CN105827577A - 一种信息验证方法及装置 - Google Patents

Abstract

本申请公开了一种信息验证方法及装置，该方法服务器当接收到业务信息请求时，采集该业务信息请求对应的终端的设备标识和用户标识，然后，根据预先保存的设备标识与用户标识的对应关系，判断采集到的设备标识与用户标识是否对应，若是，则向该终端发送业务信息，否则，不向该终端发送业务信息，其中，所述业务信息具体包括短信校验码，所述设备标识具体包括ICCID，所述用户标识具体包括手机号码。通过上述方法，由于服务器在向终端发送短信校验码之前，对终端使用的SIM卡的ICCID进行了验证，因此，可确保将短信校验码发送至正确的SIM卡上，而不会发送至其他SIM卡上，提高了业务过程的安全性。

Description

一种信息验证方法及装置

技术领域

本申请涉及计算机技术领域，尤其涉及一种信息验证方法及装置。

背景技术

随着互联网技术的迅速发展，越来越多的业务可以在网络上进行，例如，金融业务、电子商务业务等。

目前，为了提高业务过程的安全性，服务器在用户注册账号时，可以要求为该账号绑定该用户的手机号码，用于在以后的业务过程中验证该用户的身份。

具体的，用户通过已注册的账号与服务器进行业务交互时，服务器可向已绑定的该用户的手机号码发送特定的业务信息，例如，该特定的业务信息可以是短信校验码等。相应的，该用户通过自己的手机可接收到该短信校验码，并在网站上输入该短信校验码，服务器仅当对该用户输入的短信校验码验证通过后，才确定对面的交互者是注册该账号的用户，进而可允许继续进行后续的业务过程。而对于假冒该用户的攻击者，则很难获取到该短信校验码，因此，也无法进行后续的业务过程。

但是，在现有技术中，攻击者可能会利用用户遗失的证件，或是直接盗取用户的证件，在该用户的手机号码所属的通信运营商处办理一张新的客户识别模块(SubscriberIdentityModule，SIM)卡，并将该新SIM卡与该用户的手机号码绑定，从而占用了该用户的手机号码，在这种情况下，当服务器向该用户的手机号码发送短信校验码时，则会发送到攻击者的使用该新SIM卡的手机上，而该用户反而接收不到该短信校验码，降低了业务过程的安全性。

发明内容

本申请实施例提供一种信息验证方法及装置，用以解决现有技术中发送业务信息的方式安全性较低的问题。

本申请实施例提供的一种信息验证方法，包括：

当接收到业务信息请求时，采集所述业务信息请求对应的终端的设备标识和用户标识；

根据预先保存的设备标识与用户标识的对应关系，判断采集到的设备标识与用户标识是否对应；

若是，则向所述终端发送业务信息；

否则，不向所述终端发送业务信息。

本申请实施例提供的一种信息验证装置，包括：

采集模块，用于当接收到业务信息请求时，采集所述业务信息请求对应的终端的设备标识和用户标识；

验证模块，用于根据预先保存的设备标识与用户标识的对应关系，判断所述采集模块采集到的设备标识与用户标识是否对应，若是，则向所述终端发送业务信息，否则，不向所述终端发送业务信息。

本申请实施例提供一种信息验证方法及装置，该方法服务器当接收到业务信息请求时，采集该业务信息请求对应的终端的设备标识和用户标识，然后，根据预先保存的设备标识与用户标识的对应关系，判断采集到的设备标识与用户标识是否对应，若是，则向该终端发送业务信息，否则，不向该终端发送业务信息，其中，所述业务信息具体包括短信校验码，所述设备标识具体包括集成电路卡识别码(IntegrateCircuitCardIdentity，ICCID)，所述用户标识具体包括手机号码。通过上述方法，由于服务器在向终端发送短信校验码之前，对终端使用的SIM卡的ICCID进行了验证，因此，可确保将短信校验码发送至正确的SIM卡上，而不会发送至其他SIM卡上，提高了业务过程的安全性。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请实施例提供的信息验证过程；

