可信身份识别

可信身份识别（共3篇）

可信身份识别 篇1

摘要：本文提出一种基于集成可信身份识别和访问管理方法的安全可信网络框架, 该框架提供了一种灵活建模和描述数字用户身份的机制, 同时支持基于事务的隐私保护和个人数据获取, 以及灵活的第三方问责机制与端到端的安全交流, 从而完成可信认证。

关键词：可信网络,可信网络框架,可信身份识别,访问管理方法,可信认证

0 引言

可信网络具有表现性、适应性、规模性、实用性等特点, 可信网络的需求是网络级基本的安全服务、隐私性、问责机制、安全通信能力、奖励制度和用户友好, 正是基于这些特点和需求, 设计一个可信网络的基础就是构建一个安全可信的网络框架。

1 可信网络认证系统的框架

在信任管理技术方面, 很多相关理论和技术性问题都没有形成共识, 缺乏系统明确的方法论指导, 还无法完全解决互联网发展过程中对于信任关系准确度量与预测的需求, 大部分模型对于信任值的决定因素考虑的不够全面, 无法很好的描述信任的动态性和不确定性等属性。因此, 研究的目标是把信任管理与可信网络连接有效整合的过程中解决跨域可信度问题, 具体包括域间身份认证和管理, 域内身份识别和控制等方面的问题。

本文提出一种跨管理域的安全可信网络体系架构, 具体体系架构如图1所示。

本文假设有3个管理域需要进行安全可信保护, 分别为管理域A/B/C。其中, 各管理域之间互相通信采用跨域身份认证机制进行安全保障, 而域内数据通信则采用基于链接假名和模糊身份加密机制完成可信认证。

2 跨域身份认证关键技术

(1) 基于信任度的实体属性映射技术:每个管理域都有其自身的权限定义规则, 这样造成用户无法按照其固有属性来进行跨域的权限判定, 必须通过协商定义出一种权限映射机制来实现不同管理域实体的访问权限变化策略。通过用户在其它域中的访问权限按照一种映射规则转换为本域中的访问权限成为一种可行的方法, 这种方法基于管理域之间可信度和相互协商的结果来实现, 重点需要解决以下几个问题:一是各管理域实体、策略的定义和统一描述。二是基于信任度对跨域实体之间的信任度映射机制进行定义, 具有高信任度的实体之间可以尽可能的保留原有实体的控制权限, 否则就必须对原有实体的访问控制策略进行进一步的控制。三是针对大量的管理域以及管理策略, 研究大规模数据下高效的属性映射存储、查询、修改技术, 提供跨域身份认证的准确性和效率。

(2) 可信的跨域互操作技术:互操作是提高跨域身份认证系统部署和应用的关键性指标, 跨域的互操作技术可以集成现有的身份认证机制, 使得用户的身份和权限能够在不同的管理域之间传递。为了实现可信的跨域身份认证互操作功能, 规范了一种可以在不同管理域之间进行身份和鉴别信息交换的协议, 用来屏蔽异构性带来的问题。在该交换协议中重点解决以下几个方面的关键技术:一是对主体身份、属性和权限信息规范描述, 通过该规范性的描述可以明确该实体的认证机构, 认证的有效期, 实体的属性以及该实体在目标机构的权限。二是对跨域身份认证中出现的关于身份认证的请求查询和响应消息进行抽象, 定义出针对不同类型消息的标准格式, 使得不同域之间传递的身份信息可理解。三是通过高可靠的加密传输机制来保证消息传递的机密性、完整性、可靠性和可鉴别性, 保证用户认证信息不被窃听、篡改等。

3 域内可信认证算法

本部分将介绍在域内的相应安全保障机制。如图2描述典型的管理域之内的网络通信示意图模型:图中假设用户拥有的终端设备, 简称为ME (可以是PC或智能手机终端等) 。通过ME, 用户可以安全地登录网络以广播的方式进行通讯, 或撤销网络访问。

