基于生物特征識別和一次性口令的電子商務安全交易方案

王 偉，徐平平，王華君

（1.無錫太湖學院 工學院，江蘇 無錫　214064；2.東南大學 信息科學與工程學院，江蘇 南京　211189）

基于生物特征識別和一次性口令的電子商務安全交易方案

王 偉1，徐平平2，王華君1

（1.無錫太湖學院 工學院，江蘇 無錫214064；2.東南大學 信息科學與工程學院，江蘇 南京211189）

針對電子商務中信用卡交易的安全性問題，提出一種基于生物特征識別和一次性口令的電子商務安全交易方案。根據用戶交易的敏感度，分別采用2種方案。第一種方案中，采用安全套接層（SSL）協議和指紋特征相結合。第二種方案中，采用虹膜特征和一次性口令相結合，持卡人使用USB身份鎖存儲虹膜信息，并計算虛擬函數。另外，都通過Hash函數對生物特征進行運算，利用發卡方的公鑰加密支付信息，利用商家的公鑰對訂單信息進行加密。發卡方通過特征的比對來進行身份認證。通過分析表明，該方案能夠有效保護交易安全性。

電子商務；安全交易；生物特征識別；一次性口令；Hash函數

隨著網絡應用的普及，電子商務模式在我國已日趨成熟。然而，電子商務交易所用的平臺-Internet卻充滿了復雜的安全風險。一方面電子商務交易面臨著許多外部危險因素，如黑客入侵、病毒感染等，使得電子商務交易難以完全獲取客戶的信任，另一方面電子商務交易的發展還面臨著嚴峻的內部風險［1］。

電子商務安全包括商務交易安全和電子支付安全。而商務交易安全主要是通過加密技術、安全機制、安全協議進行保證的［2］。授權、隱私、完整性、審計能力可用性、機密性、身份證明、身份驗證和不可否認性，這八大安全需求是電子商務交易安全框架的基礎［3］。

智能卡具有高度的安全性和智能性，可將密鑰、密碼、用戶的基本信息、金融信息和交易記錄等數據存儲在智能卡中［4］，所以基于智能卡的電子商務交易方式越來越廣泛應用。對于基于智能卡的交易安全性，學者提出了多種交易安全協議，例如，文獻［5］提出一種基于無證書公鑰密碼系統的遠程用戶的身份驗證方案，然而其具有較高的通信和計算成本。近年來，對基于智能卡的遠程用戶身份驗證系統不斷得到改善。由于生物特征的獨一性和不可否認性，生物識別的身份驗證比密碼身份驗證更有效［6］。例如，文獻［7］將生物識別技術應用到安全認證中，其采用了指紋作為識別特征，并結合高強度的加密和Hash函數，一定程度上提高了安全性。

文中針對電子商務中信用卡交易的安全性問題，提出一種基于生物特征識別和一次性口令的電子商務安全交易方案。根據用戶交易的敏感度，分別采用2種方案。第一種方案中，采用安全套接層（Secure Sockets Layer，SSL）協議和指紋特征相結合，并通過Hash函數對指紋信息進行運算，保證傳輸安全。同時，利用發卡方的公鑰加密支付信息，用商家的公鑰對訂單信息進行加密。發卡方通過特征的比對來進行身份認證。第二種方案中，采用虹膜掃描和一次性口令相結合，持卡人使用USB身份鎖存儲虹膜信息，并計算虛擬函數。本文方案在考慮認證時間的同時，能夠有效保護交易安全性。

1　本文方案框架

1.1生物識別技術

生物識別［8］是使用人類生理特征或行為特征來確定一個人的身份。其中，生理特征識別包括：指紋識別，臉部識別，聲音識別，視網膜掃描或虹膜掃描等。指紋識別和臉部識別是兩種常用的生物識別技術。生物識別系統基本流程如下：

