CN104901932A - 一种基于cpk标识认证技术的安全登录方法 - Google Patents

Abstract

本发明提供一种基于CPK标识认证技术的安全登录方法。该方法用于实现用户业务通道和用户口令通道的逻辑隔离，保证用户的安全登录；包括了基于CPK标识认证技术的用户服务系统和口令安全服务系统。用户服务系统将接收到的用户登录请求加密后发给口令安全服务系统，口令安全服务系统产生用户登录口令请求将其加密下传到用户智能终端；用户在智能终端上输入用户登录口令并转换成hash值经口令安全服务器中转给用户服务系统来识别用户身份的真实性。用户登录口令hash值的加解密是用用户服务系统产生的随机数的CPK公私钥对，实现了一次一密。整个过程的信息交互采用CPK的标识公私钥对进行加解密，实现了全过程全密态信息交互及认证。

Description

一种基于CPK标识认证技术的安全登录方法

技术领域

本发明涉及互联网的用户服务系统登录的安全性认证办法；尤其涉及一种基于CPK标识认证技术的安全登录方法。

背景技术

随着互联网快速的发展，基于互联网的各类用户服务系统层出不穷，网络已经深入到用户生活的各个方面，用户经常通过网络登录到各类用户服务系统中，用户服务系统都是在同一个网络逻辑通道上输入用户标识和用户口令，用于对用户身份的认证鉴权识别。而在现今的互联网上，病毒、钓鱼网站、木马、黑客等严重威胁着用户登录安全，单一的网络公用通道被攻击时，用户的所有信息资料包括用户登录口令等泄漏的事情时常发生。

如果有一种认证登录的方法，能将互联网的用户服务系统的用户业务通道和用户口令通道进行逻辑隔离，支持用户标识和用户登录口令不同逻辑通道的信息输入，则可大大降低用户标识和用户口令被同时窃取的概率，同时也大大增加冒用用户标识和攻击用户口令登录系统的难度，最终极大地提高了用户的综合安全程度。

发明内容

本发明的实施例提供一种基于CPK标识认证技术的安全登录方法。该方法包括用于实现用户业务通道和用户口令通道逻辑隔离而引入的口令安全服务系统，基于现有CPK标识认证技术实现了用户服务系统的安全登录，用以解决现有大多数互联网用户服务系统的登录安全问题。该方法可用于各种有认证鉴权需求的网络用户服务系统。

为达到上述目的，本发明的实施例采用的如下技术方案：

一种基于CPK标识认证技术的安全登录方法，适用于对用户登录服务的身份认证鉴权，其特征在于：它由用户智能终端、口令安全服务系统(S2)和用户服务系统(S1)组成；

所述用户服务系统(S1)用于对用户提供服务，接收用户服务登录请求和产生随机数并用CPK标识认证技术生成随机数的CPK标识公私钥对，将用户服务登录请求用S2的CPK标识公钥加密和将随机数的CPK标识公钥用用户的CPK标识公钥进行加密，将加密后的信息传递给口令安全服务系统(S2)。口令安全服务系统(S2)用自身的CPK标识私钥解密得到用户服务登录请求，产生出用户登录口令请求，将用户登录口令请求用用户的CPK标识公钥加密，将用户的CPK标识公钥加密的用户登录口令请求和用户的CPK标识公钥加密的随机数公钥一起安全下传到用户智能终端。

用户智能终端用用户的CPK标识私钥解密得到用户登录口令请求和随机数的CPK标识公钥，接收用户输入的S1的用户登录口令并将其转换成用户登录口令的hash值，并用随机数的CPK标识公钥对用户登录口令的hash值进行加密，将加密后的信息经由口令安全服务系统(S2)安全中转给用户服务系统(S1)。用户服务系统(S1)用存在系统中的随机数的CPK标识私钥对其解密得到用户登录口令的hash值并与存在S1系统的用户口令的hash值进行对比验证。若验证通过，返回用户登录同意许可，并提供用户相应的业务服务。若验证失败，返回用户登录拒绝许可。

在所述用户服务系统(S1)中保存有用于认证鉴权的多组信息，每一条所述的多组信息包括用户私有标识、基于用户私有标识产生的用户的CPK标识公私钥对中的CPK标识公钥、用户登录口令、用户登录口令的hash值和关联的电话终端号码及附加鉴权信息。用户私有标识包括但不限于：身份证号码、电话号码、姓名、终端设备的ID号等。

在所述用户智能终端中存有基于用户私有标识产生的用户的CPK标识公私钥对中的CPK标识私钥。用户的CPK标识私钥用于对用户的CPK标识公钥加密的信息进行解密。

所述用户服务系统(S1)在每一次用户服务登录请求时，产生一个随机数(仅这次使用)，再用CPK标识认证技术产生出这个随机数的CPK标识公私钥对。S1将随机数的CPK标识私钥存在用户服务系统(S1)中，用于对随机数的CPK标识公钥加密的信息进行解密；将随机数的CPK标识公钥安全下传到用户智能终端上，用于对用户智能终端的用户登录口令hash值进行认证加密。

