主動身份認證技術及其研究進展*

郝 平，何 恩

(中國電子科技集團公司第三十研究所，四川 成都 610041)

?

主動身份認證技術及其研究進展*

郝 平，何 恩

(中國電子科技集團公司第三十研究所，四川 成都 610041)

常用的口令認證方法存在許多缺陷和不足，而傳統生物認證技術,如指紋識別、虹膜識別等,也存在需要專用設備配合、不易在線持續實施等問題。主動身份認證技術，由于具有較高的安全性、容易連續在線實施等優點,成為新的研究熱點。研究了主動身份認證的概念和內涵，重點關注和梳理了構成“線上指紋”的行為特征和認知特征，跟蹤分析了美國DARPA近年來在該領域幾個階段的研究進展，提出了未來發展方向和重點。

網絡安全；身份認證；生物學識別；主動認證

0 引 言

身份認證(authentication)是訪問控制的基礎和前提條件，在信息安全中占據十分重要的位置。常用的口令認證方法存在許多缺陷和不足。而傳統生物認證技術,如指紋識別、虹膜識別等,也存在需要專用設備配合、不易在線持續實施等問題。主動身份認證技術，特別是基于“線上指紋”的主動身份認證具有較高的安全性、容易連續在線實施等優點,成為新的研究熱點。基于此，本文研究了主動身份認證的概念和內涵，重點關注和梳理了構成“線上指紋”的行為特征和認知特征，跟蹤分析了美國DARPA近年來在該領域幾個階段的研究進展，提出了進一步研究和發展的方向及重點。

1 概念

1.1 概念和方法

身份認證是在信息系統中驗證一個用戶的身份是否與其所聲稱的身份一致的過程。身份認證是訪問控制的基礎和前提條件，在信息安全中占據十分重要的位置。

在信息系統中，一切信息包括用戶的身份信息采用一組特定的數據來表示。系統只能識別用戶的數字身份。所有對用戶的授權也是針對用戶數字身份的授權。身份認證的目的就是保證訪問系統用戶的物理身份與數字身份相對應。認證的基本方法主要有三種：(1)口令認證：根據用戶知道的口令或密碼；(2) 信物認證：根據用戶擁有的智能卡，USBkey等物品；(3)生物學認證：根據用戶的指紋、虹膜等身體特征。

1.2 傳統方法的缺點

在網絡和信息系統中，口令認證是最常用的認證方法。然而，常規口令容易被詞典攻擊等常規手段攻擊。在2010年舉行的一次計算機口令破解比賽中，在不到18小時內，53 000個口令中有近30 000個被破解[1]。

為了保證口令難以被攻擊者破解，通常對口令的復雜性有很多要求，如：要超過一定的長度，如10位或12位；口令中同時要有大小寫字母、數字和符號等。于是就出現諸如“6tFcVbNh^TfCvBn”這樣的“強口令”。問題在于，這樣的“強口令”不符合人類的思維習慣。字母和數字的隨機組合天生不利于記憶。

信物認證手段也存在盜用和仿冒的風險。智能卡、USBkey等物品存在盜用和失竊的可能性。系統在識別一張智能卡或USBKey時，不能確保與真實的用戶身份對應。據央視報道，2014年6月全國高等學校入學考試中，就有替考者帶著仿考生指紋的指模騙過了監控計算機。

口令認證和信物認證存在安全脆弱性的根本原因在于表征身份的信息與作為一個人的用戶的分離，相互之間沒有直接的和唯一的關聯。由于這種分離導致身份信息容易被破解、偽造和盜用。口令認證和信物認證中提供給系統的信息只是代表用戶身份的一串數字和符號的集合，與用戶作為一個人沒有必然和固有的聯系。

生物學認證基于用戶作為其本人的生物學信息，有很高的認證準確性。但傳統的認證方法大多需要使用專門的設備，實施成本較高，使用繁瑣不方便。傳統的生物學認證還有一個致命的缺陷就是，認證是靜態的，一次性的。當認證完成后，盡管系統與用戶的會話仍在進行中，但系統就不管控制鍵盤的人是不是原來通過認證的人了。

1.3 主動身份認證技術的引入

主動身份認證技術是對生物學認證技術的擴展和改進。針對傳統技術存在的問題，主動認證技術依據的是用戶作為一個人的認知特征和行為特征；強調在網絡和桌面環境中，在不需要特殊設備的前提下，持續不斷地在線收集形成用戶的認證信息；從而可以在不干擾用戶工作，不需要用戶配合的情況下，對用戶進行個人身份認證。

