郭晶 焦艳斌 张晓韬
DOI：10.16661/j.cnki.1672-3791.2103-5042-5017
摘 要：国网公司的身份安全认证存在认证方式单一、安全隐患排查困难、用户体验不够友好等问题，难以有效支撑能源互联网的建设。提出基于时间、空间、行为等多维度的用户特征安全认证模型，面对电力业务场景设计动态身份安全认证系统，通过特征选择算法进行一致性检测，确保系统能够准确对用戶进行身份认证。该模型在某省公司进行实际应用，首次实现信息系统账号关联到实人，更便捷的是实现用户身份全生命周期管控。该文形成的研究成果也将适用于其他大型企业动态身份认证工作，具备很强的应用价值。
关键词：身份特征 身份安全认证 权限管理平台 电力业务
中图分类号：TP311.5 文献标识码：A文章编号：1672-3791（2021）03（b）-0028-04
Research on User Characteristic Security Authentication Model in Power Business Scenarios
GUO Jing1 JIAO Yanbin2 ZHANG Xiaotao1
（1.Aostar Information Technologies Co.， Ltd.， Chengdu， Sichuan Province， 610041 China; 2.State Grid Information and Communication Co.， Ltd.， Beijing， 102211 China）
Abstract： The identity security authentication of State Grid has prob：lems such as single authentication method， difficulty in troubleshooting hidden dangers， and unfriendly user experience， which is difficult to effectively support the construction of the energy Internet. Propose a multi-dimensional user characteristic security authentication model based on time， space， behavior， etc.， design a dynamic identity security authentication system for power business scenarios， and perform consistency detection through feature selection algorithms to ensure that the system can accurately authenticate users. This model was actually applied in a provincial company. For the first time， the information system account was linked to a real person. It is more convenient to realize the full life cycle control of user identity. The research results formed in the article are also applicable to other large-scale enterprise dynamic identity authentication work， and have strong application value.
Key Words： Identity characteristics; Identity security certification; Authority management platform; Electricity business
随着能源互联网发展战略的逐步实施以及智能电网建设进程的快速推进，电力系统业务规模爆发式增长，种类也不断增多，信息安全防护工作的难度逐渐增加。身份认证作为信息安全防护基础，国家电网公司、南方电网等在近10年不断建设和完善统一身份认证及授权管理基础系统，应用了证书认证、扫码认证、多因子认证等多种技术。
