CN105656862A - 认证方法及装置 - Google Patents

Abstract

本发明公开了一种认证方法及装置，其中该方法包括：响应客户端的认证请求，向所述客户端发送应答消息，其中，该应答消息中携带有所述客户端对应的随机码；接收客户端发送的认证消息，其中该认证消息中携带有认证信息；根据时间信息生成动态口令，利用该动态口令对所述认证信息进行解密，得到解密后的认证信息；根据所述随机码和所述客户端的身份标识按照第一预设算法生成比较信息，将所述比较信息与解密后的认证信息进行比较；如果比较信息与解密后的认证信息一致，通知所述客户端认证成功。通过本发明，采用传统静态密码和动态口令相结合的双因子认证方式，为虚拟化平台的下的虚拟桌面操作系统提供用户身份鉴别服务。

Description

认证方法及装置

技术领域

本发明涉及计算机领域，具体而言，涉及一种认证方法及装置。

背景技术

随着信息化进程的深入和计算机技术的发展，网络化已经成为企业信息化的发展大趋势。人们在享受信息化带来的众多好处的同时，网络安全问题已成为信息时代人类共同面临的挑战，网络信息安全问题成为当务之急。身份认证技术是在计算机网络中确认操作者身份的过程而产生的有效解决方法。计算机网络世界中一切信息包括用户的身份信息都是用一组特定的数据来表示的，计算机只能识别用户的数字身份，所有对用户的授权也是针对用户数字身份的授权。如何保证以数字身份进行操作的操作者就是这个数字身份合法拥有者，也就是说保证操作者的物理身份与数字身份相对应，身份认证技术就是为了解决这个问题，作为防护网络资产的第一道关口，身份认证有着举足轻重的作用。

传统身份认证手段，如智能卡、USBKEY、生物特征(除了静态口令以外的第二因子认证)的技术，运用到涉密信息系统中都具有一定的局限性，特别是在虚拟桌面技术住进应用到涉密信息系统中的场景下，甚至给整个系统带来了一定得风险。

上述身份认证方式都需要计算机设备开放一个端口(例如，USB接口)，认证装置需要和计算机设备发生电器连接，比如USBKey、指纹扫描器、虹膜扫描器等。这样就难以避免攻击者利用这个开放的端口，插入“攻击设备”，对系统进行攻击。另一方面，在虚拟桌面环境下，由于所有的桌面虚拟机都运行在后台，端口被攻破就意味着入侵者进入了后台环境，形成了一条数据传输通路。

动态口令牌是客户手持用来生成动态密码的终端，主流的是基于时间同步方式的，每60秒变换一次动态口令，口令一次有效，它产生6位动态数字进行一次一密的方式认证，真正做到了一次一密，并且由于是双向认证，即：服务器验证客户端，并且客户端也需要验证服务器，从而达到了彻底杜绝木马网站的目的。

由于它使用起来非常便捷，85％以上的世界500强企业运用它保护登录安全，广泛应用在VPN、网上银行、电子政务、电子商务等领域。

动态口令技术这一安全可靠的非接触式身份认证方式为涉密信息系统带来了如下好处：1)算法高度安全；2)非接触式的认证方式，不依赖于任何接口；3)令牌本身不存储任何用户身份相关的信息；4)部署成本低廉；5)稳定可靠。目前市场上有动态口令技术用于涉密信息系统，但是都适合于传统计算环境的，并不适用于虚拟桌面环境。

针对相关技术中身份认证却在的缺陷，目前尚未提出有效的解决方案。

发明内容

针对相关技术中身份认证却在的缺陷，本发明提供了一种认证方法及装置，以至少解决上述问题。

根据本发明的一个方面，提供了一种认证方法，包括：响应客户端的认证请求，向所述客户端发送应答消息，其中，所述应答消息中携带有所述客户端对应的随机码；接收所述客户端发送的认证消息，其中，所述认证消息中携带有认证信息；根据时间信息生成动态口令，利用所述动态口令对所述认证信息进行解密，得到解密后的认证信息；根据所述随机码和所述客户端的身份标识按照第一预设算法生成比较信息，将所述比较信息与所述解密后的认证信息进行比较；如果所述比较信息与所述解密后的认证信息一致，通知所述客户端认证成功。

