CN103501228B - 一种动态二维码令牌及动态二维码口令认证方法 - Google Patents

Abstract

一种动态二维码口令认证方法，其中动态二维码令牌，包括采集模块、显示模块、认证模块、口令模块、管理模块、二维码模块、控制模块；所述控制模块、管理模块、认证模块、口令模块和二维码模块集成于同一微处理器中；所述采集模块与所述控制模块和二维码模块相连；所述显示模块与所述控制模块和二维码模块相连。动态二维码口令认证系统，是用于执行动态二维码口令认证、令牌同步以及令牌相关状态的管理及配置功能的服务程序的集合。本发明具有抗暴露、高强度、不可预测、抗重放、抗抵赖、免记忆、精确、高效、物理隔离和双向认证特性的动态二维码口令，显著提高身份认证的安全性。

Description

一种动态二维码令牌及动态二维码口令认证方法

技术领域

本发明属于信息安全领域，涉及二维码技术以及动态令牌技术，具体涉及一种动态二维码令牌及动态二维码口令认证方法。

背景技术

随着信息时代的到来，人们对信息系统的依赖程度越来越高，信息系统的安全越来越受到人们的重视。

密码在信息系统中的安全要求最高，一旦密码被盗或者遗失，信息系统就可能被非授权访问，导致直接经济损失和间接名誉损失，损失是巨大的，甚至是致命的。

根据美国某安全协会对数千名系统管理员的调查表明，绝大多数信息系统首先被攻击和突破的就是密码。

现有大多数信息系统的密码记忆在人脑、存储在服务器端数据库中，在相对较长的时间内固定不变，每次登录认证时使用相同密码，称为静态密码，也叫静态口令。

在传统的静态口令认证系统中，静态口令的重复使用增加了其丢失、泄露以及被破解的风险，降低了信息系统的安全系数。在网络环境下，黑客、木马和病毒的泛滥让静态口令显得更加脆弱。除此之外，静态口令还存在如下的安全隐患和缺陷：

1) 用户的密码在录入时可能被偷看或者被图像采集设备记录。

2) 用户的密码通常有一定的规律性且长度较短，容易被猜测和监听破解；

3) 用户的密码在相对较长的时间内固定不变，可能泄漏。

4) 用户的密码不包含抗抵赖信息，可能被恶意操作。

5) 用户因某种原因，将密码告诉他人，事后忘记修改造成遗失。

6) 用户忘记密码。

7) 用户的密码手动输入，可能出现录入错误。

8) 用户的密码无法被自动识别，录入效率低下。

9) 服务器端与客户端信息不对称，容易被钓鱼攻击。

发明内容

本发明的目的是为了解决现有认证技术存在的缺陷，提供一种动态二维码令牌及动态二维码口令认证方法。

动态二维码口令具有抗暴露、高强度、不可预测、抗重放、抗抵赖、免记忆、精确、高效、物理隔离和双向认证特性，可显著提高身份认证的安全性。

采用的技术方案是：

动态二维码令牌，其特征在于：

动态二维码令牌，是产生并显示动态二维码口令的用户终端设备。将预定义的外部程序存入智能设备（掌上电脑、智能手机、平板电脑、PDA或其他专用设备）的程序存储器中，当控制器收到相应指令后，根据预定义的程序可实现对服务器认证、动态二维码口令产生与显示功能。特别地，上述智能设备必须具备二维码采集功能。

动态二维码令牌由采集模块、显示模块、控制模块、管理模块、二维码模块、认证模块、口令模块组成，如图3所示，各模块功能如下：

采集模块，获取服务器端显示的二维码。实现设备包括但不限于二维码数据采集器、激光扫描器、摄像头。

显示模块，显示产生的动态二维码口令，实现设备包括但不限于LCD、LED显示屏。

采集模块和显示模块中，所涉及的采集设备和显示设备相应的控制电路已经相对成熟，故在此不再阐述。

控制模块、管理模块、二维码模块、认证模块、口令模块集成于同一微处理器中，具体的：

控制模块，对动态二维码令牌各模块调用，对动态二维码令牌进行运行管理。

管理模块，负责验证动态二维码令牌状态、初始化、参数配置。

二维码模块，实现二维码的编码和解码，二维码信息的加密和解密。

认证模块，根据服务器鉴权信息对服务器进行认证。

口令模块，产生动态二维码口令。

动态二维码口令的产生方法是：

是时间因子，是UTC(Universal Time Coordinated，协调世界时)时间，是口令变化周期。ID是动态因子，C是事件因子，Q是挑战因子。ID至少包含T、C、Q其中的一个参数，并按照T | C | Q的顺序进行数据组装。未包含的参数位置，由下一个参数进行补充。如ID由T、Q组成，则数据组装方式为T | Q。如ID由C、Q组成，则数据组装方式为C | Q。K是运算密钥，只有认证双方持有。F()是算法函数。S是算法函数输出结果。Truncate()是截位函数，OD是输出结果。N是动态口令的位数，不小于6。P是动态口令。M是多因素信息。D是二维码编码因子。D至少包含一个P参数，按照P | M的顺序进行数据组装。如D由P、M组成，则数据组装方式为P | M。如D只包含P参数，则D只对P参数进行数据组装。B()是二维码编码函数。BP是动态二维码口令。

