李向明

（國(guó)電財(cái)務(wù)有限公司，北京 100044）

0 引言

近年來(lái)，指紋認(rèn)證技術(shù)以其安全可靠、方便隨身、不可轉(zhuǎn)讓等優(yōu)勢(shì)［1］越來(lái)越多的應(yīng)用在重要信息系統(tǒng)認(rèn)證中，例如企業(yè)集團(tuán)資金管理系統(tǒng)［2］、財(cái)務(wù)系統(tǒng)［3］、金融機(jī)構(gòu)業(yè)務(wù)系統(tǒng)［4］等，常用的使用模式是用戶按持有的指紋UsbKey查驗(yàn)指紋，指紋認(rèn)證通過(guò)則進(jìn)入系統(tǒng)，用戶在執(zhí)行重要操作時(shí)也進(jìn)行指紋認(rèn)證確認(rèn)。如何管理指紋信息，如何對(duì)指紋信息采集、存儲(chǔ)、下發(fā)、查詢、監(jiān)督審計(jì)進(jìn)行全流程安全管理，是使用指紋認(rèn)證技術(shù)中一個(gè)重要前提，關(guān)系到指紋認(rèn)證的安全性和方便性，本文對(duì)指紋信息庫(kù)管理系統(tǒng)設(shè)計(jì)和應(yīng)用進(jìn)行了一些研究探索，可供借鑒參考。

1 應(yīng)用場(chǎng)景和管理需求

某大型企業(yè)集團(tuán)為加強(qiáng)財(cái)務(wù)信息系統(tǒng)安全管理，在系統(tǒng)登錄和資金支付環(huán)節(jié)加入指紋認(rèn)證，用戶按持有的指紋UsbKey（見圖1）查驗(yàn)指紋，指紋認(rèn)證通過(guò)則進(jìn)入系統(tǒng)，用戶在執(zhí)行資金支付或付款審核操作時(shí)，再次進(jìn)行指紋認(rèn)證確認(rèn)［5］。指紋認(rèn)證的運(yùn)行有賴于指紋信息的采集，以及將指紋灌輸?shù)街讣yUsbKey中，這是保障信息系統(tǒng)指紋認(rèn)證模式的基礎(chǔ)條件［6］。為實(shí)現(xiàn)系統(tǒng)用戶指紋信息的采集管理及指紋在UsbKey中灌輸使用，需要構(gòu)建指紋信息庫(kù)管理系統(tǒng)，實(shí)現(xiàn)客戶指紋信息的集中存儲(chǔ)管理［7］；實(shí)現(xiàn)通過(guò)指紋信息管理系統(tǒng)生成用戶指紋UsbKey，能夠?yàn)橛脩舴奖愕毓嘀粕蓭в兄讣y的UsbKey，同時(shí)實(shí)現(xiàn)客戶指紋業(yè)務(wù)的全流程安全管理，指紋的采集、驗(yàn)證、存儲(chǔ)、下發(fā)、查詢、日志審計(jì)都在指紋庫(kù)統(tǒng)一管控下完成，保證指紋UsbKey信息的合法性和安全性。

2 系統(tǒng)設(shè)計(jì)

2.1 應(yīng)用設(shè)計(jì)

2.1.1 基本功能設(shè)計(jì)

圖1 指紋UsbKey示意圖

指紋采集管理：對(duì)用戶指紋采集進(jìn)行管理，指紋采集設(shè)備（見圖2）可以讀取二代身份證信息［8］，具有登陸語(yǔ)音提示功能，通過(guò)語(yǔ)音提示指導(dǎo)用戶采集指紋。為確保指紋采集質(zhì)量、確保指紋采集的唯一性，指紋采集后系統(tǒng)能夠進(jìn)行指紋驗(yàn)證確認(rèn)滿足正常使用要求。

圖2 指紋采集設(shè)備示意圖

指紋核查：用戶進(jìn)行指紋采集時(shí)，系統(tǒng)對(duì)該用戶采集的當(dāng)前手指先進(jìn)行指紋核查處理，如發(fā)現(xiàn)該枚手指在指紋信息庫(kù)中已經(jīng)存在，系統(tǒng)會(huì)自動(dòng)拒絕該枚手指再次注冊(cè)。

