CN101594611A - 身份认证的方法和移动终端、服务器以及身份认证系统 - Google Patents

Abstract

本发明提供一种身份认证的方法和移动终端、服务器以及身份认证系统。该方法包括移动终端网银加密卡对移动终端向客户识别模块发送的信息进行识别，若识别出信息为远端服务器发送的、用于进行身份认证的认证字符串，则应用所存储的用户数字证书对认证字符串进行加密处理，获得第一加密字符串；移动终端网银加密卡将获得的第一加密字符串，通过移动终端返回给远端服务器供远端服务器进行身份认证。本发明通过在手机和SIM卡之间设置移动终端网银加密卡，使得用户应用手机进行网银交易更加安全和方便，而且操作简单；对于用户而言，用户可以随时随地应用手机进行网银交易，提高服务质量。

Description

身份认证的方法和移动终端、服务器以及身份认证系统

技术领域

本发明涉及技术通信领域，尤其涉及一种身份认证的方法和移动终端、服务器以及身份认证系统。

背景技术

随着无线通信技术的飞速发展，基于无线网络的银行交易已经成为重要的银行交易业务模式。为了保证此种交易的可靠性和安全性，基于对用户身份信息的认证成为网络银行交易业务中的核心问题。现有基于“USB Key”的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合、一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。现有的个人计算机(Personal Computer；以下简称：PC)网银加密卡，基本上就是基于“USB Key”的身份认证方式办理网上银行业务的高级别安全工具。PC网银加密卡是一种通用串行总线(Universal SerialBus；以下简称：USB)接口的硬件设备，内置微型智能卡处理器，采用1024位非对称密钥算法对网上数据进行加密、解密和数字签名，可以存储用户的密钥或数字证书，利用“USB Key”内置的密码算法实现对用户身份的认证确保网上交易的保密性、真实性、完整性和不可否认性。

但是现有PC网银加密卡存在如下缺陷：首先应用PC网银加密卡进行网银交易时，用户必须同时拥有计算机、PC网银加密卡以及良好的网络环境等条件，这就决定了用户不能随时随地的使用PC网银加密卡进行网银交易，应用具有局限性。而且由于要用到计算机，因此需要确保登录网上银行的计算机安全可靠，定期更新杀毒软件，及时下载补丁程序，不随便打开来路不明的程序、游戏和邮件，保持良好的上网习惯等等，而且在加载PC网银加密卡时还要调整计算机的设置例如安装加密卡驱动等等，操作复杂。

发明内容

本发明提供一种身份认证的方法和移动终端、服务器以及身份认证系统，用以解决现有技术中由于应用PC网银加密卡实现网银交易具有局限性、且操作复杂等缺陷，实现通过手机便可以安全、可靠地进行网银交易。

本发明提供一种身份认证的方法，包括：

移动终端网银加密卡对移动终端向客户识别模块发送的信息进行识别，若识别出所述信息为远端服务器发送的、用于进行身份认证的认证字符串，则应用所存储的用户数字证书对所述认证字符串进行加密处理，获得第一加密字符串；

所述移动终端网银加密卡将获得的所述第一加密字符串，通过所述移动终端返回给所述远端服务器供所述远端服务器进行身份认证。

本发明提供一种移动终端，包括移动终端主体和客户识别模块，在所述移动终端主体和客户识别模块之间设置有移动终端网银加密卡，所述移动终端网银加密卡包括：

识别模块，用于对所述移动终端主体向所述客户识别模块发送的信息进行识别；

加密模块，用于若所述识别模块识别出所述信息为远端服务器发送的、用于身份认证的认证字符串，则应用所存储的用户数字证书对所述认证字符串进行加密处理，获得第一加密字符串；

第一返回模块，用于将所述加密模块获得的所述第一加密字符串，通过所述移动终端主体返回给所述远端服务器供所述远端服务器进行身份认证。

本发明提供一种服务器，包括：

第一发送模块，用于向移动终端发送用于身份认证的认证字符串；

接收模块，用于接收所述移动终端返回的第一加密字符串，所述第一加密字符串是所述移动终端应用所存储的用户数字证书对所述认证字符串进行加密处理而得到的；

认证模块，用于应用自身存储的所述用户数字证书对所述认证字符串进行加密处理，获得第二加密字符串，并应用所述第二加密字符串和所述第一加密字符串对所述移动终端进行身份认证。

