CN104065653B - 一种交互式身份验证方法、装置、系统和相关设备 - Google Patents

Abstract

本发明公开了一种交互式身份验证方法、装置、系统和相关设备，用以提高身份验证的安全性和通用性。所述系统包括：终端设备，用于需要进行身份验证时与验证信息生成设备建立通信连接；在与验证信息生成设备交互得到身份验证信息后，向身份验证服务器发送身份验证请求，身份验证请求中携带有身份验证信息；验证信息生成设备，用于生成身份验证信息；与所述终端设备交互所述身份验证信息，其中至少包括利用存储的第一密钥对种子信息进行处理后得到的处理后的种子信息；身份验证服务器，用于使用自身存储的第一密钥对应的第二密钥还原和/或验证身份验证信息中包含的处理后的种子信息；根据还原结果或者验证结果确定身份验证是否通过。

Description

一种交互式身份验证方法、装置、系统和相关设备

技术领域

本发明涉及信息安全技术领域，尤其涉及一种交互式身份验证方法、装置、系统和相关设备。

背景技术

随着互联网技术尤其是移动互联网技术的飞速发展，通过互联网提供的互联网应用越来越多。用户在访问这些互联网应用时，如访问电子邮件、访问即时通信应用、访问网站等，为了保证用户访问的安全性，各互联网应用的提供方通常需要在用户登录时对用户身份进行验证。

当前，最常见的身份验证方法为通过用户注册时提供的用户名和密码，用户名和密码通常由大小写字母、数字和可输入的符号组成，若输入的用户名和密码匹配即可通过验证。在对安全性要求更高的互联网应用中，如网上银行、在线支付应用等，通常还会使用其他辅助的身份验证手段，常见的有手机验证码、RSA SecurID双因素验证令牌和智能卡等。

上述各种身份验证方法中，通过用户名和密码是最常用的身份验证方法，但是由于用户名和密码长度都有一定的限制，密码设置太短、太简单的话，容易被破解，太长太复杂用不便于记忆。而且，用户名和面膜在通过键盘输入时，容易被终端设备中的恶意代码窃取，从而降低了身份验证的安全性。

如果手机验证码作为辅助的身份验证手段，由于智能手机很容易被植入恶意代码，其可以拦截网络侧下发的手机验证码，从而也无法保证身份验证的安全性。而智能卡由于硬件限制，难以普及且通用性不强。至于RSA SecurID双因素验证令牌，其广泛应用于世界各地的重要信息系统中，但由于其是采用6位数字进行验证，只适合作为验证码使用，而不能作为验证身份的用户名和主要密码。且该方法智能在独立的信息系统中使用，无法通用，用户通常需要持有多个不同的SecurID令牌。

由此可见，如何提高身份验证的安全性和通用性成为现有技术中亟待解决的技术问题之一。

发明内容

本发明实施例提供一种交互式身份验证方法、装置、系统和相关设备，用以提高身份验证的安全性和通用性。

本发明实施例提供一种交互式身份验证系统，包括：

终端设备，用于在访问互联网应用需要进行身份验证时，与验证信息生成设备建立通信连接；在通过建立的通信连接与所述验证信息生成设备交互得到身份验证信息后，向身份验证服务器发送身份验证请求，所述身份验证请求中携带有所述身份验证信息；

验证信息生成设备，用于生成身份验证信息；并通过与所述终端设备建立的通信连接与所述终端设备交互所述身份验证信息，所述身份验证信息至少包括利用存储的第一密钥对种子信息进行处理后得到的处理后的种子信息，所述种子信息为计算机系统能够处理的任一信息；

身份验证服务器，用于在接收到所述身份验证请求之后，使用自身存储的所述第一密钥对应的第二密钥还原和/或验证所述身份验证信息中包含的处理后的种子信息；根据还原结果或者验证结果确定身份验证是否通过。

本发明实施例提供一种网络侧实施的交互式身份验证方法，包括：

接收终端设备在访问互联网应用需要进行身份验证时发送的身份验证请求，所述身份验证请求中携带有所述终端设备与验证信息生成设备建立通信连接后与所述验证信息生成设备交互得到的身份验证信息，所述身份验证信息中至少包括所述验证信息生成设备利用存储的第一密钥对种子信息进行处理得到的处理后的种子信息，所述种子信息为计算机系统能够处理的任一信息；

从自身存储的密钥中，查找所述第一密钥对应的第二密钥；

使用查找到的第二密钥还原和/或验证处理后的种子信息；

根据还原结果或者验证结果确定身份验证是否通过。

本发明实施例提供一种交互式身份验证装置，包括：

接收单元，用于接收终端设备在访问互联网应用需要进行身份验证时发送的身份验证请求，所述身份验证请求中携带有所述终端设备与验证信息生成设备建立通信连接后与所述验证信息生成设备交互得到的身份验证信息，所述身份验证信息中至少包括所述验证信息生成设备利用存储的第一密钥对种子信息进行处理得到的处理后的种子信息，所述种子信息为计算机系统能够处理的任一信息；

