電力業(yè)務(wù)場景下用戶特征安全認(rèn)證模型研究

郭晶 焦艷斌 張曉韜

DOI：10.16661/j.cnki.1672-3791.2103-5042-5017

摘? 要：國網(wǎng)公司的身份安全認(rèn)證存在認(rèn)證方式單一、安全隱患排查困難、用戶體驗不夠友好等問題，難以有效支撐能源互聯(lián)網(wǎng)的建設(shè)。提出基于時間、空間、行為等多維度的用戶特征安全認(rèn)證模型，面對電力業(yè)務(wù)場景設(shè)計動態(tài)身份安全認(rèn)證系統(tǒng)，通過特征選擇算法進行一致性檢測，確保系統(tǒng)能夠準(zhǔn)確對用戶進行身份認(rèn)證。該模型在某省公司進行實際應(yīng)用，首次實現(xiàn)信息系統(tǒng)賬號關(guān)聯(lián)到實人，更便捷的是實現(xiàn)用戶身份全生命周期管控。該文形成的研究成果也將適用于其他大型企業(yè)動態(tài)身份認(rèn)證工作，具備很強的應(yīng)用價值。

關(guān)鍵詞：身份特征? 身份安全認(rèn)證? 權(quán)限管理平臺? 電力業(yè)務(wù)

中圖分類號：TP311.5? ? ? ? ? ? ? ? ? ? ? ? ?文獻標(biāo)識碼：A文章編號：1672-3791（2021）03（b）-0028-04

Research on User Characteristic Security Authentication Model in Power Business Scenarios

GUO Jing1? ?JIAO Yanbin2? ZHANG Xiaotao1

（1.Aostar Information Technologies Co.， Ltd.， Chengdu， Sichuan Province， 610041? China; 2.State Grid Information and Communication Co.， Ltd.， Beijing， 102211? China）

Abstract： The identity security authentication of State Grid has prob：lems such as single authentication method， difficulty in troubleshooting hidden dangers， and unfriendly user experience， which is difficult to effectively support the construction of the energy Internet. Propose a multi-dimensional user characteristic security authentication model based on time， space， behavior， etc.， design a dynamic identity security authentication system for power business scenarios， and perform consistency detection through feature selection algorithms to ensure that the system can accurately authenticate users. This model was actually applied in a provincial company. For the first time， the information system account was linked to a real person. It is more convenient to realize the full life cycle control of user identity. The research results formed in the article are also applicable to other large-scale enterprise dynamic identity authentication work， and have strong application value.

Key Words： Identity characteristics; Identity security certification; Authority management platform; Electricity business

隨著能源互聯(lián)網(wǎng)發(fā)展戰(zhàn)略的逐步實施以及智能電網(wǎng)建設(shè)進程的快速推進，電力系統(tǒng)業(yè)務(wù)規(guī)模爆發(fā)式增長，種類也不斷增多，信息安全防護工作的難度逐漸增加。身份認(rèn)證作為信息安全防護基礎(chǔ)，國家電網(wǎng)公司、南方電網(wǎng)等在近10年不斷建設(shè)和完善統(tǒng)一身份認(rèn)證及授權(quán)管理基礎(chǔ)系統(tǒng)，應(yīng)用了證書認(rèn)證、掃碼認(rèn)證、多因子認(rèn)證等多種技術(shù)。

經(jīng)過SG186、SGERP建設(shè)，國家電網(wǎng)公司以統(tǒng)一權(quán)限平臺為主的身份管理體系，其重點在于支撐“賬號”“業(yè)務(wù)應(yīng)用”，必然存在身份信息缺失、認(rèn)證形式缺乏多樣性、用戶獲得感較低等不足;同時，系統(tǒng)主要應(yīng)用范圍是信息內(nèi)網(wǎng)，環(huán)境相對簡單，采用的身份認(rèn)證技術(shù)較為傳統(tǒng)。但隨著“i國網(wǎng)”“網(wǎng)上國網(wǎng)”等一批移動應(yīng)用先后啟動建設(shè)，公司業(yè)務(wù)開展場景更加豐富、環(huán)境更加復(fù)雜，基于單一因素的身份認(rèn)證已難以滿足需求，需把多個單一因素結(jié)合起來進行多因素身份認(rèn)證，身份認(rèn)證技術(shù)在安全性、適應(yīng)性、場景化、用戶體驗等多方面亟需進一步提升。

