TWI791905B

TWI791905B - 基於代碼化技術的認證存取系統及方法

Info

Publication number: TWI791905B
Application number: TW108136364A
Authority: TW
Inventors: 繆嘉新; 官有富; 宋育展; 歐智文
Original assignee: 中華電信股份有限公司
Priority date: 2019-10-08
Filing date: 2019-10-08
Publication date: 2023-02-11
Also published as: TW202116039A

Abstract

本發明提供一種基於代碼化技術的認證存取系統及方法。所述系統包括行動裝置、代碼服務端及行動電子證件服務端。反應於行動裝置需請求驗證，行動裝置取出第一有效金鑰，並基於第一有效金鑰及裝置資訊產生第一一次性代碼。行動裝置將第一一次性代碼透過行動電子證件服務端提供予代碼服務端。反應於接收到第一一次性代碼，代碼服務端從取出第二有效金鑰，並基於第二有效金鑰及行動裝置的裝置資訊產生第二一次性代碼。反應於判定第一一次性代碼匹配於第二一次性代碼，代碼服務端判定行動裝置已通過驗證。

Description

基於代碼化技術的認證存取系統及方法

本發明是有關於一種認證存取系統及方法，且特別是有關於一種基於代碼化技術的認證存取系統及方法。

在許多網站上使用者常會被要求提供個人敏感身分資料以及電話號碼，接著透過發送一次性簡訊認證碼給使用者的行動裝置並要求使用者提供該認證碼，藉以達到認證使用者為該行動裝置之持有人，進而利用其所提供之個人敏感身分資料。然而現今網路上存在大量無法驗證其真實性之網站，即使使用者信任該網站且同意提供個人資料給該網站使用，後續的密碼確認或是個人資料填寫之動作還是造成了令人無法忽視之資安隱憂。換言之，使用者在一般網站服務上進行個人機敏資料之操作與提供程序時，若存在不安全的網站設定或是在傳輸過程中存在中間人攻擊，則使用者的個人資料有顯著的外洩疑慮。

本發明提供一種基於代碼化技術的認證存取系統及方法，其可用於解決上述技術問題。

本發明提供一種基於代碼化技術的認證存取系統，包括行動裝置、代碼服務端及行動電子證件服務端。行動裝置具有裝置資訊。代碼服務端產製一第一金鑰組，並將第一金鑰組指派予行動裝置，其中代碼服務端記錄有行動裝置的裝置資訊，且第一金鑰組包括多個第一一次性金鑰。行動電子證件服務端，其連接於行動裝置及代碼服務端之間。反應於行動裝置需請求驗證，行動裝置從前述第一一次性金鑰中取出一第一有效金鑰，並基於第一有效金鑰及裝置資訊產生一第一一次性代碼。行動裝置將第一一次性代碼透過行動電子證件服務端提供予代碼服務端。反應於接收到第一一次性代碼，代碼服務端從前述第一一次性金鑰取出對應於第一有效金鑰的一第二有效金鑰，並基於第二有效金鑰及行動裝置的裝置資訊產生一第二一次性代碼。反應於判定第一一次性代碼匹配於第二一次性代碼，代碼服務端判定行動裝置已通過驗證。

本發明一種基於代碼化技術的認證存取方法，包括：反應於一行動裝置需請求驗證，由行動裝置從多個第一一次性金鑰中取出一第一有效金鑰，並基於第一有效金鑰及裝置資訊產生一第一一次性代碼，其中行動裝置具有一裝置資訊，前述第一一次性金鑰屬於一第一金鑰組，第一金鑰組是由一代碼服務端產製並指派予行動裝置；由行動裝置將第一一次性代碼透過一行動電子證件服務端提供予代碼服務端，其中行動電子證件服務端連接於行動裝置及代碼服務端之間；反應於接收到第一一次性代碼，由代碼服務端從前述第一一次性金鑰取出對應於第一有效金鑰的一第二有效金鑰，並基於第二有效金鑰及行動裝置的裝置資訊產生一第二一次性代碼；反應於判定第一一次性代碼匹配於第二一次性代碼，由代碼服務端判定行動裝置已通過驗證。

