生物识别技术有效降低身份认证成本

在多重安全验证体系中使用生物学方法，并不会让企业的预算大幅增加，也不会让用户感到过于繁琐。基于行为的生物学解决方案可以让企业在成本范围内明显的感觉到技术的介入所带来的明显变化。

用户的接受程度和高昂的成本经常成为企业部署生物学身份多重验证解决方案的巨大障碍。这并不意味着其它的解决方案就没有这种不足。据研究，大多数基于令牌的身份验证系统在部署以及维护中的成本都会高于采用指纹识别的验证系统。那么，如果企业所采用的身份验证系统主要是基于密码的身份验证，该如何对这种薄弱的安全系统进行进一步加强呢？行为生物学鉴定是一个很好的解决方案，尤其是有关击键动作的检测，可以成为密码验证系统中的一个很好的安全增强方案。

在本文中，我首先会介绍生物识别的相关知识，然后我将简要的对比一下物理生物鉴定和行为生物鉴定的区别。最后，我会介绍击键动力学解决方案是如何工作的，以及采用这种解决方案是否会给企业的日常工作带来巨大的冲击。

什么是生物识别？

生物鉴定和我们所使用的身份证（PIN）或密码一样，是用来证明、验证或者授权用户可以访问某些信息或物理资源的唯一的身份证明。生物鉴定可用的范围非常广泛，从房间或建筑物的门禁系统，到网络或设备的授权认证等，都可以采用生物鉴定方案。

人体的特征用于生物鉴定主要是分为两类：物理特征和行为特征。

基于物理特征主要采用以下方法：

◆指纹或掌纹
◆视网膜，尤其是眼内的血管图像
◆虹膜，以及瞳孔周围的颜色
◆面部特征

基于行为特征的生物鉴定主要是对用户的行为进行测量，主要包括：

◆签名特点–这种方式主要纪录用户在签名时的形态，签名的样子，所用时间，用笔压力等。
 
◆语音识别 – 通过对用户说话的音调，节奏以及重音等进行分析并生成音频模板。
 
◆鼠标动作形态 – 测量用户使用鼠标的移动距离，速度以及角度，从而确认用户身份。
 
◆击键形态 – 通过测量用户击键的停留时间以及击键的间隔速度，确认用户身份。
 
生物鉴定的准确性可以通过Failed Acceptance Rate (FAR，错误的接受率)和Failed Rejection Rate (FRR，错误的拒绝率)进行测量。FAR是指原本不具备合法身份的用户被错误的鉴定为具有合法身份的用户。而FRR则是指原本具有合法身份的用户却无法通过身份验证。

FRR（类型I）和FAR（类型II）的关系如图A所示。当一个类型的比率上升时，另一个比率就会相应的下降。而一般认为，这两条比率线的交点（CER）就是这个生物鉴定系统的最佳鉴定状态。在这一点上，FRR和FAR的值是一样的，具有较低CER的生物鉴定解决方案，具有较好的精度。

图A CER (图片来自 Just Enough Security, 2006, Erudio Security LLC)

表A列出了三种主要的生物鉴定解决方案的相关错误率。我们可以注意到，指纹识别的精确度要高于其他两种鉴别方式。在某些情况下，这并不会成为一个重点考虑的问题。接下来我们会看到，基于击键形态的解决方案所具备的优势，比单纯的精确度更加重要。

表 A

表A: 各种生物鉴定方式的错误率对比
来源：(DeepNet, 2006)

为什么要采用基于行为特征的生物学鉴定方式？

在进行生物特征鉴定时，如果采用物理学特征进行鉴定，会遇到两个主要的问题：成本问题和用户接受问题。企业需要购买能够读取用户生物学特征的设备，并需要定期维护。一个带有软件的传感器套装产品售价基本在100美元以上，如果一个企业大范围部署这种身份验证设备，那么成本可能会超出企业的承受能力。另外还需要考虑到维护这些设备以及设备更改部署地点时所耗费的成本，这将使得总体拥有成本（TCO）增加迅速。

除了成本问题，很多用户对于企业收集自己的指纹或者视网膜血管造影感到不安和犹豫。他们认为这些生物特征都是个人隐私。另外，一些设备，比如虹膜扫描仪等，会被抱怨使用起来过于复杂。最终，由于使用不当或其它原因，传感器的错误分析会让使用者和管理者都感到这种方案的效果难以接受。

而上面介绍的四种基于行为的生物鉴定方案中，有两种可以很轻松的解决上面提到的问题，这两种方案即鼠标动作形态和击键形态方案。而签名和语音识别仍然附带了物理生物鉴别的一些因素，比如他们都需要附加设备参与拾取对象特征。另外，他们的错误率也相对较高。

对于鼠标动作形态的研究很早就开展了。不过这种技术仍然需要一段时间才能成熟，并应用于企业环境，因此目前企业的最佳方案就是基于击键动作的生物鉴别技术。

击键动作(KD)

为了让大家更好的了解击键动作的含义，我将以BioPassword 开发的基于击键动作的生物鉴定解决方案为例，讲解其基本功能。

在击键动作中，我们一般采用两个测量方式对用户的身份进行识别：dwell time以及flight time，如图B所示。当一个用户在敲击键盘时，KD程序会收集每个按键被按下的时间长度，以及从一个按键被按下到另一个按键被按下的时间间隔。为了针对某一特定信息进行确认，一般用户需要事先输入某一段特定的字符，比如用户的ID账号以及密码。

图B Keystroke Dwell Time 和 Flight Time (BioPassword, 2006)

当用户在日后输入验证字符串时，KD程序就会将这一字符串输入时的Dwell Time 和 Flight Time与用户先前输入时的参数进行比较，确认用户的输入习惯与先前采样时的输入习惯保持一致。而比较后输出的结果是一个分数。如果这个用户是第一次使用KD，那么KD将接受这个用户，并为其建立一个档案，而不是试图去验证他的身份。

如果测试的分数低属于企业规定的许可分数段，那么在该用户所输入的用户名和密码都正确的情况下，该用户将被认为是合法用户，具有访问企业特定资源的权利。而如果对比的结果分值落在企业规定的分值之外，那么将通过企业额外设置的规则来进行处理。图C是KD验证的流程。

图C 验证，监视以及执行动作 (BioPassword, 2006)

从图中我们可以看出，企业可以设定如何使用所收集到的信息以及如何处理对比结果。比如雇主可以通过KD收集员工在输入用户名和密码时的习惯，而不被雇员发现。这种特点使得KD不会影响到网络用户的正常操作。当对某个用户的输入习惯收集的越多，KD出现分析错误的几率也就越低。另外，KD并不需要附加设备，只要用户在使用键盘即可。

业务规则也可以被用来辅助进行身份验证，从而帮助生物检测技术更准确的进行判断。比如管理员可以通过制定规则，让用户进一步输入安全问题以及答案。KD在这一过程中可以获取更多的有关用户输入习惯的特征，从而更准确的检测用户身份。

结束语

多重验证并不意味着高成本，也不意味着会影响用户正常操作。其关键在于，所使用的验证技术要符合企业的目标。在大多数情况下，这意味着要部署一个具有足够投资回报，同时对业务运作效率影响最小的项目。而基于击键形态的生物检测方案，是符合这一理念的最佳方案。

（责任编辑:陈毅东）