CN101552671A

CN101552671A - 基于u盘和动态差异密码的网络身份认证方法及系统

Info

Publication number: CN101552671A
Application number: CNA2009100114124A
Authority: CN
Inventors: 姚清野
Original assignee: Individual
Current assignee: Individual
Priority date: 2009-05-06
Filing date: 2009-05-06
Publication date: 2009-10-07

Abstract

本发明涉及一种基于U盘和动态差异密码的双因子网络身份认证方法及系统，具有安全性高、普及性好和易于操作的特点，可应用于银行、证券、网络游戏、电子商务等领域。其方法：使用前，用户先准备一个U盘，并将用户账户和所选择的U盘进行绑定；使用中，首先用户打开登录界面，输入用户名；然后服务器发送一个随机提示码给用户，用户根据提示码的内容输入差异密码；用户插入认证用的U盘；用户提交加密信息到服务器进行认证；认证通过，用户身份被确认，可以使用网络服务；认证失败，提示用户重新认证。其系统：包括U盘、用户计算机、网络服务器、数据库服务器，U盘插在用户计算机上，网络服务器包含身份认证组件。

Description

基于U盘和动态差异密码的网络身份认证方法及系统

技术领域

本发明涉及一种网络上用于确定用户身份的认证方法及系统，尤其是一种适合于Web方式的基于普通U盘和动态差异密码的双因子网络身份认证方法及系统，当然该方法不仅可以用于B/S结构，也可以用于C/S结构。

背景技术

尽管中国互联网在飞速发展，网上银行、电子商务、网络游戏等产业的用户使用量正在逐年上升，但是用户的安全感正在不断下降。由于病毒等黑色产业链的存在，导致客户资金被盗、游戏装备被偷等事件时有发生。

目前网络系统中常用的身份认证方式主要有以下几种：

1、动态密码(Dynamic Password)也称一次性密码，它指用户的密码按照时间或使用次数不断变化，每个密码只使用一次。常见的有：口令牌，手机软件令牌，短信发送，密码卡等。如申请(专利)号CN200610038577.7公布的一种双因子动态密码认证的方法及系统是基于手机短信的。由于动态密码通常是一分钟变换一次密码，而且在提交认证信息时不依赖于系统硬件设备，黑客可以将病毒植入用户机器，当用户输入动态密码时，截获用户输入，禁止用户登录，然后把此动态密码和用户名等信息发送到黑客机器上，立即进行登录就可以成功。而且基于手机短信的方式具有很大的延迟性，基于口令牌的需要购置硬件设备，基于时间同步的还会产生时间偏差，在实际使用中存在诸多问题。

2、USB Key是一种USB接口的硬件设备。它内置单片机或智能卡芯片，有一定的存储空间，可以存储用户的私钥以及数字证书，利用USB Key内置的公钥算法实现对用户身份的认证。由于用户私钥保存在密码锁中，理论上使用任何方式都无法读取，因此保证了用户认证的安全性。但在使用中用户需要购买硬件，而且有些还需要安装驱动程序，此外每家网站都采用不同的USB Key，如果用户使用多家银行就要拥有多个USB Key，管理起来很不方便，也很难普及。当然对于黑客来说可以通过控制用户电脑，使用用户的机器和USB Key登录，也存在安全问题。如申请(专利)号：CN200420000949.3网上银行利用USB Key加密、认证的装置。而申请(专利)号：CN200610111628.4网上银行U盘KEY加密、认证的装置和方法是把USB Key和U盘合并成一个硬件来使用，并把驱动程序存储在U盘中，虽然是一种改进，但是其设备需要单独生产，存储的驱动程序也可能不适合用户的操作系统，还占用U盘的存储空间，反而带来更多的问题。

3、矩阵密码或者称为四方密码如申请(专利)号：CN200810031695.4基于随机字符组的动态口令身份认证方法，将字符和数字按照矩阵的形式印刷在一张卡片上，用户先要得到一个矩阵密码卡，再和自己的账户绑定，然后根据系统的提示，输入矩阵中对应坐标的内容。由于矩阵密码卡是固定的，当病毒多次记录用户输入，就能够破解密码卡的内容，很多公司建议客户定期更换密码卡，但是用户根本不知道什么时间更换，因为不知道黑客什么时间能够破解，其安全性是无法保证的，而且用户在使用前还需要购置密码卡，长远来看不够安全，也不利于普及。

