适用于远程医疗信息系统的身份认证协议

An Authentication Protocol for Telecare Medicine Information System

摘要

远程医疗信息系统中，身份认证是确保患者和医疗服务器之间安全通信的有效机制。对Sutrala等基于口令的适用于远程医疗信息系统的用户匿名认证协议进行了安全性分析，指出其协议不能抵抗离线口令猜测攻击、中间人攻击，不具备前向安全性。基于扩展混沌映射提出了一个新的三因素匿名用户身份认证协议，新协议克服了Sutrala 等协议的安全漏洞。利用BAN(Burrows-Abadi-Needham)逻辑对提出方案进行了形式化证明。此外，安全分析表明，新的协议能够抵御各种恶意攻击，适用于远程医疗环境。

Abstract

Mutual authentication is one of the most efficient mechanisms to guarantee secure communication between the patient and the medical server in telecare medicine information system（TMIS）. We remark that Sutrala et al’s scheme cannot resist offline password guessing attacks and man-in-the-middle attack and preserve forward secrecy. To overcome these limitations, we present a three factor user authentication protocol using extended chaotic maps for TMIS. Further, the proposed protocol is validated using BAN(Burrows-Abadi-Needham) logic. In addition, security analysis of our proposed protocol is to demonstrate its resilience against the well-known malicious attacks. Thus, it is more applicable to telecare medicine environments.

Graphical abstract

关键词

远程医疗信息系统 / 认证 / 智能卡 / BAN逻辑

Key words

telecare medicine information system / authentication / smart card / BAN(Burrows-Abadi-Needham) logic

0　 引 言

随着网络通信技术的快速发展，为患者和患者家庭提供医疗服务的远程医疗信息系统也得到了快速的发展，并成为现代医疗服务的一种新模式。远程医疗信息系统（telecare medicine information system，TMIS）^{[1,2,3,4,5,6]}是一种提供医生、护士和患者等使用者相互认证^[7,8,9]身份并进行安全通信的网络系统。使用远程医疗信息系统来检测患者的健康状况可以大大地减少医疗费用，节约人力和时间。

2002年，Lee等^[10]提供了一个基于指纹的三因子用户认证协议。然而，Lin和Lai^[11]指出Lee等的协议^[10]不能抵抗冒充攻击，并给出了一个改进协议。2015年，Wu等^[12]基于生物特征提出了一个可证明的三因子用户认证协议，并声称他们的协议可抵抗现有的所有安全攻击。不幸的是，Jiang等^[13]发现文献[12]存在安全漏洞，易遭受用户冒充攻击和离线口令猜测攻击等，他们提出了改进协议。2016年，Moon等^[14]提出了一个使用智能卡的基于扩展混沌映射的密钥协商协议。随后，Khan等^[15]分析指出Moon等的方案^[14]易遭受偷取验证者攻击，并且不能保护用户的匿名性，他们基于扩展混沌映射给出了保护用户匿名性的认证协议。2016年，Li等^[16]基于扩展混沌映射提出了一个动态的身份认证方案。2018年，Madhusudhan等^[17]深入分析Li等的方案^[16]，指出其不能抵抗口令猜测攻击、用户冒充攻击、服务器冒充攻击和中间人攻击。此外，文献[16]不能保护用户匿名性。为了克服这些安全缺陷，文献[17]给出了改进方案。2016年，Sutrala等^[18]基于RSA提出了一个适用于远程医疗信息系统的用户认证和密钥协商协议。

本文分析了Sutrala等^[18]提出的基于口令的匿名用户认证协议，发现其易遭受离线口令猜测攻击、中间人攻击，不具备前向安全性。利用扩展的混沌映射给出了一个新的三因素（口令、生物特征、智能卡）认证协议，用BAN(Burrows-Abadi-Needham)逻辑给出了证明。新方案克服了Sutrala等方案的安全漏洞并具有较小的计算复杂度。

1　 基础知识

1.1　切比雪夫混沌映射

定义1^[19] 设n是正整数，x\in [-\mathrm{1,1}]，n阶切比雪夫多项式T_n(x):[-\mathrm{1,1}]\to [-\mathrm{1,1}]定义为T_n(x)=\mathrm{c}\mathrm{o}\mathrm{s}(n\cdot \mathrm{a}\mathrm{r}\mathrm{c}\mathrm{c}\mathrm{o}\mathrm{s}(x))。

由定义1可知，T_n(x)的迭代关系为

T_n(x)=\mathrm{2}x{T}_{n-\mathrm{1}}(x)-T_{n-\mathrm{2}}(x)，n\ge \mathrm{2}

其中，T_{\mathrm{0}}(x)=\mathrm{1},T_{\mathrm{1}}(x)=x。

1.2　切比雪夫多项式的半群性

切比雪夫多项式的一个重要特性是半群性

T_r(T_s(x))=\mathrm{c}\mathrm{o}\mathrm{s}[r\mathrm{c}\mathrm{o}{\mathrm{s}}^{-\mathrm{1}}[\mathrm{c}\mathrm{o}\mathrm{s}(s\mathrm{c}\mathrm{o}{\mathrm{s}}^{-\mathrm{1}}(x))]]=

\mathrm{c}\mathrm{o}\mathrm{s}[rs\mathrm{c}\mathrm{o}{\mathrm{s}}^{-\mathrm{1}}(x)]=T_{rs}(x)=

T_{sr}(x)=\mathrm{c}\mathrm{o}\mathrm{s}[sr\mathrm{c}\mathrm{o}{\mathrm{s}}^{-\mathrm{1}}(x)]=T_s(T_r(x))

其中r和s是正整数。2008年，Zhang^[20]证明了定义在(-\mathrm{\infty },+\mathrm{\infty })上的切比雪夫多项式即扩展的切比雪夫多项式T_n(x)=[\mathrm{2}x{T}_{n-\mathrm{1}}(x)-T_{n-\mathrm{2}}(x)](\mathrm{m}\mathrm{o}\mathrm{d}p）仍然具有半群特性，其中，n\ge \mathrm{2},x\in (-\mathrm{\infty },+\mathrm{\infty })，且p是一个大素数。

1.3　扩展的切比雪夫多项式的计算难题

1) 离散对数问题(DLP):给定x,y和p，且x,y\in (-\mathrm{\infty },+\mathrm{\infty })，找到一个整数r使得T_r(x)\mathrm{m}\mathrm{o}\mathrm{d}p=y。

2) 计算Diffie-Hellman问题(CDHP):给定x，T_r(x)和T_s(x)，其中r,s\ge \mathrm{2}，且x\in (-\mathrm{\infty },+\mathrm{\infty })，计算T_{rs}(x)\equiv T_r(T_s(x))\equiv T_s(T_r(x))\mathrm{m}\mathrm{o}\mathrm{d}p。

