[發明專利]一種抗破解的驗證碼實現方法及裝置

有效

• 申請號: 201711011838.0
• 申請日: 2017-10-26
• 公開（公告）號: CN107819748B
• 公開（公告）日: 2021-04-06
• 發明（設計）人: 張曉科;杜威;肖東爽
• 申請（專利權）人: 北京頂象技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/06;G06F21/32
• 代理公司: 北京云科知識產權代理事務所(特殊普通合伙) 11483
• 代理人: 張飆

本發明公開了一種抗破解的驗證碼實現方法及裝置，本發明在頁面加載初始化時，采集設備、操作環境和上下文信息等數據，提交服務端生成信息摘要，即初始化標示串，用這個初始化標示串來標示一個真實、初始的請求來源。在驗證過程中，在采集驗證所需數據時，額外再加上頁面加載初始化時采集的那些數據信息，一同提交到服務端進行驗證。服務端驗證階段，用頁面加載初始化時的信息摘要，來計算對比驗證過程中額外采集的數據，從而保證采集的驗證數據的源頭可靠，沒有中間平臺的介入。本發明針對使用人類固有的生物行為特征及操作環境的信息綜合驗證，來設計一種抗破解的方法，大大提高了被破解的難度。

技術領域

本發明涉及計算機技術領域，尤其涉及一種抗破解的驗證碼實現方法及裝置。

背景技術

web系統為防止機器行為，都會在一些業務場景中引入驗證碼進行人機驗證，比如文字和圖片驗證碼、智力測試答題驗證碼等，但這些驗證手段目前都已經有破解方案，為此產生了人工打碼平臺，其通過組織真實的人來進行識別，將人工識別的結果提交驗證。近來出現了一些基于用戶行為的新型驗證碼，是基于人類固有的生物行為特征及操作的壞境信息來綜合判斷是否機器行為(比如：滑動驗證碼、點擊驗證碼)，然而此類驗證碼技術也已經被破解。

現有的一些針對人類行為的驗證碼，比如滑動驗證碼，是通過分析滑動軌跡區分人和機器。這種技術可以攔截機器，但是無法應對打碼平臺或類似的中介平臺，因為這些平臺背后就是真實的人在操作，這是現有實現技術存在的缺陷。

發明內容

有鑒于現有技術的上述缺陷，本發明所要解決的技術問題是提供一種抗破解的驗證碼實現方法及裝置，針對使用人類固有的生物行為特征及操作環境的信息綜合驗證，來設計一種抗破解的方法，大大提高了被破解的難度。

為實現上述目的，本發明提供了一種抗破解的驗證碼實現方法，包括以下步驟：

步驟1、初始化數據采集階段，客戶端頁面加載后，向驗證服務端發出一個數據采集請求，請求會帶上采集的多維度數據信息；驗證服務端接收多維度數據信息，用hash算法生成信息摘要，即生成唯一的初始標示串，并給客戶端響應一個會話id，同時在驗證服務端保存這個會話id和初始標示串的映射關系；

步驟2、驗證數據采集階段，客戶端采集驗證碼交互過程中所需要的數據，同時采集和步驟1相同的多維度數據信息；客戶端將采集的驗證交互數據和步驟1相同的多維度數據信息，再帶上步驟1返回的會話id一起再次請求到驗證服務端；

步驟3、驗證結果判斷階段，驗證服務端用和步驟1相同的hash算法對步驟2采集的多維度數據信息進行信息摘要計算，生成驗證標示串；然后取出步驟2驗證請求中帶上的會話id，根據會話id與標示串映射關系取出初始標示串，對比驗證標示串和初始標示串是否一致，不一致說明驗證碼數據源不可靠。

進一步地，所述采集的多維度數據信息包含但不限于設備信息、瀏覽器通用信息、瀏覽器能力信息、用戶信息、設備指紋信息、插件信息、自定義信息。

進一步地，所述多維度數據信息通過以下方式采集：通過JS或者Flash調用瀏覽器/系統API獲取信息，通過JS的API來判斷客戶端能力，通過某些自定義算法計算特征。

進一步地，所述hash算法包括但不限于MD2算法、MD4算法、MD5算法、SHA-1算法、SHA-224算法、SHA-256算法、SHA-384算法和SHA-512算法。

進一步地，所述生成的信息摘要，即生成唯一的標示串，在數據庫或緩存或文件系統里進行存儲，用來標示一個請求源。

一種抗破解的驗證碼實現裝置，包括：

客戶端數據采集模塊，用于采集多維度數據信息；

驗證服務端標示串生成模塊，用于接收多維度數據信息，用hash算法生成唯一的標示串；