專利名稱：一種動態(tài)口令認證方法及其系統(tǒng)的制作方法
技術領域：
本發(fā)明涉及一種動態(tài)口令認證方法及其系統(tǒng)，具體地說，涉及因特網上各種應用系統(tǒng)通過認證代理服務器對請求登陸的用戶身份是否合法進行認證的方法，和利用該方法進行認證的系統(tǒng)。
背景技術：
因特網技術的發(fā)展帶動了各種網上應用系統(tǒng)的發(fā)展，例如網上電子商務和電子政務將極大地改變我們的生活。如電子商務、電子政務、網上銀行和網上炒股這樣的網上應用系統(tǒng)的實現有賴于網絡安全技術的發(fā)展，而網絡安全的前提是準確識別合法用戶，實現訪問控制。
用戶的身份認證是網絡應用中安全體系的一個重要組成部分，合法用戶的訪問授權是通過身份認證實現的。一般網絡操作系統(tǒng)都具有一定的身份認證功能，鑒別用戶身份的方法很多，其中通過口令鑒別是網絡安全技術最基本的手段之一。通常的計算機網絡口令體系，是一種靜態(tài)的、分布式的口令管理體系，存貯口令的文件往往缺乏強有力的安全保護措施；口令的選取簡單；口令長時間不更換；各個應用系統(tǒng)中的口令分散存貯、分散管理，種種弱點使口令系統(tǒng)成為網絡入侵者的首要目標。靜態(tài)口令的特性決定了其具有容易泄露的弱點，采用物理的、邏輯的或系統(tǒng)的方法，都很容易獲取系統(tǒng)口令，系統(tǒng)的安全管理難度大。在計算機技術高度發(fā)達和普及的今天，靜態(tài)、分布式的口令管理已經遠遠不能適應網絡應用的發(fā)展和對安全的要求。如果網絡應用系統(tǒng)的安全級別要求更高，就需要更專業(yè)的用戶身份認證產品。在靜態(tài)口令的基礎上，增加動態(tài)認證因素，能夠更好、更準確地確認用戶的身份。
動態(tài)口令技術使用不斷變化的口令確認用戶身份，只有可信任的用戶才能掌握動態(tài)口令，難以被非法獲取。美國專利US5,937,068公開了一個動態(tài)口令系統(tǒng)，使用兩個都能夠計算出動態(tài)口令的計算系統(tǒng)，其中一個系統(tǒng)是能提供合法口令的多數位智能卡或IC卡，由用戶隨身攜帶，另一個系統(tǒng)在用戶登錄時檢驗用戶提供的動態(tài)口令，提供認證服務。
這種令牌卡動態(tài)口令技術，利用時間同步機制，與安全控制軟件系統(tǒng)配合，驗證用戶身份。這種動態(tài)口令技術具有不可預測性，使用安全、權責確定，用戶不必為記口令發(fā)愁，隨身攜帶代表其身份的專用令牌，盜用者因為不能同時既得到操作人員的口令又得到令牌，也就不可能通過身份認證而登錄進入應用系統(tǒng)。而且，當網上業(yè)務需要授權時，每次在授權過后應答數在下一次登錄時會因挑戰(zhàn)數發(fā)生了改變而不再有效，可以方便、安全地進行遠程授權，從而解決了系統(tǒng)中需要的遠程單次授權問題。
但是這種動態(tài)口令系統(tǒng)使用不方便，首先應用系統(tǒng)要給每個用戶配置令牌卡，在用戶數量較大并不斷增長的情況下，令牌卡的分發(fā)、維修、更換和回收增加了很多費用和管理成本；其次最終用戶需要攜帶用戶令牌卡，否則就無法進入系統(tǒng)；而且這種動態(tài)口令系統(tǒng)的硬件價格比較昂貴，并且具有固定的使用年限，對于用戶數量大的系統(tǒng)是一筆很大的開支。

發(fā)明內容
本發(fā)明的目的在于提供一種動態(tài)口令認證方法，為每個用戶分別動態(tài)地生成用戶口令，并將該用戶口令發(fā)送給用戶；在用戶請求登錄應用系統(tǒng)時，認證用戶身份，保證網上應用系統(tǒng)不被非法用戶侵入，保護合法用戶的口令不被非法獲取。
