基于生物特征識別和一次性口令的電子商務(wù)安全交易方案

王 偉，徐平平，王華君

（1.無錫太湖學(xué)院 工學(xué)院，江蘇 無錫　214064；2.東南大學(xué) 信息科學(xué)與工程學(xué)院，江蘇 南京　211189）

基于生物特征識別和一次性口令的電子商務(wù)安全交易方案

王 偉1，徐平平2，王華君1

（1.無錫太湖學(xué)院 工學(xué)院，江蘇 無錫214064；2.東南大學(xué) 信息科學(xué)與工程學(xué)院，江蘇 南京211189）

針對電子商務(wù)中信用卡交易的安全性問題，提出一種基于生物特征識別和一次性口令的電子商務(wù)安全交易方案。根據(jù)用戶交易的敏感度，分別采用2種方案。第一種方案中，采用安全套接層（SSL）協(xié)議和指紋特征相結(jié)合。第二種方案中，采用虹膜特征和一次性口令相結(jié)合，持卡人使用USB身份鎖存儲虹膜信息，并計算虛擬函數(shù)。另外，都通過Hash函數(shù)對生物特征進(jìn)行運算，利用發(fā)卡方的公鑰加密支付信息，利用商家的公鑰對訂單信息進(jìn)行加密。發(fā)卡方通過特征的比對來進(jìn)行身份認(rèn)證。通過分析表明，該方案能夠有效保護(hù)交易安全性。

電子商務(wù)；安全交易；生物特征識別；一次性口令；Hash函數(shù)

隨著網(wǎng)絡(luò)應(yīng)用的普及，電子商務(wù)模式在我國已日趨成熟。然而，電子商務(wù)交易所用的平臺-Internet卻充滿了復(fù)雜的安全風(fēng)險。一方面電子商務(wù)交易面臨著許多外部危險因素，如黑客入侵、病毒感染等，使得電子商務(wù)交易難以完全獲取客戶的信任，另一方面電子商務(wù)交易的發(fā)展還面臨著嚴(yán)峻的內(nèi)部風(fēng)險［1］。

電子商務(wù)安全包括商務(wù)交易安全和電子支付安全。而商務(wù)交易安全主要是通過加密技術(shù)、安全機(jī)制、安全協(xié)議進(jìn)行保證的［2］。授權(quán)、隱私、完整性、審計能力可用性、機(jī)密性、身份證明、身份驗證和不可否認(rèn)性，這八大安全需求是電子商務(wù)交易安全框架的基礎(chǔ)［3］。

智能卡具有高度的安全性和智能性，可將密鑰、密碼、用戶的基本信息、金融信息和交易記錄等數(shù)據(jù)存儲在智能卡中［4］，所以基于智能卡的電子商務(wù)交易方式越來越廣泛應(yīng)用。對于基于智能卡的交易安全性，學(xué)者提出了多種交易安全協(xié)議，例如，文獻(xiàn)［5］提出一種基于無證書公鑰密碼系統(tǒng)的遠(yuǎn)程用戶的身份驗證方案，然而其具有較高的通信和計算成本。近年來，對基于智能卡的遠(yuǎn)程用戶身份驗證系統(tǒng)不斷得到改善。由于生物特征的獨一性和不可否認(rèn)性，生物識別的身份驗證比密碼身份驗證更有效［6］。例如，文獻(xiàn)［7］將生物識別技術(shù)應(yīng)用到安全認(rèn)證中，其采用了指紋作為識別特征，并結(jié)合高強(qiáng)度的加密和Hash函數(shù)，一定程度上提高了安全性。

文中針對電子商務(wù)中信用卡交易的安全性問題，提出一種基于生物特征識別和一次性口令的電子商務(wù)安全交易方案。根據(jù)用戶交易的敏感度，分別采用2種方案。第一種方案中，采用安全套接層（Secure Sockets Layer，SSL）協(xié)議和指紋特征相結(jié)合，并通過Hash函數(shù)對指紋信息進(jìn)行運算，保證傳輸安全。同時，利用發(fā)卡方的公鑰加密支付信息，用商家的公鑰對訂單信息進(jìn)行加密。發(fā)卡方通過特征的比對來進(jìn)行身份認(rèn)證。第二種方案中，采用虹膜掃描和一次性口令相結(jié)合，持卡人使用USB身份鎖存儲虹膜信息，并計算虛擬函數(shù)。本文方案在考慮認(rèn)證時間的同時，能夠有效保護(hù)交易安全性。

