基于虹膜識別的智能信息管理平臺設計

王超楠，郭慧杰，韓一梁，楊 帆

（北京無線電計量測試研究所，北京 100854）

在一些保密級別較高的單位，其辦公信息管理系統往往十分龐大嚴密，需要強大的身份認證技術予以支撐。然而目前絕大多數單位仍使用傳統的用戶名口令、一卡通認證或者數字證書技術進行不同場合的身份認證和權限管理，對于使用者來說十分繁瑣不便；且這些認證載體一旦丟失或被竊取，將為使用者和單位帶來嚴重的安全威脅。

針對上述問題，本文提出一種基于虹膜識別的辦公用智能信息管理平臺，使用目前最先進的虹膜識別技術進行身份認證，可從根本上杜絕傳統認證載體丟失所造成的安全隱患，且對于員工來說更為簡單便捷，無需攜帶任何載體即可完成身份認證，能有效提升業務效率，實現部門之間數據的安全、可靠交換，形成生物智能信息化支撐的綜合辦公系統。

1 總體技術方案

本平臺采用虹膜生物識別技術代替密碼、一卡通、數字證書等傳統身份認證方式，與單位辦公系統相集成，形成一個基于虹膜身份認證的綜合信息管理平臺。如圖1所示，除了業務子系統以外，該平臺還集成了虹膜數據服務器、虹膜注冊模塊和虹膜身份認證模塊。各模塊具體功能如下：

1.1 虹膜注冊模塊

虹膜注冊模塊包括便攜式虹膜采集設備及相應的計算機，用于采集用戶雙目虹膜特征信息，對用戶的基本身份信息進行注冊，并將用戶的虹膜特征信息和基本身份信息上傳至虹膜數據服務器。其中，基本身份信息包括用戶的姓名、性別、單位、部門、職務、面部圖片等個人信息。為使得注冊方便，系統可集成多個虹膜授權子模塊，可同時對多路用戶進行虹膜特征信息的并行采集。

1.2 虹膜數據服務器

圖1 基于虹膜識別身份認證的智能信息管理平臺系統架構圖

虹膜數據服務器用于匯總和存儲注冊用戶的虹膜特征信息和基本身份信息，建立統一共享的用戶資料數據庫，并向虹膜身份認證模塊提供用戶的虹膜特征信息和基本身份信息。該虹膜特征信息利用虹膜數據服務器與各個業務子系統協商的密鑰進行加密，并不定期更換密鑰。

1.3 虹膜身份認證模塊

虹膜身份認證模塊用于將待認證用戶現場采集的虹膜特征信息與虹膜數據服務器存儲的虹膜特征信息進行對比，對待認證用戶的身份進行驗證，并在驗證通過后授權其登陸各個業務子系統，從使用角度提高了身份認證的不可抵賴性。

該模塊從功能上又可劃分為系統管理子模塊、用戶管理子模塊、授權管理子模塊、認證授權子模塊以及數據管理子模塊，如圖2所示。其中，系統管理子模塊，用于進行系統用戶管理、系統用戶角色管理、系統用戶權限管理和系統用戶認證管理；用戶管理子模塊，用于進行用戶管理、用戶屬性管理和用戶權限管理；授權管理子模塊，用于進行角色管理、任務管理、資源管理和操作管理；認證授權子模塊，用于進行虹膜識別認證，同時留有指紋識別認證和密碼認證等其他認證方式接口；數據管理子模塊，用于進行日志保存管理、日志查詢管理、日志導出管理和日志共享管理。

圖2 身份授權與認證平臺體系架構圖

1.4 業務子系統

業務子系統按其功能可劃分為：計算機及網絡安全登陸子系統；員工出入考勤子系統；涉密載體流通管理子系統；保密柜安全管理子系統；文件資料借閱管理子系統；文檔輸出管理子系統。其中，計算機及網絡安全登陸子系統，用于負責辦公信息系統網絡和涉密計算機登錄時的身份認證；員工出入考勤子系統，用于負責門禁出入時的人員身份認證，以及在識別日志基礎上的員工考勤統計；

涉密載體流通管理子系統，用于負責對涉密載體的借出及歸還進行操作人員身份確認；保密柜安全管理子系統，用于負責對保密柜鎖進行操作人員權限控制；文件資料借閱管理子系統，用于負責對涉密文檔的借出及歸還進行操作人員身份確認；文檔輸出管理子系統，用于負責執行打印、復印等文檔輸出任務時的操作人員權限認證。單位內部相關部門利用可共享的綜合數據庫中的虹膜信息作為識別用戶身份的標識，可有效提升用戶體驗好感度，提高智能部門運作效率。

2 系統工作流程

基于虹膜識別的辦公用智能信息管理平臺，其工作流程步驟如下：一是虹膜注冊模塊采集用戶的雙眼虹膜特征信息，并對用戶基本身份信息進行注冊；二是虹膜注冊模塊將用戶的虹膜特征信息和基本身份信息上傳至虹膜數據服務器；三是虹膜數據服務器匯總和存儲各個用戶的虹膜特征信息和基本身份信息，建立統一共享的用戶資料數據庫；四是當待認證用戶登陸各個業務子系統時，虹膜身份認證模塊使用其自帶的虹膜采集設備現場采集待認證用戶的虹膜特征信息，并將現場采集的虹膜特征信息與虹膜數據服務器存儲并提供的虹膜特征信息進行對比，如果兩者一致，則驗證通過，虹膜身份認證模塊授權該用戶登陸各個業務子系統，并進行日志記錄。

3 安全保護機制

為了防止虹膜采集設備采集到的虹膜數據信息進行網絡傳輸時被截取從而發生泄密事件，充分保障通信信道的傳輸安全，本發明對數據和信道采取雙重保護機制：

首先，虹膜數據服務器對虹膜特征信息和基本身份信息進行加密存儲，且加密時采用的密鑰與虹膜數據服務器對虹膜特征信息和基本身份信息進行傳輸時采用的密鑰不相同；此外，當待認證用戶登錄不同的業務子系統時，虹膜數據服務器與不同的業務子系統之間協商不同的密鑰對虹膜特征信息進行加密。

其次，信息管理系統中的通信信道為采用VPN 專用網絡的加密傳輸信道。

也就是說，虹膜數據服務器向各個業務子系統下發數據（例如注冊面部圖像、虹膜特征信息）時，敏感信息可在傳輸前進行加密，或壓縮后再進行加密，以提高加密速度和傳輸速度。為增加整個系統的安全性，傳輸時的加密密鑰可與虹膜數據服務器本地存儲時的加密密鑰不同。例如，虹膜數據服務器使用A 密鑰加密本地存儲的注冊信息，向業務子系統下發數據時，先將本地加密數據取出并將A 密鑰解密后，再使用B 密鑰重新加密后再下發。并且，每個業務子系統都可以與虹膜數據服務器協商設置不一樣的密鑰。

4 結束語

本文介紹了一種基于虹膜識別的辦公用智能信息管理平臺。該平臺使用虹膜特征信息進行身份認證，不僅能從根本上杜絕傳統認證載體丟失所造成的安全隱患，且對于用戶來說更為簡單便捷，能有效提升業務效率，實現部門之間數據的安全、可靠交換，實現全方位安全監控，形成生物智能信息化支撐的整體聯合辦公系統。該系統不僅能有效解決現有系統的有機整合問題，同時也考慮到了信息管理平臺的可擴展性，為將來新系統、新應用的無縫集成提供高效的適配接口。