專利名稱：動態(tài)口令生成方法、認證方法和裝置及網(wǎng)絡系統(tǒng)的制作方法
技術領域：
本發(fā)明涉及通信技術領域，尤其涉及一種動態(tài)口令生成方法、動態(tài)口令認證方法、 動態(tài)口令生成裝置和服務器及網(wǎng)絡系統(tǒng)。
背景技術：
隨著通信技術的飛速發(fā)展，基于因特網(wǎng)和移動網(wǎng)絡的電子交易已成為重要的銀行 交易業(yè)務模式。例如，用戶可以通過支持無線應用協(xié)議(WirelessApplication Protocol, 簡稱WAP)技術的移動終端登錄WAP網(wǎng)站，進行網(wǎng)上銀行交易。為了保證電子銀行交易的 可靠性和安全性，基于對用戶身份信息的認證成為網(wǎng)上銀行交易業(yè)務中的核心問題。目前， 各大商業(yè)銀行主要采用動態(tài)口令卡和U盾作為對用戶身份信息認證的電子銀行安全介質(zhì)。動態(tài)口令卡是一張大小、形狀與銀行卡相似的卡片，俗稱刮刮卡，每張卡片上覆蓋 有多個不同的密碼。用戶在使用電子銀行時，先向服務器提交客戶端證書，服務器對客戶端 證書驗證通過后提示用戶輸入交易密碼，此時用戶按順序輸入刮刮卡上的一個密碼即可， 每個密碼只能使用一次。動態(tài)口令采用一次一密的方式，不需客戶設置、記憶，每次都使用 新的密碼，克服了靜態(tài)密碼的缺點，有效解決了一些不法分子利用“木馬”病毒竊取網(wǎng)上銀 行密碼的問題。U盾是一種基于“USB Key”身份認證方式的通用串行總線(UniversalSerial Bus ； 以下簡稱USB)設備，內(nèi)置單片機或智能芯片，形狀類似于U盤。單片機或智能芯片具有存 儲空間，用于存儲用戶的密鑰或個人數(shù)字證書。用戶在網(wǎng)上交易時，先向服務器提交客戶端 證書，服務器對客戶端證書驗證通過后提示用戶接入U盾，用戶將U盾插入個人計算機的 USB接口，U盾內(nèi)置的1024位非對稱密鑰算法便對數(shù)據(jù)進行加密、解密和數(shù)字簽名，從而保 證了用戶認證的安全性。但是動態(tài)口令卡和U盾存在如下缺陷對于使用動態(tài)口令卡或U盾的用戶來說，在 進行電子交易時，必須隨身攜帶動態(tài)口令卡或U盾；并且動態(tài)口令卡或U盾還需要與客戶端 證書同時使用，否則無法進行電子交易。因而，對于用戶而言，不能隨時隨地的進行電子交 易，限制了用戶進行電子交易的應用環(huán)境。

發(fā)明內(nèi)容
本發(fā)明的目的是提供一種動態(tài)口令生成方法、認證方法和裝置及網(wǎng)絡系統(tǒng)，以促 使用戶能隨時隨地獲取進行身份認證的動態(tài)口令以進行安全的電子交易、以及安全登錄或 訪問服務器。為實現(xiàn)上述目的，本發(fā)明提供了一種動態(tài)口令生成方法，包括接收移動終端發(fā)送的、請求獲取用于對用戶進行身份認證的動態(tài)口令的請求信 息；根據(jù)存儲的第一加密次數(shù)，應用預置的加密算法，對存儲的所述用戶的個人認證 信息進行加密運算后，生成對應的第一動態(tài)口令；
4
向所述移動終端返回所述第一動態(tài)口令，供所述用戶應用所述第一動態(tài)口令向所 述服務器請求進行身份認證；更新所述第一加密次數(shù)。本發(fā)明還提供了一種動態(tài)口令生成裝置，包括接收模塊，用于接收移動終端發(fā)送的、請求獲取用于對用戶進行身份認證的動態(tài) 口令的請求信息；第一動態(tài)口令生成模塊，用于根據(jù)存儲的第一加密次數(shù)，應用預置的加密算法，對 存儲的所述用戶的個人認證信息進行加密運算后，生成對應的第一動態(tài)口令；發(fā)送模塊，用于向所述移動終端返回所述第一動態(tài)口令，供所述用戶應用所述第 一動態(tài)口令向所述服務器請求進行身份認證；第一加密次數(shù)更新模塊，用于更新所述第一加密次數(shù)。本發(fā)明實施例動態(tài)口令生成方法和動態(tài)口令生成裝置，在服務器提示用戶獲取進 行身份認證的動態(tài)口令時，移動終端向動態(tài)口令生成裝置發(fā)送生成動態(tài)口令的請求信息。 動態(tài)口令生成裝置根據(jù)內(nèi)置的加密算法和用戶的個人認證信息以及不斷更新的加密次數(shù)， 為用戶及時生成動態(tài)口令，并通過移動終端提供給用戶。因此，隨身攜帶移動終端的用戶能 隨時隨地獲取進行身份認證的動態(tài)口令，并應用該動態(tài)口令向請求服務器身份認證以進行 安全的電子交易、以及安全登錄、訪問服務器。從而，滿足了用戶隨時隨地進行安全電子交 易、以及安全登錄或訪問服務器的需求。本發(fā)明提供了一種動態(tài)口令認證方法，包括接收到用戶通過動態(tài)口令生成裝置生成的、請求進行身份認證的第一動態(tài)口令 后，應用預置的加密算法，根據(jù)存儲的第二加密次數(shù)對所述第一動態(tài)口令進行加密運算生 成第二動態(tài)口令；根據(jù)存儲的第三動態(tài)口令，對所述第二動態(tài)口令進行身份認證；在所述身份認證通過的情況下，將所述第三動態(tài)口令更新為所述第一動態(tài)口令；確定并更新下次對所述用戶進行身份認證時、對所述動態(tài)口令生成裝置生成的第 一動態(tài)口令進行加密運算的第二加密次數(shù)。