CN109784022A - 一种Linux下基于生物识别的系统认证方法和装置 - Google Patents

Abstract

本发明公开了一种Linux下基于生物识别的系统认证方法，包括：将包含待认证用户信息的认证请求发送到Linux系统的PAM认证模块，待认证用户信息包括用户名和环境变量；PAM认证模块接收认证请求，依据待认证用户信息判断是否满足开启生物识别认证的条件，若满足，则进入生物识别认证步骤，若不满足，则进入密码认证步骤。本发明提供的Linux下基于生物识别的系统认证方法和装置，基于PAM模块的可热插拔性和易用性，在兼容使用密码进行系统认证的同时，增加使用生物识别进行系统认证的方法，利用了人体生理特征的唯一性进行用户身份鉴定，使系统认证更方便、可靠，保密性更强，极大程度上提升了系统的安全性。

Description

一种Linux下基于生物识别的系统认证方法和装置

技术领域

本发明属于Linux安全认证技术领域，尤其涉及一种Linux下基于生物识别的系统认证方法和装置。

背景技术

Linux：Linux是一种自由和开放源代码的操作系统，也是目前运用领域最广泛、使用人数最多的操作系统。该操作系统的内核由林纳斯·托瓦兹在1991年10月5日首次发布。在加上用户空间的应用程序之后，成为 Linux操作系统。Linux也是自由软件和开放源代码软件发展中最著名的例子，其最初是作为支持英特尔x86架构的个人电脑的一个自由操作系统，目前Linux已经被移植到更多的计算机硬件平台，远远超出其他任何操作系统。Linux可以运行在服务器和其他大型平台之上，如大型主机和超级计算机。世界上500个最快的超级计算机90％以上运行Linux发行版或变种，包括最快的前10名超级电脑运行的都是基于Linux内核的操作系统。Linux 也广泛应用在嵌入式系统上，如手机、平板电脑、路由器、电视和电子游戏机等。

身份认证是系统安全的第一道防线，用于限制非法用户对系统资源的访问，是一切安全机制的基础。因此一个强健有效的身份认证系统对于系统安全有着至关重要的意义。

在传统的Linux系统认证方法中，用户名--静态密码的认证方式占据主导地位，静态密码是用户在创建系统用户时提供的，由于许多用户为了防止忘记密码，经常采用诸如生日、电话号码此类比较简单很容易被猜中的密码，或者把密码抄写在纸上，这样很容易造成密码泄露。采用复杂的密码则不容易记忆，而且认证输入时会比较麻烦。

新的认证方法包括：指纹识别、指静脉识别、红膜识别、人脸识别和声纹识别等，这些识别方式利用人体固有的生理特征和行为特征来进行身份鉴定。由于这些特征具有唯一性、可测量或终身不变等特性可以很好的用于身份认证，而且生物特征具有不易遗忘、不易伪造或被盗、随身“携带”和随时随地可用的特点。所以，相较于传统的身份认证，生物识别技术更具安全性、保密性和方便性。现如今，生物识别技术已经广泛应用于嵌入式系统、Android、IOS等系统，但是在Linux桌面环境中的应用还几乎没有。

有鉴于此，提供一种使用生物识别技术进行Linux操作系统认证的方法和装置是十分有必要的。

发明内容

为解决上述技术问题，本发明提供一种Linux下基于生物识别的系统认证方法和装置。

本发明一方面提供了一种Linux下基于生物识别的系统认证方法，包括：

将包含待认证用户信息的认证请求发送到Linux系统的PAM认证模块，所述待认证用户信息包括用户名和环境变量；

所述PAM认证模块接收所述认证请求，依据所述待认证用户信息判断是否满足开启生物识别认证的条件，若满足，则进入生物识别认证步骤，若不满足，则进入密码认证步骤。

优选的，所述判断是否满足开启生物识别认证的条件步骤包括：

查看所述系统配置中是否开启了生物识别认证，若是则进入下一步，若否则进入密码认证步骤；

查看所述系统中是否存在连接的生物识别设备，若是则进入下一步，若否则进入密码认证步骤；

查看待认证用户在所述生物识别设备中是否录入了生物特征，若是，则进入所述生物识别认证步骤，若否则进入密码认证步骤。

优选的，所述PAM认证模块包括生物识别PAM模块和密码认证PAM 模块。

优选的，所述生物识别认证步骤包括：

界面交互层显示所述系统中可用的所述生物识别设备供用户选择；

生物识别模块启动用户选择的所述生物识别设备进行识别；

所述生物识别模块将识别结果通过所述界面交互层发送给所述生物识别PAM模块，生成最终认证结果。

优选的，所述生成最终认证结果步骤包括：

所述生物识别PAM模块判断是否完成认证，若是，则向所述界面交互层发送认证结果，若否，则进入下一个PAM认证模块继续完成认证。

优选的，所述生成最终认证结果步骤后还包括判断所述认证结果是否成功的步骤，若是，则完成用户请求的业务逻辑，若否，则重新开始认证流程，直到认证成功或用户取消业务请求。

