一種基于異步動態(tài)口令技術的保護賬戶安全的方法
【專利摘要】本發(fā)明提供了一種基于異步動態(tài)口令技術的保護賬戶安全的方法，其特征在于：用戶與服務商約定挑戰(zhàn)碼的加密方式和動態(tài)密碼的計算公式，認證服務器在用戶登錄請求驗證成功后生成挑戰(zhàn)碼A、挑戰(zhàn)碼B和動態(tài)密碼C，挑戰(zhàn)碼B由挑戰(zhàn)碼A經加密方式加密得到，動態(tài)密碼C由挑戰(zhàn)碼A經計算公式計算得到，認證服務器向用戶的手機發(fā)送包含挑戰(zhàn)碼B的反饋短信，用戶根據加密方式將挑戰(zhàn)碼B解密后代入計算公式，得到動態(tài)密碼D，用戶在客戶端登錄界面輸入動態(tài)密碼D和賬戶名進行登錄。其系統(tǒng)可靠性高，挑戰(zhàn)碼等驗證信息傳送保密度高，能有效避免用戶密碼信息泄露，并且用戶操作起來安全可靠。
【專利說明】一種基于異步動態(tài)口令技術的保護賬戶安全的方法
【技術領域】
[0001]本發(fā)明涉及短信傳輸和計算機數(shù)據庫相結合的操作運用技術，具體為一種基于異步動態(tài)口令技術的保護賬戶安全的方法。
【背景技術】
[0002]目前，公知的手機動態(tài)口令和異步動態(tài)口令技術主要有以下幾種方式:
第一種，異步動態(tài)口令技術，也叫挑戰(zhàn)應答方式，顧名思義，基于挑戰(zhàn)/應答方式的身份認證系統(tǒng)就是每次認證時認證服務器都給客戶端發(fā)送一個不同的“挑戰(zhàn)”字串，客戶端程序收到這個“挑戰(zhàn)”字串后，做出相應的“應答”，以此機制而研制的系統(tǒng)。驗證步驟為:1、進入應用登錄界面，輸入賬號名和靜態(tài)密碼值獲取挑戰(zhàn)碼數(shù)字；2、在動態(tài)密碼令牌上輸入挑戰(zhàn)碼數(shù)字后獲得動態(tài)密碼；3、在動態(tài)密碼輸入框輸入動態(tài)密碼令牌顯示的動態(tài)密碼；4、認證服務器驗證用戶信息和用戶提交動態(tài)密碼的正確性；5、認證服務器將認證結果反饋給應用服務器或應用程序，完成用戶身份認證。其缺陷為:用戶每次登錄都需要在登錄界面中向認證服務器發(fā)出請求，要求進行身份認證，通常也使用賬號名和靜態(tài)密碼來進行身份認證，認證通過后認證服務器發(fā)送“挑戰(zhàn)”字串到客戶端，挑戰(zhàn)碼采用明文發(fā)送，沒有任何保護措施，當遭遇到釣魚網站詐騙攻擊時，賬號名和靜態(tài)密碼就處于不安全的狀態(tài)下，動態(tài)密碼還是會被釣魚網站盜取。另外生成動態(tài)密碼的令牌都由服務商提供給用戶，登錄使用的動態(tài)口令的算法集成在硬件(令牌)中，用戶無法得知算法，更不能隨意更改算法。
[0003]第二種，手機短信發(fā)送動態(tài)口令認證方式，其包括用戶的手機，認證服務器，管理工作站和短信網關組成，管理工作站負責用戶的注冊，手機號碼的綁定及取消綁定。用戶登錄時，先在客戶端輸入靜態(tài)密碼并發(fā)送，認證服務器驗證用戶發(fā)送的靜態(tài)密碼后通過短信發(fā)送一組明文的動態(tài)口令到用戶綁定賬號名的手機，用戶使用接收到的動態(tài)口令再次在客戶端進行登錄驗證，通過后動態(tài)口令失效，用戶登錄成功。其優(yōu)點是:操作簡單，不需記憶，手機普及率較高便于實現(xiàn)。其缺陷是:動態(tài)口令以明文發(fā)送，不具備保密性，無法防范不法分子利用釣魚網站的詐騙攻擊，無法防范不法分子利用“隱身大盜”等手機木馬截獲并轉發(fā)用戶用于登錄的動態(tài)密碼，同時也無法防范不法分子的“補卡攻擊”，即通過事先獲取到的用戶資料惡意掛失用戶的手機卡，重新補辦用戶的手機卡來騙取用戶的動態(tài)密碼?！半[身大盜”是一種手機木馬，運行后會對用戶短信實施攔截，同時全部以短信的形式轉發(fā)到不法分子手機上，然后才對短信放行，放行后用戶才會看到短信提示，也就是說木馬是比手機使用者更早看到短信內容的。另據分析，“隱身大盜”會對特定短信進行刪除，比如不法分子在竊取受害者網銀賬戶時的手機驗證碼等短信，就會被木馬直接刪除，受害者根本看不到，也就不能第一時間發(fā)現(xiàn)有人在盜取網銀賬戶。
[0004]第三種，手機短信發(fā)送兩組動態(tài)口令+識別碼認證方式
其包括用戶的手機，認證服務器，管理工作站和短信網關組成，管理工作站負責用戶的注冊，手機號碼的綁定及取消綁定。用戶登錄時，發(fā)送和手機號碼、賬號名相互綁定的激活碼短信到認證服務器，驗證通過后，認證服務器通過短信的方式發(fā)送兩組動態(tài)密碼+識別碼到用戶手機，動態(tài)密碼和識別碼都以明文發(fā)送，用戶先使用第一組動態(tài)密碼在客戶端登錄，通過以后查看登錄界面顯示的識別碼與之前發(fā)送到自己手機中的識別碼是否相同，用戶識別通過后，輸入并發(fā)送第二組動態(tài)口令，驗證通過后登錄成功。其優(yōu)點是:操作簡單，用戶上手難度較低，由于需要使用綁定賬號名的手機發(fā)送激活碼來獲取動態(tài)口令和識別碼，不法分子不能在用戶無察覺的情況下進行盜號行為，手機普及率較高便于實現(xiàn)。其缺陷是:動態(tài)口令以明文發(fā)送，不具備保密性，識別碼在用戶登錄前就以明文發(fā)送，給了不法分子把識別碼放入釣魚網站的時間，用戶不能有效的判斷服務端的真?zhèn)危瑹o法防范不法分子利用“隱身大盜”等手機木馬截獲并轉發(fā)用戶用于登錄的動態(tài)密碼來入侵用戶的賬戶。