基於上述，本發明提供一個基於代碼化技術的個人資料存取方法，使得需要使用者個人資料的網站取得使用者提供的一次性代碼之後，持該代碼向本發明建構之代碼化查驗後台進行查驗，於查驗通過後便可取得依使用者授權可供其取得之個人敏感資料。

為讓本發明的上述特徵和優點能更明顯易懂，下文特舉實施例，並配合所附圖式作詳細說明如下。

10、40:系統

100:行動裝置

101:行動裝置代碼模組

102:行動電子證件應用程式

200:行動電子證件服務端

201:外部應用程式

202:Intent介面

300:代碼服務端

301、404:可讀取圖樣

302:行動裝置顯示器

303:外部裝置

304、405:圖樣讀取設備

401:電腦裝置

403:電腦裝置顯示器

406:外部網際網路通知服務

407:電腦代碼模組

501:外部平台

S210~S240:步驟

圖1是依據本發明第一實施例繪示的認證存取系統示意圖。

圖2是依據本發明之一實施例繪示的基於代碼化技術的認證存取流程圖。

圖3是依據本發明第二實施例繪示的跨應用程式通訊介面提供使用者身分認證之機制示意圖。

圖4是依據本發明第三實施例繪示的認證存取系統示意圖。

圖5是依據本發明第四實施例繪示的存取認證系統示意圖。

圖6是依據本發明第五實施例繪示的存取認證系統示意圖。

概略而言，本發明提供一個基於行動裝置與代碼化技術之電子證件認證存取方法與系統，使得需要使用者個人資料或是要驗證使用者的網站服務，取得使用者提供的用於存取資料授權驗證的一次性代碼之後，網站服務端便可持此一次性代碼向本發明建構之行動電子證件應用服務端進行查驗，並於查驗通過後便可取得使用者之資料存取授權。以下將作進一步說明。

請參照圖1，其是依據本發明第一實施例繪示的認證存取系統示意圖。如圖1所示，系統10包括行動裝置100、行動電子證件服務端200及代碼服務端300。

在本發明的實施例中，代碼服務端300可具有金鑰組保存模組、裝置資訊保存模組、連接介面、代碼驗證模組及一次性金鑰組產製模組。金鑰保存模組可用於保存金鑰組。裝置資訊保存模組可用於保存行動裝置100於註冊後提交上來之裝置資訊。連接介面可用於連接至行動電子證件服務端200。代碼驗證模組可用於驗證由行動裝置100所產生的一次性代碼。一次性金鑰組產製模組可用於產生一次性金鑰組(其可包括多個一次性金鑰)。

另外，行動電子證件服務端200可用於提供行動裝置100的使用者註冊、使用者身分認證功能。在一實施例中，行動電子證件服務端200可具有資料庫管理模組、網際網路介面、連接介面，但可不限於此。資料庫管理模組可用於管理使用者的帳號狀態。網際網路介面可用於提供與行動裝置100互動的介面。連接介面可用於連接至代碼服務端300，並可用於請求代碼驗證以及接收驗證結果。此外，上述網際網路介面還可用於接收代碼驗證以及傳回驗證結果。

如圖1所示，行動裝置100可包括行動裝置代碼模組101以及行動電子證件應用程式102。行動裝置代碼模組101可用於在行動裝置100保存代碼服務端300所指派予行動裝置100的一次性金鑰組，以及基於其中的一次性金鑰產製一次性代碼，其保存方式係將資料進行加密後儲存。在一實施例中，行動裝置代碼模組101可提供一個操作介面提供給行動電子證件應用程式102連接，用於請求產出一次性代碼、通知行動電子證件應用程式102需要更新一次性使用金鑰組之訊息、接收行動電子證件應用程式102轉送之來自代碼服務端300的一次性金鑰組、接受請求產製身分驗證用之驗證資料等，但可不限於此。

行動電子證件應用程式102例如是運作於行動裝置100之應用程式，其具有可透過網際網路連線至行動電子證件服務端200的連線模組。行動電子證件應用程式102可連接同在行動裝置端100上的行動裝置代碼模組101，並為行動裝置代碼模組101與行動電子證件服務端200建立資料橋接。此外，行動電子證件應用程式102可提供與外部應用程式通訊的跨應用程式通訊介面，提供給外部應用程式進行使用者的身分認證。

