專利名稱：一種基于動態(tài)口令的計算機安全保護系統(tǒng)及方法
技術(shù)領(lǐng)域：
本發(fā)明涉及信息安全身份鑒別技術(shù)領(lǐng)域，特別涉及一種基于動態(tài)口令的計算機安 全保護系統(tǒng)及方法。
背景技術(shù)：
用戶在使用計算機的過程中，都會接觸到BIOS，它在計算機系統(tǒng)中起著非常重要 的作用。BIOS (Basic Input/output System，基本輸入輸出系統(tǒng))全稱是 ROM-BIOS，是只讀 存儲器基本輸入/輸出系統(tǒng)的簡寫，它實際是一組被固化到電腦中，為電腦提供最低級最 直接的硬件控制的程序，它是連通軟件程序和硬件設(shè)備之間的樞紐，通俗地說，BIOS是硬件 與軟件程序之間的一個“轉(zhuǎn)換器”或者說是接口(雖然它本身也只是一個程序)，負責(zé)解決 硬件的即時要求，并按軟件對硬件的操作要求具體執(zhí)行。目前無論是保護BIOS設(shè)置的密碼，還是主機開機密碼，都使用靜態(tài)密碼。一方面靜態(tài)密碼由于長期不變的特點，會導(dǎo)致這個口令在許多情況下泄密。1、用戶在輸入口令時會被別人偷看或攝像機記錄；2、用戶的口令一般都具有特征性，例如生日、電話號碼等，容易被人猜測和字典 窮舉；3、用戶的口令長期不變，口令泄密的危險性與日俱增。所以靜態(tài)口令是容易泄密的，是不安全的。如果僅僅只靠靜態(tài)口令來保護系統(tǒng)安 全的大門，效果是不安全的。另一方面BIOS的密碼設(shè)置考慮到用戶使用的方便性，出廠的主板的BIOS密碼和 開機密碼設(shè)置默認都為空，這給別有用心的人破解BIOS密碼有機可乘。目前有非常多的方法可以破解，而且技術(shù)含量非常低，如debug方法，CMOS電池 放電，使用主板的通用密碼，跳線短接等。

發(fā)明內(nèi)容
(一)發(fā)明目的本發(fā)明的目的是提供一種基于動態(tài)口令的計算機安全保護系統(tǒng)及方法，以提高計 算機系統(tǒng)的安全性。
發(fā)明內(nèi)容
一種基于動態(tài)口令的計算機安全保護系統(tǒng)，其特征在于，包括認證服務(wù)端和動態(tài) 口令客戶端，所述動態(tài)口令客戶端用于產(chǎn)生動態(tài)口令，所述認證服務(wù)端包括動態(tài)口令輸入 單元和動態(tài)口令認證單元，所述動態(tài)口令輸入單元用于接收動態(tài)口令客戶端產(chǎn)生的動態(tài)口 令，所述動態(tài)口令認證單元用于存儲所述動態(tài)口令客戶端的唯一序列號和所述動態(tài)口令客 戶端用于產(chǎn)生動態(tài)口令的算法，并根據(jù)當(dāng)前時間序列或事件序列及所述唯一序列號，利用 所述算法產(chǎn)生認證口令與所述動態(tài)口令客戶端產(chǎn)生的認證口令匹配，從而進行認證。
3
其中，所述動態(tài)口令客戶端為動態(tài)令牌、可產(chǎn)生動態(tài)口令的手機或動態(tài)口令卡。其中，所述認證服務(wù)端包括計算機BIOS系統(tǒng)。其中，所述計算機包括臺式機、筆記本電腦、平板電腦、PDA數(shù)字設(shè)備、工作站和服 務(wù)器。一種基于動態(tài)口令的計算機安全保護方法，包括以下步驟Sl 動態(tài)口令客戶端產(chǎn)生動態(tài)口令；S2 將動態(tài)口令輸入到認證服務(wù)端的動態(tài)口令輸入單元；S3:認證服務(wù)端的動態(tài)口令認證單元根據(jù)當(dāng)前時間序列或事件序列及動態(tài)口令 客戶端的唯一序列號，并利用與動態(tài)口令客戶端產(chǎn)生動態(tài)口令算法相同的算法產(chǎn)生認證口 令，認證口令若與所述動態(tài)口令輸入單元輸入的動態(tài)口令相同則認證成功。