[0005]以上所述方法既無法防范“補卡攻擊”和盜號木馬的攻擊，也無法防范不法分子利用釣魚網站對用戶進行詐騙攻擊，賬戶的安全無法得到保障。不法分子利用各種手段，仿冒真實網站的URL地址以及頁面內容，或者利用真實網站服務器程序上的漏洞在站點的某些網頁中插入危險的HTML代碼，騙取用戶的賬號名、密碼等私人資料，同時在極短的時間內使用用戶的賬號名，密碼登錄真實網站，盜取用戶的財物。
【發(fā)明內容】
[0006]針對上述幾種密碼保護技術的不足之處，本發(fā)明提供了一種基于異步動態(tài)口令技術的保護賬戶安全的方法，其系統(tǒng)可靠性高，挑戰(zhàn)碼等驗證信息傳送保密度高，能有效避免用戶密碼信息泄露，不但能夠有效防范不法分子的“補卡攻擊”和盜號木馬病毒的攻擊，并且能夠防御釣魚網站對用戶實施的詐騙攻擊，用戶操作起來安全可靠。
[0007]其技術方案是這樣的:
其包括以下步驟:(I)、注冊，(2)、用戶發(fā)送登錄請求，(3)、服務端驗證登錄請求，(4)、服務端反饋，(5)、用戶識別，(6)、用戶登錄，(7)、服務端驗證，其特征在于:用戶與服務商在步驟(I)約定挑戰(zhàn)碼的加密方式和動態(tài)密碼的計算公式，所述加密方式和所述計算公式儲存在認證服務器的數(shù)據庫中，步驟(3)中所述認證服務器在步驟(2)的登錄請求驗證成功后生成挑戰(zhàn)碼A、挑戰(zhàn)碼B和動態(tài)密碼C，并將挑戰(zhàn)碼A、挑戰(zhàn)碼B和動態(tài)密碼C儲存于認證服務器的數(shù)據庫中，所述挑戰(zhàn)碼B由所述挑戰(zhàn)碼A經所述加密方式加密得到，所述動態(tài)密碼C由所述挑戰(zhàn)碼A經所述計算公式計算得到，步驟(4)中所述認證服務器向所述用戶的手機發(fā)送包含所述挑戰(zhàn)碼B的反饋短信，步驟(6)中所述用戶根據所述加密方式將所述挑戰(zhàn)碼B解密后代入所述計算公式，得到動態(tài)密碼D，所述用戶在客戶端登錄界面中輸入賬號名和所述動態(tài)密碼D，步驟(7)中所述認證服務器將對所述動態(tài)密碼C和所述動態(tài)密碼D進行比對驗證。
[0008]其進一步特征在于:
步驟(2)中所述登錄請求包括所述用戶向所述認證服務器發(fā)送認證請求短信，步驟
(3)中所述認證服務器接收到所述用戶的認證請求短信后，驗證所述用戶的手機號碼的同時，還需驗證所述計算公式的使用次數(shù)，所述認證服務器設有對所述計算公式的使用次數(shù)進行記錄的計數(shù)器，步驟(3)中所述認證服務器每次生成動態(tài)密碼C后，所述計數(shù)器值+1，當所述計數(shù)器值超過所述用戶在步驟(I)中與服務商約定的所述計算公式的使用次數(shù)的閾值時，計算公式即時失效，所述認證服務器拒絕用戶的登錄請求；
步驟(2)中所述認證請求短信包含客戶端當前的公網IP地址，步驟(3)中所述認證服務器將認證請求短信中的IP地址儲存于數(shù)據庫中，步驟(4)中所述反饋短信的內容還包括步驟(3)中儲存于數(shù)據庫中的IP地址，步驟(5)中所述用戶在接收所述反饋短信后，先要比對所述反饋短信中的IP地址與自己發(fā)送的所述認證請求短信中的IP地址是否相同，只有兩者相同，用戶才能執(zhí)行步驟(6)中的登錄操作，所述反饋短信內容中的IP地址中的幾位數(shù)字由服務端隱藏；
步驟(7)中所述服務端驗證包括依次進行的以下步驟:識別登錄者身份、驗證登錄時間和驗證用戶密碼；
所述識別登錄者身份包括所述認證服務器對用戶登錄時的IP地址和步驟(2)中所述認證請求短信中提交的IP地址進行比對，驗證客戶端發(fā)送密碼的人是否為用戶本人，如果不是用戶本人，則中止步驟(7);
所述認證服務器判定登錄者不是用戶本人，在中止步驟(7)的同時通過短信平臺把包含登錄者IP地址的短信發(fā)送到用戶在步驟(I)綁定的安全手機號碼和/或以電子郵件的方式把包含登錄者IP地址的郵件發(fā)送到用戶在步驟(I)綁定的安全電子郵箱，提示有不法分子入侵用戶的賬戶；
所述用戶在步驟(I)中與服務商約定動態(tài)密碼的有效期，所述認證服務器設有對所述有效期進行記錄的計時器，所述驗證登錄時間包括所述認證服務器驗證客戶端的動態(tài)密碼的輸入時間是否在所述有效期內，如果超時，則在客戶端登錄界面提示用戶登錄失敗，同時保存在認證服務器的數(shù)據庫中的動態(tài)密碼C即時注銷且計時器重置；
所述用戶重新與服務商約定所述閾值、所述加密方式或者所述計算公式后，計數(shù)器值重置；
