CN101499907A - 基于动态图形口令的防肩窥身份认证系统及方法 - Google Patents

Abstract

本发明公开了一种基于动态图形口令的防肩窥身份认证系统及方法，主要解决现有身份认证系统防肩窥性能差的问题。整个系统包括：用户注册信息库、信息加密/解密层、用户身份验证模块、用户注册模块和交互层，其中信息加密解密层分别与用户注册信息库、用户身份验证模块及用户注册模块双向传输；交互层分别与用户注册模块、用户身份验证模块及用户双向传输。身份认证时，由用户选择注册或者验证身份登录；对于需要注册的用户，选定口令图标背景颜色、安全等级和口令图标；对于需要验证身份登录的用户，加载由多种颜色图标矩阵组成的验证界面进行口令验证。本发明具有防肩窥性能好、可用性和安全性高的优点，可用于在公共场合输入口令进行身份认证。

Description

基于动态图形口令的防肩窥身份认证系统及方法

技术领域

本发明属于信息安全技术领域，特别是涉及身份认证，具体地说就是通过图形口令来代替传统的文本口令，可用于在公共场合需要输入口令进行身份认证，例如银行ATM取款机等。

背景技术

身份认证是信息安全系统决定一个使用者是否有权限登陆本系统并使用特定资源的过程，是安全领域的重要研究课题。目前存在众多的新型身份认证方式，例如利用生物技术和智能卡技术来进行身份验证，但应用最为广泛的仍然是由用户提供用户名和相应文本的文本口令认证方式，并且在未来一段时间内，其仍将作为身份认证的一项重要手段。

传统的文本口令认证方式存在其固有的诸多缺陷，并且这些缺点极易演变为安全问题。比如用户在选择文本口令时大多倾向于选择短小简单而具有一定规律的文本，如选取自己的名字或字典中存在的单词作为口令。攻击者则通常对于用户口令在整个口令空间上的分布进行分析，利用所掌握的口令分布规律构造口令字典，对口令进行暴力猜测攻击。在这种字典攻击下，一部分文本口令通常会显得十分脆弱而被成功破解。美国学者Klein曾进行了相关实验，其调用了14000个使用者的Unix系统口令，而后只用仅由3×106个单词组成的字典对这些口令进行猜测攻击，结果发现，约有25％的用户口令能够被成功破解。Morris蠕虫使用一个由432个常用单词和1988年UNIX在线词汇组成的字典，能够惊人地破解一些站点50％左右的用户口令。为了增强文本口令的安全性，用户设定的口令必须足够复杂，具有很强的随机性并经常更换，但是这样的口令不利于用户记忆，实际操作起来具有相当困难，因此，文本口令常常会使用户处于两难境地。

许多认知学和心理学的研究表明，人类对于文本的记忆属于精确记忆，而这种精确记忆恰恰是人类所不擅长的，相反，人类更加擅长进行一些模糊记忆。图形通常含有大量的信息，一张图标胜过千言万语，此外相对于文本而言图形能在视觉上给人以更加强烈的刺激。众多研究表明人类对于图形的认知和记忆能力要比文字强很多，而且，这种能力是和人的文化背景、教育程度以及智力水平没有直接的联系，它通常是一种与生俱来的技能。例如学者R.N.Shepard(1967)，A.Paivio(1968)和S.Madigan(1983)都有所述的结论。图形口令则是利用人们对图形记忆优于对文本记忆的特点而设计的一种新型口令。用户将不用记忆冗长的字符串，而是通过识别或记住图形来进行身份验证，此外，图形口令能够提供比文本口令更强的安全性。现有的图形口令机制可大体分为三类：基于重复操作序列方式的图形口令认证；基于图形重绘方式的图形口令认证；基于图标识别方式的图形口令认证。

