CN102164141B - 保护账号安全的方法 - Google Patents

Abstract

本发明涉及短信传输和计算机数据库相结合的操作运用技术，具体为一种保护账号安全的方法。其特征在于：用户登录和服务器验证必须分别执行两次，且两次用户登录的密码均为动态密码，第一次登录输入动态密码A和用户账号，通过验证后动态密码A即时失效，在通过第一次登录验证后的登录界面中显示动态识别码，用户需对登录界面中显示的动态识别码与手机短信中收到的动态识别码进行比对，确认两组动态识别码显示完全相同后再进行输入动态密码B和静态密码的登录步骤，成功登录后动态识别码和动态密码B即时失效。本发明方法不但能够有效防范盗号木马病毒的攻击，并且能够防御钓鱼网站对用户实施的诈骗攻击，用户操作起来简单直观，易于上手。

Description

保护账号安全的方法

技术领域

本发明涉及短信传输和计算机数据库相结合的操作运用技术，具体为保护账号安全的方法。

背景技术

目前，公知的账号保护主要有以下四种方式：

第一种，静态密码认证技术，其用用户的“账号名”和“密码”来认证和识别用户的合法性，其主要特点是用一个固定的密码去激活一个特定的账号，但由于密码和账号作为软性标识，静态不变，且在网络中传输，存在许多弊端和安全漏洞，针对它的破解技术在不断发展，产生了许多可以盗取账号密码的工具和方法，例如采用窃取、破译、偷窥、骗取等，此外对用户创建、记忆、修改口令的要求较高，口令设定太简单容易被破解，设得太复杂，就容易被遗忘。

第二种，动态密码认证技术，其包括用户的口令卡、认证服务器和管理工作站组成。管理工作站负责用户的注册、初始化、生成和发放密码卡、信息修改、卡的注销等。这种认证系统为每个用户配一块“动态口令卡”（即令牌）。口令卡中的专用芯片和服务器从同样的时间开始，依据相同的安全算法，每一定时间内生成一个口令，口令卡上的口令用一个液晶窗口显示出来。用户登录时，输入卡上显示的口令，由认证服务器进行比较认证，由于时间同步，口令卡和服务器生成的口令完全相同，所以能登录系统。由于口令随时间动态变化的，任何人没有口令卡就不可能知道口令，因此这种口令技术比静态口令安全得多，其优点是：不怕窃听、不怕偷窥，破解，也不需记忆，体积小，便于携带。其与第四种技术有个共同的缺点是无法防范新型木马（此木马的特征为：在用户登录时，造成客户端断线，或者反复出现登录框阻止用户顺利登录，与此同时截获用户密码并转发至木马传播者指定的电子信箱。）的攻击，由于此种类型木马的攻击方式是在用户登录客户端时采用阻止用户成功登录并同时截获用户的账号和密码，因为用户在客户端并没有完成登录，所以在一定时间段内动态口令卡或手机短信发送的动态密码不会变化，一旦与静态密码同时被盗取依旧不能完全保护账号的安全。

第三种，USB Key认证即ePass密码锁，ePass密码锁采用的是国际先进的USB技术和算法加密认证技术，其硬件包括CPU、安全存储器及运行在其上的智能微系统，只要把用户的账户和密码信息以密钥形式存入防盗锁中，在使用过程中密钥信息永不出锁，实现真正意义上的保护。这是因为用于身份认证的账户信息和密钥是设定为不可直接读取，外部应用只能送入计算所用的输入因子，而整个计算过程完全在ePass网游防盗锁内的CPU完成，只将计算的结果传到外部应用，这样密钥就绝对不可能被外部的黑客程序侦听到，并且密钥的计算是不可逆算法，也无法通过计算结构倒推出密钥的值，而传到ePass网游防盗锁外部的计算结果也会随着每次输入数据的不同而变化，即使记录每次认证将计算的值也无法达到冒用身份的目的，其优点是：不怕窃听、不怕偷窥，破解，也不需记忆，体积小，便于携带，本技术的缺陷：使用成本高，容易丢失，容易损坏，可靠性较低，不法分子可以通过计算机中的木马病毒破译出Ukey密码，另外用户使用U盾需要安装驱动，并不断升级驱动，操作繁琐。

