TW201419888A - 伺服器認證方法、系統與一電腦可讀取媒體 - Google Patents

Abstract

一種伺服器認證方法、系統與一電腦可讀取媒體，根據實施例之一，使用者先透過電腦裝置執行一認證程序，比如登入一特定網路伺服器，經傳遞登入認證資料至一認證伺服器時，由認證伺服器產生一認證資訊通知，經使用者端的行動通訊裝置接收後，使用者利用裝置根據通知產生的驗證碼以電腦裝置登入網路伺服器，或者，由行動通訊裝置直接將驗證碼傳遞至認證伺服器，經網路伺服器與認證伺服器確認使用者身份，以達成安全登入的目的。

Description

伺服器認證方法、系統與一電腦可讀取媒體

本發明為一種伺服器認證方法與系統，特別是利用一第三方認證機制產生之驗證碼達成存取特定伺服器或特定目的的認證方法與系統。

登入特定裝置時所需鍵入的密碼是一般用於防止別人竊取資訊用的手段之一，傳統密碼為固定式的，當被人竊取時，竊取的人就可以冒名使用他人的資訊，產生網路安全的問題，因而習知技術發展一種每次認證時產生不同密碼的動態密碼的技術。

此類動態密碼比如為一次式密碼(one-time password,OTP)，在啟動此類動態密碼機制時，使用者所取得的密碼由特定演算法產生，僅一次有效，參考的變數有當下的時間、次數或輸入內容等，這些可作為動態密碼的種值(seed)，經輸入演算法後得到結果，並轉換成密碼，由於此種值為根據變動的資訊所產生，因此每次產生的密碼都不相同，即便被人知道，卻因為僅用一次就失效，因此可以達到安全認證的目的。

根據習知產生動態密碼的技術之一，提供一種具有顯示螢幕的動態密碼鑰匙，稱為Token裝置，此Token裝置內嵌有一計時電路，以及依據特定演算法的密碼產生器，可由認證單位提供。其中計時電路已經Token裝置初始化設定與認證的伺服器同步。當使用者登入特定伺服器時，伺服器的登入畫面將要求Token裝置依據計時電路產生的 資訊而產生動態密碼，由使用者填入動態密碼後完成登入。

習知技術產生動態密碼的網路架構可參考圖1所示之示意圖，圖中所示在使用者端的動態密碼鑰匙102即可為前述的Token裝置，其中載有動態密碼產生的演算法，而且與提供認證的認證管理伺服器104的演算法一致，並且可設定同步產生密碼的機制，並且認證管理伺服器104載有各使用者所持有的動態密碼鑰匙102的硬體資訊，與產生的時機配合，可作為密碼產生的種值(seed)。

圖中顯示使用者透過使用者電腦101連線一網路伺服器103，當進行連線時，網路伺服器103一旦獲得登入的請求後，其後端或是相關的認證管理伺服器104將會依據演算碼與對應的動態密碼鑰匙102產生動態密碼，同時，動態密碼鑰匙102亦同步產生密碼，比如每分鐘產生一次，因此使用者可依據動態密碼鑰匙102顯示的一次式密碼經使用者電腦101登入網路伺服器103。網路伺服器103將由認證管理伺服器104取得認證的資料，依此判斷是否成功登入。

其他一次式密碼的機制如一種簡訊密碼，也就是伺服器與電信業者合作，於使用者登入特定伺服器時，伺服器先取得登入資料，協同電信業者(或認證業者)發送簡訊密碼給使用者，由使用者填入簡訊密碼後完成登入。

為提供一多重身份認證的機制，本發明提出一種伺服器認證方法與系統，並一載有執行認證方法的程式指令的 電腦可讀取媒體。根據發明實施例的描述，此認證方法特別是利用第三方認證機制達成高安全性的身份認證的方式，其中利用使用者手持行動通訊裝置產生驗證碼，再經認證機制確認使用者身份，以達成伺服器登入目的。

根據發明實施例，所提出的伺服器認證方法特別適用於一架設於網路上的身份認證系統，此系統中可載有一網路伺服模組與一認證伺服模組，網路伺服模組與認證伺服模組除了可設於同一個身份認證系統之下，更在一特定實施方式中可分別為設於不同位置的網路伺服器與認證伺服器，而此認證伺服器特別可為一第三方所提供認證用、獨立運作的伺服器。

根據實施例，伺服器認證方法適用於包括一網路伺服模組與一認證伺服模組的認證系統，方法步驟包括由網路伺服模組接收自終端對伺服器端的存取，包括登入、任何存取行為的訊息，以進行一存取程序；接著，認證伺服模組將取得由存取訊息所擷取的認證資料，以產生傳送至對應該存取訊息的行動通訊裝置的一認證訊息，特別係以推播型式的方式經網路傳送。

傳送認證訊息至行動通訊裝置後，認證伺服模組接收自行動通訊裝置產生的一驗證碼，驗證碼係根據認證訊息以及載於行動通訊裝置內的個人化資訊所產生。

之後，經認證伺服模組對網路伺服模組確認驗證碼後，則能完成對應存取程序的認證程序。

前述驗證碼係依據該次存取程序中的資訊所產生，產生驗證碼的步驟為於行動通訊裝置接收來自認證伺服模組所傳送的認證訊息後，載於行動通訊裝置內的一軟體程式 解析認證訊息內容，以判斷認證訊息所載內容所符合的一樣板，之後根據所判斷的樣板，軟體程式可以順利擷取當中的資訊，作為產生驗證碼的依據。

