CN105450416A - 一种安全身份验证方法和设备 - Google Patents

Abstract

本申请公开了一种安全身份验证方法，包括：服务器接收用户的验证信息，所述验证消息包括用户的手机号，以及安全信息；判断所述验证信息是否与预先存储的用户的绑定信息一致，对所述用户进行验证。本申请还公开一种安全身份验证设备。

Description

一种安全身份验证方法和设备

技术领域

本申请公开了一种安全身份验证方法和设备。

背景技术

通过手机进行身份等敏感信息的验证，可以方便快捷的确认用户身份，因而被广泛应于各种互联网应用中。但是若发生手机被盗、手机被植入木马、黑客攻击、手机号码被克隆、短信验证被拦截等安全问题时，目前常见的验证方法很难分辨出请求的验证信息是否真来自真正的所有者，而非不法分子，导致用户资金安全、个人信息泄露等安全隐患。

现有技术中验证客户端，是基于手机号来实现的，仅仅验证手机号码的正确性。

而现有技术中基于手机号来验证客户端存在一些安全隐患：在现有技术中当进行手机绑定时，需要人工输入手机号码，同时校验码也需要手工输入，容易导致输入错误，影响用户体验；且是通过短信明文的方式发送验证码，安全性、可靠性和即时性不能保证，而且服务提供商的运营成本较高；此外，由于用户注册时仅仅只是绑定手机号码，这样很容易由于手机号码泄漏，手机被盗或是手机号码被克隆，而导致基于手机号码的安全验证存在安全漏洞。

发明内容

本申请提供了一种安全身份验证方法和设备，用以防止手机被盗、手机号码被非法使用或克隆导致的安全隐患，保证进行身份验证时的安全性和可靠性，同时提高用户的体验。

本申请公开了一种安全身份验证方法，包括：

服务器接收用户的验证信息，所述验证消息包括用户的手机号，以及安全信息；

判断所述验证信息是否与预先存储的用户的绑定信息一致，对所述用户进行验证，所述预先存储的用户的绑定信息包括用户绑定的手机号以及安全信息。

其中，所述预先存储的用户的绑定信息，具体通过以下步骤获得：

所述服务器接收用户发送的安全绑定信息，所述安全绑定信息包括手机号和安全信息；

将所述安全绑定信息中手机号和安全信息作为绑定信息存储起来。

优选的，所述服务器接收用户发送的安全绑定信息，包括：

所述服务器确定用户进行安全绑定时，生成二维码；

所述服务器接收所述用户通过手机客户端扫描所述二维码后生成的安全绑定信息。

其中，所述安全信息包括：国际移动设置识别码IMEI和国际移动用户识别码IMSI。

其中所述服务器接收用户的验证信息之前，还包括：

所述服务器接收到用户发送的用户身份验证请求时，向所述用户发送发送验证信息的验证发送请求；

所述服务器接收用户基于所述验证发送请求发送的验证信息。

优选的，所述验证发送请求具体为二维码；

所述用户通过手机客户端扫描二维码的方式，向所述服务器发送验证消息。

其中，所述用户通过手机客户端或个人计算机PC访问服务器；

所述服务器对所述用户进行验证之后，还包括：

当用户通过手机客户端访问服务器时，所述服务器将验证结果通过手机客户端通知给用户，并对所述手机客户端授权；

当用户通过个人计算机PC访问服务器时，所述服务器将验证结果通过PC通知给用户，并对所述PC授权。

本申请还公开了一种安全身份验证设备，包括：

第一接收模块，用于接收用户的验证信息，所述验证消息包括用户的手机号，以及安全信息；

判断模块，用于判断所述验证信息是否与预先存储的用户的绑定信息一致，对所述用户进行验证，所述预先存储的用户的绑定信息包括用户绑定的手机号以及安全信息。

其中，安全身份验证设备还包括：

第二接收模块，用于接收用户发送的安全绑定信息，所述安全绑定信息包括手机号和安全信息；

存储模块，用于将所述安全绑定信息中手机号和安全信息作为绑定信息存储起来。

优选的，所述安全信息包括：国际移动设置识别码IMEI和国际移动用户识别码IMSI。

优选的，所述第二接收模块，包括：

二维码生成模块，用于当确定用户进行安全绑定时，生成二维码；

第二接收子模块，用于接收所述用户通过手机客户端扫描所述二维码后生成的安全绑定信息。

其中，安全身份验证设备，还包括：

发送模块，用于在接收到用户发送的用户身份验证请求时，向所述用户发送发送验证信息的验证发送请求；

接收模块，用于用户基于所述验证发送请求发送的验证信息。

优选的，所述验证发送请求具体为二维码；

所述用户通过手机客户端扫描二维码的方式，向所述服务器发送验证消息。

其中，优选的，安全身份验证设备，还包括：

授权模块，用于当用户通过手机客户端访问服务器时，将验证结果通过手机客户端通知给用户，并对所述手机客户端授权；或

当用户通过个人计算机PC访问服务器时，将验证结果通过PC通知给用户，并对所述PC授权。

本申请通过服务器接收用户的验证信息，所述验证消息包括用户的手机号，以及安全信息；判断所述验证信息是否与预先存储的用户的绑定信息一致，对所述用户进行验证，以此可以有效防止手机被盗、手机号码被非法使用或克隆导致的安全隐患，提高身份验证的安全性和可靠性，同时提高用户的体验。

