指纹识别技术在中国银行柜员身份认证中的应用

2.5.5　指纹识别技术在中国银行柜员身份认证中的应用

1.概述

随着我国金融事业的迅猛发展，各银行业务蒸蒸日上。但是至今为止，银行系统依然沿用通过用户ID和操作密码的方式进行柜员、主管授权以及其他人员的身份认证和访问控制。实际上，这种方案隐含着一些问题，例如:

(1)密码易被忘记。

如果操作人员忘记了密码，就不能进行身份认证，当然也可以通过系统管理员重新设定密码来重新开始工作，但是一旦系统管理员忘记了自己的密码，也许整个系统只有重新安装后才能工作。

(2)密码易被盗取。

实际上，密码的盗取比较容易，别人只要留意操作者在键盘前输入口令时的击键动作，就可以知道密码，而密码被盗是一件非常可怕的事情，冒名作案、窃取机密等事件难以追踪。

(3)修改密码，增加了操作人员记忆负担，也增加了忘记密码的可能性。

尽管现行系统通过要求操作人员及时改变他们的密码来防止盗用密码行为，但这种方法不但增加了操作人员的记忆负担，也增加了忘记密码的可能性，无法从根本上解决问题。

这些问题其结果导致密码容易泄露或者丢失，使银行的系统存在很大的安全漏洞，后果不堪设想。近年来，由于工作人员盗用他人密码，伪装身份访问超过自身权限的系统，非法窃取和挪用资金的案件层出不穷。

考虑到安全性和事后稽核，银行综合业务系统都要求柜员在进行业务操作之前必须进行签到和身份认证，并且针对不同等级的柜员，对其操作权限的限定也各不相同，柜员在进行高权限要求交易时必须经过上级主管授权，同时银行还严格要求柜员在离开台面前(包括临时离开)必须做签退操作。这样的规定提高了系统的安全性，但频繁签到、签退的密码输入却增加了密码失窃的几率，同时还增加了柜员操作的复杂度。由于敲入密码操作的繁琐，导致许多柜员在临时离柜时不愿意签退终端。

部分银行考虑到键盘敲入密码容易泄露及操作较繁琐，将ID和密码均写入磁卡或IC卡，通过刷卡进行签到认证。而采取刷卡方式进行身份认证，虽能消除键盘敲入密码方式的密码容易泄露及操作较为繁琐的痼疾，但又存在卡易遗失和不易管理的新问题。同时，磁卡容易被仿造，而IC卡虽然较难仿造，但其最大缺陷是系统无法辨别操作者所刷卡是否属于他自己，容易被人盗用。有些操作人员为了贪图方便，常常把自己的身份认证用的磁卡或IC卡交由他人，由他人代为操作，这种违规行为给银行业务系统带来了极大的安全隐患，也给管理带来了极大的混乱。

如何加强银行内部人员的管理和安全控制，消除现行银行系统这一方面的安全隐患，减少内部人员金融犯罪的发生，完善安全防范工作，这是每个银行都迫切需要解决的问题。同时，随着社会的进步和技术的发展，人们对身份识别的可靠性和准确性要求越来越高，传统的密码身份识别方法，由于其不可克服的缺点，已难以满足新形势的需要。

为解决上述问题，针对银行业务系统的柜员身份认证提出了一套基于指纹采集比对设备的指纹身份认证系统，充分考虑了简单、经济、高效、独立、适应性强、方便扩充等各方面的要求，提供了多种身份认证模式，可满足不同银行各种业务系统的柜员认证需求。采用基于指纹身份认证系统建立的银行柜员身份认证系统能完全解决现有柜员认证模式的缺陷。采用指纹替代密码，不但免去了记密码的麻烦，而且消除了密码易泄露的隐患，同时也省去了柜员敲入密码的繁琐，同时它还不会被盗用、不易仿造，且容易管理。

2.主要实现方式简介

考虑到不同银行的不同需求，提供了多种实现方式。

(1)前台比对仿真方式。

在此方式下，银行需在有人事管理权限的分、支行配置柜员指纹IC卡发卡系统，另需在网点柜员终端端末添加指纹采集比对设备。而对于银行的业务系统则不需做任何改动，系统的柜员认证仍采用原有的ID加密码或刷卡的身份认证方式。柜员上岗前需通过指纹IC卡发卡系统采集指纹，生成柜员指纹IC卡。IC卡上加密保存着柜员的指纹特征码、IC卡编号、柜员ID号和密码。此方式指纹存储方式采用分散存储的模式，其系统网络拓扑示意图如图2-50所示。

