DE112014003159T5

DE112014003159T5 - Netzwerkidentitätsauthentifizierung unter Verwendung eines Kommunikationsvorrichtungsidentifizierungscodes

Info

Publication number: DE112014003159T5
Application number: DE112014003159.3T
Authority: DE
Inventors: Chung-Yu Lin
Original assignee: Individual
Current assignee: Individual
Priority date: 2013-07-05
Filing date: 2014-07-07
Publication date: 2016-07-14
Also published as: US20160142398A1; AU2014285035A1; SG11201510655RA; CN105431843A; WO2015003182A1; JP2016532936A

Abstract

Ein Verfahren zur Netzwerkidentitätsauthentifizierung verwendet einen Identifizierungscode einer Kommunikationsvorrichtung und ein Netzwerkoperationspasswort. Das Netzwerkoperationspasswort wird durch einen Passwortgenerator in dem Websiteserver durch Erfassen eines Teilabschnitts oder des gesamten Identifizierungscodes einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste generiert. Das Ergebnis der Netzwerkidentitätsauthentifizierung für den Identifizierungscode einer Kommunikationsvorrichtung und das Netzwerkoperationspasswort wird direkt an das Netzwerkidentitätsauthentifizierungssystem zurückgesendet, wodurch die Möglichkeit des Eindringens durch ein „Phishing-Scam” oder einen „Mittelsmann-Angriff” beseitigt wird, wozu es in dem herkömmlichen „dynamischen Passwort”-Authentifizierungsverfahren kommen kann.

Description

Diese Anmeldung beansprucht die Priorität der vorläufigen US-Patentanmeldung Nr. 61/843,102, eingereicht am 5. Juli 2013.
Gebiet der vorliegenden Erfindung
Die vorliegende Erfindung stellt ein Verfahren zur Netzwerkidentitätsauthentifizierung unter Verwendung eines Identifizierungscodes einer Kommunikationsvorrichtung und eines Netzwerkoperationspasswortes bereit, insbesondere für eines, das Nachteile beseitigen kann, die durch Hackerangriffe in Form von „Phishing-Scam” oder „Mittelsmann-Angriffen” eintreten, zu denen es beim herkömmlichen Authentifizierungsverfahren mit „dynamischen Passwörtern” kommt.
Hintergrund der Erfindung
Seit einiger Zeit sind Internet-Einkäufe, Netzwerk-Online-Spiele, Netzwerkfinanztransaktionen, e-Handels-Aktivitäten und dergleichen zu einem unverzichtbaren oder alltäglichen Bestandteil im Leben vieler Menschen geworden. Jedoch hat gleichzeitig auch die Zahl der böswilligen Störangriffe oder Sabotageakte durch Cyberhacker zugenommen. Diese Störangriffe oder Sabotageakte lassen sich in folgende Kategorien untergliedern:

1. Böswilliger Einsatz von Trojaner-Programmen: Sogenannte Trojaner oder Trojaner-Programme sind Malware (d. h. Schadsoftware), die vorgibt, eine nützliche Funktion für den Nutzer auszuführen, aber stattdessen einen unbefugten Zugriff auf das Computersystem des Nutzers ermöglicht. In der Computerwissenschaft ist ein Trojaner ein Programm, das augenscheinlich legitim ist, aber darauf ausgelegt ist, Schaden anzurichten. Zum Beispiel kann ein Trojaner dafür verwendet werden, Passwortinformationen zu stehlen, ein System für zukünftiges unbefugtes Eindringen verwundbarer zu machen, oder einfach die Programme oder Daten auf einer Festplatte zu zerstören. Sobald ein Trojaner auf einem Zielcomputersystem installiert wurde, kann ein Hacker einen Fernzugriff auf den Computer starten und verschiedene Operationen ausführen.
2. Phishing-Scams: Gemäß der Definition der Anti-Phishing Working Group (APWG) ist „Phishing” der kriminelle betrügerische Versuch, sensible Informationen wie zum Beispiel Benutzernamen, Passwörter und Kreditkartendaten zu erhalten, indem man sich über gefälschte E-Mails als ein vertrauenswürdiger Absender einer elektronischen Kommunikation ausgibt oder eine Website nachahmt, die als seriöser Anbieter erscheint, um das Opfer zu täuschen und zu veranlassen, persönliche vertrauliche Informationen preiszugeben, wie zum Beispiel Kontonummern, Kreditkartendaten und dergleichen.
3. Mittelsmann-Angriffe: In der Kryptografie ist der Mittelsmann-Angriff (MITM-Angriff) eine Form des aktiven Lauschangriffs, bei dem der Angreifer unabhängige Verbindungen mit den Opfern herstellt, Mitteilungen zwischen ihnen weiterleitet und sie glauben lässt, dass sie über eine private Verbindung direkt miteinander sprechen, obwohl die gesamte Unterhaltung durch den Angreifer gesteuert wird. Der Angreifer ist in der Lage, sämtliche Mitteilungen zwischen den beiden Opfern abzufangen und neue hinzuzufügen, was in vielen Fällen recht einfach ist, so dass der Angreifer Finanztransaktionen mit echten Banking-Websites ausführen kann, während er interaktiv bei dem betrogenen Internet-Nutzer vertrauliche Informationen abschöpft, um den betrogenen Internet-Nutzer finanziell zu schädigen.