根據認證方法的另一實施例，登入程序開始時，由使用者透過電腦裝置欲登入一伺服器，比如為認證系統中的網路伺服模組，此網路伺服模組負責處理第一身份認證程序，比如透過網頁登入介面所填入的使用者帳號與密碼。之後，經網路伺服模組接收使用者於電腦裝置之登入認證資料後，此網路伺服模組再傳遞登入認證資料至處理第二身份認證程序的認證伺服模組。

此時，認證伺服模組將產生一認證資訊通知(notification)，並傳遞至使用者所持有的行動通訊裝置，當行動通訊裝置接收認證資訊通知後，即取出其中所預載的種值(seed)，經運算產生驗證碼，之後系統中網路伺服模組與認證伺服模組將依據驗證碼，確認是否讓使用者以電腦裝置登入網路伺服模組。

根據實施例，前述用以產生驗證密碼的初始種值為方法執行之間由認證伺服模組取得使用者所提供個人化資訊所產生的個人化種值，因為使用者之間所持有的裝置與所提供的資料都會有差異，因此藉此產生的種值也都為專屬的資訊。此處，個人化資訊如行動通訊裝置之硬體資訊、使用者提供之資料，或者可以行動通訊裝置之一近場通訊電路之通訊資訊作為個人化資訊。之後，所產生的種值將傳遞至行動通訊裝置，以儲存在記憶體中。

根據再一實施例中，當行動通訊裝置根據種值產生驗證碼後，使用者可以將此驗證碼填入原本欲登入網路伺服 模組的介面上，經網路伺服模組與認證伺服模組確認身份後，能完成登入程序。在另一實施例中，當行動通訊裝置根據種值產生驗證碼後，可以直接傳送到認證伺服模組，由認證伺服模組與網路伺服模組根據驗證碼確認使用者身份，以完成登入程序。

根據實施例所載的範例，若行動通訊裝置支援近場通訊(near-field communication,NFC)，前述所提供的個人化資訊可以為此近場通訊電路的通訊資訊。當行動通訊裝置接收到前述由認證伺服模組所傳送的認證資訊通知時，即可利用行動通訊裝置內之近場通訊電路之通訊資訊開啟種值，以運算產生驗證碼。比如，使用者手持一近場通訊的近場認證載具，經近距離連線行動通訊裝置後，所產生的近場通訊資訊將用以取得授權而開啟其中所預載的種值。

前述伺服器登入之身份認證系統在一實施例中主要包括有設於不同兩個伺服器，或是在一個系統內的網路伺服模組與認證伺服模組。網路伺服模組透過網路接收一或多個使用者透過電腦裝置執行第一身份認證程序，比如是使用者透過網頁登入伺服器的方式；認證伺服模組將執行第二身份認證程序，於接收使用者的認證請求時，產生對各使用者所持有之行動通訊裝置傳遞之通知，可以直接取得由使用者端的行動通訊裝置產生的驗證碼，以進行身份認證；或可透過網路伺服模組接收由行動通訊裝置產生之驗證碼，再確認使用者之身份。

本發明更提供一種電腦可讀取媒體，其中所載之程式集係執行於前述行動通訊裝置內，用以執行伺服器登入之身份認證，程式集包括有連線設於身份認證系統中之認證 伺服模組之程式指令、接收認證伺服模組所產生的認證資訊通知之程式指令、執行近場通訊程序之程式指令、取得記載於行動通訊裝置內一種值之程式指令、依據種值產生驗證碼之程式指令、顯示驗證碼之程式指令，以及傳送驗證碼至認證伺服模組之程式指令。

本發明提出的認證系統可用於登入特定伺服器的認證需求，亦可應用在任何處理透過網路存取的認證需要，比如網路交易、網路銀行等，當使用者完成存取程序後，認證系統將提供一安全又節省成本的認證機制。

伺服器認證系統提供一認證伺服器，在一實施例中，認證伺服器提供一個第三方認證機制，取代原本由使用者直接登入的一網路伺服器(如遊戲伺服器、網路銀行)認證機制(此可稱為第一身份認證程序)，即透過此認證伺服器負責認證進入網路伺服器的使用者身份(此為輔助第一身份認證程序的第二身份認證程序)，之後認證伺服器將認證結果提供給網路伺服器作為登入成功與否的依據。

根據本發明實施例之一，伺服器認證系統特別應用了使用者所持有的行動通訊裝置作為認證的手段之一，此行動通訊裝置至少具有網路連線，或於一實施例中更設有近場通訊(NFC)的相關電路模組。其中，利用網路連線取得與認證伺服器的連線，並傳遞相關認證檔案，而近場通訊係用以與使用者端的電腦系統作近場通訊連線，透過此方式確認登入網路伺服器的使用者確實為電腦的使用者。

實施例可參閱圖2所示本發明伺服器認證之網路架構 示意圖之一。

此例圖示包括有使用者端的使用者電腦201，此電腦201的型式並不限於圖中所示，可為任何允許登入特定網路伺服器203的電腦裝置。使用者更須有一行動通訊裝置202，為執行本發明實施例所示認證方法之必要手段，可為具有通訊功能的智慧型手機、平板電腦，或是其他具有通訊功能的電子裝置。

圖中顯示有認證系統20，其主要包括了網路伺服器203與認證伺服器204，其中網路伺服器203可為提供使用者登入服務的伺服器，比如遊戲伺服器、網路銀行的伺服器、企業伺服器，或是其他特別需要安全認證的伺服器，由於使用者在當中所存取的資料有安全上的需求，因此可應用本發明所提供的伺服器認證方法與系統。

與網路伺服器連結的有一認證伺服器204，此認證伺服器204主要提供使用者於登入網路伺服器203時，除了一般登入畫面所提供的第一身份認證程序外，更提供了雙重認證的第二身份認證程序。