动态二维码口令认证平台（包括动态二维码口令认证系统、动态二维码口令管理系统）部署在服务器端。应用系统部署在客户端，通过认证协议与服务器端通讯。

动态二维码口令认证系统，是用于执行动态二维码口令认证、令牌同步，以及令牌相关状态的管理及配置功能的服务程序的集合。

动态二维码口令管理系统，负责动态因子的生成、传输和存储的安全管理。

应用系统是指集成了将动态二维码口令按照认证协议发送至动态二维码口令认证系统进行认证的应用集合，为软件系统、硬件设备或者两者相结合。

认证接口是认证系统提供的用于连接应用系统与认证服务器的接口集合。开发语言不限于C/C++、Java、php、ASP、ASP.NET、C#。应用接口通过调用接口，完成动态二维码口令认证、同步功能。

认证协议是认证服务和应用系统进行通讯的标准的通讯协议，完成动态二维码口令的认证、同步功能。

动态二维码口令认证流程图如图2所示，结合图2，具体的认证过程为：

动态二维码令牌使用前，必须经管理员在服务器端激活并录入相关信息，激活成功后，令牌在用户终端和服务器端状态均为可用状态。

用户启动动态二维码令牌，动态二维码令牌自动验证令牌状态，如果令牌状态为未激活，则提示不可用。

令牌激活成功，用户使用令牌扫描服务器端向应用系统提供的二维码，服务器端提供的二维码信息包括服务器端鉴权信息和产生动态二维码口令的控制信息两部分。令牌二维码模块对服务器端提供的二维码信息解码，根据符合国密标准的安全算法，对解码后提取出信息进行解密。解密后，将服务器端鉴权信息和产生动态二维码口令的控制信息分离。令牌认证模块根据得到的服务器端鉴权信息对服务器进行认证，如果服务器端不能通过认证，则停止整个认证过程。

服务器端认证成功，令牌管理模块初始化令牌。令牌口令模块根据由服务器端提供的二维码中分离出来的产生动态二维码口令的控制信息，确定动态二维码口令的生成方式（如时间模式、事件模式、挑战应答模式）、令牌算法及动态因子，产生动态口令。

令牌二维码模块将动态口令与客户端标识信息及其他指定特征值分组封装加密，再生成二维码图像，令牌显示模块将二维码图像显示在智能设备的显示屏上。

至此，动态二维码口令生成完成。

服务器端通过二维码扫描设备捕获令牌生成的动态二维码口令，并解析动态二维码口令。解析过程具体为：服务器端对捕获的二维码图像解码，再根据指定的符合国密标准的安全算法，对解码后提取出的信息进行解密，得到封装的动态口令与客户端标识信息及其他指定特征值。将动态口令与客户端标识信息及其他指定特征值分离，根据认证规则进行口令认证。