1　本文方案框架

1.1生物識別技術(shù)

生物識別［8］是使用人類生理特征或行為特征來確定一個人的身份。其中，生理特征識別包括：指紋識別，臉部識別，聲音識別，視網(wǎng)膜掃描或虹膜掃描等。指紋識別和臉部識別是兩種常用的生物識別技術(shù)。生物識別系統(tǒng)基本流程如下：

注冊：采集、處理和存儲用戶原始生物識別樣本，用于生物識別系統(tǒng)。

提交：用戶向生物識別系統(tǒng)以生物樣本的形式提供生理或行為數(shù)據(jù)。

特征提取：從生物識別樣本中定位和提取特征，并進(jìn)行特征編碼過程，從而生成模板，用于生物識別匹配。

匹配：計算生物模板之間的相關(guān)或相似程度。

評分：對生物識別匹配相似或相關(guān)程度進(jìn)行評分。決策：根據(jù)相關(guān)程度的預(yù)定義閾值進(jìn)行決策。

1.2電子交易的安全需求

有效的電子商務(wù)安全交易必要滿足兩大需求：

1）在電子交易中創(chuàng)建隱私保護(hù)，防止誤用敏感信息。

2）實現(xiàn)可靠身份驗證，防止信用卡、智能卡交易中出現(xiàn)欺詐、盜竊行為。

安全電子交易（Secure Electronic Transaction，SET）協(xié)議［9］能夠滿足隱私保護(hù)需求，但其需要大量計算，交易時間遠(yuǎn)遠(yuǎn)長于其他協(xié)議，例如安全套接層（SSL）協(xié)議［10］。SSL協(xié)議簡單且易于快速實施，是網(wǎng)絡(luò)中最廣泛使用的支付協(xié)議。SSL還提供了數(shù)據(jù)交換的保密性和完整性。另外，基于生物特征的身份認(rèn)證能夠滿足第二個需求。將其相結(jié)合即可獲得滿足上述兩大需求的電子交易安全交易方案。

1.3本文認(rèn)證方案框架

本文生物認(rèn)證系統(tǒng)包括4個步驟。首先，通過web照相機(jī)或傳感器采集虹膜圖像或指紋圖像；然后，將這些圖像發(fā)送給處理軟件，通過主成分分析（Principal Component Analysis，PCA）［11］技術(shù)進(jìn)行特征提取。再后，對提取的特征進(jìn)行Hash處理，用發(fā)卡方的公鑰對Hash模板進(jìn)行加密。最后，將獲得的混合信息發(fā)送到發(fā)卡方端。發(fā)卡方端接收到數(shù)據(jù)后，對其進(jìn)行解密，然后通過比對過程完成識別。文中基于生物認(rèn)證的安全交易系統(tǒng)框架如圖1所示。

文中采用傳統(tǒng)支付認(rèn)證協(xié)議和生物認(rèn)證技術(shù)相結(jié)合，對信用卡用戶進(jìn)行實時身份驗證，以建立更高級別的安全性。其中，本文使用了SSL和3-D安全協(xié)議［12］，用以替代傳統(tǒng)SET協(xié)議，來實現(xiàn)用戶的隱私保護(hù)。

圖1　本文安全交易認(rèn)證系統(tǒng)框架

對于生物認(rèn)證技術(shù)，本文方案基于交易敏感程度采用兩種方案：1）對于敏感度較低的交易支付場景，即交易額較少，提出使用了持卡人指紋樣本的第一種方案，以提高交易認(rèn)證速度。在網(wǎng)絡(luò)中傳輸指紋樣本Hash值，以及經(jīng)發(fā)卡方公鑰加密后的支付信息。同時，發(fā)卡方必須對樣本和支付信息進(jìn)行再次Hash運算，然后再與指紋樣本進(jìn)行比對，并隱藏持卡人證書中的信用卡信息。2）對于敏感度較高的交易支付場景，即交易額較多，提出采用虹膜掃描和一次性口令相結(jié)合的第二個方案，用以保證大金額交易的安全性。持卡人使用USB身份鎖存儲虹膜信息，并計算虛擬函數(shù)。通過發(fā)卡方的公鑰對支付信息進(jìn)行加密，用商家的公鑰對訂單信息進(jìn)行加密。

