TWI675579B

TWI675579B - 網路身份驗證系統與方法

Info

Publication number: TWI675579B
Application number: TW106133931A
Authority: TW
Inventors: 曾銀宏; 林俊明; 劉勝昌; 陳宥存; 卓瑩鎗
Original assignee: 優仕達資訊股份有限公司
Priority date: 2017-09-30
Filing date: 2017-09-30
Publication date: 2019-10-21
Also published as: CN109600354A; TW201916631A

Abstract

本發明提供一種網路身份驗證系統與方法，該系統包含：一用戶終端裝置與一驗證伺服器，其中該用戶終端裝置生成用戶識別碼、終端密碼、第一密碼與第二密碼，並加密演算而獲得雲端密碼，而將用戶識別碼、雲端密碼與該第一密碼註冊於驗證伺服器，該用戶終端裝置因應一身份確認請求而經過兩次加密運算後發出用戶識別碼與一次性有效驗證碼給驗證伺服器。該驗證伺服器接收驗證碼後經過至少兩次解密運算後才進行比對以獲得身份驗證結果。本發明系統與方法藉由用戶端與雲端所存密碼資料不同步，避免其中一方密碼外洩而影響用戶身份驗證的安全性。

Description

網路身份驗證系統與方法

本發明是關於一種網路身份驗證系統與方法，特別是，本發明是一種實施於用戶端與伺服端/雲端之間的網路身份驗證系統與方法。

網際網路的普及使得用戶端與伺服端或雲端之間的交易日趨頻繁。依先前技術，用戶端首次註冊伺服端或雲端時，通常初始設定需要輸入個人帳號、密碼，乃至於用戶的個人資料，如身份證號與出生年月日。伺服端或雲端將用戶端首次註冊所做初始設定加以儲存，作為該用戶端日後向伺服端或雲端提出登入請求時，基於帳號、密碼乃至於用戶的個人資料，向用戶端驗證其身份。

為了提高伺服端或雲端與用戶端之間交易的安全性，部分伺服端或雲端要求用戶端必須要以實體憑證(如自然人憑證)及其讀卡機設備作為註冊程序的要求，並且在日後的登入程序以自然人憑證作為用戶端的身份驗證。

然而，伺服端或雲端因被駭客入侵而導致用戶個人資料外洩的情形也時有所聞，這將導致伺服端或雲端單方核對帳號、密碼乃至於用戶的個人資料亦無法即時驗證登入者的真實身份。此外，雖以實體憑證及其讀卡機設備作為註冊與登入程序的要求，可提高交易的安全性，卻也造成用戶端登入作業的限制與複雜的操作程序。

本發明的目的之一在於提供一種基於用戶端以終端密碼的加密與伺服端/雲端以雲端密碼的解密之網路身份驗證系統與方法。

本發明的目的之一在於提供一種使用於用戶端以終端密碼生成一次性有效密碼登入伺服端/雲端之網路身份驗證系統與方法。

本發明的目的之一在於提供一種使用於伺服端/雲端以雲端密碼解密一次性有效密碼驗證用戶端身份之網路身份驗證系統與方法。

為實現本發明之上述目的之一，本發明提出一種網路身份驗證系統，包含：一用戶終端裝置，生成一用戶識別碼、一終端密碼、一第一密碼與一第二密碼，並加密演算該終端密碼與該第二密碼而獲得一雲端密碼，且因應一身份確認請求而發出一確認回覆請求，該確認回覆請求至少包含：該用戶識別碼、一第三密碼與一驗證碼；以及一驗證伺服器，儲存該用戶識別碼，以及對應該用戶識別碼的該雲端密碼與該第一密碼，並接收該用戶終端裝置發出的該確認回覆請求，而進行以下的運算以獲得一驗證結果：解密演算該第一密碼與該第三密碼而獲得該第二密碼；解密演算該雲端密碼與該第二密碼而獲得該終端密碼；加密演算該終端密碼、該第一密碼與一一次性有效序號而獲得一運算碼；以及比對該驗證碼與該運算碼，以獲得該驗證結果。

為實現本發明之上述目的之一，本發明提出一種網路身份驗證方法，包含：在一用戶終端裝置，生成一用戶識別碼、一終端密碼、一第一密碼與一第二密碼，並加密演算該終端密碼與該第二密碼而獲得一雲端密碼，且因應一身份確認請求而發出一確認回覆請求，該確認回覆請求至少包含：該用戶識別碼、一第三密碼與一驗證碼；該用戶終端裝置發出一註冊請求，基於該用戶識別碼，將對應該用戶識別碼的該雲端密碼與該第一密碼註冊到一驗證伺服器；以及在該驗證伺服器，因應該用戶終端裝置發出的該確認回覆請求，而進行以下的運算以獲得一驗證結果：解密演算該第一密碼與該第三密碼而獲得該第二密碼；解密演算該雲端密碼與該第二密碼而獲得該終端密碼；加密演算該終端密碼、該第一密碼與一一次性有效序號而獲得一運算碼；以及比對該驗證碼與該運算碼，以獲得該驗證結果。

為實現本發明之上述目的之一，本發明提出一種網路身份驗證系統，包含：一驗證伺服器，經由一網路而與一用戶終端裝置通訊，該驗證伺服器包含：一用戶資料庫，儲存一用戶識別碼，以及對應該用戶識別碼的一雲端密碼與一第一密碼；一回覆模組，接收該用戶終端裝置發出的一確認回覆請求，據以獲得一驗證結果，其中該確認回覆請求至少包含：該用戶識別碼、一第三密碼與一驗證碼；以及一加解密模組，進行以下的運算：根據一第二解密演算法，運算該第一密碼與該第三密碼而獲得一第二密碼；根據一第一解密演算法，運算該雲端密碼與該第二密碼而獲得一終端密碼；以及根據一第三加密演算法，運算該終端密碼、該第一密碼與一一次性有效序號而獲得一運算碼；其中，比對該驗證碼與該運算碼，以獲得該驗證結果。

