II

Size: px

Start display at page:

Download "II"

主羲潘
5 years ago
Views:

2 II

5 摘要随着国家信息技术的发展, 计算机技术和互联网技术极大的改变了人们的生活方式用户在享用信息化带来的工作效率提升的同时, 也伴随着个人信息被盗用, 个人隐私被泄露的风险特别是在云计算平台中, 由于设备的多样性, 服务的公共性以及用户群体的复杂性, 很难实现用户数据的安全与隐私保护云计算的安全风险大多都源自身份认证过程中的安全漏洞现代数字身份认证手段存在易复制被盗取等诸多问题目前, 常用的解决方案是采用基于生物特征的身份认证技术而指纹作为目前最常用的生物特征, 具有易采集难伪造的优点, 被广泛应用于现代身份认证中目前的指纹识别算法过程中都要存储用户指纹模板信息, 模板信息泄露问题将是指纹识别算法所面临的最大障碍目前, 基于指纹识别的算法存在指纹模板泄露的问题, 指纹和传统密钥相结合的间接指纹认证方法越来越受到重视一般地, 基于这种指纹认证的研究分为三种模式 :1) 密钥释放模式 ;2) 密钥绑定模式 ;3) 密钥生成模式密钥释放模式使用传统认证技术来保护指纹模板信息, 将指纹认证作为总体认证中的一部分, 形成一种多因素认证方式密钥绑定模式是将生物特征作为解锁传统认证的钥匙, 系统本身不存储生物模板信息密钥生成模式是从生物特征随机信号中直接提取一个生物特征密钥用于高度的安全认证中本文的主要研究内容和成果如下 : 1. 本文在研究云安全问题的基础之上, 针对当前基于指纹识别的身份认证技术进行探索, 论述了当前指纹识别算法的优缺点分析了生物特征模板安全问题生物特征密钥产生问题以及如何将传统密钥和生物特征融合等问题 2. 本文在前人的研究基础之上, 结合传统认证技术基于模糊金库理论的指纹密码域技术提出一种基于指纹特征点分类的模糊金库方案, 并从理论分析与实验测试两个方面论证了这种认证方案的安全性与可行性 3. 本文将该方案结合 USBKEY 认证技术形成一种间接指纹认证方案, 并将其应用到云系统中, 作者参与了系统原型的设计与开发系统原型的运行结果表明, 该方案的效率和安全性可以满足实际应用的需求关键字 : 云安全 ; 指纹认证 ; 指纹密码域技术 ; 间接认证方法 I

6 II

7 Abstract With the development of information technology, information security has become an assignable problem in information systems, especially in the cloud computing system. The cloud computing offers dynamically scalable online resources provisioned as a service over the Internet cheaply. However, the security challenges it poses are equally striking. The reliable user authentication techniques are required to combat the rising security threat in cloud communications. The traditional digital authentication is weak for the easiness to copy and reuse. With the development of biometric technology, it is considered to be one of the best solutions for the problems faced by the traditional identity authentication technology. Fingerprint authentication is one of the popular and effective approaches to allow the only authorized users to access the cryptographic keys. However, the recognition speed and the recognition rate are difficult to co-exist. In addition, the traditional biometric authentication technology has the problem of leaking biometric feature template which is hard to rebuild. Based on the fingerprint template leakage problem in the fingerprint identification, the indirect authentication method using the combination of fingerprint and the traditional key is paid more and more attention. Biometric crypto-systems can operate in one of the following three modes: 1) key release mode; 2) key binding mode; 3) key generation mode. In the key release mode, the key is released only if the biometric matching is successful, which forms a multifactor authentication scheme. However, the biometric template is not secure in this scheme, and the stolen templates cannot be revoked. In the key binding mode, the biological characteristics are as the lock of the traditional authentication, the key and the template are bound within a cryptographic framework, and the system itself does not store the template information, which is called Biometric Encryption Technology. In the key generation mode, the key is derived directly from the biometric data and is not stored in the feature database. The main contributions of this paper are summarized as follows: 1. In this paper, we discuss the today s status of the identification technology based on fingerprint in Cloud Computing System, and analyze the advantages and III

8 disadvantages of the various recognition algorithms. Through the experiment, we can observe the efficiency and coexistence problem in time and recognition rate. 2. In this paper, we make research on the biometric encryption technology. To overcome the mentioned shortcomings, Fuzzy Vault Scheme Based on Classification of Fingerprint Features Scheme is proposed. At last, a comprehensive and detailed security analysis of the proposed scheme in cloud computing is provided. 3. In this paper, we apply this secure scheme to the cloud system combing with USBKEY technology, an indirect fingerprint authentication scheme is realized. The author participated in the design and development of the prototype system. The operation results of the system show that the efficiency and the security of the scheme can meet the needs of practical applications. Key Words: Cloud Computing Security; Fingerprint Authentication; Biometric Encryption Technology; Indirect Authentication Method IV

