專利名稱：一種網(wǎng)上交易安全認(rèn)證方法及網(wǎng)上交易安全認(rèn)證系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本申請(qǐng)涉及安全認(rèn)證領(lǐng)域，特別是涉及一種網(wǎng)上交易安全認(rèn)證方法及網(wǎng)上交易安全認(rèn)證系統(tǒng)。
背景技術(shù)：
在互聯(lián)網(wǎng)日益發(fā)達(dá)和普及的今天，網(wǎng)上交易因其方便、快捷、高效、經(jīng)濟(jì)的優(yōu)勢(shì)已逐漸成為人們?nèi)粘＝灰谆顒?dòng)中重要的交易方式之一。但是，網(wǎng)上交易需要借助于互聯(lián)網(wǎng)平臺(tái)才能實(shí)現(xiàn)，在交易支付過程中用戶需要通過計(jì)算機(jī)輸入賬戶密碼，如果這時(shí)遭到黑客的攻擊，用戶的賬戶密碼就很容易泄露，使用戶可能蒙受經(jīng)濟(jì)上的損失。當(dāng)前比較流行的幾種黑客攻擊方式包括釣魚、木馬和木馬釣魚等，其中“釣魚”是指黑客利用用戶的弱點(diǎn)來(lái)騙取用戶的密碼；“木馬”是指黑客通過向用戶機(jī)器種植惡意程序，達(dá)到篡改用戶交易的目的，讓用戶為黑客買單；“木馬釣魚”是指同時(shí)使用木馬和釣魚劫持用戶交易，并在第三方網(wǎng)站創(chuàng)建交易，篡改用戶交易顯示，給用戶展示用戶想看到的交易，騙取用戶輸入密碼，讓用戶為黑客在第三方網(wǎng)站上的交易買單。為了增加交易的安全性，人們開發(fā)了密碼控件技術(shù)和動(dòng)態(tài)口令OTP (one timepassword,簡(jiǎn)稱OTP,即一次一密)技術(shù),用來(lái)對(duì)用戶的網(wǎng)上交易進(jìn)行保護(hù)。但是，最初的密碼控件技術(shù)僅僅是一個(gè)靜態(tài)的密碼保護(hù)插件，而第一代的OTP技術(shù)只是基于密碼安全的角度設(shè)計(jì)的，對(duì)釣魚和木馬的防范能力較差；第二代的OPT技術(shù)雖然將交易信息作為一個(gè)外部輸入來(lái)產(chǎn)生密碼，此時(shí)的密碼已經(jīng)不再是基于密碼安全的安全了，因此安全性能有所提升，但目前應(yīng)用二代OTP技術(shù)的主要是一些硬件產(chǎn)品如USB Key，而硬件產(chǎn)品在使用范圍和使用壽命上都受到限制，特別是當(dāng)技術(shù)升級(jí)時(shí)，硬件產(chǎn)品一般需要更換新的硬件才能實(shí)現(xiàn)。因此，需要本領(lǐng)域技術(shù)人員迫切解決的一個(gè)技術(shù)問題就是:如何通過軟件的方式實(shí)現(xiàn)二代OTP技術(shù)，既能克服硬件存在的使用范圍、使用壽命及技術(shù)升級(jí)的問題，又能解決當(dāng)前網(wǎng)上交易面臨的防范釣魚、木馬、木馬釣魚能力較差的問題。

發(fā)明內(nèi)容
本申請(qǐng)所要解決的技術(shù)問題是提供一種網(wǎng)上交易安全認(rèn)證方法及網(wǎng)上交易安全認(rèn)證系統(tǒng)，既能克服硬件存在的使用范圍、使用壽命及技術(shù)升級(jí)的問題，又能解決當(dāng)前網(wǎng)上交易面臨的防范釣魚、木馬、木馬釣魚能力較差的問題。為了解決上述問題，本申請(qǐng)公開了一種網(wǎng)上交易安全認(rèn)證方法，包括:生成用戶端與服務(wù)端進(jìn)行加密通信的隨機(jī)會(huì)話密鑰；所述服務(wù)器端依據(jù)所述隨機(jī)會(huì)話密鑰，驗(yàn)證所述用戶端的用戶身份；用戶身份驗(yàn)證通過后，所述服務(wù)器端生成交易圖片信息，并依據(jù)所述隨機(jī)會(huì)話密鑰加密傳輸所述交易圖片信息至用戶端；所述用戶端確認(rèn)所述交易圖片信息后，所述服務(wù)器端依據(jù)所述隨機(jī)會(huì)話密鑰驗(yàn)證交易簽名。
