面向社交網絡的認證模型*

周　煒， 牛連強， 王　斌

(1. 青島理工大學 計算機工程學院， 山東 青島 266033； 2. 沈陽工業大學 軟件學院， 沈陽 110870)

?

面向社交網絡的認證模型*

周煒1， 牛連強2， 王斌1

(1. 青島理工大學 計算機工程學院， 山東 青島 266033； 2. 沈陽工業大學 軟件學院， 沈陽 110870)

針對目前基于憑證的社交認證系統中社交憑證產生方式匱乏和應用場景單一以及基于知識的社交認證系統存在社交知識種類缺乏等問題，提出了應用短信、電話和數據連接等多種社交活動的基于憑證的社交認證模型及應用邊特性和節點特性多種類型的基于知識的社交認證模型.結合傳統認證方式提出一種多層次、多因子式的統一認證模型.結果表明，結合線上線下兩種社交認證場景，該統一認證模型可以解決社交認證信息只能為特定系統使用的問題并且能為其他認證系統提供社交認證服務.

社交網絡； 身份認證； 認證模型； 社交憑證； 社交知識； 社交活動； 統一認證模型； 信息安全

隨著互聯網新媒體及新型應用技術的發展，社交網絡應用迅速涌現并占據了人們信息生活的重要組成部分，如今QQ、Facebook、人人網、Twitter、Flickr、微博和微信等社交網絡工具的使用極大加快了社會行為向網絡行為、現實社會關系向網絡社交關系的迅速轉化.社交網絡(social networks，SN)或社交網絡網站(social networks site，SNS)[1]是源于社會網絡關系系統思想的網絡應用形式，旨在幫助人們建立社會性網絡的網絡應用服務.傳統的身份認證使用三種方式對用戶進行識別，即用戶所知的、用戶所有的和用戶所是的，社交認證是通過用戶所認識的人完成身份認證的第四種新型身份認證方式[2].

現實的認證系統往往同時應用以上四種認證方式中的若干種認證方式，該認證系統被稱作二因子認證系統或多因子認證系統[3].多因子認證系統中平常使用的認證方式被稱作首要認證方式，在首要認證方式失效時使用的認證方式被稱作備用認證方式.由于現有的備用認證方式如手機短信確認、郵件確認、安全問題確認和人工幫助確認等都存在缺點和一定的適用范圍[4-5]，因此，當前社交認證主要作為其他認證方式失效時的備用認證方式使用.

社交認證的實現方法主要包括基于社交憑證的社交認證系統和基于社交知識的社交認證系統兩種，前者依據若干社交憑證完成社交認證過程，而社交憑證需要從信托人獲取以證明兩者之間存在過社交活動.與前者認證過程中需要信托人參與的要求不同，后者在認證過程中不需要友人或信托人的參與，只需要用戶回答有關友人的信息(如識別照片中的友人)即可完成認證.

基于信托人的社交認證方面，RSA實驗室[2]第一次提出社交認證的概念，將社交認證看作一個擔保系統.文獻中社交系統需要二因子認證，即請求者需要同時提供PIN碼和令牌卡產生的動態密碼才能正常登陸社交系統.社交認證被應用于社交系統認證失效的情況，即在令牌卡遺失的情況下，請求者求助于一位信托人，信托人可在請求者注冊賬號時由請求者的管理人或者請求者本人指定.信托人使用自己的PIN碼和動態密碼登陸系統進行認證后獲取系統產生的擔保確認碼，該確認碼為包含20位熵的數字與字母的組合.確認碼通過安全途徑傳遞給請求者，請求者通過PIN碼和確認碼實現系統的臨時認證并指定一個臨時密碼，作為重新獲得令牌卡之前的替代密碼.每次社交認證過程都會在日志中記錄以備查閱.

文獻[6]實現了同文獻[2]相似的社交認證過程，并且在現實生活中進行了關于Windows Live ID備用認證的測試.該文獻指出通過采取一定的防護措施，社交認證作為備用認證具有較大的應用前景.

