专利名称：身份认证设备及身份认证方法
技术领域：
本发明涉及一种身份认证设备及方法，尤其涉及一种设置有能提示
随机码的提示单元的USBKey身份认证设备，以及一种基于随机码的 USB Key身份认证方法。
背景技术：
随着网络银行、电子商务等各种网络业务的不断普及，越来越多 的身份认证机制被应用以防止日益猖獗的网络上的金融犯罪。现有的 USB key身份认证就是存储PKI密码系统中的私钥和数字证书，在用
全机制。
公知的USB Key是基于智能卡芯片，集成了 ROM、RAM、FLASH、 DES协处理器和RSA协处理器，内部嵌入智能卡操作系统(Chip Operating System, COS )软件并具有安全存储特性的安全设备。但是， 这种USB Key身4分认i正仍然存在着以下安全漏洞。
USB Key身份认证设备是连接于PC上的公共设备，其设备文件 对于PC上的进程来说是开放的，并且作为一个受控于PC的完全被动 的设备。当用户提出交易请求而需要进行数字签名运算时，木马程序 (以下简称木马)也可以提出同样的请求。提出请求后USB Key身份 认证设备会响应该请求计算数字签名，并将签名结果送出。木马有了 数字签名就能骗过服务器的验证。
另夕卜，目前的USB Key身份认证设备中的用户PIN是固定不变的， 木马可以利用Windows系统函数如钩子函数(Hook),截获用户/人4建 盘输入的PIN码，以此通过PIN校验发起数字签名请求，从而进行任 何交易。
在这两种情况下，由于当请求USB Key身份认证设备进行数字签 名运算时，这种身份认证机制不会向用户提供提示信息，以请求用户确认此次数字签名请求，因此对于木马提出的数字签名请求，用户不 知情且无法将其拒绝，最终无法阻挡木马获得基于私钥的数字签名并
据此进行交易或控制USB Key身份认证设备。
发明内容
因此，针对现有技术中存在的上述不足，本发明的目的在于提供 一种能够在进行数字签名等重要操作之前向用户提供提示信息的USB Key身份认证设备，从而能够有效地防止木马等恶意程序在用户不知 情的情况下获取数字签名来操纵USB Key身份认证设备，或在其他重 要操作时进行以违法犯罪为目的的中间人攻击。
为了实现上述目的，根据本发明的一个方面，提供一种身份认证 设备，包括外部接口，用于与网络终端连接；提示单元；随机码发生 单元，生成随机码并通过所述提示单元提示所述随机码；以及数字签名 单元，通过所述外部接口接收外部输入，在所述外部输入与分配给所述 身份认证设备的识别码和所述随机码发生单元所生成的随机码相同时， 发出数字签名，其中，所述随机码发生单元生成并提示随机码的操作均 独立于所述网络终端进行。
根据本发明的另一方面，提供一种身份认证方法，包括将身份认 证设备与网络终端连接，所述身份认证设备根据从网络终端收到的操作 请求，生成并提示随机码；所述身份认证设备将接收到的随机码与所述 提示的随机码进行核对，以验证所述身份认证设备的用户身份，其中， 所述身份认证设备生成并提示随机码的操作均独立于所述网络终端进 行。
根据本发明，通过在传统USB Key身份认证设备上增设提示单元来 提示随才几码，可以取得以下效果
1 )防止木马通过截获用户的PIN码来操作USB Key身份认证设备；
2 )防止木马在用户不知情的情况下，给USB Key身份认证设备发送 签名请求。
图1示出了根据本发明一个优选实施方式的USB Key身份认证设 备的结构示意统结构图3示出了本发明的USB Key身份认证方法的第 一 实施例的流程
图4示出了本发明的USB Key身份认证方法的第二实施例的流程图。
具体实施例方式
通过以下参照附图对本发明具体实施方案的详细说明，本领域技 术人员将更易于理解本发明的思想和实质。
