CN103391197A - 一种基于手机令牌和NFC技术的Web身份认证方法 - Google Patents

Abstract

本发明公开了一种基于手机令牌和NFC技术的Web身份认证方法，用于用户使用手机代替USBKey连接到Web站点时进行认证，本方法通过在手机中增加手机令牌管理程序实现了USBKey的主要功能。当用户在Web站点进行注册时，浏览器会自动触发手机令牌管理程序，手机令牌管理程序获取从Web站点传回的手机令牌，并将加密后的手机令牌使用安全模式存储以保证手机令牌的安全性；在下次用户访问站点进行身份认证时，用户通过NFC技术将手机令牌传于PC机，此时手机类似一个USBKey设备，使得用户可在PC机上进行Web身份认证。本发明将手机作为类USBkey设备，在增强Web站点身份认证安全的同时，省去了为用户颁发USBkey的流程和成本，具有较强的实用价值。

Description

一种基于手机令牌和NFC技术的Web身份认证方法

技术领域

本发明属于互联网技术领域，特别是涉及一种新的基于手机令牌和近场通信（Near Field Communication，NFC）技术的Web身份认证方法。

 

背景技术

目前，基于手机的身份认证方式主要是基于手机动态口令的方法。基于手机动态口令的方法主要分为短信密码和手机令牌两种方式。

短信密码以手机短信形式请求包含6位随机数的动态密码，是一种手机动态口令形式，身份认证系统以短信形式发送随机的6/8位密码到客户的手机上，客户在登录或者交易认证时候输入此动态密码，从而确保系统身份认证的安全性。Shu Minglei等人曾在2009年通过短讯服务传输经数字证书加密的手机短信，实现了手机与服务器之间的身份认证。但由于这种认证方式需要用户短信输入，所以会给用户带来不便。

手机令牌是另外一种手机动态口令形式，它是安装在客户手机上的软件，动态口令手机端生成，不存在通信信道中被截取的可能性，手机作为动态口令生成的载体进行身份认证。Hallsteinsen等人在2007年提出了使用手机端的一次性密码实现身份认证的方案；Van Thanh Do等人曾在2008年提出了基于移动用户识别码的安全身份认证机制；TanviParekh等人曾在2011年对多种身份认证方案进行了分析，提出了使用手机代替成本较高的安全令牌的可行性；王鹃等人也曾在2012年提出了一种以用户为中心的移动互联网身份管理及认证系统。此外，PengKunyu等人在2009年提出了结合公私钥对和密码的手机认证方式。该方法通过用户密码和一组安全参数生成用户的公私钥对，认证时将用户名/密码利用用户私钥签名，通过蓝牙发送给服务器。服务器端收到认证信息后，通过安全参数、用户和密码恢复出用户公钥，从而验证手机用户的身份。该方法虽然比传统的用户名/密码方式更安全，但是仍然存在以下不足之处：

（1）该方法是基于用户名/密码方式，仅能实现单向身份认证；

（2）该方法采用蓝牙通信，由于蓝牙数据传输距离在10m以内，存在数据遭截获的可能性，因此这种认证方式会影响系统的安全性。

 

发明内容

为了解决上述的技术问题，本发明提供了一种能实现用户与Web站点双向认证、并且安全性高的基于手机令牌和NFC技术的Web身份认证方法。

本发明所采用的技术方案是：一种基于手机令牌和NFC技术的Web身份认证方法，用于用户使用手机代替USBKey连接到Web站点时进行认证，其特征在于：包括使用手机在Web站点进行注册和将手机作为类USBkey设备、通过NFC登录Web站点进行身份认证两步骤；

所述的使用手机在Web站点进行注册包括以下子步骤：

步骤1.1：用户使用手机端浏览器访问支持手机令牌登录方式的Web站点，手机令牌管理程序TokenManager被触发调用；

步骤1.2：所述的TokenManager与所述的Web站点建立https连接请求，所述的Web站点为所述的用户颁发公钥Pubks和私钥Prikc，通过安全通道传送给所述的用户，所述的TokenManager安全存储用户公钥和私钥，然后所述的TokenManager产生随机数Nc，用所述的用户私钥签名后发送到服务器端；

