CN101350720B - 一种动态密码认证***及方法 - Google Patents

Abstract

本发明提供了一种动态密码认证***，包括应用客户端、移动终端、应用服务器模块、信息认证模块以及短信网关模块。应用服务器模块与应用客户端连接，用于接收用户信息，向信息认证模块发送用户信息和/或认证请求信息，根据信息认证模块反馈的用户认证信息，并提供应用服务。信息认证模块用于根据用户信息对用户的身份进行校验，生成动态密码，将动态密码以及用户移动终端信息发送至短信网关模块，根据认证请求信息进行动态密码认证，并将用户认证信息反馈至应用服务器模块。短信网关模块用于根据用户移动终端信息将动态密码发送至移动终端。本发明还提供了一种动态密码认证方法。本发明不需要定期进行时间同步维护，具有灵活性及安全性。

Description

一种动态密码认证***及方法

技术领域

本发明涉及一种认证***，特别是一种动态密码认证***，属于信息安全领域。 

背景技术

为保证通信的保密性和完整性，数据在互联网上传输之前经常对用户的身份进行认证，一般来说，大多数对用户身份的确认是通过用户名和固定的密码实现的。该技术采用用户名加静态密码方式进行***认证，***提供用户名和静态密码的数据库，用户在访问***时，输入用户名和密码，然后登录***，如果用户名和密码正确，用户登录***成功；如果用户名或密码错误，提示登录***失败。 

对用户而言，由于密码是***认证的唯一途径，所以用户必须时刻牢记自已的密码，并且要保护自已的密码不能让别人窃取，一旦密码忘记或被窃取，将会给用户带来严重影响。然而，静态密码又容易被窃或被黑客随处可得的破解工具破译，某些软件可以自动完成猜测密码的工作，更糟糕的是，某些特定的单词，如“password”或“ok”等，经常被用做密码。因此用户需定期的进行密码修改，增强密码信息的复杂性等操作，以之来提高密码的安全性。这样一来，静态密码的安全性即不能得以保障，同时维护起来又很麻烦。 

因此，对密码保护的最好办法就是不采用固定密码，采用动态密码，俗称一次一密，每个密码只能用一次，每次的有效时间只有很短的时间。 

现有的动态密码技术，主要是采用动态Token认证方式。 

动态Token认证技术采用Token认证服务器加动态Token的方式进行系 统认证，用户在登录时，需要输入个人身份识别码(PIN码)和动态Token卡上的显示的动态密码到服务器上进行认证，动态Token卡产生的密码是随着时间不断变化的，并且因为时钟与服务器保持同步，因此服务器能验证动态密码，准许用户登录。 

该技术的缺点是成本较高，且需要有专人来进行服务器的维护，须定期进行Token卡与Token服务器进行时间同步。 

发明内容

本发明要解决的技术问题是：克服上述现有动态密码认证方法存在的缺陷，使动态密码认证不需要定期进行时间同步维护。 

为实现以上目的，本发明提供了一种动态密码认证***，包括：处于网络中的应用客户端、移动终端、应用服务器模块、信息认证模块以及短信网关模块； 

所述应用服务器模块与应用客户端、信息认证模块连接，用于接收用户信息，向信息认证模块发送用户信息和认证请求信息，并当信息认证模块反馈的用户认证信息是用户认证正确的信息时，提供应用服务； 

所述信息认证模块与应用服务器模块和短信网关模块连接，用于根据用户信息对用户的身份进行校验，生成动态密码，将所述动态密码以及用户移动终端信息发送至所述短信网关模块，根据认证请求信息进行动态密码认证，并将用户认证信息反馈至应用服务器模块；其中，所述用户移动终端信息存储在所述信息认证模块内； 