所述用户服务系统(S1)用CPK算法产生的随机数的CPK标识公私钥对具有时效性。即用户在智能终端上接收到用户登录请求，需在约定的时间内输入用户口令；若超过约定的时间，基于此次登录请求产生的随机数和随机数的CPK标识公私钥将被丢弃，作废处理。用户若要继续登录用户服务系统，需重新发起新的用户服务登录请求；用户服务系统(S1)再产生新的随机数，从而实现了一次一密。

用户智能终端与口令安全服务系统(S2)之间，口令安全服务系统(S2)与用户服务系统(S1)之间传递的都是用户登录口令产生的用户登录口令的hash值或相应的散列函数计算值。

用户智能终端与口令安全服务系统(S2)之间，口令安全服务系统(S2)与用户服务系统(S1)之间，所有的信息交互都是采用CPK的标识公钥进行加密和CPK的标识私钥进行解密，是端到端过程的全密态信息交互。

口令安全服务系统(S2)和用户服务系统(S1)是基于互联网连接并交互信息；用户智能终端与口令安全服务系统(S2)是基于互联网或移动运营商网络连接并交互信息。

用户服务系统(S1)的用户业务通道和用户口令通道的逻辑隔离。即用户在用户服务系统(S1)的公共业务通道发起用户登录请求，在用户私有的任意智能终端输入用户登录口令，从而实现了用户服务系统(S1)双逻辑隔离通道的安全登录。用户智能终端包括但不限于：电脑、智能手机、PDA等。

附图说明

图1为本发明的用户登录用户服务系统认证鉴权的流程图

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，下面将结合实施例和附图，对本发明进一步详细说明。

本发明提供一种用于对用户服务系统(S1)的用户服务登录的身份认证鉴权的安全登录方法，引入口令安全服务系统(S2)，用于实现用户业务通道和用户口令通道的逻辑隔离，并基于现有的CPK标识认证技术实现用户服务登录的全流程全密态的安全登录。

用户服务系统(S1)为在互联网提供用户服务的系统。当用户需要使用该用户服务系统(S1)时，用户需要在S1上注册，提交S1所需求的用户标识和认证的用户私有信息。用户私有信息包括用户帐号标识、用户登录口令、身份证号、电话终端号码、邮箱以及其他的识别认证用户私有信息，具体看S1的类型而会有所不同。用户服务系统(S1)根据用户私有信息提取出用户私有标识并将用户私有标识用CPK标识认证技术生成用户的CPK标识公私钥对。用户私有标识包括但不限于：身份证号码、电话号码、姓名、终端设备的ID号等。用户服务系统(S1)中保存有用于认证鉴权的多组信息，每一条所述的多组信息包括用户私有标识、用户的CPK标识公钥、随机数的CPK标识公私钥对中的随机数的CPK标识私钥(临时产生，每次随机)、用户登录口令、用户登录口令的hash值和关联的电话终端号码及附加鉴权信息。用户智能终端里面保存了用户的CPK标识私钥，用户的CPK标识私钥是用用户智能终端的开机口令或者开屏口令来进行加密保护的。

当用户需要使用用户服务系统(S1)提供的服务并同意用S1提供的基于CPK标识认证技术的安全登录的方式，用户第一次登录S1时，应按照S1的要求在其常使用的智能终端(如能代表用户私人身份的智能手机)上面安装相应的服务系统。用户智能终端上的该服务系统用于提供用户在用户服务系统发起登录请求时用户登录口令的的输入(包括用户口令的修改等)，将用户输入的用户口令明文转换成hash值，并将用户口令的hash值用接收到的随机数的CPK标识公钥进行加密后，通过互联网(专线、VPN方式以及其他方式)或移动运营商的网络发给口令安全服务系统(S2)。S2将收到用户智能终端的加密信息通过互联网(专线、VPN方式以及其他方式)直接中转给用户服务系统(S1)。S1要识别验证解密得到的用户口令的hash值是否与已存于系统的相关信息一致，来判断用户身份的真实性。