社交網站Facebook在2011年實現了名為Trusted Friends的基于信托人的社交認證，對于具有100個以上公開友人的用戶，在他們選擇使用Email更改密碼但又無法訪問原有郵箱時就可能觸發Trusted Friends社交認證.Facebook列出三組友人，用戶從每組中選出一位作為信托人.依靠從信托人獲得的3個4位安全碼，用戶可以重新設置密碼，社交認證的信托人會通過郵件告知用戶.Facebook的Trusted Friends系統于2013年升級名為Trusted Contacts的社交認證系統，主要改變在于用戶可以隨時預設自己的信托人.

文獻[7]提出了一種社交認證身份系統以實現不依賴用戶真實姓名的真實身份追蹤.該系統中只有一部分根用戶通過實名系統進行身份認證，另外的用戶通過社交認證完成身份認證.該系統可以抵御Sybil攻擊并可探查出謠言制造者.

隨著移動設備在社交網絡中作用的不斷增強，基于移動端的社交認證也有所開展.文獻[8]提出了一種基于移動手機的社交認證，超過一定時長的用戶間通話記錄和藍牙連接被看作是一次社交活動，會自動產生社交雙方互相擔保的令牌，之后用戶使用若干數量的令牌和PIN進行服務登陸.基于智能手機的社交認證方式中社交憑證是在用戶現實社交活動的基礎上自動產生，因此具有一定的便捷性.文獻[9]提出了一種基于云計算的智能手機社交系統，該系統基于PKI運行，每個用戶和好友互相擁有對方的公鑰，當雙方依據通信行為(如通話、短信、藍牙及紅外的接入等信息)判斷可以信任對方后，通過私鑰生成包含認證權重的認證票據，認證服務器依據手機用戶所有的認證票據并計算權重決定是否認證成功.文獻[10]使用對稱式Kerberos協議進行社交認證并使用BAN邏輯對協議安全性進行了形式化分析，實驗結果表明，所提出的協議在智能手機上運行速度快、資源需求量少且終端續航時間長.微信作為中國新興的社交通訊軟件由于具有與手機緊密綁定的特性，因此當用戶在新手機登陸微信賬號時，微信要求使用者以通知好友發送約定信息的方式完成社交認證以實現在新手機上的身份認證過程.

在基于知識的社交認證方面，Facebook在2011年正式啟用了基于知識的社交認證，對于有足夠多友人并有足夠數量的標記過人臉照片的用戶，當用戶遺忘密碼或者Facebook檢測到賬戶可疑(如從不同地方登陸)時，會觸發社交認證.用戶有7次機會依據給出的3張友人照片從6個選項中選出真實的友人姓名，至少5次正確的選擇才能成功通過認證.文獻[11]提出了除照片外其他方面的社交知識如社交活動中產生的隱私數據等，也可以看做社交知識被進一步發掘利用.在微信號未綁定手機的情況下更換登錄手機時，微信支持以選擇好友頭像的方式完成社交認證.

綜上所述，基于社交憑證方面的社交認證在憑證產生的方法、時效性和安全性方面還需要進一步研究，基于知識的社交認證往往僅基于圖片所包含的信息開展，其他方面的社交知識還有待發掘利用，更多結合兩種社交認證方式并具有防御措施的社交認證系統也需要進一步的研究.

1　社交認證定義

本文基于上述分析，給出兩種社交認證系統的形式化定義，以便更好地理解和表述相關系統.

定義1社交關系(R)：指各種現實及虛擬世界中產生的社會關系，可分為各種類型，關系程度上有熟悉和陌生之分.

定義2社交者(P)：具有社交關系并參與社交活動的個體.

定義3社交活動(ACT)：社交者之間發生的線上或線下的交互活動.

