電力業(yè)務(wù)場(chǎng)景下用戶特征安全認(rèn)證模型研究

郭晶 焦艷斌 張曉韜

DOI：10.16661/j.cnki.1672-3791.2103-5042-5017

摘? 要：國(guó)網(wǎng)公司的身份安全認(rèn)證存在認(rèn)證方式單一、安全隱患排查困難、用戶體驗(yàn)不夠友好等問(wèn)題，難以有效支撐能源互聯(lián)網(wǎng)的建設(shè)。提出基于時(shí)間、空間、行為等多維度的用戶特征安全認(rèn)證模型，面對(duì)電力業(yè)務(wù)場(chǎng)景設(shè)計(jì)動(dòng)態(tài)身份安全認(rèn)證系統(tǒng)，通過(guò)特征選擇算法進(jìn)行一致性檢測(cè)，確保系統(tǒng)能夠準(zhǔn)確對(duì)用戶進(jìn)行身份認(rèn)證。該模型在某省公司進(jìn)行實(shí)際應(yīng)用，首次實(shí)現(xiàn)信息系統(tǒng)賬號(hào)關(guān)聯(lián)到實(shí)人，更便捷的是實(shí)現(xiàn)用戶身份全生命周期管控。該文形成的研究成果也將適用于其他大型企業(yè)動(dòng)態(tài)身份認(rèn)證工作，具備很強(qiáng)的應(yīng)用價(jià)值。

關(guān)鍵詞：身份特征? 身份安全認(rèn)證? 權(quán)限管理平臺(tái)? 電力業(yè)務(wù)

中圖分類號(hào)：TP311.5? ? ? ? ? ? ? ? ? ? ? ? ?文獻(xiàn)標(biāo)識(shí)碼：A文章編號(hào)：1672-3791（2021）03（b）-0028-04

Research on User Characteristic Security Authentication Model in Power Business Scenarios

GUO Jing1? ?JIAO Yanbin2? ZHANG Xiaotao1

（1.Aostar Information Technologies Co.， Ltd.， Chengdu， Sichuan Province， 610041? China; 2.State Grid Information and Communication Co.， Ltd.， Beijing， 102211? China）

Abstract： The identity security authentication of State Grid has prob：lems such as single authentication method， difficulty in troubleshooting hidden dangers， and unfriendly user experience， which is difficult to effectively support the construction of the energy Internet. Propose a multi-dimensional user characteristic security authentication model based on time， space， behavior， etc.， design a dynamic identity security authentication system for power business scenarios， and perform consistency detection through feature selection algorithms to ensure that the system can accurately authenticate users. This model was actually applied in a provincial company. For the first time， the information system account was linked to a real person. It is more convenient to realize the full life cycle control of user identity. The research results formed in the article are also applicable to other large-scale enterprise dynamic identity authentication work， and have strong application value.

Key Words： Identity characteristics; Identity security certification; Authority management platform; Electricity business

隨著能源互聯(lián)網(wǎng)發(fā)展戰(zhàn)略的逐步實(shí)施以及智能電網(wǎng)建設(shè)進(jìn)程的快速推進(jìn)，電力系統(tǒng)業(yè)務(wù)規(guī)模爆發(fā)式增長(zhǎng)，種類也不斷增多，信息安全防護(hù)工作的難度逐漸增加。身份認(rèn)證作為信息安全防護(hù)基礎(chǔ)，國(guó)家電網(wǎng)公司、南方電網(wǎng)等在近10年不斷建設(shè)和完善統(tǒng)一身份認(rèn)證及授權(quán)管理基礎(chǔ)系統(tǒng)，應(yīng)用了證書(shū)認(rèn)證、掃碼認(rèn)證、多因子認(rèn)證等多種技術(shù)。

經(jīng)過(guò)SG186、SGERP建設(shè)，國(guó)家電網(wǎng)公司以統(tǒng)一權(quán)限平臺(tái)為主的身份管理體系，其重點(diǎn)在于支撐“賬號(hào)”“業(yè)務(wù)應(yīng)用”，必然存在身份信息缺失、認(rèn)證形式缺乏多樣性、用戶獲得感較低等不足;同時(shí)，系統(tǒng)主要應(yīng)用范圍是信息內(nèi)網(wǎng)，環(huán)境相對(duì)簡(jiǎn)單，采用的身份認(rèn)證技術(shù)較為傳統(tǒng)。但隨著“i國(guó)網(wǎng)”“網(wǎng)上國(guó)網(wǎng)”等一批移動(dòng)應(yīng)用先后啟動(dòng)建設(shè)，公司業(yè)務(wù)開(kāi)展場(chǎng)景更加豐富、環(huán)境更加復(fù)雜，基于單一因素的身份認(rèn)證已難以滿足需求，需把多個(gè)單一因素結(jié)合起來(lái)進(jìn)行多因素身份認(rèn)證，身份認(rèn)證技術(shù)在安全性、適應(yīng)性、場(chǎng)景化、用戶體驗(yàn)等多方面亟需進(jìn)一步提升。

