CN105610841B - 一种基于可溯源的用户信息认证方法 - Google Patents

Abstract

本发明提供一种基于可溯源的用户信息认证方法，包括：认证用户身份；构建行为认证集；基于D‑S证据理论对用户行为进行可信认证；溯源认证用户身份。通过以上技术方案解决了互联网中对网络用户身份认证问题，通过本方法可以实现对用户的身份和行为双重认证，不仅有效避免不法用户进入网络，而且规范用户的网络行为；从而大大提高了互联网的安全性。

Description

一种基于可溯源的用户信息认证方法

技术领域

本发明涉及一种认证方法，具体涉及一种基于可溯源的用户信息认证方法。

背景技术

随着网络信息系统应用的不断普及和深化，信息安全问题越来越受到重视，为了保障信息系统的安全，终端安全防护成为亟需解决的难题。

终端用户认证技术作为计算机及网络系统安全的第一道关口，是确认操作者身份的重要技术手段。目前，常采用的安全防护措施有向用户颁发数字证书、USB用户密钥、生物特征(指纹、虹膜)等辅助安全手段验证用户身份的真实性，保障用户在互联网活动中的安全。

近年来移动终端发展的愈发迅猛，由于移动终端硬件设施的局限性和手机操作系统种类繁多等问题，传统的安全防护措施已经不太适用；另外，传统的身份认证方法对用户进行身份确认，但只有身份信任还是不够的，因为在某些情况下，用户身份可信，但其行为未必可信。因此，必须保证用户身份和行为的双重可信。

目前针对互联网用户进行身份认证的技术主要有口令机制和生物识别技术，但这两种方法都存在各自的局限性。具体而言，口令机制的缺点为：口令通过明文传送至验证服务器，期间容易被截获，且口令维护的成本较高；然而为保证安全性，口令应当经常更换，另外为避免对口令的字典攻击，口令应当保证一定的长度，难于记忆；口令在输入时容易被他人偷窥。生物识别技术的缺点为：生物识别需要的精准实验设备通常较昂贵，且由于人的很多生物特征会发生改变；因此该方法且稳定度低、识别失败率高。

发明内容

为了克服上述缺陷，本发明提供一种基于可溯源的用户信息认证方法，避免了用户身份认证误判，解决了网络活动中对不法用户的检测问题；提高了互联网的安全性。

本发明的目的是采用下述技术方案实现的：

一种基于可溯源的用户信息认证方法，所述方法包括下述步骤：

1)认证用户身份；

2)构建行为认证集；

3)基于D-S证据理论对用户行为进行可信认证；

4)溯源认证用户身份。

优选的，所述步骤1)中，认证用户身份包括，用户向服务器发送一个请求报文，服务器接收该报文后，提取其包含的用户IP地址和二进制数的取反运算规则；

利用该取反运算规则对用户IP地址按位取反，生成动态密码，回执给用户；

用户获得动态密码后，填写用户名和动态密码提交至服务器进行认证，若认证成功，则允许进入网络系统，转至步骤2)；否则登录失败。

优选的，所述步骤2)中的构建行为认证集数据包括内容异常数据、习惯异常数据、安全异常数据和契约异常数据优选的，所述步骤3)基于D-S证据理论对用户行为进行可信认证包括：

3-1根据网络流量中用户提交的报文内容捕获用户行为；并根据行为认证集，将用户的行为分为可信行为和不可信行为；

3-2确定用户行为可信度评估函数；

3-3对用户行为进行可信认证。

进一步地，所述步骤3-1的划分方法包括：将行为认证集设定为S＝{S₁，S₂，S₃......S_n}，第k次行为质量为S_k；其中，1≤k≤n；

定义行为认证集的可信门限值ɑ和β，满足0≤ɑ≤β≤1；当β≤S_k≤1时，则第k次交互行可信；当0≤S_k≤ɑ时，则交互行为不可信；若ɑ≤S_k≤β，则第k次交互行为为不确定行为。

