CN101924734A - 一种基于Web表单的身份认证方法及认证装置 - Google Patents

Abstract

本发明公开了一种基于Web表单的身份认证方法，包括：将预置的第一口令和客户端口令控件生成的第二口令发送至服务器端；服务器触发Web表单生成程序；将Web表单用户名输入域和口令输入域的原始标识转换为动态标识；所述Web表单生成程序依据所述Web表单输入域的动态标识生成Web表单；客户端显示所述Web表单，并接收用户输入的用户名和第一口令；依据用户的表单提交请求，解析动态标识并还原为其原始标识；所述口令控件调用所述第二口令；然后将所述用户名、第一口令和第二口令发送至服务器进行验证。本发明可以提高信息安全领域身份识别的安全性，防止木马程序恶意窃取用户身份信息。

Description

一种基于Web表单的身份认证方法及认证装置

技术领域

本发明涉及网络信息安全领域，特别是涉及一种基于Web表单的身份认证方法及认证装置。

背景技术

根据现有的Web表单应用的工作方式，网站系统无法从提交的表单数据中判断表单的填写者是否是真实的用户。因此，用户可以绕过表单的人工填写步骤，通过使用通用的Web表单自动填写工具或者专门针对该网站系统编写的机器人程序，例如：AI RoboForm、海量论坛群发等软件进行自动识别注册表单、用户批量注册、自动登录等，某些用户通过利用此类工具进行恶意灌水、恶意增加数据库访问、用特定程序暴力破解密码、发布垃圾信息等操作，由于自动填写程序或机器人程序提供的数据是虚假的，因此会严重干扰网络系统的正常运营，而且，上述程序能够在短时间内产生大量的数据，极大地妨碍了网站系统的健康、安全运行。

此外，现在还出现了许多盗取键盘输入、截屏、盗取文件功能的木马程序，这种木马程序多数有恶意企图，例如盗取QQ帐号、游戏帐号甚至银行帐号，并且一般潜伏在用户的电脑中，在用户的键盘输入过程中窃取用户的数据信息，给用户的信息安全造成很大影响。

发明内容

本发明所要解决的技术问题是提供一种基于Web表单的身份认证方法，以提高信息安全领域身份识别的安全性，防止木马程序恶意窃取用户身份信息。

本发明的另一个目的是将上述识别方法应用于实际中，提供一种基于Web表单的身份认证装置，以保证上述认证方法的实现和应用。

为解决上述技术问题，本发明提供了一种基于Web表单的身份认证方法，包括：

预置第一口令，由位于客户端的口令控件按照预置算法生成第二口令；

将所述第一口令和第二口令发送至服务器端；

服务器根据用户的表单显示请求，触发Web表单生成程序；

将Web表单用户名输入域和口令输入域的原始标识转换为动态标识，所述动态标识只在当次会话中有效；

所述Web表单生成程序依据所述Web表单输入域的动态标识生成Web表单；

客户端显示所述Web表单，并接收用户在用户名输入域和口令输入域输入的用户名和第一口令；

依据用户的表单提交请求，解析出所述Web表单输入域的动态标识和值，并将所述用户名输入域和口令输入域的动态标识还原为其原始标识；以及，所述口令控件根据所述用户名输入域的值调用所述第二口令；

将所述用户名、第一口令和第二口令发送至服务器进行验证；

若数据库中存在匹配的用户名、第一口令和第二口令，则通知客户端验证通过。

优选的，所述的方法，还包括：

服务器对所述第一口令和第二口令进行加密，将所述加密后的第一口令和第二口令在数据库中进行匹配；所述数据库中存储的第一口令和第二口令是经过加密后的第一口令和第二口令。

