专题丨基于移动智能终端交互行为的持续身份认证技术综述
作者简介
宋天乐
西安交通大学网络空间安全学院硕士研究生在读，主要从事身份认证、生物特征识别等方面的研究工作。
蔺琛皓
西安交通大学网络空间安全学院特聘研究员，长期从事人工智能安全、智能身份安全等方面的研究工作。
高书馨
西安交通大学网络空间安全学院硕士研究生在读，主要从事可持续身份认证等方面的研究工作。
赵竣毅
西安交通大学信息工程学院硕士研究生在读，主要从事身份认证、生物特征识别等方面的研究工作。
周亚杰
西安交通大学网络空间安全学院硕士研究生在读，主要从事人机交互行为分析与生成式数据增强等方面的研究工作。
纪英帅
西安交通大学自动化科学与工程学院本科生在读，主要从事身份识别方面的研究工作。
杨明慧
OPPO广东移动通信有限公司高级软件架构师，长期从事移动终端安全、可信身份识别技术等方面的研究工作。
沈超
西安交通大学网络空间安全学院教授，长期从事智能系统安全与控制、可信人工智能与AI安全、软件测试和AI测试、智能人机行为分析等方面的研究工作。
论文引用格式：
宋天乐, 蔺琛皓, 高书馨, 等. 基于移动智能终端交互行为的持续身份认证技术综述[J]. 信息通信技术与政策, 2024, 50(1): 19-31.
基于移动智能终端交互行为的持续身份认证技术综述
宋天乐1 蔺琛皓1 高书馨1 赵竣毅2
周亚杰1 纪英帅3 杨明慧4 沈超1
（1.西安交通大学网络空间安全学院，西安 710049；
2.西安交通大学信息与通信工程学院，西安 710049；
3.西安交通大学自动化科学与工程学院，西安 710049；
4.OPPO广东移动通信有限公司，东莞 523860）
摘要：随着移动智能终端的发展和普及，更多用户在智能手机、平板等移动终端上进行支付、转账、存储个人信息等活动。为了提高用户使用移动智能终端的安全性和便利性，目前移动智能终端身份认证的发展趋向于持续认证。首先，回顾了现有基于移动智能终端的身份认证工作；其次，整理了目前主流的性能评估指标和产业界应用；最后，对持续身份认证在移动智能终端中亟待解决的问题以及发展趋势进行了总结和探讨。
关键词：移动智能终端；持续认证；性能评估指标
0 引言
随着计算机处理能力和存储容量的迅速发展[1]，移动智能终端设备在人们的日常生活中发挥着重要的作用。移动智能终端设备不再局限于通话、短信等传统功能，支付、购物、在线社交、短视频浏览等创新功能给用户带来便利的同时也很大程度增加了用户对于移动智能终端设备的依赖，用户在移动智能终端设备中关联各种银行卡信息以便进行支付、转账等金钱交易。同时，移动智能终端设备中也存储许多私人和敏感信息，如照片、账号、聊天记录、通话记录等，通过移动智能终端设备进行金钱交易以及在移动智能终端设备上存放个人信息非常高效、便捷，但也使得数据容易受到网络攻击[2]。因此，为防止私人信息泄露，保护数据安全，设计一个有效的身份认证方法至关重要。
1 身份认证分类
如今，各类身份认证方法已经在移动智能终端设备上广泛使用，这些方法可以分为接口式身份认证和持续身份认证两类（见图1）。
图1 身份认证分类
本文首先介绍了现有的接口式身份认证和持续身份认证工作，并对持续身份认证工作的方法进行了详细阐述，其次分析、对比了现有的持续身份认证数据集以及方法，最后对基于移动智能终端的持续身份认证的研究进展、面临的挑战以及应用前景进行了探讨和展望。
1.1 接口式身份认证
移动智能终端中的接口式身份认证系统是目前常用、便捷的身份验证方式，用户在第一次登录使用移动智能终端时会进行一次认证，之后整个使用期间都不会再次认证。接口式身份认证主要分为基于知识的接口式身份认证和基于生物特征识别技术的接口式身份认证两类。
1.1.1 基于知识的接口式身份认证
基于知识的接口式身份认证是最流行的验证用户身份的方法，如在移动支付期间要求用户明确地输入认证信息，如密码、个人身份识别号码（Personal Identification Number，PIN）和图形锁等[3-4]。由于各种移动智能终端设备和在线服务创造了无数密码，记住所有密码给用户带来不便。因此，用户倾向于设立简单的密码或在多个服务中重复使用相同的密码，这使得其密码更容易泄露或被窃取[5]。Aviv等[6]分析了安卓手机的密码输入模式，通过提取用户输入完密码后屏幕上残留的污渍，获取了相应密码。Amin等[7]研究发现2D图形序列相较于文本密码更容易被破解，其原因在于40%的用户会从图形的左上角设计图形序列，且大部分用户只使用9个图形点中的5个点。Shukla等[8]则调研了用户输入密码的手部视频，观察视频中手部的空间运动与手机任何可见部分的锚点的相关联性，可以高精度地预测输入的密码。
