基于多因素认证的网络安全支付模式研究

戈泉月，车力军

( 1．北京邮电大学计算机学院，北京100876；

2．中国电信云南公司信息安全部，云南昆明650100)

摘要：基于单因素的身份认证方式是不安全的，因此需要多因素的身份认证方式来保护用户的数据安全。随着在线支付体系的发展，文章设计了一种能有效提高现有网络支付体系安全性的模式，并且提出了一种基于多因素认证的安全高效的支付模式。即在传统的登录名和密码系统的基础上，采用基于验证码和指纹识别的多因素认证方式。文章采用的网络支付协议为双向认证体系，不仅能够满足市场对于多因素认证的需求，而且还支持B2C的安全通信。文章给出了认证模式的具体实现过程，并对其进行了安全性分析，结果表明该认证模式可以提高网络支付的安全性。

关键词：指纹识别：验证码；多因素认证：网络支付

0引言

    随着现代计算机科学技术的快速发展，网络安全支付已经成为网上支付平台及网上银行支付系统中最重要的环节，而网络安全支付的关键问题是确立安全的认证模式。若认证出现了问题，则会对系统的安全产生直接威胁。

    认证解决的是“Who Am l?”的问题，它就像一栋住宅的大门一样，是保护安全支付系统的一个非常关键的环节。如果只有一个凭证被用于认证，则称之为“单因素认证”；如果有两个或多个凭证被用于认证，则称之为“双因素认证”或“多因素认证”。认证的手段丰富多彩，目前除了密码可以用于认证外，还有很多新的认证方式可供使用，人脸、虹膜、声音、指纹、DNA等生物特征都能够作为识别用户身份的凭证。我们也可以组合使用多种认证手段，以双因素或多因素的方式，提高系统的安全强度。一般来说，多因素认证的强度要高于单因素和双因素认证，但是在用户体验上，多因素认证或多或少都会带来一些不便。

    对于很多重要的支付系统而言，如果只有支付密码作为唯一的认证手段，从安全上看会略显不足。因此为了增强网站的安全性，大多数网上支付平台或者网上银行都会采用双因素认证或多因素认证。除了支付密码外，第三方证书、数字签名、宝令、手机动态口令、数字证书、支付盾等都可作为身份认证手段。这些不同的认证手段可以相互结合，使得认证的过程更加安全。因此密码不再是唯一的认证手段，在用户密码丢失的情况下，也可以有效地保护用户的账户安全。基于以上问题的考虑，本文提出了一种“基于口令+指纹认证+验证码”的多因素认证模式，从而使系统更加安全。

1背景知识

1.1传统身份认证

    身份认证采用的传统认证模式是单因素认证模式，普遍采用“用户名+密码”的方式，很容易被不法分子破解。密码是确保其安全性的依据，单因素认证模式存在许多弊端。例如：用户为了便于记忆把密码设置为生日、电话号码等常用信息，黑客容易通过暴力、盗取数据库、社会工程学等方式破解密码。从理论上来说，可重复使用的静态密码比同属于单因素认证的一次性动态码更加危险，但是一次性动态密码可通过竞争攻击或者中间人攻击等方式窃取。因此，单因素认证属于最弱、最不可靠的身份认证模式。身份认证因素越多，用户真实身份能够被核实的信息就越多，也就越安全。

1.2验证码认证

    目前各大网站均采用验证码认证方式，如纯文本验证码、图片验证码等类型。图片验证码内容多为字母、数字、文字等。验证码识别的基本原理为：服务器的验证码生成器随机生成一个验证码同时将其存人数据库，然后以短信或图片的形式告知用户，用户对验证码进行输入或者选择，然后提交给服务器，服务器对比用户提交的验证码与服务器存储的验证码是否相同，从而完成验证。