針對現(xiàn)階段身份安全認(rèn)證存在問題，該文基于時間、空間、行為等多維度的用戶行為特征，建立多標(biāo)識多憑證的電力用戶身份模型，在此基礎(chǔ)上，面向電力業(yè)務(wù)場景建立動態(tài)身份安全認(rèn)證系統(tǒng)，然后分析電力業(yè)務(wù)場景下特征選擇算法的適用性，對特征算法進行一致性檢測，使得系統(tǒng)能準(zhǔn)確對用戶進行身份認(rèn)證，最終實現(xiàn)終端的動態(tài)安全身份認(rèn)證，大大提升了業(yè)務(wù)開展的安全性、可靠性。

1? 用戶特征安全認(rèn)證

1.1 多標(biāo)識多憑證的用戶特征安全認(rèn)證模型

身份是用戶在特定背景或環(huán)境中的標(biāo)識，由用戶的標(biāo)識符和特征憑證組成。該文由用戶全局身份標(biāo)識、本地身份標(biāo)識、臨時身份標(biāo)識以及訪問信息組、用戶特征組、用戶屬性組、可信域組構(gòu)成電力用戶身份模型，具體見圖1。在該身份模型中，用戶的全局身份標(biāo)識、用戶的本地域中的身份標(biāo)識和用戶本地域的域標(biāo)識的組合是全網(wǎng)唯一的。當(dāng)服務(wù)需要對用戶進行身份驗證時，它將向用戶請求功能憑據(jù)。在用戶被授權(quán)之后，請求的特性將從身份模型的用戶特性組中獲取并提供給服務(wù)。對屬性的操作類似于對特征的操作，使得建立的身份模型能夠支持身份管理系統(tǒng)，完成維護整個網(wǎng)絡(luò)身份的唯一性和跨域一致性，記錄使用的身份信息，確定訪問身份數(shù)據(jù)的策略和程序。

用戶的全局身份標(biāo)識和用戶在本地域中的身份標(biāo)識對有向身份、多元身份互操作這兩個身份法則提供支持;用戶的訪問信息組、用戶在當(dāng)前訪問域中的身份標(biāo)識、用戶當(dāng)前訪問域的域標(biāo)識和可信域組共同提供對法則用戶控制和許可、最小泄露和有限使用、正當(dāng)?shù)氖褂谜吆涂绛h(huán)境一致性體驗的支持。用戶的全局標(biāo)識與該標(biāo)識相關(guān)聯(lián)，在應(yīng)用程序中為用戶提供唯一標(biāo)識，并且該標(biāo)識與用戶屬性組和用戶特征組相關(guān)聯(lián)。這些屬性包括性別、年齡、電子郵件地址、地址、姓名和其他信息。特征包括與身份認(rèn)證技術(shù)相關(guān)的二維碼、智能卡、數(shù)字證書、指紋、人臉、U盤等組合信息。用戶在不同域的當(dāng)前訪問域中具有不同的身份。當(dāng)用戶進行跨域訪問時，用戶的訪問記錄將記錄在用戶的訪問信息組中[1-3]。

身份模型建立流程共分為兩個階段：第一階段是初始狀態(tài)模型構(gòu)建，該階段主要完成屬性和特征憑證細膩的搜集工作，生成全局身份標(biāo)識和本地身份標(biāo)識;第二階段是身份模型更新，該階段通過用戶在不同的服務(wù)中使用身份模型，完成訪問信息的更新工作。

1.2 動態(tài)身份安全認(rèn)證系統(tǒng)

基于多標(biāo)識多憑證的電力用戶身份模型，設(shè)計電力業(yè)務(wù)場景下動態(tài)身份安全認(rèn)證系統(tǒng)，包括訪問控制、身份管理、行為分析、風(fēng)險評估、平臺服務(wù)等功能，功能架構(gòu)圖如圖2所示。

訪問控制模塊實現(xiàn)對多維度身份的證明與鑒別，可支持的用戶身份認(rèn)證的方法主要有靜態(tài)口令、動態(tài)口令、數(shù)字證書、智能卡和生物特征識別等，系統(tǒng)通過驗證用戶提供的特征來決定是否允許用戶訪問。

身份管理模塊與權(quán)威身份數(shù)據(jù)庫進行交互，對用戶身份信息進行管理，構(gòu)建具備身份聯(lián)合的統(tǒng)一身份認(rèn)證體系。其將用戶的輸入特征轉(zhuǎn)換為用戶身份標(biāo)識，利用用戶注冊時通過身份標(biāo)識模型獲得的唯一身份標(biāo)識取得該標(biāo)識可訪問的服務(wù)類型。首次訪問某項服務(wù)時，用戶向服務(wù)提供自己的統(tǒng)一身份標(biāo)識，服務(wù)則向統(tǒng)一身份管理服務(wù)中心發(fā)送請求驗證該用戶身份，訪問控制將判定該用戶是否有權(quán)限接入服務(wù)。