本发明另一方面提供一种Linux下基于生物识别的系统认证装置，包括界面交互层、PAM认证模块和生物识别模块，所述界面交互层与所述PAM 认证模块通信执行认证流程，所述界面交互层与所述生物识别模块通信执行生物特征识别流程，所述界面交互层将所述生物特征识别模块发送的识别结果传送给所述PAM认证模块，获取最终认证结果。

优选的，所述PAM认证模块包括生物识别PAM模块和密码认证PAM 模块。

与现有技术相比，本申请可以获得包括以下技术效果：基于PAM模块的可热插拔性和易用性，在兼容使用密码进行系统认证的同时，增加使用生物识别进行系统认证的方法，利用了人体生理特征的唯一性进行用户身份鉴定，使系统认证更方便、可靠，保密性更强，极大程度上提升了系统的安全性。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是本申请生物识别认证的整体架构示意图。

图2是本申请生物识别认证的主流程示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面结合附图和具体实施方式对本发明作进一步的详细说明。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。为了使本发明所要解决的技术问题、技术方案及有益效果更加清楚明白，下面结合附图对本发明的实施方式做出具体说明。

PAM(Pluggable Authentication Modules)是由Sun提出的一种认证机制。它通过提供一些动态链接库和一套统一的API，将系统提供的服务和该服务的认证方式分开，使得系统管理员可以灵活地根据需要给不同的服务配置不同的认证方式而无需更改服务程序，同时也便于向系统中添加新的认证手段。PAM最初是集成在Solaris中，目前已移植到其它系统中，如 Linux、SunOS、HP-UX 9.0等。

系统管理员通过PAM配置文件来制定认证策略，即指定什么服务该采用什么样的认证方法；应用程序开发者通过在服务程序中使用PAM API而实现对认证方法的调用；而PAM服务模块(service module)的开发者则利用PAM SPI(Service Module API)来编写认证模块(主要是引出一些函数 pam_sm_xxxx()供libpam调用)，将不同的认证机制(比如传统的UNIX 认证方法、Kerberos等)加入到系统中；PAM核心库(libpam)则读取配置文件，以此为根据将服务程序和相应的认证方法联系起来。

在Linux操作系统现有的技术中，系统认证方式是基于PAM框架来实现的。当需要对用户进行认证时，登录、锁屏等前端进程将用户名等信息发送给PAM框架，PAM框架根据系统配置调用相应的PAM模块，PAM 模块会发送一定的提示信息到前端进程，用户根据提示信息进行相应的输入，并将输入发送到PAM模块，PAM模块会对输入信息进行校验，根据校验结果结束认证或者继续认证，完成认证后会返回认证结果给前端进程。

利用了PAM框架的可插拔性和安全特性，本发明一方面提供一种Linux 下基于生物识别的系统认证装置，如图1所示，包括界面交互层101、PAM 认证模块(PAM框架)102和生物识别模块(生物识别框架)103，界面交互层分别与PAM认证模块和生物识别模块通信连接，界面交互层与PAM 认证模块通信执行认证流程，界面交互层与生物识别模块通信执行生物特征识别流程，界面交互层将生物特征识别模块发送的识别结果传送给PAM 认证模块，获取最终认证结果。

界面交互层101主要包括登录、锁屏、su/sudo和Policykit客户端等需要进行认证的程序，负责启动认证流程，并根据认证结果处理相应业务逻辑。登录程序，用于提示用户进行生物特征识别操作或者密码输入，登录进入系统桌面环境；锁屏程序，用于提示用户进行生物特征识别操作或者密码输入，解锁进入系统桌面环境；su/sudo和Policykit客户端，用于提示用户进行生物特征识别操作或者密码输入，进行用户权限提升。

PAM认证模块包括生物识别PAM模块和密码认证PAM模块，负责进行认证的程序过滤，并判断是否启用生物识别认证，执行生物识别认证流程。密码认证PAM模块及认证流程与现有的密码认证模块及流程相同，在此不做赘述。

生物识别模块，主要包括生物识别管理工具，负责管理系统生物识别的开关、生物识别设备的开关以及用户生物特征的显示、录入、删除、重命名等功能；生物识别接口，本实施例采用DBus接口，通过该接口接收界面交互层101的识别请求后，使用指定的生物识别设备开启并进行生物特征识别，将用户录入的生物特征与该用户预设的生物特征对比生成识别结果，并将识别结果发送到界面交互层101。