优选的，所述的方法，还包括：

对所述第二口令进行加密并保存至所述口令控件中。

优选的，所述加密是采用所述口令控件的私钥进行加密。

优选的，所述的方法，还包括：

采用所述口令控件的公钥对所述加密的第二口令进行解密。

本发明实施例还公开了一种基于Web表单的身份认证装置，包括：

预置单元，用于预置第一口令，由位于客户端的口令控件按照预置算法生成第二口令；

发送单元，用于将所述第一口令和第二口令发送至服务器端；

服务器触发单元，用于根据用户的表单显示请求，触发Web表单生成程序；

动态标识生成单元，用于将Web表单用户名输入域和口令输入域的原始标识转换为动态标识，所述动态标识只在当次会话中有效；

Web表单生成程序，用于依据所述Web表单输入域的动态标识生成Web表单；

客户端请求接收单元，用于显示所述Web表单，并接收用户在用户名输入域和口令输入域输入的用户名和第一口令；

动态标识解析单元，用于依据用户的表单提交请求，解析出所述Web表单输入域的动态标识和值，并将所述用户名输入域和口令输入域的动态标识还原为其原始标识；

口令控件，用于根据所述用户名输入域的值调用所述第二口令；

验证发送单元，用于将所述用户名、第一口令和第二口令发送至服务器进行验证；

服务器验证单元，用于在判断数据库中存在匹配的用户名、第一口令和第二口令时，向客户端返回验证通过。

优选的，所述的装置，还包括：

服务器加密单元：用于通过服务器对所述第一口令和第二口令进行加密，将所述加密后的第一口令和第二口令在数据库中进行匹配；所述数据库中存储的第一口令和第二口令是经过加密后的第一口令和第二口令。

优选的，所述的装置，还包括：

客户端加密单元：用于在客户端对所述第二口令进行加密并保存至所述口令控件中。

优选的，所述加密是采用所述口令控件的私钥进行加密。

优选的，所述的装置，还包括：

客户端解密单元：用于对所述加密的第二口令采用所述口令控件的公钥进行解密。

与现有技术相比，本发明具有以下优点：

首先，本发明通过将Web表单用户名输入域和口令输入域的原始标识，转换为只在当次会话中有效的动态标识，对于通用表单自动填写工具而言，它是无法通过录制、回放机制来实现Web表单的自动填写，因此本方法能够完全有效地防止使用动态表单自动填写工具填写表单；对于机器人程序的编写者而言，他无法再使用传统的通过查看表单HTML源代码人工识别Web表单输入域名字，并在机器人程序中固定编码输入域名字的方法实现机器人程序，因此，本发明可以有效防止Web表单地自动填写，从而避免某些用户通过利用此类工具进行地恶意操作，保证网络系统的正常运营，以及网站系统的健康、安全运行。

再者，由于本发明的验证方法无需键盘输入，并通过生成第二口令参与认证过程，从而有效提高了用户密码的安全性，防止了木马程序恶意窃取的可能性。

附图说明

图1是本发明一种基于Web表单的身份认证方法实施例的流程图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

本发明可用于众多通用或专用的计算系统环境或配置中。例如：个人计算机、服务器计算机、手持设备或便携式设备、平板型设备、多处理器系统、基于微处理器的系统、置顶盒、可编程的消费电子设备、网络PC、小型计算机、大型计算机、包括以上任何系统或设备的分布式计算环境等等。

本发明可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本发明，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

参考图1，示出了本发明一种基于Web表单的身份认证方法实施例的流程图，具体可以包括以下步骤：

步骤101、预置第一口令，由位于客户端的口令控件按照预置算法生成第二口令；

使用本发明初次登录系统时，用户需要在客户端输入用户名，并预置第一口令进行注册。此时，客户端中的口令控件会按照预置算法随机生成第二口令。其中，所述口令控件是浏览器支持的控件类型，例如，Active X控件，并且，所述口令控件配合网站实现相关网页功能。

