← 返回首页

研究

问题 01

怎样让普通人变成随机数生成器?

每次注册一个新账号,我们都需要设置一个随机的密码。计算机拥有专门的软硬件来生成足够随机的数字,但人类恰恰最不擅长这件事。大量统计研究已经证明,人们自行设置的密码往往存在明显规律,安全性远低于预期。

设想一下,如果只需要握着手机,完成几个简单的手势动作,就能生成一个安全密码,是不是会方便得多?

我的思路是为用户设计一套“出题规则”:跟随一组经过精心设计的提示音(通常称为 Earcons),完成几个简单的敲击动作。通过规则与声音的共同引导,将人的行为扰动得足够随机,从而生成高熵密码。这样一来,用户无需了解密码学原理,也能轻松生成一个别人几乎无法猜中的秘密。

不同情绪反馈对应的提示音,听听看。
问题 02

怎么安全配对你的心脏起搏器?

你知道吗?如今的心脏起搏器(以及胰岛素泵等植入式医疗设备)已经普遍支持无线连接。医生即使远隔千里,也能读取患者数据,并远程调整设备参数。

这种方式固然方便,却也带来了新的安全挑战。起搏器没有屏幕、没有按键,而且电池需要维持数年甚至十年以上,因此输入密码、扫描二维码等传统认证方式都难以实现。一旦无线连接缺乏有效保护,攻击者便可能趁机接入设备:轻则窃取患者健康数据,重则篡改设备参数,甚至危及患者生命。

我的方案是把手势作为“钥匙”。患者只需握住手机,完成几个特定动作,手机和起搏器便会分别记录这些动作产生的信号,并据此生成一致的认证信息。双方完成比对后,即可建立可信连接。整个过程无需额外硬件,患者也无需了解任何密码学知识,就能在享受无线医疗便利的同时,更好地保障设备安全和个人隐私。

配对协议时序图:外部设备与植入式医疗设备通过体动测量与 PAKE 建立密钥
我所设计的配对协议。
向中国教育部长怀院士现场展示研究原型
小插曲:该研究曾向中国教育部长怀院士展示,并获得好评。

想了解更多可参考 OOBKeyVibKeyFuzzyKey