基于挑戰(zhàn)應答型動態(tài)口令的Windows系統(tǒng)雙因素認證方法
【專利摘要】本發(fā)明公開了基于挑戰(zhàn)應答型動態(tài)口令的Windows系統(tǒng)雙因素認證方法，該方法通過Windows?GINA或Credential?Provider登錄體系，將動態(tài)口令身份認證機制與Windows密碼認證機制進行無縫集成，形成集成基于挑戰(zhàn)應答類型動態(tài)口令的動態(tài)身份認證和基于Windows密碼認證的雙因素認證。本發(fā)明提供的Windows系統(tǒng)雙因素認證能夠有效提高Windows系統(tǒng)的安全性，有效防密碼擴散，抗暴力破解，抗重放攻擊，安全可靠。
【專利說明】基于挑戰(zhàn)應答型動態(tài)口令的Windows系統(tǒng)雙因素認證方法
【技術領域】
[0001]本發(fā)明涉及網(wǎng)絡安全技術，具體涉及Windows系統(tǒng)的登陸安全技術。
【背景技術】
[0002]動態(tài)口令作為最安全的身份認證技術之一，目前已經被越來越多的行業(yè)所應用。由于它使用便捷，且與平臺無關性，隨著移動互聯(lián)網(wǎng)的發(fā)展，動態(tài)口令技術已成為身份認證技術的主流，被廣泛應用于企業(yè)、網(wǎng)游、金融等領域，國內外從事動態(tài)口令相關研發(fā)和生產的企業(yè)也越來越多，其優(yōu)勢在于與各種業(yè)務系統(tǒng)快速無縫互操作，其完全自主研發(fā)的號令動態(tài)口令身份認證軟件系統(tǒng)穩(wěn)定、高效、支持多種認證模式，其解決方案可以服務不同規(guī)模企業(yè)。
[0003]Microsoft Windows，是微軟公司制作和研發(fā)的一套桌面操作系統(tǒng)，它問世于1985年，起初僅僅是MS-DOS模擬環(huán)境，后續(xù)的系統(tǒng)版本由于微軟不斷的更新升級，不但易用，也慢慢的成為家家戶戶人們最喜愛的操作系統(tǒng)。
[0004]目前Windows系統(tǒng)用戶認證是采用傳統(tǒng)的用戶名和密碼的方式。系統(tǒng)安全主要依靠靜態(tài)密碼保護，但一般系統(tǒng)管理員不強制使用高強度口令和定期修改系統(tǒng)密碼的規(guī)定，使得Windows用戶會選擇一些弱口令(如:123456)，而且靜態(tài)密碼易于擴散和遺忘的等諸多缺點，故密碼一旦被不法用戶得到，可能造成的巨大的損失。

【發(fā)明內容】

[0005]針對現(xiàn)有Windows系統(tǒng)用戶認證是采用傳統(tǒng)的用戶名和密碼的方式在安全性方面所存在的問題，本發(fā)明的目的在于提供一種基于挑戰(zhàn)應答型動態(tài)口令的Windows系統(tǒng)雙因素認證方法，有效提升系統(tǒng)的安全性，確保只有授權用戶能訪問Windows系統(tǒng)。
[0006]為了達到上述目的，本發(fā)明采用如下的技術方案:
[0007]基于挑戰(zhàn)應答型動態(tài)口令的Windows系統(tǒng)雙因素認證方法，所述認證方法通過Windows GINA或Credential Provider登錄體系,將動態(tài)口令身份認證機制與Windows密碼認證機制進行無縫集成，形成集成基于挑戰(zhàn)應答類型動態(tài)口令的動態(tài)身份認證和基于Windows密碼認證的雙因素認證。
[0008]在本認證方法的優(yōu)選實例中，所述動態(tài)口令身份認證機制通過Windows系統(tǒng)的認證接口嵌入到Windows密碼認證機制中，實現(xiàn)無縫集成。
[0009]進一步的，所述認證過程具體包括如下步驟:
[0010](I)用戶通過Windows登陸界面輸入Windows密碼；
[0011](2) Windows系統(tǒng)在接收到輸入的Windows密碼后,將產生挑戰(zhàn)值請求,并傳至認證服務器；
[0012](3)認證服務器在接收到請求后，在步進值范圍內根據(jù)計算規(guī)則生成一個隨機挑戰(zhàn)值，通過網(wǎng)絡傳遞給相應的Windows系統(tǒng)；
[0013](4) Windows系統(tǒng)接收到該挑戰(zhàn)值后,將通過Windows登陸界面進行顯示；[0014](5)用戶在硬件令牌端輸入該挑戰(zhàn)值，硬件令牌使用與認證服務器端相同的種子密鑰生成挑戰(zhàn)應答動態(tài)口令；
[0015](6)將硬件令牌生成的挑戰(zhàn)應答動態(tài)口令通過Windows登陸界面輸入；
[0016](7Mndows系統(tǒng)在接收到挑戰(zhàn)應答動態(tài)口令后，將對用戶輸入的Windows密碼進行驗證，并在驗證通過后將接收到挑戰(zhàn)應答動態(tài)口令傳至認證服務器。