根據發明實施例，認證伺服器204可以為第三方所提供認證用、獨立運作的伺服器，因此可以以類似的認證機制同時服務多個前端的網路伺服器203。

在另一實施例中，網路伺服器203與認證伺服器204除了可為兩個分別設於不同位置的兩個伺服器外，更可為設於同一系統(20)內的兩個伺服模組，比如用軟體或硬體實現的網路伺服模組與認證伺服模組，兩個伺服模組分別處理不同的工作。網路伺服模組可透過網路接收一或多個使用者透過電腦裝置(如使用者電腦201)執行第一身份 認證程序，如網頁所提供的帳號、密碼或是相關認證技術的登入畫面；認證伺服模組執行第二身份認證程序，當接收使用者的認證請求時，將產生對各使用者所持有之一行動通訊裝置傳遞之通知，如行動裝置的推播技術(notification)，並直接或透過網路伺服模組接收由行動通訊裝置202產生之驗證碼，用以確認使用者身份。此處採用的驗證碼可為多種型式的驗證碼，比如一次式密碼(one-time password,OTP)。

再者，本發明所提出的認證方法並非僅限於登入特定伺服器時的登入資料，比如身份認證的資料，而是可應用於執行特定存取程序，比如前述網路伺服器203提供網路購物，當使用者執行網路交易時，也會傳輸一些必要個人資訊，這些資訊將經網路伺服器203轉送(或以某種型態的數據)給認證伺服器204，由認證伺服器204對使用者的行動通訊裝置202傳送認證訊息，接著利用裝置202產生的驗證碼(例如一次式密碼)確認該次交易是由該使用者執行。

再如網路銀行的應用上，前述網路伺服器203可為特定銀行提供的虛擬銀行的伺服器，當使用者欲於其中執行金融交易、信用卡、金融商品等存取服務時，亦可採用本發明提供的認證方法，由認證伺服器204對行動通訊裝置202執行驗證碼認證，認證成功表示經過交換的驗證碼所載資訊為正確，也就能順利完成此次網路銀行的操作。

再一實施例可參閱圖3所示本發明伺服器認證之系統架構示意圖。此例係於使用者端設有行動通訊裝置30，透過網路3與網路伺服器301、認證伺服器303建立連線。

此例說明使用者端可僅設有可以接收前述推播訊息的行動通訊裝置30，透過此行動通訊裝置30所載的軟體(如APP或是套裝軟體)根據推播的訊息產生驗證碼，而驗證碼的產生方式可應用如圖4所載初始流程產生的種值(seed)配合蓋次交易資訊所產生；或是根據該次交易資訊、個人資訊與初始流程註冊的內容經一演算法所產生，主要是藉此動態產生的驗證碼確認該次交易為正確使用者執行。

舉例來說，使用者使用行動通訊裝置30連線網路伺服器301，以登入伺服器為例，使用者可以透過特定軟體介面執行登入，網路伺服器301接收到相關登入資訊，會轉送到認證伺服器303，認證伺服器303中載有該使用者的註冊資訊，比如一些基本資料、行動通訊裝置30的資料(如電話號碼、國際移動設備識別碼(International Mobile,Equipment Identity,IMEI)等)。

認證伺服器303接著根據註冊資訊(資料庫)傳送推播至使用者所登記的行動通訊裝置30上，由行動通訊裝置30產生驗證碼，使用者在以此驗證碼繼續完成之前登入的程序。當驗證碼產生時，使用者可以繼續透過登入介面填入驗證碼，或是直接回傳給認證伺服器303，由認證伺服器303確認該次存取程序，也就是讓網路伺服器301得到認證成功的通知，而允許使用者完成登入。

前述由行動通訊裝置產生驗證碼的程序的前提為預先在認證伺服器註冊使用者資料，認證伺服器將根據註冊資料(如個人基本資料、驗證資料、裝置資訊等個人化資訊)產生一個日後作為產生驗證碼的種值(seed)，可參閱圖4所示流程描述本發明認證系統採用種值之產生步驟實施 例。

使用者在使用本發明所提供的身份認證機制前，應先成為一註冊使用者，使用者較佳地可以先在個人的行動通訊裝置安裝一執行此認證方法的軟體程式，如手機的的應用程式(APP)，此軟體程式將直接對應到相關的認證伺服器，或是特定伺服器內的認證伺服模組。使用者一開始即可透過此軟體程式註冊一組認證資料，比如使用者帳號或密碼，亦不排除其他的登入認證的可能。

註冊時，相關的認證伺服器將要求使用者傳送個人化資訊，比如使用者所使用的行動通訊裝置的硬體資訊，如硬體的編號、網路硬體資訊等，更可為行動通訊裝置所支援的近場通訊(NFC)電路的通訊資料；個人化資訊也不排除其他使用者所提供的資訊，比如使用者設定的一組認證碼(pin code)，這些個人化資訊之一或是組合都可成為產生一種值(seed)的資料來源。

經認證伺服器取得個人化資訊後(步驟S401)，將執行一種值產生程序(步驟S403)，比如透過程式執行一種值的產生運算式，此類方法為本發明所屬技術領域的人可以獲知，且並不限於特定方式，主要是由系統端所提供，目的是能根據個人化資訊計算產生個人化的種值，讓每個使用者都能夠獲得專屬而特別的種值(步驟S405)。

值得一提的是，此處種值的產生所引入的參數為個人化資訊，其中所使用的參數組合可以為使用者自行輸入的認證碼加上近場通訊的資訊，或是認證碼加上行動通訊裝置的硬體資訊，或是行動通訊裝置的硬體資訊加上近場通訊的資訊等。此處所提出的近場通訊的資訊可為行動通訊 裝置中的近場通訊模組與另一外部近場認證載具結合後產生的資訊。之後，這些產生種值的參數也可作為取出種值的必要資訊。

