專利名稱：一種基于動態(tài)映射口令的強驗證方法
技術領域：
本發(fā)明涉及計算機信息安全領域，特別涉及一種基于動態(tài)映射口令的強驗證方法。
背景技術：
隨著計算機科學和信息網(wǎng)絡技術的推廣，以及計算機網(wǎng)絡應用的日益普及，人們的生活越來越多的依賴于計算機網(wǎng)絡。人們在享受計算機網(wǎng)絡系統(tǒng)提供的便利的同時， 也面臨著各種各樣的信息安全的風險，如賬號密碼被竊取、個人信息泄露、網(wǎng)站受到惡意攻擊、網(wǎng)站信息數(shù)據(jù)泄露等。密碼認證體系是計算機網(wǎng)絡上用于用戶身份認證的基本方式。為保障密碼認證體系的安全，防止用戶利用機器人自動注冊、自動登錄、自動灌水或者通過暴力破解方式獲得賬號密碼，不少網(wǎng)站都采用了驗證碼技術。即，用戶除了使用賬號密碼外， 還需要額外輸入一串驗證碼。通常是由網(wǎng)站系統(tǒng)將隨機產(chǎn)生的一串數(shù)字或符號，生成一幅加入干擾象素的驗證碼圖片，由用戶通過肉眼識別其中的驗證碼信息，并輸入表單中提交網(wǎng)站驗證，這種額外驗證成功后才能夠通過網(wǎng)站的認證進入網(wǎng)站系統(tǒng)或使用某項功能，從而加強網(wǎng)站的防攻擊能力，有效防止注冊用戶用特定程序暴力破解方式進行不斷的登陸嘗試。目前很多大型網(wǎng)站如工商銀行的網(wǎng)上銀行、騰訊社區(qū)等都采用了驗證碼技術。但遺憾的是很多網(wǎng)站的驗證碼實現(xiàn)都有問題，攻擊者仍然可以對網(wǎng)站系統(tǒng)進行攻擊。比如有些網(wǎng)站直接給出用驗證碼網(wǎng)頁和Cookie中，攻擊者可以直接讀取Cookie破解或者可以使用過期Cookie法強行使用一個已被使用過的Cookie以及驗證碼。

發(fā)明內(nèi)容
本發(fā)明的目的在于克服上述的缺點和不足，提供一種具有動態(tài)、實時、強安全的基于動態(tài)映射口令的強驗證方法，是用于賬號認證和網(wǎng)站驗證的加強的驗證碼的方法。本發(fā)明的目的是通過下述技術方法實現(xiàn)的一種基于動態(tài)映射口令的強驗證方法，包括以下步驟Si、用戶在安全狀態(tài)下設置用戶認證賬號密碼和驗證碼口令，進入步驟S2 S2、網(wǎng)站服務器將賬號密碼和驗證碼口令對應用戶認證賬號記錄下來，進入步驟 S3 ；S3、在用戶登錄時，網(wǎng)站服務器根據(jù)用戶認證賬號實時給出一個驗證碼動態(tài)的口令矩陣，進入步驟S4;S4、用戶根據(jù)驗證碼口令查找口令矩陣，得到對應的矩陣驗證碼，輸入矩陣驗證碼進行驗證，進入步驟S5 ；S5、網(wǎng)站服務器根據(jù)用戶認證賬號密碼和矩陣驗證碼對用戶進行登錄驗證。為更好的實現(xiàn)本發(fā)明，所述安全狀態(tài)通過設置安全通道、SSL或其他加密方式實現(xiàn)；所生成的動態(tài)口令矩陣通過加入干擾象素的驗證碼圖片實現(xiàn)。
所述驗證碼口令由字母和符號組成，其中所述字母包括大寫英文字母和小寫英文字母；所述矩陣驗證碼由數(shù)字組成。所述基于動態(tài)映射口令矩陣的強驗證方法同時用于賬號密碼認證時，登錄驗證保護更強。優(yōu)選的，所述步驟S3中網(wǎng)站服務器根據(jù)用戶認證賬號實時給出一個動態(tài)的口令矩陣，其中口令矩陣的生成規(guī)則為口令矩陣采用字母、符號對應0-9十個數(shù)字的顯示方式，每個字母或符號隨機對應0-9之中的一個數(shù)字；動態(tài)口令矩陣至少要包括沈個大寫字母和沈個小寫字母(共52個字符)，加上常用的符號，補齊為10的倍數(shù)個字符；網(wǎng)站服務器根據(jù)隨機算法生成字符對應數(shù)字的口令矩陣，假設矩陣有η個字符，則平均每η/10個字符對應同一個數(shù)字。