指纹信息库管理系统应用设计

李向明

（国电财务有限公司，北京 100044）

0 引言

近年来，指纹认证技术以其安全可靠、方便随身、不可转让等优势［1］越来越多的应用在重要信息系统认证中，例如企业集团资金管理系统［2］、财务系统［3］、金融机构业务系统［4］等，常用的使用模式是用户按持有的指纹UsbKey查验指纹，指纹认证通过则进入系统，用户在执行重要操作时也进行指纹认证确认。如何管理指纹信息，如何对指纹信息采集、存储、下发、查询、监督审计进行全流程安全管理，是使用指纹认证技术中一个重要前提，关系到指纹认证的安全性和方便性，本文对指纹信息库管理系统设计和应用进行了一些研究探索，可供借鉴参考。

1 应用场景和管理需求

某大型企业集团为加强财务信息系统安全管理，在系统登录和资金支付环节加入指纹认证，用户按持有的指纹UsbKey（见图1）查验指纹，指纹认证通过则进入系统，用户在执行资金支付或付款审核操作时，再次进行指纹认证确认［5］。指纹认证的运行有赖于指纹信息的采集，以及将指纹灌输到指纹UsbKey中，这是保障信息系统指纹认证模式的基础条件［6］。为实现系统用户指纹信息的采集管理及指纹在UsbKey中灌输使用，需要构建指纹信息库管理系统，实现客户指纹信息的集中存储管理［7］；实现通过指纹信息管理系统生成用户指纹UsbKey，能够为用户方便地灌制生成带有指纹的UsbKey，同时实现客户指纹业务的全流程安全管理，指纹的采集、验证、存储、下发、查询、日志审计都在指纹库统一管控下完成，保证指纹UsbKey信息的合法性和安全性。

2 系统设计

2.1 应用设计

2.1.1 基本功能设计

图1 指纹UsbKey示意图

指纹采集管理：对用户指纹采集进行管理，指纹采集设备（见图2）可以读取二代身份证信息［8］，具有登陆语音提示功能，通过语音提示指导用户采集指纹。为确保指纹采集质量、确保指纹采集的唯一性，指纹采集后系统能够进行指纹验证确认满足正常使用要求。

图2 指纹采集设备示意图

指纹核查：用户进行指纹采集时，系统对该用户采集的当前手指先进行指纹核查处理，如发现该枚手指在指纹信息库中已经存在，系统会自动拒绝该枚手指再次注册。

指纹验证：在用户完成指纹采集后可验证指纹采集质量满足正常使用要求，提供两个验证方式，一是指纹采集入库后，直接按手指与刚采集的指纹信息比对，检查入库指纹信息的可识别性；二是指纹下发到指纹UsbKey中后，与指纹UsbKey中存储的指纹信息比对，检查指纹UsbKey中指纹信息的可识别性。

指纹更新管理：对用户采集的指纹进行重新采集或补充采集未采集的手指指纹。

指纹下发管理：把已采集完成的用户指纹信息下发到用户UsbKey中。

指纹信息管理：指纹信息的重新采集、删除，修改指纹UsbKey关联编号等信息。

双人操作：为保证指纹采集安全性，系统设计为操作员采集完成后需要另外一个操作员按指纹复核，之后指纹信息才能入库。

日志管理：指纹采集、更新、下发日志及日常操作日志。

业务统计：对指纹采集的数量、指纹下发的数量、手指指纹数量等进行统计分析；

离线指纹采集：在暂时不能与指纹信息库联网的情况下，对用户进行指纹采集，并将指纹加密存储于本地计算机并下发到用户UsbKey中；在与指纹库联网时，能够进行指纹上传及核查。

2.1.2 应用流程设计

指纹信息库管理系统主要应用流程有：指纹采集流程、指纹更新流程、指纹下发流程，每个流程都有在线和离线两种方式。下面以在线采集和离线采集为例，设计流程如下：

（1）在线指纹采集流程：通过专用网络直接连到指纹信息管理系统，必填信息项为身份证号、用户指纹UsbKey编号、用户名，其中身份证号、用户名可以通过身份证阅读器读入，用户指纹UsbKey编号由指纹管理员分配。（具体流程见图3）

图3 在线指纹采集流程示意图

（2）离线指纹采集流程：当用户在采集地不能通过网络直接连到指纹库管理系统时，采用指纹离线客户端软件采集用户的指纹信息，用户指纹暂时保存在离线客户端软件中。待能够与指纹库管理系统联网时，通过离线客户端软件的上传功能将已经采集的指纹信息上传到指纹信息库中。（具体流程见图4）

2.2 系统部署架构设计

指纹信息管理系统由指纹硬件引擎、指纹信息库、前台在线管理系统、指纹离线采集软件、指纹采集设备、指纹UsbKey等组成（见图5）。指纹引擎为指纹信息库管理系统提供基础的支撑服务，采用双机热备模式，提供算法引擎、建库查重功能，提供安全控制机制，确保指纹信息库的安全，提供标准Web Service接口给指纹信息库管理系统调用；在线指纹信息管理系统采用B／S架构，实现指纹信息全流程管理，包括在线指纹采集、指纹下发、用户管理、指纹稽查、日志管理、统计分析、系统配置等功能；指纹信息库利用Oracle数据库RoseMirrorHA实现双机热备，为指纹数据提供安全可靠的存储空间；指纹硬件采集设备是提供指纹注册与二代身份证信息读取功能为一体的硬件终端设备；指纹离线管理软件提供离线指纹采集、指纹下发及在线指纹上传等功能的C／S架构客户端软件。

图4 离线指纹采集流程示意图

图5 系统部署架构示意图

2.3 系统安全设计

指纹信息的安全性是指纹认证的前提，指纹信息管理系统在安全方面采用如下设计。

2.3.1 指纹信息防重放

由于指纹具备独一无二的特性，所以使用者每次产生的指纹特征值皆会有所不同。利用这一点系统设计为如果在验证服务的过程中出现相同重复的指纹特征值，显示该指纹信息极有可能被中途拦截或破解，系统将自动拒绝认证。

2.3.2 指纹传输防篡改

指纹信息管理系统网络间传输的指纹信息采用密钥加密来进行信息的整体保护（见图6），同时在保障加密质量的同时，为平衡安全性与传输效率，可以控制指纹信息传输包不大于一定字节数，有效保证指纹信息在网络环境下能够快捷传输。

2.3.3 指纹存储防篡改

如图7所示，为防止数据库所储存的指纹信息被篡改，系统设计为将所有存储数据库内的指纹信息，都以比对模板方式储存，而不是储存指纹本身的特征值，所以即使是窃取了数据库内的指纹信息，也无法利用此信息进行指纹认证。

2.3.4 指纹比对错误次数锁定机制

图6 指纹安全传输示意图

图7 系统设计方式图

为保证指纹信息库管理系统的登录安全，系统设计为可以设定登录用户指纹比对错误次数，当某用户指纹比对失败达N（自定义设定）次后，系统自动锁定该用户下的所有权限，并可以根据需要设定自动解锁时间或人工解锁。

3 结语

本文从具体应用场景出发，针对指纹识别技术应用中面临的问题，从系统功能、系统部署、应用流程、安全措施方面对指纹信息“如何管理”进行了研究设计。此设计方案已成功应用于某央企资金业务指纹认证管理中，成为支撑指纹认证的重要配套系统，在有效保障集团资金安全方面发挥了重要作用。