基于模糊逻辑的击键特征.docx
《基于模糊逻辑的击键特征.docx》由会员分享，可在线阅读，更多相关《基于模糊逻辑的击键特征.docx（38页珍藏版）》请在冰豆网上搜索。
基于模糊逻辑的击键特征
毕业设计（论文）
题目：
基于模糊逻辑的击键特征
用户认证系统
毕业设计（论文）任务书
任务与要求
1.查阅相关资料，阅读大量文献。
2.学习并分析传统的口令认证机制。
3.分析用户击键特征。
4.给出用模糊逻辑方法记录用户击键特征的方法。
5.编程完成系统。
毕业设计（论文）工作计划
题目基于模糊逻辑的击键特征用户认证系统
工作进程：
工作内容
起止时间
3月10日至3月16日查阅、收集相关资料
3月17日至3月23日书写开题报告
3月24日至3月30日完善开题报告
3月31日至4月6日学习掌握传统的口令认证机制
4月7日至4月13日学习掌握用户击键特征
4月14日至4月20日学习掌握模糊逻辑的数学方法
4月21日至4月27日研究用模糊逻辑的方法描述用户击键特征
4月28日至5月4日研究怎样记录用户击键特征
5月5日至5月11日初步设计系统
5月12日至5月18日编程实现系统
5月19日至5月25日完善系统
5月26日至6月1日形成书面材料
6月2日至6月8日撰写毕业论文
6月9日至6月10日修改完善毕业论文，准备答辩
主要参考书目（资料）
主要参考书目（资料）
无
主要仪器设备及材料
计算机
论文（设计）过程中教师的指导安排
每周二指导一次，平时电话和邮件联系
对计划的说明
本计划为开题之初所定，后续会根据具体情况随时调整。
最终一定按照规
定结束日期完成毕业设计。
毕业设计（论文）开题报告
课题名称：
基于模糊逻辑的击键特征
用户认证系统
1．本课题所涉及的问题及应用现状综述
随着信息化的发展和信息手段的广泛应用，信息系统安全的重要作用开始慢慢体现出来，而用户认证系统成为了系统安全的一个关键环节。
传统的用户认证系统由于大多都采用简单的口令认证，存在很大的安全隐患。
因此，在口令保护机制的基础上，利用用户口令输入击键特征进行进一步用户认证的系统认证方式开始被广泛提及。
用户名--口令认证方式与用户击键特征相结合的用户身份认证系统，可以利用现有的普通电脑硬件，完成基于生物特征的用户身份认证，增强了用户认证机制的安全性。
由于各用户键盘熟悉程度、击键习惯等不尽相同，这就使得各用户在输入自己口令时均形成了自己独特的击键特征，人们击键特点的差别表现在击键和释键的速度，间隔以及键入组合键的方式和时间等。
因其唯一性，所以能代表用户的身份。
运用模糊逻辑模拟人脑方式，实行模糊综合判断，计算击键特征，它借助于隶属度函数概念，区分模糊集合，处理模糊关系，模拟人脑实施规则型推理，从而计算机可以记录用户击键特征，与登陆特征相比对进行系统认证，有效的用模糊逻辑的方法解决了击键特征的记录问题。
击键特征认证的方式不要求有昂贵的硬件设施，花费较小。
即使密码被冒名顶替者获得，但由于用户的击键特征具有唯一性，也不意味着他可以访问系统，进一步增强了系统的安全性。
同时它由于不需要额外的设备，完全以软件的方式实现，具有隐蔽性，避免了非法入侵者有针对性的破坏和伪造。
2．本课题需要重点研究的关键问题、解决的思路及实现预期目标的可行性分析
本课题研究的关键问题是对口令认证机制的分析和利用模糊逻辑方法记录用户的击键特征。
口令认证机制分析：
口令认证机制是对访问计算机系统的用户进行身份认证的主要方式，计算机通过对用户口令的验证判断是否属于合法访问。
利用模糊逻辑方法记录用户的击键特征：
将用户输人口令时所形成的击键特征,作为代表用户个人的一种生物特征并以此作为研究基于用户口令输人击键特征进行身份认证的基础数据对象,利用模糊逻辑对用户输入口令的键盘特征进行分析鉴别。
分析口令认证机制的解决思路为：
通过查阅资料，了解口令认证机制的方法及过程，加以理解分析，找出口令认证系统的不足。
利用模糊逻辑方法记录用户的击键特征的解决思路为：
第一步，新用户请求服务时系统学习并在认证数据库记录用户的击键模式；第二步，利用模糊逻辑计算用户击键特征；第三步，用户再次访问时系统将其与信息库中的击键分类进行匹配。
通过具体操作可以实现预期目标，本课题具有可行性。
3．完成本课题的工作方案
3月10日至3月30日搜集资料，了解相关信息，熟悉基于模糊逻辑的击；
键特征用户认证系统原理；
3月31日至4月20日分析用户认证的方式，并将其应用于系统，初步学习击键特征的分类；学习模糊逻辑方法；
4月21日至5月4日研究用模糊逻辑的方法记录用户击键特征；
5月5日至5月26日进行具体方案设计，完善认证系统；
5月26日至6月10日完成论文的撰写、修改、整理、完善，准备答辩。
4．指导教师审阅意见
该同学通过查看学习课题有关资料，能够很好的理解课题所涉及的问题，较好的给出本课题重点研究的问题，并给出解决问题的思路，工作方案安排合理，同意开题。
指导教师（签字）：
