CN1477810A - 基于数字证书实现的动态口令认证方法 - Google Patents

Abstract

一种基于数字证书实现的动态口令认证方法，属于计算机和信息安全技术领域。本发明在证书认证的基础上，采用口令的动态生成机制，通过证书认证机制对用户的身份进行确认，再使用动态口令机制实现各种应用系统的安全登录，具体如下：首先，利用数字证书把用户自然身份和数字信息绑定在一起，采用非对称公钥机制，通过数字签名、加密/解密技术实现对用户身份的验证，其次，采用挑战/应答机制的动态口令，通过动态口令方法，针对不同用户生成不同的一次性动态口令，实现各种应用系统的安全登录。本发明方法的实现更加方便和快捷，并具有可靠性更高、安全性更好的特点，保证了系统的安全性，避免了传统静态口令泄密所带来的安全隐患。

Description

基于数字证书实现的动态口令认证方法

技术领域

本发明涉及的是一种动态口令认证方法，特别是一种基于数字证书实现的动态口令认证方法，属于计算机和信息安全技术领域。

背景技术

身份认证是计算机系统的用户在进入系统或访问不同保护级别的系统资源时，系统确认该用户的身份是否真实、合法和唯一的技术。在应用系统中实现身份认证的方法有许多，目前使用最多的是基于口令的认证方法和基于证书的认证方法。

基于口令的认证方法通过对验证用户输入的用户名和口令来验证用户身份的合法性。传统的静态口令方式对口令的验证是将用户输入的口令和后台服务器上保存的口令加以对比来验证用户口令的正确性，从而确定用户身份的合法性。在传统的静态口令机制中，口令在使用和传输的过程中没有做任何保护措施，口令非常容易泄漏，造成系统的不安全。目前流行的动态口令技术很好地解决了口令的安全性。动态口令技术通过专用算法和同步机制动态的生成一次性口令，口令的生成和验证都是动态的，保证用户每次登录系统时所使用的口令都不相同，从而避免了由于口令泄漏带来的系统不安全。动态口令方法通过口令的变化保证口令的安全性，具有灵活性和方便性，但口令方式本身只能验证用户所输入口令的合法性，却不能确定用户的自然身份，难以保证口令本身和口令使用者自然身份之间的对应关系。

经文献检索发现，动态口令方法的研究主要集中在动态口令的生成机制和使用方法上，中国专利申请号：01108417.0，名称：基于动态口令的身份鉴别方法。该专利对口令使用者的自然身份是否合法只能通过对用户ID的验证来实现，而用户ID在应用系统中存储和传输一般都是以明文方式实现，存在安全隐患。

基于证书的身份认证是另一种主要的认证方法，它是公钥基础设施(PublicKey Infrastructure，PKI)所提供的最基本的安全服务之一。PKI公钥基础设施基于非对称公钥技术，采用数字证书将用户自然身份和公钥等数字信息绑定在一起，在各种网络应用中唯一地标识用户的身份，并在此基础上提供数据加密/解密、数字签名等安全服务。PKI公钥基础设施是目前国际上较为成熟的解决开放式互联网络信息安全需求的一套安全体系，国内外许多行业多采用PKI公钥基础设施作为保证应用系统安全的安全平台，为应用系统提供全面的安全保障。

数字证书在用户自然身份与数字信息之间建立了联系的桥梁，可以实现对用户自然身份的认证，但完全采用基于证书进行身份认证必须在应用系统服务器端实现证书验证的代理机制，而这种证书验证代理机制的实现相对口令验证代理机制的实现来说十分复杂，并且，由于不同应用系统的内部机制不同，所以证书认证代理机制的实现也不尽相同，这种复杂性阻碍了PKI技术的推广应用，不利于应用系统的安全建设。

发明内容

本发明的目的在于克服现有技术中的不足，提供一种基于数字证书实现的动态口令认证方法，该方法将证书的优点和动态口令的优点有机地结合在一起，使其充分发挥各自的优势，通过证书和动态口令的结合将用户自然身份和用户口令紧密地联系到一起，建立一种实现方便、安全可靠、灵活有效的身份认证机制。

本发明是通过以下技术方案实现的，本发明在证书认证的基础上，采用口令的动态生成机制，通过证书认证机制对用户的身份进行确认，再使用动态口令机制实现各种应用系统的安全登录，具体如下：首先，利用数字证书把用户自然身份和数字信息绑定在一起，采用非对称公钥机制，通过数字签名、加密/解密技术实现对用户身份的验证，保证了用户身份的合法性；其次，采用挑战/应答机制的动态口令，利用动态口令方法的方便性和灵活性，针对不同用户生成不同的一次性动态口令，使用户每次登录应用系统时所使用的口令都不相同，保证了口令使用的安全性，实现各种应用系统的安全登录，并且不改变应用系统原有的登录模式，方便用户的使用。

