一种账户安全验证方法及系统与流程

本发明实施例涉及网络安全技术领域，尤其涉及一种账户安全验证方法及系统

背景技术：

网络技术极大的改变了人们的日常生活，对这种网络应用，用户都需要建立账户。网络应用账户被盗是目前信息安全领域非常严重和急需解决的问题，例如网络游戏账户和游戏装备被盗的事件时有发生。互联网的发展也给金融行业带来新的业务模式，人们对在线资金账户的安全性有更高的要求。

互联网领域账户保护一直是一个棘手的问题，传统的技术方案一般使用特定的信息绑定判断用户的账户是否被盗。常使用的有“登录地点”以及“设备标识”，当用户的信息发生变化时，业务方会要求用户使用二次校验的方法判断用户的真实身份。

然而，在现有技术中，由于网络攻击手法的多变性，传统的单一模式的防御技术很难应对目前复杂多变的攻击行为，使用单一的判定信息，往往会导致在部分威胁账户安全状况发生时产生漏判，例如在pc端的网站，往往无法定位确定的“设备标识”，如果恰巧黑客登录所在地与被害者在同一区域，此时账户的安全系统将失效，同时黑客也可能刻意伪造用户的个人信息。另一方面，在业务方遇到账户可能面临安全的情况时，其防御系统采取的方案往往是固定的验证手法，例如当检测到目标账户出现异常时，会发送验证邮件到预设的邮箱中进行登录验证，然而，一般的账户被盗往往同时包含着用户的邮箱或其他验证设备的同时被盗，这种认证方式往往对于盗号者没有任何阻碍，可以直接通过。

技术实现要素：

本发明实施例提供一种账户安全验证方法及系统，用以解决现有技术中单一模式的防御技术很难应对目前复杂多变的攻击行为，容易导致对威胁账户安全的行为判断错误的问题。

第一方面，本发明实施例提供一种账户安全验证方法，包括：

接收用户的登录请求，根据所述用户的用户设备类型，获取所述用户设备类型对应的环境信息；

对所述用户的登录请求进行效验，并根据所述环境信息计算获得所述用户设备的风险值；

根据所述用户的风险值，执行对应的风险应对策略；

其中，所述环境信息至少包括：用户设备地理位置、用户设备id、用户设备语言、用户设备应用数、用户设备插件数量、用户设备系统型号、用户设备品牌、用户设备cpu型号、用户设备mac地址、用户设备蓝牙信息中的一项或多项的组合。

第二方面，本发明实施例提供一种账户安全验证系统，包括：

信息接收模块，用于接收用户的登录请求，根据所述用户的用户设备类型，获取所述用户设备类型对应的环境信息；

风险值评估模块，用于对所述用户的登录请求进行效验，并根据所述环境信息计算获得所述用户设备的风险值；

验证模块，用于根据所述用户的风险值，执行对应的风险应对策略。

第三方面，本发明实施例提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如上述第一方面所提供的账户安全验证方法的步骤。

第四方面，本发明实施例提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如上述第一方面所提供的账户安全验证方法的步骤。

本发明实施例提供的账户安全验证方法及设备，采用更广泛的多因素对用户账户进行认证，提升了对账户安全状态判定的准确性，降低了漏判的概率。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一实施例提供的账户安全验证方法的流程示意图；

图2为本发明一实施例提供的账户安全验证系统的结构示意图；

图3为本发明一实施例提供的电子设备的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

参考图1，图1为本发明一实施例提供的账户安全验证方法的流程示意图，所提供的方法包括：

s1，接收用户的登录请求，根据所述用户的用户设备类型，获取所述用户设备类型对应的环境信息；

s2，对所述用户的登录请求进行效验，并根据所述环境信息计算获得所述用户设备的风险值；

s3，根据所述用户的风险值，执行对应的风险应对策略；

其中，所述环境信息至少包括：用户设备地理位置、用户设备id、用户设备语言、用户设备应用数、用户设备插件数量、用户设备系统型号、用户设备品牌、用户设备cpu型号、用户设备mac地址、用户设备蓝牙信息中的一项或多项的组合。

具体的，当用户登录时，接收用户发送的用户名和密码，同时还接收用户环境信息，其中，用户的环境信息与用户设备的类型相对于，例如当用户设备为手机类的移动终端时，则会获取用户设备地理位置，用户设备id，用户设备蓝牙信息等作为环境信息，而当用户设备的类型为pc时，则会获取用户设备的id，用户设备mac地址等信息作为环境信息，本实施例中，环境信息至少包含有用户设备地理位置、用户设备id、用户设备语言、用户设备应用数、用户设备插件数量、用户设备系统型号、用户设备品牌、用户设备cpu型号、用户设备mac地址、用户设备蓝牙信息中的一项或多项的组合。