注冊：采集、處理和存儲用戶原始生物識別樣本，用于生物識別系統。

提交：用戶向生物識別系統以生物樣本的形式提供生理或行為數據。

特征提取：從生物識別樣本中定位和提取特征，并進行特征編碼過程，從而生成模板，用于生物識別匹配。

匹配：計算生物模板之間的相關或相似程度。

評分：對生物識別匹配相似或相關程度進行評分。決策：根據相關程度的預定義閾值進行決策。

1.2電子交易的安全需求

有效的電子商務安全交易必要滿足兩大需求：

1）在電子交易中創建隱私保護，防止誤用敏感信息。

2）實現可靠身份驗證，防止信用卡、智能卡交易中出現欺詐、盜竊行為。

安全電子交易（Secure Electronic Transaction，SET）協議［9］能夠滿足隱私保護需求，但其需要大量計算，交易時間遠遠長于其他協議，例如安全套接層（SSL）協議［10］。SSL協議簡單且易于快速實施，是網絡中最廣泛使用的支付協議。SSL還提供了數據交換的保密性和完整性。另外，基于生物特征的身份認證能夠滿足第二個需求。將其相結合即可獲得滿足上述兩大需求的電子交易安全交易方案。

1.3本文認證方案框架

本文生物認證系統包括4個步驟。首先，通過web照相機或傳感器采集虹膜圖像或指紋圖像；然后，將這些圖像發送給處理軟件，通過主成分分析（Principal Component Analysis，PCA）［11］技術進行特征提取。再后，對提取的特征進行Hash處理，用發卡方的公鑰對Hash模板進行加密。最后，將獲得的混合信息發送到發卡方端。發卡方端接收到數據后，對其進行解密，然后通過比對過程完成識別。文中基于生物認證的安全交易系統框架如圖1所示。

文中采用傳統支付認證協議和生物認證技術相結合，對信用卡用戶進行實時身份驗證，以建立更高級別的安全性。其中，本文使用了SSL和3-D安全協議［12］，用以替代傳統SET協議，來實現用戶的隱私保護。

圖1　本文安全交易認證系統框架

對于生物認證技術，本文方案基于交易敏感程度采用兩種方案：1）對于敏感度較低的交易支付場景，即交易額較少，提出使用了持卡人指紋樣本的第一種方案，以提高交易認證速度。在網絡中傳輸指紋樣本Hash值，以及經發卡方公鑰加密后的支付信息。同時，發卡方必須對樣本和支付信息進行再次Hash運算，然后再與指紋樣本進行比對，并隱藏持卡人證書中的信用卡信息。2）對于敏感度較高的交易支付場景，即交易額較多，提出采用虹膜掃描和一次性口令相結合的第二個方案，用以保證大金額交易的安全性。持卡人使用USB身份鎖存儲虹膜信息，并計算虛擬函數。通過發卡方的公鑰對支付信息進行加密，用商家的公鑰對訂單信息進行加密。

上述的交易敏感度是發卡方設定的，例如，可設定交易額大于1萬元時為高敏感交易，反之為低敏感交易。本文所涉及的符號含義如下：

OI：表示訂單信息；

PI：表示支付或信用卡信息；

Enc x（m）：表示經x的公鑰加密后的信息m。

D.S.X：表示x的數字簽名；

H（m）：表示信息m的Hash函數；

Encs.k：表示利用SSL會話的會話密鑰進行加密。

2　較低敏感交易中安全方案

對于較低敏感交易中的信用卡支付交易，即交易金額較少，本文安全交易方案如圖2中所示。由于實現過程簡單，該方案采用了改進的SSL協議。這里，客戶不需要額外的軟件，只須提供指紋樣本，用以滿足第二因素。持卡人具有的證書如圖3所示。

圖2　較低敏感交易中信用卡安全交易流程

在商家和持卡人之間建立安全通道，OI通過會話密鑰進行加密，PI用發卡方的公鑰進行加密。將指紋樣本和信用卡信息的散列信息提供給商家，然后經發卡方的公鑰加密后，通過商家和收單方發送到發卡方。因此，商家和收購方都能夠解讀支付信息和指紋樣本。這表示已經滿足了第一個因素。從持卡人接收到購買請求后，商家生成授權請求（AUTH REQ），其中包括授權金額。該請求通過商家私鑰進行簽名，該私鑰被收單方的公鑰加密保護。

圖3　持卡人的證書格式

該方案優點為：1）發布者對生物認證的需求不是必要的，具有生物識別服務能夠帶來更高的安全性能；2）比SET協議易實施、更高速；3）因為使用了Hash函數，商家或收單方能夠用持卡人證書模板比對生物認證樣本，從而識別出真實的持卡人。