所述短信网关模块与所述信息认证模块、所述移动终端连接，用于根据所述用户移动终端信息将所述动态密码发送至移动终端。 

信息认证模块包括：用户认证模块、动态密码管理模块； 

动态密码管理模块与用户认证模块连接，用于接收来自应用服务器模块的用户信息和认证请求信息，并将用户信息发送至用户认证模块，根据来自用户认证模块的校验结果以及用户移动终端信息生成动态密码，将所述动态密码以及所述用户移动终端信息发送至所述短信网关模块，根据认证请求信息进行动态密码认证，并将用户认证信息反馈至应用服务器模块；所述动态密码管理模块还包括短信接收模块；短信接收模块与用于接受来自移动终端的自动认证短信，并根据自动认证短信查询动态密码存储模块，更新相应的认证回复标识；当***检测到该认证回复标识后，则视为用户已通过认证，自动执行相应的用户登录程序。 

本发明还提供了一种动态密码认证方法，包括以下步骤： 

步骤1、根据用户信息对进行用户身份校验，判断校验结果是否为正确，是，执行步骤2，否则，返回错误信息，结束； 

步骤2、根据用户信息查询对应的移动终端信息，并生成动态密码； 

步骤3、根据所述移动终端信息，将所述动态密码发送至移动终端。信息认证模块包括：用户认证模块、动态密码管理模块； 

步骤3之后还包括： 

步骤4b1、接收来自移动终端的自动认证短信； 

步骤4b2、根据所述自动认证短信更新认证回复标识； 

步骤4b3、检测所述认证回复标识是否更新，是，则视为用户已通过认证，发送指示向应用服务器模块发送应用服务提供指令，自动执行相应的用户登录程序，否则，返回错误信息，结束。 

附图说明

图1为本发明动态密码认证***的实施例一的结构图； 

图2为本发明动态密码认证***的实施例二的结构图； 

图3为本发明动态密码认证方法的实施例的流程图； 

图4为本发明动态密码认证方法实施例的一种实现方式示例图。 

具体实施方式

本发明动态密码认证***的实施例一： 

为实现本发明，首先需要建立一种动态密码认证***，如图1所示，包括： 

处于网络中的应用客户端、移动终端、应用服务器模块、信息认证模块以及短信网关模块。 

应用服务器模块与应用客户端、信息认证模块连接，用于接收用户信息，向信息认证模块发送用户信息和/或认证请求信息，根据信息认证模块反馈的用户认证信息，并提供应用服务。信息认证模块与应用服务器模块和短信网关模块连接，用于根据用户信息对用户的身份进行校验，生成动态密码，将所述动态密码以及用户移动终端信息发送至所述短信网关模块，根据认证请求信息进行动态密码认证，并将用户认证信息反馈至应用服务器模块。短信网关模块与所述信息认证模块、所述移动终端连接，用于根据所述用户移动终端信息将所述动态密码发送至移动终端。 

在本实施例中的移动终端一般来说，是连接在无线网络中的移动设备，如手机。应用客户端可以通过计算机硬件或软件的方式实现，应用服务器模块 也可以采用计算机硬件或软件的方式实现。应用客户端和应用服务器模块之间的连接，可以使用客户端-服务器(Client/Server)结构，也就是通常简称的C/S结构。应用服务器模块为应用客户端提供各种应用服务，并且是基于身份认证的应用服务，只有当应用客户端的使用者通过身份认证后，才可以使用应用服务器模块提供的相应服务。 

通常的情况是，用户在应用客户端请求登录。应用服务器获得来自应用客户端的用户名等信息后，向信息认证模块发送用户信息。信息认证模块根据上述用户信息，查询用户是否合法，如果合法，则生成一个动态密码，并将该动态密码以及用户移动终端信息(用户移动终端信息与用户信息对应，一般来说是一一对应，存储在信息认证模块内，用户移动终端信息可以是用户的手机号)发送至短信网关模块，短信网关模块根据用户移动终端信息，将动态密码发送到移动终端。用户在阅读了移动终端接收到的动态密码短信后，使用该动态密码在应用客户端登录，应用客户端向信息认证模块发送或认证请求信息，信息认证模块核对用户提供动态密码的动态密码是否正确，是，则允许用户登录，用户获得应用服务器提供的应用服务。 

