CN111031539A - 一种基于移动端增强Windows操作系统登录安全性的方法和系统 - Google Patents

Abstract

本发明公开了一种基于移动端增强Windows操作系统登录安全性的方法，是应用在认证服务器、客户端、以及移动端的环境中，该方法包括：客户端在其登录界面显示二维码，其中该二维码中包括登录认证请求消息，移动端扫描客户端登录界面上显示的二维码，以获取登录认证请求消息，利用该移动端的身份标识信息和登录认证请求消息生成一次性登录验证信息，并将该一次性登录验证信息发送给认证服务器，认证服务器判断来自移动端的一次性登录验证信息是否有效，如果有效则认证服务器将操作系统登录用户名和验证成功结果发送到客户端。本发明能够有效解决现有Windows操作系统登录方式中存在的当登录用户忘记静态密码时无法登录Windows操作系统的技术问题。

Description

一种基于移动端增强Windows操作系统登录安全性的方法和 系统

技术领域

本发明属于信息安全和互联网通信技术领域，更具体地，涉及一种基于移动端增强Windows操作系统登录安全性的方法和系统。

背景技术

目前，Windows系统已经得到了越来越广泛的应用。

现有Windows操作系统的登录方式主要是登录用户输入正确的静态密码，但该登录方式存在一些不可忽略的技术问题：第一，登录用户需要牢记该静态密码，一旦忘记，则登录用户完全无法登录Windows操作系统；第二、该静态密码是存储在Windows操作系统的一个文件中，该文件容易被窃取，从而导致静态密码容易被破解。

发明内容

针对现有技术的以上缺陷或改进需求，本发明提供了一种基于移动端增强Windows操作系统登录安全性的方法和系统，其目的在于，能够有效解决现有Windows操作系统登录方式中存在的当登录用户忘记静态密码时无法登录Windows操作系统的技术问题，以及由于存储静态密码的文件容易被盗取所导致的静态密码容易被破解的技术问题。

为实现上述目的，按照本发明的一个方面，提供了一种基于移动端增强Windows操作系统登录安全性的方法，是应用在认证服务器、客户端、以及移动端的环境中，其中认证服务器与客户端和移动端二者均通信连接，该方法包括以下步骤：

(1)客户端在其登录界面显示二维码，其中该二维码中包括登录认证请求消息；

(2)移动端扫描客户端登录界面上显示的二维码，以获取登录认证请求消息；

(3)移动端利用该移动端的身份标识信息和登录认证请求消息生成一次性登录验证信息，并将该一次性登录验证信息发送给认证服务器；

(4)认证服务器判断来自移动端的一次性登录验证信息是否有效，如果有效则转入步骤(5)，否则转入步骤(7)；

(5)认证服务器将操作系统登录用户名和验证成功结果发送到客户端；

(6)客户端根据验证成功结果使用操作系统登录用户名登录操作系统，过程结束；

(7)认证服务器通知客户端验证失败，过程结束。

优选地，登录认证请求消息包括一次性随机数、客户端硬件标识、以及客户端的Windows操作系统标识中的一种或多种，移动端的身份标识信息包括移动端的私钥、加密证书、种子密钥、以及登录用户生物识别信息中的一种或多种。

优选地，当移动端的身份标识信息是移动端的私钥时，利用该移动端的身份标识信息和登录认证请求消息生成一次性登录验证信息这一过程，是使用移动端的私钥对登录认证请求消息进行数字签名运算，以生成签名信息作为一次性登录验证信息；当移动端的身份标识信息是移动端的加密证书时，利用该移动端的身份标识信息和登录认证请求消息生成一次性登录验证信息这一过程，是使用移动端的加密证书对登录认证请求消息进行加密运算，以生成加密信息作为一次性登录验证信息；当移动端的身份标识信息是移动端的种子密钥时，利用该移动端的身份标识信息和登录认证请求消息生成一次性登录验证信息这一过程，是使用移动端的种子密钥对登录认证请求消息进行动态口令运算，以生成一次性动态口令作为一次性登录验证信息；当移动端的身份标识信息是移动端的登录用户生物识别信息时，利用该移动端的身份标识信息和登录认证请求消息生成一次性登录验证信息这一过程，是使用移动端的登录用户生物识别信息对登录认证请求消息进行运算生成鉴别验证信息作为一次性登录验证信息。

优选地，当一次性登录验证信息是签名信息时，判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器对签名信息进行有效性验证，如果成功，则表示一次性登录验证信息有效，否则表示无效；当一次性登录验证信息是加密信息时，判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器查找其存储的、该移动端向该认证服务器注册时生成的私钥，然后利用该私钥解密该加密消息，如果解密成功，则表示一次性登录验证信息有效，否则表示无效；当一次性登录验证信息是动态口令信息时，判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器判断该动态口令是否有效，如果是，则表示一次性登录验证信息有效，否则表示无效；当一次性登录验证信息是鉴别验证信息时，判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器对一次性登录验证信息进行逆运算，解析出移动端的登录用户生物识别信息，并与其存储的该移动端的登录用户生物特征识别信息进行比对，如果比对通过，则表示一次性登录验证信息有效，否则表示无效。