為實現本發明之上述目的之一，本發明提出一種網路身份驗證方法，使用於一驗證伺服器，該驗證伺服器經由一網路而與一用戶終端裝置通訊，該網路身份驗證方法包含：註冊一用戶識別碼，以及對應該用戶識別碼的一雲端密碼與一第一密碼於一用戶資料庫；以及回應該用戶終端裝置發出的一確認回覆請求，據以獲得一驗證結果，其中該確認回覆請求至少包含：該用戶識別碼、一第三密碼與一驗證碼；其中，獲得該驗證結果，包含以下的運算：根據一第二解密演算法，運算該第一密碼與該第三密碼而獲得一第二密碼；根據一第一解密演算法，運算該雲端密碼與該第二密碼而獲得一終端密碼；根據一第三加密演算法，運算該終端密碼、該第一密碼與一一次性有效序號而獲得一運算碼；以及比對該驗證碼與該運算碼，而獲得該驗證結果。

為實現本發明之上述目的之一，本發明提出一種網路身份驗證系統，包含：一用戶終端裝置，經由一網路而與一驗證伺服器通訊，該用戶終端裝置包含：一密碼生成模組，生成一用戶識別碼、一終端密碼、一第一密碼與一第二密碼，並根據一第一加密演算法，運算該終端密碼與該第二密碼而獲得一雲端密碼；一登入/註冊模組，發出一註冊請求，基於該用戶識別碼，將對應該用戶識別碼的該雲端密碼與該第一密碼註冊到該驗證伺服器；一請求/回覆模組，因應一身份確認請求而發出一確認回覆請求給該驗證伺服器，致使該驗證伺服器發出一驗證結果；以及一加密模組，因應該身份確認請求，進行以下的運算：獲得一一次性有效序號；根據一第二加密演算法，運算該第一密碼與該第二密碼而獲得一第三密碼；以及根據一第三加密演算法，運算該終端密碼、該第一密碼與該一次性有效序號而獲得一驗證碼；其中，該確認回覆請求至少包含：該用戶識別碼、該第三密碼與該驗證碼。

為實現本發明之上述目的之一，本發明提出一種網路身份驗證方法，使用於一用戶終端裝置，該用戶終端裝置經由一網路而與一驗證伺服器通訊，該網路身份驗證方法包含：生成一用戶識別碼、一終端密碼、一第一密碼與一第二密碼，並根據一第一加密演算法，運算該終端密碼與該第二密碼而獲得一雲端密碼；基於該用戶識別碼，將對應該用戶識別碼的該雲端密碼與該第一密碼註冊到該驗證伺服器的一用戶資料庫；以及因應一身份確認請求，進行以下的運算：獲得一一次性有效序號；根據一第二加密演算法，運算該第一密碼與該第二密碼而獲得一第三密碼；根據一第三加密演算法，運算該終端密碼、該第一密碼與該一次性有效序號而獲得一驗證碼；以及發出一確認回覆請求，至少將該用戶識別碼、該第三密碼與該驗證碼發送給該驗證伺服器，致使該驗證伺服器發出一驗證結果。

為實現本發明之上述目的之一，本發明提出一種網路身份驗證方法，包含：儲存一用戶識別碼，以及對應該用戶識別碼的一雲端密碼與一第一密碼於一用戶資料庫，其中該雲端密碼是根據一第一加密演算法，運算一終端密碼與一第二密碼而獲得；以及因應一確認回覆請求，以接收該用戶識別碼、一第三密碼與一一次性有效驗證碼，並進行以下步驟：根據一第二解密演算法，運算該第一密碼與該第三密碼而獲得該第二密碼；根據一第一解密演算法，運算該雲端密碼與該第二密碼而獲得該終端密碼；根據一第三加密演算法，運算該終端密碼、該第一密碼與一一次性有效序號而獲得一運算碼；以及比對該一次性有效驗證碼與該運算碼是否相同。

根據本發明所實施的網路身份驗證系統與方法，用戶終端在進行身份驗證時，作業環境無須實體憑證(如：自然人驗證)及其相關讀取設備，而直接利用用戶現有的行動終端裝置即可執行網路身份驗證，具有低成本；且基於行動終端裝置的便利性即可隨時隨地執行身份驗證，而不需受限特定場地，具有高移動性；行動終端裝置所安裝的應用程式(App)基於單一作動操作程序，可使行動終端裝置快速完成整個身份驗證過程，具有高便利性。

