[發(fā)明專利]一種動態(tài)密碼認(rèn)證的方法及服務(wù)端系統(tǒng)

無效

• 申請?zhí)枺?/td>: 200610149942.1
• 申請日: 2006-10-19
• 公開（公告）號: CN101166091A
• 公開（公告）日: 2008-04-23
• 發(fā)明（設(shè)計）人: 陸兆禧
• 申請（專利權(quán)）人: 阿里巴巴公司
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L9/16
• 代理公司: 北京集佳知識產(chǎn)權(quán)代理有限公司
• 代理人: 逯長明

技術(shù)領(lǐng)域

本發(fā)明涉及密碼認(rèn)證領(lǐng)域，特別是涉及一種動態(tài)密碼認(rèn)證的方法和服務(wù)端系統(tǒng)。

背景技術(shù)

在現(xiàn)實生活中，我們個人的身份主要通過各種證件來確認(rèn)，比如：身份證、戶口本等，而計算機(jī)的各種系統(tǒng)資源(如：文件、數(shù)據(jù)和應(yīng)用系統(tǒng)等)也需要認(rèn)證機(jī)制的保護(hù)，從而確保這些資源被適格的人使用。

目前各類計算資源主要通過密碼認(rèn)證方式進(jìn)行保護(hù)，一般使用靜態(tài)密碼認(rèn)證和動態(tài)密碼認(rèn)證兩種方式。

靜態(tài)密碼認(rèn)證方式采用的是“用戶名+口令”的認(rèn)證方式。用戶登錄時，應(yīng)用服務(wù)器通過靜態(tài)密碼進(jìn)行身份認(rèn)證，確認(rèn)用戶是否為合法的授權(quán)用戶。這種認(rèn)證的缺點在于：由于用戶的帳號是固定的明文，密碼是靜態(tài)的，用戶在很長時間內(nèi)不會更改密碼，造成這種密碼很容易被竊取；對這種認(rèn)證方式常用的有效攻擊方式有網(wǎng)絡(luò)數(shù)據(jù)流竊聽、認(rèn)證信息截取/重放、字典攻擊、窮舉嘗試、窺探、社交工程等；由于這種認(rèn)證方式存在較多的安全漏洞，對客戶的身份進(jìn)行認(rèn)證的安全強(qiáng)度已經(jīng)不能滿足現(xiàn)代各類應(yīng)用系統(tǒng)的要求。

針對靜態(tài)密碼認(rèn)證的缺點，動態(tài)密碼認(rèn)證可以提高認(rèn)證的安全強(qiáng)度。動態(tài)密碼也稱一次密碼，其動態(tài)來源于產(chǎn)生密碼的運(yùn)算因子隨時間變化。目前網(wǎng)上銀行用戶在登錄網(wǎng)上銀行的時候，網(wǎng)上銀行會向用戶的手機(jī)上發(fā)送一條短信，告訴用戶一個一次性有效的動態(tài)密碼，用戶除了輸入客戶號、靜態(tài)密碼外，還要輸入這個動態(tài)密碼才能登錄網(wǎng)上銀行。這樣，除了靜態(tài)密碼認(rèn)證外，用戶又多了一重安全保障，而且，由于這個動態(tài)密碼是每次不同，每個密碼只能使用一次，黑客即使竊取了本次的動態(tài)密碼，也無法再次使用，而且每個動態(tài)密碼之間毫無規(guī)律的，黑客不能猜測出用戶的下一個動態(tài)密碼。這種方式的缺點在于需要依賴于移動通信網(wǎng)絡(luò)，當(dāng)移動通信網(wǎng)絡(luò)出現(xiàn)故障或者手機(jī)接收短信故障時，導(dǎo)致用戶無法實時接收短信，而動態(tài)密碼通常會在很短的時間內(nèi)就失效，影響了用戶的登錄。