1.1.2 基于生物特征识别技术的接口式身份认证
基于生物特征识别技术的接口式身份认证是一种根据用户独有的生物学特征，如指纹、人脸、虹膜等进行认证的方法[9]。这种方法不需要用户明确地输入认证信息，具有更快的认证速度，但仍然存在大量的安全隐患。在面对涉及前沿人工智能技术的攻击时，生物特征识别的安全性会受到威胁。攻击者可能通过修改生物特征来攻击识别系统。例如，攻击者通过对指纹图像进行微小的修改或篡改，来欺骗指纹识别系统。Bontrager等[10]通过生成对抗网络生成的指纹图像，对先进的指纹认证系统具有最高75%的成功入侵率。例如，攻击者通过使用印刷或数字照片，来欺骗人脸识别系统。Erdogmus等[11]通过构建定制的不同3D人脸面具数据集，成功入侵多套人脸识别系统。这种攻击方式也被称为照片攻击或活体检测攻击，旨在绕过系统对真实人脸的要求。对于虹膜识别系统，Czajka等[12]设计了一种带有纹理的眼睛来模仿人类的虹膜，该方法对于基于支持向量机（Support Vector Machine，SVM）的虹膜认证系统具有95%的入侵成功率。
1.2 持续身份认证
接口式身份认证方式容易被入侵的主要原因是在用户初次登录、验证通过后，整个使用期间不再进行二次验证。一旦入侵者盗取了密码或人脸等认证数据并成功入侵系统，系统将无法再对该入侵者进行有效防御。为解决上述问题，持续身份认证开始受到业界的高度关注，这一新兴认证方式的出现，旨在解决现有接口式身份认证不能时刻认证用户身份的不足之处[13]。持续身份认证也被称为“隐性、透明或渐进”的认证，通过比较当前的用户行为和注册用户的行为模板，实时、持续验证设备的操作用户是否为设备的注册用户。与接口式身份认证相比，持续身份认证会在用户整个会话活动中持续进行身份验证，直到锁定设备。持续身份认证是提高移动智能终端安全性和隐私性的新选择。
如图2所示，持续身份认证系统的框架与人脸识别系统相似，分为注册阶段与认证阶段。在注册阶段，用户需要主动提供与手机的交互数据，如触屏数据、击键数据、传感器数据等。持续身份认证系统对用户提供的数据进行预处理及特征提取后，将之作为注册模板存储于云端或本地端。当持续身份认证系统进入认证阶段，手机会自动采集与用户的交互数据，经预处理和特征提取后，该特征文件将与之前存储的注册模板进行比对，以验证用户的身份。
图2 持续身份认证系统框架
1.2.1 持续身份认证评价指标
错误接受率（False Acceptance Rate，FAR）和错误拒绝率（False Rejection Rate，FRR）是持续身份认证系统广泛应用的评价指标。FAR是冒名顶替者被错误地识别为合法用户的概率，而FRR 则表示合法用户被错误地识别为冒名顶替者的概率。为了平衡持续身份认证系统中的两种误差类型，引入了相等错误率（Equal Error Rate，EER）来预先确定FAR等于FRR的阈值。EER是普遍应用的系统性能总体衡量标准，EER越低表示持续身份认证系统的准确性越高。准确率（Accuracy，ACC）表示认证正确的样本占总样本的比例，准确率越高持续身份认证系统的准确性越高。曲线下面积（Area Under Curve，AUC）为受试者工作特性曲线（Receiver Operating Characteristic Curve，ROC）下的面积，取值范围为0~1。AUC值越大，表示身份认证系统在区分真实用户和假冒者方面的性能越好。当AUC为0.5时，表示身份认证系统的分类性能等同于随机猜测，而当AUC为1时，则表示身份认证系统具有完美的分类能力。
选取ACC、FAR、FRR和EER作为持续身份认证系统的评价指标主要基于以下几方面原因。
（1）考虑错误类型：在持续身份认证中，有误接受（系统错误地接受非法用户）和误拒绝（系统错误地拒绝合法用户）两种关键的错误类型需要考虑。这些错误对于持续身份认证系统的安全性和用户体验都至关重要，而FAR和FRR能够量化这两种错误，并提供对系统的全面评估。