藉此初始註冊程序所產生的種值將可傳遞至對應之行動通訊裝置(步驟S407)，並儲存種值在行動通訊裝置中的記憶體中(步驟S409)。此種值因涉及個人的身份認證資訊，應被有效保護，比如加密。因此，前述使用者所提供的個人化資訊可用以解密此種值，比如，在開啟種值前應輸入所設定的認證碼，或是利用一近場認證載具(如NFC卡、dongle)接近此行動通訊裝置，經成功連線後，可以根據所交換的通訊資訊將種值解密取得出。比如使用者手持近場認證載具接近預先設定配對好的行動通訊裝置，於一短距離內以近場通訊技術交換了通訊資訊，可以根據所交換的通訊資訊確認是否為預設的資訊，以確認可以執行種值解密的程序。

第一實施例：

圖5接著顯示本發明伺服器認證方法之流程圖之一，此例中，流程涵蓋了行動通訊裝置51、使用者電腦52、網路伺服器53與認證伺服器54之間的程序。

步驟一開始，如步驟501所示，使用者電腦52根據使用者的操作登入網路伺服器53，目的是進行一登入程序，以此第一身份認證程序的登入過程中，會填入相關身份認證的資訊，比如使用者帳號、密碼，或是其他可以辨識使用者身份的資訊，亦不排除其他可能利用生物辨識技術的方式。

經網路伺服器53取得使用者的認證資料後，這些資料 可傳遞至認證伺服器54，如步驟502，由認證伺服器54確認該次登入者的身份。此時，網路伺服器53的狀態是等待由認證伺服器54的第二身份認證程序的結果，以確認登入權限。

接著，認證伺服器54將執行第二身份認證程序，產生如推播至使用者端行動通訊裝置51的通知(notification)，如步驟503所示，由認證伺服器54傳遞認證訊息至行動通訊裝置51。此處所描述的推播訊息的方式一般會透過特定系統業者的服務器轉發，服務器會針對系統提供的推播的對象(如手機號碼)將訊息發送出去。

經行動通訊裝置51接收此通知後，使用者將可操作行動通訊裝置51產生驗證碼，驗證碼係依據該次登入程序中的資訊所產生，如步驟504，提供給使用者電腦52使用。其中的驗證碼係由行動通訊裝置51根據一預載的種值(seed)以及對應該次登入程序的資訊運算所產生，種值產生的方式可參考圖4的流程。而種值的取出可能如前述的實施例，包括由使用者填入認證碼(pin code)解密種值，或是利用近場通訊電路完成通訊號執行解密，目的是為了要使用者本身才能取得種值。

之後，根據如步驟505所示的實施例，使用者利用顯示於行動通訊裝置51上的驗證碼登入網路伺服器53，比如開啟一個視窗要求在一有限時間內填入驗證碼。由於認證伺服器54已經在使用者註冊或初始化時載有此種值的資訊，可參閱圖4的流程，因此認證伺服器54可以對此時產生的驗證碼作確認，如步驟506，由網路伺服器53取得後，將遞送至認證伺服器54確認使用者輸入的驗證碼。

經認證伺服器54確認後，如步驟507，將確認資訊傳送給網路伺服器53，並由網路伺服器53通知使用者登入成功，如步驟508。

若以另一實施例為例，前述行動通訊裝置51所產生的驗證碼將會被傳遞至認證伺服器54，由認證伺服器54對網路伺服器53確認驗證碼後，網路伺服器45將允許使用者以使用者電腦52完成該次登入程序。

第二實施例：

圖6顯示本發明伺服器認證方法之流程圖之二，此例同樣透過於行動通訊裝置51、使用者電腦52、網路伺服器53以及認證伺服器54之間的認證訊息往來達成身份認證的目的。

其中步驟601、602、603同樣有使用者透過使用者電腦52登入網路伺服器53，相關認證資訊將由網路伺服器53傳遞至認證伺服器54，並由認證伺服器54產生一個如推播的訊息至行動通訊裝置51。

接著，行動通訊裝置51將取出其中所載的種值，必要時應執行如前述圖5所述流程中的解碼步驟以取得經加密保護的種值，種值之目的為經運算產生驗證碼。此例特別的是，由行動通訊裝置51產生的驗證碼將直接傳遞到認證伺服器54，如步驟604，而非如圖5需要填入網路伺服器53提供的登入畫面。

此驗證碼在傳輸的過程中可以以字串或編碼過的碼進行傳輸，由於使用者在使用本發明方法之前經註冊已經在認證伺服器54記載了種值或是相關認證資訊，因此在此認證伺服器54可以直接認證自行動通訊裝置51接收的驗證 碼，經確認後，如步驟605，由認證伺服器54確認使用者身份，並再與網路伺服器53確認認證資料。再如步驟606，由網路伺服器53通知使用者端登入成功。

此例中，認證伺服器54直接認證由行動通訊裝置51產生的驗證碼，因此無須在行動通訊裝置51的顯示器上顯示此密碼，也無須由使用者填入登入畫面，因此可以避免額外可能產生的錯誤與困擾。

圖7顯示之流程為本發明伺服器認證方法實施例，特別是設計於行動通訊裝置71、網路伺服模組72與認證伺服模組73之間的認證流程。

此例顯示為行動通訊裝置71與網路伺服模組72、認證伺服模組73執行的認證程序，其中網路伺服模組72與認證伺服模組73可為一個伺服主機內的兩個模組，或是分別設於不同伺服主機的兩個伺服程式，網路伺服模組72與認證伺服模組73之間可以網路或是任何數據傳輸的模式連線。

