CN101150409A

CN101150409A - 改进的usb身份验证技术

Info

Publication number: CN101150409A
Application number: CNA2007101852117A
Authority: CN
Inventors: 郝玮
Original assignee: TIAN YONGGE
Current assignee: TIAN YONGGE
Priority date: 2007-11-09
Filing date: 2007-11-09
Publication date: 2008-03-26
Anticipated expiration: 2027-11-09
Also published as: CN100576798C

Abstract

本发明涉及一种网络(包括电子商务网站、网上银行、网络游戏等)身份验证的安全处理技术。本发明是在用户使用的USBKEY内和用户登录目标系统所使用的设备(如用户使用的计算机)内预先设置辅助软件程序；或通过一定的技术改进，只在用户登录目标系统所使用的设备内设置辅助软件程序；或通过一定的技术改进，只在USBKEY内设置辅助软件程序，而该程序具有：在每次用户登录目标系统包括电子商务网站、网上银行、各种网络游戏等系统完成之后，都能够立即使USBKEY与用户登录目标系统所使用的设备如用户使用的计算机间无法再次通信，而无需用户手工拔下USBKEY的软件功能。本发明最适合大规模应用，且能够很好的解决因用户使用不好造成的安全隐患问题，确保用户使用时既安全、又方便。

Description

改进的USB身份验证技术

技术领域

本发明涉及一种网络(包括电子商务网站、网上银行、网络游戏等)身份验证的安全处理技术。

背景技术

随着互联网的发展及互联网上各种应用的普及，互联网电子商务、网上银行以及其他网上虚拟消费(如各种网络游戏、QQ币等等)得到迅速发展。据调查仅北京市2006年的电子商务交易额就达1271亿元(含B2B及B2C)。而随着国家发改委、国务院信息化工作办公室联合发布的《电子商务发展″十一五″规划》的出台，国内电子商务更将迎来黄金的发展期。

而伴随着国内互联网的高速发展，网络安全犯罪领域早已形成了专门针对各电子商务网站、网上银行、各种网上虚拟消费(如网络游戏、QQ币等等)，实施网络盗窃、销赃的一条龙的黑色产业链。

最新统计显示，中国网民已达1.62亿，居世界第二位。而我国计算机病毒感染率竟为91.47％，是历年以来最高的。

据国内著名反病毒软件公司——瑞星发布的《2006年度中国大陆地区电脑病毒疫情&互联网安全报告》(以下简称《安全报告》)中显示，2006年截获的新病毒超过23万个，数量几乎相当于过往数十年计算机历史上产生的病毒数量总和。而且如此多的新病毒的突出特点是，90％以上带有明显的利益特征，有窃取个人资料、各种账号密码等行为。且在2006年危害性最强的十大病毒中，九个属于盗窃为目的病毒。

2007年名噪一时的熊猫烧香病毒一案，使这个互联网背后的黑色产业逐渐漏出了冰山一角。此案暴露出网络病毒产业链渐成气候，鬼魅般威胁着网络安全，社会各界亟待高度警惕，严加防范。而该案主犯仅仅只是计算机病毒产业链的发端，整条产业链制造、贩卖、交易、传播、使用“一条龙”，环环相扣，最终祸害网络用户，牟取经济利益。据警方披露，少数地方甚至形成了计算机病毒产业群。

据江民反病毒专家何公道介绍说：“正常浏览网页也能感染病毒，这并不是危言耸听。利用在网页上种植木马、后门等病毒，盗取用户游戏账号及银行密码、偷窥用户隐私，已经成为黑客们惯用的手法。同时黑客利用这种手段的攻击范围之广也是前所未有的，金融类网站、银行网站、门户网站、热门社区网站几乎无一幸免，全都成为黑客们跃跃欲试的目标。由于这类网站每天的浏览量非常大，如果不幸被黑客攻破种植上木马等病毒，所造成的影响无论是从范围上，还是从破坏性上都是巨大的。”