3.1 可信通信过程

(1) 通过语义安全加密, 建立连接请求签名

在终端用户准备通信并建立连接请求时, 通过一个语义安全加密机制产生全局惟一的链接请求签名。具体来讲, 本文采用ELGamal加密系统, 在乘法群Zq的一个q阶子群Gq中, 求得一个大素数p=2q+1;本文把素数p, q和Gq的本原g作为系统参数。由此, 通过分布式密钥生成协议产生了一个ElGamal私钥s∈RZq, 因此所有的n个通信参与者共同享有s。因此, 所有的参与者都有解密的能力, 这n个参与者中只有极少数的t个必须执行私钥相关的操作。所有的参与者共享一个公钥, h=g∧s (mod p) , h和系统参数一起都是可用的。在本文的方法中, 用户Ui的基本链接签名为PUi, B最初被作为一个代表性的基本标识符ID的加密。因此, ID∈Gq是通过选择r∈RZq和计算 (g′, h′ID) 的不确定性加密。

接下来, 链接假名可以通过对基本假名的迭代重加密得到 (k∈N指第k个交易, ⊗表示乘法) PUi, k+1=PUi, k⊗grk+1= (gr+rk+1, hr+rk+1ID) 。

(2) 通过PRNGs实现链接签名全局惟一性

为了保障根据上面给出的结构所建立的链接签名具有全局惟一性, 本文采用一个通过本地安全加密的伪随机数发生器 (PRNG) , 对链接签名生的成作进一步的控制。伪随机数发生器 (PRNG) 是一个通过使用信息熵资源产生输出随机数序列的工具, 只有种子的拥有者可以生成随机数链。

(3) 基于Expressive Encryption的匿名接收器通实现端到端安全通信

对于链接签名的接收方, 本文通过密文规则的属性基加密 (CP-ABE) 技术来得到与数字身份的静态特征文件有关的属性和凭证。通过广义的基于位置的加密 (LBE) 来处理动态的与上下文有关的凭证。把这两种方法有效地结合, 本文实现了一种新的表达策略混合加解密技术, 具体如图3所示。

3.2 可信认证算法

在网络中, 用户的访问控制通常需要经历4个步骤, 首先是生成系统参数, 然后系统提取私钥, 其次通过公钥进行加密, 从而获取密文, 最后通过访问控制树, 用户通过私钥进行解密, 从而获取明文。现在对这四个步骤主要完成的功能进行分析:

首先是系统初始化, 通过服务器产生公钥PK以及主密钥MK。

其次是加密步骤, 将服务器端的信息M (通常是一份文件) 通过密钥进行加密, 从而得到密文CT, 同时生成访问控制树r, 并嵌入CT中。该步骤的详细过程分为三步:

(1) 在访问控制树r中, 所有的节点x都通过一个多项式qx进行标示, 该树通过层次顺序进行遍历。

(2) 根节点R随机选取属性s, 使s=q R (0) , 然后选取另外各点, 从而完整定义控制数中的所有节点x的多项式qx。

(3) 通过加密公式将M形成密文。

再次就是提取过程, 由客户端用户将自己的属性集S输入到服务器端, 从而生成得到自己的私钥SK。

最后一步是解密, 也就是利用递归算法, 从r的叶子节点开始, 一直递归到根节点R, 直至计算出s, 然后根据s通过对称加密算法来解密密文。

4 可信认证仿真实验

4.1 实验环境

为了验证本文提出的可信网络框架的技术可行性, 本文在实验室环境下搭建了基于异构无线网络环境的移动数据服务网络平台, 对前述可信认证进行效果验证分析。

如图4所示, 骨干网设备采用Cisco公司的无线Mesh路由器来充当, 选用这款路由器的理由是该路由器具有双频段。由此, 无线Mesh骨干网络可以由无线Mesh路由器来组成, 而同时WLAN的无线接入设备也可由Mesh路由器本身担任。Internet接入端则采用无线Mesh网络通过一台路由器以有线的方式互联。另一方面, 本文还在某些终端设备上分别装上了无线传感器网络 (WSN) sink节点和GPRS网关, 以此来实现网络功能的异构性和多样性。在此实验平台基础上, 通过GPRS网关, 通过手机发送短信指令的方式, 网络用户可以从终端上获取采集到sink节点的传感数据。