(1)基于重复操作序列方式的图形口令认证

美国学者Blonder于1996年最先提出了图形口令的概念，在此机制中，用户在可视设备上获得一张预定义的图标，用户需要按照一定顺序正确地选择多个预定义的位置，才能访问限制系统。V-GO是Passlogix公司提供的一个商业化的安全解决方案，其基本思路来自于Blonder的图形口令机制。此机制向用户提供含有若干物品的图标，每个物品都有一个不可见的预定义边界，系统根据这些物品的边界定义来响应鼠标的点击事件。用户在使用过程中，同样需要按照正确顺序选出所设定的物品，才能成功认证访问系统。基于类似的原理，美国学者Wiedenbeck等人也提出了Passpoints图形口令机制，其明显改进是克服了V-GO对图标选择的限制，使得任何图标都作为背景图标给用户选择。这种机制不用预定义物品的边界，而使用用户点击区域的偏差值来决定选择区域。Passpoints带来的另外一个显著的优点是，由于没有图标限制，用户设定口令时，不会集中在某些热点区域上。这样，攻击者很难猜测用户设定的口令区域，从而很好的预防猜测攻击。

但是这几种基于重复操作序列方式的图形口令认证都没有考虑防止肩窥的问题。所谓肩窥，顾名思义就是当用户操作时，从他身后观望并得到口令信息。

(2)基于图形重绘方式的图形口令认证

美国学者Jermyn等人于1999年提出了称为DAS的图形口令认证方式，允许用户在一个网格界面上绘制和重现自己的口令。由于DAS口令是画出来的，所以该机制不依赖于任何字母和数字，不受语言限制。为了解决使用DAS时用户倾向于设置简单口令的问题，英国学者Dunphy等人提出了在DAS的网格上加入背景图像的方式，形成了BDAS机制，改善了DAS的性能。但实验结果表明，BDAS对用户的绘画要求较高，用户需要培训才能很好的掌握；而且背景的选取依赖于用户的艺术细胞，因此BDAS机制通用性受到质疑。加拿大学者Hai Tao受到围棋的启发，在2006年提出了一个新的基于网格的图形口令机制Pass-Go。在此机制中，用户是在网格线的交叉点进行口令的设置而不像DAS是在网格的内部设置口令，因此它保持了DAS大部分的优点并且能够得到更高的安全性和更良好的使用性。Google推出的G1手机，其Android系统登陆画面就是由3×3的9点矩阵上面画线来进行系统登陆的。用户设计的口令可以是通过若干个点组成一个连续的线，下次解除锁定的时候，只要按照正确的顺序画出线即可。

由前面叙述可见，现有的基于图形重绘方式的图形口令认证方式也都基本不具备防肩窥的性能。

(3)基于图标识别方式的图形口令认证

美国学者Dhamija等人于2000年USENIX年会提出了一种采用哈希可视化^{错误！未找到引 用源。}的图形口令机制，即Deja Vu机制。利用哈希函数生成的随机艺术图标来取代没有意义的字符串。Deja Vu机制中生成的随机艺术图标不利于用户记忆和识别，而且认证过程需要的时间较长并且口令空间也很有限。Passfaces机制是由Real User公司开发的一个基于人脸的图形口令系统，其出发点便是用户对人脸的识别比对一般的图标的识别率和记忆性要强。Passfaces机制有其天生的缺陷，就是用户在使用Passfaces的时候，无论大人小孩都喜欢选择长相漂亮的人脸作为口令；此外，人们总是倾向于选择与自己同一种族、同一肤色的脸孔。这些因素都会导致口令的可预测性漏洞。美国学者Davis等人在Passfaces的基础上，于2004年USENIX年会发展了一种tell a story机制。用户从所给图标中选择几个图标组成一个故事。该机制很好的解决了用户在使用Passfaces时偏向于选择同一个种族或者异性图标等弊端，并且能够暗示用户设置多个无规律的口令图标。由于每个人的故事自由度很大，攻击者很难预测口令图标之间的规律，提高了系统的安全性。但是这几种基于图标识别方式的图形口令认证都不具备防肩窥性能。

美国学者Wiedenbeck等人2002年提出了一种能防止肩窥的图形口令机制系统Convex Hull。用户不是直接选择自己的口令图标，而是从这些口令图标组成的凸多边形内的任意一个图标即可。但是这个系统的可用性很差，对于很细长的多边形，几乎很难选到口令。