4、此外还有传统的基于用户名和密码的方式、生物特征认证等方式，用户名和密码的方式现在看来已经很不安全了，而生物特征认证技术又不太成熟。

现有网络身份认证方案并不能同时解决安全性和普及性的问题，商家把责任推给用户，让用户正确使用网络、安装杀毒软件等方法并不能解决实质问题，USB Key、动态密码、矩阵密码等技术方案虽然能在一定程度上提高网络的安全性，但由于需要花钱购买硬件，并不能解决普及性问题，而数字证书、USB Key等需要安装驱动程序，使用复杂，让一些用户望尘莫及。现如今我们需要一种安全性高、普及性好和易于操作的网络身份认证方法，特别是Web方式下的。

发明内容

本发明的目的在于：针对目前网络身份认证方法中存在的问题和不足，尤其是在安全性和普及性上的不足，以及业界通常认为在web方式下很难读取客户机硬件信息的前提下，提供了一种适合于Web方式的基于U盘和动态差异密码的双因子网络身份认证方法及系统，当然该方法不仅可以用于B/S结构，也可以用于C/S结构。

为实现上述目的，本发明采用的技术方案为：

一种基于U盘和动态差异密码的网络身份认证方法，其特征在于：

使用前，用户先准备一个或者多个U盘，并将用户账户和所选择的U盘进行绑定，建立一种关联关系；使用中：

a.用户打开登录界面，输入用户名；

b.服务器发送一个随机提示码给用户，用户根据随机提示码的内容输入差异密码；

c.用户插入认证用的U盘；

d.用户提交加密信息到服务器进行认证；

e.认证通过，用户身份被确认，可以使用网络服务；认证失败，提示用户重新认证。

所述的U盘又称为“闪存”、“闪盘”等，是一种通过USB接口连接到电脑上使用的移动存储设备，具有唯一的硬件id，小巧便于携带，存储容量大，价格便宜。

所述的绑定可以由用户自己绑定，也可以由管理员绑定，其特征是将用户账户和选择的U盘建立一种关联关系。

所述用户账户包含用户名、密码、电子邮件及其它资料，其特征在于能够标志用户身份，在数据库中是唯一的。

所述随机提示码是由服务器端产生，并以图像的形式显示给用户，服务器记录该随机提示码的内容，用于密码验证时使用，提示码的内容是随机的不重复的，可以是字符、数字、特殊符号等。

所述差异密码是用户将设置的原始密码与随机提示码的内容进行比较，去掉在随机提示码中出现的内容，剩余的只是密码的一部分即差异密码，差异密码包含在原始密码中，根据随机提示码的变化而变化，差异密码可以直接通过键盘输入，也可以选择软键盘输入，软键盘具有隐藏真实输入内容，对输入内容进行加密的功能，能够更好的保护用户的输入。

所述加密信息是U盘的硬件id、U盘名称和用户输入的差异密码，提交的信息采用不可逆加密方式加密，例如MD5，也可以采用其它方式加密，加密后的信息不能直接阅读，不容易被破解。

所述到服务器进行认证是指服务器根据客户端提交的信息与服务器存储的信息进行比较，比较的内容包括用户名、U盘id和名称的密文、差异密码的密文。

U盘、密码丢失等特殊情况的处理：

预先进行CPU备案，把用户账户和用户计算机CPU建立一种关联关系；

然后：

a.U盘丢失：采用CPU和密码登录，重新设置U盘；

b.密码丢失：采用CPU和U盘登录，重新设定密码；

c.U盘和密码同时丢失：采用CPU和电子邮件确认信进行登录，重新设置U盘和密码；

d.U盘、密码丢失，但找不到原备案用的CPU：可以提交身份证、联系电话等资料进行挂失。

所述CPU为上网电脑使用的CPU，如Intel、AMD等，其特征在于具有唯一的硬件id。

一种实现上述基于U盘和动态差异密码的网络身份认证方法的系统，包括U盘、用户计算机、网络服务器、存储用户资料的数据库服务器，U盘插在用户计算机的USB接口上，用户计算机通过网络连接网络服务器，网络服务器上包含基于U盘和动态差异密码的双因子身份认证组件，用户计算机仅能访问网络服务器，再由网络服务器根据用户请求访问数据库服务器。

所述网络服务器通常是一台或多台专用服务器或者性能较好的机器，除包含必备服务器软件和应用系统外，还要包含基于U盘和动态差异密码的双因子身份认证组件，具体包括：核心模块、硬件信息提取模块、随机提示码模块、差异密码处理模块、加密模块、邮件发送模块、授权模块。

