CN101291225A - 一种采用复式密码技术进行认证的方法 - Google Patents

Abstract

本发明提供了一种采用复式密码技术进行认证的方法，包括：与密码的使用者约定多个子码，不同的子码对应不同的顺序号，所有子码及其顺序号共同组成复式密码；进行认证时，将所述顺序号的顺序打乱，并将打乱顺序的顺序号提示给使用者；使用者依据提示的顺序号依次输入各顺序号对应的子码，完成密码的输入；根据使用者输入的密码对使用者的身份进行认证。使用本发明，在用户的密码认证过程中，可以实现用户操作简单且安全性较高。

Description

一种采用复式密码技术进行认证的方法

技术领域

本发明属于密码安全技术领域，具体涉及一种采用复式密码技术进行认证的方法。

背景技术

当今社会随着计算机技术和互联网的迅猛发展，密码(本文所指密码包括数字、指纹、视网膜、语音以及其它各种识别技术所提取的特征信息，也包括这些特征信息的杂合体。)广泛的应用于我们的生活中。对保护个人隐私和企业秘密以及公私财物有着重要的意义。特别是在一些只在一定范围内交流和发布的信息以及在指定个体之间流动的证券和财物等等，密码更是发挥着难以替代的作用。

目前人们所广泛使用的通过密码进行认证的方案是由使用者和服务机构事先约定一个密码，这个密码一旦约定就不能改变，万一要改变也只有重新约定；在进行密码比对认证时只要密码的使用者能准确无误的输入密码就能通过服务机构的认证。这种方案对使用者来说简单易学，操作方便。因此被广泛的采用。

但是这种认证方式的弊端也是不少，主要表现在：

1、密码设置简单时容易被破译和被猜测出，导致了安全性低；

2、密码设置复杂冗长时容易被忘记。有的使用者为了防止密码被破译将密码设置得复杂冗长，但这样又难记，使用者将密码忘记或记错的事也是很多；

3、由于这种密码方案中密码的固定性，使用者容易在使用的过程中被窥视而泄密。中国专利申请CN02112960.6提供了一种很好的防窥方案，但是这种方案不能解决现有密码方案的其它弊端，而且还增加了操作的复杂性；

4、在这种密码方案中，服务机构只能对密码的真假作出判断，而对密码使用者的身份却不能判断。如果犯罪分子采用暴力或其它手段获取密码使用者的真实密码，那么使用者的财物就有可能受到损失。中国专利申请CN01108566.5针对这一弊端提出一种示警方案，但是在这个方案中要求受害者在受害时提供一个应急密码。由于这个应急密码平时都不使用，而在受害时的情况又很紧张，受害者能记起应急密码并能准确无误地告诉犯罪分子也不是一件易事，因此其放盗防暴效果也不是很好。并且这个方案同样也不能解决现有方案的其它弊端。

如今，一方面人们对密码的使用越来越频繁，另一方面犯罪分子利用密码进行犯罪的案件日益增加。因此提供一个操作简单而且安全性能较高的密码认证方案，不仅是个人或个别团体的事，而是整个社会经济发展的需要。

