董 霽，國 煒，杜 云/Dong Ji,Guo Wei,Du Yun

（中國信息通信研究院 北京100191）

（China Academy of Information and Communication Technology,Beijing 100191,China）

1 前言

隨著萬物互聯(lián)、工業(yè)4.0和5G技術(shù)等眾多新興概念的提出，互聯(lián)網(wǎng)思維已經(jīng)深入人們的生活，互聯(lián)網(wǎng)跨界融合應(yīng)用創(chuàng)新的浪潮已經(jīng)席卷各行各業(yè)，逐漸推動互聯(lián)網(wǎng)與傳統(tǒng)行業(yè)的橫向整合和縱向重塑，對企業(yè)的生產(chǎn)行為、傳統(tǒng)行業(yè)轉(zhuǎn)型和民眾生活改善產(chǎn)生了深遠(yuǎn)影響，互聯(lián)網(wǎng)的深度跨界融合意味著“互聯(lián)網(wǎng)+”時代的開啟。

民生、工業(yè)、金融、信息通信等各領(lǐng)域通過互聯(lián)網(wǎng)關(guān)聯(lián)在一起，用戶和企業(yè)等各實體以不同的身份在互聯(lián)網(wǎng)這個虛擬的世界中完成各自的角色，各種傳統(tǒng)和新型的身份認(rèn)證技術(shù)借助智能終端、移動互聯(lián)網(wǎng)、智能驗證設(shè)備、藍(lán)牙、NFC技術(shù)的快速演進(jìn)，在“互聯(lián)網(wǎng)+”時代迎來了前所未有的發(fā)展。同時，安全的身份認(rèn)證技術(shù)涉及互聯(lián)網(wǎng)中各實體的切身利益，也逐漸得到了更多關(guān)注。

2 技術(shù)發(fā)展與趨勢

2.1 身份識別與認(rèn)證技術(shù)發(fā)展

身份識別和認(rèn)證技術(shù)是指對網(wǎng)絡(luò)中的通信實體進(jìn)行確認(rèn)的技術(shù)，身份信息的識別是確認(rèn)用戶的真實身份，而認(rèn)證是確認(rèn)該身份是否為通信中聲明的身份?；ヂ?lián)網(wǎng)中每層應(yīng)用系統(tǒng)中的各實體都需要進(jìn)行身份鑒定，而用戶所關(guān)心且安全問題最突出的是應(yīng)用層上用戶身份的識別與認(rèn)證。依據(jù)識別對象的類型，可以將身份識別和認(rèn)證方式大體分為3個因素：用戶對某個秘密知曉程度的驗證、用戶對物理介質(zhì)令牌擁有權(quán)的驗證和用戶生理特征的驗證。這3種身份識別類型通過不同的技術(shù)方式實現(xiàn)。

傳統(tǒng)的身份識別技術(shù)以用戶靜態(tài)密碼和智能卡為主。靜態(tài)密碼技術(shù)依靠用戶對身份識別密碼的記憶能力實現(xiàn)身份認(rèn)證，存在密碼泄露和密碼遺忘等安全問題；而智能卡模式依賴于射頻技術(shù)，也會出現(xiàn)人卡分離、多人一卡的情況。傳統(tǒng)的身份認(rèn)證模式多用于獨立的互聯(lián)網(wǎng)賬戶登錄和門禁系統(tǒng)，基于生物特征識別技術(shù)和PKI技術(shù)的新型身份認(rèn)證技術(shù)隨著“互聯(lián)網(wǎng)+”時代的來臨迅速發(fā)展，得到了廣泛應(yīng)用。

2.2 身份識別與認(rèn)證技術(shù)演進(jìn)

2.2.1 靜態(tài)口令

靜態(tài)口令是應(yīng)用最廣泛、最簡單的一種身份認(rèn)證技術(shù)，它將用戶名和口令作為身份認(rèn)證信息，在首次登錄系統(tǒng)時，用戶輸入用戶名和口令，認(rèn)證信息一次性產(chǎn)生并保持不變。在使用過程中，登錄系統(tǒng)將用戶名和口令通過互聯(lián)網(wǎng)傳輸給服務(wù)器，在服務(wù)器端將用戶鍵入的身份信息與保存的身份信息進(jìn)行對比，信息一致則通過身份驗證。整個認(rèn)證主要包括用戶名和口令的創(chuàng)建、存儲、輸入、傳輸和驗證過程，用戶名和口令的日常維護(hù)和更新相對麻煩。