步骤1.3：所述的服务器利用所述的用户公钥验证用户的签名信息，若正确，则产生随机数Ns，同时将所述的Ns，Nc用自己的服务器私钥签名之后发送给所述的TokenManager；

步骤1.4：所述的TokenManager验证接收到的随机数Nc并验证，若正确，则所述的TokenManager产生一个会话密钥K，并用服务器公钥加密所述的会话密钥K；然后，所述的TokenManager获取所述的手机唯一标识符IMEI，对所述的IMEI和Ns进行签名，并利用所述的会话密钥K加密，得到加密消息；最后，所述的TokenManager把通过服务器公钥加密后的会话密钥K附在所述的加密消息中发送到所述的服务器端；

步骤1.5：所述的服务器首先验证所述的随机数Ns，若正确，则对所述的IMEI进行是否篡改的验证，若未经篡改，则获取所述的TokenManager的IMEI，为所述的TokenManager产生一个唯一的手机令牌Token，并把所述的手机令牌Token发送给所述的TokenManager，所述的TokenManger使用android系统中的SharedPreferences存储方式存储所述的手机令牌Token；

所述的将手机作为类USBkey设备、通过NFC登录Web站点进行身份认证包括以下子步骤：

步骤2.1：所述的用户通过PC端浏览器访问所述的Web站点，所述的PC端浏览器的NFC插件被自动触发调用；

步骤2.2：所述的PC端浏览器的NFC插件与所述的手机令牌管理程序TokenManager进行NFC通信，所述的TokenManager从所述的SharedPreferences中获取所述的手机令牌Token和手机唯一标识符IMEI信息，使用所述的用户私钥进行签名，并使用所述的服务器公钥加密后一起通过NFC发送给所述的Web站点NFC插件；

步骤2.3：所述的Web站点NFC插件将接收到的加密后信息发送给所述的服务器，所述的服务器对所述的加密后信息进行解密，并验证该信息的签名；然后，所述的服务器根据接收到的IMEI查询数据库中的手机令牌Token，将收到手机令牌Token与数据库中的手机令牌Token比较，如果相同则验证成功，并跳转到登录成功页面；否则，返回错误信息。

作为优选，把所述的手机令牌Token发送给所述的TokenManager，首先对所述的手机令牌Token进行HASH(Token)加密，然后对所述的加密结果进行签名，最后拼接上所述的手机令牌Token并用所述的会话密钥K加密之后传回所述的TokenManager。

作为优选，所述的用户在所述的Web站点注册成功之后，所述的TokenManager会将所述的用户的身份信息安全存储于所述的用户手机中，以实现USBKey的功能。

作为优选，所述的用户的身份信息包括所述的Web站点分配给所述的用户的手机令牌Token、所述的用户公钥和私钥对。

作为优选，所述的TokenManager把通过服务器公钥加密后的会话密钥K附在所述的加密消息中发送到所述的服务器端，采用的是SSl方式通信，SSL{E(K,Pubks),E((IMEI,Ns,SIG(Ns,HASH(IMEI)),Prikc)), K) }，其中K表示会话密钥，Prikc表示用户私钥，Pubks表示服务器公钥，IMEI表示手机唯一标识符，Ns表示服务器端的随机数；E(消息,K)表示使用会话密钥K加密消息，SIG(消息，Prikc)表示使用客户端私钥对消息进行签名，SSL{}表示以SSL方式发送。

相对于现有技术，本发明的技术创新点为： 

（1）如同基于USBKey的认证方式将客户的身份认证信息写入到USBKey内，本发明将用户登录所需的手机令牌以及手机端的公私钥对放在手机中安全保存，而且由于手机令牌采用SharedPreferences存储方式进行存储，故只有该手机令牌管理程序才能获取该手机令牌，相比于现在大多数Web站点将用户名/密码存于网页cookie中的方式更加安全；

