身份认证方法、一次性密码电子装置和系统与流程

本发明涉及信息安全认证技术领域，特别涉及一种基于一次性密码进行身份认证的方法、一次性密码电子装置和系统。

背景技术：

目前，一次性密码（One-time Password，简写OTP）技术被广泛应用在银行、证券、网游、网上购物、电子政务、大企业内部等场合，结合原来的静态密码，为用户的财产安全提供了更坚实的防护。在两种密码同时保护下，只有一个人既拿到你的一次性密码令牌或者口令卡，又知道你的静态密码，才有可能攻破你的帐户。一次性密码技术可以根据实现方式分成同步式和异步式。当前市场上我们用到的同步式令牌设备（Synchronous Token）是在令牌设备内保存有和验证服务器相同的一个基准值，如精确到微秒的时间，或用管理员设置的一个可变数值。基于时间同步的令牌设备称为时间同步令牌(Clock-based Token)，而基于可变数值计算的则称为计数同步令牌(Counter-based Token)。它们生成一次性密码的方式大致相同，都是利用改令牌独有的密钥，加上令牌设备与服务器同步的变量作为两个参数，生成一个用于登录系统的一次性密码。而验证服务器端则会使用相同的变量及算法处理保存在数据库中的用户密码，如果用户提供的一次性密码和验证服务器计算的相同，就可以证明该用户是系统的合法用户。采用异步式的有异步式令牌设备（Asynchronous Token）、纸质的口令卡。由于同步式令牌设备需要和验证服务器相一致的时间或数值变量，所以同步式令牌设备的部署和维护并不轻松。异步式令牌设备则没有这个缺点，它不需要验证服务器维护和令牌设备之间的时间或变量同步。异步式令牌设备采取挑战-回答（Challenge-Response）的一次性密码生成方式，在用户提出登录请求后，验证服务器将根据用户输入的密码返回一个数字，用户再将这个数字输入到令牌设备中进行计算后，把计算结果返回给验证服务器，验证服务器也会进行相同的计算步骤并将结果和用户的输入进行比较，如两个值相同，则验证通过，用户可以登入系统。采用异步式的纸质的口令卡，是根据服务器提供的坐标值在该口令卡上找到相应的密码并返回给服务器，服务器根据返回值判断用户是否合法。从上可以看出，采用同步式的系统，对技术人员的技术水平、运行环境的软硬件要求，都是非常高的，甚至有些公司达不到这些要求，只好采用第三方公司的认证系统。更进一步地，随着系统的建设扩大，系统的不安全性、不稳定性、成本的不可控性将日益突出。而采用异步式的系统，存在着采用挑战-回答的话非常繁琐，容易出错，并且需要输入挑战信息而要求提供很多按键会使令牌体积很大；采用口令卡的话发现查找困难，并且纸张上密码数量总是太少，会重复使用而导致不安全。除了一次性密码技术，顺便说一下使用广泛的USBKEY设备存在的问题：需要安装驱动程序和相关用户端组件才能使用，存在兼容性、易用性问题，且目前只能适用于计算机终端，无法在手机、智能终端、电视等渠道使用；同时，此种方式由于上层应用和底层签名加密之间有诸多环节，仍存在篡改数据的风险和被远程控制，造成恶意利用用户证书的风险。因此怎样方便、安全、低成本地使用一次性密码就会显得非常重要。

技术实现要素：

本发明实施例提供基于一次性密码的身份认证方法、一次性密码电子装置和系统，使用了异步式一次性密码技术，大量的一次性密码保存在一次性密码电子装置内，该一次性密码电子装置被触发一下就输出一个新密码，不需要挑战-回答，方便使用，用以解决以解决上述背景技术中提出的问题。

