CN102594560A - 一种基于动态密码的身份认证方法及认证服务器 - Google Patents

Abstract

本发明公开了一种基于动态密码的身份认证方法及认证服务器，该方法包括：认证服务器向客户端发送用于身份认证的挑战信息；客户端接收来自认证服务器的挑战信息并在登录界面上显示该挑战信息；客户端接收用户输入的身份认证信息；认证服务器接收用户从客户端输入的身份认证信息，完成身份认证过程。本发明方法通过认证服务器端发送挑战信息给客户端，用户在每次登录时根据挑战信息的提示，形成经泛化后的身份认证信息，这样不仅破坏了原始持久性身份信息的完整性，完全杜绝了非法用户在客户端窃取用户持久性身份信息的可能性，而且该验证方法操作方便、扩展灵活、安全性高，在客户端持久性身份信息的泛化不需要依托硬件，系统成本低廉。

Description

一种基于动态密码的身份认证方法及认证服务器

技术领域

本发明涉及一种身份认证方法，尤其是一种基于动态密码的身份认证方法及认证服务器。

背景技术

计算机网络世界中的一切信息包括用户的身份信息都是用一组特定的数据来表示的，计算机只能识别用户的数字身份，所有对用户的授权也是针对用户数字身份的授权。身份认证即是在计算机网络中确认操作者身份的过程。身份认证也是服务供应商针对不同人员提供不同服务的首要步骤，用户只有通过了身份认证才能获得相应的服务。

现有的身份认证方法主要包括：部分密码认证方法、基于硬件（譬如动态口令牌）的动态密码认证方法、普通的密码输入登录认证方法。下面逐一介绍上述认证方法的特点：

1、部分密码认证方法：是指用户在登录的时候不需要输入完整的密码，只需要输入与身份认证服务器协商好的部分密码值完成身份认证。利用输入部分密码的方式，隐藏了原始持久性密码的信息，在一定程度上防止键盘记录攻击。虽然这种方法在每次登录时只需要用户输入部分密码，但是由于密码长度有限(其中原因有二：第一是登录系统的设计限制，第二是用户为了方便记忆)，因此用户的密码在多次的输入后很容易被攻击者分析得到；而且每次登录的密码输入信息都只是部分的不完整信息，那么用户提交的“登录密码信息”长度会很短，理论上认证系统也很容易遭受到攻击。

2、基于硬件(譬如动态口令牌)的动态密码认证方法：利用硬件动态生成随机码，客户在登录或者交易认证时候输入此动态密码，将其作为身份认证信息的一部分进行登录认证。这种认证方法利用了硬件的安全性和离线的动态性，在一定程度上保证了每次登录的一次性；增强了用户进行身份认证的安全性。它利用了what you have方法。基于硬件(譬如动态口令牌)的动态密码认证方法：首先，其成本高：由于这种动态密码的生成是基于硬件的，因此在与服务器同步性方面、硬件自身保护方面等都增加了整个认证系统的难度，而且硬件的定制也需要相应的费用，无形中增加了整个系统构建的费用；第二，灵活性差：这种硬件设备在用户使用和携带的过程中带来很大的不便，一旦设备丢失，用户则登录不了相应的系统，尽管可以通过后期的手续进行补救，但是时效性很差。

3、普通的密码输入登录认证方法：用户直接使用持久性账号及密码等身份信息以进行身份认证。实际上，由于许多用户为了防止忘记密码，经常采用诸如生日、电话号码等容易被猜测的字符串作为密码，或者把密码抄在纸上放在一个自认为安全的地方，这样很容易造成密码泄漏。如果密码是静态的数据，在验证过程中需要在计算机内存中和传输过程可能会被木马程序或在网络中截获。虽然静态密码机制无论是使用还是部署都非常简单，但从安全性上讲，用户名/密码方式一种是不安全的身份认证方式。它利用了what you know的方法。该方法有几个特点：