查找单元，用于从自身存储的密钥中，查找所述第一密钥对应的第二密钥；

处理单元，用于使用所述查找单元查找到的第二密钥还原和/或验证处理后的种子信息；

身份验证单元，用于根据还原结果或者验证结果确定身份验证是否通过。

本发明实施例提供一种终端设备侧实施的交互式身份验证方法，包括：

终端设备在访问互联网应用需要进行身份验证时，与验证信息生成设备建立通信连接；

所述终端设备通过所述通信连接与所述验证信息生成设备交互得到身份验证信息，所述身份验证信息至少包括所述验证信息生成设备利用存储的第一密钥对种子信息进行处理后得到的处理后的种子信息，所述种子信息为计算机系统能够处理的任一信息；

所述终端设备向身份验证服务器发送身份验证请求，所述身份验证请求中携带有所述身份验证信息；

所述终端设备接收所述互联网应用对应的应用服务器发送的允许/拒绝访问的响应消息，所述响应消息为所述应用服务器根据所述身份验证服务器发送的身份验证结果发送的。

本发明实施例提供一种终端设备，包括：

通信单元，用于在访问互联网应用需要进行身份验证时，与验证信息生成设备建立通信连接；

交互单元，用于通过所述通信连接与所述验证信息生成设备交互得到身份验证信息，所述身份验证信息至少包括所述验证信息生成设备利用存储的第一密钥对种子信息进行处理后得到的处理后的种子信息，所述种子信息为计算机系统能够处理的任一信息；以及接收所述互联网应用对应的应用服务器发送的允许/拒绝访问的响应消息，所述响应消息为所述应用服务器根据所述身份验证服务器发送的身份验证结果发送的；

发送单元，用于向身份验证服务器发送身份验证请求，所述身份验证请求中携带有所述身份验证信息。

本发明实施例提供的交互式身份验证方法、装置、系统和相关设备，在访问互联网应用需要进行身份验证时，终端设备与验证信息生成设备建立通信连接，并通过建立的通信连接与验证信息生成设备交互验证信息生成设备生成的身份验证信息，身份验证信息中至少包括验证信息生成设备利用自身存储的密钥对种子信息进行处理得到的处理后的种子信息。终端设备将身份验证信息携带在身份验证请求中发送给网络侧的身份验证服务器，身份验证服务器查找自身存储的该验证信息生成设备中存储的密钥所对应的密钥，并利用查找到的密钥还原和/或验证处理后的种子信息，并根据还原结果或者验证结果确定身份验证是否通过。由于上述过程中，一方面，无需用户记忆用户名和密码，终端设备将接收到的身份验证信息发送给身份验证服务器即可进行验证，简化了用户操作，另一方面，身份验证信息为根据处理后的种子信息生成的，其复杂程度高于人类可以记忆的密码，且其是唯一的且不可重复的，因此，即使中途被监听也无法再次使用和伪造，从而提高了身份验证的安全性。另外，本发明实施例提供的身份验证方法，适用于需要对身份进行验证的场景，因此，其提高了身份验证方法的通用性。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本发明的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为本发明实施例中，交互式身份验证系统的结构示意图；

图2为本发明实施例中，身份验证系统中信息交互流程示意图；

图3为本发明实施例中，网络侧实施的交互式身份验证方法的实施流程示意图；

图4为本发明实施例中，网络侧实施的交互式身份验证装置的结构示意图；

图5为本发明实施例中，终端设备侧实施的交互式身份验证方法的实施流程示意图；

图6为本发明实施例中，终端设备的结构示意图。

具体实施方式

为了提高身份验证系统的安全性和通用性，本发明实施例提供了一种身份验证方法、装置、系统及相关设备。

以下结合说明书附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明，并且在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。

实施例一

如图1所示，为本发明实施例提供的身份验证系统的结构示意图，包括验证信息生成设备11、身份验证服务器12和终端设备13，其中：

终端设备13，用于在访问互联网应用需要进行身份验证时，与验证信息生成设备11建立通信连接；在通过建立的通信连接与所述验证信息生成设备交互得到身份验证信息后，向身份验证服务器12发送身份验证请求，身份验证请求中携带有身份验证信息；验证信息生成设备11，用于生成身份验证信息；并通过与终端设备13建立的通信连接与终端设备13交互自身生成的身份验证信息，身份验证信息至少包括利用存储的第一密钥对种子信息进行处理后得到的处理后的种子信息，种子信息为计算机系统能够处理的任一信息；身份验证服务器12，用于在接收到身份验证请求之后，使用自身存储的第一密钥对应的第二密钥还原和/或验证身份验证信息中包含的处理后的种子信息；根据还原结果或者验证结果确定身份验证是否通过。

具体实施时，当用户在访问互联网应用需要进行身份验证时，可以触发建立终端设备13与验证信息生成设备11之间的通信连接。较佳的，本发明实施例中终端设备13与验证信息生成设备11之间可以但不限于采用以下任一方式建立通信连接：耳机接口、蓝牙、红外、NFC(近场通信)、WIFI(无线保真)、USB(通用串行接口)或者OTG(On-The-Go，数据传输接口)等。

具体实施时，在建立通信连接之后，验证信息生成设备11在生成身份验证信息之后，可以与终端设备13通过建立的通信连接交互自身生成的身份验证信息。具体实现时，可以为终端设备13主动从验证信息读取验证信息生成设备11生成的身份验证信息，也可以为验证信息生成设备11主动将自身生成的身份验证信息发送给终端设备13。本发明实施例对此不做限定。

