A Robust and Secure Remote User Authentication Scheme Preserving User Anonymity

Abstract

원격사용자 인증스킴은 안전하지 않은 통신상에서 원격 서버에게 사용자의 적법함을 확인하는 방법이다. 현재, 스마트카드 기반의 원격사용자 인증스킴들은 상호인증을 위해 연산비용은 낮추면서 간편한 기법이 넓게 적용되어오고 있다. 2009년, Wang et al.'s는 스마트카드를 이용한 동적 ID기반의 원격사용자 인증스킴을 제안했다. Wang et al.'s 스킴은 여러 가지 공격에 안전하고 서버에서 선택된 강력한 패스워드에 의해 익명성이 보장된다고 주장했다. 그러나 본 논문에서는 Wang et al.'s 스킴이 인증과정에서 사용자의 익명성을 제공하지 않는 취약점이 있다고 지적한다. 또 사용자에게 패스워드 선택의 권한이 없으며 제한된 replay 공격에 취약하다. 특히 사용자에게 전송된 파라미터 y는 매우 부적절하게 사용되고 있다. 이러한 보안의 결점을 극복하기 위해 Wang et al.'s 스킴의 식별된 약점을 보완하고 사용자와 원격서버 간에 완전한 익명성보장과 향상된 인증스킴을 제안한다. Remote user authentication is a method, in which remote server verifies the legitimacy of a user over an common communication channel. Currently, smart card based remote user authentication schemes have been widely adopted due to their low computational cost and convenient portability for the mutual authentication. 2009 years, Wang et al.'s proposed a dynamic ID-based remote user authentication schemes using smart cards. They presented that their scheme preserves anonymity of user, has the feature of storing password chosen by the server, and protected from several attacks. However, in this paper, I point out that Wang et al.'s scheme has practical vulnerability. I found that their scheme does not provide anonymity of a user during authentication. In addition, the user does not have the right to choose a password. And his scheme is vulnerable to limited replay attacks. In particular, the parameter y to be delivered to the user is ambiguous. To overcome these security faults, I propose an enhanced authentication scheme, which covers all the identified weakness of Wang et al.'s scheme and an efficient user authentication scheme that preserve perfect anonymity to both the outsider and remote server.