其中，所述步驟Sl之前包括步驟SO:將動態(tài)口令客戶端產(chǎn)生動態(tài)口令的算法和動態(tài)口令客戶端的唯一序列號存儲 在認證服務(wù)端的動態(tài)口令認證單元，且認證服務(wù)端默認啟用動態(tài)口令認證功能。其中，所述步驟SO和Sl之間包括對動態(tài)口令客戶端觸發(fā)的步驟，所述觸發(fā)方式包 括時間觸發(fā)或事件觸發(fā)。其中，所述步驟S3之后包括步驟若設(shè)置有靜態(tài)口令，則需要繼續(xù)輸入靜態(tài)口令。(三)有益效果本發(fā)明可以提高計算機系統(tǒng)的安全性，有效防止他人隨意修改BIOS設(shè)置，以保證 計算機的正常運行，限制他人使用計算機，以保護計算機中的資源。


圖1是根據(jù)本發(fā)明的基于動態(tài)口令的計算機安全保護方法流程圖。
具體實施例方式本發(fā)明提出的基于動態(tài)口令的計算機安全保護系統(tǒng)及方法，結(jié)合附圖和實施例說 明如下。本發(fā)明的基于動態(tài)口令的計算機安全保護系統(tǒng)，包括認證服務(wù)端和動態(tài)口令客戶 端，所述動態(tài)口令客戶端用于產(chǎn)生動態(tài)口令，所述認證服務(wù)端包括動態(tài)口令輸入單元和動 態(tài)口令認證單元，所述動態(tài)口令輸入單元用于輸入動態(tài)口令客戶端產(chǎn)生的動態(tài)口令，所述 動態(tài)口令認證單元用于存儲動態(tài)口令客戶端的唯一序列號和產(chǎn)生動態(tài)口令的算法，根據(jù)當(dāng) 前時間序列或事件序列及所述唯一序列號，利用所述算法產(chǎn)生認證口令與所述動態(tài)口令客 戶端產(chǎn)生的認證口令匹配，從而進行認證。其中，所述動態(tài)口令客戶端為動態(tài)令牌、可產(chǎn)生 動態(tài)口令的手機或動態(tài)口令卡。其中，所述認證服務(wù)端為計算機BIOS系統(tǒng)，也可以是需要 身份鑒別的計算機應(yīng)用系統(tǒng)。具體地，以動態(tài)令牌和計算機BIOS系統(tǒng)為例，動態(tài)口令客戶端之一的動態(tài)令牌具 有唯一序列號，包括嵌入動態(tài)口令產(chǎn)生算法的單片機、線路板、液晶屏、外殼、電池和晶振。 晶振一般叫做晶體諧振器，是一種機電器件，是用電損耗很小的石英晶體經(jīng)精密切割磨削 并鍍上電極焊上引線做成。這種晶體有一個很重要的特性，如果給他通電，他就會產(chǎn)生機械振蕩，就會產(chǎn)生計數(shù)器效果，因而，晶振在電池的驅(qū)動下，會產(chǎn)生時間序列，以該時間序列為產(chǎn)生動態(tài)口令算法的密鑰，令牌會每隔60秒自動產(chǎn)生一個一次性的、隨機的及重復(fù)概率很 低的口令，或者在單片機的存儲器中存儲一個整數(shù)初始值η ( 一般為0)，在事件觸發(fā)時，如 按下動態(tài)令牌的觸發(fā)按鍵，以η為產(chǎn)生動態(tài)口令算法的密鑰，令牌產(chǎn)生一個一次性的、隨機 的及重復(fù)概率很低的口令，產(chǎn)生口令后，將η加上一個整數(shù)步長m ( 一般為1)得到n+m，并用 n+m替換當(dāng)前單片機的存儲器中存儲的值，這樣每次觸發(fā)時都會得到不同的數(shù)值，從而產(chǎn)生 不同的口令。該口令會顯示在液晶屏上，該口令一般為6或8位的數(shù)字。