CN103210607A - 对由web服务器提供的服务的安全注册 - Google Patents

Abstract

为了检查自通信终端（TC）到由web服务器提供的服务的安全注册，web服务器（SW）存储与终端（TC）的IP地址相匹配的动态生成的代码，并且向电子邮件地址传送含有所述代码（CodC）的消息。该地址由用户响应于所述终端到Web服务器的连接而提供。服务器向终端传送能够生成自动测试来区分计算机和人类的应用程序（App）。由用户提供的答案利用终端的IP地址和包含在向电子邮件地址传送的消息之内的代码加密，并且由应用程序直接传送到服务器，该服务器将该答案解密，并与期望的答案进行比较，从而如果解密的答案与期望的答案相匹配，则允许访问Web服务器。

Description

对由WEB服务器提供的服务的安全注册

本发明涉及在电信网络的情境中的访问控制方法，并且更具体地涉及通过旨在将人类与计算机区分的测试来控制识别过程，以便在电信网络内注册由服务器提供的服务。

为了注册由服务器递送的服务，可以要求用户通过测试以便阻止机器人（robots）自动注册。这样的测试可以是“验证码”（“全自动区分计算机和人类的图灵测试”的首字母缩略语）测试，其为辨别计算机和人类的自动的“图灵（Turing）”测试。更具体地，这样的测试可以要求人类对短的文本片段进行解密，该片段的图像受图形噪声污染并变形。

人们已经开发了不同类型的“验证码”测试，例如使用关于图像或难以阅读的文本的问题。然而，黑客们已经开发了自动通过这些测试的工具，例如通过使用文本识别工具、“语音到文本”转换工具以及图像识别算法。

当前存在三种能够用于欺骗“验证码”测试的黑客攻击（hack）：

-通过自动机器人解答，

-通过为该目的而获偿的人类解答；

-通过无意之中借助于黑客网站工作的人解答，该黑客网站通过向那人重传供其解答的“验证码”测试而秘密利用用户。

在最后一种情形中，用户解答“验证码”测试而不知道其正在向黑客网站提供答案，该黑客网站然后可以利用那个答案来注册由服务器递送的服务。

需要对借助于位于用户的终端和终端所连接的服务器间的、可以拦截终端与服务器间的通信的黑客网站执行的此类攻击进行反击。

本发明的一个目的是特别提出一种***来确保安全注册由web服务器提供的服务，所述***能够阻止第三方拦截由用户发送以注册所述服务的、对于旨在区分人类和计算机的测试的答案。

为了实现该目的，一种用于控制电信网络中从通信终端安全注册由web服务器提供的服务的方法包括以下步骤：

响应于通信终端到提示用户提供电子邮件地址的Web服务器的连接，存储作为对通信终端IP地址的匹配的动态生成的代码，并且向由用户提供的电子邮件地址传送含有所述代码的消息；

传送应用程序到通信终端，该通信终端自动安装所接收的应用程序，应用程序能够生成自动测试来区分计算机和人类，而且还能够向Web服务器直接传送所述测试的答案；

解密由用户提供的对于从通信终端传送的并由应用程序生成的测试的答案，所述答案以通信终端的IP地址和包含在向由用户提供的电子邮件地址传送的消息之内的代码加密，以及

将解密的答案与期望的答案进行比较，从而如果解密的答案与期望的答案相匹配，则允许用户访问Web服务器。

有利地，本发明提供一种用来避免黑客攻击的解决方案，该黑客攻击借助于通过向用户重传用户供其解答的“验证码”测试而秘密利用用户的黑客网站，使得可能欺骗“验证码”测试。因而，Web服务器要确保解答“验证码”测试的用户是真正的到网站来意在访问其服务的用户。

根据本发明的另一个特征，所述应用程序可以是可被通信终端的web浏览器执行的程序指令的形式。应用程序由此可以嵌入到允许用户的答案被直接传送到Web服务器的浏览器中。

根据本发明的另一个特征，由应用程序生成的测试可以是“验证码”测试。

根据本发明的另一个特征，Web服务器可以为由应用程序提供的所述测试动态产生参数，并且可以向通信终端传送包括所述参数的应用程序。

根据本发明的另一个特征，Web服务器可以存储作为与通信终端IP地址的匹配的期望的答案，期望的答案依赖于产生的参数。

根据本发明的另一个特征，Web服务器可以向通信终端传送消息以通知用户消息被传送到由用户提供的电子邮件地址。

根据本发明的另一个特征，Web服务器此外可以确认所述答案是从与先前存储作为对生成的代码的匹配的IP地址相同的IP地址传送的。

本发明还涉及用于电信网络中从通信终端安全注册由Web服务器提供的服务的Web服务器，所述Web服务器包括：

用于响应于通信终端到提示用户提供电子邮件地址的Web服务器的连接，存储作为对通信终端IP地址的匹配的动态生成的代码，并且向由用户提供的电子邮件地址传送含有所述代码的消息的部件；