基於許多已知技術在驗證時需要網際網路連線，本發明提出了一種不需要行動裝置的網際網路連線便可進行驗證之機制。以下將搭配圖2作具體說明。

請參照圖2，其是依據本發明之一實施例繪示的基於代碼化技術的認證存取流程圖。圖2方法可由圖1的系統10執行，以下即輔以圖1的內容說明圖2各步驟的細節。

在一實施例中，若行動裝置100需使用本發明提出的服務，則行動裝置100可預先透過一定的註冊程序註冊於代碼服務端300上。在上述註冊程序中，行動裝置100可將其相關的裝置資訊提交至代碼服務端300，而代碼服務端300的裝置資訊保存模組可相應地予以記錄。並且，代碼服務端300中的一次性金鑰組產製模組可用於為行動裝置100產生第一金鑰組，並保存於金鑰保存模組中，其中第一金鑰組可包括多個第一一次性金鑰。之後，行動裝置100可經要求而從代碼服務端300下載上述第一金鑰組，以取得上述第一一次性金鑰。

之後，在步驟S210中，反應於行動裝置100需請求驗證，行動裝置100可從前述第一一次性金鑰中取出一第一有效金鑰，並基於第一有效金鑰及裝置資訊產生一第一一次性代碼。在本發明的實施例中，上述第一金鑰例如是第一一次性金鑰中尚未被用於產製任何一次性代碼的一者。並且，在此第一有效金鑰被用於產製上述第一一次性代碼之後，行動裝置100可將其相應地標示為無效金鑰，並且不會再次將其用來產製其他的一次性代碼。

在產生上述第一一次性代碼之後，在步驟S220中，行動裝置100可將第一一次性代碼透過行動電子證件服務端200提供予代碼服務端300。在一實施例中，行動裝置100可透過網際網路將第一一次性代碼發送至行動電子證件服務端200，再由行動電子證件服務端200將第一一次性代碼轉送至代碼服務端300，但本發明可不限於此。

接著，在步驟S230中，反應於接收到第一一次性代碼，代碼服務端300可從前述第一一次性金鑰取出對應於第一有效金鑰的第二有效金鑰，並基於第二有效金鑰及行動裝置100的裝置資訊產生第二一次性代碼。

在本發明的實施例中，行動裝置100用於使用第一有效金鑰產製第一一次性代碼的特定代碼產生演算法可依設計者的需求而選用適合的演算法，惟需相同於代碼服務端300用於使用第二有效金鑰產製第二一次性代碼的特定代碼產生演算法。

在一實施例中，行動裝置100可依據與代碼服務端300預先約定的一預設順序從第一一次性金鑰中取出可用於產製第一一次性代碼的一者作為第一有效金鑰。相應地，代碼服務端300亦可依據上述預設順序從第一一次性金鑰中取出用於產製第二一次性代碼的一者作為第二有效金鑰。

在其他實施例中，設計者亦可採用其他的方式來讓行動裝置100及代碼服務端300可個別選到彼此對應的第一有效金鑰及第二有效金鑰。例如，行動裝置100在提供第一一次性代碼時，可一併將所選用的第一有效金鑰在第一一次性金鑰中的索引值告知代碼服務端300，藉以讓代碼服務端300可在第一一次性金鑰中取用具有對應索引值的一者作為第二有效金鑰，但本發明可不限於此。

換言之，若行動裝置100本身為合法，則第一有效金鑰理應相同於第二有效金鑰。並且，在行動裝置100及代碼服務端300使用相同的特定代碼產生演算法的情況下，第一一次性代碼亦將相同於第二一次性代碼。相反地，若行動裝置100不為合法，則第一有效金鑰將不同於第二有效金鑰，因而使得第一一次性代碼亦會不同於第二一次性代碼。

因此，在步驟S240中，反應於判定第一一次性代碼匹配於第二一次性代碼，代碼服務端300可判定行動裝置100已通過驗證。相反地，在其他實施例中，若第一一次性代碼未匹配於第二一次性代碼，即代表行動裝置100並非合法，故代碼服務端300可判定行動裝置100未通過驗證。