其中，验证信息生成设备11生成的身份验证信息中至少包括验证信息生成设备11利用存储的第一密钥对种子信息进行处理后得到的处理后的种子信息，较佳的，具体实施时，种子信息可以为计算机系统可处理的任一信息，如已知的固定信息(比如名字、固定的数字等等)、随机数、时间、累加计数器等等，只要是能够使用密钥进行处理的信息均可，本发明对此不做限定。

为了便于说明，以种子信息为验证信息生成设备11的当前时间为例。这样，身份验证服务器12可以用于在确定还原出的验证信息生成设备11的当前时间与自身的当前时间之间的间隔在预设时间间隔范围之内时，确定身份验证通过；还可以用于确定对验证信息生成设备11的当前时间的验证通过时，确定身份验证通过。

具体实施时，验证信息生成设备11可以由安全存储模块、运算模块和通信模块组成，其中，安全存储模块中存储有该验证信息生成设备11的密钥。在需要进行身份验证时，验证信息生成设备11可以按照以下方法生成身份验证信息：

运算模块利用安全存储模块预先存储的密钥(即第一密钥)对种子信息进行处理得到处理后的种子信息。具体实施时，运算模块可以利用安全存储模块存储的密钥对种子信息进行加密得到该种子信息对应的密文信息；或者运算模块也可以利用安全存储模块存储的密钥对种子信息进行签名得到签名后的种子信息，还可以对种子信息进行哈希运算得到对应的哈希值。

通信模块将运算模块得到的处理后的种子信息携带在身份验证信息中发送给终端设备13，或者终端设备13主动向验证信息生成设备的通信模块获取包含处理的种子信息的身份验证信息。终端设备13将得到的处理后的种子信息携带在身份验证请求中发送给网络侧的身份验证服务器12，身份验证服务器12从自身存储的密钥中查找该验证信息生成设备11存储的密钥所对应的密钥(即第二密钥)并使用查找到的密钥还原和/或验证处理后的种子信息，根据还原结果或者验证结果确定身份验证是否通过。

较佳的，具体实施时，本发明实施例提供的交互式身份验证系统可以采用对称密钥加密体系，也可以采用非对称密钥加密体系。如果采用对称密钥加密体系，验证信息生成设备11的安全存储模块存储的密钥和身份验证服务器12存储的密钥相同。如果采用非对称密钥加密体系，可以为每一个验证信息生成设备随机生成一组公钥和私钥，验证信息生成设备11的安全存储模块存储私钥，身份验证服务器12存储公钥。相比于对称密钥加密机制，非对称密钥加密机制能够进一步提高身份验证系统的安全性，这种情况下，即使身份验证服务器12被入侵，攻击者也无法伪造用户登录。

具体实施时，在使用非对称密钥加密技术时，如果验证信息生成设备11使用私钥对种子信息进行签名，则身份验证服务器12存储的公钥可以用于对已签名的种子信息进行验证；如果验证信息生成设备11使用私钥对种子信息进行加密，则身份验证服务器12存储的公钥可以用于对加密的种子信息进行解密，得到种子信息。若使用对称密钥加密技术，如果验证信息生成设备11使用存储的密钥对种子信息进行签名，则身份验证服务器12存储的密钥可以用于对已签名的种子信息进行验证；如果验证信息生成设备11使用存储的密钥对种子信息进行加密，则身份验证服务器12存储的密钥既可以用于对加密的种子信息进行解密得到种子信息后再验证，也可以不还原直接验证密文；如果验证信息生成设备11使用哈希算法对种子信息进行哈希运算得到哈希值，则身份验证服务器12可以用于对得到的哈希值进行验证。

以种子信息为验证信息生成设备11的当前时间为例，如果还原得到的验证信息生成设备11的当前时间与身份验证服务器12的当前时间之间的时间间隔在预设时间间隔范围之内(如可以设置为极短的时间间隔)，确定身份验证通过，否则，确定身份验证不通过；或者确定对验证信息生成设备11的当前时间的验证通过时，确定身份验证通过，否则确定身份验证不通过。

上述方法中，身份验证服务器12在接收到终端设备的身份验证请求之后，需要从自身存储的所有密钥中查找验证信息生成设备11中存储的密钥对应的密钥还原和/或验证处理后的种子信息。具体的，身份验证服务器12可以依次尝试自身存储的每一密钥，直至其能够还原和/或验证处理后的种子信息为止。

较佳的，为了提高身份验证服务器12还原和/或验证处理后的种子信息的效率，本发明实施例中，验证信息生成设备11在生成身份验证信息时，还可以包含该验证信息生成设备11的设备标识，这样，终端设备13可以从接收到的身份验证信息中获取该设备标识，并和处理后的种子信息一起携带在身份验证请求中一并发送给身份验证服务器12，身份验证服务器12可以根据设备标识从预先存储的设备标识与密钥的对应关系中直接查找该设备标识对应的密钥，将其作为验证信息生成设备11中存储的密钥对应的密钥。

具体实施时，终端设备13还可以用于在向身份验证服务器12发送身份验证请求之前，获取用户所访问的互联网应用的应用标识，并将获取的应用标识携带在身份验证请求中发送给身份验证服务器12。以便身份验证服务器12在得到身份验证结果之后，将得到的身份验证结果通知给该应用标识对应的应用服务器。具体的，身份验证服务器12可以从预先存储的应用标识与应用服务器标识的对应关系中查找所述应用标识对应的应用服务器标识，根据查找到的应用服务器标识将身份验证结果发送给该应用服务器标识对应的应用服务器。