上述的交易敏感度是發(fā)卡方設(shè)定的，例如，可設(shè)定交易額大于1萬元時為高敏感交易，反之為低敏感交易。本文所涉及的符號含義如下：

OI：表示訂單信息；

PI：表示支付或信用卡信息；

Enc x（m）：表示經(jīng)x的公鑰加密后的信息m。

D.S.X：表示x的數(shù)字簽名；

H（m）：表示信息m的Hash函數(shù)；

Encs.k：表示利用SSL會話的會話密鑰進(jìn)行加密。

2　較低敏感交易中安全方案

對于較低敏感交易中的信用卡支付交易，即交易金額較少，本文安全交易方案如圖2中所示。由于實現(xiàn)過程簡單，該方案采用了改進(jìn)的SSL協(xié)議。這里，客戶不需要額外的軟件，只須提供指紋樣本，用以滿足第二因素。持卡人具有的證書如圖3所示。

圖2　較低敏感交易中信用卡安全交易流程

在商家和持卡人之間建立安全通道，OI通過會話密鑰進(jìn)行加密，PI用發(fā)卡方的公鑰進(jìn)行加密。將指紋樣本和信用卡信息的散列信息提供給商家，然后經(jīng)發(fā)卡方的公鑰加密后，通過商家和收單方發(fā)送到發(fā)卡方。因此，商家和收購方都能夠解讀支付信息和指紋樣本。這表示已經(jīng)滿足了第一個因素。從持卡人接收到購買請求后，商家生成授權(quán)請求（AUTH REQ），其中包括授權(quán)金額。該請求通過商家私鑰進(jìn)行簽名，該私鑰被收單方的公鑰加密保護(hù)。

圖3　持卡人的證書格式

該方案優(yōu)點為：1）發(fā)布者對生物認(rèn)證的需求不是必要的，具有生物識別服務(wù)能夠帶來更高的安全性能；2）比SET協(xié)議易實施、更高速；3）因為使用了Hash函數(shù)，商家或收單方能夠用持卡人證書模板比對生物認(rèn)證樣本，從而識別出真實的持卡人。

3　較高敏感交易中的安全方案

當(dāng)有大金額交易時，本文提出另一種信用卡安全交易方案。需要采用比指紋更精確的生物識別方法來進(jìn)行實時身份認(rèn)證，例如選擇虹膜掃描。虹膜掃描是一種成本和復(fù)雜性遠(yuǎn)遠(yuǎn)高于其他認(rèn)證技術(shù)的方法，但具有最好的安全性［13］。同時，本文將一次性口令［14］概念與該認(rèn)證方式相結(jié)合，實現(xiàn)了高級別的安全性。通過這種方式，驗證過程可建立持卡人與發(fā)卡方間的直接關(guān)系，并均衡考慮保密性能和識別速度。另外，商家還須確保正在交易客戶的準(zhǔn)確性。因此，商家采用了3-D安全協(xié)議，3-D安全協(xié)議將發(fā)卡方認(rèn)證引入交易流程中，由發(fā)卡方確保在線交易時持卡人的合法性，從而有效減少有爭議的交易數(shù)［15］。

導(dǎo)入之后得到的數(shù)據(jù)示例如表2所示，需要注意的是，為了方便顯示我們省略了一些屬性。另外，KC是關(guān)于知識點的詳細(xì)描述，所占篇幅較長，我們僅以SkillRule代替。

相比于先前方案，該方案的成本較高，但安全級別也更高。

1）虛擬口令概念

口令是電子商務(wù)交易中公認(rèn)的客戶首選方式。系統(tǒng)可以使用虛擬口令概念來實現(xiàn)一次性口令認(rèn)證。創(chuàng)建一次性口令，需要實現(xiàn)兩項：一個固定的字母數(shù)字口令Ps和定義域為ψ的函數(shù)F，其中ψ表示可用作口令的字母空間。函數(shù) F（Ps，R）=Pd，其中 R為服務(wù)器產(chǎn)生的隨機(jī)數(shù)，Pd為用于身份驗證的動態(tài)口令。虛擬函數(shù)是生成一次性口令的重要項，因為攻擊者無法破解一次性口令，從而獲得用戶的簡單口令。