所述服務端包括但不限于認證服務器、管理工作站、短信網關、短信平臺、計時器和計數(shù)器，所述計時器記錄用戶的登錄時間，所述計數(shù)器記錄計算公式的使用次數(shù)，所述服務端由服務商提供。
[0009] 其更進一步特征在于:
其具體包括以下步驟:
(1)、注冊:用戶向服務商提交綁定信息，綁定信息包括用戶的一個賬號名、一個手機號碼、挑戰(zhàn)碼的加密方式、動態(tài)密碼的有效期、動態(tài)密碼的計算公式和計算公式的使用次數(shù)的閾值、一個安全電子郵箱地址和/或另一個安全手機號碼，挑戰(zhàn)碼的加密方式、動態(tài)密碼的有效期、動態(tài)密碼的計算公式和計算公式的使用次數(shù)的閾值由用戶和服務商共同約定，并可通過安全電子郵箱和/或另一個安全手機號碼找回或者修改，管理工作站對用戶提交的賬號名、手機號碼、安全電子郵箱地址和/或另一個安全手機號碼進行驗證，動態(tài)密碼的計算公式由管理工作站隨機生成并由用戶在客戶端的注冊界面中選擇確定，在用戶注冊成功后，要求用戶妥善保管該計算公式，并將賬號名和手機號碼、挑戰(zhàn)碼的加密方式、動態(tài)密碼的有效期、動態(tài)密碼的計算公式和計算公式的使用次數(shù)的閾值、安全電子郵箱地址和/或另一個安全手機號碼相互綁定后保存到認證服務器的數(shù)據庫中；
(2)、用戶發(fā)送登錄請求:用戶以手機短信的形式通過短信網關向短信平臺提交客戶端當前的公網IP地址；
(3)、服務端驗證登錄請求:短信平臺在接收到用戶的登錄請求后提取用戶短信中的IP地址及用戶的手機號碼，并轉送到認證服務器，認證服務器將接收到的用戶手機號碼在認證服務器的數(shù)據庫中對其進行檢索，如果用戶登錄請求中的手機號碼與認證服務器內部信息相符，用戶發(fā)送的IP地址格式正確并且記錄計算公式使用次數(shù)的計數(shù)器值未超過閾值，則驗證通過，認證服務器臨時生成挑戰(zhàn)碼A，把挑戰(zhàn)碼A代入步驟(I)中約定的計算公式，得出動態(tài)密碼C，同時記錄步驟(I)中的計算公式使用次數(shù)的計數(shù)器值+1，認證服務器根據挑戰(zhàn)碼的加密方式，將挑戰(zhàn)碼A加密后生成挑戰(zhàn)碼B，把用戶的IP地址、挑戰(zhàn)碼A、挑戰(zhàn)碼B和動態(tài)密碼C 一起保存在認證服務器的數(shù)據庫中，認證服務器把步驟(2)接收到的用戶的IP地址隱藏掉幾位后和挑戰(zhàn)碼B —起轉送到短信平臺，如果用戶手機號碼與認證服務器的數(shù)據庫中綁定的信息不符、或用戶發(fā)送的IP地址格式不正確，則驗證失敗，認證服務器把驗證失敗信息轉送到短信平臺，如果記錄計算公式使用次數(shù)的計數(shù)器值超過閾值，則計算公式即時失效，驗證失敗，認證服務器把驗證失敗信息轉送到短信平臺；
(4)、服務端反饋:步驟(3)驗證通過后，短信平臺將步驟(3)生成的挑戰(zhàn)碼B和隱藏掉幾位后的用戶的IP地址以反饋短信的方式通過短信網關發(fā)送到該用戶手機，發(fā)送完成后，認證服務器的數(shù)據庫中的挑戰(zhàn)碼A和挑戰(zhàn)碼B即時注銷，并且計時器開始工作，計時期限為照用戶在步驟(I)中與服務商約定的動態(tài)密碼的有效期，步驟(3)驗證沒有通過，則通過短信平臺提示用戶驗證失?。?br>
(5)、用戶識別:用戶接收到步驟(4)發(fā)送的短信后，先把接收到的短信中的IP地址未隱藏的部分與自己在步驟(2)中發(fā)送出的IP地址進行比對，如果兩者不同，用戶判定自己發(fā)送出去的短信遭到不法分子篡改，放棄登錄，如果相同，進入下一步驟；
(6)、用戶登錄:用戶通過步驟(5)的驗證后，將步驟(4)中得到的挑戰(zhàn)碼B按照挑戰(zhàn)碼的加密方式，把挑戰(zhàn)碼B還原成挑戰(zhàn)碼A，然后代入計算公式，得出動態(tài)密碼D，登錄時將賬號名與動態(tài)密碼D在系統(tǒng)的客戶端輸入并發(fā)送；
(7)、服務端驗證，包括依次進行的以下步驟:
識別登錄者身份:認證服務器接收到用戶在步驟(6)發(fā)送的賬號名和動態(tài)密碼D后，首先提取客戶端連接到服務端的IP地址，將其與保存在認證服務器的數(shù)據庫中的步驟(3)得到的IP地址進行比對驗證其是否相同，如果驗證失敗，則在客戶端登錄界面提示用戶登錄失敗，同時保存在認證服務器的數(shù)據庫中的用戶的IP地址、動態(tài)密碼C即時注銷，計時器重置，同時通過短信平臺把包含登錄者IP地址的短信發(fā)送到用戶在步驟(I)綁定的安全手機號碼和/或以電子郵件的方式把包含登錄者IP地址的郵件發(fā)送到用戶在步驟(I)綁定的安全電子郵箱，提示有不法分子入侵用戶的賬戶，如果驗證通過，保存在認證服務器的數(shù)據庫中的用戶的IP地址即時注銷，進入下一步驟；
