CN114329415A - 一种基于随机图像方案的移动Web登录密码加密方法 - Google Patents
一种基于随机图像方案的移动Web登录密码加密方法 Download PDFInfo
- Publication number
- CN114329415A CN114329415A CN202111631295.9A CN202111631295A CN114329415A CN 114329415 A CN114329415 A CN 114329415A CN 202111631295 A CN202111631295 A CN 202111631295A CN 114329415 A CN114329415 A CN 114329415A
- Authority
- CN
- China
- Prior art keywords
- password
- user
- encryption
- key
- result
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Mobile Radio Communication Systems (AREA)
Abstract
本发明公开一种基于随机图像方案的移动Web登录密码加密方法，本发明使用统一的跨平台密码键盘解决方案，不依赖操作系统本身和移动设备本身，因此输入的密码不会被输入法获取，提高密码输入的安全性，同时采用多种算法保证用户密码的安全性，包括使用随机字符替换算法和国密算法SM3和SM4，采用多种密码复杂算法，保证用户密码的安全，用户点击图片输入的密码为映射后的密码，每次用户请求加载密码键盘时，均为随机的映射表，映射表不会被暴力破解出来。同时使用分组加密使用的密钥无需在网络进行传输，保证密钥的安全性。
Description
技术领域
本发明涉及移动Web应用技术领域，尤其涉及一种基于随机图像方案的移动Web登录密码加密方法。
背景技术
传统的移动Web应用对于安全性要求比较高的话，一般需要对用户输入的密码等敏感信息进行二次加密。现有移动Web密码的加密的主要方式为：1、使用https协议来进行安全传输，未在客户端进行密码加密，仅仅靠SSL/TLS进行保证安全；2、部分移动Web密码加密基本采用最简单的前端JS技术进行密码加密。
绝大多数的前端加密一般采用如下方法之一：
A.仅仅靠使用https来进行安全传输，未在客户端进行密码加密，由于该方案使用的移动设备自带的密码键盘；
B.部分移动Web密码加密基本采用最简单的前端JS技术进行密码加密，大多数纯前端加密方式基本采用简单的哈希算法对密码进行哈希处理或者使用非对称算法直接对密码进行加密，如果是非对称算法，则通过后台生产RSA公私钥，把公钥传给客户端进行JS前端加密后再将密文传输到后台进行解密；
C.在使用Webview的场景中，调用原生应用的客户端控件进行密码加密，该方式需要开发针对Android和iOS两个平台的原生密码控件，密码键盘或者加密算法的修改，都必须得更新原生客户端。
上述方法均具有一定的缺点：
A.仅仅使用HTTPS进行传输的话，因为SSL也存在被劫持的问题，所以不能靠单一一个技术来保证安全，况且几年前还出现过影响深远的OpenSSL漏洞问题。最简单前端JS直接加密方式，如果页面被注入恶意代码，是可以在用户输入密码后，被恶意代码从内存中获取原始密码，并且如果非对称加密的话，在私钥泄露的话，即使密码被加密也会被解密出原始密码的情况，安全程度不足。
B.默认情况下需要使用移动设备自带的键盘，用户使用体验也不是很友好，输入内容的安全性，很大程度依赖输入法厂商和操作系统本身。
C.在使用Webview的场景，可以使用原生客户端提供的密码控件进行加密，但是需要开发不同操作系统平台的原生客户端密码控件，无法方便的进行跨平台使用，原生客户端密码控件在纯移动Web场景则无法使用，存在局限性。
因此，现有技术存在缺陷，需要改进。
发明内容
本发明的目的是克服现有技术的不足，提供一种基于随机图像方案的移动Web登录密码加密方法。
本发明的技术方案如下：提供一种基于随机图像方案的移动Web登录密码加密方法，包括如下步骤：
步骤1：用户访问登录界面，移动端浏览器向服务器请求加载密码控件；
步骤2：服务器按照随机规则生成密码键盘的数字字母等随机字符对照表；
步骤3：生成密码字符对应的图片，将字符对应的对照表中的映射字符值作为属性值，跟字符本身的图像一起转成HTML标签返回给移动端浏览器；
步骤4：在移动端浏览器上显示密码控件界面；
步骤5：用户点击密码控件界面上的区域输入密码，将结果记为pass；
步骤6：移动端浏览器使用SM3算法对密码控件上选择的图像对应的属性值进行哈希计算，计算结果记为key；
步骤7：使用SM4算法，利用步骤6生成的key对原始密码pass进行分组加密，加密结果记为pass1；
步骤8：用户输入用户ID，即为username，并和加密后的密码pass1一起提交到服务器；
步骤9：服务器接收到username和pass1，通过username查询数据库，查询用户的密码；
步骤10：将从数据库查询到的用户密码去对照表中查找对应的映射密码，查询结果为pass2；
步骤11：采用SM3国密算法对pass2进行哈希计算，计算结果记为key2；
步骤12：采用SM4国密算法，使用key2作为密钥，对从移动端浏览器上传的pass1进行解密，解密结果记为pass3；