[0017](8)認證服務器使用與硬件令牌里面相同的種子密鑰生成一個動態(tài)口令，并與硬件令牌生成的挑戰(zhàn)應答動態(tài)口令進行比對，進行認證；
[0018](9)若動態(tài)口令相同，則認證成功，Windows系統(tǒng)完成登陸；若動態(tài)口令不同則認證失敗，無法通過Windows登陸。
[0019]進一步的，所述步驟(2)中挑戰(zhàn)值請求由與認證服務器的會話密鑰加密后經網(wǎng)絡傳至認證服務器。
[0020]進一步的，所述步驟(3)中隨機挑戰(zhàn)值是由認證服務器的隨機數(shù)發(fā)生器生成的一個隨機數(shù)。
[0021]本發(fā)明提供的方法將基于挑戰(zhàn)應答類型動態(tài)口令的動態(tài)身份認證技術和基于Windows密碼認證方式集成在一起形成雙因素認證方式，有效解決現(xiàn)行單一靜態(tài)密碼認證方式的不安全因素，從而提升Windows系統(tǒng)的安全性，確保只有授權用戶能訪問Windows系統(tǒng)，防密碼擴散，抗暴力破解，抗重放攻擊，安全可靠。
【專利附圖】

【附圖說明】
[0022]以下結合附圖和【具體實施方式】來進一步說明本發(fā)明。
[0023]圖1為本發(fā)明進行Windows系統(tǒng)雙因素認證的流程圖。
【具體實施方式】
[0024]為了使本發(fā)明實現(xiàn)的技術手段、創(chuàng)作特征、達成目的與功效易于明白了解，下面結合具體圖示，進一步闡述本發(fā)明。
[0025]本發(fā)明通過Windows GINA或Credential Provider登錄體系,將動態(tài)口令身份認證機制與Windows密碼認證機制無縫集成，從而實現(xiàn)集成挑戰(zhàn)應答類型動態(tài)口令的動態(tài)身份認證和Windows密碼認證的雙因素認證方式。
[0026]其中，動態(tài)口令認證是在系統(tǒng)級別上,通過微軟系統(tǒng)接口嵌入到Windows身份認證會話過程中，從而使動態(tài)口令認證成為Windows身份認證不可或缺的一環(huán)。
[0027]由此，用戶在進行認證時，首先通過Windows訪問登陸界面向認證服務器請求挑戰(zhàn)值，認證服務器在步進值內根據(jù)計算規(guī)則生成一個隨機挑戰(zhàn)值，通過網(wǎng)絡傳遞給請求用戶。
[0028]然后用戶在硬件令牌端輸入該挑戰(zhàn)值，硬件令牌使用與認證系統(tǒng)端相同的種子密鑰生成挑戰(zhàn)應答動態(tài)口令；
[0029]再者，認證服務器使用與硬件令牌里面相同的種子密鑰生成一個動態(tài)口令(如果在動態(tài)口令的步進值范圍內，每次生成相同的應答值)；
[0030]最后，認證服務器將計算得到的動態(tài)口令與硬件令牌生成的挑戰(zhàn)應答動態(tài)口令進行比對，進行認證:若動態(tài)口令相同，則認證成功，若動態(tài)口令不同則認證失敗。[0031]由此，本方案在具體實施時，用戶進入Windows操作系統(tǒng)登陸界面時，要求訪問用戶不但要進行系統(tǒng)靜態(tài)密碼認證，而且要求使用挑戰(zhàn)應答動態(tài)口令來認證，只有用戶通過Windows靜態(tài)密碼認證和動態(tài)口令認證雙重認證機制的情況下,才可以訪問Windows系統(tǒng)。
[0032]參見圖1,其所示為進行Windows系統(tǒng)雙因素認證的流程圖。整個過程如下:
[0033](I)用戶首先通過Windows登陸界面輸入Windows密碼；
[0034](2) Windows系統(tǒng)在接收到輸入的Windows密碼后，將觸發(fā)自動產生挑戰(zhàn)值請求，并傳至認證服務器；
[0035](3)認證服務器在接收到請求后，在60S內根據(jù)計算規(guī)則生成一個隨機挑戰(zhàn)值，通過網(wǎng)絡傳遞給相應的Windows系統(tǒng)；
[0036](4) Windows系統(tǒng)接收到該挑戰(zhàn)值后,將通過Windows登陸界面進行顯示；
[0037](5)用戶60S內在所持有的硬件令牌端輸入Windows登陸界面顯示的挑戰(zhàn)值，硬件令牌使用與認證服務器端相同的種子密鑰生成挑戰(zhàn)應答動態(tài)口令；
[0038](6)將硬件令牌生成的挑戰(zhàn)應答動態(tài)口令通過Windows登陸界面輸入；
[0039](7) Windows系統(tǒng)在接收到挑戰(zhàn)應答動態(tài)口令后，將對用戶在步驟(I)輸入的Windows密碼進行驗證，若驗證不通過，則轉入步驟(I);若驗證通過，則將接收到挑戰(zhàn)應答動態(tài)口令傳至認證服務器。
