CN104702580A - 多通讯渠道认证授权平台***和方法 - Google Patents
多通讯渠道认证授权平台***和方法 Download PDFInfo
- Publication number
- CN104702580A CN104702580A CN201310665028.2A CN201310665028A CN104702580A CN 104702580 A CN104702580 A CN 104702580A CN 201310665028 A CN201310665028 A CN 201310665028A CN 104702580 A CN104702580 A CN 104702580A
- Authority
- CN
- China
- Prior art keywords
- token
- authentication
- authorization terminal
- software
- code
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000013475 authorization Methods 0.000 title claims abstract description 174
- 238000000034 method Methods 0.000 title claims abstract description 37
- 238000004891 communication Methods 0.000 claims description 54
- 238000004519 manufacturing process Methods 0.000 claims description 47
- 230000004044 response Effects 0.000 claims description 24
- 230000004913 activation Effects 0.000 claims description 5
- 238000009434 installation Methods 0.000 claims description 5
- 230000003213 activating effect Effects 0.000 claims description 3
- 239000011159 matrix material Substances 0.000 claims description 3
- 230000008569 process Effects 0.000 description 12
- 230000002452 interceptive effect Effects 0.000 description 2
- 230000006855 networking Effects 0.000 description 2
- 230000003287 optical effect Effects 0.000 description 2
- 241001269238 Data Species 0.000 description 1
- 206010068052 Mosaicism Diseases 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000008901 benefit Effects 0.000 description 1
- 238000012790 confirmation Methods 0.000 description 1
- 238000007796 conventional method Methods 0.000 description 1
- 230000007547 defect Effects 0.000 description 1
- 230000007812 deficiency Effects 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 230000006872 improvement Effects 0.000 description 1
- 230000000977 initiatory effect Effects 0.000 description 1
- 239000000203 mixture Substances 0.000 description 1
- 238000012545 processing Methods 0.000 description 1
- 238000012163 sequencing technique Methods 0.000 description 1
- 210000003765 sex chromosome Anatomy 0.000 description 1
- 238000012795 verification Methods 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
- H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Telephonic Communication Services (AREA)
- Storage Device Security (AREA)
- Computer And Data Communications (AREA)
Abstract
本发明公开了一种多通讯渠道认证授权平台***和方法。其中***包括令牌生成服务器STPM，注册服务器TIM，认证服务器TAM和授权终端TAD。令牌生成服务器STPM生成令牌组合，并提供给所述注册服务器；注册服务器将令牌组合回馈给授权终端和认证服务器；认证服务器接到授权终端请求进行授权认证请求时，进行认证授权。其安全、便捷，易操作，成本低，在网络认证授权过程中有效防止各种恶意攻击。
Description
技术领域
本发明涉及网络安全技术领域，特别是涉及一种多通讯渠道认证授权平台***和方法。
背景技术
在电子认证授权过程中，程序会生成电子化数据，用户通过某些访问渠道，例如用户的电脑、电话、IVR（Interactive Voice Response，互动式语音应答）、资讯站（Kiosk）等读取这些数据，用户信息必须通过认证和授权后，才能使用这些访问渠道去获取生成电子化数据。对于一些机密性比较高的电子化数据，认证授权时会要求用户的电子交易使用数字签章，以确保交易的真实性和可靠性。例如，通过签章的解决方法，使用单一设备平台，例如用户的电脑、资讯站（Kiosk），提交请求给认证授权平台，并进行签章。
