CN101252436B - 智能卡动态密码生成和判断系统 - Google Patents

Abstract

一种移动通信技术领域的智能卡动态密码生成和判断系统，包括：智能卡、用户移动设备、安全认证服务器以及目标登录系统，智能卡与用户移动设备通过标准输入输出端口相连接，安全认证服务器与目标登录系统通过互联网相连，用户移动设备和目标登录系统可供用户操作，并且智能卡还包括：内含用户信息、用户端系统时间以及用户端动态密码的非易失性存储器；安全认证服务器还包括：内含用户信息备份、服务器端系统时间以及服务器端动态密码的认证数据库。本发明动态密码的应用独立于用户移动设备，不受其硬件差异性的影响，方便使用。

Description

智能卡动态密码生成和判断系统

技术领域

本发明涉及的是一种移动通信技术领域的系统，特别是一种智能卡动态密码生成和判断系统。

背景技术

在计算机网络中，最常见而且最简单的访问控制方法是使用口令，通过对口令的匹配来确认用户的合法性。口令不安全是网络系统中普遍存在的隐患。据美国某专业安全协会对近千名公司网络管理员的调查表明，有60％的系统首先被攻击和突破的部位是口令，而烦琐的口令设置又给用户带来很多麻烦，对此系统管理员感到进退两难。

随着计算机及网络系统的普及，越来越多的用户在电子化系统上使用用户名及帐户密码作为认证身份的手段，例如电子邮件系统、电子交易、网上支付、网上银行、网络游戏等。然而使用固定的用户名和帐户密码的方法，其风险日益凸显，木马盗取、网络窃听、穷举攻击及用户长期使用单一密码等潜在危险令电子化系统的身份认证、用户登录的合法性受到严重挑战。

基于上述背景，人们提出了一次性使用的动态密码技术，其原理是：用户掌握特定的硬件设备及运行其上的软件，在需要进行系统登录前，由该固件通过一定的算法和因子进行计算得出本次登录所需的一次性使用的动态密码，并由该固件通过人机界面将此密码告知用户，用户使用得到的动态密码替代或作为固定密码的补充在电子化系统侧进行登录。动态密码技术被广泛应用于银行、证券、政府、税务及企业重要系统中，在应用中证明了其提高系统及用户安全的有效价值。

经对现有技术文献的检索发现：移动通信技术领域中的与动态密码技术密切相关的系统，如：中国实用新型专利申请号为：200620124699(公开号为CN2938239)，名称为：一种动态密码提供系统和动态密码提供设备。该技术自述：动态密码提供设备中包括接口及动态密码输出单元、电子签名功能单元和动态密码生成单元，计算机中包括接口单元和电子签名应用单元。接口单元将连接信号发送至电子签名应用单元，电子签名应用单元在接收到连接信号后，通过接口单元、接口及动态密码输出单元和电子签名功能单元，将动态密码生成指示发送至动态密码生成单元；动态密码生成单元，用于在接收到动态密码生成指示后，生成动态密码，将所生成的动态密码发送至接口及动态密码输出单元，接口及动态密码输出单元输出动态密码。又如：中国发明专利申请号为：200610169595(公开号为CN1987938)，名称为：一种动态密码提供系统和动态密码提供设备。该技术自述：提供一种动态密码方法、系统及动态密码卡，所述的动态密码方法包括：随机生成-组动态密码，每个动态密码均具有唯一性；对所述的动态密码进行存储，并建立每个动态密码与一坐标数据的对应关系；在进行动态密码安全认证时：提示坐标数据；输入与提示的坐标数据相对应的动态密码；判断存储的与所述提示坐标数据相同的坐标数据所对应的动态密码是否与输入的动态密码相同，如果是则输入的动态密码通过安全认证。

