CN101645775A

CN101645775A - 基于空中下载的动态口令身份认证系统

Info

Publication number: CN101645775A
Application number: CN200810135215A
Authority: CN
Inventors: 谢德育; 原泉; 傅蓉蓉
Original assignee: Beijing Lingchuang Kexin Technology Co Ltd
Current assignee: Beijing Lingchuang Kexin Technology Co Ltd
Priority date: 2008-08-05
Filing date: 2008-08-05
Publication date: 2010-02-10

Abstract

本发明公开一种实现基于空中下载的动态口令身份认证系统，采用了挑战/应答方式的非同步认证技术，用户无需携带额外的认证设备，只要将令牌程序通过应用程序空中下载的方式下载到用户的身份识别卡上，即可形成令牌进行身份认证，在身份认证时，用户在令牌中输入认证服务器产生的挑战码，密码算法结合该挑战码产生动态口令；认证服务器按相同的算法也产生一个动态口令，当接收到用户输入的动态口令时，两者进行对比，一致则用户通过身份认证，此技术有效地提高了身份认证的安全性和便捷性。

Description

基于空中下载的动态口令身份认证系统

技术领域

本发明涉及安全认证技术，特别是指一种基于空中下载的动态口令身份认证系统。

背景技术

计算机网络中，最简单、最常见的身份认证方式是采用用户名和口令，通过对用户名和口令的匹配来确认用户的合法性，实现对用户的访问控制。可是，通过用户名和口令进行身份认证的方式，存在用户名、口令泄露的风险，给用户和应用系统造成了巨大的安全隐患。因此，动态口令身份认证越来越受到青睐。

目前，动态口令身份认证普遍应用在互联网、企业内网、虚拟专网、银行、证券、电子商务、电子政务、网络游戏中，已有成千上万的用户在使用着各式各样的口令令牌，其中包括软件令牌、电子令牌、智能身份识别卡令牌、USB令牌、动态口令点卡等。但是，这些令牌在使用过程中的安全性和便捷性都有待提高，例如：电子令牌由于其物理特性，造成其成本高、易损坏、易丢失、携带不便，在用户拥有多个令牌的情况下使用和携带更是不方便；软件令牌需要计算机或者网络承载，不方便使用和携带，并且由于没有脱离计算机网络，更易泄漏或遭到攻击，安全性较低；动态口令点卡是一种纸质口令卡(俗称刮刮卡)，这种卡存在有效期和使用次数的限制，发行量大消耗了很多的资源，而且易损坏、易丢失。现有令牌的诸多缺点，不仅对用户的使用造成不便，而且成本和资源消耗代价高昂，更重要的是导致令牌的推广使用难度增大。因此，提高身份认证的安全性和认证令牌使用的便捷性，是目前动态口令身份认证技术推广普及所急需解决的问题。

发明内容

有鉴于此，本发明提出一种基于空中下载的动态口令身份认证系统，更安全便捷的对用户的身份进行认证。

基于上述目的，本发明提出一种动态口令身份认证方法，包括：

在进行身份认证时，认证代理向认证服务器提出动态口令身份认证请求；

认证服务器生成挑战码，传送给认证代理；认证服务器调用密码算法生成动态口令A；

认证代理将挑战码发送给客户终端；客户终端显示挑战码，并要求用户输入动态口令进行认证；

用户在令牌上输入挑战码，调用同样的密码算法生成动态口令B；

用户将动态口令B输入到客户终端，并由认证代理传送给认证服务器；

认证服务器将动态口令B与动态口令A进行对比，一致则用户身份认证成功，否则用户身份认证失败。

所述的认证代理是应用服务器端的安全软件，它要求用户在访问应用服务器资源时，需通过动态口令身份认证。

所述的动态口令身份认证采用的是挑战\应答式的非同步动态口令认证机制。

所述的挑战\应答式的非同步动态口令认证机制的变动因子是一串随机数字序列，即挑战码。

所述的动态口令的计算需要结合挑战码、个人化密钥和其他个人信息。

所述的个人化密钥为一串随机数字序列，由认证服务器产生并与令牌唯一对应；由认证服务器加密存储于数据库中，并通过打印数字信封发放给用户；由用户在初次使用或更新时输入到令牌中。

