CN1567321A - 一种用于计算机信息系统身份验证的口令验证系统和方法 - Google Patents

Abstract

本发明涉及一种数据传输系统中的授权方法，特别涉及一种用于计算机信息系统身份验证的口令验证系统和方法，其特征在于所述系统的构造包括验证端1、请求端2、口令接收器3、主信道4以及辅信道5。本发明的目的，在于设计一种安全强度更高、系统配置成本更低、系统运行开销较小、用户使用负担较轻的口令验证技术—双码双通道口令验证方法和系统。

Description

一种用于计算机信息系统身份验证的口令验证系统和方法

技术领域

本发明涉及一种数据传输系统中的授权方法，特别涉及一种用于计算机信息系统身份验证的口令验证系统和方法。

背景技术

在计算机信息系统中，身份鉴别是第一道安全防线。目前，身份鉴别的方法已有很多，使用最广泛的是基于口令验证的身份鉴别方法。口令验证技术主要有静态口令验证技术、一次性口令(OTP)验证技术两大类。

静态口令认证技术：注册时，用户必须提交自己的用户名和口令，验证服务器将所有用户名和口令登记在一个口令文件中。登录时，用户在客户端输入用户名和口令，传送给验证服务器。验证服务器将接收到的登录信息与口令文件中登记的相应用户名和口令比较。若相同，则通过验证；否则将拒绝登录。通常，口令信息是经过加密的，具有一定安全强度。但口令的生成基本依赖于用户，口令信息基本不变，可重用。攻击者可以通过网络窃取口令文件，再用诸如字典破解、穷举破解等手段破解用户的口令；或者用网络窃听、特洛伊木马劫持等手段获取口令信息；也可以通过其它人工方式套取口令信息；并且口令失窃往往难以发现，攻击者可用窃取的口令非法入侵计算机信息系统，造成损失。这就是所谓的重放攻击。除此以外，对用户创建、记忆、修改口令的要求较高，还会因用户遗忘口令引起种种问题。改进后的口令，增加用户记忆量，使用困难，规则长期不变容易泄露。

纯软件OTP技术：系统为每个用户分配一个帐号，每个帐号配有种子(Seed)、迭代值(Ic)和通行密语(SPP)。登录时，用户向服务端提交自己的帐号作为请求；服务端响应一个由种子Seed和当前迭代值Ic组成的挑战信息，用户输入自己的密语，客户端用该密语和种子Seed作为输入参数，运行Ic次单向加密Hash函数，产生一个一次性口令OTP向服务端提交。服务端用同样的算法也产生一个OTP。两相比较，相符则通过验证。登录成功后，服务端将迭代值减1，保存此次OTP和Ic值。OTP技术采取了新的口令生成与传送机制，可成功地防范上述重放攻击。但存在以下问题：

(1).服务端、客户端计算机的计算负担较重，系统运行开销大；

(2).服务端存储有一次性口令信息，存在可攻击点^[13]；因为口令具有周期性可重用性，所以迭代值接近0或密语被泄露需要修改密语时，OTP系统必须及时重新初始化，否则存在被攻破的危险^[8][14]；一旦其中一个被破，则可能产生连锁被破^[14]；并且，如果用户与服务端相距太远而用户又必须立即登录，这种初始化很不方便；

(3).用户需要记忆密语，有遗忘、泄露、被人工攻击(如偷看、盗取冒用，在操作击键的时候，或者担心遗忘而记录于纸上)的危险；

(4).对于关键信息的传送，如用户标识、密码种子、序列个数、第一个验证因子(即第n个口令)，严重依赖安全信道，而计算机网络系统中很难存在真正的安全信道^[9]；

(5).仅支持服务端对用户的单向验证；难于防止假冒服务器骗取OTP后发起的先发攻击^[7]；

(6).使用标准的加密算法，为攻击者使用同样的算法进行口令破解提供了条件。

动态口令卡技术系统：由用户端的密码卡、认证服务器和管理工作站组成。管理工作站负责用户的注册、初始化、生成和发放密码卡、信息修改、卡的注销等。注册时，由管理工作站进行初始化，卡中存储着用户密钥、发卡时间、用户PIN等独有信息，此后卡中的口令生成器根据卡中的信息每分钟生成一个口令；认证服务器使用同样的方法对所有注册用户生成与卡中密码同步变化的口令。用户登录时，输入口令卡上显示的口令，由认证服务器进行比较认证。这是一种时间同步和双因素认证技术，可防止网络窃听、重放攻击等，但存在以下缺陷和隐患^[9]：

(1).系统配置成本高，需要专门的认证服务器及备用认证服务器、管理工作站；

(2).系统运行开销大，服务端的计算复杂，计算量非常大；

(3).时间同步要求高，如果由于系统故障或管理员错误修改系统时间(这是很容易产生的错误)，认证服务器与卡之间一旦失去同步，口令卡就会失效，造成混乱，需管理中心进行特殊处理；

(4).口令及口令卡的维护管理依赖于管理中心，用户不方便，还存在管理员作案的隐患；

(5).密码卡制作、管理成本较高，怕丢失、怕损坏、怕盗用，增加用户经济负担和心理负担；

智能卡口令技术也要求配备专门管理工作站和依赖于密钥信息中心，存在的缺陷大体与动态口令卡技术相同^[9][11]。

申请号为98101443.7的中国专利文献中介绍的方法，主要用于电信银行向用户通知口令信息，解决传统通知方法中容易被人拆看、盗取的问题。虽说使用了双通道方式和口令接收器，但单码口令串容易被窃听；并且，通知用户到用户的接收器(包括手机、传呼机、电话、电子信箱、传真机等)后，虽然可以是一次性的，但由于口令存在的时间可以用户某种方式指定，如果指定的时间较长，则在使用之前，在接收器和授权计算机中是存在口令信息的，这就留下了被窃取的隐患。一旦接收器(尤其是手机、传呼机)丢失或被人恶意借用，口令信息就能就能被盗用，用户利益就毫无安全性可言。