由于利用了现有的无线通信网络以及移动终端，实时的将动态密码传送至用户持有的移动终端，使动态密码认证不需要定期进行时间同步维护。并且，用户采用手机等移动终端为实时接收动态密码的工具，不需要依赖于固定的Token卡，更具灵活性。并且，由于采用已有的移动终端、不需要时间同步维护等原因，本实施例提供的动态密码认证***相较现有的Token卡技术，成本更低廉，利于大规模应用。 

本发明动态密码认证***的实施例二： 

在实施例一的基础上，如图2所示，本发明的动态密码认证***的认证信息模块包括：用户认证模块、动态密码管理模块。 

用户认证模块用于根据用户信息进行用户身份校验，并将校验结果正确以及用户移动终端信息发送至动态密码管理模块，或将校验结果错误发送至应 用服务器模块。动态密码管理模块与用户认证模块连接，用于接收来自应用服务器模块的用户信息和/或认证请求信息，并将用户信息发送至用户认证模块，根据来自用户认证模块的校验结果以及移动终端信息生成动态密码，将所述动态密码以及所述用户信息发送至所述短信网关模块，根据认证请求信息进行动态密码认证，并将用户认证信息反馈至应用服务器模块。 

即将动态密码的生成和用户认证的功能分担到两个模块上，以减小***负担，适应大型认证***的需求，加快用户认证以及动态密码生成的速度。 

进一步的，动态密码管理模块还可以包括动态密码生成模块、动态密码存储模块、短信发送模块。 

动态密码生成模块与动态密码存储模块以及短信发送模块连接，用于接收来自应用服务器模块的用户信息，并将用户信息发送至用户认证模块，根据来自用户认证模块的校验结果生成动态密码。动态密码存储模块用于存储动态密码生成模块生成的动态密码，接受来自应用服务器模块的认证请求信息，根据认证请求信息进行动态密码认证；短信发送模块用于将所述动态密码以及用户移动终端信息发送至短信网关模块。 

上述三个模块均可以采用硬件或软件的方式实现，分工协作，完成动态密码的生成、存储、认证、以及发送工作。 

为增加***吞吐量，也使得更多的移动终端使用者可以使用本发明的动态密码认证***，本实施例中包括的短信网关可以是多个短信网关。相应的，本实施例中，动态密码管理模块中还包括网关接口服务模块。网关接口服务模块用于短信分发到相应的短信网关。 

本发明动态密码认证***的实施例三： 

在实施例一或二的基础上，本发明动态密码认证***的应用服务器模块包括客户端信息接口模块、身份验证模块以及应用服务模块。 

客户端信息接口模块与身份验证模块以及应用服务模块连接，用于接收来 自应用客户端的用户信息。身份验证模块与应用服务模块连接，用于向信息认证模块发送用户信息和/或认证请求信息，根据信息认证模块反馈的用户认证信息向应用服务器模块发送应用服务提供指令。应用服务模块用于根据应用服务提供指令，提供应用服务。 

现有的技术中，应用服务器在提供基于身份认证的应用服务时，往往需要相应的认证***，以校验用户的真实身份(也就是本实施例中，信息认证模块、短信网关模块、移动终端模块协同完成的校验工作)，这种对应是一对一的，也就是一套应用服务对应一套认证服务。在本发明中，应用服务器模块可以为多个，也就是说，多套应用服务可以只采用一套认证***完成用户身份校验的工作，以此优化***配置，进一步降低***成本。并且，本***是基于无线网络中的移动终端进行身份校验的，适用于各种需要身份校验的应用服务，更具有灵活性。只需要***中的各应用服务器模块配置相应的接口，即可实现身份的校验。 