用户服务系统(S1)在每一次用户服务登录请求时，产生一个随机数(仅供这次使用)，再用CPK标识认证技术产生出这个随机数的CPK的标识公私钥对(随机数的CPK的标识公私钥对和随机数一样，仅供这次使用并且其使用具有时效性)。在用户服务系统(S1)中有一个随机数私有协议，用于对产生的随机数的CPK标识公私钥对加以高速配对，并将随机数的CPK标识公私钥对与用户标识临时绑定，直至登录结束。当S1收到很多基于随机数的CPK标识公钥加密的信息，可快速找到其对应的随机数的CPK标识私钥进行解密。用用户的CPK标识公钥将随机数的CPK标识公钥加密后通过互联网(专线、VPN方式以及其他方式)发给口令安全服务系统(S2)，并由S2通过互联网(专线、VPN方式以及其他方式)或者移动运营商的网络安全中转下传到用户智能终端，用于对用户智能终端的用户登录口令的hash值进行加密。当用户智能终端接收到用户登录口令请求，需在约定的时间内输入用户登录口令。若超过约定的时间，基于此次登录请求产生的随机数和随机数的CPK标识公私钥将被丢弃，作废处理。用户若要继续登录用户服务系统，需重新发起新一轮的用户服务登录请求；用户服务系统(S1)再产生新的随机数。

口令安全服务系统(S2)是该CPK标识认证技术的安全登录方法的关键组成系统，其主要负责用户服务系统(S1)和用户智能终端信息的安全传输和交互，是将用户服务系统的业务通道和用户口令通道逻辑隔离的必备组件。口令安全服务系统与用户服务系统通过互联网(专线、VPN方式以及其他方式)连接，口令安全服务系统与用户智能终端是通过互联网(专线、VPN方式以及其他方式)或移动运营商的网络连接。

参照图1，本发明基于CPK标识认证技术的安全登录方法包括以下步骤：

步骤101：用户在网络终端(电脑、PDA以及智能终端等)上打开用户服务系统(S1)提供的公共业务登录通道，输入用户标识信息请求登录至S1。

步骤102：用户服务系统(S1)收到用户登录请求后，产生一个随机数(仅供这次用户登录请求用使用)，并利用CPK标识认证技术产生出这个随机数的CPK标识公私钥对(仅供这次用户登录请求用使用)。随机数的CPK标识私钥存在S1中，将用S2CPK标识公钥加密的用户登录请求和用用户的CPK标识公钥加密的随机数的CPK标识公钥传递给口令安全服务器(S2)。用户登录请求中包含了用户一些信息，如用户的手机号码、用户的私有标识等信息。

步骤103：口令安全服务器用自身的CPK私钥对接收到S1的信息进行解密得到用户标识(如用户的手机号码、用户的私有标识等)，并产生出用户登录口令请求。用用户的CPK标识公钥对用户登录口令请求进行加密，将用户的CPK标识公钥加密的用户登录口令请求和用用户的CPK标识公钥加密的随机数的CPK标识公钥通过互联网(专线、VPN方式以及其他方式)或移动运营商的网络安全下传到用户智能终端。

步骤104：当用户智能终端收到口令安全服务器(S2)发来的信息后，用用户的CPK标识私钥解密得到随机数的CPK标识公钥和用户登录口令请求的信息。用户打开自己智能终端开机或开屏口令，在其智能终端上输入S1所需要的用户登录口令。用户智能终端将用户口令转换成hash值，用接收到的随机数的CPK标识公钥将用户口令的hash值加密后发送给口令安全服务系统(S2)。

步骤105：口令安全服务系统(S2)将接收到用户智能终端的信息直接中转给用户服务系统(S1)。

步骤106：用户服务系统(S1)将接收到的信息用存在系统中的随机数的CPK标识私钥解密得到用户口令的hash值，将解密得到用户口令的hash值和存在系统中的用户口令hash值进行对比验证并返回验证信息。若验证通过，则允许用户登录用户服务系统，并使用相应的用户服务；若验证失败，则拒绝用户登录用户服务系统。

本发明用CPK算法产生的随机数的CPK标识公私钥对，从全球互联网用户的数量级来看可以认为是无穷的(按CPK理论体系算法，用1G的种子公私钥长度，能产生出10的1000次方个CPK标识公私钥对，其足够海量)。

用户每登录一次用户服务系统，就产生一个有时效性的随机数，并利用CPK标识认证技术产生出这个随机数的CPK的标识公私钥对(也具有时效性)，从而实现了一次一密。基于CPK标识认证体制的特点，整个过程交互的信息都是用公钥加密数据，用私钥来解密数据，实现了全流程全密态的信息传递交互和认证。

由于本发明技术的应用和实施十分广泛，只要是需要对用户身份进行安全验证的用户服务系统都能够采用此方法实现用户服务系统的安全登录。以上所述，仅为本发明的优选实施例，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。

Claims (10)

1.一种基于CPK标识认证技术的安全登录方法，适用于对用户登录服务的身份认证鉴权，其特征在于：它由用户智能终端、口令安全服务系统(S2)和用户服务系统(S1)组成；

