CN101594232A - 动态口令的认证方法、系统及相应认证设备 - Google Patents

Abstract

本发明公开了一种动态口令的认证方法、系统及相应设备，涉及信息安全领域，解决了现有技术中用户需要付出较高的代价获取可靠性更高的身份认证方式的技术问题。本发明实施例的认证服务器接收来自用户端的动态口令和来自OTP中心的动态口令认证信息，并根据所述信息和所述口令确定匹配的动态口令，在根据该匹配的动态口令获取当前本地动态因子之后，根据所述当前本地动态因子对所述动态口令进行认证。OTP中心获取令牌序列号，并根据所述令牌序列号获取动态口令序列，在发送包含所述动态口令序列的动态口令认证信息到认证服务器之后，将对应所述令牌序列号的当前最后一个被使用的动态因子发送到所述认证服务器。本发明实施例主要用于身份认证。

Description

动态口令的认证方法、系统及相应认证设备

技术领域

本发明涉及信息安全领域，尤其涉及一种动态口令的认证方法、一种动态口令的认证系统及相应的认证设备。

背景技术

随着计算机技术的发展，破译技术也飞速提高。身份认证的可靠性受到了严重的威胁。因此“动态口令”身份认证技术应运而生，以解决静态口令存在的诸多安全漏洞。动态口令，又称一次性口令(One Time Password，OTP)，与固定不变的密码，即静态口令相比，动态口令是变化的密码，该变化的密码可使每次进行身份认证时所使用的密码均不可预测，这就使得密码难以被捕获和被破解，因此提高了身份认证的可靠性。

动态口令一般分为两种：时间同步动态口令和事件同步动态口令。

时间同步动态口令：认证服务器和生成动态口令的动态口令令牌各自保存有在时间上同步的随机数，根据所述随机数所述动态口令令牌和认证服务器在经过运算后各自生成的密码。

事件同步动态口令：认证服务器和生成动态口令的令牌各自保存有对某一特定事件计数的值，根据所述计数的值动态口令令牌和认证服务器经过运算后各自生成的密码。

上述两种动态口令的认证方案主要是认证服务器通过将动态口令令牌生成的动态口令与认证服务器生成的动态口令进行对比或检索的方式对用户端的身份进行认证。

实际应用中，一个用户通常会在多个网络上分别拥有自己帐户，如果某用户希望通过采用动态口令的认证方式来获取更可靠的身份认证方式，那么该用户需要付出的代价将会很大。例如：某用户在3个不同的银行拥有银行帐户，在两个不同的证券公司拥有两个证券帐户，另外还拥有网上购物帐户、网络游戏帐户等。那么依据现有的动态口令认证方案，该用户还得为每个帐户购买一个动态口令令牌，结果是该用户虽然得到一个更可靠的身份认证方式，但却需要购买多个动态口令令牌，由此将导致用户的开销增大，并且还给该用户在对动态口令令牌的使用、携带和维护等方面造成很大的不便。基于上述情况可知，在现有的动态口令认证方案下，用户为了保证个人信息安全性而采用的更可靠的身份认证方式是需要以付出较大的代价来换取的。

发明内容

本发明的实施例提供一种动态口令的认证方法、系统及相应设备，实现即可降低用户的开销，又可提高身份认证的可靠性。

为达到上述目的，本发明的实施例采用如下技术方案：

一种动态口令的认证方法，用户在一次性口令中心或者任意认证服务器注册后，包括：

认证服务器接收来自用户端的动态口令；

所述认证服务器接收来自一次性口令中心的动态口令认证信息；

所述认证服务器根据所述动态口令认证信息和所述动态口令确定匹配的动态口令；

所述认证服务器根据所述匹配的动态口令获取当前本地动态因子；

所述认证服务器根据所述当前本地动态因子对所述动态口令进行认证。

一种动态口令的认证方法，用户在一次性口令中心或者任意认证服务器注册后，包括：

一次性口令中心获取令牌序列号；

所述一次性口令中心根据所述令牌序列号获取动态口令序列；

所述一次性口令中心发送包含所述动态口令序列的动态口令认证信息到认证服务器；

所述一次性口令中心响应所述认证服务器的获取当前最后一个被使用的动态因子的请求，将对应所述令牌序列号的当前最后一个被使用的动态因子发送到所述认证服务器。

一种认证服务器，包括：

第一接收模块，用于接收来自用户端的动态口令；

第二接收模块，用于接收来自一次性口令中心的动态口令认证信息；

确定模块，用于根据所述动态口令认证信息和所述动态口令确定匹配的动态口令；

第一获取模块，用于根据所述匹配的动态口令获取当前本地动态因子；

认证模块，用于根据所述当前本地动态因子对所述动态口令进行认证。

一种一次性口令中心，包括：

第一获取模块，用于获取令牌序列号；

第二获取模块，用于根据所述令牌序列号获取动态口令序列；

第一发送模块，用于发送包含所述动态口令序列的动态口令认证信息到认证服务器；

接收模块，用于接收来自所述认证服务器的获取当前最后一个被使用的动态因子的请求；

第二发送模块，用于将对应所述令牌序列号的当前最后一个被使用的动态因子发送到所述认证服务器。

一种动态口令的认证系统，包括一次性口令中心和至少一台认证服务器，用户在一次性口令中心或者其中一台认证服务器上进行过注册；对于所述系统中的任意一台认证服务器，

所述认证服务器，用于接收来自用户端的动态口令，接收来自一次性口令中心的动态口令认证信息，并根据所述动态口令认证信息和所述动态口令确定匹配的动态口令，在根据所述匹配的动态口令获取当前本地动态因子之后，根据所述当前本地动态因子对所述动态口令进行认证；

所述一种一次性口令中心，用于获取令牌序列号，并根据所述令牌序列号获取动态口令序列，在发送包含所述动态口令序列的动态口令认证信息到认证服务器之后，响应所述认证服务器的获取当前最后一个被使用的动态因子的请求，将对应所述令牌序列号的当前最后一个被使用的动态因子发送到所述认证服务器。

