第一篇：身份認(rèn)證技術(shù)

身份認(rèn)證技術(shù)百科名片

動(dòng)態(tài)口令牌身份認(rèn)證技術(shù)是在計(jì)算機(jī)網(wǎng)絡(luò)中確認(rèn)操作者身份的過程而產(chǎn)生的解決方法。計(jì)算機(jī)網(wǎng)絡(luò)世界中一切信息包括用戶的身份信息都是用一組特定的數(shù)據(jù)來表示的，計(jì)算機(jī)只能識(shí)別用戶的數(shù)字身份，所有對(duì)用戶的授權(quán)也是針對(duì)用戶數(shù)字身份的授權(quán)。如何保證以數(shù)字身份進(jìn)行操作的操作者就是這個(gè)數(shù)字身份合法擁有者，也就是說保證操作者的物理身份與數(shù)字身份相對(duì)應(yīng)，身份認(rèn)證技術(shù)就是為了解決這個(gè)問題，作為防護(hù)網(wǎng)絡(luò)資產(chǎn)的第一道關(guān)口，身份認(rèn)證有著舉足輕重的作用。

身份認(rèn)證方法

在真實(shí)世界，對(duì)用戶的身份認(rèn)證基本方法可以分為這三種：(1)根據(jù)你所知道的信息來證明你的身份(what you know，你知道什么)；(2)根據(jù)你所擁有的東西來證明你的身份(what you have，你有什么)；(3)直接根據(jù)獨(dú)一無二的身體特征來證明你的身份(who you are，你是誰)，比如指紋、面貌等。在網(wǎng)絡(luò)世界中手段與真實(shí)世界中一致，為了達(dá)到更高的身份認(rèn)證安全性，某些場(chǎng)景會(huì)將上面3種挑選2中混合使用，即所謂的雙因素認(rèn)證。

以下羅列幾種常見的認(rèn)證形式：

靜態(tài)密碼

用戶的密碼是由用戶自己設(shè)定的。在網(wǎng)絡(luò)登錄時(shí)輸入正確的密碼，計(jì)算機(jī)就認(rèn)為操作者就是合法用戶。實(shí)際上，由于許多用戶為了防止忘記密碼，經(jīng)常采用諸如生日、電話號(hào)碼等容易被猜測(cè)的字符串作為密碼，或者把密碼抄在紙上放在一個(gè)自認(rèn)為安全的地方，這樣很容易造成密碼泄漏。如果密碼是靜態(tài)的數(shù)據(jù)，在驗(yàn)證過程中 需要在計(jì)算機(jī)內(nèi)存中和傳輸過程可能會(huì)被木馬程序或網(wǎng)絡(luò)中截獲。因此，靜態(tài)密碼機(jī)制如論是使用還是部署都非常簡(jiǎn)單，但從安全性上講，用戶名/密碼方式一種是不安全的身份認(rèn)證方式。它利用what you know方法。

智能卡（IC卡）

一種內(nèi)置集成電路的芯片，芯片中存有與用戶身份相關(guān)的數(shù)據(jù)，智能卡由專門的廠商通過專門的設(shè)備生產(chǎn)，是不可復(fù)制的硬件。智能卡由合法用戶隨身攜帶，登錄時(shí)必須將智能卡插入專用的讀卡器讀取其中的信息，以驗(yàn)證用戶的身份。智能卡認(rèn)證是通過智能卡硬件不可復(fù)制來保證用戶身份不會(huì)被仿冒。然而由于每次從智能卡中讀取的數(shù)據(jù)是靜態(tài)的，通過內(nèi)存掃描或網(wǎng)絡(luò)監(jiān)聽等技術(shù)還是很容易截取到用戶的身份驗(yàn)證信息，因此還是存在安全隱患。它利用what you have方法。

短信密碼

短信密碼以手機(jī)短信形式請(qǐng)求包含6位隨機(jī)數(shù)的動(dòng)態(tài)密碼，身份認(rèn)證系統(tǒng)以短信形式發(fā)送隨機(jī)的6位密碼到客戶的手機(jī)上?？蛻粼诘卿浕蛘呓灰渍J(rèn)證時(shí)候輸入此動(dòng)態(tài)密碼，從而確保系統(tǒng)身份認(rèn)證的安全性。它利用what you have方法。具有以下優(yōu)點(diǎn)：（1）安全性由于手機(jī)與客戶綁定比較緊密，短信密碼生成與使用場(chǎng)景是物理隔絕的，因此密碼在通路上被截取幾率降至最低。（2）普及性只要會(huì)接收短信即可使用，大大降低短信密碼技術(shù)的使用門檻，學(xué)習(xí)成本幾乎為0，所以在市場(chǎng)接受度上面不會(huì)存在阻力。

（3）易收費(fèi)由于移動(dòng)互聯(lián)網(wǎng)用戶天然養(yǎng)成了付費(fèi)的習(xí)慣，這和PC時(shí)代互聯(lián)網(wǎng)截然不同的理念，而且收費(fèi)通道非常的發(fā)達(dá)，如果是網(wǎng)銀、第三方支付、電子商務(wù)可將短信密碼作為一項(xiàng)增值業(yè)務(wù)，每月通過SP收費(fèi)不會(huì)有阻力，因此也可增加收益。（4）易維護(hù) 由于短信網(wǎng)關(guān)技術(shù)非常成熟，大大降低短信密碼系統(tǒng)上馬的復(fù)雜度和風(fēng)險(xiǎn)，短信密碼業(yè)務(wù)后期

客服成本低，穩(wěn)定的系統(tǒng)在提升安全同時(shí)也營(yíng)造良好的口碑效應(yīng)，這也是目前銀行也大量采納這項(xiàng)技術(shù)很重要的原因。

