王振鐸 王振輝

摘要：身份認證作為信息系統(tǒng)的根本保障，對安全起關(guān)鍵作用。靜態(tài)口令作為信息系統(tǒng)常用的認證方式，應(yīng)用簡便，但安全性不高。通過分析其安全問題，設(shè)計了一種客戶端不僅認證口令還須驗證登錄設(shè)備的有效性，同時記錄登錄信息，以便事后安全審計的身份認證系統(tǒng)，并介紹了關(guān)鍵技術(shù)。該認證方式為進行信息系統(tǒng)安全性設(shè)計提供了借鑒。

關(guān)鍵詞：信息安全;口令;驗證碼

中圖分類號：TP393.08? ?文獻標識碼：A

文章編號：1009-3044（2022）17-0004-02

隨著信息化技術(shù)的廣泛普及和應(yīng)用，企事業(yè)單位、政府部門應(yīng)用了大量的信息系統(tǒng)處理各自的業(yè)務(wù)。同時，數(shù)據(jù)量逐年增長，數(shù)據(jù)管理難度加大，數(shù)據(jù)的安全問題凸顯。如今，數(shù)據(jù)已經(jīng)成為公認的財富，用好數(shù)據(jù)對于社會和單位的發(fā)展至關(guān)重要。另一方面，非法用戶為了獲取其他利益，竊取、破壞數(shù)據(jù)已經(jīng)成為信息系統(tǒng)安全急需解決的問題。如何保護信息系統(tǒng)的安全，也一直是安全人士研究的熱點問題。

俗話說“病從口入”，信息系統(tǒng)安全亦是如此。身份認證作為信息系統(tǒng)安全的首道屏障無疑是信息系統(tǒng)安全的關(guān)鍵。對于企業(yè)信息系統(tǒng)較安全需要高的金融、證券、稅務(wù)等系統(tǒng)，均采用數(shù)字證書、Ukey、生物認證等額外的安全技術(shù)手段加以保護。而企業(yè)級信息系統(tǒng)采用的還是傳統(tǒng)的靜態(tài)口令驗證方式，該方式的安全問題很多，造成企業(yè)信息系統(tǒng)安全頻繁發(fā)生[1]。相關(guān)文獻針對靜態(tài)口令的安全性問題進行了研究和探討，結(jié)合動態(tài)口令技術(shù)、生物識別技術(shù)、硬件設(shè)備加強靜態(tài)口令的安全，解決了一定的問題，但增加了成本和降低了易用性[2-4]。本文旨在探討如何加強靜態(tài)口令認證方式的安全性，提出一種雙認證的身份認證策略，在不增加任何硬件設(shè)備的情況下，增強信息系統(tǒng)身份認證的安全。

1 靜態(tài)口令的安全問題

靜態(tài)口令作為傳統(tǒng)的身份認證方式，具有簡便易用的優(yōu)勢，但經(jīng)常會受到以下安全問題的困擾。

第一，靜態(tài)密碼，易被猜測、破解。在企業(yè)信息系統(tǒng)中，用戶認證往往通過賬號與密碼的方式。其中，賬號往往是員工號、郵箱號、手機號、身份證號等關(guān)鍵信息，這些信息在企業(yè)中存在不安全的因素。所以只剩下密碼一個因素保證認證的安全，而有些用戶往往采用易記的簡單密碼，形同虛設(shè)，黑客容易利用破解工具進行破解。

第二，盜庫的風險。數(shù)據(jù)庫已成為對手或者黑客的重點攻擊目標。一旦數(shù)據(jù)庫發(fā)生泄漏，并且數(shù)據(jù)庫中用戶私密信息以明文方式存儲，攻擊者不僅可以利用該用戶的權(quán)限操作信息系統(tǒng)，還可以用該用戶的賬號和密碼去其他網(wǎng)站嘗試登錄，一旦登錄成功，就會造成很嚴重的后果。

第三，“內(nèi)鬼”作案的風險。在信息系統(tǒng)面對的各種安全威脅中，內(nèi)部威脅雖然數(shù)量上遠不及外部攻擊，但造成的損失和危害性更大。因為，內(nèi)部員工要比外部人員更清楚哪些數(shù)據(jù)是值得竊取的。同時，內(nèi)部員工的惡意操作更容易被企業(yè)組織所忽略，因此內(nèi)部威脅問題，已逐步成為國內(nèi)外安全專家重點研究的對象。

第四，單一管理方式。用戶的賬號、密碼等私密數(shù)據(jù)保存在數(shù)據(jù)庫服務(wù)器上。用戶私有數(shù)據(jù)的安全性用戶本人無法監(jiān)管。用戶無法確認個人私密數(shù)據(jù)的安全性以及誰在利用自己的賬戶信息進行操作。

