基于OTP的移动商务身份认证协议的设计实现分析

基于OTP的移动商务身份认证协议的设计与实现王秦1，X润彤(交通大学信息系统研究所，100044)摘要：国内移动商务身份认证主要采用基于用户名/口令的静态口令认证机制，这种方式易于实现且操作简单，但容易遭受攻击并且口令在无线传输中易被截获。

一次性口令（One-Time Password，简称OTP）认证机制可以实现一次一密，具备更高的安全性，同时，其实现简单、成本低、无需第三方公证，十分适合于受限的移动商务环境，但难以抵御小数攻击以及没有实现双向认证。

本文结合OTP认证机制和椭圆曲线密码体制提出一种基于OTP的移动商务身份认证协议MCIA，并利用仿真软件Opnet仿真实现MCIA协议，结果表明其适合于移动商务环境。

关键字：身份认证；一次性口令；MCIA；OpnetDesign and Implementation ofIdentity Authentication Protocol in Mobilemerce based on OTPWang Qin, Zhang Run-tong(Institute of Information System, BeijingJiaotongUniversity, Beijing 100044, China)Abtract:Presently, identity authentication in domestic mobile merce is mainly implemented by static password mechanism based on Userid/password. The method has some advantages, such as easier implementation and simpler operation. But its security is worse, which it is easily attacked, and its password is easily intercepted and seized in transmission process by wireless network. OTP (One-Time Password) authentication mechanism has higher security by one time padding. It is implemented simply, cost less and needed no third-party notarization,and so it is more suitable for limited mobile merce environment, but it couldn’t resist decimal attack and realize bidirectional authentication.bined OTP with Elliptic curve cryptosystem, it is presented a mobile merce identity authentication protocol based on OTP, named by MCIA protocol.The protocol is simulated through simulation software Opnet and it is suitable for mobile merce environment by simulation results. Key words:Identity authentication; One-Time Password; Mobile merce identity authentication; Opnet1引言随着移动商务的普及和应用，移动商务的安全性已成为人们关注的焦点。

身份认证是第1国家自然科学基金资助项目：移动商务系统中的身份认证研究(60773033)作者简介：王秦，男，XX省梨树县，1973年生，交通大学博士研究生，研究方向：移动商务身份认证，melonznsina.X润彤，男，XX省XX市，1963年生，交通大学教授，研究方向：信息安全、移动电子商务、网格计算等，.一道安全屏障，通信安全几乎总是始于身份认证的握手过程。

基于密码技术的认证协议是实现身份认证最安全的方式，因此，安全、高效的移动商务身份认证协议是保证移动商务安全通信的必要条件。

与传统商务相比，移动商务在身份认证的实现上具备一定的优势：首先，移动通信设备传输的信号为数字信号，便于进行加密处理；其次，由于移动用户和移动终端普遍为一对一，身份认证更易实现。

但是，移动商务实现身份认证也存在诸多薄弱环节，主要包括：一是开放的无线信道使移动商务传送的信息更易遭受窃听、干扰、篡改等攻击，这可能是移动商务最大的安全问题[1]；二是与有线信道相比，无线信道带宽较小，容易产生信号的衰落、频移以及时延扩展，信道的误码率较高[2]；三是与固定终端相比，移动终端在功能及资源上严重受限，如：计算能力弱、存储空间小、通信带宽窄和电源供应时间短等；四是移动终端本身不能提供足够的安全防护。

因此，移动商务身份认证协议的研究必须综合考虑上述因素，尤其重点考虑硬件资源上受限的移动终端。

2 研究现状二十世纪九十年代以来，国外提出了一些无线网络环境下的认证协议，如：TMN 协议、改进BCY 协议、Diffie Aziz -协议、Park 协议、Koc Sunar Aydos --协议和ASPeCT 协议[3]-[8]。

这些协议都能够实现身份认证，但同时也存在一些局限性，诸如：多数无线认证协议采用基于数字证书的身份认证机制，这需要具备完善的CA 认证体系；认证协议都是基于公钥密码体制实现数字签名，由于传统的公钥密码体制基本上通过大数计算实现加解密，造成认证协议的运算负载较高、耗时长且效率低下等问题；多数认证协议都考虑了无线链路中数据的XX 性和实体认证，但没有考虑移动用户的匿名性。

