CN102710657B - 一种一次性口令生成方法及系统 - Google Patents

Abstract

本发明公开了一种一次性口令生成方法，包括步骤：从令牌获取第一一次性口令字符串；用户根据预设规则从第一一次性口令字符串中计算出第二一次性口令字符串；利用第二一次性口令字符串进行用户登录和身份认证，所述的预设规则在用户身份注册时设定并保存在认证服务器端，所述的用户身份注册是用户登录和身份认证的必要前提步骤。组成第一一次性口令的字符串以首尾相接的顺序排列方式呈现，以预设的选取起点和选取方向在第一一次性口令字符串中读取产生第二一次性口令字符串，该选取方向或者是逆时针方向，或者是顺时针方向。

Description

一种一次性口令生成方法及系统

技术领域

本发明属于信息安全技术领域，特别涉及一种一次性口令生成方法及系统。

背景技术

在互联网身份认证系统中，OTP（OneTimePassword，一次性口令）已经获得大量应用。例如，在申请号为200580005731.4的申请文件中，就公开了一种一次性口令的计算方法以及验证系统。进一步的，在申请号为201110049851.1的申请文件中，提出了一种加强一次性口令安全性的技术方案，将基于时间和挑战码的技术特征进行综合运用，计算产生一次性口令。

但是，在实践中，会发生诸如：

产生一次性口令的令牌装置丢失、被盗；

当用户在使用令牌时，一次性口令被偷窥；

令牌终端被植入木马。

当发生前述情况时，用户的身份就有被人盗用的风险。这也是令牌还远未广泛使用的原因之一。

发明内容

本发明的目的是提供一种一次性口令生成方法及系统，以解决现有的一次性口令认证系统中的令牌丢失或者被偷窥导致的安全风险。

本发明的技术方案是，一种一次性口令生成方法，包括以下步骤：

从令牌获取第一一次性口令字符串；

用户根据预设规则从第一一次性口令字符串中计算出第二一次性口令字符串；

利用第二一次性口令字符串进行用户登录和身份认证，

所述的预设规则在用户身份注册时设定并保存在认证服务器内，

所述的用户身份注册是用户登录和身份认证的必要前提步骤。

进一步的，组成第一一次性口令的字符串以首尾相接的顺序排列方式呈现，以预设的选取起点和选取方向在第一一次性口令字符串中读取产生第二一次性口令字符串，该选取方向或者是逆时针方向，或者是顺时针方向。

进一步的，组成第一一次性口令的字符串以M×N的表格形式呈现，按照预设规则在M×N的表格上读取产生第二一次性口令字符串，这里，M和N均为正整数。

进一步的，组成第一一次性口令字符串和第二一次性口令字符串的字符均为数字，按照预设的偏移量处理规则对在第一一次性口令字符串中读取的每一位数字作偏移量处理，该偏移量的数值是在0～9之间的整数。

进一步的，第一一次性口令字符串的字符分布在一幅地图的不同色块中，用户按照预设的规则在所述地图的色块中读取产生第二一次性口令字符串。

进一步的，用户身份注册时，在认证服务器端保存一个第一索引密码，所述的第一索引密码由索引密码字符组成的一组由用户设置并记忆的字符串，同时，用户从令牌获得的第一一次性口令由口令字符组成的一组字符串，当令牌生成第一一次性口令时，进一步包括以下步骤：

生成第二索引字符串，该第二索引字符串的长度与第一一次性口令字符串长度相同，该第二索引字符串的字符集与第一索引密码的索引密码字符集相同；

第一一次性口令字符串的字符与第二索引字符串的字符以一一对应的方式呈现给用户；

第一一次性口令字符串的字符与第二索引字符串的字符之间一一对应的规则由令牌与认证服务器约定；

用户用第一索引密码字符串中的每一个索引密码字符依次遍历第二索引字符串，在第二索引字符串中找到与该第一索引密码字符串的索引密码字符相同的第二索引字符串字符，并籍由该第二索引字符串字符找到与之对应的第一一次性口令字符串字符；

