（计算机应用技术专业论文）指纹识别技术的研究及其在办公信息系统中的应用.pdf

东北大学硕士学位论文摘要 摘要 随着信息时代的到来，在信息技术被政府、企业、军队等部门广泛应用的同时，信 息安全成为备受关注的研究领域。身份认证技术是网络安全和信息系统安全的第_ 道屏 障，以指纹识别技术为代表的生物识别技术代表着用户身份技术的未来，有着广阔的应 用前景。 本文提出了一种在企业内部互联网上对w e b 信息访问的控制机制。在充分研究如何 把指纹技术和加密技术应用到网络办公信息系统中的基础上，设计开发出了一个指纹识 别系统。通过用户指纹认证和基于公开密钥的用户身份认证技术的有机结合，实现了具 备高安全特性的在线办公w e b 信息访问。本项目实现的是一种新的网络认证手段，使之 用来识别网络用户，实现对保密信息的访问进行控制与管理，所以本系统是一个可以应 用在办公信息系统的高效安全的身份认证系统。 本文首先介绍和分析了传统的用户身份认证技术及指纹识别技术，然后阐述了整个 自动指纹识别系统的结构及方案设计，包括工作流程和系统实现模型。本文主要对使用 b s 结构的a c t i v c x 程序的指纹识别技术及指纹服务程序的具体实现进行了详细论述。 在系统通信数据加密的模块的设计和开发中，讨论了相关算法并陈述了主要设计和实现 思想，以解决用户指纹特征等认证信息通过网络传输的机密性问题。 关键词：指纹认证；w e b 访问控制；网络安全 东北大学硕士学位论文a b s t r a c t t h e r e s e a r c h o ff i n g e r p r i n t i d e n t i f i c a t i o nt e c h n i q u ea n d i t sa p p l i c a t i o ni no f f i c ei n f o r m a t i o ns y s t e m a b s t r a c t 、i t ht h ec o m i n go ft h ei n f o r m a t i o na g e ，a st h ei n f o r m a t i o nt e c h n i q u ei sw i d e l yu s e db yt h e d e p a r t m e n ts u c ha sg o v e r n m e n t ，e n t e r p r i s e ，a n da r m ya n ds oo i l ，t h ei n f o r m a t i o ns e c u r i t y b e c o m e sak e yf i e l d a u t h e n t i c a t i o ni st h ef i r s tb a r r i e ro ft h en e t w o r ki n f o r m a t i o i 3 s y s t e m s e c u r i t yf i e l d b i o m e t r i c sc h a r a c t e r i z e db yf i n g e r p r i n ti sa ni n c r e a s i n gd e v e l o p m e n tt r e n do f u s e ra u t h e n t i c a t i o n a n dh a sp r o m i s i n ga p p l i c a t i o ni nf u t u r e ah n do fm e c h a n i s mi sp r o p o s e di nt h i st h e s i s w h i c hc o n t r o l st h ea c c e s st ot h ew e b i n f o r m a t i o ni ni n t r a n e t b a s e do nt h er e s e a r c hh o wa p p l y i n gt h ef i n g e r p r i n ti d e n t i f i c a t i o na n d e n c r y p t i o nt e c h n i q u e st ot h en e t w o r ko f f i c ei n f o r m a t i o ns y s t e m a nf i n g e r p r i n ti d e n t i f i c a t i o n s y s t e mi sd e s i g n e da n di m p l e m e n t e d b yi n t e g r a t i n gt h eu s e r sf i n g e r p r i n ti d e n t i f i c a t i o nw i t h u s e ra u t h e n t i c a t i o nt e c h n i q u eb a s e do np u l i c k e y ，t h es y s t e mi sp r o v i d e dw i t haf u n c t i o no f t h e a c