此外，基於以下特點，即便驗證伺服器或行動終端裝置的資料被盜取，也不影響用戶身份驗證的安全性，具有高安全性：(i)本發明系統與方法在用戶端與驗證伺服端係分別儲存終端密碼與加密該終端密碼而獲得的雲端密碼，兩者資料不同步。(ii)本發明系統與方法生成第二密碼僅儲存於用戶端，而不儲存於驗證伺服端，而於執行身份驗證時，該第二密碼才從用戶端加密並傳送至驗證伺服端，作為雲端密碼解密之用，因此即便驗證伺服端的雲端密碼或用戶端的終端密碼被盜取，但若無該第二密碼仍然無法執行身份驗證。(iii)本發明系統與方法利用一次性有效序號，使每次進行身份驗證時驗證碼皆不同，無法重複使用，且不先儲存於用戶端或驗證伺服端，而為了執行身份驗證時才產生獲得一次性有效序號來生成驗證碼，才傳送至驗證伺服端進行身份驗證的比對。(iv)本發明系統與方法在用戶端經過兩次加密運算後才發出確認回覆請求給驗證伺服端，而在驗證伺服端經過兩次解密運算與一次加密運算後才進行比對以獲得驗證結果。(v)本發明系統與方法在驗證伺服端進行身份驗證比對時，係比對在用戶端經過一次加密運算過的驗證碼與在驗證伺服端經過加解密運算過的運算碼，而非直接比對未加密且同時儲存於用戶端或驗證伺服端的密碼。(vi)本發明系統與方法於身份驗證完畢後，用戶端與驗證伺服端皆會更新第一密碼，使每次身份驗證程序使用不同的第一密碼進行運算。

10‧‧‧驗證伺服器

11‧‧‧用戶資料庫

12‧‧‧登入/註冊模組

13‧‧‧加解密模組

14‧‧‧回覆模組

20‧‧‧用戶終端裝置

21‧‧‧應用程式

22‧‧‧登入/註冊模組

23‧‧‧密碼生成模組

24‧‧‧加密模組

25‧‧‧請求/回覆模組

30‧‧‧網站伺服器

100、200、300‧‧‧網路身份驗證方法

101~104、201~206、301~309‧‧‧步驟

第一A圖是本發明的一種網路身份驗證系統的架構圖。

第一B圖是本發明的另一種網路身份驗證系統的架構圖。

第二圖是本發明系統的用戶終端裝置的方塊圖。

第三圖是本發明系統的驗證伺服器的方塊圖。

第四圖是本發明網路身份驗證方法的流程圖。

第五圖是本發明網路身份驗證方法使用於用戶終端裝置的流程圖。

第六圖是本發明網路身份驗證方法使用於驗證伺服器的流程圖。

第七A圖是如第一A圖所示本發明系統的訊息傳送圖。

第七B圖是如第一B圖所示本發明系統的訊息傳送圖。

首先請參考第一A圖，係顯示本發明的一種網路身份驗證系統的架構圖。在本發明的此一實施例中，一種網路身份驗證系統包含：一用戶終端裝置20與一驗證伺服器10，其中該用戶終端裝置20較佳地為一行動通訊裝置。該用戶終端裝置20安裝一應用程式(App)，以連線該驗證伺服器10。該用戶終端裝置20的應用程式將生成一組關聯密碼，該組關聯密碼包含一用戶識別碼user_id、一終端密碼key_A、一第一密碼key_B與一第二密碼Hide_no，並加密演算而獲得一雲端密碼key_A’。該用戶終端裝置20向該驗證伺服器10發出一註冊請求，將該用戶識別碼user_id、該雲端密碼key_A’與該第一密碼key_B註冊於驗證伺服器10，作為身份驗證之用。該驗證伺服器10基於該用戶識別碼user_id，將對應該用戶識別碼user_id的該雲端密碼key_A’與該第一密碼key_B儲存於一用戶資料庫11，其中該用戶識別碼user_id較佳地為一手機門號或一手機的國際移動設備識別碼(International Mobile Equipment Identity number，IMEI)或一唯一的序號。

請一併參考第七A圖，顯示如第一A圖所示本發明系統的訊息傳送圖。用戶終端裝置20安裝應用程式後，在註冊程序中發出註冊請求給驗證伺服器10，以傳送一組身份驗證用的密碼，俾使驗證伺服器10儲存該組密碼於用戶資料庫11。當用戶終端裝置20或用戶端個人電腦欲登入一網站伺服器30時，該用戶終端裝置20向該網站伺服器30發出一登入請求，而該網站伺服器30的登入作業因應該登入請求而發出一身份確認請求給用戶終端裝置20與驗證伺服器10。該用戶終端裝置20收到該網站伺服器30提出的身份確認請求後，在單一作動程序中經過兩次加密運算後產生一一次性有效驗證碼AC，才基於用戶識別碼user_id發出一確認回覆請求將身份驗證用的密碼傳給該驗證伺服器10。此外，該驗證伺服器10收到該網站伺服器30提出的身份確認請求後，於驗證程序會等待該用戶終端裝置20發出該確認回覆請求，以接收該一次性有效驗證碼AC，並在驗證程序中經過兩次解密運算與一次加密運算後才進行比對以獲得一驗證結果。該驗證伺服器10基於該用戶識別碼user_id將該驗證結果回覆給發出身份確認請求的該網站伺服器30，俾使該網站伺服器30的登入作業據以決定是否接受用戶終端裝置20或用戶端個人電腦登入。

請參考第一B圖，係顯示本發明的另一種網路身份驗證系統的架構圖。在本發明的此一實施例中，一種網路身份驗證系統包含：一用戶終端裝置20與一驗證伺服器10，其中該用戶終端裝置20較佳地為一行動通訊裝置。該用戶終端裝置20安裝一應用程式(App)，以連線該驗證伺服器10。該用戶終端裝置20的應用程式將生成一組關聯密碼，該組關聯密碼包含一用戶識別碼user_id、一終端密碼key_A、一第一密碼key_B與一第二密碼Hide_no，並加密演算而獲得一雲端密碼key_A’。該用戶終端裝置20向該驗證伺服器10發出一註冊請求，將該用戶識別碼user_id、該雲端密碼key_A’與該第一密碼key_B註冊於驗證伺服器10，作為身份驗證之用。該驗證伺服器10基於該用戶識別碼user_id，將對應該用戶識別碼user_id的該雲端密碼key_A’與該第一密碼key_B儲存於一用戶資料庫11，其中該用戶識別碼user_id較佳地為一手機門號或一手機的國際移動設備識別碼(International Mobile Equipment Identity number，IMEI)或一唯一的序號。