所述的个人信息包括用户的账号、手机号和令牌的序列号。

所述的令牌为用户的身份识别卡。

所述的身份识别卡可为第二代无线通信网络中的SIM卡，第三代无线通信网络中的USIM卡，JAVA卡或者未来新型大容量存储卡。

所述的令牌可包含多个，每个令牌可包含一个或多个子令牌，每个子令牌对应一个用户账号。

所述的令牌在产生动态口令之前还包括：提示用户输入PIN码，PIN正确则启动令牌；提示输入挑战码，验证挑战码的合法性。

基于上述目的，本发明还提供了一种动态口令身份认证系统，包括：

身份识别卡令牌为用户持有的动态口令生成设备，用来生成动态口令；

认证代理，应用服务器端动态口令身份认证的安全软件，用来控制应用服务器终端与认证服务器之间数据传输，并且管理用户令牌的相关信息；

认证服务器，通过网络与各应用服务器相连接，集中控制所有用户对应用服务器资源的访问权限，并提供认证、授权和审计等服务。

所述的身份识别卡令牌使用手机作为令牌的输入输出设备，并通过应用程序空中下载方式将令牌程序推送(PUSH)到用户的身份识别卡上，从而形成认证令牌。

从上面所述可以看出，本发明与市场上已有的系统相比，最大的优势在于：一方面，无需用户额外增加新的设备，方便用户使用和产品推广；另一方面，基于密码的设计使得产品安全性高于已有的产品。

附图说明

图1为本发明实施例基于空中下载的动态口令身份认证系统的结构示意图；

图2为本发明实施例通过空中下载方式下载令牌程序的流程图；

图3为本发明实施例基于空中下载的动态口令身份认证系统的功能模块示意图；

图4为本发明实施例基于空中下载的动态口令身份认证流程示意图。

具体实施方式

下面参照附图对本发明进行更全面地描述，其中说明本发明的示例性实施例。

一.基于空中下载的动态口令身份认证系统的结构组成说明：

如图1所示，是本发明实施例基于空中下载的动态口令身份认证系统的结构示意图，主要包括：身份识别卡令牌100，认证代理104和认证服务器105三部分。

1.身份识别卡令牌100：

本发明通过应用程序空中下载方式，将令牌程序主动推送(PUSH)到用户的身份识别卡上，从而形成身份识别卡令牌。

如图2所示为本发明通过空中下载方式下载令牌程序的流程图。

第一步：当用户向服务商提出令牌服务申请后，空中下载服务器201准备向用户手机204推送令牌程序。

第二步：空中下载服务器201将数据库200中的令牌程序发送给网关202，网关202再通过无线通信网络203将令牌程序下发到用户的身份识别卡上。

第三步：用户的身份识别卡接收推送过来的令牌程序，存储并组织成相应的人机交互界面，即完成了下载令牌程序的过程。

2.客户终端102：

可以是PC机，手持设备(如手机、PDA)，ATM机等，用户101通过客户终端102向应用服务器103发出访问请求，客户终端102提供友好的交互界面提示用户101输入相应的信息。认证代理104收到挑战码之后发送给客户终端102并显示在屏幕上，用户101在看到挑战码之后，将其输入自己的令牌生成动态口令。

3.认证代理104：

认证代理104是安装在应用服务器103上的安全软件，通过网络与认证服务器105和客户终端102进行通信。代理软件的管理平台由应用服务商的客服人员进行操作。

在应用服务器103上还连接着一个硬件加密机，用于对认证代理104上发的数据进行加密，对认证服务器105下发的数据进行解密。

4.认证服务器105：

认证服务器105与各应用服务器103位于同一网络中，认证服务器105上安装有服务器软件和相应数据库，通过网络与认证代理104进行通信。

同时认证服务器105上还连接着硬件加密机和专用打印机。硬件加密机用于产生随机数，并对认证服务器105产生和下发的数据进行加密，以及对认证代理104上传的数据进行解密。专用打印机用于打印数字信封(内装认证服务器分发的令牌所对应的个人化密钥)。