動(dòng)態(tài)口令牌

目前最為安全的身份認(rèn)證方式，也利用what you have方法，也是一種動(dòng)態(tài)密碼。動(dòng)態(tài)口令牌是客戶手持用來生成動(dòng)態(tài)密碼的終端，主流的是基于時(shí)間同步方式的，每60秒變換一次動(dòng)態(tài)口令，口令一次有效，它產(chǎn)生6位動(dòng)態(tài)數(shù)字進(jìn)行一次一密的方式認(rèn)證。由于它使用起來非常便捷，85%以上的世界500強(qiáng)企業(yè)運(yùn)用它保護(hù)登錄安全，廣泛應(yīng)用在VPN、網(wǎng)上銀行、電子政務(wù)、電子商務(wù)等領(lǐng)域。

USB KEY

基于USB Key的身份認(rèn)證方式是近幾年發(fā)展起來的一種方便、安全的身份認(rèn)證技術(shù)。它采用軟硬件相結(jié)合、一次一密的強(qiáng)雙因子認(rèn)證模式，很好地解決了安全性與易用性之間的矛盾。USB Key是一種USB接口的硬件設(shè)備，它內(nèi)置單片機(jī)或智能卡芯片，可以存儲(chǔ)用戶的密鑰或數(shù)字證書，利用USBKey內(nèi)置的密碼算法實(shí)現(xiàn)對(duì)用戶身份的認(rèn)證?；赨SB Key身份認(rèn)證系統(tǒng)主要有兩種應(yīng)用模式：一是基于沖擊/響應(yīng)的認(rèn)證模式，二是基于PKI體系的認(rèn)證模式，目前運(yùn)用在電子政務(wù)、網(wǎng)上銀行。

OCL

OCL可以提供身份認(rèn)證的數(shù)字簽名

數(shù)字簽名又稱電子加密，可以區(qū)分真實(shí)數(shù)據(jù)與偽造、被篡改過的數(shù)據(jù)。這對(duì)于網(wǎng)絡(luò)數(shù)據(jù)傳輸，特別是電子商務(wù)是極其重要的，一般要采用一種稱為摘要的技術(shù)，摘要技術(shù)主要是采用 HASH 函數(shù)（HASH(哈希)函數(shù)提供了這樣一種計(jì)算過程：輸入一個(gè)長(zhǎng)度不固定的字符串，返回一串定長(zhǎng)度的字符串，又稱 HASH 值）將一段長(zhǎng)的報(bào)文通過函數(shù)變換，轉(zhuǎn)換為一段定長(zhǎng)的報(bào)文，即摘要。身份識(shí)別是指用戶向系統(tǒng)出示自己身份證明的過程，主要使用約定口令、智能卡和用戶指紋、視網(wǎng)膜和聲音等生理特征。數(shù)字證明機(jī)制提供利用公開密鑰進(jìn)行驗(yàn)證的方法。

生物識(shí)別技術(shù)

運(yùn)用who you are方法，通過可測(cè)量的身體或行為等生物特征進(jìn)行身份認(rèn)證的一種技術(shù)。生物特征是指唯一的可以測(cè)量或可自動(dòng)識(shí)別和驗(yàn)證的生理特征或行為方式。生物特征分為身體特征和行為特征兩類。身體特征包括：指紋、視網(wǎng)膜、虹膜、掌型、臉型、人體氣味、手的血管和DNA等；行為特征包括：簽名、語音、行走步態(tài)等。目前部分學(xué)者將視網(wǎng)膜識(shí)別、虹膜識(shí)別和指紋識(shí)別等歸為高級(jí)生物識(shí)別技術(shù)；將掌型識(shí)別、臉型識(shí)別、語音識(shí)別和簽名識(shí)別等歸為次級(jí)生物識(shí)別技術(shù)；將血管紋理識(shí)別、人體氣味識(shí)別、DNA識(shí)別等歸為“深?yuàn)W的”生物識(shí)別技術(shù)，指紋識(shí)別技術(shù)目前應(yīng)用廣泛的領(lǐng)域有門禁系統(tǒng)、微型支付等。Infogo身份認(rèn)證

網(wǎng)絡(luò)安全準(zhǔn)入設(shè)備制造商，聯(lián)合國(guó)內(nèi)專業(yè)網(wǎng)絡(luò)安全準(zhǔn)入實(shí)驗(yàn)室，推出安全身份認(rèn)證準(zhǔn)入控制系統(tǒng)。

雙因素身份認(rèn)證

所謂雙因素就是將兩種認(rèn)證方法結(jié)合起來，進(jìn)一步加強(qiáng)認(rèn)證的安全性，目前使用最為廣泛的雙因素有：動(dòng)態(tài)口令牌 + 靜態(tài)密碼USB KEY + 靜態(tài)密碼二層靜態(tài)密碼 等等。

第二篇：養(yǎng)老金身份認(rèn)證

養(yǎng)老金身份認(rèn)證怎樣進(jìn)行操作 建模和認(rèn)證前的注意事項(xiàng)建模和認(rèn)證前的注意事項(xiàng)建模和認(rèn)證前的注意事項(xiàng)建模和認(rèn)證前的注意事項(xiàng)

1、請(qǐng)不要戴眼鏡進(jìn)行建模或者認(rèn)證；

2、請(qǐng)不要將頭發(fā)遮擋住眉毛或者眼睛；

3、請(qǐng)不要在機(jī)器上安裝虛擬攝像頭等軟件；

4、請(qǐng)?jiān)谡J(rèn)證前，保證沒有任何其他程序正在使用攝像頭（比如正在使用QQ視頻聊天，請(qǐng)先關(guān)閉視頻）；

5、無論是在家中，或者在其它任何地方進(jìn)行認(rèn)證時(shí)，請(qǐng)先確保光照均勻，沒有偏光，側(cè)光，背光的普通室內(nèi)環(huán)境光照條件。身后不能正對(duì)明亮的窗戶，或者臉旁兩側(cè)有很亮的燈光，避免圖像過亮，影響您的認(rèn)證效果；