2　 Sutrala等方案的回顾

Sutrala 等^[18]方案分为5个阶段：初始化、注册、登录、认证和密钥协商、口令更新阶段。方案包含两个参与者：用户U_i和服务器S。文中所用到的符号及含义见表1。

2.1　初始化阶段

服务器S选取两个不同的大素数p和q，计算n=p\times q。然后，服务器S选取素数e和d满足e\times d\equiv \mathrm{1}(\mathrm{m}\mathrm{o}\mathrm{d}(p-\mathrm{1})(q-\mathrm{1}))，即d\equiv e^{-\mathrm{1}}(\mathrm{m}\mathrm{o}\mathrm{d}(p-\mathrm{1})(q-\mathrm{1}))，d为私钥。

2.2　注册阶段

第1步 用户U_i选择自己的身份\mathrm{I}{\mathrm{D}}_i和口令\mathrm{p}{\mathrm{w}}_i，随机数b_i，计算\mathrm{i}\mathrm{d}{\mathrm{b}}_i=h(\mathrm{I}{\mathrm{D}}_i||b_i)并通过安全信道发送注册请求消息\mathrm{i}\mathrm{d}{\mathrm{b}}_i给医疗服务器S。

第2步 服务器S接收到注册请求消息\mathrm{i}\mathrm{d}{\mathrm{b}}_i后，计算R_i=h(\mathrm{i}\mathrm{d}{\mathrm{b}}_i||d)，S将含有\{R_i,e,n,h(\cdot )\}的智能卡通过安全信道发送给用户U_i。

第3步 U_i计算\mathrm{p}\mathrm{w}{\mathrm{b}}_i=h(\mathrm{p}{\mathrm{w}}_i||b_i)，A_i=R_i\oplush(\mathrm{p}\mathrm{w}{\mathrm{b}}_i||\mathrm{I}{\mathrm{D}}_i)，L_i=h(\mathrm{I}{\mathrm{D}}_i\oplus \mathrm{p}\mathrm{w}{\mathrm{b}}_i),\mathrm{D}\mathrm{P}=b_i\oplus h(\mathrm{I}{\mathrm{D}}_i||\mathrm{p}{\mathrm{w}}_i)。最后，U_i将\{A_i,L_i,\mathrm{D}\mathrm{P}\}存储到智能卡中，删除R_i。

2.3　登录阶段

第1步 用户U_i将智能卡插入读卡器，输入用户名\mathrm{I}{\mathrm{D}}_i和口令\mathrm{p}{\mathrm{w}}_i，智能卡计算

b_i^{\mathrm{\text{'}}}=\mathrm{D}\mathrm{P}\oplus h(\mathrm{I}{\mathrm{D}}_i||\mathrm{p}{\mathrm{w}}_i)，\mathrm{i}\mathrm{d}{\mathrm{b}}_i^{\text{'}}=h(\mathrm{I}{\mathrm{D}}_i||b_i^{\mathrm{\text{'}}})，

\mathrm{p}\mathrm{w}{\mathrm{b}}_i^{\mathrm{\text{'}}}=h(\mathrm{p}{\mathrm{w}}_i||b_i^{\mathrm{\text{'}}})，L_i^{\mathrm{\text{'}}}=h(\mathrm{I}{\mathrm{D}}_i\oplus \mathrm{p}\mathrm{w}{\mathrm{b}}_i^{\mathrm{\text{'}}})，

R_i^{\mathrm{\text{'}}}=A_i\oplus h(\mathrm{p}\mathrm{w}{\mathrm{b}}_i^{\mathrm{\text{'}}}||\mathrm{I}{\mathrm{D}}_i)

检验L_i^{\mathrm{\text{'}}}是否和智能卡存储的L_i相等。如果相等，继续执行协议下一步；否则，终止会话。

第2步 智能卡生成随机数N_{\mathrm{1}}，记录当前时戳T_{\mathrm{1}}，并计算

C_i=h(\mathrm{p}\mathrm{w}{\mathrm{b}}_i^{\mathrm{\text{'}}}|\left|N_{\mathrm{1}}\right|\left|R_i^{\mathrm{\text{'}}}\right||T_{\mathrm{1}})，

D_i=h(\mathrm{i}\mathrm{d}{\mathrm{b}}_i^{\mathrm{\text{'}}}|\left|\mathrm{p}\mathrm{w}{\mathrm{b}}_i^{\mathrm{\text{'}}}\right||R_i^{\mathrm{\text{'}}})\oplus N_{\mathrm{1}}，

B_i=(\mathrm{i}\mathrm{d}{\mathrm{b}}_i^{\mathrm{\text{'}}}|\left|\mathrm{p}\mathrm{w}{\mathrm{b}}_i^{\mathrm{\text{'}}}\right|\left|N_{\mathrm{1}}\right|\left|R_i^{\mathrm{\text{'}}}\right||T_{\mathrm{1}}{)}^e(\mathrm{m}\mathrm{o}\mathrm{d}n)

发送登录请求消息〈C_i,B_i,D_i〉到服务器S。

2.4　认证和密钥协商阶段

第1步 服务器S接收到登录请求〈C_i,B_i,D_i〉后，获取当前时戳T_{\mathrm{1}}^{\mathrm{*}}，使用其拥有的私钥d解密B_i，即B_i^d(\mathrm{m}\mathrm{o}\mathrm{d}n)=(\mathrm{i}\mathrm{d}{\mathrm{b}}_i|\left|\mathrm{p}\mathrm{w}{\mathrm{b}}_i\right|\left|N_{\mathrm{1}}\right|\left|R_i\right||T_{\mathrm{1}})，验证|T_{\mathrm{1}}^{\mathrm{*}}-T_{\mathrm{1}}|\le \mathrm{\Delta }T。若成立，继续执行下一步；否则,终止会话。

第2步 S计算R_i^{\mathrm{*}}=h(\mathrm{i}\mathrm{d}{\mathrm{b}}_i||d)，验证R_i^{\mathrm{*}}=R_i是否成立，若不成立则终止会话；若成立，S计算N_{\mathrm{1}}^{\mathrm{*}}=D_i\oplus h(\mathrm{i}\mathrm{d}{\mathrm{b}}_i|\left|\mathrm{p}\mathrm{w}{\mathrm{b}}_i\right||R_i^{\mathrm{*}})，验证N_{\mathrm{1}}^{\mathrm{*}}=N_{\mathrm{1}}是否成立。若成立，继续会话；否则，终止会话。