发明内容

有鉴于此，本发明的目的在于提供一种采用复式密码技术进行认证的方法，以实现对用户的密码进行认证过程中用户操作简单且安全性较高。

本发明的采用复式密码技术进行认证的方法，包括：

A、与密码的使用者约定多个子码，不同的子码对应不同的顺序号，所有子码及其顺序号共同组成复式密码；

B、进行认证时，将所述顺序号的顺序打乱，并将打乱顺序的顺序号提示给使用者；

C、使用者依据提示的顺序号依次输入各顺序号对应的子码，完成密码的输入；

D、根据使用者输入的密码对使用者的身份进行认证。

其中，所述子码采用以下之一或任意组合的形式：数字、文字、字母、颜色、图案、指纹、视网膜、语音、识别技术所提取的特征信息。

较佳的，步骤B所述将打乱顺序的顺序号提示给使用者的方法包括：以隐蔽的方式将打乱顺序的顺序号提示给使用者。

其中，所述隐蔽的方式包括：将打乱顺序的顺序号以短信的方式发送到该使用者的手机上；

或者，预先设定几种顺序号的排列方式，将顺序号当前排列方式对应的种类提示给使用者。

可选的，步骤B进一步包括：使用干扰信息对提示给用户的顺序号进行加以干扰，将干扰信息同时提供给使用者。

其中，所述顺序号和/或干扰信息采用以下之一或任意组合的形式：数字、文字、字母、颜色、图案、声音、语音。

可选的，步骤D所述认证包括：判断使用者输入干扰信息时，则认为认证危险。

可选的，步骤D所述的认证的步骤包括：判断使用者输入的所有子码正确，且符合对应的顺序号时，则认为认证通过；判断使用者输入的所有子码正确，但不符合对应的顺序号时，则认为认证危险；判断使用者输入的子码不完全正确，则认为认证失败。

较佳的，所述认证危险时，进一步包括以下之一或任意组合的步骤：锁定帐户、进行告警、启动相应的安防措施。

由上可以看出，本发明在要求用户输入密码验证时，可以要求用户输入方式进行变化，如根据每次不同的顺序输入密码的各个子码，因此安全性较高，即使用户某次输入的密码被偷窥被盗后，由于下一次再要求输入密码验证时，每个子码的顺序要求与前次不同，因此盗取密码者也无法按照所要求的顺序输入各个子码，可见，相对于现有技术的密码方式安全性有了大大的提高。

另一方面，由于采用了每次输入子码顺序不同的方式保证了安全性，因此由于不需要用户设置和记录很长的密码，使得用户操作变得简单。

不仅如此，将输入子码和输入顺序进行结合，还可以有效的分辨出用户是输出操作错误还是非法用户，使得本发明的防盗和防暴作用也是很显著的。

另外加入干扰码的方式更加提高了安全性，可以避免不法使用者通过干扰顺序号推测出约定顺序号。

附图说明

图1为采用互动复式密码技术进行认证的流程图。

具体实施方式

下面参照图1示出的本发明采用互动复式密码技术进行认证的流程图，对本发明进行详细说明。包括以下步骤：

步骤101：首先密码的使用者和服务机构约定多个相对简单的密码，本文我们称之为子码。同时每个子码也都约定一个对应的顺序号。所有的子码以及其对应的顺序号一起共同组成复式密码。

子码和子码相互之间各自独立，不同子码对应的顺序号相互之间也是各自独立、互不相同。也就是说复式密码是由有几个有顺序号的子码组成，也可以说复式密码按约定的法则分成几个部分，每个部分就是一个子码。可以看出虽然子码相对简单，但是由多个子码组成的复式密码却是比较复杂的，因此它的破译也是较难的。与现有密码方式一样子码以及其顺序号一旦约定就不再改变，因此复式密码也是固定不变的，要想改变也只有重新约定。

步骤102：当需要对使用者进行认证时，采用互动的输入方式，先由服务机构的服务***将所述的顺序号随机打乱，然后以隐蔽的方式提示给使用者。

这里提到的需要对使用者进行认证的情形包括但不限于：用户通过银行柜员机进行操作时的认证情形，或者用户通过因特网进行金融交易时的认证情形，或者用户登录某需要认证的网络的认证情形等，

这里提到的隐蔽的方式指是以仅该用户可以明白的方式。例如，可以是通过向该用户注册的手机发送顺序号的方式。例如，还可以是预先由用户设定几种特定顺序的顺序号，提示用户顺序号时，可以将当前顺序号所采用的种类提示给用户，即提示用户输入第几种的方式进行。

步骤103：使用者在得到提示后，依据提示的顺序号依次输入各顺序号对应的子码完成密码的输入。

由于顺序号的排列是随机多变的，因些尽管复式密码是固定不变的，它的输入方式却是随机多变的，也就是说服务机构每次要求使用者输入的复式密码在形式上都不一定相同。这样在使用者输入密码时如果不慎被偷窥者窥视，偷窥者在不清楚复式密码中各子码的分配方案和各子码对应的顺序号的情况下，想依据当时的提示输入正确的复式密码也是很难的。因此复式密码有很好的防窥功能。