具体实施时，由于用户可能使用进行身份验证的终端设备访问互联网应用，也可能通过其它终端设备访问互联网应用，因此，本发明实施例汇中，终端设备13可以按照以下两种方式中的任一种获取用户所访问的互联网应用的应用标识：

方式一、若用户使用进行身份验证的终端设备13访问互联网应用时，终端设备13可以通过调用互联网应用提供的接口获取该互联网应用的应用标识；若用户使用其它终端设备访问互联网应用时，其可以使用终端设备13扫描该互联网应用提供的图形码(可以但不限于为二维码)获取该互联网应用的应用标识。

具体实施时，为了提高互联网应用访问的安全性，终端设备13在建立与验证信息生成设备11之间的通信连接之后，终端设备13还可以获取用户所访问的互联网应用的应用识别码，并将获取的应用识别码发送给验证信息生成设备11，验证信息生成设备11利用自身存储的第一密钥对该应用识别码进行处理之后，将其携带在身份验证信息中发送给终端设备13，终端设备13将接收到处理后的应用识别码携带在身份验证请求中发送给身份验证服务器12。具体实施时，终端设备13获取应用识别码的方式与上述终端设备13获取应用标识的方式相同，这里不再赘述。

较佳的，应用识别码是一个全局唯一的编码，在不同的互联网应用、不同的终端设备、不同时间上都不重复。较佳的，该应用识别码可以但不限于为UUID(Universally Unique Identifier，通用唯一识别码)或者GUID(GloballyUnique Identifier，全局唯一标识符)，当然也可以是采用类似技术实现的全局范围内的一个标识，为了便于描述以下以UUID为例进行说明。

身份验证服务器12在接收到处理后的应用识别码之后，如果验证信息生成设备11对该应用识别码进行了加密处理，则身份验证服务器12需要利用自身存储的第二密钥对其进行解密之后与身份验证结果一并发送给对应的应用服务器，应用服务器根据接收到的应用识别码可以确定用户访问互联网应用的终端设备，并根据身份验证服务器12发送的身份验证结果向该终端设备发送允许/拒绝访问的响应消息。

实施例二

为了更好的理解本发明实施例，以下结合身份验证时的信息交互流程对本发明实施例的具体实施过程进行说明，为了便于说明，本发明实施例以用户访问网上银行为例进行说明，用户登录网上银行的流程如图2所示，可以包括以下步骤：

S21、用户访问互联网应用时，建立终端设备与验证信息生成设备之间的通信连接。

具体实施时，用户可能通过以下两种方式访问网上银行：

方式一、

用户使用获取身份验证信息的终端设备访问网上银行，例如，用户使用手机访问网上银行，同时使用该手机获取验证信息生成设备生成的身份验证信息。这种情况下，用户所访问的网上银行的登录页面需要提供使用本发明实施例提供的身份验证方法封装的应用程序接口，在用户需要登录网上银行时通过调用该应用程序接口触发对用户的身份验证。

方式二、

用户使用获取身份验证信息的终端设备以外的其他终端设备访问网上银行，例如用户使用电脑访问网上银行，使用自己的手机获取验证信息生成设备生成的身份验证信息。这种情况下，网上银行登录页面需要嵌入本发明实施例提供的身份验证方法封装的验证程序，并在登录页面以图形码(可以但不限于为二维码)的形式显示，当用户需要登录网上银行时，直接扫描该二维码便可以触发对用户的身份验证。

S22、验证信息生成设备生成身份验证信息。

在触发对用户的身份验证之后，用户通过触发自己拥有的验证信息生成设备(该设备可以为用户注册银行账户时由银行提供给用户)生成身份验证信息，例如，用户通过验证信息生成设备提供的按键触发验证信息生成设备生成身份验证信息，验证信息生成设备生成身份验证信息的具体方法可以参见上述实施例一中的描述，这里不再赘述。

较佳的，为了避免用户丢失验证信息生成设备带来的风险，本发明实施例中，验证信息生成设备还可以在生成身份验证信息之前对用户身份进行识别，例如，可以通过指纹进行识别，也可以通过用户预先设置的密码对用户进行识别，这里不做限定，相应的，验证信息生成设备还可以包括数字按键或者指纹采集装置。

具体实施时，步骤S22也可以先于步骤S21执行，即验证信息生成设备先生成身份验证信息，再与终端设备建立通信连接，二者也可以同时执行，本发明实施例对此不做限定。

S23、验证信息生成设备与终端设备交互其生成的身份验证信息。

具体实施时，验证信息生成设备利用自身存储的密钥对种子信息进行处理得到处理后的种子信息，将处理后的种子信息和自身的设备标识携带在身份验证信息中发送给终端设备或者由终端设备从验证信息生成设备读取该身份验证信息。

S24、终端设备向网络侧的身份验证服务器发送身份验证请求。

其中，身份验证请求中携带有得到的处理后的种子信息和验证信息生成设备的设备标识。

需要说明的是，终端设备还可以获取用户所访问的互联网应用的应用识别码和应用标识，并将其携带在身份验证请求中一并发送给身份验证服务器。

具体实施时，终端设备可以在与验证信息生成设备建立通信连接之前获取用户所访问的互联网应用的应用标识，也可以在与验证信息生成设备建立通信连接之后获取用户所访问的互联网应用的应用标识，也可以在接收到身份验证信息之后再获取用户所访问的互联网应用的应用标识，只要是在发送身份验证请求之前获取均可，本发明对此不做限定。