行為分析模塊實現(xiàn)對用戶行為數(shù)據(jù)的采集，并將采集的數(shù)據(jù)存儲到用戶行為數(shù)據(jù)數(shù)據(jù)庫中，為風(fēng)險評估提供數(shù)據(jù)支持。

風(fēng)險評估模塊檢測并調(diào)查那些試圖或已突破系統(tǒng)安全屏障的非法事件并做出相應(yīng)的防范措施，為系統(tǒng)提供安全服務(wù)。

平臺服務(wù)包括對數(shù)據(jù)分析、認(rèn)證平臺、授權(quán)平臺、單點登錄、風(fēng)險控制平臺、權(quán)威身份庫等部分的管理，將整個系統(tǒng)的不同部分相互關(guān)聯(lián)，互相作用，保證系統(tǒng)各部分運行正常，使系統(tǒng)擁有較強的魯棒性。用戶訪問應(yīng)用系統(tǒng)，如果用戶尚未登錄，系統(tǒng)會自動跳轉(zhuǎn)到校驗中心進行身份認(rèn)證，認(rèn)證無誤后，重新定向到訪問的相應(yīng)應(yīng)用系統(tǒng)頁面。系統(tǒng)管理員登錄到權(quán)限管理中心，對所有的應(yīng)用系統(tǒng)進行管理，包括對角色管理、用戶信息管理、資源管理等。

1.3 身份認(rèn)證流程

在身份認(rèn)證系統(tǒng)應(yīng)用前需要先進行用戶注冊，此過程采集用戶的特征和屬性數(shù)據(jù)，建立用戶身份模型并將數(shù)據(jù)保存在用戶身份信息數(shù)據(jù)庫中。注冊成功后，員工通過安全認(rèn)證便可登錄系統(tǒng)，獲得訪問資源的權(quán)限。身份認(rèn)證流程如圖3所示。（1）打開系統(tǒng)登錄界面，按照系統(tǒng)要求進行身份特征采集;（2）應(yīng)用客戶端將用戶的輸入信息通過加密的形式發(fā)至應(yīng)用服務(wù)器，發(fā)出訪問應(yīng)用服務(wù)器資源信息的指令;（3）應(yīng)用服務(wù)器得到響應(yīng)訪問指令后，把接收到的信息發(fā)送至認(rèn)證服務(wù)器，并發(fā)出身份信息驗證請求;（4）認(rèn)證服務(wù)器得到響應(yīng)認(rèn)證請求后，從身份信息數(shù)據(jù)庫中搜集用戶的特征信息;（5）認(rèn)證服務(wù)器比對采集信息與數(shù)據(jù)庫存儲信息，若匹配則驗證成功，否則驗證失敗，并根據(jù)實際的驗證情況對用戶的訪問權(quán)限進行比對判斷;（6）認(rèn)證服務(wù)器把驗證信息轉(zhuǎn)發(fā)給應(yīng)用服務(wù)器;（7）根據(jù)驗證信息，如果用戶身份是真實有效的，那么應(yīng)用服務(wù)器允許用戶對權(quán)限范圍內(nèi)的資源進行訪問，否則訪問失敗;（8）結(jié)束驗證。

2? 三維特征算法一致性檢測方法

特征選擇算法指在輸入的變量數(shù)據(jù)中運用相應(yīng)的特征提取方法構(gòu)造一個特征子集的算法，這些子集最符合設(shè)定的特征選取標(biāo)準(zhǔn)。通過特征選擇算法可以過濾原始數(shù)據(jù)中權(quán)重較輕的數(shù)據(jù)，保留最能反映數(shù)據(jù)特征的數(shù)據(jù)，特征選擇會使選擇的數(shù)據(jù)模型更加精確簡捷，提高處理效率[4]。

隨著特征選擇算法研究的不斷深入，出現(xiàn)了大量的特征選擇算法。一般來說，用戶選用特征選擇算法時會考慮以下因素：特征選擇的目的、時間要求、期望的輸出結(jié)果、希望選擇特征數(shù)與原始特征數(shù)的比例、類別的信息、特征的類型、數(shù)據(jù)的質(zhì)量、特征數(shù)與樣本數(shù)的比例和該領(lǐng)域的業(yè)務(wù)知識[5-6]。

不同應(yīng)用場景下用戶的特征會有所不同，如在公司進行指紋認(rèn)證時指紋干凈，對指紋的采集不會產(chǎn)生影響，而在外作業(yè)時采用指紋識別就會出現(xiàn)汗?jié)n污垢破壞指紋的情況。這些復(fù)雜情況對特征選擇算法提出了較高的要求，同一種特征選擇算法無法適應(yīng)不同的應(yīng)用場景，因此需要針對不同應(yīng)用場景進行特征算法的一致性檢測?；跁r間、空間、行為的特征選擇算法一致性檢測流程如圖4所示。