請一併參考第七B圖，顯示如第一B圖所示本發明系統的訊息傳送圖。用戶終端裝置20安裝應用程式後，在註冊程序中發出註冊請求給驗證伺服器10，以傳送一組身份驗證用的密碼，俾使驗證伺服器10儲存該組密碼於用戶資料庫11。當用戶終端裝置20或用戶端個人電腦欲登入該驗證伺服器10時，該用戶終端裝置20向該驗證伺服器10發出一登入請求，而該驗證伺服器10的登入作業因應該登入請求而發出一身份確認請求給用戶終端裝置20。該用戶終端裝置20收到該驗證伺服器10提出的身份確認請求後，在單一作動程序中經過兩次加密運算後產生一一次性有效驗證碼AC，才基於用戶識別碼user_id發出一確認回覆請求將身份驗證用的密碼傳給該驗證伺服器10。該驗證伺服器10的驗證程序因應該用戶終端裝置20發出該確認回覆請求，以接收該一次性有效驗證碼AC，並在驗證程序中經過兩次解密運算與一次加密運算後才進行比對以獲得一驗證結果。該驗證伺服器10基於該驗證結果以決定是否接受用戶終端裝置20或用戶端個人電腦登入。

在第一B圖所示的不同實施例中，該用戶終端裝置20向該驗證伺服器10發出一登入請求後，便可發出確認回覆請求給驗證伺服器10進行身份驗證，無需在發出登入請求後等待驗證伺服器10發出身份確認請求才執行確認回覆請求。

在上述的實施例中，身分確認請求是一個促使用戶終端裝置20發出一回覆確認請求給該驗證伺服器10用之命令。在第一A圖所示的實施例中，該網站伺服器30提出的身份確認請求應包含用戶識別碼user_id。因為該驗證伺服器10收到用戶終端裝置20基於用戶識別碼user_id所發出的回覆確認請求時，要將該用戶識別碼user_id的驗證結果，回覆給發出該身分確認請求的網站伺服器。

請參考第二圖，顯示本發明系統的用戶終端裝置的方塊圖。本發明系統的用戶終端裝置20較佳地為一智慧型手機，如蘋果的iPhone手機或三星的Galaxy手機。用戶終端裝置20下載安裝一應用程式21，該應用程式 21將使用戶終端裝置20成為網路身份驗證的必要設備。用戶終端裝置20執行該應用程式21以實現以下模組：一登入/註冊模組22、一密碼生成模組23、一加密模組24與一請求/回覆模組25。該登入/註冊模組22使該用戶終端裝置20與預設的驗證伺服器10建立通訊連線。當用戶終端裝置20首次通訊連線驗證伺服器10時，該登入/註冊模組22會進入一註冊程序而發出一註冊請求給驗證伺服器10，並在該註冊程序中，由密碼生成模組23生成一組關聯密碼並加以儲存，該組關聯密碼包含一用戶識別碼user_id、一終端密碼Key_A、一第一密碼Key_B與一第二密碼Hide_no；由加密模組24根據一第一加密演算法或一第一加密演算函式Fn11運算該終端密碼Key_A與該第二密碼Hide_no而獲得一雲端密碼Key_A’，即Key_A’=Fn11{Key_A,Hide_no}。該註冊請求基於該用戶識別碼user_id，將對應該用戶識別碼user_id的該雲端密碼key_A’與該第一密碼key_B註冊到該驗證伺服器10。

在第一A圖與第一B圖所示的實施例中，該用戶終端裝置20要登入一網站伺服器30或一驗證伺服器10時，該登入/註冊模組22使該用戶終端裝置20與網站伺服器30或驗證伺服器10建立通訊連線後，發出一登入請求，該登入請求包含使用者所設的帳號與密碼。之後，請求/回覆模組25將接收到一身份確認請求，以決定是否執行單一作動程序，如第五圖所示。因應身份確認請求，加密模組24經過兩次加密演算獲得一第三密碼Key_B’與一一次性有效驗證碼AC，該請求/回覆模組25發出一確認回覆請求給驗證伺服器10，以傳送至少包含該用戶識別碼user_id、該第三密碼Key_B’與該一次性有效驗證碼AC，俾使驗證伺服器10進行用戶的網路身份驗證。

請參考第三圖，顯示本發明系統的驗證伺服器的方塊圖。本發明系統的驗證伺服器10包含一用戶資料庫11，該用戶資料庫11儲存從該用戶終端裝置20所註冊的用戶識別碼user_id，以及對應該用戶識別碼user_id的該雲端密碼key_A’與該第一密碼key_B。驗證伺服器10執行應用軟體以實現以下模組：一登入/註冊模組12、一加解密模組13與一回覆模組14。該登入/註冊模組12因應該用戶終端裝置20發出的註冊請求，將接收到的用戶識別碼user_id，以及對應該用戶識別碼user_id的該雲端密碼key_A’與該第一密碼key_B儲存至該用戶資料庫11。