移动用户的匿名性指防止非法用户从认证协议的信息获取移动用户的相关信息[9]。

目前，国外无线身份认证研究的重点为无线公开密钥体系WPKI [10]（Wireless Public Key Infrastructure ，简称WPKI ）。

WPKI 将互联网电子商务中公开密钥体系PKI （Public Key Infrastructure ，简称PKI ）的安全机制引入无线网络环境，是一套遵循既定标准的密钥及证书管理平台体系。

它使用公共密钥加密及开放标准技术构建可信的安全性架构，实现无线通信网络上的交易和安全通信鉴权。

WPKI 为基于无线通信网络的各类移动终端用户提供基于WPKI 体系的各种安全服务，可以实现数据传输中真正的端到端安全性、安全的用户识别及可信交易，保护数据传输的完整性和XX 性，而且能够实现交易参与方的不可抵赖，有效地建立安全的移动商务环境。

但也有专家认为：WPKI 认证机制对承载设备的运算能力要求较高，并不十分适合计算能力受限的移动商务环境[11]，同时，其成本高昂、技术复杂、缺乏统一的标准和良好的互操作性[12]，最重要的是国内尚无一家法律上承认的、权威的第三方认证机构——CA （Certification Authority ，简称CA ）中心，这些因素都限制了WPKI 认证机制在国内的应用。

国内移动商务身份认证的实现多数基于简单的静态口令认证机制[13]，这种方式实现简单、易于操作。

但静态口令认证机制是一种单因子的认证技术，其安全性仅依赖于用户口令的XX性，一旦用户口令泄密，安全性则彻底丧失。

一次性口令认证机制（One-Time Password，简称OTP）采用一次一密的方法，可以有效保证用户身份的安全性，同时，其实现简单、成本低、无需第三方认证，是实现移动商务身份认证一个可行的选择。

但是，OTP 认证机制易遭受小数攻击、没有实现双向认证。

OTP认证机制的安全隐患主要在于参与一次性口令生成的随机数以及口令认证信息均以明文方式传送，因此，如果采取密码体制对随机数及认证信息进行加密，必然给攻击者攻击带来巨大困难。

3基于OTP的移动商务身份认证协议MCIA的设计椭圆曲线密码体制是现有公钥密码体制中运算效率、安全性最高且无须第三方的体制，其存储空间占用小、带宽要求低、计算量小和处理速度快等特点使其十分适合应用于移动商务环境。

因此，本文结合OTP认证机制和椭圆曲线密码体制提出基于OTP的移动商务身份认证协议MCIA（Mobile merce Identity Authentication，简称MCIA）。

3.1MCIA协议的设计思路MCIA协议的设计思路如下：（1）将认证分成两级，一是客户端对用户身份的认证，二是客户端与服务器的双向身份认证；（2）使用椭圆曲线加密算法产生客户端、服务器端的公钥和私钥，较传统的公钥算法效率更高；(IMEI做为一次性因素的生成因子；（3）使用移动设备特征性标识)（4）利用哈希链构造一次性口令时加入服务计数，避免针对已知散列函数的小数攻击；（5）认证口令传输时，客户端和服务器端分别用对方的公钥加密，在另一方用私钥解密，避免了明文传输，且对随机因子进行了二次加密，提高了口令传输的安全性。

3.2MCIA协议的流程设计符号说明协议中描述的符号说明：C：参与认证的客户端S：用来认证的服务器端UID：用户注册提供的用户身份标识UPW：用户提供的口令，在注册时第一次提供，存储在客户端。

以后每次认证，用户都需提供正确的用户密码IMEI：移动设备的唯一标识（International Mobile Equipment Identity，简称IMEI），也称手机串号，IMEI做为客户端与服务器端的认证口令因子SID：服务器身份标识H代替()Hash：哈希函数，为了叙述简便，以下使用()||：连接符，表示两端的信息或文字进行连接ECC：服务器端生成的安全椭圆曲线密码系统的参数集UR K ：用户公钥US K ：用户私钥SR K ：服务器公钥SS K ：服务器私钥()E ：加密过程()D ：解密过程i ：表示客户端第i 次登录Counter ：服务器端的计算器i OTP ：客户端登陆的一次性口令c N ：客户端产生的随机数s N ：服务器端产生的随机数3.2.1 注册阶段流程设计注册阶段完成用户的口令和密码选择、客户端和服务器端的公钥产生。

