身份認證技術 課件 第1-3章 概述、用戶知道什么、用戶有什么

第一章

概論目錄CONTENTS04身份認證中的安全威脅01身份認證的定義和分類02身份認證的應用場景03典型的身份認證方法01身份認證的定義和分類01身份認證的定義和分類身份認證（或“身份驗證”）是指計算機及網絡系統確認操作者身份的過程，也就是證實用戶的真實身份與其所聲稱的身份是否符合的過程。驗證用戶記憶的信息跟系統預先保存的信息是否一致。使用最多的認證方式有靜態(tài)文本口令和圖形口令。用戶知道什么：用戶知道什么驗證用戶是否持有某個實物（智能卡、USBKey、RFID設備、藍牙設備、動態(tài)口令設備等）。用戶有什么：用戶有什么驗證用戶獨特的生物特征（人臉、指紋、語音、掌紋、虹膜、靜脈、手寫簽名、走路姿態(tài)等）。用戶是誰：用戶是誰01身份認證的定義和分類作為確認操作者身份合法性的有效機制，身份認證的主要依據可以分為三類：用戶知道什么（Somethingyouknow）、用戶有什么（Somethingyouhave）、和用戶是誰（Somethingyouare）。02身份認證的應用場景在登錄社交媒體與通訊工具時，用戶輸入用戶名和密碼來驗證其身份。購物軟件除了事先需要通過用戶名密碼進行賬號登錄，還可能需要通過生物特征驗證，如人臉識別等方式完成支付確認。智能手機除可通過PIN碼或密碼進行解鎖外，可通過繪制特定的圖案實現圖案鎖解鎖，或利用生物信息識別解鎖。身份認證的應用在物聯網場景中可以確保每個設備都是可信任的，數據傳輸是安全的，系統不受惡意實體的侵入。許多國家現在都使用含有微芯片的電子身份證和護照，這些芯片存儲了持卡人的基本信息和生物識別數據，如指紋或面部掃描。在銀行和金融領域，身份認證是確保交易安全、防范欺詐和維護客戶信任的關鍵組成部分。02身份認證的應用場景在線服務與應用程序場景中：

設備及建筑物訪問場景中：公共服務與金融交易場景中：03典型的身份認證方法賬號\密碼模式是目前大多數網絡系統使用的身份認證方法，是通過用戶擁有的密碼與系統中的密碼進行匹配來確認用戶的合法性。智能卡廣泛應用于銀行、通信、交通以及門禁等各個領域，通過其內含芯片的不可復制性來保證用戶身份不被冒用。隨著技術的不斷革新，指紋、人臉等生物特征已經開始應用于考勤、支付等系統中。驗證碼是一種區(qū)分用戶是計算機還是人的全自動程序，是維護網絡空間安全的重要屏障之一。03典型的身份認證方法賬號\密碼：智能卡：生物特征：驗證碼：04身份認證中的安全威脅為了獲取用戶信息，攻擊者通常會針對不同的身份認證技術進行攻擊，從而帶來安全威脅。對于口令密碼來說，用戶在設定密碼的時候通常會選擇自己熟悉的數字編號。攻擊者可以通過窮舉、猜測、遍歷等方式來推斷用戶的口令。攻擊威脅除了存在口令被復制、盜取等面對攻擊的安全威脅，在用戶認證的過程中也存在一定的安全威脅，導致用戶信息的泄露，例如肩窺攻擊、網絡竊聽攻擊、重放攻擊等等。信息泄露風險人工智能模型本身還存在一定的缺陷，容易受到對抗樣本攻擊、模型反演攻擊等等，這會導致身份認證系統認證失效，網絡空間失去安全屏障，安全性能難以保證等問題。人工智能相關安全04身份認證中的安全威脅第二章

用戶知道什么目錄CONTENTS01靜態(tài)文本口令02圖形口令01靜態(tài)文本口令1.1靜態(tài)文本口令

自20世紀90年代互聯網進入千家萬戶以來，互聯網服務（如電子商務、社交網絡）蓬勃發(fā)展，賬號密碼稱為互聯網世界里保護用戶信息安全最重要的手段之一。目前大多數網絡系統所使用的最簡單的訪問控制方法，也是通過口令的匹配來確認用戶的合法性的。系統為每一個合法用戶建立一個ID/PW（賬號/密碼）對，當用戶登錄系統時，提示用戶輸入自己的賬號和密碼，系統通過核對用戶輸入的賬號密碼與系統內已有的合法用戶的ID/PW是否匹配，來驗證用戶的身份。

“賬號+密碼”身份驗證方式中提及的口令即為靜態(tài)文本口令，是由用戶自己設定的一串靜態(tài)數據，靜態(tài)文本口令一旦設定之后，除非用戶更改，否則將保持不變。這也成為了靜態(tài)文本口令的缺點，比如容易遭受偷窺、猜測、字典攻擊、暴力破解、竊取、監(jiān)聽、重放攻擊、木馬攻擊等。

靜態(tài)文本口令在系統安全性許可范圍內簡單易用，認證過程中不需要其它的輔助設備，成本低，容易更改，因而通用性較強。靜態(tài)文本口令仍是目前應用最為廣泛的認證方式之一，并且在未來一段時間內，其將仍然作為身份認證的一項重要手段。1.1靜態(tài)文本口令靜態(tài)文本口令的易用性和安全性互相排斥，兩者不能兼顧，簡單容易記憶的口令安全性弱，復雜的靜態(tài)口令安全性高但是不易記憶和維護；靜態(tài)文本口令的安全性低，容易遭受各種形式的安全攻擊；靜態(tài)文本口令的風險成本高，一旦泄密將可能造成最大程度的損失，而且在發(fā)生損失以前，用戶通常不知道口令已經泄露。靜態(tài)文本口令的使用和維護不便，特別一個用戶有幾個，甚至十幾個靜態(tài)口令需要使用和維護時，靜態(tài)口令遺忘以及遺忘以后所進行的掛失、重置等操作通常需要花費較多的時間和精力，為靜態(tài)口令的正常使用帶來影響。靜態(tài)口令文本的缺點：要求用戶在固定時間段內、固定設備上登陸不允許多人共享一個用戶名和口令限制口令的長度和內容要求定期更換口令1.1靜態(tài)文本口令靜態(tài)文本口令認證技術在面臨網絡攻擊時顯得非常脆弱。為了提高靜態(tài)文本口令認證系統的安全性，一些系統對用戶的口令管理設置了一定的限制，例如：助記符口令策略致力于幫助用戶創(chuàng)建易于記憶且難以破解的口令，通常是采取某種容易記憶的方式設置口令，例如，通過一個句子、一個數學公式、一個鍵盤位置組合的變形表達來幫助記憶，具有口令安全性強且容易記憶的特點。助記符口令策略：隨機口令策略利用隨機性來確?？诹畹陌踩?，但是用戶在記憶時存在很大的困難。用戶若為了方便記憶口令，借用記事本等記錄工具，則會帶來另外的安全隱患。以此隨機口令策略不具備很好的可用性，通常與其他口令策略結合使用。隨機口令策略：為了使口令集中的口令多樣化，當系統中一定數量的用戶創(chuàng)建了某同一模式的口令時，則系統要求該模式在之后不能被使用，即在此刻之后要注冊的用戶將被禁止創(chuàng)建該模式的口令。動態(tài)口令策略（“自適應口令生成策略”):1.2文本口令生成策略1.2文本口令生成策略