本發(fā)明還提供了一種服務器，包括第二動態(tài)口令生成模塊，用于接收到用戶請求進行身份認證的第一動態(tài)口令后， 應用預置的加密算法，根據(jù)存儲的第二加密次數(shù)對所述第一動態(tài)口令進行加密運算，生成 第二動態(tài)口令；認證模塊，用于根據(jù)存儲的第三動態(tài)口令，對所述第二動態(tài)口令進行認證；第二更新模塊，用于在所述身份認證通過的情況下，將所述第三動態(tài)口令更新為 所述第一動態(tài)口令，確定并更新下次對所述用戶進行身份認證時、對所述動態(tài)口令生成裝 置生成的第一動態(tài)口令進行加密運算的第二加密次數(shù)。本發(fā)明還提供了一種網(wǎng)絡系統(tǒng)，包括設置有所述動態(tài)口令生成裝置的移動終端和所述服務器。本發(fā)明實施例動態(tài)口令認證方法和服務器及系統(tǒng)，服務器提示用戶獲取進行身份 認證的動態(tài)口令后，接收到用戶提交的動態(tài)口令。先根據(jù)預置的加密算法和加密次數(shù)，對用 戶提交的動態(tài)口令進行加密運算，生成第三動態(tài)口令。然后根據(jù)存儲的、上次認證通過的第二動態(tài)口令，對第三動態(tài)口令進行認證。每次認證通過后，保存認證通過的第一動態(tài)口令， 同時重新確定下次認證時的加密次數(shù)并通知動態(tài)口令生成裝置，以便對動態(tài)口令生成裝置 下次生成的第一動態(tài)口令進行認證。從而，使動態(tài)口令生成裝置能每次生成不同的第一動 態(tài)口令，并能保證服務器端每次能通過不同的第二動態(tài)口令對不同的第一動態(tài)口令進行認 證。從而能確保用戶進行安全的電子交易，以及安全的登錄或訪問服務器。


圖1為本發(fā)明動態(tài)口令生成方法實施例一的流程圖；圖2為本發(fā)明動態(tài)口令生成方法實施例二中動態(tài)口令短信息提交方式的示意圖；圖3為本發(fā)明動態(tài)口令生成方法實施例三中動態(tài)口令客戶端提交方式的示意圖；圖4為本發(fā)明動態(tài)口令認證方法實施例的流程圖；圖5為本發(fā)明動態(tài)口令生成裝置實施例一的結構示意圖；圖6為本發(fā)明動態(tài)口令生成裝置實施例二的結構示意圖；圖7為本發(fā)明服務器實施例一的結構示意圖；圖8為本發(fā)明服務器實施例二的結構示意圖；圖9為本發(fā)明網(wǎng)絡系統(tǒng)實施例的結構示意圖。
具體實施例方式下面通過附圖和實施例，對本發(fā)明的技術方案做進一步的詳細描述。目前，移動終端(例如手機)已成為各類人群普遍使用的一種隨身攜帶的通信工 具。移動終端中設置的數(shù)據(jù)卡，例如用戶識別模塊(Subscriberldentity Module;以下簡 稱SIM卡)或SIM擴展卡，是一種具有存儲、可編程、處理等功能的智能芯片。SIM擴展卡 又稱卡貼，外型上是為適應不同移動終端對應的SIM卡插槽而設計的觸點轉(zhuǎn)換薄片。使用 時把SIM卡芯片觸點對準卡貼上的觸點，將兩者粘合，再將這種“粘合”卡直接插入移動終 端的SIM卡插槽。由此，本發(fā)明利用移動終端和數(shù)據(jù)卡的優(yōu)勢，提供一種解決上述現(xiàn)有技術 缺陷的方案，即在不影響移動終端正常通信的基礎上，在數(shù)據(jù)卡中內(nèi)置有能為用戶及時生 成動態(tài)口令的動態(tài)口令生成模塊。圖1為本發(fā)明動態(tài)口令生成方法實施例一的流程圖。本實施例中的執(zhí)行主體為設 置在移動終端中的數(shù)據(jù)卡，具體可為SIM卡，也可為SIM擴展卡。本實施例以設置在移動終 端中的數(shù)據(jù)卡為例對本發(fā)明動態(tài)口令生成方法的技術方案進行說明。如圖1所示，本實施 例包括步驟11 接收移動終端發(fā)送的、請求獲取用于對用戶進行身份認證的動態(tài)口令的 請求信息。用戶通過客戶端瀏覽器(例如，Internet Explorer,或移動終端瀏覽器MP、 Gorilla、UCWEB等)或客戶端軟件(例如，股票交易軟件)進行網(wǎng)上支付、網(wǎng)上登錄等操作 時，或通過客戶端瀏覽器/客戶端軟件登錄、訪問服務器時，服務器會提示用戶提供動態(tài)口 令，以通過該動態(tài)口令對用戶身份進行認證。此時，用戶打開隨身攜帶的移動終端(例如， 手機)，通過操作移動終端中用戶識別應用開發(fā)工具(SIM TOOL Kit，簡稱STK)的口令菜單 項，向數(shù)據(jù)卡發(fā)送請求信息以獲取動態(tài)口令。