图2为在实际应用场景下，根据本申请实施例提供的信息验证方法，金融机构服务器采集ICCID的过程；

图3为本申请实施例提供的信息验证装置结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

图1为本申请实施例提供的信息验证过程，具体包括以下步骤：

S101：服务器当接收到业务信息请求时，采集所述业务信息请求对应的终端的设备标识和用户标识。

在本申请实施例中，所述的服务器可以是各行业用于处理业务的后台服务器，例如金融机构的服务器、电商的服务器等。所述的业务信息可以是短信校验码等信息，相应地，所述的终端可以是手机、平板电脑等可使用SIM卡的通信终端，所述的设备标识可以是终端使用的SIM卡的ICCID，所述的用户标识可以是终端的移动用户号码簿号码(MobileDirectoryNumber，MDN)，也即，手机号码。

对于在网络上进行的业务，一般的，用户首先需要在相应的网站上注册账号以及设置密码，并使用注册的账号登录网站，然后，网站的后台服务器与该用户进行业务过程。为了提高业务过程的安全性，目前很多网站在用户注册账号时，还会要求为注册的账号绑定该用户的手机号码，用于在以后的业务过程中验证该用户的身份。以金融业务为例，最常见的一种应用场景是：用户登录账号时、或者进行转账等操作时，网站会要求用户输入短信验证码，同时给用户提供一个按钮，用户点击该按钮可向服务器发送业务信息请求(也即，短信校验码请求)，服务器接收到该用户发送的短信校验码请求后，则会向该用户的账户绑定的手机号码对应的终端发送短信校验码，进而，该用户成功地获取并在网站上输入短信校验码后，服务器可对该用户输入的短信校验码进行验证，仅当验证通过时，服务器才允许进行后续的业务过程。需要说明的是，用户既可以通过终端发送业务信息请求，也可以通过其他的设备发送业务信息请求。

在本申请实施例中，服务器在接收到短信校验码请求后，可以对短信校验码请求对应的终端的ICCID进行验证后，再确定是否发送业务信息，从而可以提高业务过程的安全性。具体的，服务器首先可采集该业务信息请求对应的终端的设备标识和用户标识，其中，该业务信息请求是用户登录账号后发送的，该业务信息请求对应的终端的用户标识即为：与用户的账号绑定的用户标识(手机号码)；相应的，该业务信息请求对应的终端的设备标识即为：当前在通信运营商处与该手机号码绑定的SIM卡的ICCID；然后，服务器可执行步骤S102。

需要说明的是，一般的，用户在注册账号并绑定手机号码后，服务器会保存该手机号码，以及该手机号码与该账号的对应关系。因此，服务器在接收到业务信息请求时，可确定发送该业务信息请求的账号，进而，通过查询该对应关系在保存的手机号码中确定出与该账号绑定的手机号码，至此，采集到了业务信息请求对应的手机号码。而对于该业务信息请求对应的ICCID，则需向该手机号码对应的终端进行采集。

S102：根据预先保存的设备标识与用户标识的对应关系，判断采集到的设备标识与用户标识是否对应，若是，则执行步骤S103，否则，执行步骤S104。

在本申请实施例中，服务器可以预先在每个账号注册并绑定手机号码时，对该手机号码对应的终端的ICCID进行一次采集，并保存该ICCID，以及该ICCID与该手机号码的对应关系，作为以后验证ICCID的依据。从而，以后在用户登录该账户并与服务器进行业务交互时，服务器可以根据预设的策略，适时地通过验证ICCID对用户的身份进行验证。

具体的，对于上述步骤S102，服务器采集ICCID和手机号码后，可根据预先保存的ICCID与手机号码的对应关系，判断采集到的ICCID与手机号码是否对应，若是，则可证明对于用户在注册账号时绑定的手机号码，该绑定的手机号码与当前的交互者使用的终端的手机号码相同，且该绑定的手机号码对应的终端的SIM卡与当前的交互者使用的终端的SIM卡相同，则服务器可确定当前的交互者为用户本人，并可向当前的交互者使用的终端发送短信校验码，否则，服务器可确定当前交易者不为用户本人，则不向当前交易者使用的终端发送短信校验码。

S103：向所述终端发送业务信息。

S104：不向所述终端发送业务信息。

通过上述方法，即使攻击者在用户的手机号码所属的通信运营商处办理一张新SIM卡，并将该新SIM卡与该用户的手机号码绑定，占用该用户的手机号码，由于服务器在发送短信校验码前，会对ICCID进行验证，而该新SIM卡的ICCID与用户注册账号绑定的手机号码对应的SIM卡的ICCID不相同，因此，服务器不会向攻击者的终端发送短信校验码，提高了业务过程的安全性。