優(yōu)選的，所述隨機算法是通過線性同余算法、BBS偽隨機數(shù)發(fā)生器以及ANSI X9. 17 偽隨機數(shù)發(fā)生器中的一種或多種實現(xiàn)的。優(yōu)選的，所述步驟S3、在用戶登錄時，網(wǎng)站服務器根據(jù)用戶認證賬號實時給出一個動態(tài)的口令矩陣，具體包括以下步驟S3. 1、在用戶登錄時，用戶輸入用戶認證賬號，并向網(wǎng)站服務器請求獲取口令矩陣，進入步驟S3. 2 ；S3. 2、網(wǎng)站服務器按照動態(tài)口令矩陣生成規(guī)則隨機生成口令矩陣，并將新生成的口令矩陣傳遞給用戶；優(yōu)選的，所述將新生成的口令矩陣傳遞給用戶，具體是指網(wǎng)站服務通過SSL方式將新生成的口令矩陣傳遞給用戶。優(yōu)選的，所述步驟S4、用戶根據(jù)驗證碼口令查找口令矩陣，得到對應的矩陣驗證碼，輸入矩陣驗證碼進行登錄，具體是指用戶根據(jù)驗證碼口令，在網(wǎng)站服務器給出的口令矩陣中查找驗證碼口令中每個字符對應的數(shù)字，得到一個由數(shù)字組成的矩陣驗證碼，輸入矩陣驗證碼進行登錄的驗證加強。優(yōu)選的，所述步驟S5、網(wǎng)站服務器根據(jù)用戶認證賬號密碼和矩陣驗證碼對用戶進行身份驗證，具體包括以下步驟S5. 1、網(wǎng)站服務器根據(jù)用戶認證賬號查找用戶驗證碼口令和此次生成的動態(tài)口令矩陣，進入步驟S5.2 ；S5. 2、網(wǎng)站服務器在口令矩陣中查找用戶的驗證碼口令中每個字符對應的數(shù)字， 得出對應的數(shù)字串，進入步驟S5. 3 ；S5. 3、網(wǎng)站服務器將數(shù)字串和用戶輸入的矩陣驗證碼進行比對，如果相同則通過驗證，反之則不能通過驗證。通過驗證后可以對用戶賬號密碼進行認證。與現(xiàn)有技術相比，本發(fā)明具有如下有益效果第一、動態(tài)性本發(fā)明采取由服務器在登錄階段提供口令對照矩陣給用戶的方式來提供動態(tài)密碼，口令矩陣是按一定的原則隨機生成的，每次登錄的驗證碼密碼都不同，很好地解決了采用網(wǎng)絡竊聽和使用過期Cookie進行攻擊的問題。第二、實時性用戶每次進入登錄階段，服務器都實時提供一個動態(tài)口令對照矩陣，用戶根據(jù)自己的口令查找口令矩陣得到驗證碼密碼，口令矩陣是實時隨機給出的，大大提高了安全性。第三、強安全性動態(tài)口令對照矩陣是由服務器在用戶登錄階段實時生成的，服務器根據(jù)用戶認證賬號密碼和驗證碼記錄信息采用某種隨機算法隨機生成矩陣，則矩陣的每個數(shù)字對應的η/10個字符，這樣有效防止了已知明文攻擊和網(wǎng)絡劫持帶來的威脅。


圖1是本發(fā)明一種基于動態(tài)映射口令的強驗證方法的工作流程圖；圖2是實施例一中一種基于動態(tài)映射口令的強驗證方法的工作流程圖。
具體實施例方式下面結合實施例及附圖，對本發(fā)明作進一步地詳細說明，但本發(fā)明的實施方式不限于此。實施例一如圖1、圖2所示，本發(fā)明基于動態(tài)映射口令的強驗證方法，通過以下步驟實現(xiàn)Si、用戶在安全狀態(tài)下設置用戶認證賬號密碼和驗證碼口令；S2、網(wǎng)站服務器將賬號密碼和驗證碼口令對應用戶認證賬號記錄下來；S3、在用戶登錄時，網(wǎng)站服務器根據(jù)用戶認證賬號實時給出一個驗證碼動態(tài)的口令矩陣；S4、用戶根據(jù)驗證碼口令查找口令矩陣，得到對應的矩陣驗證碼，輸入矩陣驗證碼進行驗證；S5、網(wǎng)站服務器根據(jù)用戶認證賬號密碼和矩陣驗證碼對用戶進行登錄驗證。