CN200980081Y - 一种网络身份认证系统 - Google Patents

Abstract

本实用新型涉及一种网络身份认证系统。该系统包括智能IC卡、嵌入式读卡器、上位机、数字认证中心CA，该数字认证中心CA设有指纹模板库，存储用户指纹特征模板证书、签名数字证书和用户私钥，并通过嵌入式读卡器写入智能IC卡分发给用户；该智能IC卡上集成有图像采集器并储存有用户指纹信息。身份认证时由数字认证中心CA验证用户签名数字证书，验证通过后将现场采集的指纹数字信号通过智能IC卡输出到嵌入式读卡器，并与智能IC卡储存的指纹信息进行比对后送入到上位机，通过局域网传输到数字认证中心CA与指纹模板库中的指纹进行对比，验证用户身份。可用于在网络安全通信中对用户进行身份验证。

Description

一种网络身份认证系统

技术领域

本实用新型属于信息安全技术领域，涉及网络身份认证，具体地说是一种结合公共密钥基础设施PKI和指纹识别的身份认证系统，用于在网络安全通信中对用户进行身份验证。

背景技术

随着网络通信技术的迅猛发展，互联网作为一种开放的平台逐渐在人们的生活中扮演越来越重要的角色，各种网络交易得到不断蓬勃发展，例如电子商务、电子银行、电子货币等等，这些活动使人类由现实物理世界进入更加广阔的网络虚拟空间。但是随之而来的问题是，如何在网络交易中确认用户的身份、建立彼此间的信任关系以及保证信息的真实性、完整性、机密性和不可否认性。这一问题对人类自身身份识别的准确性、安全性与实用性提出了更高的要求。

传统的身份认证一般多采用“用户名+口令”的方式，并决定用户的访问权限，但是这种方案存在着记忆烦琐、易丢失、易遗忘等弊端。为了解决采用口令进行单因素身份认证的不足，国内外开始使用其他认证方式，如口令+电子令牌的双因素认证，以及数字认证中心CA+公共密钥基础设施PKI体系。

公共密钥基础设施PKI(Public Key Infrastructure)是一种提供安全服务的基础设施，利用公开密钥技术和数字证书来确保系统信息安全并负责验证数字证书持有者身份。PKI通过颁发数字证书把用户信息和公钥信息进行绑定。尽管PKI在理论上已经很完善，但在使用过程中依然存在脆弱性，主要表现在有些操作的安全性依赖于用户或管理员的正确操作，而这些操作可以被旁路。

目前，在PKI实现中通常是通过管理的手段在用户注册时对用户身份进行确认，一般是通过对用户持有的可信证件进行身份确认，因此其他用户有可能通过伪造证件或其他方法进行假冒。由于密钥中并没有用户的身份信息，如果用户A冒充用户B在数字认证中心CA为用户B申请证书，或者用户A通过其他途径获取了用户B的私钥，则用户A在网络中就能假冒B进行操作，造成安全性能差的不足；同时由于PKI系统存在的安全性能差，用户还可以进行抵赖，影响对身份识别的可靠性和准确性。

实用新型的内容

本实用新型的目的在于克服上述已有技术的不足，提供一种PKI结合指纹识别的身份认证系统，利用人体指纹具有唯一性与不变性的生理特征，通过指纹信息保护用户私钥，提高私钥的安全性，以解决在网络身份认证中安全性差和可靠性低的问题。

实现本实用新项目的的技术思路是利用指纹识别技术结合公共密钥基础设施PKI，建立一种密码和指纹相结合的身份认证系统，将用户的指纹信息与用户的密钥信息进行绑定。整个身份认证系统包括：智能IC卡、嵌入式读卡器、上位机和数字认证中心CA，该智能IC卡与嵌入式读卡器相连接，嵌入式读卡器通过串口与上位机相连接，上位机通过局域网与数字认证中心CA相连接。其特点是：所述的数字认证中心CA设有指纹模板库；所述的智能IC卡上集成有图像采集器并储存有指纹信息，现场采集的指纹数字信号通过该智能IC卡输出到嵌入式读卡器，并由嵌入式读卡器将采集的指纹信息与智能IC卡储存的指纹信息进行比对后送入到上位机，上位机通过局域网将该比对信息传输到数字认证中心CA，与指纹模板库中的指纹再进行对比，验证用户身份。