由以上资料可见，传统的单凭密码的身份验证已经不能保护用户网上资金帐户安全，急需真正有效的多因素身份验证方法。现有的多种多因素身份验证技术中，有的技术上存在一定缺陷不够安全；有的技术完善但目前成本过高无法实现大规模应用；有的技术完善也成本较低，但不符合用户的使用习惯，用户经常因为使用不好而失去保护。电子商务的安全经受着前所未有的挑战！

目前技术完善成本也较低的多因素身份验证技术主要分以下几类：

一、基于硬件的Token动态口令双因素身份验证技术：目前，市场上一些企事业单位使用较多的认证产品是RSA公司推出的动态令牌技术，该技术核心是使用随机数动态变化的同步算法，来确认用户的身份。使用该系统的用户，需要随身携带一个包括了液晶显示屏的令牌，每次登录计算机的时候，需要对照令牌，将当时显示的随机数输入计算机中。

二、基于生物技术的双因素身份验证技术：1、指纹识别技术、每个人包括指纹在内的皮肤纹路在图案、断点和交叉点上各不相同，呈现惟一性且终生不变。据此，我们就可以把一个人同他的指纹对应起来，通过将他的指纹和预先保存的指纹数据进行比较，就可以验证它的真实身份，这就是指纹识别技术。指纹识别主要根据人体指纹的纹路、细节特征等信息对操作或被操作者进行身份鉴定，得益于现代电子集成制造技术和快速而可靠的算法研究，已经开始走入我们的日常生活，成为目前生物检测学中研究最深入，应用最广泛，发展最成熟的技术。2、虹膜识别技术、虹膜是位于眼睛黑色瞳孔和白色巩膜之间的圆环状部分，总体上呈现一种由里到外的放射状结构，由相当复杂的纤维组织构成，包含有很多相互交错的类似于斑点、细丝、冠状、条纹、隐窝等细节特征，这些特征在出生之前就以随机组合的方式确定下来了，一旦形成终生不变。虹膜识别的准确性是各种生物识别中最高的。

三、基于硬件USB的双因素身份验证技术：PKI技术依赖于现代密码学的公开密钥算法，是现在公认的最具安全性保证的认证技术，PKI技术在国际和国内都已经得到了学界和产业界的一致认可。数字证书技术是PKI的核心，目前来说，一个成熟的PKI认证系统，一般要求采用安全的硬件证书载体，常见的是USB接口的令牌即USBKEY这种方式。与其它认证技术相比，PKI认证技术具有以下优点：1.采用基于密码学算法的数字证书认证技术，安全性具有很好的理论依据和保证；2.采用了内置密码算法芯片的硬件证书载体，并具备PIN码保护，即便IC卡或者USB Key丢失也不会造成用户身份被轻易冒充，安全性高；3.数字证书和相关的数字签名技术得到了国家的法律认可，具有法律效力；4.数字证书已经形成统一的行业标准，具备不同系统和单位之间用户身份认证互联互通的潜在能力。显然，USBKEY数字证书认证技术相较于用户名/口令认证技术和RSA动态令牌技术，具有很大的优势。目前，经过多年的技术积累和市场培训，基于数字证书认证技术的认证产品和用户市场开始逐步成熟，并呈现了良好的发展态势。可以预计，数字证书技术必然以其明显的优势，替代传统的认证产品，成为信息系统的主流认证技术，并成为进一步推进信息系统安全建设的基础。各大网上银行也大多采取了这种方式。如中国工商银行的“U盾”

下面为上述技术的不足之处：

一、基于硬件的Token动态口令双因素身份验证技术的不足：这种技术，一定程度上消除了传统的用户名/口令技术存在的弱点，如口令容易被破解等问题。但因为动态口令技术只是简单使用了随机数同步的算法，所以其依然存在以下问题：1.动态口令技术仅依据令牌产生的随机数来确认用户身份，一旦令牌丢失，容易造成身份被冒充；2.动态口令技术缺乏严密的算法理论依据，安全性不能得到保证，不能适应安全强度要求高的部门。