第3步 S计算C_i^{\mathrm{*}}=h(\mathrm{p}\mathrm{w}{\mathrm{b}}_i|\left|N_{\mathrm{1}}^{\mathrm{*}}\right|\left|R_i^{\mathrm{*}}\right||T_{\mathrm{1}})，验证C_i^{\mathrm{*}}=C_i。若成立，S认证U_i是合法用户且继续执行协议下一步；否则，终止会话。

第4步 S生成随机数N_{\mathrm{2}}，获取当前时戳T_{\mathrm{2}}并计算

\mathrm{S}\mathrm{K}=h(\mathrm{i}\mathrm{d}{\mathrm{b}}_i|\left|\mathrm{p}\mathrm{w}{\mathrm{b}}_i\right|\left|N_{\mathrm{1}}^{\mathrm{*}}\right|\left|N_{\mathrm{2}}\right|\left|T_{\mathrm{1}}\right||T_{\mathrm{2}})，

N_{\mathrm{3}}=N_{\mathrm{1}}^{\mathrm{*}}\oplus N_{\mathrm{2}}，K_i=h(\mathrm{S}\mathrm{K}|\left|R_i^{\mathrm{*}}\right|\left|N_{\mathrm{2}}\right|\left|T_{\mathrm{2}}\right|\left|N_{\mathrm{1}}\right||T_{\mathrm{1}})

服务器S发送认证消息〈N_{\mathrm{3}},K_i,T_{\mathrm{2}}〉到U_i。

第５步 U_i接收到认证消息〈N_{\mathrm{3}},K_i,T_{\mathrm{2}}〉后，获取当前时戳T_{\mathrm{2}}^{\mathrm{*}}，验证|T_{\mathrm{2}}^{\mathrm{*}}-T_{\mathrm{2}}|\le \mathrm{\Delta }T。验证通过后，计算

N_{\mathrm{2}}^{\mathrm{*}}=N_{\mathrm{1}}\oplus N_{\mathrm{3}}，

\mathrm{S}\mathrm{K}=h(\mathrm{i}\mathrm{d}{{\mathrm{b}}_i}^{\mathrm{\text{'}}}|\left|\mathrm{p}\mathrm{w}{{\mathrm{b}}_i}^{\mathrm{\text{'}}}\right|\left|N_{\mathrm{1}}\right|\left|N_{\mathrm{2}}^{\mathrm{*}}\right|\left|T_{\mathrm{1}}\right||T_{\mathrm{2}})，

K_i^{\mathrm{*}}=h(\mathrm{S}\mathrm{K}|\left|{R_i}^{\mathrm{\text{'}}}\right|\left|N_{\mathrm{2}}^{\mathrm{*}}\right|\left|T_{\mathrm{2}}\right|\left|N_{\mathrm{1}}\right||T_{\mathrm{1}})

检测等式K_i^{\mathrm{*}}=K_i是否成立。若成立，U_i认证S的合法性；否则，U_i终止会话。

第６步 U_i计算\mathrm{S}\mathrm{K}\mathrm{V}=h(\mathrm{S}\mathrm{K}|\left|{R_i}^{\mathrm{\text{'}}}\right|\left|\mathrm{i}\mathrm{d}{\mathrm{b}}_i\right|\left|T_{\mathrm{3}}\right||T_{\mathrm{2}})，T_{\mathrm{3}}为U_i当前的时戳。然后，U_i发送〈\mathrm{S}\mathrm{K}\mathrm{V},T_{\mathrm{3}}〉到S。

第７步 接收到消息〈\mathrm{S}\mathrm{K}\mathrm{V},T_{\mathrm{3}}〉后，获取当前时戳T_{\mathrm{3}}^{\mathrm{*}}，S检测|T_{\mathrm{3}}^{\mathrm{*}}-T_{\mathrm{3}}|\le \mathrm{\Delta }T，若不成立，S终止会话，否则，S计算\mathrm{S}\mathrm{K}{\mathrm{V}}^{\mathrm{*}}=h(\mathrm{S}\mathrm{K}|\left|R_i^{\mathrm{*}}\right|\left|\mathrm{i}\mathrm{d}{\mathrm{b}}_i\right|\left|T_{\mathrm{3}}\right||T_{\mathrm{2}})，验证等式\mathrm{S}\mathrm{K}{\mathrm{V}}^{\mathrm{*}}=\mathrm{S}\mathrm{K}\mathrm{V}是否成立。若成立，U_i和S将\mathrm{S}\mathrm{K}作为以后通信的会话密钥；否则，会话终止。

2.5　口令更新阶段

当用户U_i想要更改自己的口令，U_i将智能卡插入到读卡器中，输入用户名\mathrm{I}{\mathrm{D}}_i和口令\mathrm{p}{\mathrm{w}}_i^{\mathrm{o}\mathrm{l}\mathrm{d}}，U_i执行如下操作：

第1步 \mathrm{S}\mathrm{C}计算：b_i^{\mathrm{\text{'}}}=\mathrm{D}\mathrm{P}\oplus h(\mathrm{I}{\mathrm{D}}_i||\mathrm{p}{\mathrm{w}}_i^{\mathrm{o}\mathrm{l}\mathrm{d}})，\mathrm{i}\mathrm{d}{\mathrm{b}}_i^{\mathrm{\text{'}}}=h(\mathrm{I}{\mathrm{D}}_i\left|\right|b_i^{\mathrm{\text{'}}})，\mathrm{p}\mathrm{w}{\mathrm{b}}_i^{\mathrm{o}\mathrm{l}\mathrm{d}}=h(\mathrm{p}{\mathrm{w}}_i^{\mathrm{o}\mathrm{l}\mathrm{d}}||b_i^{\mathrm{\text{'}}})，L_i^{\mathrm{\text{'}}}=h(\mathrm{I}{\mathrm{D}}_i\oplus\mathrm{p}\mathrm{w}{\mathrm{b}}_i^{\mathrm{o}\mathrm{l}\mathrm{d}})，R_i^{\mathrm{\text{'}}}=A_i\oplus h(\mathrm{p}\mathrm{w}{\mathrm{b}}_i^{\mathrm{o}\mathrm{l}\mathrm{d}}||\mathrm{I}{\mathrm{D}}_i)，检验L_i^{\mathrm{\text{'}}}是否和智能卡存储的L_i相等。若不相等，\mathrm{S}\mathrm{C}终止会话；否则，\mathrm{S}\mathrm{C}输入新口令\mathrm{p}{\mathrm{w}}_i^{\mathrm{n}\mathrm{e}\mathrm{w}}，执行下一步。