例如，如果用户通过上述第一种方式访问互联网应用，则终端设备可以直接获取用户当前正在访问的互联网应用的应用标识或者应用名称及其对应的UUID一并发送给身份验证服务器；如果用户通过上述第二种方式访问互联网应用，则在生成登录页面显示的图形码中包括互联网应用的应用标识或者应用名称和该互联网应用对应的UUID，这样，终端设备通过扫描该图形码便可以获取应用标识或者应用名称和该互联网应用对应的UUID，与从验证信息生成设备生成的二维码中获取的处理后的种子信息和验证信息生成设备的设备标识一并发送给身份验证服务器。

较佳的，为了提高数据传输的安全性，终端设备可以将获取的UUID发送给验证信息生成设备进行处理之后，再发送给身份验证服务器，以防止其在传输过程中被篡改。应当理解，如果终端设备将UUID发送给验证信息生成设备进行处理时，其需要在建立通信连接之前获取UUID和应用标识或者在建立连接通信之后接收到身份验证信息之前获取UUID和应用标识。以便验证信息生成设备将处理后的UUID携带在身份验证信息中一并发送给终端设备。

具体实施时，终端设备可以通过有线网络、无线网络和移动通信网络等向网络侧的身份验证服务器发送身份验证请求。

S25、身份验证服务器根据身份验证请求中携带的设备标识查找对应的密钥。

S26、身份验证服务器利用查找到的密钥还原和/或验证处理后的当前时间信息。

S27、身份验证服务器进行身份验证。

具体实施时，以验证信息生成设备对当前时间加密为例，身份验证服务器比较还原出的验证信息生成设备的当前时间和自身的当前时间，如果时间间隔不超过预设的时间间隔则确定验证通过，否则，确定验证不通过。

S28、身份验证服务器向提供互联网应用的应用服务器发送验证结果。

具体实施时，身份验证服务器根据身份验证请求中携带的应用标识或者应用名称向该应用标识或者应用名称对应的应用服务器提供验证结果，并在发送的验证结果中携带用户当前访问的互联网应用的UUID。

S29、应用服务器向终端设备发送允许/拒绝访问的响应消息。

具体实施时，应用服务器根据UUID确定用户访问互联网应用的终端设备及应用程序，并根据验证结果向该终端设备发送允许/拒绝访问的响应消息。

具体实施时，本发明实施例提供的身份验证系统可以针对不同的互联网应用提供一个验证信息生成设备，也可以针对安全要求高的互联网应用如网上银行、在线支付等提供单独的验证信息生成设备，此时，身份验证服务器需要维护互联网应用的应用标识与其对应的验证信息生成设备的设备标识以及密钥之间的对应关系，以对不同的互联网应用提供身份验证。

需要说明的是，本发明实施例中涉及的终端设备可以为手机、平板电脑、PDA(个人数字助理)、智能手表等移动终端设备，也可以是PC(个人电脑)等设备，只要是安装有摄像装置或扫描装置，能够扫描获取验证信息生成设备生成的图形码的终端设备均可。

另外，本发明实施例中涉及的互联网应用包括能够通过互联网/移动互联网进行访问的网站、应用程序客户端等。

由于现有的采用加密机制的安全系统中，非对称密钥加密技术的安全性已得到充分理论证明，并广泛使用。但其最主要的缺点是密钥太长，人类无法直接记忆和输入，用户通常需要将密钥存储在电脑文件或硬件设备中，使用时进行导入，这样，便存在密钥泄露的风险，且使用极为不便。而本发明实施例中，由于图形码作为一种方便的机器自动识别技术，可以用来表示密文信息，且容易被识别和传输进而解密。这解决了现有的非对称密钥加密机制中密钥太长，不便于直接使用的问题。此外，本发明实施例中，使用独立硬件生成身份验证信息，可以避免私钥被窃取、复制和篡改，具有极高的安全性。同时，本发明实施例中使用非对称密钥加密机制时，私钥存储在验证信息生成设备的安全存储模块中，公钥存储在身份验证服务器中，即使身份验证服务器遭受黑客入侵，公钥全部泄露，攻击者也无法伪造任何用户的身份进行验证，从而不构成任何威胁。最后，由于密钥的长度和强度足够，因此可以直接使用验证信息生成设备的设备标识(可以为其唯一的编号)作为用户名，每次对种子信息加密生成的密文信息或已签名的信息作为密码进行身份验证，实现一次一密，且密码复杂度远远高于普通人类设置的密码，安全性和便利性均大大提高。

因此，相对于传统的身份验证方法，本发明实施例提供的身份验证方法安全性更高，实现了高度复杂的密码和一次一密，避免了密码被窃取的风险。且本发明实施例提供的身份验证方法，更方便快捷，用户无需记忆和输入各种不同的用户名和密码，直接根据验证信息生成设备接收到的身份验证信息即可快速完成身份验证过程。

由于本发明实施例提供的身份验证方法中的密码长度和强度比普通用户设置的密码及现有的RSA SecurID双因素认证令牌使用的6位纯数字高很多，因此，可以直接作为主密码进行身份验证。

基于同一发明构思，本发明实施例中还分别提供了一种网络侧和终端侧实施的身份验证方法、装置和相关设备，由于上述方法、装置及设备解决问题的原理与身份验证系统相似，因此上述方法、装置及设备的实施可以参见方法的实施，重复之处不再赘述。