发明内容

本发明的目的，在于设计一种安全强度更高、系统配置成本更低、系统运行开销较小、用户使用负担较轻的口令验证技术——双码双通道口令验证方法和系统。

本发明内容是：一种用于计算机信息系统身份验证的口令验证系统和方法，其特征在于所述系统的构造包括验证端1、请求端2、口令接收器3、主信道4以及辅信道5；

所述的验证端1负责对用户进行注册登记、处理登录请求和口令验证，并可与其他系统服务相衔接；所述的验证端1包括通常的计算机系统、用来连接主信道4和请求端2的主信道网络接口装置、用来连接辅信道5和口令接收器3的辅信道接口装置以及主要用于口令验证的验证端软件；所述的口令验证软件部分包括监听和接收模块、核对检查模块、随机口令子串生成模块、发送模块、验证模块、辅助服务模块、用户注册信息储存表、与其它系统服务程序衔接模块；

所述的请求端2用来向验证端1提交登录请求、接收验证端1传来的口令子串、帮助用户完成登录过程，提供其他与验证相关服务功能；所述的请求端包括通常的计算机系统及与验证端软件协同进行登录处理和口令验证的请求端软件，请求端软件包括用户界面模块、监听和接收模块、发送模块、初步核对检查模块、合成模块、辅助服务模块、用户验证信息储存表；

上述验证端软件和/或请求端软件均称为验证软件。

所述的主信道4是验证端计算机系统和请求端所在的计算机系统本身或者能使验证端和请求端进行通信的信息传输通道；

所述的辅信道5是与主信道不同的另一个用于信息传输的通信通道；

所述的口令接收器3用来接收从验证端1经辅信道5传送的口令子串；

用户通过请求端2向验证端1发出登录请求，在上述验证软件的控制下，验证端生成和保存口令子串，并通过信道和可接收口令的设备向用户传送口令子串信息；用户将接收到的口令子串输入到请求端、告诉请求端本次登录自己要使用的口令合成规则，用来生成验证凭证口令串；请求端向验证端传送用于验证的口令信息；接收到口令信息后，验证端根据系统中所保存的该用户选择的口令合成规则将所保存的口令子串合成为验证依据口令串，并与验证凭证口令串比较，决定是否允许用户登录。

具体的处理过程为：注册时，用户或者服务机构通过请求端向验证端提交用户的用户标识(比如用户名、帐户名、用户身份证号或者其它具有唯一性的标识码)、口令接收器ID号，还可指定口令接收器种类，用户选择自己的口令合成规则(用户需要记住该规则的代码号，也可以选择使用默认合成规则)，验证端将这些信息保存在验证表中。

用户登录系统时，向请求端提交自己的用户标识或口令接收器ID号作为登录请求；请求端将此信息传送给验证端；验证端收到登录请求后，检查系统中是否存在该用户。若存在，随即生成两个随机字符串(最佳长度为4～8个字符)，或者一个随机字符串作为口令子串(最佳长度为6～12个字符)，并将该口令子串保存在验证表中；然后通过主信道将一个口令子串传送到请求端，通过辅信道将另一个口令子串传送到口令接收器，或者只通过辅信道将一个口令子串传送到口令接收器。当然也可先传送再保存。

用户收到口令子串后，将口令子串输入到请求端，还要根据自己选择的口令合成规则决定是否需要输入口令合成代码，由请求端根据用户在本次登录中指定的合成规则对口令子串进行合成，生成验证凭证口令串；或者由用户根据自己选择的口令合成规则将口令子串合成为验证凭证口令串后输入请求端，然后请求端向验证端提交验证凭证口令串；或者请求端向验证端提交口令子串，根据用户选择的口令合成规则决定是否提交合成代码。

验证端收到此验证凭证口令串或口令子串后，根据验证表中该用户选择的口令合成规则对所保存的口令子串进行合成，生成一个验证依据口令串。如果收到的是口令子串及合成规则信息，还需要以用户在本次登录中指定的口令合成规则将口令子串合成为验证凭证口令串。然后，将验证依据口令串与口令凭证口令串进行比较，若相同，则验证成功，通知用户已经通过身份验证，允许登录系统。否则拒绝登录或要求再次登录。

本次验证完成后(不管是验证成功或者登录失败)，所保存的口令子串随即被清除或者失效。

根据上述口令验证系统及其处理过程进行身份认证的口令验证方法为：

第一步，注册：用户向请求端提交用户标识码、口令接收器ID号等注册信息，选择口令合成规则；请求端保存并传送给验证端；验证端为符合注册条件的用户保存这些信息、建立登录帐号；

第二步，口令验证：

(1)、用户通过请求端向验证端提交自己的用户标识作为登录请求，启动验证过程；

(2)、验证端收到登录请求后，检查系统中是否存在该用户；若存在，则随机生成字符串作为口令子串，并保存所产生的口令子串；并通过通信信道和接收口令的设备将口令子串传送给用户；

(3).用户接收到口令子串后，将口令子串输入到请求端，同时使请求端知晓自己本次登录要使用的口令合成规则；

(4).由验证软件根据用户本次登录要使用的口令合成规则对收到的口令子串进行合成，生成验证凭证口令串；

(5).验证凭证口令串生成并存在于验证端后，验证端根据系统中所保存的该用户选择的口令合成规则将所保存的口令子串合成为验证依据口令串；然后，将验证依据口令串与验证凭证口令串进行比较，若相同，允许用户进入系统；否则拒绝用户登录。