1.2文本口令生成策略基于馬爾可夫鏈模型的口令生成方法：馬爾可夫鏈用于描述系統狀態(tài)的轉換過程。馬爾可夫鏈每當需要執(zhí)行下一動作時，系統將根據所有可選動作的概率進行選擇，從而實現從一個狀態(tài)到另一個狀態(tài)的轉變，當然也可以選擇保持當前狀態(tài)。在處理序列與口令時，大多使用n階（n>=2）馬爾可夫鏈，即當前狀態(tài)的概率只與其前n-1個狀態(tài)相關。該方法分為訓練模型和口令生成兩個階段。首先為每條口令設定起始符和終止符。然后，在口令生成階段，利用條件概率表生成一個概率遞減的口令字典?；谏窠浘W絡的口令生成方法：基于神經網絡的Melicher口令生成方法：該方法使用長短期記憶神經網絡(LongShortTermMemory,LSTM)生成口令，網絡的預測值取決于其前文字符，如對于口令“bad”，前文字符為“ba”，預測值“d”?？诹钌呻A段與馬爾可夫鏈模型相似，不同的是，訓練完成后的模型理論上可以生成無限多條口令，所以生成口令時，給定一個閾值，若口令概率低于此閾值，則舍棄該口令。然后根據口令的概率對口令進行排序。對訓練文本進行預處理對訓練口令集進行學習建立口令字典加入自然語言處理規(guī)則對文本進行篩查，可以有針對性的去除某種類型的口令?？梢匀サ裟繕司W站不支持的口令類型、規(guī)則簡單的口令類型、包含中文或亂碼的口令，將得到的結果保存到集合中得到訓練口令集。首先需要導入預測目標信息，在訓練口令集中隨機挑選一組口令作為目標信息進行口令預測；然后根據預測得到的索引標號進行概率取樣，將結果還原為口令；最后將產生的口令去除重復項目后保存到集合中返回給口令字典。對訓練口令集進行學習，主要是使用長短期記憶神經網絡模型對訓練文本進行訓練1.3生成文本口令字典口令字典就是用來窮舉用戶口令的字典文件，只有當字典中包含將要預測的口令才有可能破解成功。生成一個包含可能口令的小字典是提高字典攻擊效率和成功率的重要途徑?？梢允褂瞄L短期記憶神經網絡模型學習用戶編寫口令的習慣，生成一定數量的口令并制作出一個高效的口令字典來提高破解的效率和成功率。使用長短期記憶神經網絡模型的口令字典生成方法可以分為三個階段：文本口令強度評估是保障互聯網用戶信息安全的一個主動防御性工具。當互聯網用戶注冊、提交信息并設計口令密碼之后，密碼會提交給互聯網服務商進行文本口令強度的檢查和評估，如果密碼設計達到預先設定的強度等級（例如要求密碼強度等級為中等），而該用戶密碼低于預先設定的強度等級，就返回信息要求互聯網用戶重新設計密碼直到通過為止?？诹顝姸仍u估工具（PasswordStrengthMeter，PSM）就是上述流程中提供文本口令強度檢查和評估的軟件，它會按照展示的流程進行算法設計并提供給互聯網服務商使用，從而對互聯網用戶進行主動保護。1.4文本口令強度評估工具的方法與應用文本口令強度評估基于信息熵算法，通過口令的猜測空間評估口令的強度。設定口令長度為N，口令字符種類為|∑|，那么口令的猜測空間就是N|∑|。由于基于信息熵算法的口令強度評估工具是測度隨機生成的口令，而現實中的口令具有一定規(guī)則，所以這類口令強度評估工具的實用性較低?；谛畔㈧氐姆椒ǎ侯A先對某一類口令種類賦予權重，例如字母序列、鍵盤序列等，之后對互聯網用戶提交的口令進行特征值檢測，依據檢測到的每一類口令類型賦予其一定的權重，最后加總得到用戶口令的強弱程度，并賦予一定的分值?；谔卣髌ヅ浞椒ɑ诟怕收Z言模型的評價方法，主要分為基于模板的口令模型（其主要基于概率上下文無關文法）和基于全串的口令模型（其主要基于馬爾科夫鏈模型）兩類算法。基于概率語言模型方法1.4文本口令強度評估工具的方法與應用文本口令強度評估主要方法：基于神經網絡方法能夠有效避免基于概率語言模型中對于基礎口令數據庫的依賴，但目前這個方法仍處于探索之中，未能形成有效應用?；谏窠浘W絡方法1.5文本口令設置偏好分析雖然不同類型的網站對用戶的要求不盡相同，但是基本上都限制了口令最低長度，現在大部分網站建議用戶創(chuàng)建至少包含字母、數字、特殊符號中兩種字符類型，部分網站將字符類型劃分得更明晰，區(qū)分了大小寫字母。采用更為嚴格的口令策略要求的網站中，占比最多的為互聯網技術網站，其次是購物網站。在購物網站中，“淘寶”對用戶登陸口令設置的要求略低一些，可能因為其交易支付涉及到其他應用支付口令，需要第三方口令也輸入正確。而“京東”和“蘇寧易購”都支持貨到付款，且都支持開通應用自身特有的支付方式，如“京東”的白條、“蘇寧”的易付寶等，所以它們對于口令的要求更為嚴格。1）網站口令策略設置的偏好分析：1.5文本口令設置偏好分析口令數據集中出現頻率較高的口令被稱為常用口令。列出了頻率排名前20的口令文本、口令數量以及在口令數據集中所占的百分比。表中國內用戶使用頻率最高的20個口令大致可以分為純數字序列（如“123456”、“111111”、“123123”）、情感內涵（如“5201314“）、簡單的字母數字拼接（如“a123456”、“123456a”、“qq123456”）以及鍵盤模式（如“1qaz2wsx”、“1q2w3e4r”）幾類；國外用戶使用頻率最高的口令大致可以分為純數字序列、簡單單詞短語（如“password”、“princess）、情感內涵（“iloveyou”、“babygirl”、“l(fā)ovely”）以及常見人名（如“Nicole”、“Daniel”、“Michael”、“Jessica”）。2）用戶創(chuàng)建口令的偏好分析：1.5文本口令設置偏好分析對口令的長度進行要求，是保障口令強度的基礎。網站的口令長度分布：3）口令長度分布：1.5文本口令設置偏好分析將口令組成類型分為7種：純數字類型、純字母類型、純符號類型、數字+字母組合類型（不分先后，口令同時包含且僅包含數字和字母）、數字+符號類型、字母+符號類型、字母+數字+特殊符號組合類型。根據用戶選擇的字符組合的頻率對用戶的口令組成類型傾向進行分析。4）口令組成類型分析：1.5文本口令設置偏好分析過于嚴格的口令策略可能會引起用戶反感，為了分析用戶愿意接受的最嚴格的策略，對用戶自主創(chuàng)建的口令所符合的最嚴策略做出了統計。