請參照圖3，其是依據本發明第二實施例繪示的跨應用程式通訊介面提供使用者身分認證之機制示意圖。在本實施例中，跨應用程式通訊介面以Android系統上的Intent介面為例。如圖3所示，外部應用程式201可經由Intent介面202傳送行動裝置100的使用者身分認證請求給行動電子證件應用程式102上的廣播接收器(Broadcast Receiver)介面。之後，行動電子證件應用程式 102可執行第一實施例所教示的技術手段，以取得驗證結果。接著，可透過Intent介面202將上述驗證結果傳回給外部應用程式201。

然而，在一些實施例中，若行動裝置100未具有網際網連線，本發明亦提出了相應的機制來讓行動裝置100可透過行動電子證件服務端200將第一一次性代碼轉送至代碼服務端300。以下將作具體說明。

請參照圖4，其是依據本發明第三實施例繪示的認證存取系統示意圖。在圖4中，系統40的架構大致相同於圖1的系統100，惟系統40更包括具有圖樣讀取設備304(例如，攝影鏡頭)的外部裝置303，且行動裝置100更具有行動裝置顯示器302。

在本實施例中，在行動裝置100依第一實施例中的教示而產生第一一次性代碼之後，行動裝置100可將第一一次性代碼轉換為可供圖樣讀取設備304讀取的可讀取圖樣301。在不同的實施例中，可讀取圖樣301可依設計者的需求而實現為所需的態樣，例如二維條碼、一維條碼或其他類似者，但不限於此。之後，行動裝置100可將可讀取圖樣301顯示於行動裝置顯示器302上，以供圖樣讀取設備304讀取。

在外部裝置303以圖樣讀取設備304讀取可讀取圖樣301之後，外部裝置303可將可讀取圖樣301轉換為第一一次性代碼，並將第一一次性代碼提供予行動電子證件服務端200。接著，行動電子證件服務端200可將第一一次性代碼轉送至代碼服務端 300，以供代碼服務端300據以對行動裝置100進行第一實施例中所提及的相關驗證程序。

在其他實施例中，行動裝置100除了可如第一、第二實施例提及的自行要求代碼服務端300進行驗證之外，還可協助其他的裝置進行驗證，以下將作進一步說明。

請參照圖5，其是依據本發明第四實施例繪示的存取認證系統示意圖。在本實施例中，電腦裝置401可具有電腦代碼模組407，其可用於實現如同行動裝置代碼模組101的功能。因此，在第四實施例中，電腦裝置401可基於相似於第一實施例所教示的技術手段而產生可讓代碼服務端300對電腦裝置401進行驗證的第三一次性代碼。

並且，電腦裝置401可將第三一次性代碼轉換為可讀取圖樣404，並將其顯示於電腦裝置顯示器403上。在本實施例中，行動裝置100可更包括圖樣讀取設備405(例如，攝影鏡頭)，其可用於讀取顯示於電腦裝置顯示器403上的可讀取圖樣404。

在行動裝置100以圖樣讀取設備405讀取可讀取圖樣404之後，行動裝置100可將可讀取圖樣404轉換為第三一次性代碼，並提供予行動電子證件服務端200。之後，行動電子證件服務端200可將第三一次性代碼轉送至代碼服務端300，以由代碼服務端300基於第三一次性代碼驗證電腦裝置401，而相關的驗證手段可參照第一實施例中的教示，於此不另贅述。

在本實施例中，行動裝置100可取得代碼服務端300對電腦裝置401的驗證結果。並且，電腦裝置401亦可透過外部網際網路通知服務406同步取得驗證結果，但本發明可不限於此。

在一實施例中，在行動裝置100用罄第一金鑰組中的第一一次性金鑰之後(亦即，所有的第一一次性金鑰皆已變為無法用於產生任何一次性代碼的無效金鑰)，本發明亦提出相應的機制來讓行動裝置100可向代碼服務端300要求新的金鑰組，具體說明如下。

