CN1414731A - 一种动态口令认证方法及其系统 - Google Patents

Abstract

本发明公开了一种动态口令认证方法及其系统，为网上应用系统提供用户认证。包括：动态口令服务系统(2)根据配置服务系统(6)中的数据库中的用户信息和用户属性生成用户口令；并通过移动通讯网，将用户口令分别发送到移动设备(4)上；认证代理(3)接收应用系统(14)发送的用户(5)请求登陆时输入的用户口令，再发送给认证服务系统(1)；所述认证服务系统(1)利用所述配置服务系统(6)中的数据库中所述用户信息和用户属性、根据所述用户口令对所述用户(5)进行认证，并将认证结果发送给认证代理(3)；认证代理(3)将所述认证结果返回应用系统(14)。本发明可用于电子商务、网上银行等。

Description

一种动态口令认证方法及其系统

技术领域  本发明涉及一种动态口令认证方法及其系统，具体地说，涉及因特网上各种应用系统通过认证代理服务器对请求登陆的用户身份是否合法进行认证的方法，和利用该方法进行认证的系统。

背景技术  因特网技术的发展带动了各种网上应用系统的发展，例如网上电子商务和电子政务将极大地改变我们的生活。如电子商务、电子政务、网上银行和网上炒股这样的网上应用系统的实现有赖于网络安全技术的发展，而网络安全的前提是准确识别合法用户，实现访问控制。

用户的身份认证是网络应用中安全体系的一个重要组成部分，合法用户的访问授权是通过身份认证实现的。一般网络操作系统都具有一定的身份认证功能，鉴别用户身份的方法很多，其中通过口令鉴别是网络安全技术最基本的手段之一。通常的计算机网络口令体系，是一种静态的、分布式的口令管理体系，存贮口令的文件往往缺乏强有力的安全保护措施；口令的选取简单；口令长时间不更换；各个应用系统中的口令分散存贮、分散管理，种种弱点使口令系统成为网络入侵者的首要目标。静态口令的特性决定了其具有容易泄露的弱点，采用物理的、逻辑的或系统的方法，都很容易获取系统口令，系统的安全管理难度大。在计算机技术高度发达和普及的今天，静态、分布式的口令管理已经远远不能适应网络应用的发展和对安全的要求。如果网络应用系统的安全级别要求更高，就需要更专业的用户身份认证产品。在静态口令的基础上，增加动态认证因素，能够更好、更准确地确认用户的身份。

动态口令技术使用不断变化的口令确认用户身份，只有可信任的用户才能掌握动态口令，难以被非法获取。美国专利US5,937,068公开了一个动态口令系统，使用两个都能够计算出动态口令的计算系统，其中一个系统是能提供合法口令的多数位智能卡或IC卡，由用户随身携带，另一个系统在用户登录时检验用户提供的动态口令，提供认证服务。

这种令牌卡动态口令技术，利用时间同步机制，与安全控制软件系统配合，验证用户身份。这种动态口令技术具有不可预测性，使用安全、权责确定，用户不必为记口令发愁，随身携带代表其身份的专用令牌，盗用者因为不能同时既得到操作人员的口令又得到令牌，也就不可能通过身份认证而登录进入应用系统。而且，当网上业务需要授权时，每次在授权过后应答数在下一次登录时会因挑战数发生了改变而不再有效，可以方便、安全地进行远程授权，从而解决了系统中需要的远程单次授权问题。

但是这种动态口令系统使用不方便，首先应用系统要给每个用户配置令牌卡，在用户数量较大并不断增长的情况下，令牌卡的分发、维修、更换和回收增加了很多费用和管理成本；其次最终用户需要携带用户令牌卡，否则就无法进入系统；而且这种动态口令系统的硬件价格比较昂贵，并且具有固定的使用年限，对于用户数量大的系统是一笔很大的开支。

发明内容  本发明的目的在于提供一种动态口令认证方法，为每个用户分别动态地生成用户口令，并将该用户口令发送给用户；在用户请求登录应用系统时，认证用户身份，保证网上应用系统不被非法用户侵入，保护合法用户的口令不被非法获取。

本发明的另一个目的在于提供一种动态口令认证系统，动态地生成用户口令，并将该用户口令传输给用户；对请求登陆网上应用系统的用户身份进行认证，保证网上应用系统不被非法用户侵入，保护合法用户的口令不被非法获取。

本发明公开了一种动态口令认证方法，使用动态口令服务系统生成用户口令，使用认证服务系统为应用系统认证用户身份，所述用户口令生成包括如下步骤：

A.所述动态口令服务系统根据配置服务系统中的数据库中的用户信息和用户属性生成用户口令；所述动态口令服务系统(2)可以根据所述用户属性中的口令周期周期性的生成用户口令，或者应用户(5)请求生成用户口令，或者在用户(5)每次登陆应用系统(14)后生成新的用户口令。