所述步驟Sl安全狀態(tài)通過設置安全通道、SSL實現(xiàn)；驗證碼口令可以由大小寫字母和規(guī)定的一些符號組成(考慮安全問題，口令長度應大于6個字符)。所述步驟S2驗證碼口令由字母和符號組成，其中所述字母包括大寫英文字母和小寫英文字母；(例如用戶A的用戶認證賬號為UserA,則服務器就在UserA的目錄下保存用戶A的認證密碼和驗證碼口令)。所述步驟S4矩陣密碼由數(shù)字組成。所述步驟S3中網(wǎng)站服務器根據(jù)用戶認證賬號密碼實時給出一個動態(tài)的口令矩陣，其中口令矩陣的生成規(guī)則為口令矩陣采用字母、符號對應0-9十個數(shù)字的顯示方式， 每個字母或符號隨機對應0-9之中的一個數(shù)字；動態(tài)口令矩陣至少要包括沈個大寫字母和 26個小寫字母(共52個字符)，加上常用的符號，補齊為10的倍數(shù)個字符；網(wǎng)站服務器根據(jù)隨機算法生成字符對應數(shù)字的口令矩陣，假設矩陣有η個字符，則平均每η/10個字符對應同一個數(shù)字。所述隨機算法是通過線性同余算法、BBS偽隨機數(shù)發(fā)生器以及ANSI X9. 17偽隨機數(shù)發(fā)生器中的一種或多種實現(xiàn)的。所述步驟S3、在用戶登錄時，網(wǎng)站服務器根據(jù)用戶賬號密碼實時給出一個動態(tài)的口令矩陣，具體包括以下步驟S3. 1、在用戶登錄時，用戶輸入用戶認證賬號，并向網(wǎng)站服務器請求獲取口令矩陣；
S3. 2、網(wǎng)站服務器按照動態(tài)口令矩陣生成規(guī)則隨機生成口令矩陣，并將新生成的口令矩陣傳遞給用戶；所述將新生成的口令矩陣傳遞給用戶，具體是指網(wǎng)站服務通過SSL方式將新生成的口令矩陣傳遞給用戶。所述步驟S4、用戶根據(jù)驗證碼口令查找口令矩陣，得到對應的矩陣密碼，輸入矩陣密碼進行登錄，具體是指用戶根據(jù)驗證碼口令，在網(wǎng)站服務器給出的口令矩陣中查找驗證碼口令中每個字符對應的數(shù)字，得到一個由數(shù)字組成的矩陣驗證碼碼，輸入矩陣驗證碼碼進行登錄。所述步驟S5、網(wǎng)站服務器根據(jù)用戶認證賬號密碼和矩陣密碼對用戶進行身份驗證，具體包括以下步驟S5. 1、網(wǎng)站服務器根據(jù)用戶認證賬號查找用戶驗證碼口令和此次生成的動態(tài)口令矩陣；S5. 2、網(wǎng)站服務器在口令矩陣中查找用戶的驗證碼口令中每個字符對應的數(shù)字， 得出對應的數(shù)字串；S5. 3、網(wǎng)站服務器將數(shù)字串和用戶輸入的矩陣驗證碼進行比對，如果相同則通過驗證，反之則不能通過驗證。通過驗證后對用戶賬號密碼進行認證。上述口令矩陣，是采用字母、符號對應0-9十個數(shù)字的顯示方式，每個字母或符號隨機對應一個0-9之中的一個數(shù)字，此處根據(jù)安全性和易用性原則取60個字符，其中包含 26個大寫字母和沈個小寫字母以及8個常用符號。動態(tài)口令矩陣的格式如下，見表1所示
權利要求
1.一種基于動態(tài)映射口令的強驗證方法，其特征在于，包括以下步驟s1、用戶在安全狀態(tài)下設置用戶認證賬號密碼和驗證碼口令；s2、網(wǎng)站服務器將賬號密碼和驗證碼口令對應用戶認證賬號記錄下來；s3、在用戶登錄時，網(wǎng)站服務器根據(jù)用戶認證賬號實時給出一個驗證碼動態(tài)的口令矩陣；s4、用戶根據(jù)驗證碼口令查找口令矩陣，得到對應的矩陣驗證碼，輸入矩陣驗證碼進行驗證；s5、網(wǎng)站服務器根據(jù)用戶認證賬號密碼和矩陣驗證碼對用戶進行登錄驗證。 所述步驟Sl安全狀態(tài)通過設置安全通道、SSL實現(xiàn)；所述步驟S2驗證碼口令由字母和符號組成，其中所述字母包括大寫英文字母和小寫英文字母；所述步驟S4矩陣密碼由數(shù)字組成。所述步驟S3中網(wǎng)站服務器根據(jù)用戶認證賬號密碼實時給出一個動態(tài)的口令矩陣，其中口令矩陣的生成規(guī)則為口令矩陣采用字母、符號對應0 9十個數(shù)字的顯示方式，每個字母或符號隨機對應0 9之中的一個數(shù)字；動態(tài)口令矩陣至少要包括沈個大寫字母和 26個小寫字母，加上常用的符號，補齊為10的倍數(shù)個字符；網(wǎng)站服務器根據(jù)隨機算法生成字符對應數(shù)字的口令矩陣，若矩陣有η個字符，則平均每η/10個字符對應同一個數(shù)字。