优选地，操作系统登录用户名是包括在步骤(1)的二维码中，或者是步骤(3)的移动端中内置的，或者是步骤(5)中认证服务器在移动端向其注册时创建的。

优选地，所述方法还包括在步骤(1)之前，客户端检测其自身是否联网，如果联网则进入步骤(1)，否则，客户端模拟显示默认的Windows登录界面供操作系统登录用户登录，过程结束。

优选地，所述方法还包括在上述步骤(2)之后、步骤(3)之前，移动端对操作系统登录用户进行身份鉴别，鉴别成功则进入步骤(3)，鉴别失败则过程结束。

优选地，当步骤(1)中的二维码中包括二维码生成方的身份鉴别信息时，所述方法还包括在上述步骤(2)之后、步骤(3)之前，移动端对二维码生成方的身份鉴别信息进行验证，验证成功则进入步骤(3)，验证失败则过程结束。

优选地，二维码生成方的身份鉴别信息是签名信息、加密信息、或动态口令信息；当二维码生成方的身份鉴别信息是签名信息时，移动端对二维码生成方的身份鉴别信息进行验证这一过程具体为，移动端对签名信息进行有效性验证，如果成功，则表示二维码生成方的身份鉴别信息有效，否则表示无效；当二维码生成方的身份鉴别信息是加密信息时，移动端对二维码生成方的身份鉴别信息进行验证这一过程具体为，移动端查找其存储的、该移动端向该认证服务器注册时生成的私钥，然后利用该私钥解密该加密消息，如果解密成功，则表示二维码生成方的身份鉴别信息有效，否则表示无效；当二维码生成方的身份鉴别信息是动态口令信息时，移动端对二维码生成方的身份鉴别信息进行验证这一过程具体为，移动端判断该动态口令是否有效，如果是，则表示二维码生成方的身份鉴别信息有效，否则表示无效。

按照本发明的另一方面，提供了一种基于移动端增强Windows操作系统登录安全性的系统，是应用在认证服务器、客户端、以及移动端的环境中，其中认证服务器与客户端和移动端二者均通信连接，该系统包括：

第一模块，其设置于客户端中，用于在其登录界面显示二维码，其中该二维码中包括登录认证请求消息；

第二模块，其设置于移动端中，用于扫描客户端登录界面上显示的二维码，以获取登录认证请求消息；

第三模块，其设置于移动端中，用于利用该移动端的身份标识信息和登录认证请求消息生成一次性登录验证信息，并将该一次性登录验证信息发送给认证服务器；

第四模块，其设置于认证服务器中，用于判断来自移动端的一次性登录验证信息是否有效，如果有效则转入第五模块，否则转入第七模块；

第五模块，其设置于认证服务器中，用于将操作系统登录用户名和验证成功结果发送到客户端；

第六模块，其设置于客户端中，用于根据验证成功结果使用操作系统登录用户名登录操作系统，过程结束；

第七模块，其设置于认证服务器中，用于通知客户端验证失败，过程结束。

总体而言，通过本发明所构思的以上技术方案与现有技术相比，能够取得下列有益效果：

(1)由于本发明提供了使用移动端登录Windows操作系统的方式，登录用户不再需要牢记静态密码，由此解决了现有静态密码登录Windows系统在登录用户遗忘静态密码时无法登录的技术问题；

(2)由于本发明生成一次性登录验证信息、以及认证一次性登录验证信息有效性的过程均使用了移动端身份标识信息，并采用了密码技术(即签名、加密、鉴别认证过程)生成动态的一次性登录验证信息，从而提高了操作系统登录安全级别，解决了现有登录方式中静态密码容易被黑客破解的技术问题；

(3)由于本发明是基于移动端实现Windows系统登录，从而提高了Windows本地账户信息(即操作系统登录用户名和登录密码)的安全性，解决了现有登录方式中由于存储静态密码的文件容易被盗取导致的静态密码容易被破解的技术问题。

(4)由于本发明即使在不联网的条件下，也不改变操作系统登录用户原有的操作体验，因此能够增强操作系统登录用户的使用便捷性；

(5)由于本发明只会为合法的操作系统登录用户产生一次性登录验证信息，从而能够增强本发明方法的安全性；

(6)由于本发明对二维码生成方的身份鉴别信息进行验证，因此能够确保二维码的生成方是合法的，并避免二维码被黑客替换，从而进一步提升本发明方法的安全性；

(7)由于本发明在操作系统登录用户登录时，使用了复杂密码替换登录用户原始设置的登录密码，从而能够有增强登录密码的安全强度，并防止黑客暴力破解；

(8)由于本发明是基于移动端实现，登录用户的操作简单，携带方便。

附图说明

图1是根据本发明第一种实施方式的基于移动端增强Windows操作系统登录安全性的方法的流程图。

图2是根据本发明第二种实施方式的基于移动端增强Windows操作系统登录安全性的方法的流程图。

图3是根据本发明第三种实施方式的基于移动端增强Windows操作系统登录安全性的方法的流程图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。此外，下面所描述的本发明各个实施方式中所涉及到的技术特征只要彼此之间未构成冲突就可以相互组合。