驗證登錄時間:認證服務器提取客戶端的動態(tài)密碼的輸入時間，驗證其是否在有效期內，如果超時，則在客戶端登錄界面提示用戶登錄失敗，同時保存在認證服務器的數(shù)據庫中的動態(tài)密碼C即時注銷且計時器重置，如果在有效期內，驗證通過，計時器重置，進入下一步驟；
驗證用戶密碼:認證服務器對接收到的用戶賬號名和動態(tài)密碼D進行有效性驗證，將用戶發(fā)送的賬號名與動態(tài)密碼D和保存在認證服務器中的賬號名與動態(tài)密碼C進行比對驗證其是否合法，如果驗證失敗，則在客戶端登錄界面提示用戶登錄失敗，同時認證服務器的數(shù)據庫中的動態(tài)密碼C即時注銷，如果驗證通過，用戶可以成功登錄，當用戶登錄成功后，認證服務器的數(shù)據庫中的動態(tài)密碼C即時注銷，并提示用戶步驟(3)計數(shù)器中生成的計算公式的使用次數(shù)的剩余值，當用戶重新與服務商約定計算公式的使用次數(shù)、挑戰(zhàn)碼的加密方式或選擇了一組新的計算公式后，計數(shù)器值重置；
(8)、當用戶由于誤操作導致記錄計算公式使用次數(shù)的計數(shù)器值超過閾值，或者用戶遺忘了在步驟(I)中與服務商約定的計算公式時，用戶通過在步驟(I)中遞交的安全電子郵箱地址或另一個安全手機號碼與服務商重新約定新的閾值或計算公式；
(9)、當用戶再次需要登錄系統(tǒng)時，需重復(2)、(3)、(4)、(5)、(6)、(7)步驟。
[0010]采用本發(fā)明的方法后，其有益效果在于:
1)認證服務器把挑戰(zhàn)碼A經過與用戶約定的加密方式加密以后通過短信發(fā)送到用戶手機，用戶根據約定的加密方式進行解密后，代入與服務商約定的計算公式得出登錄驗證用的動態(tài)密碼，在整個登錄驗證過程中，服務端和客戶端都不會泄露挑戰(zhàn)碼A，有效防范“隱身大盜”等手機木馬的攻擊，保障了賬戶的安全；
2)用于生成登錄驗證的動態(tài)密碼的計算公式、計算公式的使用次數(shù)的閾值可以隨時與服務商約定更換，一旦計數(shù)器值超出閾值，計算公式即時失效，認證服務器拒絕用戶的登錄請求，同時，在得知不法分子入侵客戶賬戶時，客戶可以更換動態(tài)密碼的計算公式，進一步保障了賬戶的安全性；
3)由于本發(fā)明方法中涉及到的計算公式可以設定得較為簡單，可以減輕認證服務器的運算壓力，并且所有的密碼生成步驟都在用戶登錄之前就已經完成，在用戶登錄過程中認證服務器無需進行密碼生成步驟，進一步減輕驗證服務端的運算壓力；
4)用戶和認證服務器雙向識別，首先，用戶在接收到短信平臺發(fā)送的短信后，先要比對接收到的短信中的IP地址與自己發(fā)送登錄請求短信中的IP地址的未隱藏部分是否相同，只有兩者相同，用戶才能執(zhí)行登錄操作，在登錄之前用戶就能準確判斷自己發(fā)送出去的短信沒有遭到不法分子篡改，其次，認證服務器在對客戶端發(fā)送的賬號名和密碼進行登錄驗證之前先要通過比對IP地址對登錄者的合法身份進行驗證，當判斷登錄者不是用戶本人時，認證服務器拒絕登錄者的后續(xù)登錄操作，并通過短信平臺把包含登錄者IP地址的短信發(fā)送到用戶在步驟(I)綁定的安全手機號碼和/或以電子郵件的方式把包含登錄者IP地址的郵件發(fā)送到用戶在步驟(I)綁定的安全電子郵箱，提醒用戶賬戶遭到入侵，確保用戶能夠及時有效的收到服務商發(fā)送的警示信息，更進一步保障了賬戶的安全性；
5)使用本發(fā)明方法的認證技術，用戶只需要記住一組極其簡單的計算公式，對比現(xiàn)有的認證技術在復雜性上并無增加許多，但是安全性卻大為提高；
6)本發(fā)明方法的身份認證技術既能單獨使用，也可以和現(xiàn)有的靜態(tài)密碼技術結合使用，例如，認證服務器對客戶端發(fā)送的賬號名和靜態(tài)密碼進行第一次登錄驗證之前先對登錄者的IP地址進行驗證，并且同時適用于電腦客戶端和移動客戶端，多賬號名可以采用同一認證技術，用戶無需為了不同的賬號名購置互不兼容的令牌、口令卡等硬件認證裝置，也無需在手機中安裝各式互不兼容的APP認證工具，使得本發(fā)明方法操作簡單，易于上手；
7)本發(fā)明方法能夠有效防范不法分子的網絡竊聽、重放攻擊和小數(shù)攻擊，有效防范不法分子在手機端利用各種木馬或手機系統(tǒng)漏洞攔截轉發(fā)、篡改或偷窺盜取用戶包含有動態(tài)密碼的短信用于登錄用戶的賬戶，有效防范不法分子惡意掛失用戶手機卡并補辦用戶手機卡騙取動態(tài)密碼攻擊、有效防止不法分子以釣魚短信騙取用戶的動態(tài)口令，同時能夠有效防范電腦端的盜號木馬病毒的攻擊，并且解決了現(xiàn)有的識別碼在用戶登錄前就以明文發(fā)送，給了不法分子把識別碼放入釣魚網站的時間，用戶不能有效的判斷服務端的真?zhèn)蔚娜毕?，能夠防御釣魚網站對用戶實施的詐騙攻擊；
綜上所述，本發(fā)明方法其系統(tǒng)可靠性高，挑戰(zhàn)碼等驗證信息傳送保密度高，能有效避免用戶信息泄露，不但能夠有效防范不法分子的“補卡攻擊”和盜號木馬病毒的攻擊，并且能夠防御釣魚網站對用戶實施的詐騙攻擊，用戶操作起來安全可靠。
【專利附圖】
【附圖說明】