    大多数的双因素身份认证模式为用户在使用“用户名+密码”登录时，在线服务器生成一次性验证码发送给用户。用户使用注册时绑定的移动设备接收含有验证码的短信，在网站上输入验证码进行登录。尽管双因素身份认证在单因素静态密码验证基础上进行了改善，但是它并不是绝对可靠的。中间人攻击可以通过欺骗用户访问一个伪造网站获取用户名和密码，并将其在真正的合法网站上输入，合法网站会给用户发送一个验证码。在此情况下，用户并未意识到系统出现了漏洞，依然将验证码在伪造网站上输入，而攻击者在合法网站上输入验证码，获得用户权限。

    即使验证码中加入干扰因素，验证码认证也不是绝对安全的。目前图像识别技术可以对验证码图像利用灰度化、二值化、抑噪（滤波）等技术进行处理，去掉干扰因素，然后通过文字分割、标准化、文字识别等一系列步骤识别出验证码的内容，因此，仅仅进行验证码认证并不能保证肯定是用户本人。

1.3生物识别认证

    随着目前生物技术的发展，生物特征越来越多地应用于密码学当中。人类的生物特征如指纹、人脸、虹膜等，由于具有普遍可得、唯一、不可复制、不会丢失等良好的特性，给依据可测量的生物和行为特征来设计可靠和自动的身份认证协议提供了可能，并能为用户提供更可靠、安全级别更高的保护。由于人脸识别率受多种因素如光线、发型、表情、姿势等影响，虹膜识别设备造价较高，难以大规模推广。相比之下指纹识别技术成熟、设备造价低，指纹信息易于获得，因此本文将采用指纹识别认证技术构建网络安全支付认证模型。

    由于每个人的指纹都不一样，所以指纹是识别个人身份的重要手段。近年来，指纹识别技术在金融、安检等领域得到了广泛应用。若今后社保卡、银行卡等重要卡证上都要求应用指纹，那么指纹膜遗失后所产生的后果将不堪设想。此外，指纹信息是公安机关侦破案件的重要依据，若被不法分子利用可能给社会安全稳定带来危害。在指纹识别认证技术应用中，曾发生过制作指纹膜作弊打卡的事例。针对指纹识别的指纹膜仿冒问题，目前主要有两种技术解决方案：1）在指纹机中集成温度传感器与湿度传感器，从而指纹识别设备可分析是否为真实皮肤；2）采用3D活体指纹识别技术，它突破了指纹识别的表面局限，可以深入到真皮层采集三维立体指纹，对任何材质的人造指纹都不予识别。本文的指纹识别模型将采用3D活体指纹识别技术。

系统在用户注册时提取用户的3D指纹特征并将其存储在系统特征库中，当用户登录系统时，将从扫描的3D指纹信息中抽取特征信息，与存储在系统中的特征信息进行比对认证，扫描的3D指纹信息通过指纹区域检测、图像质量判断、方向图和频率估计、图像增强、指纹图像二值化和细化等一系列操作并与存储的3D指纹模板进行比对，若二者的相似度大于预定的门限值，则说明输入的3D指纹信息与存储的3D指纹模板相匹配，身份认证成功；若反之则说明二者不匹配，身份认证失败。本文采用的3D指纹认证过程如图1所示。

2网络安全支付认证模式的设计与分析

2.1基于多因素的认证系统结构

本系统结构主要包括注册、登录、身份认证和支付认证4个阶段。认证系统体系主要由识别设备USBKey、用户终端、认证服务器、Web服务器等部分构成，如图2所示，认证系统各部分功能如下：

    1) USBKey，读取3D指纹识别信息，生成基于时间的随机数，存储用户的私钥和证书；2）用户终端，向认证中心发送请求，对登录命令、支付命令进行加密，对接收的命令进行解密，产生动态密码，进行图像认证；3）认证服务器，负责证书的发放、更新、删除、存储等操作，负责密钥的生成、更新、备份等操作，通过与数据库的数据比对验证用户与服务器的身份；4）Web服务器，向认证服务器发送认证请求，对用户的支付请求进行响应，管理数据库。

