一种静态与动态身份一致性验证方法及系统技术方案

本发明专利技术公开了一种静态与动态身份一致性验证方法及系统，静态与动态身份一致性验证方法，包括：静态身份验证阶段和动态身份验证阶段；其中静态身份验证阶段用于对登录用户的初次身份验证，可以根据需要配置口令、动态短信密码、人脸识别、数字证书或引用的第三方身份验证等静态身份验证方式对用户进行单因素或多因素的静态一次性身份验证；动态身份验证阶段基于对生物行为特征的持续检测来进行身份验证，使用改进Kmeans算法进行聚类分析，同时基于可信度修正进行不确定性推理，随后使用参数优化后的XGBoost算法进行模型训练与匹配，得到最终动态身份可信度，最后基于结果执行授权访问或是退出到静态验证阶段进行再次验证，以此提高零信任系统的安全性及合理性。以此提高零信任系统的安全性及合理性。以此提高零信任系统的安全性及合理性。

【技术实现步骤摘要】
一种静态与动态身份一致性验证方法及系统


[0001]本专利技术涉及一种静态与动态身份一致性验证方法及系统，属于零信任及网络安全


技术介绍

[0002]云计算和大数据时代，网络安全边界逐渐瓦解，内外部威胁愈演愈烈，传统的边界安全架构难以应对，零信任安全架构应运而生。零信任安全架构基于“以身份为基石、业务安全访问、持续信任评估、动态访问控制”四大关键能力，是构筑以身份为基石的动态虚拟边界的解决方案，是实现全面身份化、授权动态化、风险度量化、管理自动化的新一代网络安全架构。
[0003]零信任的本质是以身份认证为基石进行动态访问控制，全面身份化是实现零信任的前提和基石，因此用户身份验证的准确性直接关乎零信任系统的安全性。传统的身份验证以静态验证方式为主，基于口令的单因素识别方式是其典型代表，但随着计算机性能和相关技术的发展，仅仅通过暴力破解便能破解大多数基于此种验证方式的系统。随后便出现了利用诸如指纹、声音、视网膜等生物特征以及使用智能卡、印章等独有设备来进行验证的方式，虽然这两种方式在一定程度上加强了对用户身份验证的可靠性，但因其对设备的特殊要求，存在着一定的局限性。
[0004]除此之外，这些身份验证方式都一次验证方式，即用户成功登录系统后，直至退出都将拥有相应的权限。而零信任强调的则是持续的信任评估，因此，动态的持续身份验证技术对于零信任系统来说必不可少。现有的动态持续身份验证方式大多基于对生物行为特征的持续监测，例如击键动态特征、触摸屏动态、眼球运动、步态等。此类身份验证系统具备无干扰性，提高用户体验以及针对网络攻击的无漏洞性等优点，能够提供更高级别的安全性。但仅仅依据个体的行为特征进行用户的身份验证及识别，仍然具有一定的局限性，例如，在光照充足的白天，通过摄像头可以清晰的识别用户的面部表情，而在黑暗的夜晚，对于面部表情的识别则具有一定的模糊性。同时持续的动态验证也会在一定程度上影响系统的性能。针对这一现状，开展静态与动态身份融合验证技术的研究，是本领域亟需解决的问题。