本发明的内容中，所述的口令验证中的步骤为：

(1).用户通过请求端向验证端提交自己的用户标识作为登录请求，启动验证过程；

(2).验证端收到登录请求后，检查系统中是否存在该用户，若存在，则生成并保存两个随机产生的字符串作为口令子串；其中一个口令子串通过主信道传送到请求端；另一个口令子串通过辅信道传送到口令接收器；或者生成并保存一个随机产生的字符串作为口令子串，通过辅信道传送到口令接收器；

(3).用户接收到口令子串后，将口令子串输入到请求端，同时输入或者使用默认规则使请求端知晓自己本次登录要使用的口令合成规则；

(4).由验证软件根据用户本次登录要使用的口令合成规则对收到的口令子串进行合成，生成验证凭证口令串；即请求端软件接收用户的输入后，或者根据用户选择的口令合成方式，将口令子串合成为验证凭证口令串，传送给验证端；或者将口令子串传送给验证端，根据用户选择的口令合成规则决定是否还传送合成代码，由验证端软件合成验证凭证口令串；

(5).验证凭证口令串生成并存在于验证端后，验证端根据系统中所保存的该用户选择的口令合成规则对所保存的两个口令子串进行合成，生成验证依据口令串；然后，将验证依据口令串与收到的验证凭证口令串进行比较，若相同，允许用户进入系统；否则拒绝用户登录。

本发明中所述的请求端的功能由可通过另一通信网络中的通信服务器设备与验证端进行通信的终端设备和该设备所在通信系统中可实现所述请求端软件功能的相应服务器设备共同实现。

本发明的内容中所述的辅信道的形成方法可有以下几种方式：

1.将验证端与固定电话通信网络的接口服务器相连；发送口令子串时，将一个口令子串传送到该接口服务器，该接口服务器将口令子串信息交由该通信网络中的电话交换机发送给指定口令接收器。其口令接收器为可接收该交换机所发送信息、并向使用者传达所接收内容的通信终端设备；

2.将验证端与无线通信网络的接口服务器相连；发送口令子串时，将一个口令子串传送到该接口服务器，该接口服务器将口令子串信息交由该通信网络中的发送装置发送给指定口令接收器。其口令接收器为可接收该发射装置所发送信息、并向使用者传达所接收内容的通信终端设备；

3.用直接与验证端计算机相连的发射装置发送口令子串信息，只有特定的口令接受器能接收该口令子串；该发射装置有接口部分、接收电路、信号调制电路、地址编码电路、放大电路、发射电路等部分；接口部分用来与验证端计算机相连，其它部分分别完成信息接收、信号调制、地址编码、信号放大、调频、信息发射等。相应的口令接收器含有接收电路、信号解调、地址解码电路、输出电路、输出装置、控制设置等部分，能保证上述发送装置发射的口令子串信息只有指定的口令接收器或口令接收器组能够接收，并以使使用者知晓的方式输出该口令子串内容，其它口令接收器不接收或接收而不输出。

4.利用计算机本身的通信端口。口令接受器上带有接口部分、接收电路和可让使用者知晓口令子串内容的输出装置；接口部分用以与验证端通信端口连接，当验证端需要发送口令子串时，即发往相应的通信端口，口令接收器的接口和接收部分接收到口令信息，输出部分随即以使使用者知晓的方式输出该口令子串内容。

附图说明

图1是计算机信息系统身份验证的口令验证系统和方法的总体结构示意图。

图2是本发明的验证端结构框图。

图3是本发明的请求端结构框图。

图4是本发明的辅信道实施例示意图。

图5是本发明的辅信道实施例中的口令发射装置电路构成示意图。

图6是本发明的辅信道实施例中的口令接收器电路构成示意图。

图7是第二种辅信道实施方法的实施例3的示意图。

图8是第二种辅信道实施方法的口令发射装置电路构成示意图。

图9是第二种辅信道实施方法的口令接收器电路构成示意图。

图10是第二种辅信道实施方法的另一种口令接收器电路构成示意图。

图11是一个完整的加强型三因素验证系统口令验证处理流程图。

实施方式

下面，结合附图和实施例进一步介绍本发明的实施方法。

在上述口令验证系统中，验证端1的功能由主要用于口令验证的验证端软件和硬件共同实现，见图1、图2。验证端软件部分可包括监听与接收模块16、核对检查模块14、随机口令子串生成模块12、发送模块13、验证模块15、辅助服务模块17、验证端验证表18、与其它系统服务程序衔接等功能模块。

其中：

监听与接收模块16：负责从主信道收发端口11监视和发现用户的登录请求，并接收请求端2传送来的用户标识，或者口令接收器ID号等登录请求信息，交给核对检查模块14；还要接收从请求端2传来的其它信息，交给相关处理模块；

核对检查模块14：收到登录请求信息后，检查验证端验证表18中是否存在该用户标识。若存在，随即调用随机口令子串生成模块12生成口令子串；否则调用发送模块13，向请求端2发送拒绝登录或要求重新登录的信息；

随机口令子串生成模块12：负责生成两个或一个随机口令子串6、7，并将其保存在验证端验证表18中，然后调用发送模块13，向主信道收发端口11和/或辅信道发送端口10发送口令子串。随机口令子串可利用随机字符生成软件产生，或者利用随机字符发生器硬件产生等方式；

发送模块13：负责向两条信道的发送端口发送信息。通常是向主信道收发端口11发送一个口令子串和其它对请求端的响应回答信息；向辅信道发送端口10发送另一个口令子串；

验证模块15：负责从监听与接收模块16接收口令子串(也可能还有口令合成规则代码)或验证凭证口令串等信息、从验证端验证表18中取出由随机口令子串生成模块12保存的口令子串，根据用户选择的口令合成规则生成验证依据口令串，必要时还需合成验证凭证口令串；将验证凭证口令串和验证依据口令串进行比较。若二者相同，则调用发送模块13向请求端2发送登录成功的信息，并清除表中的口令子串，同时连接系统中的服务程序，允许用户使用；否则，清除表中的口令子串信息，同时调用发送模块13向请求端2发送拒绝登录或要求重新登录的信息；