Um also Schäden infolge der oben genannten Arten von Netzwerkangriffen zu verhindern, ist vorgeschlagen worden, eine Gegenmaßnahme in Form eines dynamischen einmaligen Passwortes (One-Time Password, OTP) zu verwenden, das nur für eine einzige Login-Sitzung oder Transaktion gültig ist und darum weniger für Wiederholungsangriffe anfällig ist als ein traditionelles gespeichertes statisches Passwort. Das OTP kann einer Organisation als eine „dynamische OTP-Passwortauthentifizierungseinheit” bekannt sein. Der Hauptalgorithmus für die Generierung und Übermittlung des OTP basiert auf Zufälligkeit. Das dynamische Passwort wird in einer unregelmäßigen stochastischen Weise mit einem anderen Passwort für jede Internet-Transaktion des Internet-Nutzers generiert. Wenn es einem potenziellen Eindringling gelingt, ein OTP aufzuzeichnen, das bereits dafür verwendet wurde, um sich in einen Dienst einzuloggen oder eine Transaktion auszuführen, so kann der Eindringling es nicht missbräuchlich verwenden, da es nicht mehr gültig ist. Darum kann ein Hacker selbst dann, wenn er erfolgreich ein benutztes OTP abfängt, weder das ungültige benutzte OTP wiederverwenden noch ein nächstes gültiges neues OTP vorhersagen, um den als Angriffsziel ausgewählten Internet-Nutzer zu gefährden. Darum machen die Merkmale der Unvorhersagbarkeit, der Nichtwiederholbarkeit und der einmaligen Gültigkeit des OTP das OTP zu einer der wirkungsvollsten Authentifizierungslösungen, um die Probleme der Identitätsauthentifizierung und des Verhinderns verschiedener Cyberstraftaten, die durch Hackerangriffe über Malware wie zum Beispiel Trojaner-Programme, Phishing, Spyware, Mittelsmann-Software (MITM) und dergleichen begangen werden, zu lösen.
Das herkömmliche Authentifizierungsverfahren, das mit einem dynamischen Passwort arbeitet, ist in 1 veranschaulicht und enthält die folgenden Schritte:

A. Ein Internet-Nutzer reicht einen Teilnahmeantrag ein, um Mitglied einer „dynamischen OTP-Passwortauthentifizierungseinheit” zu werden und eine „Account-Nummer” und ein „Passwort” zu erhalten, die an den Nutzer vergeben werden;
B. Der Internet-Nutzer greift über einen Website-Zugriffsbrowser auf eine Website, die mit der „dynamischen OTP-Passwortauthentifizierungseinheit” verknüpft ist, zu und klickt auf eine „dynamische Passwortauthentifizierungs-Webseite”;
C. Der Internet-Nutzer gibt die „Account-Nummer” und das „Passwort”, die bei der Beantragung der Mitgliedschaft vergeben wurden, in jeweilige entsprechende Felder für „Account-Nummer” und „Passwort” auf der „dynamischen Passwortauthentifizierungs-Webseite” ein;
D. Nachdem die „Account-Nummer” und das „Passwort”, die durch den Internet-Nutzer eingegeben wurden, erhalten wurden, generiert die „dynamische OTP-Passwortauthentifizierungseinheit” einen Satz „dynamischer Passwörter” und führt ein Telefonat, um ihn per SMS an das Mobiltelefon zu senden, das der Internet-Nutzer angegeben hat, um über das momentane „dynamische Passwort” informiert zu werden;
E. Der Internet-Nutzer gibt dann sein momentanes „dynamisches Passwort” in die „dynamischen Passwortauthentifizierungsfelder” auf der „dynamischen Passwortauthentifizierungs-Webseite” der Online-Website ein, nachdem er das momentane „dynamische Passwort” gelesen hat, das er per SMS auf seinem Mobiltelefon erhalten hat;
F. Die Online-Website leitet das „dynamische Passwort” in ein Computerauthentifizierungssystem der „dynamischen OTP-Passwortauthentifizierungseinheit” weiter, um einen Abgleich mit dem „dynamischen Passwort” auszuführen, das zuvor dem Internet-Zielnutzer per SMS mitgeteilt wurde. Während des Abgleichs des „dynamischen Passwortes” zeigt die „dynamische Passwortauthentifizierungs-Webseite” der Online-Website den Hinweis „Login erfolgreich” an, wenn keine Diskrepanz gefunden wurde, oder zeigt den Hinweis „Login fehlgeschlagen” an, wenn eine Diskrepanz gefunden wurde.

Obgleich das oben beschriebene herkömmliche, auf einem dynamischen Passwort basierende Authentifizierungsverfahren seit seiner Einführung und Bewerbung von einigen Finanzinstituten, Online-Spielen und Organisationen verwendet wurde, hat sich seine Ausbreitung seit 2007 verlangsamt, weil folgende Probleme aufgetreten sind:

1. Immer mehr Mobiltelefone können auf das Internet zugreifen, wodurch das an ein Mobiltelefon versendete dynamische Passwort verwundbarer wird. Der erste Mobilfunkvirus „Cabir” und der zweite Mobilfunkvirus „CommWarrior” kamen im Juni 2004 bzw. im Januar 2005. Der „Cabir”-Virus bewirkt, dass ein infiziertes Mobiltelefon ein Bluetooth-befähigtes Mobiltelefon in der Nähe sucht und sich mit ihm verbindet und fortlaufend Informationen an das verbundene Mobiltelefon sendet, wodurch die Batterie schwächer wird, während es fortwährend andere Bluetooth-Verbindungen sucht. Das „CommWarrior”-Virus ist ein Mobiltelefon-Virus, der sich über Multimedia Messaging Service(MMS)-Nachrichten verbreiten kann, also Text-Nachrichten mit Bildern, Audio- oder Video-Daten, die von einem Telefon zum nächsten oder per E-Mail versendet wird. Vor dem Aufkommen von „CommWarrior” verbreiteten sich Mobiltelefon-Viren nur über Bluetooth, und somit waren nur in der Nähe befindliche Mobiltelefone infektionsgefährdet. Aber der „CommWarrior”(MMS)-Virus kann alle Mobiltelefone betreffen und kann sich potenziell so schnell ausbreiten wie ein E-Mail-Wurm, was zu teuren Verlusten führt, die durch fortlaufende SMS-Versendungen durch die infizierten Mobiltelefone verursacht werden. Im Juli 2007 verhaftete die spanische Polizei den Hacker: einen 28-jährigen Mann, der „Cabir” und „CommWarrior” erschaffen hatte. Mehr als 115.000 auf Symbian basierende Smartphones sind von diesen beiden Viren betroffen.
Nach dem Jahr 2007 wurden einige Mobiltelefon-Viren weiter verfeinert, so dass sie sich unbemerkt einschleichen und verbergen können. Das Markt-Intelligenz & Market Intelligenz & Consulting Institut (MIC) des Instituts für Informationsindustrie (Taiwan) betont, dass aktuelle Mobiltelefon-Viren so klug sind, dass sie sich in einer SMS verstecken und anschließend darüber verbreiten können. Sobald ein Nutzer die SMS öffnet, wird diese Art von Malware installiert und läuft unbemerkt im Hintergrund, um Informationen in dem betroffenen Mobiltelefon zu stehlen und sogar Unterhaltungen im Verborgenen zu belauschen. Was noch schlimmer ist: Diese Art von Malware kann kritische Informationen, wie zum Beispiel ein persönliches Adressbuch, SMS, Kalender, Kontodaten, Passwörter und dergleichen, im Verborgenen kopieren oder löschen, so dass der Nutzer davon gar nichts mitbekommt. Weil jedes „dynamische Passwort” in dem obigen Schritt D über Telefon-SMS an den Internet-Nutzer gesendet wird, kann jeder Hacker das „dynamische Passwort” erfahren, sobald er unter Verwendung einer Spyware in das Mobiltelefon des anvisierten Internet-Nutzers eingedrungen ist. Dann kann der Hacker auf einfache Weise vorgeben, der betreffende Internet-Nutzer zu sein, um das Authentifizierungssystem der „dynamischen OTP-Passwortauthentifizierungseinheit” auszutricksen und die Funktion des herkömmlichen dynamischen Passwortauthentifizierungsverfahrens auszuschalten.
2. Wie in dem obigen Schritt D beschrieben, generiert die „dynamische OTP-Passwortauthentifizierungseinheit” einen Satz „dynamischer Passwörter” und führt ein Telefonat, um es per SMS an das durch den Internet-Nutzer angegebene Mobiltelefon zu senden. Das Problem ist, dass die Kosten für die SMS einem Internetdienstanbieter (Internet Service Provider – ISP) in Rechnung gestellt werden, der mit der „dynamischen OTP-Passwortauthentifizierungseinheit” kooperiert, und dass dementsprechend der Internetdienstanbieter (Internet Service Provider – ISP) nicht nur für die Kosten von normalen SMS aufkommt, sondern auch für die Zusatzkosten unnormaler oder ungültiger SMS, die durch Malware entstehen, die von Wettbewerbern und Hackern stammen. Folglich wird der Vorteil der Verwendung des „dynamischen OTP-Passwortauthentifizierungsmechanismus” aufgrund der unvorhersehbaren Zusatzkosten gemindert, und die weitere Verbreitung des herkömmlichen dynamischen Passwortauthentifizierungsverfahrens hat sich verlangsamt.
3. Ein weiteres Problem ist, dass, wie in dem obigen Schritt D beschrieben, wenn die „dynamische OTP-Passwortauthentifizierungseinheit” einen Satz „dynamischer Passwörter” generiert und ein Telefonat führt, um es per SMS an das durch den Internet-Nutzer angegebene Mobiltelefon zu senden, die OTP-Übertragung den MT (Mobile Terminated) Modus verwendet, von dem nicht garantiert ist, dass er eine in Echtzeit und erfolgreich ausgeführte Übertragung ist, was zu einer schweren Authentifizierungsverzögerung und/oder einem schweren Authentifizierungsfehler führen kann.
4. Des Weiteren muss der Internet-Nutzer, wie in dem obigen Schritt D beschrieben, weil die „dynamische OTP-Passwortauthentifizierungseinheit” einen Satz „dynamischer Passwörter” generiert und ein Telefonat führt, um es per SMS an das durch den Internet-Nutzer angegebene Mobiltelefon zu senden, im Status des „OTP-SMS”-Empfangs sein, um diese jederzeit von jedermann empfangen zu können, was zu einer neuen Betrugsstraftat des „OTP-SMS-Phishing” führt, bei der der Angreifer fortwährend eine betrügerische „OTP-SMS” an das Opfer sendet und in dem Opfer Panik auslöst, weil es denkt, dass sein Internet-Account oder Bankkonto angegriffen wird. Dann veranlasst der Angreifer das Opfer, seinen Anweisungen zu folgen, um das Opfer zu täuschen und an das Eigentum des Opfers zu kommen.
5. Wie in dem obigen Schritt F beschrieben, leitet die Online-Website das „dynamische Passwort” in ein Computerauthentifizierungssystem der „dynamischen OTP-Passwortauthentifizierungseinheit” weiter, um einen Abgleich mit dem „dynamischen Passwort”, das zuvor dem Internet-Zielnutzer per SMS übermittelt wurde, auszuführen, so dass die „dynamische Passwortauthentifizierungs-Webseite” der Online-Website den Hinweis „Login erfolgreich” anzeigt, wenn keine Diskrepanz gefunden wurde, oder den Hinweis „Login fehlgeschlagen” anzeigt, wenn eine Diskrepanz gefunden wurde. Dieser Schritt führt zu der betrügerischen Straftat des „Mittelsmann-Angriffs”, bei der der Angreifer den Operationsbefehl heimlich im Hintergrund modifiziert, ohne dass dem Opfer irgendetwas auffallen würde. Nachdem das Opfer das „dynamische Passwort” in die „dynamische Passwortauthentifizierungs-Webseite” der Online-Website eingegeben hat, ist der „dynamische Passwort”-Abgleich erfolgreich, und der Angreifer kann den Internet-Account oder die Bankdaten des Opfers stehlen.
6. Und schließlich breitete sich im Jahr 2012 ein neuer Virus namens Eurograbber mit seinem Mobilfunkableger Zitmo, der eine mutierte Version des Virus Zeus ist, in Europa aus und befiel 16 italienische Banken, 7 spanische Banken, 6 deutsche Banken und 3 niederländische Banken. Der Angriffsmodus der Kombination aus Eurograbber und Zitmo besteht darin, den aus einer Zwei-Faktoren-Authentifizierung bestehenden Verteidigungsmechanismus einer Bank, der die im Netz ausgeführten Finanztransaktionen absichern soll, zu durchbrechen, indem er die Transaktionsauthentifizierungsnummer (TAN) in der Mobiltelefonnachricht des Opfers abfängt, indem der Computer des Opfers und seine Mobilgeräte infiziert werden. Sobald der Angreifer die Transaktionsauthentifizierungsnummer (TAN) hat, kann er das Geld auf dem Bankkonto des Opfers ungehindert auf sein eigenes Bankkonto überweisen, wobei die jeweilige Überweisungssumme im Bereich von 656 bis 328.000 US-Dollar liegt.