（2）用户主要通过手机令牌证明其身份，不再依赖于用户名/密码的身份认证方式，也避免了记忆多个密码的疲劳；

（3）本你发明在认证方面采用公私钥对的方式实现用户与Web站点的双向认证；在本方法中，Web站点通过使用用户的公钥验证其身份；为防止恶意攻击者通过中间人攻击方式假冒用户身份，协议除采用SSl方式通信外，TokenManager将产生一个会话密钥，利用该会话密钥对用户签名的Token进行加密，以防止恶意攻击者得到Token，并替换成攻击者的签名；同样，用户对Web站点的认证通过使用Web站点的公钥进行，其认证过程在TokenManager与Web站点建立SSL连接的过程中完成。此外，为防止重放攻击，协议在通信过程中加入了新鲜随机数Nonce，并对其用私钥进行签名，防止恶意攻击者篡改Nonce，进行重放攻击；

（4）用户在PC端访问Web站点时，使用NFC将签名后的手机令牌发送给Web站点进行登录，给用户带来便利的同时也保证了一定的安全性。

 

附图说明

图1：是本发明实施例的原理示意图。

图2：是本发明实施例的用户注册过程及协议图。

图3：是本发明实施例的用户在PC端通过NFC身份认证过程及协议图。

 

具体实施方式

以下结合附图和具体实施例对本发明做进一步的阐述。

请见图1、图2和图3，本发明所采用的技术方案是：一种基于手机令牌和NFC技术的Web身份认证方法，用于用户使用手机代替USBKey连接到Web站点时进行认证，包括使用手机在Web站点进行注册和将手机作为类USBkey设备、通过NFC登录Web站点进行身份认证两步骤。

使用手机在Web站点进行注册包括以下子步骤：

步骤1.1：用户使用手机端浏览器访问支持手机令牌登录方式的Web站点，手机令牌管理程序TokenManager被触发调用。

步骤1.2：TokenManager与Web站点建立https连接请求，Web站点为用户颁发公钥Pubks和私钥Prikc，通过安全通道传送给用户，TokenManager安全存储用户公钥和私钥，然后TokenManager产生随机数Nc，用用户私钥签名后发送到服务器端。

步骤1.3：服务器利用用户公钥验证用户的签名信息，若正确，则产生随机数Ns，同时将Ns，Nc用自己的服务器私钥签名之后发送给TokenManager。

步骤1.4：TokenManager验证接收到的随机数Nc并验证，若正确，则TokenManager产生一个会话密钥K，并用服务器公钥加密会话密钥K；然后，TokenManager获取手机唯一标识符IMEI，对IMEI和Ns进行签名，并利用会话密钥K加密，得到加密消息；最后，TokenManager把通过服务器公钥加密后的会话密钥K附在加密消息中发送到服务器端，其采用的是SSl方式通信，SSL{E(K,Pubks),E((IMEI,Ns,SIG(Ns,HASH(IMEI)),Prikc)), K) }，其中K表示会话密钥，Prikc表示用户私钥，Pubks表示服务器公钥，IMEI表示手机唯一标识符，Ns表示服务器端的随机数；E(消息,K)表示使用会话密钥K加密消息，SIG(消息，Prikc)表示使用客户端私钥对消息进行签名，SSL{}表示以SSL方式发送。

步骤1.5：服务器首先验证随机数Ns，若正确，则对IMEI进行是否篡改的验证，若未经篡改，则获取TokenManager的IMEI，为TokenManager产生一个唯一的手机令牌Token，并把手机令牌Token发送给TokenManager， TokenManger使用android系统中的SharedPreferences存储方式存储手机令牌Token；服务器把手机令牌Token发送给TokenManager，首先对手机令牌Token进行HASH(Token)加密，然后对加密结果进行签名，最后拼接上手机令牌Token并用会话密钥K加密之后传回TokenManager。

用户在Web站点注册成功之后，TokenManager会将用户的包括Web站点分配给用户的手机令牌Token、用户公钥和私钥对的身份信息安全存储于用户手机中，以实现USBKey的功能。