为了便于理解本发明起见，以下首先对本发明的技术术语进行解释和说明：

二维码(Two-dimensional bar code)：是用某种特定的几何图形按一定规律在平面(二维方向上)分布的黑白相间的图形记录数据符号信息，通过图象输入设备或光电扫描设备自动识读以实现信息自动处理。在代码编制上巧妙地利用构成计算机内部逻辑基础的“0”、“1”比特流的概念，使用若干个与二进制相对应的几何形体来表示文字数值信息，通过图象输入设备或光电扫描设备自动识读以实现信息自动处理。它具有条码技术的一些共性：每种码制有其特定的字符集；每个字符占有一定的宽度；具有一定的校验功能等。同时还具有对不同行的信息自动识别功能、及处理图形旋转变化点。

认证服务器(Authentication server)：负责接收登录用户的连接请求，认证登录用户的合法性，然后将认证结果返回给登录用户，常见的认证方法包括RADIUS、自定义接口等，认证服务器中可以配置证书认证的认证类型等。

如图1所示，根据本发明的第一种实施方式，提供了一种基于移动端增强Windows操作系统登录安全性的方法，是应用在认证服务器、客户端、以及移动端的环境中，其中认证服务器与客户端和移动端二者均通信连接，该方法包括以下步骤：

(1)客户端在其登录界面显示二维码，其中该二维码中包括登录认证请求消息；

具体而言，二维码可以是由客户端自身生成，或者由客户端调用认证服务器生成。

客户端安装有Windows操作系统，其可以是个人电脑(Personal computer，简称PC)、笔记本(Laptop)、服务器(Server)等。

具体而言，登录认证请求消息包括一次性随机数、客户端硬件标识、客户端的Windows操作系统标识等。

作为进一步优选地，本发明的方法还可以包括，在上述步骤(1)之前，客户端检测其自身是否联网，如果联网则进入步骤(1)，否则，客户端模拟显示默认的Windows登录界面供操作系统登录用户登录，过程结束。

上述步骤的具体过程为：客户端进入自定义凭据提供者(Credential Providers，简称CP)，检测其自身是否联网，如果联网则进入步骤(1)，否则，自定义凭据提供者模拟默认的凭据提供者，显示和默认的Windows登录相同的界面供操作系统登录用户登录，并在接收到操作系统登录用户输入的静态密码后，执行默认的登录认证过程，验证成功，允许操作系统用户登录，否则拒绝操作系统登录用户登录。

本步骤的优点在于，即使在不联网的条件下，也不改变操作系统登录用户原有的操作体验，从而进一步增强操作系统登录用户的使用便捷性。

(2)移动端扫描客户端登录界面上显示的二维码，以获取登录认证请求消息；

具体而言，移动端可以是具有扫描识别二维码功能、以及身份标识信息的终端，包括但不局限于手机、IPad等。

进一步优选地，本发明方法还可以包括在上述步骤(2)之后、步骤(3)之前，移动端对操作系统登录用户进行身份鉴别，鉴别成功则进入步骤(3)，鉴别失败则过程结束；鉴别方式包括指纹认证、虹膜认证、人脸识别中的一种或多种。

本步骤的优点在于，只会为合法的操作系统登录用户产生一次性登录验证信息，从而能够增强本发明方法的安全性。

进一步优选地，当步骤(1)中的二维码中包括二维码生成方的身份鉴别信息时，本发明方法还可以包括在上述步骤(2)之后、步骤(3)之前，移动端对二维码生成方的身份鉴别信息进行验证，验证成功则进入步骤(3)，验证失败则过程结束。

本步骤的优点在于，能够确保二维码的生成方是合法的，并避免二维码被黑客替换，从而进一步提升本发明方法的安全性。

二维码生成方的身份鉴别信息是签名信息、加密信息、或动态口令信息。

当二维码生成方的身份鉴别信息是签名信息时，本步骤中对二维码生成方的身份鉴别信息进行验证这一过程具体为，移动端对签名信息进行有效性验证，如果成功，则表示二维码生成方的身份鉴别信息有效，否则表示无效。

当二维码生成方的身份鉴别信息是加密信息时，本步骤中对二维码生成方的身份鉴别信息进行验证这一过程具体为，移动端查找其存储的、该移动端向该认证服务器注册时生成的私钥，然后利用该私钥解密该加密消息，如果解密成功，则表示二维码生成方的身份鉴别信息有效，否则表示无效。

当二维码生成方的身份鉴别信息是动态口令信息时，本步骤中对二维码生成方的身份鉴别信息进行验证这一过程具体为，移动端判断该动态口令是否有效，如果是，则表示二维码生成方的身份鉴别信息有效，否则表示无效。

