基于鼠標(biāo)鍵盤行為的身份認(rèn)證*

◆王鑫 王夢(mèng)瑩 梁金

1 引言

身份認(rèn)證是計(jì)算機(jī)安全、網(wǎng)絡(luò)安全的第一道防線。長久以來，人們一直在研究這方面的技術(shù)，試圖尋找一種安全的、可靠的、可行的和簡易的身份認(rèn)證方式來滿足安全需求。目前市面上應(yīng)用比較廣泛的身份認(rèn)證方式有三種[1]：1）傳統(tǒng)字符密碼；2）生物特征認(rèn)證（指紋識(shí)別、虹膜識(shí)別等）；3）輔助設(shè)備（加密狗、口令卡等）。從安全性、方便性、廉價(jià)性分析，這些身份認(rèn)證方式或多或少都存在不足。如傳統(tǒng)的字符型密碼容易被間諜軟件竊取、密鑰存儲(chǔ)問題、容易被猜出；生物特征識(shí)別（如指紋、虹膜識(shí)別）需要添加額外的設(shè)備，這會(huì)增加額外的成本開銷；使用輔助設(shè)備來進(jìn)行身份識(shí)別（如口令卡、加密狗等），如果這些輔助設(shè)備丟失，就無法完成身份認(rèn)證。因此，研究人員仍然不斷在尋找新的認(rèn)證方法。

2 相關(guān)工作

基于計(jì)算機(jī)輸入行為特征的認(rèn)證方法，具有鮮明的特點(diǎn)，如：行為方式難以模仿；行為方式無需記憶；行為數(shù)據(jù)數(shù)據(jù)量多，行為密碼不具有明顯的特征；無需額外設(shè)備，并且在當(dāng)前的大多數(shù)計(jì)算機(jī)系統(tǒng)中可以直接部署。正是因?yàn)檫@些特點(diǎn)，使得這種認(rèn)證方法逐漸成為研究的熱點(diǎn)[2-3]。

由于基于計(jì)算機(jī)輸入行為特征的認(rèn)證的優(yōu)點(diǎn)，國內(nèi)外學(xué)者在此基礎(chǔ)上做了很多研究。從2003年開始，國外有四個(gè)小組對(duì)鼠標(biāo)的使用行為特征進(jìn)行了初步的研究[4-8]，內(nèi)容多為基于統(tǒng)計(jì)的鼠標(biāo)行為特征。文獻(xiàn)[9]提出一種基于鼠標(biāo)運(yùn)動(dòng)的用戶再認(rèn)證方案，他們提出對(duì)于每個(gè)用戶的每個(gè)請(qǐng)求都用決策樹分類器建立不同的模型。文獻(xiàn)[10]提出并實(shí)現(xiàn)設(shè)計(jì)一個(gè)為擊鍵特征識(shí)別系統(tǒng)設(shè)計(jì)的壓力感應(yīng)鍵盤，將擊鍵時(shí)間和擊鍵壓力融合。文獻(xiàn)[11]提出基于實(shí)時(shí)擊鍵序列的主機(jī)入侵檢測(cè)，該方法能獨(dú)立于用戶名和口令之外對(duì)用戶進(jìn)行身份認(rèn)證。但是這些都僅基于擊鍵或是單考慮鼠標(biāo)的行為特征，鮮有文章綜合鼠標(biāo)、鍵盤兩者的行為進(jìn)行身份認(rèn)證。

本文提出并實(shí)現(xiàn)基于鼠標(biāo)鍵盤行為的身份認(rèn)證系統(tǒng)。系統(tǒng)通過常用的輸入設(shè)備——鼠標(biāo)和鍵盤采集用戶訓(xùn)練和認(rèn)證的行為數(shù)據(jù)，采用優(yōu)化過的SVM（Support Vector Machine，支持向量機(jī)）算法結(jié)合鼠標(biāo)、鍵盤雙指標(biāo)對(duì)登錄操作系統(tǒng)的用戶進(jìn)行身份認(rèn)證。系統(tǒng)采用靈活的結(jié)構(gòu)布局，允許用戶在系統(tǒng)原有部件的基礎(chǔ)上進(jìn)行二次開發(fā)，有很好的移植性。實(shí)驗(yàn)證明，本系統(tǒng)采用的雙指標(biāo)復(fù)合認(rèn)證有較高的準(zhǔn)確率。