定義4社交網絡網站(SNS)：是一種基于Web的服務，它允許個體構建公開或半公開的個人檔案，允許構建一個有關聯關系的用戶列表并查看和瀏覽自己和他人的關系列表.更廣義的社交網絡系統(SNS)指一切可以用于構建個人檔案及關聯關系的系統，即SNS=G(P，R)，其中社交者為節點，社交關系為節點之間的連接.

定義5社交渠道(CH)：發生社交活動的方式，分為線上線下兩大類，每類又分為多種.

定義6社交記錄(RCD)：依據一定的社交渠道發生社交活動后產生的信息.

定義7信托人(T)：負責協助的友人，是社交網絡系統中可信任的社交者.

定義8社交憑證(CRD)：用于證明社交關系的數據，可由社交網絡系統直接產生也可由社交記錄產生.

定義9社交知識(SK)：指友人相關的信息或社交活動的相關信息，社交者對社交知識的正確辨識可以被視作變相的社交憑證.

定義10社交認證(SA)：社交者利用社交系統通過已經認證的社交者作為信托人，依據社交憑證對他們之間的社交關系進行證明，通過信托人對社交者社交擔保的方式所實施的用戶身份認證過程.社交認證的關鍵是對社交關系的證明.當前證明社交關系存在的方式共有兩種：基于信托人和基于社交知識的方式.

定義11基于信托人的社交認證系統：是一個四元組SASC=(SNS，RC，CG，SA)，其中SNS為社交網絡系統，記錄采集算法RC可以通過特定社交渠道發生的社交活動中獲得社交者P與信托人T的社交記錄，即RCDPT=RC(ACTPT).社交憑證生成算法CG可以通過社交記錄生成對應的社交憑證，即CRDPT=CG(P，T，RCDPT).社交認證算法SA依據社交憑證確定是否完成社交擔保，即VCRP=SA(P，CRDxt1，…，CRDxtn)，社交擔保是一個表示成功與否的二元值.

定義12基于知識的社交認證系統：是一個三元組SASK=(SNS，KC，QA)，其中社交知識采集算法KC負責從社交記錄中獲得社交知識，即SK=KC(RCDPT).問答認證算法QA通過對用戶有關社交知識的輸入答案和社交知識的比對完成社交認證過程，即VCRP=QA(A，SK)，其中，A為用戶輸入的認證測試答案.

2　基于多種社交憑證的社交認證模型

本文提出一種基于多種社交憑證的社交認證模型，該模型包括記錄采集算法、社交憑證生成算法和社交認證算法，整體認證模型如圖1所示.記錄采集算法可以針對多種社交活動類型，所包括的社交活動有電話通信、短信通信、藍牙連接、WiFi熱點連接和NFC連接，其中WiFi熱點連接指社交者使用智能手機創建的便于信托人連接的便攜式熱點.并不是以上所有的社交活動都要予以記錄，只有符合要求的記錄才能被采納.對于通話活動，通話時長是最為重要的參數，只有該參數滿足一定的要求，通話活動才能被記錄，這樣就避免了攻擊者使用簡短通話攻擊社交認證模型的可能.對于短信，應該包含系統指定的內容才能被采納.對于藍牙、WiFi和NFC連接活動，一是要對通信距離做進一步的確認，二是每種連接都需要使用者顯式確認后才能被記錄.最后符合要求的社交活動被記錄存儲成為最終的社交記錄.

社交憑證生成算法利用多種社交活動的記錄生成社交憑證.為增強安全性，系統會要求社交者同時提供能表示通信的電話或短信活動記錄以及表示近距離接觸的某種數據連接活動記錄，憑證生成算法會依據多種活動記錄生成所需的社交憑證.社交憑證包括其內容和具體的底層安全實現.此外，研究社交憑證具有一定的有效性，超過有效閾值后即被作廢.