一种动态口令的认证方法，所述动态口令为事件同步动态口令，用户在一次性口令中心注册后，包括：

认证服务器接收来自所述一次性口令中心的动态口令序列；

所述认证服务器根据所述动态口令序列和来自用户端的动态口令确定匹配的动态口令；

所述认证服务器将来自用户端的用户信息和所述匹配的动态口令发送到所述一次性口令中心；

所述认证服务器接收所述一次性口令中心根据所述用户信息和所述匹配的动态口令所获得的认证结果。

一种动态口令的认证方法，所述动态口令为事件同步动态口令，用户在一次性口令中心注册后，包括：

所述一次性口令中心发送动态口令序列到认证服务器；

所述一次性口令中心接收来自所述认证服务器的用户信息和匹配的动态口令，所述匹配动态口令是所述认证服务器根据所述动态口令序列确定的；

所述一次性口令中心根据用户信息和所述匹配的动态口令对用户端的权限进行认证；

所述一次性口令中心将进行认证后的认证结果发送到所述认证服务器。

一种认证服务器，包括：

序列接收模块，用于接收来自所述一次性口令中心的动态口令序列；

确定模块，用于根据所述动态口令序列和来自用户端的动态口令确定匹配的动态口令；

口令发送模块，用于将来自用户端的用户信息和所述匹配的动态口令发送到所述一次性口令中心；

认证接收模块，用于接收所述一次性口令中心根据所述用户信息和所述匹配的动态口令所获得的认证结果。

一种一次性口令中心，包括：

序列发送模块，用于发送所述动态口令序列到认证服务器；

口令接收模块，用于接收来自所述认证服务器的用户信息和匹配的动态口令，所述匹配动态口令是所述认证服务器根据所述动态口令序列确定的；

认证模块，用于根据所述用户信息和所述匹配的动态口令对用户端的权限进行认证；

反馈模块，用于将进行认证后的认证结果发送到所述认证服务器。

一种动态口令的认证系统，所述动态口令为事件同步动态口令，所述系统包括一次性口令中心和至少一台认证服务器，用户在一次性口令中心注册后，

所述认证服务器，用于接收来自所述一次性口令中心的动态口令序列，并根据所述动态口令序列和来自用户端的动态口令确定匹配的动态口令，在将来自用户端的用户信息和所述匹配的动态口令发送到所述一次性口令中心之后，接收所述一次性口令中心根据所述用户信息和所述匹配的动态口令所获得的认证结果；

所述一次性口令中心，用于在发送动态口令序列到认证服务器之后，接收来自所述认证服务器的用户信息和匹配的动态口令，所述匹配动态口令是所述认证服务器根据所述动态口令序列确定的，并根据所述用户信息和所述匹配的动态口令对用户端的权限进行认证，再将进行认证后的认证结果发送到所述认证服务器。

本发明实施例提供的动态口令的认证方法、系统及相应设备具有如下有益效果：引入一次性口令中心到认证流程中，在增加认证过程中的复杂度的同时提高身份认证的可靠性；认证服务器在认证用户端的动态口令时所需要的例如动态因子等参数信息均由一次性口令中心提供，与现有技术中分布在各个认证服务器上相比便于管理、维护；因为生成动态口令时所需的参数信息不再由认证服务器提供，所以不再需要认证服务器与动态口令令牌相互绑定，由此也不需要用户为每个登录的帐户购买一个动态口令令牌，可实现使用户通过一个动态口令令牌登录到多个帐户，降低了用户的开销。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例1动态口令的认证方法的流程示意图；

图2为本发明实施例2动态口令的认证方法的流程示意图；

图3为本发明实施例3动态口令的认证设备的结构示意图；

图4为本发明实施例4动态口令的认证设备的结构示意图；

图5为本发明实施例5动态口令的认证系统的示意图；

图6为本发明实施例6动态口令的认证系统的示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例1

本实施例提供一种动态口令的认证方法，该方法适用于时间动态口令和事件动态口令，在本实施例中将两者统称为动态口令。

在开始认证前，用户需先持其动态口令令牌在一次性口令中心或者所述一次性口令中心所属下的任意一台认证服务器上进行注册，以便使用户信息与令牌序列号相关联。

在本实施例中，对于每一个动态口令令牌一次性口令中心都存储有对应的当前动态因子，和当前最后一个被使用的动态因子。

如图1所示，该方法包括：

步骤101，任意一台认证服务器接收来自用户端的用户信息和所述用户持有的动态口令令牌生成的动态口令。

步骤101中所述用户端主要包括：用户、客户端主机和动态口令令牌；用户信息主要包括所述用户的用户名、PIN等。

在本实施例中，设步骤101中认证服务器A接收到来自用户端的用户信息和动态口令。

步骤102，认证服务器A在本地根据该用户信息检索对应的令牌序列号。如果检索到对应的令牌序列号，则将所述令牌序列号发送到一次性口令中心，并执行步骤105；如果未检索到对应的令牌序列号，则执行步骤103。

或者，步骤102还可以为：认证服务器A在本地根据该用户信息检索对应的令牌序列号。如果检索到对应的令牌序列号，则将所述令牌序列号发送到一次性口令中心，并执行步骤105；否则将所述用户信息发送到其它认证服务器(设所述其它认证服务器为认证服务器B)，请求认证服务器B根据所述用户信息检索对应的令牌序列号，如果认证服务器B检索到所述令牌序列号，则将所述令牌序列号发送到一次性口令中心，并执行步骤105；如果未检索到对应的令牌序列号，则执行步骤103。

当然，认证服务器B还是可以继续发送所述用户信息到认证服务器C，请求认证服务器C进行检索，以此类推。即接收到用户信息的认证服务器在根据所述用户信息未检索到对应的令牌序列号的情况下，可以选择将用户信息发送到其它认证服务器，请求其它认证服务器进行检索，也可以选择执行步骤103。