為確保動態(tài)口令的安全性，在用戶啟動STK的口令菜單項時，需輸入數(shù)據(jù)卡的個 人識別碼(Personal Identify Number,簡稱PIN碼)，PIN碼驗證通過后，移動終端再通過 應用協(xié)議數(shù)據(jù)單元(Application Protocol Data Unit，簡稱APDU)指令向數(shù)據(jù)卡發(fā)送請 求生成動態(tài)口令的信息。STK中包含一組用于移動終端與數(shù)據(jù)卡進行交互的指令，通過STK可以運行數(shù)據(jù) 卡的內(nèi)置程序。移動終端與數(shù)據(jù)卡之間的通信，具體通過GSM11. 11和GSM11. 14協(xié)議規(guī)定的 APDU指令來實現(xiàn)。STK程序可以放置于數(shù)據(jù)卡中，它在移動終端上為用戶提供了一個文字 菜單操作界面STK菜單，用戶可以點擊其中的菜單，實現(xiàn)特制的應用。另外，如果服務提供 商的業(yè)務進行了擴展或者改動，可以向用戶移動終端發(fā)送消息，該消息會被傳送到數(shù)據(jù)卡， 數(shù)據(jù)卡中的應用程序會根據(jù)該消息對現(xiàn)有的STK菜單進行修改，從而達到向用戶提供新服 務的目的。步驟12 根據(jù)存儲的第一加密次數(shù)，應用預置的加密算法，對存儲的用戶的個人 認證信息進行加密運算后，生成對應的第一動態(tài)口令；數(shù)據(jù)卡接收到移動終端發(fā)送的請求信息后，應用預置的加密算法，根據(jù)存儲的第 一加密次數(shù)，對用戶的個人認證信息進行加密運算，為用戶生成對應的動態(tài)口令。其中，個人認證信息，是用戶在服務器上注冊個人信息后，由服務器為用戶生成 的、唯一標識用戶身份的信息。用戶的個人認證信息、加密算法和第一加密次數(shù)，可在用戶 在服務器上注冊成功后，直接內(nèi)置在用戶使用的數(shù)據(jù)卡中。在個人認證信息和加密算法更 新后，可由服務器通過空中下載(Over the Air，簡稱0ΤΑ)通道即向用戶所使用的移動終 端發(fā)送OTA短信息，下發(fā)給用戶所使用的移動終端，再由移動終端傳送給數(shù)據(jù)卡。其中，加密算法可為單向散列算法，相應地第一加密次數(shù)可為第一散列次數(shù)。本實 施例中以單向散列算法和第一散列次數(shù)為例，對本發(fā)明動態(tài)口令生成方法中加密算法和第 一加密次數(shù)進行說明。例如，數(shù)據(jù)卡中存儲有單向散列算法H，第一散列次數(shù)A，和用戶的個人認證信息 PW ；其中A初始化時為預設值。相應地，服務器端也存儲有單向散列算法H、第二散列次數(shù) X、和用戶的個人認證信息PW以及第三動態(tài)口令Y;其中，H和PW，與數(shù)據(jù)卡中存儲的單向散 列算法和用戶的個人認證信息始終保持一致；X和Y初始化時為預設值，每次認證通過后需 重新確定；Y的初始值為Hw (PW)，N為總散列次數(shù)，N = X+A (數(shù)據(jù)卡初始化時預設第一散列 次數(shù)為A)。其中，A的預設值可設為N-l，X的預設值可設為1。數(shù)據(jù)卡接收到請求信息后，計算出H00 (Pff)的值Y’，其中H00表示對PW進行A次 散列運算。服務器接收到來自數(shù)據(jù)卡的第一動態(tài)口令Y’后，計算出第二動態(tài)口令H00 (Y’) 的值Z。若H00 (Y’)與服務器端預設的第三動態(tài)口令Hw (PW)值相同，則說明身份認證通 過。當A的初始值為N-I時，數(shù)據(jù)卡計算出HfrD(PW)的值Y’，作為第一動態(tài)口令發(fā)送 給服務器。服務器計算出第二動態(tài)口令Ηω (Y’)的值Ζ，即只對Y’進行一次散列運算。若 Z與服務器端保存的Hw (Pff)值相同，則身份認證通過。步驟13 向移動終端返回第一動態(tài)口令，供用戶應用第一動態(tài)口令向服務器請求 進行身份認證；生成動態(tài)口令后，數(shù)據(jù)卡向移動終端返回第一動態(tài)口令，供用戶向服務器提交該第一動態(tài)口令，以使服務器對用戶進行身份認證。步驟14 更新第一加密次數(shù)。數(shù)據(jù)卡生成第一動態(tài)口令后，需對第一加密次數(shù)進行更新，一種更新方式可為生 成第一動態(tài)口令后，數(shù)據(jù)卡按照與服務器事先約定的方式，即在注冊時與服務器商定的方 式，自動對第一加密次數(shù)進行更新。承上所述，例如，每次生成動態(tài)口令后，數(shù)據(jù)卡可自動將 第一散列次數(shù)A減1 ；同時，服務器在每次驗證完第一動態(tài)口令后，用原有的認證數(shù)據(jù)替換 為第一動態(tài)口令第以作為下一次認證依據(jù)，而不改變第二散列次數(shù)X。如此，服務器后續(xù)每 次對數(shù)據(jù)卡發(fā)送的第一動態(tài)口令進行認證時，只對該第一動態(tài)口令進行一次散列運算。另外，對第一加密次數(shù)進行更新的一種優(yōu)選方式可為在身份認證通過后，服務器 端動態(tài)確定下一次認證時的第二加密次數(shù)，根據(jù)該第二加密次數(shù)向數(shù)據(jù)卡發(fā)送更新加密次 數(shù)指示，使數(shù)據(jù)卡根據(jù)該更新加密次數(shù)指示，對第一加密次數(shù)進行更新。