CN101500232A

CN101500232A - 实现动态身份认证的方法及系统

Info

Publication number: CN101500232A
Application number: CNA200910079923XA
Authority: CN
Inventors: 刘海剑; 陈良; 冯海川; 张超; 李德亮; 陈文辉; 胡庆格
Original assignee: Beijing Huada Zhibao Electronic System Co Ltd
Current assignee: Beijing Huada Zhibao Electronic System Co Ltd
Priority date: 2009-03-13
Filing date: 2009-03-13
Publication date: 2009-08-05

Abstract

本发明公开了一种实现动态身份认证的系统，包括智能卡、手机、认证终端及认证服务器。本发明还公开了一种实现动态身份认证的方法，包括：智能卡预存种子密钥和算法，并利用该算法、种子密钥和约定的认证因子生成认证所需的动态口令，传输给手机；手机接收和显示动态口令；用户将动态口令和用户信息录入到认证终端中，并将动态口令及用户信息上传到认证服务器；认证服务器根据用户信息获取该用户在认证服务器中的种子密钥，并用预存储的算法对种子密钥和约定的认证因子进行运算，同样生成动态口令，将两端的动态口令进行比对，完成认证。本发明改变了现有的用户要进行身份认证，必须额外携带动态令牌以及其他身份认证产品的弊端，同时解决了令牌产品使用寿命的问题。

Description

实现动态身份认证的方法及系统

技术领域

本发明涉及认证技术，特别是实现动态身份认证的方法及系统。

背景技术

随着身份认证技术的不断发展，传统的静态口令认证方式由于其长期的不变性和有效性带来的易于截取、攻击、猜测的危险逐渐被人们所认识，由此出现了动态口令技术。动态口令(Dynamic Password)，又叫“一次性口令(OTP：One Time Password)”，一般由软件令牌或电子令牌等手持终端设备生成。

令牌(Token)是一种新型的双因素身份认证产品，它利用某种算法产生的基于某种不断变化的因子的动态口令来保证认证的安全性，具有简单易用、价格低廉、无需安装软件等优势，在电话银行、网上银行、证券交易中的用户认证或授权以及ATM和柜台交易的授权、游戏用户的认证中，都有广泛的应用。但是在这种认证方式中，用户必须额外携带令牌，易于丢失；且目前令牌产品存在的另一个问题就是供电问题，由于目前的令牌产品均是内置电池进行工作的，一旦掉电、断电都会造成令牌的报废。

发明内容

有鉴于此，本发明的目的在于提供实现动态身份认证的方法及系统，用于解决用户额外携带令牌产品执行认证所带来的不便，并解决令牌使用寿命的问题。

为实现上述目的，本发明提供了一种实现动态身份认证的系统，包括：

智能卡，用于保存种子密钥和算法，并能利用该算法、种子密钥和约定的认证因子生成认证所需的动态口令，传输给手机；

手机，能接收和显示所述动态口令；

认证终端，用于录入并显示所述动态口令以及用户信息，并将所述动态口令及用户信息上传到认证服务器；

认证服务器，用于根据所述用户信息获取该用户在认证服务器中的种子密钥和算法，并用该算法对所述种子密钥和约定的认证因子进行运算，生成用于认证的动态口令，将所述用于认证的动态口令和认证终端上传的动态口令进行比对完成认证。

本发明还提供了一种实现动态身份认证的方法，包括以下步骤：

智能卡预存种子密钥和算法，并利用该算法、种子密钥和约定的认证因子生成认证所需的动态口令，传输给手机；

手机接收和显示所述动态口令；

将所述动态口令和用户信息录入到认证终端中，并将所述动态口令及用户信息上传到认证服务器；

认证服务器根据所述用户信息获取该用户在认证服务器中的种子密钥和算法，并用该算法对所述种子密钥和约定的认证因子运算，生成用于认证的动态口令，将所述用于认证的动态口令和认证终端上传的动态口令进行比对完成认证。

本发明采用智能卡技术，以现在广泛使用的手机作为智能卡的载体，实现利用智能卡和手机集成手机令牌进行安全便捷的身份认证的方案。改变了用户必须额外携带令牌等身份认证产品实现认证的方式。同时采用手机供电有效的解决了现有令牌产品存在的使用寿命的问题。

在本发明中，智能卡通过SD/TF/MMC、USB、7816等接口与手机进行通讯，使智能卡与手机结合为一体，智能卡内利用本身存储的种子密钥和算法结合认证因子产生认证所需的动态口令并通过手机的显示屏进行显示，由此实现了利用智能卡和手机集成手机令牌执行身份认证的功能，避免了认证时需额外携带身份认证产品的弊端。同时利用手机本身的电池供电，有效的解决了动态令牌产品使用寿命的问题，由于用于产生动态口令的种子密钥等信息是储存到智能卡中的，且一般不能导出，不容易受到黑客及木马的攻击，认证安全性更高。

