CN101582896A - 第三方网络认证系统及其认证方法 - Google Patents

Abstract

一种第三方网络认证系统及其认证方法，该第三方网络认证系统设置有客户端(1)和服务器端(2)，其特征在于：还设置有认证端(3)；本第三方网络认证系统认证方法，其特征是按照下列步骤进行：启动客户端(1)、预置用户信息、获取物理认证码、物理认证码加密、发送客户端(1)信息、服务器端(2)信息一次加密、二次加密、认证端(3)解密、客户认证、客户认证信息加密、认证信息解密、客户确认。本发明的显著效果是：在现有软件密码保护的基础上，增加额外的硬件保护设备，又能在用户和服务器软件商之外，增加第三方认证单元，从本质上提升整个网络系统的安全性，在根本上解决了盗号问题。

Description

第三方网络认证系统及其认证方法

技术领域

本发明属于网络信息安全技术领域，具体是一种第三方网络认证系统及其认证方法。

背景技术

在现在的计算机及网络系统中，经常需要一种安全措施来保护在计算机或网络上的机密数据不被窃取或篡改，因此产生了加密技术。现有的加密技术通常分为两大类：对称式和非对称式，然而，现在出现了许多盗取键盘输入、截屏、盗取文件功能的木马程序，这种木马程序多数有恶意企图，例如盗取QQ帐号、游戏帐号甚至银行帐号，并且一般潜伏在用户的电脑中，在用户的键盘输入过程中窃取用户的数据信息，给用户的信息安全造成很大影响。

上述大多数的木马程序都是按照机械的时间排序法来截取密码，也就是说，按照用户输入密码的时间先后顺序来截取密码。例如，用户先后输入1、2两个数字，截取到的密码即为12，但假设正确密码为21，如果用户输入1，然后再移动到1前面输入2，那么按照输入密码的时间先后顺序，木马程序截取到的密码为12而不是正确的密码21。

目前一般的防止这种密码截取木马的做法是通过专门的控件来阻止，这种控件一般又分为2种类型。一种类型是基于系统hook(钩子)来阻止密码被截取，在实际中，往往由于windows在执行系统hook的时候没有先后顺序，所以一旦木马程序也是用系统hook，就有可能截取到密码。

另一种是驱动程序来阻止密码被截取，但这种方法有潜在的副作用，由于驱使程序往往被认为是操作系统层面的功能，用户不能接受，另外，一旦在操作系统层面上插入自己的代码，那么在理论上要实现其他作用也是可行的，这样就容易导致被杀毒软件认为是病毒等恶意软件而清除。

这两种类型的反木马方案都是通过抢占优先级和制高点，使得木马程序无法执行或者无法得到想要的结果，但是，这种优先级是由系统定义的。对于第一种基于hook的方案，其成功几率有限，并且现在已经有了破解方案。对于第二种基于驱动程序的方案，由于其开发成本较高，安装成也比较高，暂时不可能大规模推广使用。

专利申请号200610168036.6公开了一种口令认证方法，预置口令A和口令B，口令B由位于客户端的口令控件在用户注册时随机生成并发送至服务器端；接收用户名和口令A，口令控件根据用户名调用所述口令B；将用户名、口令A和口令B发送至服务器进行验证；判断数据库中是否存在匹配的用户名、口令A和口令B，如果存在，则向客户端返回验证通过。该验证方法无需键盘输入，无特殊保密算法，成本和风险较低。两组口令增强了用户帐号的安全性。

但现有技术的缺点是：不携带额外的硬件设备，都使用软件控件的方式进行帐号的安全保护，但任何纯软件保护都存在安全漏洞，且所有的认证过程都是在用户和服务器软件商二者之间完成，其免疫力非常低，难以从根本上解决盗号问题。