另外，当检索到对应令牌序列号的认证服务器接收到的用户信息并不是来自用户端时，所述认证服务器可以选择直接将检索到的令牌序列号发送到一次性口令中心，还可以选择将所述令牌序列号返回到最初将用户信息传出的认证服务器上，由该认证服务器将所述令牌序列号发送到一次性口令中心。

例如：认证服务器B根据用户信息检索到对应的令牌序列号，并将所述令牌序列号返回到认证服务器A，所述认证服务器A将所述令牌序列号发送到一次性口令中心，并执行步骤105。

步骤103，认证服务器A将所述用户信息发送到一次性口令中心。

根据上述“步骤102还可以为”的内容可知，步骤103还可以为：认证服务器B将所述用户信息发送到一次性口令中心。即一次性口令中心接收到的用户信息可以来自认证服务器A，也可以来自其它任意认证服务器。

步骤104，一次性口令中心根据接收到的所述用户信息检索对应的令牌序列号。如果一次性口令中心检索到对应的令牌序列号，则执行步骤105；如果一次性口令中心未检索到对应的令牌序列号，则执行步骤1041。

步骤1041，一次性口令中心将所述用户信息发送到其它任意认证服务器，请求其它任意认证服务器行检索，如果有认证服务器根据所述用户信息检索到对应的令牌序列号，则发送检索到的令牌序列号到一次性口令中心，并执行步骤105，否则认证服务器执行步骤111。

在这里需要说明的是：因为用户可能是在任意一台认证服务器上进行的注册，也有可能是在一次性口令中心进行的注册，所以主要可分为两种情况：

第一种，用户在认证服务器端进行的注册；

第二种，用户在一次性口令中心端进行的注册。

当在第一种情况时，最终将由认证服务器端根据用户信息检索到对应的令牌序列号，发送到一次性口令中心端，并执行步骤105；当在第二种情况时，最终将由OTP端根据用户信息检索到对应的令牌序列号，同样执行步骤105。但若出现某些特殊状况，例如用户注册过，但未注册成功，则有可能在认证服务器端和一次性口令中心端都未检索到对应的令牌序列号，此时则执行步骤111。

步骤105，一次性口令中心根据令牌序列号检索与其对应的当前动态因子，设其为B，并根据检索到的B生成动态口令序列。

在本实施例中，所生成的动态口令序列可具体为：B+1，B+2，B+3，......B+N，(N为自然数，且取值一般大于5)。

其中，生成的动态口令序列对应的动态因子序列中包含B，但不包含与令牌序列号对应的当前最后一个被使用的动态因子，设其为L及L以前的动态因子。这是因为如果动态口令为时间动态口令，那么此处对应的动态因子序列即为由时间动态因子组成的序列，因为时间动态因子为当前时间或对当前时间进行计算得到的数值，所以B是会随着时间的流逝而发生变化，因此对应的动态因子序列中将不包含L及L以前的动态因子。

步骤106，一次性口令中心把动态口令序列、对应令牌序列号的起始动态因子，设其为Bs，和动态因子的变化方法(包括步长、或方向等)发送到认证服务器A。

如果动态因子的变化方法已与认证服务器A预先进行了约定则在步骤106中就不必将其发送到认证服务器A了。

步骤107，认证服务器A接收动态口令序列和Bs，并在动态口令序列中检索是否存在有与步骤101中来自用户端的动态口令相同的动态口令。如果在动态口令序列中检索到相同的动态口令，则将检索到的动态口令作为匹配的动态口令，并执行步骤108；否则，认证服务器A执行步骤111。

步骤108：认证服务器A根据匹配的动态口令、Bs和动态因子的变化方法(步长或方向等)计算当前本地动态因子，设该计算出的当前本地动态因子为B’。

步骤109，认证服务器A向一次性口令中心发送请求，请求获取L；一次性口令中心接收到请求后根据令牌序列号检索到对应的L，并发送到认证服务器A。

步骤110，认证服务器A接收L，并进行判断。如果L的值小于B’的值，或者L的排列顺序在B’之前，则认证服务器A执行步骤112；否则，认证服务器A执行步骤111。

步骤111，判定认证失败，并不再进行下述步骤。

步骤112，判定认证成功，并发送B’到一次性口令中心，一次性口令中心令L＝B’。

由于存在多个认证服务器，所以在认证服务器A进行认证期间，一次性口令中心所存储的L可能发生变化，所以需要在进行认证的过程中再次获取L，以便进行认证和校对。

需要特别说明的是：当动态口令为事件动态口令时，一次性口令中心对应存储的事件动态因子B还需要进行同步调整。此时，在步骤112中还包括：增大B的偏移量，将B设为L步进之后的结果，例如：另B＝L+1。

本发明实施例提供的动态口令的认证方法，有利于一次性口令中心提供推广动态口令认证系统的应用，提高身份认证的可靠性，用户只需一个动态口令令牌就可以注册登录多个身份认证系统，降低了用户的开销，并极大地方便用户的使用，并且认证过程需要使用的参数信息由一次性口令中心统一提供，便于管理，维护。

实施例2

本实施例提供一种动态口令的认证方法，该方法适用于事件同步动态口令。在本实施例中将其简称为动态口令。

在开始认证前，用户需先持其动态口令令牌在一次性口令中心进行注册，以便使用户信息与令牌序列号相关联。

在本实施例中，对于每一个可生成事件动态口令的动态口令令牌，一次性口令中心都存储有对应的当前最后一个被使用的事件动态因子。对于未进行过认证的动态口令令牌，令其对应的当前最后一个被使用的事件动态因子＝-1。

如图2所示，该方法包括：

步骤201，任意一台认证服务器接收来自用户端的用户信息和用所述用户持有的动态口令令牌生成的动态口令。

步骤201中所述用户端主要包括：用户、客户端主机和动态口令令牌；用户信息主要包括所述用户的用户名、PIN等。

步骤202，所述认证服务器将用户信息发送到一次性口令中心，并向一次性口令中心请求获取动态口令序列。

步骤203，一次性口令中心根据接收到的用户信息检索对应的令牌序列号和对应所述令牌序列号的当前最后一个被使用的事件动态因子，设其为L，并根据L生成动态口令序列。

在本实施例中，生成动态口令序列的具体方法是：分别以L+1，L+2，L+3...L+N为参数(N为自然数，且取值一般大于5)，生成N个动态口令，所述生成的N个动态口令的序列的组合即为生成的动态口令序列；或者

