CN102448061B - 一种基于移动终端防钓鱼攻击的方法和系统 - Google Patents

Abstract

本发明提供一种基于移动终端防钓鱼攻击的方法和系统，方法包括步骤：(1)账号绑定与数据初始化：用户在客户端向应用服务器发起绑定请求，经认证服务器认证通过后，绑定成功；(2)认证应用：用户向应用服务器发起登录申请，同时客户端向认证服务器发起终端认证请求，经认证服务器得到终端认证结果返回用户；所述系统包括移动终端、应用服务器端和认证系统。本发明中客户端作为软件可被安装在用户的各类移动终端上去，以解决目前使用硬件客户端的成本问题。认证服务器端根据应用服务器端与移动终端所传输信息的双线链路数据并结合移动终端的位置信息与终端信息进行验证，从根本上解决了钓鱼攻击问题。

Description

一种基于移动终端防钓鱼攻击的方法和系统

技术领域

本发明涉及无线通信、网络通信与密码校验以及互联网安全相结合的技术，具体涉及一种基于移动可信终端的防止钓鱼攻击的方法和系统。

背景技术

随着互联网的普及以及3G移动互联网的快速发展，越来越多的应用系统在公网上运行，网络安全问题日益突出，一种普遍的犯罪攻击是“钓鱼”，其试图骗取用户向钓鱼攻击者提供个人信息，钓鱼攻击者使用所获取的因特网用户信息进行犯罪活动。目前大多数应用系统采用传统用户名加密码的认证方式，这种认证方式容易被钓鱼攻击，采用动态密码方式，同样也存在被钓鱼攻击的问题。

目前已进行多种尝试以防止钓鱼攻击。有采用专门的硬件方案、一次性密码、服务器端证书、客户端浏览器扩展、客户端本地黑名单方式，以及采取双向认证等方式互相鉴别，仍然很难防止被钓鱼攻击。

中国专利申请CN201010587753.9公开了一种防止网络钓鱼的设备和系统，包括以下步骤：(一)业务系统客户端访问业务系统，请求进行身份认证和服务器验证；(二)产生服务器验证码；(三)服务器验证码返回业务系统；(四)验证码返回到用户的业务系统客户端；(五)用户输入业务系统客户端令牌上显示的动态密码并提交到业务系统；(六)验证动态密码的正确性；(七)验证结果返回业务系统。设备由实时时钟、电源、液晶屏、单片微型计算机、注入接口构成。本发明利用动态密码技术，通过带外通道实现在设备上显示提示信息与服务器上提供的信息进行比对，从而发现钓鱼服务器。但仍存在很大的安全隐患。

发明内容

为了克服现有技术的不足，本发明的目的之一是提供一种可有效解决钓鱼问题的认证方法，该方法中认证服务器端根据应用服务器端与移动终端所传输信息的双线链路数据并结合移动终端以及应用服务器登录位置信息进行验证，从而解决钓鱼攻击问题。

本发明的另一目的是提供实现上述方法的系统。

本发明提供的基于移动终端防钓鱼攻击的方法，包括步骤：(1)数据初始化：用户向应 用服务系统发起绑定请求，通过正常身份认证，等待客户端向应用服务系统发起初始化请求，认证服务器根据客户端携带的相关账号信息通过算法为所述用户生成ID和私有密钥，和初始化位置信息等保存于相应的数据库服务器的同时，并通过应用服务器分发到用户的客户端；(2)账号绑定：用户在客户端向应用服务器发起绑定请求，并在客户端建立用户相关数据库，存入ID、私有密钥以及相关数据信息，经认证服务器认证通过后，绑定成功；(3)认证应用：用户向应用服务器发起第一链路登录申请并等待第二链路终端认证结果，同时客户端通过应用服务器向认证服务器发起第二链路终端认证请求，得到终端认证结果返回用户；所述客户端安装于移动终端。

进一步，所述客户端向认证服务器发起的第二链路终端认证请求包括动态密码认证和位置信息认证。

进一步，所述客户端向认证服务器发起的第二链路终端认证请求还包括终端可信认证。

进一步，所述认证服务器按照对称加密算法或者杂凑算法生成私有密钥，所述移动终端使用每个客户端的私有密钥作为客户身份要素之一、采用时间以及事件作为同步因子生成动态密码。保证移动链路传输数据的随机性、一次性有效和时效性。

进一步，所述密钥分发数据传输采用非对称加密算法。

进一步，所述移动终端为手机、掌上电脑或平板电脑。

本发明提供的实现上述基于移动终端防钓鱼攻击方法的系统，包括移动终端、应用服务器端和认证服务器端，所述移动终端分别与应用服务器端、认证服务器端之间无线通讯连接，所述应用服务器端与认证服务器端通过互联网通讯连接。