登录密码的固定性：用户登录的密码是永久或长期的，在多次使用的过程中很容易被其他人窃取。

用于登录的身份信息具有完整性：因此，一旦密码被窃取，则攻击者就可以获取完整的访问权。

针对普通的密码输入登录认证方法，常见的窃取方式有：

键盘记录攻击：攻击者通过在目标计算机上注入恶意软件，对用户的所有的键盘操作进行记录和跟踪，最终获取用户的账号和密钥(即密码)。

账号密码信息文件窃取：多数应用系统（尤其是web上的系统）会提供自动登录的功能，那么这必然会将用户的信息保存到本地，而攻击者通过一定的恶意手段很容易就获取到用户的账号密码信息文件。

因此，普通的密码输入登录认证方法由于需要输入完整的持久性身份信息，容易导致持久性身份信息被窃取；部分密码认证方法也由于密码信息长度有限，存在容易被破解的风险；而基于硬件(譬如动态口令牌)的动态密码认证方法则提高了身份认证系统的构造成本，并且在后期补救手续上的时效性很差，亦给用户带来了极大不便。

发明内容

本发明要解决的技术问题是：提供一种使用方便、成本低廉、安全性能高的基于动态密码的身份认证方法。

本发明要解决的另一技术问题是：提供一种用于用户身份认证的认证服务器，该认证服务器可有效保障用户身份验证时持久性身份信息的安全。

为了解决上述技术问题，本发明所采用的技术方案是：

一种基于动态密码的身份认证方法，该方法包括：

A：认证服务器向客户端发送用于身份认证的挑战信息；

B：客户端接收来自认证服务器的挑战信息并在登录界面上显示该挑战信息；

C：客户端接收用户输入的相应的身份认证信息；

D：认证服务器接收用户从客户端输入的身份认证信息，校验客户端输入的身份认证信息，完成身份认证过程。

进一步作为优选的实施方式，所述挑战信息为由认证服务器生成的包含用于持久性身份信息泛化的处理函数的信息，所述持久性身份信息泛化包括账号泛化和/或密码泛化。

进一步作为优选的实施方式，所述用于持久性身份信息泛化的处理函数的类型包括添加额外信息、删除个别信息、调整信息位置、替代信息、组合信息和上述类型的任意组合。

进一步作为优选的实施方式，所述挑战信息是一次性动态变化的，所述持久性身份信息泛化在客户端由人脑根据记忆的持久性身份信息和登录界面上显示的挑战信息进行运算得到，所述持久性身份信息的泛化在认证服务器端由认证服务器根据储存的持久性身份信息和处理函数运算得到。

进一步作为优选的实施方式，步骤D具体包括：

D1：认证服务器接收来自客户端输入的身份认证信息；

D2：认证服务器根据存储的持久性身份信息和处理函数运算得到第一运算结果；

D3：认证服务器对客户端输入的身份认证信息与第一运算结果进行匹配，若成功则通过用户的身份认证。

一种认证服务器，其特征在于，所述认证服务器包括：

函数生成模块，用于生成代表对持久性身份信息进行泛化的处理函数的挑战信息；

信息发送模块，用于将函数生成模块生成的挑战信息传送给客户端；

信息接收模块，用于接收用户通过客户端输入的经身份信息泛化处理后的身份认证信息；

运算模块，用于根据存储的持久性身份信息和处理函数运算得到第一运算结果；

身份认证模块，用于对运算模块生成的第一算结果与来自客户端的身份认证信息进行匹配，若成功则通过用户的身份认证。

进一步作为优选的实施方式，该认证服务器还包括：

存储模块，用于存储用户的持久性身份信息。

进一步作为优选的实施方式，所述函数生成模块生成用于持久性身份信息泛化的挑战信息包括账号泛化和/或密码泛化。

进一步作为优选的实施方式，所述用于持久性身份信息泛化的挑战信息的处理函数的类型包括添加额外信息、删除个别信息、调整信息位置、替代信息、组合信息和上述类型的任意组合。