如果口令认证失败，拒绝对用户授权，整个认证过程失败。通过口令认证，则对用户授权，用户获得相应权限，认证成功。

动态二维码令牌特性要求

温度：-10℃-50℃；

湿度：30℃±2℃下，相对湿度为93%±3℃；

防尘防水满足IP44要求。

振动：10-300HZ，振动幅值≥3.5mm；

静电放电：外壳端口接触放电±6KV，空气放电±8KV。

动态二维码口令认证平台：

1、动态二维码口令认证平台构成

动态二维码口令认证平台是为应用系统提供动态二维码口令认证及管理的服务系统，由两个部分构成：动态二维码口令认证系统、动态二维码口令管理系统。

动态二维码口令认证系统对应用系统提供认证和管理服务。

动态二维码口令管理系统对认证平台的运行进行管理。

2、令牌的系统状态

令牌的系统状态为认证系统内保存的令牌工作状态：

1）未激活，本状态为不可用状态，成功激活后进入就绪状态，激活令牌验证动态二维码口令是否正确，未激活令牌不能提供正常的动态二维码口令认证。

2）就绪，令牌为正常工作状态，此状态下令牌可用于动态二维码口令认证。

3）锁定，令牌因连续错误、重放攻击、人工方式原因被锁定后处于锁定状态，锁定状态的令牌不能提供正常的动态二维码口令认证。

4）挂起，令牌被人为挂起后，处于挂起状态，挂起状态的令牌不能提供正常的动态二维码口令认证。

5）作废，令牌执行作废操作后，进入作废状态，作废的令牌不能提供正常的动态二维码口令认证。

3、令牌的系统数据

令牌的系统数据包括：令牌序列号、密钥数据、令牌状态、上次使用时间、连续错误次数、令牌偏移量和其它配置参数，其中密钥数据加密存放，其它系统数据采用校验机制保证不被非法修改。

4、令牌的同步

认证系统提供对令牌的内部计数器与系统的令牌计数器之间的同步处理。对于时间型令牌，使用双向时间窗口；对于事件型令牌，使用单向事件窗口。

5、自动锁定和自动解锁

令牌在使用过程中若连续多次验证错误超过最大次数后，将被自动锁定。在超过设定的时间后，自动解除锁定。

自动解除锁定只能解除被自动锁定的令牌。

6、认证系统服务

认证系统服务由认证系统提供，分为安全服务和管理服务。安全服务包括动态口令认证、挑战应答认证和挑战码生成，管理服务包括对令牌的生命周期管理。

7、安全服务

安全服务用于支持应用系统对用户身份和交易内容进行验证。

8、动态口令认证

对提交的动态二维码口令进行认证的服务，认证方式包括：静态口令+动态二维码口令、动态二维码口令。静态口令为与该动态二维码令牌绑定的静态口令。

9、挑战应答认证

对提交的挑战应答码进行认证的服务，认证方式包括：外部挑战认证、内部挑战认证、内部+外部挑战认证。

10、产生挑战码

为根据应用的挑战码请求产生的挑战码，生成的挑战码格式包括：数字型、字符型、数字+字符型。其中数字为阿拉伯数字0-9，字符为英文字符或符号字符，区分大小写。挑战码的最小长度和最大长度由认证系统进行设置。挑战码以加密封装后的二维码形式出现。

11、管理服务

管理服务用于对令牌进行生命周期管理。

12、激活

将未激活的令牌设为可用状态。激活时，要求验证令牌的动态二维码口令。

令牌成功激活后，状态设置为就绪。

激活不成功，记录激活错误次数，但不锁定令牌。

13、锁定/解锁

锁定：将就绪状态的令牌设置为锁定状态。

令牌被锁定后，可通过解锁服务回到就绪状态。

令牌被锁定后，可通过废止服务设置为废止状态。

解锁：将锁定状态的令牌解锁，设置为就绪状态。

解锁时，要求当前的动态二维码口令。

若设置了静态口令，要求验证静态口令。

若静态口令的验证方式是内部挑战方式，使用内部挑战认证。

若静态口令的验证方式是普通方式，使用静态口令+动态二维码口令认证。

14、挂起/解挂

挂起：将动态令牌设置为挂起状态。

只有就绪或锁定状态的令牌可被设置为挂起状态。

令牌被挂起后，可通过废止服务设置为废止状态。

解挂：解除令牌的挂起状态。

解挂成功后令牌的状态设置为就绪状态。

要求验证当前的动态口令。

若设置了静态口令，要求验证静态口令。

若静态口令的验证方式是内部挑战方式，使用内部挑战认证。

若静态口令的验证方式是普通方式，使用静态口令+动态二维码口令认证。

15、设置静态口令

设置动态令牌绑定的静态口令。

要求验证原有的静态口令。

若静态口令的验证方式是内部挑战方式，使用内部挑战认证。

若静态口令的验证方式是普通方式，使用静态口令+动态二维码口令认证。

16、远程解PIN

认证系统提供远程解PIN的功能（针对具有PIN保护的令牌）。根据应用请求，认证系统生成当前的远程解PIN密码。

解PIN的密码为0-9的数字串，长度最少为6位。

解PIN的操作最大尝试次数不可超过5次，若超过最大尝试次数，应至少等待1小时才可继续尝试。

超过最大尝试次数的情况不可超过5次，否则令牌应永久锁定，不可再使用。

17、同步

认证系统提供令牌的同步服务。

验证令牌的连续2个动态二维码口令，若成功，调整令牌的系统偏移量。

令牌的同步服务不改变令牌状态。

18、密钥变形

令牌在正常使用前，通过用户与服务商协商，形成特定的密钥变形机制，将原始种子密钥改变为令牌实际使用时的工作种子密钥。该密钥变形机制所需的变形原理或参数，由用户保存（如银行与使用令牌的储户保存），服务商不知晓。

19、废止

令牌损坏或失效后，可使用认证系统的废止服务将其废止。废止的令牌不可再用于用户的身份认证和交易验证。系统仅保留该令牌的使用历史记录。

20、令牌信息查询

认证系统提供令牌的信息查询服务，包括：令牌的当前状态、上次使用时间、当前累计错误次数。

信息查询服务不改变令牌状态。

21、认证平台管理功能

1）权限管理

认证系统对访问人员采取权限控制，不同角色的访问人员赋予不同的操作权限。

2）参数配置

认证系统对认证和管理功能参数进行配置。

3）日志管理

日志管理包括日志的写入、查询功能，每条日志至少记录事件的日期和时间、事件类型、主体身份、事件的结果（成功或失效）、日志级别。以下事件应该记录日志：

动态二维码口令认证，同步的结果。

令牌系统状态的变更。

4）服务报表

系统提供对令牌和系统不同时间段对应的状态和结果的统计报表。

5）种子导入

认证系统提供导入种子密钥的功能，并设置令牌的初始状态。

6）备份恢复

认证系统提供对敏感信息的备份功能。

22、安全要求

1）接入端控制

认证服务器具有控制应用服务器安全接入的方法和措施。

2）通讯敏感字段加密

为了防止网络监听的形式对认证数据进行窃听和分析，在认证服务器和应用服务器之间的通讯数据上做加密处理。

3）信息存储加密

认证系统中的种子密钥是加密存储的，当认证服务器接收到认证请求时，认证服务器会首先读取种子密钥加密密钥密文，调用加密机或加密卡的接口使用主密钥解密种子密钥加密密钥密文，然后读取种子密钥密文，再使用种子密钥加密密钥解密种子密钥，通过种子密钥和时间因子信息生成对应的动态密码，并与接收到的动态二维码口令信息进行比较，从而完成动态二维码口令身份验证。

23、令牌安全性控制

1）锁定及解锁

按照用户要求提供锁定机制，当一个令牌连续尝试认证失败次数累计达到上限，则对令牌进行锁定，同时提供人工解锁和自动解锁机制。

2）防重复认证

重复认证检测，对于已经通过认证的动态密码，认证服务器将予以作废，只要已经通过认证的动态密码，均不能再次通过认证。

3）日志安全

日志信息具有校验码，只要用户对日志信息进行修改，就可通过校验码检查出来。

敏感数据具有备份恢复机制。

认证系统针对日志访问具备相应的访问控制策略，对日志的操作有对应记录，以保证日志的完整性和安全性。

4）接入端控制

认证服务器具有时间校准的处理方法和措施。

5）认证系统安全

认证系统安全符合目标应用服务或系统的安全需求，具体参照目标应用服务或系统的相应规范或标准。

本发明的优点：

1) 抗暴露：使用二维码作为口令载体，排除了肉眼偷窥的可能性。即使动态二维码口令被图像采集设备捕获，也无法在密码生命期内转化为可被认证的动态二维码口令。

2) 高强度和不可预测：二维码的高信息容量保证了动态二维码口令的高强度。动态因子存放在服务器端和动态二维码令牌中，不在网络中传输，动态因子的随机性保证了动态二维码口令的不可预测。

3) 抗重放：一个动态二维码口令只能使用一次，一旦使用就立即作废。即使不适用，超过密码生命期，将产生新的动态二维码口令，旧的动态二维码口令将失效。

4) 抗抵赖：采用多重信息认证方式，只有持有动态二维码令牌的用户能生成包含抗抵赖信息的动态二维码口令，服务方和任何第三方都不能生成该用户的动态二维码口令。

5) 免记忆：动态二维码口令随机生成，每次使用都不同，用户无需记忆，不怕遗失或者遗忘。

6) 精确和高效：二维码是信息世界与实体世界的纽带，用户的动态二维码口令可通过二维码扫描设备，精确、高效的被自动识别。在军事、航天、金融领域，可实现M2M无缝自动识别认证。在CPS领域，具有重大的战略意义。

7) 物理隔离：动态二维码口令的产生过程完全与网络隔绝，有效杜绝了令牌算法、动态因子被监听和破解，从根本上保障了动态二维码口令的安全。动态二维码令牌通过二维码扫描设备识别，客户端与服务器端设备物理隔离，有效避免了非授权设备接入带来的风险，从根本上保证了信息系统的安全。