Angesichts des oben Dargelegten ist es den existierenden Authentifizierungsmechanismen des „dynamischen Passwortes” augenscheinlich nicht möglich, die Netzwerknutzer durch Eindämmen und Stoppen des oben beschriebenen Telefonbetruges, der den Markt überschwemmt und sich bis zu dem Punkt verschlimmert, an dem er nicht mehr unter Kontrolle zu bringen ist, wirkungsvoll zu schützen. Es ist von größter Wichtigkeit, eine Möglichkeit zu finden, diese Arten von Cyberstraftaten einzudämmen und zu beenden, um die Netzwerknutzer zu schützen.
Kurzdarstellung der Erfindung
Eine Aufgabe der vorliegenden Erfindung ist die Bereitstellung eines Verfahrens zur Netzwerkidentitätsauthentifizierung unter Verwendung eines Identifizierungscodes einer Kommunikationsvorrichtung und eines Netzwerkoperationspasswortes, das folgende Schritte enthält:

a. Für jeden Zugriff auf eine spezielle Website zum Ausführen einer speziellen Operation eines speziellen Netzwerks über das Internet wird ein Internet-Nutzer angeleitet, eine Kommunikationsvorrichtung und einen Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste als eine Voraussetzung auszuwählen und einen entsprechenden proprietären Identifizierungscode der Kommunikationsvorrichtung in ein Feld für den Identifizierungscode der Kommunikationsvorrichtung sowie den entsprechenden Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste in ein Feld für den Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste einzugeben, die auf einer dynamischen Webseite der speziellen Website, auf die ein Zugriff gewünscht wird, enthalten sind;
b. Nachdem der Websiteserver der speziellen Website den Identifizierungscode einer Kommunikationsvorrichtung und den Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste empfangen hat, generiert ein Generator eines Netzwerkoperationspasswortes in dem Websiteserver sofort ein entsprechendes Netzwerkoperationspasswort durch Erfassen eines Teilabschnitts oder des gesamten Identifizierungscodes einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste und zeigt den Beziehungsindikator der Beziehung zwischen dem Netzwerkoperationspasswort und dem Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste auf einem Display der dynamischen Webseite an und speichert in der Zwischenzeit sowohl den Identifizierungscode der Kommunikationsvorrichtung als auch das Netzwerkoperationspasswort in einer Verifizierungsdatenbank des Websiteservers;
c. Durch Ansehen der Beschreibung der Beziehung zwischen dem Netzwerkoperationspasswort und dem Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste, die auf der dynamischen Webseite angezeigt werden, kann der Internet-Nutzer das Netzwerkoperationspasswort erkennen und kann es freiwillig von der Kommunikationsvorrichtung an ein durch die spezielle Website angegebenes Empfangsendgerät über einen Telekommunikationsnachrichten-Sendemodus senden; und
d. Nach dem Empfang der Telekommunikationsnachricht von der Kommunikationsvorrichtung liest das Empfangsendgerät aktiv den entsprechenden Identifizierungscode der Kommunikationsvorrichtung und sendet ihn zusammen mit dem in der Telekommunikationsnachricht enthaltenen Netzwerkoperationspasswort an die Verifizierungsdatenbank der speziellen Website für den Abgleich mit Gegenstücken des Identifizierungscodes der Kommunikationsvorrichtung und des in der Verifizierungsdatenbank gespeicherten Netzwerkoperationspasswortes. Wenn der übereinstimmende Identifizierungscode der Kommunikationsvorrichtung und das Netzwerkoperationspasswort gefunden werden, erscheint ein Hinweis mit den Worten „Authentifizierung erfolgreich” oder einer ähnlichen Formulierung auf der dynamischen Webseite der speziellen Website, während, wenn kein übereinstimmender Identifizierungscode der Kommunikationsvorrichtung und kein übereinstimmendes Netzwerkoperationspasswort gefunden werden, ein Hinweis mit den Worten „Authentifizierung gescheitert” oder einer ähnlichen Formulierung an gleicher Stelle erscheint.

