专利名称：一种基于多重交易因子的挑战口令认证系统及方法
技术领域：
本发明涉及一种信息技术领域，尤其涉及一种基于多重交易因子的挑战口令认证 系统证及认证方法。
背景技术：
随着智能卡应用领域的发展，用户对智能卡的应用功能的要求也越来越高，希望 智能卡能够提供越来越多的应用功能，以满足人们在使用过程中的安全性、便利性和多样 化需求。但是信息应用系统的网络化实现信息共享和广泛深入应用的同时，也带来了数据 安全性的问题，如果没有足够的安全保障，信息在公共通信网络上存储、共享和传输就有可 能会被非法窃听、截取、篡改或毁坏，信息技术的发展使得信息安全问题也越来越为人们关 注。在信息网络中最常见而简单的访问控制方法是通过对静态口令的匹配来确认用户身份 的真实性。然而传统的静态密码存在很多缺陷，例如，密码容易被人猜测或通过交际工程学 等途径获取，输入密码时容易被人窥视等。虽然一次性密码比可重用的静态密码强壮，但它 们仍存在被利用的弱点，而且一次性密码的依然是单因素认证，而不是强力用户认证。解决静态密码安全性的一种办法是使用动态密码(One-time Password-OTP),它 指用户的密码按照时间或使用次数不断动态变化，每个密码只使用一次。动态密码采用一 种称之为动态密码的专用硬件，内置电源、密码生成芯片和显示屏。密码生成芯片运行专门 的密码算法，根据当前时间或使用次数生成当前密码并显示在显示屏上。认证服务器采用 相同的算法计算当前的有效密码。由于每次使用的密码必须由动态令牌产生，只有合法用 户持有该硬件，所以只要密码验证通过，系统就可以认为该用户的身份可靠。而用户每次使 用的密码都不同，即使黑客截获了一次密码，也无法利用这个密码仿冒合法用户身份。动态密码认证从一定程度加强了用户进行帐户信息存取和其他操作的安全性， 但在存在信息窃取时仍然无法保证。例如现在的一些钓鱼网站，它通过将用户引入非法网 站，提供与正规网上银行网站非常相似的用户界面，诱使用户在不够警惕的情况下就输入 了用户自己的账户信息，如用户名密码甚至动态认证密码，钓鱼网站获取该信息后立即到 正规网银网站进行登录，继而进行网上银行的操作，如转账或网银消费，给用户造成了很 大的损失。
发明内容
本发明的目的是针对信息窃取的现状以及现有技术存在的缺陷，提供一种基于多 重交易因子的挑战口令认证系统及认证方法，其通过在用户使用动态令牌时利用现有可能 的多重交易因子生成一组动态密码，进行动态密码认证，进一步在现有动态密码生成的基 础上基于多重交易因子生成更具安全性和及时性的动态密码，从而防止交易动作被篡改， 通过改变交易因子的复杂度来强化交易安全。为了达到上述目的，本发明提出了一种基于多重交易因子的挑战口令认证系统，
3所述系统是通过以下的技术方案实现的
一种基于多重交易因子的挑战口令认证系统，所述系统包括 挑战令牌，所述挑战令牌包含一动态密码生成模块，用来当用户进行帐户操作时根据 当前因子生成一组动态密码；
远端服务器，用于定时产生随机密码，并接收认证所述动态密码以验证所述随机密码 和同步生成的所述动态密码是否一致。优选的，所述系统还包括一同步时钟，用来实现所述远端服务器与动态密码生成 模块的时间同步。优选的，当所述远端服务器验证所述随机密码和同步生成的所述动态密码的结果 为一致时，所述系统通过对所述用户的认证。优选的，所述挑战令牌还包括显示模块，与所述动态密码生成模块相连，用来 显示所述动态密码给用户。优选的，所述挑战令牌更包括一按键与所述动态密码生成模块相连，用来控制所 述显示模块显示所述动态密码，其中，所述显示模块包括一显示屏。优选的，所述当前因子包含用户帐户信息和转帐信息。优选的，所述用户帐户信息包含用户名和密码。优选的，所述转帐信息包括转入帐号和或当前时间信息。为了实现前述发明目的，本发明实施例还提出了一种基于多重交易因子的挑战令 牌认证方法，所述方法包括