在本实施例中，采用身份验证模块与信息认证模块连接，向信息认证模块发送用户信息和/或认证请求信息，接收信息认证模块反馈的用户认证信息。如果信息认证模块反馈的用户认证信息是用户认证正确的信息时，身份验证模块向应用服务器模块发送应用服务提供指令，应用服务模块用于根据应用服务提供指令，提供应用服务。而客户端信息接口模块则是用于接收来自应用客户端的用户信息，实现与用户的交互。 

本发明动态密码认证***的实施例四： 

在以上实施例三的基础上，动态密码管理模块还包括短信接收模块。短信接收模块与用于接受来自移动终端的自动认证短信，并根据自动认证短信查询动态密码存储模块，更新相应的认证回复标识。 

因此，在本实施例中，动态密码认证***还可以支持回复短信自动认证的功能。也就是说用户收到动态密码后，回复自动认证短信，动态密码管理模块接收到自动认证回复短信后，更新动态密码存储模块中用户相应的认证回 复标识。当***检测到该认证回复标识后，则视为用户已通过认证，自动执行相应的用户登录程序。 

在应用服务器模块中还可以包括认证检测模块。该认证检测模块与身份验证模块连接，用于监测认证回复标识，根据所述认证回复标识指示身份验证模块向应用服务器模块发送应用服务提供指令。也就是说，认证检测模块监测认证回复标识，一旦发现用户的认证回复标识更新，即实现用户的自动登录。 

本发明动态密码认证方法的实施例： 

本发明还提供了一种动态密码认证方法的实施例，如图3所示，包括如下步骤： 

步骤1、根据用户信息对进行用户身份校验，判断校验结果是否为正确，是，执行步骤2，否则，返回错误信息，结束； 

步骤2、根据用户信息查询对应的移动终端信息，并生成动态密码； 

步骤3、根据所述移动终端信息，将所述动态密码发送至移动终端。 

其中，身份校验，可以通过检查用户提供的用户信息(可以是用户名或者用户ID等信息)是否在用户列表中实现。因此，步骤1可以具体为：根据用户信息查询用户列表，判断中用户列表是否存在所述用户信息，是，则判定校验结果正确，执行步骤2，否则，返回错误信息，结束。 

***对生成的动态密码进行存储，以方便管理，也利于在用户发送认证请求信息时供查询使用。因此，步骤2之后还可以包括：步骤21、保存所述动态密码，并建立所述动态密码与所述用户信息的对应关系。 

在本实施例中，用户的接收终端为移动终端，特别是手机时，动态密码可以以为短信为载体通过无线网络发送给用户，因此，动态密码的发送需要经过短信网关，相应的，步骤3也就可以包括： 

步骤31、将所述动态密码以及所述移动终端信息发送至短信网关模块； 

步骤32、短信网关模块根据所述移动终端信息将所述动态密码发送至移 动终端。 

当用户通过移动终端获得动态密码后，可以使用该动态密码通过身份认证，进行用户登录，因此，步骤3之后可以包括： 

步骤4、判断认证请求信息是否正确，是，则发送用户认证正确的信息，否则，发送用户认证错误的信息。 

在认证***收到用户的认证请求信息后，判断该认证请求信息是否正确，正确则通知应用服务器模块允许用户登录，否则，返回错误信息。用户通过应用客户端提供的认证请求信息中最少需要包括动态密码，或者该动态密码的hash值等由动态密码唯一确定的值(因此，上述信息通称为动态密码信息)。在判断认证请求信息是否正确时，可以通过判断用户认证请求信息中包括的动态密码信息，和由***存储的动态密码所获得的动态密码信息，是否一致来确认。 

