什么是大数据系统身份认证技术？

改编自：《智能制造信息安全技术》（作者：秦志光, 聂旭云, 秦臻）
 

计算机系统和计算机网络是一个虚拟的数字世界，在这个数字世界中，一切信息包括用户的身份信息都是用一组特定的数据来表示的，计算机智能识别用户的数字身份，所有对用户的授权也是针对用户数字身份的授权。而我们生活的现实世界是一个真实的物理世界，每个人都拥有独一无二的物理身份。如何保证以数字身份进行操作的操作者就是这个数字身份合法拥有者，也就是说保证操作者的物理身份与数字身份相对应，成为了当今信息安全领域极为重要的问题。身份认证技术的诞生就是为了解决这个问题。

身份认证（即“身份验证”或“身份鉴别”）是验证用户的真实身份与其对外的身份是否相符的过程，从而确定用户信息是否可靠、属实，防止非法用户假冒其他合法用户获得一系列相关权限，保证用户信息的安全、合法利益，其是在计算机网络中确认操作者身份的过程中产生的解决方法。

「 1. 身份认证技术简介 」

---

用户身份认证的最终目的就是要保障信息的安全，从用户使用和技术设计等多个方面来看，用户身份认证技术对于维护信息安全有着极为重要的意义[7][8]。
 

（1）能够为用户带来更大的便利。用户身份认证技术能够对用户进行集中统一的管理，在已有安全系统的前提下，对用户进行相关权限的设置和分配，减少重新开发安全系统的成本，同时减少对现有安全系统的修改影响。

 

（2）用户身份认证单点登录更为凸显，用户在登录认证之后，在不同的系统之间进行切换时，不需要注销之后重新登录。
 

 

（3）信息平台中的不同安全系统之间，都是基于同一个数据库而进行设计的。

 

（4）用户身份认证系统具有更好的整合性和扩展性，不但能够兼容现有的安全系统和数据库，还能够支持新建的相关系统，故用户身份认证技术的集成模块也同样能够嵌入到新系统中。

 

（5）用户身份认证技术对于用户来说更为灵活便捷，能够在多种环境下进行使用。用户身份认证技术在设计之初，就考虑到了在整个安全系统中，不同角色的分级权限管理、相关安全系统的维护、安全证书的管理以及信息资源的匹配等问题，从而实现数据的高度集中，提高资源的利用效率，让用户身份认证技术在信息安全中发挥更为显著的作用。

 

常用的身份认证方法包括但不限于：静态密码、动态口令、短信密码、USB KEY认证、IC卡认证、生物识别技术[3-6]、数字签名等。身份认证是判断被证对象是否属实或是否有效的一个过程，主要通过以下 3 种方式来判别：

 

（1）知识类认证方式，即根据用户所知道的信息来证明用户身份。

 

（2）资产类认证方式，即根据用户所拥有的资产来证明用户身份。

 

（3）本征类认证方式，即根据用户独一无二的身体特征来证明用户身份。

 

身份认证技术基本分类方法如表1所示。

 

表1 身份认证技术基本分类方法

 

 

 

1） 知识类认证方式

 

知识类认证方式主要包括静态口令和用户相关信息等。

 

静态口令是指长期保持不变、可以被用户反复重用的口令，是一种最原始最简单的认证方式。静态口令是一种极不安全的身份认证方式，虽然也存在增强口令安全性的策略，包括定期更改静态口令、大小写字母和数字混排的口令、加入特殊字符的口令等，但这些并不被大多数用户所接受。用户相关信息是用户为重置密码等操作而预留的相关信息，如邮箱地址、手机号码、生日信息等。

 

2） 资产类认证方式

 

资产类认证方式包括电子令牌、APP 动态口令、手机短信验证、智能卡认证和数据证书认证等。

 

（1）电子令牌

 

电子令牌是一种动态口令技术，用户使用时只需要将动态令牌上显示的当前密码输入用户侧客户端，即可实现身份认证。用户的密码根据时间或使用次数不断动态变化，每个密码只使用一次。如果客户端硬件与服务器端程序的时间或使用次数不能保持良好的同步，就可能发生合法用户无法登陆的问题，并且用户每次登录时还需要通过键盘输入一长串无规律的密码，一旦输错就要重新输入，因此用户在使用方面并不便利。