3　較高敏感交易中的安全方案

當有大金額交易時，本文提出另一種信用卡安全交易方案。需要采用比指紋更精確的生物識別方法來進行實時身份認證，例如選擇虹膜掃描。虹膜掃描是一種成本和復雜性遠遠高于其他認證技術的方法，但具有最好的安全性［13］。同時，本文將一次性口令［14］概念與該認證方式相結合，實現了高級別的安全性。通過這種方式，驗證過程可建立持卡人與發卡方間的直接關系，并均衡考慮保密性能和識別速度。另外，商家還須確保正在交易客戶的準確性。因此，商家采用了3-D安全協議，3-D安全協議將發卡方認證引入交易流程中，由發卡方確保在線交易時持卡人的合法性，從而有效減少有爭議的交易數［15］。

導入之后得到的數據示例如表2所示，需要注意的是，為了方便顯示我們省略了一些屬性。另外，KC是關于知識點的詳細描述，所占篇幅較長，我們僅以SkillRule代替。

相比于先前方案，該方案的成本較高，但安全級別也更高。

1）虛擬口令概念

口令是電子商務交易中公認的客戶首選方式。系統可以使用虛擬口令概念來實現一次性口令認證。創建一次性口令，需要實現兩項：一個固定的字母數字口令Ps和定義域為ψ的函數F，其中ψ表示可用作口令的字母空間。函數 F（Ps，R）=Pd，其中 R為服務器產生的隨機數，Pd為用于身份驗證的動態口令。虛擬函數是生成一次性口令的重要項，因為攻擊者無法破解一次性口令，從而獲得用戶的簡單口令。

用戶必須通過應用程序計算生成一次性口令，然后在服務器上登錄。USB身份鎖或用戶的移動端應用都能夠使用虛擬函數生成一次性口令。

2）推薦虛擬函數

本文采用Runge-Kutta方法計算一次性口令，該方法表示如下：

其中ti（i=0…n）表示用戶簡單口令中的一位數字，W0…Wn+1是作為響應的一次性口令，且Wi∈｛0…z-1｝。H2（Bio，r）是生物特征樣本和一個隨機數字的雙精度Hash值。

服務器向用戶發送隨機數作為挑戰。出于安全原因，Z可以選擇大的素數，將簡單口令（n位）轉換成大的一次性口令（m位），其中m＞＞n。可以證明，改進后的虛擬函數能夠抵御很多網絡攻擊。

圖4　較高敏感交易中信用卡安全交易流程

假設，客戶具有USB身份鎖，則可用于計算虛擬函數，還可以保存一些用戶信息。身份鎖由發卡方發放，并授權給持卡人。USB身份鎖可以存儲客戶的虹膜樣本，每當用戶進行身份驗證時，計算生成一次性口令。

安全交易步驟如下：

1）購買請求（Enc I（PI），Enc M（OI））。

2）檢查發卡方是否已經參與交易。

3）發卡方確認信用卡已經參與交易。

4）定位發卡方的訪問控制服務器，并發送給商家。

5）商家重定向客戶瀏覽器到發卡方。

6）發卡方訪問控制服務器，向持卡人發送隨機數字r，并用USB身份鎖計算生成一次性口令；向發卡方和發卡方服務器發送生成的具有持卡人生物認證特性的一次性口令，用于身份驗證和信號響應，以及對客戶和商人進行重定向。

7）商家提交正常交易，例如向收單方發送授權請求+Enc I（PI）。

8）收單方發送授權請求+Enc I（PI）。

9）發卡方發送授權響應。

10）收購方發送響應。

11）商家確認交易。

發卡方能夠同時存儲持卡人的簡單口令和生物認證模板。在這種方式中，使用Runge-kutta方法計算一次性口令，然后與接收到的持卡人口令進行比較驗證。

此外，發卡方可以用Runge-kutta方法計算生成的簡單口令，并接收一次性口令，然后在服務器上比較兩個口令。該方法采用網絡攝像頭采集虹膜樣本，并向身份鎖發送提取的數據，用于計算一次性口令。

4　結束語

由于基于生物認證的身份驗證比其他驗證方法更可靠。所以，文中提出基于生物特征識別技術的電子商務安全交易方案。根據用戶交易的敏感度，分別采用2種方案。第一種方案中，采用安全套接層（SSL）協議和指紋特征相結合。第二種方案中，采用虹膜特征和一次性口令相結合。同時，利用Hash函數和加密算法來確保生物特征模板的安全性，有效提高了信用卡交易時的安全性能。

［1］田豐.基于WPKI的移動電子商務安全研究［J］.計算機應用與軟件，2013，30（9）：61-63.