步骤13：判断pass3与pass2是否相等；
步骤14：将验证结果返回给用户。
进一步地，所述步骤6的具体步骤为：
步骤6.1：输入原始数据；
步骤6.2：将原始数据填充为512的正整数倍，首先在原始数据后填充1，最后64位填充为数据长度，从填充的1到64位数据长度的左侧这填充为0；
步骤6.3：将512n按512位进行分组，每组扩展为132个消息字，其中前16个消息字为当前消息的分组(w0-w15)，w为32字节，第17到第132个消息字采用置换函数进行扩展生成，其中17到68采用置换算法与69到132采用的置换函数不同；
步骤6.4：将初始值存储到ABCDEFGH中，利用压缩函数，输入初始值和消息扩展进行循环计算，每轮计算结果作为下一次压缩函数的初始值，全部计算玩132n个消息字；
步骤6.5：计算完132n的消息字后，输出256位的ABCDEFGH拼接结果，即为SM3的计算结果值，记为key。
进一步地，所述步骤7的具体步骤为：
步骤7.1：输入明文X-(X0-X3)和加密密钥MK-(MK0-MK3)；
步骤7.2：根据加密密钥生成轮密钥rki；
步骤7.3：进行32轮计算，每轮计算利用生成的轮密钥rki，对X-(X0-X3)进行计算，第32轮计算后，得到X-(X32-X35)；
步骤7.4：将X-(X32-X35)继续你那个反序列变换，得到密文Y-(Y0-Y3),记为加密结果pass1。
采用上述方案，本发明使用统一的跨平台密码键盘解决方案，不依赖操作系统本身和移动设备本身，因此输入的密码不会被输入法获取，提高密码输入的安全性，同时采用多种算法保证用户密码的安全性，包括使用随机字符替换算法和国密算法SM3和SM4，采用多种密码复杂算法，保证用户密码的安全，用户点击图片输入的密码为映射后的密码，每次用户请求加载密码键盘时，均为随机的映射表，映射表不会被暴力破解出来。同时使用分组加密使用的密钥无需在网络进行传输，保证密钥的安全性。
附图说明
图1为本发明的流程框图。
图2为密码字符对照表。
图3为密码键盘示意图。
图4为数据填充示意图。
图5为数据迭代压缩示意图。
图6为分组加密示意图。
具体实施方式
以下结合附图和具体实施例，对本发明进行详细说明。
请参阅图1，本发明提供一种基于随机图像方案的移动Web登录密码加密方法，包括如下步骤：
步骤1：用户访问登录界面，移动端浏览器向服务器请求加载密码控件。
步骤2：请参阅图2，服务器按照随机规则生成密码键盘的数字字母等随机字符对照表。
步骤3：请参阅图3，生成密码字符对应的图片，将字符对应的对照表中的映射字符值作为属性值，跟字符本身的图像一起转成HTML标签返回给移动端浏览器。
步骤4：在移动端浏览器上显示密码控件界面。
步骤5：用户点击密码控件界面上的区域输入密码，将结果记为pass。
步骤6：移动端浏览器使用SM3算法对密码控件上选择的图像对应的属性值进行哈希计算，计算结果记为key。具体步骤为：
步骤6.1：输入原始数据。
步骤6.2：请参阅图4，将原始数据填充为512的正整数倍，首先在原始数据后填充1，最后64位填充为数据长度，从填充的1到64位数据长度的左侧这填充为0。
步骤6.3：将512n按512位进行分组，每组扩展为132个消息字，其中前16个消息字为当前消息的分组(w0-w15)，w为32字节，第17到第132个消息字采用置换函数进行扩展生成，其中17到68采用置换算法与69到132采用的置换函数不同。
步骤6.4：请参阅图5，将初始值存储到ABCDEFGH中，利用压缩函数，输入初始值和消息扩展进行循环计算，每轮计算结果作为下一次压缩函数的初始值，全部计算玩132n个消息字。
步骤6.5：计算完132n的消息字后，输出256位的ABCDEFGH拼接结果，即为SM3的计算结果值，记为key。
步骤7：请参阅图6，使用SM4算法，利用步骤6生成的key对原始密码pass进行分组加密，加密结果记为pass1。具体步骤为：
步骤7.1：输入明文X-(X0-X3)和加密密钥MK-(MK0-MK3)。
步骤7.2：根据加密密钥生成轮密钥rki。
步骤7.3：进行32轮计算，每轮计算利用生成的轮密钥rki，对X-(X0-X3)进行计算，第32轮计算后，得到X-(X32-X35)。
步骤7.4：将X-(X32-X35)继续你那个反序列变换，得到密文Y-
(Y0-Y3),记为加密结果pass1。
步骤8：用户输入用户ID，即为username，并和加密后的密码pass1一起提交到服务器。
步骤9：服务器接收到username和pass1，通过username查询数据库，查询用户的密码。
步骤10：将从数据库查询到的用户密码去对照表中查找对应的映射密码，查询结果为pass2。
步骤11：采用SM3国密算法对pass2进行哈希计算，计算结果记为key2。
步骤12：采用SM4国密算法，使用key2作为密钥，对从移动端浏览器上传的pass1进行解密，解密结果记为pass3。
步骤13：判断pass3与pass2是否相等。
步骤14：将验证结果返回给用户。
移动Web前端不适用移动设备自身的输入法键盘输入密码，而采用后台生成的随机图片的密码键盘，通过在前端点击图片来输入密码，输入内容不会被输入法窃取。
密码键盘上的密码字符的图片对应的不是原始的字符，而是随机生成的支付对照表的字符，每次请求均生成新的字符和图片的对照表，即使获取到输入的内容，也无法解密原始字符内容。
