Page 346 - 《软件学报》2025年第5期

2246 软件学报 2025 年第 36 卷第 5 期

基于秘密知识的身份认证系统拥有庞大的用户群, 依靠合法用户与身份认证系统共享的秘密知识进行身份认
证. 但该类型身份认证普遍存在秘密知识泄露的风险. 一般情况下, 用户设置的秘密知识具有一定的倾向性, 有助
于攻击者通过智能口令猜测来获取秘密知识. 因此, 需要进一步研究高安全强度的秘密知识生成规则, 设计构建安
全环境下的秘密知识输入方案. 除此之外, 一旦攻击者通过肩窥攻击、油污攻击、眼球追踪等侧信道攻击手段获
取秘密知识, 那么身份认证系统将形同虚设. 因此, 如何提取无法被观测, 难以通过侧信道攻击手段推测的认证因
子, 应该被进一步研究. 此前, 已经有部分研究是针对这一方向的, 例如 PressPIN [103] 通过提取 PIN 码输入过程中手
指与触摸屏的压力信号作为隐性认证因子, 增强 PIN 码的安全性. 对于基于图案的身份认证系统, 存在秘密空间
小, 被破解可能性大的问题. 因此, 应该进一步研究如何从图案中提取更丰富的秘密信息, 并与生物特征、信任器
件等因素进行有机融合.
基于生理特征的身份认证系统通过提取用户独特的生理特征或生命体征来认证用户身份. 目前应用最为广泛
的是人脸认证和指纹认证, 它们的安全性也受到广泛的关注. 单一地对每次认证采集的人脸和指纹信息与注册收
集的相关信息进行比对被证明并不安全, 两者都容易受到演示攻击, 3D 打印出来的人脸硅胶面具和带指纹的树脂
指套都会对身份认证系统造成严重威胁. 例如, 在 2020 年的 DEFCON 网络安全会议上, 研究人员仅用一台基于
UV 树脂的 SLA 3D 打印机和价值 10 美元的材料就能破解三星 S10 智能手机中使用的最新超声波指纹认证技
术 [124] . 因此, 需要研究如何提取认证过程中其他难以被冒充伪造的活体检测和认证因子来增强安全性. 目前已经
有一些关于这方面的研究, 例如 Komeili 等人 [54] 从指尖同时捕获的心电图不仅可以作为第 2 认证因子, 还可以用
于指纹认证的活体检测.
信道的开放性使得基于声感知的身份认证系统在认证过程中产生的声信号很容易被偷录, 从而发起重放攻
击. 如何辨别声源的真实性, 抵抗重放攻击需要进一步研究. 目前, 基于人工智能技术的高级攻击, 如语音合成攻击
和语音对抗样本攻击等, 都会对声纹认证系统造成严重威胁. 如何抵御这些高级攻击, 也会成为此领域未来研究的
热点. 除此之外, 鉴于声信号良好的感知能力和在身份认证安全性增强方面巨大的应用潜力, 研究者还应重点关注
如何利用声信号巧妙地获取多种具有唯一性的独特隐性认证因子, 实现多种生物特征、秘密知识、信任器件的有
机融合, 从而增强身份认证系统的安全性.

5.2.2 实用性提升
实用性也是衡量身份认证系统的重要指标. 一个缺乏实用性的身份认证系统即使拥有很高的安全性, 也难以
得到用户的认可和广泛的部署. 实用性主要反映: 1) 认证系统初始化配置复杂度和学习成本大小; 2) 用户的操作
复杂度; 3) 身份认证系统错误拒绝率; 4) 认证系统硬件成本的高低. 身份认证系统应该同时兼顾这些方面, 才能带
来良好的用户体验, 并收获广泛的用户群体. 以下将从实用性的角度提出现有身份认证系统的研究展望.
对于基于秘密知识的身份认证, 要始终关注用户记忆成本与秘密知识强度之间的平衡, 减少用户选择的倾向
性, 研究和设计同时兼顾实用性和安全性的文本型和图案型身份认证部署方案. 在基于生理特征的身份认证系统
中, 某些生理特征 (如虹膜、掌纹、心电图等) 需要额外的特殊硬件支持, 而这些硬件往往是中低端移动终端所不
具备的, 导致对应的身份认证系统难以广泛部署和推广. 研究人员应该关注如何利用移动终端广泛配备的各类传
感器采集可以用于身份认证的生理特征. 在基于行为特征的身份认证系统中, 除声纹认证之外, 其他几乎所有的行
为特征认证系统存在准确率不够高, 系统鲁棒性不强的问题, 从而带来了不友好的用户体验. 因此, 需要进一步研
究提高基于行为特征的身份认证准确率的方法, 这对于该类型身份认证系统的推广具有重要意义. 基于声感知的
身份认证系统大都需要用户进行复杂初始化配置和适应性学习, 容易遭受多径传播和环境噪音干扰, 严重影响用
户体验. 如何简化初始化配置和学习成本, 加快系统的学习过程, 降低操作复杂度, 增强系统鲁棒性和跨设备适应
性, 是未来研究需要解决的问题.

5.2.3 兼顾安全性和实用性的双/多因素身份认证
双/多因素身份认证系统要求用户提供符合要求的多个身份认证凭据, 当且仅当每个身份凭据都通过认证时,
用户才能进入系统获得相应权限, 在一定程度上提高了身份认证系统的安全性. 正因其在安全性方面的表现明显
优于单因素身份认证, 双/多因素身份认证正在逐渐成为身份认证系统的发展趋势. 但是目前的双/多因素身份认证