所述第二口令是利用简单的随机数和字母产生，例如，可以采用系统/编程语言提供的随机函数生成随机数字的方法生成，具体为：

先随机生成一个8位的数字，比如12345678；

然后再随机生成1-5的随机数字，比如3，表示接下来随机产生几个字母；

然后根据前一个随机数字，分别生成3个1-26之间的随机数字，并按照字母顺序替换为对应的字母，比如：a、e、z；

然后再对每个字母生成一个1-8的随机数字，表示该字母插入最开始的8位数字的哪个位置后，比如1，5，8；

最后得到一个随机数字和字母串，比如1a2345e678z。

当然，采用系统/编程语言提供的随机函数生成随机数字的方法仅仅是本发明采用的一种方式，本领域技术人员可以采用其他方式生成所述第二口令，本发明对此不加以限制。

步骤102、将所述第一口令和第二口令发送至服务器端。

优选的是，服务器接收到所述第一口令和第二口令后，对所述第一口令和第二口令进行合法性判断。

步骤103、服务器根据用户的表单显示请求，触发Web表单生成程序；

Web表单是网站系统基于Web页面，与用户交互的主要手段之一，用户可以通过在Web表单上输入凭据，例如，用户名和密码，来表明自己的身份。在收到这些凭据后，Web应用程序对照数据源检查用户的凭据，如上所述用户名和密码，以验证用户的身份。在实际中，当网站系统需要从用户处取得输入时，它会提供给用户一个包含Web表单的页面，其中包含多个具有名字的输入域。用户在输入域填写信息，并将填写完成后的表单提交给网站系统。网站系统从提交的表单中根据名字检查用户填写的值，对这些值进行验证并进行后续的处理。在本发明中，用户向网站服务器请求显示Web表单即可触发服务器中的表单生成程序。

步骤104、将Web表单用户名输入域和口令输入域的原始标识转换为动态标识，所述动态标识只在当次会话中有效；

本步骤可以将Web表单中每一个输入域的原始标识，例如，user_name，通过预置算法随机生成一个只在本次表单处理中有效的动态名字，即生成所述Web表单输入域的动态标识。优选的是，所述算法包括以下步骤：

将所述Web表单输入域的原始标识与时间戳值和随机字符串构成新字符串；

根据所述新字符串生成所述Web表单输入域的动态标识。

例如，首先将所述Web表单输入域的原始标识(比如user_name)连接一个随机字符串599aa1b2f71447cdfcd469d8ade45b09，再连接当前精确到毫秒的时间戳值1160933500109，构成一个新的字符串user_name|599aa1b2f71447cdfcd469d8ade45b09|1160933500109；

然后对这个新字符串进行加密，加密算法可以是DES、Blowfish等具备唯一性和还原性的算法，对于选择何种法加密算法，本发明对此不作限制。

对该新字符串进行加密之后可以再进行一个简单的替换运算，将加密后的字符串中的字符替换为一个合法的参数名字，例如，将/替换为_1，将＝替换为_2，则加密后的动态字符串为bHdiLTP4JaN86HXX9aAq_1suNoVscI2zRxiywWOpwEYyt13AypG9MeyCcQTptUXXtLn_1pg4QITVw_2，则这个动态字符串为所述Web表单输入域的动态标识。

由于所述算法都具有还原性，因此，当需要根据所述Web表单输入域的动态标识还原所述原始标识时，例如，当需要采用所述Web表单输入域的原始标识替换所述动态标识时，通过逆运算还原的方法即可根据上述动态字符串执行所述加密算法与替换算法的逆运算对所述动态字符串进行解密和还原，根据上例，即可还原得到所述原始标识、随机字符串和时间戳值。

在实际中，以上将时间戳值加入字符串的算法除了可以保证所述动态标识具有很高地唯一性以外，还有以下好处：

当通过上述算法从所述动态标识中还原获得时间戳值后，可以根据该时间戳值对这个动态标识进行检验。具体地检验过程为：判断这个时间戳值的时间相比当前时间戳值是否超过预置的表单填写时间(例如，30分钟)，这个表单填写时间可以根据需要设置任意值，本发明对此不作限制。如果没有超过这个预置时间，则认为这个动态标识是有效标识，可以应用于后续操作中；然而，如果超过了上述预置时间，则认为这个动态标识是无效标识，需要对应原来的原始标识重新生成。

需要说明的是，所述动态标识只在当次会话中有效，即当用户第一次打开应用程序中的某一页时，用户会话就此开始。当用户一段时间内不再打开该应用程序中的其它页时，或者用户明确终止该会话时，会话即告结束。动态标识只在本次会话中有效，并且随着会话结束而被自动销毁。

步骤105、所述Web表单生成程序依据所述Web表单输入域的动态标识生成Web表单；

客户端显示所述Web表单，并接收用户在用户名输入域和口令输入域输入的用户名和第一口令；

在这种情况下，一组用户名和第一口令对应于一个第二口令，由于所述第二口令是由口令控件生成的，而不是通过用户键盘输入的，因而不可能被盗取键盘输入的木马程序窃，具有较高的安全性。

