[發明專利]一種手機銀行安全認證方法

在審

• 申請號: 201510042986.3
• 申請日: 2015-01-28
• 公開（公告）號: CN104657860A
• 公開（公告）日: 2015-05-27
• 發明（設計）人: 王國卿;劉濤濤;阮春陽;盧耀恩;王瑞民;莊雷;宋玉
• 申請（專利權）人: 鄭州大學
• 主分類號: G06Q20/40
• 分類號: G06Q20/40;G06Q20/36;G06Q20/32
• 代理公司: 北京科億知識產權代理事務所(普通合伙) 11350
• 代理人: 湯東鳳

技術領域

本發明涉及手機銀行交易安全保障技術領域，尤其是一種基于動態二維碼的手機銀行安全認證方法。

背景技術

隨著智能手機及其應用軟件的迅猛發展，手機銀行作為一種全新的銀行業務，受到廣大客戶的歡迎。由于其給客戶帶來極大的方便性和成本效益，越來越多的客戶開始使用手機銀行服務。因此，手機銀行在提供方便性的同時，其安全性也引起了銀行及客戶的極大關注。由于手機銀行建立在移動互聯網絡平臺上，其安全性主要依賴于移動互聯網絡的安全。一般的手機銀行都采用了多重安全保障機制，主要包括一些基本措施：1、手機號驗證或短信認證；2、手機銀行密碼和銀行卡密碼的雙重密碼認證；3、圖片附加碼保護；4、預留信息驗證；5、業務控制：如資訊、查詢和理財類服務無需申請，轉賬、繳費類服務須申請開通方能使用；6、交易限額等。

但是，雖然使用手機銀行十分方便，但是相比傳統的網上銀行，手機銀行支付的環節增加，而且支付環境更加開放和復雜，用戶對手機銀行安全的擔憂較為突出，現有的幾種基本保障機制并不能夠完全的保障資金的安全。而隨著網銀安全性的逐步提高，一些諸如U盾、動態口令令牌等跟成熟有效的網銀安全機制是否可以成功移植到手機銀行的應用中，是值得人們思考的。

發明內容

本發明要解決的技術問題是提供一種基于動態二維碼的手機銀行安全認證方法，利用動態口令令牌和二維碼相結合，結合手機銀行原有口令認證技術，提供雙因素強身份認證，為手機銀行的安全提供了保障。

為解決上述技術問題，本發明所采取的技術方案如下：

一種手機銀行安全認證方法，包括以下步驟：

A、客戶使用客戶終端請求接入應用服務器；

B、應用服務器請求認證服務器對請求接入的客戶的身份的合法性和真實性進行認證；

C、認證服務器向客戶終端索取客戶的身份認證信息；

D、客戶激活動態二維碼口令令牌，生成包含有自身賬號和口令信息的動態二維碼，呈現在令牌屏幕上等待掃描；

E、客戶使用客戶終端掃描動態二維碼口令令牌屏幕上的動態二維碼，并將該動態二維碼通過網絡傳輸給認證服務器；

F、認證服務器根據接收到的帳號信息調用相應的客戶信息，產生與客戶信息和事件相關的隨機序列，并解析二維碼口令進行比對，以判別客戶身份的合法性和真實性，最后將認證結果報告給應用服務器；

G、應用服務器根據認證服務器提供的客戶身份的合法性和真實性反饋給客戶終端，并決定向客戶提供服務或拒絕服務。

上述步驟D中，口令信息為動態密碼，其位數為6位或多于6位的不定位數，包括數字、字母和符號的任兩種或三種的組合。

上述步驟D中，口令信息為加入了全部或部分客戶賬號的隨機口令。

上述客戶終端為具有二維碼掃描功能的智能手機。

采用上述技術方案所產生的有益效果在于：

1、借助二維碼技術特點，進一步完善動態口令的生成和驗證方法

二維碼具有高密度編碼、信息容量大的特點，，這使得基于相關的加密算法生成的動態密碼不再僅限定于6位數字，可以是多位甚至是位數不定的，也可以加入除數字外的其它字符，如字母（區分大小寫）和標點符號等，目的是提高密碼保密性。

二維碼可引入加密措施，因此其保密性、防偽性較好。本發明的動態二維碼含有賬號、動態密碼等多種信息，對動態密碼等部分的二維碼編碼方式進行特殊加密，避免普通的二維碼識別軟件輕易解讀動態口令，而只能由手機銀行客戶端或者終端服務器完成解碼工作。

2、豐富動態口令的身份認證模式

網銀動態密碼的認證主要有三種模式：時間同步認證技術、事件同步認證技術和挑戰/應答認證技術。而二維碼中含有多種信息，大大拓展了動態密碼的認證模式，如加入客戶賬號等其它因素來計算隨機口令，這些信息是可以通過二維碼一并發給認證服務器來計算的。

附圖說明

圖1是本發明的實現原理圖。

具體實施方式

動態密碼基本的思路是將共同密鑰信息（作為計算動態密碼的常量）和加密算法同時保存在認證服務器和動態密碼令牌硬件內，再選擇一個認證服務器和動態令牌都可以使用的變量（比如動態密碼生成次數或者當前時間或者挑戰碼）用于計算動態密碼。需要認證的時候，由動態密碼令牌首先計算出動態密碼，然后傳輸給認證服務器，認證服務器采用對應的信息計算出該動態密碼，通過比較這兩個密碼是否相同來判斷輸入的動態密碼是否正確。