但是上述两项技术需要通过特定的专用设备和辅助工具获得动态密码，都存在携带与使用不方便的缺陷。

在进一步对移动通信技术领域中的动态密码技术分析中，认为：中国实用新型专利申请号为：CN200420036971(公开号为CN2746689)，名称为：一种手机或移动设备中产生动态口令的模块。该技术自述：涉及一种手机或移动设备中产生动态口令的模块。通过在手机、PDA等移动通信设备的存储器模块中植入程序代码，形成手机或移动设备中的动态口令模块，从而不需要专用口令发生器，产生高安全性网络安全动态口令。

该技术对于不同的外部设备上的实际应用存在程序平台兼容性差的问题，对于不同的类型、型号的外部设备，仍需要专业技术人员开发和提供专项针对性的技术分别植入动态密码生成程序，并且该技术没有动态密码在电信智能卡内如何生成的具体过程及应用的描述，对于动态密码生成后如何在服务器端认证也面临相同的兼容性和开放性的应用困难。

发明内容

本发明的目的在于克服现有技术中的不足，提供一种智能卡动态密码生成和判断系统，通过在智能卡上实现动态密码的计算，并通过SIM卡工具包将计算结果显示反馈用户，本发明适用于任何支持该系统的手机，简单可靠、使用方便。

本发明是通过以下技术方案实现的：

本发明包括：智能卡、用户移动设备、安全认证服务器以及目标登录系统，智能卡与用户移动设备通过标准输入输出端口相连接，安全认证服务器与目标登录系统通过互联网相连，用户移动设备和目标登录系统可供用户操作。

所述的智能卡包括：存储于非易失性存储器中的控制软件以及通过总线与非易失性存储器相连接的运算处理器，标准输入输出端口连接到运算处理器，其中控制软件通过总线控制运算处理器进行用户端动态密码的计算。

所述的安全认证服务器包括：内含用户信息备份、服务器端系统时间以及服务器端动态密码的认证数据库以及判断模块和纠错模块，其中判断模块与认证数据库通过检索链路连接，判断模块的判决结果输出给纠错模块。

所述的用户信息包括：用于标识不同用户的用户ID、对应用户ID唯一的用户共享密钥以及用于记录加密次数的用户端计数器值；其中用户ID是区分不同用户的标识信息，该用户ID的存储格式为可见字符集，并以非定长的方式存放，在用户注册时由安全认证服务器生成并写入智能卡；用户端系统时间，是指用户移动设备的系统时间，相对应的用户信息备份包括：用户ID的备份、对应用户ID唯一的用户共享密钥备份以及用于记录请求认证次数的服务器端计数器值，其中用户ID备份是区分不同用户的标识信息，该用户ID的存储格式为可见字符集，并以非定长的方式存放，储存于安全认证服务器内，由用户ID复制产生；服务器端系统时间，是指安全认证服务器的系统时间。

所述的用户端动态密码，是由用户信息和用户端系统时间进行加密计算得出的私人密钥，相对应的服务器端动态密码，是由用户信息备份和服务器端系统时间进行加密计算得出的私人密钥。

所述的用户移动设备包括人机界面和通过总线相连接的显示屏，标准输入输出端口连接到人机界面；其中人机界面用于输入用户请求生成用户端动态密码的指令；显示屏用于输出用户端动态密码。

所述的目标登录系统包括：系统登录终端和请求认证模块，请求认证模块通过网线、互联网及TCP/IP协议连接至安全认证服务器；系统登录终端将用户输入的用户输入的用户信息、用户端系统时间以及用户端动态密码传送至请求认证模块，同时也将请求认证模块收到的认证结果返回至用户；请求认证模块向安全认证服务器发送用户信息、用户端系统时间以及用户端动态密码，并接收从安全认证服务器发送回的认证结果。

所述的判断模块包括：检索单元、运算单元和比较单元，检索单元通过检索链路连接认证数据库，运算单元将检索单元的输出结果进行运算得出服务器端动态密码并送至比较单元，比较单元同时与目标登录系统和重同步系统相连；检索单元以收到的用户信息在认证数据库中检索出一致的用户信息备份并将服务器端系统时间一同发送至运算单元，运算单元用于生成并发送服务器端动态密码至比较单元，比较单元将服务器端动态密码与目标登录系统输出的用户端动态密码进行比较，并将比较结果发送至纠错模块。