本发明还提供一种包括上述的移动终端和服务器的身份认证系统。

本发明提供身份认证的方法和移动终端、服务器以及身份认证系统，通过在手机和SIM卡之间设置移动终端网银加密卡，使得用户应用手机进行网银交易更加安全和方便，而且操作简单；对于用户而言，用户可以随时随地应用手机进行网银交易，提高服务质量。

附图说明

图1为本发明身份认证的方法实施例流程图；

图2为本发明实施例移动终端中移动终端网银加密卡结构示意图；

图3为本发明中移动终端网银加密卡与移动终端之间的电路连接示意图；

图4为本发明中移动终端网银加密卡与SIM卡之间的电路连接示意图；

图5为本发明服务器实施例结构示意图；

图6为本发明身份认证系统实施例组成示意图。

具体实施方式

下面结合附图和具体实施例进一步说明本发明实施例的技术方案。

随着基于无线网络的银行交易业务模式技术的不断发展，“USB Key”的身份认证方式已经成为现有普遍采用的网银交易认证方式。然而应用基于“USB Key”技术的PC网银加密卡进行身份认证具有一定的局限性，而且操作复杂。本发明便针对上述现有技术的缺陷，提供一种解决方式即在保证手机正常通信的基础上，通过贴片技术在手机与手机上的客户识别模块(Subscriber Identity Module；以下简称：SIM卡)之间设置一质地轻薄的移动终端网银加密卡，在进行网银交易时，可以通过银行远端服务器和手机进行交互，对用户的身份进行认证，保证交易的可靠性和安全性。

就硬件技术而言，随着电路集成化技术的飞速发展，目前完全可以用更小的物理介质存储并处理“USB Key”中内置的算法程序、用户密钥或数字证书等等内容。而且经过近些年的发展，手机已经成为用户必不可少的通信工具，手机上网成为手机的主流功能，大量的用户可以通过手机使用手机银行无线应用协议(Wireless Application Protocol；以下简称：WAP)服务和手机短信银行服务，为了使用户更安全的使用手机WAP银行和手机短信银行，并提供更丰富的内容，有必要向用户提供在手机上实现类似于在计算机上使用网银加密卡进行身份认证的服务。

图1为本发明身份认证的方法实施例流程图，如图1所示，包括：

步骤100，移动终端网银加密卡对移动终端向客户识别模块发送的信息进行识别，若识别出所述信息为远端服务器发送的、用于进行身份认证的认证字符串，则应用所存储的用户数字证书对所述认证字符串进行加密处理，获得第一加密字符串；

本发明提供的实施例中，移动终端网银加密卡的形状和普通SIM卡相同或略小些，使用时与SIM卡紧密地贴在一起，并共同插入到手机的SIM卡槽内。移动终端网银加密卡使用如同SIM卡使用的“7816协议”传输数据。移动终端网银加密卡在手机和SIM卡之间起到了信息中转站的功能，即该移动终端网银加密卡将接收手机发送给SIM卡的信息并转发给SIM卡，同时会接收SIM卡发送给手机的信息并转发给手机，不会影响手机其他功能例如语音通信等业务的正常使用。具体地，移动终端网银加密卡对手机和SIM卡之间交互的信息进行识别，若发现信息属于手机进行正常通信功能时的信息，则仅作转发不对信息进行任何的修改，实现类似透传的功能。但若移动终端网银加密卡识别出手机向SIM卡发送的信息为银行远端服务器发送来的身份认证信息时，则拦截该信息并进行处理后直接返回给手机并通过手机天线发送出去。由上可知，移动终端网银加密卡仅对对应于进行网银交易的信息进行拦截处理，并不会影响手机和SIM卡正常的交互信息。

当用户尝试进行手机WAP银行或手机短信银行交易时，向银行的远端服务器发送指示，然后远端服务器将向手机发送用于对该手机进行身份认证的认证字符串，该认证字符串为由时间字串、地址字串、交易信息字串、防重放攻击字串组合在一起进行加密后得到的字符串。手机将该认证字符串发向SIM卡，移动终端网银加密卡对手机发给SIM卡的信息进行识别，若识别出该信息为认证字符串，具体识别方式可以是远端服务器与移动终端网银加密卡预先协商好特征码信息，当移动终端网银加密卡识别出信息中特定的位置上为该特征码信息时，则识别出该信息为用于对该手机进行身份认证的认证字符串。移动终端网银加密卡拦截认证字符串并不转发给SIM卡，然后对该认证字符串进行加密处理。移动终端网银加密卡中存储有用户个人的用户数字证书，外部不可读取，同样，银行的远端服务器中也记录着用户的用户数字证书。移动终端网银加密卡根据所存储的用户数字证书对认证字符串进行不可逆运算得到第一加密字符串。