9 目录摘要... I Abstract... III 目录... V Table of Contents... VII 第一章绪论研究背景和意义云计算安全挑战生物特征模板安全国内外研究进展本文研究内容和结构安排... 6 第二章指纹密码域技术指纹特征模板安全研究现状多因素认证方法模板形变技术方法基于指纹密码域技术的方法生物特征密钥产生技术生物特征密钥产生问题安全模型与模糊提取器生物特征密钥产生的复杂性基于模糊金库算法的指纹密码域技术模糊金库算法基于指纹特征的模糊金库方案第三章基于 CFM-FV 方案的间接认证方法基于指纹的间接认证方法分析基于指纹特征点分类的模糊金库方案基于模糊金库理论的集成方案基于指纹特征点分类的模糊金库方案基于 CFM-FV 方案的间接认证方法 V

10 3.3.1 基于指纹的间接认证方法实现安全性分析第四章间接指纹认证方法在云系统中的应用安全云系统设计思路和整体结构设计思路整体结构基于 CFM-FV 的智能指纹 USBKEY 智能指纹 USBKEY 整体结构 IFAM-KEY 注册 IFAM-KEY 验证基于 IFAM-KEY 的间接认证实现新型方案在云系统中应用的实现 PKG 端 IFAM-KEY 客户端云系统认证端第五章总结与展望本文总结工作展望参考文献攻读硕士学位期间发表的学术论文致谢 VI

11 Table of Contents Abstract in Chinese... I Abstract in English... III Contents in Chinese... V Table of Contents... VII Chapter 1 Introduction BackGround and Motivation The Challenge of Cloud Security Biometric Template Security Research Progress Structural Arrangements... 6 Chapter 2 The Biometric Encryption Technology Research Status of Fingerprint Template Multi-fector Authentication Method The Template Deformation Technology Biometric Encryption Technology Biometric Key Generation Technology The Problem of Biometric Key Generation Secure Sketch and Secure Extractor The Difficulty of Biometric Key Generation The Biometric Encryption Technology Based on Fuzzy Vault Fuzzy Vault The Fuzzy Vault Based on Fingerprint Chapter 3 An Indirect Authentication Method based on CFM-FV The Analysis of Indirect Authentication based on Fingerprint Fuzzy Vault Scheme based on Classification of Fingerprint Features The Integration based on Biometric Encryption Technology CFM-FV Scheme An Indirect Authentication Method based on CFM-FV The Realization of IAM based on Fingerprint The Analysis of Scheme Security Chapter 4 The IFAM Used in Cloud Computing System VII

12 4.1 The Design and Overall Architecture of Secure Cloud System The Disign of Secure Cloud Computing The Overall Architecture The Intelligent Fingerprint USBKEY Based on CFM-FV The Overall Architecture of Intelligent USBKEY IFAM-KEY Registration IFAM-KEY Verification An Indirect Authentication Method Based on IFAM-KEY The IFAM Used in Cloud Computing System PKG Registration IFAM-KEY Client Cloud Computing System Authentication Chapter 5 Conclusions and Prospects The Conclusions The Prospects References Published Papers in the Master Time Acknowledgments VIII

13 第一章绪论第一章绪论当今信息化时代里, 互联网已经深入现实生活, 越来越多的产业依赖于电子和信息技术的发展, 但同时也产生了一系列的信息安全问题随着 Internet 的广泛普及网络系统的开放性和广泛性, 信息资源的共享度越来越高, 从而涌现出大量的黑客, 使得操作系统和计算机的安全漏洞越来越多随着网络安全系统攻击手段的多样性和易变性, 信息安全问题越来越受到当今社会的重视身份认证是对网络访问者的合法性的确认, 是整个信息安全体系的基础身份认证中, 用户的合法身份信息是用一系列特定的数据来表示, 计算机识别用户的数字身份, 进而对用户身份认证与授权信息系统在认证用户成功之后, 根据不同用户设置访问权限, 进行系统资源的访问与使用因此, 在开放的网络中, 有效和安全的身份认证技术是信息安全问题得以解决的关键 1.1 研究背景和意义云计算安全挑战随着信息技术的迅速发展, 计算机技术和互联网技术极大的改变了人们的生活方式基于互联网技术的激烈竞争, 多数企业采用以数据中心为业务运营平台 [1] 的信息服务模式, 而此模式的运行会引起数据中心的过度复杂 ; 此时, 云计算 (Cloud Computing) 应运而生云计算代表 IT 领域向规范化规模化集约化道路发展的趋势, 正引领 IT 领域发生深刻的变革云计算是一种基于网络的超计算模式, 它利用高速网络把数据的处理过程从个人计算机或服务器转移到网络中的服务器集群中, 运算能力非常惊人云计算是由网格计算分布式计算并行计算网络存储虚拟化负载均衡等技术相互融合的产物, 借助软件即服务 (SaaS) 平台即服务 (PaaS) 基础设施即服务 (IaaS) 的商业模式, 向用户提供面向服务的技术服务, 使得用户共享云计算模式下的超强分布式计算能力云计算已经不是一个新的技术概念, 随着 Google 公司的应用程序引擎 [2] (Google App Engine) IBM 的蓝云 (Blue Cloud) [3] 亚马逊的 AWS [4] 以及原 Sun 公司的云基础设施平台 [5] (IAAS) 等为代表的云计算服务已经开始大规模的使用, 越来越多的公司开始将自己的应用部署到第三 1