辅助服务模块17：向用户提供帐号注册、帐号管理、自动退出、口令子串清除或失效等服务；

验证端验证表18：即用户注册信息储存表(或数据库)，为每个用户登记保存用户标识(或帐户等其它的唯一性用户标识码)、口令接收器3的ID号码(如口令接收端PIN码、手机号、传呼机号、电话号码等)、口令合成规则代码等信息；需要的时候还要保存口令子串。

当然，上述各个模块的功能划分可灵活设计，不限于上述划分。软件模块的实现与具体的编程语言、编程工具、编程方法无关。

验证端1的硬件，除了通常的计算机系统设备外，还有一个辅信道发送端口10设备装置，用来与辅信道5通信系统及口令接收器3相连，供验证端1与辅信道通信系统通信。验证端通过通常的网络接口设备或者计算机系统本身与主信道4及请求端2相连，通过辅信道发送端口10设备装置与辅信道5及口令接收器3相连。

验证端的计算机系统与具体的CPU、内存、存储设备等所有硬件设备的型号、大小无关，也与具体的计算机操作系统、应用系统、开发系统等软件环境无关。

请求端2可以是通常的计算机系统，也可以是其它可通过另一通信网络中的通信服务器设备与验证端进行通信的终端设备，比如电话机、传真机、PDA等等。

当请求端2是通常的计算机系统时，通过主信道收发端口20与主信道4和验证端1相连，由与验证端软件协同进行口令验证的请求端软件实现，其功能包括代用户向服务端1传送登录请求、两阶段验证中的本地验证、远程验证中的口令规则代码的正确性判断与分析、进行口令合成生成验证凭证、向验证端1传送远程验证所需的信息(包括用户识别码、合成后口令串等)。软件包括监听与接收模块25、发送模块24、用户界面模块19、初步核查模块21、合成模块22、辅助服务模块23、请求端验证表26等功能模块，见图1、图3。

其中：

监听与接收模块25：负责从主信道收发端口20监视和发现验证端1发来的信息，并接收验证端1传送来的口令子串6，交给用户界面模块19显示；还要接收从验证端1传来的其它响应回答信息，交给相关模块处理；

发送模块24：负责向主信道收发端口20发送信息；

用户界面模块19：负责与用户之间的交互，接受用户输入的信息(比如请求登录信息、口令子串、口令合成规则代码、操作命令等)，将验证端1发来的信息、报错、提示信息以可让用户知晓的方式(如显示、语音提示等)告诉用户，并调用相应的模块进行处理，如调用发送模块24向验证端1发送请求登录的信息、调用口令合成模块22进行口令合成等等。

初步核查模块21：检查用户输入的口令合成规则代码与请求端验证表26中该用户的合成代码是否一致。若一致，随即调用口令合成模块22；否则向用户显示错误信息，拒绝进行登录操作或要求重新登录；还可分析当前错误是合法用户的误操作还是非法入侵者在进行猜试，然后进行相应的处理；

口令合成模块22：负责接收用户输入的口令子串(可能还有口令合成规则代码)、根据请求端验证表26中的口令合成规则代码将口令子串合成为一个验证凭证口令串8，然后调用发送模块24向验证端1发送；向验证端1发送验证凭证口令串时，需要时还可能向验证端传送口令接收器ID号、口令合成规则代码等信息。

辅助服务模块23：负责向用户提供其它辅助功能；

请求端验证表：为每个用户登记保存用户标识(或帐户等其它的唯一性用户标识码)、口令接收器号码(如口令接收端PIN码、手机号、传呼机号、电话号码等)、口令合成规则代码等信息、用于分析登录者意图的其它信息等。

还可增加本地验证模块，进行请求端本地验证。

当然，上述各个模块的功能划分可灵活设计，不限于上述划分。软件模块的实现与具体的编程语言、编程工具、编程方法无关。

口令验证的实现方法如下：

注册时，用户或者服务机构通过用户界面模块19提交用户标识(比如用户名、帐户名、用户身份证号或者其它具有唯一性的标识码)、口令接收器ID号，还可指定口令接收器种类，用户选择自己的口令合成规则，也可以选择使用默认合成规则；用户界面模块19调用辅助服务模块23和17完成注册操作，并将响应的信息保存在请求端验证表26和验证端验证表18中。

用户登录时，通过用户界面模块19提交用户标识，用户界面模块19调用发送模块24向验证端1发送登录请求；验证端1的监听与接收模块16从主信道收发端口11接收到登录请求后，将用户标识送给核对检查模块14，核对检查模块14收到登录请求信息后，检查验证端验证表18中是否存在该用户标识。若存在，随即调用随机口令子串生成模块12生成口令子串；否则调用发送模块13，向请求端2发送拒绝登录或要求重新登录的信息；

随机口令子串生成模块12利用随机字符生成软件产生，或者利用随机字符发生器硬件产生等方式，生成两个或一个随机口令子串6、7，并将其保存在验证端验证表18中，然后调用发送模块13，向主信道收发端口11和/或辅信道发送端口10发送口令子串。通过辅信道发送端口10发送的口令子串7经过辅信道5由口令接收器3接收，通过主信道收发端口11发送的口令子串6经过主信道4送往请求端2的主信道收发端口20，由监听与接收模块25接收，并送往用户界面模块19输出给用户；用户将口令接收器3接收的口令子串7通过人工通道9输入用户界面模块19，还可将口令子串6再输入用户界面模块19；并根据自己选择的口令合成规则，输入本次登录所使用的口令合成规则代码；也可以不输入口令合成规则代码二使用默认合成规则；用户界面模块19调用初步核查模块21进行初步检查；检查用户输入的口令合成规则代码与请求端验证表26中该用户的合成代码是否一致。若一致，随即调用口令合成模块22；否则向用户显示错误信息，拒绝进行登录操作或要求重新登录；还可分析当前错误是合法用户的误操作还是非法入侵者在进行猜试，然后进行相应的处理；口令合成模块22根据请求端验证表26中的口令合成规则代码将口令子串合成为一个验证凭证口令串8，然后调用发送模块24通过主信道收发端口20向验证端1发送；向验证端1发送验证凭证口令串8时，需要时还可能向验证端传送口令接收器ID号、口令合成规则代码等信息；或者请求端软件不进行口令合成，而是将用户输入的口令子串和本次要使用的口令合成规则代码通过主信道收发端口20向验证端1发送；