B.所述动态口令服务系统通过移动通讯网，将所述用户口令分别发送到移动设备上；所述用户口令认证包括如下步骤：

C.认证代理接收应用系统发送的用户请求登陆时输入的用户口令，再将所述用户口令发送给所述认证服务系统；

D.所述认证服务系统利用所述配置服务系统中的数据库中所述用户信息和用户属性、根据所述用户口令对所述用户进行认证，并将认证结果发送给认证代理；认证代理将所述认证结果返回应用系统。

本发明还公开了一种通过移动通讯网传输用户口令的认证系统，包括认证服务系统、动态口令服务系统、认证代理和配置服务系统；

所述配置服务系统具有能被所述认证服务系统和动态口令服务系统访问的数据库；所述配置服务系统对至少一个用户的信息分别配置用户属性，并将所述用户信息和所述用户属性存储在数据库中；

所述动态口令服务系统根据所述配置服务系统中的数据库中的用户属性生成用户口令，并通过移动通讯网分别发送到用户的移动设备上；

所述认证代理，接收应用系统发送的用户请求登陆时输入的用户口令，并发送给所述认证服务系统，并接收所述认证服务系统反馈的认证结果；

所述认证服务系统接受所述认证代理发送的所述用户口令，并根据所述用户口令利用所述配置服务系统中数据库中的相应用户信息和用户属性进行认证，将认证结果传输回认证代理。

本发明克服了动态口令令牌卡使用不方便和价格较贵的不足，利用覆盖面广的移动通讯网和日益普及的移动设备，无须用户增加其它设备即可使用安全可靠的动态口令认证手段；动态口令认证系统每增加一个动态口令用户只需要将用户的信息、包括手机号码登记在系统里，不需要给用户分配动态口令硬件，既降低了实施成本，又节约了分发、维修、回收等管理成本。本发明采用认证代理转发应用系统的用户认证请求，减轻了应用系统的负担，认证代理可以同时为多个应用系统服务，脱离各种不同的应用系统建立统一的动态口令认证系统，节省了资源。本发明巧妙地将随身携带的移动设备变成识别个人身份的工具，用户在移动设备上直接获得新的动态口令，使网络应用系统用户身份认证的可靠性得到保证，保证网上应用系统不被非法用户侵入，保护合法用户的口令不被非法获取。

附图说明

图1是本发明的系统结构示意图；

图2是本发明第一实施例的系统结构示意图；

图3是本发明第二实施例的系统结构示意图；

图4是认证服务系统的工作流程图；

图5是动态口令服务系统的工作流程图。

具体实施方法  下面通过具体实施例并结合附图对本发明做进一步详细说明。

通过移动通讯网传输动态口令的认证系统见图1，包括认证服务系统1、动态口令服务系统2、认证代理3和配置服务系统6。配置服务系统6是运行在计算机系统上的软件，具有配置服务系统6数据库，为系统管理员对认证用户提供配置功能；认证服务系统1也是运行在专门的计算机服务器上的软件，能够对用户输入的认证信息进行识别和验证；动态口令服务系统2根据配置服务系统6数据库中的信息生成动态口令，并通过移动通讯网络(如GSM网)使用如短消息(SMS)的方式发送到移动设备4上；认证代理3可以是一个独立的系统，也可以是嵌入应用系统14的子系统，认证代理3与认证服务系统1之间采用认证协议进行通信，将用户的认证信息通过约定的协议传送到认证服务系统1，获得认证结果。用户5在请求登陆应用系统14时，应用系统14将用户输入的口令和PIN(个人身份号码)传送给认证代理3，认证代理3将认证请求发送给认证服务系统1，接收认证服务系统1的应答，并将该应答发送回应用系统14；如果认证服务系统1的应答为认证成功，则允许该用户登陆应用系统14，如果认证服务系统1的应答为认证失败，则拒绝该用户登陆应用系统14。认证代理3可以为一个以上需要加以认证保护的应用系统14服务，应用系统14可以是Web服务器、网上证券或者网上银行、应用主机、防火墙、访问服务器、或者路由器等。