当用户将第一索引密码字符串中的每一个索引密码字符依次遍历第二索引字符串完成之后，依次对应的第一一次性口令字符串字符组成第二一次性口令字符串；

用户利用第二一次性口令字符串进行用户登录和身份认证。

进一步的，所述的认证服务器以相同的规则生成第二一次性口令字符串，并以该第二一次性口令字符串鉴别用户身份。

进一步的，所述的令牌是运行在手持终端上的一组程序指令。

进一步的，所述的令牌是运行在个人电脑终端上的一组程序指令。

进一步的，所述的令牌是基于Web技术的一组程序指令。

进一步的，，组成第一一次性口令的字符串以首尾相接的顺序排列方式呈现，该排列方式为矩形。

进一步的，组成第一一次性口令的字符串以首尾相接的顺序排列方式呈现，该排列方式为圆形。

本发明的另一方面，一种一次性口令生成系统，该系统包括：

令牌装置，所述令牌用以产生第一一次性口令字符串；

认证服务器，当用户在身份注册时，保存一预设规则；

包括第一一次性口令呈现界面接口的终端，用户在该界面接口根据预设规则从第一一次性口令字符串中计算出第二一次性口令字符串；

包括认证界面接口的认证终端，用户在该认证界面接口利用第二一次性口令字符串进行用户登录和身份认证，该认证界面接口与认证服务器具有通信链路。

进一步的，所述的令牌装置是产生第一一次性口令字符串的手机终端。

进一步的，在第一一次性口令呈现界面接口，组成第一一次性口令的字符串以首尾相接的顺序排列方式呈现，以预设的选取起点和选取方向在第一一次性口令字符串中读取产生第二一次性口令字符串，该选取方向或者是逆时针方向，或者是顺时针方向。

进一步的，在第一一次性口令呈现界面接口，组成第一一次性口令的字符串以M×N的表格形式呈现，按照预设规则在M×N的表格上读取产生第二一次性口令字符串，这里，M和N均为正整数。

进一步的，在第一一次性口令呈现界面接口，组成第一一次性口令字符串和第二一次性口令字符串的字符均为数字，按照预设的偏移量处理规则对在第一一次性口令字符串中读取的每一位数字作偏移量处理，该偏移量的数值是在0～9之间的整数。

进一步的，用户身份注册时，在认证服务器端保存一个第一索引密码，所述的第一索引密码由索引密码字符组成的一组由用户设置并记忆的字符串，同时，用户从令牌获得的第一一次性口令由口令字符组成的一组字符串，当令牌生成第一一次性口令时，进一步包括以下步骤：

生成第二索引字符串，该第二索引字符串的长度与第一一次性口令字符串长度相同，该第二索引字符串的字符集与第一索引密码的索引密码字符集相同；

第一一次性口令字符串的字符与第二索引字符串的字符以一一对应的方式呈现给用户；

第一一次性口令字符串的字符与第二索引字符串的字符之间一一对应的规则由令牌与认证服务器约定；

用户用第一索引密码字符串中的每一个索引密码字符依次遍历第二索引字符串，在第二索引字符串中找到与该第一索引密码字符串的索引密码字符相同的第二索引字符串字符，并籍由该第二索引字符串字符找到与之对应的第一一次性口令字符串字符；