c e s st ot h eo f f i c ew e bi n f o r m a t i o no n i n ew i t hh i g hs e c u r i t y t h es y s t e mi sp r o v e dt ob ea n e wk i n do fm e t h o d so ft h ea u t h e n t i c a t i o ni nn e t w o r k t h es y s t e mc a ni d e n t i f yu s e r sa n d c o n t r 0 1t h ea c c e s st ot h es e c u r i t yi n f o r m a t i o n s ot h es y s t e r ni sa no 衔c ei n f o r m a t i o ns y s t e m a p p l y i n gak i n do f m e c h a n i s mw i t hh i g hs e c u r i t y f i r s t l y , t h et r a d i t i o n a lt e c h n i q u ea b o u tu s e ra u t h e n t i c a t i o na n dt h eu s e rf i n g e r p r i n t i d e n t i f i c a t i o ni si n t r o d u c e da n da n a l y z e d s e c o n d l yt 1 1 ew h o l es y s t e ms t r u c t u r e sa n dt h e d e s i g no f t h ep r o j e c ta r eg i v e n ，i n c l u d i n gt h ew o r k i n gf l o wo f t h es y s t e ma n dt h em o d e lo f t h e s y s t e mi m p l e m e n t a t i o n t h ef i n g e r p r i n ti d e n t i f i c a t i o nt e c h n i q u ea n dt h ed e t a i lo ft h e f i n g e r p r i n ts e r v e rp r o g r a mb o t hu s i n gt h eb ss t r u c t u r ea n da c t i v e xp r o g r a ma r em a i n l y d i s c u s s e di nt h et h e s i s i nt h ed e s i g na n di m p l e m e n t a d o no ft h ed a t ao fc o m m u n i c a t i o n e n c r y p t i n gm o d u l e ，t h ec o r r e l a t i v ea r i t h m e t i ci sd i s c u s s e da n dm a i ni d e ao ft h ed e s i g na n d i m p l e m e n t a t i o ni sm e n t i o n e d i no r d e rt os o l v et h ep r o b l e mt h a tt l l ec h a r a c t e r s t i ci n f o r m a t i o n o f t h ef i n g e r p r i n ti ss a f ew h e nt r a n s m i t i n gt h r o u g ht h en e t w o r k k e yw o r d s ：f i n g e r p r i n ti d e n t i f i c a t i o n ；t h ec o n t r o lo f t h ea c c e s st ow e b ；n e t w o r ks e c u r i t y 一1 i 一 独创性声明 本人声明，所呈交的学位论文是在导师的指导下完成的。论文中取得 的研究成果除加以标注和致谢的地方外，不包含其他人己经发表或撰写过 的研究成果，也不包括本人为获得其他学位而使用过的材料。与我一同工 作的同志对本研究所做的任何贡献均己在论文中作了明确的说明并表示谢 意。 学位论文作者签名：翮 日期： 孑帕、f 学位论文版权使用授权书 本学位论文作者和指导教师完全了解东北大学有关保留、使用学位论 文的规定：即学校有权保留并向国家有关部门或机构送交论文的复印件和 磁盘，允许论文被查阅和借阅。本人同意东北大学可以将学位论文的全部 或部分内容编入有关数据库进行检索、交流。 ( 如作者和导师不同意网上交流，请在下方签名；否则视为同意。) 