附图说明

图1为本发明实施例中实现动态身份认证的系统结构图；

图2为本发明实施例中实现动态身份认证的方法流程图；

图3为本发明实施例中图2所示流程在系统中的实现原理图。

具体实施方式

本发明实施例采用智能卡技术，以现在广泛使用的手机这一移动终端作为智能卡的载体，提供了一种新的身份认证的形式。实现利用手机代替动态令牌作为认证介质进行安全便捷的身份认证。改变了现有的用户要进行身份认证，必须额外携带动态令牌以及其他身份认证产品的弊端，同时解决了令牌产品使用寿命的问题。

为使本发明的目的、技术方案和优点更加清楚，下面结合附图对本发明作进一步的详细描述。

图1为本发明实施例中实现动态身份认证的系统结构图，其中包括：

手机1，该手机能够通过SD/TF/MMC接口、USB接口、ISO7816等多种通信形式与智能卡连接，能够与智能卡交互，能录入关键信息，能接收并显示智能卡端生成的动态口令。

智能卡11，用于存储种子密钥和加密算法，该智能卡能用指定的加密算法将种子密钥、认证因子和其他一些附加因子(如用户PIN码等)加密生成认证所需的动态口令，并传输给手机1。在实际应用中，不一定要有附加因子，可以视实际需要而定，增加附加因子可以进一步增强认证的安全性。

本发明实施例中智能卡是以SD KEY的形式与手机进行连接的。SDKEY是一种基于SD技术、智能卡技术和海量存储技术为一体的安全移动设备。

认证终端2，用于录入并显示用户信息以及手机端的动态口令，并将录入信息传输给认证服务器。认证终端具体包括：个人电脑、笔记本电脑、手机、PDA。

认证服务器3，用于储存用户信息以及与智能卡11相同的种子密钥、附加因子和加密算法，能利用该加密算法将种子密钥、认证因子和附加因子加密同样生成动态口令，对认证终端传输来的认证信息进行认证。认证信息具体包括用户名等用户标识，以及手机令牌产生的动态口令。

图2是本发明实施例中实现动态身份认证的方法流程图，该方法具体包括以下步骤：

步骤200、对SD KEY和认证服务器进行预处理。

在SD KEY和认证服务器中预置相同的数据作为种子密钥，比如，种子密钥可以为随机数或当前时间日期等，为安全起见，种子密钥不可以从SDKEY中导出；在SD KEY和认证服务器中预置相同的加密算法，该算法可以为标准加密算法如DES(Data Encryption Standard)、3DES(Triple DataEncryption Standard)、AES(Advanced Data Encryption Standard)、哈希算法等；在实际应用中，可使用其他一些自定义算法来实现动态口令的生成；同时事先约定把时间作为双方同步的认证因子，认证因子是指不断变化且不可重复出现的数据，可以为时间或事件等，本实施例以时间为例，可以在手机端和认证服务器端获取，手机端获取时间信息后发送给SD KEY；在实际应用中，令牌中的动态口令是在一定的时间间隔中产生的，由于手机把时间参数传输给智能卡所用时间很短暂，并不影响智能卡和认证服务器端认证因子的同步。在认证服务器预置用户信息User_info，认证时，用户在认证终端录入用户信息以方便认证服务器查询该用户在认证服务器端的用户信息数据库中对应的所有信息，如：该用户所用SD KEY的设备序列号、该用户的种子密钥、该用户与认证服务器协商好的算法、用户PIN码等附加因子，获取这些信息后认证服务器端就可以利用这些信息产生用于认证的动态口令，执行认证。

步骤201、将SD KEY和手机进行连接。

本发明中，智能卡通过SD接口、MMC接口、USB接口或TSO7816的通信形式与手机进行连接。同时，智能卡也可以SD卡、TF卡或MMC卡的封装形式内嵌到手机中；或将智能卡以PLUG-IN型卡的封装形式内嵌到手机中；或将所述智能卡以贴片的模式内嵌到手机中。

步骤202、用户执行认证时，采用SD KEY中预置的加密算法Crypto_alg，将从手机中得到的认证因子(当前时间Cunrrent_time)与SD KEY中存储的种子密钥Root_key及其他附加因子(用户PIN)加密，并对产生的密文进行哈希运算，得到运算后的数据OTP_0。

步骤203、在运算后的数据OTP_0中选出6位，作为身份认证时的动态口令OTP_1，并显示到手机屏幕上。在实际应用中，手机和智能卡端数据交互是通过在手机端预置客户端软件实现的，同时该软件可实现用户信息的显示等功能。

