專利名稱：一種基于生物特征的遠程認證方法
技術(shù)領(lǐng)域：
本發(fā)明屬于信息安全和生物特征識別技術(shù)領(lǐng)域，涉及到一種基于生物特征的遠程認證方法， 可應用于網(wǎng)絡與信息安全、生物認證、生物特征加密等領(lǐng)域。
背景技術(shù)：
當今社會是一個高度信息化、網(wǎng)絡化的社會，社會的每一個人在網(wǎng)絡上都可以有一個自己 的網(wǎng)絡數(shù)字身份。在虛擬的網(wǎng)絡世界里，人們通常使用這樣的數(shù)字身份來代替自己本身。例如， 每天都會在網(wǎng)絡上用該數(shù)字身份從事各種各樣的活動，網(wǎng)上購物、資金轉(zhuǎn)賬、網(wǎng)絡會議等等。 在從事這些活動的過程中，人們不一定要親臨現(xiàn)場，僅需要出示自己的數(shù)字身份并交互一些信 息即可完成各種事務活動。
信息化、網(wǎng)絡化在為人們生活、工作、學習等方面帶來便利的同時，也帶來了一些前所未 有的問題。由于網(wǎng)絡生活體現(xiàn)的是一種數(shù)字化生活，每個人面對的對方都是一個數(shù)字代號，是 一個虛擬的用戶，因此無法認證用戶的物理身份，這些特點會導致各種各樣的安全問題。如果 用戶的身份信息被他人冒用，或者用戶的機密信息被他人所竊取，都將對人們造成難以估計的 損失。在世界范圍的各個國家中，由于各種原因引起的信息泄密事件層出不窮，最常見的就是 機密文件、敏感信息、重要數(shù)據(jù)、設計圖紙、配方、軟件源代碼等通過不同的途徑、方法和手 段流失到競爭對手和無關(guān)人員手中。
尤其是無線網(wǎng)絡技術(shù)的出現(xiàn)，更突出了這種安全問題。近年來，無線網(wǎng)絡已經(jīng)以迅雷不及 掩耳之勢進入人們的生活，涵蓋了小到個人空間(如無線個域網(wǎng)WPAN,美國IEEE標準802.15)、 區(qū)域空間(如無線局域網(wǎng)WLAN,美國IEEE標準802.11)，大到整個都市空間(如無線城域網(wǎng) WMAN,美國IEEE標準802.16)的無線網(wǎng)絡技術(shù)。無線網(wǎng)絡帶來了一種新的上網(wǎng)理念，人們擺 脫了物理線路的束縛，無線自由連網(wǎng)的特性滿足了人們長期以來期望自由上網(wǎng)的愿望。無線網(wǎng) 絡以安裝方便，性價比高，具有高度的靈活性和機動性等優(yōu)勢，成為當今網(wǎng)絡發(fā)展的趨勢所向。
然而，正是由于無線網(wǎng)絡自由自在的開放性和無處不在性，造成了無線網(wǎng)絡的天然的安全 缺陷。無線網(wǎng)絡采用公共的電磁波作為載體，電磁波能夠穿過天花板、玻璃、樓層、磚、墻等
物體，無線信號彌散到整個空間使得任何人都可以截獲，無線信道缺乏嚴格的物理界限使得任 何人均可以任意接入。相對于有線網(wǎng)絡來說，無線網(wǎng)絡的通信內(nèi)容更容易遭受竊聽和篡改，安 全管理和防護更為復雜和困難。在某些敏感行業(yè)，如證券、銀行、電子商務，安全威脅對于無 線網(wǎng)絡的繼續(xù)發(fā)展產(chǎn)生越來越大的影響，有時甚至成為否定因素。
隨著越來越多的信息通信系統(tǒng)基于無線網(wǎng)絡技術(shù)構(gòu)建，無線網(wǎng)絡的安全問題也日漸嚴重， 必將威脅并涉及到個人、企業(yè)、社會、經(jīng)濟甚至國家安全，信息安全已成為世界各國、學術(shù)界、 業(yè)界等亟待解決的重要問題之一，世界各國就如何構(gòu)筑無線網(wǎng)絡安全體系都在進行深入的探索。 目前，解決這一問題的主要方法是認證技術(shù)，即不僅僅要知道對方的數(shù)字身份，還需要通過交 互質(zhì)詢方式來驗證其是否是所聲稱的用戶。 一般來說，就是驗證對方是否知道某個秘密，或稱 之為密鑰。