靜態(tài)口令技術(shù)多用于簡單賬戶的注冊過程，僅可以實現(xiàn)身份認(rèn)證的基本需求，無法實現(xiàn)保密性、完整性等更高的安全需求，適用于安全級別較低的信息系統(tǒng)。

2.2.2 動態(tài)口令

動態(tài)口令技術(shù)是對傳統(tǒng)靜態(tài)口令基于安全需求的改進(jìn)。動態(tài)口令技術(shù)依據(jù)特定的算法生成一個不可預(yù)測的隨機數(shù)字組合，每個密碼只能使用一次，被廣泛應(yīng)用在電子商務(wù)、企業(yè)、網(wǎng)游等領(lǐng)域。首先用戶輸入啟用令牌的口令；然后將令牌上顯示的數(shù)字作為系統(tǒng)的口令輸入，令牌上的數(shù)字與認(rèn)證服務(wù)器同步，保持一定的更新速率；最后用戶實際登錄到應(yīng)用系統(tǒng)的口令可以做到“一次一密”。

依據(jù)令牌產(chǎn)生模式的差異，動態(tài)口令技術(shù)有同步方式和異步方式兩種解決方案。對于同步方式的動態(tài)口令技術(shù)，在初始化令牌時，已經(jīng)實現(xiàn)了客戶端令牌和服務(wù)器端軟件間的密鑰、時鐘、時間計數(shù)器的同步，在用戶進(jìn)行身份認(rèn)證的過程中，客戶端令牌和服務(wù)器端軟件基于同步的數(shù)據(jù)，進(jìn)行特定的密碼計算，將結(jié)果傳送至認(rèn)證服務(wù)器并和服務(wù)器保存的身份信息進(jìn)行比較，兩邊運算結(jié)果一致則驗證通過；異步方式的動態(tài)口令技術(shù)，在初始化同步后，當(dāng)用戶登錄系統(tǒng)時，認(rèn)證服務(wù)器給用戶發(fā)送一個隨機數(shù)，用戶將該數(shù)字輸入客戶端令牌，令牌經(jīng)計算返回一個新的數(shù)據(jù)，用戶將令牌返回的數(shù)據(jù)發(fā)送給認(rèn)證服務(wù)器，認(rèn)證服務(wù)器將返回的數(shù)據(jù)和計算出的數(shù)據(jù)進(jìn)行比較，一致則通過驗證。同步和異步的區(qū)別主要在于認(rèn)證服務(wù)器和用戶令牌在身份認(rèn)證過程中是否交互。認(rèn)證過程中令牌的形式可以為硬件令牌、短信密碼、手機令牌和軟件令牌4種。硬件令牌產(chǎn)品如圖1所示，令牌上顯示的數(shù)字為用戶輸入的動態(tài)口令。

動態(tài)口令技術(shù)解決了靜態(tài)口令的安全弱點，具有較高的安全性，使用方便且能保證良好的平臺無關(guān)性，已經(jīng)成為一些行業(yè)中采用的主流身份認(rèn)證技術(shù)。

2.2.3 射頻識別技術(shù)

射頻識別（Radio Frequency Identification，RFID）技術(shù)是一種非接觸式的自動身份識別技術(shù)，通過無線電信號識別特定的目標(biāo)并進(jìn)行一定的數(shù)據(jù)讀寫，多應(yīng)用于門禁管理、校園、物流和公共交通出行。射頻系統(tǒng)的工作范圍可以是低頻、高頻、超高頻和微波，典型的RFID系統(tǒng)一般由電子標(biāo)簽、讀卡器和后端應(yīng)用系統(tǒng)構(gòu)成[1]，電子標(biāo)簽的核心是芯片和無線通信天線，芯片保存了用戶的身份信息，射頻天線和讀卡器進(jìn)行通信。RFID的工作流程主要分為3個過程：首先，電子標(biāo)簽進(jìn)入讀卡器的感應(yīng)范圍后，接收讀卡器的射頻信號并將標(biāo)簽內(nèi)存儲的相關(guān)信息發(fā)送給讀卡器；然后，讀卡器接收信息，并將解碼后的信息發(fā)送給后端應(yīng)用系統(tǒng)進(jìn)行數(shù)據(jù)處理；最后，后端應(yīng)用系統(tǒng)對數(shù)據(jù)進(jìn)行驗證，完成用戶身份識別。