優(yōu)選的，所述生成用戶端與服務(wù)端進(jìn)行加密通信的隨機(jī)會(huì)話密鑰，包括:在用戶端生成隨機(jī)數(shù)；用預(yù)置的RSA公鑰加密所述隨機(jī)數(shù)；發(fā)送所述加密的隨機(jī)數(shù)至服務(wù)端；在服務(wù)端依據(jù)所述加密的隨機(jī)數(shù)生成隨機(jī)會(huì)話密鑰；發(fā)送所述隨機(jī)會(huì)話密鑰至用戶端。優(yōu)選的，所述依據(jù)隨機(jī)會(huì)話密鑰驗(yàn)證用戶端的用戶身份，包括:在用戶端提取用戶機(jī)器信息；用所述隨機(jī)會(huì)話密鑰加密用戶機(jī)器信息；傳送所述加密的用戶機(jī)器信息至服務(wù)端；在服務(wù)端驗(yàn)證用戶機(jī)器信息匹配程度；當(dāng)用戶機(jī)器信息匹配程度符合預(yù)置條件時(shí)，用戶身份驗(yàn)證通過；當(dāng)用戶機(jī)器信息匹配程度不符合預(yù)置條件時(shí)，用戶身份驗(yàn)證失敗。優(yōu)選的，所述方法還包括:在服務(wù)端生成抓取因子，并發(fā)送至用戶端；則在用戶端根據(jù)所述抓取因子提取用戶機(jī)器信息，用所述隨機(jī)會(huì)話密鑰加密用戶機(jī)器信息和抓取因子，并傳送至服務(wù)端；服務(wù)端依據(jù)所述抓取因子驗(yàn)證用戶機(jī)器信息匹配程度。優(yōu)選的，當(dāng)用戶身份驗(yàn)證失敗時(shí)，所述方法還包括:用戶端發(fā)送手機(jī)短信發(fā)送請(qǐng)求；服務(wù)端收到所述請(qǐng)求后，獲取用戶信息，生成手機(jī)短信驗(yàn)證碼，并發(fā)送所述手機(jī)短信驗(yàn)證碼至用戶綁定的手機(jī)；用戶收到手機(jī)短信驗(yàn)證碼后，在用戶端輸入所述手機(jī)短信驗(yàn)證碼，并發(fā)送至服務(wù)端;服務(wù)端進(jìn)行短信驗(yàn)證碼驗(yàn)證，驗(yàn)證通過后，發(fā)送用戶身份驗(yàn)證通過的結(jié)果至用戶端。優(yōu)選的，所述生成交易圖片信息，包括:根據(jù)交易信息、隨機(jī)會(huì)話密鑰、時(shí)間和用戶種子，生成交易驗(yàn)證碼；根據(jù)交易信息和隨機(jī)會(huì)話密鑰，生成摘要信息；生成底圖，并將摘要信息加入所述底圖；將所述交易信息和交易驗(yàn)證碼加入所述包含摘要信息的底圖，生成交易圖片信
肩、O優(yōu)選的，所述依據(jù)隨機(jī)會(huì)話密鑰驗(yàn)證交易簽名，包括:在用戶端輸入交易驗(yàn)證碼；對(duì)交易圖片信息和交易驗(yàn)證碼用所述隨機(jī)會(huì)話密鑰進(jìn)行數(shù)字簽名；發(fā)送所述數(shù)字簽名至服務(wù)端；服務(wù)端驗(yàn)證所述數(shù)字簽名是否正確，并發(fā)送驗(yàn)證結(jié)果至用戶端。本申請(qǐng)還提供了一種網(wǎng)上交易安全認(rèn)證系統(tǒng)，包括:0ΤΡ控件、OTP控件服務(wù)器和OTP認(rèn)證平臺(tái)，其中，
所述OTP控件和OTP控件服務(wù)器，用于生成OTP控件與OTP控件服務(wù)器進(jìn)行加密通信的隨機(jī)會(huì)話密鑰，并依據(jù)所述隨機(jī)會(huì)話密鑰，驗(yàn)證OTP控件的用戶身份；所述OTP認(rèn)證平臺(tái)，與OTP控件服務(wù)器相連，用于在收到OTP控件服務(wù)器發(fā)送的用戶身份驗(yàn)證通過的信息后，生成交易圖片信息，并依據(jù)所述隨機(jī)會(huì)話密鑰加密傳輸所述交易圖片信息至OTP控件；在OTP控件確認(rèn)所述交易圖片信息后，依據(jù)所述隨機(jī)會(huì)話密鑰驗(yàn)證交易簽名。優(yōu)選的，在生成隨機(jī)會(huì)話密鑰時(shí)，所述OTP控件用于生成隨機(jī)數(shù)，用預(yù)置的RSA公鑰加密所述隨機(jī)數(shù)，并發(fā)送至OTP控件服務(wù)器；所述OTP控件服務(wù)器用于依據(jù)所述加密的隨機(jī)數(shù)生成隨機(jī)會(huì)話密鑰，并發(fā)送所述隨機(jī)會(huì)話密鑰至OTP控件。優(yōu)選的，在驗(yàn)證OTP控件的用戶身份時(shí)，所述OTP控件用于提取用戶機(jī)器信息，用所述隨機(jī)會(huì)話密鑰加密用戶機(jī)器信息，并發(fā)送至OTP控件服務(wù)器；所述OTP控件服務(wù)器用于驗(yàn)證用戶機(jī)器信息匹配程度，當(dāng)用戶機(jī)器信息匹配程度符合預(yù)置條件時(shí)，用戶身份驗(yàn)證通過；當(dāng)用戶機(jī)器信息匹配程度不符合預(yù)置條件時(shí)，用戶身份驗(yàn)證失敗。優(yōu)選的，所述OTP控件服務(wù)器還用于生成抓取因子，并發(fā)送至OTP控件；則所述OTP控件根據(jù)所述抓取因子提取用戶機(jī)器信息，用所述隨機(jī)會(huì)話密鑰加密用戶機(jī)器信息和抓取因子，并發(fā)送至OTP控件服務(wù)器；所述OTP控件服務(wù)器依據(jù)所述抓取因子驗(yàn)證用戶機(jī)器信息匹配程度。