当用户进行帐户操作时，挑战令牌所包含的动态密码生成模块根据当前因子生成一 组动态密码；
远端服务器接收认证所述动态密码以验证其同步生成的随机密码和所述动态密码是
否一致。优选的，所述方法还包括
提供一同步时钟，所述同步时钟与所述动态密码生成模块相连以实现所述远端服务器 与动态密码生成模块的时间同步。优选的，当所述远端服务器验证所述随机密码和同步生成的所述动态密码的结果 为一致时，所述系统通过对所述用户的认证。优选的，所述方法还包括
提供一显示模块，所述显示模块与所述动态密码生成模块相连，当动态密码生成时， 显示所述动态密码给用户。优选的，所述方法更包括
提供一按键，所述按键与所述动态密码生成模块相连，控制所述显示模块显示所述动 态密码，其中，所述显示模块包括一显示屏。优选的，所述当前因子包含用户帐户信息和转帐信息。优选的，所述用户帐户信息包含用户名和密码。优选的，所述转帐信息包括转入帐号和或当前时间信息。与现有技术相比，本发明基于多重交易因子的挑战令牌认证系统及方法通过实时 加入动态因子，并根据该动态因子生成动态密码，使得用户在进行登录或帐户操作时，通过关联信息多样化和复杂化，防止交易动作被篡改，远端服务器对随机密码和动态密码进行 验证，进一步加强了动态密码认证时的安全性，提高了用户使用帐户的安全性，增强了用户 体验。
通过下面结合附图对其示例性实施例进行的描述，本发明上述特征和优点将会变 得更加清楚和容易理解。图1为本发明实施例1基于多重交易因子的挑战口令认证系统的组成示意图； 图2为本发明实施例2基于多重交易因子的挑战口令认证系统的组成示意图3为本发明实施例3基于多重交易因子的挑战口令认证系统的组成示意图； 图4为本发明实施例4基于多重交易因子的挑战令牌的组成示意图； 图5为本发明实施例5基于多重交易因子的挑战令牌认证方法的流程图。
具体实施例方式下面结合附图对本发明作进一步详细说明。如图1所示，为本发明实施例1 一种基于多重交易因子的挑战口令认证系统的组 成示意图，所述系统包括
挑战令牌，所述挑战令牌包含一动态密码生成模块，用来当用户进行帐户操作时根据 当前因子生成一组动态密码；
远端服务器，用于定时产生随机密码，并接收认证所述动态密码以验证所述随机密码 和同步生成的所述动态密码是否一致。用户在初次登陆或后续需要进行其他帐户操作如转帐时，往往需要输入或读取 帐户密钥，但由于现在网络或数据通信时的信息窃取手段很多，造成信息的不安全性，所 以有必要对用户信息进行强认证，避免不法分子盗取信息而进行帐户财产的不法操作。远端服务器作为一个认证主体，用来管理服务器系统中的多个用户令牌，以提供 身份认证功能；它在不停地生成随机密码，并与客户持有的相应动态令牌的动态密码生成 模块生成的动态密码进行比对，验证客户身份的有效性。优选的，如图2所示，所述系统还包括一同步时钟，用来实现所述远端服务器与 动态密码生成模块的时间同步，使得远端服务器可以进行时间比对，保证同一时间对同一 令牌认证的准确性。优选的，当所述远端服务器验证所述随机密码和同步生成的所述动态密码的结果 为一致时，所述系统通过对所述用户的认证。优选的，如图3所示，所述挑战令牌还包括显示模块，与所述动态密码生成模 块相连，用来显示所述动态密码给用户。用户可能需要手动输入认证密码，这时动态令牌 上包含一显示模块，用来显示所述动态密码，以使用户可见并输入，避免了通信传输造成 的信息窃取。优选的，如图4所示，所述挑战令牌更包括一按键与所述动态密码生成模块相连， 用来控制所述显示模块显示所述动态密码，其中，所述显示模块包括一显示屏。优选的，所述当前因子包含用户帐户信息和转帐信息。