图1示出了才艮据本发明一个优选实施方式的USB Key身份认证设 备的结构示意图。如图l所示，USBKey身份认证设备1包括外部 接口 11、随机码发生单元12、数字签名单元13、提示单元控制器14 和提示单元15。需要说明的是，USBKey身4分认证设备只是本发明实 现的 一 个具体例子，显然本发明的构思并不限于这 一 具体例子中的应 用。
外部^妻口 11可以为USB接口 。
随机码发生单元12与提示单元控制器14电连接，用于根据数字 签名等操作请求而生成随机码，并将生成的随机码发送给提示单元控 制器14。
数字签名单元13通过外部接口 11来接收用户的输入，并且校验用 户输入与分配给身份认证设备的识别码和所生成的随机码是否相同，如 果相同则发出数字签名。
随机码发生单元12可采用已有的电路模块来实现，并优选与数字 签名单元13集成在同一智能卡芯片上。随机码发生单元12和数字签 名单元13也可以通过给现有的USB Key身份认证设备中的智能卡芯 片增加功能而以软件的形式来实现。另外，随机码的生成算法可以采 用常规的算法，例如数字散列算法。提示单元控制器14与提示单元15电连接，以控制提示单元15 提示随机码。提示单元控制器14是一种信号转换装置，随机码发生单 元12将需要提示的数据发送到提示单元控制器14，提示单元控制器 14再将该数据转换成提示单元15能够识别的格式并发送给提示单元 15,提示单元15将需要提示的内容进行提示。需要指出的是，提示单 元控制器14为可选的部件，随机码发生单元12也可不通过提示单元 控制器14而直接操纵提示单元15来提示随机码。
提示单元15可以为液晶显示屏或者由发光二极管构成的显示屏。
外部接口 ii、随机码发生单元12、数字签名单元13、提示单元 控制器14和提示单元15优选设置在同一电路板上，并由外壳(未示 出)来封装。提示单元15例如可以通过外壳上的开口而暴露于外部， 以使用户可通过"^是示单元15来获得随机码。另外，本发明的USBKey 身份认证设备还可设有外部接口保护盖(未示出)，以保护外部接口 11。所述外部接口保护盖可以是与所述外壳相独立的部件，也可以与 所述外壳形成为一体。
进一步，USB Key身份认证设备1还可包括询问单元16。询问单 元16通过网络终端提示用户输入与身份认证相关的内容，并接收所述用 户的l叙入。询问单元16可以以客户端^:件的形式来实现。
此外，本领域的技术人员应该理解，本发明的USBKey身4分认证 设备还包括传统的USB Key身份认证设备为实现身份认证而应具有 的所有部件，例如用于存储私钥的存储单元和用于数字证书运算的运
算单元等。由于这些部件都是本领域公知的，因而在此不再赘述。
图2示出了应用图1所示的USB Key身份认证设备1进行身份认 证的系统结构图。如图2所示，USBKey身份认证设备1通过外部接 口 11与网络终端2连接，网络终端2通过互联网3与数字证书认证中 心4进行通信。网络终端2例如可以为计算才几。用户通过网络终端2 的外部输入设备21输入与身份认证有关的内容，外部输入设备21可 以为普通的数字键盘、计算机键盘或者软键盘。网络终端2通过显示 器22显示USB Key身份认证设备1的询问单元16。需要说明的是， 为了清楚起见，在图2中仅示出了 USB Key身份认证设备1的外部接口 11和询问单元16。
在本发明中，对用户输入的USB Key身份认证设备的PIN的校验 和对用户输入的随机码的校验都是在USB Key身份认证设备1内部 (例如数字签名单元13中)实现的，其操作过程对于与USB Key身 份认证设备1连接的外部网络和设备表现为黑盒子状态。这可以采用 常规的硬件安全电路实现，例如中兴集成电路设计有限公司的Z32型 芯片。通过硬件安全电路的隔离，USB Key身份认证设备生成并提示 随机码的操作均独立于所述网络终端进行。这样，木马或其它病毒程序 都不能通过网络终端侵入或获取随机码的生成信息，也无法获知所提示 的随机码。
