电子商务安全.ppt

《电子商务安全.ppt》由会员分享，可在线阅读，更多相关《电子商务安全.ppt（32页珍藏版）》请在优知文库上搜索。

1、第第4 4课课 身份认证与访问控制身份认证与访问控制n教学目的F掌握几种识别法的概念与原理F熟悉访问控制的概念与原理 n学习方法F注意阅读相关身份认证和访问控制技术的资料和书籍F熟悉几种识别法的概念和原理，包括口令识别、签名识别、指纹识别和语音识别等身份认证技术的原理及应用F了解访问控制的概念和措施，以及自主访问控制和强制访问控制的实施特点n学习内容F身份认证的常用识别法F访问控制第第1 1节节 身份认证的常用识别方法身份认证的常用识别方法 电子商务的安全主要体现在交易的有效性和可执行性、交易机制的可靠 性、交易过程中信息的完整性和保密性。实现电子商务的关键是要保证商务 活动过程中系统的安全性

2、，即应保证在向基于Internet的电子交易转变的过 程中与传统交易的方式一样安全可靠，其中很重要的一条就是确认交易双方 的身份。 本节将从口令和个人特征的角度，论述依据个 人记忆、个人持有物、个人物理特征和个人随意行 为对用户进行安全识别的理论和应用。第第1 1节节 身份认证的常用识别方法身份认证的常用识别方法n含 义 身份认证的本质是被认证方有一些信息，除了被认证方自己外，任何第三 方不能伪造，认证方确认被认证方确实拥有这些信息，被认证方的的身份就得 到了确认。n因 素1.用户所知道的东西，如口令；2.用户所拥有的东西，如智能卡，门卡钥匙；3.用户所具有的生物特征，如指纹、声音、视网膜等；

3、n分 类1.单 因 子：只通过一种因素2.双因子或多因子：综合了其中的两个或多个因素第第1 1节节 身份认证的常用识别方法身份认证的常用识别方法一、基于口令认证 不安全口令的分析：口令分析用户名（账号）用户名作为口令，便于记忆，安全上不堪一击。用户名（账号）的变换形式将用户名颠倒或者加前后缀作为口令，便于记忆，防止初级软件的破解。自己或者亲友的生日理论上很难破解。经过仔细分析，有破解的可能。学号、身份证、单位内的员工号码对于不了解用户情况的攻击者不易破解。常用的英文单词比前几种方法安全，收集常用的字典库，有破解可能。第第1 1节节 身份认证的常用识别方法身份认证的常用识别方法一、基于口令认证

4、一次性口令： 含 义： 在登录过程中加入不确定因素，使每次登录过程中传送的信息都不 相同，以提高登录过程安全性。 特 点： (1)概念简单，易于使用； (2)算法安全； (3)不需以明文存储诸如密钥、口令等敏感信息； 原 理： 一次性口令是基于客户/服务器模式的，它的操作涉及两方，一方是用 户端，一方是服务器。用户端必须在一次登录时生成正确的一次性口令；服 务器端对一次性口令进行验证。一次性口令的生成和验证都是基于公开单向 函数。第第1 1节节 身份认证的常用识别方法身份认证的常用识别方法一、基于口令认证 一次性口令： 协 议： (1)用户输入登录名和相关身份信息ID； (2)如果系统接受用户

5、的访问，则给用户传送一次性口令建立所使用的单向函 数f和用户访问系统的次数n； (3)用户选择“种子”x，计算第一次访问系统的口令fn(x)， fn(x)发送给系统； (4)系统保存(ID, fn(x)； (5)用户第2次访问系统，计算fn-1(x) ，(ID, fn-1(x)发送给系统，系统计算 f(fn-1(x)，将其与存储的数据对照，若一致，接受访问，存储(ID, fn-1(x)； (6)用户第3次访问系统，计算fn-2(x)， (ID, fn-2(x)发送给系统，系统计算 f(fn-2(x)，将其与存储的数据对照，若一致，接受访问，存储新结果；第第1 1节节 身份认证的常用识别方法身份

6、认证的常用识别方法二、基于签名认证 简 介： 传统的签名认证方法是对字体进行鉴别，也就是当签名写好后，把它交 给专家们识别。因为我们经常要进行签名，所以已使之成为一种反射性的动 作了，可以把它作为一种人的物理特征。要模仿他人签名是相当困难的，而 要把签名在正常速度下书写出来就更困难了。 用机器识别签名上，也就是说，要使机器能识别出被认证的签名是什么 字，而且要能根据字体识别出书写他的人。 作为使用签名进行身份认证的拥护，首先要向系统提供一定数量的签 名，系统经过分析，记录他们各自的特征。要求多个签名是为了能对用户的 签名进行多次全面地分析，从而找出能反映用户签名特点的参数。第第1 1节节 身份