上述更新方式具體 為在身份認證通過的情況下，接收到移動終端發(fā)送的、來自服務器的更新散列次數(shù)指示， 根據(jù)更新散列次數(shù)指示對第一散列次數(shù)進行更新。例如，服務器確定下次身份認證時的第二散列次數(shù)X為X’，則相應地指示數(shù)據(jù)卡 存儲的第一散列次數(shù)更新為A’，其中X’、A’滿足公式X’+A’ = A。也就是說，當非首次接收 到來自數(shù)據(jù)卡的第一動態(tài)口令時，先對第二動態(tài)口令Hon(PW)進行X’次散列，得到H (A，+x，) (PW)，然后將H(A,+r) (PW)與H00 (PW)進行對比，以對H(a,+x,)(PW)進行認證。若相同，則認證 通過，并將第三動態(tài)口令Y更新為H(a,) (Pff)。然后，再確定下次認證時第二散列次數(shù)X”，并 通過X”確定數(shù)據(jù)卡中下次生成第一動態(tài)口令時的第一散列次數(shù)A”的更新。同樣，X”和A” 滿足公式X”+A” = A’。本發(fā)明實施例動態(tài)口令生成方法，在服務器提示用戶獲取進行身份認證的動態(tài)口 令時，移動終端向動態(tài)口令生成裝置發(fā)送生成動態(tài)口令的請求信息。動態(tài)口令生成裝置根 據(jù)內(nèi)置的加密算法和用戶的個人認證信息以及不斷更新的加密次數(shù)，為用戶及時生成動態(tài) 口令，并通過移動終端提供給用戶。因此，隨身攜帶移動終端的用戶能隨時隨地獲取進行身 份認證的動態(tài)口令，并應用該動態(tài)口令向請求服務器身份認證以進行安全的電子交易、以 及安全登錄、訪問服務器。從而，滿足了用戶隨時隨地進行安全電子交易、以及安全登錄或 訪問服務器的需求。在圖1所示的方案中，用戶向服務器提交第一動態(tài)口令的方式可以為用戶直接 在客戶端瀏覽器或客戶端交易軟件上輸入第一動態(tài)口令，由客戶端瀏覽器或客戶端交易軟 件向服務器發(fā)送。圖2為本發(fā)明動態(tài)口令生成方法實施例二中動態(tài)口令短信息提交方式的 示意圖。如圖2所示，服務器在通過客戶端瀏覽器或客戶端交易軟件界面，提示用戶提交第 一動態(tài)口令時，會同時提示用戶“請輸入動態(tài)口令”，并給出了動態(tài)口令輸入框。移動終端向 用戶提供第一動態(tài)口令后，用戶在該輸入框中輸入第一動態(tài)口令，第一動態(tài)口令經(jīng)客戶端 瀏覽器或客戶端交易軟件發(fā)送給服務器。服務器接收到該動態(tài)口令后，根據(jù)該第一動態(tài)口 令對用戶進行身份驗證，若驗證通過則允許用戶進入具體業(yè)務。此外，用戶向服務器提交第一動態(tài)口令的方式也可以為用戶應用移動終端以短 信息方式向服務器提交。圖3為本發(fā)明動態(tài)口令生成方法實施例三中動態(tài)口令客戶端提交 方式的示意圖，如圖3所示，服務器在通過客戶端瀏覽器或客戶端交易軟件界面，提示用戶 提交第一動態(tài)口令時，會同時提示用戶“請通過短信息提交動態(tài)口令”。用戶操作移動終端
8以短信息方式向服務器發(fā)送第一動態(tài)口令后，服務器根據(jù)該第一動態(tài)口令對用戶進行身份 驗證，若驗證通過則允許用戶進入具體業(yè)務。在上述方案中，若服務器更新了動態(tài)口令生成算法和動態(tài)口令生成參數(shù)以及用戶 的個人認證信息，通過OTA短信息將更新后的動態(tài)口令生成算法以及用戶的個人認證信息 下發(fā)給用戶使用的移動終端，由移動終端傳送給設置在移動終端中的SIM卡或SIM擴展卡。圖4為本發(fā)明動態(tài)口令認證方法實施例的流程圖，本實施例中的執(zhí)行主體為對上 述動態(tài)口令進行身份認證的服務器。如圖4所示，本實施例包括步驟41 接收到用戶通過動態(tài)口令生成裝置生成的、請求進行身份認證的第一動 態(tài)口令；本實施例中的動態(tài)口令生成裝置可為上述數(shù)據(jù)卡。步驟42 應用預置的加密算法，根據(jù)存儲的第二加密次數(shù)對第一動態(tài)口令進行加 密運算生成第二動態(tài)口令；其中，加密算法可為單向散列算法，相應地第二加密次數(shù)可為第二散列次數(shù)。本實 施例中以單向散列算法和散列次數(shù)為例，對本發(fā)明動態(tài)口令生成方法中加密算法和第二加 密次數(shù)進行說明。例如，服務器存儲有單向散列算法H、第二散列次數(shù)X、和用戶的個人認證信息PW 以及第三動態(tài)口令Y;其中，H和PW，與數(shù)據(jù)卡中存儲的單向散列算法和用戶的個人認證信 息始終保持一致；X和Y初始化時為預設值，每次認證通過后需重新確定；Y的初始值為Hw (PW)，N為總散列次數(shù)，N = X+A (數(shù)據(jù)卡初始化時預設第一散列次數(shù)為A)。用戶在服務器上注冊后，預設數(shù)據(jù)卡中的第一散列次數(shù)初始值為A，數(shù)據(jù)卡首次接 收到請求信息后，計算出第一動態(tài)口令H00 (PW)的值Y’發(fā)送給服務器。服務器接收到首次 來自數(shù)據(jù)卡的第一動態(tài)口令Y’后，計算出第二動態(tài)口令H00 (Y’ )的值。