6、如果您的機(jī)器配置較低（比如單核cpu 1.5G以下，內(nèi)存在1GB以下），請(qǐng)您耐心等待，可能需要較長(zhǎng)的等待時(shí)間，如果可能請(qǐng)更換一臺(tái)配置更高的機(jī)器進(jìn)行認(rèn)證；

7、盡量采用清晰的攝像頭進(jìn)行認(rèn)證，比如請(qǐng)盡量采用外接的攝像頭而避免用筆記本自帶的攝像頭；

8、如果您購(gòu)買了智慧眼的雙目攝像頭，請(qǐng)保證兩個(gè)USB接口都插入了電腦的USB。建模和認(rèn)證過程中的注意事項(xiàng)建模和認(rèn)證過程中的注意事項(xiàng)建模和認(rèn)證過程中的注意事項(xiàng)建模和認(rèn)證過程中的注意事項(xiàng)

1、認(rèn)證開始時(shí)，請(qǐng)保持雙眼平視攝像頭，并保持頭部不動(dòng)。聽到“請(qǐng)眨眼”語音提示時(shí)，請(qǐng)先連續(xù)眨動(dòng)多次，并稍稍小范圍上下左右5°以內(nèi)擺動(dòng)一下頭部，確保認(rèn)證快速通過；

2、認(rèn)證開始時(shí)，請(qǐng)保持正面中性表情，不要大笑或者做其它劇烈的表情，否則，可能會(huì)造成認(rèn)證失敗；

3、請(qǐng)保持距離攝像頭在40-60cm的范圍內(nèi)，保持臉部在視頻的橙色矩形框內(nèi)，保持臉上各部分沒有被帽子墨鏡或者其它物體遮擋；

4、在進(jìn)行認(rèn)證時(shí)，請(qǐng)保持視頻中只有需要認(rèn)證的一個(gè)人，其它人員請(qǐng)遠(yuǎn)離攝像頭視頻范圍；

5、請(qǐng)不要試圖用照片代替真人進(jìn)行認(rèn)證，系統(tǒng)會(huì)自動(dòng)判定并記錄下來，這會(huì)造成您無法完成認(rèn)證并會(huì)受到處理；

6、建模模塊系統(tǒng)提示“認(rèn)證成功，身份證號(hào)為多少”的對(duì)話框，才能算是建模成功；

7、認(rèn)證模塊系統(tǒng)提示“認(rèn)證成功，身份證號(hào)為多少”的對(duì)話框，才能算是認(rèn)證成功。

第三篇：基于USB_Key的PKI身份認(rèn)證技術(shù)的分析與改進(jìn)

基于USB Key的PKI身份認(rèn)證技術(shù)的分析與改進(jìn)

摘要：在當(dāng)今數(shù)字世界中，身份認(rèn)證技術(shù)是各種安全技術(shù)的基礎(chǔ)。USB Key技術(shù)是現(xiàn)在比較流行的基于PKI的強(qiáng)身份認(rèn)證技術(shù)，特別是在網(wǎng)上銀行等金融領(lǐng)域。研究了USB Key的典型使用流程，分析了這些流程中的安全威脅，最后著重提出了針對(duì)這些風(fēng)險(xiǎn)的安全解決方案，這些方案都是在具體項(xiàng)目得以實(shí)施應(yīng)用，對(duì)目前的USB Key使用和開發(fā)具有很好的實(shí)用和借鑒意義。

關(guān)鍵詞：USB智能密碼鑰匙；公鑰密碼基礎(chǔ)設(shè)施；身份認(rèn)證；數(shù)字簽名；網(wǎng)上銀行

中圖分類號(hào)：TP393.08 文獻(xiàn)標(biāo)識(shí)碼：A

Analysis and improvement of PKI identity authentication technology based on USB Key Abstract: Now in digital world, all of security technologies are based on digital identity authentication technology.And the USB Key technology is one of the most popular technologies, which is a strong authentication technology and based on PKI, especially in Internet banking filed.The typical usage flows are researched, the security threats are analyzed.At the last, the solutions are proposed corresponding to these threats, which is applied in practical projects and have great practical and economic value.Key words: USB Key;PKI;Identity authentication;Digital signature;Internet banking 1引言

隨著互聯(lián)網(wǎng)和電子商務(wù)的發(fā)展，USB Key作為網(wǎng)絡(luò)用戶身份識(shí)別和數(shù)據(jù)保護(hù)的“電子鑰匙”，正在被越來越多的用戶所認(rèn)識(shí)和使用。

USB Key[1,2,3]這個(gè)概念最早是由加密鎖廠家提出來的，加密鎖是用來防止軟件盜版的硬件產(chǎn)品，用于識(shí)別用戶身份。與此同時(shí)，隨著PKI[45,6]應(yīng)用的興起，數(shù)字證書[45,6]作為確認(rèn)用戶身份和保護(hù)用戶數(shù)據(jù)有效手段越來越被人們所接受。然而數(shù)字證書實(shí)質(zhì)上表現(xiàn)為帶有用戶信息和密鑰的一個(gè)數(shù)據(jù)文件，如何保護(hù)數(shù)字證書本身又成為PKI體系中最薄弱的環(huán)節(jié)，專門用于存儲(chǔ)秘密信息的USB Key就很自然的成為數(shù)字證書的最佳載體。利用USB Key來保存數(shù)字證書和用戶私鑰。

每一個(gè)USB Key都帶有PIN碼保護(hù)，這樣USB Key的硬件和PIN碼構(gòu)成了可以使用證書的兩個(gè)必要因子，也就是所謂的雙因素認(rèn)證[7]。