预先一次性生成更多个动态口令，从中提取以L+1，L+2，L+3...L+N为参数生成的N个动态口令，并把对应L及以前的动态口令删除；所述提取出的N个动态口令的序列组合即为生成的动态口令序列。

步骤204，一次性口令中心将生成的动态口令序列发送到所述请求的认证服务器。

步骤205，所述认证服务器接收动态口令序列，并在动态口令序列中检索是否存在有与步骤201中来自用户端的动态口令相同的动态口令。如果检索到相同的动态口令，则所述认证服务器将检索到的动态口令作为匹配的动态口令，并执行步骤206；否则，所述认证服务器执行步骤2051。

步骤2051，认证服务器判定认证失败，并不再执行下述步骤。

步骤206，所述认证服务器将用户信息和匹配的动态口令发送到一次性口令中心。

步骤207，一次性口令中心接收所述用户信息和匹配的动态口令。根据用户信息检索对应的令牌序列号和对应的所述令牌序列号的L，并根据L生成对应的动态口令序列，即L+1，...L+N。在所述对应的动态口令序列中检索是否存在有所述匹配的动态口令，如果检索到，则一次性口令中心判定认证通过，并用对应所述匹配的动态口令的动态因子，设其为L’的值更新L的值，即令L＝L’；否则，一次性口令中心判定认证失败。

步骤208，一次性口令中心将认证结果发送到所述认证服务器，作为最终的认证结果。

本发明实施例提供的动态口令的认证方法具有如下有益效果：引入一次性口令中心到认证流程中，提高身份认证的可靠性；因为生成动态口令时所需的令牌序列号和事件动态因子等参数信息是有一次性口令中心提供，所以不再需要认证服务器与动态口令令牌相互绑定，由此可实现使用户通过一个动态口令令牌登录到多个帐户，降低了用户的开销。可使用户通过较低的开销获取到一个具有更高安全性的网络环境。

实施例3

对应于上述实施例1中的方法，本实施例提供一种认证服务器，以便执行实施例1方法中涉及到认证服务器的方案。

如图3所示，所述认证服务器包括：第一接收模块31，第二接收模块32，确定模块33，第一获取模块34，认证模块35。

第一接收模块31用于接收来自用户端的动态口令；第二接收模块32用于接收来自一次性口令中心的动态口令认证信息；确定模块33用于根据所述动态口令认证信息和所述动态口令确定匹配的动态口令；第一获取模块34用于根据所述匹配的动态口令获取当前本地动态因子；认证模块35用于根据所述当前本地动态因子对所述动态口令进行认证。

进一步，本实施例中的认证服务器还可包括如下可选模块：检索模块36，发送模块37，第二获取模块38。

检索模块36用于根据第一接收模块31接收到的用户信息检索令牌序列号；发送模块37用于发送检索模块36检索到的所述令牌序列号到所述一次性口令中心；发送模块37还用于将当检索模块36未检索到令牌序列号时，发送所述用户信息到所述一次性口令中心或者其它任意认证服务器，第二获取模块38用于从所述一次性口令中心获取当前最后一个被使用的动态因子。

其中，第一接收模块31还用于在接收来自用户端的动态口令的同时，还接收来自用户端的用户信息；第二接收模块32接收到的动态口令认证信息包括：动态口令序列、对应所述令牌序列号的起始动态因子和动态因子的变化方法，或者动态口令序列、对应所述令牌序列号的起始动态因子。

另外，在本实施例中的确定模块33包括：检索单元331，确定单元332。

检索单元331用于所述第二接收模块32接收到的动态口令序列中检索所述动态口令；确定单元332用于当检索单元331检索到所述动态口令是将所述检索到的动态口令作为匹配的动态口令；当所述检索单元331未检索到所述动态口令时，判定认证失败。

第一获取模块34包括：计算单元341。

计算单元341，用于根据第二接收模块32接收到的所述匹配的动态口令、对应所述令牌序列号的起始动态因子和动态因子的变化方法计算当前本地动态因子。

本实施例中的认证模块35包括：判断单元351，发送单元352。

判断单元351用于如果所述第二获取模块38获取的当前最后一个被使用的动态因子的值小于当前本地动态因子的值，则判定认证成功；否则判定认证失败；

发送单元352用于当判断单元351判定认证成功时，发送所述当前本地动态因子到所述一次性口令中心。

本发明实施例提供的认证服务器在不需要存储生成动态口令时的参数信息情况下，同样可提供动态口令的认证服务，并且降低了服务器的负担。对于拥有多个帐户的用户只需一个动态口令令牌就可以注册登录多个身份认证系统，降低了用户的开销，并极大的方便用户的使用。

本实施例还提供了一种一次性口令中心，以便实施对应于实施例1中涉及一次性口令中心部分的方案。如图3所示，该一次性口令中心包括：第一获取模块41，第二获取模块42，第一发送模块43，接收模块44，第二发送模块45。

第一获取模块41用于获取令牌序列号；第二获取模块42用于根据所述令牌序列号获取动态口令序列；第一发送模块43用于发送包含所述动态口令序列的动态口令认证信息到认证服务器；接收模块44用于接收来自所述认证服务器的获取当前最后一个被使用的动态因子的请求；第二发送模块45用于将对应所述令牌序列号的当前最后一个被使用的动态因子发送到所述认证服务器。

第一发送模块43发送的动态口令认证信息还包括：对应所述令牌序列号的起始动态因子和动态因子的变化方法，或者仅为对应所述令牌序列号的起始动态因子。

进一步，本实施例提供的一次性口令中心还可包括如下可选模块：因子接收模块46，更新模块47。

因子接收模块46用于接收来自所述认证服务器的当前本地动态因子；更新模块47，用于用所述因子接收模块46接收到的当前本地动态因子的值更新所述当前最后一个被使用的动态因子的值。