发明内容

本发明的目的是提供一种第三方网络认证系统及其认证方法，能从本质上提升整个网络系统的安全性，从根本上解决盗号问题。

为达到上述目的，第三方网络认证系统采用的技术方案如下：一种第三方网络认证系统，设置有客户端和服务器端，其关键在于：还设置有认证端；

除客户端和服务器端外，增加了作为第三方的认证端服务器，盗号者在攻克了客户端和服务器端同时，还必须攻克认证端服务器，这大大增加了盗号者的操作难度。

所述客户端设置有：

预置单元：用于预置用户帐号和用户密码；

物理控件：用于提供物理认证码；

在现有软件密码保护的基础上，增加额外的物理控件作为硬件保护设备，盗号者只有在盗取客户帐号和密码的同时，还窃走物理控件，才能成功。这在第三方网络认证的基础上，更增加了盗号者的操作难度。

客户端发送单元：用于将用户帐号和用户密码发送给所述服务器端，用于将物理认证码发送给所述认证端；

客户端接收单元：用于接收服务器端的验证结果；

所述服务器端设置有：

服务器接收单元：用于接收所述客户端发送的用户帐号和用户密码；

服务器控件：用于将所述用户帐号，以及服务器端信息发送给所述认证端，并接收所述认证端发送的认证信息；

服务器验证加密单元：用于综合判断所述认证信息、用户密码、用户帐号，生成验证结果；

服务器发送单元：用于发送所述验证结果给所述客户端；

所述认证端设置有：

认证端接收单元：用于接收服务器端发送的用户帐号和服务器端信息，接收客户端提供的物理认证码；

认证单元：用于对用户帐号、服务器端信息和物理认证码进行判别，生成认证信息；

认证数据库：用于存储正确的用户帐号、服务器端信息和物理认证码信息，为认证单元判别提供认证基础资料；

认证端发送单元：用于发送认证信息给所述服务器端。

所述服务器验证加密单元：还用于生成所述随机字符串a，所述服务器发送单元发送该随机字符串a、用户帐号和服务器端信息给所述服务器控件；

所述服务器控件设置有控件接受机构、控件加密机构、控件解密机构和控件发送机构；

控件接受机构：用于接受所述随机字符串a、用户帐号和服务器端信息，接受所述认证端发送单元发送的认证信息；

控件加密机构：用于对所述随机字符串a、用户帐号和服务器端信息加密；

控件解密机构：用于对所述认证信息解密；

控件发送机构：用于将所述随机字符串a、用户帐号和服务器端信息发送给认证端，发送所述认证信息给服务器验证加密单元。

所述客户端接收单元：还用于接收所述随机字符串a；

所述客户端还设置有：

加密机构：利用所述随机字符串a对所述物理认证码加密；

服务器验证加密单元生成随机字符串a，并分别发送给客户端和认证端，只有正确利用随机字符串a进行加密、解密，才能通过验证。

所述认证端还设置有：

解密机构：用于对所述物理认证码解密，还对所述用户帐号，以及服务器端信息解密。

所述认证端还设置有：

认证端加密机构：用于对所述认证信息加密。

所述物理控件为U盘或光盘或移动硬盘或移动看门狗或IC卡或用户手机。

一个所述认证端连接有至少一个服务器端，所述认证数据库都存储有每个服务器应用程序的软件名、以及该服务器的唯一认证码。

一个认证端的服务器能同时对多个服务商的服务器端做认证服务，无需服务商组建新的认证端服务器，降低了服务商的营运成本。

第三方网络认证系统认证方法采用的技术方案如下：其关键是按照下列步骤进行：

步骤一、启动客户端：客户端获取随机字符串a，该随机字符串a由服务器验证加密单元生成，由服务器发送单元发送，客户端接收单元接收；

步骤二、预置用户信息：通过预置单元置入用户信息，包括用户帐号和用户密码；

步骤三、获取物理认证码：通过物理控件获取物理认证码；物理认证码是物理控件固有的物理特性识别码，一个物理控件具备唯一的一个或多个物理特性识别码。

步骤四、物理认证码加密：加密机构利用所述随机字符串a对物理认证码加密；

步骤五、发送客户端信息：客户端发送单元发送用户信息给服务器接收单元，客户端发送单元发送加密后的物理认证码给认证端接收单元；

步骤六、服务器端信息一次加密：服务器接收单元将用户信息发送给服务器验证加密单元，服务器验证加密单元发送所述随机字符串a对用户帐号和服务器端信息给服务器控件的控件接受机构；