(3)移动端利用其身份标识信息和登录认证请求消息生成一次性登录验证信息，并将该一次性登录验证信息和移动端中内置的操作系统登录用户名发送给认证服务器；

移动端的身份标识信息包括移动端的私钥、加密证书、种子密钥、以及登录用户生物识别信息(包括指纹、虹膜、人脸等)中的一种或多种。

本步骤中利用该移动端的身份标识信息和登录认证请求消息生成一次性登录验证信息这一过程，可以是使用移动端的私钥对登录认证请求消息进行数字签名运算生成签名信息作为一次性登录验证信息，或者是使用移动端的加密证书对登录认证请求消息进行加密运算生成加密信息作为一次性登录验证信息，也可以是使用移动端的种子密钥对登录认证请求消息进行动态口令运算生成一次性动态口令作为一次性登录验证信息，也可以是使用移动端的登录用户生物识别信息对登录认证请求消息进行运算生成鉴别验证信息作为一次性登录验证信息。

(4)认证服务器判断来自移动端的一次性登录验证信息是否有效，如果有效则转入步骤(5)，否则转入步骤(7)；

具体而言，当一次性登录验证信息是签名信息时，本步骤中判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器对签名信息进行有效性验证，如果成功，则表示一次性登录验证信息有效，否则表示无效。

当一次性登录验证信息是加密信息时，本步骤中判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器查找其存储的、该移动端向该认证服务器注册时生成的私钥，然后利用该私钥解密该加密消息，如果解密成功，则表示一次性登录验证信息有效，否则表示无效。

当一次性登录验证信息是动态口令信息时，本步骤中判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器判断该动态口令是否有效，如果是，则表示一次性登录验证信息有效，否则表示无效。

当一次性登录验证信息是鉴别验证信息时，本步骤中判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器对一次性登录验证信息进行逆运算，解析出移动端的登录用户生物识别信息，并与其存储的该移动端的登录用户生物特征识别信息进行比对，如果比对通过，则表示一次性登录验证信息有效，否则表示无效。

(5)认证服务器将操作系统登录用户名和验证成功结果发送到客户端；

具体而言，本步骤中认证服务器将操作系统登录用户名和验证成功结果发送到客户端，可以是认证服务器在客户端向其轮询验证结果后将操作系统登录用户名和验证成功结果发送到客户端，或者是认证服务器主动将操作系统登录用户名和验证成功结果推送到客户端。

(6)客户端根据验证成功结果使用操作系统登录用户名登录操作系统，过程结束；

具体而言，本步骤具体为：客户端使用操作系统登录用户名和保存的登录密码执行Windows标准登录认证。

进一步优选地，该登录密码可以是操作系统登录用户在向认证服务器注册阶段输入的原始登录密码，也可以是操作系统登录用户向认证服务器注册阶段输入原始登录密码后，客户端对该原始登录密码进行派生所生成的新的复杂密码，客户端随后调用操作系统修改登录密码功能，使用新的复杂密码代替原始登录密码。

上述对原始登录密码进行派生的具体过程，是以原始登录密码作为输入，对原始登录密码进行哈希(Hash)运算、哈希运算消息认证码(Hash-based MessageAuthentication Code，简称HMAC)运算、或密钥派生运算(Key Derivation Function，简称KDF)。

本步骤中使用新的复杂密码替换原始登录密码的优点在于，增强登录密码的安全强度，防止黑客暴力破解。

(7)认证服务器通知客户端验证失败，过程结束。

如图2所示，根据本发明的第二种实施方式，提供了一种基于移动端增强Windows操作系统登录安全性的方法，是应用在认证服务器、客户端、以及移动端的环境中，其中认证服务器与客户端和移动端二者均通信连接，该方法包括以下步骤：

(1)客户端在其登录界面显示登录用户的二维码，其中该二维码中包括该操作系统登录用户名、以及登录认证请求消息；

具体而言，二维码可以是由客户端自身生成，或者由客户端调用认证服务器生成。

客户端安装有Windows操作系统，其可以是个人电脑(Personal computer，简称PC)、笔记本(Laptop)、服务器(Server)等。

具体而言，操作系统登录用户名是登录Windows操作系统的操作系统登录用户名。

具体而言，登录认证请求消息包括一次性随机数、客户端硬件标识、客户端的Windows操作系统标识等。

作为进一步优选地，本发明的方法还可以包括，在上述步骤(1)之前，客户端检测其自身是否联网，如果联网则进入步骤(1)，否则，客户端模拟显示默认的Windows登录界面供操作系统登录用户登录，过程结束。

上述步骤的具体过程为：客户端进入自定义凭据提供者(Credential Providers，简称CP)，检测其自身是否联网，如果联网则进入步骤(1)，否则，自定义凭据提供者模拟默认的凭据提供者，显示和默认的Windows登录相同的界面供操作系统登录用户登录，并在接收到操作系统登录用户输入的静态密码后，执行默认的登录认证过程，验证成功，允许操作系统用户登录，否则拒绝操作系统登录用户登录。

