机制的实现 １．１ 一些约定 本文只是讨论ＳＩＰ用户登录过程中的身份验证，在用户登录之前已经注册成功，并且与服务器共享 一个密码。为了把本文提出的基于动态密钥的认证机制解释清楚，首先定义了一些标识符号，符号的说 明如表１所示： １．２基于动态密钥机制的认证流程 基于动态密钥机制的认证流程如图１所示： 收稿日期：２０１３—０６—１３ 作者简介：章忠宪（１９６３一），男，安徽安庆人，副教授，硕士，主要从事网络体系结构、人工智能研究。 ６８ 东莞理工学院学报 表１符号说明 ２０１３缸 符 Ｈ（） 号 单向哈希函数 说 明 Ｘｏｒ、① 异或操作 字符串连接符 ＫｅｖＡ 客户端随机生成的密钥 服务器随机生成的密钥 用户与服务器之间共享的密码 登录的用户名 ＫｅｖＢ Ｐｗｄ ｎｏｎｃｅｌ ｎｏｎｃｅ２ 用于验证服务器身份的随机数 用于验证服务器身份的随机数 ＵＡＣ（客户端） 客户端生成动态密钥ＫｅｙＡ １．服务器生成动态密钥ＫｅｙＢ ２．使用哈希算法计算出 ｎｏｎｃｅｌ＝ＫｅｙＢ Ｘｏｒ Ｈ（ＰｗｄｌＫｅｙＡ）和 ｎｏｎｃｅ２＝Ｈ（ＰｗｄｌＫｅｙＡＩＫｅｙＢ） １．计算Ｈ（ＰｗｄｌＩＫｅｙ Ａ１ Ｘｏｒ ｎｏｎａｅｔ 得到ＫｅｙＢ ２．计箅Ｈ（ＰｗｄｌｌＫｅｙＡＩＩＫｅｙＢ），判 断是否与ＩｌＯＩｌＣｅ２相等 ３．如果不相等，则断开与服务器 连接，相等则发送响应给服务 器 １．计算Ｈ（ＫｅｙＡＩＩＰｗｄｌｌＫｅｙＢ） ２．比较是否与响应消息中的一致 ３．如果相同则用户验证成功 ４．使用ＫｅｙＢ作为双方的会话密钥 图１ 基于动态密钥机制的认证流程 具体的实现步骤如下： １）ＵＡＣ要使用ＳＩＰ协议通话时，首先需要登录到ＵＡＳ中进行身份认证。ＵＡＣ随机生成一个密钥 ＫｅｙＡ（可以使用时间戳，这样可以保证密钥不重复），然后发送身份验证请求ｒｅｑｕｅｓｔ（ｕｓｅｒｎａｍｅ， ＫｅｙＡ）到服务器； ２）服务器接收到身份验证请求后，不会立即去验证该用户是否合法，而是和客户端一样，先随机 生成一个密钥ＫｅｙＢ，然后从数据库中取出用户的登录密码，按照ｎｏｎｃｅｌ＝ ｏ Ｈ（Ｐｗｄ ｌ ｌ ｙＡ）和 ｎｏｎｃｅ２＝Ｈ（Ｐｗｄ Ｉ ｌ ｌ ｌ ）两种算法分别计算出ｎｏｎｃｅｌ和ｎｏｎｃｅ２，最后把ｎｏｎｃｅｌ和ｎｏｎｃｅ２通过 质询消息发送给客户端； ３）ＵＡＣ接收到服务器发送的质询消息后，先利用算法ＫｅｙＢ＝Ｈ（Ｐｗｄ ｌ ｌ ｙＡ）ｏ ｎｏｎｃｅｌ计算出 ＫｅｙＢ，然后计算出Ｈ（Ｐｗｄ ｌ ｌ ｌ Ｉ ＫｅｙＢ）的值，如果该值和ｎｏｎｃｅ２相同，那么说明发送质询消息的 服务器是合法的，ＵＡＣ给服务器发送一个响应消息ｒｅｓｐｏｎｓｅ（ｕｓｅｒｎａｍｅ， （ 不相同则说明服务器是非法的，ＵＡＣ马上断开与服务器的连接； ｌ ｌ ＰｗｄＩ ｌ ｙＢ）），如果 第５期 章忠宪，等：基于动态密钥的ＳＩＰ授权认证机制的设计与实现 ６９ ４）服务器接收到响应消息后，计算日（ Ｉｌ Ｐｗｄ Ｉ ｌ ＫｅｙＢ）的值，如果该值和响应消息中ＵＡＣ计 算的值相同，则该用户验证成功，并且使用ＫｅｙＢ作为接下来客户端和服务器的会话密钥。 １．３基于动态密钥的认证机制的实现 ＳＩＰ协议采用ＳＩＰ消息来建立、修改以及释放会话连接，ＳＩＰ消息采用ＵＴＦ一８字符集进行编码，消 息可分为请求与响应两种类型，每个消息由一个起始行、若干个头部以及可选的消息体组成，具体如图 ２所示。 图２ ＳＩＰ消息结构 本文所研究的身份验证过程所使用到的ＳＩＰ消息有请求和响应两种类型的消息，每条消息都不含有 消息体，客户端与服务器之间相互认证的机制是通过ＳＩＰ消息中Ａｕｔｈｏｒｉｚａｔｉｏｎ头域与ｗｗｗ—Ａｕｔｈｅｎｔｉｃ－ ａｔｅ头域来实现的。为了实现动态密钥的身份认证，必须对ＳＩＰ消息中的ｗｗｗ—Ａｕｔｈｅｎｔｉｃａｔｅ头域进行 参数修改，在ｗｗｗ—Ａｕｔｈｅｎｔｉｃａｔｅ头域中定义ｎｏｎｃｅｌ和ｎｏｎｃｅ２两个新的参数字段，另外需要在２０００ｋ 应答消息中添加一个新的头域ＳｅｓｓｉｏｎＫｅｙ。客户端与服务器端认证的算法如图３和图４所示。 图３客户端伪代码 图４服务器端伪代码 ２安全性与效率分析 ２．１ 认证机制的安全性分析 本文提出的认证机制的安全性是以哈希函数的单向性特点为前提条件，也就是在哈希函数中只能从 输入推导出输出，而不能从输出计算出输入。在此前提条件下，本文提出的认证机制可以防止重放攻 ７０ 东莞理工学院学报 ２０１３正 击、服务器伪装攻击、离线密码猜测攻击。＿６ Ｊ ２．１．１ 重放攻击 在方案中，可以利用随机值避免重复攻击。从图１基于动态密钥机制的认证流程中可知，在客户端 与服务器交互过程中授权消息ｎｏｎｃｅｌ：ＫｅｙＢ①Ｈ（ＰｗｄＩ Ｉ ｙａ）和ｎｏｎｃｅ２＝Ｈ（ＰｗｄＩ Ｉ 因为ＫｅｙＡ和ＫｅｙＢ只在一次会话过程中有效。 ２．１．２服务器伪装攻击 ｌ ｌ ）都 包含了随机参数ＫｅｙＡ和ＫｅｙＢ，假如在通信过程中，攻击者截获到该消息后也不可能成功登陆服务器， 在认证流程的第３步中，客户端通过比较Ｈ（Ｐｗｄｌｌ ２．１．３离线密码猜测攻击 ｌ ｌ ）与ｎｏｎｃｅ２的值是否相等来验证服 务器的合法性，因此攻击者无法通过伪装服务器来欺骗客户。 在认证机制中，攻击者不可能通过离线猜测来破解用户的密码。从认证流程中可以知道，认证过程 不是直接把用户密码发送给服务器，而是用随机数ＫｅｙＡ和ＫｅｙＢ对用户密码进行异或和哈希运算后才 在网络上进行传递，因此可以保护用户密码受到离线猜测攻击。 ２．２认证机制的效率分析 从算法的计算复杂度与通信复杂度两方面来分析本文提出的认证机制的效率。 ２．２．１计算复杂度 基于Ｄｉｆｉｆｅ—Ｈｅｌｌｍａｎ密钥交换协议的安全认证机制和基于椭圆曲线密码（ＥＣＤＨ）安全认证机 制，使用了复杂度高的非对称加密运算方法，会造成较大的运算负担。本文提出的认证机制，拥有低运 算成本的优点，因为在认证机制中只是采用了哈希函数和异或等低复杂度的计算。表２是三种认证机制 算法的计算复杂度，从表中可知本文提出的认证机制在保证安全性的前提下，具有较低的计算成本。 表２计算复杂度比较表 ２．２．