可选地，所述认证消息中还携带有生成所述认证信息的时间；根据时间信息生成动态口令，包括：从所述认证消息中获取所述时间；根据所述时间和所述客户端的密钥按照第二预设算法生成动态口令。

可选地，接收所述客户端发送的认证消息，包括：接收所述客户端响应所述应答消息发送的认证消息；和/或，接收所述客户端接收到认证失败消息后发送的认证消息。

根据本发明的另一个方面，提供了一种认证方法，包括：接收服务器响应认证请求发送的应答消息，其中，所述应答消息中携带有所述客户端对应的随机码；根据所述随机码和客户端的身份标识按照第一预设算法生成认证信息；根据当前时间和客户端的密钥按照第二预设算法生成动态口令，利用所述动态口令对所述认证信息进行加密；向所述服务器发送认证消息，其中，所述认证消息中携带有加密后的认证信息。

可选地，所述认证消息中还携带有生成所述认证信息的时间。

可选地，所述第一预设算法为单向散列算法。

根据本发明的又一个方面，提供了一种认证装置，包括：发送模块，用于响应客户端的认证请求，向所述客户端发送应答消息，其中，所述应答消息中携带有所述客户端对应的随机码；接收模块，用于接收所述客户端发送的认证消息，其中，所述认证消息中携带有认证信息；解密模块，用于根据时间信息生成动态口令，利用所述动态口令对所述认证信息进行解密，得到解密后的认证信息；比较模块，用于根据所述随机码和所述客户端的身份标识按照第一预设算法生成比较信息，将所述比较信息与所述解密后的认证信息进行比较；通知模块，用于在所述比较信息与所述解密后的认证信息一致时，通知所述客户端认证成功。

可选地，所述认证消息中还携带有生成所述认证信息的时间；所述解密模块根据时间信息生成动态口令，包括：从所述认证消息中获取所述时间；根据所述时间和所述客户端的密钥按照第二预设算法生成动态口令。

根据本发明的再一个方面，提供了一种认证装置，包括：接收模块，用于接收服务器响应认证请求发送的应答消息，其中，所述应答消息中携带有所述客户端对应的随机码；生成模块，用于根据所述随机码和客户端的身份标识按照第一预设算法生成认证信息；加密模块，用于根据当前时间和客户端的密钥按照第二预设算法生成动态口令，利用所述动态口令对所述认证信息进行加密；发送模块，用于向所述服务器发送认证消息，其中，所述认证消息中携带有加密后的认证信息。

可选地，所述认证消息中还携带有生成所述认证信息的时间。

通过本发明实施例，采用传统静态密码和动态口令相结合的双因子认证方式，为虚拟化平台的下的虚拟桌面操作系统提供用户身份鉴别服务。本发明实施例不仅能够对传统设备进行认证，还能够对虚拟桌面等虚拟化设备进行认证。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例的认证方法的流程图一；

图2是根据本发明实施例的认证装置的结构框图一；

图3是根据本发明实施例的认证方法的流程图二；

图4是根据本发明实施例的认证装置的结构框图二；

图5是根据本发明实施例的动态口令身份认证系统的结构框图。

具体实施方式

下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。

图1是根据本发明实施例的认证方法的流程图一，如图1所示，该方法包括步骤101至步骤105：

步骤101，响应客户端的认证请求，向所述客户端发送应答消息，其中，所述应答消息中携带有所述客户端对应的随机码；

步骤102，接收所述客户端发送的认证消息，其中，所述认证消息中携带有认证信息；

步骤103，根据时间信息生成动态口令，利用所述动态口令对所述认证信息进行解密，得到解密后的认证信息；

步骤104，根据所述随机码和所述客户端的身份标识按照第一预设算法生成比较信息，将所述比较信息与所述解密后的认证信息进行比较；

步骤105，如果所述比较信息与所述解密后的认证信息一致，通知所述客户端认证成功。

在本发明实施例的一个实施方式中，上述认证消息中还携带有生成所述认证信息的时间，可选地，生成认证信息的时间为生成认证信息所使用的时间，该时间为客户端的系统时间。根据时间信息生成动态口令，包括：从认证消息中获取所述时间；根据所述时间和所述客户端的密钥按照第二预设算法生成动态口令。

