一種新型口令驗(yàn)證身份認(rèn)證系統(tǒng)的設(shè)計(jì)

王振鐸 王振輝

摘要：身份認(rèn)證作為信息系統(tǒng)的根本保障，對(duì)安全起關(guān)鍵作用。靜態(tài)口令作為信息系統(tǒng)常用的認(rèn)證方式，應(yīng)用簡(jiǎn)便，但安全性不高。通過分析其安全問題，設(shè)計(jì)了一種客戶端不僅認(rèn)證口令還須驗(yàn)證登錄設(shè)備的有效性，同時(shí)記錄登錄信息，以便事后安全審計(jì)的身份認(rèn)證系統(tǒng)，并介紹了關(guān)鍵技術(shù)。該認(rèn)證方式為進(jìn)行信息系統(tǒng)安全性設(shè)計(jì)提供了借鑒。

關(guān)鍵詞：信息安全;口令;驗(yàn)證碼

中圖分類號(hào)：TP393.08? ?文獻(xiàn)標(biāo)識(shí)碼：A

文章編號(hào)：1009-3044（2022）17-0004-02

隨著信息化技術(shù)的廣泛普及和應(yīng)用，企事業(yè)單位、政府部門應(yīng)用了大量的信息系統(tǒng)處理各自的業(yè)務(wù)。同時(shí)，數(shù)據(jù)量逐年增長(zhǎng)，數(shù)據(jù)管理難度加大，數(shù)據(jù)的安全問題凸顯。如今，數(shù)據(jù)已經(jīng)成為公認(rèn)的財(cái)富，用好數(shù)據(jù)對(duì)于社會(huì)和單位的發(fā)展至關(guān)重要。另一方面，非法用戶為了獲取其他利益，竊取、破壞數(shù)據(jù)已經(jīng)成為信息系統(tǒng)安全急需解決的問題。如何保護(hù)信息系統(tǒng)的安全，也一直是安全人士研究的熱點(diǎn)問題。

俗話說“病從口入”，信息系統(tǒng)安全亦是如此。身份認(rèn)證作為信息系統(tǒng)安全的首道屏障無疑是信息系統(tǒng)安全的關(guān)鍵。對(duì)于企業(yè)信息系統(tǒng)較安全需要高的金融、證券、稅務(wù)等系統(tǒng)，均采用數(shù)字證書、Ukey、生物認(rèn)證等額外的安全技術(shù)手段加以保護(hù)。而企業(yè)級(jí)信息系統(tǒng)采用的還是傳統(tǒng)的靜態(tài)口令驗(yàn)證方式，該方式的安全問題很多，造成企業(yè)信息系統(tǒng)安全頻繁發(fā)生[1]。相關(guān)文獻(xiàn)針對(duì)靜態(tài)口令的安全性問題進(jìn)行了研究和探討，結(jié)合動(dòng)態(tài)口令技術(shù)、生物識(shí)別技術(shù)、硬件設(shè)備加強(qiáng)靜態(tài)口令的安全，解決了一定的問題，但增加了成本和降低了易用性[2-4]。本文旨在探討如何加強(qiáng)靜態(tài)口令認(rèn)證方式的安全性，提出一種雙認(rèn)證的身份認(rèn)證策略，在不增加任何硬件設(shè)備的情況下，增強(qiáng)信息系統(tǒng)身份認(rèn)證的安全。

1 靜態(tài)口令的安全問題

靜態(tài)口令作為傳統(tǒng)的身份認(rèn)證方式，具有簡(jiǎn)便易用的優(yōu)勢(shì)，但經(jīng)常會(huì)受到以下安全問題的困擾。

第一，靜態(tài)密碼，易被猜測(cè)、破解。在企業(yè)信息系統(tǒng)中，用戶認(rèn)證往往通過賬號(hào)與密碼的方式。其中，賬號(hào)往往是員工號(hào)、郵箱號(hào)、手機(jī)號(hào)、身份證號(hào)等關(guān)鍵信息，這些信息在企業(yè)中存在不安全的因素。所以只剩下密碼一個(gè)因素保證認(rèn)證的安全，而有些用戶往往采用易記的簡(jiǎn)單密碼，形同虛設(shè)，黑客容易利用破解工具進(jìn)行破解。