（2）平衡错误：FAR和FRR能够在不同阈值设置下对平衡错误提供帮助。通过调整阈值，可以在FAR和FRR之间进行权衡，找到适当的平衡点，以达到系统性能的要求。
（3）EER应用的意义：EER是FAR和FRR相等时的错误率，表示了在平衡FAR和FRR时的最佳性能水平。EER提供了一个单一的指标，可以用于比较不同系统的性能。较低的EER值表示系统在同时控制误接受和误拒绝方面取得了较好的性能。
（4）ACC应用的意义：ACC可以帮助评估身份认证系统的整体识别准确性。系统的任务就是准确地识别用户的身份，如果准确率高，意味着系统能够较准确地区分真实用户和假冒者，提供可靠的身份认证服务。
（5）AUC应用的意义：AUC的计算过程中只关注真实用户和假冒者的排序关系，而不依赖于具体的分类阈值选择。因此AUC可以更全面地评估身份认证系统的能力，不受单个阈值选择的限制。
1.2.2 基于传感器数据的持续身份认证
移动智能终端设备的传感器通常用于捕捉设备的运动信息，在运动健康类应用和运动交互类应用中得到了广泛应用，技术已经非常成熟。常用的传感器有加速度传感器和陀螺仪，加速度传感器[14]可以测量设备在3个轴向上的加速度变化，通过感知设备的加速度变化实时监测用户的运动状态。陀螺仪[15]用来测量设备旋转的角速度，可以感知设备在3个轴向上的旋转变化，包括偏航、俯仰和翻滚等。通过多个传感器数据的结合，可以构造出用户的运动姿态特征空间，对用户的运动和姿态建模。由于用户的操作习惯、手持稳定性各具有差异，因此由传感器构建的运动姿态特征空间也可以应用于用户的身份识别。基于传感器数据的持续身份认证方法通常从多种运动传感器数据中提取特征，如时域特征、频域特征和动作模式等，针对运动传感器特征建立认证模型。下面介绍目前基于传感器数据的持续身份认证工作。
早期，Asadullah等[16]利用智能手机里的加速度传感器记录用户移动手机的签名信息完成身份认证任务。该方法在一个10位参与者提供的传感器数据集上FRR为6.87%，FAR为1.46%，具有一定的身份认证能力。但该方法本质上仍是基于知识的身份认证方法，需要用户记住注册阶段移动手机的动作，并在认证阶段重复该动作才可以完成认证，且无法在会话期间持续进行认证。
近些年，持续身份认证研究成为主流。Lee等[17]将重点聚焦在双设备认证上，利用智能手机和智能手表里的加速度传感器和陀螺仪数据，提取其时域和频域特征发送到云端服务器并使用核岭回归（Kernel Ridge Regression，KRR）分类器完成最终身份认证。这种方法不仅具有92%的认证成功率且在使用过程中耗电量/h低于2%。Li等[18]提出了5种针对手机内置传感器数据增强的方法，利用增强的数据，提高了身份认证系统的识别效果。Ehatisham等[19]同样利用智能手机中的传感器提出了一套基于用户活动模式的持续身份认证系统，重点分析了使用不同机器学习分类器的结果差异，其中SVM分类器取得了最佳认证结果，平均准确率为97.75%。Li等[20]通过特征融合的方式将手机内传感器三维方向的特征融合在一起，最后使用支持向量数据描述（Support Vector Date Description，SVDD）分类器完成对于用户的认证。该方法在一个100位用户的传感器数据集上达到了0.74%的FRR和2.85%的FAR。Shen等[21]发现当前的研究工作均缺乏对于实际生活场景的全面评估，为了实现在日常生活场景上基于传感器身份认证的可靠性，采集了102位参与者在不同生活场景下使用手机的传感器数据，并通过应用“信息性”度量来选择最佳特征。基于这种方法选择的特征使用多个分类器进行对比，隐马尔可夫模型（Hidden Markov Model，HMM）分类器可以取得最好的结果，手持、桌面和手持行走场景的EER分别为4.74%、6.64%和9.73%。