验证端1的监听与接收模块16通过主信道收发端口11接收到上述验证信息后，调用验证模块15；如果收到的是验证凭证口令串，验证模块15从验证端验证表18中取出由随机口令子串生成模块12保存的口令子串6和7，根据验证端验证表18中用户选择的口令合成规则生成验证依据口令串；如果收到的是口令子串(也可能还有口令合成规则代码)等信息，还需按照该合成规则将收到的口令子串合成验证凭证口令串；然后，将验证凭证口令串和验证依据口令串进行比较。若二者相同，则调用发送模块13向请求端2发送登录成功的信息，并清除表中的口令子串，同时连接系统中的服务程序，允许用户使用；否则，清除表中的口令子串信息，同时调用发送模块13向请求端2发送拒绝登录或要求重新登录的信息；

用户需要进行帐号管理操作时，首先要通过上述的口令验证过程，然后通过用户界面模块19调用辅助服务模块23、17，完成所需要的帐号管理操作。

帐号管理包括注册信息修改、帐号暂停、恢复或注销等。这些操作不是必需的，由用户或服务机构根据情况和需要决定是否、何时进行，但都必须通过身份验证取得相应权限后方可进行。修改是指更改以前的某些注册信息，比如口令接收器ID号，和/或者口令合成规则等。用户标识不能修改。暂停是指请求验证端将自己的用户标识暂时无效，不再让任何人使用。恢复是请求验证端使被暂停的用户标识重新可以使用。注销是请求验证端清除用户标识，使该用户不再是本系统的合法用户。

请求端还可负责检查输入的用户名与规则代码的正确性，以减轻验证端的负担和网络流量。若正确，即请求端验证表26中存在该用户标识，并且输入的合成代码号与表中该用户的代码号相符，则向验证端1提交本次登录所需要的信息(包括用户标识码、合成后的口令串等)；若不存在该用户，则报错，提示再输；若用户标识正确，但规则代码不相符，则记录输入的规则代码值与验证表26中该用户的代码值之间的数值距离，分析客户端提交的口令串与正确口令串之间的近似程度。以此分析用户是正当错误还是在猜试口令，并记录本次登录请求中的连续错误次数，在适当时机提示用户是在进行口令攻击，通知验证端1锁定该用户帐号，并终止此次会话连接。这样可有效阻击猜试攻击。

为了进一步提高安全强度，请求端还可采用现有的口令技术(比如在“背景技术”中介绍的静态口令改进技术)对请求登录的用户进行本地验证，以确保登录用户具有接收口令子串6和/或7的权力。这样可更加有效地防止试图非法进入者盗用合法用户的口令接收器3。

请求端2发送登录请求后，若在验证时限内没有收到验证端1传来的口令子串7或6和7，则终止本次登录会话。需要用户重新登录。

当请求端2是可通过另一通信网络中的通信服务器设备与验证端1通信的其它终端设备时，其功能由该终端设备和该设备所在通信系统中可实现所述请求端软件功能的相应服务器设备共同实现。

本发明所述的主信道4就是通常的计算机系统本身或者计算机网络信道，毋需赘述。

本发明所述的辅信道5与主信道4在通信体制、物理信道、信息编码、传输方法等方面与主信道4不同。根据实施的具体情况，辅信道的实施方法可有：

1.利用公用电话网、移动通信网、传呼通信网、卫星通信网等现有通信设施实现；这主要用于因特网环境，或者有条件与其它外部通信网络相连的情况。

2.采用自建的专用信道实现。

采用第一种实施方法时，见图4，辅信道5的构成方法是，辅信道发送端口10可以是通常的网络接口卡；验证端1通过辅信道发送端口10与另一种通信网的接口服务器27相连；验证端1将口令子串7及口令接收器3的ID号传送至接口服务器27，由接口服务器27交送该通信网中相应的发送装置51发送，再由该通信网中特定的口令接收器3接收。比如，将验证端1与公用电话网的通信接口服务器或交换机、或者与移动电话通信网的短信传输接口服务器、或者与传呼台的传呼服务器、或者与卫星传输中心的传输服务器相连(这里将上述专用的服务器或类似设备通称为接口服务器)；其口令接收器3可分别为电话机与传真机、手机或传呼机，或者其它能接收所在通信网发送装置所发送信息(当然也包括口令子串)的类似设备。

采用第二种实施方法时，辅信道4的构成需要专用的口令信息发送装置和口令接收设备。有以下几种方式：

(1).在单机情况或者在验证端和请求端所在网络覆盖范围不很大的情况下，可以用专用的口令发送装置和相应的口令接收器实现，见图5。在这种情况下，专用的发送装置28与验证端辅信道发送端口10相连，用来发送口令子串7，其发射距离应能覆盖网络覆盖范围。

如图8所示：说明了该发送装置28的结构框图，它带有接口部分30、数据接收电路31、地址编码电路32、信号调制电路33、放大电路34、天线与发射电路35等部分。接口部分30可以是连接计算机的内部插槽的接口、用于连接请求端2计算机的串行通信端口，或并行通信端口，或USB接口，或其它通信端口的插头，或者与计算机红外通信端口通信的无线接口等，用来与验证端计算机相连，其它部分分别完成信息接收、信号调制、地址编码、信号放大、调频、信息发射等。需要的话，还可有电源及控制电路。