指紋驗(yàn)證：在用戶完成指紋采集后可驗(yàn)證指紋采集質(zhì)量滿足正常使用要求，提供兩個(gè)驗(yàn)證方式，一是指紋采集入庫(kù)后，直接按手指與剛采集的指紋信息比對(duì)，檢查入庫(kù)指紋信息的可識(shí)別性；二是指紋下發(fā)到指紋UsbKey中后，與指紋UsbKey中存儲(chǔ)的指紋信息比對(duì)，檢查指紋UsbKey中指紋信息的可識(shí)別性。

指紋更新管理：對(duì)用戶采集的指紋進(jìn)行重新采集或補(bǔ)充采集未采集的手指指紋。

指紋下發(fā)管理：把已采集完成的用戶指紋信息下發(fā)到用戶UsbKey中。

指紋信息管理：指紋信息的重新采集、刪除，修改指紋UsbKey關(guān)聯(lián)編號(hào)等信息。

雙人操作：為保證指紋采集安全性，系統(tǒng)設(shè)計(jì)為操作員采集完成后需要另外一個(gè)操作員按指紋復(fù)核，之后指紋信息才能入庫(kù)。

日志管理：指紋采集、更新、下發(fā)日志及日常操作日志。

業(yè)務(wù)統(tǒng)計(jì)：對(duì)指紋采集的數(shù)量、指紋下發(fā)的數(shù)量、手指指紋數(shù)量等進(jìn)行統(tǒng)計(jì)分析；

離線指紋采集：在暫時(shí)不能與指紋信息庫(kù)聯(lián)網(wǎng)的情況下，對(duì)用戶進(jìn)行指紋采集，并將指紋加密存儲(chǔ)于本地計(jì)算機(jī)并下發(fā)到用戶UsbKey中；在與指紋庫(kù)聯(lián)網(wǎng)時(shí)，能夠進(jìn)行指紋上傳及核查。

2.1.2 應(yīng)用流程設(shè)計(jì)

指紋信息庫(kù)管理系統(tǒng)主要應(yīng)用流程有：指紋采集流程、指紋更新流程、指紋下發(fā)流程，每個(gè)流程都有在線和離線兩種方式。下面以在線采集和離線采集為例，設(shè)計(jì)流程如下：

（1）在線指紋采集流程：通過(guò)專用網(wǎng)絡(luò)直接連到指紋信息管理系統(tǒng)，必填信息項(xiàng)為身份證號(hào)、用戶指紋UsbKey編號(hào)、用戶名，其中身份證號(hào)、用戶名可以通過(guò)身份證閱讀器讀入，用戶指紋UsbKey編號(hào)由指紋管理員分配。（具體流程見圖3）

圖3 在線指紋采集流程示意圖

（2）離線指紋采集流程：當(dāng)用戶在采集地不能通過(guò)網(wǎng)絡(luò)直接連到指紋庫(kù)管理系統(tǒng)時(shí)，采用指紋離線客戶端軟件采集用戶的指紋信息，用戶指紋暫時(shí)保存在離線客戶端軟件中。待能夠與指紋庫(kù)管理系統(tǒng)聯(lián)網(wǎng)時(shí)，通過(guò)離線客戶端軟件的上傳功能將已經(jīng)采集的指紋信息上傳到指紋信息庫(kù)中。（具體流程見圖4）

2.2 系統(tǒng)部署架構(gòu)設(shè)計(jì)