用于传送应用程序到通信终端的部件，所述通信终端自动安装所接收的应用程序，所述应用程序能够生成自动测试来区分计算机和人类，还能够直接向Web服务器传送所述测试的答案；

用于解密由用户提供的对于从通信终端传送的并由应用程序生成的测试的答案的部件，所述答案以通信终端的IP地址和包含在向由用户提供的电子邮件地址传送的消息之内的代码加密，以及

用于将解密的答案与期望的答案进行比较的部件，从而如果解密的答案与期望的答案相匹配，则允许用户访问Web服务器。

所述发明还涉及能够在服务器内实现的计算机程序，不论何时程序在所述服务器内执行，所述程序包括根据本发明方法执行步骤的指令。

本发明及其优点将会在检查下面参照附图的说明的基础上被更好的理解。附图中：

-图1是根据本发明一个实施例的通信***的示意框图。

-图2是根据本发明一个实施例的用于控制终端和服务器间的安全通信的方法的算法。

参照图1，通信***包括至少一个Web服务器SW及一个通信终端TC，以及可能包括一个第三方服务器ST，它们能够在通信网络RT上彼此通信。

电信网络RT可以是有线或无线网络，或者是有线网络和无线网络的结合。

在一个示例中，电信网络RT是高速IP（“因特网协议”）分组网络，例如因特网或内联网。

在一个示例中，通信终端TC是由调制解调器直接链接到xDSL（“数字用户线路”）或ISDN（“综合业务数字网”）链路的个人计算机，xDSL（“数字用户线路”）或ISDN（“综合业务数字网”）链路连接到电信网络RT。

在另一个示例中，通信终端TC是由无线电通信信道链接到电信网络的移动蜂窝无线电通信终端，无线电通信信道例如GSM（“全球移动通信***”）或UMTS（“通用移动通信***”）类。

在另一个示例中，通信终端TC包括电子电信设备或客体（可以是个人数字助理（PDA）或智能电话），能够连接到近程公共无线局域网WLAN（使用802.1x标准的网络）或者使用WIMAX（“全球微波互联接入”）协议的中程网络的接入终端，近程公共无线局域网WLAN或者使用WIMAX协议的中程网络连接到电信网络。

Web服务器SW公布一个或者多个网站，例如在线销售网站或注册用于在线付款的网站。

Web服务器SW包括生成模块GEN、解码模块DEC以及用户接口IU。

在说明书的余下部分，术语模块可以指被配置成执行至少一项特定任务的设备、软件程序或者计算机硬件和软件的结合。

web服务器SW连接到认证数据库BDA，认证数据库BDA集成到服务器SW或者并入通过本地或远程链路连接到服务器SW的数据库管理服务器。

特别是，认证数据库BDA含有关于用户的信息，该信息使得当用户注册时，有可能对该用户以及服务器所期望的答案进行认证。

生成模块GEN提供“验证码”类型的测试应用程序App并且动态生成测试。更特别地，应用程序App是按照能够由web浏览器执行的程序指令的形式，并且生成的测试可以被由浏览器所执行的应用程序解释以便向用户呈现问题。

例如，当用户向由Web服务器SW托管的网站提出注册请求时，模块GEN自动向终端TC传送应用程序，终端TC自动地或可选择地在用户的同意下安装应用程序，然后由浏览器管理所述应用程序，用户借助于所述浏览器直接连接网站。换言之，应用程序App可以被认为是web浏览器的插件（“plug-in”）。

解码模块DEC在数据库BDA中存储由用户提供的电子邮件地址以及用户的终端TC的IP（“因特网协议”）地址。解码模块DEC还在数据库BDA中存储加密代码CodC及对于由模块GEN生成的测试的期望的答案。

解码模块DEC接收用户对于由应用程序App提出的测试的答案，并且确认答案是从与之前所存储的IP地址相同的IP地址传送。模块DEC将接收的答案与数据库BDA中存储的期望的答案进行比较。

可选地，解码模块DEC确认用户注册到网站的时刻与用户传送对于由应用程序提出的测试的答案的时刻间的等待时间。例如，考虑用户需要用来接收包括加密代码CodC的电子邮件并解答“验证码”测试的估计时间，该等待时间可以是两或三分钟。