二、基于生物技术的双因素身份验证技术的不足：1、指纹识别技术(1)、某些人或某些群体的指纹指纹特征少，难成像。(2)、过去因为在犯罪记录中使用指纹，使得某些人害怕“将指纹记录在案”。(3)、实际上现在的指纹鉴别技术都可以不存储任何含有指纹图像的数据，而只是存储从指纹中得到的加密的指纹特征数据。(4)、每一次使用指纹时都会在指纹采集头上留下用户的指纹印痕，而这些指纹痕迹存在被用来复制指纹的可能性。2、虹膜识别技术(1)、一个最为重要的缺点是它没有进行过任何的测试，当前的虹膜识别系统只是用统计学原理进行小规模的试验，而没有进行过现实世界的唯一性认证的试验。(2)、很难将图像获取设备的尺寸小型化。(3)、需要昂贵的摄像头聚焦。(4)、镜头可能产生图像畸变而使可靠性降低。(5)、黑眼睛极难读取。(6)、需要较好光源。

三、基于硬件的USB双因素身份验证技术的不足：据中国金融认证中心(CFCA)副总经理曹小青透露，据CFCA的最新监控发现，网银大盗对网银的攻击手段、技术有加快更新的趋势，已经从攻击密码转向攻击数字证书。用户虽然申请了数字证书，但由于没有妥善保管，被网银大盗用木马病毒攻破载有数字证书的电脑，进而造成资金被盗。CFCA建议，保管好数字证书必须做到以下几点：1，一定要将数字证书放在USB锁内；2，交易时才将USBKEY插在电脑USB接口上，交易完成后应立即拔出妥善保管。

据了解，到目前为止，网银领域尚未出现一例因数字证书安全机制被攻破而使用户资金受损的案件。目前新出现的一些网银盗用案件，并非数字证书机制本身不安全，而是用户在数字证书保管和使用过程中出现了问题。很多用户交易完经常忘记拔出USBKEY，就很容易被木马盗取数字证书，或被黑客远程操控计算机盗取用户资金。因此，如何有效解决因用户对USBKEY使用不当(如用户使用完忘记从电脑上拔下来)而造成的问题，已经成为摆在网络安全专家们面前的难题。

从以上分析来看，基于硬件USB的双因素身份验证方式最适合大规模应用，但其仍然存在用户使用不好(如用户使用完忘记从电脑上拔下来，黑客、木马就可以远程控制盗取数字证书)的安全隐患，仍需要进一步进行改进。

发明内容

本发明的目的在于提供一种基于硬件的USB身份验证方法，其最适合大规模应用，且能够很好的解决因用户使用不好造成的安全隐患问题，确保用户使用时即安全、又方便。

本发明的技术方案为：本发明是在用户使用的USBKEY内和用户登录目标系统所使用的设备(如用户使用的计算机)内预先设置辅助软件程序；或通过一定的技术改进，只在用户登录目标系统所使用的设备内设置辅助软件程序；或通过一定的技术改进，只在USBKEY内设置辅助软件程序，而该程序具有：在每次用户登录目标系统包括电子商务网站、网上银行、各种网络游戏等系统完成之后，都能够立即使USBKEY与用户登录目标系统所使用的设备如用户使用的计算机间无法再次通信，而无需用户手工拔下USBKEY的软件功能。当用户下一次需要登录目标系统时，需要将USBKEY拔下再重新插入一次，即可使USBKEY与用户登录目标系统所使用的设备(如用户使用的计算机)间重新建立通信，用户就可以重新正常登录目标系统。

本发明在上述技术基础上还可以在所述改进的USBKEY上，配备设置了带控制开关的USB开关延长线，所述改进的USBKEY通过该USB开关延长线连接在用户登录目标系统所使用的设备(如用户使用的计算机)上。所述USB开关延长线和所述改进的USBKEY可以设置为分体结构或设置为一体结构。

本发明的有益效果为：首先、经过本发明方法改进的USBKEY，在每次用户登录目标系统(电子商务网站、网上银行、各种网络游戏等，下同)后都能够立即使USBKEY与用户登录目标系统所使用的设备(如用户使用的计算机)间无法再次通信，而无需用户手工拔下USBKEY。

