利用智能手机控制主机安全登录系统的研究

2014-09-15巩建平胥亚娟巩炳辰

计算机工程与科学 2014年3期

关键词：调用蓝牙智能手机

巩建平，胥亚娟，巩炳辰

(1.太原理工大学信息工程学院，山西太原 030024;2.浙江大学竺可帧学院,浙江杭州 310027)

利用智能手机控制主机安全登录系统的研究

巩建平1，胥亚娟1，巩炳辰2

(1.太原理工大学信息工程学院，山西太原 030024;2.浙江大学竺可帧学院,浙江杭州 310027)

利用智能手机控制主机安全登录是一项智能终端与密码机制相结合的新一代登录技术。首先简要介绍了Winlogon和GINA相互关系及Windows系统交互式登录的基本原理，然后提出了Windows平台下利用智能手机(基于Android平台)控制主机安全登录系统的研究并阐述了该系统所使用到的关键技术及其优势。利用智能手机应用界面的强大功能及蓝牙通信基础，实现了结合手机和PIN的双因子认证机制，极大地提高了系统登录的安全性，同时也避免了额外的投资和携带的不便。

双因子认证；Winlogon；GINA；蓝牙通信；智能手机

1 引言

主机系统的安全登录一直是人们议论的焦点，传统Windows系统使用的是“用户名+口令”的认证机制，但因其存在着安全性问题，人们渴望一种新的认证机制。基于图形识别身份认证GINA(Graphical Identification aNd Authentication)是Windows 2000/XP 操作系统中Winlogon进程加载的登录认证模块及可替换的动态链接库，本文提出了利用智能手机(该系统采用基于Android平台手机)承载认证因子的认证系统来实现自己的交互登录方式去改写GINA模块。这种身份认证和访问控制机制，一方面极大地提高了主机登录的安全性；另一方面减少了额外的投资，携带也极为方便。

2 Winlogon与GINA交互原理

Winlogon是主机登录操作系统提供的交互式登录模型，负责管理与登录相关的安全工作，其实现的主要函数有：WlxSasNotify、WlxGetOption、WlxMessageBox、WlxSetOption、WlxDialogBoxParam、WlxDialogBox、WlxSetTimeout、WlxChangePasswordNotifyEx。GINA执行所有与用户身份识别和认证策略相关的操作，是Winlogon 必须加载并长期运行的一个动态链接库DLL(Dynamic Link Library)。自定义的GINA除了可以调用Winlogon一些函数外，还实现了如下一些函数：WlxNegotiate、WlxSasNotice、WlxLoggedOnSAS、WlxWkstaLockedSAS等。

Windows系统启动过程共有五个阶段，如图1所示。

Figure 1 Windows boot process图1 Windows启动过程

3 基于智能手机主机登录系统的研究

3.1 智能手机作为认证设备的原理

利用智能手机承载主机登录认证因子，将其作为认证设备是本文的核心。在设计的过程中，基于智能手机可以直接装载定制软件且用户界面使用极为灵活的特点，只需在手机端安装一个认证软件。该软件用来存储主机的登录认证因子(即用户名和密码)，内部采用特定命令格式，同时又能够进行加解密运算，可以有效防止信息泄漏，具有较高的安全性。使用的过程中，用户必须将手机与PC互联，在手机端输入正确的PIN码并调用手机认证模块中的用户名和密码进行登录验证才能进入主机的登录系统，实现了手机+PIN的“双因子”认证。基于智能手机的主机安全登录系统模块设计如图2所示。

Figure 2 Composition of system login module图2 系统登录模块组成

手机端认证模块保存用户名与密码即主机登录密钥，完成与PC端认证模块的信息交互。PC端认证模块负责获取手机端密钥和检测PC与手机的连接状态，并通知开机登录模块是否允许用户开机登录等功能。另外，PC端软件保存认证电脑登录密钥，可在获取手机端密钥后与之比较验证，从而实现系统的身份认证过程。

3.2 基于智能手机的主机登录控制的实现方案

首先，主机开机时Windows系统会做出相应的响应，启用内部的函数，如完成初始化内核、启动Winlogon进程进行登录、加载GINA等，并显示用户登录欢迎界面，此时系统进入了没有用户登录状态。与此同时，主机系统还会监测是否有自定义的安全提示序列SAS(Secure Attention Sequence)出现。

然后，手机端通过用户操作界面及蓝牙通信向PC端发出远程登录请求，双方进行配对连接后，GINA将其视为一个手机登录SAS事件给Winlogon，Winlogon通知手机登录事件监视与管理例程，要求在手机界面弹出输入PIN码对话框来捕获用户输入的PIN 码。当手机端在输入PIN码之后，将其传送到PC端，PC端将接收的PIN码与存储在PC端中的认证PIN码进行比较，并将结果返回给Winlogon。