針對(duì)現(xiàn)階段身份安全認(rèn)證存在問(wèn)題，該文基于時(shí)間、空間、行為等多維度的用戶行為特征，建立多標(biāo)識(shí)多憑證的電力用戶身份模型，在此基礎(chǔ)上，面向電力業(yè)務(wù)場(chǎng)景建立動(dòng)態(tài)身份安全認(rèn)證系統(tǒng)，然后分析電力業(yè)務(wù)場(chǎng)景下特征選擇算法的適用性，對(duì)特征算法進(jìn)行一致性檢測(cè)，使得系統(tǒng)能準(zhǔn)確對(duì)用戶進(jìn)行身份認(rèn)證，最終實(shí)現(xiàn)終端的動(dòng)態(tài)安全身份認(rèn)證，大大提升了業(yè)務(wù)開(kāi)展的安全性、可靠性。

1? 用戶特征安全認(rèn)證

1.1 多標(biāo)識(shí)多憑證的用戶特征安全認(rèn)證模型

身份是用戶在特定背景或環(huán)境中的標(biāo)識(shí)，由用戶的標(biāo)識(shí)符和特征憑證組成。該文由用戶全局身份標(biāo)識(shí)、本地身份標(biāo)識(shí)、臨時(shí)身份標(biāo)識(shí)以及訪問(wèn)信息組、用戶特征組、用戶屬性組、可信域組構(gòu)成電力用戶身份模型，具體見(jiàn)圖1。在該身份模型中，用戶的全局身份標(biāo)識(shí)、用戶的本地域中的身份標(biāo)識(shí)和用戶本地域的域標(biāo)識(shí)的組合是全網(wǎng)唯一的。當(dāng)服務(wù)需要對(duì)用戶進(jìn)行身份驗(yàn)證時(shí)，它將向用戶請(qǐng)求功能憑據(jù)。在用戶被授權(quán)之后，請(qǐng)求的特性將從身份模型的用戶特性組中獲取并提供給服務(wù)。對(duì)屬性的操作類似于對(duì)特征的操作，使得建立的身份模型能夠支持身份管理系統(tǒng)，完成維護(hù)整個(gè)網(wǎng)絡(luò)身份的唯一性和跨域一致性，記錄使用的身份信息，確定訪問(wèn)身份數(shù)據(jù)的策略和程序。

用戶的全局身份標(biāo)識(shí)和用戶在本地域中的身份標(biāo)識(shí)對(duì)有向身份、多元身份互操作這兩個(gè)身份法則提供支持;用戶的訪問(wèn)信息組、用戶在當(dāng)前訪問(wèn)域中的身份標(biāo)識(shí)、用戶當(dāng)前訪問(wèn)域的域標(biāo)識(shí)和可信域組共同提供對(duì)法則用戶控制和許可、最小泄露和有限使用、正當(dāng)?shù)氖褂谜吆涂绛h(huán)境一致性體驗(yàn)的支持。用戶的全局標(biāo)識(shí)與該標(biāo)識(shí)相關(guān)聯(lián)，在應(yīng)用程序中為用戶提供唯一標(biāo)識(shí)，并且該標(biāo)識(shí)與用戶屬性組和用戶特征組相關(guān)聯(lián)。這些屬性包括性別、年齡、電子郵件地址、地址、姓名和其他信息。特征包括與身份認(rèn)證技術(shù)相關(guān)的二維碼、智能卡、數(shù)字證書(shū)、指紋、人臉、U盤等組合信息。用戶在不同域的當(dāng)前訪問(wèn)域中具有不同的身份。當(dāng)用戶進(jìn)行跨域訪問(wèn)時(shí)，用戶的訪問(wèn)記錄將記錄在用戶的訪問(wèn)信息組中[1-3]。

身份模型建立流程共分為兩個(gè)階段：第一階段是初始狀態(tài)模型構(gòu)建，該階段主要完成屬性和特征憑證細(xì)膩的搜集工作，生成全局身份標(biāo)識(shí)和本地身份標(biāo)識(shí);第二階段是身份模型更新，該階段通過(guò)用戶在不同的服務(wù)中使用身份模型，完成訪問(wèn)信息的更新工作。