本实用新型与现有技术比，具有如下优点：

1.安全性能高。本实用新型由于采用将现场指纹模板TD与智能IC卡中的指纹模板TDi进行比对，能有效抵制黑客攻击和防止窃取、复制、共享、流传等假冒欺骗行为，实现了以“人”认“物”的安全目标；同时由于采用安全性能高的IC智能卡保护数字证书和指纹特征模板信息，避开了黑客集中攻击和系统崩溃带来的严重后果，分散化解了安全风险。

2.健壮性能好。本实用新型由于基于原有的PKI系统的扩展，指纹认证只是整个系统中的一个组件，可以被PKI应用系统灵活地进行选择，PKI处理过程与指纹认证过程由标准的应用程序接口完成，可有效的防止网络或系统故障带来的错误结果，易于系统的开发和维护。

3.灵活性大。本实用新型由于在IC智能卡中集成指纹采集器，提取出的特征数据量小，适合在网络上传输；同时由于指纹认证是在本地完成，不需要通过网络传送更多的信息，加快了认证速度。

4.可靠性高。本实用新型由于输入简单快捷，相对传统的网络身份认证系统，指纹不会丢失，大大提高了系统的可靠性。

附图说明：

图1是本实用新型的总体结构框图

图2a是本实用新型智能IC卡的平面结构示意图

图2b是本实用新型智能IC卡的侧面结构示意图

图3是本实用新型嵌入式读卡器的结构框图

图4是本实用新型实现身份认证的过程图

具体实施方式

以下参照附图对本实用新型作进一步详细描述。

参照图1，本实用新型的身份识别系统主要由智能IC卡、嵌入式读卡器、上位机、数字认证中心CA组成。智能IC卡与嵌入式读卡器相连接，嵌入式读卡器通过串口与上位机相连接，上位机通过局域网与数字认证中心CA相连接。该数字认证中心CA设有指纹模板库，同时数字认证中心CA通过PKI系统还将用户的公钥证书发布到目录服务器中，供与之通信的用户查询和下载；该智能IC卡上集成有图像采集器并储存有指纹信息，主要完成指纹图像采集、处理、用户指纹特征值的存取、指纹图像的传输；该嵌入式读卡器的主要完成指纹图像的识别、比对、指纹模板库的存储、外围设备管理及串行通信；该上位机主要完成接收指纹图像识别的结果与传输。

参照图2和图3，本实用新型系统中的智能IC卡采用台阶式结构，表面设有指纹传感器和电极触点，指纹传感器采集的指纹图像通过电极触点传给嵌入式读卡器。本实用新型系统中的嵌入式读卡器由电源管理、微处理器MCU和内存组成，并通过指令集操作完成各种功能。该读卡器提供两个外部接口，即IC接口和通讯接口。该通讯接口负责和上位机相连，传输数据。

整个系统的工作原理是：智能IC卡将采集、处理的指纹图像传输给嵌入式读卡器，嵌入式读卡器对接收到的指纹图像识别，并与IC卡储存的指纹信息进行比对，然后通过串口传输到上位机；上位机通过局域网将该比对信息传输到数字认证中心CA与指纹模板库中的指纹再进行对比，最终确认用户身份。其中数字认证中心CA负责签发和管理公钥，验证发送方和接受方的身份，完成数字认证证书的申请、更新、注销、恢复及各级注册权威机构RA管理。

参照图4，本实用新型利用上述系统进行身份认证的具体操作通过系统软件和应用软件完成。该系统软件由操作系统、PKI软件系统及相关支撑软件系统构成；应用软件由PKI应用软件和指纹识别应用软件构成，PKI提供应用程序接口，可方便的实现与指纹认证组间的通信。本实用新型的身份认证分为注册和身份验证两个阶段，具体过程如下：