附图说明

图1为本申请实施例中的一种安全身份验证方法流程结构示意图；

图2为本申请实施例中的一种安全身份验证设备结构示意图。

具体实施方式

本申请的目的是提供一种安全身份验证方法，用以防止手机被盗、手机号码被非法使用或克隆导致的安全隐患，提高身份验证的安全性和可靠性。

为达到以上技术目的，如图1所示，本申请提供了一种安全身份验证方法，应用于用户注册、密码保护场景下，要求与手机绑定的情况(例如注册手机支付工具时、以及密码安全问题设置时)，以及需要对用户身份进行验证的场景(例如：手机支付、网上支付等情况)，具体包括以下步骤：

步骤101、服务器接收用户的验证信息，所述验证消息包括用户的手机号，以及安全信息；

其中，所述安全信息具体可包括：国际移动设置识别码IMEI和国际移动用户识别码IMSI，当然该安全信息还可以根据需要进行调整，可以是根据需要进行验证的其他信息，并不仅限于IMEI以及IMSI，只要能完成对应的验证即可。

而验证信息的获取可以有多种方法和途径，例如要获取手机号码、IMSI和IMEI，以Android平台为例，具体可以通过以下方式来获得：

IMEI＝TelephonyManager.getDeviceId()；

IMSI＝TelephonyManager.getSimSerialNumber()；

手机号＝TelephonyManager.getLine1Number()；

不过需要注意的是，在该Android平台获取的过程中需要设置权限：也即需要设置android.permission.READ_PHONE_STATE。

本申请实施例中，用户可通过手机客户端向服务器发送验证信息，其中的手机号、IMSI和/或IMEI等信息，可由手机客户端自身来获取，并将该些信息发送给服务器。手机客户端可通过用户在其上的操作，或者通过扫描二维码的方式，来向服务器发送验证信息。

步骤102、判断所述验证信息是否与预先存储的用户的绑定信息一致，对所述用户进行验证，所述预先存储的用户的绑定信息包括用户绑定的手机号以及安全信息；

其中，所述预先存储的用户的绑定信息，具体可以通过以下步骤获得：

所述服务器接收用户发送的安全绑定信息，所述安全绑定信息包括手机号和安全信息；将所述安全绑定信息中手机号和安全信息作为绑定信息存储起来。

具体的，根据需要，该预先存储的用户的绑定信息还可以包括安全绑定信息(包括用户绑定的手机号以及安全信息)，预设的用户账户信息，以及该安全绑定信息与预设的用户账户信息之间的对应关系，若存储的信息为这样，在后续的查询过程中不仅可以确定是否被任何用户的账户所绑定，还可以确定是被具体的哪些账户所绑定。

而所述服务器接收用户发送的安全绑定信息，具体可包括：

一、当在PC(PersonalComputer，个人计算机)端触发安全绑定事件，所述服务器确定用户进行安全绑定时，生成二维码；所述服务器接收所述用户通过手机客户端扫描所述二维码后生成的安全绑定信息。

其中，所述二维码的生成，具体可包括：确定需要传递的信息和二维码验证信息；其中该二维码验证信息包括：验证码、时间戳、功能码；对所述需要传递的信息和该二维码验证信息按照ASCII(AmericanStandardCodeforInformationInterchange,美国信息交换标准代码)码进行排序；并在排序后进行加密，得到加密后的信息；使用QR(QuickResponse，快速反应)算法，同时基于所述加密后的信息生成二维码，这样，不需要手工输入相关验证的信息，大大提高了用户体验，同时也可以提高安全性。

二、当在手机客户端触发安全绑定事件时，所述服务器接收到所述手机客户端主动发送所述安全绑定信息。

其中，不管是通过扫描二维码还是直接发送的方式来传输安全绑定信息，也都可以对该安全绑定信息进行加密传输，以避免明文发送所带来的安全隐患，提高安全性；其中具体的加密的方式可包括：将需要加密的信息排序后，采用对称(DataEncryptionStandard,DES)或非对称(Message-DigestAlgorithm5，MD5)的方法进行加密。