 

（2）APP 动态口令

 

APP 动态口令是移动互联网新兴的一种认证方式，需要用户在手机上安装 APP 动态口令生成软件，当用户需要使用口令时，运行 APP 动态口令生成程序产生一个动态口令。

 

（3）手机短信验证

 

手机短信验证是通过服务端下发到用户手机的短信验证码来验证身份。目前使用最普遍的有网上银行、网上商城、团购网站、票务公司等。

 

（4）智能卡认证

 

智能卡是一种内置集成威廉希尔官方网站 的卡片，卡片中存有与用户身份相关的数据，由专门的厂商生产，可以认为是不可复制的硬件。智能卡具有硬件加密功能，有较高的安全性。使用智能卡认证时，用户输入 PIN 码（个人身份识别码），智能卡认证成功后，即可读出智能卡中的秘密信息，进而利用该秘密信息与主机之间进行认证。对于智能卡认证，需要在每个认证端添加读卡设备，增加了硬件成本，并且单个用户可能拥有多张智能卡，不便于携带和管理。

 

（5）数字证书认证

 

数字证书[4][6]包括证书版本、序列号、用户标识符、用户的公钥、证书所用的数字签名算法说明等内容。数字证书认证是借助第三方电子认证服务机构，为用户颁发基于 USB-Key 的数字证书，实现“双因子认证”（USB-Key和用户 PIN码）。

 

USB-Key 是一种 USB接口的硬件设备，可以存储用户的密钥或数字证书，利用 USB-Key 内置的密码算法实现对用户身份的认证。用户只有同时取得 USB-Key 和用户 PIN 码，才可以登录系统。但是单个用户可能拥有多个 USB-Key，不便于用户对 USB-Key 的携带和管理。

 

 

3） 本征类认证方式

 

本征类认证方式包括指纹识别、人脸识别和虹膜识别等。

 

（1）指纹识别

 

指纹识别[4]是目前应用最广泛的生物识别方式，是把现场采集到的用户指纹与数据库中己经登记的指纹进行一对一的比对，来确认身份的过程。指纹识别使用方便，样本容易获取，硬件成本低，在许多应用中，基于指纹的生物认证系统的成本是可以承受的。

 

（2）人脸识别

 

人脸识别[6]是基于人的脸部特征信息进行身份识别的一种生物识别技术。现有的人脸识别系统在用户配合、采集条件比较理想的情况下可以取得令人满意的结果。但是，在用户不配合、采集条件不理想的情况下，现有系统的识别率将陡然下降。当采集的人脸图像与系统中存储的人脸图像有差异，如剃胡子、换发型、加眼镜、变表情等都有可能引起比对失败。

 

（3）虹膜识别

 

虹膜识别[5]是基于人眼中的虹膜进行身份识别，主要应用于安防设备（如门禁等），以及有高度保密需求的场所。虹膜在胎儿发育阶段形成后，始终保持不变。因此，可以将人眼的虹膜特征作为每个人的身份识别特征。虹膜识别便于用户使用，不需物理接触，可靠性高，可能会是最可靠的生物识别技术。然而，目前的技术现状是很难将虹膜识别的图像获取设备小型化，并且设备造价高，很难大范围推广。

 

如今，互联网助推社会的高速发展，而网络安全又为互联网的健康增长保驾护航，掌握、运用身份技术现今这个信息技术时代占据着举足轻重的地位。只有深刻理解、认识身份认证技术，才能使它更好的服务与现代社会生活的方方面面。

 

 

「 2. 匿名身份认证 」

---

 

匿名身份验证是确认用户访问网页或其他服务的权限的过程。与传统身份验证不同，传统身份验证可能需要用户名和密码等凭据，匿名身份验证允许用户登录到系统而不暴露其实际身份。匿名身份验证的最大好处是认证是在网上进行业务时保护个人安全和安全，这涉及个人和职业两方面的考虑，但重点是保护用户在互联网上的身份，同时防止其他个人有能力跟踪和识别在线用户。
 

 

在真实世界中，匿名身份验证的用户和完全未经身份验证的用户没有区别。因此，使用匿名身份验证的网站对访问该网站的个人没有实际限制。使用此设置的网站有点像公共伪装；所有人可以获得访问权限，但无法识别任何人。