随着深度学习的发展，越来越多研究者将深度学习方法引入持续身份认证工作中。Amini等[22]提出了一种基于长短记忆（Long Short Term Memory，LSTM）神经网络的认证系统DeepAuth，通过LSTM神经网络提取加速度传感器以及陀螺仪的时序特征完成认证。该系统每次认证需采集20 s的传感器数据，并且具有96.7%的平均认证准确率。Hu等[23]则将卷积神经网络（Convolutional Neural Network，CNN）引入基于传感器的持续身份认证系统，以一个双流CNN用于特征提取，以一个单分类支持向量机（One-Class Support Vector Machine，OCSVM）作为分类器，试验结果最好可以达到87.14%的准确率和2.3%的EER。Fereidooni等[24]提出了孪生网络结构的传感器身份认证系统，以两个一维CNN的孪生结构作为特征提取器，以全连接层作为分类器，用户仅需与手机交互1 s即可完成认证，FAR和FRR分别为0.023和0.057。
除了传统智能手机上的身份认证，Zhang等[25]开始关注于虚拟现实（Virtual Reality，VR）设备的身份认证，引入了一种基于眼动的身份认证方法。这种方法在不影响用户正常使用的情况下设计一个引导用户眼睛运动的界面并通过VR设备的内部摄像头跟踪个人眼球运动完成认证，可以达到6.9%的EER。Agac等[26]则聚焦于智能眼镜的身份认证，收集了17位用户在佩戴智能眼镜时做8种不同动作的内置运动传感器数据，分析了不同分类器对于不同动作的认证效果，结果表明Adaboost算法在三角形手势上效果最好，EER为1.3%。表1对基于传感器数据的持续身份认证研究作了总结。
表1 基于传感器数据的持续身份认证
1.2.3 基于触屏交互数据的持续身份认证
移动智能终端设备的触摸屏提供了丰富的人机交互行为功能。用户在使用带有显示屏的移动智能终端设备（如智能手表、智能手机、平板电脑）时，会产生大量的触屏操作，包括点击[27]、滑动[28]等。通过从每一个触屏动作中捕捉特征，如时间戳、手指在触摸屏上的压力和每个手指覆盖的触屏区域等，再使用相应的分类器，从而实现对于用户的持续身份认证。基于触屏交互数据的身份认证使得连续的用户识别成为可能，无需额外的传感器并能够低负载计算。下面介绍目前基于触屏交互数据的持续身份认证工作。
触屏交互通常被称为软生物识别技术，通过触屏可以反映出用户的身体属性，例如手指长度、手部大小、手部稳定性等，这为基于触屏交互数据的持续身份认证提供了理论支持。2012年，Frank等[29]将触屏引入到身份认证系统中，根据用户的触屏习惯提出了30 维行为触摸特征并设计了K-近邻算法（K Nearest Neighbors，KNN）和SVM分类器进行身份认证，实现了2%~3%的EER。Antal等[30]建立了一个40位用户的竖直滑动触屏交互数据集，提取了触摸持续时间、轨迹长度、加速度、平均速度、触摸压力、触摸面积等特征，最终通过使用多个分类器进行认证，使用KNN、随机森林（Random Forest，RF）和贝叶斯网络进行二分类，使得认证系统在单次竖直滑动认证的条件下EER为4%，在5次竖直滑动认证的条件下EER为0.2%。Leyfer等[31]收集了14位用户在使用手机时的单点触控和多点触控动作用于身份认证，该试验结果在随机森林和梯度提升分类器上AUC为96%。与上述两项研究工作相比，Pozo等[32]建立了一个更大的触屏交互数据集，收集了190位用户的手势数据，包括横向滑动、竖向滑动，结果更具可靠性；提出了一种序列前向浮动搜索（Sequential Floating Forward Selection，SFFS）算法和高斯混合模型（Gaussian Mixture Model，GMM）分别选择最佳特征和相似度匹配，试验结果表明水平滑动相较于竖直滑动更具备分辨能力。
为了更好地提高身份认证的效果，一部分研究者开始发掘更多的触屏交互相关特征。Song等[33]提出了3类不同的触摸手势特征，分别为手工特征、触摸图像特征、时序特征。这3类特征通过设计的深度特征正则化网络（Feature Regularization Network，FRN）架构结合在一起并选择性地控制每个特征维度的重要性，在从FRN获得正则化特征后，采用KNN作为单类分类器来作出最终认证。该研究收集的数据集为用户用4个相邻手指在屏幕上执行的手势，手势形状不一，如垂直线、类L形状等，其中包含161位参与者的超过1.5万个样本，在使用30位用户作为训练集的前提下，系统EER为2%。