首先在應(yīng)用客戶端登錄界面進行用戶特征采集，采集的數(shù)據(jù)是時間、空間、行為相關(guān)的，經(jīng)過數(shù)據(jù)預(yù)處理后進行特征選擇。根據(jù)不同場景的需求采用不同的認(rèn)證方式，經(jīng)過不同認(rèn)證方式處理后的特征數(shù)據(jù)送入身份管理系統(tǒng)中，由身份管理系統(tǒng)對特征數(shù)據(jù)和身份模型進行匹配。若匹配，則認(rèn)證成功;反之，則反饋給系統(tǒng)調(diào)整特征選擇算法。經(jīng)過一致性檢測過程，使特征選擇算法與當(dāng)前的應(yīng)用場景相匹配，提高系統(tǒng)識別用戶身份的能力。

3? 應(yīng)用情況

在國網(wǎng)新疆電力公司本部、信通公司應(yīng)用用戶特征安全認(rèn)證模型系統(tǒng)，試用覆蓋內(nèi)部用戶約2 000人、非員工用戶累計約1 000人，重點是基于“多標(biāo)識多憑證”身份特征模型，在信息系統(tǒng)登錄、訪客管理、運維審計系統(tǒng)中應(yīng)用動態(tài)安全認(rèn)證技術(shù)。

3.1 多標(biāo)識多憑證身份模型應(yīng)用

通過多標(biāo)識機制，首次實現(xiàn)信息系統(tǒng)賬號關(guān)聯(lián)到實人，解決駐場人員、臨時訪客等外單位人員的身份全生命周期性可控，應(yīng)用界面如圖5所示。

3.2 非員工（訪客）身份管理

提供訪客等注冊、自助綁定生物特征、自助完善憑證功能，實現(xiàn)非員工實名注冊、試用信息系統(tǒng)賬號同時，降低管理成本，整體效率提升超過60%。

3.3 運維專區(qū)人臉身份認(rèn)證

實現(xiàn)“申請時實人、到場人臉識別進入運維專區(qū)、操作時人臉登錄、到時間授權(quán)時效”，減少檢修終端密碼傳遞、加強運維人員安全管理，極大地提升運維專區(qū)安全與檢修安全。

4? 結(jié)語

該文從電力實際應(yīng)用業(yè)務(wù)場景出發(fā)，針對電力業(yè)務(wù)場景中信息系統(tǒng)身份安全認(rèn)證存在的認(rèn)證方式單一、風(fēng)險感知和控制流程不完善、用戶體驗不夠友好等缺陷，提出基于時間、空間、行為等多維度的用戶行為特征安全認(rèn)證模型。面對電力業(yè)務(wù)場景設(shè)計了動態(tài)身份安全認(rèn)證系統(tǒng)，完成安全認(rèn)證檢測，最后針對特征選擇算法進行一致性檢測，滿足系統(tǒng)能夠準(zhǔn)確對用戶進行身份認(rèn)證的需求。后續(xù)需要進一步研究適用于電力業(yè)務(wù)場景的時間、空間、行為等多維度的用戶行為特征變換對識別用戶行為風(fēng)險影響的關(guān)鍵技術(shù)以及動態(tài)身份安全認(rèn)證技術(shù)在電力業(yè)務(wù)的應(yīng)用模式，為用戶提供更加便捷、體驗更好的身份鑒別服務(wù)。

參考文獻

[1] 孫強強，連耿雄.基于多因素認(rèn)證的電力安全認(rèn)證方案設(shè)計[J].微型電腦應(yīng)用，2019，35（11）：84-87.

[2] 馮龍.基于生物特征和PKI技術(shù)的遠程身份鑒別系統(tǒng)研究與設(shè)計[D].山東大學(xué)，2019.

[3] 徐靜.基于生物特征識別的多因子身份認(rèn)證即服務(wù)研究與應(yīng)用[D].華南理工大學(xué)，2018.

[4] 朱振國，趙凱旋，劉民康.基于強化學(xué)習(xí)的特征選擇算法[J].計算機系統(tǒng)應(yīng)用，2018，27（10）：214-218.

[5] 趙凱旋.基于強化學(xué)習(xí)的特征選擇算法研究[D].重慶交通大學(xué)，2018.

[6] 吳俊，柯飂挺，任佳.參數(shù)自動優(yōu)化的特征選擇融合算法[J].計算機系統(tǒng)應(yīng)用，2020，29（7）：145-151.