CN105721159A - 一种操作系统身份认证方法及系统 - Google Patents

Abstract

本发明公开了一种操作系统身份认证方法和系统，该方法包括：获取登录操作系统的登录请求信息；根据预设的身份认证规则，判断是否需要进行动态口令认证；若需要进行动态口令认证，则获取和登录请求信息对应的动态口令；判断动态口令是否正确；若动态口令正确，则通过身份认证，进入操作系统；若动态口令错误，则禁止登录操作系统。相对于只依靠静态口令的身份认证方式来说，动态口令具有一次一密的特点，即每次登录对应的动态口令皆不相同或者相邻数次登录的动态口令不相同，从而避免了非法用户截获或破取密码口令，提高了操作系统的安全性，避免了非法用户访问受限的操作系统，使得用户保持的资料具有较强的保密性。

Description

一种操作系统身份认证方法及系统

技术领域

本发明涉及操作系统安全认证领域，更具体地说，涉及一种基于动态口令的操作系统身份认证方法及系统。

背景技术

随着计算机信息技术的不断发展，信息安全也越来也受人们的关注，其中身份认证技术是信息安全理论与技术的一个重要方面，是保护系统安全的第一道防线，用于限制非法用户访问受限的系统资源，是一切安全机制的基础。

传统的操作系统，如Windows系统，其身份认证方式主要是通过用户账号和固定的口令进行身份验证，即通过静态口令来进行身份验证，但是这种身份认证方式的安全性较差，因为这种认证技术的安全性主要依赖于静态口令，任何人只要拥有账户和口令就可以对Windows系统进行登录访问，而且静态口令易被黑客等非法用户截获或者破解，从而登陆受限的系统资源，从而获取用户系统中存储的各种资料等，因此，只采用静态口令认证的方式，系统的安全性较低。

因此，如何有效地提高操作系统安全性，以避免非法用户访问受限的操作系统，是目前本领域技术人员急需解决的技术问题。

发明内容

有鉴于此，本发明的目的在于提供一种基于动态口令的操作系统身份认证方法及系统，可以有效地提高操作系统的安全性，避免非法用户访问受限的操作系统。

为了达到目的，本发明提供如下技术方案：

一种操作系统身份认证方法，包括：

获取登录操作系统的登录请求信息；

根据预设的身份认证规则，判断是否需要进行动态口令认证；

若需要进行动态口令认证，则获取和所述登录请求信息对应的动态口令；

判断所述动态口令是否正确；

若所述动态口令正确，则通过身份认证，进入所述操作系统；

若所述动态口令错误，则禁止登录所述操作系统。

优选地，还包括：

判断所述登录请求信息是否符合预设的访问受限策略；

若所述登录请求信息不符合所述访问受限策略，且所述动态口令正确，则判定通过身份认证，进入所述操作系统；

若所述登录请求信息符合所述访问受限策略和/或所述动态口令错误，则判定不通过身份认证，禁止登录所述操作系统。

优选地，所述登录请求信息包括：

登录所述操作系统的用户账号和对应的固定密码；

登录所述操作系统的日期时间和/或所述操作系统终端的IP地址。

优选地，判断所述登录请求信息是否符合预设的访问受限策略包括：

判断登录所述操作系统的用户账号和对应的固定密码是否正确；

判断登录所述操作系统的日期时间是否符合预设的操作系统访问受限日期和时间；

判断所述操作系统终端的IP地址是否符合预设的IP地址登录受限条件。

一种操作系统身份认证系统，包括：

操作系统终端，用于获取登录操作系统的登录请求信息，并根据预设的身份认证规则，判断是否需要进行动态口令认证，并在判断需要进行动态口令认证时获取对应的动态口令；

动态令牌，用于在所述操作系统终端判定需要进行动态口令认证时，生成对应的动态口令；

认证服务器，用于接收所述操作系统终端发送的登录请求信息和对应的动态口令，并判断所述登录请求信息对应的动态口令是否正确，并将判定结果反馈给所述操作系统终端，以供所述操作系统终端判断是否通过身份认证进行登录。

优选地，所述认证服务器还用于判断所述登录请求信息是否符合预设的访问受限策略；若判定所述登录请求信息不符合所述访问受限策略，且所述动态口令正确，则判定通过身份认证，并将通过身份认证信息反馈给所述操作系统终端；若判定所述登录请求信息符合所述访问受限策略和/或所述动态口令错误，则判定不通过身份认证，并将认证失败信息反馈给所述操作系统终端。