触屏交互除了进行移动终端身份认证之外，也可以用于识别不同的人群属性，如性别、年龄段等。Bevan与Fraser[34]调研了用户滑动手势和性别之间的关系，结果显示用户的性别和手势之间有很强的相关性，主要反映在速度、加速度和完成时间上，男性用户完成一次滑动的速度往往远高于女性用户。Cheng等[35]则关注儿童与成人触屏交互存在的关键差异，提出手部几何特征、手指灵敏度特征、手掌稳定性特征三大类用于区分的特征。Lin等[36]在此特征基础上结合了更多运动传感器信息，提取了更多特征，分别通过CNN提取运动传感器特征和全连接神经网络（Deep Neural Networks，DNN）提取手工特征并引入了辅助训练的策略[37]，最终将两个模型的结果加权求和得到认证结果。Lin等建立了一个涵盖910位儿童和965位成人用户的大型数据集，基于此数据集的认证系统EER可达4.38%。Miao等[38]细化了用户的年龄段分类，将用户分为儿童、成人、老人3类，探究了不同年龄段人群之间的触屏手势区别，设计的Agecare系统在不限制用户使用场景的情况下进行年龄段识别，EER可以达到16.4%。表2对基于触屏交互数据的持续身份认证研究作了总结。
表2 基于触屏交互数据的持续身份认证
1.2.4 基于击键交互数据的持续身份认证
移动智能终端设备的虚拟键盘提供了在设备的触摸屏上输入字符或数字的功能，在打字或拨号时，虚拟键盘使用触屏传感器来捕捉个人的输入，这种输入模式因人而异。基于按键的认证是一个根据移动智能终端设备虚拟键盘上的独特打字模式来识别或验证用户身份的过程。击键动态特征可以表征一个用户的打字习惯和行为模式[39-41]，一个用户的独特打字模式可以根据数字、三段式、压力、手指大小、保持时间和击键延迟等特征识别。在移动智能终端设备的击键行为中，当用户通过虚拟键盘输入字符时，内置传感器会发生细微变化，结合内置传感器的数据，击键时间、压力、坐标可用作身份认证的显著特征[42]。当用户与移动智能终端设备交互时，对击键行为数据的持续采集监控是无感的，不会影响用户使用移动智能终端设备的体验。下面介绍目前基于击键交互数据的持续身份认证工作。
基于击键交互数据的认证方式早期出现在传统电脑的认证系统上[43-44]，通过用户敲击实体键盘的交互行为完成认证。随着触摸屏更多地被应用于移动智能终端，用户可以通过移动智能终端进行击键交互，输入文本。Kang等[45]将击键认证的输入设备从台式电脑键盘扩展到了笔记本电脑键盘和触摸屏键盘，参与试验的45位用户需要在台式电脑、笔记本电脑和智能手机上分别完成一次不少于3 000个字符的文本输入，利用采集的数据，评估了不同的分类器，如KNN、R和A测试（R and A measures，RA）、K-S统计、高斯密度估计等，结果显示在使用RA的台式电脑键盘上的认证结果最好，此外，当注册集和测试集的规模从100增加到1 000时，EER可以显著减少。Hwang等[46]将研究目标集中在智能手机的击键认证上，提出了一个基于击键的节奏和速度的认证系统，着重分析了不同用户在输入PIN时每次击键的间隔时间和击键时间。在用户自然输入PIN的情况下，该系统的EER为13%，当系统给予用户一定节奏引导时，该系统的EER可以达到3%。Inguanez等[47]分析了目前几种击键特征的重要性，包括有向图特征、位置特征、面积特征、速度特征和滑动特征。试验结果显示，有向图特征的FAR最高，为32.68%；滑动特征的FAR最低，为17.03%。此外，Inguanez等将以上所有特征进行拼接组合，形成新的组合特征。试验结果显示FAR为6.33%，比有向图特征的FAR降低了26%。
移动智能终端的虚拟键盘相较于传统电脑的键盘，具有更多的传感器，如加速度传感器、陀螺仪等，除了在传统电脑击键认证上常用的击键时间、击键间隔等特征，可以引入更多传感器特征来提高系统的认证效果。Buriro等[48]设计了一种基于用户输入10个数字时的击键认证方案，使用来自97位参与者的数据进行试验，采集用户的击键信息和手机内置的加速度器和陀螺仪数据，该方案认证准确率为85.%，FAR为7.32%。Wu等[49]将击键特征和触屏交互特征相结合，提取了击键时间、手指按压面积、手指按压时间等特征，最后使用SVM作为分类器，对来自10位用户的数据进行分类的准确率达到98.6%。Hriez等[50]从收集的42位用户的平板电脑击键数据中提取了71维特征，如按键保持时间、按键压力、手指按压面积、平均压力等，对这71维特征使用统计方法又提取了19维统计特征，还在此特征基础上对比了贝叶斯网络、KNN、RF和多层感知器（Multilayer Perceptron，MLP）分类器。试验结果表明RF可以取得最好的认证效果，在71维特征下，ACC为93.06%，在90维特征下，准确率为94.26%。表3对基于击键交互数据的持续身份认证研究作了总结。
