CN1777098A - 动态密码认证***、方法及其用途 - Google Patents
动态密码认证***、方法及其用途 Download PDFInfo
- Publication number
- CN1777098A CN1777098A CN 200410084210 CN200410084210A CN1777098A CN 1777098 A CN1777098 A CN 1777098A CN 200410084210 CN200410084210 CN 200410084210 CN 200410084210 A CN200410084210 A CN 200410084210A CN 1777098 A CN1777098 A CN 1777098A
- Authority
- CN
- China
- Prior art keywords
- dynamic
- user
- application system
- server
- dynamic password
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Storage Device Security (AREA)
Abstract
本发明涉及一种动态密码认证***、动态密码认证方法及其用途，动态密码认证***基于互联网进行传输，包括应用***服务器，应用***服务器终端，动态密码卡，动态密码卡产生随机动态密码，用户通过应用***服务器终端将该动态密码发送给应用***服务器，应用***服务器对该动态密码进行认证，并根据认证结果确定用户是否能够登录，可以用于游戏、金融、证券、企业管理和电子商务等多种领域。本发明实行双因素认证机制来鉴别用户身份，动态密码随时间变化，不易被剽窃，具有独特的算法，也不易被推测出后续密码，可以有效地防止用户名被盗用。
Description
技术领域
本发明涉及一种动态密码认证***、认证方法及其用途，尤其涉及一种基于移动令牌的动态密码认证***、认证方法及其用途。
背景技术
身份认证是保证***安全、稳定运行不可缺少和至关重要的一个环节。用户在访问应用***时，需要首先通过某种身份验证机制来验证用户的身份与所宣称的是否一致，身份验证成功后才能根据用户的身份和授权数据库决定用户是否能够访问***的某个资源或进行某项操作，否则***将会拒绝其访问。
目前，常用的身份认证技术主要有固定密码评语和动态密码认证两种方式。
固定密码认证方式采用“用户名/帐号+密码＝用户身份”的认证方式，密码由自设，记忆在脑子里，登录时先输入用户名/帐号，再输入密码，两串数字与后台***预留的一致即可确认为合法授权用户，反之则为非法用户。这种采用帐号加密码的方式对授权对象的身份进行认证的技术因其极大的方便性一直以来是一项在很多领域被普遍采用的一种成熟技术。但是这种认证方式的缺点在于：由于客户的帐号是固定的明文(一般是不加密的***数字与字母)，密码又是静态的，客户在很长一段时间内不会修改，随着异地登录越来越频繁，应用环境的变化和高科技犯罪手段的发展，窃取这两项后假冒合法授权用户进入其帐户进行恶意操作的案件越来越多。总之，用用户名加静态密码(固定密码)对客户的身份进行确认的安全强度已经远远不够。
动态密码认证是提高密码安全强度的后种有效手段。现有的动态密码认证***主要由动态密码产生/认证服务器、动态密码产生/认证备份服务器、客户端接收器和管理工作站等组成。它是基于动态密码产生/认证服务器端产生一个动态密码，发送到客户端接收器(通讯终端，如手机等)，客户登录时同时输入静态密码和接收到的动态密码，以解决静态密码被破译的问题。但是这种动态密码认证方式也有其不可避免的缺点，客户必须有一个移动终端来接收动态密码，而且需要借且无线通讯***，具有一定的不可靠性。
发明内容
为了解决目前密码验证***的缺陷，本发明提供了一种更为安全，使用更为方便的动态密码身份认证***、方法及其用途。
本发明的动态密码认证***基于互联网进行传输，包括应用***服务器，应用***服务器终端，动态密码卡。动态密码卡产生随机动态密码，用户通过应用***终端将该动态密码发送给应用***服务器，应用***服务器对该动态密码进行认证，并根据认证结果确定用户是否能够登录。
所述应用***服务器包括一动态密码认证服务器，其根据计算规则计算出认证密码，与用户输入的密码进行比较，然后将认证结果返回应用***服务器。
所述应用***服务器还包括管理工作站，其对动态密码卡的用户操作、查询、参数设计、备份进行管理。
所述应用***服务器还包括一数据库服务器，用于存储***数据。
应用***服务器设置一时间窗口，允许该时间窗口内的动态密码卡登录。
动态密码卡与应用***服务器之间的时间窗口可以根据登录间隔时间或不同调用而进行动态调整的。
用户使用动态密码卡的时间超过了设定的时间窗口，***则会要求用户输入当前密码以及下一动态密码卡。
