CN102143190B

CN102143190B - 一种安全登陆方法和装置

Info

Publication number: CN102143190B
Application number: CN201110120941.5A
Authority: CN
Inventors: 程元斌
Original assignee: Jianghan University
Current assignee: Jianghan University
Priority date: 2011-05-11
Filing date: 2011-05-11
Publication date: 2015-05-20
Anticipated expiration: 2031-05-11
Also published as: CN102143190A

Abstract

本发明公开了一种安全登陆方法和装置，属于信息安全领域。所述方法包括：获取欲访问网站对应的服务器提供的秘密数据；采用所述秘密数据对原始登陆信息进行变换以得到与所述网站相对应的提交登陆信息；将所述提交登陆信息发送给所述欲访问网站对应的服务器。所述安全登陆装置包括：获取模块、变换模块和发送模块。本发明通过对用户的原始登陆信息进行变换，得到因网站秘密数据而异的提交登陆信息，既可以方便用户记忆，又可以提高登陆信息的安全性，而且其实现较为简单易行。

Description

一种安全登陆方法和装置

技术领域

本发明涉及信息安全领域，特别涉及一种安全登陆方法和装置。

背景技术

如今，人们越来越依赖于网络，各种各样的网络服务正在逐步渗透到人们的学习、生活、工作之中。网上提供的资源和服务很多都只提供给注册用户，注册时，有的网站还需要用户提供其私密信息，如用户的真实姓名，电话，身份证号码等。

为了方便记忆，许多用户会用相同的登陆信息注册不同的网站，如账号和密码等。由于不同网站的安全性存在差异，攻击者可能很容易地侵入低安全性的网站，通过窃取这些低安全性网站的数据，获取可用于其它网站的用户登陆信息，同时，网上还充斥着大量的钓鱼网站或其他不良网站，用来套取用户登陆信息，还有一些网站确实提供一些对用户有用的服务，但同时也有意无意地滥用或泄漏用户的身份信息，这样使用相同或相似的注册信息就有可能泄露比较重要的身份信息，如淘宝账号等。而若针对不同的网站采用不同的登陆信息，则记忆困难，不易实现。并且，不管采用相同还是不同的用户信息，侵入者都可能侵入服务器端的数据库窃取用户身份信息，实施攻击者包括木马软件、黑客或品行不端的系统管理员，这些攻击直接窃取数据库中的身份信息，一旦数据库系统设计不当且安全措施出现漏洞而被成功攻击，其后果极为严重。

发明内容

为了保证用户信息的安全，本发明实施例提供了一种安全登陆方法和装置。技术方案如下：

一种安全登陆方法，所述方法包括：

获取欲访问网站对应的服务器提供的秘密数据，所述秘密数据包括服务器秘密数和/或非对称加密密钥；

采用数据融合算法对所述秘密数据和用户原始登陆信息进行融合，并采用单向函数对所述融合后的数据进行变换以得到与所述网站相对应的提交登陆信息，且不同网站对应的所述提交登陆信息不同，所述用户原始登陆信息包括用户原始账号UID和用户原始口令PASSWORD；及

将所述提交登陆信息发送给所述欲访问网站对应的服务器；

所述服务器将获取提交账号MD(UID，KU)和提交口令MD(PASSWORD，KP)，KU、KP为服务器秘密数或服务器公开密钥，MD用于用指定的数据融合算法对MD括号中的两个参数进行融合，采用单向函数对所述融合后的数据进行变换；

若操作类型为注册，则将所述提交账号或所述提交口令分别作为用户账号及用户口令存入数据库；若操作类型为登陆，则将所述提交账号或所述提交口令分别与数据库中保存的提交账号和提交口令比对。

一种安全登陆装置，所述装置包括：

获取模块，用于获取欲访问网站对应的服务器提供的秘密数据，所述秘密数据包括服务器秘密数和/或非对称加密密钥；

变换模块，用于采用数据融合算法对所述秘密数据和用户原始登陆信息进行融合，并采用单向函数对所述融合后的数据进行变换以得到与所述网站相对应的提交登陆信息，且不同网站对应的所述提交登陆信息不同，所述用户原始登陆信息包括用户原始账号UID和用户原始口令PASSWORD；