优选的，所述用户帐户信息包含用户名和密码。优选的，所述转帐信息包括转入帐号和或当前时间信息。动态密码生成因子不仅包含用户自身的信息，还包含用户需要转入的帐户的信 息，如转入帐户的帐号；也可以包含转入的金额，甚至包含当前时间信息，这样，根据以 上因子生成动态密码，进行用户信息的认证，避免不法分子窃取到认证码后进行多次转 帐，如要进行多次转帐，则需要进行多次认证，且认证密码信息包含的因子为不法网站不 可见，这样就可以避免因信息窃取造成的财产损失。与现有技术相比，本发明实施例基于多重交易因子的认证系统及方法通过实时加 入动态因子，并根据该动态因子生成动态密码，使得用户在进行登录或帐户操作时，通过关 联信息多样化和复杂化，使得用户在进行登录或帐户操作时，防止交易动作被篡改，远端服 务器对随机密码和动态密码进行验证，进一步加强了动态密码认证时的安全性，提高了用 户使用帐户的安全性，增强了用户体验。如图5所示，为本发明实施例5提供的一种基于多重交易因子的挑战令牌认证方 法的流程图，所述方法包括以下步骤
步骤一，当用户进行帐户操作时，挑战令牌所包含的动态密码生成模块根据当前因子 生成一组动态密码；
步骤二，远端服务器接收认证所述动态密码以验证其同步生成的随机密码和所述动
态密码是否一致。用户在初次登陆或后续需要进行其他帐户操作如转帐时，往往需要输入或读取 帐户密钥，但由于现在网络或数据通信时的信息窃取手段很多，造成信息的不安全性，所 以有必要对用户信息进行强认证，避免不法分子盗取信息而进行帐户财产的不法操作。远端服务器作为一个认证主体，用来管理服务器系统中的多个用户令牌，以提供 身份认证功能；它在不停地生成随机密码，并与客户持有的相应动态令牌的动态密码生成 模块生成的动态密码进行比对，验证客户身份的有效性。优选的，所述方法还包括
提供一同步时钟，所述同步时钟与所述动态密码生成模块相连以实现所述远端服务器 与动态密码生成模块的时间同步，使得远端服务器可以进行时间比对，保证同一时间对同 一令牌认证的准确性。优选的，当所述远端服务器验证所述随机密码和同步生成的所述动态密码的结果 为一致时，所述系统通过对所述用户的认证。优选的，所述方法还包括
提供一显示模块，所述显示模块与所述动态密码生成模块相连，当动态密码生成时， 显示所述动态密码给用户。用户可能需要手动输入认证密码，这时动态令牌上包含一显 示模块，用来显示所述动态密码，以使用户可见并输入，避免了通信传输造成的信息窃 取。优选的，所述方法更包括
提供一按键，所述按键与所述动态密码生成模块相连，控制所述显示模块显示所述动 态密码，其中，所述显示模块包括一显示屏。优选的，所述当前因子包含用户帐户信息和转帐信息。
优选的，所述用户帐户信息包含用户名和密码。优选的，所述转帐信息包括转入帐号或当前时间信息。动态密码生成因子不仅包含用户自身的信息，还包含用户需要转入的帐户的信 息，如转入帐户的帐号；也可以包含转入的金额，甚至包含当前时间信息，这样，根据以 上因子生成动态密码，进行用户信息的认证，避免不法分子窃取到认证码后进行多次转 帐，如要进行多次转帐，则需要进行多次认证，且认证密码信息包含的因子为不法网站不 可见，这样就可以避免因信息窃取造成的财产损失。与现有技术相比，本发明实施例基于多重交易因子的动态密码认证系统及方法通 过在实时加入动态因子，并根据该动态因子生成动态密码，使得用户在进行登录或帐户操 作时，通过关联信息多样化和复杂化，使得用户在进行登录或帐户操作时，防止交易动作被 篡改，远端服务器对随机密码和动态密码进行验证，进一步加强了动态密码认证时的安全 性，提高了用户使用帐户的安全性，增强了用户体验，进一步加强了动态密码认证时的安全 性，提高了用户使用帐户的安全性，增强了用户体验。需要注意的是，以上内容是结合具体的实施方式对本发明所作的进一步详细说 明，不能认定本发明的具体实施方式
