TWM605340U

TWM605340U - 身分驗證系統

Info

Publication number: TWM605340U
Application number: TW109206504U
Authority: TW
Inventors: 王瑤璋
Original assignee: 台新國際商業銀行股份有限公司
Priority date: 2020-05-26
Filing date: 2020-05-26
Publication date: 2020-12-11

Abstract

本創作係提供一種身分驗證系統，包括：一網路主機、一第一電子裝置、和一第二電子裝置。該網路主機包括一加密模組和一驗證模組。該第一電子裝置連接該網路主機，包括一顯示元件。該第二電子裝置連接該網路主機，包括一影像元件、一生物特徵輸入元件、以及一資訊安全模組。本創作係藉由一次性密碼和自選文摘加密形成之條碼進行身分驗證。

Description

身分驗證系統

本新型係關於一種驗證身分之系統；特定而言，係關於一種藉由一次性密碼和生物辨識驗證身分之系統。

隨著金融技術的進展，越來越多服務可於電腦或網路上完成。但越方便的功能往往伴隨著越高的資安風險，因此雖然便利性提高，但對於網路身分的核可以及鑑別也隨之更加嚴格。但，現行的網路服務通常僅以用戶帳號和一固定密碼作為使用者身分之鑑別，通過身分鑑別後方核可登入、使用網路服務。

針對前述核可登入方法，現行技術往往係增加多組登入密碼、增加密碼長度、或定期更換密碼等方式提高安全性，此方法看似嚴謹，但對於使用者而言卻增加繁瑣之使用流程和操作步驟，且難以避免使用者遺忘密碼，而必須以更繁瑣之手續取得原始密碼，故造成許多不便。

近年來駭客不斷發展出各種電腦病毒、蠕蟲、釣魚網站、社交工程、側錄型木馬程式等攻擊手段，其目的在於取得電腦系統資源，進而獲取不法利益。故有鑑於前述需求，為達成保護電腦資訊安全，同時兼顧便利以及快速，本領域亟需研發一種身分驗證方法，以防堵第三人偽造身分、竊取密碼、以及不法侵入。

為解決本領域之技術問題並達成前述創作之目的，本創作係提供一種身分驗證系統，包括：一網路主機、一第一電子裝置、和一第二電子裝置。該網路主機包括一加密模組和一驗證模組。該第一電子裝置連接該網路主機，包括一顯示元件。該第二電子裝置連接該網路主機，包括一影像元件、一生物特徵輸入元件、以及一資訊安全模組。該網路主機係用於儲存一認證內容，該認證內容係該第二電子裝置預先傳遞至該網路主機；該資訊安全模組以及該生物特徵輸入元件係用於授權該第二電子裝置傳遞一驗證請求至該網路主機；該網路主機係用於依據該驗證請求藉由該加密模組產生一條碼並傳遞至該第一電子裝置並藉由該顯示元件顯示；以及該影像元件係用於讀取該條碼並藉由該第二電子裝置將該條碼傳遞至該網路主機。

於一特定實施例，該驗證模組係用於依據該第二電子裝置傳遞至該網路主機之條碼內容判斷是否與該網路主機預先儲存之內容相符。

於一特定實施例，其中該資訊安全模組係一圖形密碼模組或一按鍵式密碼模組。

於一特定實施例，其中該條碼之資訊包括一一次性密碼(OTP)、一自選文摘、以及一加密方法。

於一特定實施例，其中該認證內容係選自IMEI、UDID、鑰匙圈(Keychain)、MAC位址、手機號碼、生日、自選文摘、和使用者帳號所構成之群組中至少一者。

於一特定實施例，其中該條碼係一維條碼、二維條碼、或三維條碼。

本創作之技術特徵，包含特定特徵，係揭示於申請專利範圍，針對本創作之技術特徵，較佳之理解茲配合說明書、依據本創作原理之實施例、和圖式將本創作詳細說明如下。

本創作說明書及申請專利範圍中所述之所有技術性及科學用語，除非另有所定義，皆為本創作所屬技術領域具有通常知識者可知曉之定義。其中單數用語「一」、「一個」、「該」、或其近似用語，除非另有說明，皆可指涉多於一個對象。本說明書使用之「或」、「以及」、「和」，除非另有說明，皆指涉「或/和」。此外，用語「包含」、「包括」皆非有所限制之開放式連接詞。前述定義僅說明用語定義之指涉而不應解釋為對創作標的之限制。除非另有說明，本創作所用之材料皆為市售易於取得。