2身份認證的安全需求

2.1客戶端對利用自身賬號登錄操作的查詢權(quán)限

客戶端用戶的登錄、操作日志往往是服務(wù)器管理人員在數(shù)據(jù)庫審計時才會關(guān)注的。這種情況造成了信息的不對稱，若發(fā)生了安全問題，客戶端不能主動知曉，而必須事后通過服務(wù)器管理人員告知。所以，若要保證客戶端的安全和權(quán)益，必須提供客戶端用戶隨時能看到自己登錄的情況和使用情況，保證客戶端和服務(wù)器端的信息對稱。這個功能應(yīng)該在開發(fā)的信息系統(tǒng)中加以提供。

2.2 客戶端私密數(shù)據(jù)的加密存儲

客戶端用戶對自己的私有數(shù)據(jù)，賬號、密碼、郵箱、手機號等重要身份信息的缺乏管理權(quán)限。這些數(shù)據(jù)存放在數(shù)據(jù)庫中，對應(yīng)企業(yè)級信息系統(tǒng)，多數(shù)仍以明文的方式存在。用戶數(shù)據(jù)的管理權(quán)限在服務(wù)器，如果數(shù)據(jù)庫遭遇黑客攻擊以及企業(yè)內(nèi)鬼作案，用戶對自己的私有數(shù)據(jù)財產(chǎn)無任何保護能力。

3認證系統(tǒng)設(shè)計

3.1注冊和登錄功能

身份認證功能，由用戶注冊和用戶登錄實現(xiàn)。用戶注冊時，需要提供賬號、密碼、郵箱、手機號等個人私有數(shù)據(jù)。同時，服務(wù)器程序會提取能夠確定客戶端使用設(shè)備的唯一標識（例如硬盤、CPU、網(wǎng)卡）等的唯一標識，使得客戶端人和設(shè)備的信息同時被提取保存到數(shù)據(jù)庫中。杜絕了其他非法用戶登錄系統(tǒng)的可能性，因為需要人和設(shè)備二者完全匹配，用戶可以在注冊的時候，提供另外一臺電腦的硬件地址作為更換電腦時的設(shè)備，以免后期更換設(shè)備時帶來安全檢測。

若合法用戶更換了電腦，操作信息系統(tǒng)時，服務(wù)器會判斷出設(shè)備是新設(shè)備，要求用戶提供有效的郵箱或手機號，發(fā)送驗證碼后，驗證為合法用戶后，才能正常使用系統(tǒng)。其中用戶表的主要信息如表1所示。

登錄驗證功能是系統(tǒng)的核心功能，程序流程如圖1所示。

3.2用戶操作審計功能

為了增加系統(tǒng)地安全性，在傳統(tǒng)身份認證系統(tǒng)只有注冊和登錄功能的基礎(chǔ)上，增加用戶登錄操作使用信息系統(tǒng)的操作審計功能。文獻5中的登錄審計功能，只是對用戶登錄的情況進行記錄和設(shè)計。為了更全面地記錄和審計登錄者使用信息系統(tǒng)的情況，便于用戶和管理員雙方都能夠查詢系統(tǒng)使用情況，一旦發(fā)生安全事件，可以分辨是用戶自己操作還是他人盜用用戶賬號非法操作的問題。有利于用戶和管理員雙方在信息對稱的情況下，對安全問題進行追溯。用戶操作審計表的信息包括使用的賬號、登錄時間、地理位置、操作的行為數(shù)據(jù)等。通過該日志表，可以瀏覽和統(tǒng)計某個用戶時間段內(nèi)登錄次數(shù)、登錄位置和操作記錄信息。操作審計信息表設(shè)計如表2所示。

4 關(guān)鍵技術(shù)

4.1 客戶端硬件設(shè)備唯一標識信息的獲取

為了識別客戶端使用設(shè)備的合法性，系統(tǒng)注冊和登錄時，均需要采集客戶端硬件設(shè)備的唯一標識信息，這些信息可以來自硬盤、網(wǎng)卡、CPU等[5]。利用Javascript調(diào)用ActiveX插件即可讀取上述硬件信息。利用ActiveX獲取客戶端硬件標識信息的代碼不少，讀者可以自行測試，但非IE瀏覽器，必須按照相關(guān)的ActiveX插件方可正常獲取。

4.2客戶端登錄地位

為了保障客戶登錄的安全性，用戶可以在登錄審計表中，查看到登錄位置信息，確保是自己的登錄位置，及時發(fā)現(xiàn)非法用戶盜用自己賬號進行登錄，系統(tǒng)提供登錄位置的查詢功能。該功能采用Javascript采集用戶的登錄信息，需要調(diào)用JQuery庫，調(diào)用高德地圖的GetLocation庫的getCurrentPostion獲取精確的位置[6]。獲得客戶端的登錄位置后，可以將該信息存入登錄審計表，以便后期安全審計。

