CN104091134A - 一种兼顾安全与便捷的密码输入方法 - Google Patents

Abstract

本发明公开了一种兼顾安全与便捷的密码输入方法，包括1）判断出当前输入焦点所在的输入框为密码输入框；2）获取设备特征或环境特征；3）获取用户输入的原始密码；4）根据所述步骤2）获取的设备特征或环境特征，以及所述步骤3）获取的用户输入的原始密码，通过特定算法计算出高强度密码；5）将所述步骤4）运算出的高强度密码填入经所述步骤1）判断的密码输入框中。本发明所述的一种兼顾安全与便捷的密码输入方法，用户输入简单密码，得到高强度密码；一方面方便记忆，以此达到密码输入与记忆的便捷性；另一方面，又满足了应用程序对高安全密码的要求，提高程序应用的安全性，达到便捷与安全兼具的目的。

Description

一种兼顾安全与便捷的密码输入方法

技术领域

本发明涉及一种兼顾安全与便捷的密码输入方法，属于网络安全技术领域。

背景技术

目前，大多数的互联网应用程序，不管是在个人电脑上、手机上还是平板电脑上，都需要使用者输入账号和密码进行授权访问。通常用户在使用电子邮箱、社交媒体、甚至网上购物等互联网应用程序时，必须要先注册账号和密码；其中密码设置得恰当与否事关账号的安全程度；一般密码长度越长，密码字符构成分布越随机，密码强度就越强，账号也就越安全。不过高强度密码也有它的弱点，强度越高的密码，用户记忆的难度也就越大，遗忘的概率也就越高。

不同的互联网应用程序对密码的强度要求不同，通常程序A认可的密码在程序B中无法通过强度测试，这就要求用户对程序A和程序B使用不同的密码强度设置；这虽然增强了用户账户的安全性，但是大大增加了用户的记忆负担，也大大增加了遗忘密码的概率。在实际情况中，用户往往选择容易记住同时能满足互联网应用最低要求的简单密码；而这种简单密码，很容易被不法黑客，利用字典、彩虹表等方式轻易破译，使得用户的网络安全受到严重威胁。现有技术提供的一些技术方案能将用户的复杂密码记住，在用户使用互联网应用时，自动填写密码，不需要用户记忆高强度密码；从表面上看，这些技术方案似乎解决了密码记忆的问题，但这种技术方案的实施与上网设备紧密绑定，一旦上网设备遗失，或者未经授权被被非法使用，就有可能对用户的网络安全构成隐患。

发明内容

本发明正是针对现有技术存在的不足，提供一种兼顾安全与便捷的密码输入方法，使使用者在访问应用程序输入密码时，能够实现记忆便捷与网络安全兼顾的效果。

为解决上述问题，本发明所采取的技术方案如下：

一种兼顾安全与便捷的密码输入方法，包括以下步骤：

1）判断出当前输入焦点所在的输入框为密码输入框；

2）获取设备特征或环境特征；

3）获取用户输入的原始密码；

4）根据所述步骤2）获取的设备特征或环境特征，以及所述步骤3）获取的用户输入的原始密码，通过特定算法计算出高强度密码；

5）将所述步骤4）运算出的高强度密码填入经所述步骤1）判断的密码输入框中。

显而易见地，所述步骤2）和3）之间无先后顺序。

作为上述技术方案的优选，所述设备特征或环境特征包括：硬件序列号、应用程序名称和应用程序对密码的约束。

作为上述技术方案的优选，所述步骤2）具体包括以下步骤：

21）获取应用程序名称；

22）根据应用程序名称判断是否有保存的设备特征或环境特征；

23）获取硬件序列号；

24）获取应用程序对密码的约束； 

25）保存设备特征或环境特征；

26）提供设备特征或环境特征；

如果所述步骤22）判断有保存的设备特征或环境特征，则直接执行步骤26），无需再执行步骤23）、24）和25）；如果所述步骤22）判断无保存的设备特征或环境特征，则执行步骤23）、24）和25）后再执行步骤26）。