20
说明：
本报告必须由承担毕业论文（设计）课题任务的学生在毕业论文（设计）正式开始的第1周周五之前独立撰写完成，并交指导教师审阅。
西安邮电学院毕业设计（论文）成绩评定表
课题任务
完成情况
论文23（千字）；设计、计算说明书0（千字）；图纸0（张）；
其它（含附件）：
指导教师意见
分项得分：
开题调研论证分；课题质量（论文内容）分；创新分；
论文撰写（规范）分；学习态度分；外文翻译分
指导教师审阅成绩：
指导教师（签字）：
2010 年 月 日
评
阅
教
师
意见
分项得分：
选题分；开题调研论证分；课题质量（论文内容）分；创新分；
论文撰写（规范）分；外文翻译分
评阅成绩：
评阅教师（签字）：
2010年 月 日
验
收
小
组
意
见
分项得分：
准备情况分；毕业设计（论文）质量分；（操作）回答问题分
验收成绩：
验收教师（组长）（签字）：
2010 年 月 日
答
辩
小组
意
见
分项得分：
准备情况分；陈述情况分；回答问题分；仪表分
答辩成绩：
答辩小组组长（签字）：
2010年月日
成绩计算方法
（填写本系实用比例）
指导教师成绩20（％）评阅成绩30（％）验收成绩30（％）答辩成绩20（％）
学生实得成绩（百分制）
指导教师成绩评阅成绩验收成绩
答辩成绩总评
答
辩
委
员
会
意
见
毕业论文（设计）总评成绩（等级）：
院（系）答辩委员会主任（签字）：
院（系）（签章）
2010年月日
备
注
目录
摘要I
ABSTRACTII
引言1
1 传统口令认证机制3
1.1认证的基本概念3
1.2 静态口令认证技术3
1.2.1 静态口令基本原理3
1.2.2 静态口令认证机制安全性分析3
1.3 动态口令认证技术4
1.3.1 动态口令基本原理4
1.3.2 动态口令认证机制的分类5
1.3.3 动态口令认证机制安全性分析6
2 基于击键特征的用户身份认证系统的设计7
2.1 击键特征的主要思想7
2.2 基于模糊c均值聚类的击键特征用户系统8
2.2.1 基于模糊c均值聚类的击键特征用户系统的结构划分8
2.2.2 模糊c均值聚类8
2.2.3 特征提取10
2.2.4 系统训练10
2.2.5 身份认证11
3 基于模糊逻辑的击键特征用户认证系统的实现13
3.1 钩子函数记录键盘特征功能描述13
3.1.1 钩子函数类型13
3.1.2 编写钩子程序15
3.2 模糊C均值聚类算法的实现18
3.3 系统的测试及结果22
3.4 实验结果及讨论24
4 结论25
致谢26
参考文献27
摘要
随着计算机网络的日益发展，机器的开放性越来越强，于是计算机网络安全问题就显得更加紧迫。
用户身份认证是解决计算机安全问题的主要方法之一。
在现有的用户身份认证方法中，使用最多的是用户利用密码进行登录，但密码有可能被盗取或遗忘。
针对传统口令认证方式在密码保护方面的脆弱性，提出将用户名--口令认证与击键特征认证相结合的认证方式，本文研究的是一种基于模糊逻辑进行击键特征认证的新方法。
在基于模糊逻辑的用户击键特征的认证系统中,系统分为学习模块和工作模块。
学习模块是新用户请求服务时系统学习并在认证数据库记录用户的击键模式的过程；工作模块是该用户再次请求服务时系统计算其击键模式并与认证数据库中存储的击键模式进行匹配,从而决定是否授权。
实验结果证明，此种击键特征认证方法具有较高的用户识别性能。
关键词：
口令认证模糊逻辑击键特征
ABSTRACT
Withtheincreasingdevelopmentofcomputernetworks,theopennessofthemachineisbecomingmoreandmoreapparent,therefore,thecomputernetworksecuritybecomesmoreurgent.Userauthenticationisoneofthemainmethodstosolvetheproblemofcomputersecurity.Intheexistingmethodsofuserauthentication,thattheuserusesthepasswordtologonismostlyadopted,butthepasswordmaybestolenorforgotten.Amingatthevulnerabilityoftraditionalpasswordauthenticationintheareaofpasswordprotection,peopleputforwardthemethodcombiningtheusername-passwordauthenticationwiththebiometricsauthentication,andthisthesisresearchesanewmethodtoproceedbiometricsauthenticationbasedonfuzzylogic.