第二，盜庫(kù)的風(fēng)險(xiǎn)。數(shù)據(jù)庫(kù)已成為對(duì)手或者黑客的重點(diǎn)攻擊目標(biāo)。一旦數(shù)據(jù)庫(kù)發(fā)生泄漏，并且數(shù)據(jù)庫(kù)中用戶私密信息以明文方式存儲(chǔ)，攻擊者不僅可以利用該用戶的權(quán)限操作信息系統(tǒng)，還可以用該用戶的賬號(hào)和密碼去其他網(wǎng)站嘗試登錄，一旦登錄成功，就會(huì)造成很嚴(yán)重的后果。

第三，“內(nèi)鬼”作案的風(fēng)險(xiǎn)。在信息系統(tǒng)面對(duì)的各種安全威脅中，內(nèi)部威脅雖然數(shù)量上遠(yuǎn)不及外部攻擊，但造成的損失和危害性更大。因?yàn)?，?nèi)部員工要比外部人員更清楚哪些數(shù)據(jù)是值得竊取的。同時(shí)，內(nèi)部員工的惡意操作更容易被企業(yè)組織所忽略，因此內(nèi)部威脅問題，已逐步成為國(guó)內(nèi)外安全專家重點(diǎn)研究的對(duì)象。

第四，單一管理方式。用戶的賬號(hào)、密碼等私密數(shù)據(jù)保存在數(shù)據(jù)庫(kù)服務(wù)器上。用戶私有數(shù)據(jù)的安全性用戶本人無法監(jiān)管。用戶無法確認(rèn)個(gè)人私密數(shù)據(jù)的安全性以及誰在利用自己的賬戶信息進(jìn)行操作。

2身份認(rèn)證的安全需求

2.1客戶端對(duì)利用自身賬號(hào)登錄操作的查詢權(quán)限

客戶端用戶的登錄、操作日志往往是服務(wù)器管理人員在數(shù)據(jù)庫(kù)審計(jì)時(shí)才會(huì)關(guān)注的。這種情況造成了信息的不對(duì)稱，若發(fā)生了安全問題，客戶端不能主動(dòng)知曉，而必須事后通過服務(wù)器管理人員告知。所以，若要保證客戶端的安全和權(quán)益，必須提供客戶端用戶隨時(shí)能看到自己登錄的情況和使用情況，保證客戶端和服務(wù)器端的信息對(duì)稱。這個(gè)功能應(yīng)該在開發(fā)的信息系統(tǒng)中加以提供。

2.2 客戶端私密數(shù)據(jù)的加密存儲(chǔ)

客戶端用戶對(duì)自己的私有數(shù)據(jù)，賬號(hào)、密碼、郵箱、手機(jī)號(hào)等重要身份信息的缺乏管理權(quán)限。這些數(shù)據(jù)存放在數(shù)據(jù)庫(kù)中，對(duì)應(yīng)企業(yè)級(jí)信息系統(tǒng)，多數(shù)仍以明文的方式存在。用戶數(shù)據(jù)的管理權(quán)限在服務(wù)器，如果數(shù)據(jù)庫(kù)遭遇黑客攻擊以及企業(yè)內(nèi)鬼作案，用戶對(duì)自己的私有數(shù)據(jù)財(cái)產(chǎn)無任何保護(hù)能力。

3認(rèn)證系統(tǒng)設(shè)計(jì)

3.1注冊(cè)和登錄功能

身份認(rèn)證功能，由用戶注冊(cè)和用戶登錄實(shí)現(xiàn)。用戶注冊(cè)時(shí)，需要提供賬號(hào)、密碼、郵箱、手機(jī)號(hào)等個(gè)人私有數(shù)據(jù)。同時(shí)，服務(wù)器程序會(huì)提取能夠確定客戶端使用設(shè)備的唯一標(biāo)識(shí)（例如硬盤、CPU、網(wǎng)卡）等的唯一標(biāo)識(shí)，使得客戶端人和設(shè)備的信息同時(shí)被提取保存到數(shù)據(jù)庫(kù)中。杜絕了其他非法用戶登錄系統(tǒng)的可能性，因?yàn)樾枰撕驮O(shè)備二者完全匹配，用戶可以在注冊(cè)的時(shí)候，提供另外一臺(tái)電腦的硬件地址作為更換電腦時(shí)的設(shè)備，以免后期更換設(shè)備時(shí)帶來安全檢測(cè)。