以下对本发明方法作进一步的说明，方法步骤如下：

(1)用户提交数字证书；

(2)用户证书信息和经过签名的访问请求被发送到安全认证系统，安全认证系统验证后，产生一个挑战数，利用该挑战数，通过可生成一个一次性口令的算法生成一个一次性口令，然后使用用户证书中的公钥对该口令进行加密下传到用户；

(3)用户在应用系统的登录界面上，使用该动态口令进行登录；

(4)客户输入的所有信息被传送到后台应用系统，应用系统通过两种方式对该口令进行验证：一种是本地认证，当认证系统生成动态口令下传到客户端的同时直接将该口令传递到应用系统，应用系统利用该口令实现对用户访问信息的本地认证，另一种是第三方认证，应用系统将用户访问的信息传递到认证系统进行认证，认证系统将验证结果返回给后台应用系统，从而完成一次认证过程。

本发明充分利用现有PKI和动态口令的成熟技术和实现机制，使方法的实现更加方便和快捷，并具有可靠性更高、安全性更好的特点。由于用户在每次登录系统时所使用的口令都不相同，从而保证了系统的安全性，避免了传统静态口令泄密所带来的安全隐患，同时，由于证书的使用保证了口令使用者的身份合法性，从而保证了系统的安全性。

1、证书认证

所述的证书认证是基于非对称公钥原理实现的，每一个用户都持有一对密钥：私钥和公钥，经过私钥加密的信息只能使用对应的公钥解密，经过公钥加密的信息只能使用对应的私钥解密。私钥由用户本人保管和使用，不能告知外界，公钥保存在一张可以标识用户身份的数字证书中，数字证书一般存储在一个可以被外界查询和使用的公共存储区。数字证书中同时包括了用户的身份信息，如用户名、身份证号码、工作单位等等，这些用户身份信息与用户的公钥对应，在数字世界中可以标识用户的身份。这样，通过对证书合法性的验证就可以证明用户身份的合法性。

在PKI体系中，用户的证书是由一个最高信任机构CA颁发的，具有可信性。CA机构同时提供证书的验证机制，各种证书验证机构可以通过该验证机制验证证书的合法性。

2、挑战/应答机制的动态口令

本发明方法采用挑战/应答机制实现动态口令，用户登录系统时，每一次登录的口令都不相同，从而避免了由于口令在传输和使用过程中泄漏引起的安全隐患。

当用户需要访问系统时，首先向认证系统提交证书，认证系统通过验证证书来确定用户和请求的合法性，验证通过后，认证系统产生一个挑战数，然后用该挑战数，通过可生成一个应答数的算法计算出相应的应答数，通常是一个字符串，该应答数就是动态口令，认证系统使用用户证书中的公钥对该口令进行加密下传到用户，用户将该应答数或应答数的MD5摘要作为口令上传给认证系统，认证系统利用同样的算法再次计算出一个应答数或应答数的MD5摘要并和用户上传的应答数或应答数的MD5摘要进行比较，如果两者相同，允许该用户访问系统，否则拒绝用户的登录请求。

3、通过证书认证机制对用户的身份进行确认，然后使用动态口令机制实现各种应用系统的安全登录

用户首先需要向安全认证系统进行注册，系统为每一位证书用户在安全认证系统中保存一条用户帐号信息，帐号信息包括：用户ID、用户证书ID等信息，客户每次通过网络进入系统时，只需提交证书，就可以获得一个动态口令作为本次登录应用系统的口令，用户使用该口令登录应用系统。

具体流程如下：

(1)在验证开始中，系统验证用户的证书，用户证书信息和经过用户私钥加密的登录请求通过网络首先被传送到认证系统；

(2)认证系统首先通过标准的证书验证机制对用户的证书进行合法性验证，然后产生一个挑战数，并利用可生成一个一次性应答数的算法生成一个一次性的应答数，作为用户登录的动态口令，然后使用用户证书中的公钥对该口令进行加密下发到客户端；

(3)用户使用该口令登录应用系统；

(4)应用系统接到该口令后，应用系统通过两种方式该口令进行验证：一种是本地认证，当认证系统生成动态口令下传到客户端的同时直接将该口令传递到应用系统，应用系统利用该口令实现对用户访问信息的本地认证，另一种是第三方认证，应用系统将用户访问的信息传递到认证系统进行认证，认证系统将验证结果返回给后台应用系统；