另外一些安全的认证授权签章解决方法，使用另外的设备来制作第一认证码。例如，用户使用某个认证授权平台通过网络连接启动请求，回应过程中，认证授权平台程序通过网络连接，将信息传送回用户的电脑。在收到信息后，用户将所要求的信息的部分，输入到需要签章的设备（该设备并不连接服务器/电脑），以制作电子签章；用户输入电子签章到电脑，并把电子签章提交到认证授权平台，来完成签章过程。
若对于其他手动或基于电话的认证授权过程，使用上述的传统方法，电子签名是不能实现的。
传统的认证授权解决方法，包括电子签章解决方法，有以下各种不足之处：
1）对通过柜台、已写好的指令或电话的手动认证授权而言，不可能使用电子的认证授权解决方法，包括签章设备解决方法实现。
2）对单一设备平台而言，提交请求到某个认证授权平台且制作签章的单一设备平台，容易受到恶意软件、中间人网络钓鱼（Man-In-the-Middle，MitM）的攻击，且可修改数据来实施欺诈。
3）对不联网的签章设备而言，其虽然提供了更安全的认证授权解决方法，但是不联网的签章设备，仅支持单一服务提供商，而且一般要求用户手动输入重要的数据到客户端。这个过程是容易出错的；在签章中，可包含数据量的限制，而且被签章的数据可能还会有限制。此外，这种签章设备，在制造、购买、分发和撤销整个过程，成本都相对较高。同时，如果认证授权涉及一个或多个认证授权，那么这个认证授权过程将会变得复杂，同时也会花费更多时间。
发明内容
基于此，有必要针对现有技术的缺陷和不足，提供一种多通讯渠道认证授权平台***和方法，其安全、便捷，易操作，成本低，在网络认证授权过程中有效防止各种恶意攻击。
为实现本发明目的而提供的一种多通讯渠道认证授权平台***，包括令牌生成服务器STPM，注册服务器TIM，认证服务器TAM和授权终端TAD；
其中：
所述令牌生成服务器，用于在注册服务器向其发出注册请求时，生成令牌组合，并将所述令牌组合提供给所述注册服务器；
所述注册服务器，用于在接到用户的授权终端通过一个或者多个访问通讯渠道向其发出注册请求时，根据注册请求向所述令牌生成服务器请求所述令牌组合；并在获取所述令牌组合后，将所述令牌组合与授权终端信息对应；然后将令牌组合、加密***及认证代码生成格式软件，通过所述一个或者多个访问渠道回馈给用户的授权终端；同时将所述令牌组合与对应的授权终端信息、加密***及认证代码生成格式软件，通过不同于所述一个或者多个访问渠道的另一访问渠道发送到认证服务器；
所述认证服务器，用于在获得所述令牌组合与对应的授权终端信息后，当接到授权终端请求进行授权认证时，利用令牌组合，以对应的授权设备信息生成第一密码；并根据授权终端发送来的第二认证码，利用加密***及认证代码生成格式软件，将所述第一密码转化与第二认证码的格式相同的第一认证码，进行认证比对；或者利用加密***及认证代码生成格式软件，对授权终端发送来的第二认证码进行解析，得到授权终端发送来的第二密码，与第一密码进行认证比对，根据认证比对的结果进行认证授权；
所述授权终端，用于在接收到所述令牌组合后，在需要进行认证授权时，利用令牌组合，根据对应的授权设备信息生成第二密码，并利用加密***及认证代码生成格式软件，将所述第二密码转换为第二认证码后，发送给认证服务器进行认证授权。
在其中一个实施例中，所述授权终端信息是用户通过授权终端输入的个性化的声音、图像、指纹数据。
在其中一个实施例中，所述授权终端信息还可以包括授权终端的唯一设备识别号。
在其中一个实施例中，所述访问渠道为网络/电话网络、使用触音和/或声音指令的Phone IVR网络、基于信息的***、电子邮件***、kiosks、通过影像扫描发送或者传真纸件。
在其中一个实施例中，所述令牌组合包括以下一个或者多个数据的任意组合：
A1）含两组密钥对的数码证书：一个用于签章，一个用于加密；
A2）含唯一令牌序列号的数据签章令牌种子文件；
A3）含唯一令牌序列号的OTP令牌生成软件。
在其中一个实施例中，所述认证服务器配置有扬声器、麦克风、照相机和/或指纹扫描仪，可读取或者生成相应格式的第一认证码。
在其中一个实施例中，所述第一认证码为声音代码、图像代码、指纹代码或者二维码中的一种或者多种格式的代码。
在其中一个实施例中，所述授权终端是手持设备、移动电话、平板电脑；
所述授权终端配置有扬声器、麦克风、照相机和/或指纹扫描仪，可读取或者生成相应格式的第二认证码。
在其中一个实施例中，所述第二认证码为声音代码、图像代码、指纹代码或者二维码中的一种或者多种格式的代码。
在其中一个实施例中，所述含唯一令牌序列号的数据签章令牌种子文件利用授权终端信息生成相应的第一密码或者第二密码。
在其中一个实施例中，所述令牌组合以及相对应的授权终端、加密***及认证代码生成格式软件，由注册服务器发送到认证服务器和授权终端时，是使用RSA算法或者AES算法进行加密的。
在其中一个实施例中，所述RSA算法或者AES算法的加密密钥存储在防篡改设备中。
在其中一个实施例中，所述加密是使用私有密钥的RSA加密方法进行加密的，和/或，使用服务提供商的公共密钥，使用AES加密的随机生成激活密码，对令牌组合进行再进一步的加密。
在其中一个实施例中，所述注册服务器，还用于生成一个用于下载令牌组合、加密***及认证代码生成格式软件的URL，由用户的授权终端（TAD）下载得到。
为实现本发明目的还提供一种多通讯渠道认证授权方法，包括如下步骤：
步骤S100，注册服务器在接到用户的授权终端通过一个或者多个访问通讯渠道向其发出注册请求时，根据注册请求向所述令牌生成服务器请求所述令牌组合；
步骤S200，令牌生成服务器在接到注册服务器的请求后，令牌生成服务器生成令牌组合，并将所述令牌组合返回给注册服务器；
步骤S300，注册服务器在获取所述令牌组合后，将所述令牌组合与授权终端信息对应；然后将令牌组合、加密***及认证代码生成格式软件，通过所述一个或者多个访问渠道回馈给用户的授权终端；同时将所述令牌组合与对应的授权终端信息、加密***及认证代码生成格式软件，通过不同于所述一个或者多个访问渠道的另一访问渠道发送到认证服务器；
步骤S400，授权终端向认证服务器发起认证授权请求，认证服务器响应；
步骤S500，在认证服务器响应后，授权终端通过利用令牌组合，根据对应的授权设备信息生成第二密码，并利用加密***及认证代码生成格式软件，将所述第二密码转换为第二认证码后，发送给认证服务器进行认证授权；