In dem obigen Verfahren wird das Netzwerkoperationspasswort durch den Generator eines Netzwerkoperationspasswortes in dem Websiteserver durch Erfassen eines Teilabschnitts oder des gesamten Identifizierungscodes einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste generiert. Das Ergebnis der Netzwerkidentitätsauthentifizierung für den Identifizierungscode einer Kommunikationsvorrichtung und das Netzwerkoperationspasswort wird direkt an das Netzwerkidentitätsauthentifizierungssystem anstatt über das herkömmliche Internet zurückgesendet. Darum besteht keine Möglichkeit des Eindringens von „Phishing-Scam” oder eines „Mittelsmann-Angriffs”, wie sie beim herkömmlichen „dynamischen Passwort”-Authentifizierungsverfahren gegeben ist. Somit beseitigt das Verfahren Nachteile, die durch eine Hackerinvasion von „Phishing-Scam” oder einen „Mittelsmann-Angriff” bestehen, so wie es beim herkömmlichen „dynamischen Passwort”-Authentifizierungsverfahren der Fall ist.
Eine weitere Aufgabe der vorliegenden Erfindung ist die Bereitstellung eines Verfahrens zur Netzwerkidentitätsauthentifizierung unter Verwendung eines Identifizierungscodes einer Kommunikationsvorrichtung und eines Netzwerkoperationspasswortes, das die Vorteile aus den Schritten c und d enthält, wie folgt: In Schritt c wird das Netzwerkoperationspasswort freiwillig von der Kommunikationsvorrichtung an ein durch die spezielle Website angegebenes Empfangsendgerät über einen Telekommunikationsnachrichten-Sendemodus gesendet, so dass die Telekommunikationskosten dem Netzwerknutzer in Rechnung gestellt werden, was bedeutet, dass der Internetdienstanbieter (Internet Service Provider – ISP) von dieser Art von Telekommunikationskosten befreit ist und keinen Grund hat, erhebliche zusätzliche Telekommunikationskosten zu befürchten, die durch bösartige Cyberware von Hackern oder Wettbewerbern entstehen. Darum hat der Internetdienstanbieter (Internet Service Provider – ISP) Motivation und Anlass, die vorliegende Erfindung zu verwenden. In Schritt d enthalten die Parameter für den Abgleich der Identitätsauthentifizierung den Identifizierungscode einer Kommunikationsvorrichtung und das Netzwerkoperationspasswort, so dass die Identitätsauthentifizierung fehlschlägt, wenn eine Diskrepanz gefunden wurde, unabhängig davon, ob die Diskrepanz von dem Identifizierungscode einer Kommunikationsvorrichtung oder dem Netzwerkoperationspasswort herrührt. Mit solchen doppelten Authentifizierungsparametern ist das Sicherheitsniveau der vorliegenden Erfindung viel höher als das, das durch das herkömmliche „dynamische Passwort”-Authentifizierungsverfahren geboten wird.
Eine weitere Aufgabe der vorliegenden Erfindung ist die Bereitstellung eines Verfahrens zur Netzwerkidentitätsauthentifizierung unter Verwendung eines Identifizierungscodes einer Kommunikationsvorrichtung und eines Netzwerkoperationspasswortes, das die weiteren Vorteile aus Schritt c enthält, wie folgt: In Schritt c wird das Netzwerkoperationspasswort freiwillig von der Kommunikationsvorrichtung an ein durch die spezielle Website angegebenes Empfangsendgerät über einen Telekommunikationsnachrichten-Sendemodus gesendet. Im Fall eines „Phishing-Scam” oder „Mittelsmann-Angriffs” ist selbst dann, wenn ein Hacker versucht, sich als der Internet-Zielnutzer auszugeben, um eine modifizierte Geldüberweisung auszuführen, die Identitätsauthentifizierung nicht erfolgreich, weil das Netzwerkoperationspasswort vom Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste abgeleitet ist und die Bankkontonummer des Hackers eine andere sein muss als die durch den Internet-Nutzer eingegebene ursprüngliche Bankkontonummer des Zahlungsempfängers. Dadurch verhindert die vorliegende Erfindung zusätzlich, dass der Hacker die Identitätsauthentifizierung besteht, selbst wenn der Hacker versucht, sich zum Zweck der Begehung einer Straftat als der Internet-Zielnutzer auszugeben. Oder anders ausgedrückt: Das Sicherheitsniveau der vorliegenden Erfindung ist viel höher als das, das durch das herkömmliche „dynamische Passwort”-Authentifizierungsverfahren geboten wird, insbesondere im Fall des Eindringens der „Phishing-Scam” oder des „Mittelsmann-Angriffs”.
Eine weitere Aufgabe der vorliegenden Erfindung ist die Bereitstellung eines Verfahrens zur Netzwerkidentitätsauthentifizierung unter Verwendung eines Identifizierungscodes einer Kommunikationsvorrichtung und eines Netzwerkoperationspasswortes, das die weiteren Vorteile aus Schritt c enthält, wie folgt: In Schritt c wird das Netzwerkoperationspasswort freiwillig von der Kommunikationsvorrichtung an ein durch die spezielle Website angegebenes Empfangsendgerät über einen Telekommunikationsnachrichten-Sendemodus auf dem MO-Weg gesendet, der eine höhere Priorität als der MT-Weg darstellt, wobei das Sendeergebnis auf dem Mobiltelefon des Netzwerknutzers angezeigt wird. Dadurch bietet die vorliegende Erfindung eine effektivere Netzwerkidentitätsauthentifizierung als die, die durch das herkömmliche „dynamische Passwort”-Authentifizierungsverfahren geboten wird, insbesondere im Fall des passiven Empfangens einer OTP-SMS.
Eine weitere Aufgabe der vorliegenden Erfindung ist die Bereitstellung eines Verfahrens zur Netzwerkidentitätsauthentifizierung unter Verwendung eines Identifizierungscodes einer Kommunikationsvorrichtung und eines Netzwerkoperationspasswortes, das weitere Vorteile aus Schritt c enthält, wie folgt: In Schritt c wird das Netzwerkoperationspasswort freiwillig von der Kommunikationsvorrichtung an ein durch die spezielle Website angegebenes Empfangsendgerät über einen Telekommunikationsnachrichten-Sendemodus gesendet. Es gibt keine Möglichkeit eines „OTP Phishing-Scam”, selbst dann, wenn ein Hacker versucht, eine betrügerische OTP-Nachricht an den Internet-Zielnutzer für die Phishing-Scam zu senden, weil der Internet-Nutzer keine OTP-Nachricht von der Website, dem Konto, der Transaktion oder sonstigen Diensten erwartet. Dadurch verhindert die vorliegende Erfindung zusätzlich, dass der Hacker die Identitätsauthentifizierung im „OTP Phishing-Scam” besteht.
Kurze Beschreibung der Zeichnungen
1 ist ein Flussdiagramm, das Verfahrensschritte in einem herkömmlichen dynamischen Passwortauthentifizierungsverfahren zeigt.
2 ist ein Flussdiagramm, das Verfahrensschritte für eine erste beispielhafte Ausführungsform der vorliegenden Erfindung zeigt.
3 ist ein Betriebsblockschaubild für die vorherige 2.
4 ist ein weiteres Betriebsblockschaubild einer zweiten beispielhaften Ausführungsform der vorliegenden Erfindung.
Detaillierte Beschreibung der bevorzugten Ausführungsformen
Wir wenden uns den 2 und 3 zu, die eine erste beispielhafte Ausführungsform eines „Verfahrens zur Netzwerkidentitätsauthentifizierung unter Verwendung eines Identifizierungscodes einer Kommunikationsvorrichtung und eines Netzwerkoperationspasswortes” zeigen, das die folgenden Verfahrensschritte umfasst:

a. Für jeden Zugriff auf eine spezielle Website 20 zum Ausführen einer speziellen Operation eines speziellen Netzwerks 50 über das Internet W wird ein Internet-Nutzer 10 angeleitet, eine Kommunikationsvorrichtung 30 und einen Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste 51 als eine Voraussetzung auszuwählen und einen entsprechenden proprietären Identifizierungscode 31 der Kommunikationsvorrichtung in ein Feld 23 für den Identifizierungscode der Kommunikationsvorrichtung sowie einen entsprechenden Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste 51 in ein Feld für den Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste 24 einzugeben, die auf einer dynamischen Webseite 22 der speziellen Website 20, auf die ein Zugriff gewünscht wird, enthalten sind; wenn der Internet-Nutzer 10 nicht willens ist, den Identifizierungscode 31 einer Kommunikationsvorrichtung einzugeben, bedeutet das, dass er sich entschieden hat, den Identitätsauthentifizierungsdienst im Internet W aufzugeben;
b. Nachdem der Websiteserver 21 der speziellen Website 20 den Identifizierungscode 31 einer Kommunikationsvorrichtung und den Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste 51 empfangen hat, generiert ein Generator des Netzwerkoperationspasswortes 210 in dem Websiteserver 21 sofort ein entsprechendes Netzwerkoperationspasswort 32 durch Erfassen eines Teilabschnitts oder des gesamten Identifizierungscodes einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste 51 und speichert das erfasste Netzwerkoperationspasswort 32 in einem Feld für das Netzwerkoperationspasswort 25 der dynamischen Webseite 22; und zeigt dann den Beziehungsindikator der Beziehung zwischen dem Netzwerkoperationspasswort und dem Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste 211 auf einem Display der dynamischen Webseite 22 an und speichert in der Zwischenzeit sowohl den Identifizierungscode 31 der Kommunikationsvorrichtung 30 als auch das Netzwerkoperationspasswort 32 in einer Verifizierungsdatenbank 26 des Websiteservers 21;
c. Durch Ansehen V der Beschreibung der Beziehung zwischen dem Netzwerkoperationspasswort und dem Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste, die auf der dynamischen Webseite 22 angezeigt werden 211 (als in 3 gezeigtes markiertes Symbol V), kann der Internet-Nutzer 10 das Netzwerkoperationspasswort 32 erkennen und kann es freiwillig von der Kommunikationsvorrichtung 30 an ein durch die spezielle Website 20 angegebenes Empfangsendgerät 40 über einen Telekommunikationsnachrichten-Sendemodus senden; und
d. Nach dem Empfang der Telekommunikationsnachricht von der Kommunikationsvorrichtung 30 liest das Empfangsendgerät 40 aktiv den entsprechenden Identifizierungscode 31 der Kommunikationsvorrichtung 30 und sendet ihn zusammen mit dem in der Telekommunikationsnachricht enthaltenen Netzwerkoperationspasswort 32 an die Verifizierungsdatenbank 26 der speziellen Website 20 für den Abgleich mit Gegenstücken des Identifizierungscodes 31 der Kommunikationsvorrichtung 30 und des in der Verifizierungsdatenbank 26 gespeicherten Netzwerkoperationspasswortes 32; wenn der übereinstimmende Identifizierungscode der Kommunikationsvorrichtung und das Netzwerkoperationspasswort gefunden werden, erscheint ein Hinweis mit den Worten „Authentifizierung erfolgreich” oder einer ähnlichen Formulierung auf der dynamischen Webseite 22 der speziellen Website 20, während, wenn kein übereinstimmender Identifizierungscode der Kommunikationsvorrichtung und kein übereinstimmendes Netzwerkoperationspasswort gefunden werden, ein Hinweis mit den Worten „Authentifizierung gescheitert” oder einer ähnlichen Formulierung an gleicher Stelle erscheint.

