CN103024706A

CN103024706A - 基于手机短信的多因子双向动态身份认证装置和方法

Info

Publication number: CN103024706A
Application number: CN2013100087509A
Authority: CN
Inventors: 杨生举; 施韶亭
Original assignee: GANSU PROVINCIAL SCIENCE AND TECHNOLOGY INFORMATION INSTITUTE
Current assignee: GANSU PROVINCIAL SCIENCE AND TECHNOLOGY INFORMATION INSTITUTE
Priority date: 2013-01-10
Filing date: 2013-01-10
Publication date: 2013-04-03

Abstract

本发明公开了一种基于手机短信的多因子双向动态身份认证装置和方法，以解决现有双向双因子认证方法存在的容易受到重放、字典、网络窃听、篡改以及猜测等攻击的问题。该认证装置包括注册用户、认证服务器，所述注册用户通过互联网与认证服务器相连，所述认证服务器与短信猫相连，所述短信猫通过移动网络与手机终端相连，所述手机终端与所述注册用户相连。该认证方法是注册用户对认证服务器和认证服务器对注册用户都认证成功时，则双向认证成功，认证结束。本发明认证方法一方面可以提供服务器对用户的认证，另一方面可以提供用户对服务器的认证，实现了客户端和认证服务器的双向认证。进一步增强了客户端和服务器端双向身份认证的强度。

Description

基于手机短信的多因子双向动态身份认证装置和方法

技术领域

本发明涉及身份认证领域，尤其是一种利用手机短信进行双向多因子身份认证的装置和方法。

背景技术

对于网络信息系统来说，能否识别使用者的身份，是能否确保安全的基础和关键。身份认证是网络安全最重要的第一道防线，是最重要的安全服务，其他的安全服务都要依赖于它。黑客攻击的目标往往就是身份认证系统，一旦身份认证系统被攻破，则系统的所有安全措

施将形同虚设。随着电子商务、电子政务和移动计算技术的发展，身份认证变得越来越重要和复杂。网络信息系统都会要求使用者在使用系统之前，提供一些相关信息用以实现对使用者的身份认证。

身份认证就是证实用户的真实身份与其所声称的身份是否相符，以防止非法用户通过身份欺诈访问系统资源的过程。目前，主要的身份认证方式大致可分为三类：(1)只有该主体知道的秘密，通常使用“用户名+口令”的形式；客户端将上述信息传送到认证中心，认证中心从数据库中查询相应项，如果和用户提供的信息相符则认证通过。 (2)主体拥有的物品，如智能卡或USBKey等物理介质；系统合法用户都持有一个令牌或智能卡，其中产生或存储用户的个人化参数如动态密码、电子证书等。当用户访问资源时，通过物理介质中的数据将认证识别语发送给系统。(3)只有该主体具有的独一无二的特征或能力，如指纹、瞳孔、声音等。认证方根据提取被认证方的某些特征来认证身份，典型的特征如指纹、虹膜，DNA等。

单独采用以上某一种方法进行身份认证称为单因子认证，单因子认证方法具有明显缺陷：

第（1）类中“用户名+口令”的形式其存在着静态性、固定性和长期使用性而容易受容易受到重放、字典、网络窃听、篡改以及猜测等攻击，并且难以记忆。第（2）类中若智能卡或USBKey等物理介质丢失就容易被人冒充，另外某些物理介质需要专用读卡器，使用上不够方便并付出很高的采购成本和管理成本。第（3）类中生物特征认证由于认证设备价格和技术等因素，仅适用保密程度很高的场合，不容易普及。另外存放生物特征数据库本身并不具有安全保密性，在系统推广到互联网中进行身份认证时很容易被窃取和篡改，而且生物特征的不可撤销性，一旦泄露便造成灾难性的后果。

双因子认证就是在单因子身份认证的基础上，再采用第二种方法进行认证，即用户需要出示第二个身份。双因子认证的方法主要有数字双因子认证、生物双因子认证如指纹认证等。数字双因子认证之一数字证书认证(PKI+USBKEY)被认为目前业界身份安全认证最安全做法，但由于技术要求高，最终客户操作要求高以及USBKEY 的自然损耗大，很难得到大量推广；数字证书具有高安全性，但不方便、技术门槛高、价格贵及客户端的不安全性，同样很难得到大量推广。现有双向双因子认证方法，采用密码信息和认证识别语对用户和服务器进行双向双因子认证，这种认证方法存在着静态性、固定性和长期使用性而容易受到重放、字典、网络窃听、篡改以及猜测等攻击。