在本发明实施例中，也可以使用系统当前时间生成动态口令。如果动态口令的生成时间与客户端中动态口令的生成时间相差在预定范围之内，则可以生成与客户端相同的动态口令，从而实现对认证信息的解密。

在本发明实施例的一个实施方式中，接收所述客户端发送的认证消息，包括：接收所述客户端响应所述应答消息发送的认证消息；和/或，接收所述客户端接收到认证失败消息后发送的认证消息。通过该实施方式，客户端可以在接收到应答消息后发起认证消息，也可以在认证失败后发起认证消息，而无需再次发送认证请求消息。在具体实施过程中，可以设置客户端再次发起认证消息的间隔时间，以降低认证处理的频率。

图2是根据本发明实施例的认证装置的结构框图一，如图2所示，该装置主要包括：

发送模块210，用于响应客户端的认证请求，向所述客户端发送应答消息，其中，所述应答消息中携带有所述客户端对应的随机码；

接收模块220，与发送模块210相连，用于接收所述客户端发送的认证消息，其中，所述认证消息中携带有认证信息；

解密模块230，与接收模块220相连，用于根据时间信息生成动态口令，利用所述动态口令对所述认证信息进行解密，得到解密后的认证信息；

比较模块240，与解密模块230相连，用于根据所述随机码和所述客户端的身份标识按照第一预设算法生成比较信息，将所述比较信息与所述解密后的认证信息进行比较；

通知模块250，与比较模块240相连，用于在所述比较信息与所述解密后的认证信息一致时，通知所述客户端认证成功。

在本发明实施例的一个实施方式中，上述认证消息中还可以携带生成上述认证信息的时间。解密模块230根据时间信息生成动态口令，包括：从所述认证消息中获取所述时间；根据所述时间和所述客户端的密钥按照第二预设算法生成动态口令。

图3是根据本发明实施例的认证方法的流程图二，如图3所示，该方法包括步骤301至步骤304：

步骤301，接收服务器响应认证请求发送的应答消息，其中，所述应答消息中携带有所述客户端对应的随机码；

步骤302，根据所述随机码和客户端的身份标识按照第一预设算法生成认证信息；

步骤303，根据当前时间和客户端的密钥按照第二预设算法生成动态口令，利用所述动态口令对所述认证信息进行加密；

步骤304，向所述服务器发送认证消息，其中，所述认证消息中携带有加密后的认证信息。

在本发明实施例的一个实施方式中，上述认证消息中还携带有生成所述认证信息的时间。

可选地，上述第一预设算法为单向散列算法。

图4是根据本发明实施例的认证装置的结构框图二，如图4所示，该装置主要包括：

接收模块410，用于接收服务器响应认证请求发送的应答消息，其中，所述应答消息中携带有所述客户端对应的随机码；

生成模块420，与接收模块410相连接，用于根据所述随机码和客户端的身份标识按照第一预设算法生成认证信息；

加密模块430，与生成模块420相连接，用于根据当前时间和客户端的密钥按照第二预设算法生成动态口令，利用所述动态口令对所述认证信息进行加密；

发送模块440，与加密模块430相连接，用于向所述服务器发送认证消息，其中，所述认证消息中携带有加密后的认证信息。

可选地，所述认证消息中还携带有生成所述认证信息的时间。

下面对本发明实施例的一个可选实施方式进行描述。

动态口令认证就是在登录过程中加入不确定因素，使每次登录时传送的认证信息都不相同，以提高登录过程安全性。动态口令认证技术消除了静态口令认证技术的大部分安全缺陷，能有效抵抗静态口令认证技术所面临的主要安全威胁和攻击，为网络应用系统提供了更加安全可靠的用户身份认证保障。该技术主要思想是为每个用户分配一个帐号，每个帐号配有种子、迭代值和通行短语，种子(时间)及变化的迭代值(随机数)就能够产生一系列口令，每个口令用户只能使用一次，由于用户的秘密通行短语(时间对密钥加密结果)从来不在网上传送，因此，系统不易受到重放攻击。(最初一般的基于时间的动态口令算法是将时间对密钥的加密结果作为验证数据，传送给服务器)