本步骤的优点在于，即使在不联网的条件下，也不改变操作系统登录用户原有的操作体验，从而进一步增强操作系统登录用户的使用便捷性。

(2)移动端扫描客户端登录界面上显示的二维码，以获取登录认证请求消息和操作系统登录用户名；

具体而言，移动端可以是具有扫描识别二维码功能、以及身份标识信息的终端，包括但不局限于手机、IPad等。

进一步优选地，本发明方法还可以包括在上述步骤(2)之后、步骤(3)之前，移动端对操作系统登录用户进行身份鉴别，鉴别成功则进入步骤(3)，鉴别失败则过程结束；鉴别方式包括指纹认证、虹膜认证、人脸识别中的一种或多种。

本步骤的优点在于，只会为合法的操作系统登录用户产生一次性登录验证信息，从而能够增强本发明方法的安全性。

进一步优选地，当步骤(1)中的二维码中包括二维码生成方的身份鉴别信息时，本发明方法还可以包括在上述步骤(2)之后、步骤(3)之前，移动端对二维码生成方的身份鉴别信息进行验证，验证成功则进入步骤(3)，验证失败则过程结束。

本步骤的优点在于，能够确保二维码的生成方是合法的，并避免二维码被黑客替换，从而进一步提升本发明方法的安全性。

二维码生成方的身份鉴别信息是签名信息、加密信息、或动态口令信息。

当二维码生成方的身份鉴别信息是签名信息时，本步骤中对二维码生成方的身份鉴别信息进行验证这一过程具体为，移动端对签名信息进行有效性验证，如果成功，则表示二维码生成方的身份鉴别信息有效，否则表示无效。

当二维码生成方的身份鉴别信息是加密信息时，本步骤中对二维码生成方的身份鉴别信息进行验证这一过程具体为，移动端查找其存储的、该移动端向该认证服务器注册时生成的私钥，然后利用该私钥解密该加密消息，如果解密成功，则表示二维码生成方的身份鉴别信息有效，否则表示无效。

当二维码生成方的身份鉴别信息是动态口令信息时，本步骤中对二维码生成方的身份鉴别信息进行验证这一过程具体为，移动端判断该动态口令是否有效，如果是，则表示二维码生成方的身份鉴别信息有效，否则表示无效。

(3)移动端利用该移动端的身份标识信息和登录认证请求消息生成一次性登录验证信息，并将该一次性登录验证信息和操作系统登录用户名发送给认证服务器；

移动端的身份标识信息包括移动端的私钥、加密证书、种子密钥、以及登录用户生物识别信息(包括指纹、虹膜、人脸等)中的一种或多种。

本步骤中利用该移动端的身份标识信息和登录认证请求消息生成一次性登录验证信息这一过程，可以是使用移动端的私钥对登录认证请求消息进行数字签名运算生成签名信息作为一次性登录验证信息，或者是使用移动端的加密证书对登录认证请求消息进行加密运算生成加密信息作为一次性登录验证信息，也可以是使用移动端的种子密钥对登录认证请求消息进行动态口令运算生成一次性动态口令作为一次性登录验证信息，也可以是使用移动端的登录用户生物识别信息对登录认证请求消息进行运算生成鉴别验证信息作为一次性登录验证信息。

(4)认证服务器判断来自移动端的一次性登录验证信息是否有效，如果有效则转入步骤(5)，否则转入步骤(7)；

具体而言，当一次性登录验证信息是签名信息时，本步骤中判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器对签名信息进行有效性验证，如果成功，则表示一次性登录验证信息有效，否则表示无效。

当一次性登录验证信息是加密信息时，本步骤中判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器查找其存储的、该移动端向该认证服务器注册时生成的私钥，然后利用该私钥解密该加密消息，如果解密成功，则表示一次性登录验证信息有效，否则表示无效。

当一次性登录验证信息是动态口令信息时，本步骤中判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器判断该动态口令是否有效，如果是，则表示一次性登录验证信息有效，否则表示无效。

当一次性登录验证信息是鉴别验证信息时，本步骤中判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器对一次性登录验证信息进行逆运算，解析出移动端的登录用户生物识别信息，并与其存储的该移动端的登录用户生物特征识别信息进行比对，如果比对通过，则表示一次性登录验证信息有效，否则表示无效。

(5)认证服务器将操作系统登录用户名和验证成功结果发送到客户端；

具体而言，本步骤中认证服务器将操作系统登录用户名和验证成功结果发送到客户端，可以是认证服务器在客户端向其轮询验证结果后将操作系统登录用户名和验证成功结果发送到客户端，或者是认证服务器主动将操作系统登录用户名和验证成功结果推送到客户端。