將動態(tài)口令輸入 BIOS系統(tǒng)的動態(tài)口令輸入單元，BIOS系統(tǒng)的動態(tài)口令認證單元為BIOS的ROM內(nèi)事先燒錄 了動態(tài)令牌的唯一序列號和動態(tài)口令產(chǎn)生算法的存儲模塊，該算法與動態(tài)令牌的動態(tài)口令 產(chǎn)生算法相同。動態(tài)口令認證單元還存儲有事件觸發(fā)產(chǎn)生動態(tài)口令時所需的數(shù)值(初始值 為η)和數(shù)值增加步長m。由于在BIOS系統(tǒng)的動態(tài)口令認證單元中燒錄了令牌的唯一序列 號，該令牌就和BIOS進行了綁定。該動態(tài)口令認證單元利用所述算法產(chǎn)生與所述動態(tài)口令 相同的認證口令進行認證，在認證前BIOS系統(tǒng)和動態(tài)令牌都設(shè)置成時間觸發(fā)產(chǎn)生動態(tài)口 令模式或事件觸發(fā)產(chǎn)生動態(tài)口令模式，認證原理如下當(dāng)為時間觸發(fā)時，BIOS系統(tǒng)的動態(tài)口令輸入單元接收到輸入的動態(tài)令牌產(chǎn)生的動 態(tài)口令后，動態(tài)口令認證單元獲取當(dāng)前系統(tǒng)時間，根據(jù)該系統(tǒng)時間和事先燒錄的令牌的唯 一序列號，利用與動態(tài)令牌的動態(tài)口令產(chǎn)生算法相同的算法產(chǎn)生認證口令，將該認證口令 和動態(tài)口令輸入單元接收到的動態(tài)令牌產(chǎn)生的動態(tài)口令進行認證。當(dāng)為事件觸發(fā)時，BIOS系統(tǒng)的動態(tài)口令輸入單元接收到輸入的動態(tài)令牌產(chǎn)生的動 態(tài)口令后，動態(tài)口令認證單元根據(jù)當(dāng)前存儲的數(shù)值和事先燒錄的令牌的唯一序列號，利用 與動態(tài)令牌的動態(tài)口令產(chǎn)生算法相同的算法產(chǎn)生認證口令，將該認證口令和動態(tài)口令輸入 單元接收到的動態(tài)令牌產(chǎn)生的動態(tài)口令進行認證。動態(tài)口令認證單元產(chǎn)生認證口令后將 當(dāng)前存儲的數(shù)值加上m，得到新的數(shù)值將，該數(shù)值存儲到動態(tài)口令認證單元以替換原來的數(shù) 值，以供下次事件觸發(fā)是產(chǎn)生動態(tài)認證口令。由于動態(tài)口令產(chǎn)生算法相同，當(dāng)前時間序列或事件序列相同，且包含有動態(tài)令牌 的唯一序列號，因此產(chǎn)生的認證口令與動態(tài)口令輸入單元接收的動態(tài)令牌產(chǎn)生的動態(tài)口令 相同，若不同則有以下情況用戶輸入有誤；動態(tài)令牌未與計算機的BIOS系統(tǒng)綁定，即BIOS系統(tǒng)動態(tài)口令認證單元存儲的唯 一序列號有誤或未存儲該令牌的唯一序列號；事件觸發(fā)時，動態(tài)口令認證單元當(dāng)前存儲的數(shù)值不一樣；如果令牌連續(xù)按下按鍵，不輸入，則客戶端和服務(wù)端不同步了，需要連續(xù)輸入兩個 動態(tài)口令進行同步操作；時間觸發(fā)時，時間序列不對，即系統(tǒng)時間發(fā)生了改變或者令牌的晶振發(fā)生漂移，則 動態(tài)口令客戶端和認證服務(wù)端不同步了，此時可以連續(xù)輸入兩個動態(tài)口令進行同步操作。在動態(tài)口令認證成功后，若系統(tǒng)還設(shè)置有靜態(tài)口令則還需要在動態(tài)口令后面繼續(xù) 輸入靜態(tài)口令。 