技术实现思路

[0005]专利技术目的：本专利技术针对现有的身份一致性验证方案，提出一种更加安全合理的身份一致性验证方案。
[0006]现有的静态身份验证方案依靠口令、指纹、智能卡等方式对用户进行验证，但这种方式均是一次性验证方式，并且对设备也有一定的要求，并不符合零信任理念，且现有的动态身份验证以对生物行为特征的检测来进行身份验证，并没有考虑到环境等上下文信息，仍有一定的局限性。为此，本专利技术提出了一种静态与动态身份一致性验证方法，可以根据需要配置口令、动态短信密码、人脸识别、数字证书或引用的第三方身份验证等方式对用户进行单因素或多因素的静态一次性身份验证，随后便基于对生物行为特征的持续检测来动态
持续身份验证，对用户数据进行持续检测，使用改进Kmeans算法进行聚类分析，同时基于可信度修正进行不确定性推理，随后使用参数优化后的XGBoost算法进行模型训练与匹配，得到最终动态身份可信度，最后基于结果执行授权访问或是退出到静态验证阶段进行再次验证，以此提高零信任系统的安全性及合理性。
[0007]为解决上述技术问题，本专利技术所采用的技术方案如下：
[0008]一种静态与动态身份一致性验证方法，包括：静态身份验证阶段和动态身份验证阶段；其中静态身份验证阶段用于对登录用户的初次身份验证，可以根据需要配置口令、动态短信密码、人脸识别、数字证书或引用的第三方身份验证等静态身份验证方式对用户进行单因素或多因素的静态一次性身份验证；动态身份验证阶段基于对生物行为特征的持续检测来进行身份验证，使用改进Kmeans算法进行聚类分析，同时基于可信度修正进行不确定性推理，随后使用参数优化后的XGBoost算法进行模型训练与匹配，得到最终动态身份可信度，最后基于结果执行授权访问或是退出到静态验证阶段进行再次验证，以此提高零信任系统的安全性及合理性。
[0009]上述静态与动态身份一致性验证方法，具体包括如下步骤：
[0010]步骤一：进行系统配置，配置静态身份验证方式，可选择一种或两种以上静态身份验证方式来进行单因素或多因素的验证；
[0011]步骤二：根据配置对用户进行身份验证，并判断用户登录时间有无超过时间期限t，若没超过，则转到下一步骤，否则返回重新登录；
[0012]步骤三：持续不间断的采集用户信息数据，用户信息数据包括用户行为特征以及上下文信息；
[0013]步骤四：使用改进Kmeans算法对用户信息数据进行聚类分析；
[0014]步骤五：基于可信度修正的方式将聚类分析的结果进行可信度修正，并利用修正后的知识可信度值来计算动态身份验证结论的综合可信度，得到用于训练预测的监督数据集；
[0015]步骤六：将监督数据集形式化表示并将75％数据作为训练集输入训练参数优化后的XGBoost模型，然后利用测试集对用户身份验证结论的可信度进行预测；
[0016]步骤七：比较预测的结论可信度与预设的可信阈值λ，若结论可信度大于可信阈值λ，则判断用户可信，用户可继续访问系统；若结论可信度小于可信阈值λ，则判断用户不可信，终止用户的访问并退回进行静态身份验证。
[0017]由于Kmeans算法对初始中心敏感，聚类结果很难找到全局最优解，因此使用花授粉算法对其进行优化改进。改进的Kmeans算法具体如下：
[0018](1)初始化FPA(花授粉算法)控制参数，控制参数有种群大小N、最大迭代次数Maxgen和转换概率p；
[0019](2)初始化种群，根据给定的上下界随机生成初始解x1,x2,...,x
n
，并计算其相应的适应度值；
[0020](3)根据初始种群及其适应度值找出最佳解决方案g*及其适应度值f(g*)；
[0021](4)生成新的种群，根据转换概率p∈[0,1]的值来确定采用全局搜索还是局部搜索，当生成的随机数rand∈U[0,1]小于p时，采用全局搜索策略，否则采用局部搜索策略，公式如下：
[0022][0023]其中，表示当花粉个体在花授粉算法中进行全局或局部搜索环节时，花粉个体i进行第t次迭代更新后的具体花粉位置；和表示花粉种群中的任意两个花粉个体在第t次迭代更新时的具体花粉位置，同时这两个花粉位置的选取是随机的且不同于花粉i的具体位置；而ε∈U[0，1]；γ是步长控制因子；参数L表示授粉强度，本质上是一个步长，服从莱维分布，公式如下：
[0024][0025]λ为常数，在该算法中取λ＝1.5；Γ(λ)为标准伽马函数；s0是最小步长；s是步长，计算公式如下：
[0026][0027]其中，μ和ν为两个随机数且服从标准正态分布μ～N(0,σ2)，ν～N(0,1)，其中方差σ2是通过以下公式得到：
[0028][0029](5)更新种群和最佳解决方案，根据适应度值，替换比存储的解决方案质量更好的新解决方案，并获得最佳解决方案g*；