5）用戶選擇文本口令策略的偏好：1.6文本口令攻擊與保護1）社會工程學(SocialEngineering)：通過人際交往這一非技術手段以欺騙、套取的方式來獲得口令。2）猜測攻擊：口令猜測程序往往根據用戶定義口令的習慣猜測用戶口令，像名字縮寫、生日、寵物名、部門名等。3）字典攻擊：對所有英文單詞進行嘗試，程序將按序取出一個又一個的單詞，進行一次又一次嘗試，直到成功。4）窮舉攻擊：一般從長度為1的口令開始，按長度遞增進行嘗試攻擊。5）混合攻擊：結合了字典攻擊和窮舉攻擊，先字典攻擊，再暴力攻擊。6）直接破解系統口令文件：所有的攻擊都不能夠奏效，入侵者會尋找目標主機的安全漏洞和薄弱環(huán)節(jié)，飼機偷走存放系統口令的文件，然后破譯加密的口令，以便冒充合法用戶訪問這臺主機。7）網絡嗅探(sniffer)：通過嗅探器在局域網內嗅探明文傳輸的口令字符串。8）鍵盤記錄：在目標系統中安裝鍵盤記錄后門，記錄操作員輸入的口令字符串，如很多間諜軟件，木馬等都可能會盜取你的口述。9）其他攻擊方式，中間人攻擊、重放攻擊、生日攻擊、時間攻擊?？诹罟舻闹饕椒ㄓ幸韵聨最悾?005年，Narayanan和Shmatikov首次將自然語言中所使用的馬爾可夫鏈引入到口令猜測中，極大地縮小了所需搜素的口令空間，同時通過對口令集合進行分析得到口令中字符的分布規(guī)律，進而利用零階和一階馬爾可夫鏈，并結合有限狀態(tài)機對生成的口令進行過濾，使生成的口令更加符合用戶的使用習慣。Ma等人提出了一種優(yōu)化算法，他們利用統計語言中最常用的馬爾可夫鏈技術對口令結構進行評估，并使用不同的平滑處理技術，如拉普拉斯平滑、古德-圖靈平滑，處理馬爾可夫鏈階數的選擇，通過不斷地選擇臨界值來生成概率大于該臨界值且小于上一次臨界值的口令，并舍棄概率過小的口令。隨后，MDürmuth等人。在此基礎上提出了有序馬爾可夫枚舉器（orderedMarkovenumerator，OMEN），顯著的提高了口令猜測的生成速度。1.6文本口令攻擊與保護基于馬爾可夫模型的口令猜測方法：2009年，Weir等人提出了基于概率上下文無關文法（probabilisticcontextfreegrammar，PCFG）的口令猜測攻擊算法。算法思想主要是假設不同種類的字符組成的字符結構在口令中是相互獨立的，并且在口令中出現的概率是不同的。因此通過分析口令集得到不同口令結構以及組成口令的子串結構的概率分布，然后按照所得字符結構的概率，以降序順序使用不同字符結構進行填充，生成猜測口令集合。通過使用概率降序對口令進行猜測，從而實現在有限的猜測次數下猜測出盡可能多的口令的目的。1.6文本口令攻擊與保護基于概率上下文無關文法的口令猜測方法：基于概率上下文無關文法的口令猜測方法：2017年，Hitaj等人提出了首個基于生成對抗網絡(GenerativeAdversarialNetworks,GAN)的口令猜測攻擊模型PassGAN汪定等人提出了基于隨機森林的口令猜測方法和系統，旨在通過使用隨機森林模型擬合口令猜測模型生成猜測口令并給出該口令的概率大小，克服原始Markov模型由于模型擬合原理導致的容易過擬合的問題。1.6文本口令攻擊與保護基于隨機森林的口令猜測方法：參數化混合口令猜測方法：韓偉力等學者提出了一個通用的參數化混合猜測的框架。該框架可以混合不同數據驅動方法的猜測優(yōu)勢以生成更高效的猜測集。模型剪枝可以確保框架中的每個方法僅生成自身擅長猜測的口令，從而避免與其他方法生成重復口令；理論證明最優(yōu)的猜測數分配方案可以確保不同方法生成指定猜測數的口令時，框架的整體猜測效率將達到最優(yōu)。為了便于記憶，用戶在構造口令時往往會摻入個人相關信息。攻擊者可以結合已知的用戶信息和相關口令構造模型來猜測用戶口令?；趥€人信息構造口令：01口令重用可以使得攻擊者在獲得已知用戶口令的情況下，提取用戶口令構造特征，從而推測用戶未知口令?？诹钪赜茫?2用戶傾向于用特定的模式來構造口令，這種構造模式可能與其所處文化環(huán)境、語言特點有關，并且具有群體特征。用戶的傾向性口令構造模式：031.6文本口令攻擊與保護用戶脆弱口令行為：1）增強用戶的安全意識2）加強弱口令檢測識別基于規(guī)則的口令強度評估器：使用最為廣泛的口令強度評估，僅根據口令長度和口令所包含的字符類型來判斷口令的強度?；谀Ｊ綑z測的口令強度評估器：通過檢測口令是否含有固定模式的子段來判斷口令的強度?；诠羲惴ǖ目诹顝姸仍u估器：通過攻擊算法對口令進行破解，根據口令對攻擊算法的抵抗能力來判斷口令的強度。3）提升口令傳輸與存儲保護技術Blocki等人基于用戶選擇的口令數據集生成頻率列表，并利用抽樣算法發(fā)布擾動后的口令頻率列表。Chan等人針對本地差分隱私模型中的隱私保護程度，進一步給出了近似精度的下界值。Naor等人提出的一種具有強抗干擾能力的多方計算協議，不需泄露口令明文就可以計算出口令中出現頻率較高的弱口令，即可以在不損害用戶口令隱私的同時識別高頻率出現的弱口令，且識別結果具有一定的防篡改能力。1.6文本口令攻擊與保護針對文本口令的保護：02圖形口令2.1基于無提示回憶的圖形口令機制1)DAS機制:用戶使用鼠標或手寫筆直接在一定的網格界面上畫一幅簡單的圖畫。這幅畫由一個連續(xù)的筆畫或幾個筆畫組成，筆畫之間用“筆畫”隔開。它允許用戶在一個網格界面上設置和重現自己的口令。用戶進行認證時，只需憑記憶再次畫出圖形，如果所畫圖形與注冊的圖形具有相同的編碼序列，則認證通過，否則認證失敗。DAS機制采取了以下的約束來限制用戶的繪畫過程：1)用戶所畫線條不能過分靠近網格線或與網格線重合；2)此外用戶所畫的線條不能過分靠近或穿越網格線的交叉點。2)GridSelection機制:為了擴大DAS的有效口令空間，GridSelection網格選擇認證方式被提出。它由繪圖網格和DAS密碼兩部分組成。在這種方式下，用戶需要首先從一個精密的網格上選擇一個矩形繪畫區(qū)，然后在放大的繪畫區(qū)里按照DAS中的規(guī)則創(chuàng)建和輸入口令。雖然網格的選擇增加了密碼空間，但是，用戶必須記住所選區(qū)域的位置，這增加了記憶的難度。