在本申请实施例中，对于上述步骤S102，预先保存设备标识与用户标识的对应关系，具体包括：预先针对每个绑定的手机号码对应的终端，采集该终端使用的SIM卡的ICCID，并保存该ICCID，以及该ICCID与该手机号码的对应关系。

具体的，服务器可以通过与终端所属的通信运营商之间的特定接口，向该终端采集ICCID，所述的特定接口可以是超文本传输协议(Hypertexttransferprotocol，http)接口或互联网服务(webservice)接口。图2示出了在所述的服务器为金融机构服务器的场景下，金融机构服务器采集ICCID的过程，具体包括以下步骤：

S201：金融机构服务器为某用户注册账号，以及为注册的账号绑定该用户的手机号码。

S202：金融机构服务器向通信运营商服务器发送ICCID获取请求，其中，所述ICCID获取请求中携带有绑定的该用户的手机号码。

其中，所述的通信运营商为：该手机号码对应的终端所属的通信运营商。

S203：通信运营商服务器根据接收到的ICCID获取请求，向该手机号码对应的终端发送空中下载技术(OverTheAir，OTA)短信，以获取该终端使用的SIM卡的ICCID。

S204：终端接收到OTA短信后，向通信运营商服务器返回自身使用的SIM卡的ICCID。

S205：通信运营商服务器向金融机构服务器发送终端返回的ICCID。

另外，由于用户也可能主动更换自己的终端使用的SIM卡，因此，服务器还可以给用户提供相应的接口，使得用户可以在登录账号，并经过服务器的其他一些方式的身份认证(如实名认证、邮箱认证等身份认证方式)后，再通过该相应的接口向服务器请求重新采集ICCID，则可触发服务器重新采集用户当前使用的SIM卡的ICCID，并保存重新采集到的ICCID，以及为用户绑定的手机号码与重新采集到的ICCID的对应关系，从而，不仅保证了业务过程的安全性，还提高了本申请实施例提供的信息验证方法的易用性。

在本申请实施例中，对于上述步骤S102，在根据预先保存的ICCID与手机号码的对应关系，判断采集到的ICCID与手机号码是否对应之前，还可判断保存的各ICCID中是否存在采集到的设备标识，若是，则再进一步地判断判断采集到的ICCID与手机号码是否对应，否则，显然采集到的ICCID无法通过验证，因此，可以直接确定不向该手机号码对应的终端发送业务信息。这样的话，可以提高本申请实施例提供的信息验证方法的执行效率。

进一步的，在实际应用中，基于本申请实施例提供的信息验证方法，服务器在业务过程中除了验证ICCID，还可以验证与终端相关的其他的特定信息，例如，终端的移动设备国际身份码(InternationalMobileEquipmentIdentity，IMEI)等，其中，每个IMEI可唯一标识一台移动终端。在这种情况下，所述的设备标识即为IMEI，则服务器当接收到业务信息请求时，可采集该业务信息请求对应的终端的IMEI和手机号码，然后，根据预先保存的IMEI与手机号码的对应关系，判断采集到的IMEI与手机号码是否对应，若是，则可确定用户为注册账户绑定手机号码时使用的终端，与当前的交互者使用的终端是同一终端，进而，可认为当前的交互者即为用户本人，并可向该终端发送业务信息，否则，可认为当前的交互者不为用户本人，有可能为攻击者，因此，可不向该终端发送业务信息。

以上为本申请实施例提供的信息验证方法，基于同样的思路，本申请实施例还提供相应的信息验证装置，如图3所示。

图3为本申请实施例提供的信息验证装置结构示意图，具体包括：

采集模块301，用于当接收到业务信息请求时，采集所述业务信息请求对应的终端的设备标识和用户标识；

验证模块302，用于根据预先保存的设备标识与用户标识的对应关系，判断所述采集模块301采集到的设备标识与用户标识是否对应，若是，则向所述终端发送业务信息，否则，不向所述终端发送业务信息。

所述验证模块302具体用于，预先针对注册的每个终端的用户标识，采集该终端的设备标识，并保存该设备标识，以及该设备标识与该用户标识的对应关系。

所述装置还包括：

确定模块303，用于在所述验证模块根据预先保存的设备标识与用户标识的对应关系，判断采集到的设备标识与用户标识是否对应之前，确定保存的各设备标识中存在采集到的设备标识。