用户接口IU使用户能够输入其联系信息，例如向网站注册。特别是，提示用户输入Web服务器可以向其传送加密代码的电子邮件地址。

第三方服务器ST是由黑客管理的服务器，用于拦截通信终端TC及Web服务器SW间的通信的目的。

参照图2，根据本发明的一个实施例，用于控制从通信终端安全注册由Web服务器提供的服务的方法包括在通信***内执行的步骤E1到E6。

在步骤E1中，用户经由通信终端TC连接到由Web服务器SW托管的网站。

例如，用户希望向网站注册以便享受由网站提供的服务。

经由用户接口UI，网站提示用户输入其联系信息，特别是电子邮件地址。

解码模块DEC将由用户提供的电子邮件地址以及用户的终端TC的IP地址存储到数据库BDA中。

在步骤E2中，生成模块GEN动态地生成加密代码CodC并将其存储在数据库BDA中作为对用户的IP地址的匹配。生成模块GEN向由用户提供的电子邮件地址发送含有加密代码CodC的消息。

在步骤E3中，生成模块GEN动态地产生用于“验证码”测试的参数Par，并且在数据库BDA中存储对于该测试的期望的答案作为对用户IP地址的匹配，期望的答案依赖于产生的参数。生成模块GEN向通信终端TC传送包括为“验证码”测试生成的参数Par的应用程序App。

生成模块GEN进一步向终端TC传送消息以便通知用户消息已经被传送到由用户所提供的电子邮件地址。所述信息可以在步骤E2或E3的结束处提供给用户。

在步骤E4中，通信终端TC自动地安装所接收的应用程序App，该应用程序App然后由终端的web浏览器管理。

用户受安装的应用程序App邀请检查其电子邮件以便获得包括在所接收消息中的加密代码CodC。用户指示其到服务的访问身份、其相应的口令，而且还被提示借助于与应用程序一起传送的参数Par解答由应用程序App生成的“验证码”测试。

应用程序App利用终端TC的IP地址以及由用户在从电子邮件地址获得后所提供的加密代码CodC对由用户提供的答案进行加密。应用程序App直接向web服务器SW传送加密的答案，所述应用程序具有web服务器的正确的目的地地址且答案是不能发送到第三方服务器的。特别是，位于web服务器上的、答案必须发送到的服务的地址是“硬编码”在应用程序中的。因此，应用程序不是向提供了应用程序（如果黑客网站最先“捕获”到该应用程序，则该应用程序可能成为黑客网站）的实体返回答案，而是“直接”向web服务器上的目的地服务返回答案。

在步骤E5中，解码模块DEC确认加密的答案是从与先前存储作为与生成的代码CodC的匹配的IP地址相同的IP地址传送。解码模块DEC利用数据库BDA中存储的加密代码CodC以及IP地址对加密的答案进行解密。

在步骤E6中，解码模块DEC将解密的答案与数据库BDA中存储的期望的答案进行比较。

如果解密的答案与期望的答案相同，则web服务器SW允许用户注册。

可选地，解码模块DEC确认用户注册到网站的时刻与用户传送对于由应用程序提出的测试的答案的时刻间的等待时间。如果所述等待时间超出预定的时间间隔，则SW不允许用户注册。

因而，黑客借助第三方服务器ST试图拦截通信终端TC与web服务器SW间的通信，其必须是向web服务器SW请求的源端。如果黑客不改变其IP地址，web服务器SW将不接受其已接收的解答，因为用来加密对所述测试的解答的IP地址（用户的IP地址）与web服务器用来解密所述解答的IP地址（黑客的IP地址）不匹配。

此外，在黑客改变其IP地址并以用户的IP地址取代的情况下，例如，当用户连接到web服务器SW，用于传送对于所述测试的解答的应用程序App的执行使得能够在用户和web服务器间进行直接的对话，而不通过黑客的第三方服务器。这是因为含有所述解答的答案的目的地由应用程序加密而黑客不能够拦截到答案。

由于传送给用户的CodC代码，需要阅读含有所述代码的电子邮件的人类行为。此外，所述代码与用户的IP地址一起使用来对“验证码”测试的解答进行加密。因而，如果一个人侦测用户而找到解答，则该解答不能被再利用，因为所述代码和IP地址对那人而言是未知的。

在此描述的本发明涉及一种用于控制从通信终端安全注册由web服务器提供的服务的方法及web服务器。根据本发明的一个实施例，由结合到服务器（例如web服务器SW）的计算机程序的指令确定本发明方法的步骤。当所述程序在服务器内被加载并执行时，所述程序包括执行本发明方法步骤的程序指令。