2.1基于無提示回憶的圖形口令機制3)Multi-Grid機制:它是一種使用不均勻單元大小的DAS機制的改進版本，該機制提供了多種不規(guī)則的網格模板，用戶可以按習慣從預定義的多網格模板中選擇一個網格，然后在網格上繪制圖片，最終的網格可以由幾個內部網格組成。Multi-Grid希望借此來引導用戶設置復雜的、非對稱的圖形口令，同時也可以有效地幫助用戶記憶口令，增加了暴力攻擊的難度。4)BDAS機制:BDAS機制通過在DAS的網格上加入背景圖像的方式來改善DAS的性能。當背景圖像有很強的引導意義時，能夠在很大程度上引導用戶設置復雜的口令，認證階段也能幫助用戶回憶。人們在有圖像背景的網格上確實更傾向于設置一些復雜的口令，并且導致弱DAS密碼的其他可預測特征也被減少，例如全局對稱性和在繪圖網格內居中等。因此能夠獲得較好的安全保障。背景圖像還提高了密碼的記憶性。2.1基于無提示回憶的圖形口令機制5)QDAS機制:QDAS機制將固定的網格擴展為動態(tài)的變形網格來隱藏用戶設置口令的過程，利用用戶筆畫和密碼之間的定性映射和動態(tài)網格來混淆用戶秘密的屬性并鼓勵他們使用秘密的不同表面特點實現，使得該機制可以在一定程度上抵御肩窺攻擊。此外，QDAS機制還采用了另外一種筆畫與口令序列對應的關系，放松了DAS機制對用戶繪畫的限制，只要求用戶記憶起始網格的編號以及筆畫的方向（上、下、左或右），允許與原始信息有一定范圍的偏差，降低了用戶的記憶負擔，且促使用戶設置強口令。6)Pass-Go機制:Pass-Go機制是一種基于網格的方案，要求用戶選擇(或觸摸)交叉點作為輸入密碼的一種方式。因此，坐標系指的是交點矩陣，而不是DAS中的單元格。由于網格結構更精細，且允許對角線移動和選擇不同參數的筆畫顏色，Pass-Go的具有比DAS更大的理論密碼空間，它保留了DAS大部分的優(yōu)點并且能夠得到更高的安全性和更良好的可用性。Google公司于2008年推出了一個與Pass-Go機制類似的手機解鎖機制，應用于Android手機上。2.1基于無提示回憶的圖形口令機制7)BPG機制和MGBPG機制:BPG機制在Pass-Go中加入了背景圖像，以幫助用戶記憶密碼，降低猜測攻擊的成功率。BPG機制也是一種基于網格的圖像背景算法，需要用戶選擇(或觸摸)交叉點，而不是單元格，作為輸入密碼的一種方式。BPG機制通過調節(jié)敏感區(qū)域來建立容錯機制。敏感區(qū)域也對與輸入設備的交互敏感。因此，單擊敏感區(qū)域內的任意點將被視為與單擊完全對應的交叉點相同，即單擊正確交叉點周圍敏感區(qū)域內的任意點也將被視為點擊交叉點成功。MGBPG機制，用戶可以選擇個性化的背景圖像和網格線縮放來降低記憶性。MGBPG方案與BPG方案的主要區(qū)別在于，MGBPG的背景可以疊加到用戶可以選擇的圖像上。同時，增加了額外的網格線縮放功能，方便用戶更好地記住自己的密碼，這樣他們就能夠通過使用網格線縮放來更準確地定位和記住背景圖像特定部分的密碼起點和形狀。MGBPG的未來研究方向主要是如何在密碼復雜性和更高的安全性之間找到平衡。2.1基于無提示回憶的圖形口令機制8)YAGP（YetAnotherGraphicalPassword）機制:YAGP和DAS的主要區(qū)別在于軟匹配。引入了筆劃框、圖像框、趨勢象限、相似度等概念來描述圖像的軟匹配特征。在軟匹配中減少了嚴格的用戶輸入規(guī)則，提高了可用性，因此具有明顯優(yōu)勢。YAGP中的繪畫網格更為精細，因此獲得了比DAS更大的口令空間，同時高密度網格也有效地引導了用戶設置長度較長的口令，增加了機制的安全性。YAGP采用三重配準過程創(chuàng)建多模板，提高了特征提取的準確性和記憶性。但是該機制忽略了筆畫間相對位置的關系，會造成系統誤判。9)Passdoodle機制:Passdoodle機制允許用戶在沒有網格的繪畫區(qū)域上繪制一個涂鴉圖形作為口令。口令圖形可以由多種顏色繪制；每個口令都必須至少包含兩筆，并且可以位于屏幕的任何位置。Passdoodle機制使用了比DAS機制更為復雜的匹配過程，并且采用三種方法來識別不同的口令圖形：圖形在網格上的分布、繪畫速度和圖形形狀的相似度。2.1基于無提示回憶的圖形口令機制10)PassShapes機制:PassShapes機制與DAS類似，但其口令是由八個相隔45°角的筆畫組成的幾何圖形，每一個方向的筆畫都有一個對應的內部編碼。登錄時，由于繪制區(qū)域沒有網格，因此口令的位置和大小不受限制。另外，PassShapes機制對用戶的繪畫要求也不高。雖然該機制提供了更好的可記憶性，但是每一筆只有八個方向可供選擇極大地減小了其口令空間。2.2基于有提示回憶的圖形口令機制1)PassPoints機制:PassPoints機制是有提示回憶圖形口令機制的代表性機制，也是該類機制中被研究最為廣泛和深入的機制。它改進了V-GO機制對圖片選擇的限制，使得任何圖片，包括自定義圖片都可以作為背景圖片供用戶選擇。用戶需要點擊其希望作為口令的區(qū)域并記住點擊順序即可完成注冊。PassPoints機制最主要的優(yōu)點就是口令空間大，能有效地抵御試探性攻擊。2)Blonder機制:圖形口令的概念是最初就是由Blonder于1996年提出。其實現機制為，注冊時在可視設備上提供給用戶一張預定義的圖片，認證時用戶需要按照一定的順序選擇多個預定義的位置，才能訪問限制系統。Blonder機制的背景圖片必須為簡單的人工圖片，圖片信息量很少，并且需要人工預定義口令區(qū)域的位置和大小，增加了用戶操作的難度；在安全性方面，由于用戶定義的口令位置少且相對明確，使得口令空間較小，且試探性攻擊的成功率較高。2.2基于有提示回憶的圖形口令機制3)V-GO機制:V-GO機制的基本思路來自于Blonder的圖形口令機制。此機制向用戶提供含有若干日常生活物品的圖片，每個物品都有一個不可見的預定義邊界，系統根據這些物品的邊界定義來響應鼠標的點擊事件，進而進行用戶認證。即在具體實現中，用戶需要正確地按照一定的順序選擇圖片上的多個不同的物品，才能訪問系統。4)CCP(CuedClickPoints)與PCCP(PersuasiveCuedClickPoints)機制:CCP機制主要是針對PassPoints機制進行改進。