２通信复杂度 本文提出的认证机制中，服务器与客户端共通信三次，第一次通信中，客户端发送｛Ｕｓｅｍａｍｅ， ＫｅｙＡ｝到服务器，通信成本为Ｉ ｕ Ｉ＋Ｉ Ｋ Ｉ；第二次通信中服务器发送｛ｎｏｎｃｅｌ，ｎｏｎｃｅ２｝给客户端， ｎｏｎｃｅｌ和ｎｏｎｃｅ２都是通过Ｈａｓｈ函数计算得到，其通信成本记为２ ｌ Ｈ Ｉ；第三次通信客户端发送 ｛Ｕｓｅｒｎａｍｅ，Ｈ（ＫｅｙＡ Ｉ ｌ Ｐｗｄ ｌ Ｉ ＫｅｙＢ）｝给服务器，通信成本为Ｉ Ｕ Ｉ十ｌ Ｈ ｌ，因此在一次完整的 认证过程中，总的通信成本为２ ｌ ｕ ｆ＋ｌ Ｋ ｌ＋３ ｌ Ｈ Ｉ。与其他两种认证机制相比，本文提出的认证 机制在通信成本上稍优，具体数据如表３所示。 表３通信复杂度比较表 ３ 结语 ＳＩＰ协议由于简单易扩展的特点，在嵌入式终端产品中应用越来越广泛，但其安全性是当前面临的 重要课题。考虑到嵌入式设备的特殊性，本文在ＳＩＰ协议的ＨＴＴＰ摘要认证的基础上，以哈希函数和异 或等低复杂度的运算为基础，设计出一个安全的轻量级的认证机制，在该机制中，以较低的运算成本可 １ｉ １Ｊ 第５期 章忠宪，等：基于动态密钥的ＳＩＰ授权认证机制的设计与实现 ７１ 以获得较高的安全性，对ＳＩＰ协议在嵌入式设备中普及有一定的实用价值。 参考文献 Ｆｒａｎｋｓ Ｊ．ＨＴＩ＇Ｐ ａｕｔｈｅｎｔｉｃａｔｉｏｎ：ｂａｓｉｃ ａｎｄ ｄｉｇｅｓｔ ａｃｃｅｓｓ ａｕｔｈｅｎｔｉｃａｔｉｏｎ［Ｓ］．ＩＥＴＦ ＲＦＣ２６１７，Ｊｕｎｅ １９９９． Ｈａｎｄｌｅｙ Ｍ．ＳＩＰ：ｓｅｓｓｉｏｎ ｉｎｉｔｉａｔｉｏｎ ｐｒｏｔｏｃｏｌ［Ｓ］．ＩＥＴＦ ＲＦＣ２５４３，Ｍａｒｃｈ １９９９． Ｙａｎｇ Ｃ Ｃ，Ｗａｎｇ Ｒ Ｃ，Ｌｉｕ Ｗ Ｔ．Ｓｅｃｕｒｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｓｃｈｅｍｅ ｆｏｒ ｓｅｓｓｉｏｎ ｉｎｉｔｉａｔｉｏｎ ｐｒｏｔｏｃｏｌ［Ｊ］＿ＣｏｍｐｕｔｅｒｓａｎｄＳｅｃｕｒｉｔｙ，２００５，１２４：３８１—３８６． Ｄｕｄａｎｉｋ Ａ．Ｓｏｇｕｋｐｉｎａｒ Ｊ．ＳＩＰ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｓｃｈｅｍｅ ｕｓｉｎｇ ＥＣＤＨ［Ｊ］．Ｗｏｒｌｄ Ｅｎｆｏｒｍａｔｉｋａ ｓｏｃｉｔｙ Ｔｒｎｓａａｃｔｉｏｎ ｏｎ Ｅｎｇｉｎｅｅｒｉｎｇ ｃｏｍｐｕｔｉｎｇ ａｎｄ ｔｅｃｈｎｏｌｏｇｙ，２００５，１８：３５０—３５３． ｚｒｉｎｎｅＨ，ｃａｍａｒｉｌｌ０ Ｇ，ｅｔ ａ１．ＳＩＰ：ＳｅｓｓｉｏｎＩｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ［Ｓ］．ＲＦＣ ３２６１，２００２． ［５］ Ｒ０ｓｅｎｂｅｒｇ Ｊ．Ｓｃｈｕｌ４６（５）：９６—９９． ［６］ 周计成，徐开勇，赵彬，等．一种基于身份的ＳＩＰ认证与密钥协商机制［Ｊ］．