步骤104：在服务机构的服务***接收到使用者输入的密码后，可根据输入的密码的情况在一定程度上对使用者的身份进行甄别和作出相应措施，例如，可以包含下面的方式：

1、输入的所有子码完全正确，并且符合对应的顺序号。这时可以确认输入者为合法的使用者，***可提示使用者进行正常的后续业务。

2、输入的所有子码完全正确，但是不符合对应的顺序号。这时可以认为输入者为危险的使用者，***一旦作出这一判断，就可以立即锁定帐户，同时可以启动相应的安防措施最大限度地保护密码合法使用者的生命和财产的安全。当然这种情况可能是犯罪分子所为也有可能是合法使用者自己输入错误，因此在帐户锁定后***启动的安防措施中也包括允许合法使用者携带有效证件到服务机构作密码的重新的约定。另外服务机构还可以和公安部门联动，为公安部门的取证和侦破甚至抓获犯罪分子提供有利的条件。这一点很是重要，它对犯罪分子的震慑作用远大于互动复式密码自身的安防作用。可以试想当犯罪分子通过绑架或者是其它的手段获得了子码，而使用者把不正确的顺序号给犯罪分子或者是不给他们顺序号。在输入复式密码时由于顺序号在是由服务机构随机提示的，根据排列组合的原理如果犯罪分子大胆尝试成功率是非常低的，相反在很大程度上是暴露身份和被公安部门抓获。因此当本方案被广泛应用，大多数人都知道这一方案时，利用不法手段来获得密码而进行犯罪就会失去意义。由此可见本密码方案的防盗和防暴作用也是很显著的。

3、输入的子码不是完全正确，这时就认为输入者为普通非法使用者。这时***一方面进行一些必要的安防措施以保护合法使用者的合法利益；另一方面向输入者提示输入错误，并允许一定次数的重新输入。当然使用者和服务机构也可以在这个方面事先约定其它更为合适的安防措施，最大限度地保护使用者的利益的同时又能给使用者在不小心输入密码错误时提供改正的机会。

在上述方案的基础上，本发明还有以下进一步的措施：

使用者和服务机构约定子码的顺序号可以用数字表示，也可以是其它便于使用者记忆的非数字的特征信息，比如说文字、字母、颜色、图案、声音和语音等。服务机构在向使用者给出顺序号的提示的时候，除了约定的顺序号之外，还可以用其它的特征信息加以干扰。例如某使用者和服务机构约定一个有四个子码的互动复式密码，这四个子码的顺序号分别是红、黄、蓝、绿。在服务机构给这个使用者提示这四个颜色的色块时，可以在四个色块中分别夹有A、B、C、D四个字母，使用者看到这些提示后，因为没有将字母约定为顺序号，故可以不理睬而直接根据色块的颜色给出对应的子码，同理如果约定的顺序号是A、B、C、D，也可以将它们放在四个色块中提示给使用者。干扰顺序号还可以是两种或者两种以上，比如说在上面的色块中夹有字母A、B、C、D的同时，还夹有数字1、2、3、4。服务机构应注意给出的干扰顺序号不能和约定顺序号之间有可被推测的关联，以防止不法使用者通过干扰顺序号推测出约定顺序号。

使用者和服务机构约定好互动复式密码后，使用者就要将子码以及这些子码对应的顺序号记下来。但是光用脑子记住这些是有一点困难的，本发明采用载体记录的方法解决这一问题，使互动复式密码变得非常好记，记录的载体应便于使用者方便携带，如专用的卡片、电话本、手机等，以便使用者输入密码时取用。具体方法如下：