步骤S600，在认证服务器响应后，认证服务器利用令牌组合，以对应的授权设备信息生成第一密码；并根据授权终端发送来的第二认证码，利用加密***及认证代码生成格式软件，将所述第一密码转化与第二认证码的格式相同的第一认证码，进行认证比对；或者利用加密***及认证代码生成格式软件，对授权终端发送来的第二认证码进行解析，得到授权终端发送来的第二密码，与第一密码进行认证比对，根据认证比对的结果进行认证授权。
在其中一个实施例中，所述认证代码生成格式软件为图形、光代码、音代码或语音格式生成软件。
在其中一个实施例中，所述步骤S300还包括如下步骤：
步骤S310，在收到注册服务器回馈的令牌组件，加密软件及认证代码生成格式软件后，使用预设设定解密密钥在授权终端上解密URL信息，并要求用户输入令牌激活密码安装安全令牌组合及加密软件和格式生成软件。
在其中一个实施例中，所述加密为：
使用AES算法或者RSA算法，根据令牌生成服务器和授权终端之间的预先设定密钥，对URL信息和令牌组件及加密软件和格式生成软件进行加密。
在其中一个实施例中，所述步骤S300还包括如下步骤：
步骤S320，在完成令牌组件的安装之后，授权终端要求用户输入由动态安全令牌软件生成并显示的动态口令，然后验证动态口令。
在其中一个实施例中，所述授权终端信息是用户通过授权终端输入的个性化的声音、图像、指纹数据。
在其中一个实施例中，所述授权终端信息还包括授权终端的唯一设备识别号。
在其中一个实施例中，所述访问渠道为网络/电话网络、使用触音和/或声音指令的Phone IVR网络、基于信息的***、电子邮件***、kiosks、通过影像扫描发送或者传真纸件。
在其中一个实施例中，所述令牌组合包括以下一个或者多个数据的任意组合：
A1）含两组密钥对的数码证书：一个用于签章，一个用于加密；
A2）含唯一令牌序列号的数据签章令牌种子文件；
A3）含唯一令牌序列号的OTP令牌生成软件。
在其中一个实施例中，所述第一认证码为声音代码、图像代码、指纹代码或者二维码中的一种或者多种格式的代码。
在其中一个实施例中，所述第二认证码为声音代码、图像代码、指纹代码或者二维码中的一种或者多种格式的代码。
本发明的有益效果：本发明的多通讯渠道认证授权平台***和方法，通过在多通讯渠道之间进行认证授权，为认证和授权信息完整性提供端到端保护，而信息的验证对比则会在防篡改的环境内进行，并通过使用密码和基于用户验证的数据的交易签章，防止恶意软件、实时网络钓鱼和基于中间人网络钓鱼（Man-In-the-Middle，MitM）的攻击，其安全、便捷，易操作，成本低，在网络认证授权过程中有效防止各种恶意攻击。进一步地，其支持在一个或多个通信渠道的多个服务提供商和多个认证授权平台之间的认证授权。
附图说明
图1为本发明实施例的多通讯渠道认证授权平台***结构示意图；
图2为本发明实施例的多通讯渠道认证授权方法流程图。
具体实施方式
为了使本发明的多通讯渠道认证授权平台***和方法的目的、技术方案及优点更加清楚明白，以下结合具体附图及具体实施例，对本发明多通讯渠道认证授权平台***和方法进行进一步详细说明。
本发明多通讯渠道认证授权平台***的一个实施例，如图1所示。
如图1所示，本发明实施例的多通讯渠道认证授权平台***（Authenticationand Authorization Platform，AAP）包括令牌生成服务器（Security TokenProvisioning Module，STPM）100，注册服务器（Transaction Initiation Module，TIM）200，认证服务器（Transaction Authorization Module，TAM）300，和授权终端（Transaction Authorization Device，TAD）400。
令牌生成服务器（STPM）100是一个完整生命周期处理模块，它处理授权终端（TAD）的一个或多个安全令牌的身份认证授权和解除身份认证授权，用于在注册服务器向其发出注册请求时，生成令牌组合，并将所述令牌组合提供给所述注册服务器。
注册服务器（TIM）200提供程序化的界面，以支持一个或多个访问通讯渠道以便用户获取用于认证和授权的令牌组合，以启动认证和授权，用于在接到用户的授权终端（TAD）通过一个或者多个访问通讯渠道向其发出注册请求时，根据注册请求向所述令牌生成服务器（STPM）请求所述令牌组合；并在获取所述令牌组合后，将所述令牌组合与授权终端信息对应；然后将令牌组合、加密***及认证代码生成格式软件，通过所述一个或者多个访问渠道回馈给用户的授权终端（TAD）；同时将所述令牌组合与对应的授权终端信息、加密***及认证代码生成格式软件，通过不同于所述一个或者多个访问渠道的另一访问渠道发送到认证服务器（TAM）。
所述加密***，以及认证代码生成格式软件，是预先设置在所述注册服务器中的已知的现有的加密***，以及已知的认证代码生成格式软件，是一种现有技术，因此，在本发明实施例中，不再一一详细描述。
所述授权终端信息可以是用户通过授权终端（TAD）输入的个性化的声音、图像（如扫描的个人图像或者签名）、指纹数据等，这些授权终端信息可以由用户在授权终端上进行定期的更换并通过访问渠道通知给认证服务器。
作为一种可实施方式，所述授权终端信息还可以包括授权终端（TAD）的唯一设备识别号（Unique Device Identification Number，UDIN)。
作为一种可实施方式，所述唯一设备识别号是通过读取用户的授权终端（TAD）的UUID（Universally Unique Identifier，通用唯一识别码）得到的。
所述访问渠道包括但不限于网络/电话网络、使用触音（touch tone）和/或声音指令的Phone IVR网络、基于信息的***（包括短信息***）、电子邮件***、kiosks、通过影像扫描发送或者传真纸件（Paper）等。
所述令牌组合包括但不限于一个或者多个数据的任意组合：
A1）含两组密钥对的数码证书：一个用于签章，一个用于加密；
A2）含唯一令牌序列号的数据签章令牌种子文件；
A3）含唯一令牌序列号的OTP（One-time Password，动态口令）令牌生成软件。
