CN102186169A - 一种身份认证方法、装置及系统 - Google Patents

Abstract

本发明公开了一种身份认证方法、装置及系统，属于信息安全技术领域。所述方法包括：将个人身份认证信息绑定；根据第一认证因子和第一密钥生成第一动态口令，并将个人身份认证信息和第一动态口令转换为认证图形；从认证图形中提取出个人身份认证信息和第一动态口令，验证第一动态口令；根据验证结果，确定个人身份认证信息是否通过认证。所述装置包括：存储模块、生成模块和转换模块。所述系统包括：安全芯片、终端设备、识别终端、认证服务器和数据库服务器。本发明采用安全芯片内部的存储器和处理器进行认证图形编码，避免了设备上的病毒及其他恶意攻击，同时在认证图形中加入动态口令，使认证图形具有时效性，有效地防止了认证图形的盗用。

Description

一种身份认证方法、装置及系统

技术领域

本发明涉及信息安全技术领域，特别涉及一种身份认证方法、装置及系统。

背景技术

传统的银行卡大多为磁条卡片或IC卡（接触、非接触），卡片外观为符合国际标准的长方形塑料卡片，用户在进行交易时，需要在读写器上读取卡片上磁条或IC卡内芯片记录的信息进行支付，同时需要用户输入静态密码进行身份认证。

随着网络支付、移动支付业务的快速增长，很多应用将智能卡嵌入带有键盘、显示屏幕的设备，实现了灵活多样的支付方式。例如，目前一种很高频率的射频IC卡装置，包括IC器件、射频接口器件、射频天线、IC卡接口和射频接口，将该装置放置在移动设备中通过射频进行通信。但是，由于不同移动设备的结构、外型均不相同，当该装置放置在带有金属外壳的移动设备中时，由于金属外壳的屏蔽作用，使得移动设备无法通过无线射频信号与外界进行通信。

另有专利提供了一种利用移动通信终端进行费用支付的身份认证方法，移动支付平台在移动通信终端用户注册时，为该移动通信终端用户分配图形标识信息并保存，商户终端获得要进行费用支付的移动通信终端用户的图形标识信息，并将该图形标识信息发送给移动支付平台进行身份认证，该方法虽然简单易用，但是，随着手机等移动平台上病毒的泛滥，该方法并不能保证在安全的环境下进行支付；另外，该图形标识信息只带有静态的认证信息，一旦图形丢失将会造成用户信息全部遗失，给用户带来经济损失。

发明内容

为了克服现有技术中的缺陷，增强支付以及其他场合过程中认证的安全性，本发明提供了一种更加安全、便捷的身份认证方法、装置及系统。

本发明提供了一种身份认证方法，所述方法包括：

将个人身份认证信息绑定；

根据第一认证因子和第一密钥生成第一动态口令；

将所述个人身份认证信息和第一动态口令转换为认证图形；

从所述认证图形中提取出所述个人身份认证信息和第一动态口令;

验证所述第一动态口令；根据验证结果，确定所述个人身份认证信息是否通过认证。

在将所述个人身份认证信息和第一动态口令转换为认证图形的步骤之前还包括：将所述个人身份认证信息和第一动态口令进行加密；

相应地，在从所述认证图形中提取出所述个人身份认证信息和第一动态口令的步骤之后还包括：将所述个人身份认证信息和第一动态口令进行解密。

所述验证所述第一动态口令；根据验证结果，确定所述个人身份认证信息是否通过认证的步骤具体包括：

根据所述个人身份认证信息查找到与其相对应的第二密钥和第二认证因子；所述第二密钥与第一密钥相同，所述第二认证因子与第一认证因子相同；

根据所述第二密钥和第二认证因子生成第二动态口令；

比对所述第一动态口令和第二动态口令是否匹配，如果匹配，则所述个人身份认证信息认证成功，否则认证失败。

本发明提供了一种身份认证装置，所述装置包括：

存储模块，用于存储个人身份认证信息、第一认证因子、第一密钥、动态口令生成算法和认证图形编码算法；

生成模块，用于利用所述动态口令生成算法，根据所述存储模块中的第一认证因子和第一密钥生成第一动态口令，发送所述第一动态口令；

转换模块，用于接收所述第一动态口令，并利用所述认证图形编码算法将所述存储模块中的个人身份认证信息和第一动态口令转换为认证图形。

所述存储模块还存储加密密钥和加密算法；

所述转换模块包括：

加密单元，用于接收所述第一动态口令，利用所述加密密钥和加密算法对所述存储模块中的个人身份认证信息和第一动态口令加密，并发送加密后的个人身份认证信息和第一动态口令；