此外，在服务器接收用户发送的安全绑定信息之后，服务器会判断所述安全绑定信息是否被任何用户的账户绑定；

若判断结果为否，所述服务器将所述安全绑定信息与预设的用户账户绑定，并存储相应的绑定信息；若判断结果为是，无法执行绑定，结束操作。

服务器会将绑定结果返回给所述手机客户端。通过返回绑定结果给手机客户端，可以使得用户能得知绑定情况，以便进行后续的操作。

具体的，还可以设置是否支持手机客户端身份验证；例如可以设置一个手机客户端身份验证功能开关，来对是否支持进行手机客户端进行身份验证进行控制，这样，可以在一些特殊的情况下，直接关闭身份验证的功能，以此使得需要进行身份验证的功能(例如手机支付等)，无法正常进行。

在步骤101之前，即所述服务器接收用户的验证信息之前，还包括：

所述服务器接收到用户发送的用户身份验证请求时，向所述用户发送发送验证信息的验证发送请求；

其中，当是在PC端发起身份验证时，所述验证发送请求可以为二维码；在这种情况下所述用户通过手机客户端扫描二维码的方式，向所述服务器发送验证信息；当然，还可以有别的方式发起验证，例如当是手机客户端发起身份验证时，所述服务器发送发送验证信息的验证发送请求给用户，以使得用户返回验证信息给服务器。

其中，所述验证发送请求中还可以携带包括验证码，和/或时效性，和/或可选的安全提示问题，当然其中还可以根据需要验证的情况，添加其他信息，并根据需要进行组合，不限于上述几种；这样，用户在接收到该验证发送请求后，不仅要发送验证信息给服务器，还需要完成其验证发送请求中携带的相关验证，例如需要时效性信息要求在30秒内返回验证信息，而验证码可以基于类似1+2＝？等形式来展示，用户可以选择其中的一个或多个进行答复，这样，在规定的时间内(例如30秒)完成验证(返回验证码3)以及发送验证信息给服务器。

所述服务器接收用户基于所述验证发送请求发送的验证信息。

另外，在步骤102之后，也即在服务器对所述用户进行验证之后，还包括：

由于用户可以通过手机客户端或个人计算机PC访问服务器；因此验证完成之后，若验证得以通过，当用户通过手机客户端访问服务器时，所述服务器将验证结果通过手机客户端通知给用户，并对所述手机客户端授权；而当用户通过个人计算机PC访问服务器时，所述服务器将验证结果通过PC通知给用户，并对所述PC授权。

若验证不通过，当用户通过手机客户端访问服务器时，所述服务器将验证结果通过手机客户端通知给用户，不予授权，结束操作；而当用户通过个人计算机PC访问服务器时，所述服务器将验证结果通过PC通知给用户，不予授权，结束操作。

基于与上述方法相同或类似的构思，本申请实施例还公开了一种安全身份验证设备，如图2所示，包括：

第一接收模块201，用于接收用户的验证信息，所述验证消息包括用户的手机号，以及安全信息；其中，所述安全信息包括：国际移动设置识别码IMEI和国际移动用户识别码IMSI。

判断模块202，用于判断所述验证信息是否与预先存储的用户的绑定信息一致，对所述用户进行验证，所述预先存储的用户的绑定信息包括用户绑定的手机号以及安全信息。

具体的，该安全身份验证设备，还包括：

第二接收模块301，用于接收用户发送的安全绑定信息，所述安全绑定信息包括手机号和安全信息；

存储模块302，用于将所述安全绑定信息中手机号和安全信息作为绑定信息存储起来。

优选的，所述第二接收模块301，包括：

二维码生成模块401，用于当确定用户进行安全绑定时，生成二维码；

第二接收子模块402，用于接收所述用户通过手机客户端扫描所述二维码后生成的安全绑定信息。

其中，该安全身份验证设备，还包括：

发送模块501，用于在接收到用户发送的用户身份验证请求时，向所述用户发送发送验证信息的验证发送请求；

第三接收模块502，用于用户基于所述验证发送请求发送的验证信息。

其中，所述验证发送请求具体为二维码；所述用户通过手机客户端扫描二维码的方式，向所述服务器发送验证消息。

该安全身份验证设备，还包括：

授权模块601，用于当用户通过手机客户端访问服务器时，将验证结果通过手机客户端通知给用户，并对所述手机客户端授权；或

当用户通过个人计算机PC访问服务器时，将验证结果通过PC通知给用户，并对所述PC授权。

本申请实施例提供的设备可实现上述各方法步骤，实现对用户的身份验证，其具体实现过程可参见上述方法实施例的说明。

本申请通过服务器接收用户的验证信息，所述验证消息包括用户的手机号，以及安全信息；判断所述验证信息是否与预先存储的用户的绑定信息一致，对所述用户进行验证，以此可以有效防止手机被盗、手机号码被非法使用或克隆导致的安全隐患，提高身份验证的安全性和可靠性，同时提高用户的体验。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述的方法。