(5)通过验证后，用户就可以获得访问权限。

系统每一次生成的口令只能在本次挑战/应答过程中有效，下次登录时系统会生成不同的挑战数，相应的口令也会发生变化，因此不担心口令被其他人截取。挑战/应答机制的动态口令认证方法即可以保证很高的安全性，实现起来又十分方便，是一种灵活、方便、可靠、有效的认证方法。

本发明具有实质性特点和显著进步，本发明可以有效保护各种应用系统的安全：(1)首先在应用系统中使用口令验证代理机制克服了证书验证代理机制的复杂性，提高了系统的可用性，使得系统易于实现，使用方便灵活。简单的口令验证代理机制可以方便地支持AIX，HP-UX，Solaris，Linux等多种操作系统平台以及Oracle、DB2等多种大型数据库系统，可以将系统用户(包括root)的口令设为使用动态口令。同时，更容易与标准的Radius认证服务器相结合，实现对用户身份的认证和权限控制。(2)采用了证书机制将用户自然身份和数字口令有机地结合在一起，使系统不仅能够保证口令的安全性，而且还能保证使用口令的用户身份的合法性，提高了系统的安全性，弥补了原有单纯动态口令方法中的缺点。(3)基于证书的动态口令安全认证系统可以容易地实现以下安全控制：通过动态口令对安全网页访问进行限制；NETWARE/NT/SCO UNIX系统登录功能；ORACLE/SQL SERVER等大型数据库的用户连接访问控制，等等。

具体实施方式

下面是一个使用本发明方法企业上网用户帐户管理上的应用实例描述，企业中往往需要对内部员工上Internet进行严格管理，主要实现对上网用户登录系统和权限进行统一的管理和控制，基于证书的动态口令认证系统与网管代理相结合能够实现对上网用户的全面管理，满足企业对员工上网的管理需求。安全认证服务器负责验证证书和动态口令，并为每一个上网用户注册和分配权限；在代理服务器上安装有动态口令认证代理软件，并配置安全认证服务器的IP地址；每个上网用户的PC机上安装有动态认证客户端软件。动态认证安全端与安全认证服务器通信，利用证书启动客户端系统，获得动态口令，用户使用该生成的动态口令登录代理系统，代理服务器通过安全认证服务器完成对用户身份的验证。安全认证服务器上保存有上网用户的帐号，并实现对用户进行权限控制。

(1)用户首先插入证书，启动客户端软件，并输入证书口令和用户名；

(2)客户端软件生成登录请求信息，用用户的私钥对登录信息进行加密，客户端软件不与网络代理系统通信，直接与安全认证服务器通信，将用户证书和加密的登录信息一起传送到安全认证服务器；

(3)安全认证服务器上运行着认证系统，认证系统通过标准的证书认证方式对用户证书进行验证，验证通过后，生成一个挑战数，利用该挑战数，通过可生成一个一次性口令的算法生成一个一次性口令，然后使用用户证书中的公钥对该口令进行加密下传到客户端；

(4)客户端软件获得该口令，并显示在屏幕上；

(5)用户使用该口令登录网络代理服务器；

(6)动态口令认证代理截获登录的用户名和口令，并将这些信息发送到安全认证服务器；

(7)安全认证服务器通过再次同样的算法计算出动态口令，并将之与用户登录的口令作比较，进行口令验证，并将验证结果发回到网络代理服务器；

(8)网络代理服务器根据结果判断是否允许用户使用网络代理接入Internet。

使用了基于证书的动态口令系统后，加强了Internet用户管理系统安全性，规范了上网人员的管理，具体效果：(1)动态口令的使用增强了Internet上网用户口令的安全性，上网用户每次登录代理服务器时所使用的口令都不相同，从而避免了口令泄漏的发生；(2)数字证书和口令的结合，实现了对上网用户身份的认证，保证口令使用者身份的合法性；(3)采用了目前已经比较成熟的证书技术和动态口令技术，系统构架清晰、结构简单，实现方便、快捷；(4)对Internet用户帐户实现了集中管理，方便了系统的维护，降低了系统管理难度和管理成本，同时，使系统更加安全；(5)使用软件客户端，不需要任何其他硬件设备，成本低，适合用于对大规模用户管理。

Claims (6)