7、认证的常用识别方法身份认证的常用识别方法二、基于签名认证 识别方式： (1)根据最后的签名进行识别； (2)根据签名的书写过程进行识别； 识别参数： 签名的大小比例、笔划的角度、动态书写过程、书写节奏等。 记录书写过程的技术： (1)绘图仪：使用一个杠杆控制系统记录笔尖的运动，运动过程被转化为数 字，通过通信线路送入计算机。 (2)绘图笔：在电动绘图仪的基础上配有两个加速计和压力测量计，前者记 录水平和垂直两个方向上的加速运动过程，后者测量绘图笔对 纸的压力。 (3)书写器：设计上更便于书写。第第1 1节节 身份认证的常用识别方法身份认证的常用识别方法三、基于指纹认证 简 介： 人们手掌及手指

8、、脚、脚趾内侧表面的皮肤凸凹不平产生的纹路形成各 种各样的图案。包括指纹在内的这些皮肤的纹路在图案、断点和交叉点上各 不相同，也就是说，是唯一的。依靠这种唯一性，就可以把一个人同他的指 纹对应起来，通过比较他的指纹和预先保存的指纹进行比较，就可以验证他 的真实身份。这种依赖人的身体特征来进行身份验证的技术成为生物识别技 术，指纹识别是生物识别技术的一种。 指纹识别技术的发展得益于现代电子集成制造技术和快速可靠的算法研 究。尽管指纹只是人体皮肤的一小部分，但是用于识别的数据量很大，对这 些数据进行比较需要使用大量运算的模糊匹配算法。现代电子集成制造技术 时的刻意制造相当小的指纹图像读取设备，同时

9、飞速发展的个人计算机运算 速度提供了在微机甚至单片机上可以进行两个指纹的对比运算的可能。另 外，匹配算法可靠性不断提高，指纹识别技术已非常成熟。第第1 1节节 身份认证的常用识别方法身份认证的常用识别方法三、基于指纹认证 原 理： 指纹识别技术主要涉及指纹图像采集、指纹图像处理、特征提取、保存 数据、特征值的比对和匹配等过程。通过取像设备读取指纹图像，然后用计 算机识别软件提取指纹的特征数据，最后通过匹配识别算法得到识别结果， 以确定指纹所有人身份的生物特征的识别技术。第第1 1节节 身份认证的常用识别方法身份认证的常用识别方法三、基于指纹认证 指纹取像的技术和特点： 指纹取像主要有三种技术：

10、光学全反射技术、晶体传感器技术和超声 波扫描技术。比较项目光学全反射晶体传感器超声波扫描体积大小中耐用性非常耐用容易损坏一般成像能力干手指差，但汗多的和稍胀的手指成像模糊干手指好，但汗多的和稍胀的手指不能成像非常好耗电较多较少很多成本低低很高第第1 1节节 身份认证的常用识别方法身份认证的常用识别方法三、基于指纹认证 优 点： (1)高稳定性。指纹是伴随人一生的最稳定的生物特征之一，指纹的文献类 型、结构、统计特征的总体分布始终没有明显的变化。 (2)唯一性。指纹本身非常复杂，任何两人指纹相同概率小于十亿分之一。 (3)易采集性。扫描指纹和识别指纹的速度非常快。 (4)难伪造、难破译性。识别指

11、纹时必须将真正的收支与指纹采集头接触， 伪造、假冒、供给、破译指纹的难度很大。 缺 点： (1)某些群体的指纹特征很少，难成像。 (2)某些人害怕“将指纹记录在案”。 (3)指纹采集头上留下的指纹印记可能被他人复制。第第1 1节节 身份认证的常用识别方法身份认证的常用识别方法三、基于指纹认证 可 靠 性： 指纹识别技术通过分析指纹的全局特征和局部特征，特征点如脊、谷和 终点、分叉点或分歧点，从指纹中抽取的特征值可以非常的详尽以便可靠地 通过指纹来确认一个人的身份。平均每个指纹都有几个独一无二可测量的特 征点，每个特征点都有大约7各特征，10个手指至少可以产生4900各独立可 测量的特征。 由于