電子標(biāo)簽本身可以很薄，材質(zhì)可彎曲，可以印制在紙張、塑料、木材、玻璃等眾多材料上，標(biāo)簽內(nèi)的應(yīng)用程序可讀取和改寫[2]。在很多應(yīng)用場景下，電子標(biāo)簽以智能卡形式由用戶持有，卡片樣式種類豐富，如圖2所示。智能卡通過特殊的結(jié)構(gòu)保證卡內(nèi)的身份信息不被輕易泄露，每個智能卡ID信息具有唯一性，通過RFID的后端應(yīng)用系統(tǒng)將卡ID和用戶身份信息綁定，實現(xiàn)身份認(rèn)證。射頻識別技術(shù)具有體積小、掃描快、可重復(fù)使用、穿透性強、存儲容量大等特點，在國內(nèi)各行業(yè)被廣泛應(yīng)用。

2.2.4 USB Key

USB Key（密碼鎖）是一種內(nèi)置單片機或者芯片的USB接口硬件設(shè)備，一般作為硬件數(shù)字證書載體，如圖3所示。密碼鎖中存儲了用于識別用戶身份信息的私鑰和數(shù)字證書，基于PKI（Public Key Infrastructure，公鑰基礎(chǔ)設(shè)施）技術(shù)實現(xiàn)互聯(lián)網(wǎng)環(huán)境中的用戶身份認(rèn)證。

一個自然人或者一個企業(yè)在不同的應(yīng)用系統(tǒng)中可能擁有不同的角色，但是對于每個獨立的系統(tǒng)都必須擁有一個特定的身份信息，這種身份信息在不同的應(yīng)用系統(tǒng)中難以互相認(rèn)證，尤其是在“互聯(lián)網(wǎng)+”時代，這種多重的身份認(rèn)證會造成系統(tǒng)的重復(fù)開發(fā)和重復(fù)投入，產(chǎn)生大量的資源浪費。PKI就可以在一定程度上解決這個問題。不同于對稱密碼算法，在PKI體系中，身份信息的識別和認(rèn)證基于不可逆的數(shù)學(xué)算法，通過不同算法的數(shù)學(xué)復(fù)雜度來完成加密和解密以及簽名和驗簽的運算，通過公鑰加密的數(shù)據(jù)只能由私鑰解密，通過私鑰簽名的文件只能由公鑰驗簽，保證了每個用戶只需要使用一對非對稱密鑰就可以在互聯(lián)網(wǎng)中實現(xiàn)基本的身份認(rèn)證。

PKI的核心是信任鏈體系的建立，主要由數(shù)字證書、頒發(fā)證書的證書認(rèn)證中心（CA）、證書持有者、使用證書服務(wù)的證書用戶、證書注冊機構(gòu)（RA）、證書存儲和查詢服務(wù)器以及證書狀態(tài)查詢和驗證服務(wù)器組成，如圖4所示。其中，CA是PKI中的關(guān)鍵機構(gòu)，是互聯(lián)網(wǎng)中通信雙方都信任的實體，提供數(shù)字證書的發(fā)放、管理、廢除等服務(wù)，對證書和密鑰進(jìn)行管理。CA作為身份認(rèn)證中可信的第三方，實現(xiàn)用戶身份的識別和認(rèn)證，作為數(shù)字證書系統(tǒng)中通信雙方都信任的實體，被稱為可信第三方[3]。