下面参照图3和图4来描述本发明的USB Key身份认证方法。 图3示出了本发明的USB Key身份认证方法的第 一实施例的流程图。
如图3所示，首先在步骤S310，将USBKey身份认证设备l与网 络终端2连接，网络终端2可在显示器22上显示USB Key身份认证设 备1的询问单元16。当用户通过网络终端2发起网上交易请求时，询 问单元16弹出提示框，提示用户输入PIN码。
然后，在步骤S320，用户通过外部输入设备21在询问单元16中 输入PIN码。
接着，在步骤S330， USB Key身份认证设备1的数字签名单元 13通过外部接口 11接收用户从询问单元16输入的PIN码，并校验用 户输入的PIN码的合法性，即用户输入的PIN码与存储在USB Key 身份认证设备1中的PIN码是否相同。如果相同，则向随机码发生单 元12发出数字签名的操作请求，否则，返回到步骤S320。
之后，在步骤S340,随机码发生单元12根据数字签名的操作请 求生成第一随机码，并通过提示单元15向用户提示该随机码。
接下来，在步骤S350，询问单元16弹出随机码输入框，提示用 户输入提示单元15上提示的随机码。
接着，在步骤S360，用户在弹出的随机码输入框中输入提示单元 15上提示的随机码。然后，在步骤S370,数字签名单元13校验用户输入的随机码与 提示单元15上提示的随机码是否相同，如果相同，则在步骤S380以 传统的方式生成数字签名，并将该数字签名发送给数字证书认证中心 进行身份认证，否则，身份认证过程结束。
在第一实施例中，当木马发出数字签名的操作请求时，根据数字 签名的操作请求，随机码发生单元12也会在提示单元15上提示随机 码，并通过询问单元弹出随机码输入框。用户不输入随才几码而点击取 消按钮，即可拒绝来自木马等恶意程序的数字签名请求。此外，即使 木马截获了上次的随机码，木马输入后也不能通过校验。因为随机码 是USB Key身份认证设备随机生成的一个随机序列，每次校验该码时 输入的随机码与前一次输入的不同且无规律可循'。即使木马获取了用 户PIN码和上次使用的随机码，但看不到此次提示单元上提示的随机 码，也就不能通过此次的随机码校验来对该USB Key身份认证设备进 行攻击。
图4示出了本发明的USB Key身份认证方法的第二实施例的流程图。
如图4所示，本发明的USBKey身份认证方法的第二实施例与第 一实施例的区别在于，在提示用户输入随机码(步骤S350)之前，增 加了步骤S390，即，由询问单元16弹出提示框，询问用户是否允许 数字签名的操作请求。在用户点击确认按钮之后才会弹出随机码输入 框，提示用户输入提示单元上提示的随机码。如果用户点击拒绝按钮， 则身份认证过程结束。
在第二实施例中，当木马发起数字签名的操作请求时，根据数字 签名的操作请求，随机码发生单元12也会在提示单元15上提示随机 码，并通过询问单元16弹出提示框，询问用户是否允许此次数字签名 的操作请求。此时，用户点击拒绝按钮即可拒绝来自木马等恶意程序 的数字签名请求。而且，即使用户误点击了确认按钮而允许此次数字 签名请求，由于接下来还需要执行随机码的校验步骤，因而也能够防 止木马的攻击。
虽然上面以数字签名的操作请求为例描述了本发明的身份认证方法，但是本发明的身份认证方法还可应用于其他的操作请求。例如，修
改USB Key身份认证设备中存储的重要文件、记录、密钥、PIN码以及;^外部下载密钥对等。在执行其他操作请求之前，都可以应用图3所示的步骤S310-S380或图4所示的步骤S310-S390来进行随机码确认，只是步骤S330中的"数字签名的操作请求"变为其他的操作请求，在步骤S370的随机码校验通过之后，执行的是其他操作请求的响应。这样，上述操作只有在用户确认的情况下方可执行，从而防止了木马等恶意软件在用户不知情的情况下对USB Key身份认证设备进行非法操作。