MCIA 协议利用ECC 进行第一次密钥分配和敏感信息的传输加密。

MCIA 协议的注册阶段流程如下：（1）S 初始化生成椭圆曲线，选取密钥对——SR K 和SS K ；（2）C 向S 发起注册请求；（3）S 将椭圆曲线系统参数集ECC 连同SR K 发送给C ；（4）C 存储SR K ，并根据安全椭圆曲线选取自己的密钥对UR K 和US K ；（5）C 输入UID 和UPW ，并存储UID 和)(UPW H ，向S 发送利用SR K 加密的UID 、)(UPW H 、IMEI 以及UR K ，即),),(,(UR k K IMEI UPW H UID E SR ；（6）S 接收),),(,(UR k K IMEI UPW H UID E SR ，利用SS K 做)),),(,((UR k K K IMEI UPW H UID E D SR SS 运算，得到UID 、)(UPW H 、IMEI 和UR K 。

合集下载

基于OTP的WiFi身份认证模型的设计及分析

（ＩｎｆｏｒｍａｔｉｏｎＥｎｇｉｎｅｅｒｉｎｇＤｅｐａｒｔｍｅｎｔ，ＯｒｄｎａｎｃｅＥｎｇｉｎｅｅｒｉｎｇＣｏｌｌｅｇｅ，Ｓｈｉｊｉａｚｈｕａｎｇ０５０００３，Ｃｈｉｎａ）
ＷｉＦｉ因其便利和高速，成为目前应用极为广泛的无线网络接入方式之一。但是ＷｉＦｉ本身的开放性给网络带来很大的风险，安全成为制约无线网络发展的重要问题。身份认证技术的主要目的是验证通信双方的真实身份，将非法用户屏蔽于网络应用之外，是网络安全的第一道防线… 。一旦进入网络的身份认证技术被破坏，网络就无安全可言。因此，构建一个ＷｉＦｉ环境下统一的身份认证模型具有重要意义。
ｔｉｔｙａｕｔｈｅｎｔｉｃａｔｉｏｎｏｆｔｈｅｗｉｒｅｌｅｓｓｅｎｖｉｒｏｎｍｅｎｔｂｅｃａｕｓｅｏｆｔｈｅｉｒａｄｖａｎｔａｇｅｓ．Ａｓｅｃｕｒｅｔｗｏ — ｗａｙｉｄｅｎｔｉｔｙａｕｔｈｅｎｔｉ — ｃａｔｉｏｎｍｏｄｅｌｉｓｐｒｏｐｏｓｅｄｂａｓｅｄｏｎｏｎｅ — ｔｉｍｅｐａｓｓｗｏｒｄａｎｄｔｈｅｄｉｇｉｔａｌｓｉｇｎａｔｕｒｅｉｓｒｅａｌｉｚｅｄｂｙｕｓｉｎｇＥＣＣ．Ｆｉｎａｌ —

基于OTP的增强型身份认证系统的研究与设计

摘
要：身份认证是网络安全的第一道防线，也是最重要的一道防线。一次性口令认证技术是一种易于实现且安全度
较高的解决方案。但是，于ＯＴ基Ｐ技术的身份认证系统在实际实施和运用中仍然存在一些潜在的问题。本文提出的
Ｓ）Ｐ身份认证系统克服了ＯＰ认证技术的弱点，有更好的安全性和实用性。（ｒｒＴ具
ｔｃｎｌｇａｏｅｐｔｎｉｌｒｂｅｈｒｃｓｆｒａｐｌａｉｎＴｈａｅｕｓｆｒｈａｓｒｎｔｅｅＡｙｔｅｈｏｏｙｈｓｓｍｅｔｏｌｍｓｉｔｅｐｏｅｓｏｅｌｐｉｔ．ｏａｐｎａｃｏｅｐｐｒｐｔｏｔｅｇｈｎｄＩｓｓｅｔｍｂｓｄｏｈａｅｎｔｅｏＴＰｈｏｏｙｗｈｃｖｒｏｅｈａｎｓｅｆｔｅＯＴＰｕｈｎｉａｉｎｔｃｎｌｇｄｉｆｅｔｒｅｕ — ｔｎｌｇ，ｉｈｏｅｃｍｓｔｅｗｅｋｅｓｓｏｈｃｅａｔｅｔｔｅｈｏｏｙａｏｔｅｃｒｃｏｎｓｂｓｉ
ｔｅＯｎ — ｍｅＰａｓｒｃｎｌｇｈｅＴｉｓｗｏｄＴｅｈｏｏｙ —
张丽ｇ，ｔＩＬｉｍｉｔ，ｌＳｔ－ｎ
（沈阳化工学院计算机科学与技术学院，宁沈阳１０４）辽１１２
（ｃｏｆ＿ｕｅｃｎｅｎｅｈｏｇＩｈｎａｇＩｓｉｔｏＣｅｃｌｅｈｏｏｙＳｅｙｎ１１２ＣｉａＳｈｏｏＣｍｐｔｌ￣ｒＳｉｃｄＴｃｎｏｙＳｅｙｎｎｔｕｅｆｈｍｉＴｃｎｌｇ。ｈｎａｇ１０４。ｈｎ）ｅａｌｔａ