2 主要技術思路

2.1 基于人的行為特征和認知特征信息

對比傳統的生物學認證技術，主動身份認證技術更加關注用戶作為一個生物人的行為特征信息和認知特征信息，并將其加入到用戶數字身份中，從而使用戶數字身份最大限度地逼近真實身份，保障身份認證的準確性。

傳統的生物學認證技術檢測人的生理特征信息包括指紋、虹膜圖案、靜脈圖案、臉型和DNA等。

主動認證技術增加和擴展的特征信息包括三種人的行為特征信息和認認知信息：(1)人與機器的互動行為：擊鍵模式、鼠標運動規律等信息；(2)人在上下文環境中的行為：結構語義和語法分析、構造語句的方法和規律；(3)人的體驗信息：計算機語言特征分析(說話時遣詞造句的方式和規律)。

2.2 對特征信息的持續在線監測

對比傳統的生物學認證技術，主動身份認證技術強調從用戶登錄系統開始到用戶退出系統的全過程中，系統建立、維持和監控在線用戶的在線特征信息，旨在不干擾個人行為，不增加額外傳感器、在用戶正常使用計算機的情況下，形成用戶使用計算機的特征規律，即所謂的“在線指紋”，并據此進行個人身份驗證。

在典型的桌面環境下，主動身份認證過程將呈現以下形式：

(1)用戶按常規方式登錄系統，取得系統的基本訪問權限；

(2)系統的主動身份認證引擎監測用戶的在線行為，交替或并行地獲取并分析用戶在線行為的特征信息，如用戶使用鼠標的規律和特征，用戶使用鍵盤的規律和特征，用戶創建一個文檔的風格和特征等；

(3)隨著系統對用戶的在線行為確認度提高，用戶的訪問權限不斷上升，最后達到預設的權限范圍；

(4)當用戶的在線行為確認度達不到一定門限值，系統將重啟身份認證過程。必要時需要用戶重新登錄系統。

主動身份認證的一個典型過程[2]如圖1所示。

(a)認證準確率上升

(b)認證準確率達不到門限

2.3 基于“在線指紋”

在線指紋是一種類比說法，是指在網絡和桌面環境中，系統對用戶的在線行為進行統計分析后，得出的規律性特征信息，可用于對用戶進行身份認證。用于身份認證的在線指紋應滿足以下一些基本要求：

(1)準確性和魯棒性：在線指紋應接近或達到真實指紋用于身份認證時的準確性，且不易受環境的干擾和人為的欺騙；

(2)性能和速度：在通常的網絡和桌面環境中，在可接受的資源開銷下實現可接受的認證準確性和認證速度；

(3)用戶無感和簡單方便：無需用戶特意配合，不影響用戶正常使用系統，不使用專門的設備；

(4)在線可持續：可對正在登錄使用系統的用戶進行持續的身份認證。

根據上述基本要求，近來研究較多的在線指紋特征包括用戶使用鍵盤的規律特征、用戶使用鼠標的運動軌跡特征、基于文體學的上下文行為特征等。

3 構成“在線指紋”的行為特征

3.1 用戶使用鍵盤的規律分析

根據用戶擊鍵的行為特征，可以對用戶的身份進行認證。人的擊鍵規律是主動認證技術研究的“在線指紋”的重要組成部分。當前在主動認證技術研究中，常用的擊鍵行為特征有：(1)擊鍵的時間規律統計：擊鍵時間間隔；擊鍵持續時間、即壓鍵時間；擊鍵輸入速度；擊鍵錯誤頻率、即使用退格鍵的頻率等；(2)擊鍵習慣：使用鍵盤上額外按鍵的習慣，如輸入數字時使用數字鍵盤；大寫字母的輸入方式、使用CapsLock鍵還是Shift鍵+字母鍵等。

3.2 用戶使用鼠標的運動軌跡分析

鼠標是用戶在通常桌面環境中必須使用的人機交互工具，大有逐漸取代鍵盤成為圖形交互環境下計算機用戶的主要輸入設備。鼠標的運動軌跡的分析成為主動身份認證技術越來越重要的手段。鼠標運動的主要特征包括：(1)鼠標移動速度和加速度；(2)鼠標水平移動和垂直移動偏移量；(3)鼠標一次移動的持續時間；(4)鼠標點擊時間間隔，包括單擊和雙擊時間間隔等。

3.3 基于文體學(風格學、修辭學)的上下文行為分析

文體學是研究文本體裁的特征、本質及其規律、介于語言學、文藝學、美學和心理學等學科之間的綜合性邊緣學科。使用文體學的方法可以在用戶正常構建一篇文檔的同時，分析用戶上下文行為，從而總結出反映其身份的規律。當前在主動認證技術研究中，使用了以下的一些文體學特征：