第2步 \mathrm{S}\mathrm{C}计算\mathrm{p}\mathrm{w}{\mathrm{b}}_i^{\mathrm{n}\mathrm{e}\mathrm{w}}=h(\mathrm{p}{\mathrm{w}}_i^{\mathrm{n}\mathrm{e}\mathrm{w}}||b_i^{\mathrm{\text{'}}})，A_i^{\mathrm{n}\mathrm{e}\mathrm{w}}=R_i^{\mathrm{\text{'}}}\oplush(\mathrm{p}\mathrm{w}{\mathrm{b}}_i^{\mathrm{n}\mathrm{e}\mathrm{w}}||\mathrm{I}{\mathrm{D}}_i)，L_i^{\mathrm{n}\mathrm{e}\mathrm{w}}=h(\mathrm{I}{\mathrm{D}}_i\oplus \mathrm{p}\mathrm{w}{\mathrm{b}}_i^{\mathrm{n}\mathrm{e}\mathrm{w}})，\mathrm{D}{\mathrm{P}}^{\mathrm{n}\mathrm{e}\mathrm{w}}=b_i^{\mathrm{\text{'}}}\oplush(\mathrm{I}{\mathrm{D}}_i||\mathrm{p}{\mathrm{w}}_i^{\mathrm{n}\mathrm{e}\mathrm{w}})。\mathrm{S}\mathrm{C}用A_i^{\mathrm{n}\mathrm{e}\mathrm{w}},L_i^{\mathrm{n}\mathrm{e}\mathrm{w}}和\mathrm{D}{\mathrm{P}}^{\mathrm{n}\mathrm{e}\mathrm{w}}替代智能卡中的信息A_i,L_i和\mathrm{D}\mathrm{P}。

3　 Sutrala 等方案的安全性分析

3.1　离线口令猜测攻击

离线口令猜测攻击是指攻击者采用遍历的方式穷举口令集合中的所有口令，并逐个验证来确认用户U_i的正确口令。假设攻击者A获取用户U_i的智能卡，并通过侧信道技术^[21]提取智能卡中的信息\{A_i,L_i,\mathrm{D}\mathrm{P},e,n,h(\cdot )\}，那么攻击者A可发起如下的口令猜测攻击：

第1步 A从用户身份空间\left|D_{\mathrm{i}\mathrm{d}}\right|和口令空间\left|D_{\mathrm{p}\mathrm{w}}\right|猜测(\mathrm{I}{\mathrm{D}}_i^{\mathrm{*}},\mathrm{p}{\mathrm{w}}_i^{\mathrm{*}})；

第2步 A计算b_i^{\mathrm{*}}=\mathrm{D}\mathrm{P}\oplus h(\mathrm{I}{\mathrm{D}}_i^{\mathrm{*}}||\mathrm{p}{\mathrm{w}}_i^{\mathrm{*}})，\mathrm{p}\mathrm{w}{\mathrm{b}}_i^{\mathrm{*}}=h(\mathrm{p}{\mathrm{w}}_i^{\mathrm{*}}||b_i^{\mathrm{*}})，其中\mathrm{D}\mathrm{P}是从智能卡中提取的；

第3步 A计算L_i^{\mathrm{*}}=h(\mathrm{I}{\mathrm{D}}_i^{\mathrm{*}}\oplus \mathrm{p}\mathrm{w}{\mathrm{b}}_i^{\mathrm{*}})=L_i是否成立。若成立，则猜测正确，否则，转第1步。直到猜测到正确的\mathrm{I}{\mathrm{D}}_i和口令\mathrm{p}{\mathrm{w}}_i。

以上攻击的时间复杂度为O((3T{}_h+\mathrm{2}{T}_{\mathrm{x}\mathrm{o}\mathrm{r}})·\left|D_{\mathrm{i}\mathrm{d}}\right|·\left|D_{\mathrm{p}\mathrm{w}}\right|),其中\left|D_{\mathrm{i}\mathrm{d}}\right|和\left|D_{\mathrm{p}\mathrm{w}}\right|分别表示身份空间和口令空间。从以上分析可看出，攻击者能够成功实施离线口令猜测攻击的原因在于，攻击者从用户的智能卡中获取了验证消息L_i，利用L_i确认用户U_i正确的口令和身份。

3.2　中间人攻击

中间人攻击是指攻击者将自己处于通信双方的中间，伪装成通信中的一方或多方来欺骗其他通信方。在3.1小节中，攻击者A猜测到U_i正确的口令\mathrm{p}{\mathrm{w}}_i和身份\mathrm{I}{\mathrm{D}}_i，则他可计算

b_i=\mathrm{D}\mathrm{P}\oplus h(\mathrm{I}{\mathrm{D}}_i||\mathrm{p}{\mathrm{w}}_i)，\mathrm{p}\mathrm{w}{\mathrm{b}}_i=h(\mathrm{p}{\mathrm{w}}_i||b_i)，

R_i=A_i\oplus h(\mathrm{p}\mathrm{w}{\mathrm{b}}_i||\mathrm{I}{\mathrm{D}}_i)

其中A_i,\mathrm{D}\mathrm{P}是通过侧信道技术从智能卡中提取的。接下来，攻击者A就可对Sutrala等协议发起中间人攻击（如图1所示）。

成功实施中间人攻击的原因在于，攻击者A得到了用户U_i和医疗服务器S之间共享的秘密信息\mathrm{p}\mathrm{w}{\mathrm{b}}_i,R_i。

3.3　不具备前向安全性

依据3.1节中，攻击者A通过离线口令猜测攻击获得用户U_i的身份\mathrm{I}{\mathrm{D}}_i和口令\mathrm{p}{\mathrm{w}}_i，则A计算R_i=A_i\oplus h(\mathrm{p}{\mathrm{w}}_i||\mathrm{I}{\mathrm{D}}_i)可以获取U_i和服务器S之间的会话密钥，具体流程如下：

第1步 攻击者A从公开信道上截获用户U_i发给服务器S的认证消息(C_i,B_i,D_i)和服务器发给用户的应答消息(N_{\mathrm{3}},K_i,T_{\mathrm{2}})，并计算

N_{\mathrm{1}}=D_i\oplus h(\mathrm{i}\mathrm{d}{\mathrm{b}}_i|\left|\mathrm{p}\mathrm{w}{\mathrm{b}}_i\right||R_i)

第2步 攻击者A从公开信道上截获〈N_{\mathrm{3}},K_i,T_{\mathrm{2}}〉，并计算N_{\mathrm{2}}=N_{\mathrm{3}}\oplus N_{\mathrm{1}}；

第3步 攻击者A获得会话密钥\mathrm{S}\mathrm{K}=h(\mathrm{i}\mathrm{d}{\mathrm{b}}_i||\mathrm{p}\mathrm{w}{\mathrm{b}}_i\left|\right|N_{\mathrm{1}}\left|\right|N_{\mathrm{2}}\left|\right|T_{\mathrm{1}}\left|\right|T_{\mathrm{2}})。