在每次使用后USBKEY都能够立即使其与用户登录目标系统所使用的设备(如用户使用的计算机)间无法再次通信，而无需用户手工拔下USBKEY。即虽然此时USBKEY还物理连接在用户登录目标系统所使用的设备(如用户使用的计算机)上，但是此时USBKEY已经不能再起作用，相当于断开状态。这样即使用户忘记将USBKEY拔下，黑客无论使用现有技术手段都无法跟踪和破解。而当用户下一次需要登录目标系统时，需要将USBKEY拔下再重新插入一次，就可以正常登录目标系统。

其次、经过本发明方法改进的USBKEY，专门配备了带控制开关的USB延长线。每次登录目标系统时从计算机上拔出再插入USBKEY，对用户来说操作不便、使用方法烦琐。而本发明USB开关延长线，只要用户手动按动开关(关闭再打开)，即可使USBKEY与用户的计算机重新建立连接，解决了提升安全性时带来的使用上的不便。

将经过本发明方法改进的USBKEY与专门制作的USB开关线结合使用，即安全、又方便。用户无需关心各种技术问题，就可以放心地进行各种网上交易。有效解决了用户使用不当造成的安全问题，用户使用简单了，也杜绝了黑客远程控制盗窃的问题。用户在绑定了经过本发明方法改进的USBKEY，之后，帐户安全将完全在用户自己的掌控之中，即每次登录目标系统时需要用户手工按动开关(关闭再打开)后再输入帐号密码登录。黑客即使通过远程遥控，只要不按动USB连接线的开关，就无法登录用户的帐号。相对于加密狗而言，经过本发明方法改进的USBKEY，在每次使用后都会自动断开与电脑的连接，防止黑客才用各种技术手段来跟踪和破解，并且使用了USB延长线和USB电源开关，不仅用户使用起来更方便，而且更安全。本发明独有的USB延长线及USB电源开关，登录成功后安全锁自动与电脑断开连接，用户不需将锁拔下，黑客也无法登录盗取帐号。特别适合在网吧、学校电脑教室等人群密集和黑客事件频发的公共场所使用。

附图说明

图1为本发明实施方式的示意性框图

具体实施方式

如上图所示在具体使用中

1、当用户使用USBKEY登录目标系统之前，必须将USB开关线上的开关手动打开，使USBKEY与计算机建立连接。

2、然后用户需要输入他在目标系统的用户名和密码。

如果验证通过，则登录成功。此时经过本发明方法改进的USBKEY，自动与用户的计算机之间无法再次通信，即使用户忘记将USBKEY从计算机上拔下，黑客无论使用各种技术手段都无法跟踪和破解。

本发明中所述USB开关延长线和所述改进的USBKEY可以设置为分体结构或设置为一体结构。

Claims

1.改进的USB身份验证技术，其特征在于：在用户使用的USBKEY内以及用户登录目标系统所使用的设备如用户使用的计算机内预先设置辅助软件程序；或通过一定的技术改进，只在用户登录目标系统所使用的设备内设置辅助软件程序；或通过一定的技术改进，只在USBKEY内设置辅助软件程序，该程序具有：在每次用户登录目标系统包括电子商务网站、网上银行、各种网络游戏等系统完成之后，都能够立即使USBKEY与用户登录目标系统所使用的设备如用户使用的计算机间无法再次通信，而无需用户手工拔下USBKEY的软件功能，当用户下一次需要登录目标系统时，需要将USBKEY拔下再重新插入一次，就可以重新正常登录目标系统。

2.根据权利要求1所述的改进的USB身份验证技术，其特征在于：在本发明技术中所述改进的USBKEY，还配备设置了带控制开关的USB开关延长线，所述改进的USBKEY通过该USB开关延长线与用户所登录系统所在设备连接，只要用户手动按动开关即关闭再打开，即可使USBKEY与用户所登录系统所在设备重新建立连接，解决了提升安全性时带来的使用上的不便。

3.根据权利要求2所述的改进的USB身份验证技术，其特征在于：所述USB开关延长线和所述改进的USBKEY可以设置为分体结构或设置为一体结构；开关上还配设有开、关的指示灯。