USB Key身份认证系统的应用方式

USB Key身份认证系统的应用方式有以下两种：

1) 基于冲击-响应的双因子认证方式

当需要在网络上验证用户身份时，先由客户端向服务器发出一个验证请求。服务器接到此请求后生成一个随机数并通过网络传输给客户端（此为冲击）。客户端将收到的随机数通过USB接口提供给ePass，由ePass使用该随机数与存储在ePass中的密钥进行MD5-HMAC运算并得到一个结果作为认证证据传给服务器（此为响应）。与此同时，服务器也使用该随机数与存储在服务器数据库中的该客户密钥进行MD5-HMAC运算，如果服务器的运算结果与客户端传回的响应结果相同，则认为客户端是一个合法用户。

密钥运算分别在ePass硬件和服务器中运行，不出现在客户端内存中，也不在网络上传输，由于MD5-HMAC算法是一个不可逆的算法，就是说知道密钥和运算用随机数就可以得到运算结果，而知道随机数和运算结果却无法计算出密钥，从而保护了密钥的安全，也就保护了用户身份的安全。

2) 基于数字证书的认证方式

随着PKI技术日趋成熟，许多应用中开始使用数字证书进行身份认证与数字加密。数字证书是由权威公正的第三方机构即CA中心签发的，以数字证书为核心的加密技术，可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的机密性、完整性，以及交易实体身份的真实性，签名信息的不可否认性，从而保障网络应用的安全性。

PKI即公共密钥体系，即利用一对互相匹配的密钥进行加密、解密。每个用户拥有一个仅为本人所掌握的私有密钥（私钥），用它进行解密和签名；同时拥有一个公开密钥（公钥）用于文件发送者加密和接收者验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样，信息就可以安全无误地到达目的地了，即使被第三方截获，由于没有相应的私钥，也无法进行解密。

用户也可以采用自己的私钥对信息进行加密，接收者用发送者的公钥解密，由于私钥仅为用户本人所有，所以就能够确认该信息确实是由该用户发送的，此过程称之为数字签名。

USB Key作为数字证书的存储介质，可以保证数字证书不被复制，并可以实现所有数字证书的功能。