CN110505199A - 基于轻量级非对称身份的Email安全登录方法 - Google Patents

Abstract

本发明公开了一种新颖的、安全强度更高的身份认证方式。该方式采用轻量级非对称身份即用户的BFID作为用户登录凭证，只需要在服务器端进行验证即可。以往的身份认证方式要么没有数字签名算法，要么不能防止重放攻击，本发明在身份认证的过程中只需要把客户端IP地址放入的登录数据，并使用轻量级签名算法对登录数据签名，生成的签名码更短，本发明既保证了认证信息的准确性，又可以防止重放攻击。

Description

基于轻量级非对称身份的Email安全登录方法

技术领域

本发明了一种基于轻量级非对称身份的Email安全登录方案。采用轻量级非对称身份即用户的BFID作为用户登录凭证，BFID隐含了用户名、客户端IP地址和随机数，可以防止攻击者截取用户信息直接登录邮箱。

背景技术

(身份认证的定义)目前互联网应用业务系统中采用的认证方式主要包括：用户名+口令、动态口令认证、生物识别方式、数字证书等。

用户名+口令方法：系统为合法用户建立用户名/口令对，一般情况用户名口令存放在数据库中，用户登录时，服务器从数据库中读取口令，并比对用户口令是否匹配。该方法的优点是使用简单，应用广泛，容易被客户接受。缺点非常明显，其安全性依赖于口令的保密性，口令一般较短且是静态数据，容易猜测，且易被攻击，采用窥探、字典攻击、穷举尝试、网络数据流窃听、重放攻击等。

动态口令卡方法：动态口令卡采用专用硬件，内置电源、密码生成芯片和显示屏，密码生成芯片运行专门的对称密码算法，根据当前时间或使用次数生成当前口令并显示在显示屏上。认证服务器采用相同的算法计算当前的有效口令。用户使用时需要将动态令牌上显示的当前口令输入客户端计算机，由于用户每次使用的口令都不相同，即使攻击者截获了一次口令，也无法利用这个口令来仿冒合法用户的身份。该方法的优点是可以解决重放攻击，缺点有：

(1)如果客户端与服务器端的时间或次数不能保持良好的同步，客户端产生的口令和服务器端产生的口令就不相同，就可能发生合法用户无法登录的问题。

(2)用户每次登录时需要通过键盘输入一长串无规律的口令，一旦输错就要重新操作，性能受到影响。

(3)没有数字签名技术，无法保证业务的不可抵赖性。

生物识别方法：生物特征认证是指采用每个人独一无二的生物特征来验证用户身份的技术。常见的有指纹识别、虹膜识别等。从理论上说，生物特征认证是最可靠的身份认证方式，因为它直接使用人的物理特征来表示每一个人的数字身份，不同的人具有不同的生物特征，因此几乎不可能被仿冒。但是认证时需要单独的生物特征采集设备，如指纹录入设备、虹膜读取设备等，成本较高；为了安全和隐私，特征模板不能存放在服务器上；生物识别技术也是一种单向认证技术，并且没有数字签名功能，客户的行为不能防止抵赖行为。

数字证书方法：采用USB Key作为数字证书载体，USB Key是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USB Key内置的密码算法实现对用户身份的认证，可以实现强身份认证，支持单向/双向认证模式，安全性高。数字证书，也称为公钥证书，用于加密地将公钥的所有权与拥有它的实体联系起来。数字证书用于共享加密和身份验证的公钥。数字证书包括被认证的公钥、标识拥有该公钥的实体的信息、与该证书相关的元数据以及由证书颁发者创建的该公钥的数字签名。采用了基于PKI的身份认证方式，使用USB key作为证书载体，确保证书无法被复制，从而确保证书是唯一的，对用户的密钥提供高强度安全保护。缺点是需要提供独立的USB Key硬件，增加了少量应用成本。该认证方式的签名中没有包括客户端的IP地址，无法抵抗重放攻击。