控件加密机构利用随机字符串a对用户帐号和服务器端信息一次加密，再将该服务器端加密信息和随机字符串a打包生成服务器端信息包b；

服务器端信息包括软件名称、服务商名称和服务器端的唯一识别码。

步骤七、服务器端信息二次加密：控件加密机构利用私钥对服务器端信息包b二次加密，并由控件发送机构发送该二次加密数据给认证端接收单元；

步骤八、认证端解密：解密机构利用私钥对二次加密数据解密，获取所述随机字符串a和服务器端信息包b，再利用该随机字符串a对服务器端信息包b和物理认证码解密；

控件加密机构的私钥与解密机构的私钥配对使用。

步骤九、客户认证：认证单元对用户帐号、服务器端信息和物理认证码进行判别，生成认证信息；

步骤十、客户认证信息加密：认证端加密机构利用随机字符串a对认证信息加密，并由认证端发送单元发送给所述控件接受机构；

步骤十一、认证信息解密：控件解密机构对所述认证信息解密，并由控件发送机构发送给服务器验证加密单元；

步骤十二、客户确认：服务器验证加密单元确认认证信息，如果认证信息正确，服务器验证加密单元再验证用户帐号和用户密码是否正确，并生成最终的验证结果，服务器发送单元验证结果给所述客户端。

本发明的显著效果是：在现有软件密码保护的基础上，增加额外的硬件保护设备，又能在用户和服务器软件商之外，增加第三方认证单元，从本质上提升整个网络系统的安全性，在根本上解决了盗号问题。同时，一个认证端的服务器能同时对多个服务商的服务器端做认证服务，无需服务商组建新的认证端服务器，降低了服务商的营运成本。

