[科普中國(guó)]-身份確認(rèn)

產(chǎn)生原因

計(jì)算機(jī)網(wǎng)絡(luò)世界中一切信息包括用戶(hù)的身份信息都是用一組特定的數(shù)據(jù)來(lái)表示的，計(jì)算機(jī)只能識(shí)別用戶(hù)的數(shù)字身份，所有對(duì)用戶(hù)的授權(quán)也是針對(duì)用戶(hù)數(shù)字身份的授權(quán)。

如何保證以數(shù)字身份進(jìn)行操作的操作者就是這個(gè)數(shù)字身份合法擁有者，也就是說(shuō)保證操作者的物理身份與數(shù)字身份相對(duì)應(yīng)，身份認(rèn)證就是為了解決這個(gè)問(wèn)題，作為防護(hù)網(wǎng)絡(luò)資產(chǎn)的第一道關(guān)口，身份認(rèn)證有著舉足輕重的作用。

認(rèn)證方法在真實(shí)世界，對(duì)用戶(hù)的身份認(rèn)證基本方法可以分為這三種：1

(1) 根據(jù)你所知道的信息來(lái)證明你的身份(what you know ，你知道什么 ) ；

(2) 根據(jù)你所擁有的東西來(lái)證明你的身份(what you have ，你有什么 ) ；

(3) 直接根據(jù)獨(dú)一無(wú)二的身體特征來(lái)證明你的身份(who you are ，你是誰(shuí) ) ，比如指紋、面貌等。

在網(wǎng)絡(luò)世界中手段與真實(shí)世界中一致，為了達(dá)到更高的身份認(rèn)證安全性，某些場(chǎng)景會(huì)將上面3種挑選2種混合使用，即所謂的雙因素認(rèn)證。

以下羅列幾種常見(jiàn)的認(rèn)證形式：

認(rèn)證工具EID是互聯(lián)網(wǎng)身份認(rèn)證的工具之一，也是未來(lái)互聯(lián)網(wǎng)基礎(chǔ)設(shè)施的基本構(gòu)成之一。EID即是俗稱(chēng)的網(wǎng)絡(luò)身份證，互聯(lián)網(wǎng)絡(luò)信息世界中標(biāo)識(shí)用戶(hù)身份的工具，用于在網(wǎng)絡(luò)通訊中識(shí)別通訊各方的身份及表明我們的身份或某種資格。2

靜態(tài)密碼用戶(hù)的密碼是由用戶(hù)自己設(shè)定的。在網(wǎng)絡(luò)登錄時(shí)輸入正確的密碼，計(jì)算機(jī)就認(rèn)為操作者就是合法用戶(hù)。實(shí)際上，由于許多用戶(hù)為了防止忘記密碼，經(jīng)常采用諸如生日、電話號(hào)碼等容易被猜測(cè)的字符串作為密碼，或者把密碼抄在紙上放在一個(gè)自認(rèn)為安全的地方，這樣很容易造成密碼泄漏。如果密碼是靜態(tài)的數(shù)據(jù)，在驗(yàn)證過(guò)程中 需要在計(jì)算機(jī)內(nèi)存中和傳輸過(guò)程可能會(huì)被木馬程序或網(wǎng)絡(luò)中截獲。因此，靜態(tài)密碼機(jī)制無(wú)論是使用還是部署都非常簡(jiǎn)單，但從安全性上講，用戶(hù)名/密碼方式一種是不安全的身份認(rèn)證方式。 它利用what you know方法。

智能卡一種內(nèi)置集成電路的芯片，芯片中存有與用戶(hù)身份相關(guān)的數(shù)據(jù)，智能卡由專(zhuān)門(mén)的廠商通過(guò)專(zhuān)門(mén)的設(shè)備生產(chǎn)，是不可復(fù)制的硬件。智能卡由合法用戶(hù)隨身攜帶，登錄時(shí)必須將智能卡插入專(zhuān)用的讀卡器讀取其中的信息，以驗(yàn)證用戶(hù)的身份。

智能卡認(rèn)證是通過(guò)智能卡硬件不可復(fù)制來(lái)保證用戶(hù)身份不會(huì)被仿冒。然而由于每次從智能卡中讀取的數(shù)據(jù)是靜態(tài)的，通過(guò)內(nèi)存掃描或網(wǎng)絡(luò)監(jiān)聽(tīng)等技術(shù)還是很容易截取到用戶(hù)的身份驗(yàn)證信息，因此還是存在安全隱患。它利用what you have方法。

短信密碼短信密碼以手機(jī)短信形式請(qǐng)求包含6位隨機(jī)數(shù)的動(dòng)態(tài)密碼，身份認(rèn)證系統(tǒng)以短信形式發(fā)送隨機(jī)的6位密碼到客戶(hù)的手機(jī)上?？蛻?hù)在登錄或者交易認(rèn)證時(shí)候輸入此動(dòng)態(tài)密碼，從而確保系統(tǒng)身份認(rèn)證的安全性。它利用what you have方法。