在获取了用户设备的环境信息后，对环境信息采用一个可控的加权算法判定用户的安全风险值p，系统根据p值的大小，对登录用户采用不同的风险应对策略，例如当用户的登录城市，用户设备id没有变化时，则p值会降低，当用户设备语言与上次登录的用户设备语言有变化时，则p值会升高，最终获得的p值即为用户的风险值，当用户风险值低于一个范围时，则会判定用户为低风险状态，此时不进行风险应对策略，用户直接登录成功，当风险值高于一个预设阈值时，则会对用户进行二次验证等操作，确保用户账户的安全性。

通过此方法，采用更广泛的多因素对用户账户进行认证，提升了对账户安全状态判定的准确性，降低了漏判的概率。

在上述实施例的基础上，所述接收用户的登录请求，根据所述用户的用户设备类型，获取所述用户设备类型对应的环境信息的步骤具体包括：获取用户的登录名和密钥，同时根据接收到用户名和密码的端口，获取端口类型对应的环境信息；其中，所述端口类型至少包含有移动终端端口和固定pc端口中任一种。

具体的，根据用户的用户设备类型，获取所述用户设备类型对应的环境信息的过程中，主要通过用户设备发送登录请求的端口来对用户设备的类型进行识别，从而可以判定用户通过什么设备进行的登录操作，其中，端口的类型至少分为移动终端的端口和固定pc的端口，也可以是其他类型设备的登录端口。

在上述实施例的基础上，所述对所述用户的登录请求进行效验，并根据所述环境信息计算获得所述用户设备的风险值的步骤，具体包括：对所述登录请求中的用户名和密钥进行效验，若效验正确，则根据所述环境信息计算所述用户设备的风险值；若密码错误，则记录所述用户的密码错误次数，并向所述用户设备返回密码错误信息。

所述记录所述用户的密码错误次数，并向所述用户设备返回密码错误信息的步骤还包括：若所述密码错误次数大于预设阈值，则对所述用户设备发起二次认证请求。

具体的，业务方的系统在接收到用户的登录请求后，首先会对用户的登录名和密钥进行效验，当登录名和密钥效验通过后，再进行后续的环境信息的风险值计算步骤，当登录名和密码验证失败时，则会返回密码错误的信息，同时记录密码错误的次数，当密码错误次数超过预设次数时，系统则会对用户发起二次认证请求，通常二次认证请求可以是通过用户的账户绑定的邮箱和手机进行验证，以保证用户账户的安全性。

在上述实施例的基础上，所述根据所述用户的风险值，执行对应的风险应对策略的步骤，具体包括：

若所述用户的风险值小于第一预设阈值时，则判定所述用户不存在风险，不对该用户进行风险应对策略；若所述用户的风险值大于第一预设阈值，小于第二预设阈值，则执行第一风险应对策略若所述用户风险值大于第二预设阈值，则执行第二风险应对策略。所述环境信息具体包括：敏感项信息和非敏感项信息；相应的，所述用户设备的风险值包含敏感项风险值和非敏感项风险值。

具体的，在本实施例中，系统对于风险设定不同的安全阈值，例如pmax1为可能风险，pmax2为严重风险，当密码验证正确，同时用户的风险值p超出pmax1时，则使用完全独立的二次认证体系，对用户进行二次认证，从而确保用户账户的安全性，进一步的，当用户的风险值超出pmax2时，则对该账户进行临时冻结，要求其使用人工服务，或者在解冻器后进行认证。

进一步的，本实施例中，用户设备的环境信息被分为敏感项信息和非敏感项信息，其中，敏感信息项指用户不会经常发生变动的环境信息项，例如登录城市，登录设备id等环境信息，对于非敏感项，指用户可能相对容易发生变化的信息项，例如设备系统语言，设备安装应用数量等。对于敏感项，当其中有任意一项发生变动后，系统均会认定账号面临风险，会将敏感项风险值p1等于pmax1，对于非敏感项，系统将使用p2＝a×w1+b×w2+…+n×wn权重计算法计算非敏感项的风险值，其中，a，b…n代表不同的非敏感项的环境信息，w为不同非敏感项的环境信息的风险权重系数，通过计算p1和p2，系统获得用户的最终风险值p，并根据风险值p来进行风险判定。

通过此方法，依据不不同的风险等级动态设定阈值，并使用不不同处理手法，而非固定的单一策略，进而保证了二次认证的安全性，使得攻击者难以绕过二次验证动作来进行盗号操作。