圖1　基于多種社交憑證的社交認證模型Fig.1　Social authentication model based on multiple social credentials

社交認證算法需要考慮社交憑證的傳遞問題，即如何安全地在信托人和社交者，以及社交者和認證服務器之間傳遞.模型通過利用具有中心服務器的加密體系(如PKI)實現憑證的安全傳遞.中心認證服務器收到社交者傳遞的多個信托人的社交憑證之后考慮各個憑證的權重問題，模型會對社交關系更親密或者更為可靠的(即可證明未被破解的)信托人所提供的社交憑證賦予更高的權重.最后，認證結果的計算可以采取最簡單的閾值進行比較，也可根據用戶要求實現更為復雜的計算方式.

基于多種社交憑證的社交認證模型還需要選取合適的信托人，該模型結合信任模型解決信托人的選取問題.社交者的信托人主要采取系統分析推薦的方式進行指派.由于需要同時考慮社交者同信托人之間的社交關系以及同信托人在社交網絡中體現的關系，因此，總體信任是由兩個信任值加權得出，即社交信任和網絡信任.其中，社交信任用以體現社交者與信托人之間的親密程度，可以通過社交活動發生的頻繁程度或社交活動的特性如通話時長等進行計算.網絡信任主要由社交者同信托人在整個社交網絡或者在由全體信托人組成的信任網絡中的網絡關系計算得出.當攻擊者破解一個社交者的賬戶后，往往會繼續通過社交認證的方式盡可能地擴大破解的范圍，模型通過計算網絡關系信任值防止出現系統性的大規模賬戶破解問題.網絡信任值的計算由兩者共同具有的朋友數量的角度和整個網絡的特性得出.

3　基于多種社交知識的社交認證模型

當前社交知識主要指照片中朋友的姓名，這主要是因為Facebook系統中人物圖片一般都附以姓名標簽，因此，Facebook社交系統很容易產生針對此種社交知識的測試，但是人臉識別技術得到長足進展并逐步實用化[12]，識別照片中人物也很容易遭受人臉識別和圖片比對等方式的攻擊.

本文提出一種應用多種社交知識的社交認證模型，該模型相關內容如圖2所示.對于基于多種社交知識的社交認證，涉及到的社交知識的信息類型可以分成兩類，一種指對社交友人相關的信息，由于是和社交網絡圖中作為節點的社交者相關的特性，將其稱為節點特性知識，如人物年齡和教育經歷等.另一種是與社交活動相關的信息，由于社交活動在社交網絡圖中與邊相對應，將其稱為邊特性知識，社交活動相關信息如時間、地點等信息.另外，承載社交知識的媒體類型不僅包括文字，還可以使用圖片和媒體.

在獲得多種社交知識的基礎上，需要通過問答的方式對用戶進行社交知識的相關提問，并將用戶的答案同社交知識進行匹配比對.因此，需要考慮問答認證涉及到的問題類型.僅涉及節點特性知識的問題被稱作節點特性問題，涉及與社交活動相關的問題被稱作邊問題.問答認證中問題的呈現方式，可以是選擇式也可以是文字輸入式，并且會依據應用場景決定是否有如照片等信息提示.問題的呈現方式直接關系到模型的可用性以及安全性，文字輸入式問答的安全性顯然比選擇性的安全性要高，但可用性要低.

基于知識的社交認證還要滿足包括可行性、可用性、安全性和隱私性等特性.可行性指涉及到的知識應該能被用戶清楚地回憶，盡量避免用戶有記憶但卻因為問答的方式無法清晰準確地回答.可用性指問題呈現方式的可用性，比如輸入友人姓名不夠準確是否能夠順利識別.另外，可用性還包括社交知識獲取的方式，是需要用戶進行顯式的指定(如用戶主動標記圖片中人物的姓名標簽)，還是可以通過社交活動的記錄自動產生.安全性要考慮各種不同類型的社交知識會由哪些人共同知曉及如何防止他們利用這些知識通過測試，此外，還考慮了惡意攻擊者通過挖掘公開信息或者通過成為好友后可以獲得的社交知識的范圍和程度，并防止他們利用這些信息展開攻擊.最后，模型需滿足的隱私性指用戶社交知識的隱私設置不能對社交認證產生不利影響，以及用戶問答認證過程中應盡量避免對已有社交知識的隱私泄露.

