摘 要： 將PKI技術和生物認證相結合，提出了基于生物證書的身份認證和權限管理的生物認證系統，相對原來單一基于PKI的認證系統具有更高安全性。
    關鍵詞： PKI； PMI； 生物認證；生物證書

    隨著國家電力信息網的建設，電力工業中網絡應用的數量不斷增加，信息技術給電力工業發展帶來了諸多便利的同時，也將其負面影響波及到了電力系統。隨著計算機、網絡等技術的蓬勃發展，信息技術的軟件和硬件環境均發生了巨大的變化，電力工業的信息安全已成為影響電力系統穩定運行的主要問題。公網上的黑客和病毒的日益盛行，在電力系統通信網絡中也發現了黑客活動的蹤跡。與此同時，電力工業市場化改革使得具備潛在攻擊能力和知識的內部用戶數量增加，內部攻擊威脅不容忽視。因此，電力工業的信息安全已成為影響電力系統穩定運行的重要問題。
    電力工業信息安全包括電網調度自動化、配電網自動化、廠站自動化、電力市場運營、企業管理信息系統等有關生產、經營、管理的各個方面。研究范圍包括信息網絡安全體現結構、安全需求與策略分析、基礎支持系統的時間與應用、信息系統與業務系統的安全保障措施、系統的安全評估和容侵能力等多個方面^[1]。
　　本文結合生物認證系統，對用戶訪問電力信息系統的身份認證和訪問控制提出了基于公鑰基礎設施的訪問安全解決方案。
1  訪問安全技術分析
1.1  PKI
    對于傳統的電力企業應用系統，認證和授權功能都嵌在應用(提供特定功能的程序集合)的內部，增加了應用的復雜性。對于用戶來說，需要設定多個用戶名和口令，因此，在使用中很容易混淆。而對于管理者而言，需要多個管理者來管理用戶名/口令列表和接入控制列表，增加了管理的費用，并且各個管理者各自為政，很難使用通用的安全策略。
    公共密鑰基礎設施PKI(Public Key Infrastructure)可以部分地解決以上的問題。PKI是一種運用非對稱密碼技術實施并提供安全服務的具有普遍適用性的網絡安全基礎設施。作為一種基礎安全平臺，PKI能為各種不同安全需求的用戶提供各種不同的安全服務。目前PKI可以提供的安全服務包括：身份認證、數據保密性、數據完整性、不可抵賴性等。用戶可以利用PKI所提供的這些安全服務，進行安全電子交易、電子政務等服務。PKI可以提供認證、完整性和機密性等核心服務，還可支撐安全通信、安全時間戳、公正、不可否認等服務。這時認證功能放到了應用的外部，但是授權功能(即接入控制列表的管理)仍然需要嵌入到應用中。此時的用戶從設定和記憶多個用戶名、多個口令中解放出來，用戶只需設定、記憶單個用戶名和單個口令^[2]。
1.2  生物認證技術
　　生物特征認證是指通過驗證人的生理或行為特征來確認身份，一般應該滿足以下4點要求：
　　(1)普遍性：每個人都應該擁有該特征。
　　(2)唯一性：兩個人之間不存在相同的該特征。
　　(3)穩定性：這種特征至少在一段時間內是不變的。
　　(4)可采集性：該特征可以定量采集。
　　在實際應用中，很難找到能夠同時滿足以上所有條件的生物特征。同時，對于一個實際應用系統，還要考慮一些其他指標，例如：
　　(1)性能：包括識別準確率，識別速度，系統魯棒性，系統所需資源和影響系統性能的因素等。
　　(2)可接受性：指用戶對系統的接受度。
　　(3)可欺騙性：用欺詐的方法騙過系統的難易度。
　　因此，一個實際的生物特征識別系統應做到以下3點：
　　(1)在合理的資源需求下實現可接受的識別準確度和速度。
　　(2)對人沒有傷害而且可為人們所接受。
　　(3)對各種欺詐方法有足夠的防御性。
　　目前人們研究和使用的生物特征識別技術主要有：指紋識別、人臉識別、虹膜識別、掌形識別、掌紋識別、簽名識別、語音識別、鍵擊識別等。
2 生物特征認證技術
2.1 生物認證系統基本框架
　　身份認證驗證者根據用戶的生物特征數據、生物證書BC、生物算法證書BAC、生物設備證書BDC和系統的環境、策略設置等對用戶進行身份認證。基于生物證書的生物認證系統框架如圖1所示。

　　身份驗證者(IDV)是對用戶進行身份驗證的部分。IDV根據采集的用戶生物數據及其生物證書，結合生物算法證書、系統環境變量和策略設置等對用戶進行身份認證。系統環境變量和測試對于身份認證系統十分重要。認證系統的安全級別可以由系統直接設置也可以由擴展定義后屬性證書提供。系統的生物識別算法可以由系統直接設定也可以根據生物算法證書確定。同時，生物認證系統內的各種相關設備必須保證其安全性。基于組件的生物認證系統，最大的優點就是能夠將各個組件靈活地結合運用起來，實現滿足客戶不同需求的應用系統^[3]。
2.2  結合PKI技術的生物認證機制
　　基于生物認證系統基本認證模型，將生物識別技術和PKI技術融合，創建了一種新的生物認證系統。根據認證系統進行生物比對匹配的位置不同，設計了2種不同的實現方法。
　　客戶端進行生物比對匹配的認證系統的工作流程如圖2所示，具體步驟如下：