本發(fā)明的另一個目的在于提供一種動態(tài)口令認證系統(tǒng)，動態(tài)地生成用戶口令，并將該用戶口令傳輸給用戶；對請求登陸網上應用系統(tǒng)的用戶身份進行認證，保證網上應用系統(tǒng)不被非法用戶侵入，保護合法用戶的口令不被非法獲取。
本發(fā)明公開了一種動態(tài)口令認證方法，使用動態(tài)口令服務系統(tǒng)生成用戶口令，使用認證服務系統(tǒng)為應用系統(tǒng)認證用戶身份，所述用戶口令生成包括如下步驟A.所述動態(tài)口令服務系統(tǒng)根據配置服務系統(tǒng)中的數據庫中的用戶信息和用戶屬性生成用戶口令；所述動態(tài)口令服務系統(tǒng)(2)可以根據所述用戶屬性中的口令周期周期性的生成用戶口令，或者應用戶(5)請求生成用戶口令，或者在用戶(5)每次登陸應用系統(tǒng)(14)后生成新的用戶口令。
B.所述動態(tài)口令服務系統(tǒng)通過移動通訊網，將所述用戶口令分別發(fā)送到移動設備上；所述用戶口令認證包括如下步驟C.認證代理接收應用系統(tǒng)發(fā)送的用戶請求登陸時輸入的用戶口令，再將所述用戶口令發(fā)送給所述認證服務系統(tǒng)；D.所述認證服務系統(tǒng)利用所述配置服務系統(tǒng)中的數據庫中所述用戶信息和用戶屬性、根據所述用戶口令對所述用戶進行認證，并將認證結果發(fā)送給認證代理；認證代理將所述認證結果返回應用系統(tǒng)。
本發(fā)明還公開了一種通過移動通訊網傳輸用戶口令的認證系統(tǒng)，包括認證服務系統(tǒng)、動態(tài)口令服務系統(tǒng)、認證代理和配置服務系統(tǒng)；所述配置服務系統(tǒng)具有能被所述認證服務系統(tǒng)和動態(tài)口令服務系統(tǒng)訪問的數據庫；所述配置服務系統(tǒng)對至少一個用戶的信息分別配置用戶屬性，并將所述用戶信息和所述用戶屬性存儲在數據庫中；所述動態(tài)口令服務系統(tǒng)根據所述配置服務系統(tǒng)中的數據庫中的用戶屬性生成用戶口令，并通過移動通訊網分別發(fā)送到用戶的移動設備上；所述認證代理，接收應用系統(tǒng)發(fā)送的用戶請求登陸時輸入的用戶口令，并發(fā)送給所述認證服務系統(tǒng)，并接收所述認證服務系統(tǒng)反饋的認證結果；所述認證服務系統(tǒng)接受所述認證代理發(fā)送的所述用戶口令，并根據所述用戶口令利用所述配置服務系統(tǒng)中數據庫中的相應用戶信息和用戶屬性進行認證，將認證結果傳輸回認證代理。
本發(fā)明克服了動態(tài)口令令牌卡使用不方便和價格較貴的不足，利用覆蓋面廣的移動通訊網和日益普及的移動設備，無須用戶增加其它設備即可使用安全可靠的動態(tài)口令認證手段；動態(tài)口令認證系統(tǒng)每增加一個動態(tài)口令用戶只需要將用戶的信息、包括手機號碼登記在系統(tǒng)里，不需要給用戶分配動態(tài)口令硬件，既降低了實施成本，又節(jié)約了分發(fā)、維修、回收等管理成本。本發(fā)明采用認證代理轉發(fā)應用系統(tǒng)的用戶認證請求，減輕了應用系統(tǒng)的負擔，認證代理可以同時為多個應用系統(tǒng)服務，脫離各種不同的應用系統(tǒng)建立統(tǒng)一的動態(tài)口令認證系統(tǒng)，節(jié)省了資源。本發(fā)明巧妙地將隨身攜帶的移動設備變成識別個人身份的工具，用戶在移動設備上直接獲得新的動態(tài)口令，使網絡應用系統(tǒng)用戶身份認證的可靠性得到保證，保證網上應用系統(tǒng)不被非法用戶侵入，保護合法用戶的口令不被非法獲取。