用户通过客户机访问服务器时，首先向服务器传送自己的帐号，服务器响应一个由与该帐号对应的种子和迭代值组成的挑战，客户机使用该挑战和秘密通行短语产生一个一次性口令，并以该一次性口令登录，作为对挑战的答复，服务器随即产生一次性口令与之对比，从而完成服务器对登录用户的鉴别，每次登录成功后，迭代值递减，当该值为0或秘密通行短语泄密后，必须重新初始化。

图5是根据本发明实施例的动态口令身份认证系统的结构框图，动态口令身份认证主要包括：认证服务器、客户端和用户信息数据库。

认证服务器是动态口令认证系统的核心，它主要由3个模块构成：系统初始化模块、用户管理模块、动态口令认证模块。其中系统初始化模块的主要功能是系统维护，设置环境参数等。用户管理模块负责用户的增减及用户口令、权限、密钥的设置。动态口令认证模块负责对用户的身份进行认证。

系统的客户端采用软件来实现挑战应答器，作为挑战码的响应，它以服务器端产生的挑战码为输入，使用和服务器端完全相同的动态口令产生机制，连同User端保存的用户的秘密密钥，输出一个大整数作为响应码。

用户信息数据库中含有用户认证信息表，该表的主要字段应有用户ID、用户的公共密钥、秘密密钥等，其中用户ID是区分用户的标志，不可相同。

口令生成算法是基于时间的一种秘密算法，它是根据用户密钥数据和当前的时间产生一固定长度的字符串。以下是一种产生16位动态口令的示范算法：

1)程序提取当前时间和用户密钥数据。

2)利用时间对用户密钥数据进行加密。

3)利用SHA-1算法提取加密结果的消息摘要。

4)将所产生的消息摘要作为动态口令使用。当然如果在需要用户输入动态口令的情况下，还可以对动态口令进行代码转换，将其转换为ASCII码，否则用户无法输入。

动态口令的核心是口令生成算法和时间同步问题。如果服务器端和客户端的时间无法同步，则产生出来的口令肯定不同，从而无法进行认证。为了使用时间同步，客户端可以在传送过程中将当前的时间进行适当变换传送给服务器，服务器计算动态口令时可以此时间为基础进行计算，并将此时间列入已使用过的时间，下次客户端送来的时间必须在此之后，否则不予认证。这样可以很好地实现时间同步问题。

用户密钥数据是动态口令的产生的基础，因此必须在非常安全的情况下产生和分配：

1)密钥的分配和产生由维护模块负责，当用户进行注册时，服务器随机产生用户的密钥，然后分发给用户(分发时最好是让用户亲自来取)，并在自己的数据库中进行保存，以供以后产生口令时使用。

2)用户可以根据需要申请服务器重新产生密钥数据。

3)为了安全起见，密钥数据的保存必须经过加密保存。

下面对动态口令身份认证过程进行描述，在本发明实施例中，动态口令身份认证过程包括以下步骤：

1)客户向认证服务器发出请求，要求进行身份认证。

2)认证服务器从用户数据库中查询用户是否是合法的用户，若不是，则不作进一步处理。

3)认证服务器内部产生一个随机数，作为“提问”，发送给客户。

4)客户将用户名字和随机数合并，使用单向Hash函数(例如MD5算法)生成一个字符串。

5)客户端利用动态口令生成算法产生动态口令(利用时间对密钥加密并摘要)，利用自己的动态口令对这个字符串进行加密，然后将加密的结果作为应答传给服务器。

6)认证服务器根据当前的时间计算用户的动态口令，然后用该口令对所接收到的应答串进行解密。

7)认证服务器利用解密结果与自己的计算结果(Hash值)进行比较，若相同(实则验证密钥)，则通过一次认证；否则，认证失败。

8)认证服务器通知客户认证成功或失败。以后的认证由客户不定时地发起，过程中没有了客户认证请求一步。两次认证的时间间隔不能太短，否则就给网络、客户和认证服务器带来太大的开销；也不能太长，否则不能保证用户不被他人盗用IP地址，一般定为1-2分钟。