Intheauthenticationsystemofkeystrokecharacteristicsbasedonfuzzylogic,thesystemisdividedintothelearningmoduleandtheworkingmodule.Thelearningmoduleisaprocessthatwhenanewuserrequestsservice,thesystemlearnsandrecordstheuser'skeystrokesmodeinthecertificationdatabase;theworkmoduleisthatwhentheuserrequestsserviceagain,thesystemcalculateshiskeystrokesmodeandcompareswiththekeystrokesmodestoredintheauthenticationdatabase,andthendecideswhethertoauthorize.Theexperimentalresultsprovethatthismethodofbiometricsauthenticationhasahighperformanceofuserrecognition.
Keywords:
PasswordAuthenticationFuzzyLogicBiometrics
引言
全球化的信息浪潮席卷了整个社会，带来了人类历史上最活跃的生产力形态，同时深刻地影响和变革着人类的生活方式。
信息技术将现实空间中的人类活动映射到网络空间中，帮助人们摆脱地域、时间的限制，获得更多的资源和服务。
然而，信息技术是把双刃剑，攻击者企图利用信息技术，获得非法信息资源、破坏信息系统安全。
为了保证人们享受信息技术，同时远离攻击者带来的危害，信息安全学科应运而生。
信息安全强调四种基本服务，即认证性、机密性、数据完整性和不可抵赖性。
认证是信息安全的基本问题，信息安全的其他基本服务都可以、或者必须依赖认证而实现。
认证提供给通信参与方关于其通信对方身份的确信度，使得通信双方“知己知彼”。
在网络空间中，为了实现安全通信，需要首先进行认证。
据初步估计,大约70%以上的网络入侵行为，都是从盗用合法用户口令尤其是管理员口令开始的。
鉴于口令保护机制是一种简单的电脑安全保护手段，为弥补其不足，人们提出了多个基于各种生物特征的用户身份认证方法,这些生物特征包括：
指纹、虹膜、面部、声音、掌形（纹）等,但基于这些生物特征的用户身份认证方法均需要额外价格不菲的硬件设备（其价格从数百美元到数万美元不等），这也就使得基于这些生物特征的用户身份认证方法无法得到广泛的应用。
基于生物特征的身份认证方法就是利用用户个人的一些独特特征，来帮助确认电脑用户的身份。
为利用现有普通电脑硬件，完成基于生物特征的用户身份认证，人们提出了基于用户击键特征来进行用户身份认证的方法，该方法利用用户输入口令时的击键压力、击键节奏等所构成的用户生物特征，来进行用户身份的认证工作。
通过实验分析发现，每个人由于受训练的程度不同，用手习惯的影响，以及性格的差异，使得此人在进行键盘录入时，其击键特点与其他人互不相同。
这些差别主要表现在：
（1）随着键入字符的不同（反映在使用的手指、键盘的位置不同）而使得击下和抬起该字符的速度有所差异。
（2）随着键入字符顺序的不同而使得敲击连续两个字符的时间间隔有所不同。
（3）各人使用组合键的方式及时间有所不同。
（4）一些统计性的数字，如平均按键持续时间等，也各不相同。
通过以上情况可以看出，用户击键信息中应该存在使该用户与其他用户相互区别的独特属性。
因此完全可以将用户的击键特性作为用户的一种认证手段，而使其与另外的用户区别开来。
本文在实验研究中将用户名———口令认证方式与击键特性认证方式相结合,并提出利用模糊逻辑的方法对用户的击键特性进行识别.实验结果表明,本文提出的认证方式可以有效阻止使用他人账号的非法入侵者,提高了系统的安全性。
1 传统口令认证机制
1.1认证的基本概念
身份认证是系统安全中最重要的问题。