圖1是本發(fā)明的系統(tǒng)結構示意圖；圖2是本發(fā)明第一實施例的系統(tǒng)結構示意圖；圖3是本發(fā)明第二實施例的系統(tǒng)結構示意圖；圖4是認證服務系統(tǒng)的工作流程圖；圖5是動態(tài)口令服務系統(tǒng)的工作流程圖。
具體實施方法 下面通過具體實施例并結合附圖對本發(fā)明做進一步詳細說明。
通過移動通訊網傳輸動態(tài)口令的認證系統(tǒng)見圖1，包括認證服務系統(tǒng)1、動態(tài)口令服務系統(tǒng)2、認證代理3和配置服務系統(tǒng)6。配置服務系統(tǒng)6是運行在計算機系統(tǒng)上的軟件，具有配置服務系統(tǒng)6數據庫，為系統(tǒng)管理員對認證用戶提供配置功能；認證服務系統(tǒng)1也是運行在專門的計算機服務器上的軟件，能夠對用戶輸入的認證信息進行識別和驗證；動態(tài)口令服務系統(tǒng)2根據配置服務系統(tǒng)6數據庫中的信息生成動態(tài)口令，并通過移動通訊網絡(如GSM網)使用如短消息(SMS)的方式發(fā)送到移動設備4上；認證代理3可以是一個獨立的系統(tǒng)，也可以是嵌入應用系統(tǒng)14的子系統(tǒng)，認證代理3與認證服務系統(tǒng)1之間采用認證協(xié)議進行通信，將用戶的認證信息通過約定的協(xié)議傳送到認證服務系統(tǒng)1，獲得認證結果。用戶5在請求登陸應用系統(tǒng)14時，應用系統(tǒng)14將用戶輸入的口令和PIN(個人身份號碼)傳送給認證代理3，認證代理3將認證請求發(fā)送給認證服務系統(tǒng)1，接收認證服務系統(tǒng)1的應答，并將該應答發(fā)送回應用系統(tǒng)14；如果認證服務系統(tǒng)1的應答為認證成功，則允許該用戶登陸應用系統(tǒng)14，如果認證服務系統(tǒng)1的應答為認證失敗，則拒絕該用戶登陸應用系統(tǒng)14。認證代理3可以為一個以上需要加以認證保護的應用系統(tǒng)14服務，應用系統(tǒng)14可以是Web服務器、網上證券或者網上銀行、應用主機、防火墻、訪問服務器、或者路由器等。
通過移動通訊網傳輸動態(tài)口令的認證系統(tǒng)工作過程主要包括以下步驟第一步7，在配置服務系統(tǒng)6上配置用戶的屬性，包括動態(tài)口令生成的周期(例如一天、一小時等)、是否使用PIN、動態(tài)口令發(fā)送的移動設備號碼等，存入配置服務系統(tǒng)數據庫；第二步8，動態(tài)口令服務系統(tǒng)2根據上述配置服務系統(tǒng)數據庫中的配置，使用動態(tài)口令生成算法，定期為用戶生成動態(tài)口令?？诹钌珊?，動態(tài)口令服務系統(tǒng)2通過移動通訊網絡，將口令和口令有效期輸送到用戶指定的移動設備上；第三步，用戶5通過攜帶在身邊的移動設備4接受口令服務系統(tǒng)2輸送的動態(tài)口令；第四步9，用戶輸入動態(tài)口令請求登陸應用系統(tǒng)14；第五步10，應用系統(tǒng)獲得用戶輸入的用戶名和口令，將用戶名和口令傳給與應用結合的認證代理3；第六步11，認證代理3將用戶名和口令傳送給認證服務系統(tǒng)1請求認證；第七步12，認證服務系統(tǒng)1對用戶名和動態(tài)口令進行認證，并將認證結果傳輸回認證代理3；第八步13，認證代理3根據認證服務系統(tǒng)1的返回值，判斷是否允許用戶登陸應用系統(tǒng)，并將該信息返回應用系統(tǒng)14。