4.3服務(wù)器發(fā)送郵件驗證碼

在系統(tǒng)的“密碼修改”“登錄位置”變化等情況下，需要發(fā)送驗證碼進行個人身份驗證。本文以JSP發(fā)送郵件為例。JSP發(fā)送郵件需要有JavaMail API，并且需要安裝JavaBean Activation Framework。程序代碼如下：

<%@ page import="java.io.*，java.util.*，javax.mail.*"%>

<%@ page import="javax.mail.internet.*，javax.activation.*"%>

<%@ page import="javax.servlet.http.*，javax.servlet.*" %>

<%

String result;

// 收件人的電子郵件

String to = "XXX";

// 發(fā)件人的電子郵件

String from = "XXXX";

// 你發(fā)送電子郵件的主機

String host = "XXXXX";

// 獲取系統(tǒng)屬性對象

Properties properties = System.getProperties（）;

// 設(shè)置郵件服務(wù)器

properties.setProperty（"mail.smtp.host"， host）;

// 獲取默認的Session對象。

Session mailSession = Session.getDefaultInstance（properties）;

// 創(chuàng)建一個默認的MimeMessage對象。

MimeMessage message = new MimeMessage（mailSession）;

// 設(shè)置 From： 頭部的header字段

message.setFrom（new InternetAddress（from））;

// 設(shè)置 To： 頭部的header字段

message.addRecipient（Message.RecipientType.TO，newInternetAddress（to））;

// 設(shè)置 Subject： header字段

message.setSubject（"This is the Subject Line！"）;

// 現(xiàn)在設(shè)置的實際消息（需要發(fā)送的驗證碼）

message.setText（"登錄的驗證碼信息"）;

// 發(fā)送消息

Transport.send（message）;

result = "發(fā)送郵件成功";

5系統(tǒng)特點及應(yīng)用效果

通過雙認證方式身份認證方式的設(shè)計，總結(jié)出方案具有以下優(yōu)點：

（1）純軟件方式，無須額為的硬件設(shè)備。

（2）增加了客戶端對自己私有信息的監(jiān)管度，同時，提升了客戶端和服務(wù)器端的安全性。

（3）對用戶更換電腦設(shè)備，操作信息系統(tǒng)進行了安全校驗，阻止了黑客對系統(tǒng)的入侵。

本身份認證系統(tǒng)加入原有的MIS系統(tǒng)中，通過使用，用戶可以清楚地了解自己使用系統(tǒng)的情況，提升了系統(tǒng)的安全性。

6結(jié)束語

信息系統(tǒng)安全與易用性二者本來就是矛盾的。若只考慮系統(tǒng)的易用性，勢必會造成系統(tǒng)的安全性低，而系統(tǒng)的高安全性也是以犧牲便利性為代價的。所以，為了保證數(shù)據(jù)的安全，增加一些可行的安全性是必要的。一旦企業(yè)做好了用戶數(shù)據(jù)的防護，不僅能夠有效避免數(shù)據(jù)泄露的危害，還能夠切實提升企業(yè)信息系統(tǒng)數(shù)據(jù)的安全性，大幅消除用戶對于個人隱私泄露的疑慮。

參考文獻：

[1] 張猛，尹其其.靜態(tài)口令認證技術(shù)研究進展[J].網(wǎng)絡(luò)空間安全，2018，9（7）：11-14.

[2] 平林艷.基于人臉識別的身份認證系統(tǒng)的研究與應(yīng)用[D].北京：華北電力大學（北京），2019.

[3] 王晨宇.基于口令的多因子身份認證協(xié)議研究[D].北京：北京郵電大學，2020.

[4] 尚旭哲，王潤田，孫穎，等.口令破解與防范技術(shù)研究[J].網(wǎng)絡(luò)空間安全，2020，11（5）：98-103.

[5] 王振輝，王振鐸.Android手機安全登錄系統(tǒng)[J].計算機系統(tǒng)應(yīng)用，2018，27（2）：71-76.

[6] 王夢梅，劉浩.基于jQuery Mobile的溫室智能控制系統(tǒng)[J].信息技術(shù)與信息化，2021（6）：222-224.

收稿日期：2022-03-25

基金項目：陜西省教育廳2020年度自然科學研究項目（SGH18H526），西安思源學院2020年校級科研團隊資助

作者簡介：王振鐸（1974—），男，碩士，副教授，主要研究方向為物聯(lián)網(wǎng)技術(shù)、軟件工程等;王振輝（1974—），男，碩士，副教授，主要研究方向為物聯(lián)網(wǎng)技術(shù)、軟件工程等。