动态口令技术能抵御大部分针对静态口令认证的网络攻击，提高了安全性，特别是能有效抵御网络窃听、截取/重放、社交工程等攻击，但不能有效抵御伪造服务器攻击(伪造服务器发随机数，即知道了需动态口令加密的字符串，接收客户发来的加密字符串，可穷举出密钥)和来自内部的攻击。现在有许多的改进方案，弥补了动态口令无法实现双向认证和无法克服来自内部攻击的缺点，并正在逐步取代传统的静态口令认证方式。随着认证市场的巨大需求，好的动态口令认证机制将越来越应用广泛。

从以上的描述中，可以看出，本发明实现了如下技术效果：采用传统静态密码和动态口令相结合的双因子认证方式，为虚拟化平台的下的虚拟桌面操作系统提供用户身份鉴别服务。本发明实施例不仅能够对传统设备进行认证，还能够对虚拟桌面等虚拟化设备进行认证。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种认证方法，其特征在于，包括：

响应客户端的认证请求，向所述客户端发送应答消息，其中，所述应答消息中携带有所述客户端对应的随机码；

接收所述客户端发送的认证消息，其中，所述认证消息中携带有认证信息；

根据时间信息生成动态口令，利用所述动态口令对所述认证信息进行解密，得到解密后的认证信息；

根据所述随机码和所述客户端的身份标识按照第一预设算法生成比较信息，将所述比较信息与所述解密后的认证信息进行比较；

如果所述比较信息与所述解密后的认证信息一致，通知所述客户端认证成功。

2.根据权利要求1所述的方法，其特征在于，所述认证消息中还携带有生成所述认证信息的时间；根据时间信息生成动态口令，包括：

从所述认证消息中获取所述时间；

根据所述时间和所述客户端的密钥按照第二预设算法生成动态口令。

3.根据权利要求1所述的方法，其特征在于，接收所述客户端发送的认证消息，包括：

接收所述客户端响应所述应答消息发送的认证消息；和/或

接收所述客户端接收到认证失败消息后发送的认证消息。

4.一种认证方法，其特征在于，包括：

接收服务器响应认证请求发送的应答消息，其中，所述应答消息中携带有所述客户端对应的随机码；

根据所述随机码和客户端的身份标识按照第一预设算法生成认证信息；

根据当前时间和客户端的密钥按照第二预设算法生成动态口令，利用所述动态口令对所述认证信息进行加密；

向所述服务器发送认证消息，其中，所述认证消息中携带有加密后的认证信息。

5.根据权利要求4所述的方法，其特征在于，所述认证消息中还携带有生成所述认证信息的时间。

6.根据权利要求4或5所述的方法，其特征在于，所述第一预设算法为单向散列算法。

7.一种认证装置，其特征在于，包括：

发送模块，用于响应客户端的认证请求，向所述客户端发送应答消息，其中，所述应答消息中携带有所述客户端对应的随机码；

接收模块，用于接收所述客户端发送的认证消息，其中，所述认证消息中携带有认证信息；

解密模块，用于根据时间信息生成动态口令，利用所述动态口令对所述认证信息进行解密，得到解密后的认证信息；

比较模块，用于根据所述随机码和所述客户端的身份标识按照第一预设算法生成比较信息，将所述比较信息与所述解密后的认证信息进行比较；

通知模块，用于在所述比较信息与所述解密后的认证信息一致时，通知所述客户端认证成功。

8.根据权利要求7所述的装置，其特征在于，所述认证消息中还携带有生成所述认证信息的时间；所述解密模块根据时间信息生成动态口令，包括：

从所述认证消息中获取所述时间；

根据所述时间和所述客户端的密钥按照第二预设算法生成动态口令。

9.一种认证装置，其特征在于，包括：

接收模块，用于接收服务器响应认证请求发送的应答消息，其中，所述应答消息中携带有所述客户端对应的随机码；

生成模块，用于根据所述随机码和客户端的身份标识按照第一预设算法生成认证信息；

加密模块，用于根据当前时间和客户端的密钥按照第二预设算法生成动态口令，利用所述动态口令对所述认证信息进行加密；

发送模块，用于向所述服务器发送认证消息，其中，所述认证消息中携带有加密后的认证信息。

10.根据权利要求9所述的装置，其特征在于，所述认证消息中还携带有生成所述认证信息的时间。