用戶在每張圖片中只能選擇一個口令區(qū)域，根據用戶所點擊的區(qū)域，系統通過一個確定性的函數獲取并跳轉到下一張圖片。雖然CCP機制消除了PassPoints中的模式問題，但熱點問題依然存在。PCCP機制主要是在CCP的基礎上誘導用戶選擇更加隨機的口令。它的功能和界面與CCP基本相同，不同之處在于用戶注冊時只能在系統顯示的亮色小視窗內選擇口令區(qū)域。登錄時，系統正常顯示圖片。這種設計使不同用戶設置的口令隨機性更強，使得熱點問題進一步減小。然而不管是CCP還是PCCP都沒能解決不防肩窺這一缺點，只要攻擊者獲取了登錄過程或登錄點擊序列，用戶口令將被攻破。DéjàVu機制是最早的基于圖片識別的圖形口令機制，它利用哈希函數生成的隨機藝術圖形替代傳統的文本字符來進行用戶身份驗證。4）DéjàVu機制CHC是一個能防止肩窺攻擊的機制，最初由Sobrado等人于2002年提出，之后又做了進一步改進。認證時首先要從界面上找到自己的口令圖標，然后點擊這些口令圖標組成的凸多邊形內的任意一個圖標即可完成認證，可進行多輪這樣的認證以減小試探性攻擊成功的概率。5）CHC機制基于識別的圖形口令機制中研究最多是RealUser公司開發(fā)的基于人臉的圖形口令系統Passfaces機制。1）Passfaces機制Story機制是在Passfaces的基礎上提出的，它要求用戶從所給圖片中選擇幾張圖片組成一個故事，強調了用戶選擇口令圖片的順序2）Story機制2.3基于識別的圖形口令機制ColorLogin機制首次考慮了圖片的背景顏色這一因素，加快了戶查找圖片的速度。在注冊階段，用戶根據安全需求從3到5種顏色中選擇一種顏色作為自己口令圖片的背景色，然后從以該顏色為背景色的圖片集中選擇若干張圖片（至少3張）作為口令圖片。3）ColorLogin機制2.4混合制的圖形口令機制1.圖形口令與文本口令結合Man等人于2003年提出了另外一種用于防止肩窺的圖形口令機制Pass-objects。原理是每個口令圖標都有幾個變種，而且每個變種都有唯一的編號。整個登錄過程包括多輪認證。在每輪認證中，用戶需要從系統顯示的一堆圖標中找出口令圖標并識別出當前的變種形式，然后輸入口令圖標相對于屏幕中眼睛的位置編碼和當前口令圖標變種的編碼。認證時，用戶需要輸入圖標所對應的編號，而不是通過鼠標直接點擊圖標來進行，所以此機制可以有效地防止肩窺。GrIDsure機制是一種把圖形口令和PIN密碼結合起來的防肩窺機制。注冊時用戶要在一個5×5的空白網格上選擇一個包含四個網格的模式（稱為PIP），并記住組成該PIP的各網格的選擇順序。驗證時，系統會隨機顯示由數字0~9填充的5×5的網格，用戶只需按序輸入與PIP對應的網格中出現的數字。2.4混合制的圖形口令機制2.基本類型的圖形口令結合CDS（ComefromDASandStory）機制設計思路來源于DAS和Story，它將圖片識別與手動繪畫相結合，是可以應用于PDA等手持設備上的一款圖形口令機制。CDS的注冊方式需要用戶在圖片庫中順序選擇若干張圖片作為口令圖片并記住選擇的順序，機制也提醒用戶構造一個故事來幫助記憶。認證時，認證界面中的圖片經過了淡化處理并且圖片顯示位置隨機，用戶需要從實線方框開始，通過畫線順序通過自己的口令圖片，最后在虛線方框中停止。2.4混合制的圖形口令機制2.基本類型的圖形口令結合CBFG（ClickButtonsaccordingtoFiguresinGrids）機制設置口令的基本原理，并引入了圖片識別的思想。它將背景圖片劃分為網格矩陣作為用戶的備選口令區(qū)域，使得用戶更傾向于設置較為復雜的口令，并且在一定程度上降低了熱點問題。2.4混合制的圖形口令機制3.其他混合型圖形口令PassHands機制首次將基于手部特征的生物認證引入到圖形口令的范疇中。該機制的實現方式和Passfaces機制類似，采用經過預處理的手部圖片來代Passfaces中的人臉圖片。CGP（usingCAPTCHAinGraphicalPassword）機制[75]是將基于識別的圖形口令與CAPTCHA結合的一種機制。在注冊階段，用戶從系統的圖片庫中選擇K張作為自己的口令圖片，并且分別設置每張圖片的口令位。在認證階段，界面為一個的網格矩陣，用戶需找到自己的口令圖片，并在口令框中輸入口令圖片對應的驗證碼中口令位上的字符。第三章用戶有什么目錄CONTENTS04RFID05二維碼/條形碼06基于藍牙的身份認證01智能卡02動態(tài)口令認證03USBkey認證技術01智能卡01智能卡智能卡（SmartCard）是一種應用極為廣泛的個人安全器件，是一種內嵌微型芯片的集成電路卡（ICcard，IntegratedCircuitCard），一般由專門的廠商通過專門的設備進行生產，是一種不可復制的硬件，各種銀行卡，電卡、手機的用戶身份識別模塊（SIM，SubscriberIdentityModule）卡都屬于智能卡。智能卡自身就是一個功能齊備的計算機，它有自己的內存和微處理器，該微處理器具備數據讀取和寫入能力，也允許對智能卡上的數據進行訪問和更改。從安全的角度來看，智能卡技術能夠提供安全的驗證機制來保護持卡人的信息，由合法用戶隨身攜帶，登錄時必須將智能卡插入專用的讀卡器讀取其中的信息，以驗證用戶的身份。智能卡智能卡最初是磁卡的替代產品，智能卡能夠把生活中單項使用的各種生活繳費、購物儲值以及身份卡片融為一體，只要一卡在手，便能買到各類物品、得到各種服務并且進行有效的身份認證。20世紀90年代，隨著微電子技術的蓬勃發(fā)展，帶動了以計算機技術和集成電路為核心的智能卡的迅速崛起。智能卡可以克服磁卡的弱點，具有容量大、計算功能強、安全性能高等一系列優(yōu)點，為電子貨幣、身份認證提供更可靠和更安全的服務。01智能卡的發(fā)展磁卡（上）與智能卡（下）智能卡按嵌入芯片可以分為存儲卡、加密存儲卡和CPU卡。按嵌入芯片類型分類智能卡按照操作模式可以分為接觸式IC卡、非接觸式IC卡以及混合卡。按操作模式方式分類智能卡按照數據傳輸方式可以分為串行IC卡和并行IC。按數據傳輸方式分類智能卡按卡的應用領域可分為金融卡和非金融卡。按卡的應用領域分類01智能卡的分類智能卡的規(guī)格是有統一標準的，需要遵循相關的國際標準，即ISO7810。