[0030](6)检查停止标准，重复执行步骤(本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种静态与动态身份一致性验证方法，其特征在于：包括：静态身份验证阶段和动态身份验证阶段；其中静态身份验证阶段用于对登录用户的初次身份验证，通过静态身份验证方式对用户进行单因素或多因素的静态一次性身份验证；动态身份验证阶段基于对生物行为特征的持续检测来进行身份验证，使用改进Kmeans算法进行聚类分析，同时基于可信度修正进行不确定性推理，随后使用参数优化后的XGBoost算法进行模型训练与匹配，得到最终动态身份可信度，最后基于结果执行授权访问或是退出到静态验证阶段进行再次验证。2.如权利要求1所述的方法，其特征在于：包括：步骤一：进行系统配置，配置静态身份验证方式，选择一种或两种以上静态身份验证方式来进行单因素或多因素的验证；步骤二：根据配置对用户进行身份验证，并判断用户登录时间有无超过时间期限t，若没超过，则转到下一步骤，否则返回重新登录；步骤三：持续不间断的采集用户信息数据，用户信息数据包括用户行为特征以及上下文信息；步骤四：使用改进Kmeans算法对用户信息数据进行聚类分析；步骤五：基于可信度修正的方式将聚类分析的结果进行可信度修正，并利用修正后的知识可信度值来计算动态身份验证结论的综合可信度，得到用于训练预测的监督数据集；步骤六：将监督数据集形式化表示、并将75％数据作为训练集输入训练参数优化后的XGBoost模型，然后利用测试集对用户身份验证的结论可信度进行预测；步骤七：比较预测的结论可信度与预设的可信阈值λ，若结论可信度大于可信阈值λ，则判断用户可信，用户可继续访问系统；若结论可信度小于可信阈值λ，则判断用户不可信，终止用户的访问并退回进行静态身份验证。3.如权利要求2所述的方法，其特征在于：步骤四中，改进的Kmeans算法具体如下：(1)初始化FPA控制参数，控制参数有种群大小N、最大迭代次数Maxgen和转换概率p；(2)初始化种群，根据给定的上下界随机生成初始解x1,x2,
…
,x
n
，并计算其相应的适应度值；(3)根据初始种群及其适应度值找出最佳解决方案g*及其适应度值f(g*)；(4)生成新的种群，根据转换概率p∈[0,1]的值来确定采用全局搜索还是局部搜索，当生成的随机数rand∈U[0,1]小于p时，采用全局搜索策略，否则采用局部搜索策略，公式如下：其中，表示当花粉个体在花授粉算法中进行全局或局部搜索环节时，花粉个体i进行第t次迭代更新后的具体花粉位置；和表示花粉种群中的任意两个花粉个体在第t次迭代更新时的具体花粉位置，同时这两个花粉位置的选取是随机的且不同于花粉i的具体位置；ε∈U[0，1]；γ是步长控制因子；参数L表示授粉强度，本质上是一个步长，服从莱维分布，公式如下：
λ为常数，在该算法中取λ＝1.5；Γ(λ)为标准伽马函数；s0是最小步长；s是步长，计算公式如下：其中，μ和ν为两个随机数且服从标准正态分布μ～N(0,σ2)，ν～N(0,1)，其中方差σ2是通过以下公式得到：(5)更新种群和最佳解决方案，根据适应度值，替换比存储的解决方案质量更好的新解决方案，并获得最佳解决方案g*；(6)检查停止标准，重复执行步骤(4)、(5)，直到达到最大迭代数，此时的解即为初始聚类中心m
k
；(7)计算每个样本x和聚类中心m
k
之间的欧式距离其中x
i
是样本x的第i个特征，m
ki
是聚类中心m
k
的第i个特征；(8)将各样本划分进与其距离最近的聚类中心m
k
所对应的簇C
k
；(9)计算每个聚簇中所有样本的均值，更新聚类中心；(10)重复(7)、(8)、(9)直到聚类中心无变化；(11)根据类别进行标记处理，得到用户各类别信息数据。4.如权利要求2或3所述的方法，其特征在于：步骤五中，可信度修正算法如下：(1)设CE
x
＝{C1,C2,...,C
n
}为当前访问的用户的用户信息数据，用户信息数据包含用户行为信息及其上下文信息，其中C
i
,i＝1,2,...,n为信息参数；(2)提供衡量各信息对用户身份验证结果的知识可信度CF(X,C
i
)，其值介于
‑
1到1之间，值1表示极度可信，值
‑
1表示极度不可信，提供各信息的重要性权值w
i
，其中(3)计算知识的平均可信度(4)计算各信息的知识可信度与知识平均可信度之间的距离：(5)计算知识的可信度修正值：
综合可信度的算法如下：(1)提供各信息的可信度CF(C
i
)；(2)计算每个信息单独作用时用户身份验证结果的可信度CF
i
(X)＝CF(C
i
)CF
′
(X,C
i
)；(3)以如下公式将第一条知识和第二条知识合成，随后将合成后的知...

【专利技术属性】
技术研发人员：肖鹏，张振红，胡健，王海林，颜颖，张逸彬，杭菲璐，谢林江，尹君，李寒箬，
申请(专利权)人：云南电网有限责任公司信息中心，
类型：发明
国别省市：