2.2符号描述和定义

表1对相关符号进行了描述和定义

2.3注册阶段

    当用户希望得到某Web系统的服务时，必须首先注册为该系统的合法用户。我们假设Web服务系统已在认证服务器注册完毕，此时Web服务器上装有认证中心颁发的证书，认证中心存有服务器的域名、Web服务器的数字签名以及Web服务器端的公钥等信息。用户进行注册的步骤如下：

    1)在用户终端C首先设定身份标识IDc和口令P，并在特有的可采集指纹信息的设备USBKey（下文中简称为设备∽上获取自己的3D指纹信息F并将其存储入设备U。设备U调用Fc(Tc，Hc)生成随机数Ⅳ，调用Hc(N1 lP)计算Hc()，然后将IDc、F及Hc.(NIIP)经由安全信道发送给Web服务器A。表述为C一A:{/Dc.IIHc(NIIP)IIF。

    2) Web服务器首先查找用户数据库验证用户是否为新注册用户，若为新注册用户则将用户信息

Dc、P.F等存储人数据库，并对用户的信息进行数字签名后向认证中心提交注册新用户的请求，表述为：A一S:KA’{IDcIIHc(NIIP)IIF。

    3)认证服务器验证用户为新用户后，颁发给用户终端CA证书，在用户证书内标识了CA对证书相关域内容的数字签名、用户的身份信息ID。以及用户的公钥Kc等。同时认证中心创建此用户的相关信息并将其存人数据库。用户终端将加密后的IDc、加密后的3D指纹信息F’和用户的私钥Kc’存入设备U中。

2.4登录及身份认证阶段

登录及身份认证的过程如图3所示。

    1)用户登录用户终端C，用户终端软件提示用户输入用户名ID。和登录密码P，而后插入设备U并验证指纹信息，此时3D指纹信息和U上加密存储的Fr信息对比。匹配成功后，用户终端C获取Tc、Ac.、IDc、F等信息，并将以上信息录入设备U的内存中。设备U调用Fc(Tc，Hc)生成Nc．，再调用He？()生成Hc(TcIl爿。IIIDcIIP~Nc．①F)，用公钥Ks进行加密后向认证服务器S发送本次认证请求。表述为

    4)认证服务器S收到客户端创建支付安全通道的命令后，首先用Ks’解密客户端消息，然后验证客户端发来Ns，与数据库中存储的Ns，是否相同，验证通过后向Web服务器发送请求，由此建立了Web服务器和用户终端之间的安全通道。

2.5支付认证阶段

支付认证阶段的过程如图4所示，图4中数字代表如下步骤。

1)在Web服务器4和用户终端C之间的安全通道建立后，用户的支付信息如用户账号和支付密码、购买商品数量和金额、商家的账号等信息统一由用户终端C加密命名为REQ的支付请求并调用Hc()生成Hc(Tcl IREQ)，用公钥KA将支付信息进行加密后向Web服务器A发送支付请求。表述为

2) Web服务器A在接收到用户终端C发来的支付请求后，用私钥KA’解密从REQ中提取出的支付信息并验证数据库中是否有用户所要购买的商品，经计算后生成支付命令COM，用公钥Kc加密后返回给用户终端C。表述为

    3)用户终端C在接收到Web服务器返回的支付命令COM后，首先对支付信息COM解密并验证，验证后设备U成验证码B，并在用户端提示用户首先验证3D指纹再输入验证码。

4)用户在提示下输入验证码B’并且验证用户的3D指纹，设备U获取到B’和3D指纹信息F后与加密数据进行对比，匹配通过则证明用户为合法用户，然后进行下一步的安全操作。此时用户终端C会对支付命令COM与用户的3D指纹信息F进行加密，并将它送往W。b服务器A。表述为