隨著智能卡[8]技術(shù)的發(fā)展，智能卡運(yùn)算能力不斷提高，帶有智能卡芯片的USB Key可以通過內(nèi)置的智能卡芯片在Key內(nèi)部硬件實(shí)現(xiàn)DES/3DES、RSA加解密運(yùn)算，并支持Key內(nèi)生成RSA密鑰對(duì)，杜絕了密鑰在客戶端內(nèi)存中出現(xiàn)的可能性，大大提高了安全性。

這樣，基于智能卡技術(shù)和PKI技術(shù)的發(fā)展形成了目前廣泛使用的USB Key身份認(rèn)證產(chǎn)品。USB Key 基本功能包括：高質(zhì)量隨機(jī)數(shù)生成，公/私密鑰對(duì)產(chǎn)生，數(shù)字證書下載存儲(chǔ)，哈希運(yùn)算，數(shù)字簽名/驗(yàn)證，對(duì)稱加/解密，非對(duì)稱加/解密等功能。

USB Key是目前所有身份認(rèn)證技術(shù)中認(rèn)證強(qiáng)度最高的技術(shù)，但是使用過程中的漏洞會(huì)大大削弱這種優(yōu)勢(shì)，其安全形勢(shì)也不用樂觀。USB Key的使用流程

網(wǎng)銀[9]（Internet Banking，網(wǎng)上銀行）等金融領(lǐng)域是目前USB Key應(yīng)用最廣泛最成熟的領(lǐng)域，下面主要以網(wǎng)銀案例來介紹USB Key的使用流程，以時(shí)序圖形式說明。2.1 首次登錄流程

用戶1.0 插入U(xiǎn)SB KeyUSB Key客戶端網(wǎng)銀服務(wù)器1.1 虛擬光盤自動(dòng)運(yùn)行1.2 客戶端啟動(dòng)并進(jìn)入登錄界面1.3 與服務(wù)器建立單向SSL安全通道1.4 與客戶端建立單向SSL安全通道1.5 提示用戶輸入相關(guān)信息進(jìn)行用戶綁定1.6 用戶輸入身份證號(hào)和授權(quán)碼1.7 提取相關(guān)序號(hào)1.8 設(shè)備序號(hào)和數(shù)字證書序號(hào)1.9 發(fā)送用戶信息到服務(wù)器1.10 驗(yàn)證用戶信息如果成功，則綁定用戶身份證號(hào)、USB Key序號(hào)及數(shù)字證書序號(hào)1.11 返回綁定結(jié)果1.12 提示用戶登錄成功或失敗

圖1 首次登錄流程圖

2.2 普通登錄流程

用戶2.0 插入U(xiǎn)SB KeyUSB Key客戶端網(wǎng)銀服務(wù)器2.1 虛擬光盤自動(dòng)運(yùn)行2.2 客戶端啟動(dòng)并進(jìn)入登錄界面2.3 與服務(wù)器建立單向SSL安全通道2.4 與客戶端建立單向SSL安全通道2.5 提示用戶輸入口令2.6 用戶輸入口令2.7 驗(yàn)證用戶口令指令2.8 返回驗(yàn)證結(jié)果2.10 提取相關(guān)序號(hào)2.11 設(shè)備序號(hào)和數(shù)字證書序號(hào)2.9 驗(yàn)證失敗則提示用戶，否則繼續(xù)2.12 發(fā)送用戶信息到服務(wù)器2.13 驗(yàn)證用戶信息2.14 返回驗(yàn)證結(jié)果2.15 提示用戶登錄成功或失敗

圖2 普通登錄流程圖 2.3 客戶端認(rèn)證和轉(zhuǎn)賬流程

用戶USB Key3.0 用戶登錄成功后，轉(zhuǎn)賬客戶端網(wǎng)銀服務(wù)器3.1 與服務(wù)器建立雙向SSL安全通道3.2 SSL簽名請(qǐng)求3.3 SSL簽名3.4 與客戶端建立雙向SSL安全通道3.5 建立失敗則提示用戶，否則繼續(xù)3.6 提示用戶輸入轉(zhuǎn)賬信息3.7 輸入轉(zhuǎn)入賬號(hào)和金額3.8 提交轉(zhuǎn)賬請(qǐng)求3.10 返回請(qǐng)求結(jié)果3.11 提示用戶輸入U(xiǎn)SB Key口令3.12 輸入用戶口令3.13 簽名請(qǐng)求3.14 簽名值3.15 提交交易簽名3.9 驗(yàn)證表單3.16 驗(yàn)證簽名3.17 返回驗(yàn)證結(jié)果3.18 返回交易結(jié)果

圖3 客戶端認(rèn)證和轉(zhuǎn)賬流程圖 USB Key安全性分析及改進(jìn)方案

3.1 安全風(fēng)險(xiǎn)[10][11]

目前USB Key安全風(fēng)險(xiǎn)有：

USB Key 口令（密碼）明文傳輸，可能被USB監(jiān)聽工具截獲；

有的網(wǎng)銀系統(tǒng)USB Key只做身份認(rèn)證，不進(jìn)行交易簽名；或者USB Key簽名請(qǐng)求沒有校驗(yàn)和客戶確認(rèn)機(jī)制，客戶在使用網(wǎng)銀進(jìn)行資金操作時(shí)，其用戶私鑰存在被他人遠(yuǎn)程非法調(diào)用并進(jìn)行交易的可能；

USB Key主控密鑰管理不善，存在泄露風(fēng)險(xiǎn)，不法分子可遠(yuǎn)程調(diào)用USB Key進(jìn)行非法交易簽名，進(jìn)而盜取用戶資金。3.2 安全需求：

加強(qiáng)用戶交易授權(quán)認(rèn)證。在使用USB Key進(jìn)行交易授權(quán)認(rèn)證時(shí)，應(yīng)增加客戶交易確認(rèn)手段，如增加向客戶發(fā)送含有待確認(rèn)交易信息的短信等第二渠道認(rèn)證方式，或使用帶有確認(rèn)按鍵或顯示屏的USB Key。