所述应用程序对密码的约束包括：长度，是否有特殊字符等。且显而易见地，所述步骤23）和24）之间无先后顺序。

作为上述技术方案的优选，所述步骤4）具体包括以下步骤：

41）将所述步骤21）获取的应用程序名称、所述步骤23）获取的硬件序列号、所述步骤3）获取的原始密码进行任意组合以得到密码串；

42）将所述步骤41）得到的密码串通过特定算法计算出待调整高强度密码；

43）根据所述步骤24）获取的应用程序对密码的约束，对所述步骤42）得到的待调整高强度密码进行调整，得到最终的高强度密码。

作为上述技术方案的优选，所述特定算法为HASH算法。进一步优选地，所述HASH算法为HMAC、SHA256、SHA512、RipeMD、WHIRLPOOL、SHA3、PBKDF2、bcrypt、scrypt中的任意一种算法或多种算法的任意组合。

作为上述技术方案的优选，所述步骤3）具体包括以下方式：a）用户用输入法输入原始密码，或者b）用户用手势轨迹输入原始密码，或者c）用户用语音输入的方式输入原始密码，或者d）用户用图片或拍照的方式输入原始密码，或者a）、b）、c）、d）的任意组合。

上述技术方案可以应用于移动终端中，所述移动终端可以包括有触摸屏幕；则所述“获取用户输入的原始密码”的具体方式可以为：用户用输入法输入密码；弹出手势轨迹输入界面，用户用手指在屏幕上移动，其手势轨迹形成密码；弹出语音输入界面，用户通过语音内容形成密码；弹出视频录制或照片拍摄界面，用户通过录制或拍摄内容形成密码。

作为上述技术方案的优选，所述步骤5）具体包括以下步骤：

51）判断密码输入框的内容是否为空； 

52）将密码输入框的内容清空；

53）将所述步骤4）运算出的高强度密码填入密码输入框中；

如果所述步骤51）判断密码输入框的内容为空，则直接执行步骤53），无需再执行步骤52）；如果所述步骤51）判断密码输入框的内容不为空，则执行步骤52）后再执行步骤53）。

本发明与现有技术相比较，本发明的实施效果如下：

本发明所述的一种兼顾安全与便捷的密码输入方法，用户输入简单密码，得到高强度密码；一方面方便记忆，同时提供多种简单密码输入方式，如手势输入、声音输入、视频图像输入等，以此达到密码输入与记忆的便捷性；另一方面，又满足了应用程序对高安全密码的要求，提高程序应用的安全性，达到便捷与安全兼具的目的。

而且本发明只存储设备特征或环境特征，既不保存原始密码，也不保存最终的高强度密码；如果智能设备被他人获得，即使读取了设备特征或环境特征，通过程序反编译技术，获取了原始密码到高强度密码的加密算法，但由于无法获得用户输入的原始密码，也就无法计算出正确的高强度密码；因此，即使手机、平板电脑或其它的智能设备被非法读取或破解，也不会泄漏用户的密码，使程序的应用在安全性上又多了一重保护。

附图说明

图1为本发明实施例提供的一种兼顾安全与便捷的密码输入方法的流程图；

图2为本发明实施例提供的手势轨迹输入界面设计图；

图3为本发明实施例提供的获得设备特征或环境特征的流程图；

图4为本发明实施例提供的计算高强度密码的流程图。

具体实施方式

下面将结合具体的实施例来说明本发明的内容。

如图1所示，为本实施例提供的一种兼顾安全与便捷的密码输入方法的流程图，本实施例提供的一种兼顾安全与便捷的密码输入方法可以包括以下步骤：

s101：判断当前被激活的输入框是否是密码输入框。一般而言，互联网应用在三个地方需要输入密码：注册、登录和修改密码。不管是哪个地方，都需要密码输入框才能输入密码。检查输入框是否是密码输入框；如果确实是密码输入框，则执行s102、s103/s104/s105/s106、s107、s108；否则结束。s103/s104/s105/s106 四者只能选择其一执行。输入框都有输入类型的属性，一般包括文本、密码等，在移动设备上，甚至包括电话号码、电子邮件地址等。通过检查输入框的属性，就可以得知当前输入框是否是密码输入框。只有密码输入框才满足本发明实施例的执行要求，其它类型的输入框一律跳过。