从以上分析可以看出，攻击者A可以获得所有登录过医疗服务器S的用户会话密钥。Sutrala 等认证协议存在无法抵抗离线口令猜测攻击、中间人攻击且不具备前向安全性。

4　 本文提出的协议

为改进安全缺陷，本文引入生物特征标识，结合智能卡和口令，提出了一个新的适用于远程医疗信息系统的身份认证协议。该协议由3个阶段组成：注册（见图2）、登录和认证（见图3）、口令更新。

4.1　注册阶段

第1步 用户U_i选取自己的身份\mathrm{I}{\mathrm{D}}_i和口令\mathrm{p}{\mathrm{w}}_i，选取随机数b，提取生物特征B_i，通过模糊提取技术得到\mathrm{G}\mathrm{e}\mathrm{n}(B_i)=({\alpha }_i,{\beta }_i)，然后计算\mathrm{H}\mathrm{P}{\mathrm{W}}_i=h(\mathrm{p}{\mathrm{w}}_i|\left|b\right||{\alpha }_i)。随后将消息\{\mathrm{I}{\mathrm{D}}_i,\mathrm{H}\mathrm{P}{\mathrm{W}}_i\}通过安全信道发给服务器S。

第2步 服务器S选取r_s，计算k_i=h(\mathrm{I}{\mathrm{D}}_i||r_s)，R_i=h(\mathrm{I}{\mathrm{D}}_i||r_s)\oplus \mathrm{H}\mathrm{P}{\mathrm{W}}_i，然后将信息\{R_i,h(\cdot ),x,T_s(x)\}写入智能卡\mathrm{S}\mathrm{C}中，并将智能卡\mathrm{S}\mathrm{C}通过安全信道发送给用户。

第3步 用户在收到智能卡\mathrm{S}\mathrm{C}后，计算k_i=R_i\oplus \mathrm{H}\mathrm{P}{\mathrm{W}}_i，L_i=b\oplus h(\mathrm{I}{\mathrm{D}}_i||\mathrm{p}{\mathrm{w}}_i)，Q_i=h(b||k_i)并将L_i,Q_i加入到智能卡\mathrm{S}\mathrm{C}中。最终，智能卡\mathrm{S}\mathrm{C}包含的参数为\{L_i,Q_i,R_i,h(\cdot ),x,T_s(x),{\beta }_i\}。

4.2　登录和认证阶段

第1步 U_i插入智能卡\mathrm{S}\mathrm{C}，输入\mathrm{I}{\mathrm{D}}_i^{\mathrm{*}},\mathrm{p}{\mathrm{w}}_i^{\mathrm{*}}，输入生物特征B_i，通过模糊识别技术恢复\mathrm{R}\mathrm{e}\mathrm{p}(B_i,{\beta }_i)={\alpha }_i，然后智能卡计算

b\text{'}=L_i\oplus h(\mathrm{I}{\mathrm{D}}_i^{\mathrm{*}}||\mathrm{p}{\mathrm{w}}_i^{\mathrm{*}})，

k_i=R_i\oplus h(\mathrm{p}{\mathrm{w}}_i^{\mathrm{*}}|\left|b\text{'}\right||{\alpha }_i)，{Q_i}^{\mathrm{\text{'}}}=h(b\text{'}||k_i)

并与存储的Q_i进行比较，若相等，智能卡产生u，计算

C_{\mathrm{1}}=T_u(x)，C_{\mathrm{2}}=T_u(T_s(x))，

C_{\mathrm{3}}=\mathrm{I}{\mathrm{D}}_i\oplus h(C_{\mathrm{2}})，C_{\mathrm{4}}=h(k_i|\left|C_{\mathrm{2}}\right|\left|C_{\mathrm{3}}\right||\mathrm{I}{\mathrm{D}}_i)

然后把消息M_{\mathrm{1}}=\{C_{\mathrm{1}},C_{\mathrm{3}},C_{\mathrm{4}}\}发送给医疗服务器S。

第2步 服务器S收到消息M_{\mathrm{1}}后，计算

C_{\mathrm{2}}=T_s(C_{\mathrm{1}})=T_s(T_u(x))，\mathrm{I}{\mathrm{D}}_i=C_{\mathrm{3}}\oplus h(C_{\mathrm{2}})，

C_{\mathrm{4}}^{\mathrm{\text{'}}}=h(k_i|\left|C_{\mathrm{2}}\right|\left|C_{\mathrm{3}}\right||\mathrm{I}{\mathrm{D}}_i)

验证C_{\mathrm{4}}^{\mathrm{\text{'}}}=C_{\mathrm{4}}是否成立，不成立，则会话终止；若成立，服务器成功认证用户的身份。产生v，计算

C_{\mathrm{5}}=T_v(x)，{\mathrm{C}}_{\mathrm{6}}=T_v(T_u(x))，

\mathrm{S}\mathrm{K}=h(k_i|\left|C_{\mathrm{6}}\right||\mathrm{I}{\mathrm{D}}_i)，C_{\mathrm{7}}=h(\mathrm{S}\mathrm{K}|\left|C_{\mathrm{5}}\right||C_{\mathrm{6}})

并发送消息M_{\mathrm{2}}=\{C_{\mathrm{5}},C_{\mathrm{7}}\}给U_i。

第3步 当U_i收到消息后，计算

\mathrm{S}\mathrm{K}=h(k_i||T_u(C_{\mathrm{5}})||\mathrm{I}{\mathrm{D}}_i)，

C_{\mathrm{7}}^{\mathrm{\text{'}}}=h(\mathrm{S}\mathrm{K}|\left|C_{\mathrm{5}}\right||T_u(C_{\mathrm{5}}))

验证C_{\mathrm{7}}^{\mathrm{\text{'}}}=C_{\mathrm{7}}是否成立，不成立，则会话终止；若成立，用户认定S是合法的服务器。计算\mathrm{S}\mathrm{K}\mathrm{V}=h(\mathrm{S}\mathrm{K}|\left|C_{\mathrm{1}}\right|\left|C_{\mathrm{5}}\right||k_i)，将M_{\mathrm{3}}=\left\{\mathrm{S}\mathrm{K}\mathrm{V}\right\}发送给服务器S。

第4步 服务器S收到消息M_{\mathrm{3}}后，计算\mathrm{S}\mathrm{K}V\text{'}=h(\mathrm{S}\mathrm{K}|\left|C_{\mathrm{1}}\right|\left|C_{\mathrm{5}}\right||k_i)并验证\mathrm{S}\mathrm{K}V\text{'}=\mathrm{S}\mathrm{K}\mathrm{V}是否成立。若成立，用户和服务器将\mathrm{S}\mathrm{K}当作会话密钥用于将来的通信；否则，会话结束。