在上述实验环境中, 本文将其划分为两个网络域, 分别为网络管理域A和B, 并通过认证服务器和访问管理服务器根据前面描述的域间身份认证和域内身份识别和访问管理技术实现了消息加密及访问链接签名的全局惟一管理和认证, 并实现了Dolev-Yao模型的原型攻击程序, 由此对上述网络的可信度和可靠性进行了相应测试。

4.2 实验结果

测试从成功接收的消息数量以及接收到的消息正确性校验两个方面进行, 测试结果如图5和图6所示。从图中可以看出一共发送了13组数据, 每组数据分别有十条链接签名, 接收端分别对上述数据进行接收, 从两个图示不难看出, 无论是接收的数量和接收到消息的正确性, 都与发送端的数量相吻合, 由此, 可以间接证明本文提出的可信网络框架在安全可靠的层面具有一定效果。

5 结束语

网络不仅关注本身系统和数据的安全, 更要关注系统的内容和行为的可信, 可信网络模型和算法设计作为可信网络研究的重要内容之一。本文针对目前可信网络的特点和需求, 提出通过一种能够进行可信身份识别与访问控制的可信认证框架, 将来的工作在认证可信度方面将会做更细致的研究, 使得本文提出的可信网络框架更具有实用意义。

参考文献

[1]王功明, 关永, 赵春江, 吴华瑞.可信网络框架及研究[J].计算机工程与设计.2007.

[2]王莹.网络隔离技术[J].微计算机应用.2003.

[3]江为强, 陈波.PKI/CA技术综述[J].兵工自动化.2003.

[4]宫新保, 周希朗.一种新型的网络安全技术——人工免疫系统[J].电气电子教学学报.2003.

[5]李小勇, 张少刚.多属性动态信任关系量化模型[J].计算机应用.2008.

[6]高铁杠, 顾巧论, 陈增强.可信网络的可信模型与算法设计研究[J].计算机应用研究.2007.

一种可信身份验证技术 篇2

门禁控制系统正在摆脱传统卡片和读卡器的限制, 迈入可配置凭证卡、非接触式技术的全新领域。在新领域中, 手机及其他设备可携带通过空中下载或互联网接收的“数字密钥”。随着人们移动性的与日俱增, 对身份验证的安全性及可靠性的新需求应运而生, 推动虚拟身份验证取代密钥卡门禁。为了应付无间断连接及完全分布式智能设备的爆炸式增长所带来的挑战, 有必要制定一种基础架构方案来支持不断演变的门禁控制系统应用, 并推动所有相关的新产品开发工作。近距离无线通信 (Near Field Communications, 以下简称NFC) 是有望实现上述目标的技术, 但要确保其安全性, 业界就必须建立一种基于综合监管链的身份验证方法——通过这种方法, 系统或网络中的所有端点都能够得以验证, 从而让各端点之间的身份验证信息在任何时候都能够可靠传输。接下来, 本文将以HID Global最近开发的Trusted Identity Platform (以下简称TIP) 为例对此加以介绍。

2 系统简介

TIP是一种安全可信的网络, 可提供身份验证传输框架, 实现安全产品和服务的交付。它是一种用于创建、交付和管理安全身份验证的综合性框架。简单来说, 该基础架构是一个中央安全库, 通过安全的网络连接, 并以公开的加密密钥管理安全政策为依据, 为已知端点 (如凭证卡、读卡器和打印机) 服务交付。HID Global将其称为“受规限”系统——连接到该系统的所有设备都是已知的, 因而能够可靠安全地交换信息。TIP架构具有充分的可扩展性, 其传输协议和加密模式符合各种标准, 可支持多种应用。TIP系统还可以实现虚拟化及云端基础模式, 因而能够在不影响安全性的情况下通过互联网提供服务交付。