上述的動態(tài)令牌也可以用可產(chǎn)生動態(tài)口令的手機和動態(tài)口令卡代替。手機上集成 了動態(tài)口令產(chǎn)生系統(tǒng)和手機唯一序列號，在屏幕上也能產(chǎn)生動態(tài)口令。動態(tài)口令卡，是指預(yù) 先生成若干個動態(tài)口令，印在一定大小的紙片或者卡片上，然后用不透明的、可被刮開的物質(zhì)覆蓋住，用一次刮開一個。每個用戶拿到動態(tài)口令客戶端，可以在相關(guān)網(wǎng)站注冊信息，以備客戶端丟失后廠 商可以確認用戶身份。如果計算機的動態(tài)口令客戶端丟失，可以撥打廠商服務(wù)電話，以用戶 指定的方式，提供給用戶臨時密碼，同時在今后幾天內(nèi)補發(fā)一塊新客戶端，當(dāng)然也可以不使 用動態(tài)口令而直接使用靜態(tài)口令或者兩者都不使用。開機設(shè)置和BIOS設(shè)置的區(qū)分，即區(qū)分 用戶和管理員的身份可以通過設(shè)置不同的靜態(tài)口令，設(shè)置的策略仍然按照傳統(tǒng)方法，只是 由靜態(tài)口令變?yōu)閯討B(tài)口令+靜態(tài)口令，每次設(shè)置的間隔時間為產(chǎn)生動態(tài)口令的間隔時間。 從而成為雙因素保護，進一步提高系統(tǒng)的安全性。每個動態(tài)口令客戶端，也跟域、客戶的應(yīng) 用系統(tǒng)，網(wǎng)站、游戲賬號等登錄鑒別系統(tǒng)進行綁定，讓用戶一個客戶端可以綁定多個帳戶， 從而進行多重保護。其中，計算機包括品牌臺式機、DIY臺式機、筆記本電腦、平板電腦、PDA數(shù)字設(shè)備、 工作站和服務(wù)器等。如圖1所示，一種基于動態(tài)口令的計算機安全保護方法，包括以下步驟S1 動態(tài) 口令客戶端產(chǎn)生動態(tài)口令；S2 將動態(tài)口令輸入到認證服務(wù)端的動態(tài)口令輸入單元；S3 認 證服務(wù)端的動態(tài)口令認證單元產(chǎn)生認證口令進行認證，即認證服務(wù)端的動態(tài)口令認證單元 根據(jù)當(dāng)前時間序列或事件消息及動態(tài)口令客戶端的唯一序列號，并利用與動態(tài)口令客戶端 產(chǎn)生動態(tài)口令算法相同的算法產(chǎn)生認證口令，認證口令若與所述動態(tài)口令輸入單元輸入的 動態(tài)口令相同則認證成功。在步驟Sl之前還包括步驟SO 將動態(tài)口令客戶端產(chǎn)生動態(tài)口 令的算法和動態(tài)口令客戶端的唯一序列號存儲在認證服務(wù)端的動態(tài)口令認證單元，且認證 服務(wù)端默認啟用動態(tài)口令，這樣即使對認證服務(wù)端進行了復(fù)位之類的操作，在重新啟動認 證服務(wù)端時仍然要輸入動態(tài)口令。如進行取下主板電池等操作后，在進入BIOS或計算機系 統(tǒng)時仍然要輸入動態(tài)口令。其中，在步驟SO和Sl之間包括對動態(tài)口令客戶端觸發(fā)的步驟，所述觸發(fā)方式包括 時間觸發(fā)或事件觸發(fā)，時間觸發(fā)可在一定的時間間隔內(nèi)(一般為60秒)產(chǎn)生一個不同的口 令，事件觸發(fā)為在事件發(fā)生時產(chǎn)生一個不同的口令，如按下按鍵事件發(fā)生時，根據(jù)動態(tài)口令 客戶端中的存儲器存儲的初始值η (—般為0)，根據(jù)值η產(chǎn)生一個一次性的、隨機的及重復(fù) 概率很低的口令，產(chǎn)生口令后數(shù)值η加上一個整數(shù)步長m(—般為1)得到n+m，并用n+m替 換存儲器中當(dāng)前存儲的值，這樣每次觸發(fā)時都會得到不同的數(shù)值，從而產(chǎn)生不同的口令。