发送模块，用于将所述变换模块得到的提交登陆信息发送给所述欲访问网站对应的服务器；

所述服务器用于获取提交账号MD(UID，KU)和提交口令MD(PASSWORD，KP)，KU、KP为服务器秘密数或服务器公开密钥，MD用于用指定的数据融合算法对MD括号中的两个参数进行融合，采用单向函数对所述融合后的数据进行变换；

本发明实施例提供的技术方案带来的有益效果是：通过对用户的原始登陆身份信息进行变换，得到因网站秘密数据而异的提交登陆信息，也就是说，在用户使用的原始登陆信息相同的情况下，提交给不同网站的提交登陆信息不同，这样，用户可以用相同的原始登陆信息注册不同的网站，便于记忆，并且避免了由于一个网站的登陆信息泄露而导致其他网站的登陆信息泄露的情况，进而可以有效保障用户信息的安全。其次，实现简单灵活，易为各层次的网站采用。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例1提供的安全登陆方法的流程示意图；

图2是本发明实施例2提供的安全登陆方法的流程示意图；

图3是本发明实施例3提供的安全登陆装置结构示意图。

具体实施方式

实施例1

为了提高信息的安全，本发明实施例提供了一种安全登陆方法，参见图1，该方法包括以下步骤：

101：获取欲访问网站对应的服务器提供的秘密数据。

其中，所述秘密数据包括服务器秘密数和/或非对称加密密钥，服务器秘密数可以为空。

该步骤可以在用户端与服务器建立连接的时候完成。

102：采用前述秘密数据对原始登陆信息进行变换以得到与该网站相对应的提交登陆信息。

进一步地，该步骤具体包括：采用数据融合算法对所述秘密数据和所述用户原始登陆信息进行融合，并采用单向函数对所述融合后的数据进行变换。所述数据融合算法及单向函数可以由服务器通过协商参数指定，也可以采用缺省设置，如采用MD5(Message Digest Algorithm，消息摘要算法)。在服务器秘密数可以为空的情况下，采用所述非对称加密密钥对用户原始登陆信息进行变换，即采用数据融合算法对所述非对称加密密钥和用户原始登陆信息进行融合。

具体地，可以根据用户选择的操作类型来选择相应的原始登陆信息进行变换。前述操作类型包括：注册、登陆、修改密码、找回密码，原始登陆信息包括原始账号、原始密码、原始密码找回问题及答案等。

103：将提交登陆信息发送给欲访问网站对应的服务器。

进一步地，可以先将提交登陆信息加密后再发送给欲访问网站对应的服务器。加密算法可以由服务器指定，也可以采用缺省配置。优选采用非对称加密算法。

本发明实施例提供的技术方案带来的有益效果是：通过对用户的原始登陆身份信息进行变换，得到因网站秘密数据而异的提交登陆信息，也就是说，在用户使用的原始登陆信息相同的情况下，提交给不同网站的提交登陆信息不同，这样，用户可以用相同的原始登陆信息注册不同的网站，便于记忆，并且避免了由于一个网站的登陆信息泄露而导致其他网站的登陆信息泄露的情况，进而可以有效保障用户信息的安全。

实施例2

本发明实施例提供了一种安全登陆方法，该方法包括以下步骤：

201：获取欲访问网站对应的服务器提供的秘密数据。其中，所述秘密数据包括服务器秘密数和/或非对称加密密钥，服务器秘密数可以为空。

具体地，该步骤可以在用户端与服务器建立连接的时候实现，详细流程如下。

2011：用户端向欲访问网站对应的服务器发送连接请求消息CONNECT(IDC，TYPE，Kcp)；

其中，IDC是用户主机生成的连接标识，用户主机与该服务器根据此IDC保证一个时间周期内同一IDC只会产生一个连接，必要时，用户主机可重复发出相同IDC的连接请求；TYPE用来指示操作类型，分为注册、登陆、修改密码、找回密码；Kcp为用户端的加密公钥，也作为用户端的身份标识；Kcp字段也可以用包含Kcp的公钥证书代替，须在TYPE中增加一个标志位来表示。服务器只接受具有经过认证的Kcp的连接请求消息。

