CN102298683A - 一种具有短距离射频通讯认证的认证装置、系统及方法 - Google Patents

Abstract

本发明涉及一种具有短距离射频通信认证功能的认证系统，包括后台认证系统、带有短距离通信功能的身份认证装置和带有短距离通信功能的移动终端，该系统可以通过短距离射频通信实现独立于第一身份认证系统的第二身份认证功能。其中第一身份认证系统包括后台认证系统以及身份认证装置，后台认证系统与身份认证装置进行通信实现第一身份认证功能；第二身份认证系统包括身份认证装置以及带有短距离通信功能的移动终端，所述身份认证装置及移动终端通过短距离通信实现第二身份认证功能。第二认证功能指的是利用移动终端，提供对第一认证系统中的使用者身份认证以及所需要认证信息进行确认等功能，该系统极大地提高了第一认证系统的安全性和方便性。

Description

一种具有短距离射频通讯认证的认证装置、系统及方法

技术领域

本发明涉及通讯领域与智能密钥的应用领域，特别涉及一种具有短距离射频通讯认证功能的认证系统，并提高现有认证装置如智能密钥装置的认证装置的安全性和方便性的方法。

背景技术

互联网网上交易系统和网上认证系统的使用越来越普遍，由于开放式互联网存在诸多不安全因素，使用身份认证装置增强网上交易、网上认证系统安全性成为一个普遍的技术路径。

现有的网上认证系统主要由身份认证装置、网络终端、互联网络、后台认证系统组成，主要的工作流程是使用者将身份认证装置通过第一通信通道连接到网络终端，身份认证装置通过互联网络与后台认证系统进行身份认证，如数字证书认证、签名及加密功能。

身份认证装置，主要的形态有智能密钥，通常又称为USB Key，是一种基于USB接口的小型硬件设备，设备内置CPU、程序存储器、数据存储器、易失性存储器、安全算法及其它安全组件，以及芯片操作系统（COS），可以存储用户密钥或者数字证书，并内置相应的密码算法。在使用过程中，利用身份认证装置内的密码算法实现对用户身份的认证，或者对网上交易数据进行签名等密码操作过程。

认证装置中的CPU、存储器、芯片操作系统通常集成为一个安全SOC芯片，具备硬件不可复制性等安全特性，保证了密钥系统中密钥、数字证书和密码算法的安全性，从而进一步保证用户认证、交易的安全性。然而目前的认证装置基本上采用PIN码作为授权保护措施，实际上属于无法交互的“哑终端”，无法抵御重放攻击、网络木马等攻击方式。要提高安全性，最普遍的方法是除PIN码外，还采用指纹、显示、短信等多因子认证方式。专利200810115364.9采用了在认证装置上显示动态口令的方式，专利200810002415.7则采用了短信验证的方式，专利200710043441.X提供了采用指纹的方式。

所有这些多因子认证方式在不同程度上提高了认证装置抵抗重放攻击和网络木马攻击等攻击方式的能力，但是，同时，由于其采用了多因子的认证方式，需要得到系统侧第二条通信渠道的支持（短信），或者在认证装置上增加指纹模块或者显示模块、按键模块等额外的硬件系统，导致系统成本大幅度提升，影响了此类方案的推广。

总结来说目前市面上的大批量使用的认证装置存在如下技术问题：

没有实现交易内容的安全显示和对交易内容安全确认。

发明内容

本发明所要解决的技术问题是提供具有短距离通讯功能的身份认证装置及系统，解决现有技术中没有实现交易内容的安全显示和对交易内容安全确认的问题。

本发明解决上述技术问题的技术方案如下：提供一种具有短距离射频通信认证功能的认证系统，其特征在于，包括后台认证系统、带有短距离通信功能的身份认证装置和带有短距离通信功能的移动终端，其中，所述后台认证系统与身份认证装置进行通信实现第一身份认证功能；所述身份认证装置及移动终端通过短距离通信实现第二身份认证功能。

本发明的有益效果是：本发明无需在认证装置上增加昂贵的指纹模块或者显示模块等硬件，也无需改造系统侧原有的认证系统，只需要在认证装置增加廉价无线通讯模块，无成本的利用现有普及的移动终端，实现高安全、使用方便，简单的系统，并且此认证装置由于没有显示模块、按键模块，可以在很小尺寸下实现，便于携带。