步骤107、依据用户的表单提交请求，解析出所述Web表单输入域的动态标识和值，并将所述用户名输入域和口令输入域的动态标识还原为其原始标识；以及，所述口令控件根据所述用户名输入域的值调用所述第二口令；

在具体实现中，用户填写所述Web表单的输入域，客户端接收用户输入的表单数据并将表单提交至网站的服务器，服务器接收到这些表单数据后，从中解析出表单输入域的名字和值，即解析出所述Web表单的输入域的动态标识和用户输入的表单数据，并将接受到的每一个输入域的动态标识都还原成输入域的原始标识，即其原始名字，用以使所述Web表单输入域的原始标识替换所述Web表单输入域的动态标识，

步骤108、将所述用户名、第一口令和第二口令发送至服务器进行验证；

步骤109、判断数据库中是否存在匹配的用户名、第一口令和第二口令，如果存在，则通知客户端验证通过。

特别的是，本发明将所述第二口令发送至服务端后，如果服务器确认所述第二口令是合法的，则对所述第二口令进行加密，并保存在所述口令控件中。优选的是，所述加密为采用非对称加密的公钥体系来进行加密。非对称式加密的加密和解密所使用的不是同一个密钥，通常需要两个密钥：公钥(public key)和私钥(private key)。公钥与私钥是一对，私钥由加密方保存，公钥向所有用户公开，这种公开公钥的方式解决了密钥交换过程中的安全问题。如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。当加密方使用自己的私钥进行数据加密，相当于在数据上做数字签名，解密方用公钥解密数据，由于私钥只有加密方才有，如果解密方能够正常解密，则表明数据一定来自加密方，加密方不能否认，并且保证了数据并非假冒和没有在传输过程中被修改。这种方式比对称加密算法的具有更好安全性。

本发明采用公钥和私钥的非对称加密体系，生成一系列的公钥私钥对，在所述口令控件中生成一系列的公钥私钥对，优选的是，所述口令控件用自己的私钥加密第二口令，其目的是将所述第二口令保存为本地的一个文件，当下次机器重启再访问这个口令控件的时候，所述口令控件采用自己相应的公钥对加密的第二口令进行解密，如果能正确解密，则将解密的第二口令发送至服务器，即发送至服务器的是已经解密的第二口令。

然后，服务器将用户名、第一口令和所述第二口令在数据库中进行匹配。如果数据库中存在匹配的用户名、第一口令和第二口令，则向客户端返回验证通过，如果不存在，则向客户端返回验证失败。

为进一步保证用户数据的安全性，优选的是，本发明的服务器对所述第一口令和第二口令进行加密，并将所述加密后的第一口令和第二口令在数据库中进行匹配；在这种情况下，所述数据库中存储的第一口令和第二口令是经过加密后的第一口令和第二口令。其中，进行加密的算法优选为采用MD5算法，当然，采用现有技术中的其它加密算法也是可行的，本领域技术人员根据需要选择即可，本发明对此不作限制。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。

本发明还提供了一种基于Web表单的身份认证装置实施例，具体可以包括以下单元：

预置单元，用于预置第一口令，由位于客户端的口令控件按照预置算法生成第二口令；

发送单元，用于将所述第一口令和第二口令发送至服务器端；

服务器触发单元，用于根据用户的表单显示请求，触发Web表单生成程序；

动态标识生成单元，用于将Web表单用户名输入域和口令输入域的原始标识转换为动态标识，所述动态标识只在当次会话中有效；

Web表单生成程序，用于依据所述Web表单输入域的动态标识生成Web表单；

客户端请求接收单元，用于显示所述Web表单，并接收用户在用户名输入域和口令输入域输入的用户名和第一口令；

动态标识解析单元，用于依据用户的表单提交请求，解析出所述Web表单输入域的动态标识和值，并将所述用户名输入域和口令输入域的动态标识还原为其原始标识；

口令控件，用于根据所述用户名输入域的值调用所述第二口令；

验证发送单元，用于将所述用户名、第一口令和第二口令发送至服务器进行验证；

服务器验证单元，用于在判断数据库中存在匹配的用户名、第一口令和第二口令时，向客户端返回验证通过。

优选的是，本发明的装置还包括服务器加密单元：用于通过服务器对所述第一口令和第二口令进行加密，将所述加密后的第一口令和第二口令在数据库中进行匹配；所述数据库中存储的第一口令和第二口令是经过加密后的第一口令和第二口令。