12、计算机处理指纹时，只是涉及了指纹的一些有限的信息，而且比对 算法并不是精确匹配，其结果也不能保证100%准确。权威机构认为，在应用 中1%的误判率就可以接受。 第第1 1节节 身份认证的常用识别方法身份认证的常用识别方法三、基于指纹认证 应 用： 指纹IC卡可以广泛地运用于许多行业中，例如取代现行的ATM卡、制造 防伪证件（签证或护照、公费医疗卡、会员卡、借书卡等）。目前ATM提款 机加指纹识别功能在美国已经开始使用，持卡人可以取消密码或者仍旧保留 密码，在操作上按指纹与输入密码的时间差不多。 指纹特征数据可以在计算机网络上进行传输和验证，通过指纹识别技 术，可以限定只有指定的人才能访问相关信

13、息，可以极大地提高网上信息的 安全性，包括网上银行、网上贸易、电子商务的一系列网络商业行为，就有 了安全性保障。美国SFNB就是通过互联网来进行资金划算的，它们目前正 在实施以指纹识别技术为基础的保障安全性的项目，以增强交易的安全性。第第1 1节节 身份认证的常用识别方法身份认证的常用识别方法四、基于声纹认证 简 介： 生物特征认证技术中声纹认证技术作为一种非接触性认证技术，正在被 用户所接受，广泛应用于金融系统、计算机安全和网络安全的很多领域。 声纹认证，即说话人认证是根据获取声音波形中反映说话人生理、心理 和行为特征参数来自动认证说话人独一无二的语音特征并且转化成数字符 号，存成特征模板。

14、这种特征模板存储在计算机的数据库、智能卡或条码卡 中，应用时将带验证的声音与数据库中的特征进行匹配，从而决定说话人的 身份。 声纹认证不是认证语音信号的文字内容，而是认证发出语音信号的说 话人的身份，强调说话人的个性。第第1 1节节 身份认证的常用识别方法身份认证的常用识别方法四、基于声纹认证 分 类：分类依据描述最终完成的任务1.声纹确认：一个特定的参考模型和待认证模型之间的比较，系统 只做出是或不是的二元判决，是二选一的问题。2.声纹辨认：辨认出待认证的语音是来自待考察的哪个人，是多选 一的问题。测试声纹的方式1.与文本无关：声纹认证和训练时都不规定说话人的说话内容。2.与文本有关：要求说

15、话人提供制定的语句或词语进行训练，认证 时必须和训练时是相同的内容。3.文本提示型：可以在一个很大规模的文本集中选择提示文本，说 话人可以按着选择的提示文本的内容发音。第第1 1节节 身份认证的常用识别方法身份认证的常用识别方法四、基于声纹认证 组 成： 声纹认证主要有两个阶段，训练阶段和认证阶段。 训练阶段，根据说话人的语音信号提取声纹特征，然后建立说话人的特 征模板。认证阶段，对待认证人的语音信号进行特征提取后，与训练阶段的 模板进行比较。 对于声纹辨认，选取与测试语音相似度最大的模型所对应的说话人作为 认证结果；对于声纹确认，通过判断测试语音与所生成说话人的模型之间的 相似度是否大于所规

16、定的判决门限作出确认与否的判断。第第1 1节节 身份认证的常用识别方法身份认证的常用识别方法四、基于声纹认证 缺 点： 1、分析过程时间长； 2、受身体状况的影响，如呼吸道感染； 3、受精神状况的影响，如紧张、焦虑； 4、受环境的影响，如噪音；第第1 1节节 身份认证的常用识别方法身份认证的常用识别方法五、基于物理特征进行身份认证过程 1、引入阶段 用户在操作员的监督下，登记自己的名字或其他标识，并完成要求 的动作，例如签名、按指纹或者说一段指定的话。这些动作通常要重复 几遍以获得可靠的测试参考样本，系统分析这些数据，将其存储在指定 的文件或设备中。 2、识别阶段 首先，用户向系统递交身份标识或可被机器阅读的身份卡等。接着 识别系统从文件或用户递交的卡中，找到与该标识符对应的个人特征测 试样本。最后，用户做出能为系统识别的动作，识别系统把个人特征测 试数据与原参照样本比较。 测试数据与参照样本完全吻合是不可能的，作出识别成功的决定需 要根据系统测量的精确以及容错程度。每个参数值都有误差范围。第第1 1节节 身份认证的常用识别方法身份认证的常用识别方法六、身份识别系统的选择 NBS出版了