當使用者使用行動通訊裝置71欲存取網路伺服模組72所提供內容時，如步驟701，對網路伺服模組72發出存取訊息，此存取訊息之目的係欲進行一存取程序，存取訊息包括使用者透過行動通訊裝置71執行特定存取服務的訊息，比如使用者帳號、密碼、伺服器資料、網路服務內容等，存取程序的行為如登入特定網站、執行交易等。網路伺服模組72因此會根據存取訊息擷取出認證資料，比如為使用者透過行動通訊裝置71所傳送的認證資料(如帳號、密碼)，接著將這些認證資料傳遞給認證伺服模組73，如步驟702，由認證伺服模組73根據這些資料比對得到對應的使 用者資料，包括行動通訊裝置71的通訊資訊。

再如步驟703，由認證伺服模組73產生對應來源(行動通訊裝置71與使用者)的認證訊息，並傳送至行動通訊裝置71，此傳送方式特別可以推播的方式經由網路傳送。當行動通訊裝置71接收到認證伺服模組73傳送的認證訊息，這些訊息當對應到程序最初所要存取的資訊，由行動通訊裝置71所載的軟體程式接收，並據以產生一驗證碼，驗證碼的產生除了根據認證伺服模組73所傳送的訊息而產生之外，更可依據如圖4經初始化產生的種值配合本次存取程序中的認證訊息(如時間、網路位址)以一演算法產生。

接著，行動通訊裝置71傳遞驗證碼至認證伺服模組73，如步驟704，由認證伺服模組73進行比對，也就是認證伺服模組73能夠具有如同行動通訊裝置71產生驗證碼的所需資訊，包括產生的演算方式，因此可以判斷當次驗證碼是否正確，將確認驗證碼之資訊傳送給網路伺服模組72，如步驟705，經確認驗證碼後完成對應前述存取訊息的認證程序，以確認本次存取程序為經授權的使用者進行，再由網路伺服模組72通知行動通訊裝置71允許存取(步驟706)。經認證伺服模組73對網路伺服模組72確認驗證碼後，完成對應該次存取程序的認證程序。

圖8所示的功能方塊圖描述本發明伺服器認證系統之實施例，其中認證程序可同時參閱圖10所描述的主要流程。

其中包括一認證系統80中所包載的網路伺服模組801與認證伺服模組802，分別處理登入的請求以及第二道認證 的程序。使用者端可以電腦裝置81連線認證系統80，執行第一身份認證程序，接下來，系統將要求使用者端行動通訊裝置82產生個人化的驗證碼，以提供更為安全的認證機制。

根據實施例，使用者端的電腦裝置81如一般桌上型電腦、筆記型電腦、平板電腦或其他具有上網與開啟網頁等功能的電子裝置，其中至少設有網路單元811，讓電腦裝置81透過網路連線到認證系統80的網路伺服模組801。此網路伺服模組801為提供使用者特定服務的系統端軟體模組，或是特定伺服器，比如遊戲伺服器、網路銀行伺服器等。電腦裝置81設有連線到網路伺服模組801所提供登入介面的登入介面單元813，實際實施比如為一網頁瀏覽器或是特定軟體，同時提供使用者輸入登入認證資料的輸入單元815，比如使用者可透過鍵盤、滑鼠、軟體介面、觸控顯示器等方式執行輸入。

當使用者透過輸入單元815輸入登入認證資料，如帳號、密碼或是其他用於身份認證的資料，這些資料可經登入介面單元813傳送給網路伺服模組801。此時，可參閱圖10的步驟S901，網路伺服模組801接收使用者利用電腦裝置81產生的登入認證資料。

接著，經認證系統80端的處理，如步驟S903，認證伺服模組802將取得這些認證資料，比如取得使用者的身份，因此可以根據使用者的註冊資料得到欲傳送訊息的對象。根據實施例之一，本發明之相關技術領域的人可以知道，認證系統80端應設有一資料庫(未顯示於圖中)，資料庫記載使用者於註冊時，或是日後更新，所登錄的認證用 的資訊，包括對應各使用者(帳號、密碼或生物識別資訊)參與認證的行動通訊裝置的硬體資訊、使用者設定的資料，或是近場通訊電路產生的通訊資訊、近場認證載具83所載的通訊資訊等，更記載了藉此產生的種值。因此，而作為身份認證的認證伺服模組802可根據網路伺服模組801取得的使用者認證資料比對資料庫，而取得其聯絡的資料，特別是註冊時所登錄的行動通訊裝置82，因此經使用者發出登入請求時，認證伺服模組802將產生一個認證資訊通知(notification)，如步驟S905，再透過網路傳送此認證資訊通知，如步驟S907，特別是以推播的技術，資料傳遞至行動通訊裝置82。

此例中，行動通訊裝置82具有與認證伺服模組802聯繫的通訊單元821，其中更包括有記載有種值或是裝置82運作時需要的作業系統程式、執行本發明認證方法的程式集等的記憶單元823。

前述認證伺服模組802透過由網路伺服模組801執行的第一身份認證程序中得知有使用者的登入請求，即透過網路傳送認證資訊通知，當行動通訊裝置82接收通知後，可以經由輸入單元831進行操作，啟動對應本發明身份認證的軟體程式，由記憶單元823取得種值，再利用驗證碼產生單元825依據種值運算得出驗證碼，如步驟S909，之後可透過顯示單元827顯示出來，或是在如圖6所示的實施例，將密碼直接傳送至認證伺服模組802而無須顯示在終端裝置上。

