CN1510899A

CN1510899A - 基于移动通信平台的即取即用式动态随机密码手机身份认证系统

Info

Publication number: CN1510899A
Application number: CNA021579482A
Authority: CN
Inventors: 郝敏燕
Original assignee: Individual
Current assignee: Individual
Priority date: 2002-12-23
Filing date: 2002-12-23
Publication date: 2004-07-07

Abstract

本发明公开了一种基于移动通信平台的即取即用式动态随机密码手机身份认证系统，该系统包括认证中心、和通讯网络系统二部分。其中认证中心包括：动态随机密码认证/产生服务器、认证备份服务器、管理工作站；通讯网络系统包括SMS服务中心、短信网关、WEB服务器、呼叫中心、通讯终端包括用户终端(手机和计算机终端)。该系统成功地利用移动通信平台的可信性和唯一性、手机SIM卡或STK卡的唯一性、利用加密编码技术保证在特定时间段数列(密码)的唯一性准确地完成了对“用户有什么(手机)”确认，从而完成对客户身份的确认。它架构在现在普遍采用的“用户名+自设密码”的身份认证方式之前，具有1.实现的便捷性，用户只要利用SMS网络申请，即刻得到一随机数列(密码)，通过登录网络将数列输入进行认证对比，即可确认身份，简单快捷；2.成本低，短信通信费用低廉；3.应用广泛，可适用于目前“用户名+自设密码”的任何应用。本发明有效地解决了静态自设密码安全强度不高的弱点，增加了对防仿冒能力极强的手机身份的认证，安全强度大大提高。

Description

基于移动通信平台的即取即用式动态随机密码手机身份认证系统

技术领域

本发明涉及一种动态随机密码手机身份认证系统，尤指一种基于移动通信平台的即取即用式动态随机密码手机身份认证系统。

背景技术

身份认证是保证系统安全、稳定运行不可缺少、至关重要的一步。用户在远程访问应用系统时，应该首先通过某种身份验证机制来验证用户的身份与所宣称的是否一致，身份验证成功后才能根据用户的身份和授权系统决定用户是否能够访问系统的某个资源或进行某项操作，否则系统拒绝其访问。

目前，常用的身份认证是基于“你知道什么”、“你有什么”、“你是什么”三种因素和三种因素的多种组合来对未知用户身份进行确认。如目前使用最多的“用户帐号+自设密码＝某人的身份”的认证方式，即是“你有什么(信用卡、资金卡、员工卡、上网卡)等”+“你知道什么(自设密码)”二种因素的组合来对未知用户身份进行认证的。目前提的较多的指纹和虹膜生物认证，实际上是对“你是什么”因素的认证，这三种因素组合得越多，对人的身份认证的就越准确。“用户帐号+自设密码＝某人的身份”的认证方式对未知用户的身份进行认证的技术因其极大的方便性和成本的低廉性一直以来是一项在很多领域被普遍采用的一种成熟技术。但这种认证方式的缺点在于：由于客户的帐号是固定的明文(一般是不加密的阿拉伯数字)，自设密码又是静态的，客户在很长一段时间内不会修改，随着远程登录越来越频繁(如ATM机、POS机、电话银行、电话炒股、网上银行、网上炒股等)，应用环境的变化和高科技犯罪手段的发展，窃取这两串数字后假冒合法授权用户进入其帐户进行恶意操作的案件越来越多。总之，用用户名加自设密码(固定密码)对客户的身份进行确认的安全强度已经远远不够。

发明内容

为克服用用户名加自设密码(固定密码)对客户的身份进行确认的安全强度已经远远不够的缺点，本发明利用移动通信平台的可信性和唯一性、手机SIM卡或STD卡的唯一性、利用加密编码技术保证在特定时间段数列(随机密码)的唯一性，完成对用户“你有什么(手机)”因素的确认，从而增加对客户的身份进行确认的安全强度。

为实现上述目的，本发明采用以下技术方案：

本发明的系统包括认证中心、和通讯网络系统二部分。其中认证中心包括：动态随机密码认证/产生服务器、认证备份服务器、管理工作站；通讯网络系统包括SMS服务中心、短信网关、WEB服务器、呼叫中心、通讯终端包括用户终端(手机和计算机终端)；其中动态随机密码产生/认证服务器、动态随机密码产生/认证后备服务器、呼叫中心和管理工作站组成动态随机密码认证中心，彼此间通过以太网进行连接、通讯、数据传输；动态随机密码认证中心和通讯网络系统之间通过DDN/FRAME RELAY/INTERNET进行客户随机密码数据的传输。