3 鼠標(biāo)鍵盤行為特征

基于鼠標(biāo)、鍵盤行為的身份認(rèn)證系統(tǒng)中有一個(gè)基本假設(shè)：對(duì)每個(gè)用戶而言，其鼠標(biāo)、鍵盤操作都存在與其他用戶顯著不同的模式。每個(gè)用戶由于個(gè)人原因可能造成在使用鼠標(biāo)、鍵盤時(shí)有不同的習(xí)慣，比如鼠標(biāo)軌跡、鼠標(biāo)滾輪操作速度、鼠標(biāo)左右鍵的使用習(xí)慣、擊鍵時(shí)間間隔和擊鍵遲延時(shí)間。不同的用戶的操作行為有較大的區(qū)別，如不同的用戶在移動(dòng)鼠標(biāo)時(shí)的力度以及準(zhǔn)確定位的能力不同，或是在點(diǎn)擊鍵盤時(shí)一次按鍵到下次按鍵之間的時(shí)間間隔習(xí)慣不同。鼠標(biāo)、鍵盤的行為特征即是指用戶操作鼠標(biāo)、鍵盤的習(xí)慣。

4 優(yōu)化的SVM算法

SVM算法在解決小樣本、非線性極高危模式識(shí)別中表現(xiàn)出許多特有的優(yōu)勢(shì)，主要解決的是兩類問題。先來看下面的目標(biāo)函數(shù)：

顯然這是一條直線，在確定的W值和b值下，只有唯一的X值可以滿足（1）式，其他的X值帶入后，要么大于零，要么小于零，這樣其他的X值便被分成兩類，不可分的是滿足（1）式的X。

以上W和X值是一維的情況，SVM在此基礎(chǔ)上給這參數(shù)賦予全新定義，將原先的W值和X值擴(kuò)展到多維，得到如下目標(biāo)函數(shù)：

這里定義了兩個(gè)新值Y和A，同時(shí)也不難看出X和W都變成了多維，（6）式相當(dāng)于原來的（1）式，將不滿足（6）式的多維X分成兩類。

用戶定義為一個(gè)n維的向量X，取值為用戶鼠標(biāo)或鍵盤操作特征，如用戶=（左鍵單擊時(shí)間t1）。假設(shè)有兩個(gè)用戶甲和乙。甲有三組鼠標(biāo)鍵盤特征樣本X1，X2，X3，一組樣本就對(duì)應(yīng)一個(gè)式（2），如X1=(x1,x2,x3)，X2=(x1,x2,x3)，X3=(x1,x2,x3)。應(yīng)該注意不同樣本中xn值不一定相等，但都是同一類型的值(如鼠標(biāo)或鍵盤特征），而且括號(hào)中的數(shù)據(jù)個(gè)數(shù)必須相等。至于數(shù)據(jù)個(gè)數(shù)為自定義，比如增加一個(gè)雙擊數(shù)據(jù)記為x4，則X1=(x1,x2,x3,x4)，X1=(x1,x2,x3,x4)，X1=(x1,x2,x3,x4)。同理，乙有三組鼠標(biāo)鍵盤特征樣本X4，X5，X6。甲乙樣本數(shù)可以不等，但樣本中的鼠標(biāo)或鍵盤特征必須一一對(duì)應(yīng)，現(xiàn)在總樣本數(shù)為6。

再來看（3）（4）式，由于總樣本為6，因此，（3）（4）式子括號(hào)中的n為6，即由樣本總數(shù)確定，（3）（4）括號(hào)中的值要與6個(gè)樣本一一對(duì)應(yīng)，如X1對(duì)應(yīng)Y中的y1以及A中的a1，其他樣本以此類推，現(xiàn)將以上對(duì)應(yīng)關(guān)系整理如下：