優(yōu)選的，當(dāng)用戶身份驗(yàn)證失敗時(shí)，所述系統(tǒng)還包括:客戶端腳本模塊，用于發(fā)送手機(jī)短信發(fā)送請(qǐng)求；所述OTP認(rèn)證平臺(tái)還用于收到所述請(qǐng)求后，獲取用戶信息，生成手機(jī)短信驗(yàn)證碼，并發(fā)送所述手機(jī)短信驗(yàn)證碼至用戶綁定的手機(jī)；還用于進(jìn)行短信驗(yàn)證碼驗(yàn)證，驗(yàn)證通過后，發(fā)送用戶身份驗(yàn)證通過的結(jié)果至客戶端腳本模塊。優(yōu)選的,所述OTP認(rèn)證平臺(tái)包括:OTP算法驅(qū)動(dòng)模塊，用于根據(jù)交易信息、隨機(jī)會(huì)話密鑰、時(shí)間和用戶種子，生成交易驗(yàn)證碼；OTP業(yè)務(wù)系統(tǒng)，用于根據(jù)交易信息和隨機(jī)會(huì)話密鑰，生成摘要信息；圖片服務(wù)器，用于生成底圖，并將摘要信息加入所述底圖；還用于將所述交易信息和交易驗(yàn)證碼加入所述包含摘要信息的底圖，生成交易圖片信息。優(yōu)選的，在驗(yàn)證交易簽名時(shí)，所述OTP控件用于輸入交易驗(yàn)證碼，對(duì)交易圖片信息和交易驗(yàn)證碼用所述隨機(jī)會(huì)話密鑰進(jìn)行數(shù)字簽名，并發(fā)送所述數(shù)字簽名至OTP認(rèn)證平臺(tái)；所述OTP認(rèn)證平臺(tái)用于驗(yàn)證所述數(shù)字簽名是否正確，并發(fā)送驗(yàn)證結(jié)果。與現(xiàn)有技術(shù)相比，本申請(qǐng)包含以下優(yōu)點(diǎn):第一，本申請(qǐng)基于OTP技術(shù)、密碼控件技術(shù)、交易圖片簽名技術(shù)等軟件技術(shù)實(shí)現(xiàn)了網(wǎng)上交易的安全認(rèn)證，克服了硬件產(chǎn)品存在的使用范圍、使用壽命和技術(shù)升級(jí)的難點(diǎn)；第二，本申請(qǐng)通過利用隨機(jī)會(huì)話密鑰安全地傳輸交易圖片的方式，實(shí)現(xiàn)了用戶交易的二次確認(rèn)，即利用軟件的方式實(shí)現(xiàn)了二代OTP技術(shù)，解決了現(xiàn)有的軟件產(chǎn)品防范釣魚、木馬、木馬釣魚困難的問題；第三，本申請(qǐng)通過建立了 OTP控件服務(wù)器和OTP認(rèn)證平臺(tái)，實(shí)現(xiàn)了 OTP技術(shù)的批量化交易；第四，本申請(qǐng)?zhí)峁┑陌踩J(rèn)證系統(tǒng)是基于軟件技術(shù)構(gòu)建的，易于推廣，如能在第三方系統(tǒng)(如第三方商家、第三方支付平臺(tái))中得到應(yīng)用，可以增強(qiáng)整個(gè)行業(yè)的安全性。


圖1是本申請(qǐng)實(shí)施例所述的一種網(wǎng)上交易安全認(rèn)證方法流程圖；圖2是本申請(qǐng)實(shí)施例所述的生成用戶端與服務(wù)端加密通信的隨機(jī)會(huì)話密鑰的流程圖；圖3是本申請(qǐng)實(shí)施例所述的通過用戶機(jī)器信息驗(yàn)證用戶身份的流程圖；圖4是本申請(qǐng)實(shí)施例所述的通過手機(jī)短信驗(yàn)證用戶身份的流程圖；圖5是本申請(qǐng)實(shí)施例所述的手機(jī)短信信息內(nèi)容示意圖；圖6是本申請(qǐng)實(shí)施例所述的獲取交易圖片信息的流程圖；圖7是本申請(qǐng)實(shí)施例所述的交易圖片信息示意圖；圖8是本申請(qǐng)實(shí)施例所述的生成交易圖片信息的流程圖；圖9是本申請(qǐng)實(shí)施例所述的驗(yàn)證交易簽名的流程圖；圖10是本申請(qǐng)實(shí)施例所述的升級(jí)原密碼控件用戶為OTP控件用戶的流程圖；圖11是本申請(qǐng)實(shí)施例所述的一種網(wǎng)上交易安全認(rèn)證系統(tǒng)結(jié)構(gòu)圖；圖12是本申請(qǐng)另一實(shí)施例所述的一種網(wǎng)上交易安全認(rèn)證系統(tǒng)結(jié)構(gòu)圖；圖13是本申請(qǐng)實(shí)施例所述的支付網(wǎng)站站內(nèi)被釣魚的示意圖；圖14是本申請(qǐng)實(shí)施例所述的用戶被釣魚到第三方外部商家的示意圖；圖15是本申請(qǐng)實(shí)施例所述的用戶被釣魚到第三方支付平臺(tái)的示意圖。
具體實(shí)施例方式為使本申請(qǐng)的上述目的、特征和優(yōu)點(diǎn)能夠更加明顯易懂，下面結(jié)合附圖和具體實(shí)施方式