经过SG186、SGERP建设，国家电网公司以统一权限平台为主的身份管理体系，其重点在于支撑“账号”“业务应用”，必然存在身份信息缺失、认证形式缺乏多样性、用户获得感较低等不足;同时，系统主要应用范围是信息内网，环境相对简单，采用的身份认证技术较为传统。但随着“i国网”“网上国网”等一批移动应用先后启动建设，公司业务开展场景更加丰富、环境更加复杂，基于单一因素的身份认证已难以满足需求，需把多个单一因素结合起来进行多因素身份认证，身份认证技术在安全性、适应性、场景化、用户体验等多方面亟需进一步提升。
针对现阶段身份安全认证存在问题，该文基于时间、空间、行为等多维度的用户行为特征，建立多标识多凭证的电力用户身份模型，在此基础上，面向电力业务场景建立动态身份安全认证系统，然后分析电力业务场景下特征选择算法的适用性，对特征算法进行一致性检测，使得系统能准确对用户进行身份认证，最终实现终端的动态安全身份认证，大大提升了业务开展的安全性、可靠性。
1 用户特征安全认证
1.1 多标识多凭证的用户特征安全认证模型
身份是用户在特定背景或环境中的标识，由用户的标识符和特征凭证组成。该文由用户全局身份标识、本地身份标识、临时身份标识以及访问信息组、用户特征组、用户属性组、可信域组构成电力用户身份模型，具体见图1。在该身份模型中，用户的全局身份标识、用户的本地域中的身份标识和用户本地域的域标识的组合是全网唯一的。当服务需要对用户进行身份验证时，它将向用户请求功能凭据。在用户被授权之后，请求的特性将从身份模型的用户特性组中获取并提供给服务。对属性的操作类似于对特征的操作，使得建立的身份模型能够支持身份管理系统，完成维护整个网络身份的唯一性和跨域一致性，记录使用的身份信息，确定访问身份数据的策略和程序。
用户的全局身份标识和用户在本地域中的身份标识对有向身份、多元身份互操作这两个身份法则提供支持;用户的访问信息组、用户在当前访问域中的身份标识、用户当前访问域的域标识和可信域组共同提供对法则用户控制和许可、最小泄露和有限使用、正当的使用者和跨环境一致性体验的支持。用户的全局标识与该标识相关联，在应用程序中为用户提供唯一标识，并且该标识与用户属性组和用户特征组相关联。这些属性包括性别、年龄、电子邮件地址、地址、姓名和其他信息。特征包括与身份认证技术相关的二维码、智能卡、数字证书、指纹、人脸、U盘等组合信息。用户在不同域的当前访问域中具有不同的身份。当用户进行跨域访问时，用户的访问记录将记录在用户的访问信息组中[1-3]。
身份模型建立流程共分为两个阶段：第一阶段是初始状态模型构建，该阶段主要完成属性和特征凭证细腻的搜集工作，生成全局身份标识和本地身份标识;第二阶段是身份模型更新，该阶段通过用户在不同的服务中使用身份模型，完成访问信息的更新工作。
1.2 动态身份安全认证系统
基于多标识多凭证的电力用户身份模型，设计电力业务场景下动态身份安全认证系统，包括访问控制、身份管理、行为分析、风险评估、平台服务等功能，功能架构图如图2所示。
访问控制模块实现对多维度身份的证明与鉴别，可支持的用户身份认证的方法主要有静态口令、动态口令、数字证书、智能卡和生物特征识别等，系统通过验证用户提供的特征来决定是否允许用户访问。
身份管理模块与权威身份数据库进行交互，对用户身份信息进行管理，构建具备身份联合的统一身份认证体系。其将用户的输入特征转换为用户身份标识，利用用户注册时通过身份标识模型获得的唯一身份标识取得该标识可访问的服务类型。首次访问某项服务时，用户向服务提供自己的统一身份标识，服务则向统一身份管理服务中心发送请求验证该用户身份，访问控制将判定该用户是否有权限接入服务。
行为分析模块实现对用户行为数据的采集，并将采集的数据存储到用户行为数据数据库中，为风险评估提供数据支持。
风险评估模块检测并调查那些试图或已突破系统安全屏障的非法事件并做出相应的防范措施，为系统提供安全服务。
平台服务包括对数据分析、认证平台、授权平台、单点登录、风险控制平台、权威身份库等部分的管理，将整个系统的不同部分相互关联，互相作用，保证系统各部分运行正常，使系统拥有较强的鲁棒性。用户访问应用系统，如果用户尚未登录，系统会自动跳转到校验中心进行身份认证，认证无误后，重新定向到访问的相应应用系统页面。系统管理员登录到权限管理中心，对所有的应用系统进行管理，包括对角色管理、用户信息管理、资源管理等。
1.3 身份认证流程
