CN101620705A - 一种用于网上银行的安全认证方法及系统 - Google Patents

Abstract

本发明公开了一种用于网上银行的安全认证方法，所述安全认证方法包括：确定客户登录口令信息正确，接收转账支付交易信息，根据所述接收到的交易信息生成动态口令信息，将所述动态口令信息和所述交易信息发送到客户终端，让客户对所述交易信息进行核对。本发明还公开了一种用于网上银行的安全认证系统。采用本发明，除了通过对客户登录口令信息进行安全认证外，还根据交易信息生成动态口令信息，并将所述动态口令信息和所述交易信息发送到客户终端，让客户对所述交易信息进行核对，从而实现二次安全认证，提高客户资金的安全性。

Description

一种用于网上银行的安全认证方法及系统

技术领域

本发明涉及网上银行安全认证领域，尤其涉及一种用于网上银行的安全认证方法及系统。

背景技术

网上银行作为一种全新的金融服务渠道，对客户、对社会和对银行本身都具有重要意义。而对于银行本身来说，网上银行已经成为银行稳定优质客户和竞争新客户的利器，有效提升了银行的核心竞争力，也有效分流了柜面业务，缓解了网点柜台排队的压力，并且节约了大量运营成本。随着网络攻击技术的不断发展，网上银行业务的经营也面临着诸多安全风险。

目前，网上银行采用USB Key数字证书安全认证机制对客户身份进行认证，其中，USB是Universal Serial Bus的英文缩写，USB Key是指一种USB接口的硬件设备，内置智能芯片，有一定的存储空间，可以存储用户的私钥和数字证书，利用其内置的公钥算法实现对客户身份的认证。虽然使用USB Key可以对客户的身份信息进行认证，但黑客可通过如下手段对网上银行客户的USB Key进行攻击：

(1)远程控制：通过向客户的计算机植入木马病毒，当客户的USB Key插在客户的计算机上时，黑客可通过木马病毒远程控制客户的计算机，在客户不知情的情况下，远程调用客户的USB Key进行网上银行转账支付交易，从而盗取客户的资金。

(2)交易篡改：通过向客户的计算机植入木马病毒，在客户并不知情的情况下，当客户使用USB Key进行网上银行转账支付交易时，黑客劫持客户的关键交易信息，然后篡改该关键交易信息，对篡改后的交易信息使用USB Key进行数字签名并提交给银行处理系统，从而盗取客户资金。

网上银行通过使用单一的互联网渠道无法解决网上银行的完全问题，黑客可通过使用木马病毒程序等方式实施远程控制和交易篡改，威胁客户资金的安全。

发明内容

本发明所要解决的技术问题在于，提供一种用于网上银行的安全认证方法及系统，通过采用二次安全认证方式，提高客户资金的安全性。

为了解决上述技术问题，本发明提供了一种用于网上银行的安全认证方法，所述安全认证方法包括：

确定客户登录口令信息正确；

接收转账支付交易信息；

根据所述接收到的交易信息生成动态口令信息；

将所述动态口令信息和所述交易信息发送到客户终端，让客户对所述交易信息进行核对。

本发明还提供了一种用于网上银行的安全认证系统，所述安全认证系统包括：

确定单元，用于确定客户登录口令信息正确；

接收单元，用于接收转账支付交易信息；

生成单元，用于根据所述接收到的交易信息生成动态口令信息；

发送单元，用于将所述动态口令信息和所述交易信息发送到客户终端，让客户对所述交易信息进行核对。

实施本发明，除了通过对客户登录口令信息进行安全认证外，还根据交易信息生成动态口令信息，并将所述动态口令信息和所述交易信息发送到客户终端，让客户对所述交易信息进行核对，从而实现二次安全认证，提高客户资金的安全性。

附图说明

图1是本发明用于网上银行的安全认证方法流程图；

图2是本发明用于网上银行的安全认证方法的实施例的具体流程图；

图3是本发明用于网上银行的安全认证方法的另一实施例的具体流程图；

图4是本发明用于网上银行的安全认证系统组成示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。

参考图1，图示了用于网上银行的安全认证方法，所述安全认证方法包括：

101、确定客户登录口令信息正确。

所述登录口令信息包括：用户名口令信息、密码口令信息、验证码口令信息和客户USB Key口令信息。

102、接收转账支付交易信息。

所述转账支付包括：转账汇款、代理交费和网上支付。

所述转账支付交易信息包括：付款人账号、收款人账号、收款人姓名和金额。

103、根据所述接收到的交易信息生成动态口令信息。

针对不同的交易信息随机生成不同的动态口令信息，动态口令信息具有一定的生命周期，如动态口令信息在10分钟内有效，过期失效。

104、将所述动态口令信息和所述交易信息发送到客户终端，让客户对所述交易信息进行核对。

所述客户终端可以是客户手机终端。其中，将所述动态口令信息和所述交易信息发送到客户终端为：通过短信方式将所述动态口令信息和所述交易信息发送到客户终端；或者将所述动态口令信息和所述交易信息转化成语音信息，并将所述语音信息发送到客户终端，通过该终端向客户播放所述语音信息。

