CN104539785A - 一键放行的手机令牌的实现方法 - Google Patents
一键放行的手机令牌的实现方法 Download PDFInfo
- Publication number
- CN104539785A CN104539785A CN201410415824.5A CN201410415824A CN104539785A CN 104539785 A CN104539785 A CN 104539785A CN 201410415824 A CN201410415824 A CN 201410415824A CN 104539785 A CN104539785 A CN 104539785A
- Authority
- CN
- China
- Prior art keywords
- handset token
- user
- key
- mobile phone
- token
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 14
- 238000012795 verification Methods 0.000 claims abstract description 22
- 230000003068 static effect Effects 0.000 claims description 3
- 230000001360 synchronised effect Effects 0.000 abstract description 4
- 230000000694 effects Effects 0.000 description 3
- YSMRWXYRXBRSND-UHFFFAOYSA-N TOTP Chemical compound CC1=CC=CC=C1OP(=O)(OC=1C(=CC=CC=1)C)OC1=CC=CC=C1C YSMRWXYRXBRSND-UHFFFAOYSA-N 0.000 description 2
- 238000009434 installation Methods 0.000 description 2
- 230000002452 interceptive effect Effects 0.000 description 2
- 238000004364 calculation method Methods 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 238000010586 diagram Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
Landscapes
- Telephonic Communication Services (AREA)
- Telephone Function (AREA)
Abstract
本发明提供了一种在IOS和Android手机操作***上的安装应用程序。使用和服务器时间同步的机制产生一次性动态口令,在一个有效的时间段内（30s/60s）有效，以满足短时间内多因素验证的需求。手机动态口令生成过程具有使用简单、安全性高、低成本、无需携带额外设备等优势。本发明是在手机令牌上增加一键放行按键，第三方应用***在密码验证环节弹出二次验证码的弹窗后，每3秒刷新一次一键放行检查接口，检查用户是否用手机令牌发起一键放行，如果用户按一下手机令牌上的一键放行按键，即用户通过手机令牌客户端发起向手机令牌服务端发起一键放行请求，手机令牌服务端接收到请求后快速校验通过。
Description
技术领域
本发明涉及手机令牌的实现方式，尤其是一键放行的手机令牌的实现方法。
背景技术
随着各类电商网站的激烈竞争如何保障账户安全成为当前网络中不可或缺的重要课题，用户对此的关心度日益加深，而现如今第三方支付***的竞争也越演越烈，网络银行的概念已逐渐被接受，如何保障资金安全更是成为支付***的重点推广功能。
手机令牌是一种手机客户端软件，它是基于时间同步方式，每隔30或60秒产生一个随机6位动态密码，口令生成过程不产生通信及费用，具有使用简单、安全性高、低成本、无需携带额外设备、容易获取、无物流等优势，手机令牌是3G&4G时代动态密码身份认证发展趋势。
手机令牌可与任何互联网产品结合，为用户提供账户与资金的双重保障，让用户在账户安全和购物的过程中无后顾之忧。
手机令牌也可与企业应用进行结合，保证企业用户的安全登录，保障企业账户的安全。
目前市场上的大多数的手机令牌多为显示6位数字，30秒跳变一次，在登录应用***时，输入6位跳变的数字，以实现双因素认证的功能。
发明内容
本发明目的是实现手机令牌的快速放行，开启手机令牌功能的用户在应用 ***弹出手机令牌动态密令校验时，使用手机客户端中的一键放行即可实现快速校验，无需手动填写6位动态口令，直接通过密码验证。提升了用户体验。
本发明的技术解决方案是：手机令牌***由手机令牌服务端程序、手机令牌客户端程序(手机令牌APP)、手机令牌提供第三方应用***调用的动态密码验证接口服务等3个部件组成，3个部件的组成关系图参见如图1。
1.手机令牌服务端程序
手机令牌服务端程序部署在Tomcat&JBOSS上程序，采用MYSQL&ORALCE数据库作为数据存储。提供动态密码验证、时间同步、用户与手机令牌绑定关系查询的功能。
2.手机令牌客户端程序
手机令牌为一款基于时间同步的手机令牌软件，需要在每一个用户的安卓&苹果手机上的安装移动APP软件---手机令牌。手机令牌动态密码跳变规则：动态密码根据算法+密钥(算法种子)+时间计算得出，每30s重新计算一次得出新动态密码，跳变时间为30s。手机令牌卡动态密码算法：遵循RFC 6238“TOTP:Time-Based One-Time Password Algorithm”规范，采用HMAC-SHA512散列算法，对当前时间(1970年至今秒数)进行加密。密钥(算法种子)的生成方式：采用预定义(参考TOTP.java文件中seed64)+当前时间(1970年至今秒数/30)，共计256Byte。具体算法参考可参考RFC 6238。