表3 基于击键交互数据的持续身份认证
1.2.5 基于其他交互行为的持续身份认证
除了传感器数据、触屏数据和击键数据等传统的交互行为数据，越来越多的研究人员开始关注步态和行为分析等更加细致的行为数据。步态认证是通过设备内的传感器收集数据并分析用户的行走方式来识别个体。行为分析则是根据智能手机中各种数字服务和应用程序的使用情况来识别用户。下面介绍目前基于步态和行为分析的持续身份认证工作。
早期关于步态识别的研究工作中[51]，需要额外的摄像头收集收据，摆放在距离用户较远的位置以便拍摄到用户的全身运动，最终通过对用户的运动姿态分析完成认证。Gafurov等[52]将可穿戴传感器引入步态认证中，将传感器安放在人体的不同部位收集数据，设计KNN并将之作为分类器。试验结果显示，传感器放置于脚部、口袋、手臂和臀部的用户认证获得的最佳EER分别为5%、7%、10%和13%。Thang等[53]收集了24位用户手机放置于裤子口袋行走时的加速度传感器数据，对于采集的数据分别从频域和时域提取特征，使用SVM进行分类。该方法得到的认证准确率可达92.7%。Hoang等[54]同样使用SVM作为分类器，深入研究了不同设备采样频率对于步态认证结果的影响，在此基础上设计了一套跨设备步态认证系统。该系统在多套设备上的平均准确率可达91.33%。Kork等[55]收集了不同年龄、身高、体重用户行走、慢跑、快跑下智能手机与可穿戴设备传感器的数据，分析、比较了不同人群、不同运动姿态下步态识别的结果，表明在正常行走下步态识别的结果最好。
移动智能终端中的行为分析方法主要分为基于主机和基于网络两类。基于主机的方法利用位置信息、时间戳以及应用程序的名称等特征来识别用户，而基于网络的方法则利用Wi-Fi网络、蓝牙、网络服务等多种功能来识别用户。Li等[56]设计一个主动验证系统，该系统通过电话和位置功能不断验证用户的身份，使用了径向基函数（Radial Basis Function，RBF）神经网络、前馈多层感知器神经网络和一种基于规则（Rule-based）的方法对系统进行评估。试验结果显示RBF神经网络的认证结果最好，EER为10%。Cao等[57]从基站通信、Wi-Fi信息、应用程序使用情况、电池状态和充电状态中获取行为数据，通过定制的HMM训练提取的特征，使用序列概率比检验方法进行最终用户认证。Cao等在两个不同的数据集上进行了测试，EER分别为30%和16.16%。表4对基于其他交互行为的持续身份认证研究作了总结。
表4 基于其他交互行为的持续身份认证
2 持续身份认证的产业应用
随着智能设备和互联网的发展，传统的身份认证技术一次验证、静态授权的特点逐渐显露出安全隐患，持续身份认证的概念和应用逐渐被产业界关注，国内外各大厂商逐渐发展并应用综合的持续身份认证架构。基于人机交互行为的持续身份认证技术，作为持续身份认证架构中的一部分，也逐渐开始在产业应用中落地。下面介绍持续身份认证技术的产业应用。
Purilock是一家专注于提供身份认证和访问管理解决方案的公司，利用行为生物特征识别技术来确保用户身份安全，并帮助企业防止未经授权的访问和数据泄露。Purilock的身份认证解决方案基于用户与个人计算机交互的行为数据，通过分析用户的行为模式和习惯来验证其身份。Purilock使用机器学习和人工智能算法，监测和分析用户在计算机上的键盘输入速度、鼠标移动轨迹、鼠标点击模式等行为指标，以确定用户的身份是否合法。当用户鼠标移动和击键节奏与其常规行为匹配时，日志反映的风险很小或没有风险；当超过可配置的风险阈值时，PuriLock认证系统会通知安全人员并记录非法活动。Purilock的身份认证解决方案仍旧是建立在个人计算机端的鼠标与键盘的行为分析，在移动智能终端的基于触屏数据与传感器数据的产业应用上效果尚未可知。