学位论文作者签名： 签字日期： 导师签名： 签字日期： 东北大学硕士学住论文第一章引言 第一章引言 1 1 研究背景与意义 随着世界信息化的加快和i n t e m e t 的传输速度的快速增长，信息化社会使得每个企 业都竞相广泛利用信息技术，使政府和企业在政务、管理等方面实现信息化，很大程度 上推动了电子政务的发展。 网络办公所带来的便利和快捷是不言而喻的，但在其快速发展的同时，其安全问题 就突现出来，主要体现在如下几点：一是网络办公信息系统被非法入侵，重要数据被窃 取、篡改或破坏；二是信息通过网络传输时被窃取或篡改；三是用户账号、口令失密， 保密信息外泄：四是来自网上办公系统内部的破坏。 上述问题都属于信息安全问题。 按照现在通行的观点，信息安全包括以下内容：认证、操作系统安全、数据库安全、 计算机病毒防护、访问控制和数据加密等。认证通常分为实体认证和数据源认证或信息 认证【lj 。其中实体认证又叫身份认证，它是信息系统的第一道安全屏障，也是实施访问 控制的基础，因此具有十分重要的作用。 但是如果深入分析现有的各种身份认证技术，就会发现一系列待解决的问题，可以 将其概括如下： ( 1 ) 基于秘密消息的认证方式。该方式主要包括给予口令的认证方式和基于密码体 制的认证方式。基于密码体制的认证方式在一定程度上非常依赖密钥，而密钥管理是一 个很复杂的问题，不适合用于用户个人身份的认证。 ( 2 ) 令牌认证方式。常用的令牌卡是一种具有计算能力的智能卡，用户登录系统的 口令由它计算得到，每次动态变化，增加了系统的安全性。但是令牌卡也可能会丢失、 被盗和被复制，在这种情况下，系统的安全性也无从保障。另外，令牌认证方式需要在 终端上配备相应的智能卡读写器才能实现其功能，目前这种额外的投入让一般用户无法 接受。 ( 3 ) 生物特征认证方式。该认证方式根据个人不同的生物特征( 如指纹、面部、视网 膜等) 来鉴定个人。由于指纹等生物特征具有普遍性、唯一性、永久性和防伪性等特点， 所以与传统的身份认证技术相比，生物特征( 特别是指纹特征) 认证技术提供了更为简 单的认证方法。但是在现有的大多数基于生物特征的身份认证技术中，认证信息几乎都 以明文的方式在网上传输，没有达到认证数据机密性、完整性的要求。此外，生物特征 识别技术的发展水平以及基于生物特征的认证系统的复杂性，也给一般的认证应用系统 增加了许多困难。 基于以上考虑，我们认为，虽然目前基于生物特征的身份认证技术还存在许多不足， 但是如果对网络环境下将指纹特征的认证方式和数字认证相结合，则是解决网络用户身 份认证的有效途径。而这一方案可以很好地应用在以办公为主的w e b 信息系统中。 1 东北大学硕士学位论文第一章引言 经多方面权衡，我们决定采用指纹认证方法来对w e b 信息访问进行安全控制。 一方面指纹在各种生物特征中特征性能优异，概括起来讲指纹主要特点有如下两 点： ( 1 ) 唯一性( 人各不同、指指相异) 指纹具有很明显的特定性。至今尚找不出两个指纹完全相同的人，即使是相貌酷似 的孪生兄弟姐妹，他们的指纹也各不相同。不仅人与人之间，就是同一个人的十指之间， 指纹也有明显的区别。指纹的这一特点，为指纹用于身份签定提供客观根据。 ( 2 ) 不变性( 终生基本不变) 指纹具有很强的相对稳定性。自胎儿六个月指纹完全形成到人体死亡腐败之前，尽 管随着年龄的增大，指纹在外型大小，纹线粗细上会有变化，局部纹线之间也可能出现 新的细线特征，但从总体上看，同一指的指纹纹线类型、细节特征的总体布局等始终无 明显变化。即使手指皮肤受伤，只要不伤及真皮，伤愈后，纹线仍能恢复原状；如果伤 及真皮，伤愈后形成伤疤。伤疤破坏了纹线，但伤疤本身为指纹增添了新的稳定的特征。 另一方面，从目前来讲指纹鉴别仪是最稳定最可靠的生物鉴别仪器。而且随着半导 体技术的突破，新型半导体指纹传感器的诞生，也大大加速指纹技术进入民用、军用市 场的步伐。 本课题由我们与中科指纹安防公司合作开发，目的是将指纹认证技术应用到一般的 对信息安全控制要求较高的企业或政府办公信息网中，实现军、民两用的通用性。该系 统可适用于办公相关的信息类的行业如电子政务、远程教学。该系统的使用，不仅可以 在一定程度上保证企业及政府机关信息的安全，还可以给电子政务营造一个安全、便捷、 有利的发展空间。 1 2 指纹鉴别仪技术发展现况 运用指纹进行身份识别及认定，其安全等级被人类社会所肯定已有上百年历史。但 要将指纹技术商品化主要面临两大难题： ( 1 ) 活体指纹的保真采集及储存 ( 2 ) 指纹图像特征处理及鉴别 多年来，人类一直运用所掌握的最新技术手段为指纹技术的商品化作着不懈的努 力，自七十年代以来，随着计算机技术的发展及c c d 图像采集技术的成熟，商品化的 指纹鉴别仪开始出现。但由于采用c c d 器件进行指纹图像采集的指纹鉴别仪在价格、 体积、功耗、结构等关键指标上无法达到较高水准。因此，基于c c d 传感器的指纹鉴 别仪目前只运用在公安、金融等重要部门，无法进入市场空间巨大的民用产品市场。 而固态半导体指纹传感器是运用最新半导体科技开发出来的产品，其诞生还不到一 年。该传感器半导体硅片表面由1 0 0 ，0 0 0 半导体电容传感器组成。当用户将手指按压在 该半导体表面上，由于指纹纹路及深浅的存在，导致硅表面电容阵列的各个电容电压不 同，通过测量并记录各点的电压值就可以获得具有灰度级的指纹图像。