[發明專利]遠程密碼的安全認證機制

有效

• 申請號: 201310059954.5
• 申請日: 2013-02-26
• 公開（公告）號: CN104009963B
• 公開（公告）日: 2019-05-10
• 發明（設計）人: 楊陽;華錦芝
• 申請（專利權）人: 中國銀聯股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 中國專利代理(香港)有限公司 72001
• 代理人: 李湘;朱海煜

本發明公開了一種安全的密碼認證方法，可用于C/S或B/S模式的用戶密碼認證中。按照本發明的密碼認證方法采取了單字符輸入、多次哈希的方式，同時結合驗證碼和本地預驗證機制，大大保證了認證的安全性，同時對用戶而言并不改變現有的用戶體驗。

技術領域

本發明涉及身份認證技術，特別涉及在分布式處理環境下對遠程密碼的安全認證方法以及實現該方法的服務器和終端。

背景技術

身份認證技術是信息安全體系的重要組成部分，其對信息系統用戶身份的合法性和真實性進行檢驗，從而為用戶訪問權限的授予提供依據。對訪問者物理身份與數字身份的一致性判斷可基于口令、令牌或生物學特征，其中基于口令的方式最為常用。

在基于口令的方式中，當用戶登錄系統時需要輸入用戶名(也稱為用戶帳號)和相應的密碼。為了防止利用字典文件暴力破解密碼，登錄時可能還需要輸入隨機的驗證碼。密碼一般為由數字和字母組合而成的字符串，為了解決口令文件丟失或泄密問題，可以采用計算式口令，其中，口令不是直接存放在信息系統中，而是經過某種數學計算后才存放到系統中。在分布式處理環境下，用戶通過終端經網絡遠程登錄應用服務器。此時，用戶輸入的密碼需要經網絡傳輸到服務器，容易被非法用戶截獲，因此為了防止被破解，在傳輸之前需要對密碼進行加密。在遠程登錄時，還需防范來自非法用戶的重放攻擊。為此采取的對策是保證密碼密文的唯一性(例如每次傳輸時將密碼與隨機數或時間戳記一起加密)。

雖然在提高安全性方面已經有諸多的技術手段，但是在具體選擇時常常會面臨兩難境地。例如，如果為了加強安全性而提高加密強度，則將增加資源開銷并使得服務器與終端之間的交互過程變得遲緩，而如果為了提高效率和加快登錄過程，則又不得不以降低安全性為代價。再者，密碼泄露的風險同樣也存在于終端處。例如，當用戶輸入密碼時，密碼一般以明文形式保存在內存中，因此有可能被預先植入終端的惡意軟件竊取并發送給遠程的非法用戶。

由上可見，迫切需要一種兼具高安全性和高效率的遠程密碼認證機制。

發明內容

本發明的目的之一是提供一種在終端處對用戶輸入的認證密碼進行加密的方法，其具有安全、高效的優點。

為實現上述目的，在按照本發明一個實施例的方法中，終端執行下列步驟：

檢測是否接收到所述認證密碼的第一個字符；

一旦檢測到，則生成與所述第一個字符對應的哈希值；

依照接收的順序，為所述認證密碼的后續字符的每一個生成相應的哈希值，其方式為：根據與接收到的第(i-1)個字符對應的哈希值以及接收到的第i個字符生成與該第i個字符對應的哈希值；以及

向遠程設備發送消息，所述消息包含與對應于最后一個接收的字符的哈希值相關聯的認證密碼信息。

在上述實施例中，以迭代方式對密碼逐個字符地進行哈希運算，與對密碼整體進行哈希運算相比，加密強度大大提高。

優選地，在上述實施例中，對于接收到的每個字符，其在生成對應的哈希值之后并且在生成下一字符的對應的哈希值之前即在終端處被刪除。即時刪除密碼的字符使得終端處不再出現完整的明文密碼，因此減少了惡意軟件竊取密碼的可能性。

優選地，在上述實施例中，為所述認證密碼的后續字符的每一個生成相應的哈希值包括下列步驟：

將與接收到的第(i-1)個字符對應的哈希值以及接收到的第i個字符構建為一個字符串；以及生成與該字符串對應的哈希值作為與第i個字符對應的哈希值。

優選地，在上述實施例中，在生成與最后一個接收的字符對應的哈希值之后并且在向所述遠程設備發送所述消息之前，還包含下列步驟：根據與最后一個接收的字符對應的哈希值以及從所述遠程設備接收的標識生成所述認證密碼信息。通過根據最后一個接收的字符的哈希值與標識生成認證密碼信息，可以有效防范重放攻擊。