4.3　口令更新阶段

当用户U_i想将其口令\mathrm{p}{\mathrm{w}}_i修改为\mathrm{p}{\mathrm{w}}_i^{\mathrm{n}\mathrm{e}\mathrm{w}}时，执行以下过程。用户U_i将智能卡插入读卡器中，输入\mathrm{I}{\mathrm{D}}_i和\mathrm{p}{\mathrm{w}}_i，并扫描B_i，通过模糊识别技术恢复{\alpha }_i=\mathrm{R}\mathrm{e}\mathrm{p}(B_i,{\beta }_i)，然后请求修改口令。收到请求后，智能卡计算b\text{'}=L_i\oplus h(\mathrm{I}{\mathrm{D}}_i^{\mathrm{*}}||\mathrm{p}{\mathrm{w}}_i^{\mathrm{*}})，k_i=R_i\oplus h(\mathrm{p}{\mathrm{w}}_i^{\mathrm{*}}|\left|b\text{'}\right||{\alpha }_i)，{Q_i}^{\mathrm{\text{'}}}=h(b\text{'}||k_i)并与存储的Q_i进行比较。若相等，则用户输入的身份和口令是合法的。否则，智能卡拒绝用户的请求。

接着智能卡计算

L_i^{\mathrm{n}\mathrm{e}\mathrm{w}}=L_i\oplus h(\mathrm{I}{\mathrm{D}}_i||\mathrm{p}{\mathrm{w}}_i)\oplus h(\mathrm{I}{\mathrm{D}}_i||\mathrm{p}{\mathrm{w}}_i^{\mathrm{n}\mathrm{e}\mathrm{w}})，

R_i^{\mathrm{n}\mathrm{e}\mathrm{w}}=R_i\oplus h(\mathrm{p}{\mathrm{w}}_i|\left|b\right||{\alpha }_i)\oplus h(\mathrm{p}{\mathrm{w}}_i^{\mathrm{n}\mathrm{e}\mathrm{w}}|\left|b\right||{\alpha }_i)

用L_i^{\mathrm{n}\mathrm{e}\mathrm{w}}, R_i^{\mathrm{n}\mathrm{e}\mathrm{w}}替换卡中的L_i,R_i。

5　 BAN逻辑形式化分析

5.1　逻辑符号及含义

BAN逻辑的形式化证明中用到的逻辑符号及含义见表2。基本的逻辑规则见表3。

5.2　安全目标

Goal 1:U_i|\equiv (U_i\stackrel{\mathrm{S}\mathrm{K}}{\leftrightarrow }S)

Goal 2:S|\equiv (U_i\stackrel{\mathrm{S}\mathrm{K}}{\leftrightarrow }S)

5.3　方案的理想化模型

消息 1:

U_i\to S:\{T_u(x),〈\mathrm{I}{\mathrm{D}}_i〉{}_{T_u(T_s(x))},

〈T_u(T_s(x)),C_{\mathrm{3}},\mathrm{I}{\mathrm{D}}_i〉{}_{k_i}\}

消息 2:

S\to U_i:\{T_v(x),〈T_u(T_v(x)),T_v(x),\mathrm{I}{\mathrm{D}}_i〉{}_{k_i}\}

5.4　初始化

A1: U_i|\equiv T_v(x);

A2: S|\equiv T_u(x);

A3: U_i|\equiv \#T_v(x)；

A4: S|\equiv \#T_u(x);

A5: U_i|\equiv (U_i\stackrel{k_i}{\leftrightarrow }S);

A6: S|\equiv (U_i\stackrel{k_i}{\leftrightarrow }S);

A7: U_i|\equiv S\Rightarrow (T_v(x),T_s(x));

A8: S|\equiv U_i\Rightarrow (\mathrm{I}{\mathrm{D}}_i,T_u(T_s(x)));

A9: S|\equiv s；

A10: S|\equiv T_s(x);

A11:S|\equiv T_v(x);

A12: S|\equiv r_s；

A13: U_i|\equiv \mathrm{I}{\mathrm{D}}_i。

5.5　协议形式化分析

根据消息1,得

S⊲\{T_u(x),〈T_u(T_s(x)),C_{\mathrm{3}},\mathrm{I}{\mathrm{D}}_i〉{}_{k_i}\}(S1)

根据(S1)，得

S⊲〈T_u(T_s(x),C_{\mathrm{3}},\mathrm{I}{\mathrm{D}}_i〉{}_{k_i}(S2)

根据(S2)，A6和消息含义规则，得

S|\equiv U_i|~(T_u(T_s(x),C_{\mathrm{3}},\mathrm{I}{\mathrm{D}}_i)(S3)

根据A4和相信规则，得

S|\equiv \#(T_u(T_s(x)),C_{\mathrm{3}},\mathrm{I}{\mathrm{D}}_i)(S4)

根据(S3)，(S4)和随机数验证规则，得

S|\equiv U|\equiv (T_u(T_s(x)),C_{\mathrm{3}},\mathrm{I}{\mathrm{D}}_i)(S5)

根据(S5)，A8和裁判权规则，得

S|\equiv (T_u(T_s(x)),C_{\mathrm{3}},\mathrm{I}{\mathrm{D}}_i)(S6)

根据(S6)和相信规则，得

S|\equiv T_u(T_s(x)),S|\equiv C_{\mathrm{3}},S|\equiv \mathrm{I}{\mathrm{D}}_i(S7)

根据A_{\mathrm{9}},A_{\mathrm{10}},A_{\mathrm{11}},A_{\mathrm{12}}，以及\mathrm{S}\mathrm{K}=h(h(\mathrm{I}{\mathrm{D}}_i\left|\right|r_s)\left|\right|T_v(T_u(x))\left|\right|\mathrm{I}{\mathrm{D}}_i)和(S7)，得

S|\equiv (U_i\stackrel{\mathrm{S}\mathrm{K}}{\leftrightarrow }S) (Goal 2)

根据消息2，得

U_i⊲〈T_u(T_v(x)),\mathrm{I}{\mathrm{D}}_i,T_v(x)〉{}_{k_i}(S8)

根据（S8），（A5）和消息含义规则，得

U_i|\equiv S|~(T_u(T_v(x)),\mathrm{I}{\mathrm{D}}_i,T_v(x))(S9)

根据A3和相信规则，得

U_i|\equiv \#(T_u(T_v(x)))(S10)

根据(S9)，(S10)和随机数验证规则，得

U_i|\equiv S|\equiv T_u(T_v(x))(S11)

根据S11，A7和裁判权规则，得

U_i|\equiv (T_u(T_v(x)))(S12)

根据(S12)，A13和SK=h(h(ID{}_i\left|\right|r_s)\left|\right|T_v(T_u(x))\left|\right|\mathrm{I}{\mathrm{D}}_i)，得