所述的纠错模块包括：容错单元和重同步单元，容错单元的输入连接到判断模块，容错单元输出连接到重同步单元，重同步单元与系统登录终端相连，容错单元将服务器动态密码加上容错阈值后与用户端动态密码进行比较，并将比较成功和比较失败的结果输出至重同步单元；最终重同步单元将容错单元发送的比较失败结果对应的用户信息备份传送至系统登录终端。

本发明工作流程如下：在用户移动设备上输入请求生成用户端动态密码的指令，智能卡计算出用户端动态密码并输出至显示屏，用户可以在目标登录系统上输入用户信息、用户端系统时间以及用户端动态密码，目标登录系统在获得了上述信息后，将认证请求发送至安全认证服务器；安全认证服务器处理认证请求并根据认证结果返回至目标登录系统证。

与现有技术相比，本发明在携带上更加便捷，由于目前移动通讯终端设备的普及，使用者无需再额外携带特定的动态密码生成设备，只需使用用户移动设备即可达到随时获取动态密码的目的。本发明充分利用了智能卡的优势，实现实时离线生成动态密码的效果，无需通过短信或GPRS(无线分组数据交换)获取动态密码，无需在用户移动设备做任何软件修改或安装，便可轻松使用动态密码功能。

附图说明

图1为本发明逻辑示意图

图2为本发明实施例1示意图

图3为本发明实施例2示意图

具体实施方式

以下结合附图对本发明的实施例作详细说明：本实施例在以本发明技术方案为前提下进行实施，给出了详细的实施方式和过程，但本发明的保护范围不限于下述的实施例。

实施例1，如图1和图2所示，包括：智能卡、用户移动设备、安全认证服务器以及目标登录系统，智能卡与用户移动设备通过标准输入输出端口相连接，安全认证服务器与目标登录系统通过互联网相连，用户移动设备和目标登录系统可供用户操作，并且智能卡还包括内含用户信息、用户端系统时间以及用户端动态密码的非易失性存储器；同样的，安全认证服务器还包括内含用户信息备份、服务器端系统时间以及服务器端动态密码的认证数据库。

本实施例中的用户信息包括：用于标识不同用户的用户ID、对应用户ID唯一的用户共享密钥以及用于记录加密次数的用户端计数器值，其中用户ID是区分不同用户的标识信息，该用户ID的存储格式为可见字符集，并以非定长的方式存放，在用户注册时由安全认证服务器生成并写入智能卡；用户共享密钥是一个160bit的共享密钥，在用户注册时由安全认证服务器生成并写入智能卡；用户端计数器值是一个64bit的依次递增的计数器的值，其初始值为1。

本实施例中的用户端系统时间，是指用户移动设备的系统时间。

相应的，用户信息备份包括：用户ID的备份、对应用户ID唯一的用户共享密钥备份以及用于记录请求认证次数的服务器端计数器值，其中用户ID备份是区分不同用户的标识信息，该用户ID的存储格式为可见字符集，并以非定长的方式存放，储存于安全认证服务器内，由用户ID复制产生；用户共享密钥备份是一个160bit的共享密钥，储存于安全认证服务器内，由用户共享密钥复制产生；服务器端计数器值是一个64bit的依次递增的计数器的值，其初始值为1：

相应的，服务器端系统时间，是指安全认证服务器的系统时间。

本实施例中的用户端动态密码，是由用户信息和用户端系统时间进行加密计算得出的私人密钥；相应的服务器端动态密码，是由用户信息备份和服务器端系统时间进行加密计算得出的私人密钥，上述加密计算是动态密码公开组织OATH的标准算法。