　　(1)用戶通過客戶端向應用服務器申請服務。
　　(2)客戶端和服務端設備互相發送生物設備證書，驗證對方的生物認證設備是否合法。如果互認證成功，則進行下一步操作。
　　(3)用戶和服務端協商生物認證機制和模型等參數。
　　(4)用戶輸入公鑰證書PKC和生物證書BC，如果系統需要，還將輸入生物算法證書BAC。
　　(5)驗證公鑰證書和生物證書(及生物算法證書)的有效性，并解析生物證書(生物算法證書)。如果發現證書被篡改，則直接跳到步驟8。
　　(6)用戶通過生物數據采集設備輸入個人生物信息。
　　(7)客戶端設備根據系統設置或者從生物算法證書中解析出的認證策略和參數，將用戶生物特征和從BC中解析出的生物特征模板進行比對。如果比對失敗，則認為用戶是冒充者。
　　(8)使用用戶的私鑰對生物認證的結果進行數字簽名。生物認證的結果可以用處理代碼表示，如公鑰證書被篡改可以用“PKC-Alteration”表示、公鑰證書過期可以用“PKC-Outdate”表示、生物證書被篡改可以用“BC-Alteration”表示、生物算法證書被篡改可以用“BAC-Alteration”表示、身份認證失敗發現冒充可以用“Identity-Impersonating”表示、身份認證成功可以用“Identity-Success”表示等等。
　　(9)將簽名后的認證結果發送給服務端。
　　(10)應用服務器使用用戶的公鑰對認證結果進行驗證。
　　(11)應用服務器根據認證結果，通知客戶端用戶，身份認證完成。
　　在客戶端有能力進行生物認證比對時，服務端不具備生物比對功能或者不適合進行生物比對。在信任客戶端的前提下，客戶端進行生物比對無疑成為生物認證系統一個很好的選擇。該機制在客戶端直接比對完成后通知服務端認證結果，攻擊者可能利用該環節的脆弱性進行攻擊，冒充真實用戶申請服務端服務。因此，在客戶端比對時，必須保證客戶端的可靠性。比如從物理環境上，保證客戶端處于一個絕對安全的環境中，防止攻擊者在客戶端破壞系統，冒充真實用戶申請服務端服務^[4]。
　　在服務端進行生物比對匹配認證系統的工作流程如圖3所示。

　　(1)用戶通過客戶端向應用服務器申請服務。
　　(2)客戶端和服務端設備互相發送生物設備證書，驗證對方的生物認證設備是否合法。如果互認證成功，則進行下一步操作。
　　(3)用戶和服務端協商生物認證機制和模型等參數。
　　(4)用戶輸入其公鑰證書PKC。
　　(5)用戶通過生物數據采集設備輸入個人生物信息。
　　(6)使用用戶的私鑰對生物數據進行加密和數字簽名。
　　(7)將加密簽名后的生物數據發送給應用服務器。
　　(8)驗證用戶PKC的有效性和簽名后的生物數據是否被篡改，如果發現篡改，直接跳到步驟11。
　　(9)根據PKC的序列號調出相對應用戶的生物證書，并解析用戶生物特征模板。如果系統是生物算法證書，同時調出對應生物算法證書并解析出認證相關參數。
　　(10)應用服務器根據系統設置或者從生物算法證書中解析出認證策略和參數，將用戶生物特征和從BC中解析出的生物特征模板進行比對。如果比對失敗，則認為用戶是冒充者。
　　(11)將認證結果發送給客戶端用戶。
　　在服務端進行生物比對的認證機制，避免了攻擊者利用客戶端直接輸出認證結果，對服務端進行攻擊，而且客戶端簡化了操作，降低了客戶端的復雜度，相對于在客戶端進行比對的認證機制，系統實施更簡單、成本更低廉。
  　　將生物識別技術和PKI技術相結合，實現生物認證系統組件之間的安全通信了。生物認證系統利用PKI技術實現組件間的相互認證，建立了安全通信管道，防止黑客竊聽，保證了系統的整體安全性，提高了系統的可接受度。

參考文獻
[1] 段斌．基于PKI/PMI的變電站自動化系統訪問安全管理[J].電力系統自動化，2005，23．
[2] 馮登國．PKI技術及其發展現狀[J]．計算機安全，2001(1)：46-51．
[3] 田捷，楊鑫．生物特征識別技術理論與運用[J]．北京：電子工業出版社，2005．
[4] WAYMAN J L．Fundamentals of biometric authentication technologies [J].Int.J.Image Graph，2001，1(1)：93-113．
[5] SANDHU R，COYNE E J，FEINSTEIN H L．Role-based access control models[J]．IEEE Computer，1996，29(2)：38-46．