进一步作为优选的实施方式，所述挑战信息是动态变化且是一次性的，所述持久性身份信息的泛化在认证服务器端由认证服务器根据储存的持久性身份信息和处理函数运算得到。

本发明的有益效果是：本发明基于动态密码的身份认证方法通过在认证服务器端生成用于用户持久性身份信息泛化的挑战信息，即在客户端呈现给用户的用于泛化持久性身份信息的问题，用户在每次登录时根据挑战信息的提示，形成经泛化后的身份认证信息，这样不仅破坏了原始持久性身份信息的完整性，完全杜绝了非法用户在客户端窃取用户持久性身份信息的可能性，而且该验证方法操作方便、扩展灵活、安全性高，在客户端持久性身份信息的泛化不需要依托硬件，系统成本低廉。

本发明的另一有益效果是：本发明认证服务器增加了函数生成模块，以生成用于用户持久性身份信息泛化的挑战信息，从而避免了用户在通过身份认证时在客户端输入完整的持久性身份信息，规避非法入侵者在客户端窃取用户持久性身份信息，提高了用户身份认证时信息的安全性。

附图说明

下面结合附图对本发明的具体实施方式作进一步说明：

图1是现有技术中普遍的身份认证流程图；

图2是本发明基于动态密码的身份认证方法的步骤流程图；

图3是本发明基于动态密码的身份认证方法实施例的具体流程图；

图4是本发明持久性身份信息泛化中账号泛化的流程；

图5是本发明持久性身份信息泛化中密码泛化的流程；

图6是本发明身份认证方法步骤D的步骤流程图；

图7是本发明认证服务器的结构框图。

具体实施方式

图1是现有技术中普遍的身份认证流程图，参照图1，该流程主要包括：

步骤1.用户打开登录界面；

步骤2.用户在输入登录的身份信息；

步骤3.用户将客户端输入的身份信息提交给认证服务器，以进行登录用户的身份验证。

现有技术用于登录的用户身份信息包括登录账号和密码，一般都需要用户完整输入其登录账号和密码信息，例如以“张三”为例，假设其登录账号为zhangsantest.com，密码为zhangsan1234，则在步骤2中需要输入账号zhangsantest.com和密码zhangsan1234，然后经步骤3提交给认证服务器以进行身份验证。

本发明基于动态密码验证方法的步骤流程参照图2,具体如下：

步骤A：认证服务器向客户端发送用于身份认证的挑战信息；

步骤B：客户端接收来自认证服务器的挑战信息并在登录界面上显示该挑战信息；

步骤C：客户端接收用户输入的身份认证信息；

步骤D：认证服务器接收用户从客户端输入的身份认证信息，完成身份认证过程。

图3是本发明基于动态密码的身份认证方法实施例的具体流程图，参照图3,继续以上述的“张三”为例，流程如下：

步骤101:用户打开登录界面；

步骤102：认证服务器向客户端发送挑战信息，客户端接收用于持久性身份信息泛化的挑战信息，并在客户端显示；例如挑战信息为“1.一次性账号为持久性账号加‘！111’；2.密码为持久性密码的前3位+‘new’+持久性密码的后4位”；

步骤103:用户获取客户端显示的挑战信息，即持久性身份信息的泛化提示；

步骤104：用户根据获取的信息泛化提示，在大脑内进行持久性身份信息泛化；具体而言，包括账号泛化和/或密码泛化；

步骤105：用户在客户端输入泛化后的动态的身份验证信息；张三在登录界面输入账号：zhangsan！111test.com，密码：zhanew1234；

步骤106：客户端将动态的身份验证信息提交给认证服务器以进行用户身份认证，认证服务器从用户信息数据库中读取该用户的持久性身份信息，并按照挑战信息生成张三本次登录的账号密码，并对客户端提交的账号和密码进行匹配判断，以完成身份认证过程。

进一步，所述挑战信息为由认证服务器生成的包含用于持久性身份信息泛化的处理函数的信息，所述持久性身份信息泛化包括账号泛化和/或密码泛化。

参照图4,账号结合挑战信息可进行账号泛化；参照图5,密码结合挑战信息可进行密码泛化。本领域技术人员可以理解，在本发明中持久信息泛化可以为账号泛化、密码泛化或者账号及密码泛化。