由于本发明采用了以上技术方案，故具有以下优点：1、利用加密算法产生的动态随机密码具有不可预测和仿冒的特点，保证了在特定时间段随机密码的唯一性；移动(中国移动或中国联通)网络的唯一性和可信性；SIM卡或STK卡是IC芯片卡，具有高度的唯一性。三个唯一性确认了用户身份的唯一性；2、实现的便捷性，用户只要利用SMS网络申请，即刻得到一随机数列(随机密码)，通过登录网络将数列输入进行认证对比，即可确认身份，简单快捷；3、成本低，短信通信费用低廉；4、应用广泛，可适用于目前“用户名+随机密码”的任何应用。

附图说明

图1表示本发明认证系统结构框图；

图2申请注册短信随机密码服务流程；

图3用户交易身份认证流程

具体实施方式

由于无线短信平台可以快速可靠的传送各种文本信息，那么可以通过移动网络给需要登录的用户一个随机数列(随机密码，可以是数字、字母或数字和字母的混合体)，系统可以设定这一数列的有效时间，并设定用完马上作废。利用三项唯一性，确定申请登录的人确实拥有唯一合法的手机，利用“你有什么”这一因素完成对人的身份的确认。系统原先具有的“用户名+自设密码”的方式仍然存在，从而形成登录人员“有高防假冒的手机”+“有用户卡(信用卡、资金卡、员工卡等磁条卡，防假冒能力次于手机”+“知道什么(原自设静态密码)”三项因素的组合，认证安全强度大大提高。

图1是本发明的认证系统结构方框图。

一、认证中心：

1.动态随机密码产生/认证服务器是系统的核心部分，它可以根据用户唯一的身份标志随机产生动态随机密码，并且对应用服务器上传的、用户输入的动态随机密码进行比对，进行严格的身份认证。

2.动态随机密码产生/认证后备服务器是对认证服务器的实时完全备份，它能够在认证服务器发生故障或检修时及时接管认证工作。

3.管理工作站提供认证服务器的管理界面，通过管理工作站，网络管理员可以进行网络配置，添加、修改或删除用户信息，服务统计等操作

二、通讯网络系统：

1、移动/联通短信处理中心

短信处理中心由短信接入平台和短信网关组成。短信接入平台负责接收短信和转发短信，短信网关用于短消息中心与认证之间的连接和协议转换。它通过SMPP协议与短消息中心进行通信，并通过CMPP协议连接认证中心。短消息网关有帐号管理、路由转发、流量控制和计费等主要功能，可以同时管理多个短消息中心，并根据其负荷自动选择下行短消息的发送路由的功能。

2、呼叫客户服务中心

客户可以通过手机拨入CALL CENTER申请交易随机密码。CALL CENTER收到用户的拨叫后，采集客户的手机号码并把客户申请提交到认证中心，认证中心检查手机号码合法性后，把产生的随机数列(随机密码)通过短信发送给用户。

3、INTERNET短信接入平台

客户除可以通过手机短信和呼叫中心申请随机密码外，也可以通过INTERNET上的短信服务商提供的工具发送网上短信来申请随机密码，WEB服务器把客户的随机密码申请发送给相应的短信服务中心(移动、联通)等，短信服务中心通过短信网关把申请提交给认证中心，认证中心检查手机号码合法性后，把产生的动态随机密码通过手机短信发送给用户。

4、动态随机密码认证系统的网站

作为内容提供商(ICP)，网站提供随机密码短信业务的开办申请，随机密码短信申请、静态随机密码的设定和修改并代理其他增殖短信业务。

客户进行动态随机密码短信业务的开办申请时，网站将验证客户手机的身份合法性并请客户选择相应的启用动态随机密码认证的交易类型，把客户的身份连接到银行或其他客户帐户中心进行验证并建立帐号和手机号之间的关联。基于移动通信平台的即取即用式动态随机密码手机身份认证系统的处理流程

1、用户登录动态随机密码认证中心网站、提供动态随机密码认证服务的客户(银行、证券)网站或提供动态随机密码认证服务的客户(银行、证券)柜台认证办理开通动态随机密码业务服务，如果用户的手机号码和账号均合法，则用户成功注册为认证中心系统的合法用户。

