[發明專利]一種基于事件的一次性口令認證系統令牌重同步方法

無效

• 申請號: 201110393757.8
• 申請日: 2011-12-01
• 公開（公告）號: CN103138928A
• 公開（公告）日: 2013-06-05
• 發明（設計）人: 李慧娟;劉博;李為宇;張薇;周煉赤
• 申請（專利權）人: 李慧娟;劉博;李為宇
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

(一)技術領域

本發明涉及互聯網安全身份認證技術，具體涉及在一次性口令認證系統中，當硬件令牌和認證服務器發生失步時的一種基于事件的令牌重同步方法。屬于計算機和信息安全技術領域。

(二)技術背景

一次性口令認證技術為用戶進行身份認證時提供隨機生成的和每次不同的認證口令，解決傳統的靜態口令容易被盜的危險。一次性口令認證已被越來越廣泛的應用于電子商務，網絡游戲，網上銀行等任何一種需要進行身份認證的網絡平臺上。

現有的各種一次性口令認證技術及方案大多提供硬件令牌和認證服務器，所述硬件令牌用于為用戶在有認證需求時隨機提供認證口令；所述認證服務器用于接收用戶認證時傳來的用戶名和用戶口令，并根據用戶名查找相關因子計算口令副本，并將口令副本與用戶傳來的用戶口令進行對比，以驗證用戶是否認證成功。

由于硬件令牌和認證服務器分別通過口令生成因子計算用戶口令和口令副本，因此，很容易發生由于用戶誤操作等原因引起的口令生成因子不同步的問題(即發生令牌失步)，使得失步后的認證操作均無法成功。目前的各種一次性口令認證方案沒有提供的解決該失步問題的有效方法，

特別的，對于基于事件的一次性口令認證系統，硬件令牌和認證服務器間的口令同步通過內置計數器實現，計數器值隨著某種事件的觸發不斷遞增。一般的，在硬件令牌中，用戶點擊按鈕一次，則計數器值加一；在認證服務器中，認證成功一次，則計數器值加一，如果用戶不斷點擊硬件令牌上的按鈕而不進行認證操作，則會導致硬件令牌中的計數器值不斷增加，而認證服務器中的計數器值保持不變，使得兩者發生失步。

本發明針對基于事件的一次性口令認證系統中的令牌失步問題，考慮不同應用場景，在保證系統可靠性，靈活性的基礎上提供完整的令牌重同步方法，主要特點有：

1.本發明適用于基于時間的一次性口令認證系統，令牌重同步方法基于硬件令牌和認證服務器中的計數器值完成。

2.令牌重同步方法基于預設窗口大小，分為窗口內重同步和窗口外重同步兩個方面。

3.窗口內重同步由客戶端和認證服務器自動完成，窗口外重同步由管理員參與完成。

(三)發明內容

1、目的：本發明的目的是為了提供一種基于事件的一次性口令認證系統令牌重同步方法，該方法基于預先設定的窗口大小，分為窗口內重同步和窗口外重同步兩個方面，完成硬件令牌和認證服務器失步后的重同步操作。

2、技術方案：所述技術方案如下：

本發明一種基于事件的一次性口令認證系統令牌重同步方法，其包括窗口內重同步和窗口外重同步兩個方面，兩者的關系是：系統預先設定窗口值大小，當硬件令牌和認證服務器計數器失步次數小于或等于窗口值大小則進行窗口內重同步；當硬件令牌和認證服務器計數器失步次數大于窗口值大小則進行窗口外重同步。發明所涉及方法的整體執行流程圖如圖1所示。

所述窗口內重同步是指：系統通過預先配置的方式設置窗口大小，當進行窗口內重同步操作時，硬件令牌首先計算一個客戶口令，并發送至認證服務器，認證服務器根據當前計數器值計算服務器口令，如果客戶口令和服務器匹配，則窗口內重同步成功，將計數器值加一。如果不匹配，服務器將計數器值加一后重新計算服務器口令，再與客戶端口令進行比較，如果匹配，則窗口內重同步成功，如果不匹配則重復上述過程，此過程重復次數不能超過窗口值大小，窗口內重同步由認證服務器自動完成，執行流程圖如圖2所示。

窗口大小的選取很關鍵，取值過大會降低認證強度，增加攻擊者偽造身份成功的概率，取值過小會頻繁引起窗口外重同步，影響系統的正常運行。

所述窗口外重同步是指：如果失步次數超出窗口值大小，則說明有可能存在惡意攻擊行為，此時應當進行更高強度的重同步操作。窗口外重同步不可由系統自動完成，需要管理員參與完成。管理員在驗證用戶合法性后，通過令牌獲取三個連續的客戶口令，按照先后次序發送至認證服務器。認證服務器將計數器值逐次加一，并重復計算服務器口令，直到有三組連續的服務器口令與客戶口令均匹配，則窗口外重同步成功。執行流程圖如圖3所示。

窗口外重同步在三個連續動態口令同時匹配時才能成功，如果前一口令匹配，而后一口令不匹配，則窗口外重同步要重新執行，這樣嚴格保證了同步結果的正確性。但其執行流程較復雜，應當設定適當的窗口大小，在保證系統安全的基礎上防止頻繁進行窗口外重同步操作。