在传统基于时间的手机令牌卡的基础上，开启了一键放行的手机令牌卡的实现方式，手机令牌显示如图2手机令牌外观。包括有显示6位动态密令的密码显示区，同步服务器时间的同步按钮以及30秒密令刷新的动态效果、一键放行按钮四部分组成。
3.一键放行的手机令牌提供第三方应用***调用的动态密码验证接口服务
第三方***在登录时，需要二次验证时，需要调用动态密码验证接口如下：
| 接口名称 | 动态密码校验接口 |
| 接口概述 | 应用***服务端调用验证输入动态密码的正确性 |
| 请求方式 | POST |
| 承载协议 | HTTPS |
| 数据格式 | JSON |
| 接口提供者 | 手机令牌服务端 |
| 接口调用者 | 应用***服务端 |
| URL | https://domain:port/BusinessUse/CheckCode |
请求消息
| 属性名 | 可填标识 | 数据类型 | 长度 | 说明 |
| account | 必填 | String | 64 | 用户账号 |
| dynamicCode | 必填 | Char | 6 | 6位动态密码 |
应答消息
一键放行的手机令牌卡的实现方法：用户在登录第三方应用***时，第三方应用***在登录环节弹出二次验证码的弹窗后，每3秒刷新一次一键放行检查接口，检查用户是否用手机令牌发起一键放行；如果用户按一下手机令牌上的一键放行按键，即用户通过手机令牌客户端发起向手机令牌服务端发起一键放行请求，手机令牌服务端接收到请求后快速校验通过；如果用户不按下“一键放行”按键，则仍然需要输入6位动态密码，才能登录第三方应用***；参 见图3手机令牌一键放行的具体实现活动图，步骤如下：
步骤1：第三方应用***在登录环节，用户名和静态密码验证结束后，弹出动态密码二次输入框；
步骤2：用户打开手机令牌APP应用，手机令牌判断该手机令牌是否已经绑定用户帐号，是，则显示动态口令的主界面，转入步骤4；否，转入步骤3；
步骤3：用户需要进行手机令牌与第三方***帐号的绑定流程，在手机令牌手工输入用户名和密钥(密钥由手机令牌服务端生成)，绑定成功后，显示手机动态口令的主界面；
步骤4：用户按下手机令牌APP上的“一键放行”，则手机令牌客户端向手机令牌服务端发起帐号与动态口令的验证请求；手机令牌服务端获取手机令牌客户端请求，解析验证请求参数(帐号、动态口令)，参数验证成功后，将结果返回给第三方***二次密码验证，用户登录第三方***；否则，需要用户正确手工输入6位动态验证码，才能登录第三方***。
该发明的特点和主要优势在于：有别于传统的手机令牌，在每次应用***需要二次动态密码时。打开手机令牌点击一键放行按钮后，用户无需输入6位动态短信验证码，提升了用户体验和便捷性。
附图说明
图1是手机令牌***组成与OA***的交互关系图
图2是带一键放行的手机令牌用户界面图
图3是手机令牌一键放行的具体实现流程图
图4是点击手机令牌客户端上的一键放行按钮的活动序列图
具体实施方式
OA***为企业办公应用***，在企业用户登录OA***时，在用户登录过程中密码验证环节采用手机令牌的动态口令，以防止静态口令带来的不安全因素。手机令牌***组成及OA***的交互关系参见图1。
手机令牌为一款基于时间同步的手机令牌软件，需要在每一个用户的安卓&苹果手机上的安装移动APP软件---手机令牌。点击手机上手机令牌图标，显示如图2手机令牌用户界面图。包括有显示6位动态密令的密码显示区，同步服务器时间的同步按钮以及30秒密令刷新的动态效果、一键放行按钮四部分组成。
用户在登录OA***时，OA***在登录环节弹出二次验证码的弹窗后，每3秒刷新一次一键放行检查接口，用户是否用手机令牌发起一键放行。这是用户按一下手机令牌上的一键放行按键，即用户通过手机令牌客户端发起一键放行请求，手机令牌服务端接收到请求后快速校验通过。如图4点击手机令牌客户端上的一键放行按钮的活动序列图，具体流程如下：
1.OA***显示显示二次动态验证码输入页面。
2.用户点击手机令牌客户端一键放行按钮后调用一键放行接口，具体如下：
| 接口名称 | 一键放行接口 |
| 接口概述 | app调用该接口让账号通过校验 |
| 承载协议 | HTTPS |
| 数据格式 | JSON |
| 接口提供者 | 手机令牌服务端，由手机令牌服务端实现接口 |
| 接口调用者 | 手机令牌客户端，由手机令牌客户端调用 |
| URL | https://domain:port/BusinessUse/oneKeyPass |
请求消息
应答消息
接口示例
请求URL：
https://domain:port/BusinessUse/oneKeyPass？param＝
请求：
响应：
3.手机令牌服务端获取手机令牌客户端请求，解析验证请求参数(account dynamicCode)，参数验证成功。
4.手机令牌服务端查询用户信息。用户存在。如果用户不存在，则返回手机客户端，该用户不存在。
5.手机令牌服务端根据用户密钥和当前时间生成动态密码，比对服务端生成的动态密码和手机客户端请求的动态密码。动态密码验证成功。
6.OA***通过异步请求调用手机令牌服务端的一键放行检查接口，接口示例如下：
| 接口名称 | 一键放行检查接口 |
| 接口概述 | 应用***服务端调用验证输入动态密码的正确性 |
| 请求方式 | POST |
| 承载协议 | HTTPS |
| 数据格式 | JSON |
| 接口提供者 | 手机令牌服务端 |
| 接口调用者 | 应用***服务端 |
| URL | https://domain:port/BusinessUse/OneKeyCheck |
请求消息
| 属性名 | 可填标识 | 数据类型 | 长度 | 说明 |
| account | 必填 | String | 64 | 用户账号 |
应答消息
接口示例
请求：
JSON数据格式：
POST/BusinessUse/OneKeyCheck HTTP/1.1
Host:www.example.com
Content-Type:application/json；charset＝UTF-8
