【技术实现步骤摘要】
一种基于honeyword的口令泄露查询系统
[0001]本专利技术属于信息安全
，涉及计算机泄露检测方法，具体为一种基于honeyword的口令泄露查询系统。
技术介绍
[0002]作为应用最为广泛的身份认证方法，口令具有简单易用、成本低廉、容易更改等特性，在可预见的未来仍将是最主要的认证方法，因而口令安全在网络空间安全领域有着基础性的重要地位。但是，基于口令的身份认证系统需在服务器端维护一个用户口令数据库，这成为对攻击者极具价值的攻击目标。近年来，拖库、撞库等攻击手段导致大量口令数据泄露，势必给用户隐私及安全带来威胁。口令安全面临严峻挑战。
[0003]更为严重的是，很多网站往往难以及时发现这些口令泄露事件，导致攻击者有足够多的时间利用这些泄露数据发动攻击，甚至将其发布在网上以获取收益。例如，2008年发生3.6亿Myspace数据泄露事件历经8年才被发现；2014年发生的5亿Yahoo口令泄露事件直到其中部分数据在2016年被出售到暗网上才被察觉。此时再通知用户更新口令为时已晚。因此，及时向用户反馈口令泄...
【技术保护点】
【技术特征摘要】
1.一种基于honeyword的口令泄露查询系统，包括服务器、Honeychecker和客户端，查询过程包括预处理阶段与在线查询阶段两阶段，服务器存储有原始的泄露数据集，在预处理阶段对原始泄露的数据进行加密处理，将加密数据存储在服务器的后台数据库中；此外，服务器还需要在预处理阶段生成honeywords，使用honeywords协助检测后台数据库的数据泄露，并将原始泄露口令与原始泄露口令的变体在相应数据表的索引值交给Honeychecker储存；服务器在在线查询阶段完成与客户端的交互，向客户端传输客户端的输入凭证可能存在的数据表数据；Honeychecker一方面储存原始泄露口令与原始泄露口令的变体在原数据表的索引值，另一方面在在线查询阶段，与客户端完成交互，告知客户端输入凭证的泄露情况；客户端是面向互联网用户的平台，用户在客户端输入用户名
‑
口令凭证对，由客户端完成与服务器、honeychecker的交互，最终向用户反馈输入凭证的泄露情况。2.根据权利要求1所述的口令泄露查询系统，其特征在于，预处理阶段，服务器使用其私钥k对原始的泄露数据集进行预处理加密，原始的泄露数据集数据集由已经泄露的用户名与口令成对组成，加密完成后将加密数据储存到后台数据库，设已经泄露的用户名为u，已经明文泄露的口令为pw，对其预处理包括如下步骤：A1.对于已经明文泄露的口令pw，生成它的honeywords，将口令pw与生成的honeywords共同组成用户u的honyelist；A2.对honeylist遍历，对列表中的每条口令生成n个口令变体；A3.对honeylist中的每个口令pw和其n个变体按照OPRF加密算法进行加密，得到一个与用户u相关联的加密数据列表，将该加密数据保存到与用户u对应的数据表中，数据表的表名根据用户u的用户名生成；A4.在得到的加密数据列表中，找出用户口令pw及其n个相似变体在数据表中的一组索引值，将这组数据索引值发送给负责口令泄露检测的Honeychecker，由Honeychecker存储。3.根据权利要求2所述的口令泄露查询系统，其特征在于，用户进行口令泄露的在线查询，经过如下步骤：B1.用户在客户端输入查询的用户名与口令对，客户端生成随...
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。