转换单元，用于接收所述加密后的个人身份认证信息和第一动态口令，并利用所述认证图形编码算法将所述加密后的个人身份认证信息和第一动态口令转换为认证图形。

所述存储模块中的个人身份认证信息、第一密钥和加密密钥不能被外部读取。

本发明还提供了一种身份认证系统，所述系统包括：

安全芯片，用于存储个人身份认证信息、第一认证因子、第一密钥、动态口令生成算法和认证图形编码算法，利用所述动态口令生成算法，根据所述第一认证因子和第一密钥生成第一动态口令，利用所述认证图形编码算法将所述个人身份认证信息和第一动态口令转换为认证图形，发送所述认证图形；

终端设备，用于接收并显示所述认证图形；

识别终端，用于识别并发送所述认证图形；

认证服务器，用于接收所述认证图形，并从所述认证图形中提取出所述个人身份认证信息和第一动态口令，验证所述第一动态口令；根据验证结果，确定所述个人身份认证信息是否通过认证；

数据库服务器，用于存储与所述安全芯片端相同的个人身份认证信息、第一密钥、第一认证因子和动态口令生成算法。

所述安全芯片采用内置或外置配件方式与所述终端设备连接；所述认证服务器与数据库服务器连接。

所述安全芯片还存储加密密钥和加密算法；所述数据库服务器还存储解密密钥和解密算法；

所述安全芯片在利用所述认证图形编码算法将所述个人身份认证信息和第一动态口令转换为认证图形之前，利用所述加密密钥和加密算法对所述个人身份认证信息和第一动态口令加密；

所述认证服务器在从所述认证图形中提取出所述个人身份认证信息和第一动态口令之后，利用所述解密密钥和解密算法对所述个人身份认证信息和第一动态口令解密。

所述安全芯片中的个人身份认证信息、第一密钥和加密密钥不能被外部读取。

所述安全芯片应用在移动设备中，所述移动设备包括手机、个人掌上电脑、个人数字助理和便携式电脑；或者，所述安全芯片应用在固定设备中，所述固定设备包括个人计算机和工控计算机。

与现有技术相比，本发明技术方案产生的有益效果如下：

1、本发明将原来独立存储在磁条卡、IC卡上的用户信息存储在安全芯片上， 并采用安全芯片内部的存储器和处理器进行认证图形编码，避免了设备上的病毒及其他恶意攻击；

2、本发明在认证图形中加入动态口令，使认证图形具有时效性，有效地防止了认证图形的盗用；

3、本发明采用认证图形的交互方式进行通信，避免了原有接触式或射频方式的不足之处；

4、本发明由于动态口令的植入，解决了口令丢失及被破解的风险；同时用户在支付或其他应用场合中可实现不需要手动输入密码就执行身份认证。

附图说明

图1是利用本发明实施例提供的身份认证方法实现的手机支付方法流程图；

图2是本发明实施例提供的身份认证装置结构示意图；

图3是本发明实施例提供的身份认证系统结构示意图。

具体实施方式

下面结合附图和实施例，对本发明技术方案作进一步描述。

本发明实施例提供了一种身份认证方法，该方法是利用安全芯片的信息存储及处理功能，将认证过程中所需的所有信息都存储在安全芯片中，并在安全芯片内部生成认证图形，保证了信息的安全性；同时采用动态口令技术，使生成的认证图形具有时效性，防止用户信息的丢失。