對(duì)本申請(qǐng)作進(jìn)一步詳細(xì)的說(shuō)明。本申請(qǐng)利用軟件的方式實(shí)現(xiàn)了一種網(wǎng)上交易安全認(rèn)證方法和網(wǎng)上交易安全認(rèn)證系統(tǒng)，既能克服硬件存在的使用范圍、使用壽命及技術(shù)升級(jí)的問題，又能解決當(dāng)前網(wǎng)上交易面臨的防范釣魚、木馬、木馬釣魚能力較差的問題。下面通過圖1至圖9對(duì)本申請(qǐng)的內(nèi)容進(jìn)行詳細(xì)說(shuō)明。需要說(shuō)明的是，圖1至圖9的流程中涉及到位于用戶端的OTP控件、JS(—種計(jì)算機(jī)腳本語(yǔ)言Javascript的縮寫)腳本和瀏覽器，以及位于服務(wù)端的網(wǎng)上支付網(wǎng)關(guān)、OTP控件服務(wù)器(圖中簡(jiǎn)稱為控件服務(wù)器)、0ΤΡ認(rèn)證平臺(tái)、業(yè)務(wù)系統(tǒng)和數(shù)據(jù)庫(kù)。其中，OTP控件安裝在用戶端的機(jī)器上，配合OTP控件服務(wù)器和OTP認(rèn)證平臺(tái)完成網(wǎng)上交易的安全認(rèn)證。OTP控件服務(wù)器主要用于驗(yàn)證OTP控件的用戶身份，OTP認(rèn)證平臺(tái)主要完成交易驗(yàn)證。網(wǎng)上支付SSL服務(wù)器是網(wǎng)上交易中用于完成網(wǎng)上支付的服務(wù)器，業(yè)務(wù)系統(tǒng)主要用于網(wǎng)上交易業(yè)務(wù)的數(shù)據(jù)處理。參照?qǐng)D1，是本申請(qǐng)實(shí)施例所述一種網(wǎng)上交易安全認(rèn)證方法流程圖，具體步驟如下:步驟101，生成用戶端與服務(wù)端進(jìn)行加密通信的隨機(jī)會(huì)話密鑰；所述生成用戶端與服務(wù)端進(jìn)行加密通信的隨機(jī)會(huì)話密鑰是指用戶端與服務(wù)端進(jìn)行會(huì)話密鑰交互，由用戶端生成隨機(jī)數(shù)發(fā)送至服務(wù)端，由服務(wù)端根據(jù)隨機(jī)數(shù)生成隨機(jī)會(huì)話密鑰和抓取因子，并返回至用戶端。參照?qǐng)D2所示，詳細(xì)的過程如下:SI，頁(yè)面跳轉(zhuǎn)至收銀臺(tái)；S2，JS腳本初始化OTP控件；S3, JS腳本生成會(huì)話密鑰請(qǐng)求，并發(fā)送給OTP控件；S4，OTP控件生成24字節(jié)隨機(jī)數(shù)；S5，OTP控件用預(yù)置的RSA公鑰(一種公鑰加密算法，名稱來(lái)自三個(gè)發(fā)明者RonRivest, Adi Shamirh, Leonard Adleman 的姓名)加密所述隨機(jī)數(shù)；S6，OTP控件將加密的數(shù)據(jù)返回給JS腳本；S7，JS腳本調(diào)用瀏覽器發(fā)送會(huì)話密鑰交互請(qǐng)求；S8，瀏覽器發(fā)送會(huì)話密鑰交互請(qǐng)求至網(wǎng)上支付網(wǎng)關(guān)；S9，網(wǎng)上支付網(wǎng)關(guān)轉(zhuǎn)發(fā)報(bào)文至OTP控件服務(wù)器；所述報(bào)文包含所述會(huì)話密鑰交互請(qǐng)求；S10, OTP控件服務(wù)器解密報(bào)文，獲取客戶端隨機(jī)數(shù)；具體的，OTP控件服務(wù)器用RSA私鑰解密得到OTP控件的24字節(jié)隨機(jī)數(shù)；SI I，OTP控件服務(wù)器生成12字節(jié)的隨機(jī)數(shù)；S12，OTP控件服務(wù)器取OTP控件的24字節(jié)的前12字節(jié)和自己的12字節(jié)，變成一個(gè)24字節(jié)的隨機(jī)會(huì)話密鑰；S13，OTP控件服務(wù)器保存所述隨機(jī)會(huì)話密鑰到數(shù)據(jù)庫(kù)；S14，OTP控件服務(wù)器生成抓取因子；所述抓取因子是隨機(jī)抽取的η個(gè)隨機(jī)數(shù)的集合，用于步驟102中抓取用戶機(jī)器信息，并用于驗(yàn)證所抓取的用戶機(jī)器信息，是本實(shí)施例的一種優(yōu)選實(shí)現(xiàn)方式。S15，0TP控件服務(wù)器用OTP控件的24字節(jié)隨機(jī)數(shù)作為密鑰加密自己的12字節(jié)隨機(jī)數(shù)和抓取因子；S16，OTP控件服務(wù)器發(fā)送會(huì)話密鑰交互響應(yīng)；S17，網(wǎng)上支付網(wǎng)關(guān)轉(zhuǎn)發(fā)響應(yīng)報(bào)文至瀏覽器；S18，瀏覽器接收響應(yīng)報(bào)文，返回JS腳本調(diào)用；S19，JS腳本獲取密文信息；S20，JS腳本向OTP控件發(fā)送機(jī)器信息驗(yàn)證請(qǐng)求；S21，OTP控件用自己的24字節(jié)隨機(jī)數(shù)解密所述密文信息，獲得OTP控件服務(wù)器的12字節(jié)隨機(jī)數(shù)；S22，OTP控件用自己的24字節(jié)的前12字節(jié)和解密得到的12字節(jié)得到隨機(jī)會(huì)話密鑰，隨后的報(bào)文用所述隨機(jī)會(huì)話密鑰加密傳輸；S23，OTP控件獲取抓取因子。