一种可抵抗多重攻击的基于生物行为特征的登录认证方法

摘要

本发明公开了一种可抵抗多重攻击的基于生物行为特征的登录认证方法，在用户注册阶段，用户需要手写一个汉字，系统会捕捉该用户的静态生物特征和动态行为特征进行分析并训练模型。在用户登录认证阶段，用户仅需书写注册时所书写的汉字即可完成登录认证操作。用户书写过程中的静态生物特征不易发生改变，同时加入书写速度、压力等与用户书写习惯有关的动态行为特征，使得攻击者很难模仿，从而保证了本方案可以抵抗多重攻击，例如肩窥攻击、污迹攻击、录屏攻击等。

说明书

技术领域

本发明涉及一种可抵抗多重攻击的基于生物行为特征的登录认证方法，属于信息安全技术领域。

背景技术

物联网设备成为了越来越多的用户存储隐私数据的载体。现有的物联网设备或者App通常搭载一些简单的登录认证系统。伴随着多种针对登录认证系统的攻击的出现，简单的基于传统文本密码的登录认证方案已经变得难以保护用户的隐私信息，而基于指纹以及面部识别等生物特征的登录认证方案也已经能够通过生成对抗网络(GAN，GenerativeAdversarial Networks)AI生成人脸破解，破解成功率达95％。尽管目前已经提出了大量新型的身份验证方法，但它们在安全性以及用户体验上远非最优，因此更安全的替代方案成为了研究的必要。

在过去的几十年中，文本密码是使用最为广泛的登录认证方式，因为它具有优秀的抵抗暴力破解攻击(Brute Force Attack)的能力。但随着计算机计算能力的提升，简单的文本密码已经可以通过随机猜测攻击(Random Guessing Attack)或字典攻击(Dictionary Attack)轻松破解，然而强大复杂的文本密码又为用户的记忆带来了负担，也增加了用户重置密码及重用密码的频率。因此图像密码开始被开发用于解决文本密码存在的缺陷。研究表明，基于图像的密码更容易被人脑记忆并更适合长期记忆，但简单的基于图像的密码极容易受到肩窥攻击(Shoulder-surfing Attack)，并且部分方案的设计并不适合应用在较小的屏幕上。此外，由于污迹攻击(Smudge Attack)是通过分析用户在屏幕上留下的痕迹进行攻击的，因此它可以用于攻击基于文本、基于图像这两种类型的密码，但是当密码足够复杂时，它可能会失败因为复杂的用户操作痕迹将无法被准确捕获。然而，录屏攻击(Screen Recording Attack)可以通过向手机内部植入恶意软件来捕获所有来自于屏幕的信息，而且这些信息足以破解上述任何类型的密码，所以现有基于图案的登录认证方案无法抵抗此种攻击。因此出现了基于生物特征识别的方案，由于该方案捕捉生物的独有特征，因此很难破解，能够抵抗肩窥攻击、污迹攻击和录屏攻击。但是在现有方案中通常需要额外的硬件设备，例如指纹采集、虹膜识别等，因此人们需要一个无需额外硬件识别、可用性高且安全性高的基于生物特征的方案。

发明内容

本发明所要解决的技术问题是：提供一种可抵抗多重攻击的基于生物行为特征的登录认证方法，结合了用户的静态生物特征与动态行为特征，对账户的隐私信息进行保护。

本发明为解决上述技术问题采用以下技术方案：

一种可抵抗多重攻击的基于生物行为特征的登录认证方法，该方法包括注册阶段和登录阶段，其中，

注册阶段包括以下步骤：

步骤1，用户在注册时，输入用户名；

步骤2，用户选择一个汉字，重复书写十次；

步骤3，获取用户每次书写时的压力和位置坐标信息，对这些信息进行清洗和训练，生成该用户的分类器；

步骤4，将用户名、用户每次书写时的压力和位置坐标信息、用户的分类器存储到数据库中，完成用户注册；

登录阶段包括以下步骤：

步骤5，用户在登录时，输入注册阶段所输入的用户名；

步骤6，用户书写注册阶段所书写的汉字；

步骤7，获取步骤6用户书写汉字时的压力和位置坐标信息，并清洗后输入该用户的分类器中进行验证，若分类结果正确则登录成功，若分类错误则进行书写次数判定，若未超过五次则返回步骤6重新书写，若超过五次则登录失败。

作为本发明的一种优选方案，所述步骤1中，用户输入用户名UserName，系统检测该用户名是否已经存在，若已经存在，则要求用户重新输入有效的用户名。

作为本发明的一种优选方案，所述步骤3的具体过程如下：

设定用户每次书写的时间为3秒，每间隔20毫秒捕捉一次信息，该信息包括用户书写的位置坐标以及该位置坐标对应所产生的压力，每次书写共捕捉150次信息，将150次信息按照时间序列排列，若超过3秒则舍弃，若不足3秒则以最后一次捕捉的信息自动补齐，采用长短时记忆网络算法对用户十次书写所获取的信息进行训练，生成该用户的分类器。

作为本发明的一种优选方案，所述步骤5中，用户输入用户名，系统检测该用户名是否存在，若不存在则给出错误提出，要求用户重新输入用户名，若已存在则登录过程继续，并记录登录次数Login_Time为0。

