基于生物特征识别和一次性口令的电子商务安全交易方案

王 伟，徐平平，王华君

（1.无锡太湖学院 工学院，江苏 无锡　214064；2.东南大学 信息科学与工程学院，江苏 南京　211189）

基于生物特征识别和一次性口令的电子商务安全交易方案

王 伟1，徐平平2，王华君1

（1.无锡太湖学院 工学院，江苏 无锡214064；2.东南大学 信息科学与工程学院，江苏 南京211189）

针对电子商务中信用卡交易的安全性问题，提出一种基于生物特征识别和一次性口令的电子商务安全交易方案。根据用户交易的敏感度，分别采用2种方案。第一种方案中，采用安全套接层（SSL）协议和指纹特征相结合。第二种方案中，采用虹膜特征和一次性口令相结合，持卡人使用USB身份锁存储虹膜信息，并计算虚拟函数。另外，都通过Hash函数对生物特征进行运算，利用发卡方的公钥加密支付信息，利用商家的公钥对订单信息进行加密。发卡方通过特征的比对来进行身份认证。通过分析表明，该方案能够有效保护交易安全性。

电子商务；安全交易；生物特征识别；一次性口令；Hash函数

随着网络应用的普及，电子商务模式在我国已日趋成熟。然而，电子商务交易所用的平台-Internet却充满了复杂的安全风险。一方面电子商务交易面临着许多外部危险因素，如黑客入侵、病毒感染等，使得电子商务交易难以完全获取客户的信任，另一方面电子商务交易的发展还面临着严峻的内部风险［1］。

电子商务安全包括商务交易安全和电子支付安全。而商务交易安全主要是通过加密技术、安全机制、安全协议进行保证的［2］。授权、隐私、完整性、审计能力可用性、机密性、身份证明、身份验证和不可否认性，这八大安全需求是电子商务交易安全框架的基础［3］。

智能卡具有高度的安全性和智能性，可将密钥、密码、用户的基本信息、金融信息和交易记录等数据存储在智能卡中［4］，所以基于智能卡的电子商务交易方式越来越广泛应用。对于基于智能卡的交易安全性，学者提出了多种交易安全协议，例如，文献［5］提出一种基于无证书公钥密码系统的远程用户的身份验证方案，然而其具有较高的通信和计算成本。近年来，对基于智能卡的远程用户身份验证系统不断得到改善。由于生物特征的独一性和不可否认性，生物识别的身份验证比密码身份验证更有效［6］。例如，文献［7］将生物识别技术应用到安全认证中，其采用了指纹作为识别特征，并结合高强度的加密和Hash函数，一定程度上提高了安全性。

文中针对电子商务中信用卡交易的安全性问题，提出一种基于生物特征识别和一次性口令的电子商务安全交易方案。根据用户交易的敏感度，分别采用2种方案。第一种方案中，采用安全套接层（Secure Sockets Layer，SSL）协议和指纹特征相结合，并通过Hash函数对指纹信息进行运算，保证传输安全。同时，利用发卡方的公钥加密支付信息，用商家的公钥对订单信息进行加密。发卡方通过特征的比对来进行身份认证。第二种方案中，采用虹膜扫描和一次性口令相结合，持卡人使用USB身份锁存储虹膜信息，并计算虚拟函数。本文方案在考虑认证时间的同时，能够有效保护交易安全性。

1　本文方案框架

1.1生物识别技术

生物识别［8］是使用人类生理特征或行为特征来确定一个人的身份。其中，生理特征识别包括：指纹识别，脸部识别，声音识别，视网膜扫描或虹膜扫描等。指纹识别和脸部识别是两种常用的生物识别技术。生物识别系统基本流程如下：