在系统进行柜员身份认证时，柜员不用输入密码或刷磁卡，而是将柜员IC卡插入指纹采集比对设备的IC卡插槽，然后按下手指进行指纹录入。指纹采集比对设备首先将IC卡上数据读入并进行解密还原，同时将从指纹采集模块读入的指纹数据与IC卡上解密还原的指纹特征码进行对比验证。若指纹对比验证成功，指纹采集比对设备将IC上解密还原的柜员ID和密码仿真为键盘或磁条读写器的上传信息传送给终端，通过银行系统原有的身份认证和权限管理系统完成身份认证流程。

采取这种方式的最大优点是银行方面不需对原有系统做任何改动，只需在终端前增加指纹采集比对设备即可，实施非常简单方便，投资也最小。但采用这种方式存在着兼容性差、管理不便、功能固定、应用不能扩展和可采用其他设备仿真的缺陷，同时IC卡还存在丢失或被解密仿制的可能。

图2-50　银行指纹识别系统

(2)前台比对独立方式。

在此方式下，银行需在有人事管理权限的分、支行配置柜员指纹IC卡发卡系统，另需在网点柜员终端端末添加指纹采集比对设备。而对于银行的业务系统则需对终端程序稍做改动，需增加指纹认证的柜员认证方式。柜员上岗前需通过指纹IC卡发卡系统采集指纹，生成柜员指纹IC卡。IC卡上加密保存着柜员的指纹特征码、IC卡编号和柜员ID号。此种指纹存储方式多采用分散存储的模式，其系统网络拓扑示意图如图2-51所示。

在安装系统进行柜员签到及认证时，选择通过指纹进行认证。在进行柜员身份认证时，柜员输入ID、插入IC卡，并按下手指进行指纹录入。指纹采集比对设备首先从终端接收柜员ID号，同时将IC卡上数据读入并进行解密还原；然后将从终端接收的ID与IC卡上解密还原的ID以及指纹采集模块读入的指纹数据与IC卡上解密还原的指纹特征码进行对比验证；最后将验证结果发送回柜员终端，完成柜员身份认证和权限管理的流程。

图2-51　银行指纹识别系统

采取这种方式的最大优点是银行方面对原有系统的改动非常小，只牵涉终端的柜员认证部分，对主机系统不需做任何改动。同时，银行业务系统的身份认证已是采用指纹身份认证，它消除了方式一的可采用其他设备仿真的缺陷。但由于IC的使用，还存在IC卡可能丢失、被解密仿制的缺陷，且系统功能固定，兼容性差，不易扩展，管理不方便。

在此方式下，若指纹存储方式采用集中存储的模式，则不需使用IC卡，指纹模板数据保存在指纹数据库中。进行柜员认证时，系统先将数据库中该柜员的指纹模板数据下传到指纹采集比对设备，由指纹采集比对设备将其与采集模块录入的指纹特征值进行比对验证，然后将验证结果发送回柜员终端，完成柜员身份认证和权限管理的流程。这免去了IC卡丢失、被解密仿制的可能，同时一定程度上提高了系统的兼容性，柜员和指纹数据的管理较为方便，但增加了柜员认证的时间和网络的数据流量。

(3)后台比对前置机方式。

在此方式下，银行需在有人事管理权限的分、支行配置一台指纹身份认证管理前置机运行指纹身份认证管理系统。考虑到节约投资和方便管理，也可共用银行原有其他中间业务系统的前置机。指纹身份认证管理系统主要负责银行柜员身份、权限的管理以及指纹的采集、保存和管理。同时，还需在网点柜员终端端末添加指纹采集比对设备。对于银行的业务系统则需做调整改动，系统将与指纹身份认证管理系统建立连接，柜员认证将由指纹身份认证管理系统完成，而不采取传统的ID加密码的身份认证方式。银行柜员在上岗前需通过指纹身份认证管理系统采集指纹数据，生成柜员指纹模板并保存在指纹身份认证管理系统的指纹数据库中。此方式系统网络拓扑示意图如图2-52所示。

图2-52　银行指纹识别系统

在系统进行柜员身份认证时，柜员不用输入密码或刷卡，而是输入柜员ID后，直接按下手指进行指纹录入。指纹采集比对设备将从指纹采集模块读入的指纹数据上传到指纹身份认证管理前置机，由指纹身份认证管理系统将上传指纹数据与柜员保存在指纹数据库中的指纹模板进行比对验证，完成比对验证后将结果传送到银行综合业务系统主机完成柜员身份认证和权限管理的流程。

指纹身份认证系统对柜员指纹模板的采集录入可以集中在分、支行的中心进行，也可以通过中心授权，由网点主管在网点终端操作进行柜员指纹模板采集录入。采集的指纹模板数据均保存在指纹身份认证管理前置机的指纹数据库中。