如图3所示，为本发明实施例提供的网络侧实施的交互式身份验证方法的实施流程示意图，可以包括以下步骤：

S31、接收终端设备在访问互联网应用需要进行身份验证时发送的身份验证请求。

所述身份验证请求中携带有所述终端设备与验证信息生成设备建立通信连接后与所述验证信息生成设备交互得到的身份验证信息，所述身份验证信息中至少包括所述验证信息生成设备利用存储的第一密钥对种子信息进行处理得到的处理后的种子信息，所述种子信息为计算机系统能够处理的任一信息；

S32、从自身存储的密钥中，查找所述第一密钥对应的第二密钥。

S33、使用查找到的第二密钥还原和/或验证处理后的种子信息。

S34、根据还原结果或者验证结果确定身份验证是否通过。

其中，身份验证信息中还包括所述验证信息生成设备的设备标识；所述身份验证请求中还携带有所述设备标识；则步骤S32中，可以按照以下方法从自身存储的密钥中，查找所述第一密钥对应的第二密钥：

步骤一、根据所述设备标识，从自身存储的设备标识与密钥的对应关系中查找所述设备标识对应的密钥；

步骤二、将所述设备标识对应的密钥作为所述第一密钥对应的第二密钥。

具体实施时，种子信息可以为验证信息生成设备的当前时间。则步骤S24中，可以按照以下方法确定身份验证通过：在确定还原出的验证信息生成设备的当前时间与当前时间之间的间隔在预设时间间隔范围之内时，确定身份验证通过；或者确定对所述验证信息生成设备的当前时间的验证通过时，确定身份验证通过。

具体实施时，所述处理后的种子信息为所述验证信息生成设备利用存储的密钥对所述种子信息进行加密、签名或者哈希运算得到的；则步骤S33中可以按照以下方法利用查找到的密钥还原和/或验证处理后的种子信息：利用查找到的密钥对加密的种子信息进行解密得到所述种子信息；或者利用查找到的密钥对已签名的种子信息进行验证；或者利用查找到的密钥对所述种子信息进行哈希运算后得到的哈希值进行验证。

具体实施时，所述身份验证请求中还携带有所述互联网应用的应用标识；则所述方法，还可以包括以下步骤：

步骤一、从预先存储的应用标识与应用服务器标识的对应关系中查找所述应用标识对应的应用服务器标识；

步骤二、向所述应用服务器标识对应的应用服务器发送身份验证结果。

如图4所示，为本发明实施例提供的交互式身份验证装置，包括：

接收单元41，用于接收终端设备在访问互联网应用需要进行身份验证时发送的身份验证请求，所述身份验证请求中携带有所述终端设备与验证信息生成设备建立通信连接后，与所述验证信息生成设备交互得到的身份验证信息，所述身份验证信息中至少包括所述验证信息生成设备利用存储的第一密钥对种子信息进行处理得到的处理后的种子信息，所述种子信息为计算机系统能够处理的任一信息；

查找单元42，用于从自身存储的密钥中，查找所述第一密钥对应的第二密钥；

处理单元43，用于使用所述查找单元查找到的第二密钥还原和/或验证处理后的种子信息；

身份验证单元44，用于根据还原结果或者验证结果确定身份验证是否通过。

具体实施时，所述身份验证信息中还包括所述验证信息生成设备的设备标识；所述身份验证请求中还携带有所述设备标识；则查找单元42，具体用于根据所述设备标识，从自身存储的设备标识与密钥的对应关系中查找所述设备标识对应的密钥；将所述设备标识对应的密钥作为所述第一密钥对应的第二密钥。

具体实施时，所述种子信息为验证信息生成设备的当前时间，则身份验证单元44，可以用于在确定还原出的验证信息生成设备的当前时间与当前时间之间的间隔在预设时间间隔范围之内时，确定身份验证通过；或者确定对所述验证信息生成设备的当前时间的验证通过时，确定身份验证通过。

具体实施时，处理后的种子信息为所述验证信息生成设备利用存储的密钥对所述种子信息进行加密、签名或者哈希运算得到的；则处理单元43，可以用于利用查找到的密钥对加密的种子信息进行解密得到所述种子信息；或者利用查找到的密钥对已签名的种子信息进行验证；或者利用查找到的密钥对所述种子信息进行哈希运算后得到的哈希值进行验证。

具体实施时，身份验证请求中还携带有所述互联网应用的应用标识；则本发明实施例提供的交互式身份验证装置，还可以包括发送单元，其中：

查找单元42，还用于从预先存储的应用标识与应用服务器标识的对应关系中查找所述应用标识对应的应用服务器标识；

发送单元，用于向所述应用服务器标识对应的应用服务器发送身份验证结果。

为了描述的方便，以上各部分按照功能划分为各模块(或单元)分别描述。当然，在实施本发明时可以把各模块(或单元)的功能在同一个或多个软件或硬件中实现，例如，上述网络侧实施的交互式身份验证装置可以设置在身份验证服务器中。