BioCatch公司在移动智能终端上提出了持续身份认证系统，在从账户创建到在线会话等整个数字身份生命周期中进行身份认证。BioCatch持续收集用户行为，分析每个会话的数千次交互以区分真正的用户和网络犯罪分子。BioCatch认证系统在会话交互中捕获多样化数据，从用户交互行为、用户认知活动分析、用户行为洞察3个方面分析用户行为数据，其中使用的用户行为数据包含击键动作（速度/快捷键/高级键）、触屏行为（按键压力/手指按压面积/平均压力）、设备移动（陀螺仪/方向计/加速度计等），主要用于账户安全检测等方面。BioCatch的持续身份认证解决方案被用来防止欺诈现象，其风险引擎由机器学习提供支持，最终通过机器学习方式完成对用户的认证。
Ekran公司的持续身份验证系统通过考察多方面因素进行用户的身份验证，包含用户的行为生物识别信息，如手眼协调、设备交互模式的认知因素，惯用手、手臂大小、按键强度等的生理因素和位置、时间、设备的背景因素。Ekran的持续身份验证系统具有较广泛的工具集，可以实现身份和访问管理，包含向经过验证的用户个人设备发送接口式验证码的双因素身份认证请求；区分共享账户下各个工作用户操作的辅助身份验证；利用依托人工智能进行的用户行为分析模块比较用户实时行为与基线行为配置文件的差距，监测并预警用户账户泄露的风险。
3 问题与挑战
基于行为特征的连续认证是一个新兴的范式，面临许多挑战。首先，基于行为生物特征识别技术的连续认证的性能可能受到场景和应用的影响。例如，酒精、情绪和负重可能会影响人的步态，此外，在移动智能终端设备中，触屏效果对屏幕尺寸和目标应用程序也非常敏感。如何排除各种对用户行为有影响的情况，对于基于行为特征的认证系统的鲁棒性至关重要。除去影响用户行为的因素（如触摸屏设备的大小与目标应用程序不同）之外，用户的行为也会随着时间的推移而改变。触摸屏的打字模式是动态的，受到健康状况的影响。在基于触摸屏的认证中，不同时间段同一用户的滑动特征也会发生变化。然而，什么样的行为模式可以作为可持续身份认证系统的行为生物特征识别技术还没有确切的结论。因此，应当开展基础研究，评估行为特征的动态变化对连续认证的影响，并提出与行为演变相适应的动态解决方案。
随着人工智能方法的快速发展，大规模训练测试数据集被挖掘，机器学习和深度学习得到更广泛的应用。然而，在可持续身份认证技术中，现有的研究采用的只是少量人群采集到的较少数据集，这些基于倾斜分布数据集的训练模型在实际应用中难以保证稳定性。由于用户在不同物联网设备中的偏好明显不同，从不同物联网设备收集的交互记录也不同。迁移学习很有希望将基于一个源设备上收集的行为记录的训练模型转移到目标设备上。
在实际应用中，智能手机、智能手表、平板等移动智能终端设备受到资源限制，内存、电源和计算能力都有限。由于系统开销太大，深度学习模型可能在资源受限的移动智能终端设备上不能很好地工作。因此，深度学习模型的压缩也是一个重要的问题，现有的降低深度神经网络复杂性的方法包括张量分解、剪枝、参数共享和边缘计算。尽管已经有许多算法和方法被提出并在实验室中得到验证，但在实际应用中的效果仍然需要进一步验证。因为，实际应用中的场景更加复杂多变，设备之间的差异也很大。因此，需要更多的实际测试和验证，以确保深度学习模型在资源受限的移动智能终端设备上能够良好地工作。
4 结束语
本文对智能手机的身份认证进行了全面调查，研究了接口式身份认证和持续身份认证两类方法及其详细的分类，讨论了两类方法的数据采集、系统架构和认证性能，介绍了持续身份认证在当前产业界的应用和发展情况，并分析了持续身份认证面临的挑战及未来研究方向。
在当前产业界，持续身份认证已经得到广泛应用，并取得了一些成果，但也面临用户隐私保护、安全性和认证可靠性等问题。解决这些问题有待进一步的研究和创新。首先，需要开展更多的实证研究，评估不同身份认证方法的效果和可行性。其次，可以结合生物特征、行为特征和环境特征，提高认证的准确性和可靠性。再次，可以研究隐私保护技术，确保用户的个人信息在身份认证过程中得到充分保护。总之，只要产业界持续努力、加强合作，就能不断提升持续身份认证的安全性和用户满意度，为智能手机的更广泛应用提供坚实的基础。
Continuous identity authentication of mobile intelligent terminal users via interactive behavior