若合法用戶更換了電腦，操作信息系統(tǒng)時(shí)，服務(wù)器會(huì)判斷出設(shè)備是新設(shè)備，要求用戶提供有效的郵箱或手機(jī)號(hào)，發(fā)送驗(yàn)證碼后，驗(yàn)證為合法用戶后，才能正常使用系統(tǒng)。其中用戶表的主要信息如表1所示。

登錄驗(yàn)證功能是系統(tǒng)的核心功能，程序流程如圖1所示。

3.2用戶操作審計(jì)功能

為了增加系統(tǒng)地安全性，在傳統(tǒng)身份認(rèn)證系統(tǒng)只有注冊(cè)和登錄功能的基礎(chǔ)上，增加用戶登錄操作使用信息系統(tǒng)的操作審計(jì)功能。文獻(xiàn)5中的登錄審計(jì)功能，只是對(duì)用戶登錄的情況進(jìn)行記錄和設(shè)計(jì)。為了更全面地記錄和審計(jì)登錄者使用信息系統(tǒng)的情況，便于用戶和管理員雙方都能夠查詢系統(tǒng)使用情況，一旦發(fā)生安全事件，可以分辨是用戶自己操作還是他人盜用用戶賬號(hào)非法操作的問題。有利于用戶和管理員雙方在信息對(duì)稱的情況下，對(duì)安全問題進(jìn)行追溯。用戶操作審計(jì)表的信息包括使用的賬號(hào)、登錄時(shí)間、地理位置、操作的行為數(shù)據(jù)等。通過該日志表，可以瀏覽和統(tǒng)計(jì)某個(gè)用戶時(shí)間段內(nèi)登錄次數(shù)、登錄位置和操作記錄信息。操作審計(jì)信息表設(shè)計(jì)如表2所示。

4 關(guān)鍵技術(shù)

4.1 客戶端硬件設(shè)備唯一標(biāo)識(shí)信息的獲取

為了識(shí)別客戶端使用設(shè)備的合法性，系統(tǒng)注冊(cè)和登錄時(shí)，均需要采集客戶端硬件設(shè)備的唯一標(biāo)識(shí)信息，這些信息可以來自硬盤、網(wǎng)卡、CPU等[5]。利用Javascript調(diào)用ActiveX插件即可讀取上述硬件信息。利用ActiveX獲取客戶端硬件標(biāo)識(shí)信息的代碼不少，讀者可以自行測(cè)試，但非IE瀏覽器，必須按照相關(guān)的ActiveX插件方可正常獲取。

4.2客戶端登錄地位

為了保障客戶登錄的安全性，用戶可以在登錄審計(jì)表中，查看到登錄位置信息，確保是自己的登錄位置，及時(shí)發(fā)現(xiàn)非法用戶盜用自己賬號(hào)進(jìn)行登錄，系統(tǒng)提供登錄位置的查詢功能。該功能采用Javascript采集用戶的登錄信息，需要調(diào)用JQuery庫(kù)，調(diào)用高德地圖的GetLocation庫(kù)的getCurrentPostion獲取精確的位置[6]。獲得客戶端的登錄位置后，可以將該信息存入登錄審計(jì)表，以便后期安全審計(jì)。

4.3服務(wù)器發(fā)送郵件驗(yàn)證碼

在系統(tǒng)的“密碼修改”“登錄位置”變化等情況下，需要發(fā)送驗(yàn)證碼進(jìn)行個(gè)人身份驗(yàn)證。本文以JSP發(fā)送郵件為例。JSP發(fā)送郵件需要有JavaMail API，并且需要安裝JavaBean Activation Framework。程序代碼如下：

<%@ page import="java.io.*，java.util.*，javax.mail.*"%>

<%@ page import="javax.mail.internet.*，javax.activation.*"%>

<%@ page import="javax.servlet.http.*，javax.servlet.*" %>

<%

String result;

// 收件人的電子郵件

String to = "XXX";

// 發(fā)件人的電子郵件

String from = "XXXX";

// 你發(fā)送電子郵件的主機(jī)

String host = "XXXXX";

// 獲取系統(tǒng)屬性對(duì)象

Properties properties = System.getProperties（）;