請參照圖6，其是依據本發明第五實施例繪示的存取認證系統示意圖。在本實施例中，若行動裝置100判定第一一次性金鑰中已未包括任何有效金鑰，則行動裝置100可向行動電子證件服務端200發送金鑰組更新請求。之後，行動電子證件服務端200可反應於此金鑰組更新請求而向外部平台501請求關聯於行動裝置100的使用者的身分資訊，並將使用者的身分資訊轉送至代碼服務端300。接著，代碼服務端300可基於使用者的身分資訊產生第二金鑰組，並透過行動電子證件服務端200將第二金鑰組轉送至行動裝置100，其中第二金鑰組可包括多個第二一次性金鑰。

藉此，即可讓行動裝置100及代碼服務端300基於第二金鑰組進行其他的驗證程序。

綜上所述，本發明透過代碼化技術，讓使用者無須直接提供個人敏感資料給網站，可避免資料傳輸過程中衍生之相關資料外洩風險，例如遭受中間人攻擊而導致資料外洩。

並且，本發明之代碼為一次性代碼，由行動裝置代碼模組利用其內部以安全方式保存之一次性使用金鑰組內之金鑰來產生。上述利用一次性使用金鑰產生一次性代碼之過程不需要使用到網際網路連線，此項特點特別適合應用於行動裝置上，因為行動裝置的無線網路連線在很多場域會有連線不穩定的問題，過去已知技術大多只能透過網際網路來取得由服務端產生之一次性代碼，在驗證的操作過程中常出現一次性代碼無法取得之技術問題。本發明之透過行動裝置代碼模組，用加密一次性使用金鑰組產製一次性代碼之方法，使得一次性代碼產製流程可有效避免一次性代碼無法取得之問題。

由於產生一次性代碼時使用之一次性使用金鑰組由代碼服務端產生，故代碼服務端可驗證行動裝置代碼模組產生之一次性代碼。

隨著一次性代碼的產生，行動裝置代碼模組內保存之有效一次性使用金鑰也會減少。故當行動裝置代碼模組需要更新一次性使用金鑰組時，行動裝置代碼模組與代碼服務端會直接，或間接透過行動電子證件應用程式與行動電子證件服務端之方式建立一個網際網路加密安全通道來進行，確保其他模組經手之資料為加密一次性使用金鑰組。

雖然本發明已以實施例揭露如上，然其並非用以限定本發明，任何所屬技術領域中具有通常知識者，在不脫離本發明的精神和範圍內，當可作些許的更動與潤飾，故本發明的保護範圍當視後附的申請專利範圍所界定者為準。