本說明書用語「連接」，可指涉電性連接或通訊連接，依據上下文而定；其中，該通訊連接可包括有線通訊和無線通訊，該有線通訊包括但不限於有線網路或直接電信連接，該無線通訊包括但不限於音波、紅外線、無線電、電磁波、展頻技術、或其他無線通訊技術。

若無特別說明，本新型中所使用的電腦、網路之裝置、主機均包括儲存媒體以及處理器，用於儲存/讀取以及演算資訊。前述儲存媒體係電腦可讀取儲存媒體，例如，可為隨機存取記憶體(RAM)、唯讀記憶體(ROM)、硬碟(HDD)、固態硬碟(SSD)、光碟(如唯讀記憶光碟(CD-ROM)、可重複錄寫光碟(CD-RW)、數位影音光碟(DVD))、或前述之任意組合。

本創作係提供一種身分驗證之係統，藉由交易裝置(例如，個人電腦)與認證裝置(指定行動裝置，例如行動電話或平板電腦)二實體裝置相互分離，以及對認證裝置設備資訊的綁定，透過對條碼、生物特徵辯識、以及一次性密碼(OTP)等工具的綜合應用，完成身份鑑別之處理程序，進一步核可使用者向金融機構傳遞資訊查詢請求。本創作可用於提供客製化交易服務功能，進而實質改變現行金融網路服務之營運模式，提昇網站交易功能服務效率。

參照圖1所示，本創作係提供一種身分驗證系統100，該系統包括一網路主機10、一第一電子裝置20、和一第二電子裝置30。

於本創作，該網路主機10可為一金融機構伺服器；該第一電子裝置20可為個人使用之電子裝置，主要用於連接該網路主機10並且自該網路主機10查詢資訊，例如可為個人電腦；該第二電子裝置30可為一驗證裝置，用於連接該網路主機10並傳遞驗證使用者之身分，若身分驗證成功，該網路主機10方可允許該第一電子裝置查詢資訊，例如可為行動電話、平板等。

該網路主機10包括一加密模組11和一驗證模組12；該第一電子裝置20連接該網路主機10，包括一顯示元件21；該第二電子裝置30，連接該網路主機10，包括一影像元件31、一生物特徵輸入元件32、和一資訊安全模組33。

於開始使用本系統100時，該第二電子裝置30傳遞一認證內容以及一生物特徵至該網路主機10，該認證裝置可為本領域通常使用之認證資訊，例如IMEI、UDID、鑰匙圈(Keychain)、MAC位址、手機號碼、生日、自選文摘、使用者帳號、或其組合。該網路主機10儲存該認證內容，並視為已完成系統註冊。

該文摘係使用者自選之文摘，長度可藉於512至4024位元之間，但不限於此。該文摘係用於後續驗證步驟。該文摘較佳為一使用者自選文摘，例如，由使用者自行選擇的一篇短文或一段歌詞等等。此外，該文摘之位元數較佳係介於512位元至1024位元之間。

該生物特徵係選自指紋、聲紋、虹膜特徵、或臉部特徵，但本創作不限於此。

該網路主機10可依據該認證內容產生一金鑰。該金鑰係依據該網路主機10所儲存的複數個行動組合，重新組合該認證內容所產生。

特定而言，該網路主機10包括一資料庫，用於儲存複數個行動組合方法。於每次網路主機10接收認證內容後，重新自動亂數產生一行動組合方法編號，並以該編號對應之行動組合方法重組該認證內容。因此於解讀該金鑰時，即可以該編號找尋對應之組合方法，以及還原認證內容。

據此，若有他人入侵網路主機時，即便取得組合內容，亦無法直接得知網路主機所儲存的認證內容，避免暴露該使用者之個人資訊。此外，經組合後的內容，屬隨機重組變動內容，因此當行動組合方法外洩時，可避免因組合內容被解譯而被非法偽造請求取得認證碼。

於此，該第二電子裝置30係提供該認證內容，用於辨識該使用者之身分並於網路主機10中建立該使用者之相關資料，且該第二電子裝置30本身亦儲存認證內容(例如綁定於裝置)或有由使用者於使用時輸入。

進行身分驗證時，可首先由該第一電子裝置20發動，或由該第二電子裝置30發動。於發動時，該第一或第二電子裝置20, 30係先行依據認證內容登入該網路主機10。認證內容係由使用者輸入，並用於向該網路主機10提出一查詢請求，例如使用者可輸入一認證內容，並由該第一或第二電子裝置20, 30傳遞至該網路主機10，並由該網路主機10之資料庫比對該認證內容是否已儲存於網路主機，以辨識是否該認證內容屬於該網路主機10所屬之機構之帳戶。

