資訊安全實驗室 / 師資陣容


主要研究方向包括通行碼身份認證 (password authentication) 方法、可抵擋擷取攻擊的通行碼設計 (capture attacks resistant password schemes)、金鑰協議 (key agreement) 設計與安全性正規證明方法、RFID 存取控制協定 (RFID access control protocols) 與密碼技術 (cryptographic techniques) 的研究,簡述如下:

 

1. 通行碼身份認證方法

通行碼身份認證通常具有易記憶、易操作與系統建置成本低的優點,且無生物特徵辨識認證機制有侵犯隱私的疑慮與難以更換的問題。故即使在身份認證技術不斷推陳出新的今天,仍常見其應用,例如:在運用公開金鑰密碼技術的身份認證設計中以通行碼加密保護使用者的私密金鑰、在智慧卡的應用中以通行碼啟動智慧卡、在多重身份認證要素 (multiple authentication factors) 的身份認證系統中通行碼也常被當作其中一項身份認證要素。現今通行碼身份認證方法的設計較過去多元,例如:單是在一般遠端使用者通行碼身份認證的研究上,便有強通行碼與弱通行碼的身份認證、植基於赫序函數與公開金鑰技術的通行碼身份認證、單一與多伺服器架構的通行碼身份認證、伺服器需儲存與免儲存通行碼驗證資訊的通行碼身份認證、一般使用者與行動使用者的通行碼身份認證等諸多研究課題。

 

2. 可抵擋擷取攻擊的通行碼認證設計

使用通行碼登入系統的過程中可能會遭受肩窺攻擊 (shoulder-surfing attack)、間諜程式攻擊 (spyware attack)、攝影機攻擊 (camera attack) 與竊聽攻擊 (wiretapping attack) 等擷取攻擊 (capture attack) 的威脅。我們的目標在研究現有針對擷取攻擊所設計之圖形化通行碼或圖形化文字通行碼認證設計,分析其安全性與使用性,並針對各類型應用環境提出合適的可抵擋擷取攻擊的通行碼認證設計。其中,我們亦特別針對PIN (Personal Identification Number;個人識別碼) 認證設計做研究,PIN為純數字的文字通行碼,其認證設計通常具有使用者介面簡單、易操作、系統建置成本低且易記憶的優點。然而,傳統的PIN認證設計並不能抵擋擷取攻擊,因此有許多各具特色的可抵擋擷取攻擊之PIN認證設計被提出。我們的目標在研究現有可抵擋擷取攻擊之PIN認證設計,分析其安全性與使用性,並針對各類型應用環境提出合適的可抵擋擷取攻擊之PIN認證設計。

 

3. 金鑰協議設計及其安全性正規證明方法

金鑰協議為建立安全網路連線的一項重要技術,由於密碼技術的持續進步且應用系統不斷推陳出新,各類型金鑰協議技術之研究亦持續不斷。以往的金鑰協議協定被提出時通常附有以經驗法說明其協定對於已知攻擊的抵擋能力,但常被後續的研究發現其弱點,因此,學者們便嘗試提出可證明金鑰協議協定安全性之各種正規方法。認證金鑰協議協定的正規證明研究則可追朔自1993年Bellare與Rogaway以其所設計的正規模型描述一套可證明安全的Two-Party認證金鑰協議協定,接著,Bellare與Rogaway於1995擴充原來的正規模型以適用於證明Three-Party認證金鑰協議協定的安全性。之後亦有不少安全性正規證明方法被提出。雖然目前的安全性正規證明方法仍無法保證所證明安全的協定沒有弱點,但仍有助於發現協定的安全問題。我們的目標在研究現有各類金鑰協議協定的設計與正規分析方法,並提出改良的金鑰協議設計與其安全性正規證明方法。

 

4. RFID存取控制協定

低成本的 RFID 近年來被廣泛與大量地應用於生產製造、物流管理、公共安全、交通運輸、電子票券、智慧家電與醫療用藥管理等領域,與我們日常生活的關係愈來愈密切,而它所帶來的隱私性與安全性的問題亦逐漸浮現,也因此使得RFID 身份認證協定的重要性愈來愈受到重視。現有RFID 身份認證協定主要包括以雜湊函數為基礎的協定與符合 EPCglobal Class-1 Generation-2 標準 (EPC-C1G2) 的協定等。我們的目標在研究現有的 RFID 身份認證協定,分析此類協定可能遭受的攻擊種類、成因與危害,並提出改進的協定。

 

5. 密碼技術

  • 秘密金鑰密碼系統 (secret key cryptosystem)
  • 公開金鑰密碼系統 (public key cryptosystem)
  • 群體導向密碼系統 (group-oriented cryptosystem)
  • 雜湊函式 (hash function)
  • 秘密分享 (secret sharing)
  • 數位簽章 (digital signature)
  • 資訊隱藏 (information hiding)

 

顧維祺/ 教授

密碼學、網路安全、身份認證技術