嚴(yán)格USB Key密鑰安全管理。要采用加密手段保存和傳輸U(kuò)SB Key的口令（密碼），嚴(yán)格USB Key主控密鑰、傳輸密鑰等安全管理，防止不法分子獲取USB Key訪問控制權(quán)，非法調(diào)用或修改用戶私鑰。

加強(qiáng)網(wǎng)上銀行客戶端的安全保護(hù)。在保護(hù)鍵盤輸入、防通信明文竊取、防黑客程序跟蹤、防內(nèi)存數(shù)據(jù)截獲、防截取屏幕信息、防“釣魚”欺騙、防交易數(shù)據(jù)篡改等多方面對(duì)網(wǎng)上銀行系統(tǒng)及客戶端采取技術(shù)加固措施。

3.3 安全改進(jìn)措施 3.3.1 用戶口令安全

用戶口令的輸入主要有兩種：PC端輸入和USB Key端輸入。

PC端輸入包括使用PC鍵盤和虛擬軟鍵盤，PC鍵盤輸入相對(duì)比較容易攔截監(jiān)聽到，而軟鍵盤布局隨機(jī)排列且不易被攔截到。PC端輸入方式口令驗(yàn)證過程的安全性主要靠動(dòng)態(tài)密鑰加密用戶口令數(shù)據(jù)。

另外，USB Key配備數(shù)字全鍵盤或可以輸入數(shù)字的按鍵，用戶口令（包括修改）的輸入全部在設(shè)備上完成，用戶口令不會(huì)出現(xiàn)在USB通信中，所以從根本上防止口令被攔截或破解。同時(shí)，由于用戶口令在設(shè)備上輸入，外界無法直接向設(shè)備發(fā)送校驗(yàn)口令指令，有效防止通過遠(yuǎn)程惡意發(fā)送校驗(yàn)口令指令導(dǎo)致設(shè)備鎖死。

3.3.2 密鑰對(duì)安全

用戶密鑰對(duì)是在申請(qǐng)證書時(shí)在設(shè)備內(nèi)部隨機(jī)產(chǎn)生的，而不是事先存在或?qū)氲摹?/p>

用戶私鑰存放于芯片特殊保護(hù)區(qū)域，外面無法對(duì)其直接操作，并且通過各種手段都無法讀出或替換，防止用戶私鑰被導(dǎo)出、讀出或替換，保證用戶私鑰數(shù)據(jù)的安全。

所有用戶私鑰的操作都由用戶口令來控制，需用戶口令驗(yàn)證通過后才能進(jìn)行數(shù)字簽名操作，在操作完成后重置驗(yàn)證口令標(biāo)志，防止私鑰操作被遠(yuǎn)程劫持。同時(shí)，加密私鑰操作指令的會(huì)話密鑰都是一次一密，有效防止簽名指令重發(fā)攻擊。3.3.3 數(shù)據(jù)通信安全

設(shè)備和主機(jī)的通信數(shù)據(jù)很容易被USB監(jiān)控軟件（如：Bushound）獲取，保護(hù)通信數(shù)據(jù)的安全，防止敏感信息泄露就顯得至關(guān)重要。

基本思路：數(shù)據(jù)通信安全就是要保護(hù)主機(jī)和設(shè)備通信數(shù)據(jù)，防止數(shù)據(jù)被截取或篡改。保護(hù)通信數(shù)據(jù)的密鑰是動(dòng)態(tài)會(huì)話密鑰，而不是單純的靜態(tài)密鑰，這樣即使某一段數(shù)據(jù)被攔截并破解，只要及時(shí)協(xié)商一個(gè)新的會(huì)話密鑰，即可防止后面的通信被破解。并且，比如簽名等比較敏感的指令數(shù)據(jù)的會(huì)話密鑰都會(huì)用一次協(xié)商一次（一次一密）。協(xié)商基本流程，如圖4所示。

主機(jī)設(shè)備

1、在設(shè)備初始化/格式化時(shí)隨機(jī)產(chǎn)生一個(gè)專門用于協(xié)商會(huì)話密鑰RSA密鑰對(duì)（K）2.“發(fā)起協(xié)商”會(huì)話密鑰，并攜帶主機(jī)產(chǎn)生的8字節(jié)隨機(jī)數(shù)(Rh)3.返回設(shè)備隨機(jī)數(shù)（Rd）和RSA密鑰對(duì)公鑰(Kpub)4.組裝會(huì)話密鑰，并用公鑰（Kpub）加密會(huì)話密鑰5.“協(xié)商”會(huì)話密鑰指令，攜帶加密的會(huì)話密鑰6.用私鑰（Kpri）解密出會(huì)話密鑰7.返回協(xié)商結(jié)果8.加密通信數(shù)據(jù)

圖 4 安全通信的基本流程

1、會(huì)話密鑰對(duì)生成。專門用于協(xié)商會(huì)話密鑰的RSA密鑰對(duì)（以下簡(jiǎn)稱會(huì)話密鑰對(duì)）在設(shè)備初始化/格式化時(shí)生成，這個(gè)密鑰對(duì)與用戶的密鑰對(duì)毫無關(guān)系，僅用于會(huì)話密鑰的協(xié)商，即使這個(gè)密鑰對(duì)被破解也不會(huì)影響到用戶的密鑰對(duì)。會(huì)話密鑰對(duì)隨機(jī)產(chǎn)生，每個(gè)設(shè)備都不相同，并且同一個(gè)設(shè)備每一次格式化的密鑰對(duì)也不相同。這些措施的目的就是要保障即使一個(gè)設(shè)備通信被破解也不會(huì)影響到別的設(shè)備，并且可以防止通信重放攻擊。