一般智能卡是一個塑料的長方形卡，它的尺寸是從通用磁卡演化而來的，有些IC卡上還貼有磁條，可以和磁卡兼容。IC卡一般在卡片的左上角封裝芯片，并在芯片上覆蓋有6或8個觸點用來與外部設備進行通訊，每個觸點的尺寸和位置應滿足相關國際標準中做出的規(guī)定，且觸點位于IC卡的正面，其下面為凸型字符，印有一些發(fā)卡及用戶信息，背面有磁條。01智能卡的結構智能卡示意圖芯片中主要由CPU、存儲器以及其他外設接口組成。一般智能卡所使用的芯片通常可以分為通用芯片和專用芯片兩大類，其中通用芯片是普通的集成電路芯片，比較適合于初期對安全性要求不高的智能卡應用，而專用芯片是專門為智能卡而設計、制造的芯片，這種芯片符合目前IC卡的ISO國際標準，具有較高的安全性。與此同時，專用芯片按照卡芯的不同還可以分為存儲器芯片和微處理器芯片兩大類，其中帶安全邏輯的存儲器芯片和帶有加密運算的微控制器芯片在智能卡中使用的最為普遍，這兩種常見芯片的典型邏輯結構見圖3.2和圖3.3。01智能卡的結構帶安全邏輯的存儲器芯片邏輯結構帶加密運算的微控制芯片讀卡器是對IC卡操作的直接設備，根據IC卡操作模式的不同，讀卡器也可以分為接觸式讀卡器、非接觸式讀卡器以及混合讀卡器等不同形式，一般來說讀卡器包括了讀卡頭和設備驅動，讀卡器和卡片的接口需滿足一定的國際規(guī)范（接觸式IC卡，遵循ISO7816接口標準；非接觸式IC卡讀卡器，遵循ISO14443接口標準），標準讀卡器一般是通用的。應用程序是應用邏輯控制的核心，根據不同應用所對應的程序規(guī)模、運行方式的不同，其應用程序的形式都有很大區(qū)別。對于獨立的脫機應用，應用程序一般較小，邏輯結構比較簡單，程序可以安裝在讀卡器等設備上，不需要額外增加個人電腦（PC，PersonalComputer）機等輔助設備。01智能卡的結構讀卡器信息安全至少應該具有以下五個方面的特性：機密性：防止未經過授權的信息獲取。完整性：防止未經授權的信息更改?？色@取性：防止未經授權的信息節(jié)流，也就是防止在信息傳播過程中的非法截取。真實性：就是通過一系列的技術手段驗證信息的真實性。持久性：長時間信息保存的可靠性、準確性。智能卡不僅具有大的存儲容量，而且其安全性能也是其他種類的卡無法比擬的，確切的說，智能卡所用到安全技術就是基于信息安全的五個特性提出與實施的。01智能卡安全智能卡的安全狀態(tài)是指智能卡當前所處的安全級別狀態(tài)，通常可以分為全局安全狀態(tài)、特定文件安全狀態(tài)和特定命令安全狀態(tài)三種安全級別。智能卡安全狀態(tài)數據對象的安全屬性定義了對這些數據執(zhí)行命令操作時所需要滿足的條件，包括文件訪問安全屬性和命令安全屬性。智能卡安全屬性智能卡的安全機制和安全狀態(tài)、安全屬性是緊密聯系在一起?？梢詫踩珯C制視為安全狀態(tài)在實現狀態(tài)轉移時所采用的方法和手段。智能卡安全機制01智能卡安全體系01智能卡攻擊技術攻擊類型攻擊內容網絡數據流截取攻擊者可以根據信息源主機，目標主機，服務協議端口等信息簡單過濾掉不關心的數據，再將感興趣的數據發(fā)送給更高層的應用程序進行分析從而得到用戶的隱私信息。木馬竊聽若用戶電腦遭受到了病毒或木馬的攻擊，電腦就可能會被監(jiān)聽，用戶在進行交易的過程中，用戶的交易信息會被木馬記錄，與用戶相關的隱私信息，例如交易密碼等就有被盜的風險。窮舉攻擊對用戶密碼進行逐個推算，直到找出真正的密碼為止的一種攻擊方式。網絡釣魚在此處添加文字內容智能卡具有自己的微處理器，這些芯片具備存儲功能和信息處理功能，同時，智能卡內可存儲安全控制軟件及有關用戶的個人化參數和數據，外部應用程序不能直接訪問這些數據，這樣，智能卡中個人化的參數數據從硬件上就實現了保密性。01智能卡身份認證智能卡微處理器基于智能卡的身份認證結合了基于秘密信息和信任物體的實現方式，利用智能卡的信息存儲和數據計算的能力，能夠實現軟/硬件的對稱、非對稱加解密算法，存儲用戶個人信息、密鑰、數字證書等秘密數據。認證服務器和智能卡客戶端之間按照一定的協議和操作來完成用戶身份認證的過程。在基于智能卡的身份認證方法中，結合了密碼技術以及實物對用戶進行身份認證，不再需要遠程服務器存儲用戶的口令等信息，減輕了服務器維護口令表所產生的負擔，也降低了口令表被盜的風險。01智能卡技術原理智能卡身份認證示意圖02動態(tài)口令認證02動態(tài)口令認證基于口令的認證方式是較為常用的一種認證技術。動態(tài)口令一般不需要用戶記憶口令，而是依賴于用戶所擁有的設備（動態(tài)口令牌、口令卡等），屬于“用戶有什么”這一類。而靜態(tài)口令一般需要用戶記憶口令，屬于“用戶知道什么”這一類。針對靜態(tài)口令認證機制在安全方面的脆弱性，為了避免靜態(tài)口令認證機制帶來的安全隱患，研究口令認證的學者提出了動態(tài)口令認證技術以保護重要的網絡系統資源，動態(tài)口令認證也逐漸成為了口令認證的主流技術。20世紀80年代初，貝爾實驗室的Lamport博士基于哈希函數算法首次提出了一種生成動態(tài)口令的方法，用戶每次登錄時發(fā)送給服務器的口令都會改變。在2000年以前，動態(tài)口令方案的實施都依靠于動態(tài)口令卡，但是隨著使用人數的不斷增加，對口令卡的維護成為了亟待解決的難題。動態(tài)口令卡算法在加載到每一個口令卡的時候就被固定，一旦遭到破譯就有可能存在冒用，同時口令卡的壽命較短，使用起來也相對麻煩。為了解決這些弊端研究人員發(fā)明了依附于網絡的動態(tài)口令的傳送方法，即移動口令。02動態(tài)口令認證的發(fā)展現狀哈希函數示意圖動態(tài)口令卡是根據特定算法生成不可預測的隨機數字組合，每個口令只能使用一次，以保證用戶安全。動態(tài)口令卡態(tài)口令通常通過一種稱為令牌的專用硬件來生成，即為硬件令牌。硬件令牌是一種采用內置電源、存儲器、密碼計算芯片和顯示屏的設備，具有使用便利、安全性高等特點。硬件口令牌動態(tài)手機口令牌也稱移動口令，是用來生成動態(tài)口令的手機客戶端軟件，即軟件令牌。動態(tài)手機口令牌02動態(tài)口令認證的分類電子銀行口令卡示例動態(tài)手機口令牌也稱移動口令，是用來生成動態(tài)口令的手機客戶端軟件，即軟件令牌。