專利名稱：基于數(shù)字證書實(shí)現(xiàn)的動(dòng)態(tài)口令認(rèn)證方法
技術(shù)領(lǐng)域：
本發(fā)明涉及的是一種動(dòng)態(tài)口令認(rèn)證方法，特別是一種基于數(shù)字證書實(shí)現(xiàn)的動(dòng)態(tài)口令認(rèn)證方法，屬于計(jì)算機(jī)和信息安全技術(shù)領(lǐng)域。
背景技術(shù)：
身份認(rèn)證是計(jì)算機(jī)系統(tǒng)的用戶在進(jìn)入系統(tǒng)或訪問不同保護(hù)級(jí)別的系統(tǒng)資源時(shí)，系統(tǒng)確認(rèn)該用戶的身份是否真實(shí)、合法和唯一的技術(shù)。在應(yīng)用系統(tǒng)中實(shí)現(xiàn)身份認(rèn)證的方法有許多，目前使用最多的是基于口令的認(rèn)證方法和基于證書的認(rèn)證方法。
基于口令的認(rèn)證方法通過對(duì)驗(yàn)證用戶輸入的用戶名和口令來驗(yàn)證用戶身份的合法性。傳統(tǒng)的靜態(tài)口令方式對(duì)口令的驗(yàn)證是將用戶輸入的口令和后臺(tái)服務(wù)器上保存的口令加以對(duì)比來驗(yàn)證用戶口令的正確性，從而確定用戶身份的合法性。在傳統(tǒng)的靜態(tài)口令機(jī)制中，口令在使用和傳輸?shù)倪^程中沒有做任何保護(hù)措施，口令非常容易泄漏，造成系統(tǒng)的不安全。目前流行的動(dòng)態(tài)口令技術(shù)很好地解決了口令的安全性。動(dòng)態(tài)口令技術(shù)通過專用算法和同步機(jī)制動(dòng)態(tài)的生成一次性口令，口令的生成和驗(yàn)證都是動(dòng)態(tài)的，保證用戶每次登錄系統(tǒng)時(shí)所使用的口令都不相同，從而避免了由于口令泄漏帶來的系統(tǒng)不安全。動(dòng)態(tài)口令方法通過口令的變化保證口令的安全性，具有靈活性和方便性，但口令方式本身只能驗(yàn)證用戶所輸入口令的合法性，卻不能確定用戶的自然身份，難以保證口令本身和口令使用者自然身份之間的對(duì)應(yīng)關(guān)系。
經(jīng)文獻(xiàn)檢索發(fā)現(xiàn)，動(dòng)態(tài)口令方法的研究主要集中在動(dòng)態(tài)口令的生成機(jī)制和使用方法上，中國專利申請(qǐng)?zhí)?1108417.0，名稱基于動(dòng)態(tài)口令的身份鑒別方法。該專利對(duì)口令使用者的自然身份是否合法只能通過對(duì)用戶ID的驗(yàn)證來實(shí)現(xiàn)，而用戶ID在應(yīng)用系統(tǒng)中存儲(chǔ)和傳輸一般都是以明文方式實(shí)現(xiàn)，存在安全隱患。
基于證書的身份認(rèn)證是另一種主要的認(rèn)證方法，它是公鑰基礎(chǔ)設(shè)施(PublicKey Infrastructure，PKI)所提供的最基本的安全服務(wù)之一。PKI公鑰基礎(chǔ)設(shè)施基于非對(duì)稱公鑰技術(shù)，采用數(shù)字證書將用戶自然身份和公鑰等數(shù)字信息綁定在一起，在各種網(wǎng)絡(luò)應(yīng)用中唯一地標(biāo)識(shí)用戶的身份，并在此基礎(chǔ)上提供數(shù)據(jù)加密/解密、數(shù)字簽名等安全服務(wù)。PKI公鑰基礎(chǔ)設(shè)施是目前國際上較為成熟的解決開放式互聯(lián)網(wǎng)絡(luò)信息安全需求的一套安全體系，國內(nèi)外許多行業(yè)多采用PKI公鑰基礎(chǔ)設(shè)施作為保證應(yīng)用系統(tǒng)安全的安全平臺(tái)，為應(yīng)用系統(tǒng)提供全面的安全保障。