至于Y中的值，做這樣的處理：對(duì)應(yīng)甲的所有y都賦1，對(duì)應(yīng)乙的為-1，也可以反過來，即y1=y2=y3=1，y4=y5=y6=-1；或者，y1=y2=y3=-1，y4=y5=y6=1。A中的值是在用戶訓(xùn)練時(shí)程序?qū)τ脩舾鳂颖窘M計(jì)算后自動(dòng)產(chǎn)生的。本例以用戶甲的y為1作為標(biāo)準(zhǔn)。

再來看（5）式，發(fā)現(xiàn)將以上整理的甲乙關(guān)系數(shù)據(jù)代入（5）式右邊，便可得出左邊的W值了。（5）式便是認(rèn)證的式子，（6）式中的W便是（5）式的W，b為用戶訓(xùn)練時(shí)程序自動(dòng)產(chǎn)生，C和E為本算法自定義值，X代表待認(rèn)證用戶的一組新樣本。注意：這里的待認(rèn)證用戶只能是決定W的兩個(gè)用戶，這是因?yàn)椋?）式和（1）式一樣，解決的是兩類問題，如本例中W由甲乙的樣本而得來，則只能認(rèn)證甲乙，之后數(shù)據(jù)都帶入（6）式，大于式子左邊，認(rèn)證通過。

那么，要對(duì)所收集來的行為數(shù)據(jù)進(jìn)行整理，并把它們轉(zhuǎn)化為符合算法要求的格式。由于SVM算法是解決兩類樣本的分類問題的，因而只用一條分類線可以區(qū)分兩個(gè)樣本。對(duì)于多用戶的區(qū)分，采取這種方式判定當(dāng)前用戶的身份。如對(duì)用戶1進(jìn)行判定，且當(dāng)前訓(xùn)練過的用戶樣本有6個(gè)時(shí)，那么用戶1的訓(xùn)練樣本與其余5個(gè)用戶的訓(xùn)練樣本分別進(jìn)行分類線計(jì)算，然后用這5條分類線進(jìn)行樣本判定。這里需要注意的是：訓(xùn)練樣本必須保持奇數(shù)個(gè)，若當(dāng)前用戶訓(xùn)練量不足奇數(shù)個(gè)，系統(tǒng)會(huì)自動(dòng)調(diào)用存根樣本去補(bǔ)足。若分類線判定時(shí)投給用戶1的票數(shù)超過一半（一條分類線相當(dāng)于一次投票），那么就判定為1用戶。

算法的優(yōu)化情況：現(xiàn)在再將以上（2）～（6）式的參數(shù)值確定情況整理如表1所示。由表1看出，可以在這些參數(shù)中作改變的為X（上面已講過X可自定義，即鼠標(biāo)指標(biāo)數(shù)自定義且鼠標(biāo)指標(biāo)自定義）、C（程序自定義具體值），而剩下的參數(shù)要么固定，要么由其他參數(shù)算出。

5 基于鼠標(biāo)鍵盤行為的身份認(rèn)證系統(tǒng)

系統(tǒng)概述 系統(tǒng)對(duì)收集到的用戶鼠標(biāo)鍵盤行為信息進(jìn)行處理、保存，當(dāng)有用戶登錄系統(tǒng)時(shí)，從數(shù)據(jù)存儲(chǔ)中分析用戶是否合法，從而達(dá)到用戶身份認(rèn)證。并且根據(jù)數(shù)據(jù)庫提供的各種安全措施來保障數(shù)據(jù)的安全。目前該系統(tǒng)已經(jīng)封裝成DLL，系統(tǒng)工作原理圖如圖1所示。