圖2　基于多種社交知識的社交認證模型Fig.2　Social authentication model based on multiple social knowledge

4　多層次多因子式的統一社交認證模型

當前社交認證的應用主要在線上社交活動和線下(現實)社交活動兩種場景中.第一種在線社交網絡(OSNs)中，由于OSNs中發生的各項操作本身就可以被視作社交活動，因此，無論是社交憑證還是社交知識的獲取都非常容易，這樣構建的社交認證系統只能應用在認證系統所依憑的社交網絡系統中，作為首要認證方式的備用方式使用.第二種在移動互聯網應用中，基于可信息化和數字化的現實社交活動(如打電話、發短信和各種方式的數據連接)展開的社交認證，這種方式構建起的社交認證系統可以通過Web服務的方式為其他社交網絡系統提供社交認證服務.

以往的社交認證研究都只是集中在某一種場景中開展，本文提出一種結合兩種社交認證場景的多層次多因子式的統一社交認證模型，其中多層次是指綜合利用包括社交認證在內的四種認證方式，多因子指綜合利用基于線上線下的社交憑證和社交知識的多種社交認證.

多層次多因子式的統一社交認證模型的內容如圖3所示.該模型在提出的多種社交憑證的社交認證模型的基礎之上實現，并且利用社交認證外的其他認證方式.統一社交認證模型利用已有在線社交網絡系統或其他認證系統身份驗證的方式完成社交認證.首先，社交者及信托人需要在中心服務器上記錄多種在線社交網絡系統的賬號名信息，這些信息都需要進行確認驗證以便后續進行比對確認.其次，當社交者需要信托人進行社交擔保時，信托人不必使用自己的手機通過打電話等方式生成社交憑證，而只要在社交者的手機上通過OAuth或IAM等技術向在線社交網絡請求授權認證登陸，登陸后授權獲得用戶登陸名信息，該賬號名同服務器上的對應賬號信息一致即可被認作信托人使用密碼認證的方式對社交者進行了社交擔保.同樣的方式，統一社交認證模型可以請求授權獲得在線社交網絡系統的社交知識，依據這些社交知識構建基于知識的社交認證.

統一社交認證模型的認證功能還可以通過SaaS等技術以Web服務的形式供其他沒有社交認證功能的系統應用以實現社交認證.首先，仍然要求社交者在其他系統中的賬號名信息存儲在統一社交認證模型的云服務器中以便實現賬號映射匹配.其次，其他系統在請求實施社交認證時需要提供請求者與信托人的賬號名信息，統一認證模型經過賬號核對后依據這些信息向本模型中的請求者發起社交認證，然后可以展開線下或線上的基于社交憑證的社交認證或者是線上的基于社交知識的社交認證，最后將社交認證結果返回給請求系統.

5　結　論

本文給出了社交認證的形式化定義.針對缺乏社交憑證的生成方式問題，提出了基于多種社交憑證的社交認證模型，針對社交知識類型單一的問題，提出了一種結合四種認證基于多種社交知識的社交認證模型，在此基礎上，提出了一種結合多種認證方式，應用線上和線下社交認證的多層次多因子式統一認證模型，該模型可以實現更為安全便捷的身份認證.

圖3　多層次多因子式統一認證模型Fig.3　Universal authentication model with multiple layers and factors

[1]Papacharissi Z.A networked self：identity，community，and culture on social network sites [M].New York：Routledge，2011.

[2]Brainard J，Juels A，Rivest R L，et al.Fourth-factor authentication：somebody you know [C]//13th ACM Conference on Computer and Communications Security.Virginia，USA，2006：168-178.

[3]Henk C A，van Tilborg，Jajodia S.Encyclopedia of cryptography and security [M].New York：Springer US，2011.

[4]al Abdulwahid A，Clarke N，Furnell S，et al.The current use of authentication technologies：an investigative review [C]//2015 IEEE International Conference on Cloud Computing.Riyadh，Saudi Arabia，2015：1-8.