[0011]圖1為本發(fā)明中用戶使用手機短信進行登錄請求的流程圖；
圖2為本發(fā)明中用戶在客戶端登錄的流程圖。
【具體實施方式】
[0012]實施例1:
(1)、注冊:用戶向服務商提交綁定信息，綁定信息包括用戶的一個賬號名、一個手機號碼、挑戰(zhàn)碼的加密方式、動態(tài)密碼的有效期、動態(tài)密碼的計算公式和計算公式的使用次數(shù)的閾值、一個安全電子郵箱地址和/或另一個安全手機號碼，挑戰(zhàn)碼的加密方式、動態(tài)密碼的有效期、動態(tài)密碼的計算公式和計算公式的使用次數(shù)的閾值由用戶和服務商共同約定，并可通過安全電子郵箱和/或另一個安全手機號碼找回或者修改，管理工作站對用戶提交的賬號名、手機號碼、安全電子郵箱地址和/或另一個安全手機號碼進行驗證，動態(tài)密碼的計算公式由管理工作站隨機生成并由用戶在客戶端的注冊界面中選擇確定，在用戶注冊成功后，要求用戶妥善保管該計算公式，并將賬號名和手機號碼、挑戰(zhàn)碼的加密方式、動態(tài)密碼的有效期、動態(tài)密碼的計算公式和計算公式的使用次數(shù)的閾值、安全電子郵箱地址和/或另一個安全手機號碼相互綁定后保存到認證服務器的數(shù)據庫中，其中，用戶登錄時間由計時器記錄，計算公式的使用次數(shù)由計數(shù)器記錄；
(2)、用戶發(fā)送登錄請求:用戶以手機短信的形式通過短信網關向短信平臺提交客戶端當前的公網IP地址；
(3)、服務端驗證登錄請求:短信平臺在接收到用戶的登錄請求后提取用戶短信中的IP地址及用戶的手機號碼，并轉送到認證服務器，認證服務器將接收到的用戶手機號碼在認證服務器的數(shù)據庫中對其進行檢索，如果用戶登錄請求中的手機號碼與認證服務器內部信息相符，用戶發(fā)送的IP地址格式正確并且記錄計算公式使用次數(shù)的計數(shù)器值未超過閾值，則驗證通過，認證服務器臨時生成挑戰(zhàn)碼A，把挑戰(zhàn)碼A代入步驟(I)中約定的計算公式，得出動態(tài)密碼C，同時記錄步驟(I)中的計算公式使用次數(shù)的計數(shù)器值+1，認證服務器根據挑戰(zhàn)碼的加密方式，將挑戰(zhàn)碼A加密后生成挑戰(zhàn)碼B，把用戶的IP地址、挑戰(zhàn)碼A、挑戰(zhàn)碼B和動態(tài)密碼C 一起保存在認證服務器的數(shù)據庫中，認證服務器把步驟(2)接收到的用戶的IP地址隱藏掉幾位后和挑戰(zhàn)碼B —起轉送到短信平臺，如果用戶手機號碼與認證服務器的數(shù)據庫中綁定的信息不符、或用戶發(fā)送的IP地址格式不正確，則驗證失敗，認證服務器把驗證失敗信息轉送到短信平臺，如果記錄計算公式使用次數(shù)的計數(shù)器值超過閾值，則計算公式即時失效，驗證失敗，認證服務器把驗證失敗信息轉送到短信平臺；
(4)、服務端反饋:步驟(3)驗證通過后，短信平臺將步驟(3)生成的挑戰(zhàn)碼B和隱藏掉幾位后的用戶的IP地址以反饋短信的方式通過短信網關發(fā)送到該用戶手機，發(fā)送完成后，認證服務器的數(shù)據庫中的挑戰(zhàn)碼A和挑戰(zhàn)碼B即時注銷，計時器開始工作，計時期限為照用戶在步驟(I)中與服務商約定的動態(tài)密碼的有效期，步驟(3)驗證沒有通過，則通過短信平臺提示用戶驗證失?。?br>
(5)、用戶識別:用戶接收到步驟(4)發(fā)送的短信后，先把接收到的短信中的IP地址未隱藏的部分與自己在步驟(2)中發(fā)送出的IP地址進行比對，如果兩者不同，用戶判定自己發(fā)送出去的短信遭到不法分子篡改，放棄登錄，如果相同，進入下一步驟；
(6)、用戶登錄:用戶通過步驟(5)的驗證后，將步驟(4)中得到的挑戰(zhàn)碼B按照挑戰(zhàn)碼的加密方式，把挑戰(zhàn)碼B還原成挑戰(zhàn)碼A，然后代入計算公式，得出動態(tài)密碼D，登錄時將賬號名與動態(tài)密碼D在系統(tǒng)的客戶端輸入并發(fā)送；
(7)、服務端驗證，包括依次進行的以下步驟:
識別登錄者身份:認證服務器接收到用戶在步驟(6)發(fā)送的賬號名和動態(tài)密碼D后，首先提取客戶端連接到服務端的IP地址，將其與保存在認證服務器的數(shù)據庫中的步驟(3)得到的IP地址進行比對驗證其是否相同，如果驗證失敗，則在客戶端登錄界面提示用戶登錄失敗，同時保存在認證服務器的數(shù)據庫中的用戶的IP地址、動態(tài)密碼C即時注銷，計時器重置，同時通過短信平臺把包含登錄者IP地址的短信發(fā)送到用戶在步驟(I)綁定的安全手機號碼和/或以電子郵件的方式把包含登錄者IP地址的郵件發(fā)送到用戶在步驟(I)綁定的安全電子郵箱，提示有不法分子入侵用戶的賬戶，如果驗證通過，保存在認證服務器的數(shù)據庫中的用戶的IP地址即時注銷，進入下一步驟；
驗證登錄時間:認證服務器提取客戶端的動態(tài)密碼的輸入時間，驗證其是否在有效期內，如果超時，則在客戶端登錄界面提示用戶登錄失敗，同時保存在認證服務器的數(shù)據庫中的動態(tài)密碼C即時注銷且計時器重置，如果在有效期內，驗證通過，計時器重置，進入下一步驟；