按照用户匿名强度的不同，匿名认证可分为两类：

 

（1）对外部用户匿名。在认证过程中，外部用户无法确定用户的真实身份，并且无法确定不同的会话来自相同的用户，而服务提供者可以确定用户的真实身份。

 

（2）对外部用户和服务提供者同时匿名（强匿名）。在认证的过程中，外部用户和服务提供者均无法确定用户的真实身份，而且无法确定不同的会话是否来自相同的用户。

在认证过程中，用户和服务提供者对于匿名性的要求是相反的。对于用户，为了充分保护个人隐私，希望获得较强的匿名性，希望对外部用户和服务提供者同时匿名。而对于服务提供者，希望用户是非匿名的。如果服务提供者无法确定用户身份，将会增加对用户管理的复杂性。例如，为了防止匿名用户进行恶意操作，服务提供者需要付出额外的管理开销。在普适环境中，应该根据不同的场合，选择不同的匿名认证方式，在满足用户匿名性要求的同时尽量降低服务提供者的管理复杂性。例如，当服务提供者具有较高可信度时，用户可以确信服务提供者不会利用其身份信息进行非法活动，这时可以采用第一类匿名认证方式，在满足用户匿名性要求的同时尽量降低服务提供者的管理复杂性。例如，当服务提供者具有较高可信度时，用户可以确信服务提供者不会利用其身份信息进行非法活动，这时可以采用第一类匿名认证方式，以降低服务提供者的管理复杂性。当用户访问一些涉及到自身隐私的服务时，用户希望其他用户和服务提供者都不知道其具体访问了哪些服务，这时应该采用第二类匿名认证方式，以充分保护用户隐私。由上述分析可以看出，两类匿名认证方式，以充分保护用户隐私。由上述分析可以看出，两类匿名认证机制在普适环境中均有需求，可满足不同应用场合的需要。

 

 

「 3. 工业互联网中身份认证的应用 」

---

 

1）工业互联网的概念和功能

 

“工业互联网”最早由美国通用电气公司在2012年提出，和其他四家（IBM、思科、英特尔和AT&T）行业龙头企业联手，共同组建了工业互联网联盟(IIC)，将这一概念进行推广应用。

 

工业互联网的本质和核心是通过工业互联网平台把设备、生产线、工厂、供应商、产品和客户紧密地连接融合起来。从而拉长产业链，形成跨设备、跨系统、跨厂区、跨地区的互联互通，提质增效，推动整个制造服务体系智能化。还有利于推动制造业融通发展，实现制造业和服务业之间的跨越发展，使工业经济各种要素资源能够高效共享。

 

自2017年国务院发布《关于深化“互联网+先进制造业”发展工业互联网的指导意见》以来，各地政府纷纷加快落实“企业上云”，云计算发展突飞猛进。工业互联网、工业会联网平台成为当下最热的互联网话题之一。2018年，工业和信息化部设立了工业互联网专项工作组并印发《工业互联网发展行动计划（2018-2020年）》提出以供给侧结构性改革为主线，以全面支撑制造强国和网络强国建设为目标，着力建设先进网络基础设施，打造标识解析体系，同步提升安全保障能力，突破核心技术。同年工信部发布《工业互联网网络建设及推广指南》提出在2020年初步构建工业互联网标识解析体系，建设一批面向行业或区域的标识解析二级节点以及公共递归节点，制定并完善标识注册和解析等管理办法，标识注册量超过20亿。2019年12月工信部发布《工业互联网企业网络安全分类分级指南（试行）》将工业互联网企业分为三类，其中标识解析系统建设运营机构是主要的工业互联网基础设施运营企业。

 

 

工业互联网平台功能架构图

 

2）工业互联网存在的安全风险

 

随着工业互联网的快速发展，工业互联网标识数量将数以千亿计，并发解析请求可达千万量级，如此大量级的标识解析系统对安全保障能力提出了非常高的要求，其安全是工业互联网安全的重要建设内容[1][2]。分析工业互联网标识解析体系，其在架构、协议、运营、身份、数据、恶意利用等方面存在安全风险。

 

（1）架构安全。从标识解析架构来看，客户端主机、标识解析服务器、缓存与代理服务器都有可能成为标识解析体系的脆弱点，服务器被篡改导致返回错误的标识解析结果，树形分层架构为拒绝服务攻击提供可能。