如图5所示，为本发明实施例提供的终端侧实施的交互式身份验证方法，包括：

S51、终端设备在访问互联网应用需要进行身份验证时，与验证信息生成设备建立通信连接。

S52、终端设备通过建立的通信连接与所述验证信息生成设备交互得到身份验证信息。

所述身份验证信息至少包括所述验证信息生成设备利用存储的第一密钥对种子信息进行处理后得到的处理后的种子信息，所述种子信息为计算机系统能够处理的任一信息；

S53、终端设备向身份验证服务器发送身份验证请求。

所述身份验证请求中携带有所述身份验证信息；

S54、终端设备接收互联网应用对应的应用服务器发送的允许/拒绝访问的响应消息。

所述响应消息为所述应用服务器根据所述身份验证服务器发送的身份验证结果发送的。

具体实施时，终端设备向身份验证服务器发送身份验证请求之前，还可以包括以下步骤：

步骤一、终端设备获取所述互联网应用的应用标识；

步骤二、将所述应用标识携带在所述身份验证请求中。

具体实施时，终端设备可以按照以下任一方式获取所述互联网应用的应用标识：若使用所述终端设备访问所述互联网应用时，所述终端设备通过所述互联网应用提供的接口获取所述互联网应用的应用标识；若使用除所述终端设备以外的其它终端设备访问所述互联网应用时，所述终端设备通过扫描所述互联网应用提供的图形码获取所述互联网应用的应用标识。

如图6所示，为本发明实施例提供的终端设备的结构示意图，可以包括：

通信单元61，用于在访问互联网应用需要进行身份验证时，与验证信息生成设备建立通信连接。

交互单元62，用于通过所述通信连接与所述验证信息生成设备交互得到身份验证信息。

所述身份验证信息至少包括所述验证信息生成设备利用存储的第一密钥对种子信息进行处理后得到的处理后的种子信息，所述种子信息为计算机系统能够处理的任一信息；以及接收所述互联网应用对应的应用服务器发送的允许/拒绝访问的响应消息，所述响应消息为所述应用服务器根据所述身份验证服务器发送的身份验证结果发送的；

发送单元63，用于向身份验证服务器发送身份验证请求。

所述身份验证请求中携带有所述身份验证信息。

具体实施时，本发明实施例提供的终端设备还可以包括获取单元，其中：

获取单元，还用于获取所述互联网应用的应用标识；

发送单元63，还可以用于将所述应用标识携带在所述身份验证请求中。

其中，获取单元，可以用于若使用所述终端设备访问所述互联网应用时，通过所述互联网应用提供的接口获取所述互联网应用的应用标识；若使用除所述终端设备以外的其它终端设备访问所述互联网应用时，通过扫描所述互联网应用提供的图形码获取所述互联网应用的应用标识。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (9)

1.一种交互式身份验证系统，其特征在于，包括：

终端设备，用于在访问互联网应用需要进行身份验证时，与验证信息生成设备建立通信连接；在通过建立的通信连接与所述验证信息生成设备交互得到身份验证信息后，向身份验证服务器发送身份验证请求，所述身份验证请求中携带有所述身份验证信息；

验证信息生成设备，用于生成身份验证信息；并通过与所述终端设备建立的通信连接与所述终端设备交互所述身份验证信息，所述身份验证信息至少包括利用存储的第一密钥对种子信息进行处理后得到的处理后的种子信息，所述种子信息为计算机系统能够处理的任一信息；

身份验证服务器，用于在接收到所述身份验证请求之后，使用自身存储的所述第一密钥对应的第二密钥还原和/或验证所述身份验证信息中包含的处理后的种子信息；根据还原结果或者验证结果确定身份验证是否通过；

其中验证信息生成设备为独立的硬件设备；

所述身份验证信息中还包括所述验证信息生成设备的设备标识；以及所述身份验证请求中还包括所述设备标识；

所述身份验证服务器，具体用于按照以下方法确定所述第一密钥对应的第二密钥：根据所述设备标识，从自身存储的设备标识与密钥的对应关系中查找所述设备标识对应的密钥，将所述设备标识对应的密钥确定为所述第一密钥对应的第二密钥；所述种子信息为验证信息生成设备的当前时间；以及

所述身份验证服务器，具体用于在确定还原出的验证信息生成设备的当前时间与自身的当前时间之间的间隔在预设时间间隔范围之内时，确定身份验证通过；或者确定对所述验证信息生成设备的当前时间的验证通过时，确定身份验证通过；

所述验证信息生成设备，具体用于按照以下方法利用存储的密钥对种子信息进行处理：利用存储的密钥对种子信息进行加密、签名或者哈希运算；

所述身份验证服务器，具体用于按照以下方法利用查找到的密钥还原和/或验证处理后的种子信息：利用查找到的密钥对加密的种子信息进行解密得到所述种子信息；或者利用查找到的密钥对已签名的种子信息进行验证；或者利用查找到的密钥对所述种子信息进行哈希运算后得到的哈希值进行验证；

所述终端设备，具体用于按照以下方式中的任一种与所述验证信息生成设备建立通信连接：耳机接口、蓝牙、红外、近场通信NFC、无线保真WIFI、通用串行接口USB或者数据传输接口OTG。

2.如权利要求1所述的系统，其特征在于，

所述终端设备，还用于获取所述互联网应用的应用标识；以及将所述应用标识携带在所述身份验证请求中发送给所述身份验证服务器；

所述身份验证服务器，还用于从预先存储的应用标识与应用服务器标识的对应关系中查找所述应用标识对应的应用服务器标识；向所述应用服务器标识对应的应用服务器发送身份验证结果。