本发明实施例所述的安全芯片是一种具有数据安全存储及加解密功能的智能卡，包括IC卡、USB KEY芯片等，可以实现信息和密钥的安全存储；同时该安全芯片内置认证图形编码算法，可以实现认证图形的自动生成。本发明实施例中所述的安全芯片可以被封装成多种形式，包括SD卡、MMC卡、SIM卡及外接配件等形式。本发明实施例中的安全芯片具有的安全存储功能主要是指内部存储的部分关键数据，例如产生动态口令的种子密钥、个人账户信息以及加密时用到的加密密钥，这些数据不能被外部读取，以此来保证产生的动态口令的安全性。本发明实施例中的安全芯片可以采用内置方式与设备连接，包括以SD、MMC、CF、Memory Stick等方式与设备连接通讯，还可以采用外置配件方式与设备连接，包括USB、PCIE、串口等标准连接方式和自定义的连接方式。本发明实施例中的安全芯片可以应用在移动设备中，包括手机、个人掌上电脑、个人数字助理（PDA）和便携式电脑等，还可以应用在固定设备中，包括个人计算机、工控计算机等固定终端设备实现身份认证功能。

实施例1

参见图1，本发明实施例是将安全芯片封装成SD KEY的形式，并将该SD KEY应用在手机中，从而利用SD KEY和手机替代银行卡实现安全支付的方法，具体包括以下步骤：

步骤101：手机用户在银行柜台申请开通手机支付功能，并设置手机支付保护密码；

手机用户可以在多家银行柜台申请开通手机支付功能，以便手机用户在支付过程中可以灵活地选择用于结算的银行个人账户；设置手机支付保护密码，可以实现对手机支付功能的安全保护，以防止他人盗用；

步骤102：银行工作人员将手机用户在本行开设的个人账户信息与SD KEY进行绑定，并将该SD KEY交付给手机用户；

手机用户可以使用该SD KEY在多家银行实现个人账户信息与SD KEY的绑定，这样一个SD KEY中就存储了手机用户在多家银行开设的个人账户信息，实现了一个SD KEY替代多张银行卡的功能，省去了携带多张银行卡的不便，例如手机用户可以将工行、建行、中行、农行等银行的个人账户信息与一个SD KEY绑定；另外，SD KEY中还存储有认证因子、与个人账户信息相对应的种子密钥，同时内置动态口令生成算法、认证图形编码算法，并将这些信息在银行数据库服务器中进行备份，以备认证过程中使用；

每个SD KEY在出厂前都有一个唯一的序列号作为标识，因此将个人账户信息与SD KEY进行绑定也就使得每个账户信息都有唯一的一个序列号与之对应，同时该序列号也在银行数据库服务器中进行了相应的备份；

种子密钥可以是由银行在该步骤中直接下载到SD KEY中再交付给用户，还可以由用户自行完成下载，当用户自行完成下载流程时，需要在SD KEY中预置或由用户下载证书和私钥并利用PKI技术实现对种子密钥在线下载的保护；

认证因子可以为时间型因子或事件型因子等；本实施例中由SD KEY生成的认证因子为时间型因子，由手机供电产生，这同时要求银行认证服务器端与SD KEY端的时间保持同步；

动态口令生成算法具体包括：DES、3DES、SM1、SSF33、哈希算法、哈希MAC；当认证因子为时间型因子时，动态口令生成算法还可以是TOTP算法；当认证因子为事件型因子时，动态口令生成算法还可以是HOTP算法；

步骤103：手机用户将SD KEY安装在手机的SD扩展插槽中；

通常情况下，手机生产商为了增加手机的存储容量，会在手机上增加各种不同接口形式的扩展插槽，例如：SD、Micro SD/TF、MMC、CF、Memory Stick、Memory Stick Pro Duo等，本实施例以带有SD接口扩展插槽的手机为例来说明；