在上述技术方案的基础上，本发明还可以做如下改进。

进一步，第一身份认证功能为数字证书认证以及数据签名、加密。

进一步，第二身份认证功能为利用所述移动终端，提供对第一身份认证功能的使用者身份认证以及对所需要认证信息进行确认。

进一步，所述所需要认证信息包括时间和/或金额和/或账号。

进一步，所述带有短距离通讯功能的移动终端为带蓝牙、红外、wifi无线功能的手机、电子书、PMP、或平板电脑。

本发明还提供了一种具有短距离通讯功能的认证装置，包括处理器、程序存储器、数据存储器、易失性存储器、安全算法模块、安全组件及与后台认证系统连接的第一接口模块，还包含与带有短距离通信功能的移动终端无线连接、具备短距离无线通信功能的第二接口模块。

进一步，所述第二接口模块为蓝牙、红外、wifi或其任意组合的无线通讯接口模块。

进一步，所述第二接口模块为精简蓝牙协议的蓝牙通讯接口模块。

进一步，所述第一接口模块为通用连接接口模块和/或无线通讯接口模块。

进一步，所述通用连接接口模块为USB、SD、MMC接口模块或其任意组合。

进一步，所述无线通讯接口模块为蓝牙、红外、wifi模块或其任意组合。

本发明还提供了一种短距离射频通讯认证方法，包括：

步骤1：所述后台认证系统建立与所述身份认证装置的通信，第一身份认证系统通过所述身份认证装置与后台认证系统进行第一身份认证的数字证书身份认证；

步骤2：在完成第一身份认证功能的签名或加密之前，所述身份认证装置启动其短距离通信功能，与预先约定的带有短距离通信功能移动终端建立可信连接通道；

步骤3：认证装置启动第二身份认证功能，通过所述可信连接通道将第二身份认证所需要的信息传输给移动终端，并由移动终端显示模块显示；

步骤4：使用者通过移动终端显示模块确认第一身份认证信息和数据的合理性，以及比较与第二身份认证相关信息与第一身份认证信息的一致性，并通过移动终端的输入模块输入判别信息，并通过可信连接通道给身份认证装置传送判别信息以决定是否启用身份认证装置的第一身份认证功能的签名或加密功能。

进一步，所述步骤1中，认证装置及移动终端通过预先约定通信密钥进行通信。

进一步，所述步骤2中，移动终端开启无线通信端口为手动开启，或通过无线通道自动开启。

进一步，所述通过无线通道自动开启是通过短信开启，或检测到认证装置信号后自动开启。

进一步，所述步骤4中，通过移动终端显示模块显示的信息为验证码的方式，即身份认证装置通过图片的方式传递信息给移动终端，使用需要通过肉眼方能识别图片信息，并输入图片上的信息回传给身份认证装置，当身份认证装置比对回传的信息正确时，启动第一身份认证功能的签名与加密功能。

附图说明

图1是结合移动终端的身份认证装置系统的应用结构图；

图2是所述的具有短距离射频通信模块的身份认证装置内部模块图；

图3是所述的具有短距离射频通信模块的身份认证装置及与之配合的移动终端共同实现应用流程示意图；

图4是所述的验证码的示意图。

具体实施方式

以下结合附图对本发明的原理和特征进行描述，所举实例只用于解释本发明，并非用于限定本发明的范围。

图1为本发明提供的一种具有短距离射频通讯认证功能的认证系统，如图1所示，包括具有短距离无线通讯功能和智能密钥功能的身份认证装置005、具有短距离无线通讯功能、人机交互界面的移动终端007、网络终端003、后台认证系统001，身份认证装置005与网络终端003通过第一通信通道004连接，身份认证装置005与移动终端007通过第二通信通道006连接。网络终端003与后台认证系统001通过互联网002连接。其中后台认证系统001、互联网002、网络终端003、第一通信通道004、身份认证装置005组成第一认证系统A，实现第一认证功能；身份认证装置005、第二通信通道006、移动终端007组成第二认证系统B，实现第二认证功能。可以通过第二认证功能实现对第一认证功能的显示与确认，此方法有极大的提高了第一认证系统的安全性和方便性。