基于OTP的移动商务身份认证协议的设计与实现

基于OTP的移动商务身份认证协议的设计与实现王秦1，张润彤(北京交通大学信息系统研究所，北京100044)摘要：国内移动商务身份认证主要采用基于用户名/口令的静态口令认证机制，这种方式易于实现且操作简单，但容易遭受攻击并且口令在无线传输中易被截获。

关键字：身份认证；一次性口令；MCIA；OpnetDesign and Implementation of Identity Authentication Protocol inMobile Commerce based on OTPWang Qin, Zhang Run-tong(Institute of Information System, Beijing Jiaotong University, Beijing 100044, China) Abtract: Presently, identity authentication in domestic mobile commerce is mainly implemented by static password mechanism based on Userid/password. The method has some advantages, such as easier implementation and simpler operation. But its security is worse, which it is easily attacked, and its password is easily intercepted and seized in transmission process by wireless network. OTP (One-Time Password) authentication mechanism has higher security by one time padding. It is implemented simply, cost less and needed no third-party notarization, and so it is more suitable for limited mobile commerce environment, but it couldn’t resist decimal attack and realize bidirectional authentication. Combined OTP with Elliptic curve cryptosystem, it is presented a mobile commerce identity authentication protocol based on OTP, named by MCIA protocol. The protocol is simulated through simulation software Opnet and it is suitable for mobile commerce environment by simulation results.Key words:Identity authentication; One-Time Password; Mobile commerce identity authentication; Opnet1国家自然科学基金资助项目：移动商务系统中的身份认证研究(60773033)作者简介：王秦，男，吉林省梨树县，1973年生，北京交通大学博士研究生，研究方向：移动商务身份认证，melonzn@张润彤，男，辽宁省大连市，1963年生，北京交通大学教授，研究方向：信息安全、移动电子商务、网格计算等，rtzhang@1 引言随着移动商务的普及和应用，移动商务的安全性已成为人们关注的焦点。

移动商务身份认证评价指标体系研究

移动商务身份认证评价指标体系研究王秦;支芬和【摘要】移动商务身份认证机制的评价主要为形式化分析方法的安全性证明和简单的性能比较,缺乏移动商务身份认证评价指标体系对认证机制进行全面的评价,影响了移动商务身份认证机制的选择.本文通过分析无线通信网络和移动终端的特点,提出移动商务身份认证评价指标体系的设立原则,设计包含安全性、适用性和成熟性三大指标的总体架构,并逐层细化确定其各指标项.在此基础上,运用模糊综合评价法对移动商务身份认证机制进行建模,首先确定评价因素集、评语集和权重,然后建立模糊矩阵,最后根据确定的各级评价因素集对体系的各项指标进行定量或定性分析,从安全性、适用性和成熟性得到机制的评价结果,实现对移动商务身份认证机制的综合评价和分析比较.【期刊名称】《技术经济与管理研究》【年(卷),期】2012(000)004【总页数】5页(P16-20)【关键词】移动商务;身份认证;通信网络;移动终端【作者】王秦;支芬和【作者单位】北京联合大学,北京100101;北京联合大学,北京100101【正文语种】中文【中图分类】F626.3一、引言安全问题是限制移动商务发展的主要问题[1]，身份认证是最基本的安全服务[2]。

国内外学者在身份认证技术的基础上纷纷提出适用移动商务环境的身份认证机制。

目前，移动商务身份认证机制的评价方法主要为形式化分析方法的安全性证明和简单的性能比较，缺乏一个完善、有效的评价指标体系对认证机制进行客观、全面的评价，影响了移动商务身份认证机制的分析和选择。