因此，本发明还适用于计算机程序，特别是在信息介质之上或之内的适合实现本发明的计算机程序。该程序可以使用任何程序语言，并且按照源代码、目标代码或者源代码和目标代码间的中间代码的形式，例如按照部分编译的形式，或者按照实现本发明方法所需的任何其他形式。

Claims (9)

1.一种用于控制电信网络（RT）中从通信终端（TC）安全注册由Web服务器（SW）提供的服务的方法，所述方法包括以下步骤：

响应于通信终端（TC）到提示用户提供电子邮件地址的Web服务器（SW）的连接，存储（E2）动态生成的代码（CodC）作为对通信终端（TC）的IP地址的匹配，并且向由用户提供的电子邮件地址传送含有所述代码（CodC）的消息；

传送（E3）应用程序（App）到通信终端（TC），所述通信终端自动安装所接收的应用程序（App），所述应用程序能够生成自动测试来区分计算机和人类，并且能够直接向Web服务器传送所述测试的答案；

解密（E5）由用户提供的对于从通信终端（TC）传送的并由应用程序（App）生成的测试的答案，所述答案利用通信终端的IP地址和包含在向由用户提供的电子邮件地址传送的消息之内的代码（CodC）进行加密，以及

将解密的答案与期望的答案进行比较(E6)，从而如果解密的答案与期望的答案相匹配，则允许用户访问Web服务器。

2.根据权利要求1所述的方法，其中所述应用程序（App）是按照可被通信终端（TC）的web浏览器执行的程序指令的形式。

3.根据权利要求1或2所述的方法，其中由应用程序（App）生成的测试是“验证码”测试。

4.根据权利要求1至3中任何一项所述的方法，其中web服务器（SW）为由应用程序（App）提供的所述测试动态产生参数（Par），并且向通信终端（TC）传送包括所述参数（Par）的应用程序（App）。

5.根据权利要求4所述的方法，其中web服务器（SW）存储期望的答案作为对于通信终端（TC）的IP地址的匹配，所述期望的答案依赖于产生的参数。

6.根据权利要求1至5中任何一项所述的方法，其中web服务器（SW）向通信终端（TC）传送消息以通知用户消息被传送到由用户提供的电子邮件地址。

7.根据权利要求1至6中任何一项所述的方法，其中web服务器（SW）还确认所述答案是从与先前存储作为对生成的代码（CodC）的匹配的IP地址相同的IP地址传送。

8.一种用于控制电信网络（RT）中从通信终端（TC）安全注册由Web服务器（SW）提供的服务的Web服务器（SW），包括：

用于响应于通信终端（TC）到提示用户提供电子邮件地址的Web服务器（SW）的连接，存储动态生成的代码作为对通信终端（TC）的IP地址的匹配，并且向由用户提供的电子邮件地址传送含有所述代码（CodC）的消息的部件（GEN）；

用于传送应用程序（App）到通信终端（TC）的部件（GEN），所述通信终端自动安装所接收的应用程序（App），所述应用程序能够生成自动测试来区分计算机和人类，并且能够直接向Web服务器传送所述测试的答案；

用于解密由用户提供的对于从通信终端（TC）传送的并由应用程序（App）生成的测试的答案的部件（DEC），所述答案以通信终端的IP地址和包含在向由用户提供的电子邮件地址传送的消息之内的代码（CodC）进行加密，以及

用于将解密的答案与期望的答案进行比较，从而如果解密的答案与期望的答案相匹配，则允许用户访问Web服务器的部件（DEC）。

9.一种能够在用于控制电信网络（RT）中从通信终端（TC）安全注册由Web服务器（SW）提供的服务的Web服务器（SW）中实现的计算机程序，当所述程序在所述web服务器内加载并执行时，所述程序包括执行以下步骤的指令：

响应于通信终端（TC）到提示用户提供电子邮件地址的Web服务器（SW）的连接，存储（E2）动态生成的代码（CodC）作为对通信终端（TC）的IP地址的匹配，并且向由用户提供的电子邮件地址传送含有所述代码（CodC）的消息；

传送（E3）应用程序（App）到通信终端（TC），所述通信终端自动安装所接收的应用程序（App），所述应用程序能够生成自动测试来区分计算机和人类，并且能够直接向Web服务器传送所述测试的答案；

解密（E5）由用户提供的对于从通信终端（TC）传送的并由应用程序（App）生成的测试的答案，所述答案利用通信终端的IP地址和包含在向由用户提供的电子邮件地址传送的消息之内的代码（CodC）进行加密，以及

将解密的答案与期望的答案进行比较(E6)，从而如果解密的答案与期望的答案相匹配，则允许用户访问Web服务器。

Images