認證核可後，表示該查詢請求係由帳戶所有人所發送，此時該網路主機10方核可該第二電子裝置30可傳遞至該網路主機10之驗證請求。

該資訊安全模組33係用於輸入一密碼，例如但不限於圖形密碼或按鍵式密碼。因此，該資訊安全模組33可為一圖形密碼模組或一按鍵式密碼模組。

該資訊安全模組33係用於授權該第二電子裝置30傳遞一驗證請求至該網路主機10。於一較佳實施例，該第二電子裝置30具有一軟體產品(圖未揭露)，該軟體產品係包括複數個指令，用於執行身分驗證程序，並且該資訊安全模組係用於解鎖該軟體產品並授權該軟體產品傳遞該驗證請求。

此外，該生物特徵輸入元件32係用於該第二電子裝置30傳遞該驗證請求至該網路主機10。

因此，於本創作，一使用者先行以該資訊安全模組33和該生物特徵輸入元件32授權該第二電子裝置30傳遞一驗證請求至該網路主機10。該驗證請求之內容可包括，例如，使用者之個人資訊或專屬該第二電子裝置30之資訊，並可對應於該認證內容。

該網路主機10辨識該驗證請求後，該加密模組11依據該金鑰以及一一次性密碼，產生一條碼，並由該網路主機10將該條碼傳遞至該第一電子裝置20。具體而言，該條碼可為一維條碼、二維條碼、或三維條碼。該一次性密碼(OTP)係隨機產生之數列，僅用於當次驗證且不重複。

該條碼之資訊係包括該一次性密碼、該自選文摘、和一加密方法，其中該一次性密碼和該自選文摘係經由該加密方法加密。

另於一特定實施例，該網路主機10傳遞該條碼後，另傳遞一通知訊息至該第二電子裝置30，用以提示使用者已提出查詢請求/驗證請求並確認為帳戶。

該第一電子裝置20接收該條碼後，該顯示元件21顯示該條碼。

此時，使用者可使用該第二電子裝置30之影像元件31掃描並取得該條碼。而後，該第二電子裝置30依據該條碼讀取該自選文摘和該一次性密碼，並由該第二電子裝置30傳遞該自選文摘和該一次性密碼至該網路主機11。

於一特定實施例，該條碼並不包括該加密方法而是包括一加密方法編號，並且該網路主機10儲存複數個加密方法及其對應之編號。該第二電子裝置30藉由該編號自該網路主機10取得該加密方法並用於解讀該一次性密碼和該自選文摘。

該網路主機11接收該一次性密碼和該自選文摘後，該驗證模組12驗證該生物特徵是否與預先設定於該網路主機10之資料庫之帳戶資訊相同。此外，該驗證模組12係用於比對該一次性密碼中的認證資訊是否與預先儲存於該網路主機10之認證資訊相同。

若該驗證模組12驗證該認證資訊和該生物特徵正確，則表示本系統完成身分驗證，並核可使用者進行帳戶查詢等動作。

因此，於本創作之一實施方式，本系統100之使用者首先於第一電子裝置20(即交易裝置)輸入個人資訊以及可另輸入一動態驗證碼，先行登入本系統100後，使用者啟動該第二電子裝置30(即認證裝置)之軟體產品，經生物辨識以及密碼辨識鑑別使用者身份後，以認證裝置介面之影像元件掃描讀取交易裝置介面之條碼內容，交易裝置介面之網頁即可顯示使用者所指定之功能之產出內容(例如，查詢指定帳號的帳戶餘額或交易明細等資訊)。使用者如欲繼續執行其它指定功能，只需使用交易裝置介面之當次欲執行之查詢請求功能，再以認證裝置之影像元件掃描讀取交易裝置介面之條碼，交易裝置介面即可顯示指定功能之產出內容。