所述的应用系统是指银行、证券、游戏、电子商务等根据业务需要而开发的运行在服务器上的系统。

本发明的优点在于：

1、是一种依赖硬件和软件的认证方案：单独依赖硬件或者软件的方案都是不安全的，只有同时依赖硬件和软件的认证方案才能保证安全，防止因硬件丢失或者密码丢失而出现安全问题。本方案采用普通的U盘作为硬件，结合动态差异密码进行认证，能够有效的保护因用户疏忽、病毒入侵、远程控制、暴力破解、信息篡改等导致的安全问题，从而保证认证的安全性。

2、所选用的U盘是基于USB接口的常规移动存储设备，多数用户都有U盘，无需为了认证使用而单独购买，普及性好，此外还具有价格低，体积小，重量轻，易于购买，易于携带，使用方便等特点，相对于USB Key、动态密码等硬件设备具有明显的优势。

3、客户端无需安装特殊软件，也不需要写入任何私密信息，易于操作。

4、一个U盘可以用于多个系统的认证，避免携带多个硬件设备。

5、易于实施和对现有服务器进行改造，支持多种类型的服务器语言。

因此本发明具有安全性高、普及性好和易于操作的特点，特别适合Web方式下的身份认证。

附图说明

图1是本发明的系统示意图；

图2是本发明的身份认证组件的系统结构图；

图3是用户注册的流程图；

图4是用户登录的流程图；

图5是用户通过CPU重新设置密码的流程图；

图6是用户通过CPU重新设置U盘的流程图；

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步的描述：由于USB接口和U盘已经相当普及，本发明实现的就是基于U盘和动态差异密码的网络身份认证方法及系统。由图1可见，实现本发明的具体系统与传统的网络系统一样，都包括：用户计算机、网络服务器、数据库服务器，其区别就在于：

1、用户计算机还包括插在计算机USB接口上的U盘；

2、网络服务器上包含基于U盘和动态差异密码的双因子认证组件。

所述的认证组件如图2所示，包括：核心模块、硬件信息提取模块、随机提示码模块、差异密码处理模块、加密模块、邮件发送模块、授权模块。其中硬件信息提取模块用于提取客户机的硬件信息，例如U盘、CPU等；随机提示码模块用于生成和记录随机提示码并生成显示随机提示码的图像；差异密码处理模块用于得到和比较差异密码，既将用户的原始密码与随机提示码的内容进行比较，去掉原始密码在随机提示码中出现的内容，然后再与用户输入的密码进行比较；加密模块用于对硬件信息和密码进行加密；邮件发送模块用于为用户发送电子邮件确认信；授权模块用于给服务器授权，限制未授权的服务器使用。下面以电子商务网站和IE浏览器为例作进一步说明：