步骤104：手机用户进入手机支付功能界面，输入手机支付保护密码，激活手机支付功能；

步骤105：手机用户选择支付银行账户；

步骤106：SD KEY利用动态口令生成算法，根据认证因子和种子密钥，生成第一动态口令；

步骤107：SD KEY利用认证图形编码算法将选定的银行个人账户信息和第一动态口令转换为认证图形，并显示在手机屏幕上；

实际应用中，个人账户信息以及产生的第一动态口令可以通过事先约定的方式进行组合，如逻辑与、或、非等，然后再转换为认证图形；

认证图形可以为一维码、二维码或图像等；

步骤108：消费商家在识别终端上输入消费金额，并利用该识别终端扫描识读手机屏幕上的认证图形；

识别终端可以是具有识读认证图形功能的POS机；

步骤109：识别终端将认证图形转换为原始数据，并将原始数据和消费金额传输给银行认证服务器；

步骤110：银行认证服务器收到原始数据和消费金额后，从原始数据中提取出个人账户信息和第一动态口令，并在数据库服务器中查找出与该个人账户信息对应的种子密钥、动态口令生成算法以及认证因子；

通常情况下，银行数据库服务器中存储了大量的个人账户信息和种子密钥，每个个人账户信息在与SD KEY进行绑定后，SD KEY中所存储的个人账户信息、种子密钥和内置的动态口令生成算法、认证因子以及SD KEY的序列号与银行数据库服务器中的个人账户信息、种子密钥、动态口令生成算法、认证因子和SD KEY序列号都是一一对应的；

步骤111：银行认证服务器根据个人账户信息或SD KEY序列号查找出的种子密钥、认证因子以及动态口令生成算法，生成第二动态口令；

本发明实施例中认证因子为时间型因子，由于银行数据库服务器中产生的认证因子和SD KEY内部产生的认证因子是同步的，从而确保SD KEY生成的第一动态口令和银行认证服务器生成的第二动态口令相同；

另外，当认证因子为事件型因子时，SD KEY中存储的认证因子也应与银行数据库服务器中的认证因子保持一致；

步骤112：银行认证服务器将内部生成的第二动态口令与从原始数据中提取出的第一动态口令进行匹配，如果第一动态口令和第二动态口令相同，则执行步骤113，否则执行步骤114；

步骤113：银行认证服务器从个人账户中扣除消费金额，并向识别终端发送支付交易成功信息；

步骤114：银行认证服务器向识别终端发送支付交易失败信息。

实施例2

本实施例与实施例1的区别在于：在SD KEY将选定的银行个人账户信息和第一动态口令转换为认证图形之前，SD KEY利用与银行数据库服务器中预先约定的加密密钥和加密算法，对个人账户信息和第一动态口令进行加密处理；并将加密后的密文以及SD KEY的序列号连同其他交易信息一起传输到银行服务器，相应地，银行认证服务器执行认证时利用识别终端传输来的SD KEY的序列号查找数据库服务器中与该SD KEY预先约定的解密密钥和解密算法，并利用解密密钥和解密算法对从原始数据中提取出的个人账户信息和第一动态口令进行解密处理。这样可以更加安全地保护银行个人账户信息，并且提高了支付交易的安全性。除此之外，本实施例的其他步骤与实施例1完全相同。

在实际应用中，本实施例所述的加密算法可以为DES 、3DES、SM1或SSF33等。

本实施例与实施例1不同的步骤具体是:

步骤107′：SD KEY将选定的银行个人账户信息和第一动态口令，利用加密密钥和加密算法进行加密处理，并利用认证图形编码算法将SD KEY序列号以及加密后的银行个人账户信息和第一动态口令转换为认证图形，同时显示在手机屏幕上；

步骤110′：银行认证服务器收到原始数据和消费金额后，从原始数据中提取出SD KEY序列号以及加密后的个人账户信息和第一动态口令，并根据SD KEY序列号在数据库服务器中查找出与该SD KEY序列号对应的解密密钥和解密算法，对个人账户信息和第一动态口令进行解密处理。

实施例1和2是利用SD KEY和手机实现了一种虚拟银行卡，SD KEY中存储多个银行的个人账户信息，从而利用SD KEY和手机实现消费支付。实施例1和2利用SD KEY和手机实现的虚拟银行卡，具有如下特点：

1、个人账户信息存储在SD KEY 中，由于SD KEY具有安全存储的功能，这就很好的实现了对银行帐户信息的保护；同时由于认证中所需的其他数据如种子密钥、认证因子等都存储在SD KEY中，并且动态口令和认证图形也是在SD KEY中生成的，手机只负责对转换后的认证图形进行显示，这就有效地防止了手机中病毒以及其他的攻击，安全系数大大提高。