USB Key中的私鑰只有身份擁有者才可以持有，而標(biāo)準(zhǔn)的數(shù)字證書結(jié)構(gòu)可以在多種應(yīng)用場景中進(jìn)行身份互認(rèn)，在進(jìn)行用戶身份認(rèn)證的同時，也可以為用戶的操作行為進(jìn)行保障，目前廣泛應(yīng)用于網(wǎng)上銀行等安全需求較高的應(yīng)用系統(tǒng)中。用戶登錄系統(tǒng)時，應(yīng)用系統(tǒng)出示CA為服務(wù)器發(fā)放的服務(wù)器證書，用戶出示USB Key中的用戶數(shù)字證書，實現(xiàn)了用戶和系統(tǒng)的雙向認(rèn)證。基于PKI體系的身份認(rèn)證和數(shù)字簽名，可以對身份信息的傳輸進(jìn)行加密和簽名，整個認(rèn)證過程具有保密性、完整性和不可抵賴性?！吨腥A人民共和國電子簽名法》中明確指出，數(shù)字簽名和手寫簽名具有同等的法律效力，因此，USB Key及PKI技術(shù)為“互聯(lián)網(wǎng)+”時代的身份認(rèn)證提供了強有力的保障。

2.2.5 生物識別技術(shù)

生物識別技術(shù)是通過驗證人類獨特的生理或行為特征的個人身份鑒別技術(shù)，生物特征不同于基于口令和物理介質(zhì)的認(rèn)證方式，人的特有屬性不會被遺忘或丟失。選擇具有普遍性、唯一性、穩(wěn)定性、可采集性的生物特征作為用戶身份信息，目前已經(jīng)被采用的有人臉識別、指紋識別、虹膜識別、手形識別、掌紋識別、簽名識別和聲音識別[4]。

其中，應(yīng)用最為廣泛的是指紋識別，指紋識別技術(shù)相對于其他生物識別技術(shù)來說，占據(jù)較大的優(yōu)勢，算法也相對成熟。指紋是手指末端正面皮膚上的紋路，這些紋路的圖案、端點和交叉點均不相同，這些特征自出生之日便不會再改變，符合生物識別的唯一性和不變性。借助數(shù)字圖像處理和模式識別技術(shù)，應(yīng)用系統(tǒng)通過指紋采集設(shè)備，依據(jù)特定的算法和規(guī)則對指紋紋路成像進(jìn)行處理，提取指紋特征數(shù)據(jù)，與系統(tǒng)保存的用戶指紋特征數(shù)據(jù)進(jìn)行對比，在短時間內(nèi)實現(xiàn)用戶身份的識別和認(rèn)證。

目前，生物識別技術(shù)已經(jīng)廣泛應(yīng)用于智能終端、門禁和金融交易等領(lǐng)域，逐漸發(fā)展為一種可靠、便捷、安全的身份識別和認(rèn)證手段。

2.2.6 雙因素身份認(rèn)證

前文提到身份識別和認(rèn)證的3個因素：用戶對某個秘密知曉程度的驗證、用戶對物理介質(zhì)令牌擁有權(quán)的驗證和用戶生理特征的驗證。簡單來說，第一因素是用戶知道的信息，第二因素是用戶擁有的物理介質(zhì)，第三因素是用戶具備的唯一特征。從安全性和應(yīng)用成本考慮，這3個因素獨立使用時都會具有一定的短板。雙因素認(rèn)證是指將前兩種因素結(jié)合的身份認(rèn)證技術(shù)，在未過多增加成本的情況下提升了認(rèn)證系統(tǒng)的安全性。

雙因素認(rèn)證的安全強度取決于兩個因素的選擇，動態(tài)口令技術(shù)是一種典型的雙因素認(rèn)證技術(shù)，借助用戶記憶的口令和令牌介質(zhì)生成的口令實現(xiàn)安全性較強的身份認(rèn)證，而某些門禁系統(tǒng)采用的“密碼+智能卡”身份認(rèn)證屬于較弱的用戶身份鑒定。但總體來講，雙因素身份認(rèn)證相較于獨立的基于口令或物理介質(zhì)的認(rèn)證來說，其認(rèn)證確定性以指數(shù)形式遞增[5]。