由上可知，控件和服務(wù)端之間生成了一個(gè)隨機(jī)會(huì)話密鑰，而且兩邊各自生成一半，因此非常安全。步驟102，依據(jù)所述隨機(jī)會(huì)話密鑰，驗(yàn)證用戶端的用戶身份；所述驗(yàn)證用戶端的用戶身份包括兩種方式，一種通過用戶機(jī)器信息進(jìn)行驗(yàn)證，如圖3所示；另一種是當(dāng)用戶機(jī)器信息驗(yàn)證失敗后，通過手機(jī)短信對(duì)用戶身份進(jìn)行驗(yàn)證，如圖4所示。
參照?qǐng)D3所示，所述通過用戶機(jī)器信息進(jìn)行驗(yàn)證的方式又可細(xì)分為下述步驟:SI，JS腳本將會(huì)話密鑰響應(yīng)報(bào)文傳入OTP控件；S2，OTP控件獲取隨機(jī)會(huì)話密鑰和抓取因子；OTP控件用自己的24字節(jié)解密服務(wù)端響應(yīng)，并用解密得到的12字節(jié)替換24字節(jié)的后12字節(jié)，最終得到所述隨機(jī)會(huì)話密鑰。S3, OTP控件提取用戶機(jī)器信息；OTP控件根據(jù)抓取因子提取用戶機(jī)器信息。用戶機(jī)器信息采取編號(hào)的形式，每個(gè)編號(hào)對(duì)應(yīng)抓取因子中的一個(gè)隨機(jī)數(shù)，假設(shè)某次的抓取因子包含10個(gè)隨機(jī)數(shù)，則對(duì)應(yīng)這10個(gè)隨機(jī)數(shù)提取對(duì)應(yīng)編號(hào)的機(jī)器信息。OTP控件每次提取部分機(jī)器信息。由于抓取因子是隨機(jī)的，因此每次根據(jù)抓取因子提取的用戶機(jī)器信息也是不同的。例如，控件服務(wù)器在某一次下放的抓取因子為16個(gè)隨機(jī)數(shù)，而隨后在下一次下放的抓取因子又為20個(gè)隨機(jī)數(shù)，那么對(duì)于同一個(gè)OTP控件和同一個(gè)用戶機(jī)器，每次抓取的用戶機(jī)器信息都是不同的，從而提高了用戶身份驗(yàn)證的安全性，這也是本實(shí)施例的一種優(yōu)選實(shí)現(xiàn)方式。其中，用戶機(jī)器信息包含機(jī)器的硬件信息，也可以包含軟件信息，如操作系統(tǒng)版本等。S4, OTP控件用隨機(jī)會(huì)話密鑰加密用戶機(jī)器信息，并返回至JS腳本；如果采用抓取因子的方法，則OTP控件還會(huì)把抓取因子同用戶機(jī)器信息一起加密發(fā)送。S5，JS腳本調(diào)用瀏覽器發(fā)送請(qǐng)求報(bào)文；S6，瀏覽器發(fā)送請(qǐng)求報(bào)文至網(wǎng)上支付網(wǎng)關(guān)；S7，網(wǎng)上支付網(wǎng)關(guān)轉(zhuǎn)發(fā)報(bào)文至OTP控件服務(wù)器；S8，OTP控件服務(wù)器讀取數(shù)據(jù)庫(kù)信息；S9，OTP控件服務(wù)器根據(jù)抓取因子比對(duì)數(shù)據(jù)，逐個(gè)判斷用戶的機(jī)器信息是否變更；通過比對(duì)抓取因子對(duì)應(yīng)的值，即將根據(jù)抓取因子抓取的用戶機(jī)器信息和數(shù)據(jù)庫(kù)中所述抓取因子對(duì)應(yīng)的值進(jìn)行比對(duì)，判斷用戶的機(jī)器信息是否變更。S10，當(dāng)用戶機(jī)器匹配成功率符合預(yù)置條件時(shí)，認(rèn)為此用戶機(jī)器匹配成功；所述符合預(yù)置條件可以是，用戶機(jī)器匹配成功率>=80%，此時(shí)認(rèn)為用戶身份驗(yàn)證通過；當(dāng)用戶機(jī)器匹配成功率< 80%時(shí)，認(rèn)為用戶身份驗(yàn)證失敗。Sll, OTP控件服務(wù)器返回成功報(bào)文至網(wǎng)上支付網(wǎng)關(guān)；S12，網(wǎng)上支付網(wǎng)關(guān)轉(zhuǎn)發(fā)成功報(bào)文至瀏覽器；S13，瀏覽器接收成功報(bào)文，并返回JS腳本調(diào)用。