具有以下優(yōu)點(diǎn)：

短信密碼

（1）安全性

由于手機(jī)與客戶(hù)綁定比較緊密，短信密碼生成與使用場(chǎng)景是物理隔絕的，因此密碼在通路上被截取幾率降至最低。

（2）普及性

只要會(huì)接收短信即可使用，大大降低短信密碼技術(shù)的使用門(mén)檻，學(xué)習(xí)成本幾乎為0，所以在市場(chǎng)接受度上面不會(huì)存在阻力。

（3）易收費(fèi)

由于移動(dòng)互聯(lián)網(wǎng)用戶(hù)天然養(yǎng)成了付費(fèi)的習(xí)慣，這和PC時(shí)代互聯(lián)網(wǎng)截然不同的理念，而且收費(fèi)通道非常的發(fā)達(dá)，如果是網(wǎng)銀、第三方支付、電子商務(wù)可將短信密碼作為一項(xiàng)增值業(yè)務(wù)，每月通過(guò)SP收費(fèi)不會(huì)有阻力，因此也可增加收益。

（4）易維護(hù) 由于短信網(wǎng)關(guān)技術(shù)非常成熟，大大降低短信密碼系統(tǒng)上馬的復(fù)雜度和風(fēng)險(xiǎn)，短信密碼業(yè)務(wù)后期客服成本低，穩(wěn)定的系統(tǒng)在提升安全同時(shí)也營(yíng)造良好的口碑效應(yīng)，這也是銀行也大量采納這項(xiàng)技術(shù)很重要的原因。

本質(zhì)上這也是一種what you have的方式。（you have the phone）

動(dòng)態(tài)口令目前最為安全的身份認(rèn)證方式，也利用what you have方法，也是一種動(dòng)態(tài)密碼。

動(dòng)態(tài)口令牌是客戶(hù)手持用來(lái)生成動(dòng)態(tài)密碼的終端，主流的是基于時(shí)間同步方式的，每60秒變換一次動(dòng)態(tài)口令，口令一次有效，它產(chǎn)生6位動(dòng)態(tài)數(shù)字進(jìn)行一次一密的方式認(rèn)證。

但是由于基于時(shí)間同步方式的動(dòng)態(tài)口令牌存在60秒的時(shí)間窗口，導(dǎo)致該密碼在這60秒內(nèi)存在風(fēng)險(xiǎn)，現(xiàn)在已有基于事件同步的，雙向認(rèn)證的動(dòng)態(tài)口令牌。基于事件同步的動(dòng)態(tài)口令，是以用戶(hù)動(dòng)作觸發(fā)的同步原則，真正做到了一次一密，并且由于是雙向認(rèn)證，即：服務(wù)器驗(yàn)證客戶(hù)端，并且客戶(hù)端也需要驗(yàn)證服務(wù)器，從而達(dá)到了徹底杜絕木馬網(wǎng)站的目的。

由于它使用起來(lái)非常便捷，85%以上的世界500強(qiáng)企業(yè)運(yùn)用它保護(hù)登錄安全，廣泛應(yīng)用在VPN、網(wǎng)上銀行、電子政務(wù)、電子商務(wù)等領(lǐng)域。

動(dòng)態(tài)口令是應(yīng)用最廣的一種身份識(shí)別方式，一般是長(zhǎng)度為5~8的字符串，由數(shù)字、字母、特殊字符、控制字符等組成。用戶(hù)名和口令的方法幾十年來(lái)一直用于提供所屬權(quán)和準(zhǔn)安全的認(rèn)證來(lái)對(duì)服務(wù)器提供一定程度的保護(hù)。當(dāng)你每天訪問(wèn)自己的電子郵件服務(wù)器、服務(wù)器要采用用戶(hù)名與動(dòng)態(tài)口令對(duì)用戶(hù)進(jìn)行認(rèn)證的，一般還要提供動(dòng)態(tài)口令更改工具。系統(tǒng)（尤其是互聯(lián)網(wǎng)上新興的系統(tǒng)）通常還提供用戶(hù)提醒工具以防忘記口令。