认证服务器（TAM）300为通过应用程序编程接口（application programminginterfaces，API）使认证服务器（TAM）具有认证和授权功能，用于在获得所述令牌组合与对应的授权终端信息后，当接到授权终端请求进行授权认证时，利用令牌组合，以对应的授权设备信息生成第一密码；并根据授权终端发送来的第二认证码，利用加密***及认证代码生成格式软件，将所述第一密码转化与第二认证码的格式相同的第一认证码，进行认证比对；或者利用加密***及认证代码生成格式软件，对授权终端发送来的第二认证码利用加密***及认证代码生成格式软件进行解析，得到授权终端发送来的第二密码，与第一密码进行认证比对，根据认证比对的结果进行认证授权。
所述利用加密***及认证代码生成格式软件对第二认证码进行解析，得到第二密码，是一种现有技术，因此，在本发明实施例中，不再一一详细描述。
所述认证服务器（TAM）300配置有类似电脑的功能设备，如扬声器、麦克风、照相机、指纹扫描仪，可读取或者生成相应格式的第一认证码，如声音代码、图像代码、指纹代码或者二维码等的一种或者多种格式的代码。
授权终端（TAD）400是一种计算设备，用于在接收到所述令牌组合后，在需要进行认证授权时，利用令牌组合，根据对应的授权设备信息生成第二密码，并利用加密***及认证代码生成格式软件，将所述第二密码转换为第二认证码后，发送给认证服务器（TAM）进行认证授权。
所述授权终端（TAD）400可以是例如手持设备、移动电话、平板电脑或类似设备，这些设备都配置为类似电脑的功能设备，如扬声器、麦克风、照相机、指纹扫描仪，可读取或者生成相应格式的第二认证码，如声音代码、图像代码、指纹代码或者二维码等的一种或者多种格式的代码。
所述含唯一令牌序列号的数据签章令牌种子文件可以利用授权终端信息生成相应的第一密码或者第二密码。
作为一种可实施方式，所述令牌组合以及相对应的授权终端（TAD）、加密***及认证代码生成格式软件，由注册服务器发送到认证服务器和授权终端时，是使用RSA算法或者AES算法进行加密的，而加密密钥是存储在防篡改设备（例如FIPS140认证的设备）中，保证其安全性。
作为一种可实施方式，所述加密是使用私有密钥的RSA加密方法进行加密的，和/或，使用公共密钥通过AES加密的随机生成激活密码，对令牌组合进行再进一步的加密；然后注册服务器生成一个用于下载令牌组合的URL（UniformResource Locator，统一资源定位符，也称为网页地址），由用户的授权终端（TAD）下载得到。
在本发明实施例的多通讯渠道认证授权平台***（AAP）中，已授权的用户使用令牌生成服务器（STPM）来个性化配置及供给身份给其所拥有的授权终端（TAD）的一个或多个安全令牌组合，而授权终端（TAD）是与认证和授权的服务提供商相关联的，用户可通过服务提供商的注册服务器（TIM），为安全令牌申请请求。
作为一种可实施方式，在多通讯渠道认证授权平台***中进行认证和授权，可以涉及到一个或多个使用不同授权终端（TAD）的用户的授权终端，而每个授权终端在参与授权过程之前，其授权终端（TAD）都要得到令牌生成服务器（STPM）的批准。
授权终端（TAD）从一访问通讯渠道，例如，桌面网络浏览器、电话、IVR、Kiosk，通过注册服务器（TIM），及使用通信渠道，提交安全令牌申请请求到注册服务器，注册服务器将该安全令牌申请请求转发到令牌生成服务器（STPM），请求生成令牌组合。
本发明还提供一种多通讯渠道认证授权方法，如图2所示，包括如下步骤：
步骤S100，注册服务器（TIM）在接到用户的授权终端（TAD）通过一个或者多个访问通讯渠道向其发出注册请求时，根据注册请求向所述令牌生成服务器（STPM）请求所述令牌组合；
步骤S200，令牌生成服务器（STPM）在接到注册服务器的请求后，令牌生成服务器（STPM）生成一个令牌组合，并将该令牌组合返回给注册服务器。
步骤S300，注册服务器（TIM）在获取所述令牌组合后，将所述令牌组合与授权终端信息对应；然后将令牌组合、加密***及认证代码生成格式软件，通过所述一个或者多个访问渠道回馈给用户的授权终端（TAD）；同时将所述令牌组合与对应的授权终端信息、加密***及认证代码生成格式软件，通过不同于所述一个或者多个访问渠道的另一访问渠道发送到认证服务器（TAM）。
步骤S400，授权终端（TAD）向认证服务器（TAM）发起认证授权请求，认证服务器（TAM）响应；
步骤S500，在认证服务器响应后，授权终端通过利用令牌组合，根据对应的授权设备信息生成第二密码，并利用加密***及认证代码生成格式软件，将所述第二密码转换为第二认证码后，发送给认证服务器（TAM）进行认证授权。
步骤S600，在认证服务器响应后，认证服务器利用令牌组合，以对应的授权设备信息生成第一密码；并根据授权终端发送来的第二认证码，利用加密***及认证代码生成格式软件，将所述第一密码转化与第二认证码的格式相同的第一认证码，进行认证比对；或者利用加密***及认证代码生成格式软件，对授权终端发送来的第二认证码进行解析，得到授权终端发送来的第二密码，与第一密码进行认证比对，根据认证比对的结果进行认证授权。
所述令牌生成服务器根据公知的令牌生成算法，生成令牌中的种子文件和种子文件的唯一识别码，并加上加密数据，组成令牌组合。
生成令牌组件后，令牌生成服务器（STPM）把以下信息传回给注册服务器（TIM）：令牌组件，加密***及认证代码生成格式软件。
所述认证代码生成格式软件，包括但不限于图形（例如VRcode、Barcode）、光代码（例如光频-light frequency）、音代码（例如音调-audio tone）或语音格式生成软件，所述格式生成软件可将授权终端（TAD）或者认证服务器（TAM）生成的第一密码或者第二密码生成用户通过授权设备指定的第一认证码或者第二认证码。
在收到注册服务器（TAD）回馈的令牌组件，加密软件及认证代码生成格式软件后，使用预设设定解密密钥在授权终端（TAD）上解密URL信息，并要求用户输入令牌激活密码（由认证服务器预先提供）来安装安全令牌组合及加密软件和格式生成软件。
作为一种可实施例，可以使用AES算法或者RSA算法，根据令牌生成服务器（STPM）和授权终端（TAD）之间的预先设定密钥，对URL信息和令牌组件及加密软件和格式生成软件进行加密。
作为一种可实施方式，本发明的令牌激活密码，是通过预先定义的和预先注册的网络渠道（电子邮件、SMS或通过IVR的语音电话等等），发送给授权终端（TAD）的。
在用户输入了令牌激活密码后，授权终端（TAD）下载加密的令牌组件，并对令牌组件中的信息完整性进行验证，解密内容并安装令牌组件及加密软件和格式生成软件。
作为一种可实施方式，本发明实施例中，在完成令牌组件的安装之后，授权终端（TAD）可要求用户输入由安全令牌生成并显示的动态口令（OTP），然后验证动态口令（OTP）以确保安全令牌组件可正常发挥作用。