105、接收所述客户核对所述交易信息后输入的动态口令信息和经过数字签名的所述交易信息，并将所述客户输入的动态口令信息和经过数字签名的所述交易信息提交至网上银行服务器；或者，接收所述客户结束本次转账支付交易请求，并根据该请求结束本次转账支付交易。

下面给出具体例子，对用于网上银行的安全认证方法进行详细说明。该网上银行的安全认证方法具体用在利用多电子渠道进行二次确认转账支付的系统中，该系统包括：网上银行客户端、网上银行服务器、银行业务处理系统、电子渠道统一认证平台、短信平台、电话外呼系统等。其中，网上银行客户端通过公共互联网连接网上银行服务器，网上银行服务器通过银行内部网络连接银行业务处理系统，银行业务处理系统用于对银行业务请求进行处理。

参考图2，图示了用于网上银行的安全认证方法，所述安全认证方法包括：

201、客户在网上银行客户端登录个人网上银行办理转账汇款类业务。

202、客户输入付款人账号、收款人账号、收款人姓名和转账金额等交易信息到交易页面，并向网上银行服务器提交交易请求。

203、网上银行服务器转发交易请求至电子渠道统一认证平台。

204、电子渠道统一认证平台根据交易信息生成动态口令信息。

205、短信平台将交易信息和由电子渠道统一认证平台生成的动态口令信息通过短信方式发送到客户手机终端，让客户对交易信息进行核对。

206、客户根据接收到的短信信息确认收款人账号、收款人姓名和转账金额等关键交易信息无误后，将接收到的动态口令信息填至交易页面，然后利用USB Key对交易信息进行数字签名，并将动态口令信息和经过数字签名的交易信息提交至网上银行服务器。

207、网上银行服务器校验客户输入的动态口令信息与电子渠道统一认证平台所生成的动态口令信息是否一致，当两者一致时，则执行步骤208；当两者不一致时，则执行步骤210。

208、验证交易请求中的交易信息和数字签名的交易信息是否一致，如果验证为是，则执行步骤209；如果验证为否，则执行步骤210。

209、将交易请求发送到银行业务处理系统进行业务处理，然后将处理结果发送给客户的网上银行客户端。

其中，当客户转账汇款成功时，网上银行客户端页面显示付款人账号、收款人账号、交易币种、凭证号、交易时间、交易金额、交易手续费和付款后付款账号的金额。当客户转账失败时，网上银行客户端页面显示失败的原因信息。

210、结束本次转账支付交易。

参考图3，图示了用于网上银行的安全认证方法，所述安全认证方法包括：

301、客户在网上银行客户端登录个人网上银行办理转账汇款类业务。

302、客户输入付款人账号、收款人账号、收款人姓名和转账金额等交易信息到交易页面，并向网上银行服务器提交交易请求。

303、网上银行服务器转发交易请求至电子渠道统一认证平台。

304、电子渠道统一认证平台根据交易信息生成动态口令信息。

305、电话外呼系统将交易信息和由电子渠道统一认证平台生成的动态口令信息转化成语音信息，并将语音信息发送到客户手机终端，通过该手机终端向客户播放语音信息，让客户对交易信息进行核对。

306、客户根据接收到的语音信息确认收款人账号、收款人姓名和转账金额等关键交易信息无误后，将接收到的动态口令信息填至交易页面，然后利用USB Key对交易信息进行数字签名，并将动态口令信息和经过数字签名的交易信息提交至网上银行服务器。

307、网上银行服务器校验客户输入的动态口令信息与电子渠道统一认证平台所生成的动态口令信息是否一致，当两者一致时，则执行步骤308；当两者不一致时，则执行步骤310。

308、验证交易请求中的交易信息和数字签名的交易信息是否一致，如果验证为是，则执行步骤309；如果验证为否，则执行步骤310。

309、将交易请求发送到银行业务处理系统进行业务处理，然后将处理结果发送给客户的网上银行客户端。

其中，当客户转账汇款成功时，网上银行客户端页面显示付款人账号、收款人账号、交易币种、凭证号、交易时间、交易金额、交易手续费和付款后付款账号的金额。当客户转账失败时，网上银行客户端页面显示失败的原因信息。