挑战信息就是认证服务器发送给客户端用于持久性身份信息泛化的问题，可以理解为用于持久性身份信息泛化的处理函数。具体而言，处理函数的类型包括：添加额外信息、删除个别信息、调整信息位置、替代信息、组合信息和上述类型的任意组合。

添加额外信息指的是：在持久性身份信息的某些位置上插入额外的信息，利用这些噪音信息对原始持久性身份信息进行隐藏和保护；

例如：挑战信息是“在原始(持久性)密码的第五位插入字符串‘abc’作为新的一次性密码”。对张三而言，新的一次性密码为：zhangabcsan1234。

删除个别信息：删除持久性身份信息中某些位置上的信息，破坏一次性身份信息的完整性，以保护原始的持久性信息。这种类型也可以称作过滤信息；

例如：挑战信息是“将原始(持久性)密码的奇数位作为新的一次性密码”。对张三而言，新的一次性密码为：zaga13。

调整信息位置：通过置换等方法，打乱原始的持久性身份信息的呈现顺序，保护原始持久性身份信息；

例如：挑战信息是“将原始(持久性)密码的前4为和后3位进行调换作为新的一次性密码”。对张三而言，新的一次性密码为：234gsan1zhan。

替代信息：使用消息/问题中提示的新的信息替换某些持久性身份信息或者对原始持久性身份信息的某些位置上的信息做一定的映射处理（设F为映射函数，newInformation为新的替代信息，oldInformation为旧的持久性的信息，则newInformation = F(oldInformation)，其中F函数可以是线性函数，高阶函数等等）；

例如：挑战信息是“将原始(持久性)密码的奇数位逐个替换成a、b、c、d…作为新的一次性密码”。对张三而言，新的一次性密码为：ahbncsdne2f4。

组合信息：通过相应的组合方法将持久性身份信息上不同位置的信息进行组合处理，以便对持久性身份信息的隐藏。

例如：挑战信息是“将原始(持久性)密码的所有数字的总和添加到后面作为新的一次性密码”。对张三而言，新的一次性密码为：zhangsan123410。

复合型：由以上几种类型进行组合使用。

本领域技术人员应当理解为，上述类型的处理函数仅为列举，并非穷举，本领域技术人员还在理解上述处理函数的基础之上，作出种种的变形或者替换。

进一步，所述挑战信息是动态变化且是一次性的，所述持久性身份信息泛化在客户端由人脑根据记忆的持久性身份信息和登录界面上显示的挑战信息进行运算得到，所述持久性身份信息的泛化在认证服务器端由认证服务器根据储存的持久性身份信息和处理函数运算得到。

参照图6，步骤D具体包括：

D1：认证服务器接收来自客户端输入的身份认证信息；

D2：认证服务器根据存储的持久性身份信息和处理函数运算得到第一运算结果；

D3：认证服务器对客户端输入的身份认证信息与第一运算结果进行匹配，若成功则通过用户的身份认证。

图7是本发明认证服务器的结构框图，参照图7,该认证服务器包括：

函数生成模块10，用于生成代表对持久性身份信息进行泛化的处理函数的挑战信息；

信息发送模块20，用于将函数生成模块10生成的挑战信息传送给客户端；

信息接收模块50，用于接收用户通过客户端输入的经身份信息泛化处理后的身份认证信息；

运算模块30，用于根据存储的持久性身份信息和处理函数运算得到第一运算结果；

身份认证模块40，用于对运算模块30生成的第一算结果与来自客户端的身份认证信息进行匹配，若成功则通过用户的身份认证。

进一步作为改进，该认证服务器还包括一用于存储用户的持久性身份信息的存储模块60。

进一步作为优选的实施方式，所述函数生成模块10生成用于持久身份信息泛化的挑战信息的处理函数的类型包括添加额外信息、删除个别信息、调整信息位置、替代信息、组合信息和上述类型的任意组合。