(1)文本的類符/形符比(Type-token ratio)統計特征。文本的類符/形符比反映的是用戶在構建一篇文章時運用詞匯的多樣性。其中，形符(token)數是一篇文章中使用詞匯的總數。類符(type)數是指文章中一共使用了多少個不同的詞匯。

(2)文本的語義和語法分析統計特征。通過對用戶的平均詞匯長度、平均句子長度、平均段落長度、獨特詞匯的使用、標點符號的使用方法等的統計，反映用戶的文化程度、專業領域和個性偏好等。

(3)反映認知節奏的文體學特征。包括用戶鍵入信息時自然停頓的頻率和時間；用戶產生文本的速度，停頓頻率和時間，文本修訂模式等。

3.4 其他的在線行為特征

除上述三種行為特征信息外，正在研究的可用于主動認證的行為特征還有：用戶在文件系統查找文件的習慣；用戶對故意制造的系統異常的反應模式；用戶訪問網頁的行為，包括語義(訪問什么網頁)和語法上的會話特點等。

4 DARPA的主動身份認證項目

4.1 項目概況

DARPA于2012年1月16日發布了“主動身份認證”項目初始階段的跨行業公告書(Broad Agency Announcement，BAA)[3]。文檔號為DARPA-BAA-12-06。該項目旨在開發和擴展生物識別技術用于身份認證，能夠在不中斷個人行為的情況下驗證身份，改變目前美國國防部網絡安全的主要身份驗證方式，即通過用戶密碼和通用訪問卡訪問國防部計算機系統。

2013年2月，DARPA發布了一份關于“主動身份認證”項目第二階段的跨行業公告書BAA(文檔號為DARPA-BAA-13-16)[4]，繼續推進該項目的實施，準備將此項技術優先應用于軍用網絡和信息系統。

項目第1階段2012年初啟動，重點研究新型的基于軟件的生物識別技術，尋求新的方法以捕獲認知指紋。終端設備是標準的軍用臺式機和筆記本電腦。項目第2階段(2013年啟動)和第3階段重點對新型生物識別技術進行可操作的試驗，以及開發一種平臺將所有可用的生物識別技術(軟件與硬件)集成到這種認證平臺中。終端設備不僅包括軍用臺式機和筆記本電腦，還包括移動設備，如智能手機和平板電腦。

4.2 主要研究內容

DARPA的主動身份認證項目分為3個技術專題：新型的生物認證特征、主動身份認證平臺和系統測試和驗證。

(1)專題1：新型認證特征(第1階段)。該專題研發各種革命性的生物識別技術，重點是那些基于軟件的、無需安裝額外傳感器的、在國防部現有辦公環境下即可實施的生物識別技術。通過大量的試驗提供經驗數據，驗證新型生物識別技術的有效性，確保能夠有效進行大規模部署。本項目暫不支持那些需要額外硬件傳感器(比如眼睛跟蹤掃描器)的生物識別技術。

(2)專題2：身份認證平臺(第2階段和第3階段)。該專題重點開發一個軟件平臺，可部署在國防部標準的臺式機或筆記本電腦中。該軟件平臺可以集成各種生物識別技術并且管理開放體系結構中的身份認證過程，采用開放式應用編程接口(API)，便于未來集成其他的軟件或硬件生物識別技術。

(3)專題3：系統測試及驗證。該專題研究實施系統的安全性測試(包括對抗性的安全測試)，對系統功能進行獨立的、第三方確認和證實。

5 國內的相關研究進展

國內的相關研究，起初主要圍繞用戶操作計算機的擊鍵行為進行。隨著鼠標逐漸取代鍵盤成為圖形交互環境下計算機用戶的主要輸入設備, 從2000年以后，開始出現鼠標動力學身份認證研究工作。國內主要從新型的生物認證技術角度開展相關研究，未見有文獻從整體和綜合集成角度，提出或研究與DARPA類似的主動身份認證的概念和技術。除了擊鍵行為特征和鼠標動力學外，幾乎未見其他行為特征的相關研究。

國內對于擊鍵行為特征的研究較早，當前研究的主要方向是新的特征提取方法和改進處理算法，以提高認證的準確率。目前多數研究是將其與傳統身份認證技術相結合，分固定文本分析和自由文本分析兩類。采用的方法涵蓋統計分析到神經網絡等，如為了改善FAR(誤識率)和FRR(拒識率)。文獻[5]提出一種改進的基于統計加權的擊鍵行為特征的認證方法。文獻[6]提出一種擊鍵動態身份認證的多模板選擇算法。