2.根據(jù)權利要求1所述一種基于動態(tài)映射口令的強驗證方法，其特征在于，所述隨機算法是通過線性同余算法、BBS偽隨機數(shù)發(fā)生器以及ANSI X9. 17偽隨機數(shù)發(fā)生器中的一種或多種實現(xiàn)的。
3.根據(jù)權利要求1或2所述一種基于動態(tài)映射口令的強驗證方法，其特征在于，所述步驟S3、在用戶登錄時，網(wǎng)站服務器根據(jù)用戶賬號密碼實時給出一個動態(tài)的口令矩陣，具體包括以下步驟S3. 1、在用戶登錄時，用戶輸入用戶認證賬號，并向網(wǎng)站服務器請求獲取口令矩陣； S3. 2、網(wǎng)站服務器按照動態(tài)口令矩陣生成規(guī)則隨機生成口令矩陣，并將新生成的口令矩陣傳遞給用戶；
4.根據(jù)權利要求3所述一種基于動態(tài)映射口令的強驗證方法，其特征在于，所述將新生成的口令矩陣傳遞給用戶，具體是指網(wǎng)站服務通過SSL方式將新生成的口令矩陣傳遞給用戶。
5.根據(jù)權利要求3所述一種基于動態(tài)映射口令的強驗證方法，其特征在于，所述步驟s4、用戶根據(jù)驗證碼口令查找口令矩陣，得到對應的矩陣密碼，輸入矩陣密碼進行登錄，具體是指用戶根據(jù)驗證碼口令，在網(wǎng)站服務器給出的口令矩陣中查找驗證碼口令中每個字符對應的數(shù)字，得到一個由數(shù)字組成的矩陣驗證碼碼，輸入矩陣驗證碼碼進行登錄。
6.根據(jù)權利要求3所述一種基于動態(tài)映射口令的強驗證方法，其特征在于，所述步驟s5、網(wǎng)站服務器根據(jù)用戶認證賬號密碼和矩陣密碼對用戶進行身份驗證，具體包括以下步驟s5. 1、網(wǎng)站服務器根據(jù)用戶認證賬號查找用戶驗證碼口令和此次生成的動態(tài)口令矩陣；S5. 2、網(wǎng)站服務器在口令矩陣中查找用戶的驗證碼口令中每個字符對應的數(shù)字，得出對應的數(shù)字串；S5. 3、網(wǎng)站服務器將數(shù)字串和用戶輸入的矩陣驗證碼進行比對，如果相同則通過驗證， 反之則不能通過驗證。通過驗證后對用戶賬號密碼進行認證。
全文摘要
本發(fā)明公開了一種基于動態(tài)映射口令的強驗證方法，包括以下步驟S1、用戶在安全狀態(tài)下設置用戶認證賬號密碼和驗證碼口令；S2、網(wǎng)站服務器將賬號密碼和驗證碼口令對應用戶認證賬號記錄下來；S3、在用戶登錄時，網(wǎng)站服務器根據(jù)用戶認證賬號實時給出一個驗證碼動態(tài)的口令矩陣；S4、用戶根據(jù)驗證碼口令查找口令矩陣，得到對應的矩陣驗證碼，輸入矩陣驗證碼進行驗證；S5、網(wǎng)站服務器根據(jù)用戶認證賬號密碼和矩陣驗證碼對用戶進行登錄驗證。本發(fā)明具有動態(tài)、實時、強安全等優(yōu)點，并很好地解決了采用網(wǎng)絡竊聽和使用過期Cookie進行驗證的問題。
文檔編號H04L29/06GK102164137SQ20111009575
公開日2011年8月24日 申請日期2011年4月15日 優(yōu)先權日2011年4月15日
發(fā)明者唐文軍, 張凌, 許勇 申請人:華南理工大學, 廣州數(shù)園網(wǎng)絡有限公司