为实现上述目的，本发明提供以下的技术方案。

1.一种身份认证方法，包括步骤如下：

步骤S110：一次性密码电子装置根据用户触发按顺序在其上预存的一次性密码列表上找到第一个状态为第一状态的一次性密码，并输出该一次性密码且改其状态为第二状态，该一次性密码将被输入到身份认证中心，一同被输入到身份认证中心的还有该一次性密码电子装置的唯一标识或用户帐户标识，前面所述的预存的一次性密码列表包含多个一次性密码，每个一次性密码由数字、字母、符号组成，在列表内唯一，对应的初始状态都为第一状态，前面所述的用户帐户标识是用来找到对应的唯一的用户帐户，其包括用户帐号、用户名称、身份证号、电话号码和电子邮箱中的至少一种，还可以包括用户帐户登录密码；

步骤S120：所述身份认证中心根据输入的一次性密码电子装置唯一标识或用户帐户标识找到对应的一次性密码后台列表，若输入的用户帐户标识不正确或找不到一次性密码后台列表则确认身份认证失败，前面所述的一次性密码后台列表是预存在所述身份认证中心上，一个一次性密码后台列表对应着一个一次性密码电子装置上的一次性密码列表，它们之间有着相同的数量、密码值、顺序，该一次性密码后台列表的每个一次性密码对应的初始状态都为第三状态，所述身份认证中心存储着一次性密码电子装置唯一标识和一次性密码后台列表的对应关系，在用户帐户绑定一次性密码电子装置的情况下，所述身份认证中心也存储着用户帐户信息和一次性密码电子装置唯一标识的对应关系；

步骤S130：所述身份认证中心根据所述一次性密码后台列表判断刚才输入的一次性密码是否有效，若有效则执行步骤S140和S150，若判断结果为无效则确认身份认证失败，前面所述的根据一个一次性密码后台列表判断一个一次性密码有效是指在该一次性密码后台列表上能找到该密码，并且其对应的状态为第三状态，前面所述的根据一个一次性密码后台列表判断一个一次性密码无效是指不能在该一次性密码后台列表上找到该密码，或者能在该一次性密码后台列表上找到该密码但其对应的状态不是第三状态；

步骤S140：所述身份认证中心确认身份认证成功；

步骤S150：所述身份认证中心在所述一次性密码后台列表上将刚才输入的一次性密码成为无效，所述的在一个一次性密码后台列表上将一个一次性密码成为无效是指将该密码在该一次性密码后台列表上对应的状态从第三状态改为第四状态，或者直接将该密码从该一次性密码后台列表上删除。

优选地，在所述步骤5之后，还有步骤S160：所述身份认证中心把在所述一次性密码后台列表上顺序位于刚才输入的一次性密码之前的所有密码都成为无效。

优选地，所述步骤S110中，所述一次性密码电子装置输出一个密码的具体方法为以下中的一种或多种组合：

通过显示屏显示密码文本；

通过显示屏显示密码条形码；

通过显示屏显示密码二维码；

通过USB连接输出；

通过蓝牙连接输出；

通过近场通信（Near Field Communication,NFC）输出；

通过射频识别（Radio Frequency Identification,RFID）输出；

通过语言输出。

2.一种一次性密码电子装置，包括：一次性密码管理模块、输出模块、触发模块，其中：

一次性密码管理模块，用于预存一次性密码列表，也用于接收到触发模块的触发信号后按顺序从一次性密码列表中找到第一个状态为第一状态的一次性密码通过输出模块输出并将该密码状态改为第二状态；

输出模块，用于输出密码；

触发模块，用于产生触发信号至一次性密码管理模块。

优选地，所述电子装置还包括一次性密码电子装置唯一标识，用于标识在所属的系统内唯一。

优选地，所述电子装置还包括生物特征认证模块，用于只有通过该模块生物特征认证后才能输出一次性密码，所谓生物特征指的是指纹、虹膜、人脸、声纹等特征。

优选地，所述输出模块包括显示屏、USB（Universal Serial Bus,通用串行总线）接口、蓝牙（Bluetooth）元件、近场通信（Near Field Communication,NFC）元件、射频识别（Radio Frequency Identification,RFID）电子标签、语音发音元件中的一个或多个，其中显示屏可用于显示密码的文本、条形码或二维码。