s102：获得设备特征或环境特征。具体的，设备特征或环境特征包括：硬件的序列号、应用程序名称、应用程序对密码的要求，其中应用程序对密码的要求可以是长度、是否允许特殊字符的组合等。在移动终端上，硬件序列号和应用程序名称可由操作***提供。不同的应用程序对密码的要求千差万别：有的要求最大长度不能超过16位，有的允许最大长度达到32位；有的必须要有特殊字符，有的只允许字母和数字的组合；因此需要对每个应用程序区别对待。

s103：让用户用输入法输入原始密码。原始密码只有一个要求，简单好记。用户可以在所有的应用程序中使用同一个原始密码，本发明给每个应用程序计算出的高强度密码都不一样。比如在微博客户端中，用户输入原始密码“1”，所得高强度密码可能是“b+gRaPTLiQzRi2NNMjrU2lB3Nu”；在微信客户端中，用户输入的还是“1”，而得到的高强度密码则可能是“E7Pf4hueVk6G6yWuTMtOTJ/6Rw”。这样就兼顾了安全和便捷。

s104：让用户用手势轨迹输入原始密码。移动终端设备因屏幕尺寸受限，或使用场景受限，无法单手用输入法顺利输入原始密码。此时用手势轨迹输入界面，用户只需用单个手指（在手机上可以单手握住手机，用拇指来操作）在屏幕上完成任意的手势轨迹，即可输入原始密码。

s105：让用户用语音输入的方式输入原始密码。这适用于某些无法使用单手或双 手输入的场景。移动终端内置的语音识别软件，将用户的语音识别为特定字符串，以此作为原始密码。

s106：让用户用图片或拍照的方式输入原始密码。典型的，用户自拍或者拍摄某些特定物体，移动终端用特殊的算法，统计图片中的特征向量，用特征向量作为原始密码。特征向量可以是物体的外观特征、或者人像的面部构成特征等等。

s107：用原始密码和设备特征或环境特征通过特定算法来计算高强度密码。特定算法可以采用安全的哈希函数，充分提升密码的安全强度。哈希算法是一个单向函数。它可以将任何大小的数据转化为定长的“指纹”，并且无法被反向计算。另外，即使数据源只是非常小的改动，哈希的结果也会完全不同。

s108：生成的高强度密码自动填写到密码输入框中。如果密码输入框不为空，则先清空输入框的内容，再将高强度密码填写到密码框中，确保用户输入的原始密码不被泄漏。

如图2所示，本实施例提供了手势轨迹输入界面设计图。手势轨迹输入界面采用9宫格的方式布置了9个可以连接的点。用户可以从任意一个点开始，以任意的轨迹，连接其中至少5个点。每个点都可以被连接多次，因此输入轨迹的多样性非常高，能够满足用户的需要。每个点代表一段字符，9个点代表的字符串按顺序拼接起来可以是设备特征或环境特征中的硬件序列号，而并非仅仅只能是简单的 1、2、3、4、5、 6、7、8、9；输入轨迹的每个点的内容拼接起来也就是原始密码的内容。

如图3所示，为本实施例提供的获得设备特征或环境特征的流程图，所述获得设备特征或环境特征的流程为图1中密码输入主流程的子流程，本实施例提供的获得设备特征或环境特征的方法包括以下步骤：

s201：获取应用程序名称。获取后执行s202。本实施例需要用应用程序名称来保存设备特征或环境特征；也需要应用程序名称参与密码的计算。这样可以实现在同一台设备中，相同的原始密码，不同的应用程序，运算出的高强度密码也不同。这样即使不法黑客用某种手段（比如：暴力破解，彩虹表等），破解了一种互联网客户端程序在服务器端的密码（这个密码只能是计算出来的高强度密码，原始密码在服务器端是无法破解的），那么对其它的互联网客户端程序在服务器端的密码也是无用的，不法黑客只能再次选择暴力破解。