(6)客户端根据验证成功结果使用操作系统登录用户名登录操作系统，过程结束；

具体而言，本步骤具体为：客户端使用操作系统登录用户名和保存的登录密码执行Windows标准登录认证。

进一步优选地，该登录密码可以是操作系统登录用户在向认证服务器注册阶段输入的原始登录密码，也可以是操作系统登录用户向认证服务器注册阶段输入原始登录密码后，客户端对该原始登录密码进行派生所生成的新的复杂密码，客户端随后调用操作系统修改登录密码功能，使用新的复杂密码代替原始登录密码。

上述对原始登录密码进行派生的具体过程，是以原始登录密码作为输入，对原始登录密码进行哈希(Hash)运算、哈希运算消息认证码(Hash-based MessageAuthentication Code，简称HMAC)运算、或密钥派生运算(Key Derivation Function，简称KDF)。

本步骤中使用新的复杂密码替换原始登录密码的优点在于，增强登录密码的安全强度，防止黑客暴力破解。

(7)认证服务器通知客户端验证失败，过程结束。

如图3所示，根据本发明的第三种实施方式，提供了一种基于移动端增强Windows操作系统登录安全性的方法，是应用在认证服务器、客户端、以及移动端的环境中，其中认证服务器与客户端和移动端二者均通信连接，该方法包括以下步骤：

(1)客户端在其登录界面显示二维码，其中该二维码中包括登录认证请求消息；

具体而言，二维码可以是由客户端自身生成，或者由客户端调用认证服务器生成。

客户端安装有Windows操作系统，其可以是个人电脑(Personal computer，简称PC)、笔记本(Laptop)、服务器(Server)等。

具体而言，登录认证请求消息包括一次性随机数、客户端硬件标识、客户端的Windows操作系统标识等。

作为进一步优选地，本发明的方法还可以包括，在上述步骤(1)之前，客户端检测其自身是否联网，如果联网则进入步骤(1)，否则，客户端模拟显示默认的Windows登录界面供操作系统登录用户登录，过程结束。

上述步骤的具体过程为：客户端进入自定义凭据提供者(Credential Providers，简称CP)，检测其自身是否联网，如果联网则进入步骤(1)，否则，自定义凭据提供者模拟默认的凭据提供者，显示和默认的Windows登录相同的界面供操作系统登录用户登录，并在接收到操作系统登录用户输入的静态密码后，执行默认的登录认证过程，验证成功，允许操作系统用户登录，否则拒绝操作系统登录用户登录。

本步骤的优点在于，即使在不联网的条件下，也不改变操作系统登录用户原有的操作体验，从而进一步增强操作系统登录用户的使用便捷性。

(2)移动端扫描客户端登录界面上显示的二维码，以获取登录认证请求消息；

具体而言，移动端可以是具有扫描识别二维码功能、以及身份标识信息的终端，包括但不局限于手机、IPad等。

进一步优选地，本发明方法还可以包括在上述步骤(2)之后、步骤(3)之前，移动端对操作系统登录用户进行身份鉴别，鉴别成功则进入步骤(3)，鉴别失败则过程结束；鉴别方式包括指纹认证、虹膜认证、人脸识别中的一种或多种。

本步骤的优点在于，只会为合法的操作系统登录用户产生一次性登录验证信息，从而能够增强本发明方法的安全性。

进一步优选地，当步骤(1)中的二维码中包括二维码生成方的身份鉴别信息时，本发明方法还可以包括在上述步骤(2)之后、步骤(3)之前，移动端对二维码生成方的身份鉴别信息进行验证，验证成功则进入步骤(3)，验证失败则过程结束。

本步骤的优点在于，能够确保二维码的生成方是合法的，并避免二维码被黑客替换，从而进一步提升本发明方法的安全性。

二维码生成方的身份鉴别信息是签名信息、加密信息、或动态口令信息。

当二维码生成方的身份鉴别信息是签名信息时，本步骤中对二维码生成方的身份鉴别信息进行验证这一过程具体为，移动端对签名信息进行有效性验证，如果成功，则表示二维码生成方的身份鉴别信息有效，否则表示无效。

当二维码生成方的身份鉴别信息是加密信息时，本步骤中对二维码生成方的身份鉴别信息进行验证这一过程具体为，移动端查找其存储的、该移动端向该认证服务器注册时生成的私钥，然后利用该私钥解密该加密消息，如果解密成功，则表示二维码生成方的身份鉴别信息有效，否则表示无效。

当二维码生成方的身份鉴别信息是动态口令信息时，本步骤中对二维码生成方的身份鉴别信息进行验证这一过程具体为，移动端判断该动态口令是否有效，如果是，则表示二维码生成方的身份鉴别信息有效，否则表示无效。

(3)移动端利用该移动端的身份标识信息和登录认证请求消息生成一次性登录验证信息，并将该一次性登录验证信息发送给认证服务器；

移动端的身份标识信息包括移动端的私钥、加密证书、种子密钥、以及登录用户生物识别信息(包括指纹、虹膜、人脸等)中的一种或多种。

本步骤中利用该移动端的身份标识信息和登录认证请求消息生成一次性登录验证信息这一过程，可以是使用移动端的私钥对登录认证请求消息进行数字签名运算生成签名信息作为一次性登录验证信息，或者是使用移动端的加密证书对登录认证请求消息进行加密运算生成加密信息作为一次性登录验证信息，也可以是使用移动端的种子密钥对登录认证请求消息进行动态口令运算生成一次性动态口令作为一次性登录验证信息，也可以是使用移动端的登录用户生物识别信息对登录认证请求消息进行运算生成鉴别验证信息作为一次性登录验证信息。