第一身份认证功能为数字证书认证及数据签名、加密等；第二身份认证功能为利用移动终端，提供对第一身份认证功能的使用者身份认证以及对所需要认证信息进行确认，如时间、金额、账号等。

所述的网络终端 003指的是可以方便进行互联网应用的终端，包括PC、上网本、互联网电视等。身份认证装置005与网络终端 003通过第一通信通道004连接，该接口可以为USB、SD、MMC等各种形态，主要保证身份认证装置005与网络终端003正常通讯。

所述的移动终端007指的是带有人机交互界面的移动终端，包括手机、PMP、平板电脑、电子书等。身份认证装置005与移动终端007通过第二通信通道006通讯，该接口可以为蓝牙、红外、wifi等无线接口中，该接口主要确保身份认证装置005与移动终端007正常通讯，通过该接口实现通过移动终端007人机交互界面对身份认证装置005的PIN认证，保证身份认证装置005的使用者的合法身份，另能过移动终端007的人机交互界面对身份认证装置005的所要认证的对象，如帐号、金额、时间等关键信息显示给使用者确认，并由使用者发送确认指令，使得身份认证装置005操作的合法性。

所述的后台认证系统001指的是具有身份认证功能，如数字证书认证等功能的后台认证服务器。后台认证系统001与网络终端 003通过网络连接，该网络可以为互联网、电视网、移动网等。

如图2所示，本发明提供了一种具有短距离无线通讯功能的认证装置，包括第一接口模块101、程序存储器102、数据存储器103、易失性存储器104、安全算法模块105、CPU 106、安全组件107、第二接口模块108。第一接口模块101、程序存储器102、数据存储器103、易失性存储器104、安全算法模块105、安全组件107、第二接口模块108与 CPU 106通过电连接。第二接口模块108包含天线和无线RF芯片，是该发明的新增模块，能够通过第二接口模块108实现与移动终端007进行无线通讯，将认证信息通过移动终端007的人机交互界面进行显示与确认。移动终端007主要配合输入模块完成人及交互功能，并将交易的流程与细节（例如账号、金额、时间等）清晰地展示给用户。

第二接口模块可以是蓝牙、红外、wifi或其任意组合的无线通讯接口模块，特别是可以根据需要精简蓝牙协议以提高认证效率；第一接口模块可以是如USB、SD、MMC等通用连接接口模块，也可以是蓝牙、红外、wifi模块等无线通讯接口模块。

图3是本发明短距离射频通讯认证方法流程图， 

如步骤201所示，认证装置启动，步骤202所示，移动终端也启动短距离无线通讯，移动终端可以通过手动开启，或通过无线通道自动开启，如短信开启，或检测到人生装置信号后自动开启。

如步骤203所示，认证装置开始搜寻连接对象，如果搜索到与其匹配的移动终端，即开始启动与其关联的移动终端进行连接。

如步骤204所示，移动终端也在等待与其匹配的认证装置向其发送连接指令，一旦接收到认证装置的连接指令，并与其建立连接。认证装置和移动终端通过预选约定的通信密钥进行通信。

如步骤205所示，认证装置与移动终端连接建立后，认证装置便处于等待移动终端输入PIN，使用者通过移动终端输入PIN码，如步骤206所示，发送给认证装置，认证装置校验PIN通过后，进入步骤207，如果验证不通过，则仍旧等待移动终端输入PIN，输入出错的次数有限制。

如步骤207所示，认证装置开始身份认证操作，等待使用者签名与认证操作指示。

如步骤208所示，移动终端输入的PIN验证通过后，便进入等待认证装置下一步操作指令。

如步骤209所示，认证终端收到使用者签名与认证操作指示后，便主动发送操作状态和信息至移动终端显示，并等待移动终端确认反馈。发送的信息可以为帐号、金额、时间等，发送的方式可以为验证码方式，即以图片的方式将信息发送到移动终端，如图4所示。

如步骤210所示，移动终端收到认证装置的信息后，通过其人机交互界面显示给使用者确认。

如步骤212所示，使用者确认所作操作且相关数据无误，使用者需要通过肉眼识别图片上的信息，将确认信息的正确性，并将部份信息通过移动终端的输入功能输入，并通过移动终端给认证装置发送确认信息，返回步骤208。