同光学c c d 传 一2 一 东北大学硕士学位论文第一章引言 感器相比，半导体固态传感器在娜下方面取得突破性的进步： ( 1 ) 活体检测。由于半导体指纹传感器对人体生物感应电敏感，从而可以判断所鉴 别手指是否是真人活体。 ( 2 ) 价格低，而且其未来价格可低于$ 1 0 。 ( 3 ) 极小的封装尺寸。 ( 4 ) 内置的数字化仪( c c d 传感器输出为模拟信号，需要外接的处理板或芯片将模 拟信号转换为数字信号) 。 ( 5 ) 功耗小。 ( 6 ) 抗震。 正是由于以上突破性的进展，为指纹技术进入广阔民用、军用商品市场奠定了坚实 的基础。 1 3 论文的主要工作 本文对传统的用户身份认证技术的发展现状和技术特点进行了综述，对指纹识别技 术作了比较深入的分析，并结合共内外先进技术和各种现有研究成果，提出了基于指纹 识别技术的w e b 访问身份认证机制解决了w e b 信息访问的安全控制问题，并结合公 开密钥体制的数字认证技术保证了指纹信息在网络上的传输这一问题。此外，作为研究 开发人员，作者在整个项目的开发工作过程中主要承担了以下的工作：系统可行性研究、 需求分析、概要设计、详细设计、程序编码、系统调试以及相关文档的写作与整理等。 1 4 本论文的结构安排 本文从身份认证的基本概念入手，首先对传统的各种用户宴份认证技术进行了综 述，在对指纹识别技术作了详细论述之后，给出了一个作者本人设计开发的应用于内部 网办公信息系统的自动指纹识别系统实例，全文共田七章组成，每章的主要内容如下： ( 1 j 第二童用户身份认证技术研究，主要定义身份认证的概念，讨论身份认证技术 的发展和分类，分析各种现有的身份认证技术的优缺点。 ( 2 ) 第三章指纹识别技术研究，主要简述指纹识别技术的发展，讲述指纹识别的基 本原理，详细分析指纹识别的方法，总结指纹识别技术在实际中的应用。 ( 3 j 第匹章指纹识别系统设计，根据需求分析，设计了一个| 立用于内部网办公信息 系统的自动指纹识别系统模型，并对该系统的具体功能模块进行了详细介绍。 ( 4 ) 第五章指纹识别系统实现，主要介绍基于指纹特征的内部删办公信息系统中的 各功能模块的关键实现。 ( 5 ) 第六章测试与应用，分析系统的功能、性能和安全性测试结果及具体的试应用 报告。 ( 6 ) 第七章结束语总结全文，对系统进行评价并提出进一步建议。 ( 6 ) 第七章结束爵总结全文，对系统进行评价并提出进一步建议。 东北大学硕士学位论文第二章用户身份认证技术研究 第二章用户身份认证技术研究 2 1 身份认证的概念 办公信息属于电子政务的一种。所谓电子政务是政府部门运用先进的电子信息技术 手段( 计算机、网络、电话、手机、数字电视等) ，以实现政务信息数字化、政务公开化、 办公高效化、服务网络化等目标的过程。一般而言，电子政务包括三个组成部分：一是 政府部门内部办公职能的电子化和网络化；二是政府职能部门之间通过计算机网络实现 有权限的实时互通的信息共享；三是政府部门通过网络与公众和企业间开展双向的信息 交流与决策。对于如军队机关这样的特殊单位，电子政务仅为前两部分。电子政务的应 用之一即为内部办公电子化。信息安全和隐私保护是许多国家发展电子政务过程中极为 关注的问题。 为此，制定统一的隐私保护标准( 如隐私保护法) ，数字签名的标准，以及对于敏感 程度不同的信息制定相应的加密标准，确保政府采集的公众信息安全地存放和维护，非 授权人员将无法接触等等，是目前许多国家努力的方向。而如何区别授权人员与非授权 人员就是一个身份认证的问题。 从某种意义上来说，身份认证技术可能比信息加密本身更加重要涮。 认证作为证实信息交换过程有效性和合法性的一种手段，是进行安全通信的重要组 成部分，它主要包括对通信内容的认证( 信息认证) 和对通信对象的认证( 即身份认证) 。 信息认证是指在两个通信者之间建立通信联系后，每个通信者对收到的信息进行验证， 以保证所收到信息的真实性的过程。身份认证是指验证一个最终用户或设备( 例如客户 机、服务器、交换机、路由器、防火墙等) 所声明身份的过程1 3 j 。身份认证一般包括两方 面的内容： ( 1 ) 识别明确访问者的身份，要求可区分不同的用户，例如使用不同的用户标识 符； ( 2 ) 验证一对访问者声称的身份进行确认。 在实际工作中，身份认证通常会产生一个明确的结果，允许实体进行其他活动或通 讯。例如在实体认证过程中可能产生一个对称密钥，可用来解密一个文件进行读写，或 者与其他实体建立一个安全通信通道等等。总之，由于认证技术所服务的对象很多，集 中于某一方面可能更有针对性，所以，本文作者主要讨论用户身份认证技术。 2 2 用户身份认证技术的发展 众所周知，身份认证技术在众多的信息安全技术中扮演了信息系统看门人的角色， 它确保只有授权用户才能进入。用户标识( u s e r i d ) 和口令( p a s s w o r d ) 是最常用和最方便的 身份认证技术。但由于许多用户为了方便而使用了诸如姓名、生日、年龄等容易记住的 p a s s w o r d ，使得基于u s e ri d 和p a s s w o r d 的认证经不起考验。另外，口令在网络上传输， - 4 - 东北大学硕士学位论文 第二章用户身份认证技术研究 也会带来很大的风险。