进一步地，所述步骤3-2的用户行为可信度评估函数包括可信行为的概率分配函数、不可信行为的概率分配函数和不确定行为的概率分配函数，具体为：

设置样本空间D＝{T,-T}，可信行为的概率分配函数如式m{T}＝p*length_T/N所示，其中0<p<1，{T}为可信行为序列，length_T为可信行为序列的长度，p为可信行为调节系数；

不可信行为的概率分配函数如式m{-T}＝q*length_-T/N所示，其中0<q<1，{-T}为不可信行为序列，length_-T为不可信行为序列长度，q为不可信行为调节系数。

进一步地，将均不属于可信行为序列{T}和不可信行为序列{-T}的用户行为定义为不确定行为序列{T,-T}，生成用户行为可信度评估函数三元组<m{T},m{-T},m{T,-T}>；其中，m{T,-T}表示不确定行为的概率分配函数。

进一步地，所述步骤3-3中，用户行为的可信认证方法包括：对用户行为可信度评估函数归一化处理，获得可信行为发生概率；若概率范围未超过预设阈值则用户行为可信，允许继续操作，否则跳转至步骤4)；其中，

归一化处理后的用户行为可信度评估函数如下式所示：

其中，T为可信行为集合，P(T)为可信行为发生概率；则，

P(T)＝(1-β)/(1-β+ɑ).Bel(T)＝m(T)＝p*length_T/N,pl(T)＝1-Bel(-T)

其中，Pl(T)为可信行为集合的似然函数；Bel(T)为可信行为集合的信任函数。

优选的，所述步骤4)溯源确认用户身份包括：若用户行为不可信，则由系统服务提供商自动向服务器提出身份溯源请求，对用户进行二次认证，判断用户身份及行为是否存在虚假信息。

进一步地，所述二次认证包括：服务器接收系统服务提供商的身份溯源请求后，向系统服务提供商返回可信行为发生概率范围超过预设阈值对应用户的溯源信息码；对比返回的溯源信息码与预置在SP服务器中的原始溯源信息码是否相同；其中，所述溯源信息码包括即用户注册信息和历史行为。

与现有技术相比，本发明达到的有益效果是：

本发明方案中，在密码生成方面，利用合法用户所持移动终端的IP地址取反生成动态密码，既可以有效避免不法用户在其他移动设备上利用当前用户账号进行登录，也避免人们使用生日号等过于简单的密码，加大了密码被破解的难度；有效避免了用户密码容易破解的不足，大大提高了安全性。

本发明提出基于行为认证集对用户行为进行认证，弥补了传统认证过程忽略检测用户行为的不足，规范用户的网络行为；

本发明不但对用户身份认证，还对用户行为认证，既能有效避免不法用户进入网络系统，又能规范用户的网络行为；本发明在行为认证失败后，再次对用身份溯源确认，通过二次确认，可以有效避免身份误判的情况发生，提高了认证的准确性。

附图说明

图1为基于可溯源的用户信息认证方法流程图；

图2为基于可溯源的用户信息认证方案时序图；

具体实施方式

下面结合附图对本发明的具体实施方式做进一步的详细说明。

如图1所示，一种基于可溯源的用户信息认证方法，所述方法包括下述步骤：

1)认证用户身份；步骤1)中，认证用户身份包括，用户向服务器发送一个请求报文，服务器接收该报文后，提取其包含的用户IP地址和二进制数的取反运算规则；

利用该取反运算规则对用户IP地址按位取反，生成动态密码，回执给用户；

用户获得动态密码后，填写用户名和动态密码提交至服务器进行认证，若认证成功，则允许进入网络系统，转至步骤2)；否则登录失败。

2)构建行为认证集；步骤2)中的行为认证集依据网络安全规则进行构建；其包括内容异常数据、习惯异常数据、安全异常数据和契约异常数据。

内容异常数据的获取：例如某专业的学生大量下载与其专业不相关的学习资料；某用户突然大量购买以往非常规商品等。

习惯异常数据的获取：每个终端用户在使用云计算资源的时候，具有自己独特的行为操作习惯，例如对于熟悉自己云资源的老用户来说，操作的流程可能是直接点击用户以往常用的资源，使用资源，再释放资源等。对于欺骗者，使用网络的习惯可能与原用户有所不同；