第四种，手机短信发送动态密码+静态密码，其包括用户的手机，认证服务器，管理工作站和短信网关组成，管理工作站负责用户的注册，手机号码的绑定及取消绑定。用户登录时，发送一组激活指令，认证服务器随机生成一组动态密码通过短信网关发送到用户在注册时绑定的手机上，用户输入静态密码和这组动态密码，这组动态密码与认证服务器中的信息进行比较认证。由于这组动态密码是随机生成并且绑定用户手机所以更安全可靠一点。其优点是：不怕窃听、不怕偷窥，破解，也不需记忆，手机普及率较高便于实现。缺陷与第二种方法相同。

以上所述方法既无法防范盗号木马的攻击，同时用户也无法对登录界面的真伪进行验证，如果不法分子利用钓鱼网站对用户进行诈骗攻击，账号的安全无法得到保障：不法分子利用各种手段，仿冒真实网站的URL地址以及页面内容，或者利用真实网站服务器程序上的漏洞在站点的某些网页中插入危险的HTML代码，骗取用户的账号、密码等私人资料，同时在极短的时间内使用用户的账号，密码登录真实网站，盗取用户的财物。

发明内容

针对上述几种密码保护技术的不足之处，本发明提供了保护账号安全的方法，系统的可靠性高，验证码信息传送保密度高，不但能够有效防范盗号木马病毒的攻击，并且能够防御钓鱼网站对用户实施的诈骗攻击，用户操作起来简单直观，易于上手。

其技术方案是这样的：

其包括以下步骤：(1)、注册，(2)、登录请求，(3)、服务器验证，(4)、发送动态密码和动态识别码，(5)、用户登录，(6)、服务器验证，(7)、用户识别，其特征在于：(5)和(6)这两个步骤必须分别执行两次，且两次用户登录的密码均为动态密码，第一次登录输入动态密码A和用户账号，通过验证后动态密码A即时失效，然后输入动态密码B进行第二次登录并验证登录，成功登录后动态密码B即时失效；

其进一步特征在于：在进行第二次登录时输入动态密码B的同时输入静态密码，成功登录后动态密码B即时失效；

其更进一步特征在于：在通过第一次登录验证后的登录界面中显示动态识别码，用户需对登录界面中显示的动态识别码与手机短信中收到的动态识别码进行比对，确认两组动态识别码显示完全相同后再进行输入动态密码B和静态密码的登录步骤，成功登录后动态识别码和动态密码B即时失效；

其更进一步特征在于：其包括以下步骤

(1)、注册，用户需向管理工作站提交用户的账号名、手机号码和静态密码，并约定与手机号码相互绑定的激活码；

(2)、登录请求：用户以手机短信的形式通过短信网关向系统短信平台提交自己的激活码；

(3)、服务器认证：系统短信平台在接收到用户的登录请求后提取用户短信中的激活码及用户的手机号码，并转送到系统认证服务器，认证服务器收到激活码和用户手机号码后在系统认证服务器的数据库中对其进行检索，如果用户登录请求中的激活码和手机号码与认证服务器内部信息相符，则验证通过，系统认证服务器临时生成三组随机字符串，随机字符串A和随机字符串B作为此用户的登录动态密码，随机字符串C作为用户判断登录界面真伪的识别码，此识别码显示在用户通过第一次登录验证后的登录界面中，如果用户手机号码、约定的激活码与系统内部绑定的信息不符，则通过系统短信平台提示用户验证失败；

(4)、发送验证码：所述步骤(3)验证通过后，由系统短信平台将步骤(3)产生的两组动态密码A与B和动态识别码以短信的方式通过短信网关传输到该用户手机，同时动态密码A、B和动态识别码被保存在认证服务器的数据库中；