附图说明

图1为第三方网络认证系统的结构框图；

图2为服务器端的注册流程图；

图3为客户端的注册流程图；

图4为客户端的认证流程图。

具体实施方式

下面结合附图和具体实施例对本发明作进一步详细说明。

如图1所示，本发明是一种第三方网络认证系统，设置有客户端1、服务器端2和认证端3；

所述客户端1设置有：

预置单元11：用于预置用户帐号和用户密码；

物理控件12：用于提供物理认证码；

客户端发送单元13：用于将用户帐号和用户密码发送给所述服务器端2，用于将物理认证码发送给所述认证端3；

客户端接收单元14：用于接收服务器端2的验证结果；还用于接收所述随机字符串a；

加密机构15：利用所述随机字符串a对所述物理认证码加密；

所述认证端3还设置有：

解密机构35：用于对所述物理认证码解密，还对所述用户帐号，以及服务器端2信息解密。

所述服务器端2设置有：

服务器接收单元21：用于接收所述客户端1发送的用户帐号和用户密码；

服务器控件22：用于将所述用户帐号，以及服务器端2信息发送给所述认证端3，并接收所述认证端3发送的认证信息；

所述服务器控件22设置有控件接受机构2a、控件加密机构2b、控件解密机构2c和控件发送机构2d；

控件接受机构2a：用于接受所述随机字符串a、用户帐号和服务器端2信息，接受所述认证端发送单元34发送的认证信息；

控件加密机构2b：用于对所述随机字符串a、用户帐号和服务器端2信息加密；

控件解密机构2c：用于对所述认证信息解密；

控件发送机构2d：用于将所述随机字符串a、用户帐号和服务器端2信息发送给认证端3，发送所述认证信息给服务器验证加密单元23。

服务器验证加密单元23：用于综合判断所述认证信息、用户密码、用户帐号，生成验证结果；

还用于生成所述随机字符串a，所述服务器发送单元24发送该随机字符串a、用户帐号和服务器端2信息给所述服务器控件22；

服务器发送单元24：用于发送所述验证结果给所述客户端1；

所述认证端3设置有：

认证端接收单元31：用于接收服务器端2发送的用户帐号和服务器端2信息，接收客户端1提供的物理认证码；

认证单元32：用于对用户帐号、服务器端2信息和物理认证码进行判别，生成认证信息；

认证数据库33：用于存储正确的用户帐号、服务器端2信息和物理认证码信息，为认证单元32判别提供认证基础资料；

认证端发送单元34：用于发送认证信息给所述服务器端2。

认证端加密机构36：用于对所述认证信息加密。

所述物理控件12为U盘或光盘或移动硬盘或移动看门狗或IC卡或用户手机。

一个所述认证端3连接有至少一个服务器端2，所述认证数据库33都存储有每个服务器应用程序的软件名、以及该服务器的唯一认证码。

该第三方网络认证系统的注册方法分为服务器端2注册和客户注册两种，其中服务器端2注册步骤如下：

如图2所示，

步骤一、服务器端2发送服务器端2信息给认证端3；

步骤二、认证端接收单元31接收服务器端2信息，由认证单元32发送给认证数据库33存储；

步骤三、认证端发送单元34发送服务器控件22给服务器端2；

步骤四、服务器端2安装服务器控件22，该服务器控件22与服务器验证加密单元23、服务器发送单元24，以及认证端发送单元34建立连接关系。

如图3所示，客户注册步骤如下：

步骤一、启动客户端1：客户端1获取随机字符串a，该随机字符串a由服务器验证加密单元23生成，由服务器发送单元24发送，客户端接收单元14接收；

步骤二、建立用户信息：通过预置单元11建立用户信息，包括用户帐号和用户密码；

步骤三、安装物理控件12：通过物理控件12获取物理认证码；

步骤四、物理认证码加密：加密机构15利用所述随机字符串a对物理认证码加密；

步骤五、发送客户端1信息：客户端发送单元13发送用户信息给服务器接收单元21，客户端发送单元13发送加密后的物理认证码给认证端接收单元31；

步骤六、服务器端2信息一次加密：服务器接收单元21将用户信息发送给服务器验证加密单元23，服务器验证加密单元23发送所述随机字符串a对用户帐号和服务器端2信息给服务器控件22的控件接受机构2a；

控件加密机构2b利用随机字符串a对用户帐号和服务器端2信息一次加密，再将该服务器端2加密信息和随机字符串a打包生成服务器端信息包b；

步骤七、服务器端2信息二次加密：控件加密机构2b利用私钥对服务器端信息包b二次加密，并由控件发送机构2d发送该二次加密数据给认证端接收单元31；

步骤八、认证端3解密：解密机构35利用私钥对二次加密数据解密，获取所述随机字符串a和服务器端信息包b，再利用该随机字符串a对服务器端信息包b和物理认证码解密；

步骤九、客户认证信息安装：认证单元32对用户帐号、服务器端2信息和物理认证码进行判别，生成提供认证基础资料，并将该基础资料发送给认证数据库33存储；

步骤十、服务器端2确认客户信息：由认证端发送单元34发送客户确认信息给所述控件接受机构2a；

步骤十一、客户注册确认：服务器端2发送客户注册确认信息给所述客户端1。

如图4所示，本第三方网络认证系统的认证方法是按照下列步骤进行：

步骤一、启动客户端1：客户端1获取随机字符串a，该随机字符串a由服务器验证加密单元23生成，服务器验证加密单元23发送给服务器发送单元24，由服务器发送单元24发送，客户端接收单元14接收；

步骤二、预置用户信息：通过预置单元11置入用户信息，包括用户帐号和用户密码；预置单元11发送用户信息给加密机构15。

步骤三、获取物理认证码：通过物理控件12获取物理认证码；物理控件12发送物理认证码给加密机构15。

步骤四、物理认证码加密：加密机构15利用所述随机字符串a对物理认证码加密；加密机构15发送加密后的物理认证码给客户端发送单元13；加密机构15还发送用户信息给客户端发送单元13。也可以由预置单元11直接发送用户信息给客户端发送单元13。