所述用户服务系统(S1)用于对用户提供服务，接收用户服务登录请求和产生随机数并用CPK标识认证技术生成随机数的CPK标识公私钥对，将用户服务登录请求用S2的CPK标识公钥加密和将随机数的CPK标识公钥用用户的CPK标识公钥进行加密，将加密后的信息传递给口令安全服务系统(S2)。口令安全服务系统(S2)用自身的CPK标识私钥解密得到用户服务登录请求，产生出用户登录口令请求，将用户登录口令请求用用户的CPK标识公钥加密，将用户的CPK标识公钥加密的用户登录口令请求和用户的CPK标识公钥加密的随机数公钥一起安全下传到用户智能终端。

用户智能终端用用户的CPK标识私钥解密得到用户登录口令请求和随机数的CPK标识公钥，接收用户输入的S1的用户登录口令并将其转换成用户登录口令的hash值，并用随机数的CPK标识公钥对用户登录口令的hash值进行加密，将加密后的信息经由口令安全服务系统(S2)安全中转给用户服务系统(S1)。用户服务系统(S1)用存在系统中的随机数的CPK标识私钥对其解密得到用户登录口令的hash值并与存在S1系统的用户口令的hash值进行对比验证。若验证通过，返回用户登录同意许可，并提供用户相应的业务服务。若验证失败，返回用户登录拒绝许可。

2.如权利要求1所述的一种基于CPK标识认证技术的安全登录方法，其特征在于：上述中的CPK，就是组合公钥体制(Combined Public Key Cryptosystem，简称CPK)，是在椭圆曲线密码(ECC算法)上，由组合矩阵和分割密钥序列构成，是一种先进的标识认证体制。

3.如权利要求1所述的一种基于CPK标识认证技术的安全登录方法，其特征在于：在所述用户服务系统(S1)中保存有用于认证鉴权的多组信息，每一条所述的多组信息包括用户私有标识、基于用户私有标识产生的用户的CPK标识公私钥对中的CPK标识公钥、用户登录口令、用户登录口令的hash值和关联的电话终端号码及附加鉴权信息。用户私有标识包括但不限于：身份证号码、电话号码、姓名、终端设备的ID号等。

4.如权利要求1所述的一种基于CPK标识认证技术的安全登录方法，其特征在于：在所述用户智能终端中存有基于用户私有标识产生的用户的CPK标识公私钥对中的CPK标识私钥。用户的CPK标识私钥用于对用户的CPK标识公钥加密的信息进行解密。

5.如权利要求1所述的一种基于CPK标识认证技术的安全登录方法，其特征在于：所述用户服务系统(S1)在每一次用户服务登录请求时，产生一个随机数(仅这次使用)，再用CPK标识认证技术产生出这个随机数的CPK标识公私钥对。S1将随机数的CPK标识私钥存在用户服务系统(S1)中，用于对随机数的CPK标识公钥加密的信息进行解密；将随机数的CPK标识公钥安全下传到用户智能终端上，用于对用户智能终端的用户登录口令hash值进行认证加密。

6.如权利要求1或5所述的一种基于CPK标识认证技术的安全登录方法，其特征在于：所述用户服务系统(S1)用CPK算法产生的随机数的CPK标识公私钥对具有时效性。即用户在智能终端上接收到用户登录请求，需在约定的时间内输入用户口令；若超过约定的时间，基于此次登录请求产生的随机数和随机数的CPK标识公私钥将被丢弃，作废处理。用户若要继续登录用户服务系统，需重新发起新的用户服务登录请求；用户服务系统(S1)再产生新的随机数，从而实现了一次一密。

7.如权利要求1所述的一种基于CPK标识认证技术的安全登录方法，其特征在于：在用户智能终端与口令安全服务系统(S2)之间，口令安全服务系统(S2)与用户服务系统(S1)之间传递的都是用户登录口令产生的用户登录口令的hash值或相应的散列函数计算值。

8.如权利要求1所述的一种基于CPK标识认证技术的安全登录方法，其特征在于：在所述的用户智能终端与口令安全服务系统(S2)之间，口令安全服务系统(S2)与用户服务系统(S1)之间，所有的信息交互都是采用CPK的标识公钥进行加密和CPK的标识私钥进行解密，是端到端过程的全密态信息交互。

9.如权利要求1所述的一种基于CPK标识认证技术的安全登录方法，其特征在于：口令安全服务系统(S2)和用户服务系统(S1)是基于互联网连接并交互信息；用户智能终端与口令安全服务系统(S2)是基于互联网或移动运营商网络连接并交互信息。

10.如权利要求1所述的一种基于CPK标识认证技术的安全登录方法，其特征在于：用户服务系统(S1)的用户业务通道和用户口令通道的逻辑隔离。即用户在用户服务系统(S1)的公共业务通道发起用户登录请求，在用户私有的任意智能终端输入用户登录口令，从而实现了用户服务系统(S1)双逻辑隔离通道的安全登录。用户智能终端包括但不限于：电脑、智能手机、PDA等。