參照?qǐng)D4所示，所述通過手機(jī)短信進(jìn)行用戶身份驗(yàn)證的方式又可細(xì)分為下述步驟:其中，SI至S9與圖3中的SI至S9相同，在此略，下面從SlO開始說(shuō)明；S10，當(dāng)用戶機(jī)器匹配成功率不符合預(yù)置條件時(shí)，認(rèn)為此用戶機(jī)器匹配失?。蝗缜八?，所述符合預(yù)置條件可以是，用戶機(jī)器匹配成功率< 80 %，此時(shí)認(rèn)為用戶身份驗(yàn)證失敗。Sll, OTP控件服務(wù)器返回失敗報(bào)文至網(wǎng)上支付網(wǎng)關(guān)；S12，網(wǎng)上支付網(wǎng)關(guān)轉(zhuǎn)發(fā)失敗報(bào)文至瀏覽器；S13，瀏覽器接收?qǐng)?bào)文，返回JS腳本調(diào)用；
S14，JS腳本從業(yè)務(wù)系統(tǒng)獲取短信驗(yàn)證碼驗(yàn)證頁(yè)面；S15，JS腳本展現(xiàn)所述頁(yè)面；通常，所述頁(yè)面提示用戶輸入手機(jī)號(hào)碼或其他用戶相關(guān)信息；S16，JS腳本發(fā)送短信發(fā)送請(qǐng)求至控件服務(wù)器；當(dāng)用戶在上述頁(yè)面輸入手機(jī)號(hào)碼其他用戶相關(guān)信息后，JS腳本發(fā)送短信發(fā)送請(qǐng)求；S17，控件服務(wù)器發(fā)送短信發(fā)送請(qǐng)求至OTP認(rèn)證平臺(tái)；S18，OTP認(rèn)證平臺(tái)從業(yè)務(wù)系統(tǒng)獲取用戶信息；所述用戶信息可以是用戶手機(jī)號(hào)碼，也可以是用戶名、電子郵箱、聯(lián)系地址等其他相關(guān)信息；S19, OTP認(rèn)證平臺(tái)生成驗(yàn)證碼；OTP認(rèn)證平臺(tái)是根據(jù)用戶信息生成驗(yàn)證碼；S20, OTP認(rèn)證平臺(tái)發(fā)送短信請(qǐng)求至業(yè)務(wù)系統(tǒng)；S21，由業(yè)務(wù)系統(tǒng)發(fā)送短信給用戶綁定的手機(jī)；其中，所述短信中包含了 OTP認(rèn)證平臺(tái)生成的驗(yàn)證碼，參照?qǐng)D5所示，是手機(jī)短信顯示的信息內(nèi)容示意圖；S22，用戶收到所述短信后，在網(wǎng)頁(yè)上輸入短信驗(yàn)證碼；S23，JS腳本發(fā)送短信驗(yàn)證請(qǐng)求至OTP控件服務(wù)器；S24，OTP控件服務(wù)器轉(zhuǎn)發(fā)短信驗(yàn)證請(qǐng)求至OTP認(rèn)證平臺(tái)；S25，OTP認(rèn)證平臺(tái)對(duì)手機(jī)驗(yàn)證碼進(jìn)行驗(yàn)證；S26，驗(yàn)證成功后，OTP認(rèn)證平臺(tái)發(fā)送驗(yàn)證成功請(qǐng)求至OTP控件服務(wù)器；S27，OTP控件服務(wù)發(fā)送驗(yàn)證成功響應(yīng)至JS腳本；S28，JS腳本向OTP控件發(fā)送抓取機(jī)器信息請(qǐng)求；S29，OTP控件抓取所有的機(jī)器信息；S30, OTP控件向JS腳本返回抓取的機(jī)器信息；其中，OTP控件用隨機(jī)會(huì)話密鑰加密機(jī)器信息；S31，JS腳本調(diào)用瀏覽器提交抓取的機(jī)器信息；S32，瀏覽器向網(wǎng)上支付網(wǎng)關(guān)發(fā)送請(qǐng)求報(bào)文；S33，網(wǎng)上支付網(wǎng)關(guān)向OTP控件服務(wù)器轉(zhuǎn)發(fā)報(bào)文；S34，OTP控件服務(wù)器更新用戶機(jī)器信息；S35，OTP控件服務(wù)器向網(wǎng)上支付網(wǎng)關(guān)發(fā)送響應(yīng)報(bào)文；S36，網(wǎng)上支付網(wǎng)關(guān)向?yàn)g覽器轉(zhuǎn)發(fā)響應(yīng)報(bào)文；S37，瀏覽器向JS調(diào)用返回響應(yīng)報(bào)文；S38，JS腳本收到響應(yīng)報(bào)文，完成用戶身份驗(yàn)證。步驟103，用戶身份驗(yàn)證通過后，生成交易圖片信息，并依據(jù)所述隨機(jī)會(huì)話密鑰加密傳輸所述交易圖片信息至用戶端；由服務(wù)端生成交易圖片信息，所述交易圖片信息可參見圖7所示，并由服務(wù)端將交易圖片信息發(fā)給用戶端。參照?qǐng)D6所示，用戶端獲取交易圖片信息的過程具體包括:
SI，JS腳本發(fā)送用戶機(jī)器驗(yàn)證結(jié)果至OTP控件；當(dāng)然，如果機(jī)器驗(yàn)證失敗并采用手機(jī)短信驗(yàn)證方式，則可以將手機(jī)短信驗(yàn)證結(jié)果發(fā)送給OTP控件；S2，OTP控件發(fā)送交易圖片信息獲取請(qǐng)求至JS腳本；S3，JS腳本發(fā)送交易圖片信息請(qǐng)求至瀏覽器；S4，瀏覽器發(fā)送交易圖片信息請(qǐng)求至網(wǎng)上支付網(wǎng)關(guān)；S5，網(wǎng)上支付網(wǎng)關(guān)轉(zhuǎn)發(fā)報(bào)文至OTP控件服務(wù)器；S6，控件服務(wù)器發(fā)送獲取交易圖片請(qǐng)求至OTP認(rèn)證平臺(tái)；S7, OTP認(rèn)證平臺(tái)根據(jù)訂單號(hào)獲取交易信息；OTP認(rèn)證平臺(tái)從業(yè)務(wù)系統(tǒng)獲取此次請(qǐng)求對(duì)應(yīng)的訂單號(hào)，并依據(jù)所述訂單號(hào)獲取對(duì)應(yīng)的交易信息，所述交易信息包括交易內(nèi)容、交易金額、交易時(shí)間等如圖7所示的信息。S8，OTP認(rèn)證平臺(tái)根據(jù)交易信息生成圖片要素；所述圖片要素是指生成交易圖片信息的要素，如交易驗(yàn)證碼、摘要信息、底圖等要素。S9，OTP認(rèn)證平臺(tái)生成交易圖片信息；在OTP認(rèn)證平臺(tái)中，由圖片服務(wù)器利用圖片要素生成交易圖片信息；其中S8和S9生成交易圖片信息的詳細(xì)過程可參見圖8所示流程；S10, OTP認(rèn)證平臺(tái)用隨機(jī)會(huì)話密鑰加密交易圖片信息，發(fā)送交易圖片信息響應(yīng)至OTP控件服務(wù)器；Sll, OTP控件服務(wù)器發(fā)送交易圖片信息響應(yīng)至網(wǎng)上支付網(wǎng)關(guān)；S12，網(wǎng)上支付網(wǎng)關(guān)轉(zhuǎn)發(fā)響應(yīng)報(bào)文至瀏覽器；S13，瀏覽器接收?qǐng)?bào)文，返回JS腳本調(diào)用；S14，JS腳本向OTP控件展示圖片。參照?qǐng)D8所示，在OTP認(rèn)證平臺(tái)中生成交易圖片信息的過程具體包括:DOTP算法驅(qū)動(dòng)根據(jù)交易信息、隨機(jī)會(huì)話密鑰、時(shí)間和用戶種子生成交易驗(yàn)證碼；其中，所述時(shí)間是指交易時(shí)間，所述用戶種子是一個(gè)20個(gè)字節(jié)的隨機(jī)數(shù)，每個(gè)用戶都有一個(gè)種子，而且都不一樣。2) OTP業(yè)務(wù)系統(tǒng)根據(jù)交易信息和隨機(jī)會(huì)話密鑰生成摘要信息，每一項(xiàng)交易對(duì)應(yīng)唯一的摘要信息；3)圖片服務(wù)器生成底圖；4)將摘要信息加入底圖,摘要信息與底圖顏色一樣；5)將所述交易信息和交易驗(yàn)證碼加入所述包含摘要信息的底圖，生成交易圖片信
肩、O步驟104，在用戶端確認(rèn)所述交易圖片信息后，依據(jù)所述隨機(jī)會(huì)話密鑰驗(yàn)證交易簽名。所述驗(yàn)證交易簽名是指用戶獲取交易圖片信息后，從交易圖片中獲取交易驗(yàn)證碼，并輸入交易驗(yàn)證碼確認(rèn)交易，OTP控件對(duì)交易圖片和交易驗(yàn)證碼進(jìn)行數(shù)字簽名并發(fā)送至OTP認(rèn)證平臺(tái)，OTP認(rèn)證平臺(tái)驗(yàn)證數(shù)字簽名是否正確并返回交易簽名認(rèn)證結(jié)果至用戶端。參照?qǐng)D9所示,具體包括:
SI，JS腳本發(fā)送圖片展現(xiàn)請(qǐng)求至OTP控件；S2，OTP控件展現(xiàn)交易內(nèi)容信息，顯示的交易圖片信息參照?qǐng)D7所示；S3，用戶在OTP控件輸入交易驗(yàn)證碼；S4，OTP控件對(duì)交易圖片和交易驗(yàn)證碼利用隨機(jī)會(huì)話密鑰進(jìn)行數(shù)字簽名；S5，OTP控件發(fā)送簽名驗(yàn)證請(qǐng)求至JS腳本；S6，JS腳本發(fā)送簽名驗(yàn)證請(qǐng)求至瀏覽器；S7，瀏覽器發(fā)送交易信息圖片請(qǐng)求至網(wǎng)上支付網(wǎng)關(guān)；S8，網(wǎng)上支付網(wǎng)關(guān)轉(zhuǎn)發(fā)報(bào)文至OTP控件服務(wù)器；S9，OTP控件服務(wù)器發(fā)送交易簽名驗(yàn)證請(qǐng)求至OTP認(rèn)證平臺(tái)；S10, OTP認(rèn)證平臺(tái)驗(yàn)證簽名是否正確；Sll, OTP認(rèn)證平臺(tái)發(fā)送交易簽名驗(yàn)證結(jié)果至OTP控件服務(wù)器；S12，OTP控件服務(wù)器發(fā)送交易圖片驗(yàn)證響應(yīng)至網(wǎng)上支付網(wǎng)關(guān)；S13，網(wǎng)上支付網(wǎng)關(guān)轉(zhuǎn)發(fā)響應(yīng)報(bào)文至瀏覽器；S14，瀏覽器接收?qǐng)?bào)文，返回JS調(diào)用；S15，進(jìn)行后續(xù)處理。