當前，許多網(wǎng)絡認證協(xié)議被用來認證通信雙方的身份有效性，包括美國IEEE802.11i安全 協(xié)議、中國的無線局域網(wǎng)安全國家標準WAPI協(xié)議、美國IEEE802.16e安全協(xié)議等。這些協(xié)議 在進行認證時，主要通過驗證用戶具有什么秘密信息來實現(xiàn)。如果用戶能夠向認證方證明他具 有該秘密，那么，該用戶的身份就是有效的，否則，說明該用戶是一個無效用戶。其缺點是， 這些協(xié)議均無法驗證該用戶是否是竊取了其他合作用戶秘密信息的攻擊者。在一些安全級別較 高的場合，如軍事、保密機關(guān)等，僅識別用戶具有什么秘密是不足的，通常還需要通過視頻、 指紋等信息驗證其是否是所聲稱的用戶本身，以避免他人冒充行為。
除此之外，目前使用最廣的數(shù)字身份認證方式都是基于密碼技術(shù)的口令認證，有單因子和 多因子兩種單因子認證就是大家熟知的"用戶名+ 口令"方式；多因子認證是在單因子方式基礎(chǔ) 上又增加了一個由智能卡或USB鑰匙構(gòu)成的令牌，g卩"口令+令牌"。但這兩種方式與用戶真實 的物理身份毫不相關(guān)，因此都存在著被他人盜用或者冒用的安全隱患。
僅僅識別用戶知道和擁有什么還不足以防范對設備的濫用問題，需要從根本上識別用戶的 物理身份。尤其是"9-ll"恐怖事件以后，世界各國越發(fā)重視對用戶物理或生物身份的識別問題。 生物特征作為身份認證的手段具有悠久的歷史，在信息化高度發(fā)展的今天，生物特征識別技術(shù) 又有了更新的發(fā)展。由于生物特征具有難以被猜測、永恒不變、不需記憶、隨身攜帶等諸多優(yōu) 點，使用生物特征作為人們的網(wǎng)絡身份標識具有比傳統(tǒng)的私鑰更加安全、更加可靠、更加便捷。
與傳統(tǒng)認證方法相比，基于生物特征，如指紋、虹膜、人臉等的識別技術(shù)能夠防止口令遺 忘和令牌丟失問題，而且基于生物特征信息的唯一性，很難被偽造和冒用等，還可以防止權(quán)限
轉(zhuǎn)讓等問題，安全性更高。因此，基于生物特征的認證技術(shù)是應對權(quán)利濫用問題的理想選擇。
然而，目前的生物認證主要是本地驗證方式。也就是說，在注冊時，用戶提供自己的生物 特征給認證者，由認證者安全保存用戶的生物信息模板；在認證時，用戶需要再次在本地將自 己的生物特征提供給認證者，由認證者比對兩次提供的生物特征是否匹配。如果匹配，則認證 通過；否則，認證不通過。其特點是，需要面對面的、在本地實施認證。
使用生物本地認證會對用戶會帶來許多不便。用戶每次使用設備之前，都需要親自到設備 所在場所與設備進行生物認證。如果用戶身在異地，則無法通過網(wǎng)絡連接訪問遠在異地的設備。 目前，也有一些學者對基于生物的遠程認證進行了研究。常見的思想是，將所有的用戶生 物信息存放在一個服務器上，在認證時，將用戶的生物信息加密傳遞到用戶所在地的機器上， 然后，解密后得到用戶生物信息，再接著采用現(xiàn)有的本地生物認證方法進行認證。該方法存在 一些缺點(1)需要一個服務器存放所有用戶生物信息，提高了系統(tǒng)實現(xiàn)開銷；(2)服務器通 常會成為攻擊者集中攻擊的對象，如果攻擊者攻破了服務器，造成的損失將是無法估計的；(3) 用戶生物信息需要加密傳遞，機器之間的密鑰協(xié)商和密鑰管理需要其他協(xié)議支持，增加了系統(tǒng) 復雜性；(4)用戶生物信息的傳輸必然會增加系統(tǒng)的通信復雜度，占用系統(tǒng)的通信帶寬；(5) 用戶所在地的機器通過解密可以獲取用戶生物信息明文，增加了用戶生物信息泄露的危險；(6) 所采用生物信息的傳遞方式增加了安全隱患，如果攻擊者能夠成功攻破用戶所在地機器或成功 地冒充一個合法機器，那么，攻擊者很容易獲取服務器上的任何生物信息。因此，現(xiàn)有的遠程 認證思想實際上是不可行且不實用的。

