计算机应用研究
APPLICATION RESEARCH OF COMPUTERS
2000　Vol.17　No.2　P.53-54



融合自动指纹认证的安全密码体制在网络安全中的应用
王星明　田捷　武岩
摘 要 网络信息安全是目前国内外数据通信领域的一个重要研究方向。简要地讨论了广泛使用于信息安全领域的密码技术中存在的一些缺陷，针对这些问题提出了运用自动指纹认证与密码机制相结合的解决方案。
关键词 网络信息安全 自动指纹认证 私钥密码 公钥密码
1 引言
　　由于bnjhTCP/IP协议的不安全性，使得信息在网络上传输很容易遭到窃取和破坏。随着Internet的开放性、共享性、互连程度的不断扩大，网络信息安全成了当前国内外计算机网络与电信网络领域研究和发展的一个重要方向。
　　为了确保各种信息在网络上安全地传输，信息的加密便成为网络安全信息系统的一个重要部分。但是，目前的加密体制，无论是私钥密码体制或是公钥密码体制，都要求用户必须安全地保存其密钥，一般是以用户口令来保护密钥。采用这种方法，一方面口令难以记忆，另一方面，容易被黑客通过各种方法来破译，因此，急需找到一种更为安全的方法来保护密钥。
　　生物特征认证是利用人的生物特征，如声音、指纹、虹膜及签名等，来进行身份认证的一种手段。随着计算机技术的发展以及各种算法的不断改进，生物特征认证技术作为一种准确、快速和高效的身份认证方法正被越来越广泛地应用于各种需要身份认证的领域。自动指纹认证技术是其中应用最广的一种。
　　由于自动指纹认证的方便性和有效性，本文提出了一种将自动指纹认证融合到密码体制中去的保密机制，可以很好地解决用户密钥的保存及保护问题。
2 密码体制
　　目前广泛采用的加密体制有两种，即私钥密码体制和公钥密码体制。
　　私钥密码体制又称为单密钥密码体制或对称密码体制，其加密密钥和解密密钥相同。通信双方在通信前必须以一种安全的方式约定本次通信的密钥。因此，私钥密码体制中加密密钥的保护和解密密钥的保护是同等重要的，密钥的安全性将直接影响整个密码体制的安全性。DES和IDEA是典型的私钥密码体制的加密算法。
　　公钥密码体制又称为非对称密码体制，它的加密密钥Ke和解密密钥Kd是不相同的。即使将Ke公开也不会损害Kd的安全，于是便可以将Ke公开。常用的公钥密码体制有RSA和椭圆曲线公钥密码体制等。
　　以公钥密码体制进行通信，则要求用户保存众多的公钥(类似通信录)。这对用户来说是一个很大的负担。目前，公认的有效方法是通过密钥分配中心KDC来管理和分配公开密钥。每个用户只保存自己的密钥和KDC的公开密钥PKAS，也可通过KDC获得任何其他用户的公开密钥。
　　在实际应用中，普遍采用公钥密码和私钥密码相结合的方法，即由公钥密码传送加密密钥，再用私钥密钥加密传送信息。
　　但是，不管是私钥密码还是公钥密码体制，或者二者相结合的方式，都需要安全稳妥地保存密钥。
3 自动指纹认证系统
　　由于指纹具有唯一性和终生不变性，人们可以用它来进行身份认证。自动指纹认证(Automatic Fingerprint Verification System，简称AFVS)就是在模式识别的理论基础上，结合图象处理的方法，应用计算机来实现根据指纹确认个人身份的过程。近年来，随着图象处理，模式识别和计算机科学等学科的不断发展，自动指纹认证系统的性能得以大幅度地提高，其应用领域也从最初的法律、公安领域拓展到金融和信息安全等众多的领域中，如可以作为计算机确认用户的手段，也可作为访问网络资源的信息安全技术，还可用于银行ATM卡和信用卡使用的确认等等。
　　一般说来，一个完整的自动指纹认证系统的结构如图1所示。

图1　自动指纹谁系统AFVS
　　自动指纹认证是根据用户所提供的姓名或用户号码等信息将所对应的模板指纹特征从指纹数据库中取出来，然后以用户输入的指纹与该模板指纹特征相匹配，以确定这两幅指纹是否出于同一个手指，并从而确定用户的身份。
4 自动指纹认证与密码相结合的机制
　　利用指纹的唯一性，将自动指纹认证与密码机制结合起来，可以实现保护用户密钥的目的，使用户与外界安全地进行通信。主要思想是，将用户的密钥和用户指纹特征统一存储在KDC(密钥分配中心)中，用户在使用密钥时通过自动指纹认证从KDC获取。
　　整个系统结构框图如图2(其中用到的私钥密码体制以IDEA为例，公钥密码体制以RSA为例)。