表1 各式子參數(shù)值確定情況表

本系統(tǒng)有兩個(gè)主要過程，分別是訓(xùn)練模塊和認(rèn)證模塊。訓(xùn)練和認(rèn)證都必須在特定的場景內(nèi)進(jìn)行，每一個(gè)場景都對(duì)應(yīng)于一個(gè)特定的鼠標(biāo)或鍵盤的行為指標(biāo)，如左鍵單擊、左鍵雙擊、右鍵單擊、滾輪等，系統(tǒng)共提供9個(gè)場景用于訓(xùn)練和認(rèn)證。用戶必須根據(jù)場景給出的提示完成指定的操作，對(duì)于非指定操作、認(rèn)證或訓(xùn)練，系統(tǒng)將會(huì)自動(dòng)屏蔽對(duì)應(yīng)的行為數(shù)據(jù)，并且用戶無法完成當(dāng)前認(rèn)證或訓(xùn)練。由于SVM算法的特性，系統(tǒng)可以根據(jù)用戶當(dāng)前的訓(xùn)練數(shù)據(jù)給出一個(gè)評(píng)估，即根據(jù)當(dāng)前訓(xùn)練的數(shù)據(jù)，對(duì)在進(jìn)行認(rèn)證時(shí)通過的可能性進(jìn)行估計(jì)。用戶可以根據(jù)此評(píng)估結(jié)果決定是否再次進(jìn)行訓(xùn)練。訓(xùn)練狀態(tài)下，用戶除了完成全部場景的訓(xùn)練任務(wù)，還需要賦予當(dāng)前賬戶的權(quán)限和設(shè)置認(rèn)證時(shí)所需的安全級(jí)別。認(rèn)證狀態(tài)下，用戶需要提供自己賬戶的賬號(hào)和密碼，并根據(jù)提示完成對(duì)應(yīng)安全級(jí)別的認(rèn)證場景過程。訓(xùn)練產(chǎn)生數(shù)據(jù)的計(jì)算、認(rèn)證數(shù)據(jù)的分類判斷，全部由優(yōu)化過的SVM算法完成。系統(tǒng)軟件流程圖如圖2所示。

用戶信息收集和分析 本系統(tǒng)共提供了9個(gè)場景用于用戶的訓(xùn)練和認(rèn)證。每一個(gè)場景的設(shè)計(jì)都是建立在一定的背景之上的，避免了使用過程中的枯燥和復(fù)雜。它們分別是：爺爺?shù)拇蟛停p擊圖片）、按點(diǎn)劃線（鼠標(biāo)軌跡相關(guān)）、弟弟的數(shù)數(shù)測(cè)試（單擊圖片）、力量訓(xùn)練（鼠標(biāo)滾輪操作）、妹妹的購物（右擊圖片）、口算訓(xùn)練（鍵盤按鍵相關(guān)指標(biāo)）、寵物市場大搶購（鼠標(biāo)軌跡相關(guān)）、我的密碼手勢(shì)（軌跡相關(guān)）、傳統(tǒng)密碼字符（擊鍵特征）。每一個(gè)場景都對(duì)應(yīng)一個(gè)或多個(gè)特定的行為指標(biāo)，在場景過程中，用戶必須按照?qǐng)鼍敖o出的提示完成相應(yīng)的操作，對(duì)于非指定操作，場景將給出操作失誤的提示，該操作所對(duì)應(yīng)的行為數(shù)據(jù)也將被丟棄。場景指標(biāo)都是經(jīng)過測(cè)試后選出來的。用這些指標(biāo)進(jìn)行身份認(rèn)證時(shí)，需要的樣本數(shù)據(jù)量小，自然數(shù)據(jù)收集時(shí)間也相應(yīng)的減少，這樣在訓(xùn)練和認(rèn)證的過程中就省了不少的時(shí)間。所選出的這些指標(biāo)，在進(jìn)行身份判別測(cè)試中，它們的效果也是不一樣的。因此，用安全級(jí)別對(duì)認(rèn)證時(shí)這些指標(biāo)的使用進(jìn)行劃分歸類：對(duì)于效果比較好的指標(biāo)，將歸入高的安全級(jí)別；對(duì)于效果一般的指標(biāo)，將歸入一般或較低的安全級(jí)別。這樣在進(jìn)行認(rèn)證時(shí)，用戶只需通過預(yù)先設(shè)定好的安全級(jí)別所對(duì)應(yīng)的場景，而不需要通過全部的場景，相比訓(xùn)練時(shí)間又減少了不少。