其中，第一获取模块41包括：接收单元411，获取单元412，发送单元413。

接收单元411用于接收来自所述认证服务器的用户信息；获取单元412用于根据接收单元411接收到的所述用户信息获取令牌序列号；发送单元413用于当获取单元412未获取到令牌序列号时，发送所述用户信息到其他任意服务器。

第二获取模块42包括：确定单元421，获取单元422。

确定单元421，用于根据所述令牌序列号确定当前动态因子；获取单元422，用于根据确定单元421确定的当前动态因子获取动态口令序列。

本发明实施例提供的一次性口令中心具有如下有益效果：参与了动态口令的认证过程，增加了认证过程的复杂度，由此提高了身份认证的可靠性，利用推广动态口令认证系统的应用，认证过程需要使用的参数信息由一次性口令中心统一提供，便于管理，维护。用户只需一个动态口令令牌就可以注册登录多个身份认证系统，降低了用户的开销。

实施例4

本实施例对应于上述实施2中的方法，提供了一种认证服务器，该认证服务器适用于对事件同步的动态口令进行认证。如图4所示，该认证服务器包括：序列接收模块51，确定模块52，口令发送模块53，认证接收模块54。

序列接收模块51用于接收来自所述一次性口令中心的动态口令序列；确定模块52用于根据所述动态口令序列和来自用户端的动态口令确定匹配的动态口令；口令发送模块53用于将来自用户端的用户信息和所述匹配的动态口令发送到所述一次性口令中心；认证接收模块54用于接收所述一次性口令中心根据所述用户信息和所述匹配的动态口令所获得的认证结果。

进一步，本实施例提供的认证服务器还包括如下可选模块：信息接收模块55，信息发送模块56。

信息接收模块55用于接收来自用户端的用户信息和动态口令；信息发送模块56用于发送所述用户信息到所述一次性口令中心。

其中，所述序列接收模块51接收到的动态口令序列是所述一次口令中心根据信息发送模块56发送的所述用户信息获取到的。

另外，在本实施例中确定模块52包括：检索单元521，确定单元522。

检索单元521用于在所述动态口令序列中检索所述动态口令；确定单元522用于如果在所述动态口令序列中检索到所述动态口令，则将所述检索到的动态口令作为匹配的动态口令；否则将判定认证失败。

本实施例继续提供一种一次性口令中心，在用户在进行身份认证前，需要用户先在本实施例提供的一次性口令中心进行注册。如图4所示，该一次性口令中心包括：序列发送模块61，口令接收模块62，认证模块63，反馈模块64。

序列发送模块61用于发送所述动态口令序列到认证服务器；口令接收模块62用于接收来自所述认证服务器的用户信息和匹配的动态口令，所述匹配动态口令是所述认证服务器根据所述动态口令序列确定的；认证模块63用于根据所述用户信息和所述匹配的动态口令对用户端的权限进行认证；反馈模块64用于将进行认证后的认证结果发送到所述认证服务器。

进一步，本实施例提供的一次性口令中心还可包括如下可选模块：信息接收模块65，因子获取模块66，序列获取模块67。

信息接收模块65用于接收来自认证服务器的用户信息；因子获取模块66用于根据所述用户信息获取当前最后一个被使用的事件动态因子；序列获取模块67用于根据所述当前最后一个被使用的事件动态因子获取动态口令序列。

其中，认证模块63包括：因子获取单元631，序列获取单元632，检索单元633，判断单元634，更新单元635。

因子获取单元631用于根据所述口令接收模块62接收到的用户信息获取当前最后一个被使用的事件动态因子；序列获取单元632用于根据所述因子获取单元631获取的当前最后一个被使用的事件动态因子获取动态口令序列；检索单元633用于在所述序列获取单元632获取的动态口令序列中检索所述匹配的动态口令；判断单元634用于如果检索到所述匹配的动态口令，则判定认证通过；如果未检索到所述匹配的动态口令，则判定认证未通过；更新单元635用于当判断单元634判定认证通过时，用对应所述匹配的动态口令的动态因子的值更新所述当前最后一个被使用的事件动态因子的值。

本发明实施例提供的动态口令的认证过程中相应设备具有如下有益效果：引入一次性口令中心到认证流程中，在增加认证过程中的复杂度的同时提高身份认证的可靠性；认证服务器在认证用户端的动态口令时所需要的例如动态因子等参数信息均由一次性口令中心提供，与现有技术中分布在各个认证服务器上相比便于管理、维护；因为生成动态口令时所需的参数信息不再由认证服务器提供，所以不再需要认证服务器与动态口令令牌相互绑定，由此也不需要用户为每个登录的帐户购买一个动态口令令牌，降低了用户的开销。

实施例5

本实施例提供一种动态口令的认证系统，如图5所示，该系统包括：用户端70，至少一台认证服务器71，一次性口令中心72。其中用户端70的用户在一次性口令中心70或者其中一台认证服务器上进行过注册。

用户端70用于将用户信息和动态口令发送到认证服务器71。

认证服务器71用于接收来自用户端70的动态口令，接收来自一次性口令中心72的动态口令认证信息，并根据所述动态口令认证信息和所述动态口令确定匹配的动态口令，在根据所述匹配的动态口令获取当前本地动态因子之后，根据所述当前本地动态因子对所述动态口令进行认证。

一种一次性口令中心72用于获取令牌序列号，并根据所述令牌序列号获取动态口令序列，在发送包含所述动态口令序列的动态口令认证信息到认证服务器71之后，响应认证服务器71的获取当前最后一个被使用的动态因子的请求，将对应所述令牌序列号的当前最后一个被使用的动态因子发送到认证服务器71。

本发明实施例提供的动态口令的认证系统由一次性口令中心统一提供认证过程需要使用的参数信息，便于参数信息的管理，维护。一次性口令中心参与认证过程可提高身份认证的可靠性，用户只需一个动态口令令牌就可以注册登录多个身份认证系统，降低了用户的开销。