1、用户先准备一个或者多个U盘；

2、用户将该网站添加到受信任的站点并设置IE浏览器启用“对没有标记为安全的ActiveX控件进行初始化和脚本运行”；

3、注册一个用户并将用户账户和所准备的U盘进行绑定，如图3所示：

301.输入用户名；

302.判断用户名是否有误，如果有误就提示重新输入；

303.输入密码；

304.判断密码是否有误，如果有误就提示重新输入；

305.填写用户资料；

306.判断用户资料是否有误，如果有误提示重新填写；

307.插入U盘；

308.判断U盘个数，如果U盘个数小于等于0，提示插入U盘，如果U盘个数大于1，提示用户选择一个或者多个用于认证的U盘；

309.读取本机CPU的id信息；

310.判断是否有误，如果有误就提示错误信息；

311.提交用户资料到服务器注册；

312.判断是否成功，如果失败就提示用户重新注册；

313.注册成功；

4、使用注册的用户登录该网站，如图4所示：

401.检查随机提示码；

402.查看是否清楚，如果不清楚就换一个提示码；

403.输入用户名；

404.判断用户名是否有误，如果有误就提示重新输入；

405.输入差异密码；

406.判断是否使用软键盘，如果不使用软键盘就直接输入密码；

407.使用软键盘选择密码；

408.判断密码是否有误，如果有误就提示重新输入；

409.插入U盘；

410.判断U盘个数，如果U盘个数小于等于0，提示插入U盘，如果U盘个数大于1，提示用户选择一个或者多个用于认证的U盘；

411.把用户资料和硬件信息加密并提交到服务器进行认证；

412.判断是否成功，如果失败就提示用户重新登录；

413.登录成功；

5、如果用户密码丢失，可以采用CPU和U盘重新设置密码，如图5所示：

501.输入用户名；

502.判断用户名是否有误，如果有误就提示重新输入；

503.插入U盘；

504.判断U盘个数，如果U盘个数小于等于0，提示插入U盘，如果U盘个数大于1，提示用户选择一个或者多个用于认证的U盘；

505.读取本机CPU的id信息；

506.判断是否有误，如果有误就提示错误信息；

507.提交用户资料到服务器进行认证；

508.判断是否成功，如果失败就提示用户重新输入；

509.重新设置密码；

510.判断是否成功，如果失败就提示用户重新设置密码；

511.成功；

6、如果用户U盘丢失或者损坏，可以采用CPU和密码重新绑定U盘，如图6所示：

601.检查随机提示码；

602.查看是否清楚，如果不清楚就换一个提示码；

603.输入用户名；

604.判断用户名是否有误，如果有误就提示重新输入；

605.输入差异密码；

606.判断是否使用软键盘，如果不使用软键盘就直接输入密码；

607.使用软键盘选择密码；

608.判断密码是否有误，如果有误就提示重新输入；

609.读取本机CPU的id信息；

610.提交用户资料和硬件信息到服务器进行认证；

611.判断是否成功，如果失败就提示用户重新输入；

612.重新绑定U盘；

613.判断是否成功，如果失败就提示用户重新绑定；

614.成功；

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1、一种基于U盘和动态差异密码的网络身份认证方法，其特征在于：

使用前，用户先准备一个或者多个U盘，并将用户账户和所选择的U盘进行绑定，建立一种关联关系；

使用中：

a.用户打开登录界面，输入用户名；

c.用户插入认证用的U盘；

d.用户提交加密信息到服务器进行认证；

2、根据权利要求1所述的一种基于U盘和动态差异密码的网络身份认证方法，其特征在于所述的U盘又称为“闪存”、“闪盘”等，是一种通过USB接口连接到电脑上使用的移动存储设备，具有唯一的硬件id，小巧便于携带，存储容量大，价格便宜。

3、根据权利要求1所述的一种基于U盘和动态差异密码的网络身份认证方法，其特征在于所述随机提示码是由服务器端产生，并以图像的形式显示给用户，服务器记录该随机提示码的内容，用于密码验证时使用，提示码的内容是随机的不重复的，可以是字符、数字、特殊符号等。

4、根据权利要求1所述的一种基于U盘和动态差异密码的网络身份认证方法，其特征在于所述差异密码是用户将设置的原始密码与随机提示码的内容进行比较，去掉在随机提示码中出现的内容，剩余的只是密码的一部分即差异密码，差异密码包含在原始密码中，根据随机提示码的变化而变化，差异密码可以直接通过键盘输入，也可以选择软键盘输入，软键盘具有隐藏真实输入内容，对输入内容进行加密的功能，能够更好的保护用户的输入。

5、根据权利要求1所述的一种基于U盘和动态差异密码的网络身份认证方法，其特征在于所述加密信息是U盘的硬件id、U盘名称和用户输入的差异密码，提交的信息采用不可逆加密方式加密，例如MD5，也可以采用其它方式加密，加密后的信息不能直接阅读，不容易被破解。

6、根据权利要求1所述的一种基于U盘和动态差异密码的网络身份认证方法，其特征在于所述到服务器进行认证是指服务器根据客户端提交的信息与服务器存储的信息进行比较，比较的内容包括用户名、U盘id和名称的密文、差异密码的密文。

7、根据权利要求1所述的一种基于U盘和动态差异密码的网络身份认证方法，其特征在于U盘、密码丢失等特殊情况的处理：

然后：

a.U盘丢失：采用CPU和密码登录，重新设置U盘；

b.密码丢失：采用CPU和U盘登录，重新设定密码；

8、一种实现权利要求1所述的基于U盘和动态差异密码的网络身份认证方法的系统，其特征在于包括U盘、用户计算机、网络服务器、存储用户资料的数据库服务器，U盘插在用户计算机的USB接口上，用户计算机通过网络连接网络服务器，网络服务器上包含基于U盘和动态差异密码的双因子身份认证组件，用户计算机仅能访问网络服务器，再由网络服务器根据用户请求访问数据库服务器。

9、根据权利要求8所述的一种实现权利要求1所述的基于U盘和动态差异密码的网络身份认证方法的系统，其特征在于所述网络服务器通常是一台或多台专用服务器或者性能较好的机器，除包含必备服务器软件和应用系统外，还要包含基于U盘和动态差异密码的双因子身份认证组件，具体包括：核心模块、硬件信息提取模块、随机提示码模块、差异密码处理模块、加密模块、邮件发送模块、授权模块。

10、根据权利要求8所述的一种实现权利要求1所述的基于U盘和动态差异密码的网络身份认证方法的系统，其特征在于所述的应用系统是指银行、证券、游戏、电子商务等根据业务需要而开发的运行在服务器上的系统。