［2］徐洪峰，徐曦，曾杰.移動電子商務安全問題研究［J］.計算機技術與發展，2011，21（11）：236-238.

［3］Banerjee S，Karforma S.On Designing a Secure E-Commerce Transaction Management System-A UML Based Approach ［J］.Innovative Systems Design&Engineering，2012，3（6）：241-253.

［4］Chen C L，Lai Y L，Chen C C，et al.A smart card-based mobile secure transansaction system for medical treatment examination reports［J］.International Journal of Innovative Computing Information&Control，2011，7（5）：2257-2267.

［5］茹秀娟，余楠.基于無證書公鑰密碼的終端安全移動支付協議［J］.計算機應用研究，2015，32（3）：912-916.

［6］談玲，張琭.交互式多生物特征識別技術在電子商務中的應用［J］.電信科學，2015，31（10）：124-129.

［7］Agbontaen F O，Orukpe P E.Secured Online Payment Using Biometric Identification System［J］.Advanced Materials Research，2013，32（4）：193-199.

［8］Obed-Emeribe C.Multimodal Biometric Technology System Framework and E-Commerce in Emerging Markets［J］.International Journal of Advanced Computer Science&Applications，2013，4（7）：325-338.

［9］肖仕成.基于四方的安全電子商務支付協議研究［J］.計算機科學，2011，38（10）：39-44.

［10］Ding X J，Jiang X D，Zheng Y Z.The Research and Implementation of E-Commerce Secure Payment Protocol［J］. Advanced Materials Research，2011，26（7）：74-79.

［11］李占波，白全海，申義彩.基于主成分分析的網絡入侵檢測算法［J］.計算機工程，2013，39（5）：152-155.

［12］李曦，趙高權.基于3-D Secure的手機支付系統的實現［J］.西華大學學報：自然科學版，2011，30（4）：83-85.

［13］Li X，Zhao G.An Identity Authentication Scheme Based on Speaker Recognition［J］.Journal of Convergence Information Technology，2013，8（9）：903-910.

［14］Li J Y，Shi H，Deng Y Q，et al.An Improved Scheme of One-time Password Identity Authentication Based on the S/ KEY System［J］.Applied Mechanics&Materials，2014，64 （4）：2763-2767.

［15］衛紅春，馬丁.基于改進的3-D Secure協議的移動支付安全解決方案［J］.計算機應用與軟件，2011，28（4）：189-192.

An E-commerce security transaction scheme based on biometrics and one-time password

WANG Wei1，XU Ping-ping2，WANG Hua-jun1
（1.School of Engineering，Taihu University of Wuxi，Wuxi 214064，China；2.School of Information Science and Engineering，Southeast University，Nanjing 211189，China）

For the issues that the security problem of the credit card transaction in electronic commerce，an e-commerce security transaction scheme based on biometrics and one-time password is proposed.This paper proposed two schemes according to the sensitivity of the user transactions.In the first scheme，the secure sockets layer（SSL）protocol and fingerprint feature are combined.In the second scheme，the iris feature and one-time password are combined.The cardholder uses USB to store the iris information，and calculates the virtual function.In addition，the Hash function is used to calculate the biological characteristics，the issuer's public key is used to encryption payment information，and the business's public key is used to encrypt the order information.Finally，the card issuer performs the identity authentication by feature comparison.The analysis shows that the proposed scheme can effectively protect the transaction security.

E-commerce；secure transaction；biometric；one-time password；hash function

TN918

A

1674－6236（2016）09-0024-04

2016-02-06稿件編號：201602021

國家自然科學基金項目（61375028）；江蘇省高校自然科學研究項目（14KJB520036）

王 偉（1979—），男，江蘇無錫人，碩士，講師。研究方向：電子商務、物聯網等。