2、为了加强对银行账户信息的保护，实施例1和2在SD KEY中设置了动态口令以保护认证信息的时效性，如果在限定的时间内不使用认证图形，则该认证图形就会失效。

3、实施例1和2在支付交易过程中可以不输入静态的支付密码，并且由于在认证图形中加入了动态口令，使SD KEY和手机同时又相当于动态令牌的功能，用动态口令代替银行卡静态口令实现支付更安全；同时由于现有的解决方案中手机短信或令牌的方式虽然能实现对银行账户信息的保护，但是由于每次都需输入不同的口令，比较繁琐，也容易输错，给用户带来很大的不便，实施例1和2中动态口令的引入不但保证了认证图形的时效性，而且还保护了个人账户信息，从而很好地解决了这一问题。

参见图2，本发明实施例还提供了一种身份认证装置，该装置包括：

存储模块，用于存储个人身份认证信息、第一认证因子、第一密钥、动态口令生成算法和认证图形编码算法；

生成模块，用于利用动态口令生成算法，根据存储模块中的第一认证因子和第一密钥生成第一动态口令，发送第一动态口令；

转换模块，用于接收第一动态口令，并利用认证图形编码算法将存储模块中的个人身份认证信息和第一动态口令转换为认证图形。

存储模块还可以存储加密密钥和加密算法，实现对个人身份认证信息以及第一动态口令的进一步保护；

转换模块包括：

加密单元，用于接收第一动态口令，利用加密密钥和加密算法对存储模块中的个人身份认证信息和第一动态口令加密，并发送加密后的个人身份认证信息和第一动态口令；

转换单元，用于接收加密后的个人身份认证信息和第一动态口令，并利用认证图形编码算法将加密后的个人身份认证信息和第一动态口令转换为认证图形。

实际应用中，存储模块中的个人身份认证信息、第一密钥和加密密钥不能被外部读取。

参见图3，本发明实施例还提供了一种身份认证系统，该系统包括：

安全芯片，用于存储个人身份认证信息、第一认证因子、第一密钥、动态口令生成算法和认证图形编码算法，利用动态口令生成算法，根据第一认证因子和第一密钥生成第一动态口令，利用认证图形编码算法将个人身份认证信息和第一动态口令转换为认证图形，发送认证图形；

终端设备，用于接收并显示认证图形；

识别终端，用于识别并发送认证图形；

认证服务器，用于接收认证图形，并从认证图形中提取出个人身份认证信息和第一动态口令，验证第一动态口令；根据验证结果，确定个人身份认证信息是否通过认证；

数据库服务器，用于存储与安全芯片端相同的个人身份认证信息、第一密钥、第一认证因子和动态口令生成算法。

安全芯片采用内置或外置配件方式与终端设备连接；认证服务器与数据库服务器连接。

安全芯片还存储加密密钥和加密算法；数据库服务器还存储解密密钥和解密算法；

安全芯片在利用认证图形编码算法将个人身份认证信息和第一动态口令转换为认证图形之前，利用加密密钥和加密算法对个人身份认证信息和第一动态口令加密；

认证服务器在从认证图形中提取出个人身份认证信息和第一动态口令之后，利用解密密钥和解密算法对个人身份认证信息和第一动态口令解密。

实际应用中，安全芯片中的个人身份认证信息、第一密钥和加密密钥不能被外部读取。

安全芯片应用在移动设备中，移动设备包括手机、个人掌上电脑、个人数字助理和便携式电脑；或者，安全芯片应用在固定设备中，固定设备包括个人计算机和工控计算机。

同样利用本发明的原理，安全芯片也可以应用在个人计算机、工控计算机等固定终端设备中，实现身份认证的功能。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种身份认证方法，其特征在于，所述方法包括：

将个人身份认证信息绑定；

根据第一认证因子和第一密钥生成第一动态口令；

将所述个人身份认证信息和第一动态口令转换为认证图形；

从所述认证图形中提取出所述个人身份认证信息和第一动态口令;