输入密码后，通过国密SM3算法对图片字符进行哈希计算，再使用国密SM4算法，利用哈希计算结果值对图片字符进行加密传输。采用多种密码算法对密码进行处理，保证了密码传输的安全性。
5)由于采用的是Web技术实现的密码键盘，因此可实现跨平台，方便在任意平台上跨平台使用，一次开发多平台使用。
综上所述，本发明使用统一的跨平台密码键盘解决方案，不依赖操作系统本身和移动设备本身，因此输入的密码不会被输入法获取，提高密码输入的安全性，同时采用多种算法保证用户密码的安全性，包括使用随机字符替换算法和国密算法SM3和SM4，采用多种密码复杂算法，保证用户密码的安全，用户点击图片输入的密码为映射后的密码，每次用户请求加载密码键盘时，均为随机的映射表，映射表不会被暴力破解出来。同时使用分组加密使用的密钥无需在网络进行传输，保证密钥的安全性。
以上仅为本发明的较佳实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。
Claims (3)
1.一种基于随机图像方案的移动Web登录密码加密方法，其特征在于，包括如下步骤：
步骤1：用户访问登录界面，移动端浏览器向服务器请求加载密码控件；
步骤2：服务器按照随机规则生成密码键盘的数字字母等随机字符对照表；
步骤3：生成密码字符对应的图片，将字符对应的对照表中的映射字符值作为属性值，跟字符本身的图像一起转成HTML标签返回给移动端浏览器；
步骤4：在移动端浏览器上显示密码控件界面；
步骤5：用户点击密码控件界面上的区域输入密码，将结果记为pass；
步骤6：移动端浏览器使用SM3算法对密码控件上选择的图像对应的属性值进行哈希计算，计算结果记为key；
步骤7：使用SM4算法，利用步骤6生成的key对原始密码pass进行分组加密，加密结果记为pass1；
步骤8：用户输入用户ID，即为username，并和加密后的密码pass1一起提交到服务器；
步骤9：服务器接收到username和pass1，通过username查询数据库，查询用户的密码；
步骤10：将从数据库查询到的用户密码去对照表中查找对应的映射密码，查询结果为pass2；
步骤11：采用SM3国密算法对pass2进行哈希计算，计算结果记为key2；
步骤12：采用SM4国密算法，使用key2作为密钥，对从移动端浏览器上传的pass1进行解密，解密结果记为pass3；
步骤13：判断pass3与pass2是否相等；
步骤14：将验证结果返回给用户。
2.根据权利要求1所述的基于随机图像方案的移动Web登录密码加密方法，其特征在于，所述步骤6的具体步骤为：
步骤6.1：输入原始数据；
步骤6.2：将原始数据填充为512的正整数倍，首先在原始数据后填充1，最后64位填充为数据长度，从填充的1到64位数据长度的左侧这填充为0；
步骤6.3：将512n按512位进行分组，每组扩展为132个消息字，其中前16个消息字为当前消息的分组(w0-w15)，w为32字节，第17到第132个消息字采用置换函数进行扩展生成，其中17到68采用置换算法与69到132采用的置换函数不同；
步骤6.4：将初始值存储到ABCDEFGH中，利用压缩函数，输入初始值和消息扩展进行循环计算，每轮计算结果作为下一次压缩函数的初始值，全部计算玩132n个消息字；
步骤6.5：计算完132n的消息字后，输出256位的ABCDEFGH拼接结果，即为SM3的计算结果值，记为key。
3.根据权利要求1所述的基于随机图像方案的移动Web登录密码加密方法，其特征在于，所述步骤7的具体步骤为：
步骤7.1：输入明文X-(X0-X3)和加密密钥MK-(MK0-MK3)；
步骤7.2：根据加密密钥生成轮密钥rki；
步骤7.3：进行32轮计算，每轮计算利用生成的轮密钥rki，对X-(X0-X3)进行计算，第32轮计算后，得到X-(X32-X35)；
步骤7.4：将X-(X32-X35)继续你那个反序列变换，得到密文Y-(Y0-Y3),记为加密结果pass1。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202111631295.9A CN114329415A (zh) | 2021-12-28 | 2021-12-28 | 一种基于随机图像方案的移动Web登录密码加密方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202111631295.9A CN114329415A (zh) | 2021-12-28 | 2021-12-28 | 一种基于随机图像方案的移动Web登录密码加密方法 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN114329415A true CN114329415A (zh) | 2022-04-12 |
Family
ID=81015100