8) 双向认证：客户端与服务器端双向认证，避免了钓鱼攻击。

附图说明

图1是动态二维码口令认证平台构架图。

图2是动态二维码口令认证流程图。

图3是动态二维码令牌结构图。

具体实施方式

为了使本专利技术方案和优点更加清楚、明确，下面列举一个实施例，所举实施例仅是本专利的一种应用情景，而不是全部实施例。

本专利提供一种动态二维码令牌及动态二维码口令认证方法，显著提高身份认证的安全性。以下结合实施例对本专利进行详细描述。

参见图1，其示出了动态二维码口令认证平台构架图。

动态二维码令牌，是产生并显示动态二维码口令的用户终端设备。本实施例以智能手机为例，将预定义的动态二维码令牌程序以手机应用的形式部署于智能手机的程序存储器中。

动态二维码口令认证平台（包括动态二维码口令认证系统、动态二维码口令管理系统）部署在服务器端。应用系统部署在客户端，通过认证协议与服务器端通讯。

动态二维码令牌使用前，必须经管理员在服务器端激活并录入相关信息，激活成功后，令牌在用户终端和服务器端状态均为可用状态。

结合图2，动态二维码口令认证流程图，具体的认证过程为：

1)用户启动智能手机中动态二维码令牌应用，选择“开始认证”。

2)令牌自动验证令牌状态，如果令牌未激活，则提示“令牌未激活，无法进行认证”。

3)已激活的令牌，则显示“请扫描二维码”。

4)使用智能手机摄像头扫描服务器端向应用系统提供的二维码。

5)令牌二维码模块对服务器端提供的二维码信息解码解密，将服务器端鉴权信息和产生动态二维码口令的控制信息分离。

6)令牌认证模块根据得到的服务器端鉴权信息对服务器进行认证，如果服务器端不能通过认证，则停止整个认证过程并提示“服务器不是可信服务器”。

7)如果服务器端认证成功，令牌管理模块初始化令牌。

8)令牌口令模块根据由服务器端提供的二维码中分离出来的产生动态二维码口令的控制信息，确定动态二维码口令的生成方式（如时间模式、事件模式、挑战应答模式）、令牌算法及动态因子，产生动态口令。

9)令牌二维码模块将动态口令与客户端标识信息及其他指定特征值分组封装加密，再生成二维码图像。

10)令牌显示模块将二维码图像显示在智能手机的显示屏上并提示“请出示动态二维码口令”。

11)用户向应用系统的二维码扫描设备出示动态二维码口令。服务器端通过应用系统的二维码扫描设备捕获动态二维码口令。

12)服务器端对捕获的二维码图像解码，再根据指定的符合国密标准的安全算法，对解码后提取出的信息进行解密，得到封装的动态口令与客户端标识信息及其他指定特征值。将动态口令与客户端标识信息及其他指定特征值分离，根据认证规则进行口令认证。如果口令认证失败，拒绝对用户授权，整个认证过程失败，并提示“无法通过认证”

13)通过口令认证，则对用户授权，用户获得相应权限，并提示“认证成功”。

动态二维码令牌特性要求

作为动态二维码令牌载体的智能设备或专用设备产品特性最低要符合以下严酷条件要求：

高温：使用GB/T 2423.2-2008【电工电子产品环境试验第2部分：试验方法试验B：高温】中试验方法Bb，严酷等级选择温度：+50℃，持续时间：2小时。

低温：使用GB/T 2423.1-2008【电工电子产品环境试验第2部分：试验方法试验A：低温】中试验方法Ab，严酷等级选择温度：-10℃，持续时间：2小时。

高低温冲击：使用GB/T 2423.22-2002【电工电子产品环境试验第2部分：试验方法N：温度变化】严酷等级选择高温温度：+50℃，低温温度：-10℃，暴露试验时间：10分钟，转换时间：（2—3）分钟，循环数：3个。

湿度：使用GB/T 2423.9-2001【电工电子产品环境试验第2部分：试验方法试验Cb设备用恒定湿热】严酷等级选择温度：30℃±2℃，相对湿度93%±3%，试验时间：2小时。

工作海拔：使用GB/T 2423.21-1991【电工电子产品基本环境试验规程试验M：低气压试验方法】严酷等级选择气压：55kPa，持续时间：2小时。

跌落：使用GB-T2423.8-1995【电工电子产品环境试验第2部分：试验方法试验Ed：自由跌落】中方法一，严酷等级选择跌落高度：1000mm。

防尘防水：遵守GB4208-2008【外壳防护等级（IP代码）】中IP44的要求。

振动：使用GB/T 2423.10-2008 【电工电子产品环境试验第２部分：试验方法试验Fc：振动（正弦）】严酷等级选择频率范围：10Hz到300Hz，振动幅值：3.5mm，持续时间：60分钟。