步驟43 根據(jù)存儲的第三動態(tài)口令，對第二動態(tài)口令進行身份認證；服務器接收到首次來自數(shù)據(jù)卡的第一動態(tài)口令Y’后，若H00 (Y’)與服務器端預設 的第三動態(tài)口令！^) (Pff)值相同，則說明身份認證通過。步驟44 在身份認證通過的情況下，將第三動態(tài)口令更新為第一動態(tài)口令；如果是首次認證通過，則將初始化時預設的第三動態(tài)口令Y更新為此時第一動態(tài) 口令H00 (PW)的值Y’。如果不是首次認證通過，則將上一次存儲的第三動態(tài)口令Y更新為 此時第一動態(tài)口令H00 (Pff)的值Y’，即Y = Y’ = H00 (Pff)。步驟45 確定并更新下次進行身份認證時，對動態(tài)口令生成裝置生成的第一動態(tài) 口令進行加密運算的第二加密次數(shù)?？筛鶕?jù)具體情況，確定下次身份認證時的第二加密次數(shù)。其中，一種更新方式可 為，根據(jù)與數(shù)據(jù)卡事先約定的方式對第二加密次數(shù)進行更新。承上所述，第二散列次數(shù)的預 設值X為1，若服務器不對第二散列次數(shù)X的預設值1進行修改，則約定數(shù)據(jù)卡自動將第一 散列次數(shù)A減1，即A更新為A-I ；若服務器將第二散列次數(shù)X更新為2，即X = 2，則約定數(shù) 據(jù)卡自動將第一散列次數(shù)A更新為A-2。上述更新方式有可能存在以下情況用戶使用移動終端觸發(fā)數(shù)據(jù)卡生成了第一動 態(tài)口令，沒有將第一動態(tài)口令提交給服務器。而按照事先與服務器約定每次生成第一動 態(tài)口令后，數(shù)據(jù)卡自動更新第一加密次數(shù)。因此會導致數(shù)據(jù)卡中使用的第一加密次數(shù)，與服務器存儲的第二加密次數(shù)出現(xiàn)不同步的情況。例如，數(shù)據(jù)卡生成了第一動態(tài)口令H0^(PW) 的值Y’，但沒有將Y’提交給服務器進行認證，此時數(shù)據(jù)卡中存儲的第一散列次數(shù)A-I已更 新為A-2，服務器中存儲的第二散列次數(shù)X始終為1。當將數(shù)據(jù)卡下次生成的第一動態(tài)口令 H(a_2) (Pff)值Y1'，發(fā)送給服務器進行認證時，服務器只對Y1'進行一次散列，即Ηω (Y/ )= H0w) (Pff)。很明顯H0h) (Pff)，與服務器保存的第三動態(tài)口令H00 (Pff)，不一致。在上述更新方式下，為避免因誤操作等原因沒有將數(shù)據(jù)卡生成的第一動態(tài)口令發(fā) 送給服務器，導致服務器對下次數(shù)據(jù)卡生成的第一動態(tài)口令認證不能通過的情況，服務器 對第一動態(tài)口令的認證方式會有所改變。例如，當服務器對第一動態(tài)口令H(A_2) (PW)進行一 次散列后，與自身存儲的H00 (PW)不一致時，可再對H(a_2)(PW)進行B次(B為預設值，例如 五次)散列運算。在B次散列運算的得到B個結果中，如果有一個與H00 (PW) —致，則認為 服務器端通過對第一動態(tài)口令H00 (PW)的認證。因而，當用戶誤操作引起數(shù)據(jù)卡和服務器 的加密次數(shù)不同步時，本實施例能避免其導致的后續(xù)生成的第一動態(tài)口令不能通過服務器 認證的現(xiàn)象。另一種優(yōu)選的更新方式可為服務器動態(tài)確定第二加密次數(shù)，即服務器與數(shù)據(jù)卡 事先不約定第二加密次數(shù)和第一加密次數(shù)的具體更新值，而是由服務器根據(jù)在每次認證通 過后，確定第二加密次數(shù)，然后根據(jù)該第二加密次數(shù)為數(shù)據(jù)卡生成更新加密次數(shù)指示。服務 器向數(shù)據(jù)卡返回更新加密次數(shù)指示時，可以短消息方式向設置有數(shù)據(jù)卡的移動終端發(fā)送更 新加密次數(shù)指示，使移動終端向數(shù)據(jù)卡轉(zhuǎn)送該更新加密次數(shù)指示。例如，服務器將第二散列次數(shù)X更新為X’，則相應數(shù)據(jù)卡存儲的第一散列次數(shù)更 新為A’，其中X’、A’滿足公式Χ’ +Α’ = Α。因為，第三動態(tài)口令已更新為第一動態(tài)口令，即 利用H00(PW)對數(shù)據(jù)卡下次生成的第一動態(tài)口令H(A，)(PW)進行認證，并且在認證前還需對 第一動態(tài)口令H(A，)(PW)進行X’次散列。也就是說，當非首次接收到來自數(shù)據(jù)卡的第一動態(tài)口令時，先對第二動態(tài)口令 H(a,) (Pff)進行 V 次散列，得到 H(a,+x,) (PW)，將 H(a,+x,) (Pff)與 H00 (Pff)進行對比，以對 H(a,+x,) (Pff)進行認證。若相同，則認證通過。并將第三動態(tài)口令Y更新為H(a,)(PW)。