发明内容

本发明的目的是提供一种基于手机短信的多因子双向动态身份认证装置。

本发明的另一个目的是提供一种基于手机短信的多因子双向动态身份认证方法，以解决现有双向双因子认证方法存在的容易受到重放、字典、网络窃听、篡改以及猜测等攻击的问题。

一种基于手机短信的多因子双向动态身份认证装置，包括注册用户、认证服务器，所述注册用户通过互联网与认证服务器相连，所述认证服务器与短信猫相连，所述短信猫通过移动网络与手机终端相连，所述手机终端与所述注册用户相连。

一种基于手机短信的多因子双向动态身份认证方法，其特征在于包括如下步骤：

A、注册用户通过互联网提交账号信息到认证服务器；

B、认证服务器对注册用户提交的账号信息验证是否成功；

C、认证服务器对注册用户第一次认证成功则在认证服务器上的随机数生成系统产生一次性动态验证码；

D、认证服务器自动将动态验证码和认证识别语通过短信平台、短信猫、移动网络发送至手机终端；

E、注册用户验证手机终端接收到的认证识别语是否成功；

F、注册用户对认证服务器的认证成功则向认证服务器提交手机终端接收到的动态验证码；

G、认证服务器对动态验证码验证是否成功；

H、注册用户对认证服务器和认证服务器对注册用户都认证成功时，则双向认证成功，认证结束。

作为本发明的进一步改进，所述认证服务器在一定时间段内注销动态验证码，防止重放攻击。所述动态验证码是由随机数生成系统生成的一次性数字串。所述认证识别语是用户注册时设置的自己熟知易记的字符信息，可以是一段文字、一串数字或一组符号等。所述认证识别语通过GSM、CDMA等移动网络传输，不在传统IP网络中传送，从而避免了信息被侦听、泄漏。

认证服务器安装有短信平台和随机数生成系统等软件，对用注册用户提交的信息进行认证；短信平台安装在认证服务器上；随机数生成系统用于随机生成一次性动态验证码，短信平台用于管理发送短信，和短信猫配合使用。

短信猫是短信收发必备的中间设备，认证服务器将动态验证码和认证识别语经过短信猫和移动网络发送到手机终端，接收注册用户通过网络提交的账号、动态验证码等信息，并进行认证；所述手机终端用于接收经短信平台、移动网络和短信猫发送的包含动态验证码和认证识别语的短信；注册用户是验证手机上收到的认证识别语的正确性，对认证服务器进行认证。

注册用户在认证服务器上注册了账号（包括用户名和密码）、认证识别语和手机号码等信息。

短信猫，是一种工业级GSM MODEM，通过串口与计算机连接，可以通过AT指令控制进行短信收发的设备；短信平台采用北京诺亚迅达科技有限公司的短信管理系统，可以进行二次开发；移动网络是指GSM、GPRS、EDGE或CDMA无线数据通讯网络的任意一种或组合；手机终端是能收发短信的普通手机，无需安装任何软件。

手机目前已经成为生活的必需品，短信使用更加频繁。本装置提高了身份认证的可靠性和安全性，保障了网络信息的安全。

该装置具有以下特点：1. 抗重放攻击。动态验证码是变化的一次性口令，此口令在一定时间段内自动注销，服务器端口没有保留口令，即使攻击者通过窃听得到了此验证码，也无法用于下一次认证，使得攻击者很难进行重放。2.防侦听、泄漏。用户认证识别语通过GSM、CDMA等移动网络传输，不在传统IP网络中传送，从而避免了信息被侦听、泄漏。3.完整性。实现了客户端与认证服务器端之间的双向认证。4. 易于普及推广，本装置没有设备兼容的问题，价格低廉、实用性强、使用方便，管理维护成本低，易于普及推广。