图2　自动指纹谁与密码技术相结合的机制
　　用户首先在本机上以IDEA算法产生一个用户密钥IDEAK，然后将其与用户指纹特征及用户姓名(用户号)一起用KDC的公钥EPK进行加密，通过网络传送到KDC，KDC用它的私钥对这些信息进行解密。身份认证时，KDC按照用户姓名(用户号)从数据库中取出相应指纹特征，并与传送来的指纹特征进行对比，若认证成功则为用户取出其RSA私钥RSAK，否则拒绝给出私钥。取出来的用户私钥RSAK再被用户传送过来的密钥IDEAK进行加密，通过网络送回用户端，最后，用户用其密钥IDEAK解密，从而获得其RSA私钥，便可以与外界进行安全的保密通信。
　　与传统的基于口令保护用户密钥的方法相比，上述保密机制具有如下的一些优点和特点：
　　(1)在本机用IDEA算法产生用户密钥IDEAK
　　这样操作的目的是用户可以随时使用随时产生新的密钥，减小了用户密钥可能被窃取的可能。
　　(2)指纹特征信息以KDC公钥EPK进行加密
　　以KDC的公钥EPK对指纹特征进行加密，可以防止黑客在网络上直接截取指纹，而去非法访问KDC的数据库。
　　(3)采用公钥密码与私钥密码体制相结合的方法
　　首先，用户与外界进行网络通信，使用公钥密码体制的安全性和实用性较好。这样用户的公钥是近似公开的，欲与之通信的其他用户可通过KDC获取该用户的公钥，方便了交流(示例中应用的是RSA算法)。另一方面，为了在KDC中安全地保存用户自己的私钥，使用私钥密码体制与自动指纹认证融合的方法来对其私钥进行保密则更为方便和有效。
　　(4)以指纹进行身份认证
　　与传统的口令认证相比，指纹认证具有不可比拟的优点。具体说，以一个十位的口令为例，设其字符集为26位英文字母加上十位阿拉伯数字再加上空格等字符共40位，其不同组合共有约1016，以400万个口令/秒的ASIC芯片用穷举法来计算，大约只需要300天的时间。指纹认证则不同，由于用来认证的是若干个指纹特征的组合(不同的认证算法所取的特征点数目不同，我们的自动指纹认证算法选取的特征点为40～50个，其中每一个特征点都具有3个参量，横、纵坐标及方向?20×320的二维空间中)，其组合的唯一性使得以穷举法去破译它几乎是不可能的。这样便确保了用户密钥能够安全地存储在KDC中。另外，用户还可以根据对保密性的要求，采用多个指纹对用户的RSA私钥进行多层加密，进而获取更高的安全性能。
　　(5)使用指纹特征进行身份认证
　　使用指纹特征进行身份认证，用户端输入的指纹灰度图象在提取特征点之后再通过网络传输到KDC进行匹配，这样不但减小了网络传输的负担，而且会提高KDC端指纹认证的速度。
　　我们利用由美国国家标准技术局提供的NIST-14指纹库进行了大样本的测试，从中随机抽取了近2,000对指纹图测试自动指纹认证系统的可靠性。在每一对指纹图中，一幅作为模板，提取出特征后存入指纹数据库中，另一幅作为待鉴定的指纹图。下面给出我们的自动指纹认证系统的技术指标(在不同拒识率指标下的认证率)，从中可以看出，自动指纹认证的可靠性完全可以达到保护用户密钥的要求。
表1 自动指纹认证系统技术指标
拒识率22.10%21.40%17.80%15.90%14.00%12.20%
认证率100.00%99.87%99.76%99.64%99.31%98.10%
5 总结 
　　本文就目前广泛应用于信息安全领域的加密机制所存在的一些缺陷进行了分析，并提出将自动指纹认证融合到现有的密码机制中去，以解决用户以口令保存密钥不安全的问题。根据已经获得的自动指纹认证的实验结果，可以相信这种机制完全能够达到用户网络通信所要求的安全性及有效性。从应用的角度来看，自动指纹认证与密码相结合的机制可以用于互联网通信安全、电子商务、政府机构以及军事领域等等。
王星明（中国科学院自动化研究所人工智能实验室 北京 100080）
田捷（中国科学院自动化研究所人工智能实验室 北京 100080）
武岩（中国科学院自动化研究所人工智能实验室 北京 100080）
参考文献
1，王育民, 刘建伟. 通信网的安全理论与技术. 西安：西安电子科技大学出版社, 1999
2，章照止, 杨义先, 马晓敏. 信息理论密码学的新进展及研究问题. 电子学报, Vol.26, No.7, pp.18,1998
3，Frank Deane, Kate Barrelle, Ron Henderson and Doug Mahar. Perceived Acceptability of Biometric Security Systems. Computer&Security,Vol.14,No.3,pp.225～231,1995
4，Anil Jain, Lin Hong and Ruud Bolle. On-line Fingerprint Verification. IEEE Trans. on Pattern Analysis And Machine Intelligence, Vol. 19, No.4,April, 1997
收稿日期：1999年8月23日