如步骤211所示，认证装置收到移动终端的确认信息合法后，便执行步骤213，如果收到确认信息不合法，则返回步骤207。

如步骤213所示，认证装置收到移动终端的信息合法后，则完成此次认证和密钥操作，并返回步骤207。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (16)

1.一种具有短距离射频通信认证功能的认证系统，其特征在于，包括后台认证系统、带有短距离通信功能的身份认证装置和带有短距离通信功能的移动终端，其中，所述后台认证系统与身份认证装置进行通信实现第一身份认证功能；所述身份认证装置及移动终端通过短距离通信实现第二身份认证功能。

2.根据权利要求1所述的具有短距离射频通信认证功能的认证系统，其特征在于，第一身份认证功能为数字证书认证以及数据签名、加密。

3.根据权利要求1所述的具有短距离射频通信认证功能的认证系统，其特征在于，第二身份认证功能为利用所述移动终端，提供对第一身份认证功能的使用者身份认证以及对所需要认证信息进行确认。

4.根据权利要求3所述的认证系统，其特征在于，所述所需要认证信息包括时间和/或金额和/或账号。

5.根据权利要求1所述的认证系统，其特征在于，所述带有短距离通讯功能的移动终端为带蓝牙和/或红外和/或wifi无线功能的手机、电子书、PMP、或平板电脑。

6.一种具有短距离通讯功能的认证装置，包括处理器、程序存储器、数据存储器、易失性存储器、安全算法模块、安全组件及与后台认证系统连接的第一接口模块，其特征在于，还包含与带有短距离通信功能的移动终端无线连接、具备短距离无线通信功能的第二接口模块。

7.根据权利要求6所述的认证装置，其特征在于，所述第二接口模块为蓝牙、红外、wifi或其任意组合的无线通讯接口模块。

8.根据权利要求7所述的认证装置，其特征在于，所述第二接口模块为精简蓝牙协议的蓝牙通讯接口模块。

9.根据权利要求6所述的认证装置，其特征在于，所述第一接口模块为通用连接接口模块和/或无线通讯接口模块。

10.根据权利要求9所述的认证装置，其特征在于，所述通用连接接口模块为USB、SD、MMC接口模块或其任意组合。

11.根据权利要求9所述的认证装置，其特征在于，所述无线通讯接口模块为蓝牙、红外、wifi模块或其任意组合。

12.一种短距离射频通讯认证方法，包括：

步骤1：所述后台认证系统建立与所述身份认证装置的通信，第一身份认证系统通过所述身份认证装置与后台认证系统进行第一身份认证的数字证书身份认证；

步骤2：在完成第一身份认证功能的签名或加密之前，所述身份认证装置启动其短距离通信功能，与预先约定的带有短距离通信功能移动终端建立可信连接通道；

步骤3：认证装置主动启动第二身份认证功能，通过所述可信连接通道将第二身份认证所需要的信息传输给移动终端，并由移动终端显示模块显示；

步骤4：使用者通过移动终端显示模块确认第一身份认证信息和数据的合理性，以及比较与第二身份认证相关信息与第一身份认证信息的一致性，并通过移动终端的输入模块输入判别信息，并通过可信连接通道给身份认证装置传送判别信息以决定是否启用身份认证装置的第一身份认证功能的签名或加密功能。

13.根据权利要求12所述的方法，其特征在于，所述步骤1中，认证装置及移动终端通过预先约定通信密钥进行通信。

14.根据权利要求12所述的方法，其特征在于，所述步骤2中，移动终端开启无线通信端口为手动开启，或通过无线通道自动开启。

15.根据权利要求14所述的方法，其特征在于，所述通过无线通道自动开启是通过短信开启，或检测到认证装置信号后自动开启。

16.根据权利要求12所述的方法，其特征在于，所述步骤4中，通过移动终端显示的信息为验证码的方式，即身份认证装置通过图片的方式传递信息给移动终端，使用者需要通过肉眼方能识别图片信息，并输入图片上的信息回传给身份认证装置，当身份认证装置比对回传的信息正确时，启动第一身份认证功能的签名与加密功能。

Images