只有在进行安全可靠的身份认证的基础上。
各种安全系统才能最有效地发挥安全防护作用；也只有完成了身份认证。
才可能安全、高效地开放和共享各种网络资源、系统资源、信息资源。
安全认证的概念可以细分为如下三个方面：
数据源认证、实体认证及认证的密钥建立。
数据源认证：
数据源认证包含从某个声称的源（发送者）到接收者的消息传输过程，该接收者在接收时验证消息以确认消息发送者的身份、原消息的完整性，以及消息传输的活现性。
实体认证：
实体认证是一个通信过程，通过这个过程某个实体和另外一个实体建立一种真实通信，并且第二主体所声称的身份应和第一主体所寻求的通信方一致。
认证的密钥建立：
认证的密钥建立是认证协议和密钥建立协议的结合，用于确认协议参与实体身份，并在实体之间建立共享秘密以保证上层的安全通信。
基于口令的认证技术起源于上世纪70年代初，该认证技术的基本思想是：
用户Alice具有一个口令（也称通行字）PA，服务器保留了形如（Alice,PA）的记录。
当Alice登陆服务器时，以某种形式递交PA，服务器检查本地是否保存了相应的（Alice,PA）项：
若有，则授权Alice的登陆；否则拒绝。
由于目前的网络已经从最初的安全专线网络发展成为开放网络，基于口令的认证技术越来越类似于对称密钥情形下的认证，用户口令相当于一个长度较短的密钥。
1.2 静态口令认证技术
1.2.1 静态口令基本原理
静态口令是使用最早、最广泛的认证手段。
因其实现简单、使用方便，得到了广泛的应用。
它的基本原理是：
用户在注册阶段生成用户名和初始口令，系统在其数据库中保存用户的信息列表（用户名ID+口令PW）。
当用户登录认证时，将自己的用户名和口令上传给服务器，服务器通过查询用户信息数据库来验证用户上传的认证信息是否和数据库中保存的用户列表信息相匹配。
如果匹配则认为用户是合法用户，否则拒绝服务，并将认证结果回传给客户端。
用户定期改变口令，以保证安全性。
1.2.2 静态口令认证机制安全性分析
口令泄露是口令认证系统面临的最大威胁。
用户口令通常是一组字符串，长度不会太长，为了记忆方便常选择有规律或有意义的字符串，如生日、人名、电话号码等，另外，口令明文传输和不加密存放使得静态口令认证系统的安全性很差。
主要存在以下问题：
（1）网络窃听：
很多网络服务在询问和验证远程用户认证信息时，认证信息都是以明文形式进行传输，如大量的通信协议如Telnet、FTP、HTTP等都使用明文传输，这意味着网络中的窃听者只需使用协议分析器就能查看到认证信息，从而分析出用户的口令。
（2）截取／重放：
有的系统会将服务器中用户信息加密后存放，用户在传输认证信息时也先进行加密，这样虽然能防止窃听者直接获得口令，但使用截取／重放攻击，攻击者只要在新的登录请求中将截获的信息提交给服务器，就可以冒充登录。
（3）字典攻击：
某些攻击者利用用户口令使用生日，人名等有意义的单词或数字的特点，使用字典的单词来尝试用户的口令，这就是所谓的字典攻击。
因此，许多系统都建议用户在口令中加入特殊字符，以增加口令的安全性。
（4）穷举攻击：
如果用户口令较短，攻击者就会使用字符串的全集作为字典，来对用户口令进行猜测。
它是字典攻击的一种特殊形式。
（5）伪造服务器攻击：
最常见的是网络钓鱼。
即攻击者通过伪造服务器来骗取用户认证信息，然后冒充用户进行正常登录。
（6）口令泄露：
攻击者通过窥探、社交工程、垃圾搜索、植入木马等手段，窃得用户口令。
或用户自己不慎将口令告诉别人或将口令写在其他地方被别人看到，造成口令的泄露。
由于静态口令存在的缺陷，基于静态口令的身份认证正逐渐退出历史舞台。
近年来，许多专家提出了其它的身份认证方式如：
生物认证、智能卡认证、动态口令认证等。
动态口令认证因其具有高安全性、可靠、简单、容易实现，成本低、投资规模小等特点，得到了广泛的应用。
1.3 动态口令认证技术
1.3.1 动态口令基本原理
动态口令也叫一次性口令，它的基本原理是：
在用户登录过程中，基于用户口令加入不确定因子，对用户口令和不确定因子进行单向散列函数变换，所得的结果作为认证数据提交给认证服务器。