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202111631295.9A Pending CN114329415A (zh) | 2021-12-28 | 2021-12-28 | 一种基于随机图像方案的移动Web登录密码加密方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN114329415A (zh) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN115277972A (zh) * | 2022-07-29 | 2022-11-01 | 西安电子科技大学 | 一种基于国密算法的图像信息隐藏方法 |
-
2021
- 2021-12-28 CN CN202111631295.9A patent/CN114329415A/zh active Pending
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN115277972A (zh) * | 2022-07-29 | 2022-11-01 | 西安电子科技大学 | 一种基于国密算法的图像信息隐藏方法 |
| CN115277972B (zh) * | 2022-07-29 | 2023-09-26 | 西安电子科技大学 | 一种基于国密算法的图像信息隐藏方法 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9977918B2 (en) | Method and system for verifiable searchable symmetric encryption | |
| US6959394B1 (en) | Splitting knowledge of a password | |
| US9419797B2 (en) | System, processing device, computer program and method, to transparently encrypt and store data objects such that owners of the data object and permitted viewers are able to view decrypted data objects after entering user selected passwords | |
| US7739733B2 (en) | Storing digital secrets in a vault | |
| CN110868287B (zh) | 一种认证加密密文编码方法、系统、装置及存储介质 | |
| US20100131756A1 (en) | Username based authentication and key generation | |
| US20160112413A1 (en) | Method for controlling security of cloud storage | |
| CN110177134B (zh) | 一种基于多云存储的安全密码管理器及其使用方法 | |
| CN106685973A (zh) | 记住登录信息的方法及装置、登录控制方法及装置 | |
| CN112035827B (zh) | 密码数据处理方法、装置、设备以及可读存储介质 | |
| EP2999159A1 (en) | Safety control method for cloud storage | |
| CN111314050B (zh) | 一种加解密方法及装置 | |
| CN114244508B (zh) | 数据加密方法、装置、设备及存储介质 | |
| CN111639357B (zh) | 一种加密网盘系统及其认证方法和装置 | |
| CN115632880B (zh) | 一种基于国密算法的可靠数据传输及存储的方法及系统 | |
| CN114329415A (zh) | 一种基于随机图像方案的移动Web登录密码加密方法 | |
| KR100951034B1 (ko) | 암호문 크기를 줄이기 위한 공개키 기반의 검색가능암호문생성 방법과, 그에 따른 공개키 기반의 데이터 검색 방법 | |
| CN113556381B (zh) | Http请求的优化方法、终端以及存储介质 | |
| Jain et al. | Honey2fish-a hybrid encryption approach for improved password and message security | |
| CN114401102A (zh) | 一种基于国密算法的http请求参数加密方案 | |
| Banga et al. | Protecting user credentials against SQL injection through cryptography and image steganography | |
| CN114531284B (zh) | 数据加密方法、装置、电子设备及存储介质 | |
| CN116866029B (zh) | 随机数加密数据传输方法、装置、计算机设备及存储介质 | |
| JP7427290B2 (ja) | 暗号化方法、端末装置、暗号化システム及びプログラム | |
| KR101423953B1 (ko) | 원격 컴퓨팅 환경에서의 데이터 검색 방법 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination |