CN109525541A - 一种用户行为特征身份识别方法及系统 - Google Patents

Abstract

本发明公开了一种用户行为特征身份识别方法及系统，属于网络空间安全的身份识别技术领域，所述方法包括：在进行身份验证的过程中或者在检测出用户做出可疑动作时，启用预设诱骗场景，其中，所述可疑动作表示与预设的正常行为动作不同的动作；采集用户在所述预设诱骗场景下的行为特征数据，并将所述行为特征数据与特征库中所述用户的行为特征数据进行比对，以对所述用户的身份进行识别。本发明通过在一个合适诱骗场景中，促使用户产生足够多的身份验证数据，提高身份识别率，实现零知识的安全身份验证。

Description

一种用户行为特征身份识别方法及系统

技术领域

本发明属于网络空间安全的身份识别技术领域，更具体地，涉及一种用户行为特征身份识别方法及系统。

背景技术

身份识别是网络空间安全的第一道关口，安全的身份识别技术是保证网络空间安全的基础前提。现有的身份识别技术，根据其所利用的关键信息不同，大致有以下三种类别：

1)基于记忆信息的，如密码、PIN码、短信验证码等；

2)基于辅助设备的，如身份卡、令牌、手机令牌等；

3)基于生物物理特征的，如指纹、虹膜等。

这些传统的身份识别技术在实际应用中又有着各自的弱点。密码作为最常用的一种身份识别方式，普遍存在着趋于简单化、易猜测以及易遗忘等问题，而设置为完全符合安全规则的乱序混合密码又存在着难以记忆的问题。而使用辅助设备的方式，则存在设备遗失、损坏等管理问题，最终成为系统用户的负担。使用生物物理特征的方法则需要额外添加相应设备，同时由于生物物理特征受个体状态影响较大，在特定用户身上难以起效(如部分用户指纹过于平滑难以采集等)，导致了实际应用部署上的困难。

最近几年，基于社会工程学的、非传统的网络攻击方式——高级持续性威胁(Advanced Processing Threat，APT)，使得攻击者不仅可以通过对个人暴露在网络上的隐私信息进行综合利用提高猜测密码的准确度，还可以直接“撞库”得到用户在不同网站对同一个用户名设置的相同的通用密码，甚至还可以通过诈骗等非技术手段骗取短信验证码、令牌设备实时口令等曾经被视为“最后一道保险”的关键验证信息。

一些不惧怕窃取、无法伪造的基于零知识的身份识别方法，如提取用户在计算机上的鼠标、键盘等行为特征进行身份识别的方法，由于其算法本身的需要，要求采集较大量的、时间较长的行为数据才能进行特征提取和比对，不适合进行实时的身份识别。又或者如拼图测试等方法，过于繁琐且显得过于刻意，对正常用户来说一是降低了使用效率，二是特意的验证场景使得受测试者处于“我在被测试”的心理状态，反而导致行为特征出现偏差，三是正常用户多次接受测试后，会因为熟练度提高而导致自身行为特征出现偏差，最终“自己不是自己”使得验证失败；对冒用身份的攻击者来说，过于刻意的身份验证场景容易使其产生警惕，从而更改其攻击策略，以至于一些监控与反向追踪手段难以施展。

因此，如何在合适的场景下，恰当地获取足够的关键信息，实现对用户身份进行零知识的安全身份验证，是亟待解决的技术难题。

发明内容

针对现有技术的以上缺陷或改进需求，本发明提供了一种用户行为特征身份识别方法及系统，由此解决现有的安全身份验证存在的操作复杂以及易于被破解等的技术问题。

为实现上述目的，按照本发明的一个方面，提供了一种用户行为特征身份识别方法，包括：

在进行身份验证的过程中或者在检测出用户做出可疑动作时，启用预设诱骗场景，其中，所述可疑动作表示与预设的正常行为动作不同的动作；

采集用户在所述预设诱骗场景下的行为特征数据，并将所述行为特征数据与特征库中所述用户的行为特征数据进行比对，以对所述用户的身份进行识别。

优选地，所述方法还包括：

对用户的若干种行为特征进行采样，并对采样数据进行学习建立特征库；

根据采样得到的用户的若干种行为特征，设计预设诱骗场景。

按照本发明的另一方面，提供了一种用户行为特征身份识别系统，包括：

诱骗场景启动模块，用于在进行身份验证的过程中或者在检测出用户做出可疑动作时，启用预设诱骗场景，其中，所述可疑动作表示与预设的正常行为动作不同的动作；

身份识别模块，用于采集用户在所述预设诱骗场景下的行为特征数据，并将所述行为特征数据与特征库中所述用户的行为特征数据进行比对，以对所述用户的身份进行识别。

优选地，所述系统还包括：

特征库建立模块，用于对用户的若干种行为特征进行采样，并对采样数据进行学习建立特征库；

诱骗场景设计模块，用于根据采样得到的用户的若干种行为特征，设计预设诱骗场景。

总体而言，通过本发明所构思的以上技术方案与现有技术相比，能够取得下列有益效果：

1、通过诱骗场景，使得被验证的用户自然而然地产生行为，对被测试者不会产生额外的影响，提高了准确率，也降低了冒用身份的攻击者的警惕。

2、本发明方法并不与现有传统的身份识别方法冲突，而是对传统身份识别方法的补充，可以与现有传统的身份识别方法同时使用。

附图说明

图1是本发明实施例公开的一种用户行为特征身份识别方法的流程示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。此外，下面所描述的本发明各个实施方式中所涉及到的技术特征只要彼此之间未构成冲突就可以相互组合。

