基于虹膜识别的智能信息管理平台设计

王超楠，郭慧杰，韩一梁，杨 帆

（北京无线电计量测试研究所，北京 100854）

在一些保密级别较高的单位，其办公信息管理系统往往十分庞大严密，需要强大的身份认证技术予以支撑。然而目前绝大多数单位仍使用传统的用户名口令、一卡通认证或者数字证书技术进行不同场合的身份认证和权限管理，对于使用者来说十分繁琐不便；且这些认证载体一旦丢失或被窃取，将为使用者和单位带来严重的安全威胁。

针对上述问题，本文提出一种基于虹膜识别的办公用智能信息管理平台，使用目前最先进的虹膜识别技术进行身份认证，可从根本上杜绝传统认证载体丢失所造成的安全隐患，且对于员工来说更为简单便捷，无需携带任何载体即可完成身份认证，能有效提升业务效率，实现部门之间数据的安全、可靠交换，形成生物智能信息化支撑的综合办公系统。

1 总体技术方案

本平台采用虹膜生物识别技术代替密码、一卡通、数字证书等传统身份认证方式，与单位办公系统相集成，形成一个基于虹膜身份认证的综合信息管理平台。如图1所示，除了业务子系统以外，该平台还集成了虹膜数据服务器、虹膜注册模块和虹膜身份认证模块。各模块具体功能如下：

1.1 虹膜注册模块

虹膜注册模块包括便携式虹膜采集设备及相应的计算机，用于采集用户双目虹膜特征信息，对用户的基本身份信息进行注册，并将用户的虹膜特征信息和基本身份信息上传至虹膜数据服务器。其中，基本身份信息包括用户的姓名、性别、单位、部门、职务、面部图片等个人信息。为使得注册方便，系统可集成多个虹膜授权子模块，可同时对多路用户进行虹膜特征信息的并行采集。

1.2 虹膜数据服务器

图1 基于虹膜识别身份认证的智能信息管理平台系统架构图

虹膜数据服务器用于汇总和存储注册用户的虹膜特征信息和基本身份信息，建立统一共享的用户资料数据库，并向虹膜身份认证模块提供用户的虹膜特征信息和基本身份信息。该虹膜特征信息利用虹膜数据服务器与各个业务子系统协商的密钥进行加密，并不定期更换密钥。

1.3 虹膜身份认证模块

虹膜身份认证模块用于将待认证用户现场采集的虹膜特征信息与虹膜数据服务器存储的虹膜特征信息进行对比，对待认证用户的身份进行验证，并在验证通过后授权其登陆各个业务子系统，从使用角度提高了身份认证的不可抵赖性。

该模块从功能上又可划分为系统管理子模块、用户管理子模块、授权管理子模块、认证授权子模块以及数据管理子模块，如图2所示。其中，系统管理子模块，用于进行系统用户管理、系统用户角色管理、系统用户权限管理和系统用户认证管理；用户管理子模块，用于进行用户管理、用户属性管理和用户权限管理；授权管理子模块，用于进行角色管理、任务管理、资源管理和操作管理；认证授权子模块，用于进行虹膜识别认证，同时留有指纹识别认证和密码认证等其他认证方式接口；数据管理子模块，用于进行日志保存管理、日志查询管理、日志导出管理和日志共享管理。

图2 身份授权与认证平台体系架构图

1.4 业务子系统

业务子系统按其功能可划分为：计算机及网络安全登陆子系统；员工出入考勤子系统；涉密载体流通管理子系统；保密柜安全管理子系统；文件资料借阅管理子系统；文档输出管理子系统。其中，计算机及网络安全登陆子系统，用于负责办公信息系统网络和涉密计算机登录时的身份认证；员工出入考勤子系统，用于负责门禁出入时的人员身份认证，以及在识别日志基础上的员工考勤统计；

涉密载体流通管理子系统，用于负责对涉密载体的借出及归还进行操作人员身份确认；保密柜安全管理子系统，用于负责对保密柜锁进行操作人员权限控制；文件资料借阅管理子系统，用于负责对涉密文档的借出及归还进行操作人员身份确认；文档输出管理子系统，用于负责执行打印、复印等文档输出任务时的操作人员权限认证。单位内部相关部门利用可共享的综合数据库中的虹膜信息作为识别用户身份的标识，可有效提升用户体验好感度，提高智能部门运作效率。

2 系统工作流程

基于虹膜识别的办公用智能信息管理平台，其工作流程步骤如下：一是虹膜注册模块采集用户的双眼虹膜特征信息，并对用户基本身份信息进行注册；二是虹膜注册模块将用户的虹膜特征信息和基本身份信息上传至虹膜数据服务器；三是虹膜数据服务器汇总和存储各个用户的虹膜特征信息和基本身份信息，建立统一共享的用户资料数据库；四是当待认证用户登陆各个业务子系统时，虹膜身份认证模块使用其自带的虹膜采集设备现场采集待认证用户的虹膜特征信息，并将现场采集的虹膜特征信息与虹膜数据服务器存储并提供的虹膜特征信息进行对比，如果两者一致，则验证通过，虹膜身份认证模块授权该用户登陆各个业务子系统，并进行日志记录。

3 安全保护机制

为了防止虹膜采集设备采集到的虹膜数据信息进行网络传输时被截取从而发生泄密事件，充分保障通信信道的传输安全，本发明对数据和信道采取双重保护机制：

首先，虹膜数据服务器对虹膜特征信息和基本身份信息进行加密存储，且加密时采用的密钥与虹膜数据服务器对虹膜特征信息和基本身份信息进行传输时采用的密钥不相同；此外，当待认证用户登录不同的业务子系统时，虹膜数据服务器与不同的业务子系统之间协商不同的密钥对虹膜特征信息进行加密。

其次，信息管理系统中的通信信道为采用VPN 专用网络的加密传输信道。

也就是说，虹膜数据服务器向各个业务子系统下发数据（例如注册面部图像、虹膜特征信息）时，敏感信息可在传输前进行加密，或压缩后再进行加密，以提高加密速度和传输速度。为增加整个系统的安全性，传输时的加密密钥可与虹膜数据服务器本地存储时的加密密钥不同。例如，虹膜数据服务器使用A 密钥加密本地存储的注册信息，向业务子系统下发数据时，先将本地加密数据取出并将A 密钥解密后，再使用B 密钥重新加密后再下发。并且，每个业务子系统都可以与虹膜数据服务器协商设置不一样的密钥。

4 结束语

本文介绍了一种基于虹膜识别的办公用智能信息管理平台。该平台使用虹膜特征信息进行身份认证，不仅能从根本上杜绝传统认证载体丢失所造成的安全隐患，且对于用户来说更为简单便捷，能有效提升业务效率，实现部门之间数据的安全、可靠交换，实现全方位安全监控，形成生物智能信息化支撑的整体联合办公系统。该系统不仅能有效解决现有系统的有机整合问题，同时也考虑到了信息管理平台的可扩展性，为将来新系统、新应用的无缝集成提供高效的适配接口。