數(shù)字證書在用戶自然身份與數(shù)字信息之間建立了聯(lián)系的橋梁，可以實(shí)現(xiàn)對(duì)用戶自然身份的認(rèn)證，但完全采用基于證書進(jìn)行身份認(rèn)證必須在應(yīng)用系統(tǒng)服務(wù)器端實(shí)現(xiàn)證書驗(yàn)證的代理機(jī)制，而這種證書驗(yàn)證代理機(jī)制的實(shí)現(xiàn)相對(duì)口令驗(yàn)證代理機(jī)制的實(shí)現(xiàn)來說十分復(fù)雜，并且，由于不同應(yīng)用系統(tǒng)的內(nèi)部機(jī)制不同，所以證書認(rèn)證代理機(jī)制的實(shí)現(xiàn)也不盡相同，這種復(fù)雜性阻礙了PKI技術(shù)的推廣應(yīng)用，不利于應(yīng)用系統(tǒng)的安全建設(shè)。

發(fā)明內(nèi)容
本發(fā)明的目的在于克服現(xiàn)有技術(shù)中的不足，提供一種基于數(shù)字證書實(shí)現(xiàn)的動(dòng)態(tài)口令認(rèn)證方法，該方法將證書的優(yōu)點(diǎn)和動(dòng)態(tài)口令的優(yōu)點(diǎn)有機(jī)地結(jié)合在一起，使其充分發(fā)揮各自的優(yōu)勢(shì)，通過證書和動(dòng)態(tài)口令的結(jié)合將用戶自然身份和用戶口令緊密地聯(lián)系到一起，建立一種實(shí)現(xiàn)方便、安全可靠、靈活有效的身份認(rèn)證機(jī)制。
本發(fā)明是通過以下技術(shù)方案實(shí)現(xiàn)的，本發(fā)明在證書認(rèn)證的基礎(chǔ)上，采用口令的動(dòng)態(tài)生成機(jī)制，通過證書認(rèn)證機(jī)制對(duì)用戶的身份進(jìn)行確認(rèn)，再使用動(dòng)態(tài)口令機(jī)制實(shí)現(xiàn)各種應(yīng)用系統(tǒng)的安全登錄，具體如下首先，利用數(shù)字證書把用戶自然身份和數(shù)字信息綁定在一起，采用非對(duì)稱公鑰機(jī)制，通過數(shù)字簽名、加密/解密技術(shù)實(shí)現(xiàn)對(duì)用戶身份的驗(yàn)證，保證了用戶身份的合法性；其次，采用挑戰(zhàn)/應(yīng)答機(jī)制的動(dòng)態(tài)口令，利用動(dòng)態(tài)口令方法的方便性和靈活性，針對(duì)不同用戶生成不同的一次性動(dòng)態(tài)口令，使用戶每次登錄應(yīng)用系統(tǒng)時(shí)所使用的口令都不相同，保證了口令使用的安全性，實(shí)現(xiàn)各種應(yīng)用系統(tǒng)的安全登錄，并且不改變應(yīng)用系統(tǒng)原有的登錄模式，方便用戶的使用。
以下對(duì)本發(fā)明方法作進(jìn)一步的說明，方法步驟如下(1)用戶提交數(shù)字證書；
(2)用戶證書信息和經(jīng)過簽名的訪問請(qǐng)求被發(fā)送到安全認(rèn)證系統(tǒng)，安全認(rèn)證系統(tǒng)驗(yàn)證后，產(chǎn)生一個(gè)挑戰(zhàn)數(shù)，利用該挑戰(zhàn)數(shù)，通過可生成一個(gè)一次性口令的算法生成一個(gè)一次性口令，然后使用用戶證書中的公鑰對(duì)該口令進(jìn)行加密下傳到用戶；(3)用戶在應(yīng)用系統(tǒng)的登錄界面上，使用該動(dòng)態(tài)口令進(jìn)行登錄；(4)客戶輸入的所有信息被傳送到后臺(tái)應(yīng)用系統(tǒng)，應(yīng)用系統(tǒng)通過兩種方式對(duì)該口令進(jìn)行驗(yàn)證一種是本地認(rèn)證，當(dāng)認(rèn)證系統(tǒng)生成動(dòng)態(tài)口令下傳到客戶端的同時(shí)直接將該口令傳遞到應(yīng)用系統(tǒng)，應(yīng)用系統(tǒng)利用該口令實(shí)現(xiàn)對(duì)用戶訪問信息的本地認(rèn)證，另一種是第三方認(rèn)證，應(yīng)用系統(tǒng)將用戶訪問的信息傳遞到認(rèn)證系統(tǒng)進(jìn)行認(rèn)證，認(rèn)證系統(tǒng)將驗(yàn)證結(jié)果返回給后臺(tái)應(yīng)用系統(tǒng)，從而完成一次認(rèn)證過程。