(5)、用户登录1：用户收到步骤(4)发送的动态密码A、B和动态识别码后，在系统客户端登录，登录时先将账号名与动态密码A在系统的客户端输入； 

(6)、服务器认证1：认证服务器端对用户输入的账号名与动态密码A进行有效性验证，将用户输入的账号名与动态密码A和保存在认证服务器中的信息进行比对验证其是否合法，如果验证通过，则系统认证服务器数据库中的动态密码A即时注销，同时用户进入下一步骤，如果验证失败，则通过网络在客户端提示用户登录失败；

(7)、用户识别：通过步骤(6)的验证后，在登录界面中显示由步骤（3）所生成的动态识别码，用户比对登录界面中显示的动态识别码和步骤（4）收到的动态识别码两者是否一致，如果两组识别码信息显示不一致，用户可判定此登录界面不是由服务商提供的真实登录界面，从而放弃登录，如果两组识别码信息显示一致，用户可判定此登录界面为服务商提供的真实登录界面，用户进入下一步骤；

 (8)、用户登录2：通过步骤(7)的验证后，用户将静态密码和步骤(4)中得到的动态密码B在系统的客户端输入；

(9)、服务器认证2：认证服务器端对用户输入的静态密码和动态密码B进行有效性验证，对用户输入的静态密码和动态密码B与保存在认证服务器中的信息进行比对验证其是否合法，如果验证通过，用户可以成功登录，当用户登录成功后，系统认证服务器数据库中的动态识别码和动态密码B即时失效，如果验证失败，则通过网络在客户端提示用户登录失败；

(10)、当用户再次需要登录系统时，需重复(2)、(3)、(4)、(5)、(6)、(7)、(8)、（9）步骤；

其更进一步特征在于：其包括以下步骤

(1)、注册，用户需向管理工作站提交用户的账号名、手机号码和静态密码，并约定与手机号码相互绑定的激活码，获取服务商提供的动态口令卡并与用户的账号绑定；

(2)、登录请求：用户以手机短信的形式通过短信网关向系统短信平台提交自己的激活码；

(3)、服务器认证：系统短信平台在接收到用户的登录请求后提取用户短信中的激活码、手机号码，并转送到系统认证服务器，认证服务器收到激活码和用户手机号码后在系统认证服务器的数据库中对其进行检索，如果用户登录请求中的手机号码和约定的激活码与认证服务器内部信息相符，则验证通过，系统认证服务器临时生成两组随机字符串A和C，随机字符串A作为此用户的登录动态密码，随机字符串C作为用户判断登录界面真伪的识别码，此识别码显示在用户通过第一次登录验证后的登录界面中，如果用户手机号码、约定的激活码与系统内部绑定信息不符，则通过系统短信平台提示用户验证失败；

(4)、发送动态密码：所述步骤(3)验证通过后，由系统短信平台将步骤(3)产生的动态密码A和动态识别码C以短信的方式通过短信网关传输到该用户手机，同时动态密码A和动态识别码被保存在认证服务器的数据库中；

(5)、用户登录1：用户收到步骤(4)发送的动态密码A和动态识别码后，在系统客户端登录，登录时先将账号名与动态密码A在系统的客户端输入；

(6)、服务器认证1：认证服务器端对用户输入的账号名与动态密码A进行有效性验证，将用户输入的账号名与动态密码A和保存在认证服务器中的信息进行比对验证其是否合法，如果验证通过，则系统认证服务器数据库中的动态密码A即时注销，同时用户进入下一步骤，如果验证失败，则通过网络在客户端提示用户登录失败；

(7)、用户识别：通过步骤(6)的验证后，在登录界面中显示由步骤（3）所生成的动态识别码，用户比对登录界面中显示的动态识别码和步骤（4）收到的动态识别码两者是否一致，如果两组识别码信息显示不一致，用户可判定此登录界面不是由服务商提供的真实登录界面，从而放弃登录，如果两组识别码信息显示一致，用户可判定此登录界面为服务商提供的真实登录界面，用户进入下一步骤；