美国学者Man等人于2003年提出了另外一种用于防止肩窥的图形口令机制。在该机制中每个口令图标都有几个变种，而且每个变种都有唯一的编号。用户在输入口令的时候，输入内容为图标所对应的编号，而不是通过鼠标直接点击来图标来进行。不过这个机制有一个很大的缺点：即使编号是有提示意义的，用户仍然不容易记忆一个16位编号，因此该机制的实用性很差。美国学者Hong等人随后扩展了该算法，允许用户自定义编号。虽然如此，该机制仍是需要用户记忆一串文本字符，摆脱不了文本口令的缺点。

综上所述，现有的图形口令系统或者不具备防肩窥性能，或者存在防肩窥性能但可用性差的问题，不能满足系统安全的需要。

发明内容

本发明的目的在于克服上述已有技术的不足，提供一种基于动态图形口令的防肩窥身份认证系统及方法，以提高防肩窥和可用性能，实现对传统文本口令认证机制的替换，最终提高系统身份认证的安全性。

为实现上述目的，本发明提供的基于动态图形口令的防肩窥身份认证系统，包括：

用户注册信息库，用于存储用户注册信息和用户口令图标；

信息加密/解密层，用于对用户注册信息和用户口令图标进行加密和解密；

用户身份验证模块，用于对系统用户登录的身份信息进行验证，以及与应用程序桌面交互；

用户注册模块，用于对系统的新用户进行注册；

交互层，用于与用户进行系统认证交互；

所述的信息加密/解密和传输层分别与用户注册信息库、用户身份验证模块及用户注册模块双向传输；所述的交互层分别与用户注册模块、用户身份验证模块及用户双向传输；该交互层位于系统顶层，信息加密/解密层位于系统底层，用户身份验证模块和用户注册模块位于中间层。

为实现上述目的，本发明提供的基于动态图形口令的防肩窥身份认证方法，包括如下步骤：

1)用户选择注册或者验证身份登录；

2)对于需要注册的用户，检查用户ID和文本口令，选定口令图标背景颜色、安全等级和口令图标；再选择退出系统或者回到登录界面；

3)对于需要验证身份登录的用户，加载由多种颜色图标矩阵组成的验证界面进行口令验证；再选择退出系统或者回到登录界面。

上述方法，其中步骤2)所述的选定口令图标背景颜色、安全等级和口令图标，按如下步骤进行：

2a.选择一种颜色作为口令图标的背景颜色；

2b.根据需要设定符合需求的口令安全级别，该安全等级根据不同颜色的图标矩阵数分成低级、中级、高级和用户自定义四个级别；

2c.解密图标库，并提取总量1/10的图标显示在当前屏幕上；

2d.根据选择的安全级别，从屏幕上选出对应颜色数量2倍的图标构成口令图标集。

上述方法，其中步骤3)所述的加载由多种颜色图标矩阵组成的验证界面进行口令验证，按如下步骤进行：

3a.解密图标库，根据用户选定的安全等级，每种颜色各提取安全等级对应颜色数量个图标矩阵的图标，并以图标矩阵为单位，颜色交叉显示在屏幕上；

3b.从选定颜色的图标矩阵中选择设定的口令图标，根据口令图标所在的位置(1～9)，在键盘上输入对应的数字；

3c.解密用户注册信息库中的口令信息，与用户当前输入的口令进行比较验证，如果当前输入口令与注册信息库中的口令相符，则允许用户使用系统，否则返回认证界面。

本发明由于首次采用图标背景颜色和图标矩阵的交叉显示，所以能够提供较好的可用性；同时由于采用键盘代替鼠标来选择口令图标，以及口令图标和伪图标交叉显示的特点，具有较好的防肩窥性；此外由于口令每次动态变化，即使发生当前口令泄露，上一次的口令也无法通过下次的系统认证，因而能够解决在很多公共场合需要输入口令进行身份认证的问题，提高安全性能。

附图说明

图1是本发明的系统框架示意图；

图2是本发明方法的流程图；

图3是本发明对图标的加密、解密示意图；

图4是本发明的低安全级别屏幕显示界面示意图；

图5是本发明的中安全级别屏幕显示界面示意图；

图6是本发明的高安全级别屏幕显示界面示意图；

图7是本发明验证过程中的图标矩阵与键盘数字的对应关系示意图；

图8为30名参与者分别10次登录的平均时间变化；

图9为30名参与者成功登录低级、中级和高级安全等级的平均时间比较结果。

具体实施方式

参照图1，本发明的防肩窥身份认证系统，包括用户注册信息库(115)，交互层(111)，用户注册模块(112)，用户身份验证模块(113)，信息加密/解密层(114)，用户(102)和应用程序桌面(101)。交互层(111)位于系统顶层，信息加密/解密层(114)位于系统底层，用户身份验证模块(113)和用户注册模块(112)位于中间层。