動態(tài)手機口令牌02動態(tài)口令認證的分類電子銀行口令卡示例高等學校招生考試動態(tài)口令卡中國工商銀行的口令卡上有橫縱坐標，對應的有數字，客戶在使用電子銀行（包括網上銀行或電話銀行）進行對外轉賬、客對商（B2C，Business-to-Consumer）購物、繳費等支付交易時，電子銀行系統會隨機給出一組口令卡坐標，客戶根據坐標從卡片中找到口令組合并輸入到電子銀行系統。只有當口令組合輸入正確時，客戶才能完成相關交易。另外，一些省市在普通高等學校招生（高考）也引入了動態(tài)口令卡這種工具，如圖3.5所示。其主要功能是用于查詢成績，填報志愿，查詢錄取結果等方面，“考生動態(tài)口令卡”有隨機生成的64個密碼，密碼采用覆膜覆蓋以防止泄密，考生使用時，每次刮開一條對應的密碼，根據“XX省教育考試院”網站上要求的動態(tài)口令填寫。動態(tài)手機口令牌也稱移動口令，是用來生成動態(tài)口令的手機客戶端軟件，即軟件令牌。動態(tài)手機口令牌02動態(tài)口令認證的分類硬件令牌通常是獨立于終端的、授權用戶可隨身攜帶的、信用片或鑰匙鏈大小的器件，并且令牌本身可使用PIN來保護。動態(tài)口令認證系統通過使用令牌產生的無法猜測和復制的動態(tài)口令以接入系統，保證了接入遠程系統的終端用戶確實為授權實體，有效地保護了信息系統的安全性，大大降低了非法訪問的風險。一些雙因子身份認證系統后臺可以設置錯誤嘗試次數，比如3次，當輸入錯誤超過3次時，就會鎖定當前賬號。硬件令牌示例動態(tài)手機口令牌也稱移動口令，是用來生成動態(tài)口令的手機客戶端軟件，即軟件令牌。動態(tài)手機口令牌02動態(tài)口令認證的分類利用動態(tài)口令與手機（或者其他移動設備）綁定進行身份認證，與硬件令牌相同都是客戶端自己生成動態(tài)口令，直接發(fā)給服務端認證。通常也是基于時間同步的原理，每隔60秒產生一個隨機6位動態(tài)密碼。在生成動態(tài)口令牌的過程中，不會產生通信及費用，不存在通信信道中被截取的可能性。手機作為動態(tài)口令生成的載體，欠費和無信號對其不產生任何影響。由于其在具有高安全性、成本低、不易丟失、容易獲取等優(yōu)勢，其應用也十分廣泛。動態(tài)手機口令牌02動態(tài)口令認證的技術原理動態(tài)（一次）口令認證機制的主要原理是：在登錄過程中加入不確定因素。使每次登錄過程中所得到的密碼都不相同，以提高登錄過程的安全性。每次的口令是3個因子按一定算法計算得到的結果，這3個因子分別是種子（Seed）、迭代值（Iteration）和秘密通行短語。它們之間應具備一種相同的“認證器件”，該認證器件實際上由某種算法的硬件或軟件實現，它的作用是生成一次性口令。一次性口令認證模式根據不確定因素的不同，分為以下幾種模式：挑戰(zhàn)應答模式、時間同步認證模式與事件同步認證模式。動態(tài)口令身份認證系統，是有客戶端設備認證系統和一個對稱密鑰算法（客戶端設備上的個人密鑰是由認證系統發(fā)放的）組成的。動態(tài)口令則是由于算法中變量的不同而不同。動態(tài)口令認證原理動態(tài)口令的優(yōu)越性使其在各個領域得到了廣泛的應用，首先其動態(tài)性就具有極大的優(yōu)勢，不同時刻使用不同的口令，并且每個口令還都具有失效性。其次，由于口令是隨機的，每個口令可能存在100萬以上的變化方式，同時結合口令一次性的特點，有效防止了暴力破解的可能性。最后，動態(tài)口令還有操作方便、體積小、成本低等優(yōu)點，可以隨身攜帶，沒有記憶口令的煩惱，丟失也能及時發(fā)現補辦。雖然動態(tài)口令具有眾多優(yōu)點，但是還存在一定的缺陷。首先是受一些場景的限制，如果手機沒電或者無法使用手機，軟件令牌就無法正常使用。其實是技術的限制，如果用戶終端與遠程系統的時間或登錄次數不能保持良好的同步，就可能發(fā)生授權用戶無法登錄的問題。最后是用戶體驗感，有些口令為了增加安全性密鑰長度會較長，終端用戶每次登錄時都需要輸入一長串無規(guī)律的密碼，使用起來較為不便。02動態(tài)口令認證的安全評估03USBKey認證技術03USBKey認證技術USBKey又名智能電子密碼鑰匙，是一種USB接口的硬件身份認證設備，它內置單片機或智能卡芯片，具有一定的存儲空間，可以存儲用戶的私鑰以及數字證書，利用USBKey內置的公鑰算法可以實現對用戶身份的認證，保障用戶安全。基于USBKey的身份認證方式結合了現代密碼學技術、智能卡技術和USB技術屬于強雙因子認證模式，USBKey安全可靠的認證方式、小巧便捷的外觀設計以及簡單易用的特性使其廣泛應用于銀行的網絡交易中，是大多數國內銀行采用的客戶端解決方案，使用USBKey存放代表用戶唯一身份的數字證書和用戶私鑰USBKey示例一代U盾是由一塊內置安全系統芯片、電子數字證書與簽名密鑰構成的，其中安全芯片的作用是對U盾進行安全掃描；數字證書與網站證書共同作用以保障用戶的登錄安全；簽名密鑰是每一個U盾特有的，其唯一性可以進步提升安全防護。二代U盾以“基于可參與性的網絡可信交易理論”為基礎，提出了操作控制列表技術（OperationControlList，OCL），該技術從硬件認證設備端入手，考慮已有應用環(huán)境的兼容性與便利性，避免造成平臺及交易環(huán)境的改變，解決了終端交易環(huán)境不安全所帶來的“交易偽造”和“交易劫持”問題，因而得到了產業(yè)界和各商業(yè)銀行的廣泛認可和支持。03USBKey的發(fā)展中國建設銀行的U盾隨著PKI的不斷發(fā)展與普及，具有PKI功能的金融IC卡也開始發(fā)行，這使得在金融IC卡中實現數字證書應用在技術上成為可能，第三代U盾就是集成了第二代U盾、智能卡讀寫器和多應用金融IC卡功能的產品并逐漸成為業(yè)界關注的熱點。具體來說，三代USBKey是指帶有智能卡芯片的USBKey，它可以通過內置的智能卡芯片在USBKey內部硬件實現DES/3DES、RSA等加解密運算，并支持USBKey內生成RSA密鑰對，杜絕了密鑰在客戶端內存中出現的可能性，大大提高了安全性并解決了以下問題：1)存儲型的U盾受其硬件功能的限制，僅能實現簡單的數據算法，在PKI中廣泛使用的對稱和非對稱加密算法只能在PC的中間件上來運行，黑客有一定可能截取到在內存中的密鑰；2)智能卡運算能力不斷提高，實現了可以運行加密算法的智能卡，但與電腦連接方式不夠便利。