2、發(fā)起協(xié)商。協(xié)商會(huì)話密鑰的過程由主機(jī)（應(yīng)用）發(fā)起。主機(jī)發(fā)送“發(fā)起協(xié)商” 指令，該指令同時(shí)攜帶主機(jī)隨機(jī)產(chǎn)生的8字節(jié)隨機(jī)數(shù)（Rh）.指令形式如：發(fā)起協(xié)商指令頭+主機(jī)產(chǎn)生的8字節(jié)隨機(jī)數(shù)（Rh）。

3、返回設(shè)備隨機(jī)數(shù)和會(huì)話密鑰對(duì)公鑰。當(dāng)設(shè)備收到發(fā)起協(xié)商指令后，設(shè)備首先保存主機(jī)產(chǎn)生的8字節(jié)隨機(jī)數(shù)（Rh），同時(shí)設(shè)備也產(chǎn)生8字節(jié)的隨機(jī)數(shù)（Rd）。最后設(shè)備返回隨機(jī)數(shù)（Rd）和會(huì)話密鑰對(duì)公鑰。指令響應(yīng)形式：設(shè)備產(chǎn)生的8字節(jié)隨機(jī)數(shù)（Rd）+會(huì)話密鑰對(duì)公鑰（Kpub）。

4、組裝會(huì)話密鑰。當(dāng)主機(jī)收到發(fā)起協(xié)商指令返回后，主機(jī)保存設(shè)備產(chǎn)生的8字節(jié)隨機(jī)數(shù)（Rd）和會(huì)話密鑰公鑰（Kpub）。接著，主機(jī)開始組裝會(huì)話密鑰，組裝完成后用會(huì)話密鑰公鑰（Kpub）加密會(huì)話密鑰。組裝過程，如圖 5 所示：

設(shè)備 8字節(jié)隨機(jī)數(shù)（Rd)主機(jī) 8 字節(jié)隨機(jī)數(shù)（Rh）設(shè)備右半 4 字節(jié)隨機(jī)數(shù)主機(jī)左半 4 字節(jié)隨機(jī)數(shù)設(shè)備左半4字節(jié)隨機(jī)數(shù)主機(jī)右半4字節(jié)隨機(jī)數(shù)RSA 公鑰加密會(huì)話密鑰公鑰（Kpub）會(huì)話密鑰密文

圖 5 組裝會(huì)話密鑰

5、協(xié)商。主機(jī)組裝完會(huì)話密鑰并加密后，通過“協(xié)商”指令發(fā)送到設(shè)備，指令形式如：協(xié)商指令頭+會(huì)話密鑰密文。

6、設(shè)備解密會(huì)話密鑰。當(dāng)設(shè)備收到“協(xié)商指令” 發(fā)送過來的會(huì)話密鑰密文后，設(shè)備使用會(huì)話密鑰對(duì)的私鑰（Kpri）解密出會(huì)話密鑰（SK）。由于在“發(fā)起協(xié)商” 指令中設(shè)備已經(jīng)獲得了主機(jī)產(chǎn)生的隨機(jī)數(shù)，所以設(shè)備也會(huì)自己組裝會(huì)話密鑰（SK’），然后設(shè)備比較（SK）和（SK’）是否一致。最后返回協(xié)商結(jié)果給主機(jī)，如圖6所示。會(huì)話密鑰密文8字節(jié)設(shè)備隨機(jī)數(shù)(Rd)8字節(jié)主機(jī)隨機(jī)數(shù)(Rh)會(huì)話密鑰對(duì)私鑰（Kpri）RSA私鑰解密會(huì)話密鑰(SK)設(shè)備右半4字節(jié)隨機(jī)數(shù)主機(jī)左半4字節(jié)隨機(jī)數(shù)設(shè)備左半4字節(jié)隨機(jī)數(shù)(Rd)主機(jī)右半4字節(jié)隨機(jī)數(shù)(Rd)比較返回失敗相同？更新當(dāng)前會(huì)話密鑰返回成功圖 6 解密會(huì)話密鑰

7、返回協(xié)商結(jié)果，返回協(xié)商結(jié)果成功或失敗。

8、加密通信。會(huì)話密鑰協(xié)商成功后，主機(jī)和設(shè)備就可以使用剛剛協(xié)商的會(huì)話密鑰來加密通信。一些敏感指令（比如：簽名，驗(yàn)證用戶口令）需要會(huì)話密鑰動(dòng)態(tài)變化，一次一密。3.3.4 交易簽名安全

交易簽名是對(duì)敏感交易數(shù)據(jù)進(jìn)行簽名。在簽名運(yùn)算之前，交易數(shù)據(jù)（TLV格式）先送到USB Key設(shè)備上顯示，用戶確認(rèn)后在設(shè)備內(nèi)部進(jìn)行簽名，防止非法程序?qū)λ灁?shù)據(jù)進(jìn)行篡改。同時(shí)，由于內(nèi)部數(shù)據(jù)簽名之前進(jìn)行數(shù)據(jù)填充，有效防止利用非交易簽名來偽造交易簽名。

簽名數(shù)據(jù)數(shù)據(jù)檢查USB Key內(nèi)部符合交易數(shù)據(jù)格式（預(yù)定義TLV格式）是交易數(shù)據(jù)確認(rèn)（設(shè)備LCD顯示）數(shù)據(jù)填充否對(duì)填充后數(shù)據(jù)做哈希運(yùn)算從設(shè)備上驗(yàn)證用戶口令對(duì)數(shù)據(jù)哈希值做簽名運(yùn)算簽名值