因此，步骤4可以包括： 

步骤41、接收认证请求信息，提取认证请求信息中包含的动态密码信息； 

步骤42、查询所述认证请求信息中包含的用户信息是否与所述动态密码信息对应，是，则执行步骤43，否则，执行步骤44； 

步骤43、发送用户认证正确的信息； 

步骤44、发送用户认证错误的信息。 

另外，为进一步提高本发明动态密码认证方法的保险系数，可以结合用户使用的应用客户终端的MAC地址对用户身份进行确认，而非单纯的采用动态密码。因此，步骤4可以包括： 

步骤41b、接收认证请求信息，提取认证请求信息中包含的动态密码信息、应用客户端MAC地址； 

步骤42b、查询所述认证请求信息中包含的用户信息是否与所述动态密码信息以及所述应用客户端MAC地址对应，是，则执行步骤43b，否则，执行步骤44b；

步骤43b、发送用户认证正确的信息； 

步骤44b、发送用户认证错误的信息。 

也就是说，只有当用户采用某固定的应用客户终端请求身份认证时，才可以使用应用服务器模块提供的相应服务。这种认证实施方式对于安全系数要求很高的金融、政府机关等来说更加安全可靠。 

另外，在本实施例中，还可以支持短信回复自动认证，也就是说用户在移动终端接收到动态密码以后回复短信，而不需要使用应用客户端进行身份认证(一般来说，采用传统的页面登录式身份认证)，***即可为用户提供自动登录服务，更加方便、快捷的为用户提供了身份认证。因此，步骤3之后可以包括： 

步骤4bl、接收来自移动终端的自动认证短信； 

步骤4b2、根据所述自动认证短信更新认证回复标识； 

步骤4b3、检测所述认证回复标识是否更新，是，则发送指示向应用服务器模块发送应用服务提供指令，否则，返回错误信息，结束。 

另外，为防止用户移动终端丢失而产生的不安全的隐患，进一步提高本实施例的安全性，用户可以预先设定收到动态密码后需要回复的内容，比如以“888888”为设定短信内容。也就是说，在本实施中，只有当移动终端收到动态密码后，认证***接收到的短信回复内容与用户预先设定的短信内容一致时，才允许用户登录，因此，本实施例在实现便捷快速的自动登录时，进一步的提高了安全系数。所以，在本实施例中，步骤4b2具体为：判断所述自动认证短信内容是否为设定短信内容，是，则更新认证回复标识，否则，返回错误信息。 

本实施例一个较为典型的实现流程，其中，用户通过页面的方式登录应用服务服务器，如图4所示，包括以下步骤： 

①用户打开***登录页面输入登录用户名； 

②将用户认证请求发送给动态密码管理模块；

③动态密码管理模块根据用户名到用户认证模块做身份校验； 

④如果该用户名在用户认证模块中不存在则返回错误到前台页面； 

⑤如果该用户名在用户认证模块中存在，返回该用户的手机号码到动态密码管理模块； 

⑥动态密码管理模块生成一次性动态密码； 

⑦将动态密码发送至短信网关模块； 

⑧短信网关模块把动态密码以短信的方式发送到用户手机上； 

⑨用户收到短信后可以选择回复短信(回复预先设定的短信内容)或直接手工在页面上输入动态密码进行***登陆； 

⑩用户登录***成功。 

最后应说明的是：以上实施例仅用以说明本发明的技术方案而非对本发明的技术方案进行限制，尽管参照上述的实施例对本发明进行了详细说明，本领域的普通技术人员应当理解：依然可以对本发明的技术方案进行修改或者等同替换，而这些修改或替换依然不脱离本发明技术方案的精神和范围。

Claims (9)

1.一种动态密码认证***，包括处于网络中的应用客户端、移动终端，其特征在于：还包括：应用服务器模块、信息认证模块以及短信网关模块；所述应用服务器模块与应用客户端、信息认证模块连接，用于接收用户信息，向信息认证模块发送用户信息和认证请求信息，并当信息认证模块反馈的用户认证信息是用户认证正确的信息时，提供应用服务；

所述信息认证模块与应用服务器模块和短信网关模块连接，用于根据用户信息对用户的身份进行校验，生成动态密码，将所述动态密码以及用户移动终端信息发送至所述短信网关模块，根据认证请求信息进行动态密码认证，并将用户认证信息反馈至应用服务器模块；其中，所述用户终端信息存储在所述信息认证模块内；