此外，功能较强的USB Key身份认证设备内部通常嵌有功能较强的專欠件， 一般称之为COS ( Chip Operating System或Card Operating System,
即片上操作系统或卡梯:作系统)。因为这种软件也应用在智能卡中，因而
本发明的USB Key身份认证设备也支持这种软件。
以上根据本发明的优选实施方式描述了本发明，但是本领域的技术人员应该理解，本发明并不局限于此，可以在本发明公开内容教导下对本发明进行各种修改和替换。这种修改和替换落入权利要求书限定的本发明的范围内。
权利要求
1. 身份认证设备，包括外部接口，用于与网络终端连接；提示单元；随机码发生单元，生成随机码并通过所述提示单元提示所述随机码；以及数字签名单元，通过所述外部接口接收外部输入，在所述外部输入与分配给所述身份认证设备的识别码和所述随机码发生单元所生成的随机码相同时，发出数字签名，其中，所述随机码发生单元生成并提示随机码的操作均独立于所述网络终端进行。
2. 根据权利要求1所述的身份认证设备，其中，所述外部接口为 USB接口。
3. 根据权利要求1所述的身份认证设备，其中，所述提示单元为液 晶显示屏或者由发光二极管构成的显示屏。
4. 根据权利要求1至3中任意一项所述的身份认证设备，其中，所 述身份认证设备还包括询问单元，通过所述网络终端提示用户输入与身 份认证相关的内容，并接收所述用户的输入。
5. 根据权利要求4所述的身份认证设备，其中，所述身份认证设备 为USB Key身份认证设备。
6. 身份认证方法，包括将身份认证设备与网络终端连接，所述身份认证设备根据从网络终 端收到的操作请求，生成并提示随机码；所述身份认证设备将接收到的随机码与所述提示的随机码进行核对，以验证所述身份认证设备的用户身份；其中，所述身份认证设备生成并提示随机码的操作均独立于所述网 络终端进行。
7. 根据权利要求6所述的身份认证方法，还包括验证所述身份认证 设备的PIN码的步骤，该步骤包括所述身份认证设备在与网络终端连接后，接收用户输入的所述身份 认证设备的PIN码；所述身份认证设备校验所述用户输入的所述PIN码与所述身份认 证设备中存储的PIN码是否相同。
8. 根据权利要求7所述的身份认证方法，其中所述身份认证设备生 成并提示随机码的步骤包括如果校验所述输入的所述PIN码与所述身份认证设备中存储的PIN码相同，则发出对所述身份认证设备的操作请求；所述身份认证设备根据所述操作请求生成随机码，并提示给用户； 检验所述用户输入的随机码与所述身份认证设备生成的随机码是否相同，以对该用户进行身份认证。
9. 根据权利要求6所述的身份认证方法，进一步包括，在提示所述 随机码后，询问用户是否允许所述操作请求。
10. 根据权利要求6或7所述的身份认证方法，进一步包括，在通 过所述身份认证确认所述用户为合法用户后，所述身份认证设备发出数 字签名。
全文摘要
本发明提供一种身份认证设备和方法，所述设备包括用于与网络终端连接的外部接口；提示单元；生成随机码并通过提示单元提示随机码的随机码发生单元；以及数字签名单元，通过外部接口接收外部输入，在外部输入与分配给身份认证设备的识别码和随机码发生单元所生成的随机码相同时，发出数字签名。所述方法包括将身份认证设备与网络终端连接，身份认证设备根据从网络终端收到的操作请求，生成并提示随机码；身份认证设备将接收到的随机码与提示的随机码进行核对，以验证身份认证设备的用户身份；其中，身份认证设备生成并提示随机码的操作均独立于网络终端进行。利用本发明可以防止木马等恶意软件在用户不知情的情况下对身份认证设备进行非法操作。
文档编号H04L9/32GK101499902SQ20081000640
公开日2009年8月5日 申请日期2008年2月2日 优先权日2008年2月2日
发明者栋 张, 张轶辉, 韩小西 申请人:中钞信用卡产业发展有限公司;中国印钞造币总公司