每一动态密码卡在应用***服务器上启用时与一用户名绑定。
用户在启用动态密码卡时申请绑定，应用***服务器设定一验证期，对用户身份进行验证。
用户在启用动态密码卡时申请绑定，应用***服务器还设定一确认期，用户须在确认期内对该绑定进行确认。
所述应用***服务器是网络游戏服务器。
本发明的动态密码认证方法，包括如下步骤：
用户开启动态密码卡，将其上显示的动态密码输入应用***服务器终端；
应用***服务器终端将动态密码发送至应用***服务器；
***对动态密码进行验证，并确定用户是否能够登录。
对动态密码进行验证是由应用***内嵌入的认证服务器来完成的，认证服务器将认证结果返回应用***服务器。
对动态密码进行验证是由一认证服务器来完成的，认证服务器将认证结果返回应用***服务器。
认证服务器对一定时间窗口内的动态密码进行验证。
认证服务器的时间窗口是动态调整的。
用户使用动态密码卡的时间超过了设定的时间窗口，***则会要求用户输入当前密码以及下一动态密码卡。
用户在启用动态密码时，***提示先对动态密码卡与用户的帐户进行绑定。
***对绑定申请进行验证，并设定一确认期，用户在该确认期内对绑定进行确认。
所述应用***服务器是网络游戏服务器。
管理工作站对动态密码卡的用户操作、查询、参数设计、备份进行管理。
本发明的动态密码认证***和方法可以用于游戏、金融、证券、企业管理和电子商务等多种领域。
本发明实行双因素认证机制来鉴别用户身份，动态密码随时间变化，不易被剽窃，具有独特的算法，也不易被推测出后续密码，可以有效地防止用户名被盗用。
附图说明
下面结合附图和实施例对本发明进一步说明。
图1是本发明的密码认证***的一种实施例的架构示意图。
图2是本发明的密码认证***的另一种实施例的架构示意图。
图3是本发明的密码认证方法的主流程图。
图4是本发明的密码认证方法的第一认证分支流程图。
图5是本发明的密码认证方法的第二认证分支流程图。
图6是本发明的密码认证方法的绑定流程图。
图7是本发明的密码认证方法的解绑流程图。
具体实施方式
如图1所示，在本发明的一个实施例中，应用***服务器是网络游戏应用服务器，应用***服务器终端即网络游戏用户终端，用户终端和游戏服务器之间基于互联网交换数据。
还可以设有一个或多个数据库服务器，用于存储***数据，也可以采用嵌入游戏应用服务器的数据库。
还包括管理工作站，其对动态密码卡的用户操作、查询、参数设计、备份进行管理。
如图2所示的本发明的***的另一种实施例，其架构分层设计，用户终端为第一层，通过互联网与第二层的游戏登录服务器和密宝网站相联，第二层也是通过互联网与令牌认证服务器相联。
在启用动态密码卡时，用户访问游戏应用服务器，输入用户帐号，静态密码，动态密码卡(令牌)的产品序列号，申请将用户帐号与动态密码卡进行绑定，***设置一个验证期和一个确认期，验证期和确认期的长短可以任意设定，一般设置成为用户登录服务器的周期，约6天左右。用户需要在确认期内对该绑定进行最后确认，设置确认期的目的是为了防止恶意绑定。***也可以不设验证期，只设定确认期。
申请绑定期间帐户仍可以使用，在登录时***会提示正在申请绑定，对于新注册的的帐户申请绑定立即完成，不设验证期和确认期，不需要确认绑定。
如图3、图4、图5所示的用户密码认证流程，动态密码卡产生随机动态密码，用户(在游戏客户端或网页上)接通应用***服务器；在用户终端输入用户名、静态密码和动态密码卡上显示的数字作为此时的动态登录密码；登录服务器从数据库中得到该用户的有关数据，判断静态密码是否正确，通过验证，***再进行密宝绑定状态判断，如果未绑定，则按正常的流程登录，如果已绑定，***将动态密码卡的序列号和动态密码提交到令牌认证服务器，由令牌服务器认证动态密码是否正确，认证服务器根据由用户身份确定的秘密数据计算出认证密码，与用户输入密码比较，并返回认证结果；如果不出现连接异常等信息，则通过验证，允许登录服务器；如果该用户已挂失，则根据用户选择的挂失后可以登录或不可以登录通知客户端；如果该令牌已停用、已到期、绑定不存在或不存在这个序列号，则通知客户端，更改数据库，置未绑定状态，让客户正常登录；如果出现其它失败信息，发送具体失败信息给客户端，通知客户正常登录；如果需要输入第二次口令进行验证，则提示用户输入密宝的下一次密码，并提交认证服务器认证，返回认证结果，然后再按上述步骤进行。如果该令牌处于绑定中，***检测绑定申请日期是否超过6天，如果尚未超过6天，提示客户在申请期加6天后确认；如果用户申请日期超过12天或用户通过网页找回过密码，则发送解绑相关信息到令牌服务器解绑，否则提示客户确认绑定，用户可选择立即绑定或以后再绑定。
如图6所示，用户要将动态密码卡与游戏帐户绑定，需要进入应用***服务器，输入绑定相关信息、动态口令，***验证静态密码是否正确，如果正确，则将绑定相关信息、动态口令提交到令牌认证服务器，并得到令牌服务器返回值，如果动态密码正确，令牌的状态正确，***更改登录服务器数据库中相应数据，通知客户端绑定成功。如果动态密码验证未通过，则通知客户绑定失败或要求客户输入下一动态口令，重新验证，并重复上述步骤。
