CN102202067A - 动态随机密码登录方法 - Google Patents

Abstract

本发明公开一种动态随机密码登录方法，服务器为每个字符生成一个随机数字，用户根据在注册时选择的字符组成的字符串映射的随机数字形成随机密码，以随机密码为被除数，除以原始密码，得到模余作为动态随机密码，服务器端也进行同样的运算，并对用户输入的模余密码进行验证，如果匹配，允许登录密码登录服务器，否则拒绝；用户进入自己的密码登录服务器平台后，选择需要链接的网站直接登录。本发明采用的动态密码登录，即使被黑客用各种不同的技术盗取了密码，黑客也不能继续使用此密码登录；采用SSL加密和其他加密方法与用户，以及与目标链接网址通信，避免被拦截；允许用户使用任何客户端电脑登录用户的网页，方便用户使用。

Description

动态随机密码登录方法

技术领域

本发明涉及信息安全领域，特别涉及一种密码登录方法，具体地说是一种基于B/S（客户端浏览器/服务器）结构的动态密码登录方法。

背景技术

传统的登录方法是用户直接链接目标网址，在网页上输入用户名和密码，或再加上验证码，登入到用户网页。但是目前的现实状况是，用户在许多的网站上进行注册，一方面，过多的用户名和密码很容易遗忘，特别是对于不经常使用的网站；另一方面，由于木马、病毒的肆虐，密码被盗现象非常普遍。

针对上述问题，市场上开发了几十款基于客户端电脑的密码保密软件，基本原理是将用户的不同用户名和密码通过加密算法保存在客户端电脑中，当用户登入时，运行密码保护软件，用户可以简便地直接选择目标网站登录，无需输入用户名和密码，也是一种比较安全和简便的C/W结构（客户端应用程序/网站）的密码登录方法，但是这种密码登录方法还是存在很大的安全风险：第一，由于应用程序是运行在客户端电脑中，一旦黑客入侵并解密了加密算法，用户全部的用户名和密码都将被盗。第二，即使黑客没有破解算法，由于客户端和目标登入网站的通信是通过明码的方式进行的，也可以通过拦截技术或通过ARP欺骗截取用户与需要登入网站之间的通信，从而盗取用户名和密码。第三，基于客户端电脑的密码保护软件使用便利性差，基本上只能用于本地机登入，其他电脑不能登入。

由于以往的C/W结构的密码登录方法无法满足当前的全球网络开放、互连、信息随处可见和信息共享的新要求，于是B／S（浏览器／服务器结构）型模式的密码登录方法成为了目前的研究重点。申请人基于B／S结构，开发了一种登录模式，将用户的不同用户名和密码通过加密算法保存在服务器平台中，由用户首先登入服务器平台，然后直接选择目标网站登录，无需输入用户名和密码。但是在开发过程中，申请人也发现，采用该种B／S结构的密码登录方法仍然面临着黑客窃取、钓鱼网站等种种风险，对客户端密码的加密和传输仍旧是信息安全保护中的薄弱环节。

发明内容

针对上述问题，申请人进行了改进研究，提供一种基于B/S结构的动态随机密码登录方法，采用先进的加密技术，不但密码加密强度高、难以破译、一次有效，而且可以避免被拦截。

本发明的技术方案如下：

一种动态随机密码登录方法，用户在注册时选择字符串以及原始密码，登录时服务器为每个字符生成一个随机数字，用户根据在注册时选择的字符组成的字符串映射的随机数字形成随机密码，以随机密码为被除数，除以原始密码，得到模余作为动态随机密码，服务器端也进行同样的运算，并对用户输入的模余密码进行验证，如果匹配，允许登录密码登录服务器，否则拒绝；用户进入自己的密码登录服务器平台后，选择需要链接的网站直接登录。

上述方案的具体步骤为：

1）用户链接服务器网站平台进行注册，输入用户名；输入由至少一个字符串形成的字符串组；输入与字符串数量相同位数的数字形式的原始密码，每位原始密码可以是一个数字，也可以是N个数字组成，完成注册后，服务器保存用户资料，作为运算和登录的依据；

2）用户需要登录时，通过客户端进入登录界面，用户在客户端输入用户名，服务器端的动态随机数生成器为每个字符生成一个随机数字，形成随机数表，并将该随机数表发送至客户端，用户在获知随机数表后，依据注册时输入的字符串的字符分别映射随机数字，使每一个字符串形成一个随机密码，以随机密码为被除数，以原始密码与该字符串相对应位上的数字为除数，分别进行模运算，将计算得到的模余组成一组动态随机密码，将其输入表单；