在身份认证系统应用前需要先进行用户注册，此过程采集用户的特征和属性数据，建立用户身份模型并将数据保存在用户身份信息数据库中。注册成功后，员工通过安全认证便可登录系统，获得访问资源的权限。身份认证流程如图3所示。（1）打开系统登录界面，按照系统要求进行身份特征采集;（2）应用客户端将用户的输入信息通过加密的形式发至应用服务器，发出访问应用服务器资源信息的指令;（3）应用服务器得到响应访问指令后，把接收到的信息发送至认证服务器，并发出身份信息验证请求;（4）认证服务器得到响应认证请求后，从身份信息数据库中搜集用户的特征信息;（5）认证服务器比对采集信息与数据库存储信息，若匹配则验证成功，否则验证失败，并根据实际的验证情况对用户的访问权限进行比对判断;（6）认证服务器把验证信息转发给应用服务器;（7）根据验證信息，如果用户身份是真实有效的，那么应用服务器允许用户对权限范围内的资源进行访问，否则访问失败;（8）结束验证。
2 三维特征算法一致性检测方法
特征选择算法指在输入的变量数据中运用相应的特征提取方法构造一个特征子集的算法，这些子集最符合设定的特征选取标准。通过特征选择算法可以过滤原始数据中权重较轻的数据，保留最能反映数据特征的数据，特征选择会使选择的数据模型更加精确简捷，提高处理效率[4]。
随着特征选择算法研究的不断深入，出现了大量的特征选择算法。一般来说，用户选用特征选择算法时会考虑以下因素：特征选择的目的、时间要求、期望的输出结果、希望选择特征数与原始特征数的比例、类别的信息、特征的类型、数据的质量、特征数与样本数的比例和该领域的业务知识[5-6]。
不同应用场景下用户的特征会有所不同，如在公司进行指纹认证时指纹干净，对指纹的采集不会产生影响，而在外作业时采用指纹识别就会出现汗渍污垢破坏指纹的情况。这些复杂情况对特征选择算法提出了较高的要求，同一种特征选择算法无法适应不同的应用场景，因此需要针对不同应用场景进行特征算法的一致性检测。基于时间、空间、行为的特征选择算法一致性检测流程如图4所示。
首先在应用客户端登录界面进行用户特征采集，采集的数据是时间、空间、行为相关的，经过数据预处理后进行特征选择。根据不同场景的需求采用不同的认证方式，经过不同认证方式处理后的特征数据送入身份管理系统中，由身份管理系统对特征数据和身份模型进行匹配。若匹配，则认证成功;反之，则反馈给系统调整特征选择算法。经过一致性检测过程，使特征选择算法与当前的应用场景相匹配，提高系统识别用户身份的能力。
3 应用情况
在国网新疆电力公司本部、信通公司应用用户特征安全认证模型系统，试用覆盖内部用户约2 000人、非员工用户累计约1 000人，重点是基于“多标识多凭证”身份特征模型，在信息系统登录、访客管理、运维审计系统中应用动态安全认证技术。
3.1 多标识多凭证身份模型应用
通过多标识机制，首次实现信息系统账号关联到实人，解决驻场人员、临时访客等外单位人员的身份全生命周期性可控，应用界面如图5所示。
3.2 非员工（访客）身份管理
提供访客等注册、自助绑定生物特征、自助完善凭证功能，实现非员工实名注册、试用信息系统账号同时，降低管理成本，整体效率提升超过60%。
3.3 运维专区人脸身份认证
实现“申请时实人、到场人脸识别进入运维专区、操作时人脸登录、到时间授权时效”，减少检修终端密码传递、加强运维人员安全管理，极大地提升运维专区安全与检修安全。
4 结语
该文从电力实际应用业务场景出发，针对电力业务场景中信息系统身份安全认证存在的认证方式单一、风险感知和控制流程不完善、用户体验不够友好等缺陷，提出基于时间、空间、行为等多维度的用户行为特征安全认证模型。面对电力业务场景设计了动态身份安全认证系统，完成安全认证检测，最后针对特征选择算法进行一致性检测，满足系统能够准确对用户进行身份认证的需求。后续需要进一步研究适用于电力业务场景的时间、空间、行为等多维度的用户行为特征变换对识别用户行为风险影响的关键技术以及动态身份安全认证技术在电力业务的应用模式，为用户提供更加便捷、体验更好的身份鉴别服务。
参考文献
[1] 孙强强，连耿雄.基于多因素认证的电力安全认证方案设计[J].微型电脑应用，2019，35（11）：84-87.
[2] 冯龙.基于生物特征和PKI技术的远程身份鉴别系统研究与设计[D].山东大学，2019.
[3] 徐静.基于生物特征识别的多因子身份认证即服务研究与应用[D].华南理工大学，2018.
[4] 朱振国，赵凯旋，刘民康.基于强化学习的特征选择算法[J].计算机系统应用，2018，27（10）：214-218.
[5] 趙凯旋.基于强化学习的特征选择算法研究[D].重庆交通大学，2018.
[6] 吴俊，柯飂挺，任佳.参数自动优化的特征选择融合算法[J].计算机系统应用，2020，29（7）：145-151.