步骤204、用户将用户信息User_info以及手机端显示的动态口令录入到认证终端，认证终端将录入的信息上传到认证服务器。这里，用户是通过手动将用户信息和动态口令录入到认证终端(如电脑键盘)的。

步骤205、认证服务器获取用户信息User_info，从而得到该用户手机中SD KEY对应的唯一的序列号。这个序列号是SD KEY出厂时SD KEY生产商给每个智能卡设置唯一的一个序列号。

步骤206、根据该序列号得到该用户在认证服务器对应的种子密钥和加密算法，同时调用该加密算法将种子密钥、当前时间以及其他附加因子(如用户PIN码，用户在智能卡颁发机构购买智能卡时，会在系统中为每个用户设置一个PIN，并保存到认证服务器中)加密，并作哈希运算，将运算后的数据采用和SD KEY端同样的方法选出6位作为执行认证的动态口令OTP_1，与认证终端传输来的用户录入的动态口令OTP_1进行比对，实现认证。如相同，则认证成功。

图3是以上流程在系统中的实现原理图。根据时间同步机制的算法原则，认证服务器3和手机1的实时时钟必须保持同步，以保证认证服务器和手机在同一时刻计算出的动态口令一致。

由于每个用户持有的手机和智能卡不同，其种子密钥也不同，因此不同用户在同一时刻生成的动态口令也不同。同时，该动态口令只能在当前时间周期内一次性有效，不必担心被截取盗用，使得认证安全性有了保证。

现有令牌存在的一个很大的问题就是供电问题，为节省电量一般的令牌显示的时间都很短，可能会无法完全记住刚生成的动态口令，给使用带来了不便，即使这样令牌寿命一般都只有2-3年左右。而在本发明中，借助手机这一载体，手机中的时钟能做到与认证服务器时间的同步，这样形成的手机令牌就不像普通的动态令牌产品那样必须内置电池来获取时间参数，一旦令牌掉电、或电池耗完就再也不能使用。有效的解决了现有动态令牌产品使用寿命的问题。

在另一种实施方式中，与智能卡连接后的手机可作为一种带按键的动态令牌产品使用，认证时可以利用手机按键实现用户密码或其他关键信息的录入，以验证手机令牌持有者的身份，实现更为安全的认证方式。

综上所述，本发明利用手机和智能卡所实现的动态身份认证方法和系统，携带方便，操作简单，使得手机既可用于移动通讯，又可进行身份认证，为身份认证在实现形式上开辟了新的领域。同时由于手机在现代生活中的普遍使用使得该方案在具体实施上成为可能。

总之，以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims

1、一种实现动态身份认证的系统，其特征在于，包括：

手机，能接收和显示所述动态口令；

2、根据权利要求1所述的系统，其特征在于，所述智能卡通过SD/TF/MMC接口、USB接口或ISO7816的形式与手机进行连接；或以SD卡、TF卡或MMC卡的封装形式内嵌到手机中；或将智能卡以PLUG-IN型卡的封装形式内嵌到手机中；或将所述智能卡以贴片的模式内嵌到手机中。

3、根据权利要求1所述的系统，其特征在于，所述认证终端具体包括：个人电脑、笔记本电脑、手机或PDA。

4、根据权利要求1、2或3所述的系统，其特征在于，所述种子密钥具体包括随机数或当前时间日期，且不能从智能卡中导出。

5、根据权利要求1、2或3所述的系统，其特征在于，所述算法具体包括：DES、3DES、AES、哈希算法、自定义算法。

6、根据权利要求1、2或3所述的系统，其特征在于，所述认证因子为当前时间。

7、一种实现动态身份认证的方法，其特征在于，包括：

手机接收和显示所述动态口令；

认证服务器根据所述用户信息获取该用户在认证服务器中的种子密钥和算法，并利用该算法对所述种子密钥和约定的认证因子进行运算，生成用于认证的动态口令，将所述用于认证的动态口令和认证终端上传的动态口令进行比对完成认证。

8、根据权利要求7所述的方法，其特征在于，该方法进一步包括：

在智能卡和认证服务器中预置相同的数据作为种子密钥；在智能卡和认证服务器中预置相同的算法，并预先约定时间作为双方同步的认证因子；在认证服务器预置用户信息。

9、根据权利要求7或8所述的方法，所述用户信息具体包括：设备序列号、用户名称。

10、根据权利要求7或8所述的方法，其特征在于，所述生成动态口令具体包括：

对利用所述算法运算后的数据进行哈希运算，并在运算得到的数据中选择至少6位，作为动态口令。