相应的口令接收器结构框图见图9，它含有天线与接收电路36、信号解调电路37、地址解码电路38、数据输出电路39、输出装置40、比较控制与设置电路41以及电源与开关装置48等部分，能保证上述发送装置发射的口令子串7信息只有指定的口令接收器3或口令接收器组能够接收，并以显式、语音提示或其它方式输出该口令子串内容，其它口令接收器不接收或接收而不输出。

(2).在单机(即验证端与请求端处于同一个计算机系统内)情况下，也可以不需要专用发送装置，而用外接口令子串接收器的方法实现，见图6。外接口令子串接收器3的结构框图见图10，它有一个接口部分44(比如用于插入请求端计算机的串行通信端口，或并行通信端口，或USB接口，或其它通信端口的插头，或者与计算机红外通信端口通信的无线接口等)，还有一个数据接收电路45、数据输出电路46和显式装置或其它可让使用者知晓口令子串内容的输出装置47。当验证端1需要发送口令子串7时，即发往上述通信端口之一。外接的口令接收器3随即显示或以其它方式输出该口令子串内容。需要的话，还可有电源及开关装置48。

(3).在验证端和请求端所在网络覆盖范围比较大，专用发射卡的发射距离不能覆盖网络覆盖范围的情况下，如图7所示，可采用加大发射装置发射功率、扩大发射覆盖范围的办法解决，比如增加一个或多个发射台29、或者通过微波传输装置29将发射距离延伸至远处后再发射，由口令接收器3。

对这种专用的口令接收器都分配有一个唯一的ID码。发射卡中的地址编码电路32和口令接收器3中的地址解码电路38能保证所发射的口令子串只有特定的口令接收器3或口令接收器组能够接收，其它口令接收器不接收或接收而不输出。

这通常在单机、不与外部网络相连的局域网、城域网等情况下(比如未能连通或因保密要求高、经费紧张、地理位置偏僻、没必要连通等原因不能连通)使用。

口令接收器接收到口令子串信息后，以可让用户知晓的方式告诉用户，比如用响铃、振动等方式通知用户已接收到口令信息，用显示、语音提示等方式输出口令子串的内容。

口令接收器3通过人工信道9与请求端2相连，即由用户通过人工方式将口令接收器3中的口令子串输入到请求端2。附图中的虚线9表示用户将口令接收器3上的口令子串人工输入请求端2。

在安全要求比较高的场合，为了防止对口令接收器的盗用，还可在本发明所述的口令接收器上配备生物特征识别装置，该装置包括储存特定用户生物特征数据的生物特征数据存储装置42、采集现行持有者生物特征数据的生物特征数据采集装置43和比较控制及设置电路装置41；比较控制与设置电路装置41与生物特征数据存储装置42、生物特征数据采集装置43、电源与开关装置48和/或显示装置47相连接；比较控制及设置电路装置41可从生物特征数据存储装置42和生物特征数据采集装置43读取数据并进行比较，根据比较结果控制电源与开关装置48和/或显示装置47的开与关，保证仅生物特征相符的使用者能启动其工作。

在一些保密要求更为严格的场合下，为了使口令接收器专人专用，防止他人盗用，还可为口令接收器加配生物特征识别装置(比如指纹识别、声纹识别、巩膜识别、视网膜识别等)，确保只有合法用户本人才能启动口令接收器接收验证端发来的随机口令子串。

这种口令接收器包含有一个生物特征数据存储装置42、生物特征数据采集装置43、比较控制与设置电路装置41，也可有单独的电源，如图9、图10所示。比较控制与设置电路装置41与生物特征数据存储装置42、生物特征数据采集装置43、电源与开关装置48和/或显示装置47相连接；生物特征数据存储装置42用来储存特定专用用户的生物特征数据；生物特征数据采集装置43用来采集口令接收器3现行持有者的生物特征数据，并将其传送给比较控制与设置电路装置41；比较控制与设置电路装置41将采集到的生物特征数据与储存的生物特征数据进行比较，如果相同，即控制口令接收器的电源与开关装置48或者显示装置47启动口令接收器3工作；否则控制口令接收器的电源开关装置48或者显示装置47关闭口令接收器3。这样就可保证仅生物特征相符的使用者能启动其工作；启动工作后，在一定时间后可自动关闭，或者由持有者关闭，或者在完成身份验证、用户登录成功后，由验证端向相应的口令接收器发出关闭指令，防止非法用户盗用。

总体实施方式

依据以上对本发明的描述，可具体实现以下四种不同安全强度的口令验证系统，如图11所示：

(1).单码双通道口令验证(双因素)——用户请求登录时，验证端产生一个随机口令串(长度可为6～12字符)，通过辅信道传送到口令接收器，由用户在验证时限内输入请求端，请求端根据合成规则对其合成后，提交验证端以供验证；

(2).双码双通道口令验证(双因素)——用户请求登录时，验证端产生两个随机口令子串，通过主信道将其中一个传送到请求端，通过辅信道将另一个传送到口令接收器，由用户在验证时限内输入请求端，请求端根据合成规则对其合成后，提交验证端以供验证；

(3).两阶段验证(加强型双因素)——即“请求端动态口令验证+双码双通道口令验证”，这是为了进一步提高安全强度，防止对口令接收器的盗用而采取的加强措施。第一阶段，仅在请求端进行，其目的仅仅是验证登录请求者是否为口令接收器合法持有者、能否取得从验证端获取口令子串的资格。实现方法为：用户注册时提交一个初始口令；登录时，请求端根据某种规则用登录当时的系统日期、时间、星期等动态因素对初始口令进行变换加工形成作为验证依据的动态口令。用户根据同样的动态口令构成规则将初始口令变换成作为验证凭证的口令输入请求端。请求端比较验证，若二者相符，则向验证端发出第二阶段的登录请求。第二阶段的验证与上述“双码双通道口令验证”方式相同；