PAM框架层103收到界面交互层101的认证请求后，判断是启用生物识别认证或者密码认证，并将结果发送给界面交互层101。

本发明另一方面提供了一种Linux下基于生物识别的系统认证方法，包括：界面交互层101接收PAM框架层103发出的认证类型后，如果是生物识别认证，则调用生物识别框架层102的DBus接口，发送使用的设备的ID 和待认证用户的ID，开始生物特征识别，生物识别框架层和界面交互层通过DBus接口进行信息交互。识别取消或者完成后，生物识别框架层102将识别结果返回给界面交互层101。生物识别框架通过DBus信号，发送生物识别设备的使用提示信息，界面交互层获取这些信息并显示；用户根据提示使用设备完成生物特征录入或者取消识别操作；生物识别框架将识别结果返回给界面交互层。

界面交互层101接收到界面生物识别框架层102的识别结果后将结果发送给PAM框架层103，PAM框架层103根据识别结果继续认证流程或者结束认证并将认证结果发送给界面交互层101。

界面交互层101根据接收到最终的认证结果完成业务逻辑，包括登录、解锁、用户切换或者权限提升。

具体为：界面交互层将包含待认证用户信息的认证请求发送到Linux 系统的PAM认证模块，待认证用户信息包括用户名和环境变量；

PAM认证模块接收认证请求，依据待认证用户信息判断是否满足开启生物识别认证的条件，若满足，则进入生物识别认证步骤，若不满足，则进入密码认证步骤。

优选的，所述判断是否满足开启生物识别认证的条件步骤包括：

查看所述系统配置中是否开启了生物识别认证，若是则进入下一步，若否则进入密码认证步骤；

查看所述系统中是否存在连接的生物识别设备，若是则进入下一步，若否则进入密码认证步骤；

查看待认证用户在所述生物识别设备中是否录入了生物特征，若是，则进入所述生物识别认证步骤，若否则进入密码认证步骤。

优选的，PAM认证模块包括生物识别PAM模块和密码认证PAM模块。

优选的，生物识别认证步骤包括：

界面交互层显示系统中可用的生物识别设备供用户选择；

生物识别模块启动用户选择的生物识别设备进行识别；

生物识别模块将识别结果通过界面交互层发送给生物识别PAM模块，生成最终认证结果。

优选的，生成最终认证结果步骤包括：

生物识别PAM模块判断是否完成认证，若是，则向界面交互层发送认证结果，若否，则进入下一个PAM认证模块继续完成认证。

优选的，生成最终认证结果步骤后还包括判断认证结果是否成功的步骤，若是，则完成用户请求的业务逻辑，若否，则重新开始认证流程，直到认证成功或用户取消业务请求。

本发明所提供的一种Linux下基于生物识别的系统认证方法的一种具体实施方式的流程图如图2所示，该方法包括：

S201、用户启动需要进行认证的应用程序；

当用户登录进入系统桌面环境，或者锁屏后解锁，或者使用sudo命令或polkit进行提权操作，或者使用su命令进行用户切换等操作都需要进行身份认证。

S202、用户界面层将待认证的用户名等信息发送到PAM模块；

用户界面层启动一个新线程或者进程，调用PAM框架的接口，将用户名和环境变量等信息发送给PAM框架。

S203、PAM框架收到认证请求后，判断是执行生物识别认证或者密码认证；

考虑到用户体验，如果不满足开启生物识别认证条件的话，则跳过生物识别PAM模块，进入密码认证PAM模块。

需要说明的是，判断系统是否满足启动生物识别认证条件的判断步骤包括：S31、查看系统是否开启生物识别认证，若开启则进入S32；

S32、查看系统中是否存在连接的生物识别设备，若存在则进入S33；

S33、查看待认证用户在生物识别设备中是否录入了生物特征，若存在，则满足启动生物识别认证条件，否则不满足条件。只有同时满足了这三者才会进行生物识别认证。

S204、PAM模块将认证类型发送界面交互层，界面交互层根据接收到的认证类型显示生物识别设备列表或者密码框；

根据界面交互层接收到的认证类型，如果是生物识别认证，则会从生物识别框架中获取当前可用的设备列表并显示，供用户选择，并进入S205；如果是密码认证，则显示密码框，进行传统的密码认证，传统的密码认证流程属于现有技术在此不再赘述。