本实施例中的智能卡还包括：存储于非易失性存储器中的控制软件以及通过总线与非易失性存储器相连接的运算处理器，标准输入输出端口连接到运算处理器，其中的控制软件通过总线控制运算处理器进行用户端动态密码的计算；当具体应用时，智能卡采用柯斯公司的支持USAT(Universal SIM ApplicationToolkit通用SIM应用程序工具包)的带有智能模块的移动通信智能卡。

本实施例中的用户移动设备包括人机界面和通过总线相连接的显示屏，标准输入输出端口连接到人机界面，其中的人机界面用于输入用户请求生成用户端动态密码的指令；显示屏用于输出用户端动态密码；具体在应用时用户移动设备可以采用一台支持USAT的普通手机，相应的标准输入输出端口相连接是以7816标准建立的输入输出端口。

本实施例中的目标登录系统包括：系统登录终端和请求认证模块，其中系统登录终端与请求认证模块以数据流相连，请求认证模块通过网线、互联网及TCP/IP协议连接至安全认证服务器，其中的系统登录终端将用户输入的用户输入的用户信息、用户端系统时间以及用户端动态密码传送至请求认证模块，同时也将请求认证模块收到的认证结果返回至用户；其中的系统登录终端是一个交互程序界面，请求认证模块则用于向安全认证服务器发送用户信息、用户端系统时间以及用户端动态密码，并接收从安全认证服务器发送回的认证结果。

本实施例中的安全认证服务器还包括：判断模块和纠错模块，其中判断模块与认证数据库通过检索链路连接，判断模块的判决结果输出给纠错模块，其中的判断模块包括：检索单元、运算单元和比较单元，其中检索单元通过检索链路连接认证数据库，运算单元将检索单元的输出结果进行运算得出服务器端动态密码并送至比较单元，比较单元同时与目标登录系统和重同步系统相连；检索单元以收到的用户信息在认证数据库中检索出一致的用户信息备份并将服务器端系统时间一同发送至运算单元；运算单元用于生成并发送服务器端动态密码至比较单元；比较单元将服务器端动态密码与目标登录系统输出的用户端动态密码进行比较，并将比较结果发送至纠错模块；纠错模块包括：容错单元和重同步单元，其中容错单元的输入连接到判断模块，容错单元输出至重同步单元，重同步单元与系统登录终端相连；容错单元将服务器动态密码加上容错阈值后与用户端动态密码进行比较，并将比较成功和比较失败的结果输出至重同步单元；重同步单元将容错单元发送的比较失败结果对应的用户信息备份传送至系统登录终端。

本实施例1的具体工作流程如下：

首先用户注册并由安全认证服务器生成用户信息储存在智能卡的非易失性存储器内，并将相同的用户信息备份至安全认证服务器中，用户操作支持SIM卡工具包的手机，发送生成动态密码的指令，手机通过标准输入输出端口向智能卡发送上述指令，同时附上手机当时的系统时间作为用户端系统时间。智能卡通过加密计算，得出用户端动态密码结果。用户在系统登录终端上输入用户ID、用户共享密钥和由手机计算出的当次用户端动态密码作为认证请求。请求认证模块将认证请求通过网线发送至安全认证服务器进行认证。安全认证服务器在接收到认证请求后，在所含用户信息备份中检索同一个用户ID所对应的用户共享密钥备份和服务器端计数器值并根据用户ID、用户共享密钥备份、服务器端计数器值以及安全认证服务器当前使用的服务器端系统时间使用与智能卡相同的加密计算方法，独立进行服务器端动态密码的计算，之后将服务器端动态密码与用户端动态密码进行比较判断，并将结果发送至目标登录系统。

安全认证服务器以服务器端计数器值为起始，循环累加服务器端计数器值，并根据每次循环的服务器端计数器值重复进行加密计算，同时对计算出的服务器端动态密码与用户端动态密码进行比较，在比较结果相同时将服务器端计数器更新后结束循环，并将容错成功的结果返回至系统登录终端，否则将容错失败的结果返回至系统登录终端并进行重同步；其中循环次数为设定的计数器值误差阈值，即服务器端计数器值与用户端计数器值误差的设定允许值；