步骤101，所述移动终端网银加密卡将获得的所述第一加密字符串，通过所述移动终端返回给所述远端服务器供所述远端服务器进行身份认证。

移动终端网银加密卡在应用用户数字证书对认证字符串进行加密处理获得第一加密字符串后，将该第一加密字符串返回给手机，并通过手机将该第一加密字符串发送给银行的远端服务器，远端服务器可以应用该第一加密字符串对用户的身份进行认证。远端服务器进行认证的过程具体为，由于远端服务器也存储有该用户的用户数字证书，在向该用户发送认证字符串后，远端服务器可以根据自身所存储的用户数字证书对所发送的认证字符串进行相同的不可逆运算，并获得第二加密字符串；在接收到手机返回的第一加密字符串后，远端服务器根据第一加密字符串和第二加密字符串对用户的身份进行认证，具体地远端服务器将第二加密字符串与第一加密字符串进行比较，若相同，则认证成功，交易便可以完成；若不相同，则认证失败，交易便会失败。

理论上，不同的认证字符串不会得出相同的第一加密字符串，即一个认证字符串对应一个唯一的第一加密字符串；但是第一加密字符串和认证字符串无法得出用户的用户数字证书，而且移动终端网银加密卡具有不可读取性，因此任何人都无法获行用户的用户数字证书。并且银行的远端服务器每次都会发不同的防重放字串(随机字串)和时间字串，所以当一次交易完成后，刚发出的认证字符串便不再有效，因此应用移动终端网银加密卡进行网银交易是绝对安全的。

本发明提供的方法，通过在手机和SIM卡之间设置移动终端网银加密卡，使得用户应用手机进行网银交易更加安全和方便，而且操作简单；对于用户而言，用户可以随时随地应用手机进行网银交易，提高服务质量。

在上述实施例中，银行的远端服务器还可以通过向移动终端网银加密卡发送业务更新指示信息去更新手机的功能菜单。移动终端网银加密卡对手机发向SIM卡的信息进行识别，若通过某个字段的特殊标识识别出手机向SIM卡发送的信息为业务更新指示信息，则将该业务更新指示信息返回给手机供手机根据该业务更新指示信息对功能菜单进行更新。手机WAP银行或手机短信银行的服务器可以随时向手机发送业务更新信息，这些信息被传递给移动终端网银加密卡后，移动终端网银加密卡内置的程序可以即时的向手机发送功能菜单更新指令，更新手机上与手机WAP银行或手机短信银行相关的STK功能菜单，提供给用户更多的功能，本发明提供的方法在保证应用手机安全地进行网银交易的基础上，还具有一定的功能扩展性。

图2为本发明实施例移动终端中移动终端网银加密卡结构示意图，如图2所示，该移动终端包括移动终端主体和SIM卡，其中移动终端主体包括安装上SIM卡后能够正常使用的手机的全部功能模块，例如处理器、天线、显示屏和电池等等，当然移动终端主体上还具备用于插入SIM卡的卡槽。本实施例提供的移动终端中还包括移动终端网银加密卡，该移动终端网银加密卡被设计为轻薄的贴片形式，使用时贴附在SIM卡上，并与SIM卡同时插入移动终端主体上的卡槽内，所述移动终端网银加密卡的正反两面分别设置有用于与所述移动终端主体和SIM卡进行数据通信的接触区域，具体为手机的卡槽内的连接触点与移动终端网银加密卡电连接，移动终端网银加密卡再与SIM卡电连接。其中，移动终端网银加密卡包括识别模块11、加密模块12和第一返回模块13，其中识别模块11用于对该移动终端主体向该SIM卡发送的信息进行识别；加密模块12用于若该识别模块识别出该信息为远端服务器发送的、用于身份认证的认证字符串，则应用所存储的用户数字证书对该认证字符串进行加密处理，获得第一加密字符串；第一返回模块13用于将加密模块12获得的该第一加密字符串，通过该移动终端主体返回给该远端服务器供该远端服务器进行身份认证。