所述的用户注册信息库(115)用于存储加密的用户注册信息和用户口令图标；交互层(111)，用于与用户(102)进行系统认证交互，用户向系统提交注册信息，以及获得系统的反馈信息等。

所述的用户注册模块(112)，用于对系统的新用户进行注册。第一步需要检查用户的ID和文本口令，通过用户ID和文本口令检查才能注册图形口令。逐步选定口令图标背景颜色、图形口令安全等级和口令图标，安全等级分别为低级、中级、高级和用户自定义级别。用户注册的时候，选择口令图标的屏幕只显示用户选定颜色的图标，其数量为用户注册信息库中用户选定颜色的图标总量的1/10，用户根据设定的安全级别分别从当前屏幕中选择对应的图标数构成口令图标集，例如低级选择4个图标，中级选择6个图标，高级选择8个图标。

所述的用户身份验证模块(113)，用于进行图形口令的身份验证。加载由多种颜色图标矩阵组成的验证界面，安全等级不同，屏幕上的图标矩阵数量也不相同，其中低级的屏幕上交叉显示2种颜色的图标，各2个3×3的图标矩阵，如附图4所示；中级的屏幕上交叉显示3种颜色的图标，各3个3×3的图标矩阵，如附图5所示；高级的屏幕上交叉显示4种颜色的图标，各4个3×3的图标矩阵，如附图6所示；自定义级别是由用户设定的显示图标颜色数及验证轮数。在用户选定颜色的图标矩阵中，每个3×3图标矩阵中含有两个口令图标。从选定颜色的图标矩阵中选择设定的口令图标，根据口令图标所在的位置，在键盘上输入对应的数字，如图7所示。即键盘中的1到9对应图标矩阵中的相应位置，例如图7(a)中的图标“脸谱”对应图7(b)中的数字1，图7(a)中的图标“救生圈”对应图7(b)中的数字6。用户输入完口令后，系统将输入口令与注册信息库中的口令进行比较验证。用户身份验证模块(113)还能够用于与应用程序桌面(101)交互，交互时，用户通过锁定屏幕进入用户身份验证模块(113)。

所述的信息加密/解密层(114)，用于加密存储用户注册信息，以及进行用户身份验证时解密用户注册信息库中的图标。加密时，采用图像置乱算法对图标库中所有的图标进行加密，即提取原始图标中随机一个位置的像素信息，作为种子，对图标上的其它像素点加密，实现图标置乱；解密时，采用加密时的随机种子作为解密钥匙，反向运行加密算法，得到原始图标。

所述的信息加密/解密层(114)分别与用户注册信息库(115)、用户身份验证模块(113)及用户注册模块(112)双向传输。用户注册时，注册信息从用户注册模块(112)流向用户注册信息库(115)。用户身份验证时，注册信息先从用户身份验证模块(113)流向用户注册信息库(115)，再从用户注册信息库(115)反馈信息给用户身份验证模块(113)。

所述的交互层(111)分别与用户注册模块(112)、用户身份验证模块(113)及用户(102)双向传输；用户通过交互层(111)选择进入用户注册模块(112)或者用户身份验证模块(113)，对于选择用户身份验证模块(113)，验证成功的进入系统，验证失败的返回用户(102)。对于选择用户注册模块(112)，加密存储用户注册信息。

参照图2，本发明的防肩窥身份认证方法，包括如下步骤：

A.选择步骤

通过在系统首界面上提供一对单选项，让用户选择注册或者验证身份登录。如果用户选择注册，则进入注册步骤；如果用户选择身份验证，则进入身份验证步骤。

B.注册步骤

B1)检查用户ID和文本口令以注册图形口令，如果用户ID和文本口令检查通过，则继续下一步，否则返回系统首界面；

B2)界面提供5种颜色供用户选择，用户选择一种颜色作为口令图标的背景颜色；

B3)界面提供四个不同的安全等级，用户根据自己的需要，选择一个安全等级，口令等级越高越安全，但是所需要的系统登录时间越长。该安全等级分别为低级、中级、高级和用户自定义级别；