优选地，所述登录请求信息包括：

登录所述操作系统的用户账号和对应的固定密码；

登录所述操作系统的日期时间和/或所述操作系统终端的IP地址。

优选地，所述认证服务器判断所述登录请求信息是否符合预设的访问受限策略包括：

所述认证服务器用于判断登录所述操作系统的用户账号和对应的固定密码是否正确；判断登录所述操作系统的日期时间是否符合预设的操作系统访问受限日期和时间；判断所述操作系统终端的IP地址是否符合预设的IP地址登录受限条件。

优选地，所述认证服务器包括：

通信模块，用于与所述操作系统终端进行通信连接，接收所述操作系统终端传输的数据信息，以及反馈对应的认证结果信息至所述操作系统终端；

解析模块，用于根据预设的认证策略，对所述动态口令以及登录请求信息进行身份认证，并产生对应的认证结果信息。

优选地，所述操作系统终端包括：

信息采集模块，用于获取登录请求信息和动态口令；

处理模块，用于对所述信息采集模块采集的数据信息根据所述预设的身份认证规则进行处理，以及对所述认证服务器反馈的认证结果信息进行分析；

传输模块，用于与所述认证服务器的通信模块进行通信连接；

执行模块，用于根据所述处理模块对所述认证结果信息进行分析的结果执行相应的动作。

与现有技术相比，上述技术方案具有以下优点：

本发明所提供的操作系统身份认证方法，包括：获取登录操作系统的登录请求信息；根据预设的身份认证规则，判断是否需要进行动态口令认证；若需要进行动态口令认证，则获取和登录请求信息对应的动态口令；判断动态口令是否正确；若动态口令正确，则通过身份认证，进入操作系统；若动态口令错误，则禁止登录操作系统。在获取登录请求信息后，根据预设的身份认证规则判断是否需要进行动态口令认证，若是，则进一步获取动态口令，判断获取的动态口令是否是与该登录请求信息对应的动态口令，即判断获取的动态口令是否正确，若正确则身份认证通过，进行操作系统登录，否则，禁止登录操作系统。相对于只依靠静态口令的身份认证方式来说，动态口令具有一次一密的特点，即每次登录对应的动态口令皆不相同或者相邻数次登录的动态口令不相同，从而避免了非法用户截获或破取密码口令，提高了操作系统的安全性，避免了非法用户访问受限的操作系统，使得用户保持的资料具有较强的保密性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一种实施方式所提供的操作系统身份认证方法流程图；

图2为本发明一种实施方式所提供的操作系统身份认证系统结构示意图。

具体实施方式

本发明的核心是提供一种基于动态口令的操作系统身份认证方法及系统，可以有效地提高操作系统的安全性，避免非法用户访问受限的操作系统。

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参考图1，图1为本发明一种实施方式所提供的操作系统身份认证方法流程图。

本发明的一种实施方式提供了一种操作系统身份认证方法，包括：

S11：获取登录操作系统的登录请求信息。

在本实施方式中登录请求信息主要包括登录该操作系统所需的用户的账户和静态密码等，作为触发后续动作的触发条件。

S12：根据预设的身份认证规则，判断是否需要进行动态口令认证。

用户可以根据需要设定是否需要进行动态口令认证，当用户保存的文件资料非常重要等需要进行保密，不想没有授权的人员随意浏览时，就设置动态口令认证，否则，无需设置动态口令认证。

需要说明的是，所谓的动态口令又称一次性口令(OTP－OneTimePassword)，是相对于传统的静态口令而说的。它由某种终端设备，根据动态口令生成算法产生的随动态参数变化而变化的口令。动态口令是变化的密码，其变化来源于产生密码的运算因子是变化的。动态口令的生成算法一般都采用双运算因子，一是用户身份的识别码，是固定不变的，如用户的私有密钥；二是变动因子，如时间、随机数、计数器值等。根据动态因子的不同，产生了不同的动态口令认证技术，主要分为两种，即同步认证技术和异步认证技术。其中同步认证技术又分为基于时间同步认证技术(TimeSynchronous)和基于事件同步认证技术(EventSynchronous)；异步认证技术即为挑战/应答认证技术。