具体地，当用户尝试进行手机WAP银行或手机短信银行交易时，向银行的远端服务器发送指示，然后远端服务器将向移动终端即手机发送用于对该手机进行身份认证的认证字符串，该认证字符串为由时间字串、地址字串、交易信息字串、防重放攻击字串组合在一起进行加密后得到的字符串。手机将该认证字符串发向SIM卡，移动终端网银加密卡中的识别模块11对手机发给SIM卡的信息进行识别，若识别出该信息为认证字符串，则拦截认证字符串，然后通过加密模块12对该认证字符串进行加密处理，具体可是应用手机存储的用户数字证书对认证字符串进行不可逆运算得到第一加密字符串。加密模块12在应用用户数字证书对认证字符串进行加密处理获得第一加密字符串后，通过第一返回模块13将该第一加密字符串返回给手机，并通过手机将该第一加密字符串发送给银行的远端服务器，远端服务器可以应用该第一加密字符串对用户的身份进行认证。

本实施例提供的移动终端网银加密卡中还包括存储模块14，与加密模块12连接，用于存储用户的用户数字证书。加密模块12对认证字符串进行加密处理时从存储模块14中获取用户数字证书。

本实施例提供的移动终端网银加密卡中还可以包括第二返回模块15用于若识别出该移动终端主体向该SIM卡发送的信息为该远端服务器发送的业务更新指示信息，则将该业务更新指示信息返回给该移动终端主体供该移动终端主体根据该业务更新指示信息对功能菜单进行更新。第二返回模块15在识别模块11识别出业务更新指示信息后，拦截该信息并作相应处理后返回给手机主体使得手机更新与手机WAP银行或手机短信银行相关的STK功能菜单，提供给用户更多的功能。

本实施例提供的移动终端中设置的移动终端网银加密卡做成贴片形式贴附在SIM卡上，并同SIMS卡一同插入到手机的SIM卡插槽内。图3为本发明中移动终端网银加密卡与移动终端之间的电路连接示意图，图4为本发明中移动终端网银加密卡与SIM卡之间的电路连接示意图，如图3和图4所示，手机和SIM卡上C1、C2、C3、C5、C6和C7管脚为标准定义，分别表示为“直接或间接接触电源Vcc”、“重置RESET”、“CLK”、“接地GND”、“可编程电压Vpp”和“输入/输出I/O”，SIM卡与手机交换认证之前串接了移动终端网银加密卡，移动终端网银加密卡上的标准的10脚IC芯片内置了引导程序，电路除了对SIM卡和手机之间的I/O数据线通信进行串联控制外，其他管脚都是与SIM卡和手机外联引脚已取得供电和时钟同步，而且对I/O进行串接控制时可以基于“7816协议”传输数据。

本发明提供的移动终端中在移动终端和SIM卡之间设置移动终端网银加密卡，使得用户应用移动终端进行网银交易更加安全和方便，而且操作简单；对于用户而言，用户可以随时随地应用移动终端进行网银交易，提高服务质量。

图5为本发明服务器实施例结构示意图，如图5所示，该服务器包括第一发送模块21、接收模块22和认证模块23，其中第一发送模块21用于向移动终端发送用于身份认证的认证字符串；接收模块22用于接收该移动终端返回的第一加密字符串，该第一加密字符串是该移动终端应用所存储的用户数字证书对该认证字符串进行加密处理而得到的；认证模块23用于应用自身存储的该用户数字证书对该认证字符串进行加密处理，获得第二加密字符串，并应用该第二加密字符串和该第一加密字符串对该移动终端进行身份认证。

本实施例提供的服务器设在银行端，通过与手机之间正常的业务通信进行交互。具体地，当用户尝试进行手机WAP银行或手机短信银行交易时，向银行的远端服务器发送指示，然后服务器中的第一发送模块21将向手机发送用于对该手机进行身份认证的认证字符串，该认证字符串为由时间字串、地址字串、交易信息字串、防重放攻击字串组合在一起进行加密后得到的字符串。手机中的移动终端网银加密卡对该认证字符串进行加密处理具体为根据所存储的用户数字证书对认证字符串进行不可逆运算后，向服务器返回经过加密处理的第一加密字符串。接收模块22接收第一加密字符串，然后通过认证模块23对该移动终端进行身份认证。具体地，由于服务器也存储有该用户的用户数字证书，在向该用户发送认证字符串后，远端服务器可以根据自身所存储的用户数字证书对所发送的认证字符串进行相同的不可逆运算，并获得第二加密字符串；在接收到手机返回的第一加密字符串后，认证模块23根据第一加密字符串和第二加密字符串对用户的身份进行认证，具体地认证模块23将第二加密字符串与第一加密字符串进行比较，若相同，则认证成功，交易便可以完成；若不相同，则认证失败，交易便会失败。

