fdp：一种基于绘制图形口令机制-fdp a password mechanism base on drawing graphic.docxVIP

第一章绪论1.1研究背景随着当今社会经济、科技及全球化的飞速发展，信息技术已经悄然渗透到了 人们生产和生活的各个领域。人类正进入信息化社会，社会发展对信息资源的依 赖程度越来越大，从人们日常生活、组织运作到国家管理信息资源都是不可或缺 的重要资源，没有各种信息的支持，现代社会将无法生存和发展。这既给信息技 术的发展带来了机遇，也给信息安全带来了新的挑战。一方面信息已成为人类重 要资产，在政治、经济、军事、教育、科技、生活等方面发挥着重要作用，另一 方面计算机技术的迅猛发展带来的信息安全问题正变得日益突出，信息资产比传 统的实物资产更加脆弱，更容易受到损害，需要加以保护。一直以来，黑客和病毒往往被认为已经涵盖了信息安全的一切威胁，并且大 部分防卫信息安全的工作都是致力于部署反病毒、防火墙、入侵检测系统等方面。 但从组织信息安全的各个角度和整个生命周期来考察，其中最活跃的因素——人 的作用常常被忽略。身份认证技术是用来判断使用者是否具有登录系统并使用系 统中资源的权限，它是信息安全系统的门户，在信息安全理论中尤其重要。目前，在计算机系统中应用的身份认证方式主要包括：文本口令，智能卡， USB key，以及指纹、声音、视网膜等生物特征识别的认证方式。当然，现在使用 最广泛的还是传统的文本口令认证方式。因为相比较之下，其他的认证方式，通 常需要额外的物理设备和检测设备，尤其是针对生物特征的专门检测设备，往往 造价很高，会大大提高身份认证的成本。此外，一旦物理设备丢失或生物特征在 不可抗外力作用下被破坏或改变（例如人身受到伤害），那么合法用户就无法登录 系统；而如果非法用户获得这些设备或特征，也可以登录系统。这些缺陷都在很 大程度上阻碍了其在身份认证领域的推广和普及。尽管传统的文本口令认证方式在目前使用最为广泛，但仍然有其固有弊端[1]， 而这些弊端往往使文本口令的安全性受到威胁。在使用文本口令过程中，用户大 多倾向于选择短小简单且具有一定规律的文本作为口令[2]，比如自己或家人的名 字、生日或字典中存在的单词。攻击者则通常对于用户口令在整个口令空间上的 分布进行分析，利用所掌握的口令分布规律构造口令字典，对口令进行暴力猜测 攻击。在这种字典攻击下，一部分文本口令通常会显得十分脆弱而被成功破解。 Klein曾进行了相关实验[3]，其调用了 14000 个使用者的Unix系统口令，而后只用 仅由 3×106 个单词组成的字典对这些口令进行猜测攻击，结果发现，约有 25%的用户口令能够被成功破解。Morris蠕虫[4]使用一个由 432 个常用单词和 1988 年 UNIX在线词汇组成的字典，能够惊人地破解一些站点 50%左右的用户口令。因此， 如果想增加文本口令的安全性，就需要用户设置长而且复杂无规律的口令，并且 需要定期更换。但现实情况中，这种相对安全的文本口令是很不利于用户记忆的， 所以用户往往回避这些复杂的口令，为了记忆性好而舍弃安全性，选择简短的文 本作为口令。为了方便记忆，用户还很可能会把用户名和口令写在便签上，随手 贴在电脑附近能看得到的地方，这无疑是将用户口令直接暴露给攻击者，造成口 令信息的泄露。为了克服文本口令记忆性差，易被攻击的弱点，近年来研究者们提出了图形 口令的概念，寄希望其可以替代传统的文本口令，成为更安全，更方便的身份认 证方式。认知学和心理学的研究表明，人类对于文本的记忆属于精确记忆，而这 种精确记忆恰恰是人类所不擅长的，相反，人类更加擅长进行一些模糊记忆[5]。图 形通常含有大量的信息，正像那句名言所说“一张图片胜过千言万语”，此外相对 于文本而言图形能在视觉上给人以更加强烈的刺激。还有研究表明[6]，人类对于图 形的认知和记忆能力要比文字强很多，而且，这种能力是和人的文化背景、教育 程度以及智力水平没有直接联系，它通常是一种与生俱来的技能。1996 年，Blonder以专利的形式最先提出了图形口令的概念[7]，而他的立足点 就是人脑对图形的记忆比对文本的记忆好这一优势。图形口令的概念一经提出， 就得到了研究人员广泛的关注以及普遍的认同。尽管在全球范围内，针对图形口 令领域的研究才刚刚起步，但已经取得了可喜的成绩和长足的发展。1.2国内外图形口令的研究现状自 1996 年图形口令提出至今，图形口令的发展已经历十余年的时间，虽然大 部分仍然处于研究范畴，但也已经形成一定的研究体系和多个发展方向。到目前 为止，现有的图形口令机制大致可以分为三类，分别为：基于可选区域点击序列 的；基于用户识别的；基于绘制的图形口令机制。图 1.1 列出了图形口令发展历程 中出现的典型且具有代表性的机制。（一）基于可选区域点击序列的图形口令机制 最早提出的Blonder图形口令机制[7]就是该类机制的代表之作。这个机制要求用户