U_i|\equiv (U_i\stackrel{\mathrm{S}\mathrm{K}}{\leftrightarrow }S) (Goal 1)

6　 安全性及性能分析

6.1　安全性分析

6.1.1 抗口令猜测攻击

攻击者无法通过在线口令猜测攻击对用户口令进行验证，因为他不知道用户U_i的B_i,k_i。另一方面，攻击者也无法通过离线口令猜测攻击获得U_i的口令\mathrm{p}{\mathrm{w}}_i。因为即使攻击者穷举用户的口令空间，但他不知道用户U_i的生物特征B_i。因此，改进的协议可抵抗口令猜测攻击。

6.1.2 抗重放攻击

假设攻击者事先窃听到合法用户U_i登录服务器S的请求消息M_{\mathrm{1}}=\{C_{\mathrm{1}},C_{\mathrm{3}},C_{\mathrm{4}}\}。然后假冒用户U_i重放窃听到的消息到服务器S。由于用户U_i每次会话中选取不同的随机数计算认证消息，因此攻击者无法成功实施重放攻击。

6.1.3 抗内部攻击

假设服务器S的内部攻击者得到消息\{\mathrm{I}{\mathrm{D}}_i,\mathrm{H}\mathrm{P}{\mathrm{W}}_i\}，由于攻击者不知道随机数b和生物特征B_i，因此无法发起有效的攻击。

6.1.4 抗智能卡丢失攻击

智能卡丢失攻击是指攻击者不能根据智能卡中的消息获得用户U_i的口令或用户U_i和服务器S之间的会话密钥。若攻击者获得用户U_i的智能卡，并通过侧信道攻击分析出智能卡中的秘密信息(L_i,Q_i,R_i,h(\cdot ),x,T_s(x),{\beta }_i)\mathrm{。}因为不知\mathrm{I}{\mathrm{D}}_i,\mathrm{p}{\mathrm{w}}_i,B_i，无法计算出k_i。此外，即使他窃听到用户U_i和服务器S在公开信道上传递的消息M_{\mathrm{1}},M_{\mathrm{2}},M_{\mathrm{3}}，也无法得到\mathrm{I}{\mathrm{D}}_i,C_{\mathrm{6}}。因此，攻击者不能恢复出用户U_i和服务器S之间的会话密钥，也无法伪造有效的登录请求消息。从以上分析可看出，改进协议可抵抗智能卡丢失攻击。

6.1.5 抗假冒攻击

假设攻击者试图冒充用户U_i登录服务器S，他需要伪造新的合法登录请求消息M_{\mathrm{1}}=\{C_{\mathrm{1}},C_{\mathrm{3}},C_{\mathrm{4}}\}，但是攻击者在不知道\mathrm{I}{\mathrm{D}}_i和k_i的情况下，无法计算出有效的消息C_{\mathrm{3}}和C_{\mathrm{4}}。另一方面，攻击者也无法伪造出有效的C_{\mathrm{5}}和C_{\mathrm{7}}。因此，改进的协议可抵抗假冒攻击。

6.1.6 相互认证

在登录和认证阶段的第2步，服务器S计算C_{\mathrm{4}}^{\mathrm{\text{'}}}=h(k_i|\left|C_{\mathrm{2}}\right|\left|C_{\mathrm{3}}\right||\mathrm{I}{\mathrm{D}}_i)，与用户U_i发送登录消息中的C_{\mathrm{4}}比较。若二者相等，服务器S认证用户U_i身份的合法性；否则，终止会话。另一方面，在登录和认证阶段的第3步，用户计算C_{\mathrm{7}}^{\mathrm{\text{'}}}=h(\mathrm{S}\mathrm{K}|\left|C_{\mathrm{5}}\right||C_{\mathrm{6}})，通过验证C_{\mathrm{7}}^{\mathrm{\text{'}}}=C_{\mathrm{7}}是否成立来实现对服务器S的认证。若等式成立，用户U_i认证服务器S的合法性。最后，双方协商会话密钥\mathrm{S}\mathrm{K}=h(k_i||T_v(T_u(x))||\mathrm{I}{\mathrm{D}}_i)用于将来的通信。

6.1.7 抗中间人攻击

根据6.1.5和6.1.6的分析可知，攻击者不知道\mathrm{I}{\mathrm{D}}_i和k_i无法成功实施中间人攻击。

6.1.8 提供匿名性

用户U_i的真实身份信息\mathrm{I}{\mathrm{D}}_i隐藏在C_{\mathrm{3}},C_{\mathrm{4}},\mathrm{S}\mathrm{K}\mathrm{V},只有服务器S能通过公式\mathrm{I}{\mathrm{D}}_i=C_{\mathrm{3}}\oplus h(T_s(T_u(x)))恢复出用户的身份。此外，攻击者无法通过公开信息中的消息M_{\mathrm{1}},M_{\mathrm{2}},M_{\mathrm{3}}追踪用户U_i。因为这些消息都与随机数u和v有关。因此，改进协议实现了用户行为的不可追踪性。

6.1.9 提供前向安全性

假设用户U_i的口令\mathrm{p}{\mathrm{w}}_i和服务器S长期的私钥s泄露给了攻击者，且攻击者也获得了用户U_i和服务器S之间在公开信道上传输的消息。攻击者仍然无法计算出用户U_i和服务器S之间的会话密钥\mathrm{S}\mathrm{K}=h(k_i||T_v(T_u(x))||\mathrm{I}{\mathrm{D}}_i)。因为他将面临扩展切比雪夫多项式的CDHP困难问题。因此，改进的协议实现了前向安全性。

6.2　性能分析

本节分别从安全属性和计算量两方面来分析改进协议的性能。表4给出了现有的协议与本文提出的协议安全属性的比较结果，从中可看出本文给出的改进协议满足所有的安全属性（与文献[2]比较是因为文献[2]中的协议也是基于扩展混沌映射的三因子身份认证协议）。

表5列出了改进协议与现有一些方案的计算开销的对比，主要比较提出的协议和其他相关协议在登录阶段和认证阶段的计算时间。为了方便讨论，用T_{\mathrm{h}}表示单向哈希函数的时间（T_{\mathrm{h}}\approx \mathrm{0.000}\mathrm{32} s），T_{\mathrm{E}\mathrm{C}\mathrm{C}}表示计算一次椭圆曲线点乘的时间（T_{\mathrm{E}\mathrm{C}\mathrm{C}}\approx \mathrm{0.017}\mathrm{1} s），T_{\mathrm{C}\mathrm{M}}表示计算一次切比雪夫混沌映射的时间（T_{\mathrm{C}\mathrm{M}}\approx T_{\mathrm{E}\mathrm{C}\mathrm{C}}\approx \mathrm{0.017}\mathrm{1} s），T_{\mathrm{e}}表示RSA加密和RSA解密的时间（T_{\mathrm{e}}\approx \mathrm{0.019}\mathrm{2}s），上述T_{\mathrm{h}}，T_{\mathrm{E}\mathrm{C}\mathrm{C}}，T_{\mathrm{C}\mathrm{M}}，T_{\mathrm{e}}这些操作运行所花费的时间参考文献[22]，异或\oplus运算和\left|\right|运算的计算量很小，通常忽略不计。从表4和表5中可看出本方案耗时比文献[2]和文献[18]多，但是安全性优于它们。