指紋信息管理系統(tǒng)由指紋硬件引擎、指紋信息庫(kù)、前臺(tái)在線管理系統(tǒng)、指紋離線采集軟件、指紋采集設(shè)備、指紋UsbKey等組成（見圖5）。指紋引擎為指紋信息庫(kù)管理系統(tǒng)提供基礎(chǔ)的支撐服務(wù)，采用雙機(jī)熱備模式，提供算法引擎、建庫(kù)查重功能，提供安全控制機(jī)制，確保指紋信息庫(kù)的安全，提供標(biāo)準(zhǔn)Web Service接口給指紋信息庫(kù)管理系統(tǒng)調(diào)用；在線指紋信息管理系統(tǒng)采用B／S架構(gòu)，實(shí)現(xiàn)指紋信息全流程管理，包括在線指紋采集、指紋下發(fā)、用戶管理、指紋稽查、日志管理、統(tǒng)計(jì)分析、系統(tǒng)配置等功能；指紋信息庫(kù)利用Oracle數(shù)據(jù)庫(kù)RoseMirrorHA實(shí)現(xiàn)雙機(jī)熱備，為指紋數(shù)據(jù)提供安全可靠的存儲(chǔ)空間；指紋硬件采集設(shè)備是提供指紋注冊(cè)與二代身份證信息讀取功能為一體的硬件終端設(shè)備；指紋離線管理軟件提供離線指紋采集、指紋下發(fā)及在線指紋上傳等功能的C／S架構(gòu)客戶端軟件。

圖4 離線指紋采集流程示意圖

圖5 系統(tǒng)部署架構(gòu)示意圖

2.3 系統(tǒng)安全設(shè)計(jì)

指紋信息的安全性是指紋認(rèn)證的前提，指紋信息管理系統(tǒng)在安全方面采用如下設(shè)計(jì)。

2.3.1 指紋信息防重放

由于指紋具備獨(dú)一無(wú)二的特性，所以使用者每次產(chǎn)生的指紋特征值皆會(huì)有所不同。利用這一點(diǎn)系統(tǒng)設(shè)計(jì)為如果在驗(yàn)證服務(wù)的過(guò)程中出現(xiàn)相同重復(fù)的指紋特征值，顯示該指紋信息極有可能被中途攔截或破解，系統(tǒng)將自動(dòng)拒絕認(rèn)證。

2.3.2 指紋傳輸防篡改

指紋信息管理系統(tǒng)網(wǎng)絡(luò)間傳輸?shù)闹讣y信息采用密鑰加密來(lái)進(jìn)行信息的整體保護(hù)（見圖6），同時(shí)在保障加密質(zhì)量的同時(shí)，為平衡安全性與傳輸效率，可以控制指紋信息傳輸包不大于一定字節(jié)數(shù)，有效保證指紋信息在網(wǎng)絡(luò)環(huán)境下能夠快捷傳輸。

2.3.3 指紋存儲(chǔ)防篡改

如圖7所示，為防止數(shù)據(jù)庫(kù)所儲(chǔ)存的指紋信息被篡改，系統(tǒng)設(shè)計(jì)為將所有存儲(chǔ)數(shù)據(jù)庫(kù)內(nèi)的指紋信息，都以比對(duì)模板方式儲(chǔ)存，而不是儲(chǔ)存指紋本身的特征值，所以即使是竊取了數(shù)據(jù)庫(kù)內(nèi)的指紋信息，也無(wú)法利用此信息進(jìn)行指紋認(rèn)證。

2.3.4 指紋比對(duì)錯(cuò)誤次數(shù)鎖定機(jī)制

圖6 指紋安全傳輸示意圖

圖7 系統(tǒng)設(shè)計(jì)方式圖

為保證指紋信息庫(kù)管理系統(tǒng)的登錄安全，系統(tǒng)設(shè)計(jì)為可以設(shè)定登錄用戶指紋比對(duì)錯(cuò)誤次數(shù)，當(dāng)某用戶指紋比對(duì)失敗達(dá)N（自定義設(shè)定）次后，系統(tǒng)自動(dòng)鎖定該用戶下的所有權(quán)限，并可以根據(jù)需要設(shè)定自動(dòng)解鎖時(shí)間或人工解鎖。

3 結(jié)語(yǔ)

本文從具體應(yīng)用場(chǎng)景出發(fā)，針對(duì)指紋識(shí)別技術(shù)應(yīng)用中面臨的問(wèn)題，從系統(tǒng)功能、系統(tǒng)部署、應(yīng)用流程、安全措施方面對(duì)指紋信息“如何管理”進(jìn)行了研究設(shè)計(jì)。此設(shè)計(jì)方案已成功應(yīng)用于某央企資金業(yè)務(wù)指紋認(rèn)證管理中，成為支撐指紋認(rèn)證的重要配套系統(tǒng)，在有效保障集團(tuán)資金安全方面發(fā)揮了重要作用。