基于社交网络的安全性身份认证的研究

As the rapid developing of social networks application, authentication implemented through the vouching of trustees in the social network systems, which is called social authentication, is gradually widely used. We focus on the research of conceptualizing and formalizing of social authentication and study how to build social authentication system based on multiple kinds of social credentials in this project. As most current social authentication systems only apply single kind of social knowledge, we study how to implement new social authentication system which applies other multiple kinds of social knowledge. Trust models are applied to solve the problem of the selection of trustees in this project. Based on the research on attacks and countermeasures on the social authentication system, we propose a unified social authentication system which synthesizes four kinds of authentications that including social authentication in this project. The unified social authentication system which especially synthesizing online and offline social credentials and social knowledge can be regarded as a multilayer and multifactor system. The proposed unified social authentication system can defend various attacks on authentication and will be down for less than 3 hours annually. By utilizing the unified social authentication system, economic loss of Million Yuan due to secure problems can be avoided.

随着社交网络应用的快速发展，通过社交系统中信托人对社交者进行担保的方式实施的用户身份认证，即社交认证逐步得到广泛应用。本项目研究社交认证的概念及形式化表示，探讨如何构建基于多种社交凭证的社交认证系统。针对当前多数社交认证仅应用单一社交知识的情况，研究实现基于多种类型社交知识的新型社交认证系统。针对信托人选取的问题，项目提出应用信任模型的方法予以解决。在研究针对社交认证系统的安全攻击及应对防御措施的基础上，项目提出一种综合利用包括社交认证在内的四种认证方式，尤其综合利用基于线上线下的社交凭证和社交知识的多层次多因子式的统一社交认证系统。项目提出的统一认证系统可抵御多种认证攻击并且年平均停机时间在3小时以内。统一认证系统的应用每年可减少由于安全问题导致的经济损失百万元以上。

近年来，随着网络空间应用的迅速发展，用户身份的认证安全越来越得到关注。在传统的基于密码、基于设备和基于生物特征等身份认证方式之外，基于社交活动中所体现的社交关系对用户身份进行确认的社交认证逐步得到了广泛应用。当前的社交认证系统主要分为基于凭证的社交认证系统和基于知识的社交认证系统。当前两种认证系统往往基于比较单一的信息实现并具有一定的安全问题。 . 项目针对这些问题，首先研究了社交认证的概念及形式化表示。在基于社交凭证的社交系统方面，实现了一套基于多种社交凭证的社交认证系统，该系统利用基于WiFi连接、手机通话和短信等多种社交活动生成的凭证实施认证，并系统分析了认证协议中的各种安全性问题。. 在基于社交知识的社交系统方面，首先，完成了基于深度学习技术的对在线社交网站Facebook社交认证系统的攻击实现，可以有效的通过Facebook系统的社交认证。其次，实现了一套基于多种社交知识的社交认证系统，该系统利用社交系统中基于社交记录得出的社交知识，包括社交好友列表、好友聊天频度及好友情感归属等社交知识实现社交认证。.此外，项目实现包含以上两种社交认证系统和传统认证方式的统一社交认证系统，该系统包含基于社交凭证和基于社交知识的社交认证方式，并利用OAuth方式实现面向微博的授权认证，将传统的认证方式较好的在系统中进行了整合实现。. 项目历时三年，按照预定研究计划完成了各项研究内容，达到了预定研究目标，完成了整个项目。项目取得的研究成果，预计在今后一段时间能应用到具有社交网络的系统认证过程中，或者集成到没有社交系统的认证系统当中以提供社交认证功能。.