通过移动通讯网传输动态口令的认证系统工作过程主要包括以下步骤：第一步7，在配置服务系统6上配置用户的属性，包括动态口令生成的周期(例如一天、一小时等)、是否使用PIN、动态口令发送的移动设备号码等，存入配置服务系统数据库；第二步8，动态口令服务系统2根据上述配置服务系统数据库中的配置，使用动态口令生成算法，定期为用户生成动态口令。口令生成后，动态口令服务系统2通过移动通讯网络，将口令和口令有效期输送到用户指定的移动设备上；第三步，用户5通过携带在身边的移动设备4接受口令服务系统2输送的动态口令；第四步9，用户输入动态口令请求登陆应用系统14；第五步10，应用系统获得用户输入的用户名和口令，将用户名和口令传给与应用结合的认证代理3；第六步11，认证代理3将用户名和口令传送给认证服务系统1请求认证；第七步12，认证服务系统1对用户名和动态口令进行认证，并将认证结果传输回认证代理3；第八步13，认证代理3根据认证服务系统1的返回值，判断是否允许用户登陆应用系统，并将该信息返回应用系统14。

动态口令服务系统2产生的动态口令是一个6-10位的随机数，这个随机数根据用户设置的周期变化。动态口令可以采用密码技术中各种不可逆算法生成，使动态口令具有唯一性、变化性和不可破解性。

有别于其他的认证系统，本发明提供可靠的、独立的双因素身份验证：第一个因素是只有使用者知道的个人标识码PIN和用户名，第二个因素是只有用户自己携带的移动设备才能接受到的动态口令。使用这个系统，用户无须携带诸如令牌的其它设备、在登录的应用系统14上也不需要增加诸如读卡器等额外的硬件设备，使用起来非常简单。用户在应用系统14上的具体登陆过程可以与常规的应用登录一样，在用户名提示符下键入用户名，然后在口令提示符下输入个人识别码PIN和移动设备上接受到的动态口令，等待认证结果就完成了整个系统的登录和认证。

配置服务系统6主要负责对用户和整个系统进行配置。用户的配置包括用户基本信息的输入、用户口令方式(动态或静态)的选择、动态口令的生成种类、移动设备的号码。动态口令的生成种类有三种：第一种为周期性动态口令生成，其周期可以为几个小时、几天或几周，在每一个周期内具有不同的动态口令；第二种为主动请求性动态口令生成，用户在登录时通过移动传输网或数据网络主动请求一次性的口令，系统会实时产生动态口令，发送给用户用于登录应用系统14；第三种为登录时动态口令生成，用户最初获得一个口令，在每次登录后就获得下次登录的口令。整个系统的配置包括连接移动网络的参数、日志文件的参数等。配置服务系统6将配置数据存储在相应的数据库内，便于保存、修改和删除，配置服务系统数据库内的数据能被认证服务系统1和动态口令服务系统2访问读取。

图2是本发明第一实施例的系统结构示意图，动态口令服务系统2在服务器上外接如GSM Modem(调制解调器)的移动通信硬件设备，将动态口令传输到无线Modem(调制解调器)上，通过无线Modem将动态口令以短消息(SMS)的形式传输到用户的移动终端4上。

图3是是本发明第二实施例的系统结构示意图，通过专线(如DDN)与移动通讯网络上的短信中心(SMSC)连接，将动态口令通过数据网络传输到移动通讯网络上，再通过移动通讯网络传输到用户的移动终端4上。

图4是认证服务系统1的工作流程图。认证服务系统1与一个以上认证代理3交换信息，根据配置服务系统数据库里对应该请求认证用户的配置，对用户进行统一的动态口令身份认证。在获得认证请求后，系统首先从请求中获取用户的用户名和认证口令的信息。系统首先判断该用户名是否存在于配置服务系统数据库。如果用户名不存在，认证失败；如果用户名存在，则判断其口令是否与当前的动态口令相符；如果不相符，认证失败，反之，则认证成功。

认证代理3与需要保护的应用系统14紧密结合，当用户请求使用应用系统14时，认证代理3接受应用系统14传递的用户名和口令，将用户名和口令通过网络传输到认证服务系统1，并等待认证服务系统1的回复。如果在一定时间内认证服务系统没有回复，则返回“服务系统过期”，交给应用系统处理。如果认证服务系统回复“认证通过”，则允许用户使用应用系统14，如果回复“认证不通过”，则不允许用户使用应用系统14。

图5是动态口令服务系统的流程图，动态口令服务系统2根据配置服务系统数据库内用户的配置，为认证用户生成动态口令，并通过移动网络发送到用户的移动设备4上。动态口令服务系统会定时对认证用户进行检查，如果认证用户的动态口令已经过期，动态口令系统将生成一个新的动态口令，并根据用户的配置，重新设定动态口令的有效期限。同时，通过系统配置的移动网络连接方法，将动态口令通过移动网络发送到认证客户的移动设备上。

Claims (12)

1.  一种动态口令认证方法，其特征在于，使用动态口令服务系统(2)生成用户口令，使用认证服务系统(1)为应用系统(14)认证用户身份，所述用户口令生成包括如下步骤：