在動態(tài)口令認證后，若設(shè)置有靜態(tài)口令，則需要繼續(xù)輸入靜態(tài)口令。其中，產(chǎn)生動態(tài)口令的算法包括Oath事件機制，Oath時間機制以及其他能產(chǎn)生動 態(tài)口令或稱一次性口令(OTP，one time password)?，F(xiàn)在我們算法描述如下本發(fā)明的算法把時間序列或者事件序列加上唯一序列號，用SHA-256摘要算法算 出一個摘要。再對其進行HMAC-SHA-256消息驗證碼算法，HMAC需要一個加密用散列函數(shù) (表示為H)和一個密鑰K。我們假設(shè)H是一個將數(shù)據(jù)塊用一個基本的迭代壓縮函數(shù)來加密的散列函數(shù)。我們 用B來表示數(shù)據(jù)塊的字長。(以上說提到的散列函數(shù)的分割數(shù)據(jù)塊字長B = 64)，用L來表 示散列函數(shù)的輸出數(shù)據(jù)字長(MD5L = 16，SHA-I L = 20)。鑒別密鑰K的長度可以是小于 等于數(shù)據(jù)塊字長的任何正整數(shù)值。應(yīng)用程序中使用的密鑰長度若是比B大，則首先用使用 散列函數(shù)H作用于它，然后用H輸出的L長度字符串作為在HMAC中實際使用的密鑰。一般情況下，推薦的最小密鑰K長度是L個字長。(與H的輸出數(shù)據(jù)長度相等)。 定義兩個固定且不同的字符串ipad，0pad( ‘i'，’ ο'標志內(nèi)部與外部)ipad = the byte 0x36 repeated B timesopad = the byte 0x5C repeated B times.計算‘text‘的 HMAC H(K XOR opad, H(K XOR ipad, text))即為以下步驟1、在密鑰K后面添加0來創(chuàng)建一個子長為B的字符串(例如，如果K的字長是20 字節(jié)，B = 60字節(jié)，則K后會加入44個零字節(jié)0x00)；2、將上一步生成的B字長的字符串K與ipad做異或運算；3、將數(shù)據(jù)流text填充至第二步的結(jié)果字符串中；4、用H作用于第三步生成的數(shù)據(jù)流；5、將第一步生成的B字長字符串與opad做異或運算；6、再將第四步的結(jié)果填充進第五步的結(jié)果中；7、用H作用于第六步生成的數(shù)據(jù)流，輸出最終結(jié)果；8、進行動態(tài)截位，生成Otp。以上實施方式僅用于說明本發(fā)明，而并非對本發(fā)明的限制，有關(guān)技術(shù)領(lǐng)域的普通 技術(shù)人員，在不脫離本發(fā)明的精神和范圍的情況下，還可以做出各種變化和變型，因此所有 等同的技術(shù)方案也屬于本發(fā)明的范疇，本發(fā)明的專利保護范圍應(yīng)由權(quán)利要求限定。
權(quán)利要求
一種基于動態(tài)口令的計算機安全保護系統(tǒng)，其特征在于，包括認證服務(wù)端和動態(tài)口令客戶端，所述動態(tài)口令客戶端用于產(chǎn)生動態(tài)口令，所述認證服務(wù)端包括動態(tài)口令輸入單元和動態(tài)口令認證單元，所述動態(tài)口令輸入單元用于接收動態(tài)口令客戶端產(chǎn)生的動態(tài)口令，所述動態(tài)口令認證單元用于存儲所述動態(tài)口令客戶端的唯一序列號和所述動態(tài)口令客戶端用于產(chǎn)生動態(tài)口令的算法，并根據(jù)當(dāng)前時間序列或事件序列及所述唯一序列號，利用所述算法產(chǎn)生認證口令與所述動態(tài)口令客戶端產(chǎn)生的認證口令匹配，從而進行認證。