用戶必須通過應(yīng)用程序計算生成一次性口令，然后在服務(wù)器上登錄。USB身份鎖或用戶的移動端應(yīng)用都能夠使用虛擬函數(shù)生成一次性口令。

2）推薦虛擬函數(shù)

本文采用Runge-Kutta方法計算一次性口令，該方法表示如下：

其中ti（i=0…n）表示用戶簡單口令中的一位數(shù)字，W0…Wn+1是作為響應(yīng)的一次性口令，且Wi∈｛0…z-1｝。H2（Bio，r）是生物特征樣本和一個隨機(jī)數(shù)字的雙精度Hash值。

服務(wù)器向用戶發(fā)送隨機(jī)數(shù)作為挑戰(zhàn)。出于安全原因，Z可以選擇大的素數(shù)，將簡單口令（n位）轉(zhuǎn)換成大的一次性口令（m位），其中m＞＞n。可以證明，改進(jìn)后的虛擬函數(shù)能夠抵御很多網(wǎng)絡(luò)攻擊。

圖4　較高敏感交易中信用卡安全交易流程

假設(shè)，客戶具有USB身份鎖，則可用于計算虛擬函數(shù)，還可以保存一些用戶信息。身份鎖由發(fā)卡方發(fā)放，并授權(quán)給持卡人。USB身份鎖可以存儲客戶的虹膜樣本，每當(dāng)用戶進(jìn)行身份驗證時，計算生成一次性口令。

安全交易步驟如下：

1）購買請求（Enc I（PI），Enc M（OI））。

2）檢查發(fā)卡方是否已經(jīng)參與交易。

3）發(fā)卡方確認(rèn)信用卡已經(jīng)參與交易。

4）定位發(fā)卡方的訪問控制服務(wù)器，并發(fā)送給商家。

5）商家重定向客戶瀏覽器到發(fā)卡方。

6）發(fā)卡方訪問控制服務(wù)器，向持卡人發(fā)送隨機(jī)數(shù)字r，并用USB身份鎖計算生成一次性口令；向發(fā)卡方和發(fā)卡方服務(wù)器發(fā)送生成的具有持卡人生物認(rèn)證特性的一次性口令，用于身份驗證和信號響應(yīng)，以及對客戶和商人進(jìn)行重定向。

7）商家提交正常交易，例如向收單方發(fā)送授權(quán)請求+Enc I（PI）。

8）收單方發(fā)送授權(quán)請求+Enc I（PI）。

9）發(fā)卡方發(fā)送授權(quán)響應(yīng)。

10）收購方發(fā)送響應(yīng)。

11）商家確認(rèn)交易。

發(fā)卡方能夠同時存儲持卡人的簡單口令和生物認(rèn)證模板。在這種方式中，使用Runge-kutta方法計算一次性口令，然后與接收到的持卡人口令進(jìn)行比較驗證。

此外，發(fā)卡方可以用Runge-kutta方法計算生成的簡單口令，并接收一次性口令，然后在服務(wù)器上比較兩個口令。該方法采用網(wǎng)絡(luò)攝像頭采集虹膜樣本，并向身份鎖發(fā)送提取的數(shù)據(jù)，用于計算一次性口令。

4　結(jié)束語

由于基于生物認(rèn)證的身份驗證比其他驗證方法更可靠。所以，文中提出基于生物特征識別技術(shù)的電子商務(wù)安全交易方案。根據(jù)用戶交易的敏感度，分別采用2種方案。第一種方案中，采用安全套接層（SSL）協(xié)議和指紋特征相結(jié)合。第二種方案中，采用虹膜特征和一次性口令相結(jié)合。同時，利用Hash函數(shù)和加密算法來確保生物特征模板的安全性，有效提高了信用卡交易時的安全性能。

［1］田豐.基于WPKI的移動電子商務(wù)安全研究［J］.計算機(jī)應(yīng)用與軟件，2013，30（9）：61-63.