S13：若需要进行动态口令认证，则获取和登录请求信息对应的动态口令。

经过判定，用户设置了需要进行动态口令认证，则则没有完成动态口令的认证的情况下是禁止登录操作系统的。

S14：判断动态口令是否正确。

判断获取的动态口令是否为与该用户的账号相匹配的该次应该输入的动态口令。

S15：若动态口令正确，则通过身份认证，进入操作系统。

若判定该次获取的动态口令与账号相匹配，同时为该次预设的动态口令，则通过身份认证，执行登录操作系统。

S16：若动态口令错误，则禁止登录操作系统。

若是判定动态口令错误，则判定未通过身份认证，禁止登录操作系统。

相对于只依靠静态口令的身份认证方式来说，动态口令具有一次一密的特点，弥补了操作系统单一的固定密码身份认证所存在的风险，即每次登录对应的动态口令皆不相同或者相邻数次登录的动态口令不相同，从而避免了非法用户截获或破取密码口令，提高了操作系统的安全性，避免了非法用户访问受限的操作系统，使得用户保持的资料具有较强的保密性。

在上述实施方式的基础上，本发明一种实施方式中，操作系统身份认证方法还包括：判断登录请求信息是否符合预设的访问受限策略；若登录请求信息不符合访问受限策略，且动态口令正确，则判定通过身份认证，进入操作系统；若登录请求信息符合访问受限策略和/或动态口令错误，则判定不通过身份认证，禁止登录操作系统。其中，登录请求信息包括：登录操作系统的用户账号和对应的固定密码；登录操作系统的日期时间和/或操作系统终端的IP地址。判断登录请求信息是否符合预设的访问受限策略包括：判断登录操作系统的用户账号和对应的固定密码是否正确；判断登录操作系统的日期时间是否符合预设的操作系统访问受限日期和时间；判断操作系统终端的IP地址是否符合预设的IP地址登录受限条件。

在实际操作中，虽然采用动态口令的方式来进行身份认证提高了操作系统的安全性，但是，产生动态口令的动态令牌等装置可能会遗失或者被盗取，因此，为了进一步提高操作系统的安全性。在本实施方式中，用户还可以对操作系统增设访问受限策略，如根据用户的需要设置操作系统访问受限时间和IP地址，即操作系统只能在特定的日期、时间和/或特定IP地址的终端上进行登录。即判断登录请求信息中的对应信息是否符合对应的访问受限策略，如判断登录请求的日期是否在访问受限的日期范围内，若是则判定身份认证不通过。判定时间和IP地址的方式与判断日期的方式类似。

在本实施方式中，在进行动态口令进行身份认证的基础上，可以根据需要增设访问受限策略，对登录的日期、时间和/或IP地址进行限定。如用户在中午需要外出用餐，则设置用餐时间内禁止访问，这样即便通过了动态口令的认证，非法用户依旧不能访问该用户的操作系统，而即便在可以访问的日期和时间，若不是使用的用户的IP地址，同样无法进行登录。只有动态口令通过认证的同时，登录请求信息不符合预设的访问受限策略才能通过所有的身份认证进行登录，二者缺一不可。

需要说明的是，由于登录请求信息包括登录操作系统的用户账号和对应的固定密码。当然若无需动态口令认证，只需进行静态密码认证即可，即判断获取的用户账号是否是该操作系统对应的ID的账号，若是，则判断获取的固定密码是否和该用户账号相匹配，若是，则通过静态密码的认证，否则禁止访问操作系统。当然，若进行了动态口令认证和/或访问受限策略认证，也可以进行静态口令认证，这样即便动态口令和访问受限策略都通过了访问认证，只要静态密码认证不通过，也不能登录操作系统。其中，本实施方式对静态密码认证、动态口令认证和访问受限策略认证的顺序并不做限定，具体视情况而定。

还需要说明的是，用户可以根据需要设置访问受限策略，即访问受限日期、时间和IP地址可以只设置其中之一或者任意几个。当然，访问受限条件不仅仅局限于访问受限的日期、时间和IP地址，还可以是其他访问受限条件，本实施方式对此并不做限定，具体视情况而定。

请参考图2，图2为本发明一种实施方式所提供的操作系统身份认证系统结构示意图。

本发明一种实施方式提供了一种操作系统身份认证系统，包括：操作系统终端1，用于获取登录操作系统的登录请求信息，并根据预设的身份认证规则，判断是否需要进行动态口令认证，并在判断需要进行动态口令认证时获取对应的动态口令；动态令牌2，用于在操作系统终端判定需要进行动态口令认证时，生成对应的动态口令；认证服务器3，用于接收操作系统终端发送的登录请求信息和对应的动态口令，并判断登录请求信息对应的动态口令是否正确，并将判定结果反馈给操作系统终端，以供操作系统终端判断是否通过身份认证进行登录。