發(fā)明內(nèi)容
本發(fā)明針對目前生物認證技術(shù)要求用戶和驗證者必須處于同一地點認證所帶來的局限性， 結(jié)合現(xiàn)有的生物特征認證技術(shù)和傳統(tǒng)密碼學安全協(xié)議，提出一種基于生物特征的遠程認證方法。 當用戶需要遠程與異地設備進行生物認證時，用戶只需要向本地代理提供自己的生物特征即可， 而無需再親臨遠程設備所在地，從而提高生物認證的靈活性。
本發(fā)明提供的生物特征遠程認證方法包括如下過程
1)接入請求過程接入請求信息報文由用戶發(fā)送給代理者ID1。當用戶需要和驗證者ID2 進行遠程生物認證時，向本地代理者ID1發(fā)送接入請求信息報文。該分組報文包括用戶的身份標 識、驗證者ID2的身份等信息。
2) 秘密協(xié)商過程該過程由代理者ID1和驗證者ID2通過交互方式共同完成。當代理者ID1 收到用戶的接入請求分組報文后，和驗證者ID2建立安全關(guān)聯(lián)，生成共享的秘密信息S。
3) 公開信息傳遞過程該公共信息由驗證者ID2發(fā)送給代理者ID1。當驗證者ID2和代理者 ID1交互生成共享秘密信息S后，隨機產(chǎn)生一個密鑰《，將用戶生物模板、密鑰《和秘密S進行綁 定，生成一個公開信息T發(fā)送給代理者ID1。
4) 生物信息采集過程該過程由用戶和代理者ID1共同完成。代理者ID1向用戶發(fā)送生物信 息采集請求，并采集用戶有效的生物信息。
5) 結(jié)果驗證過程該過程由驗證者ID2和代理者ID1通過交互方式共同完成。代理者ID1根 據(jù)采集的用戶生物信息、秘密S對公開信息T進行解綁定操作，得到密鑰《。然后，通過與驗證者 ID2交互，驗證所得到的密鑰i:是否驗證者ID2所選取的密鑰i:。如果相等，則用戶遠程生物認證 成功；否則，認證失敗。
本發(fā)明實現(xiàn)了用戶和驗證者之間以代理者為中心的基于生物特征的遠程認證，所具有的特 點和優(yōu)勢在于
(1) 解決了遠程、異地的生物特征認證的安全問題，用戶和認證設備無需在同一地點進行 "面對面"認證，應用更為靈活、便捷；
(2) 無需中央服務器支持，且除了驗證者之外，包括代理者在內(nèi)的其他任何實體無法獲取 關(guān)于用戶生物模板的明文或密文信息；
(3) 在每次認證過程中，均使用由生物信息生成的一次性認證數(shù)據(jù)，能夠預防重放攻擊， 同時也提高了對生物模板信息的保護和認證效率；
(4) 在認證生物特征過程中還能夠同時對用戶進行物理身份進行認證，由于兼具有用戶的 物理身份標識特征，有效保證了系統(tǒng)安全性、可靠性；
(5) 由于無需中央服務器支持，從而能夠降低整個系統(tǒng)的實現(xiàn)代價和復雜度，而且，由于 無需每次認證過程中從中央服務器獲取用戶生物信息，降低了系統(tǒng)的通信負擔。


圖本發(fā)明基于生物特征的遠程認證示意圖
名詞解釋
ID1:代理者；ID2:驗證者； 〖密鑰； &秘密；
r:公開信息。
具體實施例方式
參照圖l，本發(fā)明包含以下實現(xiàn)步驟
1) 接入請求過程接入請求信息報文由用戶發(fā)送給代理者ID1。當用戶需要和驗證者ID2 進行遠程生物認證時，向本地代理者ID1發(fā)送接入請求信息報文。該分組包括用戶的身份標識、
驗證者ID2的身份等信息。
2) 秘密協(xié)商過程該過程由代理者ID1和驗證者ID2通過交互方式共同完成。當代理者ID1 收到用戶的接入請求分組后，和驗證者ID2建立安全關(guān)聯(lián)，生成共享的秘密信息S。