3.如权利要求2所述的系统，其特征在于，

所述终端设备，具体用于在使用所述终端设备访问所述互联网应用时，通过所述互联网应用提供的接口获取所述互联网应用的应用标识；或者在使用除所述终端设备以外的终端设备访问所述互联网应用时，通过扫描所述互联网应用提供的图形码获取所述互联网应用的应用标识。

4.如权利要求1所述的系统，其特征在于，

所述终端设备，还用于获取所述互联网应用的应用识别码；将获取的应用识别码发送给所述验证信息生成设备；以及将所述验证信息生成设备发送的处理后的应用识别码携带在所述身份验证请求中发送给所述身份验证服务器；

所述验证信息生成设备，还用于利用存储的第一密钥对所述应用识别码进行处理；以及将处理后的应用识别码携带在身份验证信息中发送给所述终端设备。

5.一种交互式身份验证方法，其特征在于，包括：

接收终端设备在访问互联网应用需要进行身份验证时发送的身份验证请求，所述身份验证请求中携带有所述终端设备与验证信息生成设备建立通信连接后与所述验证信息生成设备交互得到的身份验证信息，其中验证信息生成设备为独立的硬件设备；所述身份验证信息中至少包括所述验证信息生成设备利用存储的第一密钥对种子信息进行处理得到的处理后的种子信息，所述种子信息为计算机系统能够处理的任一信息；

从自身存储的密钥中，查找所述第一密钥对应的第二密钥；

使用查找到的第二密钥还原和/或验证处理后的种子信息；

根据还原结果或者验证结果确定身份验证是否通过；

所述身份验证信息中还包括所述验证信息生成设备的设备标识；所述身份验证请求中还携带有所述设备标识；以及

从自身存储的密钥中，查找所述第一密钥对应的第二密钥，具体包括：

根据所述设备标识，从自身存储的设备标识与密钥的对应关系中查找所述设备标识对应的密钥；

将所述设备标识对应的密钥作为所述第一密钥对应的第二密钥；

所述种子信息为验证信息生成设备的当前时间；以及

按照以下方法确定身份验证通过：

在确定还原出的验证信息生成设备的当前时间与当前时间之间的间隔在预设时间间隔范围之内时，确定身份验证通过；或者

确定对所述验证信息生成设备的当前时间的验证通过时，确定身份验证通过；

所述处理后的种子信息为所述验证信息生成设备利用存储的密钥对所述种子信息进行加密、签名或者哈希运算得到的；以及

利用查找到的密钥还原和/或验证处理后的种子信息，具体包括：

利用查找到的密钥对加密的种子信息进行解密得到所述种子信息；或者

利用查找到的密钥对已签名的种子信息进行验证；或者

利用查找到的密钥对所述种子信息进行哈希运算后得到的哈希值进行验证。

6.如权利要求5所述的方法，其特征在于，所述身份验证请求中还携带有所述互联网应用的应用标识；

所述方法，还包括：

从预先存储的应用标识与应用服务器标识的对应关系中查找所述应用标识对应的应用服务器标识；

向所述应用服务器标识对应的应用服务器发送身份验证结果。

7.一种交互式身份验证装置，其特征在于，包括：

接收单元，用于接收终端设备在访问互联网应用需要进行身份验证时发送的身份验证请求，所述身份验证请求中携带有所述终端设备与验证信息生成设备建立通信连接后与所述验证信息生成设备交互得到的身份验证信息，其中验证信息生成设备为独立的硬件设备；所述身份验证信息中至少包括所述验证信息生成设备利用存储的第一密钥对种子信息进行处理得到的处理后的种子信息，所述种子信息为计算机系统能够处理的任一信息；

查找单元，用于从自身存储的密钥中，查找所述第一密钥对应的第二密钥；

处理单元，用于使用所述查找单元查找到的第二密钥还原和/或验证处理后的种子信息；

身份验证单元，用于根据还原结果或者验证结果确定身份验证是否通过；

所述身份验证信息中还包括所述验证信息生成设备的设备标识；所述身份验证请求中还携带有所述设备标识；以及

所述查找单元，具体用于根据所述设备标识，从自身存储的设备标识与密钥的对应关系中查找所述设备标识对应的密钥；将所述设备标识对应的密钥作为所述第一密钥对应的第二密钥；所述种子信息为验证信息生成设备的当前时间；以及

所述身份验证单元，具体用于在确定还原出的验证信息生成设备的当前时间与当前时间之间的间隔在预设时间间隔范围之内时，确定身份验证通过；或者确定对所述验证信息生成设备的当前时间的验证通过时，确定身份验证通过；

所述处理后的种子信息为所述验证信息生成设备利用存储的密钥对所述种子信息进行加密、签名或者哈希运算得到的；以及

所述处理单元，具体用于利用查找到的密钥对加密的种子信息进行解密得到所述种子信息；或者利用查找到的密钥对已签名的种子信息进行验证；或者利用查找到的密钥对所述种子信息进行哈希运算后得到的哈希值进行验证。

8.如权利要求7所述的装置，其特征在于，所述身份验证请求中还携带有所述互联网应用的应用标识；

所述装置，还包括发送单元，其中：

所述查找单元，还用于从预先存储的应用标识与应用服务器标识的对应关系中查找所述应用标识对应的应用服务器标识；

所述发送单元，用于向所述应用服务器标识对应的应用服务器发送身份验证结果。

9.一种身份验证服务器，其特征在于，包括权利要求7～8任一权利要求所述的装置。