请求：
{
account:”app_id 1”
}
响应：
7.手机令牌服务端返回是否放行结果告诉应用***。是，则用户登录***；否，则用户需要手工输入6为动态密码，应用***将动态密码和帐号提交给 手机令牌服务端进行判断。
Claims (1)
1.一键放行的手机令牌卡的实现方法，其特征是：用户在登录第三方应用***时，第三方应用***在登录环节弹出二次验证码的弹窗后，每3秒刷新一次一键放行检查接口，检查用户是否用手机令牌发起一键放行；如果用户按一下手机令牌上的一键放行按键，即用户通过手机令牌客户端发起向手机令牌服务端发起一键放行请求，手机令牌服务端接收到请求后快速校验通过；如果用户不按下“一键放行”按键，则仍然需要输入6位动态密码，才能登录第三方应用***；实现步骤如下：步骤1：第三方应用***在登录环节，用户名和静态密码验证结束后，弹出动态密码二次输入框；步骤2：用户打开手机令牌APP应用，手机令牌判断该手机令牌是否已经绑定用户帐号，是，则显示动态口令的主界面，转入步骤4；否，转入步骤3；步骤3：用户需要进行手机令牌与第三方***帐号的绑定流程，在手机令牌手工输入用户名和密钥（密钥由手机令牌服务端生成），绑定成功后，显示手机动态口令的主界面；步骤4：用户按下手机令牌APP上的“一键放行”，则手机令牌客户端向手机令牌服务端发起帐号与动态口令的验证请求；手机令牌服务端获取手机令牌客户端请求，解析验证请求参数(帐号、动态口令），参数验证成功后，将结果返回给第三方***二次密码验证，用户登录第三方***；否则，需要用户正确手工输入6位动态验证码，才能登录第三方***。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201410415824.5A CN104539785B (zh) | 2014-08-22 | 2014-08-22 | 一键放行的手机令牌的实现方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201410415824.5A CN104539785B (zh) | 2014-08-22 | 2014-08-22 | 一键放行的手机令牌的实现方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN104539785A true CN104539785A (zh) | 2015-04-22 |
| CN104539785B CN104539785B (zh) | 2017-02-01 |
Family
ID=52855252
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201410415824.5A Expired - Fee Related CN104539785B (zh) | 2014-08-22 | 2014-08-22 | 一键放行的手机令牌的实现方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN104539785B (zh) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN105100073A (zh) * | 2015-06-30 | 2015-11-25 | 北京奇虎科技有限公司 | 一种数据校验方法和装置 |
| WO2019015500A1 (zh) * | 2017-07-20 | 2019-01-24 | 阿里巴巴集团控股有限公司 | 入网认证方法、装置及*** |
| CN114124400A (zh) * | 2021-11-02 | 2022-03-01 | 南京星邺汇捷网络科技有限公司 | 基于人脸识别的手机令牌的实现方法 |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1547142A (zh) * | 2003-12-12 | 2004-11-17 | ���пƼ���ѧ | 一种动态身份认证方法和*** |
| CN102685093A (zh) * | 2011-12-08 | 2012-09-19 | 陈易 | 一种基于移动终端的身份认证***及方法 |
| CN103916249A (zh) * | 2014-04-25 | 2014-07-09 | 长沙市梦马软件有限公司 | 一种动态口令生成方法和*** |
-
2014
- 2014-08-22 CN CN201410415824.5A patent/CN104539785B/zh not_active Expired - Fee Related
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1547142A (zh) * | 2003-12-12 | 2004-11-17 | ���пƼ���ѧ | 一种动态身份认证方法和*** |
| CN102685093A (zh) * | 2011-12-08 | 2012-09-19 | 陈易 | 一种基于移动终端的身份认证***及方法 |
| CN103916249A (zh) * | 2014-04-25 | 2014-07-09 | 长沙市梦马软件有限公司 | 一种动态口令生成方法和*** |
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN105100073A (zh) * | 2015-06-30 | 2015-11-25 | 北京奇虎科技有限公司 | 一种数据校验方法和装置 |
| WO2019015500A1 (zh) * | 2017-07-20 | 2019-01-24 | 阿里巴巴集团控股有限公司 | 入网认证方法、装置及*** |
| US11616775B2 (en) | 2017-07-20 | 2023-03-28 | Alibaba Group Holding Limited | Network access authentication method, apparatus, and system |