如图7所示，用户要解除游戏帐号和动态密码卡的绑定，进入应用***服务器，输入解绑相关信息、动态口令，***验证静态密码是否正确，如果正确，***判断数据库中的帐号是否已经绑定，如果已绑定，将解绑相关信息、动态口令提交到令牌认证服务器，并得到令牌服务器返回值，如果动态密码正确，令牌的状态正确，***解除数据库中的绑定关系并通知客户端解除绑定成功。如果动态密码验证未通过，则通知客户绑定失败或要求客户输入下一动态口令，重新验证，并重复上述步骤。
认证服务器可以是独立模式，也可以嵌入于游戏应用服务器；
游戏应用服务器设置一时间窗口，允许该时间窗口内的动态密码登录。考虑到已显示过的密码会有泄露的可能性，而后续的密码则很难被推测出，因此采用非对称的时间窗口，如前1分钟后2分钟的动态密码都允许登录；
对登录间隔时间不同的卡采用不同的时间窗口，如一周未登录的卡时间窗口为1分钟，两周未登录的卡时间窗口为2分钟；
当用户在使用动态密码时，超过了时间窗口所允许的范围，***则要求用户输入当前的密码以及下一分钟的密码进行校准；
对每块卡的偏差量进行动态调整：用户每次使用动态密码时，***会根据其偏差量进行调整；
由于对每个调用的安全要求不同，采用不同的时间窗口大小，如在产品启用时允许10分钟的误差范围，在登录时允许1分钟的误差范围。
如果用户遗失动态密码卡，可以向***申请挂失。挂失有两种选择，一种是挂失后可以用静态码登录帐号，一种是挂失后帐号禁止登录。
如果用户遗失动态密码卡并向***申请挂失后又找回动态密码卡，用户可以申请解除挂失。解除挂失后，动态密码卡对帐号的保护重新生效。
如果用户不想再使用动态密码卡，可以向***申请停用。停用后的动态密码卡对帐号不再有保护作用。
如果用户想用新的动态密码卡替代旧的动态密码卡，可以向***申请替换。替换后用户所有的认证、绑定、解绑等操作都可以直接使用新动态密码卡。
本发明的密码认证***和方法还可以用于银行、证券、企业管理和电子商务等多种需要登录密码验证的领域。
Claims (21)
1.一种动态密码认证***，包括应用***服务器，应用***服务器终端，动态密码卡，其特征在于，动态密码卡产生随机动态密码，用户通过应用***服务器终端将该动态密码发送给应用***服务器，应用***服务器对该动态密码进行认证，并根据认证结果确定用户是否能够登录。
2.如权利要求1所述的动态密码认证***，其特征在于，所述应用***服务器包括一动态密码认证服务器，其根据计算规则计算出认证密码，并与用户输入的密码进行比较，并将认证结果返回应用***服务器。
3.如权利要求2所述的动态密码认证***，其特征在于，所述应用***服务器还包括管理工作站，其对动态密码卡的用户操作、查询、参数设计、备份进行管理。
4.如权利要求3所述的动态密码认证***，其特征在于，应用***服务器设置一时间窗口，允许该时间窗口内的动态密码登录。
5.如权利要求4所述的动态密码认证***，其特征在于，动态密码卡与应用***服务器之间的时间窗口可以根据登录间隔时间或不同调用而进行动态调整的。
6.如权利要求5所述的动态密码认证***，其特征在于，用户使用动态密码卡的时间超过了设定的时间窗口，***则会要求用户输入当前密码以及下一动态密码。
7.如权利要求6所述的动态密码认证***，其特征在于，每一动态密码卡在应用***服务器上启用时与一用户名绑定。
8.如权利要求7所述的动态密码认证***，其特征在于，用户在启用动态密码卡时申请绑定，应用***服务器设定一验证期，对用户身份进行验证。
9.如权利要求8所述的动态密码认证***，其特征在于，用户在启用动态密码卡时申请绑定，应用***服务器还设定一确认期，用户须在确认期内对该绑定进行确认。
10.如权利要求9所述的动态密码认证***，其特征在于，所述应用***服务器是网络游戏服务器。
11.一种动态密码认证方法，包括如下步骤：
(1)用户开启动态密码卡，将其上显示的动态密码输入应用***终端；
(2)应用***终端将动态密码发送至应用***服务器；
(3)***对动态密码进行验证，并确定用户是否能够登录。
12.如权利要求11所述的动态密码认证方法，其特征在于：对动态密码进行验证是由应用***内嵌入的认证服务器来完成的，认证服务器将认证结果返回应用***服务器。
13.如权利要求11所述的动态密码认证方法，其特征在于：对动态密码进行验证是由一认证服务器来完成的，认证服务器将认证结果返回应用***服务器。
14.如权利要求12或13所述的动态密码认证方法，其特征在于：认证服务器对一定时间窗口内的动态密码进行验证。
15.如权利要求14所述的动态密码认证方法，其特征在于：认证服务器的时间窗口是动态调整的。