认证服务器接收到用户的认证数据后，把用户的认证数据和自己用同样的散列算法计算出的数值进行比对，从而实现对用户身份的认证。
散列函数在认证过程中起着至关重要的作用，它把可变输入长度串（预映射）转换成固定长度输出串（散列值）且单方向运行，即从预映射的值很容易计算散列值，但要从散列值推出预映射值非常困难，使得攻击者通过网络窃听截取登录信息却无法反推出用户口令。
在认证过程中，用户口令不在网络上传输、不直接用于验证用户的身份，用户口令和不确定因子使用散列算法生成的数据才是直接用于用户身份认证的数据，且每次都采用不同的不确定因子来生成认证数据，从而每次提交的认证数据都不相同，提高了登录过程的安全性。
1.3.2 动态口令认证机制的分类
根据加入不确定因子的选择方式不同，常用动态口令认证机制有时间同步机制，事件同步机制和挑战／应答机制三种。
时间同步机制，就是以时间作为不确定因子。
它的原理是：
每个用户都持有相应的时间同步令牌，令牌内置时钟、种子密钥和加密算法。
时间同步令牌根据当前时间和种子密钥每60秒动态生成一个动态口令。
用户需要访问系统时，将令牌生成的动态口令传送到认证服务器，服务器通过其种子密钥副本和当前时间计算出所期望的验证值，对用户进行验证。
它的优点是操作简单、易于管理，缺点是需要认证服务器和用户令牌的时钟严格保持同步，否则因网络延迟很容易造成正常认证失败，在分布式环境下很难管理。
事件同步机制，又称为Lamport方式。
事件同步机制是以事件（次教N作为变量。
在初始化阶段选取口令PW、迭代数N及一个单向数列函数H0，计算Y=Hn（PW）（Hn）（表示进行n次散列运算），把Y和N的值存放到服务器上。
在登录阶段，用户端计算
的值，将其提交给服务器，服务器端计算Z=H（Y’），将Z值同服务器上保存的Y值进行比较。
如果Z=Y，刚验证成功。
然后用Y’的值代替服务器上Y的值作为下次的验证值，同时将N的值递减1。
这种认证方式的优点是容易实现，不需要特殊硬件，可以在批次运作环境下使用；缺点是安全性依赖于单向散列函数，不宜在分布式网络环境下使用，由于N是有限的，用户登录N次后必须重新初始化口令序列，且很难抵挡小数攻击。
挑战／应答异步认证机制，就是以挑战数作为变量。
每个用户同样需要持有相应的挑战／应答令牌。
令牌内置种子密钥和加密算法。
用户在访问系统时，服务器随机生成一个挑战教并将挑战数发送给用户，用户将收到的挑战数手工输入到挑战／应答令牌中，挑战／应答令牌利用内置的种子密钥和加密算法计算出相应的应答数，将应答数上传给服务器，服务器根据存储的种子密钥副本和加密算法计算出相应的验证数，和用户上传的应答数进行比较来实施认证。
该方式的优点是没有同步的问题，可以保证很高的安全性，是目前最安全可靠的认证方式；缺点是需要特殊硬件支持，用户需多次手工输入数据，易造成较多的输入失误，操作过程繁琐，易被伪造服务器攻击，服务器端每次都要产生随机数，增加了系统开销。
1.3.3 动态口令认证机制安全性分析
动态口令采用的是一次一密机制，它在原理上是不可破的。
下面我们针对常用的攻击手段对动态口令认证系统的安全性进行分析：
（1）网络窃听：
因为在网络上传输的登录口令是经过单向散列变换后的数据，用户口令并不在网上传输，所以网路即使被窃听，攻击者也无法从得到的信息推出用户口令。
（2）截取／重放：
因为加入了不确定因子，用户每次提交的认证数据都不相同，攻击者截取的认证数据在下次认证中没有任何意义。
（3）字典／穷举攻击：
因为使用了双因子（用户口令和不确定因子）进行散列变换生成动态口令，使攻击者利用字典／穷举攻击变得困难，但如果用户口令太短，也容易被攻击者攻破。
（4）伪造服务器攻击：
大多数模式只实现了服务器对用户的认证，并没有对服务器进行认证，尤其足基于事件的认证机制不能抵御小数攻击。
但现在有许多改进算法结合证书、密码技术很好地克服了这一缺点。
（5）口令泄露：
只能有效抵御。
因为用户如果不妥善保管口令，口令还足易被攻击者通过窥探，垃圾搜索等手段获取，但能抵御社交工程攻击。
动
升级会员 