同样地，上述容错单元也可以将服务器端系统时间加上系统时间误差阈值，重新计算服务器端动态密码并再次与用户端动态密码进行判断比较，如结果相同则向系统登录服务器发送容错成功的结果，否则将容错失败的结果发送至系统登录终端并进行重同步；其中系统时间误差阈值是指服务器端系统时间与用户端系统时间误差的设定允许值。

实施例2如图3所示，是用户移动设备的人机界面使用示意图，当用户在支持SIM卡工具包的用户移动设备上找到SIM卡工具包应用入口，并点击“动态密码”菜单项，用户移动设备向智能卡发出密码生成请求，运算处理器计算出当次用户端动态密码后，并组织成“显示文本”的命令返回用户移动设备，用户移动设备收到该“显示文本”命令后，将需要显示的字符打印在用户移动设备的显示屏上。

Claims (3)

1.一种智能卡动态密码生成和判断系统，其特征在于，包括：智能卡、用户移动设备、安全认证服务器以及目标登录系统，智能卡与用户移动设备通过标准输入输出端口相连接，安全认证服务器与目标登录系统通过互联网相连，用户移动设备和目标登录系统供用户操作；

用户注册并由安全认证服务器生成用户信息，将用户信息存储于智能卡中，并将相同的用户信息备份到安全认证服务器中，用户通过用户移动设备向智能卡发送生成动态密码的指令，智能卡在接收到指令后，使用用户信息及用户端系统时间生成用户端动态密码并返回给用户移动设备进行显示；目标登录系统包括：系统登录终端和请求认证模块，请求认证模块通过网线、互联网及TCP/IP协议连接至安全认证服务器；系统登录终端将用户输入的用户信息、用户端系统时间以及用户端动态密码传送至请求认证模块，同时也将请求认证模块收到的认证结果返回至用户，请求认证模块向安全认证服务器发送用户信息、用户端系统时间以及用户端动态密码，并接收从安全认证服务器发送回的认证结果；

所述的安全认证服务器包括：内含用户信息备份、服务器端系统时间以及服务器端动态密码的认证数据库、判断模块和纠错模块，其中判断模块与认证数据库通过检索链路连接，判断模块的判决结果输出给纠错模块；

所述的判断模块包括：检索单元、运算单元和比较单元，检索单元通过检索链路连接认证数据库，运算单元将检索单元的输出结果进行运算得出服务器端动态密码并送至比较单元，比较单元同时与目标登录系统和重同步单元相连；

所述的判断模块，其检索单元以收到的用户信息在认证数据库中检索出一致的用户信息备份并将服务器端系统时间一同发送至运算单元，运算单元用于生成并发送服务器端动态密码至比较单元，比较单元将服务器端动态密码与目标登录系统输出的用户端动态密码进行比较，并将比较结果发送至纠错模块；

所述的纠错模块包括：容错单元和重同步单元，容错单元的输入连接到判断模块，容错单元的输出连接到重同步单元，重同步单元与系统登录终端相连；

所述的纠错模块，其容错单元将服务器端动态密码加上容错阈值后与用户端动态密码进行比较，并将比较成功和比较失败的结果输出至重同步单元；最终重同步单元将容错单元发送的比较失败结果对应的用户信息备份传送至系统登录终端。

2.根据权利要求1所述的智能卡动态密码生成和判断系统，其特征是，所述的智能卡包括：存储于非易失性存储器中的控制软件以及通过总线与非易失性存储器相连接的运算处理器，标准输入输出端口连接到运算处理器，其中控制软件通过总线控制运算处理器进行用户端动态密码的计算。

3.根据权利要求1所述的智能卡动态密码生成和判断系统，其特征是，所述的用户移动设备包括人机界面和通过总线相连接的显示屏，标准输入输出端口连接到人机界面；其中人机界面用于输入用户请求生成用户端动态密码的指令；显示屏用于输出用户端动态密码。

Images