1.2 動(dòng)態(tài)身份安全認(rèn)證系統(tǒng)

基于多標(biāo)識(shí)多憑證的電力用戶身份模型，設(shè)計(jì)電力業(yè)務(wù)場(chǎng)景下動(dòng)態(tài)身份安全認(rèn)證系統(tǒng)，包括訪問(wèn)控制、身份管理、行為分析、風(fēng)險(xiǎn)評(píng)估、平臺(tái)服務(wù)等功能，功能架構(gòu)圖如圖2所示。

訪問(wèn)控制模塊實(shí)現(xiàn)對(duì)多維度身份的證明與鑒別，可支持的用戶身份認(rèn)證的方法主要有靜態(tài)口令、動(dòng)態(tài)口令、數(shù)字證書(shū)、智能卡和生物特征識(shí)別等，系統(tǒng)通過(guò)驗(yàn)證用戶提供的特征來(lái)決定是否允許用戶訪問(wèn)。

身份管理模塊與權(quán)威身份數(shù)據(jù)庫(kù)進(jìn)行交互，對(duì)用戶身份信息進(jìn)行管理，構(gòu)建具備身份聯(lián)合的統(tǒng)一身份認(rèn)證體系。其將用戶的輸入特征轉(zhuǎn)換為用戶身份標(biāo)識(shí)，利用用戶注冊(cè)時(shí)通過(guò)身份標(biāo)識(shí)模型獲得的唯一身份標(biāo)識(shí)取得該標(biāo)識(shí)可訪問(wèn)的服務(wù)類型。首次訪問(wèn)某項(xiàng)服務(wù)時(shí)，用戶向服務(wù)提供自己的統(tǒng)一身份標(biāo)識(shí)，服務(wù)則向統(tǒng)一身份管理服務(wù)中心發(fā)送請(qǐng)求驗(yàn)證該用戶身份，訪問(wèn)控制將判定該用戶是否有權(quán)限接入服務(wù)。

行為分析模塊實(shí)現(xiàn)對(duì)用戶行為數(shù)據(jù)的采集，并將采集的數(shù)據(jù)存儲(chǔ)到用戶行為數(shù)據(jù)數(shù)據(jù)庫(kù)中，為風(fēng)險(xiǎn)評(píng)估提供數(shù)據(jù)支持。

風(fēng)險(xiǎn)評(píng)估模塊檢測(cè)并調(diào)查那些試圖或已突破系統(tǒng)安全屏障的非法事件并做出相應(yīng)的防范措施，為系統(tǒng)提供安全服務(wù)。

平臺(tái)服務(wù)包括對(duì)數(shù)據(jù)分析、認(rèn)證平臺(tái)、授權(quán)平臺(tái)、單點(diǎn)登錄、風(fēng)險(xiǎn)控制平臺(tái)、權(quán)威身份庫(kù)等部分的管理，將整個(gè)系統(tǒng)的不同部分相互關(guān)聯(lián)，互相作用，保證系統(tǒng)各部分運(yùn)行正常，使系統(tǒng)擁有較強(qiáng)的魯棒性。用戶訪問(wèn)應(yīng)用系統(tǒng)，如果用戶尚未登錄，系統(tǒng)會(huì)自動(dòng)跳轉(zhuǎn)到校驗(yàn)中心進(jìn)行身份認(rèn)證，認(rèn)證無(wú)誤后，重新定向到訪問(wèn)的相應(yīng)應(yīng)用系統(tǒng)頁(yè)面。系統(tǒng)管理員登錄到權(quán)限管理中心，對(duì)所有的應(yīng)用系統(tǒng)進(jìn)行管理，包括對(duì)角色管理、用戶信息管理、資源管理等。