在本实施方式中，操作系统终端通常为计算机，通常来说即为电脑。每个操作系统终端中安装有对应的操作系统，用户在想要通过操作系统终端时，就需要登录对应的操作系统，这时候就需要输入用户账号、固定密码等登录请求信息，若操作系统设置了动态口令认证，则触发动态令牌生成对应的动态口令，同时认证服务器会根据相同的算法等生成相同的动态口令以作为验证条件。用户根据动态令牌生成的动态口令将该动态口令输入到操作系统终端中，操作系统终端获取该动态口令后，将其发送至认证服务器，认证服务器判断操作系统终端获取的动态口令是否正确，并将判定结果反馈回操作系统终端，操作系统终端分析该判定结果，根据该判定结果的信息进行登录或者禁止登录，报出密码错误等信息。

需要说明的是，操作系统终端和认证服务器之间可以直接进行通信连接，或者通过预设的网络设备进行通信连接，本实施方式对此并不做限定，具体视情况而定。

在上述实施方式的基础上，本发明一种实施方式中，认证服务器还用于判断登录请求信息是否符合预设的访问受限策略；若判定登录请求信息不符合访问受限策略，且动态口令正确，则判定通过身份认证，并将通过身份认证信息反馈给操作系统终端；若判定登录请求信息符合访问受限策略和/或动态口令错误，则判定不通过身份认证，并将认证失败信息反馈给操作系统终端。其中，登录请求信息包括：登录操作系统的用户账号和对应的固定密码；登录操作系统的日期时间和/或操作系统终端的IP地址。认证服务器判断登录请求信息是否符合预设的访问受限策略包括：认证服务器用于判断登录操作系统的用户账号和对应的固定密码是否正确；判断登录操作系统的日期时间是否符合预设的操作系统访问受限日期和时间；判断操作系统终端的IP地址是否符合预设的IP地址登录受限条件。

在本实施方式中，认证服务器除了进行动态口令认证之外，还可以进行静态密码认证和访问受限认证。认证服务器在接收到操作系统终端发送的登录请求信息之后，分析该登录请求信息包含了哪些数据信息，并根据预设的访问受限策略进行访问受限认证。如登录请求信息包括：登录操作系统的用户账号和对应的固定密码；登录操作系统的日期时间和/或操作系统终端的IP地址。则认证服务器判断用户账号和固定密码是否正确，且是否相互匹配，以及此次登录的日期、时间和IP地址是否符合预设的登录受限条件。只有所有的认证皆通过才能允许用户登录该操作系统，只要其中一中认证方式没有通过认证，则禁止用户登录操作系统。

在本发明的一种实施方式中，认证服务器包括：通信模块，用于与操作系统终端进行通信连接，接收操作系统终端传输的数据信息，以及反馈对应的认证结果信息至操作系统终端；解析模块，用于根据预设的认证策略，对动态口令以及登录请求信息进行身份认证，并产生对应的认证结果信息。

操作系统终端包括：信息采集模块，用于获取登录请求信息和动态口令；处理模块，用于对信息采集模块采集的数据信息根据预设的身份认证规则进行处理，以及对认证服务器反馈的认证结果信息进行分析；传输模块，用于与认证服务器的通信模块进行通信连接；执行模块，用于根据处理模块对认证结果信息进行分析的结果执行相应的动作，进行操作系统登录或者禁止操作系统登录。

在本实施方式中，操作系统终端的处理模块可以是Windows系统中常用的Gina身份认证模块，不过对于认证密码增加了拆分功能，即分析需要进行动态口令认证和静态密码认证。

综上所述，本发明实施方式提供的一种基于动态口令的操作系统身份认证方法及系统，充分考虑了动态口令具有一次一密的特点，用以加强以Windows操作系统为例的各操作系统的身份认证安全性。认证口令可以分为静态密码、动态口令、静态密码+动态口令三种方式，当然根据需要还可以设置应急密码。在使用动态口令的基础上，增加了登录时间、日期和登录IP地址的限定，进一步提高了操作系统的身份认证安全性。弥补了单一的固定密码身份认证所存在的被非法拦截、破解和盗取等的风险。操作系统终端将获取的登录请求信息和动态口令等认证信息发送给认证服务器进行认证，并接收认证服务器反馈回的认证结果，并进行分析，除却根据认证结果进行登录或禁止登录外，当禁止登录时，还可以根据认证结果显示禁止登录的原因，如密码错误、动态口令错误，或者当前日期、时间段禁止登录等信息。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种操作系统身份认证方法，其特征在于，包括：