In dem obigen Schritt a, wenn die Kommunikationsvorrichtung 30 ein Telefon in einem Telefonfestnetz ist, ist der entsprechende Identifizierungscode 31 der Kommunikationsvorrichtung 30 ihre Telefonnummer, während, wenn die Kommunikationsvorrichtung 30 ein Mobiltelefon ist, der entsprechende Identifizierungscode 31 der Kommunikationsvorrichtung 30 dessen Mobiltelefonnummer ist oder Daten sind, die seinem Teilnehmer-Identitätsmodul (Subscriber Identity Module – SIM) verlassen.
In dem obigen Schritt b, wenn der Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste 51 eine Website-Adresse der speziellen Website 20 ist, so ist das entsprechende Netzwerkoperationspasswort 32 ein Teilabschnitt oder die gesamte Website-Adresse der speziellen Website 20, die durch den Generator des Netzwerkoperationspasswortes 210 erfasst wurde; wenn der Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste 51 ein Bankkonto einer Netzwerkbank ist, so ist das entsprechende Netzwerkoperationspasswort 32 der Kommunikationsvorrichtung 30 ein Teilabschnitt oder das gesamte Bankkonto der Netzwerkbank, die durch den Generator des Netzwerkoperationspasswortes 210 erfasst wurde; oder wenn der Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste 51 eine laufende Transaktionsnummer eines e-Commerce ist, so ist das entsprechende Netzwerkoperationspasswort 32 der Kommunikationsvorrichtung 30 ein Teilabschnitt oder die gesamte laufende Transaktionsnummer des e-Commerce, die durch den Generator des Netzwerkoperationspasswortes 210 erfasst wurde.
In dem obigen Schritt c kann der Telekommunikationsnachrichten-Sendemodus durch einen Telekommunikationssprach-/-sprech-Sendemodus, einen Telekommunikationsbild-/-video-Sendemodus oder einen Netzwerknachrichten-Sendemodus, einschließlich unstrukturierte Zusatzdienstdaten (Unstructured Supplementary Services Data – USSD), ersetzt werden.
Darüber hinaus kann in dem obigen Schritt d die Telefonnummer des Empfangsendgerätes 40 durch einen Telekommunikations-Kurzcode ersetzt werden, so dass der Öffentlichkeit entweder die Telefonnummer oder der Telekommunikations-Kurzcode über die Verbreitung einer Medienanzeige verfügbar gemacht wird.
Wenn also ein Internet-Nutzer 10 über das Internet W (zum Beispiel eine Netzwerkbank) auf die spezielle Website 20 zugreift, um eine Operation eines speziellen Netzwerks 50 auszuführen, wie zum Beispiel, um eine spezielle Geldüberweisung auszuführen, und er ein legitimes Mobiltelefon beispielsweise mit der Mobiltelefonnummer „123456789” als die Kommunikationsvorrichtung 30 wählt, so lautet die erforderliche Eingabe für den entsprechenden proprietären Identifizierungscode der Kommunikationsvorrichtung 31 „123456789”, was in das Feld für den Identifizierungscode der Kommunikationsvorrichtung 23 für die dynamische Webseite 22 der speziellen Website 20 eingegeben wird. Wenn die zugewiesene Bankkontonummer des speziellen Zahlungsempfängerkonto „112233445566” ist, so lautet dann die erforderliche Eingabe für den entsprechenden proprietären Identifizierungscode einer speziellen Operation eines speziellen Netzwerks 51 „112233445566”, was in das Feld für den Identifizierungscode einer speziellen Operation eines speziellen Netzwerks 24 für die dynamische Webseite 22 der speziellen Website 20 eingegeben wird.
Nachdem der Websiteserver 21 der speziellen Website 20 den Identifizierungscode 31 einer Kommunikationsvorrichtung „123456789” und den Identifizierungscode einer speziellen Operation eines speziellen Netzwerks 51 „112233445566” empfangen hat, generiert ein Generator 210 eines Netzwerkoperationspasswortes in dem Websiteserver 21 der speziellen Website 20 sofort ein entsprechendes Netzwerkoperationspasswort 32 durch Erfassen des Teilabschnitts „445566” des Identifizierungscodes einer speziellen Operation eines speziellen Netzwerks 51 und speichert das erfasste Netzwerkoperationspasswort 32 „445566” in einem Feld 25 für das Netzwerkoperationspasswort der dynamischen Webseite 22; dann zeigt er es in einem Beziehungsindikator 211 des Netzwerkoperationspasswortes und des Identifizierungscodes einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste der dynamischen Webseite 22 an und speichert in der Zwischenzeit sowohl den Identifizierungscode 31 der Kommunikationsvorrichtung „123456789” als auch das Netzwerkoperationspasswort 32 „445566” in einer Verifizierungsdatenbank 26 des Websiteservers 21.
Dann erkennt der Internet-Nutzer 10 das Netzwerkoperationspasswort 32 „445566” durch Ansehen des Beziehungsindikators der Beziehung zwischen dem Netzwerkoperationspasswort und dem Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste 211 auf einem Display der dynamischen Webseite 22 auf der speziellen Website 20. In diesem Moment kann der Internet-Nutzer 10 „123456789” als Identifizierungscode 31 der Kommunikationsvorrichtung 30 mit „445566” als dem Netzwerkoperationspasswort 32 von seiner Kommunikationsvorrichtung 30 an ein durch die spezielle Website 20 angegebenes Empfangsendgerät 40 über einen Telekommunikationsnachrichten-Sendemodus senden, um die Identitätsauthentifizierung zu aktivieren, um auf die Netzwerkbank-Website zuzugreifen und die Überweisung von dem Konto zu beginnen.
Infolge dessen kann in dem Fall, wo kein „Phishing-Scam” und kein „Mittelsmann-Angriff” vorliegt, selbst ein Hacker, der bereits weiß, dass die Mobiltelefonnummer des Internet-Zielnutzers 10 „123456789” lautet, trotzdem nicht die Identitätsauthentifizierung bestehen, weil der Hacker nicht ohne Weiteres ein Mobiltelefon bekommen kann, das den gleichen Identifizierungscode „123456789” oder den gleichen Identifizierungscode der Kommunikationsvorrichtung 31 der Kommunikationsvorrichtung 30 hat. Dadurch ist es dem Hacker nicht möglich, die Identitätsauthentifizierung zu bestehen, indem er sich als Inhaber der Nummer „123456789” ausgibt, und auf die Ziel-Internetbank-Website für kriminelle Zwecke zuzugreifen.
Ähnlich ist es in dem Fall, wo ein „Phishing-Scam” oder ein „Mittelsmann-Angriff” vorliegt, in dem ein Hacker versucht, sich zum Zweck des Ausführens einer Geldüberweisung als der Internet-Zielnutzer 10 auszugeben, dem Hacker nicht möglich, die Identitätsauthentifizierung zu bestehen, weil das Netzwerkoperationspasswort 32 vom Identifizierungscode einer speziellen Operation eines speziellen Netzwerks 51 abgeleitet ist und die Bankkontonummer des Hackers eine andere sein muss als die durch den Internet-Nutzer 10 eingegebene ursprüngliche Zahlungsempfänger-Bankkontonummer. Dadurch verhindert die vorliegende Erfindung zusätzlich, dass der Hacker die Identitätsauthentifizierung besteht, selbst wenn der Hacker versucht, sich für kriminelle Zwecke als der Internet-Zielnutzer 10 auszugeben.
Dadurch ist das Sicherheitsniveau der vorliegenden Erfindung viel höher als das, das durch das herkömmliche „dynamische Passwort”-Authentifizierungsverfahren geboten wird, insbesondere im Fall von „Phishing-Scam” oder eines „Mittelsmann-Angriffs”. Darum bietet die vorliegende Erfindung eine einfache und sichere Möglichkeit zum Ausführen von Internet-Transaktionen für alle Internet-Nutzer.
Unter Bezug auf 4 ist in dem obigen Schritt b die Anzeige für den Beziehungsindikator des Netzwerkoperationspasswortes und des Identifizierungscodes einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste 211 eine E-Mail 33a, eine Netzwerkkommunikations-Sprach- oder -Sprechmeldung 33b, eine Telekommunikations-Sprach- oder -Sprechmeldung 33c oder eine Netzwerkkommunikationsnachricht 33d zum Informieren des Netzwerknutzers 10.