// 設(shè)置郵件服務(wù)器

properties.setProperty（"mail.smtp.host"， host）;

// 獲取默認(rèn)的Session對(duì)象。

Session mailSession = Session.getDefaultInstance（properties）;

// 創(chuàng)建一個(gè)默認(rèn)的MimeMessage對(duì)象。

MimeMessage message = new MimeMessage（mailSession）;

// 設(shè)置 From： 頭部的header字段

message.setFrom（new InternetAddress（from））;

// 設(shè)置 To： 頭部的header字段

message.addRecipient（Message.RecipientType.TO，newInternetAddress（to））;

// 設(shè)置 Subject： header字段

message.setSubject（"This is the Subject Line！"）;

// 現(xiàn)在設(shè)置的實(shí)際消息（需要發(fā)送的驗(yàn)證碼）

message.setText（"登錄的驗(yàn)證碼信息"）;

// 發(fā)送消息

Transport.send（message）;

result = "發(fā)送郵件成功";

5系統(tǒng)特點(diǎn)及應(yīng)用效果

通過雙認(rèn)證方式身份認(rèn)證方式的設(shè)計(jì)，總結(jié)出方案具有以下優(yōu)點(diǎn)：

（1）純軟件方式，無須額為的硬件設(shè)備。

（2）增加了客戶端對(duì)自己私有信息的監(jiān)管度，同時(shí)，提升了客戶端和服務(wù)器端的安全性。

（3）對(duì)用戶更換電腦設(shè)備，操作信息系統(tǒng)進(jìn)行了安全校驗(yàn)，阻止了黑客對(duì)系統(tǒng)的入侵。

本身份認(rèn)證系統(tǒng)加入原有的MIS系統(tǒng)中，通過使用，用戶可以清楚地了解自己使用系統(tǒng)的情況，提升了系統(tǒng)的安全性。

6結(jié)束語

信息系統(tǒng)安全與易用性二者本來就是矛盾的。若只考慮系統(tǒng)的易用性，勢(shì)必會(huì)造成系統(tǒng)的安全性低，而系統(tǒng)的高安全性也是以犧牲便利性為代價(jià)的。所以，為了保證數(shù)據(jù)的安全，增加一些可行的安全性是必要的。一旦企業(yè)做好了用戶數(shù)據(jù)的防護(hù)，不僅能夠有效避免數(shù)據(jù)泄露的危害，還能夠切實(shí)提升企業(yè)信息系統(tǒng)數(shù)據(jù)的安全性，大幅消除用戶對(duì)于個(gè)人隱私泄露的疑慮。

參考文獻(xiàn)：

[1] 張猛，尹其其.靜態(tài)口令認(rèn)證技術(shù)研究進(jìn)展[J].網(wǎng)絡(luò)空間安全，2018，9（7）：11-14.

[2] 平林艷.基于人臉識(shí)別的身份認(rèn)證系統(tǒng)的研究與應(yīng)用[D].北京：華北電力大學(xué)（北京），2019.

[3] 王晨宇.基于口令的多因子身份認(rèn)證協(xié)議研究[D].北京：北京郵電大學(xué)，2020.

[4] 尚旭哲，王潤(rùn)田，孫穎，等.口令破解與防范技術(shù)研究[J].網(wǎng)絡(luò)空間安全，2020，11（5）：98-103.

[5] 王振輝，王振鐸.Android手機(jī)安全登錄系統(tǒng)[J].計(jì)算機(jī)系統(tǒng)應(yīng)用，2018，27（2）：71-76.

[6] 王夢(mèng)梅，劉浩.基于jQuery Mobile的溫室智能控制系統(tǒng)[J].信息技術(shù)與信息化，2021（6）：222-224.

收稿日期：2022-03-25

基金項(xiàng)目：陜西省教育廳2020年度自然科學(xué)研究項(xiàng)目（SGH18H526），西安思源學(xué)院2020年校級(jí)科研團(tuán)隊(duì)資助

作者簡(jiǎn)介：王振鐸（1974—），男，碩士，副教授，主要研究方向?yàn)槲锫?lián)網(wǎng)技術(shù)、軟件工程等;王振輝（1974—），男，碩士，副教授，主要研究方向?yàn)槲锫?lián)網(wǎng)技術(shù)、軟件工程等。