安全异常数据的获取：这种异常行为可能对系统形成巨大安全隐患，造成系统破坏，这个可以根据目前的入侵检测规则作为我们行为安全检测的认证集；

契约异常数据的获取：对于重要网络服务来说，云服务提供商都与终端用户签订服务契约，对于非法用户或者图谋不轨的某些合法用户都会在用户行为中违反契约规定。

3)基于D-S证据理论对用户行为进行可信认证；

D-S证据理论相关知识介绍如下：

定义1：设D为样本空间，领域内的命题都用D的子集表示

定义2：设函数M：2D->[0,1]，且满足M(Φ)＝0，ΣM(A)＝1，其中A是D的子集。则称M是2D上的概率分配函数，M(A)为A的基本概率数。

定义3：命题的信任函数Bel：2D->[0,1]，且Bel(A)＝ΣM(B)(其中B是A的所有子集)。

定义4：似然函数Pl：2D->[0,1]，且Pl(A)＝1-Bel(-A)。

本方案的具体步骤包括：

3-1根据网络流量中用户提交的报文内容捕获用户行为；并根据行为认证集，将用户的行为分为可信行为和不可信行为；

3-2确定用户行为可信度评估函数；

3-3对用户行为进行可信认证。

步骤3-1的划分方法包括：将行为认证集设定为S＝{S₁，S₂，S₃......S_n}；第k次行为质量为S_k；其中，1≤k≤n；

定义行为认证集的可信门限值ɑ和β，满足0≤ɑ≤β≤1；当β≤S_k≤1时，则第k次交互行可信；当0≤S_k≤ɑ时，则交互行为不可信；若ɑ≤S_k≤β，则第k次交互行为为不确定行为。

步骤3-2的用户行为可信度评估函数包括可信行为的概率分配函数、不可信行为的概率分配函数和不确定行为的概率分配函数，具体为：

设置样本空间D＝{T,-T}，可信行为的概率分配函数如式m{T}＝p*length_T/N所示，其中0<p<1，{T}为可信行为序列，length_T为可信行为序列的长度，p为可信行为调节系数；

不可信行为的概率分配函数如式m{-T}＝q*length_-T/N所示，其中0<q<1，{-T}为不可信行为序列，length_-T为不可信行为序列长度，q为不可信行为调节系数；且q的取值范围根据网络对用户不可信行为的容忍度进行调节，其容忍度越高则q值越大；

将均不属于可信行为序列{T}和不可信行为序列{-T}的用户行为定义为不确定行为序列{T,-T}，生成用户行为可信度评估函数三元组<m{T},m{-T},m{T,-T}>；其中，m{T,-T}表示不确定行为的概率分配函数。

步骤3-3中用户行为的可信认证方法包括：对用户行为可信度评估函数归一化处理，获得可信行为发生概率；若概率范围未超过预设阈值则用户行为可信，允许继续操作，否则跳转至步骤4)；其中，

归一化处理后的用户行为可信度评估函数如下式所示：

其中，T为可信行为集合，P(T)为可信行为发生概率；则，

P(T)＝(1-β)/(1-β+ɑ).Bel(T)＝m(T)＝p*length_T/N,pl(T)＝1-Bel(-T)

其中，Pl(T)为可信行为集合的似然函数；Bel(T)为可信行为集合的信任函数。

4)溯源认证用户身份。若用户行为不可信，则由系统服务提供商自动向服务器提出身份溯源请求，对用户进行二次认证，判断用户身份及行为是否存在虚假信息；从而避免身份误判，并规范用户网络行为。

所述二次认证包括：服务器接收系统服务提供商的身份溯源请求后，向系统服务提供商返回可信行为发生概率范围超过预设阈值对应用户的溯源信息码；对比返回的溯源信息码与预置在SP服务器中的原始溯源信息码是否相同；其中，所述溯源信息码包括即用户注册信息和历史行为。

最后应当说明的是：以上实施例仅用以说明本申请的技术方案而非对其保护范围的限制，尽管参照上述实施例对本申请进行了详细的说明，所属领域的普通技术人员应当理解：本领域技术人员阅读本申请后依然可对申请的具体实施方式进行种种变更、修改或者等同替换，这些变更、修改或者等同替换，其均在其申请待批的权利要求范围之内。