针对以上问题，本发明了一种新的邮箱登录时的身份认证方式，该方案结合第一、二、四个身份认证方式的优点，采用轻量级非对称身份作为用户登录凭证，在服务器端验证即可。

发明内容

本发明的目的在于提高身份认证的安全性与准确性，避免用户的抵赖行为和登录过程中的重放攻击。通过JUNA数字签名体制对登录信息进行加密和签名，减少了签名码的长度，增加了安全强度。将客户端IP地址作为登录数据，可以防止重放攻击，主要内容包括：

i.注册过程

在邮件客户端输入用户名、登录口令和手机号码，对登录口令进行哈希运算得到哈希值。用服务器公钥对用户名、用户公钥、手机号码和登录口令哈希值进行加密发送到服务器，判断短信验证码正确与否即可完成注册。服务器将用户名、登录口令哈希值和用户公钥保存在数据库中。

ii.登录过程

1)签名码作为用户身份。不仅使用登录口令验证用户的身份，本方案添加了用户的签名码作为用户的身份，在服务器端进行验证。生成一个随机数作为登录数据，目的是每次登录都会产生不同的签名码，有动态口令卡的效果，又因为签名码是非对称身份，安全性更高。

2)IP地址作为登录数据。将发送端IP地址作为登录数据一起发送到邮件服务器端，服务器端解密出该IP地址，并与IP数据包中的IP地址比较是否相同，可防止重放攻击，因为攻击者无法伪造成用户的IP地址与邮件服务器进行交互。

附图说明

图1为本发明提出的用户注册示意图；

图2为登录时的身份认证示意图；

具体实施方式

以下结合附图和具体过程对本发明做具体的介绍。

本发明采用轻量级数字签名体制JUNA对登录数据进行加密和签名，并将IP地址放入登录数据中。本发明主要包括两个部分，即注册过程和登录过程，用户注册示意图如图1所示，登录身份验证示意图如图2所示，实施过程如下：

具体步骤如下：

步骤1：初始化

1)用户从Email服务商网站下载JUNA数字签名体制软件。

2)为了保证安全，在脱网环境下，客户端产生用户的公钥和私钥。

3)用户公钥和私钥存储在两个U盘里，公钥在注册时发送到邮件服务器，私钥用于登录时生成用户的BFID。

步骤2：注册过程

1)在注册界面，用户输入用户名、登录口令和手机号码。

2)插入存放用户公钥的U盘，提取出用户公钥；对登录口令进行哈希运算得到哈希值。

3)用户公钥、用户名、手机号码和登录口令哈希值以服务器公钥加密方式发送到邮件服务器。

4)若短信验证码正确，完成注册。用户名、用户公钥和登录口令哈希值存储在邮件服务器。

步骤3：登录过程

1)输入用户名和登录口令，插入存放用户私钥的U盘，点击登录按钮，登录后台会进行下列操作。

2)对登录口令进行哈希运算生成哈希值，产生一个随机数，用户名、IP地址、随机数和登录口令哈希值作为一个message。

3)从U盘中提取出用户私钥，对message进行签名生成用户的BFID。

4)服务器公钥加密message，和轻量级签名码(BFID)一起发送到邮件服务器。

5)解密出message，提取出登录口令哈希值和客户端IP地址。

6)比较登录口令哈希值和数据库中存储的登录口令哈希值是否相同，比较IP地址是否与IP数据包中的IP地址一致，若一致则进行下一步；若不一致，则登录失败。

7)根据用户名找到对应的用户公钥，对BFID验证；若有效，则登录成功。

Claims (3)

1.基于轻量级非对称身份的Email安全登录方法，其特征在于：

1)使用非对称身份签名码作为用户的登录凭证

2)客户端IP地址作为登录数据，避免重放攻击。

2.如权利要求1所述的基于轻量级非对称身份的Email安全登录方法，其特征在于使用非对称身份签名码，即BFID作为用户的登录凭证，服务器端对签名码进行验证，可以确认用户的身份。签名码是用户的非对称身份，相比于其他的登录方法，该方法的安全性更高，验证更加简单。

3.如权利要求1所述的基于轻量级非对称身份的Email安全登录方法，其特征在于将客户端IP地址作为用户的登录数据，服务器端解密出登录数据中的IP地址并与IP数据包中的IP地址比较是否相同。