计算机工程与应用，２０１０，Ｔｈｅ Ｄｅｓｉｇｎ ａｎｄ Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ ｏｆ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｍｅｃｈａｎｉｓｍ ｏｆ ＳｉＰ Ｂａｓｅｄ ｏｎ Ｄｙｎａｍｉｃ Ｋｅｙ ＺＨＡＮＧ Ｚｈｏｎｇ－ｘｉａｎ ＹＵ Ｂｉｎｇ ＧＵ Ｙａ—Ｉｉ （Ｔｈｅ Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｃｏｍｐｕｔｅｒ Ｅｎｇｉｎｅｅｒｉｎｇ，Ｚｈａｎｇｚｈｏｕ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｔｅｃｈｎｏｌｏｇｙ，Ｚｈａｎｇｚｈｏｕ ３６３０００，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ Ｔｈｅ ｓｅｓｓｉｏｎ ｉｎｉｔｉａｔｉｏｎ ｐｒｏｔｏｃｏｌ（ＳＩＰ）ｉｓ ｗｉｄｅｌｙ ｕｓｅｄ ｉｎ ｔｈｅ ｅｍｂｅｄｄｅｄ ｅｑｕｉｐｍｅｎｔ．Ｄｕｅ ｔｏ ｔｈｅ ｃｈａｒａｃｔｅｒｉｓｔｉｃｓ ｏｆ ＳＩＰ ｐｒｏｔｏｃｏｌ ａｎｄ ｃｏｍｐｌｉｃａｔｅｄ ｅｎｖｉｒｏｎｍｅｎｔ．ｔｈｅｒｅ ａｒｅ ｍａｎｙ ｓｅｃｕｒｉｔｙ ｐｒｏｂｌｅｍｓ ｉｎ ｉｔ ａｎｄ ＳＩＰ ｆａｃｅｓ ａ ｌｏｔ ｏｆ ａｔｔａｃｋｓ．Ａｔ ｐｒｅｓｅｎｔ ｔｈｅｒｅ ａｒｅ ａ ｖａｒｉｅｔｖ ｏｆ ｓｅｃｕｒｉｔｙ ｍｅｃｈａｎｉｓｍｓ ｂｅ ｐｒｏｐｏｓｅｄ． Ｂｕｔ ｔｈｅ ｃｏｍｐｕｔａｔｉｏｎ ｃｏｓｔ ｏｆ ｔｈｅｓｅ ｓｅｃｕｒｉｔｙ ｍｅｃｈａｎｉｓｍｓ ｉｓ ＳＯ ｈｉｇｈ ｔｈａｔ ｔｈｅｙ ａｒｅ ｎｏｔ ｓｕｉｔａｂｌｅ ｆｏｒ ｕｓｅ ｉｎ ｅｍｂｅｄｄｅｄ ｄｅｖｉｃｅｓ．Ｉｎ ｔｈｉｓ ｐａｐｅｒ，ｗｅ ｐｒｏｐｏｓｅ ａ ｄｙｎａｍｉｃ ｋｅｙ—ｂａｓｅｄ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｍｅｃｈａｎｉｓｍ ｏｎ ｔｈｅ ｂａｓｉｓ ｏｆ ｔｈｅ ｔｒａｄｉｔｉｏｎａｌ Ｈｔｔｐ ｄｉｇｅｓｔ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｔｏ ｉｍｐｒｏｖｅ ｔｈｅ ｓｅｃｕｒｉｔｙ ｏｆ ＳＩＰ ａｎｄ ｉｔｓ ｃｏｍｐｕｔａｔｉｏｎ ｃｏｓｔ ｉｓ ｒｅｌａｔｉｖｅｌｙ ｌｏｗｅｒ．Ｃｏｎｃｌｕｓｉｏｎ ｓｈｏｗｓ ｔｈｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｍｅｃｈａｎｉｓｍ ｃａｎ ｂｅ ｕｓｅｄ ｉｎ ｔｈｅ ｅｍｂｅｄｄｅｄ ｅｑｕｉｐｍｅｎｔ ａｎｄ ｔｈｅｒｅ ａｒｅ ｓｏｍｅ ｐｒａｃｔｉｃａｌ ｖａｌｕｅ． Ｋｅｙ ｗｏｒｄｓ Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ；ａｕｔｈｅｎｔｉｃａｔｉｏｎ；ｄｙｎａｍｉｃ ｋｅｙ