1、只将子码记录下来而不记录顺序号，这样使用者只需要用脑子记住子码对应的顺序号，输入时可取出记录载体依据记录输入对应的子码就可以了。服务机构应提醒使用者采用这种记录方式，应避免记录子码的自然顺序与约定顺序号的通常排列顺序有相似性，比如将约定顺序号为1(或A)所对应的子码正好记录在第一位；将约定顺序号为2(或B)所对应的子码正好记录在第二位如此等等。为了方便记忆，还可以对记下的子码作一些暗记来暗示对应的顺序号。

2、将子码和对应的顺序号都记录下来，但是必须有一个子码不是约定的子码，本文将这个子码称为干扰码。由干扰码将一个正确的子码隐藏起来并占用这个子码的顺序号，这样使用者就只需记住这个被隐藏的子码及对应的顺序号就可以了。干扰码的设置可以是事先和服务机构约定的，这样使用者一旦输入了干扰码，服务机构的服务***就会认为使用者为危险的使用者而启动相应的安防措施。如果使用者的记忆比较好，干扰码的设置还可以是两个或是两个以上。

上两个方法都没有将互动复式密码完整地记录下来，除了服务机构和密码的合法使用者以外的其它人仅仅凭这个记录也是很难掌握这个密码的。另外在作记录时还可以设一组或一组以上的干扰顺序号，干扰顺序号与约定顺序号不能有可被推测的关联。比如说约定顺序号是A却用数字1来作干扰。这些干扰顺序号应和服务机构有相互的约定，以便服务机构的服务***采用有效的措施防止服务***提示的干扰顺序号和这些干扰顺序号正好一致。这样这些记录载体不慎遗失或者被盗也不会造成泄密。同时当使用者在发现记录载体遗失或被盗后就有足够的时间携带有效证件到服务机构去更改密码或是申请新密码来保护自己的合法利益了。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1、一种采用复式密码技术进行认证的方法，其特征在于，包括：

A、与密码的使用者约定多个子码，不同的子码对应不同的顺序号，所有子码及其顺序号共同组成复式密码；

B、进行认证时，将所述顺序号的顺序打乱，并将打乱顺序的顺序号提示给使用者；

C、使用者依据提示的顺序号依次输入各顺序号对应的子码，完成密码的输入；

D、根据使用者输入的密码对使用者的身份进行认证。

2、根据权利要求1所述的方法，其特征在于，所述子码采用以下之一或任意组合的形式：

数字、文字、字母、颜色、图案、指纹、视网膜、语音、识别技术所提取的特征信息。

3.根据权利要求1所述的方法，其特征在于，步骤B所述将打乱顺序的顺序号提示给使用者的方法采用：

以隐蔽的方式将打乱顺序的顺序号提示给使用者。

4、根据权利要求3所述的方法，其特征在于，所述隐蔽的方式包括：

将打乱顺序的顺序号以短信的方式发送到该使用者的手机上。

5、根据权利要求3所述的方法，其特征在于，所述隐蔽的方式包括：

预先设定几种顺序号的排列方式，将顺序号当前排列方式对应的种类提示给使用者。

6、根据权利要求1所述的方法，其特征在于，步骤B进一步包括：

使用干扰信息对提示给用户的顺序号进行加以干扰，将干扰信息同时提供给使用者。

7、根据权利要求1或6所述的方法，其特征在于，所述顺序号和/或干扰信息采用以下之一或任意组合的形式：

数字、文字、字母、颜色、图案、声音、语音。

8、根据权利要求6所述的方法，其特征在于，步骤D所述认证的步骤包括：

判断使用者输入干扰信息时，则认为认证危险。

9、根据权利要求1所述的方法，其特征在于，步骤D所述认证的步骤包括：

判断使用者输入的所有子码正确，且符合对应的顺序号时，则认为认证通过；

判断使用者输入的所有子码正确，但不符合对应的顺序号时，则认为认证危险；

判断使用者输入的子码不完全正确，则认为认证失败。

10、根据权利要求8或9所述的方法，其特征在于：所述认证危险时，进一步包括以下之一或任意组合的步骤：

锁定帐户、进行告警、启动安防措施。

Images