圖 7 數(shù)據(jù)簽名流程

從圖 7 可以看到，明文數(shù)據(jù)進(jìn)入設(shè)備后，設(shè)備首先檢查數(shù)據(jù)是否是預(yù)定義格式的簽名數(shù)據(jù)，如果不是的話，將不在設(shè)備上顯示，驗(yàn)證用戶口令后直接簽名，返回簽名值；如果符合交易數(shù)據(jù)格式化的話，首先在設(shè)備上顯示交易內(nèi)容，待用戶確認(rèn)后，對(duì)交易數(shù)據(jù)進(jìn)行特別的內(nèi)部填充，接著對(duì)填充后的數(shù)據(jù)進(jìn)行哈希運(yùn)算獲取哈希值，待在設(shè)備上驗(yàn)證用戶口令后，對(duì)數(shù)據(jù)進(jìn)行簽名并返回簽名值。整個(gè)流程數(shù)據(jù)從進(jìn)入設(shè)備到簽名，從未出過設(shè)備。

由于交易簽名數(shù)據(jù)會(huì)在設(shè)備內(nèi)部填充，而非交易簽名數(shù)據(jù)（比如：SSL安全通道簽名）不會(huì)被填充，外界也無法模擬這個(gè)填充過程，所以利用非交易簽名來偽造交易簽名就無法實(shí)現(xiàn)。

同時(shí)可以發(fā)現(xiàn)，圖中的除了數(shù)據(jù)填充外，其他過程都是標(biāo)準(zhǔn)處理流程，所以下面主要介紹一下數(shù)據(jù)填充。

數(shù)據(jù)填充的目的是防止交易簽名的偽造，交易數(shù)據(jù)的填充過程，在設(shè)備外面無法完成，因?yàn)樘畛涞臄?shù)據(jù)是保密的。數(shù)據(jù)的填充方式如：填充值+交易簽名數(shù)據(jù)。

填充的關(guān)鍵是填充的數(shù)據(jù)值。填充數(shù)據(jù)是在設(shè)備初始化/格式化時(shí)寫入設(shè)備的，根據(jù)設(shè)備序號(hào)來派生的，因而每個(gè)設(shè)備的填充值都不一樣；并且派生密鑰存在控制卡中，由銀行管理員來設(shè)置別人無法獲取，因而無法得到填充值。

填充值寫入設(shè)備安全機(jī)制，如圖8所示：

簽名填充值寫入及授權(quán)使用<>設(shè)置填充值派生主密鑰銀行管理員<><>控制卡<>寫入簽名填充值<>操作員設(shè)備

圖 8 填充值寫入設(shè)備機(jī)制

填充值是在設(shè)備格式化時(shí)寫入的，此時(shí)設(shè)備和控制卡之間經(jīng)過雙向認(rèn)證（遵循 GP 2.1.1 SCP01規(guī)范）已建立安全通道，所以填充值明文不會(huì)出現(xiàn)在主機(jī)內(nèi)存中，格式化程序也無法獲取。結(jié)論

我們生活的現(xiàn)實(shí)世界是一個(gè)真實(shí)的物理世界，每個(gè)人都擁有獨(dú)一無二的物理身份。而今我們也生活在數(shù)字世界中，一切信息都是由一組特定的數(shù)據(jù)表示，當(dāng)然也包括用戶的身份信息。而計(jì)算機(jī)只能識(shí)別用戶的數(shù)字身份，所以計(jì)算機(jī)給用戶的授權(quán)也是針對(duì)用戶數(shù)字身份進(jìn)行的。保證訪問者的數(shù)字身份與物理身份相對(duì)應(yīng)，就是身份認(rèn)證管理系統(tǒng)所需要解決的問題。為了保護(hù)信息安全，現(xiàn)在有身份認(rèn)證、授權(quán)管理控制、日志審計(jì)、防火墻等安全技術(shù)。其中身份認(rèn)證是其他技術(shù)的基礎(chǔ)。如果用戶身份被非法冒用，那么用戶的權(quán)限也被非法使用，安全審計(jì)等就失去意義。本文通過研究當(dāng)前最流行的基于PKI的USB Key身份認(rèn)證技術(shù)，總結(jié)出目前USB Key使用或部署中的一些安全威脅；最后針對(duì)這些安全威脅，對(duì)每個(gè)具體的安全點(diǎn)都提出了實(shí)用的安全解決方案，這些方案都在項(xiàng)目或產(chǎn)品中得到應(yīng)用和檢驗(yàn)，具體很好的使用價(jià)值和經(jīng)濟(jì)價(jià)值。

參考文獻(xiàn)：

[1]蘇正榮.簡(jiǎn)析USB Key的工作原理及應(yīng)用[J].中國(guó)金融電腦, 2009,(05)[2]楊帆.USB KEY體系研究與技術(shù)實(shí)現(xiàn)[D]武漢大學(xué), 2004 [3]劉紅明.基于SSX45安全芯片的USB Key設(shè)計(jì)與實(shí)現(xiàn)[D]上海交通大學(xué), 2009.[4]Carlisle Adams, Steve Lloyd, Understanding PKI: Concepts, Standards, and Deployment Considerations[M], Addison-Wesley Professional, 2 edition ,November 16, 2002 [5]Jianying Zhou, Meng-Chow Kang,Feng Bao, Hwee-Hwa Pang, Applied Public Key Infrastructure[M], 2005 [6]關(guān)振勝,公鑰基礎(chǔ)設(shè)施PKI與認(rèn)證機(jī)構(gòu)CA[M], 2002 [7]吳永英,鄧路,肖道舉,陳曉蘇.一種基于USB Key的雙因子身份認(rèn)證與密鑰交換協(xié)議[J]計(jì)算機(jī)工程與科學(xué), 2007,(05)[8]張?chǎng)?李方偉,潘春蘭.一種增強(qiáng)的基于智能卡的遠(yuǎn)程身份鑒別方案[J]計(jì)算機(jī)應(yīng)用, 2009,(04)[9]程宇賢.網(wǎng)上銀行身份認(rèn)證系統(tǒng)的安全性研究[D]上海交通大學(xué), 2010 [10]張軼輝,王昭順,USB密碼鑰匙漏洞分析及防御策略的研究 [J],航空計(jì)算技術(shù),2007 [11]張錕,顏學(xué)龍.USB KEY的體系結(jié)構(gòu)分析及安全策略研究[J]安防科技, 2009,(02)