注册：采集、处理和存储用户原始生物识别样本，用于生物识别系统。

提交：用户向生物识别系统以生物样本的形式提供生理或行为数据。

特征提取：从生物识别样本中定位和提取特征，并进行特征编码过程，从而生成模板，用于生物识别匹配。

匹配：计算生物模板之间的相关或相似程度。

评分：对生物识别匹配相似或相关程度进行评分。决策：根据相关程度的预定义阈值进行决策。

1.2电子交易的安全需求

有效的电子商务安全交易必要满足两大需求：

1）在电子交易中创建隐私保护，防止误用敏感信息。

2）实现可靠身份验证，防止信用卡、智能卡交易中出现欺诈、盗窃行为。

安全电子交易（Secure Electronic Transaction，SET）协议［9］能够满足隐私保护需求，但其需要大量计算，交易时间远远长于其他协议，例如安全套接层（SSL）协议［10］。SSL协议简单且易于快速实施，是网络中最广泛使用的支付协议。SSL还提供了数据交换的保密性和完整性。另外，基于生物特征的身份认证能够满足第二个需求。将其相结合即可获得满足上述两大需求的电子交易安全交易方案。

1.3本文认证方案框架

本文生物认证系统包括4个步骤。首先，通过web照相机或传感器采集虹膜图像或指纹图像；然后，将这些图像发送给处理软件，通过主成分分析（Principal Component Analysis，PCA）［11］技术进行特征提取。再后，对提取的特征进行Hash处理，用发卡方的公钥对Hash模板进行加密。最后，将获得的混合信息发送到发卡方端。发卡方端接收到数据后，对其进行解密，然后通过比对过程完成识别。文中基于生物认证的安全交易系统框架如图1所示。

文中采用传统支付认证协议和生物认证技术相结合，对信用卡用户进行实时身份验证，以建立更高级别的安全性。其中，本文使用了SSL和3-D安全协议［12］，用以替代传统SET协议，来实现用户的隐私保护。

图1　本文安全交易认证系统框架

对于生物认证技术，本文方案基于交易敏感程度采用两种方案：1）对于敏感度较低的交易支付场景，即交易额较少，提出使用了持卡人指纹样本的第一种方案，以提高交易认证速度。在网络中传输指纹样本Hash值，以及经发卡方公钥加密后的支付信息。同时，发卡方必须对样本和支付信息进行再次Hash运算，然后再与指纹样本进行比对，并隐藏持卡人证书中的信用卡信息。2）对于敏感度较高的交易支付场景，即交易额较多，提出采用虹膜扫描和一次性口令相结合的第二个方案，用以保证大金额交易的安全性。持卡人使用USB身份锁存储虹膜信息，并计算虚拟函数。通过发卡方的公钥对支付信息进行加密，用商家的公钥对订单信息进行加密。

上述的交易敏感度是发卡方设定的，例如，可设定交易额大于1万元时为高敏感交易，反之为低敏感交易。本文所涉及的符号含义如下：

OI：表示订单信息；

PI：表示支付或信用卡信息；

Enc x（m）：表示经x的公钥加密后的信息m。

D.S.X：表示x的数字签名；

H（m）：表示信息m的Hash函数；

Encs.k：表示利用SSL会话的会话密钥进行加密。

2　较低敏感交易中安全方案

对于较低敏感交易中的信用卡支付交易，即交易金额较少，本文安全交易方案如图2中所示。由于实现过程简单，该方案采用了改进的SSL协议。这里，客户不需要额外的软件，只须提供指纹样本，用以满足第二因素。持卡人具有的证书如图3所示。

图2　较低敏感交易中信用卡安全交易流程

在商家和持卡人之间建立安全通道，OI通过会话密钥进行加密，PI用发卡方的公钥进行加密。将指纹样本和信用卡信息的散列信息提供给商家，然后经发卡方的公钥加密后，通过商家和收单方发送到发卡方。因此，商家和收购方都能够解读支付信息和指纹样本。这表示已经满足了第一个因素。从持卡人接收到购买请求后，商家生成授权请求（AUTH REQ），其中包括授权金额。该请求通过商家私钥进行签名，该私钥被收单方的公钥加密保护。

图3　持卡人的证书格式

该方案优点为：1）发布者对生物认证的需求不是必要的，具有生物识别服务能够带来更高的安全性能；2）比SET协议易实施、更高速；3）因为使用了Hash函数，商家或收单方能够用持卡人证书模板比对生物认证样本，从而识别出真实的持卡人。