步骤五、发送客户端1信息：客户端发送单元13发送用户信息给服务器接收单元21，客户端发送单元13发送加密后的物理认证码给认证端接收单元31；

步骤六、服务器端2信息一次加密：服务器接收单元21将用户信息发送给服务器验证加密单元23，服务器验证加密单元23发送所述随机字符串a对用户帐号和服务器端2信息给服务器控件22的控件接受机构2a；

控件加密机构2b利用随机字符串a对用户帐号和服务器端2信息一次加密，再将该服务器端2加密信息和随机字符串a打包生成服务器端信息包b；

步骤七、服务器端2信息二次加密：控件加密机构2b利用私钥对服务器端信息包b二次加密，控件加密机构2b将二次加密数据发送给所述控件发送机构2d，并由控件发送机构2d发送该二次加密数据给认证端接收单元31；

步骤八、认证端3解密：认证端接收单元31将加密后的物理认证码和二次加密数据发送给解密机构35，解密机构35利用私钥对二次加密数据解密，获取所述随机字符串a和服务器端信息包b，再利用该随机字符串a对服务器端信息包b和物理认证码解密；解密机构35再将解密后的数据交认证单元32；

步骤九、客户认证：认证单元32从认证数据库33获取基础资料，比较解密机构35解密后的数据与基础资料，认证单元32对用户帐号、服务器端2信息和物理认证码进行判别，生成认证信息；

步骤十、客户认证信息加密：认证单元32将认证信息和随机字符串a发送给认证端加密机构36，认证端加密机构36利用随机字符串a对认证信息加密，认证端加密机构36再发送加密后的认证信息给认证端发送单元34，并由认证端发送单元34发送给所述控件接受机构2a；控件接受机构2a再转发给控件解密机构2c。

步骤十一、认证信息解密：控件解密机构2c对所述认证信息解密，解密后交控件发送机构2d，并由控件发送机构2d发送给服务器验证加密单元23；

步骤十二、客户确认：服务器验证加密单元23确认认证信息，如果认证信息正确，服务器验证加密单元23再验证用户帐号和用户密码是否正确，并生成最终的验证结果，服务器发送单元24验证结果给所述客户端1。

Claims (7)