16.如权利要求15所述的动态密码认证方法，其特征在于：用户使用动态密码卡的时间超过了设定的时间窗口，***则会要求用户输入当前密码以及下一动态密码卡。
17.如权利要求16所述的动态密码认证方法，其特征在于：用户在启用动态密码时，***提示先对动态密码卡与用户的帐户进行绑定。
18.如权利要求17所述的动态密码认证方法，其特征在于：***对绑定申请进行验证，并设定一确认期，用户在该确认期内对绑定进行确认。
19.如权利要求18所述的动态密码认证方法，其特征在于：所述应用***服务器是网络游戏服务器。
20.如权利要求19所述的动态密码认证方法，其特征在于：管理工作站对动态密码卡的用户操作、查询、参数设计、备份进行管理。
21.如权利要求1所述的动态密码认证***的应用：其特征在于：用于游戏、金融、证券、企业管理和电子商务等多种领域。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN 200410084210 CN1777098A (zh) | 2004-11-16 | 2004-11-16 | 动态密码认证***、方法及其用途 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN 200410084210 CN1777098A (zh) | 2004-11-16 | 2004-11-16 | 动态密码认证***、方法及其用途 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN1777098A true CN1777098A (zh) | 2006-05-24 |
Family
ID=36766426
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN 200410084210 Pending CN1777098A (zh) | 2004-11-16 | 2004-11-16 | 动态密码认证***、方法及其用途 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN1777098A (zh) |
Cited By (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101047508B (zh) * | 2007-01-15 | 2010-05-19 | 深圳市莱克科技有限公司 | 登录认证*** |
| CN101166092B (zh) * | 2006-10-19 | 2011-07-06 | 富士施乐株式会社 | 认证***、认证服务提供设备与方法 |
| CN103269273A (zh) * | 2013-06-03 | 2013-08-28 | 上海众人网络安全技术有限公司 | 一种无关账户无缝接入的动态密码登录***及方法 |
| CN104243458A (zh) * | 2014-09-01 | 2014-12-24 | 广州博冠信息科技有限公司 | 一种安全的网络游戏登录方法及*** |
| WO2019041782A1 (zh) * | 2017-08-31 | 2019-03-07 | 京东方科技集团股份有限公司 | 物品使用控制方法、验证设备、终端设备以及*** |
| CN111698259A (zh) * | 2020-06-18 | 2020-09-22 | 北京无忧创想信息技术有限公司 | 一种基于蓝牙设备的动态认证登录设备、***及方法 |
| CN112399360A (zh) * | 2020-11-13 | 2021-02-23 | 平安科技（深圳）有限公司 | 短信动态口令验证方法、服务端、客户端及存储介质 |
| CN112532566A (zh) * | 2019-09-18 | 2021-03-19 | 神州云端(深圳)科技有限公司 | 一种互联网和局域网云桌面用户统一认证方法和*** |
-
2004
- 2004-11-16 CN CN 200410084210 patent/CN1777098A/zh active Pending
Cited By (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101166092B (zh) * | 2006-10-19 | 2011-07-06 | 富士施乐株式会社 | 认证***、认证服务提供设备与方法 |
| CN101047508B (zh) * | 2007-01-15 | 2010-05-19 | 深圳市莱克科技有限公司 | 登录认证*** |
| CN103269273A (zh) * | 2013-06-03 | 2013-08-28 | 上海众人网络安全技术有限公司 | 一种无关账户无缝接入的动态密码登录***及方法 |