一.形成指纹特征模板证书

1.用户A在客户端注册指纹模板，通过指纹采集器，输入指纹信息，通过加密通道，传送到PKI指纹模板签发PKI的发行系统IS或注册权威机构RA；

2.IS系统将指纹信息预处理，提取特征信息，产生指纹模板TDi，并取得数字证书用户序列号IDTci，及指纹特征模板用户序列号IDTFi＝IDTci，填入模板数据结构，生成指纹特征模板文件TFi，然后IS系统用自己的私钥SkIS对TFi进行数字签名，形成指纹特征模板证书。

二.形成签名数字证书

3.用户A使用浏览器到注册权威机构RA或PKI的发行系统IS申请产生公钥Pki/私钥Ski；

4.数字认证中心CA确定申请、验证用户身份、颁发数字证书并生成证书序列号IDTci发给PKI的发行系统IS系统；

5.数字认证中心CA使用其私钥SkCA对用户A的数字证书进行数字签名，形成签名数字证书。签名后将证书交给用户A，证书副本发布到公钥证书目录服务器中，供与之通信的用户查询和下载。

6.数字认证中心CA将签名的数字证书SignCA、IS系统签名的指纹模板证书SignIS、用户私钥Ski三个文件通过读卡器写入智能IC卡，并分发给用户A进行身份认证；

三.验证数字证书

7.用户A出示由数字认证中心CA签发的智能IC卡，由读卡器读出数字证书，将数据发送给PKI系统中的数字认证中心CA；

8.数字认证中心CA利用其公钥PkCA解开数字证书的数字签名，如果数字证书签名和验证通过，则进行步骤9；

四.采集现场活体指纹

9.系统提示用户A采集现场活体指纹数据，该指纹数据经过预处理提取模板，生成指纹模板TDi’；

五.指纹图像匹配

10.存储在智能签名卡中的指纹模板TDi与现场获取模板TDi’按如下过程进行指纹匹配：

(1)提取指纹区域，分离背景区域，进行指纹图像分割；

(2)将指纹区域图像变成二值图像，进行指纹图像二值化处理；

(3)去除指纹图像无用信息，对指纹图像进行滤波；

(4)将指纹二值图像变成单像素的骨架图像，进行指纹图像细化，为后续特征提取奠定基础；

(5)进行指纹特征提取，为后续匹配提取指纹总体特征和细节点特征，生成现场指纹模板；

(6)首先使用大小可变的界限盒计算智能IC卡的指纹模板所有节点的界限盒，统计现场指纹模板节点集中的节点落入智能IC卡的指纹模板节点集界限盒的次数，然后计算对比得分，如果对比得分大于指定阈值，则现场指纹模板与智能IC卡的指纹模板匹配，从而证明用户A就是智能IC卡的真正拥有者，身份认证通过。对5000枚指纹进行匹配实验，指纹误识率及误拒绝率仅为2％和1.5％。

11.用户A获取其智能IC卡中的私钥Ski，签发电子文档并传送B用户；

12.用户B从CA公钥目录服务器中获取用户A的数字证书中的公钥Pki，将经计算的文档散列值与用公钥Pki解密的签署文档值进行比较，如果相同，则认为电子文档的数字签名是真实，身份认证结束。

Claims (3)

1.一种网络身份认证系统，包括智能工C卡、嵌入式读卡器、上位机、数字认证中心CA，其特征在于：

所述的数字认证中心CA设有指纹模板库；

所述的智能IC卡上集成有图像采集器并储存有指纹信息，现场采集的指纹数字信号通过该智能IC卡输出到嵌入式读卡器，并由嵌入式读卡器将采集的指纹信息与智能IC卡储存的指纹信息进行比对后送入到上位机，上位机通过局域网将该比对信息传输到数字认证中心CA，与指纹模板库中的指纹再进行对比，验证用户身份。

2.根据权利要求1所述的身份认证系统，其特征在于智能IC卡采用台阶式结构，表面设有指纹传感器和电极触点，该指纹传感器采集的指纹图像通过电极触点传给嵌入式读卡器。

3.根据权利要求1所述的身份认证系统，其特征在于嵌入式读卡器由电源管理、微处理器MCU和内存组成，该读卡器提供两个外部接口，即IC接口和通讯接口，该通讯接口负责和上位机相连，传输数据。

Images