进一步，所述移动终端具有：动态密码生成单元，位置服务单元，数据加密单元和终端可信任单元；

其中：动态密码生成单元：根据当前时间或事件次数，通过客户端所存储的密钥采用对称加密算法或者哈希算法计算出动态密码；

位置服务单元：比对历史数据库中用户登录常用IP位置、移动终端所处历史和现在位置信息，将检测异常反馈给用户；；

数据加密单元：把用户终端的身份标识信息、动态密码生成单元生成动态密码以及位置信息用客户端所存放的公钥进行加密，采用非对称加密算法保证数据传输安全，然后上传至认证服务器端进行身份鉴别。

进一步，所述认证服务器端具有：数据解密模块，密码校验模块，位置校验模块和可信 任终端校验模块；

其中：数据解密模块：采用非对称算法解出移动终端认证数据；

密码校验模块：根据服务器端所存储相对的密钥、时间或者事件，采用时间或事件窗口策略校验客户端上行的动态密码；

位置校验模块：比对历史数据库中用户登录常用IP位置、移动终端所处历史和现在位置信息，将检测异常反馈给用户；

可信任终端校验模块：校验移动终端可信度。

可信任终端校验模块，综合判断移动终端上传移动终端的串号、IMEI号、以及手机号等综合因素，来确保第二链路所传认证数据是从确定的移动终端传输过来。

进一步，所述应用服务器端具有：数据解密模块、密码验证模块、访问控制模块、日志模块、审计模块、数据库模块、位置比对模块和行为分析模块，

数据解密模块：采用非对称算法解出移动终端认证数据；

密码校验模块：根据服务器端所存储相对的密钥、时间或者事件，采用一定时间、事件窗口策略，校验客户端上行的动态密码；

访问控制模块：识别已使用过的动态密码，保证已经使用过的动态密码不会被再次使用，，并且控制异常登录认证行为；

日志模块：接收来自认证服务日志，按照日志的级别将日志写入数据库或者日志文件中；

数据库模块：用来存储密钥、相关操作和行为日志；

位置比对模块：对用户登录IP信息以及相应的移动终端的位置信息进行存储和分析；

行为分析模块：对用户各种行为进行记录和分析。

进一步，所述系统还包括管理服务器，管理服务器与移动终端无线通讯连接，完成移动终端客户的生成、删除、冻结、解冻和信息查询功能。

本发明的有益效果在于：

1.本发明中客户端作为软件可以被安装在用户的各类移动终端上去，如手机、pda、pad等，用以解决目前使用硬件客户端的成本问题。

2.本发明中认证服务器端根据应用服务器端与移动终端所传输信息的双线链路数据进行验证，以保证登陆安全性。

3.本发明中软件客户端提供基于位置与一次性动态密码的第二链路认证服务，使用每个客户端的私有密钥作为客户身份要素、采用时间以及事件作为同步因子生成动态密码。保证 客户端链路传输数据的随机性、一次性有效和时效性。同时认证服务器端解决了相关的同步问题。从根本上解决了钓鱼攻击问题。

4.移动终端的可信任单元与认证服务器中的可信任终端校验模块，综合判断移动终端上传移动终端的串号、IMEI号、以及手机号等综合因素，来确保第二链路所传认证数据是从确定的移动终端传输过来，进一步杜绝安全隐患。

5.数据传输时采用非对称加密算法，保证数据链路的安全与传输的安全。

附图说明

图1.本发明系统工作原理图

图2.本发明系统工作流程图(步骤(1)、(2))

图3.本发明系统工作流程图(步骤(3))

具体实施方式

本发明提供的一种基于移动终端防钓鱼攻击的方法，按照如下过程实现的：

(1)数据初始化：首先用户向应用服务系统发起绑定请求，正常身份认证通过后，等待移动终端发起初始化请求，初始化时移动终端携带相关的账号信息，此时认证服务器通过算法为此用户生成一个ID和私有密钥，服务器端与此用户相关的信息，并且存到相应的数据库服务器，通过应用服务器分发到通过安全渠道分发到用户的客户端。(2)账号绑定：此时用户在移动终端发起绑定请求，进行第一次绑定认证，并且建立用户的相关数据库，存入ID、私有密钥以及相关位置信息，认证通过后，绑定成功。(3)认证应用：用户在登录应用服务器时，需要先做第一次身份鉴别，在第一次鉴别(第一链路)通过，让用户进行二次验证(第二链路)，二次验证是基于可信任移动终端，用户需要使用基于移动终端的应用软件，应用软件内置密码算法并且获取用户的位置信息，通过无线网络上传至后台认证服务器，认证服务器通过第二链路传输过来的认证信息进行鉴别，并回传鉴别结果。二次验证通过后用户即可安全登录。

