[发明专利]基于SGX的动态网络身份认证方法

权利要求书

1.一种基于SGX的动态网络身份认证方法，其特征在于，包括以下步骤：

1)用户将自身的身份信息注册到服务器的数据库中，用户身份信息包括代表用户U自身的账号id，即ID_u以及用户密码P_u的摘要值S；初始化SGX模块和认证服务器；

2)用户发送自己的验证信息Message到SGX模块，开始进行身份验证；用户发送的Message包括：ID_u、S′‘以及Rand；其中S′‘＝SHA(P′’)是用户当前输入的密码P′'的摘要值，Rand是随机生成的字段；

3)SGX模块在获取到用户发送过来的Message之后，根据ID_u，在Enclave中获取ID_u所对应的用户目录下的共享密钥K_s；SGX模块使用K_s以及对称加密算法E()对S′‘、初始的序号Seq_s、Rand进行加密，生成加密之后的E(K_s,S′‘)、E(K_s,Seq_s)与E(K_s,Rand)；同时SGX模块对Message进行计算，生成HMAC值，即HMAC；K_s是当前用户ID_u当前时刻在SGX中保存的密钥，E为AES对称加密函数，输入密钥以及明文能够输出密文；

4)认证服务器首先根据ID_u获数据库中该用户所对应的密码摘要值S与当前的共享密钥K_{i_now}；接着使用K_{i_now}以及对称解密算法D()进行解密S_d＝D(K_{i_now},E(K_s,S′‘))、Seq_d＝D(K_{i_now},E(K_s,Seq_s))和Rand_d＝D(K_{i_now},E(K_s,Rand))，并对解密之后的数据进行计算，生成HMAC值，即HMAC′＝h(K_{i_now},ID_u+S_d+Seq_d+Rand_d)；认证服务器进行身份验证，身份验证成功必须同时满足三个条件：条件1：HMAC′＝HMAC；条件2：Seq_d＝Seq_i；条件3：S_d＝S；满足条件1说明认证服务器接收到的数据是正确、完整未被篡改的，满足条件2说明认证服务器接收到数据是正确的顺序，满足条件3说明用户ID_u的密码是正确的；同时满足三个条件，用户ID_u的身份验证成功；当用户ID_u的身份验证通过后，认证服务器完成共享密钥的更新，实现共享密钥的动态性，更新基于每次认证接收到的数据，并且生成token返回给SGX模块，Token＝E(K_{i_now},ID_u+S_d+T_expired)；Seq_i为认证服务器的序号；K_{i_now}是当前用户ID_u在认证服务器数据库中保存的当前的对称密钥；D为AES对称解密函数，输入密钥以及密文能够输出的明文；T_expired为一个有效时间值，当前时间在T_expired之前，我们认为该Token是有效的；h()是MD5摘要值计算函数，输入原文可以输出该原文的MD5摘要值；

5)SGX模块在进行密钥更新之前，先假设用户ID_u的身份验证成功，使用密钥更新的方法生成新的临时密钥K_temp以及新的序号Seq_temp，使用新的临时密钥K_temp对Token进行处理计算出HMAC值，即HMAC_temp，将HMAC_temp与HMAC_token进行相等性判断，用来确认HMAC_token与Token的正确与完整性；如果HMAC_temp与HMAC_token相等，即验证通过，表明用户身份验证成功的假设成立，更新K_s＝K_temp，并且把HMAC_token与Token一起返回给用户；其中，HMAC_token＝h(K_{i_now},ID_u+S_d+T_expired)；HMAC_temp＝h(K_temp,D(K_temp,Token))；

6)用户携带Token去请求服务，用户发送代表自己身份的ID_u，此外还有身份验证之后获取到的Token以及HMAC_token；当服务提供方接收到信息之后，将ID_u、Token以及HMAC_token发送给认证服务器，认证服务器进行Token有效性的判断，认证服务器根据ID_u从数据库中获取到用户ID_u所对应的共享密钥K_{i_now}，接着认证服务器使用密钥K_{i_now}以及解密算法D对Token进行解密：Token′＝D(K_{i_now},Token)；认证服务器通过HMAC_token验证Token的正确和完整性，当确认HMAC_token之后，认证服务器从Token′中获取到用户的身份信息以及Token的有效时间，认证服务器通过判断T_expired是否超时，判断Token是否有效，若T_expired未超时，通知应用服务器返回用户请求的服务。