在實施例中，種值可能被任何加密的形式保護在記憶單元823中，因此前述軟體程式可以依照設定，讓使用者 輸入認證碼將種值解密得出；或是根據前述實施例，透過行動通訊裝置82中的近場通訊單元829與一外部的近場認證載具83達成近場通訊連線，其中當近場認證載具83接近行動通訊裝置82，能啟動如近場通訊單元829的近場通訊電路，經交換近場認證載具83所載的通訊資訊而確認開啟種值，包括解密取出種值。

因此，經行動通訊裝置82得出驗證碼後，可以直接傳送到系統端的認證伺服模組802，或是仍透過登入畫面填入驗證碼，再經由網路伺服模組801與認證伺服模組802確認使用者身份(如步驟S911)，以完成登入程序(步驟S913)。

值得一提的是，欲應用本發明所提出的身份認證技術，所應用的行動通訊裝置應載有系統提供的應用程式，如智慧型手機、平板電腦內所載的應用程式(APP)，此應用程式用於取得系統端所推播的訊息、解密種值、提供輸入認證碼的介面，、根據種值產生驗證碼的程式，以及顯示或是傳遞驗證碼的通訊功能等，而應用程式可於取得推播訊息而啟動，或是在執行認證前即需要啟動。

在另一實施例中，如圖9所示由行動通訊裝置91連線認證系統9所形成的認證系統。

此例顯示使用者直接操作行動通訊裝置91存取特定網站，比如圖中顯示設於特定伺服器內的網路伺服模組901所提供的網頁伺服器。此例所設的認證系統9除了網路伺服模組901外更具有一提供本發明認證機制的認證伺服模組902。

在行動通訊裝置91中，包括有提供鍵盤輸入、語音輸 入、觸控輸入、手勢輸入等功能的輸入單元911，透過顯示單元912顯示出與認證系統9間的互動介面，特別是執行一軟體程式執行存取程序與認證程序的畫面。記憶單元914則是用以儲存行動通訊裝置91運作時必要的作業程式、軟體程式，當裝置啟動時，處理器(未顯示於此圖)將執行由此記憶單元914取得之必要的程式。

行動通訊裝置91透過通訊單元915與認證系統9連線、傳遞資訊，包括透過網路接收推播的訊息與傳送認證相關的數據內容。介面單元916則是提供執行存取指令與顯示畫面的使用者介面，比如一個一般目的使用的網頁瀏覽器、具有特定目的程式介面。

當使用者透過行動通訊裝置91經由網路伺服模組901執行某種存取目的時，可參閱圖11所示流程描述的認證步驟，開始時，如步驟S111，網路伺服模組901將接收到來自行動通訊裝置91的存取請求，並接收相關該使用者的認證資料。

當網路伺服模組901接收到存取請求後，相關資料會轉送到認證伺服模組902，由認證伺服模組902根據認證資料取得相關該使用者的資料，包括經登記使用的行動通訊裝置91，因此可以據此產生欲傳送的認證訊息(步驟S113)，比如利用網路傳輸推播資訊，將對應該次存取程序的訊息通知行動通訊裝置91，如步驟S115。

當使用者由行動通訊裝置91取得認證訊息時，可以從其中取得該次存取程序的資訊，以確保為該次存取程序的認證步驟，根據實施例，經由推播傳遞的訊息可為使用者於註冊服務時填入的使用者資訊、行動通訊裝置91的硬體 資訊、該次存取的訊息(如網路交易相關資訊、金額、時間等)等對應該次存取程序的資訊。

前述認證訊息可由行動通訊裝置91所載軟體程式接收，並能觸發(自動或由使用者執行)產生驗證碼，驗證碼的產生可根據初始化時的資訊與當次存取資訊所產生，如種值、時間等，這些參數係根據驗證碼產生的演算法的需要，同步在認證伺服模組902中也會產生一致的結果。接著，行動通訊裝置91將驗證碼傳送到認證伺服模組902，如步驟S117，認證伺服模組902將會驗證接收的驗證碼是否符合該次存取的驗證碼。

經認證伺服模組902認證成功後，將通知提供存取服務的網路伺服模組901允許使用者進行存取，包括登錄伺服器、成功交易或是確認該次訊息正確等(步驟S119)。

上述的驗證碼產生方法可能有多種，但不排除都是根據該次存取程序中的資訊以及使用者登錄系統時所記載的各種個人化資訊所產生，因此，此類會隨著時間變動的驗證碼為該次在特定短時間內有效。其中，安裝於行動通訊裝置上的軟體程式將根據由認證伺服器或認證伺服模組所傳送的認證訊息取得其中用以產生驗證碼的資訊，這些資訊可能為時間、交易資訊、使用者資訊或是認證伺服模組提供的資訊的其中之一或是組合。

更者，本發明提供的伺服器認證系統與方法將適用各種網路服務的安全認證需要，而各種網路服務都有其對應的資訊，比如當認證伺服模組(或是伺服器)取得一個認證請求時，將根據資訊比對得出執行該次存取程序的使用者資料，而且該次網路服務也有其特殊性，因此當傳送( 推播)認證訊息到行動通訊裝置時，所載的訊息將會符合該次網路服務的特性。據此，根據本發明實施例，載於行動通訊裝置內的軟體程式應設有多種樣板(templates)，可以根據解析結果取得重要資訊，因而這些資訊可用產生驗證碼。

如圖12所載的流程，如步驟S11，行動通訊裝置接收來自認證伺服模組所傳送的認證訊息，比如在執行特定存取服務時透過推播方式即時接收的訊息。接著，軟體程式將解析內容，如步驟S12，判斷訊息所載的內容是符合哪一種樣板，如步驟S13，根據所判斷的樣板可以正確擷取當中的資訊，如步驟S14。

舉例來說，若該次存取服務為特定網路交易，所接收到的認證訊息應會載有該次網路交易的相關資訊，如商品名稱、金額、交易時間、個人資訊等，這些應有的資訊配合應有的樣板，經過解析可以用來判斷訊息的屬性。