在第一A圖所示的實施例中，當用戶終端裝置20或用戶端個人電腦欲登入一網站伺服器30時，該網站伺服器30因應登入請求而發出一身份確認請求給用戶終端裝置20與驗證伺服器10。該回覆模組14將接收到該身份確認請求，將等待接收用戶終端裝置20發出的確認回覆請求，以進行如第六圖所示身份驗證程序，加解密模組13經過兩次解密運算與一次加密運算後才比對獲得驗證結果，該回覆模組14並將驗證結果回覆給發出身份確認請求的該網站伺服器30，俾使該網站伺服器30據以決定是否接受用戶終端裝置20或用戶端個人電腦登入。

在第一B圖所示的實施例中，當用戶終端裝置20或用戶端個人電腦欲登入驗證伺服器10時，該驗證伺服器10的登入/註冊模組12因應登入請求而發出一身份確認請求給用戶終端裝置20。該回覆模組14將等待接收用戶終端裝置20發出的確認回覆請求，以進行如第六圖所示身份驗證程序，加解密模組13經過兩次解密運算與一次加密運算後才比對獲得驗證結果。該驗證伺服器10基於該驗證結果以決定是否接受用戶終端裝置20或用戶端個人電腦登入。

請參考第四圖，顯示本發明網路身份驗證方法的流程圖。在第一A圖與第一B圖所示的實施例中，本發明網路身份驗證系統所使用的網路身份驗證方法100，包含：步驟101，用戶終端裝置20安裝一應用程式(APP)產生一組關連密碼，包含一用戶識別碼user_id、一終端密碼key_A、一第一密碼key_B與一第二密碼Hide_no，並註冊至驗證伺服器10，使該用戶資料庫11儲存從該用戶終端裝置20所註冊的用戶識別碼user_id，以及對應該用戶識別碼user_id的該雲端密碼key_A’與該第一密碼key_B。

步驟102，用戶終端裝置20發出一登入請求後，用戶終端裝置20會接收來自網站伺服器30回應該登入請求所發出的身分確認請求，如第一A圖所示，或接收來自驗證伺服器10回應該登入請求所發出的身分確認請求，如第一B圖所示。步驟103，用戶終端裝置20因應身分確認請求，而執行如第五圖所示單一作動程序向驗證伺服器10發出一確認回覆請求，以傳送至少包含該用戶識別碼user_id、該第三密碼Key_B’與該一次性有效驗證碼AC，俾使驗證伺服器10進行用戶的網路身份驗證。最後步驟104，驗證伺服器10因應該確認回覆請求，而執行如第六圖所示身份驗證程序後，因應身份確認請求以回應驗證結果。

請參考第五圖，顯示本發明網路身份驗證方法使用於用戶終端裝置的流程圖。在本發明的實施例中，當用戶終端裝置20因應來自第一A圖所示網站伺服器30或來自第一B圖所示驗證伺服器10發出的身分確認請求，將促使該用戶終端裝置20所執行的應用程式使用如第五圖所示一種網路身份驗證方法200，包含以下步驟：步驟201，請求/回覆模組25接收來自第一A圖所示網站伺服器30或來自第一B圖所示驗證伺服器10發出的身分確認請求，該身分確認請求可以包含或不包含用戶識別碼user_id。步驟202，請求/回覆模組25判斷使用者是否由用戶終端裝置20的人機介面下達執行單一作動程序，若是，執行步驟203；若否，等待使用者下達指令，若超過一預設時間未下達指令或使用者下達不執行，則請求/回覆模組25回應身分確認請求發出未確認身份的訊息。

單一作動程序包含步驟203至步驟206。在本發明的不同實施例中，步驟202的判斷，使用者可藉由操作用戶終端裝置20所提供的人機介面來下達執行單一作動程序，該人機介面可以是觸控螢幕顯示的虛擬按鍵，或手機的Home鍵，或指紋辨識感測介面(例如：Touch ID)，或人臉辨識感測介面(例如：Face ID)，或虹膜辨識感測介面，或聲紋辨識感測介面等，以偵測使用者的單一作動的操作。

繼續參考第五圖，在步驟203，請求/回覆模組25根據用戶識別碼user_id找出對應的終端密碼key_A、第一密碼Key_B與第二密碼Hide_no。接著步驟204，由加密模組24根據一第二加密演算法或一第二加密演算函式Fn21運算該第一密碼Key_B與該第二密碼Hide_no而獲得一第三密碼Key_B’，即Key_B’=Fn21{Key_B,Hide_no}。接著步驟205，由加密模組24基於一一次性有效序號X，根據一第三加密演算法或一第三加密演算函式Fn3運算該終端密碼key_A、該第一密碼Key_B與該一次性有效序號X而獲得一一次性有效驗證碼AC，即AC=Fn3{key_A,Key_B,X}，其中該一次性有效序號X為一隨機值或一與時間有關的序號。最後，在步驟206，請求/回覆模組25回應身分確認請求以發出一確認回覆請求，至少將該用戶識別碼user_id、該第三密碼Key_B’與該驗證碼AC傳送給該驗證伺服器10。在本發明的不同實施例中，該第一加密演算法Fn11該第二加密演算法Fn21可以相同或不相同。