然后，再確 定下次認證時第二散列次數(shù)X”，通過X”確定數(shù)據(jù)卡中第一散列次數(shù)A”的更新，同樣，X”和 A”滿足公式X”+A” = A’。每次身份認證通過后，通過步驟44和步驟45，不斷更新服務器的第三動態(tài)口令和 第二散列次數(shù)，提高了服務器存儲的認證依據(jù)的安全性和可靠性。本發(fā)明實施例動態(tài)口令認證方法，服務器提示用戶獲取進行身份認證的動態(tài)口令 后，接收到用戶提交的動態(tài)口令。先根據(jù)預置的加密算法和加密次數(shù)，對用戶提交的動態(tài)口 令進行加密運算，生成第三動態(tài)口令。然后根據(jù)存儲的、上次認證通過的第二動態(tài)口令，對 第三動態(tài)口令進行認證。每次認證通過后，保存認證通過的第一動態(tài)口令。同時還可重新 確定下次認證時的加密次數(shù)并通知動態(tài)口令生成裝置，以便對動態(tài)口令生成裝置下次生成 的第一動態(tài)口令進行認證。從而，使動態(tài)口令生成裝置能每次生成不同的第一動態(tài)口令，并 能保證服務器端每次能通過相應的第二動態(tài)口令對不同的第一動態(tài)口令進行認證。因此， 保證了用戶能通過服務器進行安全的電子交易，以及安全的登錄或訪問服務器。圖5為本發(fā)明動態(tài)口令生成裝置實施例一的結構示意圖。本實施例中動態(tài)口令生 成裝置具體可以為設置在移動終端中的數(shù)據(jù)卡，具體可為SIM卡或SIM擴展卡。本實施例以數(shù)據(jù)卡為例，對本發(fā)明動態(tài)口令生成裝置的技術方案進行說明。如圖5所示，本實施例包 括接收模塊51、第一動態(tài)口令生成模塊52、發(fā)送模塊53和第一加密次數(shù)更新模塊54。接收模塊51，用于接收移動終端發(fā)送的、請求獲取用于對用戶進行身份認證的動 態(tài)口令的請求信息；第一動態(tài)口令生成模塊52，用于根據(jù)存儲的第一加密次數(shù)，應用預置 的加密算法，對存儲的用戶的個人認證信息進行加密運算后，生成對應的第一動態(tài)口令；發(fā) 送模塊53，用于向移動終端返回第一動態(tài)口令，供用戶應用第一動態(tài)口令向服務器請求進 行身份認證；第一加密次數(shù)更新模塊54，用于更新第一加密次數(shù)。其中，第一加密次數(shù)更新模塊54更新第一加密次數(shù)的方式有兩種。一種更新方式 可為生成第一動態(tài)口令后，按照與服務器事先約定的方式，即在注冊時與服務器商定的方 式，第一加密次數(shù)更新模塊54自動對第一加密次數(shù)進行更新；另一種優(yōu)選方式可為在身 份認證通過后，服務器端動態(tài)確定下一次認證時的第二加密次數(shù)，根據(jù)該第二加密次數(shù)向 數(shù)據(jù)卡發(fā)送更新加密次數(shù)指示，使第一加密次數(shù)更新模塊54根據(jù)該更新加密次數(shù)指示，對 第一加密次數(shù)進行更新。其中，用戶向服務器提交動態(tài)口令的方式有兩種一是用戶直接在客戶端瀏覽器 或客戶端交易軟件上輸入動態(tài)口令，由客戶端瀏覽器或客戶端交易軟件向服務器發(fā)送；二 是用戶應用移動終端以短信息方式向服務器提交。本實施例中動態(tài)口令裝置的工作機理可參見圖1至圖3對應實施例的記載，在此 不再贅述。本發(fā)明實施例動態(tài)口令生成裝置，在服務器提示用戶獲取進行身份認證的動態(tài)口 令時，移動終端向接收模塊51發(fā)送生成動態(tài)口令的請求信息。第一動態(tài)口令生成模塊52 根據(jù)內(nèi)置的加密算法和用戶的個人認證信息以及被第一加密次數(shù)更新模塊54不斷更新的 加密次數(shù)，為用戶及時生成動態(tài)口令，通過發(fā)送模塊53向移動終端提供。因此，隨身攜帶移 動終端的用戶能隨時隨地獲取進行身份認證的動態(tài)口令，并應用該動態(tài)口令向請求服務器 身份認證以進行安全的電子交易、以及安全登錄、訪問服務器。從而，滿足了用戶隨時隨地 進行安全電子交易、以及安全登錄或訪問服務器的需求。圖6為本發(fā)明動態(tài)口令生成裝置實施例二的結構示意圖。為使動態(tài)口令生成裝 置中存儲的第一加密次數(shù)與服務器端使用的第二加密次數(shù)保持同步，在通過服務器端認證 后，會接收服務器發(fā)送的更新加密次數(shù)的指示。如圖6所示，在圖5的基礎上，上述方案還 包括更新指示接收模塊55。更新指示接收模塊55，用于在身份認證通過的情況下，接收到 移動終端發(fā)送的、來自服務器的更新加密次數(shù)指示。該更新加密次數(shù)指示，用于指示數(shù)據(jù)卡 根據(jù)更新加密次數(shù)指示對第一加密次數(shù)進行更新。如圖6所示，在圖5的基礎上，上述方案還包括第一存儲模塊56。第一存儲模塊 56，用于存儲加密算法、用戶的個人認證信息和第一加密次數(shù)。上述第一加密次數(shù)更新模塊 54根據(jù)該更新加密次數(shù)指示，對第一存儲模塊存儲的第一加密次數(shù)進行更新。圖7為本發(fā)明服務器實施例一的結構示意圖，如圖7所示，本實施例包括第二動 態(tài)口令生成模塊71、認證模塊72和第二更新模塊73。第二動態(tài)口令生成模塊71，用于接收到用戶通過動態(tài)口令生成裝置生成的、請求 進行身份認證的第一動態(tài)口令后，應用預置的加密算法，根據(jù)存儲的第二加密次數(shù)對第一 動態(tài)口令進行加密運算生成第二動態(tài)口令；認證模塊72，用于根據(jù)存儲的第三動態(tài)口令，