优选的，函数生成模块10生成的挑战信息是动态变化且是一次性的，所述持久身份信息的泛化在认证服务器端由认证服务器根据储存的持久身份信息和一次性的处理函数运算得到。

由于本发明持久性身份信息的泛化过程在客户端是在用户的大脑中处理的，用户输入的身份认证信息是经泛化后的身份信息，有效地保证了用户持久性身份信息的安全，并且在客户端持久性身份信息的泛化不需要依托硬件，系统成本低廉，该方法操作灵活方便，省去了采用硬件加密给用户带来的麻烦。

以上是对本发明的较佳实施进行了具体说明，但本发明创造并不限于所述实施例，熟悉本领域的技术人员在不违背本发明精神的前提下还可以作出种种的等同变形或替换，这些等同的变形或替换均包含在本申请权利要求所限定的范围内。

Claims (10)

1.一种基于动态密码的身份认证方法，其特征在于，该方法包括：

A：认证服务器向客户端发送用于身份认证的挑战信息；

B：客户端接收来自认证服务器的挑战信息并在登录界面上显示该挑战信息；

C：客户端接收用户输入的相应的身份认证信息；

D：认证服务器接收用户从客户端输入的身份认证信息，校验客户端输入的身份认证信息，完成身份认证过程。

2.根据权利要求1所述的一种基于动态密码的身份认证方法，其特征在于：所述挑战信息为由认证服务器生成的包含用于持久性身份信息泛化的处理函数的信息，所述持久性身份信息泛化包括账号泛化和/或密码泛化。

3.根据权利要求2所述的一种基于动态密码的身份认证方法,其特征在于：所述用于持久性身份信息泛化的处理函数的类型包括添加额外信息、删除个别信息、调整信息位置、替代信息、组合信息和上述类型的任意组合。

4.根据权利要求3所述的一种基于动态密码的身份认证方法,其特征在于：所述挑战信息是动态变化且为一次性的，所述持久性身份信息泛化在客户端由人脑根据记忆的持久性身份信息和登录界面上显示的挑战信息进行运算得到，所述持久性身份信息的泛化在认证服务器端由认证服务器根据储存的持久性身份信息和处理函数运算得到。

5.根据权利要求4所述的一种基于动态密码的身份认证方法,其特征在于：步骤D具体包括：

D1：认证服务器接收来自客户端输入的身份认证信息；

D2：认证服务器根据存储的持久性身份信息和处理函数运算得到第一运算结果；

D3：认证服务器对客户端输入的身份认证信息与第一运算结果进行匹配，若成功则通过用户的身份认证。

6.一种认证服务器，其特征在于，所述认证服务器包括：

函数生成模块，用于生成代表对持久性身份信息进行泛化的处理函数的挑战信息；

信息发送模块，用于将函数生成模块生成的挑战信息传送给客户端；

信息接收模块，用于接收用户通过客户端输入的经身份信息泛化处理后的身份认证信息；

运算模块，用于根据存储的持久性身份信息和处理函数运算得到第一运算结果；

身份认证模块，用于对运算模块生成的第一算结果与来自客户端的身份认证信息进行匹配，若成功则通过用户的身份认证。

7.根据权利要求6所述的认证服务器，其特征在于：还包括：

存储模块，用于存储用户的持久性身份信息。

8.根据权利要求7所述的认证服务器，其特征在于：

所述函数生成模块生成用于持久性身份信息泛化的挑战信息包括账号泛化和/或密码泛化。

9.根据权利要求8所述的认证服务器，其特征在于：

所述用于持久性身份信息泛化的挑战信息的处理函数的类型包括添加额外信息、删除个别信息、调整信息位置、替代信息、组合信息和上述类型的任意组合。

10.根据权利要求9所述的认证服务器，其特征在于：

所述挑战信息是动态变化且是一次性的，所述持久性身份信息的泛化在认证服务器端由认证服务器根据储存的持久性身份信息和处理函数运算得到。

Images