驗證用戶密碼:認證服務器對接收到的用戶賬號名和動態(tài)密碼D進行有效性驗證，將用戶發(fā)送的賬號名與動態(tài)密碼D和保存在認證服務器中的賬號名與動態(tài)密碼C進行比對驗證其是否合法，如果驗證失敗，則在客戶端登錄界面提示用戶登錄失敗，同時認證服務器的數(shù)據庫中的動態(tài)密碼C即時注銷，如果驗證通過，用戶可以成功登錄，當用戶登錄成功后，認證服務器的數(shù)據庫中的動態(tài)密碼C即時注銷，并提示用戶步驟(3)計數(shù)器中生成的計算公式的使用次數(shù)的剩余值，當用戶重新與服務商約定了計算公式的使用次數(shù)、挑戰(zhàn)碼的加密方式或選擇了一組新的計算公式后，計數(shù)器值重置；
(8)、當用戶由于誤操作導致計數(shù)器值超過閾值，或者用戶遺忘了步驟(I)中與服務商約定的計算公式時，用戶通過在步驟(I)中遞交的安全電子郵箱地址或另一個安全手機號碼與服務商重新約定新的閾值或計算公式；
(9)、當用戶再次需要登錄系統(tǒng)時，需重復(2)、(3)、(4)、(5)、(6)、(7)步驟。
[0013]下面結合附圖1、2對本發(fā)明的操作過程進行詳細描述，其中，未描述步驟(I)的內容:
用戶在后續(xù)某次登錄中，假設當前客戶端的IP地址為“49.76.211.241”，用戶與服務商約定挑戰(zhàn)碼的加密方式為按挑戰(zhàn)碼A “第3位、第4位、第I位、第2位”的讀取順序重新排列生成挑戰(zhàn)碼B，動態(tài)密碼C的計算公式為“挑戰(zhàn)碼A+341-2”，計算公式的使用次數(shù)的閾值為5次，用戶當前計算公式的使用次數(shù)的值為3次，挑戰(zhàn)碼A為“4716”，不法分子的IP地址為“202.10.69.11”，其中，計算公式中的“+341-2”是在加密方式“第3位、第4位、第I位、第2位”的基礎上隨機拆分并結合簡單的四則運算后生成的，方便用戶記憶。
[0014]用戶通過手機短信獲取加密后的挑戰(zhàn)碼B的流程為:
第一步:用戶使用和賬號名綁定的手機編輯短信“49.76.211.241”發(fā)送到短信平臺。
[0015]第二步:短信平臺在接收到用戶的登錄請求后提取用戶短信中的“49.76.211.241”及用戶的手機號碼，并轉送到認證服務器，認證服務器對用戶的手機號碼進行驗證、對用戶發(fā)送的IP地址格式進行驗證并且驗證用戶當前用于生成動態(tài)密碼的計算公式的使用次數(shù)的值有沒有超過閾值(當前為3 <閾值5)，如果手機號碼與認證服務器內部數(shù)據庫中信息相符、用戶發(fā)送的IP地址格式正確且計數(shù)器值沒有超過閾值，則驗證通過，認證服務器生成挑戰(zhàn)碼A “4716”，把“4716”代入計算公式“挑戰(zhàn)碼A+341-2”得出動態(tài)密碼C “5055”，這時記錄計算公式使用次數(shù)的計數(shù)器值+1變成“4”，把挑戰(zhàn)碼A “4716”按照“第3位、第4位、第I位、第2位”的讀取順序重新排列成挑戰(zhàn)碼B “1647”，把“49.76.211.241”、挑戰(zhàn)碼A “4716”、挑戰(zhàn)碼B “1647”和動態(tài)密碼C “5055” 一起保存在認證服務器的數(shù)據庫中，認證服務器隱藏“49.76.211.241”中的“211”，以代替。把挑戰(zhàn)碼B “1647”和“49.76.*#.241”轉送到短信平臺。如果手機號碼與認證服務器內部數(shù)據庫中信息不符、或用戶發(fā)送的IP地址格式不正確、則驗證失敗，認證服務器把認證失敗信息轉送到短信平臺，如果計數(shù)器值超閾值，則計算公式“挑戰(zhàn)碼+341-2”即時失效，驗證失敗，認證服務器把認證失敗信息轉送到短信平臺。
[0016]第三步:如果驗證通過，短信平臺把挑戰(zhàn)碼B“1647”和“49.76.241”通過短信發(fā)送到用戶手機，發(fā)送完成后，認證服務器的數(shù)據庫中的挑戰(zhàn)碼A“4716”和挑戰(zhàn)碼B“1647”即時注銷，同時計時器開始倒計時。如果驗證失敗，短信平臺把認證失敗信息通過短信發(fā)送到用戶手機。
[0017]用戶登錄的流程為:
第一步:用戶接收到短信平臺發(fā)送的短信后，先查看短信中的IP地址“49.76.241”中未隱藏部分是不是與自己在發(fā)送登錄請求短信中的IP地址一致，如果不是，用戶判定自己發(fā)送出去的登錄請求短信遭到不法分子篡改，放棄登錄，如果正確，執(zhí)行下一步驟。
[0018]第二步:用戶提取接收到的短信中的挑戰(zhàn)碼B “1647”，先按照約定的讀取順序“第3位、第4位、第I位、第2位”把挑戰(zhàn)碼B “ 1647”還原成挑戰(zhàn)碼A “4716”，再把挑戰(zhàn)碼A“4716”代入系統(tǒng)生成并由用戶確認的計算公式“挑戰(zhàn)碼A+341-2”得出動態(tài)密碼D“5055”，在客戶端登錄界面輸入賬號名和動態(tài)密碼“5055”并發(fā)送。