2.如權(quán)利要求1所述的基于動態(tài)口令的計算機安全保護系統(tǒng)，其特征在于，所述動態(tài) 口令客戶端為動態(tài)令牌、可產(chǎn)生動態(tài)口令的手機或動態(tài)口令卡。
3.如權(quán)利要求1或2所述的基于動態(tài)口令的計算機安全保護系統(tǒng)，其特征在于，所述認 證服務(wù)端包括計算機BIOS系統(tǒng)。
4.如權(quán)利要求3所述的基于動態(tài)口令的計算機安全保護系統(tǒng)，其特征在于，所述計算 機包括臺式機、筆記本電腦、平板電腦、PDA數(shù)字設(shè)備、工作站和服務(wù)器。
5.一種基于動態(tài)口令的計算機安全保護方法，其特征在于，包括以下步驟51動態(tài)口令客戶端產(chǎn)生動態(tài)口令；52將動態(tài)口令輸入到認證服務(wù)端的動態(tài)口令輸入單元；53認證服務(wù)端的動態(tài)口令認證單元根據(jù)當(dāng)前時間序列或事件序列及動態(tài)口令客戶端 的唯一序列號，并利用與動態(tài)口令客戶端產(chǎn)生動態(tài)口令算法相同的算法產(chǎn)生認證口令，認 證口令若與所述動態(tài)口令輸入單元輸入的動態(tài)口令相同則認證成功。
6.如權(quán)利要求5所述的基于動態(tài)口令的計算機安全保護方法，其特征在于，所述步驟 S1之前包括步驟SO:將動態(tài)口令客戶端產(chǎn)生動態(tài)口令的算法和動態(tài)口令客戶端的唯一序列號存儲在認 證服務(wù)端的動態(tài)口令認證單元，且認證服務(wù)端默認啟用動態(tài)口令認證功能。
7.如權(quán)利要求6所述的基于動態(tài)口令的計算機安全保護方法，其特征在于，所述步驟 SO和S1之間包括對動態(tài)口令客戶端觸發(fā)的步驟，所述觸發(fā)方式包括時間觸發(fā)或事件觸發(fā)。
8.如權(quán)利要求5-7任一所述的基于動態(tài)口令的計算機安全保護方法，其特征在于，所 述步驟S3之后包括步驟若設(shè)置有靜態(tài)口令，則需要繼續(xù)輸入靜態(tài)口令。
全文摘要
本發(fā)明公開了一種基于動態(tài)口令的計算機安全保護系統(tǒng)，包括認證服務(wù)端和動態(tài)口令客戶端。本發(fā)明還提供了一種基于動態(tài)口令的計算機安全保護方法，包括動態(tài)口令客戶端產(chǎn)生動態(tài)口令；將動態(tài)口令輸入到認證服務(wù)端的動態(tài)口令輸入單元；認證服務(wù)端的動態(tài)口令認證單元根據(jù)當(dāng)前時間序列或事件序列及動態(tài)口令客戶端的唯一序列號，并利用與動態(tài)口令客戶端產(chǎn)生動態(tài)口令算法相同的算法產(chǎn)生認證口令，認證口令若與所述動態(tài)口令輸入單元輸入的動態(tài)口令相同則認證成功；如果啟用靜態(tài)口令功能，則必須在輸入單元的動態(tài)口令后面輸入靜態(tài)口令，否則認證結(jié)束。本發(fā)明提高了計算機系統(tǒng)的安全性。
文檔編號G06F21/20GK101800644SQ20101000049
公開日2010年8月11日 申請日期2010年1月11日 優(yōu)先權(quán)日2010年1月11日
發(fā)明者尤海, 李敏剛, 洪斌 申請人:上海眾爍信息科技有限公司