(4)认证服务器判断来自移动端的一次性登录验证信息是否有效，如果有效则转入步骤(5)，否则转入步骤(7)；

具体而言，当一次性登录验证信息是签名信息时，本步骤中判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器对签名信息进行有效性验证，如果成功，则表示一次性登录验证信息有效，否则表示无效。

当一次性登录验证信息是加密信息时，本步骤中判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器查找其存储的、该移动端向该认证服务器注册时生成的私钥，然后利用该私钥解密该加密消息，如果解密成功，则表示一次性登录验证信息有效，否则表示无效。

当一次性登录验证信息是动态口令信息时，本步骤中判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器判断该动态口令是否有效，如果是，则表示一次性登录验证信息有效，否则表示无效。

当一次性登录验证信息是鉴别验证信息时，本步骤中判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器对一次性登录验证信息进行逆运算，解析出移动端的登录用户生物识别信息，并与其存储的该移动端的登录用户生物特征识别信息进行比对，如果比对通过，则表示一次性登录验证信息有效，否则表示无效。

(5)认证服务器将验证成功结果、以及移动端向其注册时创建的操作系统登录用户名发送到客户端；

具体而言，本步骤中认证服务器将操作系统登录用户名和验证成功结果发送到客户端，可以是认证服务器在客户端向其轮询验证结果后将操作系统登录用户名和验证成功结果发送到客户端，或者是认证服务器主动将操作系统登录用户名和验证成功结果推送到客户端。

(6)客户端根据验证成功结果使用操作系统登录用户名登录操作系统，过程结束；

具体而言，本步骤具体为：客户端使用操作系统登录用户名和保存的登录密码执行Windows标准登录认证。

进一步优选地，该登录密码可以是操作系统登录用户在向认证服务器注册阶段输入的原始登录密码，也可以是操作系统登录用户向认证服务器注册阶段输入原始登录密码后，客户端对该原始登录密码进行派生所生成的新的复杂密码，客户端随后调用操作系统修改登录密码功能，使用新的复杂密码代替原始登录密码。

上述对原始登录密码进行派生的具体过程，是以原始登录密码作为输入，对原始登录密码进行哈希(Hash)运算、哈希运算消息认证码(Hash-based MessageAuthentication Code，简称HMAC)运算、或密钥派生运算(Key Derivation Function，简称KDF)。

本步骤中使用新的复杂密码替换原始登录密码的优点在于，增强登录密码的安全强度，防止黑客暴力破解。

(7)认证服务器通知客户端验证失败，过程结束。

本领域的技术人员容易理解，以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种基于移动端增强Windows操作系统登录安全性的方法，是应用在认证服务器、客户端、以及移动端的环境中，其中认证服务器与客户端和移动端二者均通信连接，其特征在于，该方法包括以下步骤：

(1)客户端在其登录界面显示二维码，其中该二维码中包括登录认证请求消息；

(2)移动端扫描客户端登录界面上显示的二维码，以获取登录认证请求消息；

(3)移动端利用该移动端的身份标识信息和登录认证请求消息生成一次性登录验证信息，并将该一次性登录验证信息发送给认证服务器；

(4)认证服务器判断来自移动端的一次性登录验证信息是否有效，如果有效则转入步骤(5)，否则转入步骤(7)；

(5)认证服务器将操作系统登录用户名和验证成功结果发送到客户端；

(6)客户端根据验证成功结果使用操作系统登录用户名登录操作系统，过程结束；

(7)认证服务器通知客户端验证失败，过程结束。

2.根据权利要求1所述的基于移动端增强Windows操作系统登录安全性的方法，其特征在于，

登录认证请求消息包括一次性随机数、客户端硬件标识、以及客户端的Windows操作系统标识中的一种或多种；

移动端的身份标识信息包括移动端的私钥、加密证书、种子密钥、以及登录用户生物识别信息中的一种或多种。

3.根据权利要求2所述的基于移动端增强Windows操作系统登录安全性的方法，其特征在于，

当移动端的身份标识信息是移动端的私钥时，利用该移动端的身份标识信息和登录认证请求消息生成一次性登录验证信息这一过程，是使用移动端的私钥对登录认证请求消息进行数字签名运算，以生成签名信息作为一次性登录验证信息；

当移动端的身份标识信息是移动端的加密证书时，利用该移动端的身份标识信息和登录认证请求消息生成一次性登录验证信息这一过程，是使用移动端的加密证书对登录认证请求消息进行加密运算，以生成加密信息作为一次性登录验证信息；