B4)界面显示用户选定颜色的图标，例如红色。其数量为用户注册信息库中用户选定颜色的图标总量的1/10，用户根据设定的安全级别分别从当前屏幕中选择对应的图标数构成口令图标集，例如低级选择4个图标，中级选择6个图标，高级选择8个图标；

B5)将用户所选择的口令图标加密存储在用户注册信息库115中。提取原始图标中随机一个位置的像素信息作为种子，采用DES对称加解密算法，对图标上的其它像素点进行图标置乱加密，图标的加密示意图见图3，其中3(a)为原始图片，3(b)为加密后存储的图片；

B6)用户使用系统的过程中，通过锁定屏幕进入到身份验证步骤，或者通过退出方式结束。

C.身份验证步骤

C1)系统加载验证界面，介绍验证规则和注意事项；

C2)检测用户输入的账号是否为空，如果账号非空，则进入下一步，否则转到加载验证界面；

C3)提取用户注册信息库中的图标，提取的图标包含用户所选定的颜色，提取的数量根据用户设定的安全等级变化进行，例如低级提取2种颜色，各18个图标，其中包含用户设定的4个图形口令，组成4个3×3的图标矩阵颜色交叉显示在屏幕上，如图4；中级提取3种颜色，各27个图标，其中包含用户设定的6个图形口令，组成9个3×3的图标矩阵颜色交叉显示在屏幕上，如图5；高级提取4种颜色，各36个图标，其中包含用户设定的8个图形口令，组成16个3×3的图标矩阵颜色交叉显示在屏幕上，如图6；

C4)解密提取的图标，采用加密时的随机种子作为解密钥匙，采用DES对称加解密算法，反向运行加密算法，得到原始图标，图标的解密示意图见图3，其中图3(a)为原始图片，图3(b)为加密后存储的图片；

C5)用户在所选定颜色的图标矩阵内，选择自己的口令图标，输入图标的位置数字，即1至9，图标矩阵和数字1至9的对应关系见图7。例如图7(a)中的图标“脸谱”对应图7(b)中的数字1，图7(a)中的图标“救生圈”对应图7(b)中的数字6。其它颜色的3×3图标矩阵用来混淆偷窥者。由于图标在图标矩阵内随机出现，每次验证的时候位置都不一样，所以每次输入的口令也都不一样，保证口令动态变化；

C6)用户输入完口令后，系统将输入口令与注册信息库中的口令进行比较验证，若验证成功则运行用户使用系统，否则转到加载验证界面；

C7)用户使用系统的过程中，通过锁定屏幕进入到加载验证界面，或者通过退出方式结束。

本发明的效果可以通过以下实验进一步说明：

用C++语言对上述系统和方法进行了编写，分别进行如下实验：

1)可用性实验。在这个实验中，参与者被要求在中级安全等级下，不断尝试身份登录验证，直到获得10次成功登录，并由工具自动记录每次登录的时间。图8为30名参与者分别10次登录的平均时间变化示意图。由图8可以看出随着登录次数的增加，参与者对系统的熟悉也程度不断加深，登录的时间也呈下降趋势，并稳定在4秒钟左右。27名参与者，也就是90％的参与者表示4秒钟的登录时间可以接受。

2)背景颜色的实验。为了表明加入图标背景颜色可以降低登录者的时间，我们将所有的图标背景颜色去掉，也进行了登录实验。分别记录30名参与者成功登录低级、中级和高级安全等级的平均时间，比较结果如图9所示。可以看出所有的安全等级，加入背景颜色需要的登录时间都比没有背景颜色的要短，而且安全等级越高，有背景颜色和没有背景颜色的登录时间相差的越多。

3)防肩窥实验。30名参与者被要求作为偷窥者在旁边偷窥其他参与者的图形口令，然后每个人给3次机会登录系统。实验结果显示，没有一个偷窥者能够成功登录系统，表明本系统和方法具有良好的防肩窥性。