3) 公開信息傳遞過程該公共信息由驗證者ID2發(fā)送給代理者ID1。當驗證者ID2和代理者 ID1交互生成共享秘密信息S后，隨機產(chǎn)生一個密鑰《，將用戶生物模板、密鑰《和秘密S進行綁 定，生成一個公開信息r發(fā)送給代理者IDl。
4) 生物信息采集過程該過程由用戶和代理者ID1共同完成。代理者ID1向用戶發(fā)送生物信 息采集請求，并采集用戶有效的生物信息。
5) 結(jié)果驗證過程該過程由驗證者ID2和代理者ID1通過交互方式共同完成。代理者ID1根 據(jù)采集的用戶生物信息、秘密s對公開信息r進行解綁定操作，生成密鑰X。然后，通過與驗證者 ID2交互，驗證所計算的密鑰《是否驗證者ID2所選取的密鑰K。如果相等，則用戶遠程生物認證 成功；否則，認證失敗。
通過以上方法，實現(xiàn)了用戶和驗證者之間以代理者為中心的基于生物特征的遠程認證。
本發(fā)明所述的基于生物的遠程認證方法并不僅限于說明書和實施方式中的描述。凡在本發(fā) 明的精神和原則之內(nèi)，所做的任何修改、同等替換、改進等，均包含在本發(fā)明的權(quán)利要求范圍 之內(nèi)。
權(quán)利要求
1、一種基于生物特征的遠程認證方法，其特征在于用戶和驗證者之間以本地代理者為中心進行生物特征遠程認證，所述認證方法的實現(xiàn)包括如下過程1)接入請求過程當用戶需要和驗證者ID2進行生物特征遠程認證時，向本地代理者ID1發(fā)送接入請求信息報文，該分組報文包括用戶的身份標識、驗證者ID2的身份信息；2)秘密協(xié)商過程驗證者ID2和代理者ID1通過交互方式秘密協(xié)商生成共享的秘密信息S，并隨機產(chǎn)生一個密鑰K；3)公開信息傳遞過程驗證者ID2向代理者ID1發(fā)送公開信息T，4)生物信息采集過程代理者ID1向用戶發(fā)送生物信息采集請求，并采集用戶有效的生物信息；5)結(jié)果驗證過程代理者ID1計算密鑰K，并通過與驗證者ID2交互，驗證所計算的密鑰K是否是驗證者ID2所選取的密鑰K，如果是，則用戶生物特征遠程認證成功；否則，認證失敗。
2、 根據(jù)權(quán)利要求l所述的基于生物特征的遠程認證方法，其特征在于所述步驟3)中的公開信息r由秘密信息s和用戶生物模板對步驟2)隨機產(chǎn)生密鑰K綁定的結(jié)果。
3、 根據(jù)權(quán)利要求l所述的基于生物特征的遠程認證方法，其特征在于所述步驟5)中的密鑰K的計算是用戶生物特征信息和秘密信息s對公開信息T解綁定的結(jié)果。
全文摘要
本發(fā)明涉及一種基于生物特征的遠程認證方法。該方法包括如下過程用戶向代理者ID1發(fā)送接入請求信息報文；代理者ID1與驗證者ID2進行秘密協(xié)商過程，生成共享的秘密信息并隨機產(chǎn)生一個密鑰K；驗證者ID2向代理者ID1發(fā)送公開信息；代理者ID1向用戶發(fā)送生物信息采集請求并采集用戶生物信息；代理者ID1計算密鑰，驗證是否是驗證者ID2所選取的密鑰，從而完成用戶生物特征的遠程認證正確。本發(fā)明實現(xiàn)了用戶和驗證者之間生物特征的異地、遠程安全認證，在認證過程中能夠同時對用戶進行物理身份進行認證，使認證同時具有用戶的物理身份標識特征，更有效保證了系統(tǒng)的安全性、可靠性。
文檔編號H04L9/32GK101345625SQ20081015064
公開日2009年1月14日 申請日期2008年8月15日 優(yōu)先權(quán)日2008年8月15日
發(fā)明者傅曉彤, 劉而云, 龐遼軍, 張宏斌, 張志勇, 暉 李, 李慧賢, 梁繼民, 捷 田, 范科峰, 裴慶祺, 敏 謝, 晨 陳, 陳宏濤 申請人:西安電子科技大學