2、用户通过手机短信、网上短信发请求到认证中心申请动态随机密码；用户可以使用GSM手机、GPRS手机或CDMA手机申请动态随机密码，用户的请求通过GSM网络、GPRS网络或CDMA网络被透明的传输到短信服务中心并被送达动态随机密码认证中心。

3、用户使用手机拨通动态随机密码认证中心的呼叫中心申请动态随机密码；

4、短信中心/呼叫中心网关收到用户的随机密码申请请求后，把随机密码请求转发给认证中心服务器。认证中心检查该请求的手机号是否为合法的注册用户，若为合法注册用户，则为该用户产生一个随机的动态随机密码。

5、因为每个用户特征参数的唯一性和动态随机密码算法的随机性，系统产生的每个动态随机密码将很无法预测并且即使在多个用户同时申请随机密码时也能保证产生的每个随机密码各不相同。动态随机密码的有效期由系统管理员设定，超过有效期的随机密码即使用户没有使用也将无效。

6、短信网关把产生的动态随机密码通过短信方式分发给申请的用户，因为手机通讯时带“验证”的特性，短信中心可以保证用户短信的送达和短信发送的正确性。

7、用户在登录业务系统或进行金融交易时，可使用短信中心发回的动态随机密码上传给认证中心进行验证。在注册时帐户和用户手机之间建立了联系，手机身份认证成功后也就确认了手机主人的合法身份，应用系统允许用户可以根据应用系统的授权进行相应的操作。

8、申请到的动态随机密码在一次使用后即失效，并且，动态随机密码有一定的生命期，超过生命期的随机密码，即使用户没有使用也将无效。

图2表示用户申请注册短信随机密码的服务流程

在用户申请短信随机密码服务时，要依次确认手机用户的身份、账号合法性，具体流程如下：

1、户浏览认证中心网站或其它提供短信动态随机密码服务的应用网站(银行网站或证券网站)、登录相应的呼叫中心；

2、用户选择申请开办短信随机密码服务；为了保证用户个人信息的安全，用户浏览器在选择开办短信随机密码服务时完成对WEB服务器的CA身份认证；认证成功后在用户浏览器和WEB服务器之间建立SSL数据安全传输通道；或按照呼叫中心的语音提示进行操作；

3、用户根据系统要求填写个人资料并提交给认证中心；认证中心收到用户的请求后，初步判断用户的手机号和其它信息是否合法。非法时提示错误信息给用户；合法时则把用户手机、身份证信息建立注册列表；

4、应用系统建立用户账号、身份证和手机的注册列表；

5、二个注册列表审查通过后，完成以身份证为纽带的短信随机密码服务注册；

6、原应用系统“用户名+自设密码”的身份认证方式仍然存在。图3以金融企业(银行、证券公司)为例，演示用户在进行金融交易时的身份认证处理流程。

具体过程是：

1、用户通过手机(计算机终端)向短信随机密码认证中心申请随机密码，并在与认证中心约定的时间内获得随机密码；

2、用户选择金融终端(ATM、POS或网上交易浏览器终端等)登录：

3、用户根据系统要求输入帐号，输入短信随机密码请求认证；

4、交易应用服务器收到用户的请求后，检查用户帐号的合法性。帐号合法时找出其对应的身份证列表，将身份证信息和短信随机密码提交短信随机密码认证中心；

5、认证中心收到客户的认证请求后，依照身份证信息用户数据库查询该用户信息。查询成功后检查用户的随机密码可用标识是否为可用状态，不可用状态时向金融应用网关返回随机密码错误信息；可用状态时则检查动态随机密码是否在生存期内，已过生存期时向金融应用网关返回随机密码错误信息；处于生存期内的短信随机密码加密处理结果是否和数据库中的存储结果一致，二者比较结果均一致时认为随机密码正确，身份认证成功，否则则认证失败。将认证结果返回给交易应用服务器；

6、业务主机根据认证结果进行下一步操作，用户应继续输入静态自设随机密码进一步认证，步骤和现有认证步骤相同。用户申请动态随机密码的流程。具体过程是

1、通过自己的手机向指定的短信随机密码认证中心提交申请短信动态随机密码的申请，短信中心会自动识别手机身份，即手机的SIM卡或STK卡号；

2、短信中心将随机密码申请和客户手机号通过DDN/FRAME RELAY/INTERNET网传送到认证中心；

3、动态随机密码产生/认证服务器查找该手机号是否已注册，为注册合法用户时利用其内部的随机密码生成函数产生当前的动态随机密码；

4、动态随机密码产生/认证服务器把动态随机密码通过专用网传送到移动通信网短信中心(包括但不限于GSM、GPRS、CDMA、第三代3G等)，通过短消息平台、移动网站等发送给请求用户；