之後，透過軟體程式結合所擷取相關該次存取服務的資訊以及前述載於行動通訊裝置內記憶體內的種值(步驟S15)，而產生驗證碼，如步驟S16。這個驗證碼因為結合了使用者初始化時註冊的個人化資訊(不排除近場通訊的應用)以及該次存取服務的資訊，因此驗證碼為唯一且具有時效性，適合作為該次存取服務認證的用途。

本發明涉及一種電腦可讀取媒體，其中所載之程式集係執行於前述行動通訊裝置內，用以執行伺服器認證方法，程式集主要包括連線設於本發明提供的認證系統中之一認證伺服模組之程式指令、接收認證伺服模組所產生的認證資訊通知之程式指令、接收認證資訊通知後，執行近場 通訊程序之程式指令、完成近場通訊程序後，能取得記載於行動通訊裝置內種值之程式指令、依據種值產生驗證碼之程式指令，另外可包括顯示驗證碼之程式指令，並包括傳送驗證碼至系統端的認證伺服模組之程式指令。

綜上所述，本發明所提出的伺服器認證方法、系統與一電腦可讀取媒體主要是提出一種安全認證的機制，特別提供一個欲登入之網路伺服器以外的認證伺服器，透過此第三方提供的認證機制，讓使用者可以利用手持的行動通訊裝置動態產生的驗證碼提供安全的伺服器認證程序。

惟以上所述僅為本發明之較佳可行實施例，非因此即侷限本發明之專利範圍，故舉凡運用本發明說明書及圖示內容所為之等效結構變化，均同理包含於本發明之範圍內，合予陳明。

101‧‧‧使用者電腦

102‧‧‧動態密碼鑰匙

103‧‧‧網路伺服器

104‧‧‧認證管理伺服器

201‧‧‧使用者電腦

202‧‧‧行動通訊裝置

203‧‧‧網路伺服器

204‧‧‧認證伺服器

20‧‧‧認證系統

30‧‧‧行動通訊裝置

3‧‧‧網路

301‧‧‧網路伺服器

303‧‧‧認證伺服器

51‧‧‧行動通訊裝置

52‧‧‧使用者電腦

53‧‧‧網路伺服器

54‧‧‧認證伺服器

71‧‧‧行動通訊裝置

72‧‧‧網路伺服模組

73‧‧‧認證伺服模組

80‧‧‧認證系統

801‧‧‧網路伺服模組

802‧‧‧認證伺服模組

81‧‧‧電腦裝置

811‧‧‧網路單元

813‧‧‧登入介面單元

815‧‧‧輸入單元

82‧‧‧行動通訊裝置

821‧‧‧通訊單元

823‧‧‧記憶單元

825‧‧‧驗證碼產生單元

827‧‧‧顯示單元

829‧‧‧近場通訊單元

831‧‧‧輸入單元

83‧‧‧近場認證載具

91‧‧‧行動通訊裝置

911‧‧‧輸入單元

912‧‧‧顯示單元

913‧‧‧驗證碼產生單元

914‧‧‧記憶單元

915‧‧‧通訊單元

916‧‧‧介面單元

9‧‧‧認證系統

901‧‧‧網路伺服模組

902‧‧‧認證伺服模組

步驟S401~S409‧‧‧種值產生流程

步驟501~508‧‧‧伺服器登入身份方法流程之一

步驟601~606‧‧‧伺服器登入身份方法流程之二

步驟701~706‧‧‧伺服器登入身份方法流程之三

步驟S901~S913‧‧‧伺服器登入流程

步驟S111~S121‧‧‧伺服器認證流程

步驟S11~S16‧‧‧驗證碼產生流程

圖1顯示為習知技術使用動態密碼進行認證的網路架構圖；圖2顯示本發明伺服器登入身份認證之網路架構實施例示意圖之一；圖3顯示本發明伺服器登入身份認證之網路架構實施例示意圖之二；圖4所示流程描述所發明認證系統採用種值之產生步驟實施例；圖5顯示本發明伺服器認證方法之流程圖之一；圖6顯示本發明伺服器認證方法之流程圖之二；圖7顯示本發明伺服器認證方法之流程圖之三； 圖8顯示本發明認證系統實施例之功能方塊圖之一；圖9顯示本發明認證系統實施例之功能方塊圖之二；圖10所示流程描述利用本發明伺服器認證方法登入網路伺服器之實施例；圖11所示流程描述本發明伺服器認證方法的實施例步驟；圖12所示流程描述在本發明伺服器認證方法中行動通訊裝置端的步驟。

201‧‧‧使用者電腦

202‧‧‧行動通訊裝置

203‧‧‧網路伺服器

204‧‧‧認證伺服器

20‧‧‧身份認證系統

Claims (20)