11對第二動態(tài)口令進行認證；第二更新模塊73，用于在身份認證通過的情況下，將第三動態(tài) 口令更新為第一動態(tài)口令，確定并更新下次對用戶進行身份認證時、對動態(tài)口令生成裝置 生成的第一動態(tài)口令進行加密運算的第二加密次數(shù)；本發(fā)明實施例服務器提示用戶獲取進行身份認證的動態(tài)口令后，接收到用戶提交 的動態(tài)口令。第二動態(tài)口令生成模塊71根據(jù)預置的加密算法和加密次數(shù)，對用戶提交的動 態(tài)口令進行加密運算，生成第三動態(tài)口令。然后認證模塊72根據(jù)存儲的、上次認證通過的 第二動態(tài)口令，對第三動態(tài)口令進行認證。每次認證通過后，第二更新模塊73保存認證通 過的第一動態(tài)口令，同時重新確定下次認證時的加密次數(shù)并通知動態(tài)口令生成裝置，以便 對動態(tài)口令生成裝置下次生成的第一動態(tài)口令進行認證。從而，使動態(tài)口令生成裝置能每 次生成不同的第一動態(tài)口令，并能保證服務器端每次能通過相應的第二動態(tài)口令對不同的 第一動態(tài)口令進行認證。因此，保證了用戶能通過服務器進行安全的電子交易，以及安全的 登錄或訪問服務器。圖8為本發(fā)明服務器實施例二的結構示意圖，為使動態(tài)口令生成裝置中存儲的第 一加密次數(shù)與服務器端使用的第二加密次數(shù)保持同步，服務器對動態(tài)口令裝置提交的第一 動態(tài)口令認證通過后，指示動態(tài)口令生成裝置對自身存儲的第一加密次數(shù)進行更新。如圖 8所示，在圖7所示實施例的基礎上，本實施例還包括更新指示模塊74。更新指示模塊74用于根據(jù)第二加密次數(shù)，生成更新加密次數(shù)指示，向設置有動態(tài) 口令生成裝置的移動終端，發(fā)送更新加密次數(shù)指示，以使動態(tài)口令生成裝置通過移動終端 接收更新加密次數(shù)指示。如圖8所示，在圖7所示實施例的基礎上，本實施例還包括第二存儲模塊75。第 二存儲模塊75用于存儲加密算法、第三動態(tài)口令和第二加密次數(shù)。上述第二更新模塊73 確定下次對用戶進行身份認證時、對動態(tài)口令生成裝置生成的第一動態(tài)口令進行加密運算 的第二加密次數(shù)后，更新第二存儲模塊75中存儲的第二加密次數(shù)。圖9為本發(fā)明網(wǎng)絡系統(tǒng)實施例的結構示意圖，如圖9所示，本實施例包括；設置有 動態(tài)口令生成裝置90的移動終端91，以及服務器92。其中，動態(tài)口令生成裝置90的工作 機理參見圖5和圖6對應實施例的描述，服務器92參見圖7和圖8對應實施例的描述，在 此不再贅述。本發(fā)明實施例網(wǎng)絡系統(tǒng)中，服務器提示用戶獲取進行身份認證的動態(tài)口令后，接 收到用戶提交的動態(tài)口令。先根據(jù)預置的加密算法和加密次數(shù)，對用戶提交的動態(tài)口令進 行加密運算，生成第三動態(tài)口令。然后根據(jù)存儲的、上次認證通過的第二動態(tài)口令，對第三 動態(tài)口令進行認證。每次認證通過后，保存認證通過的第一動態(tài)口令，同時重新確定下次認 證時的加密次數(shù)并通知動態(tài)口令生成裝置，以便對動態(tài)口令生成裝置下次生成的第一動態(tài) 口令進行認證。從而，使動態(tài)口令生成裝置能每次生成不同的第一動態(tài)口令，并能保證服務 器端每次能通過不同的第二動態(tài)口令對不同的第一動態(tài)口令進行認證。從而能確保用戶進 行安全的電子交易，以及安全的登錄或訪問服務器。最后應說明的是以上實施例僅用以說明本發(fā)明的技術方案而非對其進行限制， 盡管參照較佳實施例對本發(fā)明進行了詳細的說明，本領域的普通技術人員應當理解其依 然可以對本發(fā)明的技術方案進行修改或者等同替換，而這些修改或者等同替換亦不能使修 改后的技術方案脫離本發(fā)明技術方案的精神和范圍。
權利要求
一種動態(tài)口令生成方法，其特征在于，包括接收移動終端發(fā)送的、請求獲取用于對用戶進行身份認證的動態(tài)口令的請求信息；根據(jù)存儲的第一加密次數(shù)，應用預置的加密算法，對存儲的所述用戶的個人認證信息進行加密運算后，生成對應的第一動態(tài)口令；向所述移動終端返回所述第一動態(tài)口令，供所述用戶應用所述第一動態(tài)口令向所述服務器請求進行身份認證；更新所述第一加密次數(shù)。