授权终端（TAD）从一个或者多个访问渠道，例如，桌面网络浏览器、电话IVR、Kiosk、等等，进行设备间的认证授权，该访问渠道是通过通讯渠道连接到认证服务器（TAM）。该访问渠道是认证服务器（TAM）通过预先的安全认证的，如通过签章设备进行授权认证连接的安全连接。
授权终端（TAD）发送第一认证码给认证服务器（TAM）。
所述第一认证码可以是使用格式生成软件生对第一密码进行转换生成的一加密的图形（例如VRcode、Barcode）、光代码（例如光频-light frequency）、音代码（例如音调-audio tone）或语音数据。
作为一种可实施方式，所发送的第一认证码，使用了基于多个加密密钥的组合的AES（Advanced Encryption Standard，高级加密标准，又称Rijndael加密法）加密的。这些密钥与授权终端（TAD）的唯一设备识别号（Unique DeviceIdentification Number，UDIN)和唯一令牌序列号（Unique Token Serial Number，UTSN）进行加密。然后，再使用含服务提供商的私有密钥的RSA加密，再次加密后得到。
加密过程是为了确保安全，并且，作为一种可实施方式，加密的数据仅可以由以下用户读取：
1）发起认证和授权的授权终端（TAD）持有者；
2）在授权终端（TAD）已为了服务提供商预先安装完毕的安全组件。
认证服务器（TAM）在收到请求确认数据及确认授权数据后，可通过以下方式取得第一认证码：
1）使用格式生成软件扫描图形、二维码、指纹数据；或者
2）使用预设的麦克风来读取得音代码或语音。
作为一种可实施方式，在认证授权完成之前，认证服务器（TAM）解密收到的加密的第一认证码，得到解密后的第一认证码。
作为一种可实施方式，例如，在进行验证数据时，授权终端（TAD）使用指纹数据来确认进行认证授权，并使用授权终端（TAD）来为认证授权创建一个第一认证码。然后，从授权终端（TAD）提交签章给认证服务器（TAM），以进行认证授权。
作为一种可实施方式，授权设备（TAD）可以使用其安全认证的通信渠道，侦测是否可连接认证服务器（TAM），若连接认证服务器（TAM）失败，则切换到本地模式，制作第一认证码，交付第一认证码通过通信接口（如USB、Bluetooth、NFC接口）到认证服务器（TAM），以便交付第一认证码给认证服务器（TAM）确认认证和授权。
认证服务器（TAM）在一个安全的、防篡改的环境，例如HSM（HierarchicalStorage Management，分层存储管理）环境中，验证第一认证码以令确认认证和授权生效。
若第一认证码有效，将等候下一级别的认证授权，若无效，将拒绝，认证授权未通过。
认证服务器（TAM）在完成认证授权后，发送确认应答给所有请求认证授权的授权终端（TAD），以完成认证授权。
在认证服务器（TAM）验证了所有来自全部授权设备的所需的认证和授权后，将确认认证授权完成，发送确认应答给所有请求认证授权的授权终端（TAD）。
授权终端（TAD）收到确认应答后，解密所有相关数据，并以明文方式显示信息给用户，以便其进行下一步操作。
进一步地，作为一种可实施方式，认证服务器（TAM）记录所有认证授权日志，每个授权终端（TAD）记录用户的认证授权记录。
本发明实施例的多通讯渠道认证授权平台***（AAP），通过在从注册服务器（TIM）独立出来的签章设备上生成签章，授权终端（TAD）和认证服务器（TAM）之间的认证授权，提供一级水平的安全保护。注册模块（TIM）采用手持计算设备（例如，智能型电话、平板电脑）可用的网络连接，使用图形、光或声音安全地交付数据到授权终端（TAD）。这样可最小化或者消除使用安全性问题，尤其是关于将信息手动输入到签章设备的问题。并可提供有力的隐私保护和认证，因为加密和签章的交易数据，是通过图形、光或声音形式，从注册服务器（TIM）传送到授权终端（TAD）的。
以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。
Claims (24)
1.一种多通讯渠道认证授权平台***，其特征在于，包括令牌生成服务器STPM，注册服务器TIM，认证服务器TAM和授权终端TAD；
其中：
所述令牌生成服务器，用于在注册服务器向其发出注册请求时，生成令牌组合，并将所述令牌组合提供给所述注册服务器；
所述注册服务器，用于在接到用户的授权终端通过一个或者多个访问通讯渠道向其发出注册请求时，根据注册请求向所述令牌生成服务器请求所述令牌组合；并在获取所述令牌组合后，将所述令牌组合与授权终端信息对应；然后将令牌组合、加密***及认证代码生成格式软件，通过所述一个或者多个访问渠道回馈给用户的授权终端；同时将所述令牌组合与对应的授权终端信息、加密***及认证代码生成格式软件，通过不同于所述一个或者多个访问渠道的另一访问渠道发送到认证服务器；
所述认证服务器，用于在获得所述令牌组合与对应的授权终端信息后，当接到授权终端请求进行授权认证时，利用令牌组合，以对应的授权设备信息生成第一密码；并根据授权终端发送来的第二认证码，利用加密***及认证代码生成格式软件，将所述第一密码转化与第二认证码的格式相同的第一认证码，进行认证比对；或者利用加密***及认证代码生成格式软件，对授权终端发送来的第二认证码进行解析，得到授权终端发送来的第二密码，与第一密码进行认证比对，根据认证比对的结果进行认证授权；
所述授权终端，用于在接收到所述令牌组合后，在需要进行认证授权时，利用令牌组合，根据对应的授权设备信息生成第二密码，并利用加密***及认证代码生成格式软件，将所述第二密码转换为第二认证码后，发送给认证服务器进行认证授权。
2.根据权利要求1所述的多通讯渠道认证授权平台***，其特征在于，所述授权终端信息是用户通过授权终端输入的个性化的声音、图像、指纹数据。
3.根据权利要求2所述的多通讯渠道认证授权平台***，其特征在于，所述授权终端信息还可以包括授权终端的唯一设备识别号。
4.根据权利要求1所述的多通讯渠道认证授权平台***，其特征在于，所述访问渠道为网络/电话网络、使用触音和/或声音指令的Phone IVR网络、基于信息的***、电子邮件***、kiosks、通过影像扫描发送或者传真纸件。
5.根据权利要求1所述的多通讯渠道认证授权平台***，其特征在于，所述令牌组合包括以下一个或者多个数据的任意组合：
A1）含两组密钥对的数码证书：一个用于签章，一个用于加密；
A2）含唯一令牌序列号的数据签章令牌种子文件；
