生物識別技術(shù)在網(wǎng)絡(luò)支付安全體系的應(yīng)用

肖桂云/文

網(wǎng)絡(luò)支付系統(tǒng)是實(shí)現(xiàn)電子商務(wù)的重要環(huán)節(jié)，對網(wǎng)絡(luò)間的數(shù)據(jù)傳輸有著極高的安全需求。生物識別信息安全技術(shù)是融合了信息技術(shù)與生物技術(shù)的一個新領(lǐng)域，基于生物識別的電子商務(wù)網(wǎng)絡(luò)支付系統(tǒng)能夠?qū)崿F(xiàn)更可靠的信息安全保障，具有廣闊的市場容量和發(fā)展前景。

生物識別技術(shù)概述

1.生物識別技術(shù)的概念

生物識別技術(shù)以生物個體的獨(dú)特的特征進(jìn)行測量或自動驗(yàn)證識別，并進(jìn)行身份認(rèn)證。通過提取人類的生物特征并將其轉(zhuǎn)化成數(shù)字代碼，對代碼取樣之后形成特征模板，用特征模板與實(shí)際個體進(jìn)行比對，根據(jù)比對結(jié)果是否匹配來決定接受或拒絕該用戶個體。生物識別技術(shù)避免了隨身攜帶鑰匙、智能卡或者復(fù)雜的密碼，加之人本身的生物特征具有唯一性和穩(wěn)定性，難以被偽造和假冒，因此生物識別技術(shù)具有極高的安全性和可靠性。

2.生物識別技術(shù)的特點(diǎn)

（1）生物識別技術(shù)的隨身性：由于生物識別是針對人體固有的特征的，因此與特定的個體是唯一綁定的。

（2）生物識別技術(shù)的安全性：個人身份的最好證明就是人體特征本身，因此具有難以比擬的安全性。

（3）生物識別技術(shù)的唯一性：每個人都擁有自己獨(dú)特的生物特征。

（4）生物識別技術(shù)的穩(wěn)定性：每個人的指紋、虹膜等生物特征不會隨外界條件的改變而改變。

（5）生物識別技術(shù)的廣泛性：任何個體均擁有自己的生物特征。

（6）生物識別技術(shù)的方便性：由于不需攜帶使用特殊工具與記憶密碼，生物特征不會被遺失。

（7）生物識別技術(shù)的可采集性：生物特征在測量時比較容易。

3.生物識別技術(shù)的指標(biāo)

（1）生物識別技術(shù)的可靠性

生物識別技術(shù)應(yīng)用的基礎(chǔ)就是其可靠性。生物識別特征中蘊(yùn)含的信息要靠可靠性來衡量。

（2）生物識別技術(shù)的穩(wěn)定性

穩(wěn)定性的含義，是生物識別特征是否能夠保持統(tǒng)一不變，不會隨著時間和環(huán)境的變化而變化。

（3）生物識別技術(shù)的采集安全性

國際上都非常重視生物識別技術(shù)的采集安全性，采集安全性主要關(guān)注的是在收集生物識別特征的過程中是否會對被收集者造成傷害。

（4）生物識別技術(shù)的便利性

生物識別技術(shù)中重要的一個條件就是便利性。便利性，首先指的是生物特征不易丟失、便于攜帶、具有較好的防偽防盜性能，其次還包括對人的要求。

指紋特征識別技術(shù)在身份認(rèn)證中的應(yīng)用

1.指紋識別技術(shù)的原理

指紋技術(shù)涉及到的方面包括指紋圖像采集與處理、數(shù)據(jù)保存、提取特征、特征值的匹配和比對等。

2.指紋識別方案需求分析

只有確保基于指紋特征的身份認(rèn)證協(xié)議，才能實(shí)現(xiàn)用戶身份認(rèn)證的可靠性，指紋識別方案身份認(rèn)證協(xié)議必須做到：

（1）被認(rèn)證對象的身份能夠準(zhǔn)確識別；

（2）重要事件的責(zé)任人能夠以數(shù)字簽名的方式明確，以達(dá)到身份的不可抵賴性；

（3）數(shù)據(jù)在傳送和存儲中的安全能夠得到保障。

3.電子商務(wù)身份指紋特征認(rèn)證系統(tǒng)整體架構(gòu)

在系統(tǒng)結(jié)構(gòu)和認(rèn)證方式上，與已經(jīng)廣泛使用的指紋登錄系統(tǒng)和指紋鎖等相比較，電子商務(wù)身份指紋特征認(rèn)證系統(tǒng)有比較明顯的差異。用戶的指紋信息被位于客戶端的指紋傳感器獲取，加上數(shù)字簽名后上傳至服務(wù)器，與預(yù)先注冊的模板在服務(wù)器進(jìn)行比較，從而實(shí)現(xiàn)身份認(rèn)證。

采用數(shù)字簽名技術(shù)來保證指紋特征值不被非法用戶所獲得。并采用單向認(rèn)證協(xié)議。基本認(rèn)證步驟如下：

（1）用戶以自己的簽名向認(rèn)證服務(wù)器提交認(rèn)證請求。使用簽名的目的是避免用戶被虛假認(rèn)證服務(wù)器引入欺騙連接，保證用戶的公鑰被合法的認(rèn)證服務(wù)器保存。

（2）在特定的時限下，認(rèn)證服務(wù)器產(chǎn)生現(xiàn)時數(shù)據(jù)，同時將認(rèn)證服務(wù)器本身的公鑰與限時數(shù)據(jù)、用戶的限時數(shù)據(jù)等以用戶的公鑰進(jìn)行加密，返回給用戶。

（3）用戶收到來自認(rèn)證服務(wù)器的現(xiàn)時數(shù)據(jù)、公鑰、時限，同時用戶的指紋灰度圖像被指紋傳感器讀取。用認(rèn)證服務(wù)器的公鑰加密用戶的指紋特征，傳遞至認(rèn)證服務(wù)器。

本文所提出的指紋識別方案是基于生物特征的身份認(rèn)證，能合理地避免密鑰管理難和口令窺視等問題，在綜合了和數(shù)字簽名加密技術(shù)與指紋識別技術(shù)之后，能夠有效地防范第三方攻擊，具有一定的創(chuàng)新性和應(yīng)用價值。