[0040](8)認證服務器使用與硬件令牌里面相同的種子密鑰生成一個動態(tài)口令，并與硬件令牌生成的挑戰(zhàn)應答動態(tài)口令進行比對，進行認證；這樣即使在60秒內此動因口令在網(wǎng)絡傳輸中被惡意截獲，并向服務器重發(fā)，也不會被服務器認為是重放攻擊。
[0041](9)若動態(tài)口令相同，則認證成功，認證服務器向Windows系統(tǒng)發(fā)送認證通過信息，Windows系統(tǒng)在接收并核對該信息后，通過登陸用戶的身份認證，完成登陸；若動態(tài)口令不同，則認證失敗，認證服務器向Windows系統(tǒng)發(fā)送認證不通過信息，Windows系統(tǒng)在接收并核對該信息后，將通過登陸界面顯示認證不通過的信息，并轉入步驟(I)。
[0042]由上可知，通過本發(fā)明提供的Windows系統(tǒng)雙因素認證能夠有效提高Windows系統(tǒng)的安全性，有效防密碼擴散，抗暴力破解，抗重放攻擊，安全可靠。
[0043]以上顯示和描述了本發(fā)明的基本原理、主要特征和本發(fā)明的優(yōu)點。本行業(yè)的技術人員應該了解，本發(fā)明不受上述實施例的限制，上述實施例和說明書中描述的只是說明本發(fā)明的原理，在不脫離本發(fā)明精神和范圍的前提下，本發(fā)明還會有各種變化和改進，這些變化和改進都落入要求保護的本發(fā)明范圍內。本發(fā)明要求保護范圍由所附的權利要求書及其等效物界定。
【權利要求】
1.基于挑戰(zhàn)應答型動態(tài)口令的Windows系統(tǒng)雙因素認證方法，其特征在于，所述認證方法通過Windows GINA或Credential Provider登錄體系，將動態(tài)口令身份認證機制與Windows密碼認證機制進行無縫集成，形成集成基于挑戰(zhàn)應答類型動態(tài)口令的動態(tài)身份認證和基于Windows密碼認證的雙因素認證。
2.根據(jù)權利要求1所述的基于挑戰(zhàn)應答型動態(tài)口令的Windows系統(tǒng)雙因素認證方法，其特征在于，所述動態(tài)口令身份認證機制通過Windows系統(tǒng)的認證接口嵌入到Windows密碼認證機制中，實現(xiàn)無縫集成。
3.根據(jù)權利要求1或2所述的基于挑戰(zhàn)應答型動態(tài)口令的Windows系統(tǒng)雙因素認證方法，其特征在于，所述認證過程具體包括如下步驟: (1)用戶通過Windows登陸界面輸入Windows密碼； (2)Windows系統(tǒng)在接收到輸入的Windows密碼后,將產生挑戰(zhàn)值請求,并傳至認證服務器； (3)認證服務器在接收到請求后，在步進值范圍內根據(jù)計算規(guī)則生成一個隨機挑戰(zhàn)值，通過網(wǎng)絡傳遞給相應的Windows系統(tǒng)； (4)Windows系統(tǒng)接收到該挑戰(zhàn)值后,將通過Windows登陸界面進行顯示； (5)用戶在硬件令牌端輸入該挑戰(zhàn)值，硬件令牌使用與認證服務器端相同的種子密鑰生成挑戰(zhàn)應答動態(tài)口令； (6)將硬件令牌生成的挑戰(zhàn)應答動態(tài)口令通過Windows登陸界面輸入； (7Mndows系統(tǒng)在接收到挑戰(zhàn)應答動態(tài)口令后，將對用戶輸入的Windows密碼進行驗證，并在驗證通過后將接收到挑戰(zhàn)應答動態(tài)口令傳至認證服務器。 (8)認證服務器使用與硬件令牌里面相同的種子密鑰生成一個動態(tài)口令，并與硬件令牌生成的挑戰(zhàn)應答動態(tài)口令進行比對，進行認證； (9)若動態(tài)口令相同，則認證成功，Windows系統(tǒng)完成登陸；若動態(tài)口令不同則認證失敗，無法通過Windows登陸。
4.根據(jù)權利要求3所述的基于挑戰(zhàn)應答型動態(tài)口令的Windows系統(tǒng)雙因素認證方法，其特征在于，所述步驟(2)中挑戰(zhàn)值請求由與認證服務器的會話密鑰加密后經網(wǎng)絡傳至認證服務器。
5.根據(jù)權利要求3所述的基于挑戰(zhàn)應答型動態(tài)口令的Windows系統(tǒng)雙因素認證方法，其特征在于，所述步驟(3)中隨機挑戰(zhàn)值是由認證服務器的隨機數(shù)發(fā)生器生成的一個隨機數(shù)。
【文檔編號】G06F21/46GK103902880SQ201410126871
【公開日】2014年7月2日 申請日期:2014年3月31日 優(yōu)先權日:2014年3月31日
【發(fā)明者】胡永剛, 沈勇堅, 王翔平 申請人:上海動聯(lián)信息技術股份有限公司