A3）含唯一令牌序列号的OTP令牌生成软件。
6.根据权利要求1所述的多通讯渠道认证授权平台***，其特征在于，所述认证服务器配置有扬声器、麦克风、照相机和/或指纹扫描仪，可读取或者生成相应格式的第一认证码。
7.根据权利要求6所述的多通讯渠道认证授权平台***，其特征在于，所述第一认证码为声音代码、图像代码、指纹代码或者二维码中的一种或者多种格式的代码。
8.根据权利要求1所述的多通讯渠道认证授权平台***，其特征在于，所述授权终端是手持设备、移动电话、平板电脑；
所述授权终端配置有扬声器、麦克风、照相机和/或指纹扫描仪，可读取或者生成相应格式的第二认证码。
9.根据权利要求8所述的多通讯渠道认证授权平台***，其特征在于，所述第二认证码为声音代码、图像代码、指纹代码或者二维码中的一种或者多种格式的代码。
10.根据权利要求5所述的多通讯渠道认证授权平台***，其特征在于，所述含唯一令牌序列号的数据签章令牌种子文件利用授权终端信息生成相应的第一密码或者第二密码。
11.根据权利要求1所述的多通讯渠道认证授权平台***，其特征在于，所述令牌组合以及相对应的授权终端、加密***及认证代码生成格式软件，由注册服务器发送到认证服务器和授权终端时，是使用RSA算法或者AES算法进行加密的。
12.根据权利要求11所述的多通讯渠道认证授权平台***，其特征在于，所述RSA算法或者AES算法的加密密钥存储在防篡改设备中。
13.根据权利要求12所述的多通讯渠道认证授权平台***，其特征在于，所述加密是使用私有密钥的RSA加密方法进行加密的，和/或，使用服务提供商的公共密钥，使用AES加密的随机生成激活密码，对令牌组合进行再进一步的加密。
14.根据权利要求13所述的多通讯渠道认证授权平台***，其特征在于，所述注册服务器，还用于生成一个用于下载令牌组合、加密***及认证代码生成格式软件的URL，由用户的授权终端下载得到。
15.一种多通讯渠道认证授权方法，其特征在于，包括如下步骤：
步骤S100，注册服务器在接到用户的授权终端通过一个或者多个访问通讯渠道向其发出注册请求时，根据注册请求向所述令牌生成服务器请求所述令牌组合；
步骤S200，令牌生成服务器在接到注册服务器的请求后，令牌生成服务器生成令牌组合，并将所述令牌组合返回给注册服务器；
步骤S300，注册服务器在获取所述令牌组合后，将所述令牌组合与授权终端信息对应；然后将令牌组合、加密***及认证代码生成格式软件，通过所述一个或者多个访问渠道回馈给用户的授权终端；同时将所述令牌组合与对应的授权终端信息、加密***及认证代码生成格式软件，通过不同于所述一个或者多个访问渠道的另一访问渠道发送到认证服务器；
步骤S400，授权终端向认证服务器发起认证授权请求，认证服务器响应；
步骤S500，在认证服务器响应后，授权终端通过利用令牌组合，根据对应的授权设备信息生成第二密码，并利用加密***及认证代码生成格式软件，将所述第二密码转换为第二认证码后，发送给认证服务器进行认证授权；
步骤S600，在认证服务器响应后，认证服务器利用令牌组合，以对应的授权设备信息生成第一密码；并根据授权终端发送来的第二认证码，利用加密***及认证代码生成格式软件，将所述第一密码转化与第二认证码的格式相同的第一认证码，进行认证比对；或者利用加密***及认证代码生成格式软件，对授权终端发送来的第二认证码进行解析，得到授权终端发送来的第二密码，与第一密码进行认证比对，根据认证比对的结果进行认证授权。
16.根据权利要求15所述的多通讯渠道认证授权方法，其特征在于，所述认证代码生成格式软件为图形、光代码、音代码或语音格式生成软件。
17.根据权利要求15所述的多通讯渠道认证授权方法，其特征在于，所述步骤S300还包括如下步骤：
步骤S310，注册服务器在收到注册服务器回馈的令牌组件、加密软件及认证代码生成格式软件后，使用预设设定解密密钥在授权终端上解密URL信息，并要求用户输入令牌激活密码安装安全令牌组合及加密软件和格式生成软件。
18.根据权利要求17所述的多通讯渠道认证授权方法，其特征在于，所述加密为：
使用AES算法或者RSA算法，根据令牌生成服务器和授权终端之间的预先设定密钥，对URL信息和令牌组件及加密软件和格式生成软件进行加密。
19.根据权利要求17所述的多通讯渠道认证授权方法，其特征在于，所述步骤S300还包括如下步骤：
步骤S320，在完成令牌组件的安装之后，授权终端要求用户输入由动态安全令牌软件生成并显示的动态口令，然后验证动态口令。
20.根据权利要求15所述的多通讯渠道认证授权方法，其特征在于，所述授权终端信息是用户通过授权终端输入的个性化的声音、图像、指纹数据。
21.根据权利要求20所述的多通讯渠道认证授权方法，其特征在于，所述授权终端信息还可以包括授权终端的唯一设备识别号。
22.根据权利要求15所述的多通讯渠道认证授权方法，其特征在于，所述访问渠道为网络/电话网络、使用触音和/或声音指令的Phone IVR网络、基于信息的***、电子邮件***、kiosks、通过影像扫描发送或者传真纸件。
23.根据权利要求15所述的多通讯渠道认证授权方法，其特征在于，所述令牌组合包括以下一个或者多个数据的任意组合：
A1）含两组密钥对的数码证书：一个用于签章，一个用于加密；
A2）含唯一令牌序列号的数据签章令牌种子文件；
A3）含唯一令牌序列号的OTP令牌生成软件。
24.根据权利要求15所述的多通讯渠道认证授权方法，其特征在于，所述第一认证码为声音代码、图像代码、指纹代码或者二维码中的一种或者多种格式的代码；
所述第二认证码为声音代码、图像代码、指纹代码或者二维码中的一种或者多种格式的代码。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201310665028.2A CN104702580B (zh) | 2013-12-10 | 2013-12-10 | 多通讯渠道认证授权平台***和方法 |
| TW103122183A TW201524177A (zh) | 2013-12-10 | 2014-06-26 | 多通訊管道認證授權平臺系統和方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201310665028.2A CN104702580B (zh) | 2013-12-10 | 2013-12-10 | 多通讯渠道认证授权平台***和方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN104702580A true CN104702580A (zh) | 2015-06-10 |