本發(fā)明充分利用現(xiàn)有PKI和動(dòng)態(tài)口令的成熟技術(shù)和實(shí)現(xiàn)機(jī)制，使方法的實(shí)現(xiàn)更加方便和快捷，并具有可靠性更高、安全性更好的特點(diǎn)。由于用戶在每次登錄系統(tǒng)時(shí)所使用的口令都不相同，從而保證了系統(tǒng)的安全性，避免了傳統(tǒng)靜態(tài)口令泄密所帶來的安全隱患，同時(shí)，由于證書的使用保證了口令使用者的身份合法性，從而保證了系統(tǒng)的安全性。
1、證書認(rèn)證所述的證書認(rèn)證是基于非對(duì)稱公鑰原理實(shí)現(xiàn)的，每一個(gè)用戶都持有一對(duì)密鑰私鑰和公鑰，經(jīng)過私鑰加密的信息只能使用對(duì)應(yīng)的公鑰解密，經(jīng)過公鑰加密的信息只能使用對(duì)應(yīng)的私鑰解密。私鑰由用戶本人保管和使用，不能告知外界，公鑰保存在一張可以標(biāo)識(shí)用戶身份的數(shù)字證書中，數(shù)字證書一般存儲(chǔ)在一個(gè)可以被外界查詢和使用的公共存儲(chǔ)區(qū)。數(shù)字證書中同時(shí)包括了用戶的身份信息，如用戶名、身份證號(hào)碼、工作單位等等，這些用戶身份信息與用戶的公鑰對(duì)應(yīng)，在數(shù)字世界中可以標(biāo)識(shí)用戶的身份。這樣，通過對(duì)證書合法性的驗(yàn)證就可以證明用戶身份的合法性。
在PKI體系中，用戶的證書是由一個(gè)最高信任機(jī)構(gòu)CA頒發(fā)的，具有可信性。CA機(jī)構(gòu)同時(shí)提供證書的驗(yàn)證機(jī)制，各種證書驗(yàn)證機(jī)構(gòu)可以通過該驗(yàn)證機(jī)制驗(yàn)證證書的合法性。
2、挑戰(zhàn)/應(yīng)答機(jī)制的動(dòng)態(tài)口令本發(fā)明方法采用挑戰(zhàn)/應(yīng)答機(jī)制實(shí)現(xiàn)動(dòng)態(tài)口令，用戶登錄系統(tǒng)時(shí)，每一次登錄的口令都不相同，從而避免了由于口令在傳輸和使用過程中泄漏引起的安全隱患。
當(dāng)用戶需要訪問系統(tǒng)時(shí)，首先向認(rèn)證系統(tǒng)提交證書，認(rèn)證系統(tǒng)通過驗(yàn)證證書來確定用戶和請(qǐng)求的合法性，驗(yàn)證通過后，認(rèn)證系統(tǒng)產(chǎn)生一個(gè)挑戰(zhàn)數(shù)，然后用該挑戰(zhàn)數(shù)，通過可生成一個(gè)應(yīng)答數(shù)的算法計(jì)算出相應(yīng)的應(yīng)答數(shù)，通常是一個(gè)字符串，該應(yīng)答數(shù)就是動(dòng)態(tài)口令，認(rèn)證系統(tǒng)使用用戶證書中的公鑰對(duì)該口令進(jìn)行加密下傳到用戶，用戶將該應(yīng)答數(shù)或應(yīng)答數(shù)的MD5摘要作為口令上傳給認(rèn)證系統(tǒng)，認(rèn)證系統(tǒng)利用同樣的算法再次計(jì)算出一個(gè)應(yīng)答數(shù)或應(yīng)答數(shù)的MD5摘要并和用戶上傳的應(yīng)答數(shù)或應(yīng)答數(shù)的MD5摘要進(jìn)行比較，如果兩者相同，允許該用戶訪問系統(tǒng)，否則拒絕用戶的登錄請(qǐng)求。