本文通过分析移动商务的特点指出移动商务身份认证评价指标体系的设立原则和指标选取，提出基于模糊综合评价法建立移动商务身份认证评价指标体系。

二、移动商务的特点分析本文从无线通信网络及移动终端两方面分析移动商务的特点。

1.无线通信网络的特点无线通信网络使通信摆脱了时间、地点和对象的束缚，为通信过程带来了极大的自由度、便捷性和及时性。

与有线通信网络相比，无线网络具有易于部署、成本低廉和灵活方便等优势，但其面临的安全威胁更加严重，不仅面对有线环境下的所有安全威胁，而且面对新出现的专门针对无线环境的安全威胁，如监听攻击、网络的鲁棒性和无线干扰等[3]。

移动互联时代的电子认证解决方案

目的：确保用户体验整个流程（含第三方支付手机密令安全中心下载及绑定、解绑等整个闭环流程）及产品客户端界面的完整性及高品质性。
手机密令系统建设流程
完成系统对接和测试
进行公测，进行手机密令初步宣传推广
进行手机密令宣传推广
进行资费宣传，通知用户缴费策略和渠道
正式开始前端收费服务模式
业务流程
宝令是一种基于OTP技术(One Time
Password)的硬件令牌，是一个小巧的硬件终端令牌。LCD屏幕清晰显示，无需安装驱动，与电脑物理隔离，操作简单，适合大众使用。
淘宝手机密令解决方案
2011年，时代亿宝与淘宝达成合作协议，启动了“手机密令项目”，即在淘宝注册的用户，通过使用手机密令，便可进行淘宝网内相关操作的保护。
9、要学生做的事，教职员躬亲共做；要学生学的知识，教职员躬亲共学；要学生守的规则，教职员躬亲共守。2 1.7.1 221. 7.12 Monday, July 12, 2021
10、阅读一切好书如同和过去最杰出的人谈话。1 4:03:0314 :03:0 314:037/ 12/2 021 2:03:03 PM
பைடு நூலகம்
15、一年之计，莫如树谷；十年之计，莫如树木；终身之计，莫如树人。20 21年7 月下午 2时3 分21.7 .121 4:03July 12, 2021
16、提出一个问题往往比解决一个更重要。因为解决问题也许仅是一个数学上或实验上的技能而已，而提出新的问题，却需要有创造性的想像力，而且标志着科学的真正进步。20 21年7 月12 日星期一2时3 分3秒 14:03 :031 2 July 2021

基于OTP的移动商务环境下的一种身份认证方案

１引言
随着信息技术的发展，移动通信以其灵活、使用方便、信号覆盖广等特点，除提供传统的话音服务外，高速、高
能力以及第三方认证等诸多问题。而一次性口令认证技
术ＯＰ（ｎ－ｉｅＰｓｒ）无需第三方认证，可以ＴＯｅＴｍａｓｄｗｏ
ＡｉｄＴｃｏｇ，Ｂｙｇ１ｏ５Ｃｎ４ｎａｅｈｌｙｅｏ０，ｈａ／ｇｎｎｎｏ￣ｉ）
ＡｂｔａｔＴｉｐｐｒｒｐｓｓａｎｗＯＰｕｈｎｉｔｏｓｈｍｅｂｓｄｏＯｅｉｐｓｗｏｄｎａａｔｔｉｏＭ－ｃｍｍｅｃｅｖｒｎｎｓｒｃ：ｈｓａｅｐｏｏｅｅＴａｔｅｔａｉｃｎｃｅａｅｎｎ－ｔｍｅａｓｒａｄｄｐｉｎｔｏｒｅｎｉｍｅｔ．ｏＣｍｐｒｄＯｒｄｔｎｌｓｈｍｅ，ｔｅｃｅｃｎｉｅｓｈｓｒｉｏｗｉｌｓｅｗｏｋｎｍｏｉｅｕｐｎｏａｅｔｔａｉｉａｃｅｓｈｓｈｍｅｏｓｒｔｅｔａｎｆｒｅｎｔｒａｄｏｄｓｅｓｂｌｑｉｅｍｅｔ．Ｔｈｓｈｍｅｏｏｌｃｕｄｓｌｔｓｃｅｃｅｎｔｎｙｏｌｉａｅｕｈｏｐｏｌｏｔａｉｉａｃｅｅ．ｂｔｌｃｕｄｒｖｄｍｕｕＩｕｈｎｉａｉｂｔｅｔｅｓｒｎｔｅｅｖｒｒｂｅｍｓｆｒｄｔｏｌｈｍｓｎｓｕａｓｏｌｏｐｏｉｅｔａａｔｅｔｃｔｎｅｗｅｎｈｕｅａｄｈｓｒｅ．ｏＫｅｗｏｄｓ：Ｍ－ｃｍｍｅｃｙｒｏｒｅ；ａｔｅｔａｉｕｈｎｉｔｏｃｎ；ｏｅｉｐｓｗｏｄ；ｓｃｒｙｎｔｍｅａｓｒｅｕｉｔ