仅限于此，在本发明的上述指导下，本领域技术人员可 以在上述实施例的基础上进行各种改进和变形，而这些改进或者变形落在本发明的保护范 围内。
权利要求
1. 一种基于多重交易因子的挑战口令认证系统，其特征在于，所述系统包括挑战令牌，所述挑战令牌包含一动态密码生成模块，用来当用户进行帐户操作时根据 当前因子生成一组动态密码；远端服务器，用于定时产生随机密码，并接收认证所述动态密码以验证所述随机密码 和同步生成的所述动态密码是否一致。
2.根据权利要求1所述的系统，其特征在于，所述系统还包括一同步时钟，用来实现 所述远端服务器与动态密码生成模块的时间同步。
3.根据权利要求2所述的系统，其特征在于，当所述远端服务器验证所述随机密码 和同步生成的所述动态密码的结果为一致时，所述系统通过对所述用户的认证。
4.根据权利要求3所述的系统，其特征在于，所述挑战令牌还包括显示模块，与 所述动态密码生成模块相连，用来显示所述动态密码给用户。
5.根据权利要求4所述的系统，其特征在于，所述挑战令牌更包括一按键，所述按 键与所述动态密码生成模块相连，用来控制所述显示模块显示所述动态密码，其中，所述显 示模块包括一显示屏。
6.根据权利要求5所述的系统，其特征在于，所述当前因子包含用户帐户信息和转 帐信息。
7.根据权利要求6所述的系统，其特征在于，所述转帐信息包括转入帐号、转入金额 和或当前时间信息。
8.一种基于多重交易因子的挑战口令认证方法，其特征在于，所述方法包括当用户进行帐户操作时，挑战令牌所包含的动态密码生成模块根据当前因子生成一 组动态密码；远端服务器接收认证所述动态密码以验证其同步生成的随机密码和所述动态密码是否一致。
9.根据权利要求8所述的方法，其特征在于，所述方法还包括提供一同步时钟，所述同步时钟与所述动态密码生成模块相连以实现所述远端服务器 与动态密码生成模块的时间同步。
10.根据权利要求9所述的方法，其特征在于，当所述远端服务器验证所述随机密码 和同步生成的所述动态密码的结果为一致时，所述系统通过对所述用户的认证。
11.根据权利要求10所述的方法，其特征在于，所述方法还包括提供一显示模块，所述显示模块与所述动态密码生成模块相连，当动态密码生成时， 显示所述动态密码给用户。
12.根据权利要求11所述的方法，其特征在于，所述方法更包括提供一按键，所述按键与所述动态密码生成模块相连，控制所述显示模块显示所述动 态密码，其中，所述显示模块包括一显示屏。
13.根据权利要求12所述的方法，其特征在于，所述当前因子包含用户帐户信息和转 帐信息。
14.根据权利要求13所述的方法，其特征在于，所述转帐信息包括转入帐号、转入金 额和或当前时间。
全文摘要
本发明公开了一种基于多重交易因子的挑战口令认证系统及方法,用于信息技术领域，以解决账户信息被窃取进行不法利用的问题,所述系统包括挑战令牌,所述挑战令牌包含一动态密码生成模块,用来当用户进行帐户操作时根据当前因子生成一组动态密码；远端服务器,用于定时产生随机密码，并接收认证所述动态密码以验证所述随机密码和同步生成的所述动态密码是否一致。本发明基于多重交易因子的挑战口令认证系统及方法通过实时加入动态因子，并根据该动态因子生成动态密码，通过关联信息多样化和复杂化，使得用户在进行登录或帐户操作时，防止交易动作被攥改，进一步加强了动态密码认证时的安全性，提高了用户使用帐户的安全性，增强了用户体验。
文档编号H04L9/08GK102142963SQ201110098110
公开日2011年8月3日 申请日期2011年4月19日 优先权日2011年4月19日
发明者谈剑锋 申请人:上海众人网络安全技术有限公司