解决口令安全传输的办法是将其加密传输，这时虽然可以在一定 程度上弥补u s e ri d 和p a s s w o r d 方式容易被窃取的缺陷，但攻击者仍可以采用离线方式 对口令密文实施字典攻击。加密传输口令的另一个困难是加密密钥的交换，当采用对称 密钥加密方式时，要求认证方和被认证方共享一个密钥，但由于身份认证前双方的身份 还不明确，不易预先共享一个密钥。当采用非对称密钥加密方式时，口令可以用认证方 的公钥加密，由于公钥可以通过公开的渠道获得，这时虽然不存在采用对称密钥加密时 遇到的那种矛盾，但是仍然需要密钥分发机制的配合。 此外，密码技术本身并不适合在用户身份认证中直接使用，因为人类不善于记住长 的随机密钥向量。目前常用的解决办法是使用智能卡，人首先使用口令向智能卡认证他 自己，然后智能卡使用密码技术向最终的验证者认证它自己。在这种方案中，智能卡也 面临着被丢失和被复制的阔题【4 j 。 随着电子商务和电子政务的越来越广泛的应用，必须有一个更好的系统来进行身份 认证。启发于人的身体特征具有不可复制的特点，人们开始把目光转向了生物识别技术。 因为人的指纹、面孔、声音、虹膜、视网膜等都具有唯一性和稳定性的特征，为实现更 安全、方便的用户身份认证提供了有利的物理条件。所以各种基于人体特征的生物识别 技术研究也广泛开展，其中指纹识别技术是一种比较理想的安全认证技术。由于其具有 比较广阔的市场前景，受到了众多商家和i t 技术专家的重视。目前国内外许多著名的 i t 厂商都在积极开展自动指纹识别技术方面的研究和应用系统的开发等工作。 2 3 用户身份认证技术的分类 身份认证的本质是被认证方有一些信息( 无论是一些秘密的信息还是一些个人持有 的特殊硬件或个人特有的生物学信息) ，除被认证方自己外，该信息不能被任何第三方f 在 有些需要认证权威的方案中，认证权威除外) 伪造。如果被认证方能采用某种方法f 无论 是将那些信息出示给认证方或者采用零知识证明的方法) ，使认证方相信他确实拥有那 些秘密，则他的身份就得到了认证。 因此，如果根据被认证方赖以证明身份的秘密的不同，身份认证可以分为三大类： 基于秘密信息的身份认证技术、基于信物的身份认证技术和基于生物特征的身份认证技 术。基于秘密信息的身份认证技术包括基于帐号和口令的身份认证、基于对称密钥的身 份认证、基于k d c 的身份认证、基于公开密钥的身份认证和基于数字证书的身份认证 等、基于信物的身份认证技术主要有基于智能卡的身份认证、基于生物特征的身份认证 技术可分为基于生理特征( 如指纹、声音和虹膜) 的身份认证和基于行为特征( 如签名) 的 身份认证等。 如果根据认证的方法来划分，用户身份认证又可分为非密码用户身份认证技术和基 于密码的用户身份认证技术。非密码用户身份认证技术包括口令方式、一次口令方式和 质询一响应方式等。基于密码的用户身份认证技术既可以利用对称密钥加密体制，也可 以利用公钥密钥加密体制。 一5 一 东北大学硕士学位论文第二章用户身份认证技术研究 以上用户身份认证技术可以单独使用，也可以综合使用。一个熟悉的例子就是“登 录”银行柜员机时的认证：用户需要出示磁卡( 基于信物的身份认证方法) 和口令( 基于1 2 1 令的身份认证方法) ，才能获得查看帐户的权限。虽然综合使用多种认证方法使得恶意 攻击变得十分困难，但同时也加重了用户的负担( 在认证过程完成前做更多的工作) 。因 此，如何有效地将以上各种身份认证技术有机地结合起来，设计和开发出一种更安全、 便捷的身份认证系统，显得至关重要。以下主要介绍w e b 控制方式的身份认证技术。 2 4 基于秘密信息的用户身份认证技术 所谓的秘密消息指用户所拥有的秘密知识，如用户i d 、口令、密钥等。基于秘密 消息的用户身份认证技术就是利用以上秘密消息作为认证用户身份的唯一依据。根据用 户身份认证技术的分类可知，基于秘密消息的身份认证技术包括很多种，下面将逐一讨 论。 2 4 1 基于帐号和口令的用户身份认证 基于口令和帐号的用户身份认证技术需要计算机系统分两步处理：标识( 询问你是 谁) 和认证( 要求你证实) 。首先，计算机系统给每个用户分配一个唯一标识( i d ) ，每个用 户选择一个供以后注册证实自己身份的口令( p w ) 。然后，计算机系统将所有用户的身份 标识和相应口令存入口令表，如表2 1 所示。 表2 1 口令表 t a b l e 2 1p a s s w o r dt a b l e 身份标识注册口令 i d tp w l i d 2p w 2 i d 。p w 。 口令表的各项是成对的信息( i d i ，p w i ) 。用户i 要注册进入系统时，必须先向系统 提交他的标识d i 和口令p w 。，系统根据i d i 检索1 3 令表得到相应的1 3 令p w i 。如果p w = p w ，则用户i 是合法用户，系统接受用户i ，否则用户i 将遭系统拒绝。用户认证原理 如图2 1 所示。 普通的基于帐号和e 1 令的用户身份认证技术，只能阻止不熟悉系统的用户对系统的 非法侵入，不能很好地防范熟悉系统的用户。其主要原因是在该身份认证技术中，口令 以明文形式存储，入侵者很容易获取、修改和伪造口令。为了提高基于帐号和1 3 令的身 份认证技术的安全强度，通常使用单向散列函数对口令进行加密。 