2012：服务器向用户端发送连接响应消息，其中包含所述秘密数据；

具体地，前述服务器向用户端发送连接响应消息CONNECTED(E_Kcp(Ksp，T，PP，SID，TYPE))；其中，E是公钥加密算法，采用Kcp为加密密钥；Ksp是服务器公钥，只有知道解密密钥Kcs的用户端才能解读CONNECTED消息，从而获得下一步所需的Ksp；T是防止重放攻击的时间戳，用于保证消息传输过程的安全；PP是协商参数，用于指定是否采用欲访问网站对应的秘密数据对原始账号进行变换以得到与该网站相对应的提交账号及使用何种秘密数据、数据融合算法、加密算法以及其他具有选择性的信息；SID是该服务器恒定不变的服务器秘密数，SID可以为空，但相应地，将不能作为变换参数使用。

202：采用获得的秘密数据对原始登陆信息进行变换以得到与该网站相对应的提交登陆信息。具体地，可以根据用户选择的操作类型来选择相应的原始登陆信息进行变换。前述操作类型包括：注册、登陆、修改密码、找回密码，原始登陆信息包括原始账号、原始密码、原始密码找回问题及答案等。

进一步地，用户端在收到CONNECTED消息后，用用户端的私钥Kcs对消息进行解密，获取CONNECTED消息中服务器公钥Ksp、欲访问网站对应的服务器的服务器秘密数SID、协商参数PP。具体地，如果协商参数PP不要求用户端提供原始账号，即表示须对原始账号进行变换(这是缺省操作)，则须用协商参数PP指定的数据融合算法对服务器秘密数SID(或服务器公开密钥Ksp)与原始账号进行融合，并用PP指定的数据融合算法对服务器秘密数SID(或服务器公开密钥Ksp)与原始口令进行融合，用PP指定的数据融合算法对服务器秘密数SID(或服务器公开密钥Ksp)与原始找回口令问题进行融合，并用协商参数PP指定的单向函数对融合后的数据进行变换，生成与操作类型相对应的提交登陆信息。

203：加密前述提交登陆信息并将加密后的所述提交登陆信息发送给所述欲访问网站对应的服务器。

具体地，若操作类型为注册，则生成注册认证消息REGISTRY(E_Ksp(REGISTRY，T，PP，MD(UID，KU)，MD(PASSWORD，KP)，Problem，MD(ANS，KA)))给服务器；其中，E是协商参数PP指定的非对称加密算法，用以对用户身份认证数据进行加密，服务器公钥Ksp为加密密钥；MD是协商参数PP指定的某种数据融合与单向变换一体化的函数，具体用于用协商参数PP中指定的数据融合算法对MD括号中的两个参数进行融合，然后采用单向函数对所述融合后的数据进行变换；参数KU、KP、KA均可以是SID或Ksp，具体由协商参数PP指定；UID是用户原始账号；PASSWORD是用户原始口令；Problem与ANS分别是原始找回口令问题及答案，亦可以为空，但相应地，用户将不能使用找回密码功能。不过，可以通过修改本实施方案使用户可以在修改密码时补上找回口令问题及答案。

服务器收到REGISTRY消息后，用自己的私钥Kss解读REGISTRY包，获取提交账号MD(UID，KU)和提交口令MD(PASSWORD，KP)，分别作为用户账号及用户口令存入数据库；若Problem与ANS不为空，也同时存入用户记录中。

如果协商参数PP要求用户端提供原始账号，具体过程与上面类似，只是不需要对原始账号进行变换。

若操作类型为登陆，则生成登陆认证消息LOGIN(E_Ksp(LOGIN，T，PP，MD(UID，KU)，MD(PASSWORD，KP)))给服务器，其中，E是协商参数PP指定的协议规定范围内的某种非对称加密算法，用以对用户身份认证数据进行加密，服务器公钥Ksp为加密密钥；MD是协商参数PP指定的某种数据融合与单向变换一体化函数，具体用于用协商参数PP中指定的数据融合算法对MD括号中的两个参数进行融合，然后采用单向函数对所述融合后的数据进行变换；参数KU和KP均可以是SID或Ksp，具体由协商参数PP指定；UID是用户原始账号；PASSWORD是用户原始口令。

