密码革命 用自己的身体保护自己的秘密

　　深圳亚略特生物识别科技有限公司(下称“亚略特公司”)技术平台负责人黄振杭认为，随着企业对信息安全方面的要求越来越高，传统密码的安全性日益受到严峻挑战，生物识别技术将在身份认证和管理领域受到更多关注。

　　把密码丢一边去

　　信息安全专家指出，企业在部署防火墙、杀毒软件等安全工具的同时，往往忽视身份验证和身份管理的重要性。大多数企业还是依靠传统的账号加密码方式来保护企业的数据安全，而传统密码的安全性正受到越来越多的挑战。黄振杭说：“身份识别和管理已经成为当前企业信息安全的短板。”

　　全球信息安全解决方案提供商赛孚耐信息技术公司(SafeNet Inc.)今年3月底发布了《2004年度全球密码调查报告》，结果显示：50%的员工仍将他们的密码记录下来;超过三分之一的被调查者与别人共享密码;超过80%的员工有3个或更多密码;67%的被调查者用一个密码访问5个或5个以上的程序，另有31%访问9个或更多程序。这是目前密码管理状况堪忧的一个证明。

　　从安全角度考虑，我们很容易理解和接受密码。不过，随着密码应用范围的增多，密码被忘记、丢失、偷听、窃取的几率也在增加。随着企业信息数据的增多和重要性加强，需要更好的技术来保证密码的安全。

　　目前已经有了更多可供选择的方法，使身份验证更可靠。信息安全国家重点实验室副主任李宝研究员告诉记者，身份识别目前主要有三种手段：一是根据所知道的信息，比如账号密码;二是根据所拥有的物品，比如USBkey硬件;三是根据独一无二的身体特征，比如指纹、虹膜等。

　　由于静态密码的局限性，微软公司(Microsoft)等正大力推广基于一次密码生成令牌的动态密码技术;另外，内置密钥和算法的USBkey也在中国工商银行、深圳发展银行、浦东发展银行等得到了应用。业内人士指出，事实上，这些手段只是作为密码基础之上的第二层安全措施来部署的，而不是作为密码的替代方法来实现的。用户除了携带这些硬件之外，还需要记住这些硬件的PIN码，才能启动硬件，这就是通常所说的双因子认证。它使安全多了一层保障，但是对用户来说并不便捷，也没有解决密码记忆的问题。

　　把“我”设为密码

　　据清华大学电子系智能图文信息处理研究室丁晓青教授介绍，生物特征识别技术是指通过计算机利用人体所固有的生理特征或行为特征来进行个人身份鉴定，如人脸、指纹、虹膜、掌纹、笔迹、签字、语音等。

　　由于人体特征具有不可复制的特性，因而生物识别安全系数比较高，同时不存在忘记、遗失等问题。目前，国外许多高技术公司正在试图使用眼睛虹膜、指纹等手段取代信用卡或密码。这样，“我”就成了密码，真正实现了身份认证。

　　亚略特公司黄振杭表示，目前在生物识别技术中，指纹识别技术相对成熟，应用也比较普遍。指纹识别技术通过指纹采集终端采集指纹图像，然后通过一定的算法，按照特征值做出指纹模板，储存在数据库里，经过加密保护起来。验证身份时，识别终端把获取的被验证者指纹图案反馈给系统后，系统按照同样的算法，还原指纹特征，和数据库预存的数据进行比对，然后再决定是否要通过认证。

　　从安全性来讲，因为指纹信息是二维的，破解几乎是不可能的。黄振杭介绍说，最新的指纹技术采用活体识别技术，能够深入人体皮肤组织真皮层进行指纹提取;并在获取指纹图像时同步感应手指的温度、血液流动等信息指标，这样就防止了利用指模认证或者其他盗取指纹的方式。

　　指纹识别技术受到了一些硬件厂商的欢迎，目前市场上已经有指纹鼠标、指纹硬盘、指纹闪存盘等出现。联想集团还推出了带有指纹识别器的笔记本电脑。黄振杭说：“对那些指纹已经加密保存在磁盘数据库的桌面系统和笔记本电脑来说，我们可以很容易实现访问控制的配置。”

　　飞天诚信科技有限公司市场总监段绪志告诉记者，公司主要生产USBkey的硬件设备，他们也在研究用生物识别技术保护USBkey硬件，这样用户就不用记密码了。不过他表示，这种应用目前还不成熟，一方面系统设备本身成本较高，另一方面采样比较麻烦，技术上也不是非常成熟。

　　清华大学的丁晓青教授指出，任何一种单一的生物识别技术都有它的局限性，比如指纹识别，有关研究表明：5%的指纹因为磨损、特征值不明显等不能用于识别。人脸因为岁月的推移可能发生改变，笔迹也会因为个人的经历而发生相应的变化。

　　丁晓青教授认为：目前，多种生物技术融合的认证方式是一种研究方向，它可以提高信息收集的灵活性，同时也提高识别的性能。罗湖口岸应用的“人脸认证系统”正是清华大学电子系研制的“TH-ID多模式生物特征身份认证系统”的一部分，这个系统既可以分开验证，也可以在具备多特征值同时验证。

　　信息安全国家重点实验室副主任李宝总结说，从理论上讲，世界上没有绝对不可破解的密码技术，只不过破解的时间和代价不一样。不同的密码技术在一段时间内会共存，这一切还取决于企业对安全级别的要求、企业认识和观念的改变以及新技术的成熟度。