動態(tài)口令服務系統(tǒng)2產生的動態(tài)口令是一個6-10位的隨機數，這個隨機數根據用戶設置的周期變化。動態(tài)口令可以采用密碼技術中各種不可逆算法生成，使動態(tài)口令具有唯一性、變化性和不可破解性。
有別于其他的認證系統(tǒng)，本發(fā)明提供可靠的、獨立的雙因素身份驗證第一個因素是只有使用者知道的個人標識碼PIN和用戶名，第二個因素是只有用戶自己攜帶的移動設備才能接受到的動態(tài)口令。使用這個系統(tǒng)，用戶無須攜帶諸如令牌的其它設備、在登錄的應用系統(tǒng)14上也不需要增加諸如讀卡器等額外的硬件設備，使用起來非常簡單。用戶在應用系統(tǒng)14上的具體登陸過程可以與常規(guī)的應用登錄一樣，在用戶名提示符下鍵入用戶名，然后在口令提示符下輸入個人識別碼PIN和移動設備上接受到的動態(tài)口令，等待認證結果就完成了整個系統(tǒng)的登錄和認證。
配置服務系統(tǒng)6主要負責對用戶和整個系統(tǒng)進行配置。用戶的配置包括用戶基本信息的輸入、用戶口令方式(動態(tài)或靜態(tài))的選擇、動態(tài)口令的生成種類、移動設備的號碼。動態(tài)口令的生成種類有三種第一種為周期性動態(tài)口令生成，其周期可以為幾個小時、幾天或幾周，在每一個周期內具有不同的動態(tài)口令；第二種為主動請求性動態(tài)口令生成，用戶在登錄時通過移動傳輸網或數據網絡主動請求一次性的口令，系統(tǒng)會實時產生動態(tài)口令，發(fā)送給用戶用于登錄應用系統(tǒng)14；第三種為登錄時動態(tài)口令生成，用戶最初獲得一個口令，在每次登錄后就獲得下次登錄的口令。整個系統(tǒng)的配置包括連接移動網絡的參數、日志文件的參數等。配置服務系統(tǒng)6將配置數據存儲在相應的數據庫內，便于保存、修改和刪除，配置服務系統(tǒng)數據庫內的數據能被認證服務系統(tǒng)1和動態(tài)口令服務系統(tǒng)2訪問讀取。
圖2是本發(fā)明第一實施例的系統(tǒng)結構示意圖，動態(tài)口令服務系統(tǒng)2在服務器上外接如GSM Modem(調制解調器)的移動通信硬件設備，將動態(tài)口令傳輸到無線Modem(調制解調器)上，通過無線Modem將動態(tài)口令以短消息(SMS)的形式傳輸到用戶的移動終端4上。
圖3是是本發(fā)明第二實施例的系統(tǒng)結構示意圖，通過專線(如DDN)與移動通訊網絡上的短信中心(SMSC)連接，將動態(tài)口令通過數據網絡傳輸到移動通訊網絡上，再通過移動通訊網絡傳輸到用戶的移動終端4上。
圖4是認證服務系統(tǒng)1的工作流程圖。認證服務系統(tǒng)1與一個以上認證代理3交換信息，根據配置服務系統(tǒng)數據庫里對應該請求認證用戶的配置，對用戶進行統(tǒng)一的動態(tài)口令身份認證。在獲得認證請求后，系統(tǒng)首先從請求中獲取用戶的用戶名和認證口令的信息。系統(tǒng)首先判斷該用戶名是否存在于配置服務系統(tǒng)數據庫。如果用戶名不存在，認證失??；如果用戶名存在，則判斷其口令是否與當前的動態(tài)口令相符；如果不相符，認證失敗，反之，則認證成功。
認證代理3與需要保護的應用系統(tǒng)14緊密結合，當用戶請求使用應用系統(tǒng)14時，認證代理3接受應用系統(tǒng)14傳遞的用戶名和口令，將用戶名和口令通過網絡傳輸到認證服務系統(tǒng)1，并等待認證服務系統(tǒng)1的回復。如果在一定時間內認證服務系統(tǒng)沒有回復，則返回“服務系統(tǒng)過期”，交給應用系統(tǒng)處理。如果認證服務系統(tǒng)回復“認證通過”，則允許用戶使用應用系統(tǒng)14，如果回復“認證不通過”，則不允許用戶使用應用系統(tǒng)14。