东北大学硕士学位论文第二章用户身份认证技术研究 图2 1 基于帐号和口令的用户身份认证流程图 f i g 2 1f l o wc h a r t o f u s e ra u t h e n t i c a t i o n p r i n c i p l eb a s e d o na c c o o j - l ta n d p a s s w o r d 在使用单向散列函数加密口令的身份认证方案中，用户口令是以密文的形式存放， 所以用户在登录时所输入的口令p w 也被系统加密，然后系统将口令在口令表中的加密 形式与口令输入时产生的加密形式进行比较，若两者相等，表明用户为合法用户。其身 份认证原理如图2 2 所示。 使用单向散列函数加密口令的身份认证方案既可以抵抗入侵者窃取口令表的攻击， 也可抵抗入侵者转储内存的攻击。但依然存在两个缺陷：其一是两个不同的用户可能会 选择相同的密钥，从而在口令文件中有可能建立两个相同的记录；其二是不能防止入侵 者可能对存储在口令表中的信息进行修改。 总之，基于帐号和口令的身份认证技术具有成本低、易实现、用户界面好，所以目 前该技术被一般的计算机系统广泛采用。但是在一些安全性较高的场合，经常使用一次 一密技术。 一次一密技术是目前已知的唯一完美的基于口令的用户身份认证技术。当一个用户 在服务器上首次注册时，系统给用户分配个种子值( s e e d ) i 和- - 个迭代值( i t e r a t i o n ) ，这 两个值就构成了一个原始口令，同时在服务器端还保留有仅用户自己知道的通行短语。 东北大学硕士学位论文第二章用户身份认证技术研究 用户i 输入i d i 及p w 用预定的单向函数对 p w i 进行加密得到 f ( p w i ) i d 。正确? 是 在加密口令表中查找 i d 。相应的f ( p w 。) 否 棼(vw萝。相 储的f 同2 7 显示接受| l 显示拒绝 l 结束j 图2 2 使用单向函数加密口令的用户身份认证流程图 f i g 2 2f l o wc h a r to f u s e ra u t h e n t i c a t i o nu s 血ge n c r y p t e dp a s s , 。v o r dw i t hu n i d i r e c t o nf u n c t i o n 当用户每次向服务器发出连接请求时，服务器把用户的原始口令传给用户。用户接 到原始口令以后，利用口令生成程序，采用m d 4 或m d 5 散列算法，结合通行短语计算 出本次连接实际使用的口令，然后再把口令传回服务器；服务器先保存用户传来的口令， 然后调用口令生成器，采用m d 4 或m d 5 散列算法，利用用户存在服务器端的通行短语 和它i i i i i i 传给用户的原始口令自行计算生成一个口令；服务器把这个口令与用户传来的 口令进行比较，进而对用户进行身份确认；每一次身份成功认证后，原始口令中的迭代 值数自动减1 。需要指出的是，用户主机上采用的散列算法7 1 1 1 1 务器上采用的散列算法 必须是一样的【5 j 。以上过程如图2 3 所示。 一次一密系统的密钥只使用一次，因此攻击者即使从密文获得密钥，也无法用于破 译以后的密文。并且，由于没有已知的明文或密文作为参照，穷尽法将无法自动判定所 猜测的密钥是否正确。所以只要密文有一定的长度，就可使得穷尽法是计算不可彳亍的。 一8 一 东北大学硕士学位论文 第二章用户身份认证技术研究 l 发出连接请求 2 提示输入用户名 用 3 输入用户名 4 给用户一个原始口令 5 利用原始口令和通行短语，采用加密算法生成一次 性口令，并把一次性口令送给服务器 户 6 用原始口令和通行短语，采用加密算法生成一次性 口令，并把用户传来的口令和生成的口令进行比较，进 而传给用户相应的认证信息 图2 3 基于一次性口令的身份认证过程 f i g 2 3u s e ra u t h e n t i c a t i o np r o c e s sb a s e do no n e t i m ep a s s w o m 总之，一次一密系统在理论上是不可破译的，但实际使用中密钥的管理却是非常薄 弱的环节，它要求随机密钥量至少要和明文信息量一样大，产生、存储和传递这些密钥 都面临实际困难。 2 4 2 基于对称密钥的用户身份认证 数据的机密性服务是通过加密机制实现的。为了确保用户标识符和口令在信道中的 安全传输，通常采用对称密钥密码体制和公开密钥密码体制。在对称密钥密码体制中， 加密与解密变换平等，而且加密与解密密钥相同。通常，基于对称密钥的用户身份认证 方式分为两种：单向认证和双向认证。 ( 1 ) 基于对称密钥的单向认证 基于对称密钥加密的方法是一次一密方法的变形。通常通信双力a 和b 共享一个 对称密钥，该对称密钥在身份认证之前已经协商好( 不经过网络) 。一个典型的基于对称 密钥的单向身份认证协议如下： 在a 方请求认证时，b 方向a 方发送一个随机数r 的密文形式，a 方使用同一密 钥将其解密后送还b ，b 方将其与原来的r 进行比较，进行认证。 基于对称密钥的认证方式需要端系统可靠，否则攻击者可从b 处获得a 的秘密信 息来冒充a 。 ( 2 ) 基于对称密钥的双向认证 在单向认证方式中，总是由b 方( 认证处理方) 提出一个信息交由a 方进行指定交换， 0 东北大学硕士学位论文第二章用户身份认证技术研究 以验证其身份。双向认证则把这个原则应用到a ，b 双方，即相互提出一个信息要求对 方交换，其过程如图2 4 所示的三次握手。 r 1 ab r 2 ，k b ( r 1 ) 方方 k a b ( r 2 ) 图2 4 基于对称密钥的双向认证 f i g 2 4b i d i r e c t i o n a la u t h e n t i c a t i o nb a s e d o ns y m m e t r ys e c r e tk e y 这种认证方式存在桥接攻击的危险【引。从上图可看出，若c 要冒充a ，唯一的困难 是k a b ( 王也) 。这时，c 可以同时向b 发起两个认证，一先一后，在第二个认证中将从第 一个认证收到的r ；作为r ，发给b ，从而从b 处骗得k 。b ( r 2 ) 满足第一个认证的要 求。由于这种攻击容易实现，因此威胁较大。解决的办法可以有： ( 1 ) 使用不同密钥：要求a 和b 使用不同的密钥加密，这样使c 不能向b 重复使用 k 曲( r 2 ) ，因为它不是用a 的密钥加密的。但这种方法要求a 和b 使用和保存的密钥量 加倍。 ( 2 ) 使用不同的明文值：如a 方的r 值为奇数，而b 方的r 值为偶数，于是c 不 能将从b 处发来的r 值再返回b 处骗取密文，即要求每一方的明文带有一定的特征。 同样，在上述的对称密钥方法中，攻击者不需窃听即可发起口令破译攻击，因为他 可不断地向b 发出认证请求( 尽管不成功) ，从而获得大量的明文密文对，并进行选择明 文破译。 2 4 3 基于公开密钥的身份认证 在基于对称密钥的身份认证技术中，加密后的消息可以通过不安全的通信信道传 输，但是，秘密密钥绝对不能通过不安全的信道传输。也就是说，密钥管理问题是基于 对称密钥的身份认证技术所需解决的困难之一。而使用公开密钥的身份认证技术就可以 减轻因密钥管理不善而带来的安全威胁 ”。 公开密钥密码体制的加密和解密是由两个不同的密钥来实现。而且由任意个密钥 推导出另一个密钥在计算上是不可行的。该密码体制的公开密钥公开，信息发送者用公 开密钥加密，接受者用自己的秘密密钥解密。理论上而言，公开密钥密码体制中的秘密 密钥可由公开密钥计算得出，但实际不可行，公开密钥密码体制就基于这一点。比如著 名的r s a 算法，它的理论基础是建立在“素性检测和太数分解”这一著名数论难题的 有关论断之上的，即将两个大素数相乘在计算上是容易实现的，但将该乘积分解成两个 一l o 东北大学硕士学位论文第二章用户身份认证技术研究 有关论断之上的，即将两个大素数相乘在计算上是容易实现的，但将该乘积分解成两个 大素数的计算量相当巨大，大到在实际计算中不可能实现。其他的公开密钥算法还有使 用d i 伍e h e l l m a n 协议的椭圆曲线算法。椭圆曲线算法是一个新的关注点，它的理论基 础是基于椭圆曲线点群上的离散对数问题的难解性。在提供相同安全性的前提下，与其 他公钥体制相比，椭圆曲线群上的密码体制的密钥比特数少，这对于许多应用来说是至 关重要的，例如智能卡。椭圆曲线的另一个优点是：当有限域选定后，系统内的用户可 以共用一条椭圆曲线，也可每个用户选择自己的椭圆曲线以增加安全性，但域上的运算 完全相同。本文在第四章给出的设计实例应用于内部网办公信息系统的指纹识别系统就 采用椭圆曲线加密算法来保证用户信息在网络中的安全传输。 椭圆曲线加密算法e c c 与r s a 方法相比有着很多技术优点： ( 1 ) 安全性能更高。加密算的安全性能一般通过该算法的抗攻击强度来反映。e c c 和其他几种公钥系统相比，其抗攻击性具有绝对的优势。椭圆曲线的离散对数计算困难 性( e c d l p ) 在计算复杂度上目前是完全指数级，而r s a 是亚指数级的。这体现e c c 比r s a 的每b i t 安全性能更高。 ( 2 ) 计算量小和处理速度快。在一定的相同的计算资源条件下，虽然在r s a 中可以 通过选取较小的公钥( 可以小到3 ) 的方法提高公钥处理速度，即提高加密和签名验证 的速度，使其在加密和签名验证速度上与e c c 有可比性，但在私钥的处理速度上( 解 密和签名) ，e c c 远比r s a 、d s a 快得多。因此e c c 总的速度比r s a 、d s a 要快得多。 同时e c c 系统的密钥生成速度比r s a 快百倍以上。因此在相同条件下，e c c 则有更高 的加密性能。 ( 3 ) 存储空间占用小。e c c 的密钥尺寸和系统参数与r s a 、d s a 相比要小得多。1 6 0 位e c c 与1 0 2 4 位r s a 、d s a 具有相同的安全强度，2 1 0 位e c c 则与2 0 4 8 位r s a 、 d s a 具有相同的安全强度。意味着它所占的存贮空间要小得多。这对于加密算法在资源 受限环境上( 如智能卡等) 的应用具有特别重要的意义。 ( 4 ) 带宽要求低。当对长消息进行加解密时，三类密码系统有相同的带宽要求，但 应用于短消息时e c c 带宽要求却低得多。