s202：根据应用程序名称判断是否有保存的设备特征或环境特征。如果有保存的设备特征或环境特征，则执行s206；否则执行s203、s204、s205、s206。

s203：获取硬件序列号。移动设备的硬件序列号可以通过操作***获取。硬件序列号要参与密码的计算，这样可以保证在不同移动终端上，相同的原始密码，运算出的高强度密码也不一样。基本上粉碎了不法黑客利用别的移动终端，用同样的原始密码，获得高强度密码的企图。

s204：用户设置密码的长度以及是否允许特殊字符。每个应用程序对密码的要求都是不同，比如：最大长度的限定不一样，对是否能使用特殊字符（如标点符号等）都是不一样的。本实施例允许用户这些密码约束进行设置，否则生成的高强度密码并不能被应用程序接受，那么再安全的密码都没有意义。

s205：保存设备特征或环境特征。设备特征或环境特征在每个移动终端上是固定不变的，获取一次以后，就可以保留起来给下次使用。设备特征或环境特征是按应用程序名称来保存的，不同的应用程序对应的设备特征或环境特征是不同的。

s206：返回设备特征或环境特征给图1所示密码输入主流程，然后结束。

如图4所示，本实施例还提供了计算高强度密码的方法，高强度的密码算法用了3个因子来参与计算。101原始密码因子来自100密码输入界面，可以是输入法界面也可以是手势轨迹输入界面；104应用程序名称因子和 103硬件序列号因子来自设备所在的102操作***；这3个因子任意组合成105原始密码串，通过106HASH单向加密函数得到高强度密码：

密码串=原始密码、硬件序列号、应用程序名称等环境特征值的任意组合；

高强度密码=HASH（密码串）；

HASH为HMAC、SHA256、SHA512、RipeMD、WHIRLPOOL、SHA3、PBKDF2、bcrypt、scrypt等算法中的任一种或多种的组合。

此后根据107设备特征或环境特征里对密码的约束，执行108调整密码，得到可用的109高强度密码。在高强度密码生成算法中，104应用程序名称因子的作用在于，不同的应用最终生成的密码大不相同。用户可以对所有应用使用相同的原始密码，得到的高强度密码完全不同，这样既保证了密码的安全性，又减轻了用户的记忆负担。103硬件序列号因子的作用在于保证不同移动终端，相同的原始密码，得到的高强度密码也不相同。这样可以抵御两类安全攻击：一种是输入钩子木马，所有的输入内容都被木马偷偷发走；一种特殊的社会工程学攻击，当用户使用移动设备输入账户密码时，在其一旁趁用户不注意，偷偷记录用户的输入。这两类安全攻击都可以得到用户的账户和密码，不过只要无法得到用户的移动设备的硬件序列号，都无法算出正确的高强度密码。

假设某个应用程序对密码安全性要求比较低，最大长度只允许16位，只允许用字母和数字作为密码的内容。那么生成的高强度密码有 (26+26+10)^16 个，也就是47,672,401,706,823,533,450,263,330,816个。假设不法黑客每秒能检查1,000,000个密码，那么检查完所有密码需要1.5x10^15年。这个时间相当于地球年龄46亿年的328,626倍。也就是说，很有可能地球不存在了，而破解还没有完成。这种强度的密码，足够保护用户的安全了。

本实施例提供一种兼顾安全与便捷的密码输入方法，用于在移动终端中输入密码时，根据设备特征或环境特征生成匹配的加密算法，将用户在终端中输入的密码或手势轨迹经过加密算法运算后，生成高强度密码提供给终端上的应用程序，以此提高用户密码的安全性。

以上内容是结合具体的实施例对本发明所作的详细说明，不能认定本发明具体实施仅限于这些说明。对于本发明所属技术领域的技术人员来说，在不脱离本发明构思的前提下，还可以做出若干简单推演或替换，都应当视为属于本发明保护的范围。