通過使用特定的場景環(huán)境，再結(jié)合全局的鍵盤鉤子（WH_KEYBOARD_LL）和全局鼠標(biāo)鉤子（WH_MOUSE_LL），可以精確地收集到想要的行為數(shù)據(jù)。在場景環(huán)境中，用戶需要根據(jù)場景所給出的提示完成一系列的操作，如單擊鼠標(biāo)左鍵、單擊鼠標(biāo)右鍵、雙擊鼠標(biāo)左鍵、滾動(dòng)鼠標(biāo)滾輪、移動(dòng)鼠標(biāo)光標(biāo)、輸入預(yù)定的密碼字符串等。在場景中，單場景中的每一步操作、場景間的切換都具有可控性，所以可以很精確地定位用戶當(dāng)前時(shí)間段所產(chǎn)生的行為數(shù)據(jù)是什么，進(jìn)而可以對(duì)這些行為數(shù)據(jù)進(jìn)行分類整理，并按計(jì)算分析模塊的數(shù)據(jù)格式要求進(jìn)行初步的整理。

用戶行為數(shù)據(jù)的分析是整個(gè)系統(tǒng)的核心。采用前文所描述的優(yōu)化的SVM算法對(duì)收集到的用戶行為數(shù)據(jù)進(jìn)行處理，然后對(duì)登錄操作系統(tǒng)的用戶進(jìn)行身份認(rèn)證。

系統(tǒng)特點(diǎn) 本文討論的基于鼠標(biāo)鍵盤行為的身份認(rèn)證系統(tǒng)具有以下優(yōu)點(diǎn)。

1）訓(xùn)練時(shí)間短。系統(tǒng)在收集用戶行為數(shù)據(jù)時(shí)根據(jù)特定場景引導(dǎo)用戶操作，相應(yīng)地減少了訓(xùn)練的時(shí)間。

2）精確性。與單指標(biāo)認(rèn)證相比，本系統(tǒng)采用的是雙指標(biāo)復(fù)合認(rèn)證，認(rèn)證的準(zhǔn)確性有了較大的提高，系統(tǒng)誤識(shí)率和拒識(shí)率都有所降低。

3）適應(yīng)性。系統(tǒng)的各功能模塊封裝成DLL，在遵循一定的調(diào)用規(guī)則的前提下，可以在原有模塊的基礎(chǔ)上進(jìn)行二次開發(fā)。

6 性能測(cè)試

隨機(jī)選取6名用戶，讓他們分別進(jìn)行全場景訓(xùn)練操作，收集他們的行為數(shù)據(jù)。然后使用這些行為數(shù)據(jù)，進(jìn)行規(guī)定次數(shù)的分指標(biāo)認(rèn)證，記錄相應(yīng)的認(rèn)證結(jié)果并對(duì)該結(jié)果做出分析。

由于C＞32后分類結(jié)果不好，因此，本工程只考慮C大于等于1且小于等于32的情況?，F(xiàn)工程共定義5個(gè)指標(biāo)：左鍵單擊時(shí)間、左鍵雙擊時(shí)間、右鍵單擊時(shí)間、滾輪移動(dòng)速率、擊鍵時(shí)間。這些指標(biāo)共有31種組合方式，下面給出部分組合的測(cè)試數(shù)據(jù)，如表2、表3所示。

表2 單指標(biāo)準(zhǔn)確率（X指標(biāo)數(shù)=1，C=1）

表3 單指標(biāo)準(zhǔn)確率（X指標(biāo)數(shù)=1，C=32）

通過表2和表3結(jié)果的比較，不難看出本用戶正確識(shí)別率和其他用戶正確攔截率在C值變化下成此消彼長的關(guān)系，經(jīng)過C值變化結(jié)果的分析，C值設(shè)為1為最優(yōu)。