静电放电：不低于GB/T 17626.2-2006【电磁兼容试验和测量技术静电放电抗扰度试验】中试验等级3的标准，即满足外壳端口接触放电±6kV，空气放电±8kV。

Claims (1)

1.动态二维码令牌，其特征在于：

动态二维码令牌，是产生并显示动态二维码口令的智能设备，将预定义的外部程序存入智能设备的程序存储器中，其中智能设备，包括掌上电脑、智能手机、平板电脑、PDA或其他专用设备，当控制器收到相应指令后，根据预定义的程序可实现对服务器认证、动态二维码口令产生与显示功能；特别地，上述智能设备必须具备二维码采集功能；

动态二维码令牌由采集模块、显示模块、控制模块、管理模块、二维码模块、认证模块、口令模块组成；

采集模块，获取服务器端显示的二维码，所述采集模块包括二维码数据采集器、激光扫描器、摄像头；

显示模块，显示产品的动态二维码口令，所述显示模块包括LCD、LED显示屏；

控制模块、管理模块、二维码模块、认证模块、口令模块集成于同一微处理器中，具体的：

控制模块，对动态二维码令牌各模块调用，对动态二维码令牌进行运行管理；

管理模块，负责验证动态二维码令牌状态、初始化、参数配置；

二维码模块，实现二维码的编码和解码，二维码信息的加密和解密；

认证模块，根据服务器鉴权信息对服务器进行认证；

口令模块，产生动态二维码口令；

动态二维码口令的产生方法是：

是时间因子，是UTC(Universal Time Coordinated，协调世界时)时间，是口令变化周期，ID是动态因子，C是事件因子，Q是挑战因子，ID至少包含T、C、Q其中的一个参数，并按照T | C | Q的顺序进行数据组装，未包含的参数位置，由下一个参数进行补充，如ID由T、Q组成，则数据组装方式为T | Q，如ID由C、Q组成，则数据组装方式为C | Q，K是运算密钥，只有认证双方持有，F()是算法函数，S是算法函数输出结果，Truncate()是截位函数，OD是输出结果，N是动态口令的位数，不小于6，P是动态口令，M是多因素信息，D是二维码编码因子，D至少包含一个P参数，按照P | M的顺序进行数据组装，如D由P、M组成，则数据组装方式为P | M，如D只包含P参数，则D只对P参数进行数据组装，B()是二维码编码函数，BP是动态二维码口令；

采用动态二维码口令进行认证，其中动态二维码口令认证方法如下：

动态二维码口令认证平台，包括动态二维码口令认证系统、动态二维码口令管理系统，部署在服务器端，应用系统部署在客户端，通过认证协议与服务器端通讯；

动态二维码口令认证系统，是用于执行动态二维码口令认证、令牌同步，以及令牌相关状态的管理及配置功能的服务程序的集合；

动态二维码口令管理系统，负责动态因子的生成、传输和存储的安全管理；

应用系统是指集成了将动态二维码口令按照认证协议发送至动态二维码口令认证系统进行认证的应用集合，为软件系统、硬件设备或者两者相结合；

认证接口是认证系统提供的用于连接应用系统与认证服务器的接口集合，开发语言包括C/C++、Java、php、ASP、ASP.NET、C#，应用接口通过调用接口，完成动态二维码口令认证、同步功能；

认证协议是认证服务和应用系统进行通讯的标准的通讯协议，完成动态二维码口令的认证、同步功能；

具体的认证过程为：

动态二维码令牌使用前，必须经管理员在服务器端激活并录入相关信息，激活成功后，令牌在用户终端和服务器端状态均为可用状态；

用户启动动态二维码令牌，动态二维码令牌自动验证令牌状态，如果令牌状态为未激活，则提示不可用；

令牌激活成功，用户使用令牌扫描服务器端向应用系统提供二维码，服务器

端提供的二维码信息包括服务器端鉴权信息和产生动态二维码口令的控制信息两部分，二维码模块对服务器端提供的二维码信息解码，根据符合国密标准的安全算法，对解码后提取出信息进行解密，解密后，将服务器端鉴权信息和产生动态二维码口令的控制信息分离，认证模块根据得到的服务器端鉴权信息对服务器进行认证，如果服务器端不能通过认证，则停止整个认证过程；

服务器端认证成功，管理模块初始化令牌；口令模块根据由服务器端提供的二维码中分离出来的产生动态二维码口令的控制信息，确定动态二维码口令的生成方式包括时间模式、事件模式、挑战应答模式、令牌算法及动态因子，产生动态口令；