此外，在本發明的不同實施例中，加密模組24獲得該一次性有效序號X的方式有所不同，而決定請求/回覆模組25發出的確認回覆請求是否傳送該一次性有效序號X。例如：在因應身分確認請求所執行的單一作動程序中，由密碼生成模組23生成該一次性有效序號X以提供給加密模組24運算出該一次性有效驗證碼AC，請求/回覆模組25發出的確認回覆請求將傳送該一次性有效序號X給該驗證伺服器10；在第一A圖所示的實施例中，由網站伺服器30因應該用戶終端裝置20發出的登入請求而生成該一次性有效序號X，再透過網站伺服器30發出身份確認請求時，傳送該一次性有效序號X給該用戶終端裝置20及該驗證伺服器10，使該用戶終端裝置20的請求/回覆模組25透過接收身份確認請求，而獲得該一次性有效序號X以提供給加密模組24運算出該一次性有效驗證碼AC，請求/回覆模組25發出的確認回覆請求則無需傳送該一次性有效序號X給該驗證伺服器10；在第一B圖所示的實施例中，由該驗證伺服器10因應該用戶終端裝置20發出的登入請求而生成該一次性有效序號X，再透過該驗證伺服器10發出身份確認請求時，傳送該一次性有效序號X給該用戶終端裝置20，使該用戶終端裝置20的請求/回覆模組25透過接收身份確認請求，而獲得該一次性有效序號X以提供給加密模組24運算出該一次性有效驗證碼AC，請求/回覆模組25發出的確認回覆請求則無需傳送該一次性有效序號X給該驗證伺服器10。

在本發明第五圖所示的進一步實施例中，在步驟206之後，本發明方法200進一步包含：由密碼生成模組23生成一新的第一密碼key_B 以取代原本的第一密碼key_B，並將該新的第一密碼key_B傳送給該驗證伺服器10以取代原本註冊的第一密碼key_B，或者請求/回覆模組25接收由該驗證伺服器10所生成一新的第一密碼key_B，以取代該用戶終端裝置20原本的第一密碼key_B。

請參考第六圖，顯示本發明網路身份驗證方法使用於驗證伺服器的流程圖。在本發明第一A圖所示的實施例中，當驗證伺服器10因應來自網站伺服器30發出的身分確認請求，將促使該驗證伺服器10所執行的應用軟體使用如第六圖所示一種網路身份驗證方法300，包含以下步驟：步驟301，回覆模組14接收來自網站伺服器30發出的身分確認請求，該身分確認請求包含用戶識別碼user_id。步驟302，回覆模組14判斷是否收到用戶終端裝置20發出的確認回覆請求，若是，執行步驟303；若否，等待用戶終端裝置20發出的確認回覆請求，若超過一預設時間未收到該確認回覆請求，則回覆模組14回應身分確認請求發出未確認身份的訊息。

繼續參考第六圖，在步驟303，回覆模組14收到用戶終端裝置20發出的確認回覆請求，而獲得該用戶識別碼user_id、該第三密碼Key_B’、該一次性有效序號X與該驗證碼AC，其中該一次性有效序號X在該用戶終端裝置20生成。在本發明的不同實施例中，該一次性有效序號X若由網站伺服器30生成並透過身分確認請求傳送給該驗證伺服器10，則用戶終端裝置20的確認回覆請求就無須包含該一次性有效序號X，或者該一次性有效序號X若由該驗證伺服器10生成並透過身分確認請求傳送給該用戶終端裝置20運算出該一次性有效驗證碼AC，則用戶終端裝置20的確認回覆請求亦無須包含該一次性有效序號X。

繼續參考第六圖，在步驟304，回覆模組14根據該用戶識別碼user_id從該用戶資料庫11尋找對應該用戶識別碼user_id的該雲端密碼key_A’與該第一密碼key_B。接著步驟305，由加解密模組13根據一第二解密演算法或一第二解密演算函式Fn22運算該第三密碼Key_B’與該第一密碼Key_B而獲得一第二密碼Hide_no，即Hide_no=Fn22{Key_B’,Key_B}。接著步驟306，由加解密模組13根據一第一解密演算法或一第一解密演算函式Fn12運算該雲端密碼key_A’與該第二密碼Hide_no而獲得一終端密碼key_A，即key_A=Fn12{key_A’,Hide_no}。接著步驟307，由加解密模組13根據該第三加密演算法或該第三加密演算函式Fn3運算該終端密碼key_A、該第一密碼Key_B與該一次性有效序號X而獲得一運算碼AC’，即AC’=Fn3{key_A,Key_B,X}。接著步驟308，回覆模組14比對步驟307所獲得的運算碼AC’與用戶終端裝置20所傳送的驗證碼AC，以獲得一驗證結果。若該驗證結果顯示運算碼AC’與驗證碼AC相同，表示用戶通過身份驗證，即該用戶終端裝置20儲存的該第一密碼Key_B與該驗證伺服器10的用戶資料庫11所存對應該用戶識別碼user_id的該第一密碼Key_B相同。反之，若該驗證結果顯示運算碼AC’與驗證碼AC不相同，表示用戶沒通過身份驗證。最後，步驟309，回覆模組14因應身分確認請求回覆步驟308所獲得的驗證結果給網站伺服器30，俾使該網站伺服器30據以決定是否接受用戶終端裝置20或用戶端個人電腦登入。

繼續第六圖，在本發明第一B圖所示的實施例中，當由驗證伺服器10發出的身分確認請求給用戶終端裝置20時，該驗證伺服器10所執行的應用軟體在使用如第六圖所示網路身份驗證方法300，無須執行步驟 301，且在步驟309，登入/註冊模組12則依據步驟308所獲得的驗證結果，據以決定是否接受用戶終端裝置20或用戶端個人電腦登入。

在本發明第六圖所示的進一步實施例中，在步驟309之後，本發明方法300進一步包含：回覆模組14生成一新的第一密碼key_B，以取代用戶資料庫11所存對應該用戶識別碼user_id的原本的第一密碼key_B，並將該新的第一密碼key_B傳送給該用戶終端裝置20以取代原本的第一密碼key_B，或者回覆模組14接收由該用戶終端裝置20生成一新的第一密碼key_B以取代用戶資料庫11所存對應該用戶識別碼user_id的原本的第一密碼key_B。