而公钥加密系统多用于短消息，例如用于数 字签名和用于对对称系统的会话密钥传递。带宽要求低，使e c c 在无线网络领域具有 广泛的应用前景。 基于公开密钥的身份认证技术同样有两种方式：单向认证和双向认证。使用公开密 钥进行单向身份认证的原理如图2 5 所示，该方式有以下特点： ( 1 ) 攻击者若不能进入a 方系统，则他无法获取a 的秘密密钥，从而不能冒充a 方； ( 2 ) 公开密钥的计算开销大； ( 3 ) 攻击者可冒充b 并选择e a ( x ) 作为r 送给a ，从而哄骗a 解出x 的内容。 类似地，也可采用对称密钥方法的第一种变形，即让b 方首先发送用b 的秘密密 钥加密的r ，让a 方返回用b 的公开密钥解出后又用a 的秘密密钥加密的r ，让b 再用 a 的公开密钥将其解开，从而使a ，b 双方相互认证。这种变形可防止攻击者从信道和 一1 1 东北大学硕士学位论文第二章用户身份认证技术研究 端系统的攻击，但仍不能防止b 对a 的欺骗，因此要求a 和b 本身应是相互可信赖的。 我是a 一 ab r 方 用a 的私有密钥加密 方 选择一个随机数r 用 a 的公开密钥解密 图2 5 基于公开密钥的单向认证 f i g 2 5u n i d i r e c t i o n a la u t h e n t i c a t i o nb a s e do i lp u b l i c - k e y 基于公开密钥的双向身份认证与其单向身份认证的变形基本相同，只不过a 和b 使用不同的r 值。由于a ，b 双方的密钥是非对称的，因此桥接攻击不起作用。这里要 注意的是如何取得对方的公开密钥，这需要可靠中继的帮助。 2 4 4 基于数宇证书的身份认证 、 在基于公开密钥密码体制的身份认证中，需要知道认证双方的公开密钥，身份认证 协议的关键是确保公开密钥的真实性，如果公开密钥被故意假冒，则认证会导致严重的 安全问题。因此，关键问题是解决公开密钥的真实性。 一个解决的办法是采用数字证书的方式来保证实体的公开密钥的真实性，其认证原 理如图2 6 所示。证书由实体的身份标识、公开密钥、对身份标识和公开密钥的数字签 名以及其他附加信息组成，数字签名由可信第三方来完成【8 】【9 。 ( 1 ) 进行身份认证时，a 取得b 的证书c b ，并利用可信第三方的公开密钥对c b ， 进行验证，然后生成会话密钥k 。，用b 的公开密钥对自己的身份标识和k 。、进行加密 p k b ( a ，k ；) ，然后将结果e p 船( a ，k ) = p k b ( a ，k 5 ) 和自己的证书c a 发送给b 。 ( 2 ) b 接收到信息后，利用可信第三方的公开密钥对证书c a 进行验证，然后对p k b ( a ，k s ) 进行解密，d s k b ( p k b ( a ，k ；) ) = ( a ，k 。) ，利用a 的公开密钥对自己的身份标识b 和k 。进行加密，e p 队( b ，k s ) = p k a ( b ，k 。) ，然后将结果p k a ( b ，k 。) 返回给a 。 ( 3 ) a 接收到p k a ( b ，k ；) ，进行解密，d s x a ( p k a ( b ，k 。) ) = ( b ，k s ) ，验证k 。，完成 身份认证，并建立会话密钥k s 1 0 1 。 1 2 东北大学硕士学位论文第二章用户身份认征技术研究 | p i ( ec a k s ) c b 卜 p k “b ，k s ) ，c 8 图2 6 基于数字证书的身份认证 f i g 2 6u s e e 锄王t h e n t i c a 主i o nb a s e do nd i g i t a lc e m f i c a t e 2 5 基于生物特征的用户身份认证技术 2 5 1 生物识别技术的特点 长期以来，在人类社会活动中需要验证个人身份时，传统的方法是验证该人是否持 有有效的证明文件或信物，核对照片、密码或钥匙、磁卡、i c 卡等。从本质上来说，这 种方法验证的是该人持有的某种“物”，而不是验证其本人。只要“物”的有效性得到 确认，则持有该“物”的人的身份也就随之得到确认。这种以“物”认人的办法的漏洞 是显而易见的。首先，合法的人如果遗失验证其身份的“物”( 如密码、钥匙等) ，则合 法的人本身得不到合法的验证。其次，各种伪造证件、信物以及密码被破译或盗用又使 非法的人得到合法的验证。因此人们开始寻找一种认人不认物的直接验证方法，这就是 所谓的“人体生物特征身份鉴别技术”。它根据每各人自身具有的生物特征来鉴别每个 人的真实身份，为确保其准确性与可靠性，它要求这些特征具有“人各有异”、“终身不 变”和“随身携带”三个特点。迄今为止的现代科学技术发现同时兼具这三个特点的人 体生物特征有三个：一是指纹；二是虹膜( 视网膜毛细血管分布图) ；三是人体细胞的 遗传基因( d n a 结构) 。其他还有一些虽然不能完全具备上述三个特点，但尚能在一段 时间内具有“人各有异”特点的生物特征，如面容、掌纹、声音、行为动作( 如签名、 击键方式等) 等等。 随着我们逐渐迈入数字时代，基于生物特征的身份认证技术愈加显示出它的价值。 因此可以说，生物鉴别技术是身份识别技术的未来。 2 5