所述短信网关模块与所述信息认证模块、所述移动终端连接，用于根据所述用户移动终端信息将所述动态密码发送至移动终端；

信息认证模块包括：用户认证模块、动态密码管理模块；

动态密码管理模块与用户认证模块连接，用于接收来自应用服务器模块的用户信息和认证请求信息，并将用户信息发送至用户认证模块，根据来自用户认证模块的校验结果以及用户移动终端信息生成动态密码，将所述动态密码以及所述用户移动终端信息发送至所述短信网关模块，根据认证请求信息进行动态密码认证，并将用户认证信息反馈至应用服务器模块；所述动态密码管理模块还包括短信接收模块；短信接收模块用于接受来自移动终端的自动认证短信，并根据自动认证短信查询动态密码存储模块，更新相应的认证回复标识；当***检测到该认证回复标识后，则视为用户已通过认证，自动执行相应的用户登录程序。

2.根据权利要求1所述的动态密码认证***，其特征在于：

用户认证模块用于根据用户信息进行用户身份校验，并将校验结果正确以及用户移动终端信息发送至动态密码管理模块，或将校验结果错误发送至应用服务器模块。 

3.根据权利要求1所述的动态密码认证***，其特征在于：所述应用服务器模块包括客户端信息接口模块、身份验证模块以及应用服务模块；

所述客户端信息接口模块与身份验证模块以及应用服务模块连接，用于接收来自应用客户端的用户信息；

所述身份验证模块与应用服务模块连接，用于向信息认证模块发送用户信息和认证请求信息，根据信息认证模块反馈的用户认证信息向应用服务模块发送应用服务提供指令；

所述应用服务模块用于根据应用服务提供指令，提供应用服务。

4.根据权利要求1、2或3所述的动态密码认证***，其特征在于：应用服务器模块为一个或多个。

5.根据权利要求2所述的动态密码认证***，其特征在于：动态密码管理模块还包括动态密码生成模块、动态密码存储模块、短信发送模块；

所述动态密码生成模块与动态密码存储模块以及短信发送模块连接，用于接收来自应用服务器模块的用户信息，并将用户信息发送至用户认证模块，根据来自用户认证模块的校验结果生成动态密码；

所述动态密码存储模块用于存储动态密码生成模块生成的动态密码，接受来自应用服务器模块的认证请求信息，根据认证请求信息进行动态密码认证；所述短信发送模块用于将所述动态密码以及用户移动终端信息发送至短信网关模块。

6.根据权利要求5所述的动态密码认证***，其特征在于：动态密码管理模块中还包括网关接口服务模块；

所述网关接口服务模块与短信发送模块连接，用于将来自短信发送模块的动态密码以短信的方式发送至短信网关模块。

7.根据权利要求3所述的动态密码认证***，其特征在于：应用服务器模块还包括认证检测模块； 

所述认证检测模块与身份验证模块连接，用于监测认证回复标识，根据所述认证回复标识指示身份验证模块向应用服务模块发送应用服务提供指令。

8.一种动态密码认证方法，其特征在于：包括如下步骤：

步骤1、根据用户信息对进行用户身份校验，判断校验结果是否为正确，是，执行步骤2，否则，返回错误信息，结束；

步骤2、根据用户信息查询对应的移动终端信息，并生成动态密码；

步骤3、根据所述移动终端信息，将所述动态密码发送至移动终端；

步骤3之后还包括：

步骤4b1、接收来自移动终端的自动认证短信；

步骤4b2、根据所述自动认证短信更新认证回复标识；

步骤4b3、检测所述认证回复标识是否更新，是，则视为用户已通过认证，发送指示向应用服务器模块发送应用服务提供指令，自动执行相应的用户登录程序，否则，返回错误信息，结束。

9.根据权利要求8所述的动态密码认证方法，其特征在于：步骤4b2具体为：

判断所述自动认证短信内容是否为设定的短信内容，是，则更新认证回复标识，否则，返回错误信息。

Images