为了即时地更新移动终端上功能菜单，本实施例提供的服务器中还可以包括第二发送模块24用于向移动终端发送业务更新指示信息，该业务更新指示信息用于指示移动终端根据该业务更新指示信息对功能菜单进行更新。手机更新手机WAP银行或手机短信银行相关的STK功能菜单，提供给用户更多的功能。

本实施例提供的服务器，通过与用户的手机交互实现基于手机的网银交易，使得用户进行网银交易更加安全和方便，而且操作简单；对于用户而言，用户可以随时随地应用移动终端进行网银交易，提高服务质量。

图6为本发明身份认证系统实施例组成示意图，如图6所示，该身份认证系统包括移动终端1和服务器2，在移动终端1中设置有移动终端网银加密卡3，服务器2设置在银行端。移动终端1和服务器2在进行正常的移动终端通信功能的同时，通过移动终端1中的移动终端网银加密卡3实现基于移动终端的网银交易。本实施例系统中涉及的移动终端和服务器，可以采用上述各实施例提供的移动终端和服务器，其具体结构和功能此处不再赘述。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1、一种身份认证的方法，其特征在于，包括：

移动终端网银加密卡对移动终端向客户识别模块发送的信息进行识别，若识别出所述信息为远端服务器发送的、用于进行身份认证的认证字符串，则应用所存储的用户数字证书对所述认证字符串进行加密处理，获得第一加密字符串；

所述移动终端网银加密卡将获得的所述第一加密字符串，通过所述移动终端返回给所述远端服务器供所述远端服务器进行身份认证。

2、根据权利要求1所述的身份认证的方法，其特征在于，所述认证字符串为对时间字符串、地址字符串、交易信息字符串和防重放攻击字符串的组合进行加密处理所获得的字符串。

3、根据权利要求1所述的身份认证的方法，其特征在于，所述方法还包括：

若所述移动终端网银加密卡识别出所述移动终端向客户识别模块发送的信息为所述远端服务器发送的业务更新指示信息，则将所述业务更新指示信息返回给所述移动终端供所述移动终端根据所述业务更新指示信息对功能菜单进行更新。

4、根据权利要求1或2所述的身份认证的方法，其特征在于，所述远端服务器进行身份认证包括：

所述远端服务器应用自身存储的所述用户数字证书对所述认证字符串进行加密处理，获得第二加密字符串，并将所述第二加密字符串与所述移动终端返回的所述第一加密字符串进行比较，若相同，则认证成功；若不相同，则认证失败。

5、一种移动终端，包括移动终端主体和客户识别模块，其特征在于，在所述移动终端主体和客户识别模块之间设置有移动终端网银加密卡，所述移动终端网银加密卡包括：

识别模块，用于对所述移动终端主体向所述客户识别模块发送的信息进行识别；

加密模块，用于若所述识别模块识别出所述信息为远端服务器发送的、用于身份认证的认证字符串，则应用所存储的用户数字证书对所述认证字符串进行加密处理，获得第一加密字符串；

第一返回模块，用于将所述加密模块获得的所述第一加密字符串，通过所述移动终端主体返回给所述远端服务器供所述远端服务器进行身份认证。

6、根据权利要求5所述的移动终端，其特征在于，所述移动终端网银加密卡还包括：

存储模块，与所述加密模块连接，用于存储所述用户数字证书。

7、根据权利要求5或6所述的移动终端，其特征在于，所述移动终端网银加密卡还包括：

第二返回模块，用于若识别出所述移动终端主体向所述客户识别模块发送的信息为所述远端服务器发送的业务更新指示信息，则将所述业务更新指示信息返回给所述移动终端主体供所述移动终端主体根据所述业务更新指示信息对功能菜单进行更新。

8、一种服务器，其特征在于，包括：

第一发送模块，用于向移动终端发送用于身份认证的认证字符串；

接收模块，用于接收所述移动终端返回的第一加密字符串，所述第一加密字符串是所述移动终端应用所存储的用户数字证书对所述认证字符串进行加密处理而得到的；

认证模块，用于应用自身存储的所述用户数字证书对所述认证字符串进行加密处理，获得第二加密字符串，并应用所述第二加密字符串和所述第一加密字符串对所述移动终端进行身份认证。

9、根据权利要求8所述的服务器，其特征在于，还包括：

第二发送模块，用于向移动终端发送业务更新指示信息，所述业务更新指示信息用于指示所述移动终端根据所述业务更新指示信息对功能菜单进行更新。

10、一种身份认证系统，包括如权利要求5至7任一所述的移动终端和如权利要求8至9任一所述的服务器。

Images