获取登录操作系统的登录请求信息；

根据预设的身份认证规则，判断是否需要进行动态口令认证；

若需要进行动态口令认证，则获取和所述登录请求信息对应的动态口令；

判断所述动态口令是否正确；

若所述动态口令正确，则通过身份认证，进入所述操作系统；

若所述动态口令错误，则禁止登录所述操作系统。

2.根据权利要求1所述的方法，其特征在于，还包括：

判断所述登录请求信息是否符合预设的访问受限策略；

若所述登录请求信息不符合所述访问受限策略，且所述动态口令正确，则判定通过身份认证，进入所述操作系统；

若所述登录请求信息符合所述访问受限策略和/或所述动态口令错误，则判定不通过身份认证，禁止登录所述操作系统。

3.根据权利要求2所述的方法，其特征在于，所述登录请求信息包括：

登录所述操作系统的用户账号和对应的固定密码；

登录所述操作系统的日期时间和/或所述操作系统终端的IP地址。

4.根据权利要求3所述的方法，其特征在于，判断所述登录请求信息是否符合预设的访问受限策略包括：

判断登录所述操作系统的用户账号和对应的固定密码是否正确；

判断登录所述操作系统的日期时间是否符合预设的操作系统访问受限日期和时间；

判断所述操作系统终端的IP地址是否符合预设的IP地址登录受限条件。

5.一种操作系统身份认证系统，其特征在于，包括：

操作系统终端，用于获取登录操作系统的登录请求信息，并根据预设的身份认证规则，判断是否需要进行动态口令认证，并在判断需要进行动态口令认证时获取对应的动态口令；

动态令牌，用于在所述操作系统终端判定需要进行动态口令认证时，生成对应的动态口令；

认证服务器，用于接收所述操作系统终端发送的登录请求信息和对应的动态口令，并判断所述登录请求信息对应的动态口令是否正确，并将判定结果反馈给所述操作系统终端，以供所述操作系统终端判断是否通过身份认证进行登录。

6.根据权利要求5所述的系统，其特征在于，所述认证服务器还用于判断所述登录请求信息是否符合预设的访问受限策略；若判定所述登录请求信息不符合所述访问受限策略，且所述动态口令正确，则判定通过身份认证，并将通过身份认证信息反馈给所述操作系统终端；若判定所述登录请求信息符合所述访问受限策略和/或所述动态口令错误，则判定不通过身份认证，并将认证失败信息反馈给所述操作系统终端。

7.根据权利要求6所述的系统，其特征在于，所述登录请求信息包括：

登录所述操作系统的用户账号和对应的固定密码；

登录所述操作系统的日期时间和/或所述操作系统终端的IP地址。

8.根据权利要求7所述的系统，其特征在于，所述认证服务器判断所述登录请求信息是否符合预设的访问受限策略包括：

所述认证服务器用于判断登录所述操作系统的用户账号和对应的固定密码是否正确；判断登录所述操作系统的日期时间是否符合预设的操作系统访问受限日期和时间；判断所述操作系统终端的IP地址是否符合预设的IP地址登录受限条件。

9.根据权利要求6至8任一项所述的系统，其特征在于，所述认证服务器包括：

通信模块，用于与所述操作系统终端进行通信连接，接收所述操作系统终端传输的数据信息，以及反馈对应的认证结果信息至所述操作系统终端；

解析模块，用于根据预设的认证策略，对所述动态口令以及登录请求信息进行身份认证，并产生对应的认证结果信息。

10.根据权利要求9所述的系统，其特征在于，所述操作系统终端包括：

信息采集模块，用于获取登录请求信息和动态口令；

处理模块，用于对所述信息采集模块采集的数据信息根据所述预设的身份认证规则进行处理，以及对所述认证服务器反馈的认证结果信息进行分析；

传输模块，用于与所述认证服务器的通信模块进行通信连接；

执行模块，用于根据所述处理模块对所述认证结果信息进行分析的结果执行相应的动作。