3、通過證書認(rèn)證機(jī)制對(duì)用戶的身份進(jìn)行確認(rèn)，然后使用動(dòng)態(tài)口令機(jī)制實(shí)現(xiàn)各種應(yīng)用系統(tǒng)的安全登錄用戶首先需要向安全認(rèn)證系統(tǒng)進(jìn)行注冊(cè)，系統(tǒng)為每一位證書用戶在安全認(rèn)證系統(tǒng)中保存一條用戶帳號(hào)信息，帳號(hào)信息包括用戶ID、用戶證書ID等信息，客戶每次通過網(wǎng)絡(luò)進(jìn)入系統(tǒng)時(shí)，只需提交證書，就可以獲得一個(gè)動(dòng)態(tài)口令作為本次登錄應(yīng)用系統(tǒng)的口令，用戶使用該口令登錄應(yīng)用系統(tǒng)。
具體流程如下(1)在驗(yàn)證開始中，系統(tǒng)驗(yàn)證用戶的證書，用戶證書信息和經(jīng)過用戶私鑰加密的登錄請(qǐng)求通過網(wǎng)絡(luò)首先被傳送到認(rèn)證系統(tǒng)；(2)認(rèn)證系統(tǒng)首先通過標(biāo)準(zhǔn)的證書驗(yàn)證機(jī)制對(duì)用戶的證書進(jìn)行合法性驗(yàn)證，然后產(chǎn)生一個(gè)挑戰(zhàn)數(shù)，并利用可生成一個(gè)一次性應(yīng)答數(shù)的算法生成一個(gè)一次性的應(yīng)答數(shù)，作為用戶登錄的動(dòng)態(tài)口令，然后使用用戶證書中的公鑰對(duì)該口令進(jìn)行加密下發(fā)到客戶端；(3)用戶使用該口令登錄應(yīng)用系統(tǒng)；(4)應(yīng)用系統(tǒng)接到該口令后，應(yīng)用系統(tǒng)通過兩種方式該口令進(jìn)行驗(yàn)證一種是本地認(rèn)證，當(dāng)認(rèn)證系統(tǒng)生成動(dòng)態(tài)口令下傳到客戶端的同時(shí)直接將該口令傳遞到應(yīng)用系統(tǒng)，應(yīng)用系統(tǒng)利用該口令實(shí)現(xiàn)對(duì)用戶訪問信息的本地認(rèn)證，另一種是第三方認(rèn)證，應(yīng)用系統(tǒng)將用戶訪問的信息傳遞到認(rèn)證系統(tǒng)進(jìn)行認(rèn)證，認(rèn)證系統(tǒng)將驗(yàn)證結(jié)果返回給后臺(tái)應(yīng)用系統(tǒng)；(5)通過驗(yàn)證后，用戶就可以獲得訪問權(quán)限。
系統(tǒng)每一次生成的口令只能在本次挑戰(zhàn)/應(yīng)答過程中有效，下次登錄時(shí)系統(tǒng)會(huì)生成不同的挑戰(zhàn)數(shù)，相應(yīng)的口令也會(huì)發(fā)生變化，因此不擔(dān)心口令被其他人截取。挑戰(zhàn)/應(yīng)答機(jī)制的動(dòng)態(tài)口令認(rèn)證方法即可以保證很高的安全性，實(shí)現(xiàn)起來又十分方便，是一種靈活、方便、可靠、有效的認(rèn)證方法。
本發(fā)明具有實(shí)質(zhì)性特點(diǎn)和顯著進(jìn)步，本發(fā)明可以有效保護(hù)各種應(yīng)用系統(tǒng)的安全(1)首先在應(yīng)用系統(tǒng)中使用口令驗(yàn)證代理機(jī)制克服了證書驗(yàn)證代理機(jī)制的復(fù)雜性，提高了系統(tǒng)的可用性，使得系統(tǒng)易于實(shí)現(xiàn)，使用方便靈活。簡單的口令驗(yàn)證代理機(jī)制可以方便地支持AIX，HP-UX，Solaris，Linux等多種操作系統(tǒng)平臺(tái)以及Oracle、DB2等多種大型數(shù)據(jù)庫系統(tǒng)，可以將系統(tǒng)用戶(包括root)的口令設(shè)為使用動(dòng)態(tài)口令。同時(shí)，更容易與標(biāo)準(zhǔn)的Radius認(rèn)證服務(wù)器相結(jié)合，實(shí)現(xiàn)對(duì)用戶身份的認(rèn)證和權(quán)限控制。