S210~S240:步驟

Claims

一種基於代碼化技術的認證存取系統，包括：一行動裝置，具有一裝置資訊；一代碼服務端，產製一第一金鑰組，並將該第一金鑰組指派予該行動裝置，其中該代碼服務端記錄有該行動裝置的該裝置資訊，且該第一金鑰組包括多個第一一次性金鑰；以及一行動電子證件服務端，其連接於該行動裝置及該代碼服務端之間，其中：反應於該行動裝置需請求驗證，該行動裝置從該些第一一次性金鑰中取出一第一有效金鑰，並基於該第一有效金鑰及該裝置資訊產生一第一一次性代碼；該行動裝置將該第一一次性代碼透過該行動電子證件服務端提供予該代碼服務端；反應於接收到該第一一次性代碼，該代碼服務端從該些第一一次性金鑰取出對應於該第一有效金鑰的一第二有效金鑰，並基於該第二有效金鑰及該行動裝置的該裝置資訊產生一第二一次性代碼；反應於判定該第一一次性代碼匹配於該第二一次性代碼，該代碼服務端判定該行動裝置已通過驗證。
如申請專利範圍第1項所述的系統，其中反應於判定該第一一次性代碼未匹配於該第二一次性代碼，該代碼服務端判定該行動裝置未通過驗證。
如申請專利範圍第1項所述的系統，更包括具有一圖樣讀取設備的一外部裝置，其中：該行動裝置將該第一一次性代碼轉換為一可讀取圖樣，以供該外部裝置以該圖樣讀取設備讀取；在該外部裝置以該圖樣讀取設備讀取該可讀取圖樣之後，該外部裝置將該可讀取圖樣轉換為該第一一次性代碼，並將該第一一次性代碼提供予該行動電子證件服務端；該行動電子證件服務端將該第一一次性代碼轉送至該代碼服務端。
如申請專利範圍第1項所述的系統，更包括一電腦裝置，且該行動裝置具有一圖樣讀取設備，其中：反應於該電腦裝置需請求驗證，該電腦裝置產生一第三一次性代碼，並將該第三一次性代碼轉換為一可讀取圖樣，以供該行動裝置以該圖樣讀取設備讀取；在該行動裝置以該圖樣讀取設備讀取該可讀取圖樣之後，該行動裝置將該可讀取圖樣轉換為該第三一次性代碼，並提供予該行動電子證件服務端；該行動電子證件服務端將該第三一次性代碼轉送至該代碼服務端，以由該代碼服務端基於該第三一次性代碼驗證該電腦裝置。
如申請專利範圍第1項所述的系統，其中若該些第一一次性金鑰中已未包括任何有效金鑰，該行動裝置向該行動電子證件服務端發送一金鑰組更新請求；該行動電子證件服務端反應於該金鑰組更新請求而向一外部平台請求關聯於該行動裝置的使用者的身分資訊，並將該使用者的該身分資訊轉送至該代碼服務端；該代碼服務端基於該使用者的該身分資訊產生一第二金鑰組，並透過該行動電子證件服務端將該第二金鑰組轉送至該行動裝置，其中該第二金鑰組包括多個第二一次性金鑰。
一種基於代碼化技術的認證存取方法，包括：反應於一行動裝置需請求驗證，由該行動裝置從多個第一一次性金鑰中取出一第一有效金鑰，並基於該第一有效金鑰及該裝置資訊產生一第一一次性代碼，其中該行動裝置具有一裝置資訊，該些第一一次性金鑰屬於一第一金鑰組，該第一金鑰組是由一代碼服務端產製並指派予該行動裝置；由該行動裝置將該第一一次性代碼透過一行動電子證件服務端提供予該代碼服務端，其中該行動電子證件服務端連接於該行動裝置及該代碼服務端之間；反應於接收到該第一一次性代碼，由該代碼服務端從該些第一一次性金鑰取出對應於該第一有效金鑰的一第二有效金鑰，並基於該第二有效金鑰及該行動裝置的該裝置資訊產生一第二一次性代碼；反應於判定該第一一次性代碼匹配於該第二一次性代碼，由該代碼服務端判定該行動裝置已通過驗證。
如申請專利範圍第6項所述的方法，其中反應於判定該第一一次性代碼未匹配於該第二一次性代碼，所述方法更包括：由該代碼服務端判定該行動裝置未通過驗證。
如申請專利範圍第6項所述的方法，包括：由該行動裝置將該第一一次性代碼轉換為一可讀取圖樣，以供一外部裝置以一圖樣讀取設備讀取；在該外部裝置以該圖樣讀取設備讀取該可讀取圖樣之後，由該外部裝置將該可讀取圖樣轉換為該第一一次性代碼，並將該第一一次性代碼提供予該行動電子證件服務端；由該行動電子證件服務端將該第一一次性代碼轉送至該代碼服務端。
如申請專利範圍第6項所述的方法，更包括：反應於一電腦裝置需請求驗證，由該電腦裝置產生一第三一次性代碼，並將該第三一次性代碼轉換為一可讀取圖樣，以供該行動裝置以一圖樣讀取設備讀取；在該行動裝置以該圖樣讀取設備讀取該可讀取圖樣之後，由該行動裝置將該可讀取圖樣轉換為該第三一次性代碼，並提供予該行動電子證件服務端；由該行動電子證件服務端將該第三一次性代碼轉送至該代碼服務端，以由該代碼服務端基於該第三一次性代碼驗證該電腦裝置。
如申請專利範圍第6項所述的方法，其中若該些第一一次性金鑰中已未包括任何有效金鑰，所述方法更包括：由該行動裝置向該行動電子證件服務端發送一金鑰組更新請求；由該行動電子證件服務端反應於該金鑰組更新請求而向一外部平台請求關聯於該行動裝置的使用者的身分資訊，並將該使用者的該身分資訊轉送至該代碼服務端；由該代碼服務端基於該使用者的該身分資訊產生一第二金鑰組，並透過該行動電子證件服務端將該第二金鑰組轉送至該行動裝置，其中該第二金鑰組包括多個第二一次性金鑰。