优选的是，本发明的装置还包括客户端加密单元：用于在客户端对所述第二口令进行加密并保存至所述口令控件中。所述加密是采用所述口令控件的私钥进行加密。

优选的是，本发明的装置还包括客户端解密单元：用于对所述加密的第二口令采用所述口令控件的公钥进行解密。

由于所述装置实施例与方法实施例相应，相关内容和详细的实施过程已经在前述部分进行了详细描述，在此就不再赘述。

以上对本发明所提供的一种基于Web表单的身份认证方法及基于Web表单的身份认证装置进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种基于Web表单的身份认证方法，其特征在于，包括：

预置第一口令，由位于客户端的口令控件按照预置算法生成第二口令；

将所述第一口令和第二口令发送至服务器端；

服务器根据用户的表单显示请求，触发Web表单生成程序；

将Web表单用户名输入域和口令输入域的原始标识转换为动态标识，所述动态标识只在当次会话中有效；

所述Web表单生成程序依据所述Web表单输入域的动态标识生成Web表单；

客户端显示所述Web表单，并接收用户在用户名输入域和口令输入域输入的用户名和第一口令；

依据用户的表单提交请求，解析出所述Web表单输入域的动态标识和值，并将所述用户名输入域和口令输入域的动态标识还原为其原始标识；以及，所述口令控件根据所述用户名输入域的值调用所述第二口令；

将所述用户名、第一口令和第二口令发送至服务器进行验证；

若数据库中存在匹配的用户名、第一口令和第二口令，则通知客户端验证通过。

2.如权利要求1所述的方法，其特征在于，还包括：

服务器对所述第一口令和第二口令进行加密，将所述加密后的第一口令和第二口令在数据库中进行匹配；所述数据库中存储的第一口令和第二口令是经过加密后的第一口令和第二口令。

3.如权利要求1或2所述的方法，其特征在于，还包括：

对所述第二口令进行加密并保存至所述口令控件中。

4.如权利要求3所述的方法，其特征在于，所述加密是采用所述口令控件的私钥进行加密。

5.如权利要求4所述的方法，其特征在于，还包括：

采用所述口令控件的公钥对所述加密的第二口令进行解密。

6.一种基于Web表单的身份认证装置，其特征在于，包括：

预置单元，用于预置第一口令，由位于客户端的口令控件按照预置算法生成第二口令；

发送单元，用于将所述第一口令和第二口令发送至服务器端；

服务器触发单元，用于根据用户的表单显示请求，触发Web表单生成程序；

动态标识生成单元，用于将Web表单用户名输入域和口令输入域的原始标识转换为动态标识，所述动态标识只在当次会话中有效；

Web表单生成程序，用于依据所述Web表单输入域的动态标识生成Web表单；

客户端请求接收单元，用于显示所述Web表单，并接收用户在用户名输入域和口令输入域输入的用户名和第一口令；

动态标识解析单元，用于依据用户的表单提交请求，解析出所述Web表单输入域的动态标识和值，并将所述用户名输入域和口令输入域的动态标识还原为其原始标识；

口令控件，用于根据所述用户名输入域的值调用所述第二口令；

验证发送单元，用于将所述用户名、第一口令和第二口令发送至服务器进行验证；

服务器验证单元，用于在判断数据库中存在匹配的用户名、第一口令和第二口令时，向客户端返回验证通过。

7.如权利要求6所述的装置，其特征在于，还包括：

服务器加密单元：用于通过服务器对所述第一口令和第二口令进行加密，将所述加密后的第一口令和第二口令在数据库中进行匹配；所述数据库中存储的第一口令和第二口令是经过加密后的第一口令和第二口令。

8.如权利要求6或7所述的装置，其特征在于，还包括：

客户端加密单元：用于在客户端对所述第二口令进行加密并保存至所述口令控件中。

9.如权利要求8所述的装置，其特征在于，所述加密是采用所述口令控件的私钥进行加密。

10.如权利要求9所述的装置，其特征在于，还包括：

客户端解密单元：用于对所述加密的第二口令采用所述口令控件的公钥进行解密。

Images