4)记忆性实验。进行上面的实验过一周之后，30名参与者再重新登录系统。结果表明，在只给一次机会的情况下，有93.3％的参与者能够成功登录系统；而且给三次机会的情况下，100％的参与者都能够成功登录系统。再过一个月，给三次机会的情况下，100％的参与者仍然能够成功登录系统。实验结果表明，人类对于图形口令的记忆性良好。

5)参与者问卷调查。30名参与者还被要求参加了一份问卷调查。调查内容和结果见表1。

表1      图形口令问卷调查结果

由表1可以看出，3/4的参与者认为图形口令有意义。且在低级和中级安全等级下，参与者都能够接受登录时间。在高级安全等级下，22名参与者表示可以接受登录时间，8名参与者接受不了。26名参与者表示图形口令容易掌握。23名参与者表示背景颜色使得系统界面友好。但是鉴于用户习惯不容易改变，只有15名参与者表示愿意选择图形口令，其他15名参与者仍然愿意选择自己比较熟悉的文本口令。但是这个结果也是比较鼓舞人心，毕竟新生事物被广泛接受都有一个过程。

Claims (6)

1.一种基于动态图形口令的防肩窥身份认证系统，包括：

用户注册信息库(115)，用于存储用户注册信息和用户口令图标；

信息加密/解密层(114)，用于对用户注册信息和用户口令图标进行加密和解密；

用户身份验证模块(113)，用于对系统用户登录的身份信息进行验证，以及与应用程序桌面(101)交互；

用户注册模块(112)，用于对系统的新用户进行注册；

交互层(111)，用于与用户(102)进行系统认证交互；

所述的信息加密/解密层(114)分别与用户注册信息库(115)、用户身份验证模块(113)及用户注册模块(112)双向传输；

所述的交互层(111)分别与用户注册模块(112)、用户身份验证模块(113)及用户(102)双向传输。

2.根据权利要求1所述的防肩窥身份认证系统，其中交互层(111)位于系统顶层，信息加密/解密层(114)位于系统底层，用户身份验证模块(113)和用户注册模块(112)位于中间层。

3.一种基于动态图形口令的防肩窥身份认证方法，包括如下步骤：

1)用户选择注册或者验证身份登录；

2)对于需要注册的用户，检查用户ID和文本口令，选定口令图标背景颜色、安全等级和口令图标；再选择退出系统或者回到登录界面；

3)对于需要验证身份登录的用户，加载由多种颜色图标矩阵组成的验证界面进行口令验证；再选择退出系统或者回到登录界面。

4.根据权利要求3所述的防肩窥身份认证方法，其中步骤2)所述的选定口令图标背景颜色、安全等级和口令图标，按如下步骤进行：

4.1)选择一种颜色作为口令图标的背景颜色；

4.2)根据需要设定符合需求的口令安全级别，该安全等级根据不同颜色的图标矩阵数组成低级、中级、高级和用户自定义四个级别；

4.3)解密图标库，并提取总量1/10的图标显示在当前屏幕上；

4.4)根据选择的安全级别，从屏幕上选出对应颜色数量2倍的图标构成口令图标集。

5.根据权利要求4所述的防肩窥身份认证方法，其中步骤4.2)所述的四个安全级别，分别是：由2种颜色的图标，4个3×3的图标矩阵组成低级；由3种颜色的图标，9个3×3的图标矩阵组成中级；由4种颜色的图标，16个3×3的图标矩阵组成高级；由用户自己定义图标颜色数及验证轮数组成用户自定义。

6.根据权利要求3所述的防肩窥身份认证方法，其中步骤3)所述的加载由多种颜色图标矩阵组成的验证界面进行口令验证，按如下步骤进行：

6.1)解密图标库，根据用户选定的安全等级，每种颜色各提取安全等级对应颜色数量个图标矩阵的图标，并以图标矩阵为单位，颜色交叉显示在屏幕上；

6.2)从选定颜色的图标矩阵中选择设定的口令图标，根据口令图标所在的位置(1到9)，在键盘上输入对应的数字；

6.3)解密用户注册信息库中的口令信息，与用户当前输入的口令进行比较验证，如果当前输入口令与注册信息库中的口令相符，则允许用户使用系统，否则返回认证界面。

Images