[0019]第三步:認證服務器接收到用戶發(fā)送的賬號名和動態(tài)密碼D “5055”后，首先驗證客戶端連接到服務端的IP地址是否為“49.76.211.241”，如果驗證失敗，則在客戶端登錄界面提示用戶登錄失敗，同時保存在認證服務器的數(shù)據庫中的用戶的“49.76.211.241”、“5055”即時注銷，計時器重置，同時通過短信平臺把包含登錄者IP地址的短信發(fā)送到用戶綁定的安全手機號碼和/或以電子郵件的方式把包含登錄者IP地址的郵件發(fā)送到用戶綁定的安全電子郵箱，如果正確，則驗證通過，保存在認證服務器的數(shù)據庫中的“49.76.211.241”即時注銷，進入下一步驟。
[0020]第四步:認證服務器驗證用戶的登錄時間，如果超時，則在客戶端登錄界面提示用戶登錄失敗，同時保存在認證服務器的數(shù)據庫中的“5055”即時注銷且計時器重置，如果沒有超時，則認證通過，計時裝置重置，進入下一步驟。
[0021]第五步:認證服務器驗證用戶發(fā)送的賬號名和動態(tài)密碼D “5055”，如果驗證失敗，則在客戶端登錄界面提示用戶登錄失敗，同時認證服務器的數(shù)據庫中的“5055”即時注銷，如果驗證通過，保存在認證服務器的數(shù)據庫中的動態(tài)密碼“5055”即時注銷，登錄成功并提示用戶計算公式的剩余使用次數(shù)為“ I”次。
[0022]下面對本發(fā)明方法防止釣魚網站欺詐攻擊、不法分子補卡攻擊和手機木馬“隱身大盜”攻擊進行具體解釋。
[0023]一、防范釣魚網站欺詐攻擊的原理:
假設用戶已經接收到了短信平臺發(fā)送的包含挑戰(zhàn)碼B “1647”和“49.76.241”的短信，這時用戶進入了不法分子制作的釣魚網站進行登錄，不法分子得到了用戶輸入的賬號名和動態(tài)密碼D “5055”，然后不法分子通過自己的IP地址“202.10.69.11”進入官方網站的客戶端輸入賬號名和動態(tài)密碼D “5055”進行登錄驗證，認證服務器首先驗證客戶端連接到服務端的IP地址，由于不法分子登錄時的IP地址為“202.10.69.11”，并不是用戶通過短信發(fā)送的“49.76.211.241”，所以認證服務器判定登錄者為不法分子，認證失敗，退出登錄，同時通過短信平臺把包含不法分子IP地址“202.10.69.11”的短信發(fā)送到用戶綁定的安全手機號碼和/或以電子郵件的方式把包含不法分子IP “202.10.69.11”地址的郵件發(fā)送到用戶綁定的安全電子郵箱，提示用戶賬戶遭到不法分子的入侵。
[0024]二、防范不法分子補卡攻擊的原理:
假設不法分子已經通過偽造的用戶身份資料補辦了用戶的手機卡，不法分子使用裝有補辦的用戶手機卡的手機編輯短信“202.10.69.11”發(fā)送到短信平臺，短信平臺提取手機號碼和“202.10.69.11”轉送到認證服務器，認證服務器驗證通過后使用短信平臺發(fā)送包含挑戰(zhàn)碼B “1647”和“202.10.***.11”的短信到不法分子手機端。但是不法分子不知道用戶與服務商約定的挑戰(zhàn)碼A正確的讀取順序，無法將挑戰(zhàn)碼B “ 1647”還原成挑戰(zhàn)碼A“4716”，更不知道系統(tǒng)生成并由用戶確認的計算公式是怎么樣的，無法計算出正確的動態(tài)密碼D “5055”，登錄驗證失敗，如果不法分子嘗試多次獲取挑戰(zhàn)碼B試圖破解，當計數(shù)器值超過閾值“5”時，計算公式“挑戰(zhàn)碼A+341-2”即時失效，驗證失敗，認證服務器拒絕不法分子的登錄請求。同時通過短信平臺把包含不法分子IP地址“202.10.69.11”的短信發(fā)送到用戶綁定的安全手機號碼和/或以電子郵件的方式把包含不法分子IP “202.10.69.11”地址的郵件發(fā)送到用戶綁定的安全電子郵箱，提示用戶賬戶遭到不法分子的入侵。
[0025]三、防范手機木馬“隱身大盜”攻擊的原理:
假設用戶手機中了“隱身大盜”木馬，用戶使用和賬號名綁定的手機編輯短信“49.76.211.241”發(fā)送到短信平臺，短信平臺提取手機號碼和“49.76.211.241”轉送到認證服務器，認證服務器驗證通過后使用短信平臺發(fā)送包含挑戰(zhàn)碼B “1647”和“49.76.***.241”的短信到用戶手機端，這時木馬對認證服務器發(fā)送的包含挑戰(zhàn)碼B“1647”和“49.76.***.241”的短信進行攔截，并轉發(fā)至不法分子的手機；不法分子并不知道用戶完整的IP地址，如果使用自己的IP地址“202.10.69.11”嘗試登錄，認證服務器首先驗證客戶端連接到服務端的IP地址，由于不法分子登錄時的IP地址為“202.10.69.11”，并不是用戶通過短信發(fā)送的“49.76.211.241”，不可能通過驗證，并且不法分子無法將挑戰(zhàn)碼B“1647”還原成挑戰(zhàn)碼A“4716”，更不知道系統(tǒng)生成并由用戶確認的計算公式是怎么樣的，無法計算出正確的動態(tài)密碼D “5055”，登錄驗證失敗。