服务器收到LOGIN消息后，用自己的私钥Kss解读LOGIN包，然后获取提交账号MD(UID，KU)和提交口令MD(PASSWORD，KP)，分别与数据库中保存的提交账号MD(UID，KU)和提交口令MD(PASSWORD，KP)比对；如果用户提交的提交账号MD(UID，KU)和提交口令MD(PASSWORD，KP)与服务器中数据一致，则登陆成功，如果不一致，返回错误信息，要求用户重新输入。

如果协商数据PP要求用户端提供原始账号，具体过程与上面类似，只是不需要对原始账号进行变换。

若操作类型为修改密码，则生成修改密码认证消息MODIFYKEY(E_Ksp(MODIFYKEY，T，PP，MD(UID，KU)，MD(PASSWORD_old，KP)，MD(PASSWORD_new，KP)))给服务器；其中，E是协商参数PP指定的某种非对称加密算法，用以对用户身份认证数据进行加密，服务器公钥Ksp为加密密钥；MD是协商参数PP指定的某种数据融合与单向变换一体化函数，具体用于用协商参数PP中指定的数据融合算法对MD括号中的两个参数进行融合，然后采用单向函数对所述融合后的数据进行变换；参数KU和KP均可以是SID或Ksp，具体由协商参数PP指定；UID是用户原始账号；PASSWORD_old是修改前的原始口令，PASSWORD_new是修改后的原始口令。

服务器收到MODIFYKEY消息后，用自己的私钥Kss解读MODIFYKEY包，然后获取提交账号MD(UID，KU)和提交修改前口令MD(PASSWORD_old，KP)，分别与户数据库中保存的提交账号MD(UID，KU)和提交口令MD(PASSWORD，KP)比对，如果无误，则允许修改密码，服务器用提交修改后口令MD(PASSWORD_new，KP)替换数据库中保存的提交口令MD(KP)。

如果协商数据PP要求用户端提供原始账号，具体过程与上面类似，只是不需要对原始账号进行融合运算。

若操作类型为找回密码，则生成找回密码认证消息和问题回答认证消息。

在发给服务器的找回密码认证消息REQUEST(E_Ksp(REQUEST，T，PP，MD(UID，KU)))中，E是协商参数PP指定的某种非对称加密算法，用以对用户身份认证数据进行加密，服务器公钥Ksp为加密密钥；MD是协商参数PP指定的某种数据融合与单向变换一体化函数，具体用于用协商参数PP中指定的数据融合算法对MD括号中的两个参数进行融合，然后采用单向函数对所述融合后的数据进行变换；参数KU可以是SID或Ksp，具体由协商参数PP指定；UID是用户原始账号。

服务器收到REQUEST消息后，用自己的私钥Kss解读REQUEST包，然后获取提交账号MD(UID，KU)与用户数据库中保存的提交账号MD(UID，KU)比对；如果用户提交的提交账号MD(UID，KU)与服务器中数据一致，且用户记录中找回口令问题不为空，则服务器提取找回口令问题，返回问题给用户端；否则返回“无法找回口令”消息给用户端。

具体说来，服务器生成密码找回问题消息PROBLEM(E_Kcp(PROBLEM，T，PP，Problem))发送给用户端；其中，E是公钥加密算法，采用用户端的公开密钥Kcp为加密密钥；只有知道解密密钥Kcs的用户才能解读PROBLEM消息；PP是协商参数用于指定是否执行采用欲访问网站对应的秘密数据对原始登陆信息进行变换以得到与所述网站相对应的提交登陆信息及使用何种变换参数和变换算法；Problem是找回口令问题。