当用户将第一索引密码字符串中的每一个索引密码字符依次遍历第二索引字符串完成之后，依次对应的第一一次性口令字符串字符组成第二一次性口令字符串；

用户利用第二一次性口令字符串进行用户登录和身份认证。

本发明在一次性口令认证过程中加入以预设规则和索引密码技术，将令牌口令安全与记忆口令安全加以有机结合，在方便使用和计算的情况下，极大提高了一次性口令认证的安全性。

附图说明

图1是本发明一实施例中方形密码选取图示

图2是本发明一实施例中表格密码选取图示

图3是本发明一实施例中表格密码选取图示

图4是本发明一实施例中基于数字索引密码的口令生成示意图

图5是本发明一实施例中基于数字和字母结合的索引密码的口令生成示意图

图6是本发明一实施例中系统组成示意图

具体实施方式

以下结合附图，提供6个实施例，对于本发明的具体实施方式作进一步说明。

实施例1－方形密码选取

●本发明的实施所涉及系统包括用于验证一次性口令的认证服务器，用于产生一次性口令的令牌（包括定制硬件，手机或其他智能终端）。

●在令牌使用前，需在认证服务器上进行注册。注册过程中，除了在认证服务器和令牌之间约定密钥，口令生成计数器外，使用令牌的用户需要选择口令生成规则。认证服务器会生成一个如图1所示方形格子图形，包括12个格子，每一边有四个格子，在每个格子中有一位数字。从方格的左上角标示顺序号为①，按顺时针方向设定其他格子的顺序号，如第①号格子右侧的格子标为第②号。一次性口令的长度为8位，依据以下三项规则从方格图形中产生：

○密码选取方向：顺时针或逆时针。

○密码选取起点：从哪一个序号开始连续选取8位数字。

○数字偏移：对于任一选取的数字D_i，设定偏移量K_i，i为1～8。K_i取值范围为-9与9之间的整数。偏移计算结果D_i’=D_i+K_i，如果D_i’大于9，取其个位数。

认证服务器将相应密钥，计数器及口令生成规则以与用户识别码相关联的方式保存起来。

●在令牌上产生一次性口令时，令牌依据一次性口令产生算法，截断产生有序的12位数字，并从第①号格子开始按顺时针顺序放入方格图形中并显示在令牌的显示设备上。

●用户依据记忆的三项规则从方格图形中计算得出最终的8位一次性口令，并将其以直接或间接的方式输入认证服务器。认证服务器依据保存的用户密钥及计数器信息，生成截断的12位有序数字，再按保存的口令生成规则，从此12位有序数字中生成8位一次性口令，并与用户输入的8位一次性口令进行对比，以判断此一次性口令是否有效。

●图1示例中：口令生成规则为顺时针，从第③号格子开始，偏移量K_i为{0，1，0，0，0，0，-1，0}，则从图1中生成的一次性口令为62932037。计算过程为：从第③号格子顺时针选取8位数字为61932047，进行偏移量计算，将第2位及第7位数字分别加1，减1，生成最终一次性口令。

实施例2－表格密码选取

●本发明的实施所涉及系统包括用于验证一次性口令的认证服务器，用于产生一次性口令的令牌（包括定制硬件，手机或其他智能终端）

●在令牌使用前，需在认证服务器上进行注册。注册过程中，除了在认证服务器和令牌之间约定密钥，口令生成计数器外，使用令牌的用户需要选择口令生成规则。认证服务器会生成一个如图2所示3X3表格，在每个格子中有一位数字。一次性口令的长度为8位，每一位D_i(i从1到8)都从表格中不重复地选取，并可以表格的行序号R_i和列序号坐标C_i标示。这样选取规则可表示为：{(R₁，C₁)，(R₂，C₂)，(R₃，C₃)，(R₄，C₄)，(R₅，C₅)，(R₆，C₆)，(R₇，C₇)，(R₈，C₈)}认证服务器将相应密钥，计数器及口令生成规则以与用户识别码相关联的方式保存起来。

●在令牌上产生一次性口令时，令牌依据一次性口令产生算法，截断产生有序的9位数字，以从左到右及从上到下顺序放入表格中，并显示在令牌的显示设备上。

●用户依据记忆的规则从表格中计算得出最终的8位一次性口令，并将其以直接或间接的方式输入认证服务器。认证服务器依据保存的用户密钥及计数器信息，生成截断的9位有序数字，再按保存的口令生成规则，从此9位有序数字中生成8位一次性口令，并与用户输入的8位一次性口令进行对比，以判断此一次性口令是否有效。