(2)采用了證書機(jī)制將用戶自然身份和數(shù)字口令有機(jī)地結(jié)合在一起，使系統(tǒng)不僅能夠保證口令的安全性，而且還能保證使用口令的用戶身份的合法性，提高了系統(tǒng)的安全性，彌補(bǔ)了原有單純動(dòng)態(tài)口令方法中的缺點(diǎn)。(3)基于證書的動(dòng)態(tài)口令安全認(rèn)證系統(tǒng)可以容易地實(shí)現(xiàn)以下安全控制通過動(dòng)態(tài)口令對(duì)安全網(wǎng)頁訪問進(jìn)行限制；NETWARE/NT/SCO UNIX系統(tǒng)登錄功能；ORACLE/SQL SERVER等大型數(shù)據(jù)庫的用戶連接訪問控制，等等。
具體實(shí)施例方式
下面是一個(gè)使用本發(fā)明方法企業(yè)上網(wǎng)用戶帳戶管理上的應(yīng)用實(shí)例描述，企業(yè)中往往需要對(duì)內(nèi)部員工上Internet進(jìn)行嚴(yán)格管理，主要實(shí)現(xiàn)對(duì)上網(wǎng)用戶登錄系統(tǒng)和權(quán)限進(jìn)行統(tǒng)一的管理和控制，基于證書的動(dòng)態(tài)口令認(rèn)證系統(tǒng)與網(wǎng)管代理相結(jié)合能夠?qū)崿F(xiàn)對(duì)上網(wǎng)用戶的全面管理，滿足企業(yè)對(duì)員工上網(wǎng)的管理需求。安全認(rèn)證服務(wù)器負(fù)責(zé)驗(yàn)證證書和動(dòng)態(tài)口令，并為每一個(gè)上網(wǎng)用戶注冊(cè)和分配權(quán)限；在代理服務(wù)器上安裝有動(dòng)態(tài)口令認(rèn)證代理軟件，并配置安全認(rèn)證服務(wù)器的IP地址；每個(gè)上網(wǎng)用戶的PC機(jī)上安裝有動(dòng)態(tài)認(rèn)證客戶端軟件。動(dòng)態(tài)認(rèn)證安全端與安全認(rèn)證服務(wù)器通信，利用證書啟動(dòng)客戶端系統(tǒng)，獲得動(dòng)態(tài)口令，用戶使用該生成的動(dòng)態(tài)口令登錄代理系統(tǒng)，代理服務(wù)器通過安全認(rèn)證服務(wù)器完成對(duì)用戶身份的驗(yàn)證。安全認(rèn)證服務(wù)器上保存有上網(wǎng)用戶的帳號(hào)，并實(shí)現(xiàn)對(duì)用戶進(jìn)行權(quán)限控制。
(1)用戶首先插入證書，啟動(dòng)客戶端軟件，并輸入證書口令和用戶名；(2)客戶端軟件生成登錄請(qǐng)求信息，用用戶的私鑰對(duì)登錄信息進(jìn)行加密，客戶端軟件不與網(wǎng)絡(luò)代理系統(tǒng)通信，直接與安全認(rèn)證服務(wù)器通信，將用戶證書和加密的登錄信息一起傳送到安全認(rèn)證服務(wù)器；(3)安全認(rèn)證服務(wù)器上運(yùn)行著認(rèn)證系統(tǒng)，認(rèn)證系統(tǒng)通過標(biāo)準(zhǔn)的證書認(rèn)證方式對(duì)用戶證書進(jìn)行驗(yàn)證，驗(yàn)證通過后，生成一個(gè)挑戰(zhàn)數(shù)，利用該挑戰(zhàn)數(shù)，通過可生成一個(gè)一次性口令的算法生成一個(gè)一次性口令，然后使用用戶證書中的公鑰對(duì)該口令進(jìn)行加密下傳到客戶端；(4)客戶端軟件獲得該口令，并顯示在屏幕上；(5)用戶使用該口令登錄網(wǎng)絡(luò)代理服務(wù)器；(6)動(dòng)態(tài)口令認(rèn)證代理截獲登錄的用戶名和口令，并將這些信息發(fā)送到安全認(rèn)證服務(wù)器；(7)安全認(rèn)證服務(wù)器通過再次同樣的算法計(jì)算出動(dòng)態(tài)口令，并將之與用戶登錄的口令作比較，進(jìn)行口令驗(yàn)證，并將驗(yàn)證結(jié)果發(fā)回到網(wǎng)絡(luò)代理服務(wù)器；(8)網(wǎng)絡(luò)代理服務(wù)器根據(jù)結(jié)果判斷是否允許用戶使用網(wǎng)絡(luò)代理接入Internet。