 

（2）协议安全。标识解析协议的脆弱性很容易被攻击者利用监听标识解析会话进行中间人攻击，通过窃听、篡改和伪造标识解析消息的方式对标识解析系统进行攻击。攻击者也可通过递归解析服务器夹杂恶意数据进行缓存投毒攻击。

 

（3）运营安全。工业互联网标识解析在运营过程中可能涉及根节点运行机构、顶级节点运行机构、二级节点服务机构、标识注册管理机构、标识注册代理机构等多种标识解析服务机构。攻击者可以滥用标识注册、非法注册、伪造标识服务机构，引发标识资源浪费、标识资源分配混乱、标识资源失信、标识解析结果失真等安全风险。

 

（4）身份安全。身份是工业互联网标识解析的门户，根节点、顶级节点、二级节点、递归节点、企业节点、用户等之间做查询和解析请求时首先需要进行身份认证，不同的节点角色拥有不同的权限，任一环节出现认证问题都可能带来信任风险，导致标识数据被非法访问或可不信的解析结果。

 

（5）数据安全。工业互联网标识数据中携带大量敏感隐私信息，随着工业互联网的互联互通，海量标识数据在数据的采集、传输、存储和使用等生命周期流转中，将为数据的安全治理、合规管控带来挑战。

 

（6）恶意利用。标识解析的流量通常不会被安全工具（例如，防火墙、入侵检测系统等）拦截，但这也给攻击者有可乘之机，攻击者可以利用标识解析数据构建命令与控制信道或建立隧道，用恶意流量伪装成标识解析流量而避开安全防护工具。

 

3）工业互联网存在的安全保障

 

随着工业互联网标识解析的普及应用，除考虑标识解析自身安全的同时，标识的不可篡改、不可伪造、全球唯一的安全属性优势逐渐凸显，在数据可信采集、统一身份认证、安全接入认证、密码基础设施、恶意行为分析等方面可赋能工业互联网安全保障能力建设。

 

（1）数据可信采集。工业数据采集是智能制造和工业互联网的基础，但数据采集传输时存在被破坏、泄露、篡改的安全风险，建立基于工业互联网标识的数据可信采集系统，能增强工业数据从产生到传输贯穿模组生产商、通信服务商、网络运营商、工业企业等多参与方的可信性，为数据可信采集提供保障。

 

（2）统一身份认证。工业生产、智能制造、能源电力等不同业务场景下应用对设备都存在鉴权需求，针对现有工业互联网应用单独进行身份认证、不能互通、对数据开放共享造成障碍的问题，基于标识的工业互联网应用统一身份认证，能实现多应用身份交叉互信，简化账号管理、身份认证、权限管理和审计过程，加强工业互联网应用的安全防范能力。

 

（3）安全接入认证。工业互联网设备规模巨大、种类众多、质量参差不齐、缺乏统一规范，容易出现固件漏洞、恶意软件感染等问题，为缓解工业互联网设备带来的安全风险，利用标识，结合可信计算和密码技术，能为设备提供安全认证、安全连接、数据加密等端到端的安全接入认证能力。

 

（4）密码基础设施。针对传统PKI密钥体系中，数字证书分发、管理和维护需要大量成本，在对实时性要求较高的工业互联网环境中难以部署的问题，基于标识筑建工业互联网密码基础设施，融合国家密码算法，实现密钥申请、分发、更新、销毁等全生命周期的管理，能有效保护工业互联网数据的不可抵赖性、完整性和保密性，实现对工业互联网敏感信息的防护控制。

 

（5）恶意行为分析。通过提取工业互联网标识解析体系网络行为的流量特征，进行网络测量、网络行为分析，针对的网络行为包括且不限于注册（分配）、解析、数据更新（配置）、数据管理、同步等。充分利用先验知识、机器学习方法从流量中进行挖掘，可支持典型工业互联网标识解析体系的异常网络行为检测、恶意行为发现等。

 

在工业互联网中，对用户和设备进行可靠身份认证是必不可少的。没有可靠的身份，攻击者可越过网络及现实的边界。这样的攻击目前正在发生。随着众多物联网技术的应用，这些攻击的影响不仅仅限于智能家庭或联网汽车，同时延伸到工业自动化、医疗保健以及其它各个领域。