当移动端的身份标识信息是移动端的种子密钥时，利用该移动端的身份标识信息和登录认证请求消息生成一次性登录验证信息这一过程，是使用移动端的种子密钥对登录认证请求消息进行动态口令运算，以生成一次性动态口令作为一次性登录验证信息；

当移动端的身份标识信息是移动端的登录用户生物识别信息时，利用该移动端的身份标识信息和登录认证请求消息生成一次性登录验证信息这一过程，是使用移动端的登录用户生物识别信息对登录认证请求消息进行运算生成鉴别验证信息作为一次性登录验证信息。

4.根据权利要求3所述的基于移动端增强Windows操作系统登录安全性的方法，其特征在于，

当一次性登录验证信息是签名信息时，判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器对签名信息进行有效性验证，如果成功，则表示一次性登录验证信息有效，否则表示无效；

当一次性登录验证信息是加密信息时，判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器查找其存储的、该移动端向该认证服务器注册时生成的私钥，然后利用该私钥解密该加密消息，如果解密成功，则表示一次性登录验证信息有效，否则表示无效；

当一次性登录验证信息是动态口令信息时，判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器判断该动态口令是否有效，如果是，则表示一次性登录验证信息有效，否则表示无效；

当一次性登录验证信息是鉴别验证信息时，判断来自移动端的一次性登录验证信息是否有效这一过程具体为，认证服务器对一次性登录验证信息进行逆运算，解析出移动端的登录用户生物识别信息，并与其存储的该移动端的登录用户生物特征识别信息进行比对，如果比对通过，则表示一次性登录验证信息有效，否则表示无效。

5.根据权利要求1所述的基于移动端增强Windows操作系统登录安全性的方法，其特征在于，操作系统登录用户名是包括在步骤(1)的二维码中，或者是步骤(3)的移动端中内置的，或者是步骤(5)中认证服务器在移动端向其注册时创建的。

6.根据权利要求1所述的基于移动端增强Windows操作系统登录安全性的方法，其特征在于，还包括在步骤(1)之前，客户端检测其自身是否联网，如果联网则进入步骤(1)，否则，客户端模拟显示默认的Windows登录界面供操作系统登录用户登录，过程结束。

7.根据权利要求1所述的基于移动端增强Windows操作系统登录安全性的方法，其特征在于，还包括在上述步骤(2)之后、步骤(3)之前，移动端对操作系统登录用户进行身份鉴别，鉴别成功则进入步骤(3)，鉴别失败则过程结束。

8.根据权利要求1所述的基于移动端增强Windows操作系统登录安全性的方法，其特征在于，当步骤(1)中的二维码中包括二维码生成方的身份鉴别信息时，所述方法还包括在上述步骤(2)之后、步骤(3)之前，移动端对二维码生成方的身份鉴别信息进行验证，验证成功则进入步骤(3)，验证失败则过程结束。

9.根据权利要求8所述的基于移动端增强Windows操作系统登录安全性的方法，其特征在于，

二维码生成方的身份鉴别信息是签名信息、加密信息、或动态口令信息；

当二维码生成方的身份鉴别信息是签名信息时，移动端对二维码生成方的身份鉴别信息进行验证这一过程具体为，移动端对签名信息进行有效性验证，如果成功，则表示二维码生成方的身份鉴别信息有效，否则表示无效。

当二维码生成方的身份鉴别信息是加密信息时，移动端对二维码生成方的身份鉴别信息进行验证这一过程具体为，移动端查找其存储的、该移动端向该认证服务器注册时生成的私钥，然后利用该私钥解密该加密消息，如果解密成功，则表示二维码生成方的身份鉴别信息有效，否则表示无效。

当二维码生成方的身份鉴别信息是动态口令信息时，移动端对二维码生成方的身份鉴别信息进行验证这一过程具体为，移动端判断该动态口令是否有效，如果是，则表示二维码生成方的身份鉴别信息有效，否则表示无效。

10.一种基于移动端增强Windows操作系统登录安全性的系统，是应用在认证服务器、客户端、以及移动端的环境中，其中认证服务器与客户端和移动端二者均通信连接，其特征在于，该系统包括：

第一模块，其设置于客户端中，用于在其登录界面显示二维码，其中该二维码中包括登录认证请求消息；

第二模块，其设置于移动端中，用于扫描客户端登录界面上显示的二维码，以获取登录认证请求消息；

第三模块，其设置于移动端中，用于利用该移动端的身份标识信息和登录认证请求消息生成一次性登录验证信息，并将该一次性登录验证信息发送给认证服务器；

第四模块，其设置于认证服务器中，用于判断来自移动端的一次性登录验证信息是否有效，如果有效则转入第五模块，否则转入第七模块；

第五模块，其设置于认证服务器中，用于将操作系统登录用户名和验证成功结果发送到客户端；

第六模块，其设置于客户端中，用于根据验证成功结果使用操作系统登录用户名登录操作系统，过程结束；

第七模块，其设置于认证服务器中，用于通知客户端验证失败，过程结束。

Images