电子商务平台安全防护技术中的身份认证方法分析

电子商务平台安全防护技术中的身份认证方法分析随着互联网和电子商务的迅速发展，人们越来越依赖在线平台进行购物、支付和交互。

然而，网络安全威胁也随之增加，个人身份和敏感信息的泄露已经成为一个严重的问题。

因此，在电子商务平台中采取有效的身份认证方法是确保用户信息安全的关键步骤之一。

在电子商务平台中，身份认证是确认用户身份并授权其访问特定资源的过程。

这种认证过程需要经过严格的验证，以确定用户是否有权访问所需的信息或执行特定的操作。

以下是一些常见的身份认证方法。

1. 用户名和密码认证：用户名和密码认证是目前最常见的身份认证方法之一。

用户提供注册的用户名和与之关联的密码，系统会验证用户提供的密码与存储的密码是否一致。

这种方法简单易用，但安全性相对较低，容易受到密码泄露、字典攻击和社交工程攻击。

2. 双因素认证：双因素认证是一种更安全的身份认证方法，它结合了两个或多个不同的认证因素，通常是“知识因素”（密码、PIN码等）和“物理因素”（指纹、面部识别）。

用户需要提供两个或多个因素来验证其身份，提高了安全性。

3. 多因素认证：多因素认证是对双因素认证的进一步扩展，它可能包括知识因素、物理因素、位置因素和行为因素等。

该方法通过结合多个因素，比如输入密码、扫描指纹和验证设备位置等，提供更高的安全性。

4. 生物特征认证：生物特征认证采用用户独特的生物特征进行身份认证，例如指纹、虹膜、声纹和面部识别等。

这些生物特征是不可复制的，因此提供了更高的安全性。

然而，生物特征认证可能受到伪造和技术限制的影响。

5. 单点登录认证（SSO）：单点登录认证是一个用户只需要进行一次身份验证，然后就可以访问多个相互信任的应用程序或网站的方法。

用户只需提供一次用户名和密码，就可访问其授权的多个电子商务平台。

这样的认证方法简化了用户的登录过程，并提高了用户体验。

6. OAuth：OAuth是一个用于授权的开放标准协议，允许用户通过第三方应用程序访问其在其他网站上的信息，而无需提供用户名和密码。

移动商务身份认证协议的设计与实现

ｅｏｍｍｅｒｃｅ．
Ｋｅｒｓ：ｏｅｔｅｐｓｗｏｄ；ｍｏｌｏｍｅｃｄｅｔｔｕｈｎｉａｉｎ；Ｏｐｎｔｙｗｏｄｎ —ｉａｓｒｍｂｉｃｍｅｒｅｉｎｉａｔｅｔｃｔｏｙｅ
Ｏ引言
目前，国外无线身份认证研究的重点为无线公
内应用ＷＰＩＫ认证机制。
国内移动商务身份认证多数基于静态口令认证机制，种方式实现简单、于操作。但静态口这易令认证机制是一种单因子的认证技术，安全性其
开密钥体系ＷＰＩ（ｒｌｓｕｌｅｎｒｔｃＫＷｉｅｂｃＫｙＩｆｓｕ — ｅｓＰｉａｒｔｒ，ｕｅ简称ＷＰＩ。ＷＰＩ以实现数据传输中真Ｋ）Ｋ可
正的端到端安全性、全的用户识别及可信交易，安有效地建立安全的移动商务环境。但有专家认为：
ＷＰＩ证机制对承载设备的运算能力要求较高，Ｋ认
仅依赖于用户口令的保密性，旦用户口令外泄，一
移动商务身份认证协议的设计与实现
王秦，芬和支
（北京联合大学，京１００）北０１１
［摘要］一次性口令一次一密的认证机制具备较高的安全性，实现简单、其成本低、需第三无方公证，十分适合于受限的移动商务环境。结合一次性口令认证机制和椭圆曲线密码体制提出