本领域技术人员可以理解附图只是一个优选实施场景的示意图，附图中的模块或流程并不一定是实施本申请所必须的。

本领域技术人员可以理解实施场景中的装置中的模块可以按照实施场景描述进行分布于实施场景的装置中，也可以进行相应变化位于不同于本实施场景的一个或多个装置中。上述实施场景的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

上述本申请序号仅仅为了描述，不代表实施场景的优劣。

以上公开的仅为本申请的几个具体实施场景，但是，本申请并非局限于此，任何本领域的技术人员能思之的变化都应落入本实用新型的保护范围。

Claims (14)

1.一种安全身份验证方法，其特征在于，包括：

服务器接收用户的验证信息，所述验证消息包括用户的手机号，以及安全信息；

判断所述验证信息是否与预先存储的用户的绑定信息一致，对所述用户进行验证，所述预先存储的用户的绑定信息包括用户绑定的手机号以及安全信息。

2.如权利要求1所述的方法，其特征在于，所述预先存储的用户的绑定信息，具体通过以下步骤获得：

所述服务器接收用户发送的安全绑定信息，所述安全绑定信息包括手机号和安全信息；

将所述安全绑定信息中手机号和安全信息作为绑定信息存储起来。

3.如权利要求2所述的方法，其特征在于，所述服务器接收用户发送的安全绑定信息，包括：

所述服务器确定用户进行安全绑定时，生成二维码；

所述服务器接收所述用户通过手机客户端扫描所述二维码后生成的安全绑定信息。

4.如权利要求1或2或3所述的方法，其特征在于，所述安全信息包括：国际移动设置识别码IMEI和国际移动用户识别码IMSI。

5.如权利要求1所述的方法，其特征在于，所述服务器接收用户的验证信息之前，还包括：

所述服务器接收到用户发送的用户身份验证请求时，向所述用户发送发送验证信息的验证发送请求；

所述服务器接收用户基于所述验证发送请求发送的验证信息。

6.如权利要求5所述的方法，其特征在于，

所述验证发送请求具体为二维码；

所述用户通过手机客户端扫描二维码的方式，向所述服务器发送验证消息。

7.如权利要求1所述的方法，其特征在于，所述用户通过手机客户端或个人计算机PC访问服务器；

所述服务器对所述用户进行验证之后，还包括：

当用户通过手机客户端访问服务器时，所述服务器将验证结果通过手机客户端通知给用户，并对所述手机客户端授权；

当用户通过个人计算机PC访问服务器时，所述服务器将验证结果通过PC通知给用户，并对所述PC授权。

8.一种安全身份验证设备，其特征在于，包括：

第一接收模块，用于接收用户的验证信息，所述验证消息包括用户的手机号，以及安全信息；

判断模块，用于判断所述验证信息是否与预先存储的用户的绑定信息一致，对所述用户进行验证，所述预先存储的用户的绑定信息包括用户绑定的手机号以及安全信息。

9.如权利要求8所述的设备，其特征在于，还包括：

第二接收模块，用于接收用户发送的安全绑定信息，所述安全绑定信息包括手机号和安全信息；

存储模块，用于将所述安全绑定信息中手机号和安全信息作为绑定信息存储起来。

10.如权利要求8或9或10所述的设备，其特征在于，所述安全信息包括：国际移动设置识别码IMEI和国际移动用户识别码IMSI。

11.如权利要求9所述的设备，其特征在于，所述第二接收模块，包括：

二维码生成模块，用于当确定用户进行安全绑定时，生成二维码；

第二接收子模块，用于接收所述用户通过手机客户端扫描所述二维码后生成的安全绑定信息。

12.如权利要求8所述的设备，其特征在于，还包括：

发送模块，用于在接收到用户发送的用户身份验证请求时，向所述用户发送发送验证信息的验证发送请求；

接收模块，用于用户基于所述验证发送请求发送的验证信息。

13.如权利要求12所述的设备，其特征在于，

所述验证发送请求具体为二维码；

所述用户通过手机客户端扫描二维码的方式，向所述服务器发送验证消息。

14.如权利要求8所述的设备，其特征在于，还包括：

授权模块，用于当用户通过手机客户端访问服务器时，将验证结果通过手机客户端通知给用户，并对所述手机客户端授权；或

当用户通过个人计算机PC访问服务器时，将验证结果通过PC通知给用户，并对所述PC授权。