5、用户用手机接收该动态随机密码；

以上所述仅是本发明的具体实施例，任何基于本发明技术方案基础上的等效变换，均属于本发明保护范围之内。

Claims

基于移动通信平台的即取即用式动态随机密码手机身份认证系统，本发明的系统包括认证中心、和通讯网络系统二部分。其中认证中心包括：动态随机密码认证/产生服务器、认证备份服务器、管理工作站；通讯网络系统包括SMS服务中心、短信网关、WEB服务器、呼叫中心、通讯终端包括用户终端(手机和计算机终端)；其中动态随机密码产生/认证服务器、动态随机密码产生/认证后备服务器、管理工作站组成动态随机密码认证中心，彼此间通过以太网进行连接、通讯、数据传输；动态随机密码认证中心和通讯网络系统之间通过DDN/FRAME RELAY/INTERNET进行客户随机密码数据的传输。

1、根据权利要求1所述的基于移动通信平台的即取即用式动态随机密码手机身份认证系统，其特征在于：所述动态随机密码产生/认证服务器是系统的核心部分，它可以根据用户唯一的身份标志随机产生动随机密码，并且对所述行业认证服务器上传的、用户收到后输入的随机密码进行比对，进行严格的认证，通过对客户有“什么”的确认，进而对客户的身份进行准确的确认；
2、根据权利要求2所述的基于移动通信平台的即取即用式动态随机密码手机身份认证系统，其特征在于：在所述动态随机密码产生/认证服务器内，有一个随机密码生成模块，在随机密码生成模块内固化有随机密码生成函数，随机密码生成函数根据用户的手机号码利用系统当前的时钟等随机因素，计算出用户当前的随机密码；
3、根据权利要求2所述的基于移动通信平台的即取即用式动态随机密码手机身份认证系统，其中动态随机密码产生/认证服务器包括以下模块：

用户信息注册处理模块：在用户登记注册短信动态随机密码服务时，用户信息注册处理模块使用硬件噪声源产生用户的特征参数，并把用户的手机号和特征参数等信息写入数据库中；

动态随机密码生成模块：在用户申请动态随机密码时调用该模块使用手机号对应的用户信息和动态随机密码生成算法动态产生本次的动态随机密码；

动态随机密码认证模块：对用户的账号和随机密码合法性进行验证；

日志审计模块：把各种数据处理请求和处理结果进行登记，存储到数据库中或日志文件中；

用户信息维护模块；完成对数据库中记录的用户信息的更新和查询；

加解密模块；处于各处理模块的最底层，完成用户信息关键字段的存储和传输的加密工作；并完成对传输数据包完整性的保护；
4、根据权利要求1所述的基于移动通信平台的即取即用式动态随机密码手机身份认证系统，其特征在于：所述动态随机密码产生/认证后备服务器是对认证服务器的完全备份，它能够在认证服务器发生故障或检修时及时接管认证工作。
5、根据权利要求1所述的基于移动通信平台的即取即用式动态随机密码手机身份认证系统，其特征在于：所述用户端的通讯装置既可以是手机、网络终端，也可以是带有SMS接受功能的其他手持设备；
6、根据权利要求书1所述的基于移动通信平台的即取即用式动态随机密码身份认证系统的登录路径包括柜台、CALL CENTER、互联网络；
7、根据权利要求书1所述的基于移动通信平台的即取即用式动态随机密码身份认证系统适用的移动通信平台包括但不限于GSM、GPRS、CCDMA、3G；
8、根据权利要求书1所述的基于移动通信平台的即取即用式动态随机密码身份认证系统可以单独使用或和其他多种认证手段组合、改造融合使用；
9、根据权利要求书1所述的基于移动通信平台的即取即用式动态随机密码身份认证系统认证服务器产生的随机密码可以是数字、字母或数字和字母的混合；
10、根据权利要求书1所述的基于移动通信平台的即取即用式动态随机密码身份认证系统可以用于任何需要身份认证的信息系统，包括但不限于银行交易系统、证券交易系统、企业和组织内部信息管理系统、电子邮件身份认证系统等。