茲配合圖2所示說明本創作之系統之使用流程，，用於查詢金融相關資訊或帳戶相關資訊，並鑑別使用者是否為不法之惡意軟體。該方法包括之步驟如下。

首先，使用者先行利用該第二電子裝置30傳遞一認證內容至該網路主機10，並由該網路主機10進行身分註冊(S01)。

其次，使用者於查詢前，先行登入本系統，並藉由該資訊安全模組33和該生物特徵輸入模組32核可，以及使用該第二電子裝置30傳遞一驗證請求至該網路主機10(S02)。

該網路主機10接收該驗證請求後，依據該驗證請求藉由該加密模組11產生一條碼(S03)。

而後，該網路主機10將該條碼傳遞至該第一電子裝置20，並顯示於該顯示元件21(S04)。

顯示該條碼後，使用者藉由該影像元件31讀取該條碼，並藉由該第二電子裝置30將該條碼傳遞至該網路主機10(S05)。

最後，該驗證模組係依據該第二電子裝置30傳遞至該網路主機10之條碼內容判斷是否與預先儲存之內容相符(S06)。

此外，本系統於各步驟均可另有限時、定時之限制。例如，第二電子裝置30之介面採限時(3分鐘)、定時(每隔15秒鐘)以背景執行方式向網路主機10傳遞請求訊息，直到網路主機10之資料庫之本筆交易處理狀況為「使用者身份鑑別正確」、「使用者身份鑑別有誤」、「電子裝置合法性鑑別有誤」、或是交易發生逾時(逾時3分鐘)時，第二電子裝置30才停止向網路主機10傳遞請求，目的在於避免操作時間過長，導致第三人非法入侵或攔截訊息之可能性增加。但前述方法僅為例示，並非步驟或限時/定時長短之限制。

綜本說明書所述，本新型係提供一種便利且安全之身分驗證方法及使用其之系統，有助於防範第三者非法侵入以及竊取資訊。網際網路虛擬環境中，縱使不法者透過電腦病毒、蠕蟲、釣魚網站、社交工程、各類型木馬程式(logger, OCR, man in the middle, monitoring remote programs等等)等不法技術，對使用者成功竊取或篡改其網路交易資訊、或成功冒用使用者本尊身份自遠端操控執行網路交易，但本新型具有良好之資安機制(a.交易裝置與認證裝置需要實體分離；b.需要透過人工操作行為完成條碼之掃描讀取；c.對每次網路交易內容採多層次交叉勾稽資料的一致性)，均可有效防範各種不法交易被最終執行成功。故本新型可具體保障使用者在網際網路虛擬環境中免遭不法者侵害，並促進金融業者穩健推廣電子商務業務。

於本說明書實施例揭示之內容，本創作所屬領域具有通常知識者可明顯得知前述實施例僅為例示而非限制；具本創作所屬技術領域通常知識者可藉由諸多變換、替換而實施，並不與本創作之技術特徵有所差異。依據說明書實施例，本創作可有多種變換仍無礙於實施。本說明書提供之請求項界定本創作之範圍，該範圍涵蓋前述方法與結構及與其相等之創作。

100:身分驗證系統 10:網路主機 11:加密模組 12:驗證模組 20:第一電子裝置 21:顯示元件 30:第二電子裝置 31:影像元件 32:生物特徵輸入元件 33:資訊安全模組 S01-S06:本創作之身分驗證系統之操作步驟

圖1揭示本創作之身分驗證系統之系統架構示意圖。圖2揭示本創作之身分驗證方法之流程圖。

100:身分驗證系統

10:網路主機

11:加密模組

12:驗證模組

20:第一電子裝置

21:顯示元件

30:第二電子裝置

31:影像元件

32:生物特徵輸入元件

33:資訊安全模組

Claims

一種身分驗證系統，包括：一網路主機，包括一加密模組；一第一電子裝置，連接該網路主機，包括一顯示元件；以及一第二電子裝置，連接該網路主機，包括一影像元件、一生物特徵輸入元件、以及一資訊安全模組；其中該網路主機係用於儲存一認證內容，該認證內容係該第二電子裝置預先傳遞至該網路主機；該資訊安全模組以及該生物特徵輸入元件係用於授權該第二電子裝置傳遞一驗證請求至該網路主機；該網路主機係用於依據該驗證請求藉由該加密模組產生一條碼並傳遞至該第一電子裝置並藉由該顯示元件顯示；以及該影像元件係用於讀取該條碼並藉由該第二電子裝置將該條碼傳遞至該網路主機。
如請求項1所述之系統，該網路主機另包括一驗證模組，該驗證模組係用於依據該第二電子裝置傳遞至該網路主機之條碼內容判斷是否與該網路主機預先儲存之內容相符。
如請求項1所述之系統，其中該資訊安全模組係一圖形密碼模組或一按鍵式密碼模組。
如請求項1所述之系統，其中該條碼之資訊包括一一次性密碼(OTP)、一自選文摘、以及一加密方法。
如請求項1所述之系統，其中該認證內容係選自IMEI、UDID、鑰匙圈(Keychain)、MAC位址、手機號碼、生日、自選文摘、和使用者帳號所構成之群組中至少一者。
如請求項1所述之系統，其中該條碼係一維條碼、二維條碼、或三維條碼。