S205、界面交互层显示可用生物识别设备列表。

S206、用户选择要使用的生物识别设备，开始进行生物特征识别；

当用户选择了生物识别设备后，界面交互层将用户名、生物识别设备 ID传递给生物识别框架，开始进行生物特征识别；

用户界面交互层接收生物识别框架发送的操作提示，并显示；

开启生物特征识别后，生物识别框架会发送具体的设备操作提示给用户界面层，用户界面层负责显示这些提示信息。根据这些提示，用户可以很轻易的使用具体的生物识别设备。生物识别框架可能还会发送一些错误信息，根据这些错误信息，用户可以明确的知道当前发生的错误，进行设备调整或者进行其他修复操作。

S207、用户完成或者取消生物特征识别；

当生物特征识别开始后，生物识别框架等待用户录入待验证的特征，如果指定时间段内未录入则返回超时，在此过程中用户可以手动取消特征识别。如果待验证的生物特征和该用户预设的生物特征匹配，则返回识别成功，否则返回识别失败。当用户当前识别的生物特征和预设的生物特征不匹配时，会继续进行生物识别操作，直到识别到匹配的生物特征。用户可以手动取消生物识别进入到密码认证。

S208、界面交互层收到生物识别框架的识别结果，并将识别结果发送给生物识别PAM模块；

如果用户完成了生物特征识别，界面交互层将识别结果发送给生物识别PAM模块，完成该模块的工作，PAM框架会根据系统配置返回PAM认证结果或者进入下一个PAM模块继续完成认证；如果此时用户取消了生物特征识别，用户交互层会通知PAM框架越过生物识别PAM模块进入下一个PAM模块继续完成认证。

S209、界面交互层接受到PAM框架发送的最终认证结果，界面交互层根据认证结果完成剩下的业务逻辑。

界面交互层接收到最终的认证结果，如果认证成功，则完成用户请求的任务：登录系统、解锁屏幕、用户切换或者权限提升等；如果认证失败，则回到S202重新开始认证直到认证成功。

与现有技术相比，本申请可以获得包括以下技术效果：基于PAM模块的可热插拔性和易用性，在兼容使用密码进行系统认证的同时，增加使用生物识别进行系统认证的方法，利用了人体生理特征的唯一性进行用户身份鉴定，使系统认证更方便、可靠，保密性更强，极大程度上提升了系统的安全性。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的技术方案及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

Claims (8)

1.一种Linux下基于生物识别的系统认证方法，其特征在于，包括：

将包含待认证用户信息的认证请求发送到Linux系统的PAM认证模块，所述待认证用户信息包括用户名和环境变量；

所述PAM认证模块接收所述认证请求，依据所述待认证用户信息判断是否满足开启生物识别认证的条件，若满足，则进入生物识别认证步骤，若不满足，则进入密码认证步骤。

2.根据权利要求1所述的Linux下基于生物识别的系统认证方法，其特征在于，所述判断是否满足开启生物识别认证的条件步骤包括：

查看所述系统配置中是否开启了生物识别认证，若是则进入下一步，若否则进入密码认证步骤；

查看所述系统中是否存在连接的生物识别设备，若是则进入下一步，若否则进入密码认证步骤；

查看待认证用户在所述生物识别设备中是否录入了生物特征，若是，则进入所述生物识别认证步骤，若否则进入密码认证步骤。

3.根据权利要求1或2所述的Linux下基于生物识别的系统认证方法，其特征在于，所述PAM认证模块包括生物识别PAM模块和密码认证PAM模块。

4.根据权利要求3所述的Linux下基于生物识别的系统认证方法，其特征在于，所述生物识别认证步骤包括：

界面交互层显示所述系统中可用的所述生物识别设备供用户选择；

生物识别模块启动用户选择的所述生物识别设备进行识别；

所述生物识别模块将识别结果通过所述界面交互层发送给所述生物识别PAM模块，生成最终认证结果。

5.根据权利要求4所述的Linux下基于生物识别的系统认证方法，其特征在于：所述生成最终认证结果步骤包括：

所述生物识别PAM模块判断是否完成认证，若是，则向所述界面交互层发送认证结果，若否，则进入下一个PAM认证模块继续完成认证。

6.根据权利要求4或5所述的Linux下基于生物识别的系统认证方法，其特征在于，所述生成最终认证结果步骤后还包括判断所述认证结果是否成功的步骤，若是，则完成用户请求的业务逻辑，若否，则重新开始认证流程，直到认证成功或用户取消业务请求。

7.一种Linux下基于生物识别的系统认证装置，其特征在于：包括界面交互层、PAM认证模块和生物识别模块，所述界面交互层与所述PAM认证模块通信执行认证流程，所述界面交互层与所述生物识别模块通信执行生物特征识别流程，所述界面交互层将所述生物特征识别模块发送的识别结果传送给所述PAM认证模块，获取最终认证结果。

8.根据权利要求7所述的Linux下基于生物识别的系统认证装置，其特征在于：所述PAM认证模块包括生物识别PAM模块和密码认证PAM模块。