采取这种方式，因不使用IC卡，消除了IC卡可能丢失和被解密仿制的缺陷。由于在中心前置机上进行指纹模板的统一管理和进行指纹认证比对，系统的安全性将得到更高的保障。同时，由于指纹模板采集方式的灵活性，使得新柜员不用集中到中心进行指纹模板的录入，并且方便了系统应用的扩展，如:可以方便推广到储户利用指纹替代密码进行存取款的业务等。

除了上述优点外，采用本方法也存在一些缺点，首先是需对银行原业务系统进行改动，除了终端系统要进行相应变动外，主机系统也要做修改，需建立主机系统与指纹身份认证管理系统的接口和增加对应的处理程序。其次，由于指纹身份认证管理系统与银行业务系统是分离独立运行，这样虽然对原有业务系统变动最小，但在进行新业务应用时均需对系统重新进行修改，推广使用不太方便。再就是，柜员指纹模板是保存在分、支行各自的前置机上，虽然这比前两种方式较易对柜员进行管理，但仍无法方便地实现跨分、支行进行柜员的统一管理。最后是，系统兼容性较差，在多家产品同时使用时，同一柜员必须保存适合各个厂家的指纹模板，系统不但要安装各个厂家的驱动，还需安装各个厂家的指纹识别算法。系统非常复杂，改动非常大。

在此方式下，若将指纹比对工作交由指纹采集比对设备完成，则在采用网点录入指纹模板时，对采用多家厂家产品的系统将大大简化。其柜员认证流程是:系统先将数据库中该柜员的指纹模板数据下传到指纹采集比对设备，由指纹采集比对设备将其与采集模块录入的指纹特征值进行比对验证，然后将验证结果发送回柜员终端，完成柜员身份认证和权限管理的流程。这样虽然改善了系统的兼容性，但增加了柜员认证的时间和网络的数据流量，降低了系统的安全性。

(4)后台比对主机方式。

在此方式下，银行需对业务系统进行改动，将指纹认证管理系统嵌入银行原业务系统中，运行在银行业务主机系统上，而柜员指纹模板则保存在业务系统的原有数据库中。硬件方面，不需另外配置前置机，只需在网点柜员终端端末添加指纹采集比对设备。银行柜员在上岗前需通过业务系统指纹身份认证管理模块采集指纹数据，生成柜员指纹模板并保存在数据库中。

在系统进行身份认证时，操作人员(可以是银行柜员、主管，也可以是银行储户)不用输入密码或刷卡，而是输入ID号，同时直接按下手指进行指纹录入。指纹采集比对设备将从指纹采集模块读入的指纹数据通过网点终端，经银行业务网络上传到主机系统，由银行业务系统指纹身份认证模块将上传指纹数据与保存在数据库中的指纹模板进行比对验证，完成相应的身份认证和权限管理的流程。

同样，对操作人员的指纹模板的采集录入可以集中在分、支行的中心进行，也可以通过中心授权，由网点主管在网点终端操作进行操作人员的指纹模板采集录入。采集的指纹模板数据均保存在中心的数据库中。

采取这种方式，除了具有方式三的各种优点外，其最大的特点是，系统可以方便实现全辖操作人员指纹的统一管理和维护，方便指纹身份认证系统在银行的其他业务中的推广。但是，采用这种方式，对银行原有业务系统的改动是最大的，且改动后系统的升级更新工作将非常庞大和繁琐。同样，系统的兼容性较差，在多家产品同时使用时，系统将变得非常复杂。可以采用将指纹比对工作交由指纹采集比对设备完成的方式来改善系统的兼容性，但会增加柜员认证的时间和网络的数据流量，降低系统的安全性。

(5)移动指纹令牌方式。

在此方式下，银行无须对业务系统进行改动，只需将移动指纹令牌主机端加密算法函数库嵌入银行原业务系统中，运行在银行业务主机系统上即可。另外还需建立一套令牌发放管理系统，负责为每位有权限的银行职员生成和发放柜员令牌。令牌不但包含了ID等柜员信息，还包含一个与主机对应的加密算法函数库。同时，令牌上安装了指纹采集比对模块，柜员在使用令牌时必须通过指纹验证才能调用加密算法函数进行校验码计算。此方式系统网络拓扑示意图如图2-53所示。

在系统进行身份认证时，操作人员(可以是银行柜员、主管，也可以是银行储户)不用输入密码或刷卡，而是通过主机获取校验码，柜员将校验码输入移动令牌并录入指纹，指纹验证通过后会将校验码经过加密函数计算并显示计算结果，柜员将结果输入终端与主机计算的校验结果对比，完成相应的身份认证和权限管理的流程。

采取这种方式，其最大的特点是身份验证设备与银行业务系统无物理连接，是移动验证设备，这非常适合银行集中授权管理的应用。

(6)系统具体实施方案选择。

图2-53　网络拓扑示意图

广东省中行综合业务系统的柜员前端系统使用的是OFP系统，OFP系统提供手工输入ID及密码签到和刷磁卡签到两种柜员签到方式供选择；而授权则必须使用刷卡方式。目前，广东省中行柜员签到时基本都是采用刷卡方式进行签到，以防止柜员密码泄露。