TIP提供一种受保护的身份验证传输网络, 可对网络中的所有端点或节点进行验证, 因而各节点之间的信息传输都是可信的。

TIP模型 (如图1所示) 包含三个核心要素, 即安全库 (Secure Vault) 、安全通信 (Secure Messaging) 方法、密钥管理策略和规范 (Key Management Policy and Practices) 。安全库为已知且可信的端点提供加密密钥安全存储功能, 安全通信方法即使用符合行业标准的对称密钥方法将信息传输至各个端点, 密钥管理策略和规范即设定“安全库”的访问规则以及向各端点分发密钥的规则。

下面就让我们更细致地了解如何建立端点及可靠的信息传输。

只有在实施TIP节点协议后, 端点才会启用, 进而被“安全库”识别并注册为可靠的网络成员。而后, 该端点就可与“安全库”进行通信。

凭证卡、读卡器及打印机等端点按照软件工作流程与“安全库”进行通信, 其访问和处理规则都受到HID Global的“密钥管理策略和规范”的严格管控——只有经认证的设备才能够加入该网络 (与任何计算机都可访问任何网站的互联网不同) , 从而形成了隐性的、严格的身份验证机制。

各端点之间的TIP消息采用符合行业标准的加密方法进行加密, 以便进行符合公开安全政策的安全信息传输。这些TIP信息数据包由两个嵌套的对称密钥进行保护, 其中含有“安全身份验证对象” (Secure Identity Object, 简称SIO) 信息。多个SIO可嵌套到一个TIP信息中, 向各种不同的设备 (如门禁卡、智能手机及计算机) 提供多种指令。如有必要, 每个设备都可具有不同的门禁控制特性。例如, 最简单的SIO就是模拟iCLASS卡上的凭证程序数据。

端点设备与“安全库”之间的验证通过后, 该设备在网络中就被视为是“可信的”。可信设备无需再与安全库进行通信, 可以独立工作。在这种方式下, 各端点 (如凭证卡及读卡器) 之间的信息传输是“可信的”, 而由此产生的信息传输 (例如打开一道门或登录到计算机) 也就被视为是“可信的”。

在近距离无线通信技术的支持下, 应用该技术的手机就可作为TIP端点而受到支持, 因而能够使用不同的SIO进行编程, 进而实现模拟卡片或者更为复杂的应用, 不但可以授权通过门禁系统, 还可实施由其自身进行解释的复杂门禁控制规则。

3 发展现状及前景

云安全中的可信识别技术研究 篇3

看到其中蕴含的巨大商机和潜力, 一些知名的IT企业相继推出自己的云服务。典型Saa S如:Google的APP Engine、Microsoft的Live Meeting、Office Live;典型的Paas如:Google Code、Facebook developers以及Saleforce提供的force.com;典型的Iaa S如:IBM的“兰云”, Microsoft的Azure、Amazon的EC2/S3/SQS等等, 而且一些新的应用还在不断的推出。但在这云应用繁荣的背后, 隐藏大量以风险。以前的风险依然存在, 在新的环境中还可能造成更大的危害。新出现的风险表现在:1) 传统的安全域的划分无效, 无法清楚界定保护边界及保护设备和用户;2) 用户的数量和分类不同, 变化频率高, 动态特性和移动特性强;3) 数据、服务, 通信网络被服务商所控制, 如何确保服务的可用性, 机密性等, 使用户相关利益得到保护。

可信云是可信技术在云计算中的扩展, 相关技术即可信云安全技术。本文对可信云环境中三种关键的安全技术即:可信识别技术、可信融合验证技术做了一些研究。这两种安全技术不仅把设备作为可信计算根, 更把设备使用人作为可信计算的根, 以信任根计算为计算手段, 达到可信跟计算认证目的。可信识别技术将识别技术和识别行为密钥技术的相结合, 将识别行为产生的密钥编码和设定的行为密钥进行来进行判别, 克服误识率和拒识率的矛盾, 增强防范身份假冒, 身份伪造能力;可信密码学技术是对由可信根生成的可信点集矩阵进行基于拓扑群分形变换操作。可信密码学的密钥和算法都是随机可信的生物特征信息, 因此密钥和算法凭都具有可验证性。采用可信模式识别技术和可信密码学技术, 结合“零知识”, 身份无法伪造, 一旦应答, 双方均不能否认。