二.基于空中下载的动态口令身份认证系统的功能模块说明：

如图3所示，是本发明实施例基于空中下载的动态口令身份认证系统的功能模块30的示意图，由图可见，其主要包括三个模块：身份识别卡令牌模块31、认证代理模块32、认证服务器33模块。

1.身份识别卡令牌模块31

由令牌个人化311、用户PIN检验312、动态口令生成313、PIN修改314、令牌个性化管理315五个部分组成。

令牌个人化311：用户输入系统生成的个人化密钥，令牌将个人化密钥写到用户身份识别卡上的相应存储区内，实现认证令牌的个人化功能。

用户PIN检验312：控制令牌的使用权限，用户输入PIN与卡内存储的PIN进行比对，相同则允许使用令牌。

动态口令生成313：用户输入系统生成的随机挑战码，模块调用密码算法结合挑战码、个人化密钥和相关参数产生动态口令B。

PIN修改314：支持用户完成对PIN码的修改。

令牌个性化管理315：当用户拥有多个子令牌时，可对子令牌的名称进行个性化设置。

2.认证代理模块32

由数据转发321、数据加\解密322、管理功能323三个部分组成。

数据转发模块321：用户请求接入应用服务器时，代理向认证服务器发送动态口令认证请求；认证服务器认证完成后，代理向应用服务器下发认证结果。

数据加\解密模块322：对认证服务器下发的数据进行解密运算，对用户输入的数据进行加密运算。

管理模块323：录入用户令牌的注册相关信息，为用户分发对应的数字信封，并将所有信息上传到认证服务器；为用户提供令牌的注册信息、开通信息和使用状况等信息的查询。

3.认证服务器模块33

由随机数生成331、动态口令生成332、动态口令对比333、数据加\解密334、密钥管理335、管理功能336六个部分组成。

随机数生成331：认证服务器分发令牌时，会生成与令牌唯一对应的随机数密钥；认证服务器在响应认证代理的请求后生成随机的挑战数。这些随机数均由硬件加密机生成。

动态口令生成332：调用密码算法，并结合挑战码、个人化密钥和相关参数产生动态口令A。

动态口令对比333：将动态口令A与动态口令B进行对比，相同则用户通过身份认证，返回确定信息给代理；否则用户身份认证失败，返回错误信息给代理，要求用户重新认证；认证连续失败三次，返回拒绝信息。

数据加\解密334：对认证服务器产生和下发的数据进行加密运算，对认证代理上传的数据进行解密运算。

密钥管理335：将硬件加密机生成的个人化密钥存储到数据库中；为用户打印数字信封(内装个人化密钥)，并分发给认证代理；销毁已注销的令牌个人化密钥数据。

管理功能336：管理个人化密钥的发放、令牌的注册和注销；允许认证服务器管理员手动开通、停止、注销和变更用户的令牌服务；管理认证服务器端数据库，包括与令牌对应的账户、手机号、令牌序列号等参数，以及个人化密钥、令牌的开通使用情况、用户认证过程中的操作及认证信息等，并提供查询。

三.基于空中下载的动态口令身份认证系统的工作原理说明：

本发明采用挑战/应答方式的非同步认证技术。

基于挑战/应答的非同步认证技术，其基本原理为：当用户请求访问应用服务器时，认证服务器产生一个挑战码(通常是随机数)发送给用户；用户端将密钥，挑战码及其他信息作为密码算法的参数，进行运算，得到的结果(即应答数)作为动态口令发送给认证服务器。认证服务器用同样的密码算法生成动态口令作对比即可验证用户身份。身份认证过程为：