| CN103269273B (zh) * | 2013-06-03 | 2016-03-23 | 上海众人网络安全技术有限公司 | 一种无关账户无缝接入的动态密码登录***及方法 |
| CN104243458A (zh) * | 2014-09-01 | 2014-12-24 | 广州博冠信息科技有限公司 | 一种安全的网络游戏登录方法及*** |
| WO2019041782A1 (zh) * | 2017-08-31 | 2019-03-07 | 京东方科技集团股份有限公司 | 物品使用控制方法、验证设备、终端设备以及*** |
| CN112532566A (zh) * | 2019-09-18 | 2021-03-19 | 神州云端(深圳)科技有限公司 | 一种互联网和局域网云桌面用户统一认证方法和*** |
| CN111698259A (zh) * | 2020-06-18 | 2020-09-22 | 北京无忧创想信息技术有限公司 | 一种基于蓝牙设备的动态认证登录设备、***及方法 |
| CN111698259B (zh) * | 2020-06-18 | 2022-05-10 | 北京无忧创想信息技术有限公司 | 一种基于蓝牙设备的动态认证登录设备、***及方法 |
| CN112399360A (zh) * | 2020-11-13 | 2021-02-23 | 平安科技（深圳）有限公司 | 短信动态口令验证方法、服务端、客户端及存储介质 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN1855810A (zh) | 动态密码认证***、方法及其用途 | |
| US7752434B2 (en) | System and method for secure communication | |
| CN1212716C (zh) | 因特网上不同应用***间用户认证信息共享的方法 | |
| CN101183932B (zh) | 一种无线应用服务的安全认证***及其注册和登录方法 | |
| US8505085B2 (en) | Flexible authentication for online services with unreliable identity providers | |
| US8627424B1 (en) | Device bound OTP generation | |
| US20090132828A1 (en) | Cryptographic binding of authentication schemes | |
| CN1823513A (zh) | 用于升级到基于证书的认证而不打断现有ssl会话的方法和*** | |
| CN101257489A (zh) | 一种保护账号安全的方法 | |
| CN1731723A (zh) | 电子/手机令牌动态口令认证*** | |
| CN1866822A (zh) | 一种统一认证的实现方法 | |
| CN1274105C (zh) | 基于数字证书实现的动态口令认证方法 | |
| CN101051908A (zh) | 动态密码认证***及方法 | |
| CN1878170A (zh) | 用于管理会话标识符的方法和设备 | |
| CN1815482A (zh) | 获取凭证的方法和验证凭证的方法 | |
| CN1805341A (zh) | 跨安全域的网络认证和密钥分配方法 | |
| CN101064695A (zh) | 一种P2P(Peer to Peer)安全连接的方法 | |
| CN1694570A (zh) | 一种在移动用户和应用服务器之间建立安全信道的方法 | |
| CN112039889B (zh) | 免密码登录方法、装置、设备及存储介质 | |
| CN100365974C (zh) | 一种控制计算机登录的设备及方法 | |
| CN109495486B (zh) | 一种基于JWT的单页Web应用集成CAS的方法 | |
| CN1620005A (zh) | 一种安全发送传输密钥的方法 | |
| CN102868702A (zh) | ***登录装置和***登录方法 | |
| CN1889081A (zh) | 一种数据库安全访问方法和*** | |
| CN1777098A (zh) | 动态密码认证***、方法及其用途 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| C02 | Deemed withdrawal of patent application after publication (patent law 2001) | ||
| WD01 | Invention patent application deemed withdrawn after publication |