1、一种基于数字证书实现的动态口令认证方法，其特征在于，在证书认证的基础上，采用口令的动态生成机制，通过证书认证机制对用户的身份进行确认，再使用动态口令机制实现各种应用系统的安全登录，具体如下：首先，利用数字证书把用户自然身份和数字信息绑定在一起，采用非对称公钥机制，通过证书认证实现对用户身份的验证，其次，采用挑战/应答机制的动态口令，通过动态口令方法，针对不同用户生成不同的一次性动态口令，实现各种应用系统的安全登录。

2、根据权利要求1所述的基于数字证书实现的动态口令认证方法，其特征是，方法步骤如下：

(1)用户提交数字证书；

(2)用户证书信息和经过签名的访问请求被发送到安全认证系统，安全认证系统验证后，产生一个挑战数，利用该挑战数，通过可生成一个一次性口令的算法生成一个一次性口令，然后使用用户证书中的公钥对该口令进行加密下传到用户；

(3)用户在应用系统的登录界面上，使用该动态口令进行登录；

(4)客户输入的所有信息被传送到后台应用系统，应用系统通过两种方式该口令进行验证：一种是本地认证，当认证系统生成动态口令下传到客户端的同时直接将该口令传递到应用系统，应用系统利用该口令实现对用户访问信息的本地认证，另一种是第三方认证，应用系统将用户访问的信息传递到认证系统进行认证，认证系统将验证结果返回给后台应用系统，从而完成一次认证过程；

3、根据权利要求1或2所述的基于数字证书实现的动态口令认证方法，其特征是，所述的证书认证，具体如下：

证书认证是基于非对称公钥原理实现的，每一个用户都持有一对密钥：私钥和公钥，经过私钥加密的信息只能使用对应的公钥解密，经过公钥加密的信息只能使用对应的私钥解密，私钥由用户本人保管和使用，公钥保存在一张可唯一标识用户身份的数字证书中，数字证书存储在一个可被外界查询和使用的公共存储区，数字证书中同时包括了用户的身份信息，这些用户身份信息与用户的公钥对应，在数字世界中标识用户的身份，通过对证书合法性的验证就可证明用户身份的合法性。

4、根据权利要求1或2所述的基于数字证书实现的动态口令认证方法，其特征是，所述的挑战/应答机制实现动态口令，具体如下：

采用挑战/应答机制实现动态口令，用户登录系统时，每一次登录的口令都不相同，当用户需要访问系统时，首先向认证系统提交证书，认证系统通过验证证书来确定用户和请求的合法性，验证通过后，认证系统产生一个挑战数，然后用该挑战数，通过可生成一个应答数的算法计算出相应的应答数，通常是一个字符串，该应答数就是动态口令，认证系统使用用户证书中的公钥对该口令进行加密下传到用户，用户将该应答数或应答数的MD5摘要作为口令上传给认证系统，认证系统利用同样的算法再次计算出一个应答数或应答数的MD5摘要并和用户上传的应答数或应答数的MD5摘要进行比较，如果两者相同，允许该用户访问系统，否则拒绝用户的访问请求。

5、根据权利要求1或2所述的基于数字证书实现的动态口令认证方法，其特征是，所述的通过证书认证机制对用户的身份进行确认，然后使用动态口令机制实现各种应用系统的安全登录，具体如下：

用户首先需要向安全认证系统进行注册，系统为每一位证书用户在安全认证系统中保存一条用户帐号信息，帐号信息包括：用户ID、用户证书ID等信息，客户每次通过网络进入系统时，只需提交证书，就可获得一个动态口令作为本次登录应用系统的口令，用户使用该口令登录应用系统。

6、根据权利要求5所述的基于数字证书实现的动态口令认证方法，其特征是，通过证书认证机制对用户的身份进行确认，然后使用动态口令机制实现各种应用系统的安全登录，具体流程如下：

(1)在验证开始中，系统验证用户的证书，用户证书信息和经过用户私钥加密的访问请求通过网络首先被传送到认证系统；

(2)认证系统首先通过标准的证书验证机制对用户的证书进行合法性验证，然后产生一个挑战数，并利用可生成一个一次性应答数的算法生成一个一次性的应答数，作为用户登录的动态口令，然后使用用户证书中的公钥对该口令进行加密下发到客户端；

(3)用户使用该口令登录应用系统；

(4)应用系统接到该口令后，应用系统通过两种方式该口令进行验证：一种是本地认证，当认证系统生成动态口令下传到客户端的同时直接将该口令传递到应用系统，应用系统利用该口令实现对用户访问信息的本地认证，另一种是第三方认证，应用系统将用户访问的信息传递到认证系统进行认证，认证系统将验证结果返回给后台应用系统；

(5)通过验证后，用户就可获得访问权限。