实施例6

本实施例提供一种动态口令的认证系统，该系统适用于认证事件同步动态口令，在本实施例中将其简称为动态口令。如图6所示，该系统包括：用户端80，至少一台认证服务器81和一次性口令中心82。其中，在进行认证前，用户端80的用户需预先在OTP进行注册。

用户端80用于向认证服务器81发送用户信息和动态口令。

认证服务器81用于接收用户端80的用户信息和动态口令，接收来自所述一次性口令中心82的动态口令序列，并根据所述动态口令序列和来自用户端80的动态口令确定匹配的动态口令，在将来自用户端80的用户信息和所述匹配的动态口令发送到所述一次性口令中心82之后，接收所述一次性口令中心82根据所述用户信息和所述匹配的动态口令所获得的认证结果。

一次性口令中心82用于在发送动态口令序列到认证服务器81之后，接收来自认证服务器81的用户信息和匹配的动态口令，所述匹配动态口令是认证服务器81根据所述动态口令序列确定的，并根据所述用户信息和所述匹配的动态口令对用户端80的权限进行认证，再将进行认证后的认证结果发送到认证服务器81。

本发明实施例提供的动态口令的认证系统具有如下有益效果：对于拥有多个帐户的用户，只需购买一个动态口令令牌就可以通过动态口令的认证方式注册登录多个身份认证系统，降低了用户的开销，提高了用户的信息安全，引入一次性口令中心参与认证过程提高了身份认证的可靠性，并且认证过程需要使用的参数信息由一次性口令中心统一提供，便于管理，维护。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在可读取的存储介质中，如计算机的软盘，硬盘或光盘等，包括若干指令用以使得一台设备(可以是主机，也可以是服务器)执行本发明各个实施例所述的全部方案或者部分方案。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (33)

1、一种动态口令的认证方法，其特征在于，用户在一次性口令中心或者任意认证服务器注册后，包括：

认证服务器接收来自用户端的动态口令；

所述认证服务器接收来自一次性口令中心的动态口令认证信息；

所述认证服务器根据所述动态口令认证信息和所述动态口令确定匹配的动态口令；

所述认证服务器根据所述匹配的动态口令获取当前本地动态因子；

所述认证服务器根据所述当前本地动态因子对所述动态口令进行认证。

2、根据权利要求1所述的动态口令的认证方法，其特征在于，在所述认证服务器接收来自用户端的动态口令的同时，所述认证服务器还接收来自用户端的用户信息；

在所述认证服务器接收到来自用户端的用户信息后，该方法还包括：

当用户是在任意认证服务器注册后时，所述认证服务器或者其它认证服务器根据所述用户信息检索令牌序列号，并发送所述令牌序列号到所述一次性口令中心；

当用户是在一次性口令中心注册后时，所述认证服务器发送所述用户信息到所述一次性口令中心，所述一次性口令中心根据所述用户信息检索令牌序列号。

3、根据权利要求2所述的动态口令的认证方法，其特征在于，所述动态口令认证信息包括：动态口令序列、对应所述令牌序列号的起始动态因子和动态因子的变化方法，或者动态口令序列、对应所述令牌序列号的起始动态因子；

所述认证服务器根据所述动态口令认证信息和所述动态口令确定匹配的动态口令包括：

所述认证服务器在所述动态口令序列中检索所述动态口令；

如果检索到所述动态口令，则所述认证服务器将所述检索到的动态口令作为匹配的动态口令；

如果未检索到所述动态口令，则所述认证服务器判定认证失败。

4、根据权利要求2所述的动态口令的认证方法，其特征在于，所述动态口令认证信息包括：动态口令序列、对应所述令牌序列号的起始动态因子和动态因子的变化方法，或者动态口令序列、对应所述令牌序列号的起始动态因子；

所述认证服务器根据所述匹配的动态口令获取当前本地动态因子包括：

所述认证服务器根据所述匹配的动态口令、对应所述令牌序列号的起始动态因子和动态因子的变化方法计算当前本地动态因子。

5、根据权利要求1至4中任意一项所述的动态口令的认证方法，其特征在于，在所述认证服务器根据所述匹配的动态口令获取当前本地动态因子之后，该方法还包括：

所述认证服务器从所述一次性口令中心获取当前最后一个被使用的动态因子；

则所述认证服务器根据所述当前本地动态因子对所述动态口令进行认证包括：

如果所述当前最后一个被使用的动态因子的值小于所述当前本地动态因子的值，则所述认证服务器判定认证成功，并发送所述当前本地动态因子到所述一次性口令中心；否则所述认证服务器判定认证失败。

6、一种动态口令的认证方法，其特征在于，用户在一次性口令中心或者任意认证服务器注册后，包括：

一次性口令中心获取令牌序列号；

所述一次性口令中心根据所述令牌序列号获取动态口令序列；

所述一次性口令中心发送包含所述动态口令序列的动态口令认证信息到认证服务器；

所述一次性口令中心响应所述认证服务器的获取当前最后一个被使用的动态因子的请求，将对应所述令牌序列号的当前最后一个被使用的动态因子发送到所述认证服务器。

7、根据权要求6所述的动态口令的认证方法，其特征在于，在将对应所述令牌序列号的当前最后一个被使用的动态因子发送到所述认证服务器之后，该方法还包括：

接收来自所述认证服务器的当前本地动态因子；

用所述当前本地动态因子的值更新所述当前最后一个被使用的动态因子的值。

8、根据权利要求6或7所述的动态口令的认证方法，其特征在于，

当用户是在任意认证服务器注册后时，所述一次性口令中心获取令牌序列号具体为：

所述一次性口令中心通过所述认证服务器或者其它任意认证服务器获取所述令牌序列号；

当用户是在一次性口令中心注册后时，所述一次性口令中心获取令牌序列号包括：

所述一次性口令中心接收来自认证服务器的用户信息；

所述一次性口令中心根据所述用户信息获取令牌序列号。

9、根据权利要求6或7所述的动态口令的认证方法，其特征在于，所述一次性口令中心根据所述令牌序列号获取动态口令序列包括：

所述一次性口令中心根据所述令牌序列号确定当前动态因子；

所述一次性口令中心根据所述确定的当前动态因子获取动态口令序列。

10、根据权利要求6或7所述的动态口令的认证方法，其特征在于，所述动态口令认证信息还包括：对应所述令牌序列号的起始动态因子和动态因子的变化方法，或者对应所述令牌序列号的起始动态因子。