| CN114124400A (zh) * | 2021-11-02 | 2022-03-01 | 南京星邺汇捷网络科技有限公司 | 基于人脸识别的手机令牌的实现方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN104539785B (zh) | 2017-02-01 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10348715B2 (en) | Computer-implemented systems and methods of device based, internet-centric, authentication | |
| US8893237B2 (en) | Secure and efficient login and transaction authentication using iphones# and other smart mobile communication devices | |
| US9979719B2 (en) | System and method for converting one-time passcodes to app-based authentication | |
| US8990909B2 (en) | Out-of-band challenge question authentication | |
| US9756056B2 (en) | Apparatus and method for authenticating a user via multiple user devices | |
| CN107249004B (zh) | 一种身份认证方法、装置及客户端 | |
| CN104539421A (zh) | 一种基于动态算法种子的手机令牌的实现方法 | |
| US20150222435A1 (en) | Identity generation mechanism | |
| US10045210B2 (en) | Method, server and system for authentication of a person | |
| EP2657871A2 (en) | Secure configuration of mobile application | |
| CN104065621A (zh) | 一种第三方服务的身份验证方法、客户端和*** | |
| CN103297231A (zh) | 一种身份认证的方法及*** | |
| US9544317B2 (en) | Identification of potential fraudulent website activity | |
| CN105592065A (zh) | 一种基于手机短信的网站登录方法及其登录*** | |
| CN107295011A (zh) | 网页的安全认证方法及装置 | |
| CN106878244B (zh) | 一种真实性证明信息提供方法及装置 | |
| CN104253689A (zh) | 基于二维码的用户卡动态口令验证方法与*** | |
| CN104657860A (zh) | 一种手机银行安全认证方法 | |
| CN104539785A (zh) | 一键放行的手机令牌的实现方法 | |
| EP3229190A1 (en) | Payment verification method, apparatus and system | |
| CN104301285B (zh) | 用于web***的登录方法 | |
| CN105471891A (zh) | 一种基于信任设备密令的登录方法 | |
| CN109474565B (zh) | 信息验证方法和装置、存储介质和电子装置 | |
| US20150319165A1 (en) | Assisted authentication using one-time-passcode | |
| CN114124400A (zh) | 基于人脸识别的手机令牌的实现方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| C14 | Grant of patent or utility model | ||
| GR01 | Patent grant | ||
| TR01 | Transfer of patent right |
Effective date of registration: 20190409 Address after: Room 804, Building 02, Yajuyuan, Huacheng, Cuidao, Yuhuatai District, Nanjing, Jiangsu Province, 210012 Patentee after: Wang Xiaojun Address before: 210019 Room 3223, 18 Building, Xidijiao District, Wanda Plaza, Jianye District, Nanjing City, Jiangsu Province Patentee before: NANJING SUPER INFORMATION TECHNOLOGY CO., LTD. |
|
| TR01 | Transfer of patent right | ||
| CF01 | Termination of patent right due to non-payment of annual fee |
Granted publication date: 20170201 Termination date: 20190822 |
|
| CF01 | Termination of patent right due to non-payment of annual fee |