1.3 身份認(rèn)證流程

在身份認(rèn)證系統(tǒng)應(yīng)用前需要先進(jìn)行用戶注冊(cè)，此過(guò)程采集用戶的特征和屬性數(shù)據(jù)，建立用戶身份模型并將數(shù)據(jù)保存在用戶身份信息數(shù)據(jù)庫(kù)中。注冊(cè)成功后，員工通過(guò)安全認(rèn)證便可登錄系統(tǒng)，獲得訪問(wèn)資源的權(quán)限。身份認(rèn)證流程如圖3所示。（1）打開(kāi)系統(tǒng)登錄界面，按照系統(tǒng)要求進(jìn)行身份特征采集;（2）應(yīng)用客戶端將用戶的輸入信息通過(guò)加密的形式發(fā)至應(yīng)用服務(wù)器，發(fā)出訪問(wèn)應(yīng)用服務(wù)器資源信息的指令;（3）應(yīng)用服務(wù)器得到響應(yīng)訪問(wèn)指令后，把接收到的信息發(fā)送至認(rèn)證服務(wù)器，并發(fā)出身份信息驗(yàn)證請(qǐng)求;（4）認(rèn)證服務(wù)器得到響應(yīng)認(rèn)證請(qǐng)求后，從身份信息數(shù)據(jù)庫(kù)中搜集用戶的特征信息;（5）認(rèn)證服務(wù)器比對(duì)采集信息與數(shù)據(jù)庫(kù)存儲(chǔ)信息，若匹配則驗(yàn)證成功，否則驗(yàn)證失敗，并根據(jù)實(shí)際的驗(yàn)證情況對(duì)用戶的訪問(wèn)權(quán)限進(jìn)行比對(duì)判斷;（6）認(rèn)證服務(wù)器把驗(yàn)證信息轉(zhuǎn)發(fā)給應(yīng)用服務(wù)器;（7）根據(jù)驗(yàn)證信息，如果用戶身份是真實(shí)有效的，那么應(yīng)用服務(wù)器允許用戶對(duì)權(quán)限范圍內(nèi)的資源進(jìn)行訪問(wèn)，否則訪問(wèn)失敗;（8）結(jié)束驗(yàn)證。

2? 三維特征算法一致性檢測(cè)方法

特征選擇算法指在輸入的變量數(shù)據(jù)中運(yùn)用相應(yīng)的特征提取方法構(gòu)造一個(gè)特征子集的算法，這些子集最符合設(shè)定的特征選取標(biāo)準(zhǔn)。通過(guò)特征選擇算法可以過(guò)濾原始數(shù)據(jù)中權(quán)重較輕的數(shù)據(jù)，保留最能反映數(shù)據(jù)特征的數(shù)據(jù)，特征選擇會(huì)使選擇的數(shù)據(jù)模型更加精確簡(jiǎn)捷，提高處理效率[4]。

隨著特征選擇算法研究的不斷深入，出現(xiàn)了大量的特征選擇算法。一般來(lái)說(shuō)，用戶選用特征選擇算法時(shí)會(huì)考慮以下因素：特征選擇的目的、時(shí)間要求、期望的輸出結(jié)果、希望選擇特征數(shù)與原始特征數(shù)的比例、類別的信息、特征的類型、數(shù)據(jù)的質(zhì)量、特征數(shù)與樣本數(shù)的比例和該領(lǐng)域的業(yè)務(wù)知識(shí)[5-6]。

不同應(yīng)用場(chǎng)景下用戶的特征會(huì)有所不同，如在公司進(jìn)行指紋認(rèn)證時(shí)指紋干凈，對(duì)指紋的采集不會(huì)產(chǎn)生影響，而在外作業(yè)時(shí)采用指紋識(shí)別就會(huì)出現(xiàn)汗?jié)n污垢破壞指紋的情況。這些復(fù)雜情況對(duì)特征選擇算法提出了較高的要求，同一種特征選擇算法無(wú)法適應(yīng)不同的應(yīng)用場(chǎng)景，因此需要針對(duì)不同應(yīng)用場(chǎng)景進(jìn)行特征算法的一致性檢測(cè)。基于時(shí)間、空間、行為的特征選擇算法一致性檢測(cè)流程如圖4所示。

首先在應(yīng)用客戶端登錄界面進(jìn)行用戶特征采集，采集的數(shù)據(jù)是時(shí)間、空間、行為相關(guān)的，經(jīng)過(guò)數(shù)據(jù)預(yù)處理后進(jìn)行特征選擇。根據(jù)不同場(chǎng)景的需求采用不同的認(rèn)證方式，經(jīng)過(guò)不同認(rèn)證方式處理后的特征數(shù)據(jù)送入身份管理系統(tǒng)中，由身份管理系統(tǒng)對(duì)特征數(shù)據(jù)和身份模型進(jìn)行匹配。若匹配，則認(rèn)證成功;反之，則反饋給系統(tǒng)調(diào)整特征選擇算法。經(jīng)過(guò)一致性檢測(cè)過(guò)程，使特征選擇算法與當(dāng)前的應(yīng)用場(chǎng)景相匹配，提高系統(tǒng)識(shí)別用戶身份的能力。