11、一种认证服务器，其特征在于，包括：

第一接收模块，用于接收来自用户端的动态口令；

第二接收模块，用于接收来自一次性口令中心的动态口令认证信息；

确定模块，用于根据所述动态口令认证信息和所述动态口令确定匹配的动态口令；

第一获取模块，用于根据所述匹配的动态口令获取当前本地动态因子；

认证模块，用于根据所述当前本地动态因子对所述动态口令进行认证。

12、根据权利要求11所述的认证服务器，其特征在于，所述第一接收模块还用于在接收来自用户端的动态口令的同时，还接收来自用户端的用户信息；

该认证服务器还包括：

检索模块，用于根据所述用户信息检索令牌序列号；

发送模块，用于发送检索模块检索到的所述令牌序列号到所述一次性口令中心；

所述发送模块还用于当检索模块未检索到令牌序列号时，发送所述用户信息到所述一次性口令中心或者其它任意认证服务器。

13、根据权利要求11或12所述的认证服务器，其特征在于，所述第二接收模块接收到的动态口令认证信息包括：动态口令序列、对应所述令牌序列号的起始动态因子和动态因子的变化方法，或者动态口令序列、对应所述令牌序列号的起始动态因子；

所述确定模块包括：

检索单元，用在所述第二接收模块接收到的动态口令序列中检索所述动态口令；

确定单元，用于当检索单元检索到所述动态口令是将所述检索到的动态口令作为匹配的动态口令；当所述检索单元未检索到所述动态口令时，判定认证失败。

14、根据权利要求11或12所述的认证服务器，其特征在于，所述第二接收模块接收到的动态口令认证信息包括：动态口令序列、对应所述令牌序列号的起始动态因子和动态因子的变化方法，或者动态口令序列、对应所述令牌序列号的起始动态因子；

第一获取模块包括：

计算单元，用于根据第二接收模块接收到的所述匹配的动态口令、对应所述令牌序列号的起始动态因子和动态因子的变化方法计算当前本地动态因子。

15、根据权利要求11或12所述的认证服务器，其特征在于，所述认证服务器还包括：第二获取模块，用于从所述一次性口令中心获取当前最后一个被使用的动态因子；

所述认证模块包括：

判断单元，用于如果所述第二获取模块获取的当前最后一个被使用的动态因子的值小于当前本地动态因子的值，则判定认证成功；否则判定认证失败；

发送单元，用于当判断单元判定认证成功时，发送所述当前本地动态因子到所述一次性口令中心。

16、一种一次性口令中心，其特征在于，包括：

第一获取模块，用于获取令牌序列号；

第二获取模块，用于根据所述令牌序列号获取动态口令序列；

第一发送模块，用于发送包含所述动态口令序列的动态口令认证信息到认证服务器；

接收模块，用于接收来自所述认证服务器的获取当前最后一个被使用的动态因子的请求；

第二发送模块，用于将对应所述令牌序列号的当前最后一个被使用的动态因子发送到所述认证服务器。

17、根据权要求16所述的一次性口令中心，其特征在于，该一次性口令中心还包括：

因子接收模块，用于接收来自所述认证服务器的当前本地动态因子；

更新模块，用于用所述因子接收模块接收到的当前本地动态因子的值更新所述当前最后一个被使用的动态因子的值。

18、根据权利要求16或17所述的一次性口令中心，其特征在于，所述第一获取模块包括：

接收单元，用于接收来自所述认证服务器的用户信息；

获取单元，用于根据接收单元接收到的所述用户信息获取令牌序列号；

发送单元，用于当获取单元未获取到令牌序列号时，发送所述用户信息到其他任意服务器。

19、根据权利要求16或17所述的一次性口令中心，其特征在于，所述第二获取模块包括：

确定单元，用于根据所述令牌序列号确定当前动态因子；

获取单元，用于根据所述确定的当前动态因子获取动态口令序列。

20、一种令牌的认证系统，包括一次性口令中心和至少一台认证服务器，其特征在于，用户在一次性口令中心或者其中一台认证服务器上进行过注册；对于所述系统中的任意一台认证服务器，

所述认证服务器，用于接收来自用户端的动态口令，接收来自一次性口令中心的动态口令认证信息，并根据所述动态口令认证信息和所述动态口令确定匹配的动态口令，在根据所述匹配的动态口令获取当前本地动态因子之后，根据所述当前本地动态因子对所述动态口令进行认证；

所述一次性口令中心，用于获取令牌序列号，并根据所述令牌序列号获取动态口令序列，在发送包含所述动态口令序列的动态口令认证信息到认证服务器之后，响应所述认证服务器的获取当前最后一个被使用的动态因子的请求，将对应所述令牌序列号的当前最后一个被使用的动态因子发送到所述认证服务器。