本发明中的诱骗场景是指一种非刻意的、能诱使用户做出足够多的行为动作的场景，该场景在系统应用中会自然发生，并不会引起冒用身份的攻击者的怀疑，也不会引起用户的察觉，用户或者冒用身份的攻击者均为认为该场景是系统的一个正常的场景；同时在该场景发生后，用户会自然而然地做出相应动作，从而暴露足够多的行为数据用以提取特征。这些特征则会用来进行基于零知识的用户身份识别。

如图1所示为本发明实施例公开的一种用户行为特征身份识别方法的流程示意图，在图1所示的方法中，包括以下步骤：

(1)在进行身份验证的过程中或者在检测出用户做出可疑动作时，启用预设诱骗场景，其中，所述可疑动作表示与预设的正常行为动作不同的动作；

(2)采集用户在所述预设诱骗场景下的行为特征数据，并将所述行为特征数据与特征库中所述用户的行为特征数据进行比对，以对所述用户的身份进行识别。

在一个可选的实施方式中，所述方法还包括：

对用户的若干种行为特征进行采样，并对采样数据进行学习建立特征库；

根据采样得到的用户的若干种行为特征，设计预设诱骗场景。

在本发明的另一个实施例中，还提供了一种用户行为特征身份识别系统，包括：

诱骗场景启动模块，用于在进行身份验证的过程中或者在检测出用户做出可疑动作时，启用预设诱骗场景，其中，所述可疑动作表示与预设的正常行为动作不同的动作；

身份识别模块，用于采集用户在所述预设诱骗场景下的行为特征数据，并将所述行为特征数据与特征库中所述用户的行为特征数据进行比对，以对所述用户的身份进行识别。

若所述行为特征数据与特征库中所述用户的行为特征数据匹配，则身份验证通过，若不匹配，则身份验证不通过。

在一个可选的实施方式中，所述系统还包括：

特征库建立模块，用于对用户的若干种行为特征进行采样，并对采样数据进行学习建立特征库；

诱骗场景设计模块，用于根据采样得到的用户的若干种行为特征，设计预设诱骗场景。

现选择用户突发鼠标行为特征设置相应诱骗场景进行用户身份识别对本发明进一步详细说明。

用户在鼠标无法移动或光标图案消失后，通常会尝试爆发性地移动鼠标，以确认鼠标是否坏掉。这一行为的前提条件是系统应用中常见的设备(疑似)故障场景，且该行为的突发性会导致用户产生较多的行为数据，从中提取的行为特征可以很好地描述单个用户在突发设备故障情况下的行为，从而进行身份识别。故而选择该行为特征进行诱骗场景设置：

(1.1)设置一个让鼠标无法移动或暂时使得鼠标光标图案消失的场景；

(1.2)该场景可以于用户在登录页面弹出后，必然要移动鼠标至用户名/密码输入框，或输入完成后需要点击确定按钮等时机出现；或用户在进行系统业务操作时产生了可疑操作时激活；

(1.3)在恰当时间(例如用户开始移动鼠标5秒后)结束场景，期间记录鼠标移动的起始位置、结束位置、途经位置以及对应的时间轴；

(1.4)从记录的数据中提取鼠标移动方向、轨迹曲率、鼠标移动距离、鼠标移动速度共计29维的特征向量，如表1所示；

表1

(1.5)使用支持向量机(Support Vector Machine，SVM)对提取的特征向量进行分类识别；

经实验验证，其认假率为3.1％，拒真率为4.2％。

(1.6)综合SVM分类识别结论以及其他系统安全信息，向系统提交用户身份识别结果。

本领域的技术人员容易理解，以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (4)

1.一种用户行为特征身份识别方法，其特征在于，包括：

在进行身份验证的过程中或者在检测出用户做出可疑动作时，启用预设诱骗场景，其中，所述可疑动作表示与预设的正常行为动作不同的动作；

采集用户在所述预设诱骗场景下的行为特征数据，并将所述行为特征数据与特征库中所述用户的行为特征数据进行比对，以对所述用户的身份进行识别。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

对用户的若干种行为特征进行采样，并对采样数据进行学习建立特征库；

根据采样得到的用户的若干种行为特征，设计预设诱骗场景。

3.一种用户行为特征身份识别系统，其特征在于，包括：

诱骗场景启动模块，用于在进行身份验证的过程中或者在检测出用户做出可疑动作时，启用预设诱骗场景，其中，所述可疑动作表示与预设的正常行为动作不同的动作；

身份识别模块，用于采集用户在所述预设诱骗场景下的行为特征数据，并将所述行为特征数据与特征库中所述用户的行为特征数据进行比对，以对所述用户的身份进行识别。

4.根据权利要求3所述的系统，其特征在于，所述系统还包括：

特征库建立模块，用于对用户的若干种行为特征进行采样，并对采样数据进行学习建立特征库；

诱骗场景设计模块，用于根据采样得到的用户的若干种行为特征，设计预设诱骗场景。