SONG Tianle1, LIN Chenhao1, GAO Shuxin1, ZHAO Junyi2, ZHOU Yajie1, JI Yingshuai3, YANG Minghui4, SHEN Chao1
(1. School of Cyber Science and Engineering, Xi’an Jiaotong University, Xi’an 710049, China；
2. School of Information and Communications Engineering, Xi’an Jiaotong University, Xi’an 710049, China；
3. School of Automation Science and Engineering, Xi’an Jiaotong University, Xi’an 710049, China；
4. Guangdong OPPO Mobile Telecommunications Co., Ltd., Dongguan 523860, China)
Abstract: With the development and popularization of mobile intelligent terminals, more and more users are performing activities such as payment, transfer, and storing personal information on mobile terminals, including smartphones and tablets. In order to improve the security and convenience for users to use mobile intelligent terminals, the current development of mobile intelligent terminal identity authentication tends to be continuous authentication. Firstly, the existing identity authentication work based on mobile intelligent terminal is reviewed. Secondly, the current mainstream performance evaluation indicators and industry applications are organized. Finally, a summary and a discussion are conducted on the urgent issues and development trends of continuous identity authentication in mobile intelligent terminals.
Keywords: mobile intelligent terminal；continuous authentication；performance evaluation index
本文刊于《信息通信技术与政策》2024年 第1期
主办：中国信息通信研究院
《信息通信技术与政策》是工业和信息化部主管、中国信息通信研究院主办的专业学术期刊。本刊定位于“ 信息通信技术前沿的风向标，信息社会政策探究的思想库 ”，聚焦信息通信领域技术趋势、公共政策、 国家/产业/企业战略，发布前沿研究成果、焦点问题分析、热点政策解读等，推动5G、工业互联网、数字经济、人工智能、区块链、大数据、云计算等技术产业的创新与发展，引导国家技术战略选择与产业政策制定，搭建产、学、研、用的高端学术交流平台。
为进一步提高期刊信息化建设水平，为广大学者提供更优质的服务，我刊官方网站已正式投入运行，欢迎投稿！
推荐阅读
专题丨生成式人工智能对个人信息安全的挑战及应对策略
专题丨个人信息流转安全合规探索
专题丨欧盟《数据法案》的规范要旨与制度启示：以个人信息保护为视角
导读：个人信息保护
《信息通信技术与政策》2024年第50卷第1期目次及摘要
你“在看”我吗？