2.根據(jù)權利要求1所述的動態(tài)口令生成方法，其特征在于，更新所述第一加密次數(shù)包括在所述身份認證通過的情況下，接收到所述移動終端發(fā)送的、來自所述服務器的更新 加密次數(shù)指示；根據(jù)所述更新加密次數(shù)指示對所述第一加密次數(shù)進行更新。
3.根據(jù)權利要求1所述的動態(tài)口令生成方法，其特征在于，所述用戶應用所述第一動 態(tài)口令向所述服務器請求進行身份認證包括所述用戶應用所述移動終端以短信息方式向所述服務器發(fā)送所述第一動態(tài)口令；或， 所述用戶通過客戶端瀏覽器或客戶端交易軟件向所述服務器提交所述第一動態(tài)口令。
4.一種動態(tài)口令認證方法，其特征在于，包括接收到用戶通過動態(tài)口令生成裝置生成的、請求進行身份認證的第一動態(tài)口令后，應 用預置的加密算法，根據(jù)存儲的第二加密次數(shù)對所述第一動態(tài)口令進行加密運算生成第二 動態(tài)口令；根據(jù)存儲的第三動態(tài)口令，對所述第二動態(tài)口令進行身份認證； 在所述身份認證通過的情況下，將所述第三動態(tài)口令更新為所述第一動態(tài)口令； 確定并更新下次對所述用戶進行身份認證時、對所述動態(tài)口令生成裝置生成的第一動 態(tài)口令進行加密運算的第二加密次數(shù)。
5.根據(jù)權利要求4所述的動態(tài)口令認證方法，其特征在于，在所述確定并更新下次對 所述用戶進行身份認證時、對所述動態(tài)口令生成裝置生成的第一動態(tài)口令進行加密運算的 第二加密次數(shù)之后，還包括根據(jù)所述第二加密次數(shù)，生成更新加密次數(shù)指示；向設置有所述動態(tài)口令生成裝置的移動終端，發(fā)送所述更新加密次數(shù)指示，使所述動 態(tài)口令生成裝置通過所述移動終端接收所述更新加密次數(shù)指示。
6.一種動態(tài)口令生成裝置，其特征在于，包括接收模塊，用于接收移動終端發(fā)送的、請求獲取用于對用戶進行身份認證的動態(tài)口令 的請求信息；第一動態(tài)口令生成模塊，用于根據(jù)存儲的第一加密次數(shù)，應用預置的加密算法，對存儲 的所述用戶的個人認證信息進行加密運算后，生成對應的第一動態(tài)口令；發(fā)送模塊，用于向所述移動終端返回所述第一動態(tài)口令，供所述用戶應用所述第一動 態(tài)口令向所述服務器請求進行身份認證；第一加密次數(shù)更新模塊，用于更新所述第一加密次數(shù)。
7.根據(jù)權利要求6所述的動態(tài)口令生成裝置，其特征在于，還包括更新指示接收模塊，用于在所述身份認證通過的情況下，接收到所述移動終端發(fā)送的、 來自所述服務器的更新加密次數(shù)指示，以使所述第一加密次數(shù)更新模塊，根據(jù)所述更新加 密次數(shù)指示，更新所述第一加密次數(shù)。所述更新加密次數(shù)指示，用于指示根據(jù)所述更新加密次數(shù)指示對所述第一加密次數(shù)進 行更新。
8.一種服務器，其特征在于，包括第二動態(tài)口令生成模塊，用于接收到用戶通過動態(tài)口令生成裝置生成的、請求進行身 份認證的第一動態(tài)口令后，應用預置的加密算法，根據(jù)存儲的第二加密次數(shù)對所述第一動 態(tài)口令進行加密運算生成第二動態(tài)口令；認證模塊，用于根據(jù)存儲的第三動態(tài)口令，對所述第二動態(tài)口令進行認證；第二更新模塊，用于在所述身份認證通過的情況下，將所述第三動態(tài)口令更新為所述 第一動態(tài)口令，確定并更新下次對所述用戶進行身份認證時、對所述動態(tài)口令生成裝置生 成的第一動態(tài)口令進行加密運算的第二加密次數(shù)；
9.根據(jù)權利要求8所述的服務器，其特征在于，還包括更新指示模塊，用于根據(jù)所述第二加密次數(shù)，生成更新加密次數(shù)指示，向設置有所述動 態(tài)口令生成裝置的移動終端，發(fā)送所述更新加密次數(shù)指示，使所述動態(tài)口令生成裝置通過 所述移動終端接收所述更新加密次數(shù)指示。
10.一種網(wǎng)絡系統(tǒng)，其特征在于，包括設置有如權利要求6至7任一項所述的動態(tài)口 令生成裝置的移動終端，以及如權利要求8至9任一項所述的服務器。
全文摘要
本發(fā)明公開了一種動態(tài)口令生成方法、認證方法和裝置及網(wǎng)絡系統(tǒng)。該動態(tài)口令生成方法包括根據(jù)存儲的第一加密次數(shù)，應用預置的加密算法，對存儲的用戶的個人認證信息進行加密運算后，生成對應的第一動態(tài)口令；向移動終端返回第一動態(tài)口令，供用戶應用第一動態(tài)口令向服務器請求進行身份認證；更新第一加密次數(shù)。本發(fā)明適用于通過客戶端瀏覽器或客戶端軟件登錄、訪問服務器時，或進行電子交易時，向服務器提交進行身份認證的動態(tài)口令。
文檔編號H04L9/30GK101931530SQ20091024247
公開日2010年12月29日 申請日期2009年12月14日 優(yōu)先權日2009年12月14日
發(fā)明者孫江濤, 魏中華 申請人:北京神州付電子支付科技有限公司