［2］徐洪峰，徐曦，曾杰.移動電子商務(wù)安全問題研究［J］.計算機(jī)技術(shù)與發(fā)展，2011，21（11）：236-238.

［3］Banerjee S，Karforma S.On Designing a Secure E-Commerce Transaction Management System-A UML Based Approach ［J］.Innovative Systems Design&Engineering，2012，3（6）：241-253.

［4］Chen C L，Lai Y L，Chen C C，et al.A smart card-based mobile secure transansaction system for medical treatment examination reports［J］.International Journal of Innovative Computing Information&Control，2011，7（5）：2257-2267.

［5］茹秀娟，余楠.基于無證書公鑰密碼的終端安全移動支付協(xié)議［J］.計算機(jī)應(yīng)用研究，2015，32（3）：912-916.

［6］談玲，張琭.交互式多生物特征識別技術(shù)在電子商務(wù)中的應(yīng)用［J］.電信科學(xué)，2015，31（10）：124-129.

［7］Agbontaen F O，Orukpe P E.Secured Online Payment Using Biometric Identification System［J］.Advanced Materials Research，2013，32（4）：193-199.

［8］Obed-Emeribe C.Multimodal Biometric Technology System Framework and E-Commerce in Emerging Markets［J］.International Journal of Advanced Computer Science&Applications，2013，4（7）：325-338.

［9］肖仕成.基于四方的安全電子商務(wù)支付協(xié)議研究［J］.計算機(jī)科學(xué)，2011，38（10）：39-44.

［10］Ding X J，Jiang X D，Zheng Y Z.The Research and Implementation of E-Commerce Secure Payment Protocol［J］. Advanced Materials Research，2011，26（7）：74-79.

［11］李占波，白全海，申義彩.基于主成分分析的網(wǎng)絡(luò)入侵檢測算法［J］.計算機(jī)工程，2013，39（5）：152-155.

［12］李曦，趙高權(quán).基于3-D Secure的手機(jī)支付系統(tǒng)的實現(xiàn)［J］.西華大學(xué)學(xué)報：自然科學(xué)版，2011，30（4）：83-85.

［13］Li X，Zhao G.An Identity Authentication Scheme Based on Speaker Recognition［J］.Journal of Convergence Information Technology，2013，8（9）：903-910.

［14］Li J Y，Shi H，Deng Y Q，et al.An Improved Scheme of One-time Password Identity Authentication Based on the S/ KEY System［J］.Applied Mechanics&Materials，2014，64 （4）：2763-2767.

［15］衛(wèi)紅春，馬丁.基于改進(jìn)的3-D Secure協(xié)議的移動支付安全解決方案［J］.計算機(jī)應(yīng)用與軟件，2011，28（4）：189-192.

An E-commerce security transaction scheme based on biometrics and one-time password

WANG Wei1，XU Ping-ping2，WANG Hua-jun1
（1.School of Engineering，Taihu University of Wuxi，Wuxi 214064，China；2.School of Information Science and Engineering，Southeast University，Nanjing 211189，China）

For the issues that the security problem of the credit card transaction in electronic commerce，an e-commerce security transaction scheme based on biometrics and one-time password is proposed.This paper proposed two schemes according to the sensitivity of the user transactions.In the first scheme，the secure sockets layer（SSL）protocol and fingerprint feature are combined.In the second scheme，the iris feature and one-time password are combined.The cardholder uses USB to store the iris information，and calculates the virtual function.In addition，the Hash function is used to calculate the biological characteristics，the issuer's public key is used to encryption payment information，and the business's public key is used to encrypt the order information.Finally，the card issuer performs the identity authentication by feature comparison.The analysis shows that the proposed scheme can effectively protect the transaction security.

E-commerce；secure transaction；biometric；one-time password；hash function

TN918

A

1674－6236（2016）09-0024-04

2016-02-06稿件編號：201602021

國家自然科學(xué)基金項目（61375028）；江蘇省高校自然科學(xué)研究項目（14KJB520036）

王 偉（1979—），男，江蘇無錫人，碩士，講師。研究方向：電子商務(wù)、物聯(lián)網(wǎng)等。