Claims (7)

1.一种基于可溯源的用户信息认证方法，其特征在于，所述方法包括下述步骤：

1)认证用户身份；

2)构建行为认证集；

3)基于D-S证据理论对用户行为进行可信认证；

4)溯源认证用户身份；

所述步骤2)中的构建行为认证集数据包括内容异常数据、习惯异常数据、安全异常数据和契约异常数据；

所述步骤3)基于D-S证据理论对用户行为进行可信认证包括：

3-1根据网络流量中用户提交的报文内容捕获用户行为；并根据行为认证集，将用户的行为分为可信行为和不可信行为；

3-2确定用户行为可信度评估函数；

3-3对用户行为进行可信认证；

所述步骤3-1的划分方法包括：将行为认证集设定为S＝{S₁，S₂，S₃......S_n}；第k次行为质量为S_k；其中，1≤k≤n；

定义行为认证集的可信门限值ɑ和β，满足0≤ɑ≤β≤1；当β≤S_k≤1时，则第k次交互行可信；当0≤S_k≤ɑ时，则交互行为不可信；若ɑ≤S_k≤β，则第k次交互行为为不确定行为。

2.如权利要求1所述的方法，其特征在于，所述步骤1)中，认证用户身份包括，用户向服务器发送一个请求报文，服务器接收该报文后，提取其包含的用户IP地址和二进制数的取反运算规则；

利用该取反运算规则对用户IP地址按位取反，生成动态密码，回执给用户；

用户获得动态密码后，填写用户名和动态密码提交至服务器进行认证，若认证成功，则允许进入网络系统，转至步骤2)；否则登录失败。

3.如权利要求1所述的方法，其特征在于，所述步骤3-2的用户行为可信度评估函数包括可信行为的概率分配函数、不可信行为的概率分配函数和不确定行为的概率分配函数，具体为：

设置样本空间D＝{T,-T}，可信行为的概率分配函数如式m{T}＝p*length_T/N 所示，其中0<p<1，{T}为可信行为序列，length_T为可信行为序列的长度，p为可信行为调节系数；N表示可信行为的次数；

不可信行为的概率分配函数如式m{-T}＝q*length_-T/N所示，其中0<q<1，{-T}为不可信行为序列，length_-T为不可信行为序列长度，q为不可信行为调节系数，N表示不可信行为的次数。

4.如权利要求3所述的方法，其特征在于，将均不属于可信行为序列{T}和不可信行为序列{-T}的用户行为定义为不确定行为序列{T,-T}，生成用户行为可信度评估函数三元组<m{T},m{-T},m{T,-T}>；其中，m{T,-T}表示不确定行为的概率分配函数。

5.如权利要求1所述的方法，其特征在于，所述步骤3-3中用户行为的可信认证方法包括：对用户行为可信度评估函数归一化处理，获得可信行为发生概率；若概率范围未超过预设阈值则用户行为可信，允许继续操作，否则跳转至步骤4)；其中，

归一化处理后的用户行为可信度评估函数如下式所示：

其中，T为可信行为集合，P(T)为可信行为发生概率；则，

P(T)＝(1-β)/(1-β+ɑ)·Bel(T)＝m(T)＝p*length_T/N,pl(T)＝1-Bel(-T)

其中，Pl(T)为可信行为集合的似然函数；Bel(T)为可信行为集合的信任函数； N表示可信行为的次数。

6.如权利要求1所述的方法，其特征在于，所述步骤4)溯源确认用户身份包括：若用户行为不可信，则由系统服务提供商自动向服务器提出身份溯源请求，对用户进行二次认证，判断用户身份及行为是否存在虚假信息。

7.如权利要求6所述的方法，其特征在于，所述二次认证包括：服务器接收系统服务提供商的身份溯源请求后，向系统服务提供商返回可信行为发生概率范围超过预设阈值对应用户的溯源信息码；对比返回的溯源信息码与预置在SP服务器中的原始溯源信息码是否相同；其中，所述溯源信息码包括即用户注册信息和历史行为。

Images