14 间接指纹认证方法及其在云系统中的应用方云计算平台上主流的云计算服务提供商处于利益的考虑, 不愿将公司的云计算技术开源化, 然而 Apache 基金会开发的开源云计算平台 Hadoop [6], 为众多公司研究机构等使用目前绝大多数的云计算平台都是基于 Hadoop 平台进行的二次开发云计算在现实生活中已经得到了应用, 它以灵活的服务提供给用户, 是信息科学领域的重大变革但云计算给人们带来方便的同时, 也隐藏着很多安全漏洞 : 首先, 由于云计算系统的复杂性以及用户群体的不固定性, 基础设施的条件不一导致用户数据无法安全存储 ; 其次, 云计算安全领域中尚未制定一系列的安全标准 ; 最后, 现有的身份认证技术和传统密码学技术针对安全领域的复杂性, 难以形成一种基于可信云计算的云安全解决方案在当今云计算环境下, 如何确保云系统安全, 将是云计算面临的挑战性问题云系统中的身份认证与访问控制机制是云计算安全体系技术框架 [7] 的基础, 通过身份认证机制可以防止网络上的不法分子冒充并伪装合法用户, 从而可以防止用户私密信息被窃取破坏或者被篡改信息化时代的特征就是身份的数字化和隐性化, 如何在网络中鉴别用户的身份, 保证系统信息的安全性, 是当今信息化时代要解决的一个关键问题传统的身份认证如最常用的口令认证技术, 是一种单因素认证技术, 其安全性依赖于口令, 而口令容易忘记和丢失常用的基于智能卡或者令牌的方式是一种双因素认证方式, 物理硬件和用户识别码其一被窃取, 用户都将无法被识别, 但随着硬件技术的发展, 智能卡或者硬件令牌被伪造或篡改的可能性越来越大在这种情况下, 各种各样的人类固有的生物特征逐渐被认知到, 基于生物特征的认证技术越来越受到国家和科研机构的重视但随着生物特征识别系统和技术的不断深入, 生物特征识别技术也逐渐暴露其本身所固有的问题, 比如生物特征模板丢失和泄露问题这些问题都是阻碍生物特征技术进一步发展的瓶颈如何解决生物特征本身所固有的问题, 并将基于生物特征的身份认证技术应用到云系统中, 确保云系统的安全性将是本文研究的重点内容生物特征模板安全 2

15 第一章绪论生物特征识别技术是一门使用人个体本身固有的生物特征作为认证凭证的技术生物特征识别技术使得生物特征和个体本身唯一的关联在一起, 体现出传 [8] 统身份认证方案所不具有的优势随着如今提取生物特征的硬件设备的发展, 其技术近年来越来越受关注, 其应用已经深入到生活的各个领域中生物特征识别技术, 是一种根据人的独特的生物特征进行身份鉴别的技术它是一种可以通过声音面貌指纹等特征辨认出一个具体的人的识别过程理想的生物特征应该具有以下特征 : 普遍性, 所有人都有的生物特征 ; 独特性, 每个人的生物特征都不同 ; 稳定性, 理想状态下, 生物特征在任何状态下都是不变的 ; 易采集性, 一定条件下, 该生物特征可被准确采集其次, 还要考虑影响某一生物特征被采集的准确性和运算速率, 抵抗外界干扰因素的能力以及系统成本等问题指纹识别是一种古老的生物特征识别技术, 指纹是指人的手指末端皮肤上凸凹不平的纹线, 纹线包括起点终点分叉点等指纹识别造价低, 易于采集, 在目前的生物特征识别市场中占有一半以上的份额由于指纹的稳定性唯一性易采集性以及模板存储容量小等特性, 能够满足实时在线的应用需求, 所以本文选取指纹作为生物特征识别因素然而, 使用生物特征直接作为传统密钥, 或者从中提取唯一特征数据作为密钥都存在很多安全问题与传统身份认证不同, 生物特征的永久不变特性, 使得生物特征的泄露将导致该生物特征永远无法再继续使用在开放的网络环境下, 如果服务器端存储的注册用户的生物特征模板遭黑客攻击, 那么将导致整个生物特征识别系统就有可能完全暴露在黑客的攻击范围之内, 从而是用户身份的安全性和隐私性受到致命的威胁生物特征模板除了在存储上存在安全隐患, 在传输的过程中也会遭到像传统认证过程中同样的攻击隐患 : 1. 假冒攻击 : 通过向服务器提供伪造的生物特征来欺骗生物特征采集设备, 非法获取授权用户凭证, 达到攻击信息系统的目的 2. 重放攻击 : 在开放网络环境中, 通过截获传输和传递的指纹特征信息, 再将这些特征信息在同一时间范围内重放到信道中去, 伪装合法用户 3. 特征模板攻击 : 修改存储在数据库端的生物特征模板达到攻击的目的 4. 篡改生物特征攻击 : 在特征提取和模式匹配的传输阶段, 使用伪造特征取代采集器提取的初始特征 3