3.一种身份认证系统，包括一次性密码电子装置、身份认证中心、客户端，其中：

一次性密码电子装置包括一次性密码管理模块、输出模块、触发模块；所述一次性密码管理模块，用于预存一次性密码列表，也用于接收到触发模块的触发信号后按顺序从一次性密码列表中找到第一个状态为第一状态的一次性密码通过输出模块输出并将该密码状态改为第二状态；所述输出模块，用于输出密码；所述触发模块，用于产生触发信号至一次性密码管理模块；每个一次性密码电子装置都有其在系统内的唯一标识；

身份认证中心，包括一次性密码后台模块，所述一次性密码后台模块用于预存一次性密码后台列表及其和一次性密码电子装置唯一标识之间的对应关系、在一次性密码后台列表上将一有效密码成为无效，还被配置为：根据一次性密码后台列表去判断一个输入的密码是否有效，并在判断结果为有效时确认身份认证成功且在一次性密码后台列表上将该密码成为无效；

客户端，用于与用户交互、为身份认证中心获取用户输入的信息。

优选地，所述身份认证中心还包括用户后台模块，所述用户后台模块用来管理用户帐户、当绑定用户帐户和一次性密码电子装置后记录用户帐户信息和一次性密码电子装置唯一标识之间的对应关系。

优选地，所述一次性密码电子装置的输出模块包括显示屏、USB （Universal Serial Bus, 通用串行总线）接口、蓝牙（Bluetooth）元件、近场通信（Near Field Communication, NFC）元件、射频识别（Radio Frequency Identification, RFID）电子标签、语音发音元件中的一个或多个，其中显示屏可用于显示密码的文本、条形码或二维码。

与现有技术相比，本发明的有益效果是：本发明使用了异步式一次性密码技术，不像同步式技术需要高成本去部署运行环境；同时，密码为一次性的特点，保证了安全，且密码允许数字、字母、符号，比起相同长度的纯数字密码会安全很多，若再加上一次性密码在电子装置和身份认证中心里都是加密存储的话，那么安全性能非常高；另外，使用中没有挑战-回答或在口令卡上根据坐标找密码的过程。因此，采用本发明实施例技术方案，具有系统部署简单，成本低，安全可靠，方便使用等优点。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作一简单地介绍。显而易见地，下面描述中的附图是本发明的一些实施例，仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。在附图中：

图1为本发明实施例一的身份认证方法的流程示意图；

图2为本发明实施例二的一次性密码电子装置的组成示意图；

图3为本发明实施例三的身份认证系统方法的组成示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

1.实施例一。

如图1所示，本发明实施例中提供一种身份认证方法，包括以下的步骤。

步骤S110、一次性密码电子装置根据用户触发按顺序在其上预存的一次性密码列表上找到第一个状态为第一状态的一次性密码，并输出该一次性密码且改其状态为第二状态，该一次性密码将被输入到身份认证中心，一同被输入到身份认证中心的还有该一次性密码电子装置的唯一标识或用户帐户标识。

具体地，所述的预存的一次性密码列表包含多个一次性密码，每个一次性密码由数字、字母、符号组成，在列表内唯一，对应的初始状态都为第一状态；可以看出这些一次性密码比其它相同长度的纯数字密码，比如同步式令牌设备里按算法计算出来的密码，会安全很多；考虑到当前存储器成本已大幅降低，该一次性密码列表所包含的一次性密码的数量可以很大，可以够用很长一段时间。所述的用户帐户标识是用来找到对应的唯一的用户帐户，其包括用户帐号、用户名称、身份证号、电话号码和电子邮箱中的至少一种，还可以包括用户帐户登录密码。

优选地，所述一次性密码电子装置输出一个密码的具体方法为以下中的一种或多种组合：

通过显示屏显示密码文本；

通过显示屏显示密码条形码；

通过显示屏显示密码二维码；

通过USB连接输出；

通过蓝牙连接输出；

通过近场通信（Near Field Communication,NFC）输出；

通过射频识别（Radio Frequency Identification,RFID）输出；

通过语言输出。

步骤S120、所述身份认证中心根据输入的一次性密码电子装置唯一标识或用户帐户标识找到对应的一次性密码后台列表，若输入的用户帐户标识不正确或找不到一次性密码后台列表则确认身份认证失败。