使用了基于證書的動(dòng)態(tài)口令系統(tǒng)后，加強(qiáng)了Internet用戶管理系統(tǒng)安全性，規(guī)范了上網(wǎng)人員的管理，具體效果(1)動(dòng)態(tài)口令的使用增強(qiáng)了Internet上網(wǎng)用戶口令的安全性，上網(wǎng)用戶每次登錄代理服務(wù)器時(shí)所使用的口令都不相同，從而避免了口令泄漏的發(fā)生；(2)數(shù)字證書和口令的結(jié)合，實(shí)現(xiàn)了對(duì)上網(wǎng)用戶身份的認(rèn)證，保證口令使用者身份的合法性；(3)采用了目前已經(jīng)比較成熟的證書技術(shù)和動(dòng)態(tài)口令技術(shù)，系統(tǒng)構(gòu)架清晰、結(jié)構(gòu)簡單，實(shí)現(xiàn)方便、快捷；(4)對(duì)Internet用戶帳戶實(shí)現(xiàn)了集中管理，方便了系統(tǒng)的維護(hù)，降低了系統(tǒng)管理難度和管理成本，同時(shí)，使系統(tǒng)更加安全；(5)使用軟件客戶端，不需要任何其他硬件設(shè)備，成本低，適合用于對(duì)大規(guī)模用戶管理。
權(quán)利要求
1.一種基于數(shù)字證書實(shí)現(xiàn)的動(dòng)態(tài)口令認(rèn)證方法，其特征在于，在證書認(rèn)證的基礎(chǔ)上，采用口令的動(dòng)態(tài)生成機(jī)制，通過證書認(rèn)證機(jī)制對(duì)用戶的身份進(jìn)行確認(rèn)，再使用動(dòng)態(tài)口令機(jī)制實(shí)現(xiàn)各種應(yīng)用系統(tǒng)的安全登錄，具體如下首先，利用數(shù)字證書把用戶自然身份和數(shù)字信息綁定在一起，采用非對(duì)稱公鑰機(jī)制，通過證書認(rèn)證實(shí)現(xiàn)對(duì)用戶身份的驗(yàn)證，其次，采用挑戰(zhàn)/應(yīng)答機(jī)制的動(dòng)態(tài)口令，通過動(dòng)態(tài)口令方法，針對(duì)不同用戶生成不同的一次性動(dòng)態(tài)口令，實(shí)現(xiàn)各種應(yīng)用系統(tǒng)的安全登錄。
2.根據(jù)權(quán)利要求1所述的基于數(shù)字證書實(shí)現(xiàn)的動(dòng)態(tài)口令認(rèn)證方法，其特征是，方法步驟如下(1)用戶提交數(shù)字證書；(2)用戶證書信息和經(jīng)過簽名的訪問請(qǐng)求被發(fā)送到安全認(rèn)證系統(tǒng)，安全認(rèn)證系統(tǒng)驗(yàn)證后，產(chǎn)生一個(gè)挑戰(zhàn)數(shù)，利用該挑戰(zhàn)數(shù)，通過可生成一個(gè)一次性口令的算法生成一個(gè)一次性口令，然后使用用戶證書中的公鑰對(duì)該口令進(jìn)行加密下傳到用戶；(3)用戶在應(yīng)用系統(tǒng)的登錄界面上，使用該動(dòng)態(tài)口令進(jìn)行登錄；(4)客戶輸入的所有信息被傳送到后臺(tái)應(yīng)用系統(tǒng)，應(yīng)用系統(tǒng)通過兩種方式該口令進(jìn)行驗(yàn)證一種是本地認(rèn)證，當(dāng)認(rèn)證系統(tǒng)生成動(dòng)態(tài)口令下傳到客戶端的同時(shí)直接將該口令傳遞到應(yīng)用系統(tǒng)，應(yīng)用系統(tǒng)利用該口令實(shí)現(xiàn)對(duì)用戶訪問信息的本地認(rèn)證，另一種是第三方認(rèn)證，應(yīng)用系統(tǒng)將用戶訪問的信息傳遞到認(rèn)證系統(tǒng)進(jìn)行認(rèn)證，認(rèn)證系統(tǒng)將驗(yàn)證結(jié)果返回給后臺(tái)應(yīng)用系統(tǒng)，從而完成一次認(rèn)證過程；