将手机作为类USBkey设备、通过NFC登录Web站点进行身份认证包括以下子步骤：

步骤2.1：用户通过PC端浏览器访问Web站点，PC端浏览器的NFC插件被自动触发调用。

步骤2.2：PC端浏览器的NFC插件与手机令牌管理程序TokenManager进行NFC通信，TokenManager从SharedPreferences中获取手机令牌Token和手机唯一标识符IMEI信息，使用用户私钥进行签名，并使用服务器公钥加密后一起通过NFC发送给Web站点NFC插件。

步骤2.3：Web站点NFC插件将接收到的加密后信息发送给服务器，服务器对加密后信息进行解密，并验证该信息的签名；然后，服务器根据接收到的IMEI查询数据库中的手机令牌Token，将收到手机令牌Token与数据库中的手机令牌Token比较，如果相同则验证成功，并跳转到登录成功页面；否则，返回错误信息。

本具体实施例的具体运行系统由用户（User）、用户端（Browser）、手机令牌管理程序（TokenManager）、PC端NFC插件（nfc_plugin）和用户预登录的Web站点(relying party, RP)组成。其中手机令牌管理程序TokenManager在用户进行注册的时候被调用，接收注册时站点返回的手机令牌，并实现与PC端NFC插件的NFC通信。RP代表用户要登录的网站，该网站需要支持手机令牌的身份认证方式。PC端NFC插件在用户通过PC浏览器访问站点，进行登录时被调用，通过与手机Android端的手机令牌管理程序进行NFC通信，从手机获取登录站点所需要的手机令牌。

本具体实施例的具体运行系统中关键部分的具体实现进一步说明如下：

（1）手机令牌管理程序：

在该系统中，手机令牌管理程序（TokenManager）是非常关键的一个模块。当用户在RP(relying party, RP)注册时，浏览器会自动触发TokenManager，TokenManager获取从Web站点传回的手机令牌，并将加密后的手机令牌使用SharedPreferences存储方式进行存储；当用户在RP认证时，选择手机令牌登录方式后，浏览器将自动触发TokenManager，此时TokenManager将通过解密功能获取使用android系统中的SharedPreferences存储方式存储的手机令牌Token并转发给RP进行身份认证。

（2）PC端NFC插件：

在该系统中，PC端NFC插件（nfc_plugin）是另一个比较重要的模块。在用户通过PC浏览器访问Web站点进行登录时，PC端NFC插件用来作为RP和手机令牌管理程序之间通信的中介。

实施例中，我们基于手机端的NFC和PC端接入的PN532开源读卡器，并基于Libnfc库使用C语言和Java语言实现了nfc_plugin与TokenManager之间的NFC通信，成功地实现了数据的交互。

（3）用户预登录的Web站点：

用户预登录的Web站点(Relying Party, RP) 代表用户要进行身份认证的网站，该网站需要支持手机令牌身份认证方式。

实施例中，RP采用JSP/Servlet技术，以Tomcat为应用服务器，使用JDK的Keytool工具生成密钥库。我们将RP设计为一个简单的登陆站点。该站点除了支持传统的用户名/密码注册方式以外，还能够支持以手机唯一标识符IMEI作为标志的手机令牌注册和登录方式。

本文中所描述的具体实施例仅仅是对本发明精神作举例说明。本发明所属技术领域的技术人员可以对所描述的具体实施例做各种各样的修改或补充或采用类似的方式替代，但并不会偏离本发明的精神或者超越所附权利要求书所定义的范围。

Claims (5)

1.一种基于手机令牌和NFC技术的Web身份认证方法，用于用户使用手机代替USBKey连接到Web站点时进行认证，其特征在于：包括使用手机在Web站点进行注册和将手机作为类USBkey设备、通过NFC登录Web站点进行身份认证两步骤；

所述的使用手机在Web站点进行注册包括以下子步骤：

步骤1.1：用户使用手机端浏览器访问支持手机令牌登录方式的Web站点，手机令牌管理程序TokenManager被触发调用；

步骤1.2：所述的TokenManager与所述的Web站点建立https连接请求，所述的Web站点为所述的用户颁发公钥Pubks和私钥Prikc，通过安全通道传送给所述的用户，所述的TokenManager安全存储用户公钥和私钥，然后所述的TokenManager产生随机数Nc，用所述的用户私钥签名后发送到服务器端；