(8)、用户登录2：通过步骤(7)的验证后，用户使用由服务商提供的动态口令卡在系统客户端登录，登录时将动态口令卡中生成的动态密码B和静态密码在系统的客户端输入； 

(9)、服务器认证2：认证服务器端对用户输入的静态密码和动态密码B进行有效性验证，对用户输入的静态密码和动态密码B与保存在认证服务器中的信息进行比对验证其是否合法，如果验证通过，用户可以成功登录，当用户登录成功后，系统认证服务器数据库中的动态识别码和动态密码B即时失效，如果验证失败，则通过网络在客户端提示用户登录失败；

(10)、当用户再次需要登录系统时，需重复(2)、(3)、(4)、(5)、(6)、(7)、(8)、（9）步骤。

本发明方法采取激活码、静态密码、两组动态密码和动态识别码的组合方式，用户与服务商之间采用双通道传送，双向验证，两组密码和一组识别码随机产生，临时生成，临时使用，用完自动清除，认证强度增强，系统的可靠性较高，能够抵抗现行的盗号攻击和钓鱼诈骗攻击，系统的成本较低。使用本发明方法，服务商通过激活码、动态密码A、静态密码和动态密码B三次分别对用户身份进行验证，如果盗号者通过木马病毒侦测到用户输入了动态密码A时只可能有两个选择，1、等用户输入动态密码B和静态密码后把两组动态密码和静态密码一起记录下来，并切断用户网络，但是当用户执行到输入动态密码B这个环节时由于动态密码A已经被用户输入验证过，动态密码A即时失效，盗号者使用盗取的动态密码A已经无法成功登录，2、盗号者截获动态密码A后切断用户网络，并抢先登录，那么由于盗号者先于用户使用动态密码A登录验证，验证通过后动态密码A即时失效，当用户输入动态密码A进行验证时系统反馈的就是错误信息，因为用户在第一次登录环节的验证没有通过，无法进行第二次登录验证操作，所以盗号者无法得到动态密码B。而在两次登录验证过程之间，用户通过动态识别码对登录界面进行真伪验证。所以本发明既能够有效防范盗号木马病毒的攻击，又能够有效防范钓鱼网站的诈骗攻击，操作起来简单直观，易于上手。

附图说明

图1为本发明中人机对话的流程图。

具体实施方式

下面结合附图描述采用本发明方法的操作过程：

实施例1、激活码、静态密码、识别码和手机短信传送两组动态密码四次验证方式

用户需向注册认证服务器系统提交用户的账号名、手机号码和静态密码，系统将用户的账号名和手机号码相互绑定，并约定与手机号码相互绑定的激活码（账号或者约定的激活指令）；需登录时，用户以手机短信的形式通过短信网关向系统短信平台提交自己的激活码；系统短信平台在接收到用户的登录请求后提取用户短信中的激活码及用户的手机号码，并转送到系统认证服务器，认证服务器收到激活码和用户手机号码后在系统认证服务器的数据库中对其进行检索，如果用户登录请求中的激活码与手机号码和认证服务器内部信息相符，则验证通过，系统认证服务器临时生成三组随机字符串，随机字符串A和随机字符串B作为此用户的登录动态密码，随机字符串C作为用户判断登录界面真伪的识别码，此识别码显示在用户通过第一次登录验证后的登录界面中，动态密码A、B和动态识别码以短信的方式通过短信网关传输到该用户手机，同时这两组动态密码A、B和动态识别码被保存在认证服务器的数据库中；如果激活码和手机号码与系统内部绑定信息不符，则通过系统短信平台提示用户登录失败；用户收到动态密码A、B和动态识别码后，在系统客户端登录，登录时先将账号名与动态密码A在系统的客户端输入；认证服务器端对用户输入的账号名与动态密码A进行有效性验证，将用户输入的账号名与动态密码A和保存在认证服务器中的信息进行比对验证其是否合法，如果验证失败，则通过网络在客户端提示用户登录失败，如果验证通过，系统认证服务器数据库中的动态密码A即时失效，在用户通过第一次登录验证后的登录界面中显示有动态识别码，用户比对登录界面中显示的动态识别码和用户手机短信中收到的动态识别码两者是否一致，如果两组识别码信息显示不一致，用户可判定此登录界面不是由服务商提供的真实登录界面，从而放弃登录，如果两组识别码信息显示一致，用户可判定此登录界面为服务商提供的真实登录界面，用户进行第二次登录验证，将静态密码和动态密码B在系统的客户端输入；认证服务器端对用户输入静态密码和动态密码B进行有效性验证，将静态密码与动态密码B和保存在认证服务器中的信息进行比对验证其是否合法，如果验证通过，则用户成功登录，系统认证服务器数据库中的动态识别码和动态密码B即时失效，如果验证失败，则通过网络在客户端提示用户登录失败，当用户再次需要登录系统时，需重复登录请求的步骤。

实施例2、激活码、静态密码、识别码、动态口令卡和手机短信传送动态密码四次验证方式

用户需向注册认证服务器系统提交用户的账号名、手机号码和静态密码，系统将用户的账号和手机号码相互绑定，并约定与手机号码相互绑定的激活码（账号或者约定的激活指令），获取服务商提供的动态口令卡并与用户的账号绑定；需登录时用户以手机短信的形式通过短信网关向系统短信平台提交自己的激活码；系统短信平台在接收到用户的登录请求后提取用户短信中的激活码及用户的手机号码，并转送到系统认证服务器，认证服务器收到激活码和用户手机号码后在系统认证服务器的数据库中对其进行检索，如果用户登录请求中的激活码和手机号码与认证服务器内部信息相符，则验证通过，系统认证服务器临时生成两组随机字符串A和C，随机字符串A作为此用户的登录动态密码，随机字符串C作为用户判断登录界面真伪的识别码，此识别码显示在用户通过第一次登录验证后的登录界面中，动态密码A、动态识别码以短信的方式通过短信网关传输到该用户手机，同时动态密码A和动态识别码被保存在认证服务器的数据库中；如果激活码和手机号码与系统内部绑定信息不符，则通过系统短信平台提示用户登录失败；用户收到动态密码A和动态识别码后，在系统客户端登录，登录时先将账号名与服务商短信发送过来的动态密码A在系统的客户端输入；认证服务器端对用户账号名与输入的动态密码A进行有效性验证，将用户输入的账号名与动态密码A和保存在认证服务器中的信息进行比对验证其是否合法，如果验证失败，则通过网络在客户端提示用户登录失败，如果验证通过，系统认证服务器数据库中的动态密码A即时失效，在用户通过第一次登录验证后的登录界面中显示有动态识别码，用户比对登录界面中显示的动态识别码和用户手机短信中收到的动态识别码两者是否一致，如果两组识别码信息显示不一致，用户可判定此登录界面不是由服务商提供的真实登录界面，从而放弃登录，如果两组识别码信息显示一致，用户可判定此登录界面为服务商提供的真实登录界面，用户进行第二次登录验证，将静态密码与服务商提供的动态口令卡中的动态密码B在系统的客户端输入；认证服务器端对用户输入的静态密码与动态密码B进行有效性验证，将静态密码与动态密码B和保存在认证服务器中的信息进行比对验证其是否合法，如果验证通过，则用户成功登录，系统认证服务器数据库中的动态识别码和动态密码B即时失效，如果验证失败，则通过网络在客户端提示用户登录失败，当用户再次需要登录系统时，需重复登录请求的步骤。

本方法进行的账号保护技术使用户和服务商之间通过激活码、两组动态密码和动态识别码双向进行四次验证，完全消除了网络窃听、特洛伊木马及新型木马（此木马的特征为：在用户登录时，造成客户端断线，或者反复出现登录框阻止用户顺利登录，与此同时截获用户密码并转发至木马转播者指定的电子信箱。）攻击、口令文件攻击、服务器假冒攻击、人工攻击等传统隐患，有效阻止了钓鱼网站的诈骗攻击，安全强度极高，系统的可靠性提高，用户操作起来简单直观，与现有的口令技术相比具有明显的优越性。 

Claims (2)

1.保护账号安全的方法，其包括以下步骤：(1)、注册，(2)、登录请求，(3)、服务器验证，(4)、发送动态密码和动态识别码，(5)、用户登录，(6)、服务器验证，(7)、用户识别，其特征在于：(5)和(6)这两个步骤必须分别执行两次，且两次用户登录的密码均为动态密码，第一次登录输入动态密码A和用户账号，通过验证后动态密码A即时失效，然后输入动态密码B，进行第二次登录并验证登录，成功登录后动态密码B即时失效；在进行第二次登录时输入动态密码B和静态密码，成功登录后动态密码B即时失效；在通过第一次登录验证后的登录界面中显示动态识别码，用户需对登录界面中显示的动态识别码与手机短信中收到的动态识别码进行比对，确认两组动态识别码显示完全相同后再进行输入动态密码B和静态密码的登录步骤，成功登录后动态识别码和动态密码B即时失效；其具体操作为：

(1)、注册，用户需向管理工作站提交用户的账号名、手机号码和静态密码，并约定与手机号码相互绑定的激活码；

(2)、登录请求：用户以手机短信的形式通过短信网关向系统短信平台提交自己的激活码；

(3)、服务器认证：系统短信平台在接收到用户的登录请求后提取用户短信中的激活码及用户的手机号码，并转送到系统认证服务器，认证服务器收到激活码和用户手机号码后在系统认证服务器的数据库中对其进行检索，如果用户登录请求中的激活码和手机号码与认证服务器内部信息相符，则验证通过，系统认证服务器临时生成三组随机字符串，随机字符串A和随机字符串B作为此用户的登录动态密码，随机字符串C作为用户判断登录界面真伪的识别码，此识别码显示在用户通过第一次登录验证后的登录界面中，如果用户手机号码、约定的激活码与系统内部绑定的信息不符，则通过系统短信平台提示用户验证失败；

(4)、发送验证码：所述步骤(3)验证通过后，由系统短信平台将步骤(3)产生的两组动态密码A与B和动态识别码以短信的方式通过短信网关传输到该用户手机，同时动态密码A、B和动态识别码被保存在认证服务器的数据库中；

(5)、用户登录1：用户收到步骤(4)发送的动态密码A、B和动态识别码后，在系统客户端登录，登录时先将账号名与动态密码A在系统的客户端输入； 

(6)、服务器认证1：认证服务器端对用户输入的账号名与动态密码A进行有效性验证，将用户输入的账号名与动态密码A和保存在认证服务器中的信息进行比对验证其是否合法，如果验证通过，则系统认证服务器数据库中的动态密码A即时注销，同时用户进入下一步骤，如果验证失败，则通过网络在客户端提示用户登录失败；

(7)、用户识别：通过步骤(6)的验证后，在登录界面中显示由步骤（3）所生成的动态识别码，用户比对登录界面中显示的动态识别码和步骤（4）收到的动态识别码两者是否一致，如果两组识别码信息显示不一致，用户可判定此登录界面不是由服务商提供的真实登录界面，从而放弃登录，如果两组识别码信息显示一致，用户可判定此登录界面为服务商提供的真实登录界面，用户进入下一步骤；

 (8)、用户登录2：通过步骤(7)的验证后，用户将静态密码和步骤(4)中得到的动态密码B在系统的客户端输入；

(9)、服务器认证2：认证服务器端对用户输入的静态密码和动态密码B进行有效性验证，对用户输入的静态密码和动态密码B与保存在认证服务器中的信息进行比对验证其是否合法，如果验证通过，用户可以成功登录，当用户登录成功后，系统认证服务器数据库中的动态识别码和动态密码B即时失效，如果验证失败，则通过网络在客户端提示用户登录失败；

(10)、当用户再次需要登录系统时，需重复(2)、(3)、(4)、(5)、(6)、(7)、(8)、（9）步骤。

2.保护账号安全的方法，其包括以下步骤：(1)、注册，(2)、登录请求，(3)、服务器验证，(4)、发送动态密码和动态识别码，(5)、用户登录，(6)、服务器验证，(7)、用户识别，其特征在于：(5)和(6)这两个步骤必须分别执行两次，且两次用户登录的密码均为动态密码，第一次登录输入动态密码A和用户账号，通过验证后动态密码A即时失效，然后输入动态密码B，进行第二次登录并验证登录，成功登录后动态密码B即时失效；在进行第二次登录时输入动态密码B和静态密码，成功登录后动态密码B即时失效；在通过第一次登录验证后的登录界面中显示动态识别码，用户需对登录界面中显示的动态识别码与手机短信中收到的动态识别码进行比对，确认两组动态识别码显示完全相同后再进行输入动态密码B和静态密码的登录步骤，成功登录后动态识别码和动态密码B即时失效；其具体操作为：

(1)、注册，用户需向管理工作站提交用户的账号名、手机号码和静态密码，并约定与手机号码相互绑定的激活码，获取服务商提供的动态口令卡并与用户的账号绑定；

(2)、登录请求：用户以手机短信的形式通过短信网关向系统短信平台提交自己的激活码；

(3)、服务器认证：系统短信平台在接收到用户的登录请求后提取用户短信中的激活码、手机号码，并转送到系统认证服务器，认证服务器收到激活码和用户手机号码后在系统认证服务器的数据库中对其进行检索，如果用户登录请求中的手机号码和约定的激活码与认证服务器内部信息相符，则验证通过，系统认证服务器临时生成两组随机字符串A和C，随机字符串A作为此用户的登录动态密码，随机字符串C作为用户判断登录界面真伪的识别码，此识别码显示在用户通过第一次登录验证后的登录界面中，如果用户手机号码、约定的激活码与系统内部绑定信息不符，则通过系统短信平台提示用户验证失败；

(4)、发送动态密码：所述步骤(3)验证通过后，由系统短信平台将步骤(3)产生的动态密码A和动态识别码C以短信的方式通过短信网关传输到该用户手机，同时动态密码A和动态识别码被保存在认证服务器的数据库中；

(5)、用户登录1：用户收到步骤(4)发送的动态密码A和动态识别码后，在系统客户端登录，登录时先将账号名与动态密码A在系统的客户端输入；

(6)、服务器认证1：认证服务器端对用户输入的账号名与动态密码A进行有效性验证，将用户输入的账号名与动态密码A和保存在认证服务器中的信息进行比对验证其是否合法，如果验证通过，则系统认证服务器数据库中的动态密码A即时注销，同时用户进入下一步骤，如果验证失败，则通过网络在客户端提示用户登录失败；

(7)、用户识别：通过步骤(6)的验证后，在登录界面中显示由步骤（3）所生成的动态识别码，用户比对登录界面中显示的动态识别码和步骤（4）收到的动态识别码两者是否一致，如果两组识别码信息显示不一致，用户可判定此登录界面不是由服务商提供的真实登录界面，从而放弃登录，如果两组识别码信息显示一致，用户可判定此登录界面为服务商提供的真实登录界面，用户进入下一步骤；

(8)、用户登录2：通过步骤(7)的验证后，用户使用由服务商提供的动态口令卡在系统客户端登录，登录时将动态口令卡中生成的动态密码B和静态密码在系统的客户端输入； 

(9)、服务器认证2：认证服务器端对用户输入的静态密码和动态密码B进行有效性验证，对用户输入的静态密码和动态密码B与保存在认证服务器中的信息进行比对验证其是否合法，如果验证通过，用户可以成功登录，当用户登录成功后，系统认证服务器数据库中的动态识别码和动态密码B即时失效，如果验证失败，则通过网络在客户端提示用户登录失败；

(10)、当用户再次需要登录系统时，需重复(2)、(3)、(4)、(5)、(6)、(7)、(8)、（9）步骤。