所述业务信息具体包括短信校验码，所述设备标识具体包括集成电路卡识别码ICCID，所述用户标识具体包括手机号码。

所述验证模块302具体用于，向该终端所属的通信运营商发送ICCID采集请求，使得所述通信运营商通过向该终端发送空中下载技术OTA短信，采集该终端的ICCID，接收所述通信运营商返回的、采集到的该终端的ICCID。

具体的上述如图3所示的装置可以位于服务器上。

本申请实施例提供一种信息验证方法及装置，该方法服务器当接收到业务信息请求时，采集该业务信息请求对应的终端的设备标识和用户标识，然后，根据预先保存的设备标识与用户标识的对应关系，判断采集到的设备标识与用户标识是否对应，若是，则向该终端发送业务信息，否则，不向该终端发送业务信息，其中，所述业务信息具体包括短信校验码，所述设备标识具体包括ICCID，所述用户标识具体包括手机号码。通过上述方法，由于服务器在向终端发送短信校验码之前，对终端使用的SIM卡的ICCID进行了验证，因此，可确保将短信校验码发送至正确的SIM卡上，而不会发送至其他SIM卡上，提高了业务过程的安全性。

本领域内的技术人员应明白，本发明的实施例可提供为方法、***、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(***)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flashRAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitorymedia)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本申请的实施例可提供为方法、***或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (10)

1.一种信息验证方法，其特征在于，包括：

当接收到业务信息请求时，采集所述业务信息请求对应的终端的设备标识和用户标识；

根据预先保存的设备标识与用户标识的对应关系，判断采集到的设备标识与用户标识是否对应；

若是，则向所述终端发送业务信息；

否则，不向所述终端发送业务信息。

2.如权利要求1所述的方法，其特征在于，预先保存设备标识与用户标识的对应关系，具体包括：

预先针对注册的每个终端的用户标识，采集该终端的设备标识，并保存该设备标识，以及该设备标识与该用户标识的对应关系。

3.如权利要求2所述的方法，其特征在于，根据预先保存的设备标识与用户标识的对应关系，判断采集到的设备标识与用户标识是否对应之前，所述方法还包括：

确定保存的各设备标识中存在采集到的设备标识。

4.如权利要求1～3任一所述的方法，其特征在于，所述业务信息具体包括短信校验码，所述设备标识具体包括集成电路卡识别码ICCID，所述用户标识具体包括手机号码。

5.如权利要求4所述的方法，其特征在于，采集该终端的设备标识，具体包括：

向该终端所属的通信运营商发送ICCID采集请求，使得所述通信运营商通过向该终端发送空中下载技术OTA短信，采集该终端的ICCID；

接收所述通信运营商返回的、采集到的该终端的ICCID。

6.一种信息验证装置，其特征在于，包括：

采集模块，用于当接收到业务信息请求时，采集所述业务信息请求对应的终端的设备标识和用户标识；

验证模块，用于根据预先保存的设备标识与用户标识的对应关系，判断所述采集模块采集到的设备标识与用户标识是否对应，若是，则向所述终端发送业务信息，否则，不向所述终端发送业务信息。

7.如权利要求6所述的装置，其特征在于，所述验证模块具体用于，预先针对注册的每个终端的用户标识，采集该终端的设备标识，并保存该设备标识，以及该设备标识与该用户标识的对应关系。

8.如权利要求7所述的装置，其特征在于，所述装置还包括：

确定模块，用于在所述验证模块根据预先保存的设备标识与用户标识的对应关系，判断采集到的设备标识与用户标识是否对应之前，确定保存的各设备标识中存在采集到的设备标识。

9.如权利要求6～8任一所述的装置，其特征在于，所述业务信息具体包括短信校验码，所述设备标识具体包括集成电路卡识别码ICCID，所述用户标识具体包括手机号码。

10.如权利要求9所述的装置，其特征在于，所述验证模块具体用于，向该终端所属的通信运营商发送ICCID采集请求，使得所述通信运营商通过向该终端发送空中下载技术OTA短信，采集该终端的ICCID，接收所述通信运营商返回的、采集到的该终端的ICCID。