Claims

Verfahren zur Netzwerkidentitätsauthentifizierung unter Verwendung eines Identifizierungscodes einer Kommunikationsvorrichtung und eines Netzwerkoperationspasswortes, das folgende Schritte umfasst: a. Für jeden Zugriff auf eine spezielle Website zum Ausführen einer speziellen Operation eines speziellen Netzwerks über das Internet wird ein Internet-Nutzer angeleitet, eine Kommunikationsvorrichtung auszuwählen und den entsprechenden Identifizierungscode der Kommunikationsvorrichtung in ein Feld für den Identifizierungscode der Kommunikationsvorrichtung sowie den entsprechenden Identifizierungscode der speziellen Operation in ein Feld für den Identifizierungscode der speziellen Operation einzugeben, die auf einer dynamischen Webseite der speziellen Website, auf die ein Zugriff gewünscht wird, enthalten sind; b. nachdem der Websiteserver der speziellen Website den Identifizierungscode der Kommunikationsvorrichtung und den Identifizierungscode der speziellen Operation empfangen hat, generiert ein Generator eines Netzwerkoperationspasswortes in dem Websiteserver das Netzwerkoperationspasswort durch Erfassen eines Teilabschnitts oder des gesamten Identifizierungscodes der speziellen Operation und zeigt den Beziehungsindikator der Beziehung zwischen dem Netzwerkoperationspasswort und dem Identifizierungscode der speziellen Operation auf einem Display der dynamischen Webseite an, und der Websiteserver speichert sowohl den Identifizierungscode der Kommunikationsvorrichtung als auch das Netzwerkoperationspasswort in einer Verifizierungsdatenbank des Websiteservers; c. bei Ansicht der Beschreibung der Beziehung zwischen dem Netzwerkoperationspasswort und dem Identifizierungscode der speziellen Operation, die auf der dynamischen Webseite angezeigt werden, erkennt der Internet-Nutzer das Netzwerkoperationspasswort und sendet es freiwillig von der Kommunikationsvorrichtung an ein durch die spezielle Website angegebenes Empfangsendgerät über einen Nachrichtensendemodus; und d. nach dem Empfang der Nachricht von der Kommunikationsvorrichtung erhält das Empfangsendgerät den entsprechenden Identifizierungscode der Kommunikationsvorrichtung und sendet ihn zusammen mit dem in der Nachricht enthaltenen Netzwerkoperationspasswort an die Verifizierungsdatenbank der speziellen Website für den Abgleich mit Gegenstücken des Identifizierungscodes der Kommunikationsvorrichtung und des in der Verifizierungsdatenbank gespeicherten Netzwerkoperationspasswortes; wenn der übereinstimmende Identifizierungscode der Kommunikationsvorrichtung und das Netzwerkoperationspasswort gefunden werden, so wird ein Hinweis, der der bestandenen Authentifizierung entspricht, durch die dynamische Webseite der speziellen Website ausgeführt; und wenn kein übereinstimmender Identifizierungscode der Kommunikationsvorrichtung und kein übereinstimmendes Netzwerkoperationspasswort gefunden werden, so wird ein Hinweis, der der fehlgeschlagenen Authentifizierung entspricht, durch die dynamische Webseite ausgeführt.
Verfahren nach Anspruch 1, wobei die Kommunikationsvorrichtung in Schritt (a) ein Telefon in einem Telefonfestnetz ist und der Identifizierungscode der Kommunikationsvorrichtung ihre Telefonnummer ist.
Verfahren nach Anspruch 1, wobei die Kommunikationsvorrichtung in Schritt (a) ein Mobiltelefon ist und der Identifizierungscode der Kommunikationsvorrichtung ihre Mobiltelefonnummer ist.
Verfahren nach Anspruch 1, wobei die Kommunikationsvorrichtung in Schritt (a) ein Mobiltelefon ist und der Identifizierungscode der Kommunikationsvorrichtung Daten in ihrem Teilnehmer Identitätsmodul (Subscriber Identity Module-SIM) enthält.
Verfahren nach Anspruch 1, wobei die Anzeige für den Beziehungsindikator des Netzwerkoperationspasswortes und des Identifizierungscodes einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste in Schritt (b) eine E-Mail, eine Netzwerkkommunikations-Sprach- oder -Sprechmeldung, eine Telekommunikations-Sprach- oder -Sprechmeldung oder eine Nachricht ist.
Verfahren nach Anspruch 1, wobei der Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste in Schritt (b) eine Website-Adresse der speziellen Website ist und das entsprechende Netzwerkoperationspasswort ein Teilabschnitt oder die gesamte Website-Adresse der speziellen Website ist.
Verfahren nach Anspruch 1, wobei der Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste in Schritt (b) eine Bankkontonummer einer Netzwerkbank ist und das entsprechende Netzwerkoperationspasswort ein Teilabschnitt oder die gesamte Bankkontonummer der Netzwerkbank ist.
Verfahren nach Anspruch 1, wobei der Identifizierungscode einer Website, eines Kontos, einer Transaktion oder sonstiger Dienste in Schritt (b) eine laufende Transaktionsnummer eines e-Commerce ist und das entsprechende Netzwerkoperationspasswort ein Teilabschnitt oder die gesamte laufende Transaktionsnummer des e-Commerce ist.
Verfahren nach Anspruch 1, wobei der Nachrichtensendemodus in Schritt (c) durch einen Sprach- oder -Sprechmeldungs-Sendemodus oder einen Bild-/Video-Sendemodus ersetzt wird.
Verfahren nach Anspruch 1, wobei die Telefonnummer des Empfangsendgerätes in Schritt (d) durch einen Telekommunikations-Kurzcode ersetzt wird.
Verfahren nach Anspruch 1, wobei der Nachrichtensendemodus in Schritt (c) eine Netzwerkkommunikationsnachricht, eine Telekommunikationsnachricht und unstrukturierte Zusatzdienstdaten (Unstructured Supplementary Services Data – USSD) umfasst.