Claims (10)

1.一种兼顾安全与便捷的密码输入方法，其特征是，包括以下步骤：

1）判断出当前输入焦点所在的输入框为密码输入框；

2）获取设备特征或环境特征；

3）获取用户输入的原始密码；

4）根据所述步骤2）获取的设备特征或环境特征，以及所述步骤3）获取的用户输入的原始密码，通过特定算法计算出高强度密码；

5）将所述步骤4）运算出的高强度密码填入经所述步骤1）判断的密码输入框中。

2.如权利要求1所述的一种兼顾安全与便捷的密码输入方法，其特征是，所述设备特征或环境特征包括：硬件序列号、应用程序名称和应用程序对密码的约束。

3.如权利要求2所述的一种兼顾安全与便捷的密码输入方法，其特征是，所述步骤2）具体包括以下步骤：

21）获取应用程序名称；

22）根据应用程序名称判断是否有保存的设备特征或环境特征；

23）获取硬件序列号；

24）获取应用程序对密码的约束；

25）保存设备特征或环境特征；

26）提供设备特征或环境特征；

如果所述步骤22）判断有保存的设备特征或环境特征，则直接执行步骤26），无需再执行步骤23）、24）和25）；如果所述步骤22）判断无保存的设备特征或环境特征，则执行步骤23）、24）和25）后再执行步骤26）。

4.如权利要求3所述的一种兼顾安全与便捷的密码输入方法，其特征是，所述步骤4）具体包括以下步骤：

41）将所述步骤21）获取的应用程序名称、所述步骤23）获取的硬件序列号、所述步骤3）获取的原始密码进行任意组合以得到密码串；

42）将所述步骤41）得到的密码串通过特定算法计算出待调整高强度密码；

43）根据所述步骤24）获取的应用程序对密码的约束，对所述步骤42）得到的待调整高强度密码进行调整，得到最终的高强度密码。

5.如权利要求1至4中任一所述的一种兼顾安全与便捷的密码输入方法，其特征是，所述特定算法为HASH算法。

6.如权利要求5所述的一种兼顾安全与便捷的密码输入方法，其特征是，所述HASH算法为HMAC、SHA256、SHA512、RipeMD、WHIRLPOOL、SHA3、PBKDF2、bcrypt、scrypt中的任意一种算法或多种算法的任意组合。

7.如权利要求1至4中任一所述的一种兼顾安全与便捷的密码输入方法，其特征是，所述步骤3）具体包括以下方式：a）用户用输入法输入原始密码，或者b）用户用手势轨迹输入原始密码，或者c）用户用语音输入的方式输入原始密码，或者d）用户用图片或拍照的方式输入原始密码，或者a）、b）、c）、d）的任意组合。

8.如权利要求5所述的一种兼顾安全与便捷的密码输入方法，其特征是，所述步骤3）具体包括以下方式：a）用户用输入法输入原始密码，或者b）用户用手势轨迹输入原始密码，或者c）用户用语音输入的方式输入原始密码，或者d）用户用图片或拍照的方式输入原始密码，或者a）、b）、c）、d）的任意组合。

9.如权利要求6所述的一种兼顾安全与便捷的密码输入方法，其特征是，所述步骤3）具体包括以下方式：a）用户用输入法输入原始密码，或者b）用户用手势轨迹输入原始密码，或者c）用户用语音输入的方式输入原始密码，或者d）用户用图片或拍照的方式输入原始密码，或者a）、b）、c）、d）的任意组合。

10.如权利要求1至4中任一所述的一种兼顾安全与便捷的密码输入方法，其特征是，所述步骤5）具体包括以下步骤：

51）判断密码输入框的内容是否为空； 

52）将密码输入框的内容清空；

53）将所述步骤4）运算出的高强度密码填入密码输入框中；

如果所述步骤51）判断密码输入框的内容为空，则直接执行步骤53），无需再执行步骤52）；如果所述步骤51）判断密码输入框的内容不为空，则执行步骤52）后再执行步骤53）。