具体地，所述的一次性密码后台列表是预存在所述身份认证中心上，一个一次性密码后台列表对应着一个一次性密码电子装置上的一次性密码列表，它们之间有着相同的数量、密码值、顺序，该一次性密码后台列表的每个一次性密码对应的初始状态都为第三状态；所述身份认证中心存储着一次性密码电子装置唯一标识和一次性密码后台列表的对应关系，在用户帐户绑定一次性密码电子装置的情况下，所述身份认证中心也存储着用户帐户信息和一次性密码电子装置唯一标识的对应关系。在使用之前，需要数据初始化过程，可以是：身份认证中心产生一批由数字、字母、符号随机组成、没有重复的一次性密码，然后将其数据拷贝至一次性密码电子装置；也可以是，由一次性密码电子装置产生一批一次性密码，然后将其数据拷贝至身份认证中心；还可以是，由专用工具产生一批一次性密码，然后将其数据分别拷贝至一次性密码电子装置和身份认证中心。数据拷贝过程可以是将一次性密码电子装置和身份认证中心直接连接一下，也可以通过中间媒介，该中间媒介可以是手提电脑、移动储存一次性密码电子装置、移动智能终端或者专用工具等，将数据拷贝过去。若密码数量足够多，对于普通用户，一般在一次性密码电子装置的有效期，比如3年，之内都是够用的。而对于重度使用者，若发现很大部分一次性密码都被用过了，则要考虑更换新的一次性密码电子装置或重新执行数据初始化过程。为了更加安全，在实际系统部署时，一次性密码数据可以加密保存，需要用到时再解密处理。

步骤S130、所述身份认证中心根据所述一次性密码后台列表判断刚才输入的一次性密码是否有效，若有效则执行步骤S140和S150，若判断结果为无效则确认身份认证失败。

具体地，所述的根据一个一次性密码后台列表判断一个一次性密码有效是指在该一次性密码后台列表上能找到该密码，并且其对应的状态为第三状态，前面所述的根据一个一次性密码后台列表判断一个一次性密码无效是指不能在该一次性密码后台列表上找到该密码，或者能在该一次性密码后台列表上找到该密码但其对应的状态不是第三状态。

步骤S140、所述身份认证中心确认身份认证成功。

步骤S150、所述身份认证中心在所述一次性密码后台列表上将刚才输入的一次性密码成为无效，防止再次使用，体现了一次性的特点。

具体地，所述的在一个一次性密码后台列表上将一个一次性密码成为无效是指将该密码在该一次性密码后台列表上对应的状态从第三状态改为第四状态，或者直接将该密码从该一次性密码后台列表上删除。

步骤S160：所述身份认证中心把在所述一次性密码后台列表上顺序位于刚才输入的一次性密码之前的所有密码都成为无效。

本步骤目的：将会使顺序排在刚才用户输入的密码之前的所有密码，即使还没有被输入过，也都会成为无效，更加保证一次性密码电子装置的安全使用。

步骤S170：所述身份认证中心确认身份认证失败。

2.实施例二。

基于上述技术方案，如图2所示，本发明实施例还提供一种一次性密码电子装置，所述一次性密码电子装置200包括一次性密码管理模块210、输出模块220、触发模块230，其中：

一次性密码管理模块210，用于预存一次性密码列表，也用于接收到触发模块230的触发信号后按顺序从一次性密码列表中找到第一个状态为第一状态的一次性密码通过输出模块220输出并将该密码状态改为第二状态；