310、结束本次转账支付交易。

参考图4，图示了本发明用于网上银行的安全认证系统，所述安全认证系统包括：

确定单元401，用于确定客户登录口令信息正确。

所述登录口令信息包括：用户名口令信息、密码口令信息、验证码口令信息和客户USB Key口令信息。

接收单元402，用于接收转账支付交易信息。

所述转账支付包括：转账汇款、代理交费和网上支付。

所述转账支付交易信息包括：付款人账号、收款人账号、收款人姓名和金额。

生成单元403，用于根据所述接收到的交易信息生成动态口令信息。

针对不同的交易信息随机生成不同的动态口令信息，动态口令信息具有一定的生命周期，如动态口令信息在10分钟内有效，过期失效。

发送单元404，用于将所述动态口令信息和所述交易信息发送到客户终端，让客户对所述交易信息进行核对。

所述客户终端可以是客户手机终端。其中，将所述动态口令信息和所述交易信息发送到客户终端为：通过短信方式将所述动态口令信息和所述交易信息发送到客户终端；或者将所述动态口令信息和所述交易信息转化成语音信息，并将所述语音信息发送到客户终端，通过该终端向客户播放所述语音信息。

处理单元405，用于实现如下功能：

接收所述客户核对所述交易信息后输入的动态口令信息和经过数字签名的所述交易信息，并将所述客户输入的动态口令信息和经过数字签名的所述交易信息提交至网上银行服务器；或者，

接收所述客户结束本次转账支付交易请求，并根据该请求结束本次转账支付交易。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到本发明可借助软件结合必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在可读取的存储介质中，如计算机的软盘，硬盘或光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

实施本发明实施例，除了通过对客户登录口令信息进行安全认证外，还根据交易信息生成动态口令信息，并将所述动态口令信息和所述交易信息发送到客户终端，让客户对所述交易信息进行核对，从而实现二次安全认证，提高客户资金的安全性。

以上所揭露的仅为本发明较佳实施例而已，当然不能以此来限定本发明之权利范围，因此依本发明权利要求所作的等同变化，仍属本发明所涵盖的范围。

Claims (10)

1.一种用于网上银行的安全认证方法，其特征在于，所述安全认证方法包括：

确定客户登录口令信息正确；

接收转账支付交易信息；

根据所述接收到的交易信息生成动态口令信息；

将所述动态口令信息和所述交易信息发送到客户终端，让客户对所述交易信息进行核对。

2.根据权利要求1所述的方法，其特征在于，所述安全认证方法还包括：

接收所述客户核对所述交易信息后输入的动态口令信息和经过数字签名的所述交易信息，并将所述客户输入的动态口令信息和经过数字签名的所述交易信息提交至网上银行服务器；或者，

接收所述客户结束本次转账支付交易请求，并根据该请求结束本次转账支付交易。

3.根据权利要求1或2所述的方法，其特征在于，将所述动态口令信息和所述交易信息发送到客户终端为：

通过短信方式将所述动态口令信息和所述交易信息发送到客户终端。

4.根据权利要求1或2所述的方法，其特征在于，将所述动态口令信息和所述交易信息发送到客户终端为：

将所述动态口令信息和所述交易信息转化成语音信息，

并将所述语音信息发送到客户终端，通过该终端向客户播放所述语音信息。

5.根据权利要求1所述的方法，其特征在于，所述转账支付交易信息包括：付款人账号、收款人账号、收款人姓名和金额。

6.一种用于网上银行的安全认证系统，其特征在于，所述安全认证系统包括：

确定单元，用于确定客户登录口令信息正确；

接收单元，用于接收转账支付交易信息；

生成单元，用于根据所述接收到的交易信息生成动态口令信息；

发送单元，用于将所述动态口令信息和所述交易信息发送到客户终端，让客户对所述交易信息进行核对。

7.根据权利要求6所述的系统，其特征在于，所述安全认证系统还包括：

处理单元，用于实现如下功能：

接收所述客户核对所述交易信息后输入的动态口令信息和经过数字签名的所述交易信息，并将所述客户输入的动态口令信息和经过数字签名的所述交易信息提交至网上银行服务器；或者，

接收所述客户结束本次转账支付交易请求，并根据该请求结束本次转账支付交易。

8.根据权利要求6或7所述的系统，其特征在于，将所述动态口令信息和所述交易信息发送到客户终端为：

通过短信方式将所述动态口令信息和所述交易信息发送到客户终端。

9.根据权利要求6或7所述的系统，其特征在于，将所述动态口令信息和所述交易信息发送到客户终端为：

将所述动态口令信息和所述交易信息转化成语音信息，

并将所述语音信息发送到客户终端，通过该终端向客户播放所述语音信息。

10.根据权利要求6所述的系统，其特征在于，所述转账支付交易信息包括：付款人账号、收款人账号、收款人姓名和金额。

Images