21、一种动态口令的认证方法，所述动态口令为事件同步动态口令，其特征在于，用户在一次性口令中心注册后，包括：

认证服务器接收来自所述一次性口令中心的动态口令序列；

所述认证服务器根据所述动态口令序列和来自用户端的动态口令确定匹配的动态口令；

所述认证服务器将来自用户端的用户信息和所述匹配的动态口令发送到所述一次性口令中心；

所述认证服务器接收所述一次性口令中心根据所述用户信息和所述匹配的动态口令所获得的认证结果。

22、根据权利要求21所述的动态口令的认证方法，其特征在于，在所述认证服务器接收来自所述一次性口令中心的动态口令序列之前，该方法还包括：

认证服务器接收来自用户端的用户信息和动态口令；

所述认证服务器发送所述用户信息到所述一次性口令中心；

其中，所述认证服务器接收到的来自所述一次性口令中心的动态口令序列是所述一次口令中心根据所述用户信息获取到的。

23、根据权利要求22所述的动态口令的认证方法，其特征在于，所述认证服务器根据所述动态口令序列和来自用户端的动态口令确定匹配的动态口令包括：

所述认证服务器在所述动态口令序列中检索所述动态口令；

如果所述认证服务器在所述动态口令序列中检索到所述动态口令，则所述认证服务器将所述检索到的动态口令作为匹配的动态口令；否则所述认证服务器将判定认证失败。

24、一种动态口令的认证方法，所述动态口令为事件同步动态口令，其特征在于，用户在一次性口令中心注册后，包括：

所述一次性口令中心发送动态口令序列到认证服务器；

所述一次性口令中心接收来自所述认证服务器的用户信息和匹配的动态口令，所述匹配动态口令是所述认证服务器根据所述动态口令序列确定的；

所述一次性口令中心根据所述用户信息和所述匹配的动态口令对用户端的权限进行认证；

所述一次性口令中心将进行认证后的认证结果发送到所述认证服务器。

25、根据权利要去24所述的动态口令的认证方法，其特征在于，在所述一次性口令中心发送动态口令序列到认证服务器之前该方法还包括：

所述一次性口令中心接收来自所述认证服务器的用户信息；

所述一次性口令中心根据所述用户信息获取当前最后一个被使用的事件动态因子；

所述一次性口令中心根据所述当前最后一个被使用的事件动态因子获取动态口令序列。

26、根据权利要求24或25所述的令牌的认证的方法，其特征在于所述一次性口令中心根据所述用户信息和所述匹配的动态口令对用户端的权限进行认证包括：

所述一次性口令中心根据所述用户信息获取当前最后一个被使用的事件动态因子；

所述一次性口令中心根据所述当前最后一个被使用的事件动态因子获取动态口令序列；

所述一次性口令中心在所述动态口令序列中检索所述匹配的动态口令；

如果检索到所述匹配的动态口令，则所述一次性口令中心判定认证通过，并用对应所述匹配的动态口令的动态因子的值更新所述当前最后一个被使用的事件动态因子的值；

如果未检索到所述匹配的动态口令，则所述一次性口令中心判定认证未通过。

27、一种认证服务器，其特征在于，包括：

序列接收模块，用于接收来自所述一次性口令中心的动态口令序列；

确定模块，用于根据所述动态口令序列和来自用户端的动态口令确定匹配的动态口令；

口令发送模块，用于将来自用户端的用户信息和所述匹配的动态口令发送到所述一次性口令中心；

认证接收模块，用于接收所述一次性口令中心根据所述用户信息和所述匹配的动态口令所获得的认证结果。

28、根据权利要求27所述的认证服务器，其特征在于，该认证服务器还包括：

信息接收模块，用于接收来自用户端的用户信息和动态口令；

信息发送模块，用于发送所述用户信息到所述一次性口令中心；

其中，所述序列接收模块接收到的动态口令序列是所述一次口令中心根据信息发送模块发送的所述用户信息获取到的。

29、根据权利要求28所述的认证服务器，其特征在于，所述确定模块包括：

检索单元，用于在所述动态口令序列中检索所述动态口令；

确定单元，用于如果在所述动态口令序列中检索到所述动态口令，则将所述检索到的动态口令作为匹配的动态口令；否则将判定认证失败。

30、一种一次性口令中心，其特征在于，包括：

序列发送模块，用于发送所述动态口令序列到认证服务器；

口令接收模块，用于接收来自所述认证服务器的用户信息和匹配的动态口令，所述匹配动态口令是所述认证服务器根据所述动态口令序列确定的；

认证模块，用于根据所述用户信息和所述匹配的动态口令对用户端的权限进行认证；

反馈模块，用于将进行认证后的认证结果发送到所述认证服务器。

31、根据权利要求30所述的一次性口令中心，其特征在于，所述一次性口令中心还包括：

信息接收模块，用于接收来自认证服务器的用户信息；

因子获取模块，用于根据所述用户信息获取当前最后一个被使用的事件动态因子；

序列获取模块，用于根据所述当前最后一个被使用的事件动态因子获取动态口令序列。

32、根据权利要求30或31所述的一次性口令中心，其特征在于，所述认证模块包括：

因子获取单元，用于根据所述口令接收模块接收到的用户信息获取当前最后一个被使用的事件动态因子；

序列获取单元，用于根据所述因子获取单元获取的当前最后一个被使用的事件动态因子获取动态口令序列；

检索单元，用于在所述序列获取单元获取的动态口令序列中检索所述匹配的动态口令；

判断单元，用于如果检索到所述匹配的动态口令，则判定认证通过；如果未检索到所述匹配的动态口令，则判定认证未通过；

更新单元，用于当判断单元判定认证通过时，用对应所述匹配的动态口令的动态因子的值更新所述当前最后一个被使用的事件动态因子的值。

33、一种动态口令的认证系统，所述动态口令为事件同步动态口令，所述系统包括一次性口令中心和至少一台认证服务器，其特征在于，用户在一次性口令中心注册后，

所述认证服务器，用于接收来自所述一次性口令中心的动态口令序列，并根据所述动态口令序列和来自用户端的动态口令确定匹配的动态口令，在将来自用户端的用户信息和所述匹配的动态口令发送到所述一次性口令中心之后，接收所述一次性口令中心根据所述用户信息和所述匹配的动态口令所获得的认证结果；

所述一次性口令中心，用于在发送动态口令序列到认证服务器之后，接收来自所述认证服务器的用户信息和匹配的动态口令，所述匹配动态口令是所述认证服务器根据所述动态口令序列确定的，并根据所述用户信息和所述匹配的动态口令对用户端的权限进行认证，再将进行认证后的认证结果发送到所述认证服务器。

Images