●图2示例：口令生成规则为

{(1，1)，(2，1)，(1，2)，(2，2)，(1，3)，(2，3)，(3，1)，(3，2)}，则从图2中生成的一次性口令为31596374。

在本实施例中，每个格子可以被赋予容易记忆的特殊标志或者含义，这是，用户就不必记忆枯燥的选取口令字符的规则。例如，每个格子被涂成不同的颜色，用户按照注册时约定的颜色顺序选取口令字符。

进一步的，在本实施例中，3×3的表格也可以演化为一幅用户熟悉的地图，例如上海市地图。在每个区的色块中有一位口令字符。用户以注册时约定的区县顺序从地图上依次读取口令字符以生成一次性口令。

更进一步的，用户在注册时可以将亲戚的住址与所在区县对应起来，只需要将亲戚的住址以一定的顺序在认证服务器上加以约定，在选取口令字符时，按照对应的亲戚住址所在的区县顺序读取口令字符。

实施例3－密码偏移

●本发明的实施所涉及系统包括用于验证一次性口令的认证服务器，用于产生一次性口令的令牌（包括定制硬件，手机或其他智能终端）。

●在令牌使用前，需在认证服务器上进行注册。注册过程中，除了在认证服务器和令牌之间约定密钥，口令生成计数器外，使用令牌的用户需要选择口令生成规则。认证服务器生成8位数字的原始用户口令，用户可以指定以下数字偏移量计算，作为增加安全性的方法。

○数字偏移：对于任一选取的数字D_i，设定偏移量K_i，i为1～8。K_i取值范围为-9与9之间的整数。偏移计算结果D_i’=D_i+K_i，如果D_i’大于9，取其个位数。

认证服务器将相应密钥，计数器及口令生成规则以与用户识别码相关联的方式保存起来。

●在令牌上产生一次性口令时，令牌依据一次性口令产生算法，截断产生有序的8位数字，并显示在令牌的显示设备上。

●用户依据记忆的偏移量计算规则基于令牌上的8位显示数字计算得出最终的8位一次性口令，并将其以直接或间接的方式输入认证服务器。认证服务器依据保存的用户密钥及计数器信息，生成截断的8位有序数字，再按保存的口令生成规则，完成偏移量计算生成8位一次性口令，并与用户输入的8位一次性口令进行对比，以判断此一次性口令是否有效。

图3示例：口令偏移量K_i为{0，1，0，3，3，0，-1，0}，则从图3中生成的一次性口令为36642364。

实施例4，一种基于密码索引的动态口令生成及认证方法

●本发明用于提高动态口令的安全性，在动态口令产生过程加入用户人脑的判断过程，从而有效防止依赖于设备安全性所带来的潜在风险。即使攻击者获得了用户的动态口令生成终端设备，或通过窥视、木马等手段获得了终端设备生成的信息，也无法获得真正有效的动态口令，因为生成动态口令的最后一步由用户人脑完成。

●系统包括用于验证动态口令的认证服务器，用于产生动态口令的终端（包括定制硬件，手机或其他智能终端）

●在终端使用前，需在认证服务器上进行注册。注册过程中，使用此终端的用户需要设置由数字0～9或字母a～z(不限大小写)组成的，长度与动态口令长度一致的索引密码。动态口令的长度m小于等于16。认证服务器将此索引密码保存起来。

●在终端上产生动态口令时，终端截断产生有序的由数字0～9或字母a～z(不限大小写)组成的n位口令字符(n>m)，并根据内部与服务器约定的规则关联到n位索引字符，一位索引字符对应一位口令字符，然后按对应关系将口令字符和索引字符显示在终端显示设备上。

●用户依据记忆的索引密码中的每一位，在终端显示设备上找到相同的索引字符，进而取出对应的口令字符。遍历完索引密码的m个字符后，取出的m个口令字符依据对应索引字符在索引密码中的顺序组成动态口令，并将其以直接或间接的方式输入认证服务器。