输出模块220，用于输出密码；

触发模块230，用于产生触发信号至一次性密码管理模块210。

优选地，为区分一次性密码电子装置，每台一次性密码电子装置都有其所在系统内唯一的一次性密码电子装置唯一标识290。

优选地，所述电子装置还包括生物特征认证模块，用于只有通过该模块生物特征认证后才能输出一次性密码，所谓生物特征指的是指纹、虹膜、人脸、声纹等特征。

优选地，所述输出模块220包括显示屏、USB （Universal Serial Bus, 通用串行总线）接口、蓝牙（Bluetooth）元件、近场通信（Near Field Communication, NFC）元件、射频识别（Radio Frequency Identification, RFID）电子标签、语音发音元件中的一个或多个，其中显示屏可用于显示密码的文本、条形码或二维码。

具体地，一次性密码管理模块210预存着一次性密码列表，所述的预存的一次性密码列表包含多个一次性密码，每个一次性密码由数字、字母、符号组成，在列表内唯一，对应的初始状态都为第一状态；考虑到当前存储器成本已大幅降低，该一次性密码列表所包含的一次性密码的数量可以很大，可以够用很长一段时间。显然，本实施例的一次性密码可以包含数字、字母、符号，在相同密码长度的情况下，比起现有的使用纯数字的密码，比如同步式令牌设备里按算法计算出来的密码，会安全很多。所述一次性密码电子装置200输出一个一次性密码的方法为：触发模块230根据用户触发产生触发信号至一次性密码管理模块210，一次性密码管理模块210接收到触发模块230的触发信号后按顺序从一次性密码列表中找到第一个状态为第一状态的一次性密码通过输出模块220输出并将该密码状态改为第二状态，防止再次使用，体现了一次性的特点。

3.实施例三。

基于上述技术方案，如图3所示，本发明实施例还提供一种身份认证系统，包括以上所述一次性密码电子装置200，身份认证中心400，客户端450，详细说明见下。

一次性密码电子装置200包括一次性密码管理模块210、输出模块220、触发模块230，所述一次性密码管理模块210，用于预存一次性密码列表，也用于接收到触发模块230的触发信号后按顺序从一次性密码列表中找到第一个状态为第一状态的一次性密码通过输出模块220输出并将该密码状态改为第二状态；所述输出模块220，用于输出密码；所述触发模块230，用于产生触发信号至一次性密码管理模块210；为区分整个系统内的一次性密码电子装置，每台一次性密码电子装置都有在系统内唯一的一次性密码电子装置唯一标识290。

身份认证中心400，包括一次性密码后台模块410，所述一次性密码后台模块410用于预存一次性密码后台列表及其和一次性密码电子装置唯一标识290之间的对应关系、在一次性密码后台列表上将一有效密码成为无效，还被配置为：根据一次性密码后台列表去判断一个输入的密码是否有效，并在判断结果为有效时确认身份认证成功且在一次性密码后台列表上将该密码成为无效。

客户端450，用于与用户交互、为身份认证中心获取用户输入的信息。

优选地，所述身份认证中心400还包括用户后台模块420，所述用户后台模块420用来管理用户帐户、当绑定用户帐户和一次性密码电子装置后记录用户帐户和一次性密码电子装置唯一标识290之间的对应关系。具体将用户帐户和一次性密码电子装置绑定的方法，可以是管理员在发放一次性密码电子装置时直接指定了用户帐户和一次性密码电子装置的对应关系；也可以是在用户登录帐户后，输入要绑定的一次性密码电子装置唯一标识290及一次性密码电子装置200输出的一次性密码，经一次性密码后台模块410确认这些信息有效后，用户后台模块420记录用户帐户和一次性密码电子装置唯一标识290之间的对应关系。

具体地，本实施例的系统流程包括下面步骤。

步骤A：一次性密码电子装置200根据用户触发按顺序在其上预存的一次性密码列表上找到第一个状态为第一状态的一次性密码，并输出该一次性密码且改其状态为第二状态，该一次性密码将被输入到身份认证中心，一同被输入到身份认证中心400的还有该一次性密码电子装置的唯一标识290或用户帐户标识，前面所述的预存的一次性密码列表包含多个一次性密码，每个一次性密码由数字、字母、符号组成，在列表内唯一，对应的初始状态都为第一状态，前面所述的用户帐户标识是用来找到对应的唯一的用户帐户，其包括用户帐号、用户名称、身份证号、电话号码和电子邮箱中的至少一种，还可以包括用户帐户登录密码。