3.根據(jù)權(quán)利要求1或2所述的基于數(shù)字證書實(shí)現(xiàn)的動(dòng)態(tài)口令認(rèn)證方法，其特征是，所述的證書認(rèn)證，具體如下證書認(rèn)證是基于非對(duì)稱公鑰原理實(shí)現(xiàn)的，每一個(gè)用戶都持有一對(duì)密鑰私鑰和公鑰，經(jīng)過私鑰加密的信息只能使用對(duì)應(yīng)的公鑰解密，經(jīng)過公鑰加密的信息只能使用對(duì)應(yīng)的私鑰解密，私鑰由用戶本人保管和使用，公鑰保存在一張可唯一標(biāo)識(shí)用戶身份的數(shù)字證書中，數(shù)字證書存儲(chǔ)在一個(gè)可被外界查詢和使用的公共存儲(chǔ)區(qū)，數(shù)字證書中同時(shí)包括了用戶的身份信息，這些用戶身份信息與用戶的公鑰對(duì)應(yīng)，在數(shù)字世界中標(biāo)識(shí)用戶的身份，通過對(duì)證書合法性的驗(yàn)證就可證明用戶身份的合法性。
4.根據(jù)權(quán)利要求1或2所述的基于數(shù)字證書實(shí)現(xiàn)的動(dòng)態(tài)口令認(rèn)證方法，其特征是，所述的挑戰(zhàn)/應(yīng)答機(jī)制實(shí)現(xiàn)動(dòng)態(tài)口令，具體如下采用挑戰(zhàn)/應(yīng)答機(jī)制實(shí)現(xiàn)動(dòng)態(tài)口令，用戶登錄系統(tǒng)時(shí)，每一次登錄的口令都不相同，當(dāng)用戶需要訪問系統(tǒng)時(shí)，首先向認(rèn)證系統(tǒng)提交證書，認(rèn)證系統(tǒng)通過驗(yàn)證證書來確定用戶和請(qǐng)求的合法性，驗(yàn)證通過后，認(rèn)證系統(tǒng)產(chǎn)生一個(gè)挑戰(zhàn)數(shù)，然后用該挑戰(zhàn)數(shù)，通過可生成一個(gè)應(yīng)答數(shù)的算法計(jì)算出相應(yīng)的應(yīng)答數(shù)，通常是一個(gè)字符串，該應(yīng)答數(shù)就是動(dòng)態(tài)口令，認(rèn)證系統(tǒng)使用用戶證書中的公鑰對(duì)該口令進(jìn)行加密下傳到用戶，用戶將該應(yīng)答數(shù)或應(yīng)答數(shù)的MD5摘要作為口令上傳給認(rèn)證系統(tǒng)，認(rèn)證系統(tǒng)利用同樣的算法再次計(jì)算出一個(gè)應(yīng)答數(shù)或應(yīng)答數(shù)的MD5摘要并和用戶上傳的應(yīng)答數(shù)或應(yīng)答數(shù)的MD5摘要進(jìn)行比較，如果兩者相同，允許該用戶訪問系統(tǒng)，否則拒絕用戶的訪問請(qǐng)求。
5.根據(jù)權(quán)利要求1或2所述的基于數(shù)字證書實(shí)現(xiàn)的動(dòng)態(tài)口令認(rèn)證方法，其特征是，所述的通過證書認(rèn)證機(jī)制對(duì)用戶的身份進(jìn)行確認(rèn)，然后使用動(dòng)態(tài)口令機(jī)制實(shí)現(xiàn)各種應(yīng)用系統(tǒng)的安全登錄，具體如下用戶首先需要向安全認(rèn)證系統(tǒng)進(jìn)行注冊(cè)，系統(tǒng)為每一位證書用戶在安全認(rèn)證系統(tǒng)中保存一條用戶帳號(hào)信息，帳號(hào)信息包括用戶ID、用戶證書ID等信息，客戶每次通過網(wǎng)絡(luò)進(jìn)入系統(tǒng)時(shí)，只需提交證書，就可獲得一個(gè)動(dòng)態(tài)口令作為本次登錄應(yīng)用系統(tǒng)的口令，用戶使用該口令登錄應(yīng)用系統(tǒng)。