●认证服务器，采用与终端同样的方法截断产生有序的由数字0～9或字母a～z(不限大小写)组成的n位口令字符(n>m)及对应的密码索引字符，并根据保存在服务器上的索引密码，依次通过索引字符找到对应的口令字符，组成服务器验证用的动态口令，并与用户输入的动态口令进行对比，如果相同则此动态口令有效，否则无效。

●图4示例：动态口令长8位，为0～9的数字，索引密码也长8位，为0～9的数字。口令字符串为10位，每一位包括一位索引字符及口令字符，如图4，假定用户设置的索引密码为53672341，根据图4取得的动态口令为22193276，如第一位索引字符为5，在图4表格中对到口令字符2，依次类推。

实施例5，一种基于密码索引的动态口令生成及认证方法.

方法与实施例4相同，所不同的是采用的口令字符串和索引密码字符串字符时数字与字母的结合。

●图5所示示例：动态口令长8位，为0～9的数字或或字母a～z，索引密码也长8位，为0～9的数字或字母a～z。口令字符串为36位，每一位包括一位索引字符及口令字符，如图5.假定用户设置的索引密码为a2h3jzd4，根据图5取得的动态口令为4h2yzqcd，如第一位索引字符为a，在图5表格中对到口令字符4，依次类推。

实施例6，如图6所示。一种一次性口令生成系统，该系统包括：

令牌装置，所述令牌用以产生第一一次性口令字符串；

认证服务器，当用户在身份注册时，保存一预设规则；

包括第一一次性口令呈现界面接口的终端，用户在该界面接口根据预设规则从第一一次性口令字符串中计算出第二一次性口令字符串；

包括认证界面接口的认证终端，用户在该认证界面接口利用第二一次性口令字符串进行用户登录和身份认证，该认证界面接口与认证服务器具有通信链路。

所述的令牌装置可以是产生第一一次性口令字符串的手机终端。

在第一一次性口令呈现界面接口，组成第一一次性口令的字符串以首尾相接的顺序排列方式呈现，以预设的选取起点和选取方向在第一一次性口令字符串中读取产生第二一次性口令字符串，该选取方向或者是逆时针方向，或者是顺时针方向。

在第一一次性口令呈现界面接口，组成第一一次性口令的字符串以M×N的表格形式呈现，按照预设规则在M×N的表格上读取产生第二一次性口令字符串，这里，M和N均为正整数。

在第一一次性口令呈现界面接口，组成第一一次性口令字符串和第二一次性口令字符串的字符均为数字，按照预设的偏移量处理规则对在第一一次性口令字符串中读取的每一位数字作偏移量处理，该偏移量的数值是在0～9之间的整数。

用户身份注册时，在认证服务器端保存一个第一索引密码，所述的第一索引密码由索引密码字符组成的一组由用户设置并记忆的字符串，同时，用户从令牌获得的第一一次性口令由口令字符组成的一组字符串，当令牌生成第一一次性口令时，进一步包括以下步骤：

生成第二索引字符串，该第二索引字符串的长度与第一一次性口令字符串长度相同，该第二索引字符串的字符集与第一索引密码的索引密码字符集相同；

第一一次性口令字符串的字符与第二索引字符串的字符以一一对应的方式呈现给用户；

第一一次性口令字符串的字符与第二索引字符串的字符之间一一对应的规则由令牌与认证服务器约定；

用户用第一索引密码字符串中的每一个索引密码字符依次遍历第二索引字符串，在第二索引字符串中找到与该第一索引密码字符串的索引密码字符相同的第二索引字符串字符，并籍由该第二索引字符串字符找到与之对应的第一一次性口令字符串字符；

当用户将第一索引密码字符串中的每一个索引密码字符依次遍历第二索引字符串完成之后，依次对应的第一一次性口令字符串字符组成第二一次性口令字符串；

用户利用第二一次性口令字符串进行用户登录和身份认证。

Claims (4)