Claims

一種網路身份驗證系統，包含：一驗證伺服器，經由一網路而與一用戶終端裝置通訊，包含：一用戶資料庫，儲存一用戶識別碼，以及對應該用戶識別碼的一雲端密碼與一第一密碼；一回覆模組，接收該用戶終端裝置發出的一確認回覆請求，據以獲得一驗證結果，其中該確認回覆請求至少包含：該用戶識別碼、一第三密碼與一驗證碼；以及一加解密模組，進行以下的運算：根據一第二解密演算法，運算該第一密碼與該第三密碼而獲得一第二密碼；根據一第一解密演算法，運算該雲端密碼與該第二密碼而獲得一終端密碼；以及根據一第三加密演算法，運算該終端密碼、該第一密碼與一一次性有效序號而獲得一運算碼；其中，比對該驗證碼與該運算碼，以獲得該驗證結果。
一種網路身份驗證系統，包含：一用戶終端裝置，經由一網路而與一驗證伺服器通訊，包含：一密碼生成模組，生成一用戶識別碼、一終端密碼、一第一密碼與一第二密碼，並根據一第一加密演算法，運算該終端密碼與該第二密碼而獲得一雲端密碼；一登入/註冊模組，發出一註冊請求，基於該用戶識別碼，將對應該用戶識別碼的該雲端密碼與該第一密碼註冊到該驗證伺服器的一用戶資料庫；一請求/回覆模組，因應一身份確認請求而發出一確認回覆請求給該驗證伺服器，致使該驗證伺服器發出一驗證結果；以及一加密模組，因應該身份確認請求，進行以下的運算：獲得一一次性有效序號；根據一第二加密演算法，運算該第一密碼與該第二密碼而獲得一第三密碼；以及根據一第三加密演算法，運算該終端密碼、該第一密碼與該一次性有效序號而獲得一驗證碼；其中，該確認回覆請求至少包含：該用戶識別碼、該第三密碼與該驗證碼。
如申請專利範圍第1或2項所述之網路身份驗證系統，其中該一次性有效序號為一隨機值或一與時間有關的序號，且該一次性有效序號由該用戶終端裝置生成後傳送給該驗證伺服器，或由該驗證伺服器生成後傳送給該用戶終端裝置，用以生成該驗證碼，或由一網站伺服器生成後傳送給該驗證伺服器或該用戶終端裝置。
如申請專利範圍第1或2項所述之網路身份驗證系統，其中該驗證伺服器包含一登入/註冊模組，該登入/註冊模組接收該用戶終端裝置發出一註冊請求，而獲得該用戶識別碼、該雲端密碼與該第一密碼，並儲存於該用戶資料庫，且該登入/註冊模組接受該用戶終端裝置發出一登入請求，以使該回覆模組接收該用戶終端裝置發出的該確認回覆請求。
如申請專利範圍第1或2項所述之網路身份驗證系統，其中該驗證伺服器生成一新的第一密碼，以取代該用戶資料庫中對應該用戶識別碼的該第一密碼，並傳送給該用戶終端裝置以取代原本的該第一密碼，或該用戶終端裝置生成一新的第一密碼以取代原本的該第一密碼，並傳送給該驗證伺服器，以取代該用戶資料庫中對應該用戶識別碼的該第一密碼。
如申請專利範圍第1或2項所述之網路身份驗證系統，其中該雲端密碼儲存於該驗證伺服器，而該終端密碼儲存於該用戶終端裝置。
如申請專利範圍第1或2項所述之網路身份驗證系統，其中該第一密碼與該第二密碼是在該用戶終端裝置生成之密碼，而該第三密碼是根據該第一密碼與該第二密碼在該用戶終端裝置經過一次加密演算之密碼。
如申請專利範圍第1或2項所述之網路身份驗證系統，其中該終端密碼與該第一密碼是在該用戶終端裝置生成之密碼，而該驗證碼是根據該終端密碼與該第一密碼在該用戶終端裝置經過一次加密演算之密碼。
如申請專利範圍第1項所述之網路身份驗證系統，其中該雲端密碼是該用戶終端裝置根據一第一加密演算法，運算該終端密碼與該第二密碼而獲得；該第三密碼是該用戶終端裝置根據一第二加密演算法，運算該第一密碼與該第二密碼而獲得；以及該驗證碼是該用戶終端裝置根據一第三加密演算法，運算該終端密碼、該第一密碼與該一次性有效序號而獲得。
如申請專利範圍第2項所述之網路身份驗證系統，其中該登入/註冊模組發出一登入請求給該驗證伺服器，使該請求/回覆模組接收來自該驗證伺服器的身份確認請求，而發出該確認回覆請求給該驗證伺服器；或該登入/註冊模組發出一登入請求給一網站伺服器，使該請求/回覆模組接收來自該網站伺服器的身份確認請求，而發出該確認回覆請求給該驗證伺服器。
一種網路身份驗證方法，使用於一驗證伺服器，該驗證伺服器經由一網路而與一用戶終端裝置通訊，該網路身份驗證方法包含：註冊一用戶識別碼，以及對應該用戶識別碼的一雲端密碼與一第一密碼於一用戶資料庫；以及回應該用戶終端裝置發出的一確認回覆請求，據以獲得一驗證結果，其中該確認回覆請求至少包含：該用戶識別碼、一第三密碼與一驗證碼；其中，獲得該驗證結果，包含以下的運算：根據一第二解密演算法，運算該第一密碼與該第三密碼而獲得一第二密碼；根據一第一解密演算法，運算該雲端密碼與該第二密碼而獲得一終端密碼；根據一第三加密演算法，運算該終端密碼、該第一密碼與一一次性有效序號而獲得一運算碼；以及比對該驗證碼與該運算碼，而獲得該驗證結果。