所述客户端向认证服务器发起的第二链路终端认证请求包括动态密码认证、位置信息认证，以及终端可信认证。

基于移动可信终端防钓鱼方法的系统，包括移动终端、应用服务器端和认证系统，所述移动终端分别与应用服务器端、认证服务器端之间无线通讯连接，所述应用服务器端与认证 服务器端通过互联网通讯连接。

所述移动终端具有：动态密码生成单元，根据当前时间或者事件次数、并且通过客户端所存储的密钥采用对称加密算法或者哈希算法计算出动态密码；位置服务单元：通过运营商的无线网络(如GSM网、CDMA网)或外部定位方式获取终端的位置信息以及移动终端的校验信息，并将这几个因素结合，采用非对称加密算法，无线网络通讯上传至认证服务器端，数据加密单元。还具有终端可信任单元。

所述动态密码生成单元：是运行于移动终端设备上的应用程序，内置密码生成算法和数据，每次认证时，用户需运行此程序，生成动态密码，动态密码生成模块可适用于多种移动应用平台。password＝OTP(seed)，password为动态密码，OTP为生成密码采用的加密算法，对称加密算法或者杂凑算法，seed：存在客户端的密钥与时间同步因子抑或时间同步因子构成序列，保证生成动态密码数据的随机性。

所述位置服务单元：是运行于移动终端设备上的应用程序，借助于运营商提供的通道与相关的API接口，获取终端所在位置，并且上传至服务器。

所述数据加密单元：把用户终端的身份标识信息、动态密码生成单元生成动态密码、以及位置信息等用客户端所存放的公钥进行加密，采用非对称加密算法，来保证数据传输安全，然后上传至服务器端进行身份鉴别。

认证服务器端具有：数据解密模块：采用非对称算法解出移动终端认证数据；密码校验单元：根据服务器端所存储相对的密钥、时间或者事件，采用一定同步窗口策略，校验客户端上行的动态密码；位置校验模块：并且在历史数据库里比对：包括用户登录的常用IP分析，常用移动终端位置分析，检测异常，并且及时反馈给使用者。还有可信任终端校验模块：校验移动终端可信度。

应用服务器端具有：数据解密模块、密码验证模块、访问控制模块、日志模块、审计模块、数据库模块、位置比对模块，行为分析模块、可信任终端校验模块等。

所述数据解密模块：运行于服务器端的应用程序，根据用户所提交的认证信息，采用相应的私钥进行解密，解密采用高效非对称解密算法。

所述密码验证模块：与客户端采用同样的算法，以及相同的密钥和同步因子，进行加密计算出密码进行比对。考虑到同步因子会有误差，采用同步窗口方式进行比对。时间方式的同步因子，采用时间窗口方式，由于移动终端时间相对比较准确，采用普通时间窗口比对方式，正负2分钟。采用事件同步方式则采用单向递增同步方式，两次次数同步则动态密码校 验通过。

所述访问控制模块：同一个密码只能使用一次，认证控制服务提供了识别已经使用过的动态密码的功能，保证已经使用过的动态密码不会被再次使用，并且控制异常登录认证行为。

所述日志模块：认证控制服务接收来自认证服务以及其他相关服务的日志，按照日志的级别将日志写入数据库或者日志文件中。

所述数据库模块：用来存储密钥、相关操作和行为日志。所有的用户数据加密后存储在数据库中，并且需要有完善的数据安全保护功能，以及具有安全完备的数据库管理、备份功能。

所述位置比对模块：对用户登录IP信息以及相应的移动终端的位置信息进行存储和分析，对移动终端所提供位置信息以及应用服务器所登录的PC的IP地址，根据用户经常登录存储的位置与IP地址等信息进行比对，一旦捕获异常，采取相应的措施。

所述行为分析模块：对用户各种行为进行记录，并且分析提供相应的分析结果。一旦发现异常信息，采取相应安全措施。

所述可信任终端校验模块：分析确定第二链路认证发起是在绑定、确定的终端上。

所描述的系统还包括管理服务器，用户完成移动终端客户的生成、删除、冻结、解冻、信息查询等功能。

尽管通过参照发明的某些优选实施例，已经对本发明进行了描述，但本领域的普通技术人员应当理解，可以在形式上和细节上对其作出各种各样的改变，而不偏离所附权利要求书所限定的本发明的精神和范围。

