[發明專利]一種基于物理不可克隆函數的Kerberos鑒權方法

有效

• 申請號: 202010497314.2
• 申請日: 2020-06-03
• 公開（公告）號: CN111682936B
• 公開（公告）日: 2022-08-30
• 發明（設計）人: 柳亞男;邱碩;董如嬋;程遠;閻浩;卞志國;李曉蓉
• 申請（專利權）人: 金陵科技學院
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L9/32;H04L9/40
• 代理公司: 南京鐘山專利代理有限公司 32252
• 代理人: 王磊

1.一種基于物理不可克隆函數的Kerberos鑒權方法，其特征在于：包括以下步驟：

步驟S1：對設備A和設備B在密鑰分配中心KDC進行注冊；

步驟S2：設備A向認證服務器AS請求票據授權票據TGT，包括：

S21：設備A向認證服務器AS發送TGT的請求，發送信息中包含設備A的標識A_id；

S22：認證服務器AS收到消息后生成設備A與TGS之間的隨機會話密鑰：K_A,TGS；

S23：認證服務器AS根據設備A標識，從設備A的激勵響應對CRP集合Chal_A,Res_Ai＝1,......n中任取一個激勵響應對Chal_A,Res_A，生成設備A的臨時密鑰K_A＝Hash(Res_A)，并用K_A加密K_A,TGS得到：

S24：認證服務器AS訪問到TGS的主密鑰K_TGS，生成票據許可票據TGT：K_A,TGS，并用K_A,TGS對票據許可票據TGT加密：

其中，A_id表示設備A的標識，A_address表示設備A的地址，TGS_name表示TGS服務器的名稱或標識，time_stamp表示時間戳，lifetime表示有效期，K_A,TGS表示設備A與TGS之間的隨機會話密鑰；

S25：認證服務器AS將激勵值Chal_A，和TGT發送給設備A；

步驟S3：設備A獲得票據授權票據TGT；

步驟S4：設備A向票據授權服務器TGS請求服務授權票據SGT，包括：

S41：設備A將設備B的標識B_id，Auth_A,TGS和TGT發送給TGS；

S42：TGS使用主密鑰K_TGS解密TGT得到：

{A_id,A_address,TGS_name,time_stamp,lifetime,K_A,TGS}；

S43：TGS使用隨機會話密鑰K_A,TGS解密Auth_A,TGS并驗證{A_id,A_address,time_stamp,lifetime}和TGT中的是否一致，若驗證通過則繼續進行；否則退出；

S44：TGS生成設備A與設備B之間的隨機會話密鑰K_A,B；

S45：TGS用隨機會話密鑰K_A,TGS加密隨機會話密鑰K_A,B得到：

S46：TGS根據設備B的標識，從設備B的激勵響應對CRP集合Chal_B,Res_Bi＝1,......n中任取一個激勵響應對Chal_B,Res_B，生成設備B的臨時密鑰K_B＝Hash(Res_B)，生成服務授權票據SGT：T_A,B，并用K_B加密：

其中，B_id表示設備B的標識，K_A,B表示設備A與設備B之間的隨機會話密鑰；

S47：TGS將和Chal_B，SGT發送給設備A；

步驟S5：設備A獲得服務授權票據SGT；

步驟S6：設備A向設備B請求通信服務。

2.根據權利要求1所述的一種基于物理不可克隆函數的Kerberos鑒權方法，其特征在于：所述步驟S1具體為：

S11：設備A和設備B分別安裝物理不可克隆函數PUF芯片：PUF_A、PUF_B；

S12：設備A和設備B分別生成若干個隨機數作為激勵集合，將每個激勵輸入PUF芯片生成對應的響應；

S13：將設備A和設備B的激勵響應對CRP集合按設備標識索引，存儲在KDC的數據庫DB中，KDC中認證服務器AS和票據授權服務器TGS可以對數據庫DB中的激勵響應對集合CRP進行訪問。