3 安全問題

3.1 安全問題技術(shù)

3.1.1 靜態(tài)口令

傳統(tǒng)的“用戶名+口令”身份驗證方式以靜態(tài)數(shù)據(jù)作為用戶的身份信息，在用戶身份鑒定過程中會暴露很多安全缺陷，例如，容易被偷看、猜測、字典攻擊、暴力破解、竊取、監(jiān)聽、重放攻擊和木馬攻擊等。

（1）口令猜測

早期的應(yīng)用系統(tǒng)可以在低權(quán)限條件下實現(xiàn)用戶名列表的獲取，并允許默認(rèn)用戶名和內(nèi)建賬戶的存在，使口令猜測成為可能。依托攻擊者獲取的信息，靜態(tài)口令的安全威脅從單點密碼猜解，逐漸推演出單用戶大密碼檔猜測、多用戶常見密碼猜測和目前頻繁曝出的拖庫后的撞庫攻擊。

（2）登錄過程嗅探

在用戶的登錄過程中，由于非加密協(xié)議Telnet和FTP的廣泛使用，基于地址解析協(xié)議（ARP）欺騙的網(wǎng)絡(luò)監(jiān)聽威脅變得更加普遍。尤其是處于無線網(wǎng)絡(luò)的登錄過程，很多網(wǎng)站對登錄頁面采用不安全的HTTP，攻擊者通過網(wǎng)絡(luò)抓包可輕易獲得用戶的登錄名和密碼。

靜態(tài)口令技術(shù)以其簡單方便的部署機制在安全性要求不高的系統(tǒng)中被廣泛使用，但卻無法滿足“互聯(lián)網(wǎng)+”時代跨界融合身份識別和認(rèn)證的安全需求。

3.1.2 動態(tài)口令

相比于傳統(tǒng)的靜態(tài)密碼，動態(tài)密碼具備理論證明級的安全，理論上保證“一次一密”。但是在實際使用中，受到密碼空間的限制，只能做到“偽一次一密”。

以短信令牌動態(tài)口令為例，用戶首先向系統(tǒng)請求動態(tài)令牌，應(yīng)用系統(tǒng)將特定位隨機數(shù)作為令牌，以短信形式發(fā)送到用戶手機上。用戶在登錄或者金融交易時輸入動態(tài)令牌和口令，保證身份識別和認(rèn)證的安全性。但是這種驗證方式也有一些弊端，首先是接收短信有一定滯后性，動態(tài)令牌一般都有實效性，但是若用戶處于手機信號較差的區(qū)域，往往認(rèn)證時間已經(jīng)過了，用戶還沒有收到短信，嚴(yán)重影響了用戶對應(yīng)用系統(tǒng)的使用。另一方面，隨著惡意應(yīng)用的增多，用戶的手機短信易被攻擊者竊取，損害用戶利益。

不僅是短信動態(tài)密碼，硬件令牌、手機令牌和軟件令牌均受限于實際使用環(huán)境，存在一定的安全隱患。

3.1.3 射頻識別技術(shù)

基于RFID的身份識別和認(rèn)證過程，用戶的身份信息多存儲于智能卡中，智能卡的硬件不能被復(fù)制，可以保護(hù)用戶身份不會被仿冒，但是在身份識別過程中，讀卡器從智能卡中讀取的數(shù)據(jù)是靜態(tài)的，通過內(nèi)存掃描或者網(wǎng)絡(luò)監(jiān)聽等技術(shù)也可以截獲用戶的身份認(rèn)證信息，產(chǎn)生安全威脅。

3.1.4 USB Key

USB Key作為硬件介質(zhì)存儲了用戶的身份信息，用戶的私鑰存儲在USB Key中，不能被導(dǎo)出，所有的加/解密算法均在密碼鎖的芯片或者單片機中完成，PKI體系在技術(shù)實現(xiàn)上是一套比較安全的、成熟的身份認(rèn)證機制。然而在具體實現(xiàn)中，交互操作和數(shù)據(jù)傳輸仍存在安全漏洞。攻擊者可通過遠(yuǎn)程控制偽造用戶的交互操作，通過交易數(shù)據(jù)的攔截，篡改用戶交易，造成用戶財產(chǎn)損失。