| CN104702580B CN104702580B (zh) | 2017-12-29 |
Family
ID=53349352
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201310665028.2A Active CN104702580B (zh) | 2013-12-10 | 2013-12-10 | 多通讯渠道认证授权平台***和方法 |
Country Status (2)
| Country | Link |
|---|---|
| CN (1) | CN104702580B (zh) |
| TW (1) | TW201524177A (zh) |
Cited By (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN105791259A (zh) * | 2015-10-26 | 2016-07-20 | 北京中金国盛认证有限公司 | 一种个人信息保护的方法 |
| CN108769992A (zh) * | 2018-06-12 | 2018-11-06 | 腾讯科技（深圳）有限公司 | 用户认证方法、装置、终端及存储介质 |
| CN109583872A (zh) * | 2018-11-30 | 2019-04-05 | 阿里巴巴集团控股有限公司 | 支付方法和装置 |
| CN110417907A (zh) * | 2019-08-05 | 2019-11-05 | 斑马网络技术有限公司 | 终端设备的管理方法和装置 |
| CN110659006A (zh) * | 2019-08-20 | 2020-01-07 | 北京捷通华声科技股份有限公司 | 跨屏显示的方法、装置、电子设备及可读存储介质 |
| CN111586023A (zh) * | 2020-04-30 | 2020-08-25 | 广州市百果园信息技术有限公司 | 一种认证方法、设备和存储介质 |
| CN112235276A (zh) * | 2020-10-09 | 2021-01-15 | 三星电子（中国）研发中心 | 主从设备交互方法、装置、***、电子设备和计算机介质 |
| CN113141374A (zh) * | 2015-12-30 | 2021-07-20 | 亚马逊科技有限公司 | 服务授权握手 |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| TWI657399B (zh) * | 2017-11-17 | 2019-04-21 | 匯智通訊有限公司 | 利用超音波驗證碼對交易憑證進行防偽認證的方法與交易驗證方法 |
| TWI672606B (zh) * | 2018-08-28 | 2019-09-21 | 國立暨南國際大學 | 基於認證和密鑰協商協議之授權認證方法 |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2009028060A1 (ja) * | 2007-08-29 | 2009-03-05 | Mitsubishi Electric Corporation | 認証システム及び認証装置及び端末装置及びｉｃカード及びプログラム |
| US20090274303A1 (en) * | 2004-02-23 | 2009-11-05 | Nicolas Popp | Token provisioning |
| CN103209160A (zh) * | 2012-01-13 | 2013-07-17 | 中兴通讯股份有限公司 | 一种面向异构网络的认证方法及*** |
| CN103401686A (zh) * | 2013-07-31 | 2013-11-20 | 陕西海基业高科技实业有限公司 | 一种用户互联网身份认证***及其应用方法 |
-
2013
- 2013-12-10 CN CN201310665028.2A patent/CN104702580B/zh active Active
-
2014
- 2014-06-26 TW TW103122183A patent/TW201524177A/zh unknown
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20090274303A1 (en) * | 2004-02-23 | 2009-11-05 | Nicolas Popp | Token provisioning |
| WO2009028060A1 (ja) * | 2007-08-29 | 2009-03-05 | Mitsubishi Electric Corporation | 認証システム及び認証装置及び端末装置及びｉｃカード及びプログラム |
| CN103209160A (zh) * | 2012-01-13 | 2013-07-17 | 中兴通讯股份有限公司 | 一种面向异构网络的认证方法及*** |
| CN103401686A (zh) * | 2013-07-31 | 2013-11-20 | 陕西海基业高科技实业有限公司 | 一种用户互联网身份认证***及其应用方法 |
Cited By (15)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN105791259B (zh) * | 2015-10-26 | 2018-11-16 | 北京中金国盛认证有限公司 | 一种个人信息保护的方法 |
| CN105791259A (zh) * | 2015-10-26 | 2016-07-20 | 北京中金国盛认证有限公司 | 一种个人信息保护的方法 |
| CN113141374B (zh) * | 2015-12-30 | 2023-01-24 | 亚马逊科技有限公司 | 服务授权握手的方法、***和存储介质 |
| CN113141374A (zh) * | 2015-12-30 | 2021-07-20 | 亚马逊科技有限公司 | 服务授权握手 |
| CN108769992B (zh) * | 2018-06-12 | 2021-06-18 | 腾讯科技（深圳）有限公司 | 用户认证方法、装置、终端及存储介质 |