作为本发明的一种优选方案，所述步骤6中，用户书写注册阶段所书写的汉字，同时登录次数Login_Time加1。

作为本发明的一种优选方案，所述步骤7中，设定用户书写汉字的时间为3秒，每间隔20毫秒捕捉一次信息，该信息包括用户书写的位置坐标以及该位置坐标对应所产生的压力，共捕捉150次信息，若超过3秒则重新书写，若不足则以最后一次捕捉的信息自动补齐，对捕捉的150次信息按照时间序列排列，并清洗后输入用户的分类器中进行验证，若分类结果正确则登录成功，若分类错误则进行书写次数判定，若Login_Time未超过五次则返回步骤6重新书写，若超过五次则登录失败。

本发明采用以上技术方案与现有技术相比，具有以下技术效果：

1、本发明用户在注册时选择一个固定汉字书写并记住，该汉字是由用户自定义书写，可以稀释攻击者分析的密码空间，降低了攻击者破解密码的可能性，从而具有较强的安全性。

2、本发明用户书写汉字时，系统会捕捉用户的书写习惯，例如不同用户即使书写同一个汉字时在不同点的书写压力与速度不同，该方式是隐式的，增加了攻击者进行攻击的难度。

3、本发明用户书写汉字时的区域相对固定，即使攻击者可以根据痕迹猜测出用户所写汉字，因为用户书写行为具有特殊性，因此可以抵抗污迹攻击。

4、本发明可用性高，用户可以记忆并长期记忆密码，同时不需要额外的硬件设备。

附图说明

图1是本发明一种可抵抗多重攻击的基于生物行为特征的登录认证方法的流程图。

图2是实施例中模拟用户注册示意图，其中，(a)是注册界面，(b)是书写界面。

图3是实施例中模拟用户登录认证示意图，其中，(a)是登录界面，(b)是书写界面。

图4是实施例中训练用户数据存储示意图。

具体实施方式

下面详细描述本发明的实施方式，所述实施方式的示例在附图中示出。下面通过参考附图描述的实施方式是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

如图1所示，本发明提供一种可抵抗多重攻击的基于生物行为特征的登录认证方法，用户需书写其注册时书写的汉字，系统将该汉字进行数据处理输入至注册时训练好的分类器中，以完成登录认证。具备包括以下步骤：

(1)用户在注册时输入用户名；

(2)用户选择一个汉字重复书写十次并记住；

(3)系统将上述步骤(2)中的信息进行分析、清洗、训练，生成得出该用户的分类器；

(4)系统将上述步骤(1)、(2)、(3)中信息存储到数据库中；

(5)用户在登录时输入正确的用户名；

(6)用户书写注册时的汉字；

(7)系统将上述步骤(6)中信息输入分类器中进行验证，若分类正确则登录成功，若分类错误则进行书写次数判定，若未超过五次则回到步骤(6)重新书写，若超过五次则登录失败。

在步骤(1)中，用户输入用户名UserName，系统检测用户名是否已经存在，若已存在，则要求用户重新输入有效的用户名。

在步骤(3)中，系统将步骤(2)中每次书写的汉字根据时间序列提取压力、位置坐标等信息，而后进行数据清洗并纵向存入文件UserHandiData中，系统使用长短时记忆网络算法(Long Short Term Memory Network，LSTM)对UserHandiData中数据进行训练生成分类器Classifier。

在步骤(4)中，系统将{UserName,UserHandiData,Classifier}存储到数据库中，用户注册完成。

在步骤(5)中，用户输入用户名User_Name，系统检测该用户名是否存在，若未存在则给出错误提示，要求用户重新输入用户名，若已存在则登录过程继续，并记录登录次数Login_Time为0。

在步骤(6)中，用户书写注册时的汉字，同时Login_Time加1。

在步骤(7)中，系统将上述步骤(6)中书写的汉字根据时间序列提取压力、位置坐标等信息，而后进行数据清洗并纵向存入文件User_HandiData中。系统将User_HandiData中的数据输入分类器Classifier中，若分类结果为正确，则用户登录成功，若分类错误则进行书写次数判定，若Login_Time未超过五次则回到步骤(6)重新书写，若超过五次则登录失败。

实施例

用户注册如图2的(a)、(b)所示：

步骤1：用户在注册时输入用户名；

步骤2：用户书写一个汉字；

步骤3：用户书写同一个汉字；

步骤4：用户书写同一个汉字；

步骤5：用户书写同一个汉字；

步骤6：用户书写同一个汉字；

步骤7：用户书写同一个汉字；

步骤8：用户书写同一个汉字；

步骤9：用户书写同一个汉字；

步骤10：用户书写同一个汉字；

步骤11：用户书写同一个汉字。

用户输入用户名和手机号，并点击“开始注册”。用户选择“方”并进行书写，书写完成点击“提交”。用户重复上述操作九次，完成注册。

用户登录认证如图3的(a)、(b)所示：

步骤1：用户输入用户名；

步骤2：用户书写注册时的汉字；

步骤3：用户点击“完成”；

步骤4：系统验证密码是否通过，如果通过则登录认证完成，如果不通过则返回步骤2。

用户输入用户名和手机号，并点击“开始登录”。用户书写“方”，书写完成点击“提交”，完成登录认证。

如图4所示，注册和登录时用户所书写的每一个汉字会被处理成以时间序列排列，分别以坐标x值、坐标y值以及当前点的压力pressure存储。其中用户书写以3秒为时间限，每20毫秒捕捉一次数据，每次书写共产生150组数据。若书写超时则数据舍弃，若书写时间不足3秒，则以最后一次书写数据自动补齐。

以上实施例仅为说明本发明的技术思想，不能以此限定本发明的保护范围，凡是按照本发明提出的技术思想，在技术方案基础上所做的任何改动，均落入本发明保护范围之内。