Claims (11)

1.一种基于移动终端防钓鱼攻击的方法，其特征在于，包括步骤：(1)数据初始化：用户向应用服务系统发起绑定请求，通过正常身份认证后，等待客户端向应用服务系统发起初始化请求，认证服务器根据客户端携带的相关账号信息通过算法为所述用户生成ID和私有密钥，保存于相应的数据库服务器的同时，通过应用服务器分发到用户的客户端；(2)账号绑定：用户在客户端向应用服务器发起绑定请求，并在客户端建立用户相关数据库，存入ID、私有密钥以及相关位置信息，经认证服务器认证通过后，绑定成功；(3)认证应用：用户向应用服务器发起第一链路登录申请并等待第二链路终端认证结果，同时客户端向认证服务器发起第二链路终端认证请求，得到终端认证结果返回用户；所述客户端安装于移动终端。

2.按照权利要求1所述的基于移动终端防钓鱼攻击的方法，其特征在于，所述客户端向认证服务器发起的第二链路终端认证请求包括动态密码认证和位置信息认证。

3.按照权利要求2所述的基于移动终端防钓鱼攻击的方法，其特征在于，所述客户端向认证服务器发起的第二链路终端认证请求还包括终端可信认证。

4.按照权利要求2所述的基于移动终端防钓鱼攻击的方法，其特征在于，所述认证服务器按照对称加密算法或杂凑算法生成私有密钥，所述移动终端使用每个客户端的私有密钥作为客户身份要素、采用时间以及事件作为同步因子生成动态密码。

5.按照权利要求1所述的基于移动终端防钓鱼攻击的方法，其特征在于，所述密钥分发数据传输采用非对称加密算法。

6.按照权利要求1所述的基于移动终端防钓鱼攻击的方法，其特征在于，所述移动终端为手机、掌上电脑或平板电脑。

7.一种实现权利要求1所述基于移动终端防钓鱼攻击方法的系统，其特征在于，包括移动终端、应用服务器端和认证服务器端，所述移动终端分别与应用服务器端、认证服务器端之间无线通讯连接，所述应用服务器端与认证服务器端通过互联网通讯连接。

8.按照权利要求7所述基于移动终端防钓鱼攻击方法的系统，其特征在于，所述移动终端具有：动态密码生成单元，位置服务单元，数据加密单元和终端可信任单元；

其中：动态密码生成单元：根据当前时间或事件次数，通过客户端所存储的密钥采用对称加密算法或哈希算法计算出动态密码；

位置服务单元：通过运营商的无线网络或外部定位方式获取移动终端的位置信息；

数据加密单元：把移动终端的身份标识信息、动态密码生成单元生成一次性密码以及位置信息用客户端所存放的公钥进行加密，采用非对称加密算法保证数据传输安全，然后上传至认证服务器端进行身份鉴别。

9.按照权利要求7所述基于移动终端防钓鱼攻击方法的系统，其特征在于，所述认证服务器端具有：数据解密模块，密码校验模块，位置校验模块和可信任终端校验模块；其中：数据解密模块：采用非对称算法解出移动终端认证数据；

密码校验模块：根据认证服务器端所存储相对的密钥、时间或者事件，采用时间窗口策略校验客户端上行的动态密码；

位置校验模块：比对历史数据库中用户登录常用IP位置、移动终端所处历史和现在位置信息，将检测异常反馈给用户；

可信任终端校验模块：根据移动终端上行的特征信息，校验移动终端可信度。

10.按照权利要求7所述基于移动终端防钓鱼攻击方法的系统，其特征在于，所述应用服务器端具有：数据解密模块、密码验证模块、访问控制模块、日志模块、审计模块、数据库模块、位置比对模块和行为分析模块，

数据解密模块：采用非对称算法解出移动终端认证数据；

密码验证模块：根据应用服务器端所存储相对的密钥、时间或者事件，采用一定时间窗口策略，校验客户端上行的动态密码；

访问控制模块：识别已使用过的动态密码，保证已经使用过的动态密码不会被再次使用，并且控制异常登录认证行为；

日志模块：接收来自认证服务器日志，按照日志的级别将日志写入数据库或日志文件中；

数据库模块：用来存储密钥、相关操作和行为日志；

位置比对模块：对用户登录IP信息以及相应的移动终端的位置信息进行存储和分析；

行为分析模块：对用户各种行为进行记录和分析。

11.按照权利要求7所述的基于移动终端防钓鱼攻击方法的系统，其特征在于，所述系统还包括管理服务器，管理服务器与移动终端无线通讯连接，完成移动终端客户的生成、删除、冻结、解冻和信息查询功能。