1、一种第三方网络认证系统，设置有客户端(1)和服务器端(2)，其特征在于：还设置有认证端(3)；

所述客户端(1)设置有：

预置单元(11)：用于预置用户帐号和用户密码；

物理控件(12)：用于提供物理认证码；

客户端发送单元(13)：用于将用户帐号和用户密码发送给所述服务器端(2)，用于将物理认证码发送给所述认证端(3)；

客户端接收单元(14)：用于接收服务器端(2)的验证结果；

所述服务器端(2)设置有：

服务器接收单元(21)：用于接收所述客户端(1)发送的用户帐号和用户密码；

服务器控件(22)：用于将所述用户帐号，以及服务器端(2)信息发送给所述认证端(3)，并接收所述认证端(3)发送的认证信息；

服务器验证加密单元(23)：用于综合判断所述认证信息、用户密码、用户帐号，生成验证结果；

服务器发送单元(24)：用于发送所述验证结果给所述客户端(1)；

所述认证端(3)设置有：

认证端接收单元(31)：用于接收服务器端(2)发送的用户帐号和服务器端(2)信息，接收客户端(1)提供的物理认证码；

认证单元(32)：用于对用户帐号、服务器端(2)信息和物理认证码进行判别，生成认证信息；

认证数据库(33)：用于存储正确的用户帐号、服务器端(2)信息和物理认证码信息，为认证单元(32)判别提供认证基础资料；

认证端发送单元(34)：用于发送认证信息给所述服务器端(2)。

2、根据权利要求1所述的第三方网络认证系统，其特征在于：

所述服务器验证加密单元(23)：还用于生成所述随机字符串a，所述服务器发送单元(24)发送该随机字符串a、用户帐号和服务器端(2)信息给所述服务器控件(22)；

所述服务器控件(22)设置有控件接受机构(2a)、控件加密机构(2b)、控件解密机构(2c)和控件发送机构(2d)；

控件接受机构(2a)：用于接受所述随机字符串a、用户帐号和服务器端(2)信息，接受所述认证端发送单元(34)发送的认证信息；

控件加密机构(2b)：用于对所述随机字符串a、用户帐号和服务器端(2)信息加密；

控件解密机构(2c)：用于对所述认证信息解密；

控件发送机构(2d)：用于将所述随机字符串a、用户帐号和服务器端(2)信息发送给认证端(3)，发送所述认证信息给服务器验证加密单元(23)。

3、根据权利要求2所述的第三方网络认证系统，其特征在于：

所述客户端接收单元(14)：还用于接收所述随机字符串a；

所述客户端(1)还设置有：

加密机构(15)：利用所述随机字符串a对所述物理认证码加密；

所述认证端(3)还设置有：

解密机构(35)：用于对所述物理认证码解密，还对所述用户帐号，以及服务器端(2)信息解密。

4、根据权利要求3所述的第三方网络认证系统，其特征在于：所述认证端(3)还设置有：

认证端加密机构(36)：用于对所述认证信息加密。

5、根据权利要求1所述的第三方网络认证系统，其特征在于：所述物理控件(12)为U盘或光盘或移动硬盘或移动看门狗或IC卡或用户手机。

6、根据权利要求1所述的第三方网络认证系统，其特征在于：一个所述认证端(3)连接有至少一个服务器端(2)，所述认证数据库(33)都存储有每个服务器应用程序的软件名、以及该服务器的唯一认证码。

7、一种第三方网络认证系统认证方法，其特征是按照下列步骤进行：

步骤一、启动客户端(1)：客户端(1)获取随机字符串a，该随机字符串a由服务器验证加密单元(23)生成，由服务器发送单元(24)发送，客户端接收单元(14)接收；

步骤二、预置用户信息：通过预置单元(11)置入用户信息，包括用户帐号和用户密码；

步骤三、获取物理认证码：通过物理控件(12)获取物理认证码；

步骤四、物理认证码加密：加密机构(15)利用所述随机字符串a对物理认证码加密；

步骤五、发送客户端(1)信息：客户端发送单元(13)发送用户信息给服务器接收单元(21)，客户端发送单元(13)发送加密后的物理认证码给认证端接收单元(31)；

步骤六、服务器端(2)信息一次加密：服务器接收单元(21)将用户信息发送给服务器验证加密单元(23)，服务器验证加密单元(23)发送所述随机字符串a对用户帐号和服务器端(2)信息给服务器控件(22)的控件接受机构(2a)；

控件加密机构(2b)利用随机字符串a对用户帐号和服务器端(2)信息一次加密，再将该服务器端(2)加密信息和随机字符串a打包生成服务器端信息包b；

步骤七、服务器端(2)信息二次加密：控件加密机构(2b)利用私钥对服务器端信息包b二次加密，并由控件发送机构(2d)发送该二次加密数据给认证端接收单元(31)；

步骤八、认证端(3)解密：解密机构(35)利用私钥对二次加密数据解密，获取所述随机字符串a和服务器端信息包b，再利用该随机字符串a对服务器端信息包b和物理认证码解密；

步骤九、客户认证：认证单元(32)对用户帐号、服务器端(2)信息和物理认证码进行判别，生成认证信息；

步骤十、客户认证信息加密：认证端加密机构(36)利用随机字符串a对认证信息加密，并由认证端发送单元(34)发送给所述控件接受机构(2a)；

步骤十一、认证信息解密：控件解密机构(2c)对所述认证信息解密，并由控件发送机构(2d)发送给服务器验证加密单元(23)；

步骤十二、客户确认：服务器验证加密单元(23)确认认证信息，如果认证信息正确，服务器验证加密单元(23)再验证用户帐号和用户密码是否正确，并生成最终的验证结果，服务器发送单元(24)验证结果给所述客户端(1)。

Images