接着，GINA调用身份验证处理例程发送从手机中取出用户名和口令操作的请求，手机终端管理程序将该请求传递给手机API接口。双方再次进行蓝牙通信，手机从内部读取用户名和密码返回给GINA，然后进行本地安全验证LSA(Local Security Authority)，验证通过则登录成功。同时，PC端的GINA不断地循环监测SAS的状态，如图3所示。

Figure 3 Design flow chart图3 设计流程图

3.3 开机登录认证因子的获取

采用本系统进行登录管理就是把用户名和密码存储在所编写的手机认证模块中，用户必须将手机端与PC端互联并输入正确的PIN码，调用手机端的用户名和密码进行登录验证才能进入系统，即实现“双因子”认证。如图4所示为PC端获取手机端登录认证因子的过程。在手机端认证因子是以密文的形式存储的，当手机端接收到PC端获取认证因子请求时，用户输入口令保护，基于口令保护算法，密文被还原为明文，通过蓝牙发送到PC端GINA；之后PC端会立即调用本地安全验证LSA(Local Security Authority)函数来检验所接收到的认证因子与存储在PC端的认证因子是否匹配，从而决定是否开启登录模块。

Figure 4 Process of getting boot login authentication factor图4 获取开机登录认证因子的过程

4 智能手机控制主机登录的关键技术

4.1 安全提示序列SAS的处理

在Windows 下缺省的SAS 为CTRL+ALT+DEL，在本方案中自定义了两个SAS 事件：WLX_SAS_KEY_CONNECT和WLX_SAS_KEY_UNCONNECT。当系统识别到已连接的消息时，自定义的GINA调用WlxSasNotice函数向Winlogon发送WLX_SAS_KEY_CONNECT消息；当系统识别到已中断连接消息时，自定义的GINA调用WlxSasNotice函数向Winlogon发送WLX_SAS_KEY_UNCONNECT消息，最后Winlogon 会调用相应的SAS 函数进行处理。

4.2 蓝牙通信

本系统实现的前提是手机端与PC端要有蓝牙通信的支持，以便于它们之间认证信息的交互，双方是基于配对口令连接的。蓝牙技术是一种近距离无线通信的手段，其正常的工作范围是10 m半径之内，使用2.4 GHz ISM频段。因此，该系统能解决当用户临时有事走开需考虑立即关机等操作以保证信息安全的烦恼，只要手机和电脑的距离超出蓝牙所能识别的范围，系统就会自动锁屏并把用户的工作环境保存下来，期间任何人都不能进入用户工作环境，直至用户再次利用手机登录，系统才会自动解锁，恢复到用户离开时的工作环境。

实现智能(Android)手机和PC之间的蓝牙通信,因Android智能手机对大部分外置GPS都不提供支持,因此必须采用蓝牙socket并利用Android的蓝牙“广播通信”。而PC上蓝牙模块是在C++下开发的，通过搜索获取手机的蓝牙MAC地址，实现配对。在编码的过程中处理好手机端蓝牙适配器和PC端API接口，最终实现手机端和PC端数据的发送和接收。

4.3 系统封屏与解除锁定

为了保证系统的安全性，要求在Windows正常使用过程中，若用户临时有事需要离开时无需进行关机操作，只需随身携带自己的手机离开，系统就会自动锁定屏幕，直到用户再次利用手机进行主机登录才能对屏幕解除锁定。GINA模块在WlxLoggedOnSAS函数中就能较好地解决这一问题。

当系统处于已登录状态时，如果用户携带手机离开并超出蓝牙系统所能识别的范围,GINA就会向Winlogon发送WLX_SAS_KEY_UNCONNECT消息，Winlogon调用WlxLoggedOnSAS 函数，通过返回参数WLX_SAS_ACTION_LOCK_WKSTA实现对Windows系统屏幕的锁定；锁定桌面后，如果用户再次利用手机进行登录时，GINA就会发送WLX_SAS_KEY_CONNECT消息，则Winlogon调用WlxWkstaLockedSAS函数，在进行必要的验证工作之后返回参数WLX_SAS_ACTION_UNLOCK_WKSTA 即可解锁桌面，这样用户就可以重新进行正常工作。

5 基于智能手机的主机安全登录系统的优势

(1)基于智能手机(Android系统)具备灵活的界面操作及自由装载所需软件的特点，将其作为认证设备来承载主机登录的认证因子，可以更好地实现与用户的互动。

(2)利用了蓝牙无线通信技术的短距离传输，在蓝牙可以识别到的有限范围内，实现手机对主机登录系统的控制，做到有手机在，主机可以登录，手机不在，主机无法进行开机登录或是锁屏。

(3)采用软硬件结合的身份认证技术即双因子认证，在认证的过程中必有承载认证因子的Android手机及正确的PIN同时参与，缺少一方用户都无法登录系统，这样极大地提高了系统的安全性，也克服了传统登录机制口令难以记忆和容易被猜测等缺陷。