二维码模块将动态口令与客户端标识信息及其他指定特征值分组封装加密，再生成二维码图像，显示模块将二维码图像显示在智能设备的显示屏上；

至此，动态二维码口令生成完成；

服务器端通过二维码扫描设备捕获令牌生成的动态二维码口令，并解析动态二维码口令，解析过程具体为：服务器端对捕获的二维码图像解码，再根据指定的符合国密标准的安全算法，对解码后提取出的信息进行解密，得到封装的动态口令与客户端标识信息及其他指定特征值，将动态口令与客户端标识信息及其他指定特征值分离，根据认证规则进行口令认证；

如果口令认证失败，拒绝对用户授权，整个认证过程失败；口令认证通过，则对用户授权，用户获得相应权限，认证成功；

动态二维码令牌特性要求：

温度：-10℃-50℃；

湿度：30℃±2℃下，相对湿度为93%±3℃；

防尘防水满足IP44要求；

振动：10 HZ -300HZ，振动幅值≥3.5mm；

静电放电：外壳端口接触放电±6KV，空气放电±8KV；

动态二维码口令认证平台：

（1）、动态二维码口令认证平台构成

动态二维码口令认证平台是为应用系统提供动态二维码口令认证及管理的服务系统，由两个部分构成：动态二维码口令认证系统、动态二维码口令管理系统；

动态二维码口令认证系统对应用系统提供认证和管理服务；

动态二维码口令管理系统对认证平台的运行进行管理；

（2）、令牌的系统状态

令牌的系统状态为认证系统内保存的令牌工作状态：

1）未激活，本状态为不可用状态，成功激活后进入就绪状态，激活令牌验证动态二维码口令是否正确，未激活令牌不能提供正常的动态二维码口令认证；

2）就绪，令牌为正常工作状态，此状态下令牌可用于动态二维码口令认证；

3）锁定，令牌因连续错误、重放攻击、人工方式原因被锁定后处于锁定状态，锁定状态的令牌不能提供正常的动态二维码口令认证；

4）挂起，令牌被人为挂起后，处于挂起状态，挂起状态的令牌不能提供正常的动态二维码口令认证；

5）作废，令牌执行作废操作后，进入作废状态，作废的令牌不能提供正常的动态二维码口令认证；

（3）、令牌的系统数据

令牌的系统数据包括：令牌序列号、密钥数据、令牌状态、上次使用时间、连续错误次数、令牌偏移量和其它配置参数，其中密钥数据加密存放，其它系统数据采用校验机制保证不被非法修改；

（4）、令牌的同步

认证系统提供对令牌的内部计数器与系统的令牌计数器之间的同步处理，对于时间型令牌，使用双向时间窗口；对于事件型令牌，使用单向事件窗口；

（5）、自动锁定和自动解锁

令牌在使用过程中若连续多次验证错误超过最大次数后，将被自动锁定，在超过设定的时间后，自动解除锁定；

自动解除锁定只能解除被自动锁定的令牌；

(6)、认证系统服务

认证系统服务由认证系统提供，分为安全服务和管理服务，安全服务包括动态口令认证、挑战应答认证和挑战码生成，管理服务包括对令牌的生命周期管理；

(7)、安全服务

安全服务用于支持应用系统对用户身份和交易内容进行验证；

(8)、动态口令认证

对提交的动态二维码口令进行认证的服务，认证方式包括：静态口令+动态二维码口令、动态二维码口令；静态口令为与该动态二维码令牌绑定的静态口令；

(9)、挑战应答认证

对提交的挑战应答码进行认证的服务，认证方式包括：外部挑战认证、内部挑战认证、内部+外部挑战认证；

(10)、产生挑战码

为根据应用的挑战码请求产生的挑战码，生成的挑战码格式包括：数字型、字符型、数字+字符型，其中数字为阿拉伯数字0-9，字符为英文字符或符号字符，区分大小写，挑战码的最小长度和最大长度由认证系统进行设置，挑战码以加密封装后的二维码形式出现；