1.一种一次性口令生成方法，其特征在于，包括以下步骤：

从令牌获取第一一次性口令字符串；

用户根据预设规则从第一一次性口令字符串中计算出第二一次性口令字符串；

利用第二一次性口令字符串进行用户登录和身份认证；

所述的预设规则在用户身份注册时设定并保存在认证服务器内；

所述的用户身份注册是用户登录和身份认证的必要前提步骤，

其中，所述的第一一次性口令字符串的字符分布在一幅地图的不同色块中，用户按照预设的规则在所述地图的色块中读取产生第二一次性口令字符串。

2.一种一次性口令生成方法，其特征在于，包括以下步骤：

从令牌获取第一一次性口令字符串；

用户根据预设规则从第一一次性口令字符串中计算出第二一次性口令字符串；

利用第二一次性口令字符串进行用户登录和身份认证；

所述的预设规则在用户身份注册时设定并保存在认证服务器内；

所述的用户身份注册是用户登录和身份认证的必要前提步骤，

其中，用户身份注册时，在认证服务器端保存一个第一索引密码，所述的第一索引密码是由索引密码字符组成的一组由用户设置并记忆的字符串，同时，用户从令牌获得的第一一次性口令字符串是由口令字符组成的一组字符串，当令牌生成第一一次性口令字符串时，进一步包括以下步骤：

生成第二索引字符串，该第二索引字符串的长度与第一一次性口令字符串长度相同，该第二索引字符串的字符集与第一索引密码的索引密码字符集相同；

第一一次性口令字符串的字符与第二索引字符串的字符以一一对应的方式呈现给用户；

第一一次性口令字符串的字符与第二索引字符串的字符之间一一对应的规则由令牌与认证服务器约定；

用户用第一索引密码字符串中的每一个索引密码字符依次遍历第二索引字符串，在第二索引字符串中找到与该第一索引密码字符串的索引密码字符相同的第二索引字符串字符，并籍由该第二索引字符串字符找到与之对应的第一一次性口令字符串字符；

当用户将第一索引密码字符串中的每一个索引密码字符依次遍历第二索引字符串完成之后，依次对应的第一一次性口令字符串字符组成第二一次性口令字符串；

用户利用第二一次性口令字符串进行用户登录和身份认证。

3.如权利要求2所述的一次性口令生成方法，其特征在于，所述的认证服务器以相同的规则生成第二一次性口令字符串，并以该第二一次性口令字符串鉴别用户身份。

4.一种一次性口令生成系统，其特征在于，该系统包括：

令牌，用以产生第一一次性口令字符串；

认证服务器，当用户在身份注册时，保存一预设规则；

包括第一一次性口令呈现界面接口的终端，用户在该界面接口根据预设规则从第一一次性口令字符串中计算出第二一次性口令字符串；

包括认证界面接口的认证终端，用户在该认证界面接口利用第二一次性口令字符串进行用户登录和身份认证，该认证界面接口与认证服务器具有通信链路，其中，

用户身份注册时，在认证服务器端保存一个第一索引密码，所述的第一索引密码是由索引密码字符组成的一组由用户设置并记忆的字符串，同时，用户从令牌获得的第一一次性口令字符串是由口令字符组成的一组字符串，当令牌生成第一一次性口令字符串时，进一步包括以下步骤：

生成第二索引字符串，该第二索引字符串的长度与第一一次性口令字符串长度相同，该第二索引字符串的字符集与第一索引密码的索引密码字符集相同；

第一一次性口令字符串的字符与第二索引字符串的字符以一一对应的方式呈现给用户；

第一一次性口令字符串的字符与第二索引字符串的字符之间一一对应的规则由令牌与认证服务器约定；

用户用第一索引密码字符串中的每一个索引密码字符依次遍历第二索引字符串，在第二索引字符串中找到与该第一索引密码字符串的索引密码字符相同的第二索引字符串字符，并籍由该第二索引字符串字符找到与之对应的第一一次性口令字符串字符；

当用户将第一索引密码字符串中的每一个索引密码字符依次遍历第二索引字符串完成之后，依次对应的第一一次性口令字符串字符组成第二一次性口令字符串；

用户利用第二一次性口令字符串进行用户登录和身份认证。