(4).生物特征识别+两阶段验证(加强型三因素)——在口令接收器上加装用户生物特征识别装置(可为指纹识别、声纹识别或虹膜识别等等)，仅当使用者的指纹、声纹或虹膜特征与口令接收器中事先采集储存的特征数据相吻合时，口令接收器方可启动工作，才能接收口令子串。接收一次口令子串后，在设定的时间内自行关闭。这样，从根本上杜绝了盗用者冒用的威胁。其余的验证过程与上述“两阶段口令验证”方式相同。

在“双码双通道口令验证”系统中，通过验证的条件为：①知晓合法用户在验证端注册的身份识别码(或用户名、帐号等)；②持有与上述用户识别标识码相对应的口令接收器；③知晓上述用户的口令合成规则代码。三者互相关联，作为参与认证的工具和凭证，其安全强度符合双因素(专有知识、权标持有)认证原则。

在“两阶段口令验证”系统中，通过验证的条件为：①知晓合法用户在请求端的识别码、初始口令及其动态口令构成规则；②知晓合法用户在验证端注册的身份识别码(或用户帐号名)；③持有与上述用户识别标识码相对应的口令接收器；④知晓上述用户的口令合成规则代码。四者互相关联，缺一不可。在符合双因素认证原则的基础上，增加了专有知识量，安全强度得到进一步加强。

在“加强型三因素验证”系统中，通过验证的条件为：①知晓合法用户在请求端的识别码、初始口令及其动态口令构成规则；②口令接收器持有者生物特征与口令接收器中采集的特征数据相吻合；③知晓合法用户在验证端注册的身份识别码(或用户帐号名)；④持有与上述用户识别标识码相对应的口令接收器；⑤知晓上述用户的口令合成规则代码。五条缺一不可。符合三因素认证原则(专有知识、权标持有、特征吻合)，其安全强度得到进一步加强。

综上所述，本发明的安全性来自于其独特的口令生成、口令传送、口令储存机制，用户所知道的信息(用户识别码、合成规则等)与所拥有的硬权标(口令接收器)等安全防护因素相结合，再加上一系列加强措施(如双口令码、双通道、用户对口令合成的控制、口令接收器的持有、两阶段验证、生物特征识别等)，完全符合多因素认证原则(即所知道的东西、所拥有的东西、所具有的特征)，系统具有很高的安全强度，并可克服现有口令验证技术存在的其他问题。

Claims (10)

1、一种用于计算机信息系统身份验证的口令验证系统和方法，其特征是在于所述的计算机信息系统身份的口令验证方法是：

第一步，注册：用户向请求端提交用户标识码、口令接收器ID号等注册信息，选择口令合成规则；请求端保存并传送给验证端；验证端为符合注册条件的用户保存这些信息、建立登录帐号；

第二步，口令验证：

(1)、用户通过请求端向验证端提交自己的用户标识作为登录请求，启动验证过程；

(2)、验证端收到登录请求后，检查系统中是否存在该用户；若存在，则随机生成字符串作为口令子串，并保存所产生的口令子串；并通过通信信道和接收口令的设备将口令子串传送给用户；

(3).用户接收到口令子串后，将口令子串输入到请求端，同时使请求端知晓自己本次登录要使用的口令合成规则；

(4).由验证软件根据用户本次登录要使用的口令合成规则对收到的口令子串进行合成，生成验证凭证口令串；

(5).验证凭证口令串生成并存在于验证端后，验证端根据系统中所保存的该用户选择的口令合成规则将所保存的口令子串合成为验证依据口令串；然后，将验证依据口令串与验证凭证口令串进行比较，若相同，允许用户进入系统；否则拒绝用户登录。

2、一种用于计算机信息系统身份验证的口令验证系统和方法，其特征在于所述系统的构造包括验证端(1)、请求端(2)、口令接收器(3)、主信道(4)以及辅信道(5)；

所述的验证端(1)负责对用户进行注册登记、处理登录请求和口令验证，并可与其他系统服务相衔接；所述的验证端(1)包括通常的计算机系统、用来连接主信道(4)和请求端(2)的主信道收发端口(11)装置、用来连接辅信道(5)和口令接收器(3)的辅信道发送端口(10)装置以及主要用于口令验证的验证端软件；所述的口令验证软件部分包括监听与接收模块(16)、核对检查模块(14)、随机口令子串生成模块(12)、发送模块(13)、验证模块(15)、辅助服务模块(17)、验证端验证表(18)、与其它系统服务程序衔接模块；

所述的请求端(2)用来向验证端(1)提交登录请求、接收验证端(1)传来的口令子串、帮助用户完成登录过程，提供其他与验证相关的服务功能；所述的请求端包括通常的计算机系统、用来连接主信道(4)和验证端(2)的主信道收发端口(29)装置以及与验证端软件协同进行登录处理和口令验证的请求端软件，请求端软件包括用户界面模块(19)、监听与接收模块(25)、发送模块(24)、初步核对检查模块(21)、合成模块(22)、辅助服务模块(23)、请求端验证表(26)；

所述的主信道(4)是验证端计算机系统和请求端所在的计算机系统本身或者能使验证端和请求端进行通信的信息传输通道；

所述的辅信道(5)是与主信道不同的另一个用于信息传输的通信通道；

所述的口令接收器(3)用来接收从验证端(1)经辅信道(5)传送的口令子串；

用户通过请求端(2)向验证端(1)发出登录请求，在上述软件的控制下，验证端生成和保存口令子串，并通过信道和可接收口令的设备向用户传送口令子串信息；用户将接收到的口令子串输入到请求端，同时使请求端知晓自己本次登录要使用的口令合成规则；由验证软件根据用户本次登录要使用的口令合成规则对收到的口令子串进行合成，生成验证凭证口令串；验证凭证口令串生成并存在于验证端后，验证端根据系统中所保存的该用户选择的口令合成规则将所保存的口令子串合成为验证依据口令串，并与验证凭证口令串比较，决定是否允许用户登录。