USB KEY基于USB Key的身份認(rèn)證方式是近幾年發(fā)展起來(lái)的一種方便、安全的身份認(rèn)證技術(shù)。它采用軟硬件相結(jié)合、一次一密的強(qiáng)雙因子認(rèn)證模式，很好地解決了安全性與易用性之間的矛盾。USB Key是一種USB接口的硬件設(shè)備，它內(nèi)置單片機(jī)或智能卡芯片，可以存儲(chǔ)用戶(hù)的密鑰或數(shù)字證書(shū)，利用USBKey內(nèi)置的密碼算法實(shí)現(xiàn)對(duì)用戶(hù)身份的認(rèn)證?；赨SB Key身份認(rèn)證系統(tǒng)主要有兩種應(yīng)用模式：一是基于沖擊/響應(yīng)(挑戰(zhàn)/應(yīng)答)的認(rèn)證模式，二是基于PKI體系的認(rèn)證模式，運(yùn)用在電子政務(wù)、網(wǎng)上銀行。

生物識(shí)別運(yùn)用who you are方法， 通過(guò)可測(cè)量的身體或行為等生物特征進(jìn)行身份認(rèn)證的一種技術(shù)。生物特征是指唯一的可以測(cè)量或可自動(dòng)識(shí)別和驗(yàn)證的生理特征或行為方式。生物特征分為身體特征和行為特征兩類(lèi)。身體特征包括：指紋、掌型、視網(wǎng)膜、虹膜、人體氣味、臉型、手的血管和DNA等；行為特征包括：簽名、語(yǔ)音、行走步態(tài)等。部分學(xué)者將視網(wǎng)膜識(shí)別、虹膜識(shí)別和指紋識(shí)別等歸為高級(jí)生物識(shí)別技術(shù)；將掌型識(shí)別、臉型識(shí)別、語(yǔ)音識(shí)別和簽名識(shí)別等歸為次級(jí)生物識(shí)別技術(shù)；將血管紋理識(shí)別、人體氣味識(shí)別、 DNA識(shí)別等歸為“深?yuàn)W的”生物識(shí)別技術(shù)，指紋識(shí)別技術(shù)應(yīng)用廣泛的領(lǐng)域有門(mén)禁系統(tǒng)、微型支付等。

雙因素所謂雙因素就是將兩種認(rèn)證方法結(jié)合起來(lái)，進(jìn)一步加強(qiáng)認(rèn)證的安全性，目前使用最為廣泛的雙因素有：

動(dòng)態(tài)口令牌+ 靜態(tài)密碼

USB KEY + 靜態(tài)密碼

二層靜態(tài)密碼等等。[1]

認(rèn)證流程圖

Infogo網(wǎng)絡(luò)安全準(zhǔn)入設(shè)備制造商，聯(lián)合國(guó)內(nèi)專(zhuān)業(yè)網(wǎng)絡(luò)安全準(zhǔn)入實(shí)驗(yàn)室，推出安全身份認(rèn)統(tǒng)。

虹膜認(rèn)證是與現(xiàn)有的大量指紋鑒別產(chǎn)品的相比,在可靠性、安全性（指紋易仿造）、穩(wěn)定精度等方面，虹膜鑒別仍具有巨大的優(yōu)勢(shì)。在巨大的生物識(shí)別產(chǎn)品市場(chǎng)，虹膜識(shí)別特別具有優(yōu)勢(shì)地位。指紋識(shí)別的接觸式取像雖然更為直接。但是這本身也是個(gè)缺點(diǎn)：接觸式取像污染接觸面，影響可靠性；手指污染還可能引起法律糾紛，香港曾出現(xiàn)過(guò)索賠事件；此外，取像設(shè)備不能做得比拇指更??；提取單個(gè)手指圖像時(shí)影響可靠性，提取多個(gè)指紋圖像則影響實(shí)用性；較易制作假指紋、可進(jìn)行手術(shù)移植、接觸面上的指紋印痕易被他人竊取作假。由此可以看出，虹膜識(shí)別具有全方位的優(yōu)勢(shì)，在人體生物特征識(shí)別市場(chǎng)中細(xì)分的市場(chǎng)中將成為主流產(chǎn)品。

身份認(rèn)證的云方面被盜用的證書(shū)在使用時(shí)就會(huì)成為問(wèn)題。如果有人通過(guò)同事共享了云身份認(rèn)證證書(shū)，而且那個(gè)人離開(kāi)了公司，而且永遠(yuǎn)不會(huì)使用證書(shū)，企業(yè)可能就不會(huì)發(fā)現(xiàn)其被曝光。檢測(cè)被盜用的證書(shū)的第一個(gè)機(jī)會(huì)也許就是其被使用的時(shí)候。關(guān)于試圖登錄的元數(shù)據(jù)——比如客戶(hù)端設(shè)備IP地址的地理位置或者客戶(hù)端設(shè)備的類(lèi)型——可能表明一個(gè)潛在的問(wèn)題。比如，如果證書(shū)所有人通常在辦公室工作，突然嘗試在其他地方的不同部分登錄，可能就顯示了被盜用的證書(shū)——或者簡(jiǎn)單的就是代表了這個(gè)人在出差。