一种新的基于指纹与移动端协助的口令认证方法

来源：计算机研究与发展杂志2016年第10期北京时间：

作者：安迪,杨超,姜奇,马建峰,

摘要：智能手机和互联网应用的广泛普及，使用户可以借助手机结合口令与服务器认证.然而现有的方案需要在手机端存储用户的秘密信息.一旦存于手机的秘密信息被对手获得，将给用户带来不可挽回的损失.针对上述问题，提出了一种基于指纹和口令的认证方案，手机端无需存储秘密信息.其核心思想是，将密文存储在服务器端，用户登录时利用手机辅助其生成私钥，从而对注册阶段生成的密文解密生成认证密钥.生成私钥的过程需要输入口令和指纹，用户在电脑端输入口令后对口令进行盲化再与手机进行交互，这样就可以保护用户口令不被对手得到.理论分析及实验结果表明：该方案提高了用户秘密信息的安全性，可以抵御对手的字典攻击、重放攻击和钓鱼攻击，减少了手机的存储压力，易于部署.

关键词：口令认证, 终端辅助认证, 指纹认证, 口令攻击与保护, 基于指纹的口令盲化,