一種網路身份驗證方法，使用於一用戶終端裝置，該用戶終端裝置經由一網路而與一驗證伺服器通訊，該網路身份驗證方法包含：生成一用戶識別碼、一終端密碼、一第一密碼與一第二密碼，並根據一第一加密演算法，運算該終端密碼與該第二密碼而獲得一雲端密碼；基於該用戶識別碼，將對應該用戶識別碼的該雲端密碼與該第一密碼註冊到該驗證伺服器的一用戶資料庫；以及因應一身份確認請求，進行以下的運算：獲得一一次性有效序號；根據一第二加密演算法，運算該第一密碼與該第二密碼而獲得一第三密碼；根據一第三加密演算法，運算該終端密碼、該第一密碼與該一次性有效序號而獲得一驗證碼；以及發出一確認回覆請求，至少將該用戶識別碼、該第三密碼與該驗證碼發送給該驗證伺服器，致使該驗證伺服器發出一驗證結果。
如申請專利範圍第11或12項所述之網路身份驗證方法，其中該一次性有效序號為一隨機值或一與時間有關的序號，且該一次性有效序號由該用戶終端裝置生成後傳送給該驗證伺服器，或由該驗證伺服器生成後傳送給該用戶終端裝置，用以生成該驗證碼，或由一網站伺服器生成後傳送給該驗證伺服器或該用戶終端裝置。
如申請專利範圍第11或12項所述之網路身份驗證方法，進一步包含：該驗證伺服器接收該用戶終端裝置發出一註冊請求，而獲得該用戶識別碼、該雲端密碼與該第一密碼，並儲存於該用戶資料庫，且該驗證伺服器接受該用戶終端裝置發出一登入請求，而後接收該用戶終端裝置發出的該確認回覆請求。
如申請專利範圍第11或12項所述之網路身份驗證方法，進一步包含：該驗證伺服器生成一新的第一密碼，以取代該用戶資料庫中對應該用戶識別碼的該第一密碼，並傳送給該用戶終端裝置以取代原本的該第一密碼，或該用戶終端裝置生成一新的第一密碼以取代原本的該第一密碼，並傳送給該驗證伺服器，以取代該用戶資料庫中對應該用戶識別碼的該第一密碼。
如申請專利範圍第11或12項所述之網路身份驗證方法，其中該雲端密碼儲存於該驗證伺服器，而該終端密碼儲存於該用戶終端裝置；且該第一密碼與該第二密碼是在該用戶終端裝置生成之密碼，而該第三密碼是根據該第一密碼與該第二密碼在該用戶終端裝置經過一次加密演算之密碼；且該終端密碼與該第一密碼是在該用戶終端裝置生成之密碼，而該驗證碼是根據該終端密碼與該第一密碼在該用戶終端裝置經過一次加密演算之密碼。
如申請專利範圍第11項所述之網路身份驗證方法，其中該雲端密碼是該用戶終端裝置根據一第一加密演算法，運算該終端密碼與該第二密碼而獲得；該第三密碼是該用戶終端裝置根據一第二加密演算法，運算該第一密碼與該第二密碼而獲得；以及該驗證碼是該用戶終端裝置根據一第三加密演算法，運算該終端密碼、該第一密碼與該一次性有效序號而獲得。
如申請專利範圍第12項所述之網路身份驗證方法，進一步包含：該用戶終端裝置發出一登入請求給該驗證伺服器，以接收來自該驗證伺服器的身份確認請求，而發出該確認回覆請求給該驗證伺服器；或該用戶終端裝置發出一登入請求給一網站伺服器，以接收來自該網站伺服器的身份確認請求，而發出該確認回覆請求給該驗證伺服器。
一種網路身份驗證方法，包含：儲存一用戶識別碼，以及對應該用戶識別碼的一雲端密碼與一第一密碼於一用戶資料庫，其中該雲端密碼是根據一第一加密演算法，運算一終端密碼與一第二密碼而獲得；以及因應一確認回覆請求，以接收該用戶識別碼、一第三密碼與一一次性有效驗證碼，並進行以下步驟：根據一第二解密演算法，運算該第一密碼與該第三密碼而獲得該第二密碼；根據一第一解密演算法，運算該雲端密碼與該第二密碼而獲得該終端密碼；根據一第三加密演算法，運算該終端密碼、該第一密碼與一一次性有效序號而獲得一運算碼；以及比對該一次性有效驗證碼與該運算碼是否相同。
如申請專利範圍第19項所述之網路身份驗證方法，其中該第三密碼是根據一第二加密演算法，運算該第一密碼與該第二密碼而獲得；或該雲端密碼儲存於一驗證伺服器，而該終端密碼儲存於一用戶終端裝置；或該終端密碼、該第一密碼與該一次性有效序號是在該用戶終端裝置生成，而該一次性有效驗證碼是根據該終端密碼、該第一密碼與該一次性有效序號在該用戶終端裝置經過一次加密演算之一次性有效密碼；或該一次性有效序號由該用戶終端裝置或一網站伺服器生成傳給該驗證伺服器，或由該驗證伺服器生成傳給該戶終端裝置，用以生成該一次性有效驗證碼。