| CN108769992A (zh) * | 2018-06-12 | 2018-11-06 | 腾讯科技（深圳）有限公司 | 用户认证方法、装置、终端及存储介质 |
| CN109583872A (zh) * | 2018-11-30 | 2019-04-05 | 阿里巴巴集团控股有限公司 | 支付方法和装置 |
| WO2020108155A1 (zh) * | 2018-11-30 | 2020-06-04 | 阿里巴巴集团控股有限公司 | 支付方法和装置 |
| CN110417907B (zh) * | 2019-08-05 | 2022-04-15 | 斑马网络技术有限公司 | 终端设备的管理方法和装置 |
| CN110417907A (zh) * | 2019-08-05 | 2019-11-05 | 斑马网络技术有限公司 | 终端设备的管理方法和装置 |
| CN110659006A (zh) * | 2019-08-20 | 2020-01-07 | 北京捷通华声科技股份有限公司 | 跨屏显示的方法、装置、电子设备及可读存储介质 |
| CN110659006B (zh) * | 2019-08-20 | 2023-08-22 | 北京捷通华声科技股份有限公司 | 跨屏显示的方法、装置、电子设备及可读存储介质 |
| CN111586023A (zh) * | 2020-04-30 | 2020-08-25 | 广州市百果园信息技术有限公司 | 一种认证方法、设备和存储介质 |
| CN111586023B (zh) * | 2020-04-30 | 2022-05-31 | 广州市百果园信息技术有限公司 | 一种认证方法、设备和存储介质 |
| CN112235276A (zh) * | 2020-10-09 | 2021-01-15 | 三星电子（中国）研发中心 | 主从设备交互方法、装置、***、电子设备和计算机介质 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN104702580B (zh) | 2017-12-29 |
| TWI520557B (zh) | 2016-02-01 |
| TW201524177A (zh) | 2015-06-16 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN104702580A (zh) | 多通讯渠道认证授权平台***和方法 | |
| US8769612B2 (en) | Portable device association | |
| CN106888089B (zh) | 电子签章的方法和***以及用于电子签章的移动通信终端 | |
| US8099761B2 (en) | Protocol for device to station association | |
| JP4252620B1 (ja) | サーバ証明書発行システム | |
| CN111352740B (zh) | 一种应用交互处理方法和装置 | |
| JP5764501B2 (ja) | 認証装置、認証方法、及び、プログラム | |
| CN109922027B (zh) | 一种可信身份认证方法、终端及存储介质 | |
| JP2007102778A (ja) | ユーザ認証システムおよびその方法 | |
| KR101210260B1 (ko) | 통합센터를 이용한 유심칩기반 모바일 오티피 인증장치 및 인증방법 | |
| JP2006244081A (ja) | 認証機能付きサーバ及び方法 | |
| CN102823217A (zh) | 证书机构 | |
| JP5495194B2 (ja) | アカウント発行システム、アカウントサーバ、サービスサーバおよびアカウント発行方法 | |
| JP2015039141A (ja) | 証明書発行要求生成プログラム、証明書発行要求生成装置、証明書発行要求生成システム、証明書発行要求生成方法、証明書発行装置および認証方法 | |
| TWI643086B (zh) | Method for binding by scanning two-dimensional barcode | |
| CN114218510A (zh) | 业务页面显示方法、装置和设备 | |
| CN114095180A (zh) | 数字证书管理方法、装置及介质 | |
| JP7079528B2 (ja) | サービス提供システム及びサービス提供方法 | |
| JP2017152877A (ja) | 電子鍵再登録システム、電子鍵再登録方法およびプログラム | |
| KR102053993B1 (ko) | 인증서를 이용한 사용자 인증 방법 | |
| KR102086406B1 (ko) | 사용자 통합 인증 서비스 시스템 및 그 방법 | |
| JP7050466B2 (ja) | 認証システムおよび認証方法 | |
| JP2021060924A (ja) | 情報処理装置、情報処理システム及びプログラム | |
| CN103425917A (zh) | 信息显示控制方法及移动终端 | |
| CN116668201B (zh) | 用于分配生产资源的***、生产资源的传输方法及设备 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant | ||
| TR01 | Transfer of patent right |
Effective date of registration: 20231031 Address after: Singapore 750D Caishi Road # 08-01ESR Industrial Park @ Caishi Patentee after: Singapore i-Sprint Technology Co.,Ltd. Address before: Room 1509, Shougang International Building, No. 60, Xizhimen North Street, Haidian District, Beijing 100082 Patentee before: BEIJING ANXUNBEN SCIENCE & TECHNOLOGY Co.,Ltd. |
|
| TR01 | Transfer of patent right |