用户端在收到返回的PROBLEM消息后，生成问题回答认证消息ANW(E_Ksp(ANW，T，PP，MD(ANS，KA)，MD(UID，KU)，MD(PASSWORD_new，KP)))给服务器；其中，E是协商参数PP指定的某种非对称加密算法，用以对用户身份认证数据进行加密，服务器公钥Ksp为加密密钥；MD是协商参数PP指定的某种数据融合与单向变换一体化函数，具体用于用协商参数PP中指定的数据融合算法对MD括号中的两个参数进行融合，然后采用单向函数对所述融合后的数据进行变换；参数KU、KA、KP均可以是SID或Ksp，具体由协商参数PP指定；UID是用户原始账号；ANS是用户针对问题给出的答案，PASSWORD_new是修改后的原始口令。

服务器在收到ANW消息后，用自己的私钥Kss解读ANW包，然后获取提交账号MD(UID，KU)和提交答案MD(ANS，KA)，与用户数据库中保存的提交账号MD(UID，KU)和找回口令问题答案MD(ANS，KA)比对；如果用户提交的提交账号MD(UID，KU)和找回口令问题答案MD(ANS，KA)与服务器中数据一致，则用提交修改后的口令MD(PASSWORD_new，KP)替换用户数据库中保存的提交口令，重置密码成功，否则返回失败信息。

本实施例中为了提高数据的安全性，用于加密提交数据的加密算法为非对称加密算法，如经典的RSA算法等，但是本发明也可以采用对称加密算法(在协商数据中给出算法及密钥)，具体的加密算法以提高消息数据传输过程的安全性为前提。

实施例3

本发明实施例提供了一种安全登陆装置，参见图3，该装置包括：

获取模块301，用于获取欲访问网站对应的服务器提供的秘密数据；

变换模块302，用于采用获取模块301获得的秘密数据对原始登陆信息进行变换以得到与网站相对应的提交登陆信息；

发送模块303，用于将变换模块302得到的提交登陆信息发送给欲访问网站对应的服务器。

进一步地，所述变换模块302包括：

融合单元，用于采用欲访问网站指定的数据融合算法对秘密数据和用户原始登陆信息进行融合，其中该网站通过协商参数指定某种数据融合算法；

变换单元，用于采用单向函数对融合单元融合后的数据进行变换。

进一步地，该装置还包括加密模块，用于加密所述变换模块得到的提交登陆信息。

本发明实施例的安全登陆装置可以是独立于主机的输入设备，也可以是主机上的安全输入模块，但都必须保证输入身份信息和显示身份信息过程的安全。

以上实施例提供的技术方案中的全部或部分内容可以通过软件编程实现，其软件程序存储在可读取的存储介质中，存储介质例如：计算机中的硬盘、光盘或其他可移动存储装置。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种安全登陆方法，其特征在于，所述方法包括：

将所述提交登陆信息发送给所述欲访问网站对应的服务器；

所述服务器获取提交账号MD(UID，KU)和提交口令MD(PASSWORD，KP)，KU、KP为服务器秘密数或服务器公开密钥，MD用于用指定的数据融合算法对MD括号中的两个参数进行融合，采用单向函数对所述融合后的数据进行变换；

2.根据权利要求1所述的安全登陆方法，其特征在于，在所述将所述提交登陆信息发送给所述欲访问网站对应的服务器之前，还包括：

加密所述提交登陆信息。

3.根据权利要求2所述的安全登陆方法，其特征在于，所述加密所提交登陆信息，具体包括：

采用所述服务器指定的加密算法加密所述提交身份信息，所述服务器通过协商参数指定所述加密算法。

4.根据权利要求1所述的安全登陆方法，其特征在于，所述原始登陆信息包括原始账号，所述方法还包括：

根据所述服务器的指令判断是否采用所述秘密数据对原始账号进行变换，以得到与所述网站相对应的提交账号，所述指令通过协商参数获得。

5.一种安全登陆装置，其特征在于，所述装置包括：

变换模块，用于采用数据融合算法对所述秘密数据和用户原始登陆信息进行融合，并采用单向函数对所述融合单元融合后的数据进行变换以得到与所述网站相对应的提交登陆信息，且不同网站对应的所述提交登陆信息不同，所述用户原始登陆信息包括用户原始账号UID和用户原始口令PASSWORD；

6.根据权利要求5所述的安全登陆装置，其特征在于，还包括加密模块，用于加密所述变换模块得到的提交登陆信息。