03USBKey的發(fā)展PKI技術即公鑰基礎設施所謂沖擊響應模式，就是在服務端的數據庫中和USBKey的硬件中均保存用戶密鑰信息，用戶在系統登錄表單中輸入UserPIN信息，在瀏覽器中使用Javascript腳本語言進行用戶PIN碼進行驗證，這一步操作相當于用戶登錄了USBKey硬件，同時獲得USBKey的讀取權利，驗證通過后即可讀取USBKey硬件中用戶密鑰信息，再把從USBKey中讀到的用戶密鑰信息發(fā)送到服務器端，與數據庫中保存的用戶密鑰信息進行比較進而完成用戶身份認證過程。03USBKey的認證方式沖擊響應模式基本流程PKI技術PKI是一種遵循標準的利用公鑰理論和技術建立的提供安全服務的基礎設施，PKI能利用一對互相匹配的密鑰進行數據的加密、解密，即使用一個密鑰進行分析加密，另一個配對的密鑰進行解密。PKI的建立并應用于信息安全服務，有效地解決了網絡通信應用中的機密性、真實性、完整性、不可否認性等安全問題。一個典型的PKI系統是由證書機構CA其作用是為用戶產生證書、注冊機構數字證書注冊中心（RA，RegistrationAuthority）其作用是接受用戶的證書申請和審核、證書發(fā)布系統以及PKI策略、軟硬件系統、PKI應用組成的。PKI體系通過采用加密算法構建了一套完整的流程，CA為系統內每個合法用戶辦一個網上身份認證，有效的保障了數字證書持有人的身份安全，結合USBKey可以保障數字證書無法復制，只有USBKey的持有人才可以對數字證書進行操作，這樣對身份認證過程中的安全性就有了很大的保障。03USBKey的認證方式04RFIDXidianUniversity04RFID無線射頻識別（RFID），是利用無線射頻方式進行對象識別與數據交換，實現對需要的物體的識別，是一種非物理性接觸、低成本、低功耗的新興自動識別技術，是應用最廣泛的自動識別（Auto-ID）技術之一。其基本原理為，利用射頻信號通過空間耦合以及反射的傳輸性，實現無接觸信息傳遞和物體自動識別的功能。RFID具有識別距離遠，攜帶信息大，可移植性強，環(huán)境局限性小，使用壽命長，安全性好等優(yōu)勢。因此通常結合身份認證技術中的雙因子認證技術以及RFID設備自身特點實現安全性能較高的身份認證系統。將密碼技術應用于認證RFID系統中各通信方的身份在已有的RFID安全認證協議中非常常見，也是眾多研究者研究的重點。而RFID具有掃描快速、體積小、抗污染能力強、數據容量大、可重復使用、無屏障閱讀、安全性高等特點，在提高計算機用戶信息的安全性中有較大優(yōu)勢。RFID系統的主要構成1941—1950年1961—1970年1971—1980年1981—1990年哈里.斯托克曼發(fā)表的“利用反射功率的通訊”奠定了射頻識別RFID的理論基礎出現了一些最早的RFID應用，基于IC的RFID系統開始在制造與運輸等行業(yè)進行開發(fā)和研究Sensormatic等公司開始推廣稍微不那么復雜的RFID系統商用，主要用于電子物品監(jiān)控。RFID技術及產品進入商業(yè)應用階段，各種規(guī)模應用開始出現。04RFID的發(fā)展RFID微波2.4GHz頻段主要應用于船舶管理系統、煤礦人員定位系統、動態(tài)車輛識別系統、微型膠囊內窺鏡系統。RFID微波04RFID的優(yōu)勢1.抗干擾性超強RFID一個最重要的優(yōu)點就是非接觸式識別，它在急劇惡劣的環(huán)境下都可以工作，可以并且穿透力極強。2.RFID標簽的數據容量大標簽的數據容量可以根據用戶的需求擴充到10KB，遠遠高于二維碼2725個數字的容量。3.可以動態(tài)操作RFID的標簽數據可以利用編程進行動態(tài)的修改，并且還可以動態(tài)追蹤和監(jiān)控。4.使用壽命長標簽不易被破壞，使用時間長。5.防沖突在頻率解讀器的有效識別范圍內，RFID可以同時讀取多個標簽進行識別，并不會導致讀取標簽沖突。6.安全性高RFID標簽可以以任何形式附著在產品上，可以為標簽數據進行密碼加密，以提高其安全性。7.識別速度快只要RFID標簽一進入解讀器的有效識別范圍內，可能毫秒級就能獲取到數據。RFID微波2.4GHz頻段主要應用于船舶管理系統、煤礦人員定位系統、動態(tài)車輛識別系統、微型膠囊內窺鏡系統。RFID微波04RFID的安全問題根據RFID系統的組成與工作流程可以發(fā)現，RFID的安全威脅主要來自兩個方面：一是標簽自身的安全問題，二是信息傳輸的安全問題。標簽自身的安全問題體現在：RFID系統很難具備保證自身信息足夠安全的能力，面臨著自身信息被竊聽、破解、截獲與復制的安全威脅。身份認證的任務是識別、驗證信息系統中用戶身份的合法性和真實性。如果能夠保證RFID系統中參與通信的各方均擁有合法身份，那么就能保證RFID系統工作環(huán)境的安全。05二維碼/條形碼05二維碼/條形碼二維碼/條形碼是一種可印刷的機器語言，以規(guī)則排列的圖形符號來表示數據。早在40年代就誕生了條碼，經過不斷的發(fā)展在70年代得到了實際的應用，現在條碼技術已經普遍應用于世界上的各個國家和地區(qū)，其應用領域也越來越廣泛。使用條碼進行識別時，需要通過條碼閱讀機進行掃描，得到一組反射光信號，此信號經光電轉換后變?yōu)橐唤M與線條、空白相對應的電子訊號，經解碼后還原為相應的文數字，再傳入電腦經由數據庫查詢條碼中包含的相關信息。目前條碼識別技術已經很完善了，讀取識別的錯誤率約為百萬分之一，是一種可靠性高、輸入快速、準確性高、成本低、應用面廣的身份認證技術。二維碼示例堆疊式/行排式二維條碼又稱堆積式二維條碼或層排式二維條碼，其編碼原理是建立在一維條碼基礎之上，按需要堆積成二行或多行。堆疊式/行排式二維條碼矩陣式二維條碼（又稱棋盤式二維條碼）它是在一個矩形空間通過黑、白像素在矩陣中的不同分布進行編碼。在矩陣相應元素位置上，用點（方點、圓點或其他形狀）的出現表示二進制“1”，點的不出現表示二進制的“0”，點的排列組合確定了矩陣式二維條碼所代表的意義。矩陣式二維條碼郵政碼是通過不同長度