[5]Javed A，Bletgen D，Kohlar F，et al.Secure fallback authentication and the trusted friend attack [C]//2014 IEEE 34th International Conference on Distributed Computing Systems Workshops.Madrid，Spain，2014：22-28.

[6]Schechter S，Egelman S，Reeder R W.It’s not what you know，but who you know [C]//Proceedings of the 27th ACM SIGCHI Conference on Human Factors in Computing Systems.Toronto，Canada，2009：172-181.

[7]Shao C，Chen L，Fan S，et al.Social authentication identity：an alternate to internet real name system [C]//International Conference on Security and Privacy in Communication Systems.Beijing，China，2014：132-140.

[8]Soleymani B，Maheswaran M.Social authentication protocol for mobile phones [C]//2009 International Conference on Computational Science and Engineering.Vancouver，Canada，2009：436-441.

[9]劉宴兵，劉飛飛.基于云計算的智能手機社交認證系統 [J].通信學報，2012，33(1)：28-34.

(LIU Yan-bing，LIU Fei-fei.Cloud computing based smartphone social authentication system [J].Journal on Communications，2012，33(1)：28-34.)

[10]劉飛飛，劉宴兵.基于社交網絡的智能手機輕型安全認證協議設計 [J].重慶郵電大學學報(自然科學版)，2013，25(1)：132-137.

(LIU Fei-fei，LIU Yan-bing.Lightweight smart phone security authentication protocol based on social network [J].Journal of Chongqing University of Posts and Telecommunications(Natural Science Edition)，2013，25(1)：132-137.)

[11]Jain S，Lang J，Gong N Z，et al.New directions in social authentication [C]//2015 Workshop on Usable Security.San Diego，USA，2015：1-6.

[12]牛連強，趙子天，張勝男.基于 Gabor 特征融合與 LBP 直方圖的人臉表情特征提取方法 [J].沈陽工業大學學報，2016，38(1)：63-68.

(NIU Lian-qiang，ZHAO Zi-tian，ZHANG Sheng-nan.Extraction method for facial expression features based on Gabor feature fusion and LBP histogram [J].Journal of Shenyang University of Technology，2016，38(1)：63-68.)

(責任編輯：鐘媛英文審校：尹淑英)

Authentication models faced on social networks

ZHOU Wei1, NIU Lian-qiang2, WANG Bin1

(1. Computer Engineering Institute, Qingdao University of Technology, Qingdao 266033, China; 2. School of Software, Shenyang University of Technology, Shenyang 110870, China)

In order to solve the problem that the generation modes of social credentials are less and the application scenarios are simplex in the credential based social authentication systems, as well as the problem that the types of social knowledge are insufficient in the knowledge based social authentication systems, a credential based social authentication model, which adopted the multiple social activities such as short messages, calls and data connections, was proposed. Meanwhile, a knowledge based social authentication model, which adopted the multiple edge and node attributes, was also proposed. Furthermore, a universal authentication model with multiple layers and factors was proposed in combinatiaon with the conventional authentication modes. The results show that in combinatiaon with both online and offline social authentication scenarios, the proposed model can solve the problem that the social authentication information can only be utilized for certain system, and can provide social authentication service for other authentication systems.

social network; identity authentication; authentication model; social credential; social knowledge; social activity; universal authentication model; information security

2016-03-17.

國家自然科學基金資助項目(61502262)； 青島市科技計劃基礎研究項目(KJZD-13-31-JCH).

周煒(1981-)，男，山東青島人，講師，博士，主要從事普適計算和信息安全等方面的研究.

10.7688/j.issn.1000-1646.2016.05.12

TP 309.2

A

1000-1646(2016)05-0545-06

*本文已于2016-09-07 16∶10在中國知網優先數字出版. 網絡出版地址：http：∥www.cnki.net/kcms/detail/21.1189.T.20160907.1610.060.html