专访飞天诚信-全面解析OTP身份认证技术

专访飞天诚信:全面解析OTP身份认证技术随着互联网技术的发展，电子商务、企业办公、电子银行等互联网应用正在日益紧密的和我们的工作、生活相关联。

在我们享受互联网带来便利的同时，却一直被互联网安全问题困扰着，有了杀毒软件来帮我们查杀病毒，有了防火墙来帮我们阻止可能的网络威胁等等，然而除了这些来自网络本身的安全威胁外，用户身份的认证也成了1互联网安全所面临的重要问题。

为此，我们特地采访了飞天诚信OTP的产品总监陈达先生，他将和我们一起探讨身份认证技术的发展，并深入解析OTP在身份认证领域的重要作用和发展前景。

陈达首先为我们介绍了OTP的相关概念，OTP全称OneTimePassword,意为一次性密码，又称为动态令牌，指的是用特定的算法而产生不同的口令作为一次性使用的密码，其特点主要是由算法产生的口令只能使用一次。

由于2动态令牌使用起来非常便捷，据统计，目前有85%以上的世界500强企业在运用它保护登录安全，并且广泛应用在VPN、网上银行、电子政务、电子商务等领域。

在谈到飞天诚信OTP产品，陈达表示，飞天诚信从2007年开始研发OTP产品，到目前为止，飞天诚信OTP产品已涵盖有时间型、事件型、挑战应答型、复合型等多种类型产品。

各类产品依据内部算法因子的不同而应用于不同的场合。

陈达具体谈到，如果应用是次数类型，则使用事件3型OTP,如果应用是按时间来计算，则使用时间型OTP,如果是随机的挑战码，则使用挑战型OTP.陈达表示，从安全性的角度来讲，挑战型的OTP安全性是最高的，如果从易用性的角度来讲，则时间型的OTP最容易使用的。

对比其他身份认证技术，陈达介绍说："动态令牌给用户带来的最大好处就是方便和安全，除了动态令牌，目前主流的身份认证技术还有静态口令和数字证书。

静态口令非常的方便，但是安全性不高，数字证书非常安全，但其4使用起来比较繁琐。

"在谈到OTP在行业用户中的应用方案时，陈达为我们介绍了三种类型的应用，一是单渠道应用，就是把OTP的产品和技术用在网银登陆和转账，如用户登陆网银时，需要输入OTP动态口令作为一次性的密码，在进入网银要进行转账时也需要输入OTP作为一次性的密码来进行转账的安全确认。

基于OTP的移动商务环境下的一种身份认证方案

基于OTP的移动商务环境下的一种身份认证方案
杨木;张润彤;杨易
【期刊名称】《计算机安全》
【年(卷),期】2008(000)007
【摘要】该文在现有身份认证技术的基础上,基于一次性口令(OTP)认证技术,提出了移动商务环境下的一种身份认证方案.与传统方案相比,该方案考虑了移动商务的安全性要求及移动设备的技术限制,引入服务提供次数作为不确定因素,安全性高,运算量小,实现了通信双方的相互认证.
【总页数】4页(P1-3,7)
【作者】杨木;张润彤;杨易
【作者单位】北京交通大学信息系统研究所,北京,100044;北京交通大学信息系统研究所,北京,100044;中国矿业大学,文法学院,北京,100083
【正文语种】中文
【中图分类】TP3
【相关文献】
1.一种云环境下基于身份的统一身份认证方案研究 [J], 刘团奇;张浩军;赵志鹏
2.基于混沌的OTP移动商务身份认证方案设计与实现 [J], 胡新月;姜楠
3.一种基于签密的移动自组网络身份认证方案 [J], 刘志远;高超
4.基于椭圆曲线密码体制的OTP身份认证方案 [J], 曹阳;洪岐;余冬梅
5.云计算环境下基于二维码的移动终端身份认证方案 [J], 马立林
因版权原因，仅展示原文概要，查看原文内容请购买。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。