X維數(shù)和指標(biāo)對(duì)實(shí)驗(yàn)結(jié)果的影響比較復(fù)雜，有太多可能性。從實(shí)際對(duì)31種組合的測(cè)試結(jié)果中選擇最優(yōu)的組合，最后選擇的是：X指標(biāo)數(shù)=2，指標(biāo)是右鍵單擊時(shí)間和擊鍵時(shí)間，C值為1，測(cè)試結(jié)果如表4所示。

從表2、表3、表4中可以看出，在雙指標(biāo)時(shí)系統(tǒng)對(duì)用戶身份認(rèn)證有較好的效果。實(shí)驗(yàn)證明，與單指標(biāo)認(rèn)證相比，系統(tǒng)采用的雙指標(biāo)復(fù)合認(rèn)證的準(zhǔn)確性有了較大的提高，系統(tǒng)誤識(shí)率和拒識(shí)率都有所降低。

表4 雙指標(biāo)準(zhǔn)確率（X指標(biāo)數(shù)=1，C=32）

7 結(jié)束語

本文提出并實(shí)現(xiàn)一種基于鼠標(biāo)、鍵盤行為的身份認(rèn)證系統(tǒng)，通過實(shí)驗(yàn)驗(yàn)證結(jié)合鼠標(biāo)、鍵盤兩種指標(biāo)的行為特征進(jìn)行身份認(rèn)證，效果更好。系統(tǒng)通過特定場景縮短用戶訓(xùn)練時(shí)間，并采用優(yōu)化的SVM算法實(shí)現(xiàn)用戶信息分析，同時(shí)該系統(tǒng)具有較好的移植性。接下來的工作放在提高認(rèn)證的準(zhǔn)確度方面，將繼續(xù)對(duì)鼠標(biāo)、鍵盤的行為數(shù)據(jù)進(jìn)行深入分析和測(cè)試，尋找效果更加穩(wěn)定的指標(biāo)。

[1]郭曉靜.基于統(tǒng)計(jì)學(xué)的擊鍵序列身份認(rèn)證算法研究與改進(jìn)[D].北京:北京郵電大學(xué),2013.

[2]沈超,蔡忠閩,管曉宏,等.基于鼠標(biāo)行為特征的用戶身份認(rèn)證與監(jiān)控[J].通信學(xué)報(bào),2010(7):68-75.

[3]張世雷.基于擊鍵特征的身份識(shí)別研究[D].哈爾濱:哈爾濱工業(yè)大學(xué),2011.

[4]PUSARA M, BRODLEY C E. User re-authentication via mouse movements[C]//Proceedings of the 2004 ACM Workshop on Visualization and Data Mining for Computer Security, DMSEC Session. Washington DC, USA:2004:1-8.

[5]GAMBOA H, FRED A. A behavioral biometric system based on human computer interaction[J].Proceedings of SPIE,2004,54:4-36.

[6]AHMED A A E, TRAORE I. Anomaly intrusion detection based on biometrics[C].Proceedings of 6th IEEE Information Assurance Workshop. New York, USA:2005:452-453.

[7]AHMED A A E, TRAORE I. Detecting computer intrusions using behavioral biometrics[C].3rd Annual Conference on Privacy, Security and Trust, St. Andrews, Canada:2005:91-98.

[8]GARG A, VIDYARAMAN S, UPADHYAYA S, et al. USim: a user behavior simulation framework for training and testing IDSes in GUI based systems[C].Proceedings of 39th Annual Simulation Symposium. Huntsville, AL:2006:196-203.

[9]PUSARA M, BRODLEY C E. User re-authentication via mouse movements[C].Proceedings of the 2004 ACM Workshop on Visuali-zation and Data Mining for Computer Security, DMSEC Session. Washington DC, USA:2004:1-8.

[10]房超,蔡忠閩,沈超,等.基于鼠標(biāo)動(dòng)力學(xué)模型的用戶身份認(rèn)證與監(jiān)控[J].西安交通大學(xué)學(xué)報(bào),2008(10):1235-1239.

[11]高艷,管曉宏,孫國基,等.基于實(shí)時(shí)擊鍵序列的主機(jī)入侵檢測(cè)[J].計(jì)算機(jī)學(xué)報(bào),2004(3):396-401.