3、根据权利要求1或2所述的一种用于计算机信息系统身份验证的口令验证系统和方法，其特征是所述的口令验证中的步骤为：

(1)、用户通过请求端向验证端提交自己的用户标识作为登录请求，启动验证过程；

(2).验证端收到登录请求后，检查系统中是否存在该用户，若存在，则生成并保存两个随机产生的字符串作为口令子串；其中一个口令子串通过主信道传送到请求端；另一个口令子串通过辅信道传送到口令接收器；

(3).用户接收到口令子串后，将口令子串输入到请求端，同时使请求端知晓自己本次登录要使用的口令合成规则；

(4).由验证软件根据用户本次登录要使用的口令合成规则对收到的口令子串进行合成，生成验证凭证口令串；

(5).验证凭证口令串生成并存在于验证端后，验证端根据系统中所保存的该用户选择的口令合成规则对所保存的两个口令子串进行合成，生成验证依据口令串；然后，将验证依据口令串与收到的验证凭证口令串进行比较，若相同，允许用户进入系统；否则拒绝用户登录。

4、根据权利要求1或2所述的一种用于计算机信息系统身份验证的口令验证系统和方法，其特征在于所述的口令验证中步骤为：

(1)、用户通过请求端向验证端提交自己的用户标识作为登录请求，启动验证过程；

(2).验证端收到登录请求后，检查系统中是否存在该用户，若存在，则生成并保存一个随机产生的字符串作为口令子串，通过辅信道传送到口令接收器；

(3).用户接收到口令子串后，将口令子串输入到请求端，同时使请求端知晓自己本次登录要使用的口令合成规则；

(4).由验证软件根据用户本次登录要使用的口令合成规则对收到的口令子串进行合成，生成验证凭证口令串；

(5).验证凭证口令串生成并存在于验证端后，验证端根据系统中所保存的该用户选择的口令合成规则对所保存的口令子串进行合成，生成验证依据口令串；然后，将验证依据口令串与收到的验证凭证口令串进行比较，若相同，允许用户进入系统；否则拒绝用户登录。

5、根据权利要求1、2、3或4所述的一种用于计算机信息系统身份验证的口令验证系统和方法，其特征在于所述的请求端的功能由可通过另一通信网络中的通信服务器设备与验证端进行通信的终端设备和该设备所在通信系统中可实现所述请求端软件功能的相应服务器设备共同实现。

6、根据权利要求1、2、3、4或5所述的一种用于计算机信息系统身份验证的口令验证系统和方法，其特征在于所述的辅信道的形成方法是，用直接与验证端计算机相连的发射装置发送口令子串信息，只有特定的口令接受器能接收该口令子串；该发射装置有接口部分、接收电路、信号调制电路、地址编码电路、放大电路、发射电路等部分；接口部分用来与验证端计算机相连，其它部分分别完成信息接收、信号调制、地址编码、信号放大、调频、信息发射等。相应的口令接收器含有接收电路、信号解调、地址解码电路、输出电路、输出装置、控制设置等部分，能保证上述发送装置发射的口令子串信息只有指定的口令接收器或口令接收器组能够接收，并以使使用者知晓的方式输出该口令子串内容，其它口令接收器不接收或接收而不输出。

7、根据权利要求1、2、3、4、5或6所述一种用于计算机信息系统身份验证的口令验证系统和方法，其特征在于所述的口令接受器上带有接口部分、接收电路和可让使用者知晓口令子串内容的输出装置；接口部分用以与验证端通信端口连接，当验证端需要发送口令子串时，即发往相应的通信端口，口令接收器的接口和接收部分接收到口令信息，输出部分随即以使使用者知晓的方式输出该口令子串内容。

8、根据权利要求1、2、3、4、5或7所述的一种用于计算机信息系统身份验证的口令验证系统和方法，其特征在于所述的辅信道的形成方法为，将验证端固定电话通信网络的接口服务器相连；发送口令子串时，将一个口令子串传送到该接口服务器，该接口服务器将口令子串信息交由该通信网络中的电话交换机发送给指定口令接收器。其口令接收器为可接收该交换机所发送信息、并向使用者传达所接收内容的通信终端设备；

9、根据权利要求1、2、3、4、5或7所述的一种用于计算机信息系统身份验证的口令验证系统和方法，其特征在于所述辅信道的形成方法为，将验证端与无线通信网络的接口服务器相连；发送口令子串时，将一个口令子串传送到该接口服务器，该接口服务器将口令子串信息交由该通信网络中的发送装置发送给指定口令接收器。其口令接收器为可接收该发射装置所发送信息、并向使用者传达所接收内容的通信终端设备；

10、根据权利要求1、2、3、4、5、6、7、8或9所述的一种用于计算机信息系统身份验证的口令验证系统和方法，其特征在于所述的口令接收器上配有生物特征识别装置，改装置的构成包括储存特定用户生物特征数据的生物特征数据存储装置42、采集现行持有者生物特征数据的生物特征数据采集装置43和比较控制及设置电路装置41；比较控制与设置电路装置41与生物特征数据存储装置42、生物特征数据采集装置43、电源与开关装置48和/或显示装置47相连接；比较控制及设置电路装置41可从生物特征数据存储装置42和生物特征数据采集装置43读取数据并进行比较，根据比较结果控制电源与开关装置48和/或显示装置47的开与关，保证仅生物特征相符的使用者能启动其工作。

Images