加强柜员管理，提高综合业务系统的安全性，解决OFP系统原柜员签到和授权的操作流程中存在的各种问题，减少因柜员操作不规范、密码失窃等引发的经济案件的发生，降低金融风险，这已成为各金融机构关注的重点，中总行也在积极寻求解决方法。在这方面广东省中行走在全国金融机构的前面，许多分、支行均已提出柜员签到及授权的指纹身份认证的需求。

若采用指纹身份认证，在中行综合业务系统OFP终端的硬件配置方案则可以有以下两种方式:一是不改变原有终端设备，直接在柜员终端添加指纹录入设备，这样的优点是保留了银行前期对键盘、磁卡读写器、IC卡读写器等设备的投资，同时满足利用指纹识别技术对柜员进行安全有效管理的要求；二是在柜员终端利用集键盘输入、磁条读写、IC卡读写、指纹识别等功能于一身的LKE2280指纹金卡键盘，替代原有的键盘、磁条读写器、IC卡读写器，这样配置的优点是更好地规范了柜员的桌面空间，有效减少外挂终端设备的数量，又提高了设备操作的安全可靠性，同时也是非常经济的投资方式。根据广东省中行的特殊情况，我们建议广东省中行在对现有系统进行相应的改造时，采取为每台终端增配一台指纹采集录入设备的硬件配置方案，采用指纹柜员身份认证系统对柜员签到和主管授权的操作进行身份认证。

由于综合业务的OFP终端系统是由总行统筹、修改，必须由总行统一规划，牵涉部门多，修改时间周期非常长。因此，要在广东省中行实施指纹柜员身份认证，首要考虑的因素是不能对原综合业务系统有任何的改动。根据广东省中行的实际情况，一方面考虑到尽快改善综合业务系统柜员签到及授权流程中出现的安全隐患问题，另一方面考虑到尽可能减少投资，降低系统实施的复杂程度，我们建议采用前台比对仿真方式(方式一)来实现柜员签到及授权等操作流程的身份认证。

广东省中行OFP终端是使用PC机进行仿真，其外设连接方式如图2-54所示，扩展盒通过PS/2取电，其HOST口连接到PC的串口COM-1上，存折打印机连接到扩展盒的C口，而密码键盘4778和磁条读写器4777则通过一条三通电缆连接到扩展盒的M口上。银行员工在上岗前会由主管部门在柜员管理的OFP终端上生成该员工的柜员磁卡。系统签到可选择通过键盘输入ID和密码签到或选择使用磁卡签到，若选择刷卡签到，则在开机进入签到画面后选择磁卡签到，然后在4777上刷柜员磁卡，完成系统签到流程。同时柜员可通过OFP终端修改密码交易并在4777上重写柜员磁卡来完成对签到密码的修改。

图2-54　广东省中行OFP终端

若采用前台比对仿真方式来实现柜员签到或授权的指纹身份认证，只需将指纹录入设备接入扩展盒的D口，并对扩展盒的软件进行升级即可，其连接示意图如图2-55所示。

图2-55　广东省中行OFP终端

在此方式下，银行员工在上岗前先由主管部门在柜员管理的OFP终端上生成该员工的柜员磁卡，然后通过指纹IC卡管理发放系统录入指纹，并用柜员磁卡生成该柜员的指纹IC卡。该IC卡上加密保存着柜员的指纹特征码、IC卡编号、柜员ID号和密码等数据。柜员在终端操作时选择刷卡签到，在进入签到画面后，软件升级后的扩展盒将身份确认的读磁卡指令转发到D口上的指纹录入设备；同时，柜员将IC卡插入指纹录入设备的IC卡插槽，然后按下手指进行指纹录入。指纹录入设备接收到相应指令后，首先将IC卡上数据读入并进行解密还原，并将从指纹采集模块读入的指纹数据与IC卡上解密还原的指纹特征码进行比对验证。若指纹比对验证成功，指纹录入设备将IC卡上解密还原的柜员ID和密码仿真为4777传送数据通过扩展盒传送给OFP终端，通过OFP系统的原有身份认证和权限管理系统完成身份认证流程。柜员若要修改密码，仍是通过OFP原修改密码交易来完成，只是此时是写IC卡而不是写磁卡。

采取这种方式的最大优点是中行方面不需对原有系统做任何改动，只需在终端前增加指纹录入设备即可，实施非常方便简单。若不采用仿真模式，则需对中行综合业务系统进行相应的改造，这样牵涉部门较多，实施难度大，需要时间长，但系统将更灵活、更安全。