3? 應(yīng)用情況

在國(guó)網(wǎng)新疆電力公司本部、信通公司應(yīng)用用戶特征安全認(rèn)證模型系統(tǒng)，試用覆蓋內(nèi)部用戶約2 000人、非員工用戶累計(jì)約1 000人，重點(diǎn)是基于“多標(biāo)識(shí)多憑證”身份特征模型，在信息系統(tǒng)登錄、訪客管理、運(yùn)維審計(jì)系統(tǒng)中應(yīng)用動(dòng)態(tài)安全認(rèn)證技術(shù)。

3.1 多標(biāo)識(shí)多憑證身份模型應(yīng)用

通過(guò)多標(biāo)識(shí)機(jī)制，首次實(shí)現(xiàn)信息系統(tǒng)賬號(hào)關(guān)聯(lián)到實(shí)人，解決駐場(chǎng)人員、臨時(shí)訪客等外單位人員的身份全生命周期性可控，應(yīng)用界面如圖5所示。

3.2 非員工（訪客）身份管理

提供訪客等注冊(cè)、自助綁定生物特征、自助完善憑證功能，實(shí)現(xiàn)非員工實(shí)名注冊(cè)、試用信息系統(tǒng)賬號(hào)同時(shí)，降低管理成本，整體效率提升超過(guò)60%。

3.3 運(yùn)維專區(qū)人臉身份認(rèn)證

實(shí)現(xiàn)“申請(qǐng)時(shí)實(shí)人、到場(chǎng)人臉識(shí)別進(jìn)入運(yùn)維專區(qū)、操作時(shí)人臉登錄、到時(shí)間授權(quán)時(shí)效”，減少檢修終端密碼傳遞、加強(qiáng)運(yùn)維人員安全管理，極大地提升運(yùn)維專區(qū)安全與檢修安全。

4? 結(jié)語(yǔ)

該文從電力實(shí)際應(yīng)用業(yè)務(wù)場(chǎng)景出發(fā)，針對(duì)電力業(yè)務(wù)場(chǎng)景中信息系統(tǒng)身份安全認(rèn)證存在的認(rèn)證方式單一、風(fēng)險(xiǎn)感知和控制流程不完善、用戶體驗(yàn)不夠友好等缺陷，提出基于時(shí)間、空間、行為等多維度的用戶行為特征安全認(rèn)證模型。面對(duì)電力業(yè)務(wù)場(chǎng)景設(shè)計(jì)了動(dòng)態(tài)身份安全認(rèn)證系統(tǒng)，完成安全認(rèn)證檢測(cè)，最后針對(duì)特征選擇算法進(jìn)行一致性檢測(cè)，滿足系統(tǒng)能夠準(zhǔn)確對(duì)用戶進(jìn)行身份認(rèn)證的需求。后續(xù)需要進(jìn)一步研究適用于電力業(yè)務(wù)場(chǎng)景的時(shí)間、空間、行為等多維度的用戶行為特征變換對(duì)識(shí)別用戶行為風(fēng)險(xiǎn)影響的關(guān)鍵技術(shù)以及動(dòng)態(tài)身份安全認(rèn)證技術(shù)在電力業(yè)務(wù)的應(yīng)用模式，為用戶提供更加便捷、體驗(yàn)更好的身份鑒別服務(wù)。

參考文獻(xiàn)

[1] 孫強(qiáng)強(qiáng)，連耿雄.基于多因素認(rèn)證的電力安全認(rèn)證方案設(shè)計(jì)[J].微型電腦應(yīng)用，2019，35（11）：84-87.

[2] 馮龍.基于生物特征和PKI技術(shù)的遠(yuǎn)程身份鑒別系統(tǒng)研究與設(shè)計(jì)[D].山東大學(xué)，2019.

[3] 徐靜.基于生物特征識(shí)別的多因子身份認(rèn)證即服務(wù)研究與應(yīng)用[D].華南理工大學(xué)，2018.

[4] 朱振國(guó)，趙凱旋，劉民康.基于強(qiáng)化學(xué)習(xí)的特征選擇算法[J].計(jì)算機(jī)系統(tǒng)應(yīng)用，2018，27（10）：214-218.

[5] 趙凱旋.基于強(qiáng)化學(xué)習(xí)的特征選擇算法研究[D].重慶交通大學(xué)，2018.

[6] 吳俊，柯飂挺，任佳.參數(shù)自動(dòng)優(yōu)化的特征選擇融合算法[J].計(jì)算機(jī)系統(tǒng)應(yīng)用，2020，29（7）：145-151.