3.1.5 生物識別技術(shù)

生物識別技術(shù)是一種強認(rèn)證的識別技術(shù)，基于認(rèn)證實體不可脫離的特征作為用戶的身份信息，優(yōu)勢在于身份信息先天具備，但是這種特征是一種可以被獲取卻不能被廢止的憑據(jù)，一個自然人只有1張臉、2個虹膜、2個掌紋和10個指紋，與其他身份認(rèn)證相比，處于明顯的劣勢。同時，由于生物數(shù)據(jù)采集環(huán)境的差異，有可能出現(xiàn)正確用戶被拒絕或者非法用戶被允許的情況。生物特征雖然獨特，但隨著信息技術(shù)的發(fā)展，這些特征也可以被復(fù)制，例如指膜制作和面部3D打印。

以生物識別作為用戶身份識別和認(rèn)證的系統(tǒng)往往應(yīng)用于高安全等級的系統(tǒng)，產(chǎn)生的安全風(fēng)險將會造成重大的安全問題。

3.2 解決方案

通過安全問題介紹可知，單種類的身份識別和認(rèn)證技術(shù)很難保證認(rèn)證的準(zhǔn)確性，而安全性高的技術(shù)成本也隨之增高。可以借助多種方式解決互聯(lián)網(wǎng)用戶身份鑒定的安全問題，通過雙因素身份認(rèn)證控制認(rèn)證成本并提高認(rèn)證安全性，通過對認(rèn)證技術(shù)的研究推進(jìn)技術(shù)創(chuàng)新，通過對用戶的信息安全教育改善用戶的使用習(xí)慣等。

對于實際使用的應(yīng)用系統(tǒng)，可以采用多種身份認(rèn)證相互交叉選擇的方式。以支付寶為例，賬戶身份認(rèn)證包括登錄密碼、手機綁定、實名認(rèn)證等安全認(rèn)證技術(shù)；支付時用戶身份的認(rèn)證方式包括支付密碼、數(shù)字證書、支付盾和寶令等安全技術(shù)。在“互聯(lián)網(wǎng)+”時代，除了通過技術(shù)演進(jìn)提升認(rèn)證安全性外，還可以通過多種身份識別和認(rèn)證的融合，全面提升應(yīng)用系統(tǒng)的安全性，保障用戶信息安全。

4 結(jié)束語

在“互聯(lián)網(wǎng)+”時代，用戶身份認(rèn)證是安全的第一道大門，是各種安全措施發(fā)揮作用的前提?？梢灶A(yù)見，身份識別技術(shù)會越來越先進(jìn)，例如指紋、面部、密碼和加密裝置等。一旦加密技術(shù)打開大門，網(wǎng)絡(luò)認(rèn)證對現(xiàn)實世界的滲透會越來越廣泛。同時，隨著大數(shù)據(jù)的發(fā)展、兩化融合的普及，互聯(lián)網(wǎng)承擔(dān)信息生活的大部分業(yè)務(wù)，網(wǎng)絡(luò)中存儲了用戶和企業(yè)的大量行為數(shù)據(jù)，網(wǎng)絡(luò)安全和隱私也會變得越來越受重視。

[1]段永峰.智能卡身份認(rèn)證系統(tǒng)的設(shè)計與實現(xiàn)[D].電子科技大學(xué),2013.

[2]章軼.射頻識別系統(tǒng)及其認(rèn)證協(xié)議的研究[D].解放軍信息工程大學(xué),2007.

[3] 董霽,袁廣翔,馬鑫.數(shù)字認(rèn)證在移動互聯(lián)網(wǎng)中的應(yīng)用研究[J].互聯(lián)網(wǎng)天地,2014,3:41-44.

[4] 孫冬梅,裘正定.生物特征識別技術(shù)綜述[J].電子學(xué)報,2001, S1:1744-1748.

[5] 寧璇.基于指紋識別與智能卡的身份認(rèn)證系統(tǒng)設(shè)計[D].北京郵電大學(xué),2009.