1 可信识别技术

传统的模式识别技术是指对用户的生物特征进行测量, 和预留的模板数据进行比较, 依据匹配结果进行识别。这些生物特征包括指纹、声音, 人脸、视网膜、掌纹、骨架、气味乃至于签名笔迹、图章印痕等等。传统的识别技术具有“拒识率”和“误识率”的缺陷, 具体说就是:匹配阀值增大, 拒识率升高, “误认率”下降;匹配阀值减小, 拒识率降低, “误认率”升高。生物特征采样点的数量有限, 容易引起误判。在云计算环境中, 其固有的虚拟性特征以及透明性不足, 使身份认证, 可信登录更是面临着比传统计算环境更大的风险。

可信识别技术是传统识别技术和识别行为密钥技术的结合。识别行为或自然形成或人为设定, 如人为设定的2次人脸对比规则是先张嘴、后闭嘴, 指纹对比规则是先拇指、后食指等。将识别行为编排成组, 为每组识别行为秘密设定一个数, 该数是该组累积成功识别次数。可信识别失败并不是以一两次失败就断定此次识别失败, 而是把失败的次数记录下来, 直到超过预先设定的阀值才断定识别失败。可信识别成功也不是依靠一两次成功就断定识别成功, 而是累计该组的成功识别次数, 直到等于该组秘密设定的成功次数为止, 才断定本组识别成功。而非法用户不能猜出识别的组数以及每组识别的次数, 因此不能假冒合法用户。只有指定的每组识别都达到要求。才能最终判别是真正的合法用户。

传统的识别行为中特征信息的阀值起着关键作用, 阀值给定, 拒识率和误视率是存在难以克服的矛盾。可信的识别行为密钥, 并不取决于个别识别行为“误识率”的高低, 而取决于客户设置的有效识别行为密钥编码。

可信识别的技术优势:可信识别模式在传统的模式识别的基础上, 结合组间识别行为特征, 非识别数, 编组识别设定数, 各组识别行为总数等措施, 从而具有一下优势:1) 可以设置可信识别策略设计;2) 具有区别错误拒识设置;3) 具有区别误识和仿冒设置;4) 具有统计结论模式。从而弥补了传统识别就“拒识率”和“误识率”的技术缺陷。

2 可信验证

可信融合验证技术采用可信模式识别技术和可信密码学技术, 结合“云端零知识证明”, 实现可信云端“零知识”认证, PKI等功能。

本文对云计算的一些关键安全技术作了一些探讨。可信云计算的识别技术是以可信的特征信息和识别行为相结合, 通过判断对各组识别行为识别的成功数, 克服识别模式中的拒识率和误识率的技术缺陷。可信融合验证技术是利用可信识别技术和可信加密/解密技术。实现双方“零知识”。具备身份无法伪造, 保密性高, 具有不否认性的特点。这些可信云安全技术的进一步研究以及随之而来的应用的展开。一定可以缓解客户对云计算的忧虑, 催进云计算这种新的计算模式的发展。

摘要：针对云计算固有的虚拟性和透明性不足导致的认证困难, 在本文, 作者将可信特征信息和关键的云安全技术相融合构造可信的云安全技术。这其中, 可信识别技术将识别技术和识别行为密钥相结合, 克服识别技术中存在的误识率和拒识率的固有矛盾。可信融合验证将可信识别技术和可信密码学技术相融合, 身份无法伪造, 一旦应答, 双方均不能否认。

关键词：云计算,可信认证,安全

参考文献

[1]Weichao Wang, Zhiwei Li, Rodney Owens.Secure and Effcient Access to Outsourced Data.CCSW'09:Proceedings of the2009 ACM workshop on Cloud computing security, pages 55-65.November 2009.

[2]Cloud Security Alliance.Security guidance for critical areas of focus in cloud computing.http://www.cloudsecurityalliance.org/, April 2009.