本发明方法将通信技术和网络技术有机地结合起来，提出一种基于手机短信的动态验证码、认证识别语和网络口令的多因子双向动态身份认证方法，在账号验证、动态验证码验证和认证识别语验证都成功时，双向认证成功。所述认证方法一方面可以提供服务器对用户的认证，另一方面可以提供用户对服务器的认证，实现了客户端和认证服务器的双向认证。进一步增强了客户端和服务器端双向身份认证的强度。该认证方法不改变现有系统的整体架构，符合用户的使用习惯。

附图说明

图1 为一种基于手机短信的多因子双向动态身份认证装置的结构示意图；

图2为一种基于手机短信的多因子双向动态身份认证方法的流程图。

具体实施方式

下面的实施例可以进一步说明本发明，但不以任何方式限制本发明。

一种基于手机短信的多因子双向动态身份认证装置，包括注册用户3、认证服务器2，所述注册用户3通过互联网1与认证服务器2相连，所述认证服务器2与短信猫4相连，所述短信猫4通过移动网络6与手机终端5相连，所述手机终端5与所述注册用户3相连。

一种基于手机短信的多因子双向动态身份认证方法步骤如下：

步骤100：认证开始，注册用户3通过互联网1提交账号信息到认证服务器2；

步骤101：认证服务器2对注册用户3提交的账号信息验证是否成功，是，转到步骤102，否，转到步骤111；

步骤102：认证服务器2对注册用户3第一次认证成功；

步骤103：认证服务器2上的随机数生成系统产生一次性动态验证码；

步骤104：认证服务器2自动将动态验证码和认证识别语通过短信平台、短信猫4、移动网络6发送至注册用户的手机终端5；

步骤105：认证服务器2在一定时间段内注销动态验证码，防止重放攻击；

步骤106：注册用户3验证手机终端5接收到的认证识别语是否成功，是，转到步骤107，否，转到步骤111；

步骤107：注册用户3对认证服务器2的认证成功；

步骤108：注册用户3向认证服务器2提交手机终端5接收到的动态验证码；

步骤109：认证服务器2对动态验证码验证是否成功，是，转到步骤110，否，转到步骤112；

步骤110：认证服务器2对注册用户3第二次认证成功；

步骤111：认证失败，转到步骤100，重新开始认证；

步骤112：认证失败，转到步骤100，重新开始认证；

步骤113：注册用户3对认证服务器2和认证服务器2对注册用户3认证都成功时，双向认证成功，认证结束。

Claims

1.一种基于手机短信的多因子双向动态身份认证装置，包括注册用户（3）、认证服务器（2），所述注册用户（3）通过互联网（1）与认证服务器（2）相连，其特征在于：所述认证服务器（2）与短信猫（4）相连，所述短信猫（4）通过移动网络（6）与手机终端（5）相连，所述手机终端（5）与所述注册用户（3）相连。

2.一种基于手机短信的多因子双向动态身份认证方法，其特征在于包括如下步骤：

A、注册用户（3）通过互联网（1）提交账号信息到认证服务器（2）；

B、认证服务器（2）对注册用户（3）提交的账号信息验证是否成功；

C、认证服务器（2）对注册用户（3）第一次认证成功则在认证服务器（2）上的随机数生成系统产生一次性动态验证码；

D、认证服务器（2）自动将动态验证码和认证识别语通过短信平台、短信猫（4）、移动网络（6）发送至手机终端（5）；

E、注册用户（3）验证手机终端（5）接收到的认证识别语是否成功；

F、注册用户（3）对认证服务器（2）的认证成功，则向认证服务器（2）提交手机终端（5）接收到的动态验证码；

G、认证服务器（2）对动态验证码验证是否成功；

H、注册用户(3)对认证服务器(2)和认证服务器(2)对注册用户(3)都认证成功时，则双向认证成功，认证结束。

3.根据权利要求2所述的基于手机短信的多因子双向动态身份认证方法，其特征是：所述认证服务器在一定时间段内注销动态验证码。

4.根据权利要求2或3所述的基于手机短信的多因子双向动态身份认证方法，其特征是：所述动态验证码是由随机数生成系统生成的一次性数字串。

5.根据权利要求4所述的基于手机短信的多因子双向动态身份认证方法，其特征是：所述认证识别语是用户注册时设置的自己熟知易记的字符信息。

6.根据权利要求5所述的基于手机短信的多因子双向动态身份认证方法，其特征是：所述认证识别语通过移动网络传输。