步骤1.3：所述的服务器利用所述的用户公钥验证用户的签名信息，若正确，则产生随机数Ns，同时将所述的Ns，Nc用自己的服务器私钥签名之后发送给所述的TokenManager；

步骤1.4：所述的TokenManager验证接收到的随机数Nc并验证，若正确，则所述的TokenManager产生一个会话密钥K，并用服务器公钥加密所述的会话密钥K；然后，所述的TokenManager获取所述的手机唯一标识符IMEI，对所述的IMEI和Ns进行签名，并利用所述的会话密钥K加密，得到加密消息；最后，所述的TokenManager把通过服务器公钥加密后的会话密钥K附在所述的加密消息中发送到所述的服务器端；

步骤1.5：所述的服务器首先验证所述的随机数Ns，若正确，则对所述的IMEI进行是否篡改的验证，若未经篡改，则获取所述的TokenManager的IMEI，为所述的TokenManager产生一个唯一的手机令牌Token，并把所述的手机令牌Token发送给所述的TokenManager，所述的TokenManger使用android系统中的SharedPreferences存储方式存储所述的手机令牌Token；

所述的将手机作为类USBkey设备、通过NFC登录Web站点进行身份认证包括以下子步骤：

步骤2.1：所述的用户通过PC端浏览器访问所述的Web站点，所述的PC端浏览器的NFC插件被自动触发调用；

步骤2.2：所述的PC端浏览器的NFC插件与所述的手机令牌管理程序TokenManager进行NFC通信，所述的TokenManager从所述的SharedPreferences中获取所述的手机令牌Token和手机唯一标识符IMEI信息，使用所述的用户私钥进行签名，并使用所述的服务器公钥加密后一起通过NFC发送给所述的Web站点NFC插件；

步骤2.3：所述的Web站点NFC插件将接收到的加密后信息发送给所述的服务器，所述的服务器对所述的加密后信息进行解密，并验证该信息的签名；然后，所述的服务器根据接收到的IMEI查询数据库中的手机令牌Token，将收到手机令牌Token与数据库中的手机令牌Token比较，如果相同则验证成功，并跳转到登录成功页面；否则，返回错误信息。

2.根据权利要求1所述的基于手机令牌和NFC技术的Web身份认证方法，其特征在于：把所述的手机令牌Token发送给所述的TokenManager，首先对所述的手机令牌Token进行HASH(Token)加密，然后对所述的加密结果进行签名，最后拼接上所述的手机令牌Token并用所述的会话密钥K加密之后传回所述的TokenManager。

3.根据权利要求1所述的基于手机令牌和NFC技术的Web身份认证方法，其特征在于：所述的用户在所述的Web站点注册成功之后，所述的TokenManager会将所述的用户的身份信息安全存储于所述的用户手机中，以实现USBKey的功能。

4.根据权利要求3所述的基于手机令牌和NFC技术的Web身份认证方法，其特征在于：所述的用户的身份信息包括所述的Web站点分配给所述的用户的手机令牌Token、所述的用户公钥和私钥对。

5.根据权利要求1所述的基于手机令牌和NFC技术的Web身份认证方法，其特征在于：所述的TokenManager把通过服务器公钥加密后的会话密钥K附在所述的加密消息中发送到所述的服务器端，采用的是SSl方式通信，SSL{E(K,Pubks),E((IMEI,Ns,SIG(Ns,HASH(IMEI)),Prikc)), K) }，其中K表示会话密钥，Prikc表示用户私钥，Pubks表示服务器公钥，IMEI表示手机唯一标识符，Ns表示服务器端的随机数；E(消息,K)表示使用会话密钥K加密消息，SIG(消息，Prikc)表示使用客户端私钥对消息进行签名，SSL{}表示以SSL方式发送。

Images