動態(tài)密碼認(rèn)證的另一種方式是采用預(yù)先發(fā)放的密碼口令卡進(jìn)行認(rèn)證，如，目前中國工商銀行推出網(wǎng)上銀行客戶使用的電子銀行密碼口令卡，網(wǎng)上銀行客戶可申請領(lǐng)取該卡。每張網(wǎng)上銀行密碼口令卡上都以矩陣形式印有若干字符串。客戶通過網(wǎng)上銀行進(jìn)行對外轉(zhuǎn)賬、繳費(fèi)等支付交易時，網(wǎng)上銀行系統(tǒng)會隨機(jī)給出一組口令卡坐標(biāo)。客戶按坐標(biāo)在卡片上找到正確的口令組合并輸入網(wǎng)上銀行系統(tǒng)后，才能進(jìn)行相關(guān)交易。密碼口令卡的有效使用次數(shù)是1000次，超過使用次數(shù)時需要申領(lǐng)新卡。這種方式的缺點在于：采用實物密碼口令卡，不易保存，容易丟失；使用前，需要客戶申請，并去專門場所領(lǐng)取，領(lǐng)用不便；更換時也必須重新申領(lǐng)新的密碼口令卡，更換卡不便；有效使用次數(shù)較多，造成有效時間長，多數(shù)密碼在有效期內(nèi)會被重復(fù)使用，容易失密。

總之，現(xiàn)有的密碼認(rèn)證方法都存在一些缺陷，導(dǎo)致密碼不能及時接收、不易保存、使用不便和容易失密的問題。

發(fā)明內(nèi)容

本發(fā)明所要解決的技術(shù)問題是提供一種更方便更安全的動態(tài)密碼認(rèn)證的方法和系統(tǒng)，以解決現(xiàn)有技術(shù)中密碼不能及時接收、不易保存、使用不便和容易失密的問題。

為了解決上述技術(shù)問題，本發(fā)明公開了一種動態(tài)密碼認(rèn)證的方法，包括下列步驟：

預(yù)置用戶帳號和用戶移動終端設(shè)備號碼的對應(yīng)關(guān)系；

根據(jù)用戶的請求，隨機(jī)生成字符串，并發(fā)送給用戶移動終端設(shè)備；

根據(jù)用戶的認(rèn)證申請隨機(jī)生成密碼提示信息，并把所述密碼提示信息發(fā)送給客戶端，所述密碼提示信息規(guī)定了所述字符串中特定位的字符組合為本次認(rèn)證申請的動態(tài)密碼；

用戶根據(jù)所述移動終端設(shè)備收到的字符串和所述客戶端收到的密碼提示信息輸入動態(tài)密碼；

判斷用戶輸入的動態(tài)密碼的有效性，如果有效，則認(rèn)證通過。

優(yōu)選的，在生成密碼提示信息之前，所述方法還包括：

判斷該用戶帳號對應(yīng)的所述隨機(jī)生成的字符串是否位于有效期內(nèi)；

如果是，則不再生成新的隨機(jī)字符串。

優(yōu)選的，所述字符串是由數(shù)字、字母、符號或者三者混合組成的。

優(yōu)選的，所述密碼提示信息中所規(guī)定的特定位是所述字符串中連續(xù)的或者是不連續(xù)的位。

優(yōu)選的，所述認(rèn)證申請還包括靜態(tài)密碼認(rèn)證申請，對所述靜態(tài)密碼進(jìn)行認(rèn)證，如果認(rèn)證通過，則繼續(xù)進(jìn)行動態(tài)密碼的認(rèn)證，否則，認(rèn)證失敗。

本發(fā)明還提供了一種動態(tài)密碼認(rèn)證的服務(wù)端系統(tǒng)，通過移動通信網(wǎng)絡(luò)和用戶移動終端設(shè)備連接，并通過互聯(lián)網(wǎng)絡(luò)和用戶客戶端相連，包括以下部件：

第一存儲單元，用于存儲用戶帳號和用戶移動終端號碼的對應(yīng)關(guān)系；

字符串生成單元，用于隨機(jī)生成字符串；