A.所述动态口令服务系统(2)根据配置服务系统(6)中的数据库中的用户信息和用户属性生成用户口令；

B.所述动态口令服务系统(2)通过移动通讯网，将所述用户口令分别发送到移动设备(4)上；所述用户口令认证包括如下步骤：

C.认证代理(3)接收应用系统(14)发送的用户(5)请求登陆时输入的用户口令，再将所述用户口令发送给所述认证服务系统(1)；

D.所述认证服务系统(1)利用所述配置服务系统(6)中的数据库中所述用户信息和用户属性、根据所述用户口令对所述用户(5)进行认证，并将认证结果发送给认证代理(3)；认证代理(3)将所述认证结果返回应用系统(14)。

2.根据权利要求1所述的认证方法，其特征在于所述步骤A中，所述动态口令服务系统(2)根据所述用户属性中的口令周期周期性的生成用户口令，或者应用户(5)请求生成用户口令，或者在用户(5)每次登陆应用系统(14)后生成新的用户口令。

3.根据权利要求1所述的认证方法，其特征在于所述步骤B包括如下步骤：

a)所述动态口令服务系统(2)将所述用户口令传输到无线调制解调器(Modem)上；

b)所述无线调制解调器(Modem)所述将用户口令以短消息(SMS)的形式传输到所述移动终端(4)上。

4.根据权利要求1所述的认证方法，其特征在于所述步骤C包括如下步骤：

a)所述动态口令服务系统(2)通过专线将所述用户口令传输到移动通讯网络上的短信中心(SMSC)；

b)所述短信中心(SMSC)通过移动通讯网络将所述用户口令传输到所述移动终端(4)上。

5.根据权利要求1、2、3或4所述的认证方法，其特征在于所述步骤C中所述应用系统(14)还将用户请求登陆时输入的个人标识码(PIN)发送给所述认证代理(3)，并由所述认证代理(3)发送给所述认证服务系统(1)；所述步骤D中所述认证服务系统(1)同时根据所述用户口令和所述个人标识码(PIN)对所述用户(5)进行认证。

6.根据权利要求1、2、3或4所述的认证方法，其特征在于：所述步骤A中所述动态口令服务系统(2)产生的所述用户口令是6-10位的随机数。

7.一种动态口令认证系统，其特征在于：包括认证服务系统(1)、动态口令服务系统(2)、认证代理(3)和配置服务系统(6)；

所述配置服务系统(6)具有能被所述认证服务系统(1)和动态口令服务系统(2)访问的数据库；所述配置服务系统(6)对至少一个用户的信息分别配置用户属性，并将所述用户信息和所述用户属性存储在数据库中；

所述动态口令服务系统(2)根据所述配置服务系统(6)中的数据库中的用户属性生成用户口令，并通过移动通讯网分别发送到用户(5)的移动设备(4)上；

所述认证代理(3)，接收应用系统(14)发送的用户(5)请求登陆时输入的用户口令，并发送给所述认证服务系统(1)，并接收所述认证服务系统(1)反馈的认证结果；

所述认证服务系统(1)接受所述认证代理(3)发送的所述用户口令，并根据所述用户口令利用所述配置服务系统(6)中数据库中的相应用户信息和用户属性进行认证，将认证结果传输回认证代理(3)。

8.根据权利要求7所述的认证系统，其特征在于，所述动态口令服务系统(2)根据所述用户属性中的口令周期周期性的生成用户口令，或者应用户(5)请求生成用户口令，或者在用户(5)每次登陆应用系统(14)后生成新的用户口令。

9.根据权利要求7所述的认证系统，其特征在于：所述动态口令服务系统(2)通过无线调制解调器(Modem)将所述用户口令以短消息(SMS)的形式传输到所述移动终端(4)上。

10.根据权利要求7所述的认证系统，其特征在于：所述动态口令服务系统(2)通过专线将所述用户口令传送给移动通讯网上的短信中心(SMSC)；所述短信中心(SMSC)通过移动通讯网络将所述用户口令传输到所述移动终端(4)上。

11.根据权利要求7、8、9或10所述的认证系统，其特征在于，所述应用系统(14)还将用户请求登陆时输入的个人标识码(PIN)发送给所述认证代理(3)，并由所述认证代理(3)发送给所述认证服务系统(1)；所述认证服务系统(1)同时根据所述用户口令和所述个人标识码(PIN)对所述用户(5)进行认证。

12.根据权利要求7、8、9或10所述的认证系统，其特征在于：所述动态口令服务系统(2)产生的所述用户口令是6-10位的随机数。

Images