3）服务器端也依据用户注册的资料，根据映射字符串得出随机密码，与用户输入的原始密码进行模运算，计算出一组动态随机密码，并与用户输入表单的动态随机密码匹配，如果一致，则允许用户登录，否则拒绝；

4）用户被允许登录后，用户选择需要登录的目标网站，密码登录服务器以解密算法从数据库中提取用户以前注册的目标网站登录需要的数据与目标网站基于对象和事件响应，登录用户目标网页，登入成功后，用户直接浏览用户网页。

其进一步的技术方案为：步骤1）和步骤2）中所述的字符串为数字、英文字母、英文单词或者中文字符；

对于数字、英文字母组成的字符串组，以每个数字或英文字母分别作为一个字符串，映射随机密码；

对于英文单词组成的字符串组，以每个英文单词分别作为一个字符串，映射随机密码；

对于中文字符组成的字符串组，服务器为每个中文字符匹配英文字母形式的拼音，以每个拼音分别作为一个字符串，映射随机密码。

其进一步的技术方案为：步骤2）中所述的动态随机数生成器为数字字符0~9、大写英文字母字符A~Z、小写英文字母字符a~z分别映射随机数字，形成随机数表。

其进一步的技术方案为：步骤4）所述用户客户端浏览器以SSL请求登录密码登录服务器。

其进一步的技术方案为：步骤4）所述密码登录服务器登录用户目标网站的实现方法为：用户在自己的密码登录平台上，链接目标网站，第一次登录时，输入用户名和密码等数据后，密码登录服务器提示保存数据，服务器将数据加密后保存于数据库，以备用户以后使用；当用户第二次使用该目标网站时，用户选择该目标网站，密码登录服务器链接该目标网站，同时从数据库中提取数据，并将该数据解密，自动填入目标网站的表单，目标网站验证通过后，密码登录服务器为用户链接用户的网页。

以及，其进一步的技术方案为：用户在注册时还要输入随机数验证码；用户登录时，在客户端输入用户名的同时要输入与所述随机数验证码位数相同的随机数字，由服务器计算出用户注册时输入的随机数验证码加上用户登入时输入的数字之和，以每个数位单独运算，超过个位数时取个位数，并将计算结果呈现在客户端。

本发明的有益技术效果是：

一，本发明采用的动态密码登录，即使被黑客用各种不同的技术盗取了密码，黑客也不能继续使用此密码登录。

二；本发明采用SSL加密和其他加密方法与用户，以及与目标链接网址通信，避免被拦截。

三，本发明允许用户使用任何客户端电脑登录用户的网页，方便用户使用。

附图说明

图1是B/S密码登陆结构图。

图2是本发明的登录流程图。

图3是本发明的注册客户端界面。

图4是本发明的登录客户端界面。

图5是服务器运算登录密码r的流程图。

具体实施方式

下面结合附图对本发明的具体实施方式做进一步说明。

本发明是基于B/S（客户端浏览器/服务器）结构。该结构如图1所示，即：客户端浏览器以SSL请求密码登录服务器登录，密码登录服务器验证用户输入密码并允许登入后，用户选择需要登录的目标网站，密码登录服务器以一定的解密算法从数据库中提取用户以前注册的目标网站登录需要的数据与目标网站基于对象和事件响应，登录用户目标网页，登入成功后，用户直接浏览用户网页。

基于上述B/S密码登陆结构，本发明提出一种动态随机密码登录方法。首先由用户在注册时选择用户名、字符串以及原始密码C2。登录时的流程如图2所示，在登录的第一阶段，用户从客户端浏览器输入用户名，此外作为进一步的优化，还可以有随机数验证码输入，作为防钓鱼网站之用，将在下文详述，这些数据传输至服务器平台；在登录的第二阶段，服务器的动态随机数生成器为每个字符生成一个随机数字，该随机数字将呈献给用户，用户根据在注册时选择的字符组成的字符串映射的随机数字形成随机密码C1，以随机密码C1为被除数，除以原始密码C2，得到模余r作为动态随机密码，输入该密码，服务器端也根据该用户名对应的字符串及原始密码进行同样的运算，并对用户输入的模余密码进行验证，如果匹配，允许登录，否则拒绝；在登录的第三阶段，用户进入自己的密码登录服务器平台后，选择需要链接的网站直接登录。

动态随机密码登录的具体实现过程如下：

参见图3注册客户端界面，用户链接服务器网站平台进行注册，输入用户名。输入随机数验证码，如用户输入3和5作为验证码。输入由至少一个字符串形成的字符串组，所述字符串可以为数字、英文字母、英文单词或者中文字符，中文用户可以输入中文字符串方便记忆，如用户输入“轻舟已过万重山”，服务器为中文匹配字母字符，“轻”/“QING”，“舟”/“ZHOU“，“已”/“YI”，“过”/“GUO”，“万”/“WAN”，“重”/“CHONG”，“山”/“SHAN”。输入与上述字符串数量相同位数的数字形式的原始密码，如“8201945”。每位原始密码不但可以是一个数字，也可以是N个数字组成，例如若字符串是“千里江陵一日还”7位，对应的原始密码也有7位，如1-2-3-4-5-7-8，也可以是12-2345-3-4-5-6-89100七位形成原始密码。完成注册后，服务器保存用户资料，作为运算和登录的依据。

参见图4登录客户端界面，当用户需要登录时，用户通过客户端进入登录界面，用户在客户端输入用户名，同时要输入与用户注册时的随机数验证码位数相同的随机数字，如输入数字2、1，或者从随机数表上选择对应该随机数字的字符，由服务器计算出用户注册时输入的随机数验证码5、3加上用户登入时输入的数字之和2、1，以每个数位单独运算，超过个位数时取个位数，并将计算结果呈现在客户端，用户进行反计算（将服务器的呈现结果减去该次登录的随机数字）得出一组数字，与注册时输入的随机数验证码相比较，例如本实施例中服务器计算给出数字7、4，则用户经过反计算确认网站为真实；若给出其他数字，则用户经过反计算确认网站为虚假。本设计的主要目的是让用户验证网站的真伪，防止钓鱼网站。

服务器端的动态随机数生成器为每个字符（数字字符0~9、大写英文字母字符A~Z、小写英文字母字符a~z）生成一个随机数字，形成随机数表，并将该随机数表发送至客户端，用户在获知随机数表后，依据注册时输入的字符串的字符分别映射随机数字，使每一个字符串形成一个随机密码。对于数字、英文字母组成的字符串组，以每个数字或英文字母分别作为一个字符串，映射随机密码。若是英文字母组成的映射字符串，如I LOVE MY ALL FAMILIES。随机密码C11由“I”一个字符组成的字符串，当随机数生成器为26个字母生成随机数字，用户选择“I”映射的随机数字作为随机密码C11，随机密码C21由“LOVE” 4个字符组成的字符串，用户选择 “L”，“O”，“V”，“E”映射的随机数字组成C12，依次类推，组成其他的随机密码C13，C14，C15。对于中文用户输入的方便记忆的中文字符串，如“轻舟已过万重山”，用户选择相匹配的拼音字母字符串，“轻”/“QING”，“舟”/“ZHOU“，“已”/“YI”，“过”/“GUO”，“万”/“WAN”，“重”/“CHONG”，“山”/“SHAN”，同以上方法，构成随机密码C11，C12，C13，C14，C15，C16，C17。用户以随机密码为被除数，以原始密码C2相对应位上的数字C2n为除数，分别计算模余r1，r2，r3，…..rn，组成一组动态随机密码，并将其输入表单。

服务器端也依据用户注册的资料，根据映射字符串计算出随机密码C1n和用户输入的原始密码C2n进行模运算，运算函数r=C1-KC2，计算出r1，r2，r3….rn，组成一组动态随机密码r（运算流程如图5），并与用户输入表单的动态随机密码匹配，如果一致，则允许登入用户网页，否则拒绝。用户在进入自己的网页，可以选择自己需要链接的网站直接登录。

密码登录服务器平台登录用户目标网站的实现：

客户端浏览器以SSL请求密码登录服务器登录，密码登录服务器验证用户输入密码并允许登入后，用户选择需要登录的目标网站，密码登录服务器以解密算法从数据库中提取用户以前注册的目标网站登录需要的数据与目标网站基于对象和事件响应，登录用户目标网页，登入成功后，用户直接浏览用户网页。具体来说，用户在自己的密码登录平台上，链接目标网站，第一次登录时，输入用户名和密码等数据后，密码登录服务器平台提示保存数据，服务器将数据加密后保存于数据库，以备用户以后使用。当用户第二次使用该目标网站时，用户选择该目标网站，密码登录服务器链接该目标网站，同时从数据库中提取数据，并将该数据解密，自动填入目标网站的表单，目标网站验证通过后，密码登录服务器为用户链接用户的网页。