(1)用户请求认证服务器进行动态口令身份认证。

(2)认证服务器产生挑战码并传送给用户。

(3)用户根据密钥，挑战码及其他信息，执行密码算法，生成动态口令并发送到认证服务器。

(4)认证服务器执行同样的算法也生成一个动态口令，并与用户发来的动态口令进行比对，一致则用户身份认证成功，否则用户身份认证失败。

由于是认证服务器产生挑战码，用户通过令牌并结合挑战码计算作应答，无须进行同步，有效地解决了令牌失步的问题，安全性和可靠性较高。

四.基于空中下载的动态口令身份认证系统的工作流程的说明：

当令牌个人化成功后，用户就可以使用令牌进行身份认证了。如图4所示为本发明实施例基于空中下载的动态口令身份认证系统的工作流程图，由图可见认证主要包括以下步骤：

步骤400：用户在客户终端输入账号、静态口令，客户终端再上发给应用服务器认证代理，请求接入应用服务器；

步骤401：认证代理上发用户帐号请求认证服务器对用户的身份进行认证；

步骤402：认证服务器通过数据库查询用户账号，确认用户已开通令牌，产生挑战码，并将挑战码传递给认证代理，同时结合挑战码生成动态口令A；

步骤403：认证代理将挑战码传递给客户终端；

步骤404：用户输入PIN，开启令牌功能；

步骤405：用户在令牌上输入挑战码，生成动态口令B，并输入客户终端的身份认证对话框传递给认证代理；

步骤406：认证代理通过网络将动态口令B发送给认证服务器；

步骤407，408：认证服务器将动态口令A与动态口令B进行比对，A等于B，则确认用户身份，应用服务器提供服务；

步骤407，409：认证服务器将动态口令A与动态口令B进行比对，A不等于B，则确认用户身份失败，然后判断失败次数是否已经达到三次，若未达到则返回步骤401；

步骤410：若已经失败三次，则应用服务器拒绝提供服务。

本发明有效的提高了身份认证的安全性和便捷性，免除了用户携带物理令牌(如刮刮卡等)的麻烦，适用于银行、政府、证券等安全要求比较高的场合。

以上结合较佳的实施例说明了本发明的技术方案，所应理解的是，对上述的实施例的各种修改或改变是可以预见的，不应当被视为超出了本发明的保护范围。因此，在本权利要求书的范围内，对本发明权利要求技术方案所作的任何修改、等同替换以及改进等，均应包含在本发明的保护范围之内。

Claims

1.一种动态口令身份认证方法，其特征在于，包括：

2.如权利要求1所述的方法，其特征在于所述的认证代理是应用服务器端的安全软件，它要求用户在访问应用服务器资源时，需通过动态口令身份认证。

3.如权利要求2所述的方法，其特征在于所述的动态口令身份认证采用的是挑战\应答式的非同步动态口令认证机制。

4.如权利要求3所述的方法，其特征在于所述的挑战\应答式的非同步动态口令认证机制的变动因子是一串随机数字序列，即挑战码。

5.如权利要求1所述的方法，其特征在于所述的动态口令的计算需要结合挑战码、个人化密钥和其他个人信息。

6.如权利要求5所述的方法，其特征在于所述的个人化密钥为一串随机数字序列，由认证服务器产生并与令牌唯一对应；由认证服务器加密存储于数据库中，并通过打印数字信封发放给用户；由用户在初次使用或更新时输入到令牌中。

7.如权利要求5所述的方法，其特征在于所述的个人信息包括用户的账号、手机号和令牌的序列号。

8.如权利要求1所述的方法，其特征在于所述的令牌为用户的身份识别卡。

9.如权利要求8所述的方法，其特征在于所述的身份识别卡可为第二代无线通信网络中的SIM卡，第三代无线通信网络中的USIM卡，JAVA卡或者未来新型大容量存储卡。

10.如权利要求1所述的方法，其特征在于所述的令牌可包含多个，每个令牌可包含一个或多个子令牌，每个子令牌对应一个用户账号。

11.如权利要求8至10任意一项所述的方法，其特征在于所述的令牌在产生动态口令之前还包括：提示用户输入PIN码，PIN正确则启动令牌；提示输入挑战码，验证挑战码的合法性。

12.一种动态口令身份认证系统，其特征在于，包括：

13.如权利要求12所述的系统，其特征在于身份识别卡令牌使用手机作为令牌的输入输出设备，并通过应用程序空中下载方式将令牌程序推送(PUSH)到用户的身份识别卡上，从而形成认证令牌。