對比擊鍵行為特征研究，國內對于鼠標行為特征的研究還處于初級階段。研究從探討鼠標行為特征開始，發展到鼠標運動的動力學模型研究。文獻[7]提出了一種利用鼠標動力學行為特征進行身份識別的方法。通過實驗證明了鼠標動力學模型的用戶身份的可區分性。文獻[8]基于神經網絡分類器算法構建了身份認證模型，研究試驗了截獲用戶鼠標行為數據的方法以及與計算機操作系統的接口。

6 結 語

根據本文的綜合分析，未來可從以下幾方面進行深入研究和開發：(1)研究新的行為特征和認知特征及其分析算法，如基于文體學的上下文行為特征和分析算法、操作系統可見的用戶行為特征和分析算法等,以及新的神經網絡算法和特征降維算法等；(2)深化研究鍵盤和鼠標使用過程產生的“在線指紋”，提高認證的準確率和便捷性，達到實用化的水平；(3)研究用戶行為特征數據的截獲方法和采集引擎。采集引擎應具有跨操作系統平臺的能力，可接受的系統開銷，以及支持未來新的行為特征的可擴展能力；(4)開展大規模的試驗驗證，建立用于主動身份認證的行為特征數據庫。

[1] Defcon 2010 Contest on Password Hacking. [EB/OL].(2014-10-02)[2015-03-23]. http:// www. contest.korelogic.com/.

[2] Richard Guidorizzi. I2O Program Manager,Active Authentication Beyond Passwords(PPT)[EB/OL]. (2011-11-18)[2015-03-23].http:// www.darpa.mil.

[3] DARPA, Broad Agency Announcement: Active Authentication, DARPA-BAA-12-06 [EB/OL]. (2012-1-12)[2015-03-23]. http://www.darpa.mil.

[4] DARPA, Broad Agency Announcement: Active Authentication (AA) Phase 2, DARPA-BAA-13-16. (2013-2-11)[2015-03-23]. http://www.darpa.mil.

[5] Li Jian, Guo Xiaojing, Li Meiyun, et al. Improved Keystroke Authentication Accuracy Based on Statistics and Weight[J].China Communications,2012,07:36-41.

[6] 李福祥,霍建秋,林慕清等.一種面向擊鍵動態身份認證的多模板選擇算法[J]. 計算機工程與科學, 2014，36(1)：73-82. LI Fu-xiang, HUO Jian-qiu, Lin Mu-qing, et al. A New Multi-Template Selection Algorithm for Keystroke Dynamic Identity Authentication[J]. Computer Engineering and Science, 2014,3(1):73-82.

[7] 房超, 蔡忠閩,沈超等. 基于鼠標動力學模型的用戶身份認證與監控[J]. 西安交通大學學報, 2008,42(10)：1235-1239. FANG Chao, CAI Zhong-ming, SHEN Chao, et al. Authentication and Monitoring of User Identities Based on Mouse Dynamics [J]. Journal of Xi’an Jiao tong University, 2008, 42(10):1235-1239.

[8] 王森,蔡忠閩,沈超等.行為截獲技術對鼠標動力學身份認證的影響[J]. 微電子學與計算機, 2013,30(4):14-21. WANG Sen, CAI Zhong-ming, SHEN Chao, et al. The Impact of Behavior Interception Technology on Authentication based on Mouse Dynamics[J]. Microelectronics & Computer, 2013, 30(4): 14-21.

[9] 梁雪松.基于cookie的認證機制及其安全性分析[J]. 通信技術, 2009,42(6), 132-134. LIANG Xue-song. Analysis on Authentication Mechanism and Its Security. Communications Technology. 2009,42(6), 132-134.

Research Progress of Active Authentication Technology

HAO Ping, HE En

(No.30 Institute of CETC, Chengdu Sichuan 610041, China)

Commonly-used password authentication has lots of deficiencies, while traditional biological authentication technologies, such as fingerprint or iris identification, usually require the cooperation with dedicated devices, thus they are diffucult to achieve sustainable implementation on line. However, active authentication technology, owing to its high security and easily sustainable application on line, becomes a hot research topic. This paper discusses the concept and connotation of active authentication, then emphatically combs up the behavioral and cognitive metrics involving online fingerprints. And meanwhile, several stages of DARPA research progress in this filed are analyzed, the future research direction and emphasis suggested.

network security; authentication; biological recognition; active authentication

10.3969/j.issn.1002-0802.2015.05.002

2014-12-26；

2015-03-24 Received date:2014-12-26；Revised date：2015-03-24

TP309

A

1002-0802(2015)05-0514-05

郝 平(1957—)，男，研究員，主要研究方向為網絡與信息安全；

何 恩(1980—)，男，高級工程師，主要研究方向為網絡與信息安全。