1. 一種伺服器認證方法，適用於包括一網路伺服模組與一認證伺服模組之一認證系統，包括：該網路伺服模組接收一存取訊息(由終端對伺服器端的存取，包括登入、任何存取行為，本註解送件時會被刪除)，以進行一存取程序；該認證伺服模組取得由該存取訊息所擷取的認證資料，以產生傳送至對應該存取訊息的一行動通訊裝置的一認證訊息(推播，notification，本註解送件時會被刪除)；經傳送該認證訊息至該行動通訊裝置後，該認證伺服模組接收自該行動通訊裝置產生的一驗證碼(避免使用OTP，可為任何型式的碼，本註解送件時會被刪除)，該驗證碼係根據該認證訊息以及載於該行動通訊裝置內的個人化資訊(不排除seed、該次存取的資訊，本註解送件時會被刪除)所產生；以及經該認證伺服模組對該網路伺服模組確認該驗證碼後，完成對應該存取程序的認證程序。
2. 如申請專利範圍第1項所述之伺服器認證方法，其中該存取訊息為使用者利用一電腦裝置登入該網路伺服模組所產生，該存取訊息包括登入該網路伺服模組的登入資料。
3. 如申請專利範圍第1項所述之伺服器認證方法，其中該存取訊息為使用者透過該行動通訊裝置執行的一存取服務的訊息。
4. 如申請專利範圍第1項所述之伺服器認證方法，其中該認證訊息係透過一推播方式傳送到該行動通訊裝置。
5. 如申請專利範圍第1項所述之伺服器認證方法，其中該個人化資訊為儲存於該行動通訊裝置內的一種值，該種值為登錄於該認證伺服模組時所產生。
6. 如申請專利範圍第5項所述之伺服器認證方法，其中該驗證碼係以一演算法根據該種值與該次存取程序中的認證訊息所產生。
7. 如申請專利範圍第6項所述之伺服器認證方法，其中該驗證碼係依據該次存取程序中的資訊所產生，產生該驗證碼的步驟包括：於該行動通訊裝置接收來自該認證伺服模組所傳送的認證訊息後，載於該行動通訊裝置內的一軟體程式解析該認證訊息內容，以判斷該認證訊息所載內容所符合的一樣板；根據所判斷的該樣板，該軟體程式擷取當中的資訊；該軟體程式結合所擷取相關該存取程序的資訊以及該種值，以產生該驗證碼。
8. 一種伺服器認證方法，適用於包括一網路伺服模組與一認證伺服模組之一認證系統，包括：該網路伺服模組接收使用者於一電腦裝置之登入認證資料，以執行一登入程序；該網路伺服模組傳遞所接收的登入認證資料至一認證伺服模組；該認證伺服模組根據該登入認證資料所取得的資訊 ，以產生一認證資訊通知，並傳遞該認證資訊通知至一行動通訊裝置；經該行動通訊裝置接收該認證資訊通知後，根據該登入程序的資訊以及一種值產生一驗證碼；該行動通訊裝置傳送該驗證碼至該認證伺服模組；以及由該認證伺服模組對該網路伺服模組確認該驗證碼後，該網路伺服模組允許使用者以該電腦裝置完成該登入程序。
9. 如申請專利範圍第8項所述之伺服器認證方法，其中經該行動通訊裝置接收該認證資訊通知時，利用該行動通訊裝置內之一近場通訊電路之通訊資訊開啟該種值，以運算產生該驗證碼。
10. 如申請專利範圍第9項所述之伺服器認證方法，其中係透過一近場認證載具接近該行動通訊裝置啟動該近場通訊電路，經交換該通訊資訊而確認開啟該種值。
11. 如申請專利範圍第8項所述之伺服器認證方法，其中該種值之產生步驟包括：該認證伺服模組取得使用者由該行動通訊裝置所傳遞之個人化資訊；執行一種值產生運算式；產生該種值；傳遞該種值至該行動通訊裝置；以及儲存該種值在該行動通訊裝置。
12. 如申請專利範圍第11項所述之伺服器認證方法，其中該個人化資訊包括該行動通訊裝置之硬體資訊、使用者提 供之資料以及一近場通訊電路之通訊資訊中之一或其組合。
13. 如申請專利範圍第11項所述之伺服器認證方法，其中該種值為經過加密之數值，係由該使用者提供之資訊或該近場通訊電路之通訊資訊解密取出。
14. 如申請專利範圍第8項所述之伺服器認證方法，其中由該認證伺服模組產生之該認證資訊通知係為一推播形式的通知，由該行動通訊裝置所載的一軟體程式所接收。
15. 如申請專利範圍第8項所述之伺服器認證方法，其中該驗證碼係依據該次登入程序中的資訊所產生，產生該驗證碼的步驟包括：於該行動通訊裝置接收來自該認證伺服模組所傳送的認證訊息後，載於該行動通訊裝置內的一軟體程式解析該認證訊息內容，以判斷該認證訊息所載內容所符合的一樣板；根據所判斷的該樣板，該軟體程式擷取當中的資訊；該軟體程式結合所擷取相關該存取程序的資訊以及該種值，以產生該驗證碼。
16. 一種執行如申請專利範圍第1項所述伺服器認證方法的伺服器認證系統，該伺服器認證系統包括：一網路伺服模組，透過網路接收一或多個使用者透過電腦裝置執行一第一身份認證程序；以及一認證伺服模組，連結該網路伺服器，執行一第二身份認證程序，透過該第一身份認證程序中得知該一或多個使用者的登入請求，產生對各使用者 所持有之一行動通訊裝置傳遞之通知，並直接或透過該網路伺服模組接收由該行動通訊裝置產生之驗證碼，以確認該使用者之身份。
17. 如申請專利範圍第16項所述的認證系統，其中該網路伺服模組與該認證伺服模組分別為設於不同位置的一網路伺服器與一認證伺服器。
18. 如申請專利範圍第16項所述的認證系統，其中該網路伺服模組提供執行該第一身份認證程序之一登入網頁介面。
19. 如申請專利範圍第16項所述的認證系統，其中該認證伺服模組係取得使用者由該行動通訊裝置所傳遞之個人化資訊，並根據個人化資訊產生儲存於該行動通訊裝置內之一種值，該種值係用以提供該行動通訊裝置產生該驗證碼。
20. 如申請專利範圍第19項所述的認證系統，其中該個人化資訊為該行動通訊裝置之硬體資訊、使用者提供之資料以及該行動通訊裝置之一近場通訊電路之通訊資訊中之一或其組合。