7　 结 语

本文首先回顾了Sutrala等的基于口令的用户匿名认证和密钥协商协议，指出其不能抵抗口令猜测攻击、中间人攻击，不具备前向安全性。为了克服以上安全漏洞，基于扩展混沌映射提出了一个三因子的匿名用户身份认证协议，形式化证明和安全分析表明本文提出的方案是安全的。此外，与现有的协议相比，本文更适用于远程医疗信息系统环境。

参考文献

[1] WEI J, HU X, LIU W. An improved authentication scheme for telecare medicine information systems[J]. Journal of Medical Systems, 2012, 36(6): 3597-3604. DOI: 10.1007/s10916-012-9835-1 .

[2] LU Y R, LI X L, PENG H P, et al. Robust and efficient biometrics based password authentication scheme for telecare medicine information systems using extended chaotic maps[J]. Journal of Medical System, 2015, 39(6):65. DOI:10.1007/s10916- 015-0229-z .

[3] SRIVASTRAVA K, AWASTHI A K, KAUL S D. A Hash based mutual RFID tag authentication protocol in telecare medicine information system [J]. Journal of Medical Systems, 2015, 39(1):153. DOI:10.1007/s10916-014-0153-7 .

[4] FAHAD T, BIN M. Cryptanalysis and security enhancement of Zhu^,s authentication scheme for telecare medicine information system[J]. Security and Communication Networks, 2015, 8(2): 149-158. DOI:10.1002/sec.967 .

[5] JUNG J W, MOON J H, WON D H. Robust biomertic-based anonymous user authentication key agreement scheme for telecare medicine information systems[J]. KSII Transaction on Internet and Information System, 2017,11(7):3720-3745. DOI:10.3837 /tiis.2017.07.023 .

[6] JIANG Q, CHEN Z R, LI B Y. Security analysis and improvement of bio-hashing based three-factor authentication scheme for telecare medical information systems [J]. Journal of Ambient Intelligence and Humanized Computing, 2018,9(4):1061-1073. DOI:10.1007/s12652-017-0516-2 .

[7] WANG D, MA C G, ZHANG Q M. On the security of an improved password authentication scheme based on ECC[C]// International Conference Information Computing and Applications（LNCS 7473）. Berlin： Springer⁃Verlag,2012:181-188.DOI:10.1007/978-3-642-34062-8_24 .

[8] WANG D, LI W T, WANG P. Measuring two-factor authentication schemes for real-time data access in industrial wireless sensor networks[J]. IEEE Transactions on Industrial Informatics, 2018, 14(9):4081-4092. DOI:10.1109/TII.2018.2834351

[9] HE D B, WANG D， WU S H. Cryptanalysis and improvement of a password-based remote user authentication scheme without smart cards[J]. Information Technology and Control, 2013, 42(2): 105-112.

[10] LEE J K, RYU S R, YOO K Y. Fingerprint-based remote user authentication scheme using smart cards[J]. Electronics Letters, 2002, 38(12):554. DOI:10.1049/el:20020380 .

[11] LIN C H, LAI Y Y. A flexible biometrics remote user authentication scheme [J]. Computer Standards and Interfaces, 2004,27(1):19-23. DOI:10.1016/j.csi.2004.03.003 .

[12] WU F, XU L, KUMARI S, et al. A novel and provably secure biometrics-based three-factor remote user authentication scheme for mobile client-server networks [J]. Computer & Electrical Engineering, 2015, 45:274-285. DOI: 10.1016/j.compeleceng. 2015.02.015 .

[13] JIANG Q, WEI F S. Robust extended chaotic-maps based three-factor authentication scheme perserving biometric template privacy [J]. Nonlinear Dynamics, 2016, 83(4): 2085-2101. DOI: 10.1007/s11071-015-2467-5 .

[14] MOON J H, CHOU Y, KIM I, et al. An improvement of robust and efficient biometrics based password authentication scheme for telecare medicine information systems using extended chaotic maps [J]. Journal of Medical System,2016,40(3):70. DOI:10.1007/s10916-015-0422-0 .

[15] KHAN I, CHAUDHRY S A. An anonymous and provably secure biomeric-based authentication scheme using chaotic maps for accessing medical drop data [J]. The Journal of Supercomputing, 2018, 74(8): 3685-3703. DOI: 10.1007/s11071-015 -2467-5 .

[16] LI C T, LEE C C, WENG C Y, et al. A secure dynamic identify and chaotic maps based user authentication and key agreement scheme for e-healthcare systems [J]. Journal of Medical System, 2016, 40(11):233. DOI:10.1007/s10916-016-0586-2 .

[17] MADHUSUDHAN R, CHAITANYA S N. A robust authentication scheme for telecare medical information systems[J]. Multimedia Tools and Applications. 2018,78(11): 15255-15273. DOI: 10.1007/s11042-018-6884-6 .

[18] SUTRALA A K, DAS A K, ODELU V, et al. Secure anonymity preserving password based user authentication and session key agreement scheme for telecare medicine information systems [J]. Computer Methods and Programs in Biomedicine, 2016, 135:167-185. DOI: 10.1016/j.cmpb.2016.07.028 .

[19] RIVLIN T J. The Chebyshev polynomials [J]. Mathematics of Computation, 1974, 30(134): 374. DOI:10.2307/2005983 .

[20] ZHANG L. Cryptanalysis of the public key encryption based on multiple chaotic systems [J]. Chaotic Solitons & Fractals, 2008, 37(3): 669-674. DOI:10.1016/j.chaos.2006.09.047 .

[21] KOCHER P C, JAFFE J, JUN B. Differential power analysis[C]// Annual Inernational Cryptology Conference. Berlin:Springer, 1999:388-397.

[22] CHATTERJEE S R, DAS S, CHATTOPADHYAY A K, et al. Secure biometric-based authentication scheme using Chebyshev chaotic map for multi-server environment [J]. IEEE Tansaction Dependable Secure Computing, 2018, 15(5): 824-839. DOI:10. 1109/TDSC.2016.2616876 .

基金资助

国家自然科学基金(61802243)

陕西省重点研发计划(2019GY-013)

中央高校基本科研业务费专项资金(GK201803005)