以上所述的仅是本发明的优选实施方式，本发明不限于以上实施例。可以理解，本领域技术人员在不脱离本发明的精神和构思的前提下直接导出或联想到的其他改进和变化，均应认为包含在本发明的保护范围之内。

Claims (7)

1.一种动态随机密码登录方法，其特征在于：用户在注册时选择字符串以及原始密码，登录时服务器为每个字符生成一个随机数字，用户根据在注册时选择的字符组成的字符串映射的随机数字形成随机密码，以随机密码为被除数，除以原始密码，得到模余作为动态随机密码，服务器端也进行同样的运算，并对用户输入的模余密码进行验证，如果匹配，允许登录密码登录服务器，否则拒绝；用户进入自己的密码登录服务器平台后，选择需要链接的网站直接登录。

2.根据权利要求1所述动态随机密码登录方法，其特征在于，具体步骤如下：

1）用户链接服务器网站平台进行注册，输入用户名；输入由至少一个字符串形成的字符串组；输入与字符串数量相同位数的数字形式的原始密码，每位原始密码可以是一个数字，也可以是N个数字组成，完成注册后，服务器保存用户资料，作为运算和登录的依据；

2）用户需要登录时，通过客户端进入登录界面，用户在客户端输入用户名，服务器端的动态随机数生成器为每个字符生成一个随机数字，形成随机数表，并将该随机数表发送至客户端，用户在获知随机数表后，依据注册时输入的字符串的字符分别映射随机数字，使每一个字符串形成一个随机密码，以随机密码为被除数，以原始密码与该字符串相对应位上的数字为除数，分别进行模运算，将计算得到的模余组成一组动态随机密码，将其输入表单；

3）服务器端也依据用户注册的资料，根据映射字符串得出随机密码，与用户输入的原始密码进行模运算，计算出一组动态随机密码，并与用户输入表单的动态随机密码匹配，如果一致，则允许用户登录，否则拒绝；

4）用户被允许登录后，用户选择需要登录的目标网站，密码登录服务器以解密算法从数据库中提取用户以前注册的目标网站登录需要的数据与目标网站基于对象和事件响应，登录用户目标网页，登入成功后，用户直接浏览用户网页。

3.根据权利要求2所述动态随机密码登录方法，其特征在于：步骤1）和步骤2）中所述的字符串为数字、英文字母、英文单词或者中文字符；

对于数字、英文字母组成的字符串组，以每个数字或英文字母分别作为一个字符串，映射随机密码；

对于英文单词组成的字符串组，以每个英文单词分别作为一个字符串，映射随机密码；

对于中文字符组成的字符串组，服务器为每个中文字符匹配英文字母形式的拼音，以每个拼音分别作为一个字符串，映射随机密码。

4.根据权利要求2所述动态随机密码登录方法，其特征在于：步骤2）中所述的动态随机数生成器为数字字符0~9、大写英文字母字符A~Z、小写英文字母字符a~z分别映射随机数字，形成随机数表。

5.根据权利要求2所述动态随机密码登录方法，其特征在于：步骤4）所述用户客户端浏览器以SSL请求登录密码登录服务器。

6.根据权利要求2所述动态随机密码登录方法，其特征在于：步骤4）所述密码登录服务器登录用户目标网站的实现方法为：用户在自己的密码登录平台上，链接目标网站，第一次登录时，输入用户名和密码等数据后，密码登录服务器提示保存数据，服务器将数据加密后保存于数据库，以备用户以后使用；当用户第二次使用该目标网站时，用户选择该目标网站，密码登录服务器链接该目标网站，同时从数据库中提取数据，并将该数据解密，自动填入目标网站的表单，目标网站验证通过后，密码登录服务器为用户链接用户的网页。

7.根据权利要求1或2所述动态随机密码登录方法，其特征在于：用户在注册时还要输入随机数验证码；用户登录时，在客户端输入用户名的同时要输入与所述随机数验证码位数相同的随机数字，由服务器计算出用户注册时输入的随机数验证码加上用户登入时输入的数字之和，以每个数位单独运算，超过个位数时取个位数，并将计算结果呈现在客户端。

Images