步骤B：所述身份认证中心400根据输入的一次性密码电子装置唯一标识290或用户帐户标识找到对应的一次性密码后台列表，若输入的用户帐户标识经用户后台模块420判断为不正确或找不到一次性密码后台列表则确认身份认证失败，前面所述的一次性密码后台列表是预存在所述身份认证中心400上的一次性密码后台模块410里，一个一次性密码后台列表对应着一个一次性密码电子装置200上一次性密码管理模块210里的一次性密码列表，它们之间有着相同的数量、密码值、顺序，该一次性密码后台列表的每个一次性密码对应的初始状态都为第三状态，所述身份认证中心400上的一次性密码后台模块410还存储着一次性密码电子装置唯一标识290和一次性密码后台列表的对应关系，在用户帐户绑定一次性密码电子装置200的情况下，所述身份认证中心400上的用户后台模块420还存储着用户帐户信息和一次性密码电子装置唯一标识290的对应关系。在使用之前，需要数据初始化过程，可以是：身份认证中心400上的一次性密码后台模块410产生一批由数字、字母、符号随机组成、没有重复的一次性密码，然后将其数据拷贝至一次性密码电子装置200上一次性密码管理模块210；也可以是，由一次性密码电子装置200上一次性密码管理模块210产生一批一次性密码，然后将其数据拷贝至身份认证中心400上的一次性密码后台模块410；还可以是，由专用工具产生一批一次性密码，然后将其数据分别拷贝至一次性密码电子装置200上一次性密码管理模块210和身份认证中心400上的一次性密码后台模块410。数据拷贝过程可以是将一次性密码电子装置200和身份认证中心400直接连接一下，也可以通过中间媒介，该中间媒介可以是手提电脑、移动储存一次性密码电子装置、移动智能终端或者专用工具等，将数据拷贝过去。若密码数量足够多，对于普通用户，一般在一次性密码电子装置的有效期，比如3年，之内都是够用的。而对于重度使用者，若发现很大部分一次性密码都被用过了，则要考虑更换新的一次性密码电子装置或重新执行数据初始化过程。为了更加安全，在实际系统部署时，一次性密码数据可以加密保存，需要用到时再解密处理。

步骤C：所述身份认证中心400上的一次性密码后台模块410根据所述一次性密码后台列表判断刚才输入的一次性密码是否有效，若有效则执行步骤下面步骤，若判断结果为无效则确认身份认证失败，前面所述的根据一个一次性密码后台列表判断一个一次性密码有效是指在该一次性密码后台列表上能找到该密码，并且其对应的状态为第三状态，前面所述的根据一个一次性密码后台列表判断一个一次性密码无效是指不能在该一次性密码后台列表上找到该密码，或者能在该一次性密码后台列表上找到该密码但其对应的状态不是第三状态。

步骤D：所述身份认证中心400确认身份认证成功。

步骤E：所述身份认证中心400上的一次性密码后台模块410在所述一次性密码后台列表上将刚才输入的一次性密码成为无效，防止再次使用，体现了一次性的特点；所述的在一个一次性密码后台列表上将一个一次性密码成为无效是指将该密码在该一次性密码后台列表上对应的状态从第三状态改为第四状态，或者直接将该密码从该一次性密码后台列表上删除。

步骤F：所述身份认证中心400上的一次性密码后台模块410把在所述一次性密码后台列表上顺序位于刚才输入的一次性密码之前的所有密码都成为无效，这将会使顺序排在刚才用户输入的密码之前的所有密码，即使还没有被输入过，也都会成为无效，更加保证一次性密码电子装置的安全使用。

最后应说明的是：以上实施例仅用以说明本发明实施例的技术方案，而非对其限制；尽管参照前述实施例对本发明实施例进行了详细的说明，本领域的普通技术人员应当理解:其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明实施例各实施例技术方案的精神和范围。