圖5是動態(tài)口令服務系統(tǒng)的流程圖，動態(tài)口令服務系統(tǒng)2根據配置服務系統(tǒng)數據庫內用戶的配置，為認證用戶生成動態(tài)口令，并通過移動網絡發(fā)送到用戶的移動設備4上。動態(tài)口令服務系統(tǒng)會定時對認證用戶進行檢查，如果認證用戶的動態(tài)口令已經過期，動態(tài)口令系統(tǒng)將生成一個新的動態(tài)口令，并根據用戶的配置，重新設定動態(tài)口令的有效期限。同時，通過系統(tǒng)配置的移動網絡連接方法，將動態(tài)口令通過移動網絡發(fā)送到認證客戶的移動設備上。
權利要求
1. 一種動態(tài)口令認證方法，其特征在于，使用動態(tài)口令服務系統(tǒng)(2)生成用戶口令，使用認證服務系統(tǒng)(1)為應用系統(tǒng)(14)認證用戶身份，所述用戶口令生成包括如下步驟A.所述動態(tài)口令服務系統(tǒng)(2)根據配置服務系統(tǒng)(6)中的數據庫中的用戶信息和用戶屬性生成用戶口令；B.所述動態(tài)口令服務系統(tǒng)(2)通過移動通訊網，將所述用戶口令分別發(fā)送到移動設備(4)上；所述用戶口令認證包括如下步驟C.認證代理(3)接收應用系統(tǒng)(14)發(fā)送的用戶(5)請求登陸時輸入的用戶口令，再將所述用戶口令發(fā)送給所述認證服務系統(tǒng)(1)；D.所述認證服務系統(tǒng)(1)利用所述配置服務系統(tǒng)(6)中的數據庫中所述用戶信息和用戶屬性、根據所述用戶口令對所述用戶(5)進行認證，并將認證結果發(fā)送給認證代理(3)；認證代理(3)將所述認證結果返回應用系統(tǒng)(14)。
2.根據權利要求1所述的認證方法，其特征在于所述步驟A中，所述動態(tài)口令服務系統(tǒng)(2)根據所述用戶屬性中的口令周期周期性的生成用戶口令，或者應用戶(5)請求生成用戶口令，或者在用戶(5)每次登陸應用系統(tǒng)(14)后生成新的用戶口令。
3.根據權利要求1所述的認證方法，其特征在于所述步驟B包括如下步驟a)所述動態(tài)口令服務系統(tǒng)(2)將所述用戶口令傳輸到無線調制解調器(Modem)上；b)所述無線調制解調器(Modem)所述將用戶口令以短消息(SMS)的形式傳輸到所述移動終端(4)上。
4.根據權利要求1所述的認證方法，其特征在于所述步驟C包括如下步驟a)所述動態(tài)口令服務系統(tǒng)(2)通過專線將所述用戶口令傳輸到移動通訊網絡上的短信中心(SMSC)；b)所述短信中心(SMSC)通過移動通訊網絡將所述用戶口令傳輸到所述移動終端(4)上。
5.根據權利要求1、2、3或4所述的認證方法，其特征在于所述步驟C中所述應用系統(tǒng)(14)還將用戶請求登陸時輸入的個人標識碼(PIN)發(fā)送給所述認證代理(3)，并由所述認證代理(3)發(fā)送給所述認證服務系統(tǒng)(1)；所述步驟D中所述認證服務系統(tǒng)(1)同時根據所述用戶口令和所述個人標識碼(PIN)對所述用戶(5)進行認證。
6.根據權利要求1、2、3或4所述的認證方法，其特征在于所述步驟A中所述動態(tài)口令服務系統(tǒng)(2)產生的所述用戶口令是6-10位的隨機數。