16 间接指纹认证方法及其在云系统中的应用传统的基于生物特征的识别系统到面临着保存指纹特征模板信息的安全隐患和并是当今的科研难题传统的生物特征识别系统在识别精度和速度上都已经完全可以达到实用的要求, 目前研究的难点是如何解决生物特征模板的安全存储问题基于指纹的间接认证方法是目前研究的热点话题, 如何将密钥和模板有机地融合在一起, 实现一种基于指纹的间接认证方案, 使两者都不容易受到攻击, 从而达到保护生物特征识别系统的目的, 此问题将是本文关注和研究的重点问题 1.2 国内外研究进展如何将基于生物特征的身份认证技术应用到云系统, 确保云系统的安全性, 将是近年来基于生物特征身份认证领域研究的重点问题国内外研究人员对指纹匹配算法的研究都比较成熟, 取得了很多研究成果在国外,Lin Hong [9] 等人在美国密歇根州立大学长期从事相关研究, 在早期提出一些具有开创性的算法思想 ; 在国内, 中国科学院的 Fingerpass 生物特征识别研究组在理论研究方面取得了很多研究成果, 在国内处于领先地位本文将从目前如下三种基于指纹认证的研究领域进行分析目前, 研究最多的指纹匹配算法是基于指纹特征点的点模式匹配算法指纹特征点的点模式匹配算法分为局部匹配算法和全局匹配算法其中, 局部匹配算法关注特征点的局部结构, 通过查找相似的特征点邻域结构来判断两枚指纹的匹配度, 全局匹配算法的思想是找到一组合适的偏移量, 调整整个特征点的集合 Rosenfeld 等人 [10] 提出一种参照变换方法, 首先该算法选择一对相似度最大的点值对最为匹配参考点, 并以此点对作为基准特征点进行匹配, 其次根据相似变换计算的结果来配准查询的指纹图像, 最终根据配准点数和相似度给出匹配结果该算法的计算量大, 处理速度慢 Ratha 和 Stockman 等人 [11] 利用了 Hough 变换的思想, 通过微特征点的局部结构将匹配计算变为对 Hough 空间的峰值检测问题该算法对特征点的数量比较敏感 ( 至少 30 个特征点 ), 导致算法的可靠度 [12] 急剧下降尹等人提出了一种基于 Delaunay 三角化的指纹匹配算法, 按照 DT 划分方法将邻近的 3 个特征点构成三角形矢量, 通过搜索相似的特征结构进 [13] 而进行匹配度计算郑等人提出特征一种基于中心特征点的匹配算法, 该算法在计算速度上较快, 该方法中使用指纹的中心特征点对指纹的特征点进行过滤 4

17 Degree papers are in the Xiamen University Electronic Theses and Dissertations Database. Full texts are available in the following ways: 1. If your library is a CALIS member libraries, please log on and submit requests online, or consult the interlibrary loan department in your library. 2. For users of non-calis member libraries, please mail to etd@xmu.edu.cn for delivery details.

5 5 7 5 4 4 6 9 8 40

5 5 7 5 4 4 6 9 8 40 4 5 0 959 68 959 55 959 4 957 4 5 998 4 9 959 98 8 980 8 84 4 987 4 5 6 7 8 9 986 998 989 4 977 8 5 988 6 985 8 7 98 990 5 8 998 4 9 987 4 5 4 96 9 959 8 959 4 986 4 5 5 8 96 4 5