    5) Web服务器爿在接收到用户终端的支付命令之后首先解密用户信息并验证用户信息ID。、F、P等是否与数据库中存储的信息相匹配，而后进行交易。

3有效性与安全性分析

3.1有效性分析

    在设计身份认证协议时，我们首先考虑有效性，然后在兼顾协议安全性的情况下考虑协议的计算和通信效率，使得身份认证协议也能够在存储和计算能力受限的环境中使用。本文设计的协议能提供正确的相互认证，当用户终端C请求登录时，首先认证服务器S检查用户身份标识IDc的有效性，若为注册用户再验证数据库存储信息，从而检测用户是否合法。同样用户终端C也可检测服务器的身份是否合法。

    认证服务器S对用户终端C的认证中，认证服务器S首先在数据库中验证ID。是否存在，以判断用户是否为合法用户，然后再验证用户终端C发来的Hc(Tcl IAcl IIDcl IP(DNc，①F)是否在数据库中，以认证C的身份。进一步在用户终端C对认证服务器S的认证中，用户终端C通过验证认证服务器S发来的P①Ⅳ。．F就能确认S的身份从而完成了用户终端C与认证服务器S的双向身份认证过程。

表2对本文认证模式与传统双因素认证模式进行了性能方面的比较。传统双因素认证在注册阶段、登录及身份认证阶段和支付认证阶段的计算量分别为3T，2T，5T。在本文中，注册阶段、登录及身份认证阶段和支付认证阶段的计算量分别为4T，4T，7T。

3.2安全性分析

    本文认证模式虽然在计算量方面较流行的双因素认证稍高，但该模式能有效对抗USBKey丢失攻击、重放攻击、仿冒攻击等攻击行为，这也是双因素认证所不可比拟的。

    1)抗USBKey丢失攻击。假定用户的USBKey丢失或被盗，并恰好被攻击者所获。攻击者能抽取出存储在智能卡中的信息IDc、F及H。(Nl J P)。因为攻击者不具有密钥，所以攻击者无法获得用户的口令。而且攻击者很难通过指纹认证。综上可知攻击者不能更换用户的密码，也不能通过用户USBKey的3D指纹信息模仿用户登录到服务器。此外，即使是注册中心也无法获得用户的真实口令，所以本文认证模式也能抵抗内部攻击。

    2)重放攻击。当用户终端C向认证服务器S或W。b服务器A发送请求时也将Tc同时发送给S或A，而它们的数据库也会保存Tc。如果攻击者进行重放攻击，假冒C对认证服务器S或Web服务器A发送请求，S或A就可以读取数据库中的Te进行对比。如果提取的Tc与本地数据库中保存的T，相同，就证明本次请求为重放攻击，S或A应立即拒绝服务。与以上情况相似，攻击者也不存在冒充S或4对用户终端C进行重放攻击的可能性。

    3)仿冒攻击。本文认证模式通过引入验证码认证与指纹认证，可以有效防止仿冒攻击。在支付认证阶段中对设备U操作时，设备U提示用户进行了3D指纹检测并产生验证码B要求用户输入。由于用户指纹难以伪造获取，且在短时间内通过图片识别技术获取验证码B也存在一定难度，因此攻击者几乎不能对设备U进行仿冒操作。

4结束语

    本文研究了基于口令、验证码、指纹和USBKey等的身份认证模式，首先分析了传统双因素认证可能存在的安全危险及指纹认证与验证码认证的优缺点，然后提出了种多因素的认证模式。虽然多因素认证模式会给用户的操作带来一定的复杂性，但是能带来更高的安全防护水平。随着硬件水平的发展，可识别3D指纹的USBKey造价也会越来越低廉。本文提出的认证模式能应对目前金融支付系统暂无法防范的重放攻击、仿冒攻击等攻击行为，极大地提高了支付系统的安全性。当然本文认证模式无论在理论方面还是实践方面还有待完善，如系统不能正确认证攻击者盗取并伪造的用户信息等。身份认证是网络安全的第一道重要屏障，随着技术的发展，各种认证因素也将越来越多，相信本文认证模式的提出会改进现有的网络安全环境，促进网络支付行业的健康规范发展。