(4)将主机登录认证因子存储在手机中并进行加密，最大限度地保证计算机系统的安全。

(5)计算机开机身份验证与计算机锁定解锁验证构成一个整体，从计算机开机到使用提供一个完整的安全解决方案。

(6)利用Android手机控制主机登录系统使用极为方便，减少了类似于基于usbkey登录机制所涉及的额外投资及携带不便的问题。

6 结束语

利用智能手机控制主机安全登录系统巧妙地将智能终端和密码学知识结合在一起，手机端不仅利用蓝牙技术传递配对口令从而完成和PC端连接，而且采用口令保护算法将PC端开机认证因子存储在手机端，这是本文一大亮点。系统实现了双因子认证，即手机端的PIN码及认证因子，极大提高了主机登录系统的安全性,进一步满足人们对私人电脑及重要文件安全保护的要求。而PC端利用自身的Windows操作系统启动特性，调用开机登录的相关函数完成对手机端认证因子的获取及将其与自身存储的认证因子进行验证，从而实现开机登录。此外，该系统还为用户节约了额外的投资成本，同时也克服了使用口令控制主机登录所带来的安全性问题。

但是，该系统仍有不足之处，比如认证因子在手机端与PC端传输的过程中是在非可信链路(蓝牙通信)上完成的，所以很有可能被第三方截获。因此，设想是否可以将手机端存储的认证因子仅作为运算登录因子的一部分参数，这样即便有人截获了手机密钥也无法进行登录。同时，也希望在今后的发展中可以突破该系统对操作系统的限制。

[1] Cao Tian-jie, Zhang Yong-ping,Su Cheng. Computer system security[M].Beijing:Higher Education Press, 2003.(in Chinese)

[2] Schneier B.Applications of cryptography[M].Wu Shi-zhong, translation. Beijing:Machinery Industry Press, 2000. (in Chinese)

[3] Ma Jin-gang, He Yi-fei. Analysis of Windows2000 user login authentication model [J]. Computer Systems & Applications, 2002(12):36-37.(in Chinese)

[4] Jin Hui, Shi Jian-jun, Design of Windows2000 log-on system based on third-party PKI authentication [J]. Computer Engineering, 2004, 30(9):192-194.(in Chinese)

[5] Cai Zhun, Li Da-xing. Realizing smart key by GINA to logon Windows [J]. Computer Applications,2002, 22(12):103-104.(in Chinese)

[6] De Clercq J,Balladelli M.Windows 2000 Authentication[M].NJ:Digital Press,2001.

[7] Hutz B,Fink J.The essentials of replacing the Microsoft graphical identification and authentication dynamic link library[M].WA:Microsoft Corporation, 2001.

[8] You Jin-yuan, Shi Mei-lin. The principle of Windows operating system[M]. Beijing:Machinery Industry Press,2002.(in Chinese)

附中文参考文献：

[1] 曹天杰,张永平,苏成.计算机系统安全[M].北京:高等教育出版社,2003.

[2] Schneier B.应用密码学[M].吴世忠,等译，北京：机械工业出版社,2000.

[3] 马金刚，贺轶斐.浅析Windows 2000的用户登录身份验证模型[J].计算机系统应用，2002(12):36-37.

[4] 金辉，施建俊.基于第三方PKI认证的windows 2000登录系统的设计[J].计算机工程，2004,30(9):192-194.

[5] 蔡准，李大兴.通过GINA实现使用Smart key登录Windows[J].计算机应用，2002,22(12):103-104.

[8] 尤晋元，史美林. Windows操作系统原理[M]. 北京：机械工业出版社，2002.

GONG Jian-ping,born in 1965,MS,associate professor,his research interests include computer network, and information security.

胥亚娟(1987-),女,辽宁沈阳人，硕士，研究方向为计算机网络与信息安全。E-mail:yajuan216@126.com

XU Ya-juan,born in 1987,MS,her research interests include computer network, and information security.

巩炳辰(1994-),男,山西太原人，研究方向为计算机科学。E-mail:gbcgbc216@126.com

GONG Bing-chen,born in 1994,his research interest includes computer science.

Research of controlling host security login system using smart phones

GONG Jian-ping1,XU Ya-juan1,GONG Bing-chen2
(1.School of Information Engineering,Taiyuan University of Technology,Taiyuan 030024;2.School of Zhu Kezhen,Zhejiang University,Hangzhou 310027,China)

Controlling host security login system using smart phones is a new generation sign-on technology that combines intelligent terminal and password mechanism. Firstly, the relationship between Winlogon and GINA and the basic Windows system interactive logon principle are introduced. Secondly, the paper propose a system that a smart phone(based on Android platform)is used as an authentication factor carrier to control the host logon system under the windows platform. And the system's critical technique and advantages are described. The system uses the powerful functions of the application interface and the bluetooth communication of smart phones to realize the two-factor authentication mechanism with both the phone and PIN, largely improving the safety of the system as well as avoiding extra investment and inconvenience of carrying the phone.

two-factor authentication;Winlogon;GINA;Bluetooth communication;smart phones

2012-09-24;

2012-12-30

1007-130X(2014)03-0487-04

TP309.1

10.3969/j.issn.1007-130X.2014.03.019