6.根據(jù)權(quán)利要求5所述的基于數(shù)字證書實(shí)現(xiàn)的動(dòng)態(tài)口令認(rèn)證方法，其特征是，通過證書認(rèn)證機(jī)制對(duì)用戶的身份進(jìn)行確認(rèn)，然后使用動(dòng)態(tài)口令機(jī)制實(shí)現(xiàn)各種應(yīng)用系統(tǒng)的安全登錄，具體流程如下(1)在驗(yàn)證開始中，系統(tǒng)驗(yàn)證用戶的證書，用戶證書信息和經(jīng)過用戶私鑰加密的訪問請(qǐng)求通過網(wǎng)絡(luò)首先被傳送到認(rèn)證系統(tǒng)；(2)認(rèn)證系統(tǒng)首先通過標(biāo)準(zhǔn)的證書驗(yàn)證機(jī)制對(duì)用戶的證書進(jìn)行合法性驗(yàn)證，然后產(chǎn)生一個(gè)挑戰(zhàn)數(shù)，并利用可生成一個(gè)一次性應(yīng)答數(shù)的算法生成一個(gè)一次性的應(yīng)答數(shù)，作為用戶登錄的動(dòng)態(tài)口令，然后使用用戶證書中的公鑰對(duì)該口令進(jìn)行加密下發(fā)到客戶端；(3)用戶使用該口令登錄應(yīng)用系統(tǒng)；(4)應(yīng)用系統(tǒng)接到該口令后，應(yīng)用系統(tǒng)通過兩種方式該口令進(jìn)行驗(yàn)證一種是本地認(rèn)證，當(dāng)認(rèn)證系統(tǒng)生成動(dòng)態(tài)口令下傳到客戶端的同時(shí)直接將該口令傳遞到應(yīng)用系統(tǒng)，應(yīng)用系統(tǒng)利用該口令實(shí)現(xiàn)對(duì)用戶訪問信息的本地認(rèn)證，另一種是第三方認(rèn)證，應(yīng)用系統(tǒng)將用戶訪問的信息傳遞到認(rèn)證系統(tǒng)進(jìn)行認(rèn)證，認(rèn)證系統(tǒng)將驗(yàn)證結(jié)果返回給后臺(tái)應(yīng)用系統(tǒng)；(5)通過驗(yàn)證后，用戶就可獲得訪問權(quán)限。
全文摘要
一種基于數(shù)字證書實(shí)現(xiàn)的動(dòng)態(tài)口令認(rèn)證方法，屬于計(jì)算機(jī)和信息安全技術(shù)領(lǐng)域。本發(fā)明在證書認(rèn)證的基礎(chǔ)上，采用口令的動(dòng)態(tài)生成機(jī)制，通過證書認(rèn)證機(jī)制對(duì)用戶的身份進(jìn)行確認(rèn)，再使用動(dòng)態(tài)口令機(jī)制實(shí)現(xiàn)各種應(yīng)用系統(tǒng)的安全登錄，具體如下首先，利用數(shù)字證書把用戶自然身份和數(shù)字信息綁定在一起，采用非對(duì)稱公鑰機(jī)制，通過數(shù)字簽名、加密/解密技術(shù)實(shí)現(xiàn)對(duì)用戶身份的驗(yàn)證，其次，采用挑戰(zhàn)/應(yīng)答機(jī)制的動(dòng)態(tài)口令，通過動(dòng)態(tài)口令方法，針對(duì)不同用戶生成不同的一次性動(dòng)態(tài)口令，實(shí)現(xiàn)各種應(yīng)用系統(tǒng)的安全登錄。本發(fā)明方法的實(shí)現(xiàn)更加方便和快捷，并具有可靠性更高、安全性更好的特點(diǎn)，保證了系統(tǒng)的安全性，避免了傳統(tǒng)靜態(tài)口令泄密所帶來的安全隱患。
文檔編號(hào)H04L9/00GK1477810SQ0312928
公開日2004年2月25日 申請(qǐng)日期2003年6月12日 優(yōu)先權(quán)日2003年6月12日
發(fā)明者莊昱垚, 童立, 劉欣淘, 莊昱 申請(qǐng)人:上海格爾軟件股份有限公司