3　较高敏感交易中的安全方案

当有大金额交易时，本文提出另一种信用卡安全交易方案。需要采用比指纹更精确的生物识别方法来进行实时身份认证，例如选择虹膜扫描。虹膜扫描是一种成本和复杂性远远高于其他认证技术的方法，但具有最好的安全性［13］。同时，本文将一次性口令［14］概念与该认证方式相结合，实现了高级别的安全性。通过这种方式，验证过程可建立持卡人与发卡方间的直接关系，并均衡考虑保密性能和识别速度。另外，商家还须确保正在交易客户的准确性。因此，商家采用了3-D安全协议，3-D安全协议将发卡方认证引入交易流程中，由发卡方确保在线交易时持卡人的合法性，从而有效减少有争议的交易数［15］。

导入之后得到的数据示例如表2所示，需要注意的是，为了方便显示我们省略了一些属性。另外，KC是关于知识点的详细描述，所占篇幅较长，我们仅以SkillRule代替。

相比于先前方案，该方案的成本较高，但安全级别也更高。

1）虚拟口令概念

口令是电子商务交易中公认的客户首选方式。系统可以使用虚拟口令概念来实现一次性口令认证。创建一次性口令，需要实现两项：一个固定的字母数字口令Ps和定义域为ψ的函数F，其中ψ表示可用作口令的字母空间。函数 F（Ps，R）=Pd，其中 R为服务器产生的随机数，Pd为用于身份验证的动态口令。虚拟函数是生成一次性口令的重要项，因为攻击者无法破解一次性口令，从而获得用户的简单口令。

用户必须通过应用程序计算生成一次性口令，然后在服务器上登录。USB身份锁或用户的移动端应用都能够使用虚拟函数生成一次性口令。

2）推荐虚拟函数

本文采用Runge-Kutta方法计算一次性口令，该方法表示如下：

其中ti（i=0…n）表示用户简单口令中的一位数字，W0…Wn+1是作为响应的一次性口令，且Wi∈｛0…z-1｝。H2（Bio，r）是生物特征样本和一个随机数字的双精度Hash值。

服务器向用户发送随机数作为挑战。出于安全原因，Z可以选择大的素数，将简单口令（n位）转换成大的一次性口令（m位），其中m＞＞n。可以证明，改进后的虚拟函数能够抵御很多网络攻击。

图4　较高敏感交易中信用卡安全交易流程

假设，客户具有USB身份锁，则可用于计算虚拟函数，还可以保存一些用户信息。身份锁由发卡方发放，并授权给持卡人。USB身份锁可以存储客户的虹膜样本，每当用户进行身份验证时，计算生成一次性口令。

安全交易步骤如下：

1）购买请求（Enc I（PI），Enc M（OI））。

2）检查发卡方是否已经参与交易。

3）发卡方确认信用卡已经参与交易。

4）定位发卡方的访问控制服务器，并发送给商家。

5）商家重定向客户浏览器到发卡方。

6）发卡方访问控制服务器，向持卡人发送随机数字r，并用USB身份锁计算生成一次性口令；向发卡方和发卡方服务器发送生成的具有持卡人生物认证特性的一次性口令，用于身份验证和信号响应，以及对客户和商人进行重定向。

7）商家提交正常交易，例如向收单方发送授权请求+Enc I（PI）。

8）收单方发送授权请求+Enc I（PI）。

9）发卡方发送授权响应。

10）收购方发送响应。

11）商家确认交易。

发卡方能够同时存储持卡人的简单口令和生物认证模板。在这种方式中，使用Runge-kutta方法计算一次性口令，然后与接收到的持卡人口令进行比较验证。

此外，发卡方可以用Runge-kutta方法计算生成的简单口令，并接收一次性口令，然后在服务器上比较两个口令。该方法采用网络摄像头采集虹膜样本，并向身份锁发送提取的数据，用于计算一次性口令。

4　结束语

由于基于生物认证的身份验证比其他验证方法更可靠。所以，文中提出基于生物特征识别技术的电子商务安全交易方案。根据用户交易的敏感度，分别采用2种方案。第一种方案中，采用安全套接层（SSL）协议和指纹特征相结合。第二种方案中，采用虹膜特征和一次性口令相结合。同时，利用Hash函数和加密算法来确保生物特征模板的安全性，有效提高了信用卡交易时的安全性能。

［1］田丰.基于WPKI的移动电子商务安全研究［J］.计算机应用与软件，2013，30（9）：61-63.