验证所述第一动态口令；根据验证结果，确定所述个人身份认证信息是否通过认证。

2.如权利要求1所述的身份认证方法，其特征在于，在将所述个人身份认证信息和第一动态口令转换为认证图形的步骤之前还包括：将所述个人身份认证信息和第一动态口令进行加密；

相应地，在从所述认证图形中提取出所述个人身份认证信息和第一动态口令的步骤之后还包括：将所述个人身份认证信息和第一动态口令进行解密。

3.如权利要求1或2所述的身份认证方法，其特征在于，所述验证所述第一动态口令；根据验证结果，确定所述个人身份认证信息是否通过认证的步骤具体包括：

根据所述个人身份认证信息查找到与其相对应的第二密钥和第二认证因子；所述第二密钥与第一密钥相同，所述第二认证因子与第一认证因子相同；

根据所述第二密钥和第二认证因子生成第二动态口令；

比对所述第一动态口令和第二动态口令是否匹配，如果匹配，则所述个人身份认证信息认证成功，否则认证失败。

4.一种身份认证装置，其特征在于，所述装置包括：

存储模块，用于存储个人身份认证信息、第一认证因子、第一密钥、动态口令生成算法和认证图形编码算法；

生成模块，用于利用所述动态口令生成算法，根据所述存储模块中的第一认证因子和第一密钥生成第一动态口令，发送所述第一动态口令；

转换模块，用于接收所述第一动态口令，并利用所述认证图形编码算法将所述存储模块中的个人身份认证信息和第一动态口令转换为认证图形。

5.如权利要求4所述的身份认证装置，其特征在于，所述存储模块还存储加密密钥和加密算法；

所述转换模块包括：

加密单元，用于接收所述第一动态口令，利用所述加密密钥和加密算法对所述存储模块中的个人身份认证信息和第一动态口令加密，并发送加密后的个人身份认证信息和第一动态口令；

转换单元，用于接收所述加密后的个人身份认证信息和第一动态口令，并利用所述认证图形编码算法将所述加密后的个人身份认证信息和第一动态口令转换为认证图形。

6.如权利要求5所述的身份认证装置，其特征在于，所述存储模块中的个人身份认证信息、第一密钥和加密密钥不能被外部读取。

7.一种身份认证系统，其特征在于，所述系统包括：

安全芯片，用于存储个人身份认证信息、第一认证因子、第一密钥、动态口令生成算法和认证图形编码算法，利用所述动态口令生成算法，根据所述第一认证因子和第一密钥生成第一动态口令，利用所述认证图形编码算法将所述个人身份认证信息和第一动态口令转换为认证图形，发送所述认证图形；

终端设备，用于接收并显示所述认证图形；

识别终端，用于识别并发送所述认证图形；

认证服务器，用于接收所述认证图形，并从所述认证图形中提取出所述个人身份认证信息和第一动态口令，验证所述第一动态口令；根据验证结果，确定所述个人身份认证信息是否通过认证；

数据库服务器，用于存储与所述安全芯片端相同的个人身份认证信息、第一密钥、第一认证因子和动态口令生成算法。

 所述安全芯片采用内置或外置配件方式与所述终端设备连接；所述认证服务器与数据库服务器连接。

8.如权利要求7所述的身份认证系统，其特征在于，所述安全芯片还存储加密密钥和加密算法；所述数据库服务器还存储解密密钥和解密算法；

所述安全芯片在利用所述认证图形编码算法将所述个人身份认证信息和第一动态口令转换为认证图形之前，利用所述加密密钥和加密算法对所述个人身份认证信息和第一动态口令加密；

所述认证服务器在从所述认证图形中提取出所述个人身份认证信息和第一动态口令之后，利用所述解密密钥和解密算法对所述个人身份认证信息和第一动态口令解密。

9.如权利要求8所述的身份认证系统，其特征在于，所述安全芯片中的个人身份认证信息、第一密钥和加密密钥不能被外部读取。

10.如权利要求7或8所述的身份认证系统，其特征在于，所述安全芯片应用在移动设备中，所述移动设备包括手机、个人掌上电脑、个人数字助理和便携式电脑；或者，所述安全芯片应用在固定设备中，所述固定设备包括个人计算机和工控计算机。

Images