(11)、管理服务

管理服务用于对令牌进行生命周期管理；

(12)、激活

将未激活的令牌设为可用状态，激活时，要求验证令牌的动态二维码口令；

令牌成功激活后，状态设置为就绪；

激活不成功，记录激活错误次数，但不锁定令牌；

（13）、锁定/解锁

锁定：将就绪状态的令牌设置为锁定状态；

令牌被锁定后，可通过解锁服务回到就绪状态；

令牌被锁定后，可通过废止服务设置为废止状态；

解锁：将锁定状态的令牌解锁，设置为就绪状态；

解锁时，要求当前的动态二维码口令；

若设置了静态口令，要求验证静态口令；

若静态口令的验证方式是内部挑战方式，使用内部挑战认证；

若静态口令的验证方式是普通方式，使用静态口令+动态二维码口令认证；

（14）、挂起/解挂

挂起：将动态令牌设置为挂起状态；

只有就绪或锁定状态的令牌可被设置为挂起状态；

令牌被挂起后，可通过废止服务设置为废止状态；

解挂：解除令牌的挂起状态；

解挂成功后令牌的状态设置为就绪状态；

要求验证当前的动态口令；

若设置了静态口令，要求验证静态口令；

若静态口令的验证方式是内部挑战方式，使用内部挑战认证；

若静态口令的验证方式是普通方式，使用静态口令+动态二维码口令认证；

(15)、设置静态口令

设置动态令牌绑定的静态口令；

要求验证原有的静态口令；

若静态口令的验证方式是内部挑战方式，使用内部挑战认证；

若静态口令的验证方式是普通方式，使用静态口令+动态二维码口令认证；

（16）、远程解PIN

认证系统提供远程解PIN的功能，根据应用请求，认证系统生成当前的远程解PIN密码；

解PIN的密码为0-9的数字串，长度最少为6位；

解PIN的操作最大尝试次数不可超过5次，若超过最大尝试次数，应至少等待1小时才可继续尝试；

超过最大尝试次数的情况不可超过5次，否则令牌应永久锁定，不可再使用；

（17）、同步

认证系统提供令牌的同步服务；

验证令牌的连续2个动态二维码口令，若成功，调整令牌的系统偏移量；

令牌的同步服务不改变令牌状态；

（18）、密钥变形

令牌在正常使用前，通过用户与服务商协商，形成特定的密钥变形机制，将原始种子密钥改变为令牌实际使用时的工作种子密钥，该密钥变形机制所需的变形原理或参数由用户保存，服务器不知晓；

(19)、废止

令牌损坏或失效后，可使用认证系统的废止服务将其废止，废止的令牌不可再用于用户的身份认证和交易验证，系统仅保留该令牌的使用历史记录；

(20)、令牌信息查询

认证系统提供令牌的信息查询服务，包括：令牌的当前状态、上次使用时间、当前累计错误次数；

信息查询服务不改变令牌状态；

(21)、认证平台管理功能

1）权限管理

认证系统对访问人员采取权限控制，不同角色的访问人员赋予不同的操作权限；

2）参数配置

认证系统对认证和管理功能参数进行配置；

3）日志管理

日志管理包括日志的写入、查询功能，每条日志至少记录事件的日期和时间、事件类型、主体身份、事件的结果、日志级别，以下事件应该记录日志：

动态二维码口令认证，同步的结果；

令牌系统状态的变更；

4）服务报表

系统提供对令牌和系统不同时间段对应的状态和结果的统计报表；

5）种子导入

认证系统提供导入种子密钥的功能，并设置令牌的初始状态；

6）备份恢复

认证系统提供对敏感信息的备份功能；

(22)、安全要求

1）接入端控制

认证服务器具有控制应用服务器安全接入的方法和措施；

2）通讯敏感字段加密

为了防止网络监听的形式对认证数据进行窃听和分析，在认证服务器和应用服务器之间的通讯数据上做加密处理；

3）信息存储加密

认证系统中的种子密钥是加密存储的，当认证服务器接收到认证请求时，认证服务器会首先读取种子密钥加密密钥密文，调用加密机或加密卡的接口使用主密钥解密种子密钥加密密钥密文，然后读取种子密钥密文，再使用种子密钥加密密钥解密种子密钥，通过种子密钥和时间因子信息生成对应的动态密码，并与接收到的动态二维码口令信息进行比较，从而完成动态二维码口令身份验证；

(23)、令牌安全性控制

1）锁定及解锁

按照用户要求提供锁定机制，当一个令牌连续尝试认证失败次数累计达到上限，则对令牌进行锁定，同时提供人工解锁和自动解锁机制；

2）防重复认证

重复认证检测，对于已经通过认证的动态密码，认证服务器将予以作废，只要已经通过认证的动态密码，均不能再次通过认证；

3）日志安全

日志信息具有校验码，只要用户对日志信息进行修改，就可通过校验码检查出来；

敏感数据具有备份恢复机制；

认证系统针对日志访问具备相应的访问控制策略，对日志的操作有对应记录，以保证日志的完整性和安全性；

4）接入端控制

认证服务器具有时间校准的处理方法和措施；

5）认证系统安全

认证系统安全符合目标应用服务或系统的安全需求，具体参照目标应用服务或系统的相应规范或标准。