在上述实施例的基础上，所述方法还包括：获取预设时间段内存在风险的账户数量，根据所述存在风险的账户数量，对第一预设阈值和第二预设阈值进行调整。

具体的，系统会对于每天发生的风险账户的总量进行实时统计，记为s，当业务整体遭遇风险账户数快速上升时，说明业务可能发生大规模的撞库或者盗号事件，因此，系统中包含一个动态规则，当s数值上升时，降低pmax的判定阈值，即s＝y-x×pmax，通过合理设定参数y和x，以实现最优的安全验证方法。

通过此方法，可以实现针对攻击者的感知，当系统遭到攻击时，提升二次验证和账户冻结操作频率，可以及时阻止攻击影响的扩大，提高全站整体用户的安全性。

参考图2，图2为本发明一实施例提供的账户安全验证系统的结构示意图，所提供的系统包括：信息接收模块21，风险值评估模块22，验证模块23。

其中，信息接收模块21用于接收用户的登录请求，根据所述用户的用户设备类型，获取所述用户设备类型对应的环境信息。

风险值评估模块22用于对所述用户的登录请求进行效验，并根据所述环境信息计算获得所述用户设备的风险值。

验证模块23用于根据所述用户的风险值，执行对应的风险应对策略。

其中，所述环境信息至少包括：用户设备地理位置、用户设备id、用户设备语言、用户设备应用数、用户设备插件数量、用户设备系统型号、用户设备品牌、用户设备cpu型号、用户设备mac地址、用户设备蓝牙信息中的一项或多项的组合。

具体的，当用户登录时，接收用户发送的用户名和密码，同时还接收用户环境信息，其中，用户的环境信息与用户设备的类型相对于，例如当用户设备为手机类的移动终端时，则会获取用户设备地理位置，用户设备id，用户设备蓝牙信息等作为环境信息，而当用户设备的类型为pc时，则会获取用户设备的id，用户设备mac地址等信息作为环境信息，本实施例中，环境信息至少包含有用户设备地理位置、用户设备id、用户设备语言、用户设备应用数、用户设备插件数量、用户设备系统型号、用户设备品牌、用户设备cpu型号、用户设备mac地址、用户设备蓝牙信息中的一项或多项的组合。

在获取了用户设备的环境信息后，对环境信息采用一个可控的加权算法判定用户的安全风险值p，系统根据p值的大小，对登录用户采用不同的风险应对策略，例如当用户的登录城市，用户设备id没有变化时，则p值会降低，当用户设备语言与上次登录的用户设备语言有变化时，则p值会升高，最终获得的p值即为用户的风险值，当用户风险值低于一个范围时，则会判定用户为低风险状态，此时不进行风险应对策略，用户直接登录成功，当风险值高于一个预设阈值时，则会对用户进行二次验证等操作，确保用户账户的安全性。

通过此系统，采用更广泛的多因素对用户账户进行认证，提升了对账户安全状态判定的准确性，降低了漏判的概率。

图3为本发明一实施例提供的电子设备的结构示意图，如图3所示，电子设备包括：处理器(processor)301、通信接口(communicationsinterface)302、存储器(memory)303和总线304，其中，处理器301，通信接口302，存储器303通过总线304完成相互间的通信。处理器301可以调用存储器303中的逻辑指令，以执行如下方法，例如包括：接收用户的登录请求，根据所述用户的用户设备类型，获取所述用户设备类型对应的环境信息；对所述用户的登录请求进行效验，并根据所述环境信息计算获得所述用户设备的风险值；根据所述用户的风险值，执行对应的风险应对策略。

本发明实施例公开一种计算机程序产品，计算机程序产品包括存储在非暂态计算机可读存储介质上的计算机程序，计算机程序包括程序指令，当程序指令被计算机执行时，计算机能够执行上述各方法实施例所提供的方法，例如包括：接收用户的登录请求，根据所述用户的用户设备类型，获取所述用户设备类型对应的环境信息；对所述用户的登录请求进行效验，并根据所述环境信息计算获得所述用户设备的风险值；根据所述用户的风险值，执行对应的风险应对策略。

本实施例提供一种非暂态计算机可读存储介质，非暂态计算机可读存储介质存储计算机指令，计算机指令使计算机执行上述各方法实施例所提供的方法，例如包括：接收用户的登录请求，根据所述用户的用户设备类型，获取所述用户设备类型对应的环境信息；对所述用户的登录请求进行效验，并根据所述环境信息计算获得所述用户设备的风险值；根据所述用户的风险值，执行对应的风险应对策略。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如rom/ram、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。