7.一種動態(tài)口令認證系統(tǒng)，其特征在于包括認證服務系統(tǒng)(1)、動態(tài)口令服務系統(tǒng)(2)、認證代理(3)和配置服務系統(tǒng)(6)；所述配置服務系統(tǒng)(6)具有能被所述認證服務系統(tǒng)(1)和動態(tài)口令服務系統(tǒng)(2)訪問的數據庫；所述配置服務系統(tǒng)(6)對至少一個用戶的信息分別配置用戶屬性，并將所述用戶信息和所述用戶屬性存儲在數據庫中；所述動態(tài)口令服務系統(tǒng)(2)根據所述配置服務系統(tǒng)(6)中的數據庫中的用戶屬性生成用戶口令，并通過移動通訊網分別發(fā)送到用戶(5)的移動設備(4)上；所述認證代理(3)，接收應用系統(tǒng)(14)發(fā)送的用戶(5)請求登陸時輸入的用戶口令，并發(fā)送給所述認證服務系統(tǒng)(1)，并接收所述認證服務系統(tǒng)(1)反饋的認證結果；所述認證服務系統(tǒng)(1)接受所述認證代理(3)發(fā)送的所述用戶口令，并根據所述用戶口令利用所述配置服務系統(tǒng)(6)中數據庫中的相應用戶信息和用戶屬性進行認證，將認證結果傳輸回認證代理(3)。
8.根據權利要求7所述的認證系統(tǒng)，其特征在于，所述動態(tài)口令服務系統(tǒng)(2)根據所述用戶屬性中的口令周期周期性的生成用戶口令，或者應用戶(5)請求生成用戶口令，或者在用戶(5)每次登陸應用系統(tǒng)(14)后生成新的用戶口令。
9.根據權利要求7所述的認證系統(tǒng)，其特征在于所述動態(tài)口令服務系統(tǒng)(2)通過無線調制解調器(Modem)將所述用戶口令以短消息(SMS)的形式傳輸到所述移動終端(4)上。
10.根據權利要求7所述的認證系統(tǒng)，其特征在于所述動態(tài)口令服務系統(tǒng)(2)通過專線將所述用戶口令傳送給移動通訊網上的短信中心(SMSC)；所述短信中心(SMSC)通過移動通訊網絡將所述用戶口令傳輸到所述移動終端(4)上。
11.根據權利要求7、8、9或10所述的認證系統(tǒng)，其特征在于，所述應用系統(tǒng)(14)還將用戶請求登陸時輸入的個人標識碼(PIN)發(fā)送給所述認證代理(3)，并由所述認證代理(3)發(fā)送給所述認證服務系統(tǒng)(1)；所述認證服務系統(tǒng)(1)同時根據所述用戶口令和所述個人標識碼(PIN)對所述用戶(5)進行認證。
12.根據權利要求7、8、9或10所述的認證系統(tǒng)，其特征在于所述動態(tài)口令服務系統(tǒng)(2)產生的所述用戶口令是6-10位的隨機數。
全文摘要
本發(fā)明公開了一種動態(tài)口令認證方法及其系統(tǒng)，為網上應用系統(tǒng)提供用戶認證。包括動態(tài)口令服務系統(tǒng)(2)根據配置服務系統(tǒng)(6)中的數據庫中的用戶信息和用戶屬性生成用戶口令；并通過移動通訊網，將用戶口令分別發(fā)送到移動設備(4)上；認證代理(3)接收應用系統(tǒng)(14)發(fā)送的用戶(5)請求登陸時輸入的用戶口令，再發(fā)送給認證服務系統(tǒng)(1)；所述認證服務系統(tǒng)(1)利用所述配置服務系統(tǒng)(6)中的數據庫中所述用戶信息和用戶屬性、根據所述用戶口令對所述用戶(5)進行認證，并將認證結果發(fā)送給認證代理(3)；認證代理(3)將所述認證結果返回應用系統(tǒng)(14)。本發(fā)明可用于電子商務、網上銀行等。
文檔編號H04L9/00GK1414731SQ0212996
公開日2003年4月30日 申請日期2002年8月28日 優(yōu)先權日2002年8月28日
發(fā)明者姜勇, 王欣磊 申請人:深圳匯豐信息技術開發(fā)有限公司