［2］徐洪峰，徐曦，曾杰.移动电子商务安全问题研究［J］.计算机技术与发展，2011，21（11）：236-238.

［3］Banerjee S，Karforma S.On Designing a Secure E-Commerce Transaction Management System-A UML Based Approach ［J］.Innovative Systems Design&Engineering，2012，3（6）：241-253.

［4］Chen C L，Lai Y L，Chen C C，et al.A smart card-based mobile secure transansaction system for medical treatment examination reports［J］.International Journal of Innovative Computing Information&Control，2011，7（5）：2257-2267.

［5］茹秀娟，余楠.基于无证书公钥密码的终端安全移动支付协议［J］.计算机应用研究，2015，32（3）：912-916.

［6］谈玲，张琭.交互式多生物特征识别技术在电子商务中的应用［J］.电信科学，2015，31（10）：124-129.

［7］Agbontaen F O，Orukpe P E.Secured Online Payment Using Biometric Identification System［J］.Advanced Materials Research，2013，32（4）：193-199.

［8］Obed-Emeribe C.Multimodal Biometric Technology System Framework and E-Commerce in Emerging Markets［J］.International Journal of Advanced Computer Science&Applications，2013，4（7）：325-338.

［9］肖仕成.基于四方的安全电子商务支付协议研究［J］.计算机科学，2011，38（10）：39-44.

［10］Ding X J，Jiang X D，Zheng Y Z.The Research and Implementation of E-Commerce Secure Payment Protocol［J］. Advanced Materials Research，2011，26（7）：74-79.

［11］李占波，白全海，申义彩.基于主成分分析的网络入侵检测算法［J］.计算机工程，2013，39（5）：152-155.

［12］李曦，赵高权.基于3-D Secure的手机支付系统的实现［J］.西华大学学报：自然科学版，2011，30（4）：83-85.

［13］Li X，Zhao G.An Identity Authentication Scheme Based on Speaker Recognition［J］.Journal of Convergence Information Technology，2013，8（9）：903-910.

［14］Li J Y，Shi H，Deng Y Q，et al.An Improved Scheme of One-time Password Identity Authentication Based on the S/ KEY System［J］.Applied Mechanics&Materials，2014，64 （4）：2763-2767.

［15］卫红春，马丁.基于改进的3-D Secure协议的移动支付安全解决方案［J］.计算机应用与软件，2011，28（4）：189-192.

An E-commerce security transaction scheme based on biometrics and one-time password

WANG Wei1，XU Ping-ping2，WANG Hua-jun1
（1.School of Engineering，Taihu University of Wuxi，Wuxi 214064，China；2.School of Information Science and Engineering，Southeast University，Nanjing 211189，China）

For the issues that the security problem of the credit card transaction in electronic commerce，an e-commerce security transaction scheme based on biometrics and one-time password is proposed.This paper proposed two schemes according to the sensitivity of the user transactions.In the first scheme，the secure sockets layer（SSL）protocol and fingerprint feature are combined.In the second scheme，the iris feature and one-time password are combined.The cardholder uses USB to store the iris information，and calculates the virtual function.In addition，the Hash function is used to calculate the biological characteristics，the issuer's public key is used to encryption payment information，and the business's public key is used to encrypt the order information.Finally，the card issuer performs the identity authentication by feature comparison.The analysis shows that the proposed scheme can effectively protect the transaction security.

E-commerce；secure transaction；biometric；one-time password；hash function

TN918

A

1674－6236（2016）09-0024-04

2016-02-06稿件编号：201602021

国家自然科学基金项目（61375028）；江苏省高校自然科学研究项目（14KJB520036）

王 伟（1979—），男，江苏无锡人，硕士，讲师。研究方向：电子商务、物联网等。