【權利要求】
1.一種基于異步動態(tài)口令技術的保護賬戶安全的方法，其包括以下步驟:(1)、注冊，(2)、用戶發(fā)送登錄請求，(3)、服務端驗證登錄請求，(4)、服務端反饋，(5)、用戶識別，(6)、用戶登錄，(7)、服務端驗證，其特征在于:用戶與服務商在步驟(1)約定挑戰(zhàn)碼的加密方式和動態(tài)密碼的計算公式，所述加密方式和所述計算公式儲存在認證服務器的數(shù)據庫中，步驟(3)中所述認證服務器在步驟(2)的登錄請求驗證成功后生成挑戰(zhàn)碼A、挑戰(zhàn)碼B和動態(tài)密碼C，并將挑戰(zhàn)碼A、挑戰(zhàn)碼B和動態(tài)密碼C儲存于認證服務器的數(shù)據庫中，所述挑戰(zhàn)碼B由所述挑戰(zhàn)碼A經所述加密方式加密得到，所述動態(tài)密碼C由所述挑戰(zhàn)碼A經所述計算公式計算得到，步驟(4)中所述認證服務器向所述用戶的手機發(fā)送包含所述挑戰(zhàn)碼B的反饋短信，步驟(6)中所述用戶根據所述加密方式將所述挑戰(zhàn)碼B解密后代入所述計算公式，得到動態(tài)密碼D，所述用戶在客戶端登錄界面中輸入賬號名和所述動態(tài)密碼D，步驟(7)中所述認證服務器將對所述動態(tài)密碼C和所述動態(tài)密碼D進行比對驗證。
2.根據權利要求1所述的一種基于異步動態(tài)口令技術的保護賬戶安全的方法，其特征在于:步驟(2)中所述登錄請求包括所述用戶向所述認證服務器發(fā)送認證請求短信，步驟(3)中所述認證服務器接收到所述用戶的認證請求短信后，驗證所述用戶的手機號碼的同時，還需驗證所述計算公式的使用次數(shù)，所述認證服務器設有對所述計算公式的使用次數(shù)進行記錄的計數(shù)器，步驟(3)中所述認證服務器每次生成動態(tài)密碼C后，所述計數(shù)器值+1，當所述計數(shù)器值超過所述用戶在步驟(1)中與服務商約定的所述計算公式的使用次數(shù)的閾值時，計算公式即時失效，所述認證服務器拒絕用戶的登錄請求。
3.根據權利要求2所述的一種基于異步動態(tài)口令技術的保護賬戶安全的方法，其特征在于:步驟(2)中所述認證請求短信包含客戶端當前的公網IP地址，步驟(3)中所述認證服務器將認證請求短信中的IP地址儲存于數(shù)據庫中，步驟(4)中所述反饋短信的內容還包括步驟(3)中儲存于數(shù)據庫中的IP地址，步驟(5)中所述用戶在接收所述反饋短信后，先要比對所述反饋短信中的IP地址與自己發(fā)送的所述認證請求短信中的IP地址是否相同，只有兩者相同，用戶才能執(zhí)行步驟(6)中的登錄操作。
4.根據權利要求3所述的一種基于異步動態(tài)口令技術的保護賬戶安全的方法，其特征在于:所述反饋短信內容中的IP地址中的幾位數(shù)字由服務端隱藏。
5.根據權利要求4所述的一種基于異步動態(tài)口令技術的保護賬戶安全的方法，其特征在于:步驟(7)中所述服務端驗證包括依次進行的以下步驟:識別登錄者身份、驗證登錄時間和驗證用戶密碼。
6.根據權利要求5所述的一種基于異步動態(tài)口令技術的保護賬戶安全的方法，其特征在于:所述識別登錄者身份包括所述認證服務器對用戶登錄時的IP地址和步驟(2)中所述認證請求短信中提交的IP地址進行比對，驗證客戶端發(fā)送密碼的人是否為用戶本人，如果不是用戶本人，則中止步驟(7)。
7.根據權利要求6所述的一種基于異步動態(tài)口令技術的保護賬戶安全的方法，其特征在于:所述認證服務器判定登錄者不是用戶本人，在中止步驟(7)的同時通過短信平臺把包含登錄者IP地址的短信發(fā)送到用戶在步驟(1)綁定的安全手機號碼和/或以電子郵件的方式把包含登錄者IP地址的郵件發(fā)送到用戶在步驟(1)綁定的安全電子郵箱，提示有不法分子入侵用戶的賬戶。
8.根據權利要求7所述的一種基于異步動態(tài)口令技術的保護賬戶安全的方法，其特征在于:所述用戶在步驟(1)中與服務商約定動態(tài)密碼的有效期，所述認證服務器設有對所述有效期進行記錄的計時器，所述驗證登錄時間包括所述認證服務器驗證客戶端的動態(tài)密碼的輸入時間是否在所述有效期內，如果超時，則在客戶端登錄界面提示用戶登錄失敗，同時保存在認證服務器的數(shù)據庫中的動態(tài)密碼C即時注銷且計時器重置。
9.根據權利要求8所述的一種基于異步動態(tài)口令技術的保護賬戶安全的方法，其特征在于:所述用戶重新與服務商約定所述 閾值、所述加密方式或者所述計算公式后，計數(shù)器值重置。
【文檔編號】H04L29/06GK103795724SQ201410044761
【公開日】2014年5月14日 申請日期:2014年2月7日 優(yōu)先權日:2014年2月7日
【發(fā)明者】陳珂 申請人:陳珂