第四篇：基于U盤的身份認(rèn)證

基于優(yōu)盤進(jìn)行身份認(rèn)證方案設(shè)計(jì)

現(xiàn)在市場(chǎng)上出現(xiàn)各種各樣的基于硬件的加密設(shè)備，但應(yīng)用于身份認(rèn)證的還很少，大部分應(yīng)用在軟件產(chǎn)品的加密方面。

軟件開發(fā)商在開發(fā)軟件特別是行業(yè)軟件時(shí)經(jīng)常用到身份驗(yàn)證，傳統(tǒng)當(dāng)方式是采用用戶名＋密碼的方式進(jìn)行認(rèn)證，這樣的驗(yàn)證方式存在很多缺點(diǎn)主要表現(xiàn)在以下兩個(gè)方面：

1． 用戶信息容易泄密 2． 用戶信息容易遺忘 3． 給領(lǐng)導(dǎo)使用帶來不便

作為軟件開發(fā)商為了提高軟件的可用性、加載身份認(rèn)證功能。但需要從市場(chǎng)上加密廠商手中購(gòu)買身份認(rèn)證設(shè)備，但存在以下弊端：

1． 增加軟件的成本

2． 每一個(gè)用戶需要一套，當(dāng)系統(tǒng)用戶較多時(shí)產(chǎn)生較高的成本 3． 設(shè)備內(nèi)部的核心技術(shù)不了解，增加了軟件推廣應(yīng)用中的風(fēng)險(xiǎn) 4． 身份認(rèn)證設(shè)備功能單一

隨著科技的發(fā)展，IT技術(shù)的投飛猛進(jìn)發(fā)展。優(yōu)盤走進(jìn)了普通計(jì)算機(jī)用戶的手中，逐漸了取代了計(jì)算中的軟驅(qū)的位置?，F(xiàn)在的優(yōu)盤生產(chǎn)廠家較多、價(jià)格比較低廉、穩(wěn)定性較高、容量較大、功能也越來越多。使用計(jì)算機(jī)用戶手中的優(yōu)盤設(shè)備作為加密載體是最合適的選擇。因?yàn)椴恍枰魏诬浖痰耐顿Y，不用擔(dān)心核心技術(shù)的控制。最為軟件廠商的工作就是開發(fā)一套基于優(yōu)盤的機(jī)密體系。

基于優(yōu)盤的加密體系方案設(shè)計(jì)

優(yōu)盤在生產(chǎn)時(shí)在設(shè)備上標(biāo)注了物理編號(hào)，這種編號(hào)具有終生不變、不任何操作的影響、只能讀取不能寫入的特點(diǎn)。所以可以采用優(yōu)盤物理編號(hào)作為加密方案設(shè)計(jì)的起點(diǎn)。

采用優(yōu)盤的物理編號(hào)作為加密的種子，利用算法轉(zhuǎn)成密文生成一認(rèn)證文件，可以在文件中附加身份驗(yàn)證信息。在設(shè)計(jì)軟件登錄時(shí)只需判斷當(dāng)前優(yōu)盤和當(dāng)前優(yōu)盤中許可文件是否一致，用戶信息在中心數(shù)據(jù)庫中是否存在即可，這樣有效的保護(hù)了用戶信息，也避免了用戶信息記憶不便的問題。采用這種機(jī)密方式主要的安全保障措施是： 1.采用優(yōu)盤的物理編號(hào)（保證不被復(fù)制）

2.杜絕加密文件因用戶非法拷貝造成的問題（在檢測(cè)設(shè)備時(shí)可以檢查物理編號(hào)是否一致）

第五篇：騰訊微博身份認(rèn)證流程

騰訊微博身份認(rèn)證流程

微博認(rèn)證的好處就是提高知名度，讓更多的朋友關(guān)注你，有的時(shí)候?qū)嵜J(rèn)證也是保護(hù)自己的一些真實(shí)信息被別人盜用的一種手段，但是如何實(shí)名認(rèn)證看以下文章，騰訊微博應(yīng)該跟新浪微博一樣。

騰訊微博身份認(rèn)證流程要求：

1、有一定知名度的演藝、體育、文藝界人士或者是社會(huì)的公眾人物，只要你在圈圈里頭擁有一席之地，你都擁有認(rèn)證的資格。

2、在公眾熟悉的某領(lǐng)域內(nèi)有一定知名度和影響力的人

3、知名企業(yè)、機(jī)構(gòu)、媒體及其高管，那怕只是一個(gè)小領(lǐng)導(dǎo)，那你一定也能非常受歡迎地被認(rèn)證。

4、重要新聞當(dāng)事人

5、未在上述范圍內(nèi)的，容易引起身份混淆的其他自然人或者機(jī)構(gòu)是難以通過認(rèn)證的，此時(shí)可以找專業(yè)代認(rèn)證的機(jī)構(gòu)幫您，如美基營(yíng)銷，一般在2-7日內(nèi)便可完成認(rèn)證?？稍诎俣人阉髅阑鶢I(yíng)銷，在官方網(wǎng)站上找到聯(lián)系方式，通過美基營(yíng)銷的工作人員認(rèn)證，費(fèi)用較低，且正規(guī)有保障，永久有效。

6、騰訊不會(huì)無緣無故找你認(rèn)證，除非是某一天，真正實(shí)行實(shí)名制了，也就是你非經(jīng)過認(rèn)證不可了。

7、如果你是因?yàn)槟承┦鹿实氖芎φ?，不小心引起了公眾的關(guān)注，你也會(huì)很快地被認(rèn)證。

8、如果你跟騰訊內(nèi)部人員有關(guān)系，那更容易不過了，認(rèn)證對(duì)他們來說，只不過是打一個(gè)勾而已