綜上所述，上述安全認(rèn)證方法在傳輸過程中加入隨機(jī)會(huì)話密鑰，保證了整個(gè)傳輸過程的交易圖片信息不會(huì)被篡改，同時(shí)圖片信息變成在控件里面顯示，并隨著用戶輸入密碼，控件對(duì)圖片和密碼簽名，加密傳輸?shù)椒?wù)端驗(yàn)證，這樣就保證了整個(gè)交易過程中的安全性。以上所述的用戶是指OTP控件用戶，所謂OTP控件用戶是指安裝了 OTP控件并進(jìn)行實(shí)名認(rèn)證和手機(jī)綁定的用戶。對(duì)于原密碼控件用戶，參照?qǐng)D10所示，升級(jí)為OTP控件用戶的流程具體包括:用戶打開瀏覽器，輸入支付網(wǎng)站網(wǎng)址，獲取頁(yè)面信息，網(wǎng)上支付網(wǎng)關(guān)下發(fā)帶升級(jí)信息的腳本，通過瀏覽器顯示，用戶看到升級(jí)的提示，用戶點(diǎn)擊升級(jí)，向下載服務(wù)器提出下載請(qǐng)求，下載服務(wù)器將數(shù)據(jù)傳輸至瀏覽器，用戶進(jìn)行安裝；更新后第一次支付，頁(yè)面展現(xiàn)請(qǐng)求報(bào)文，網(wǎng)上支付網(wǎng)關(guān)查找用戶類型，對(duì)于非實(shí)名認(rèn)證用戶，返回要求實(shí)名認(rèn)證的頁(yè)面，瀏覽器返回實(shí)名認(rèn)證的頁(yè)面，并展現(xiàn)給用戶；用戶登錄身份信息和銀行卡信息，瀏覽器發(fā)送實(shí)名認(rèn)證請(qǐng)求，網(wǎng)上支付網(wǎng)關(guān)驗(yàn)證身份并打款，業(yè)務(wù)系統(tǒng)發(fā)送打款響應(yīng)，網(wǎng)上支付網(wǎng)關(guān)轉(zhuǎn)發(fā)報(bào)文至瀏覽器；用戶輸入打款和手機(jī)信息，瀏覽器發(fā)送驗(yàn)證請(qǐng)求，網(wǎng)上支付網(wǎng)關(guān)轉(zhuǎn)發(fā)至業(yè)務(wù)系統(tǒng)，業(yè)務(wù)系統(tǒng)發(fā)送驗(yàn)證結(jié)果，瀏覽器展現(xiàn)驗(yàn)證結(jié)果給用戶。對(duì)于新用戶申請(qǐng)，用戶在注冊(cè)后，按照上述圖10所示流程操作即可升級(jí)為OTP控件用戶。此外，在步驟102驗(yàn)證用戶身份的過程中，服務(wù)端首先通過用戶機(jī)器信息驗(yàn)證用戶身份，如果驗(yàn)證失敗會(huì)再通過手機(jī)短信驗(yàn)證的方式驗(yàn)證用戶身份，因此，用戶綁定的手機(jī)號(hào)對(duì)安全支付來(lái)說(shuō)是非常重要的信息。所以用戶綁定的手機(jī)號(hào)變更需要通過以下兩種方式之一才能完成:一種是采用往用戶注冊(cè)郵箱發(fā)郵件的方式，用戶通過郵件鏈接驗(yàn)證身份，然后更新新手機(jī)號(hào)碼；另一種是通過客服電話，有客服驗(yàn)證用戶身份后，更新用戶手機(jī)號(hào)碼。
基于上述方法實(shí)施例的說(shuō)明，本申請(qǐng)還提供了相應(yīng)的系統(tǒng)實(shí)施例。參照?qǐng)D11，是本申請(qǐng)實(shí)施例所述的一種網(wǎng)上交易安全認(rèn)證系統(tǒng)結(jié)構(gòu)圖。所述安全認(rèn)證系統(tǒng)可以包括OTP控件10、OTP控件服務(wù)器20和OTP認(rèn)證平臺(tái)30，其中，所述OTP控件10和OTP控件服務(wù)器20，用于生成OTP控件10與OTP控件服務(wù)器20進(jìn)行加密通信的隨機(jī)會(huì)話密鑰，并依據(jù)所述隨機(jī)會(huì)話密鑰，驗(yàn)證OTP控件10的用戶身份；所述OTP認(rèn)證平臺(tái)30，與OTP控件服務(wù)器20相連，用于在收到OTP控件服務(wù)器發(fā)送的用戶身份驗(yàn)證通過的信息后，生成交易圖片信息，并依據(jù)所述隨機(jī)會(huì)話密鑰加密傳輸所述交易圖片信息至OTP控件10 ;在OTP控件10確認(rèn)所述交易圖片信息后，依據(jù)所述隨機(jī)會(huì)話密鑰驗(yàn)證交易簽名。其中，在生成隨機(jī)會(huì)話密鑰時(shí)，所述OTP控件10用于生成隨機(jī)數(shù)，用預(yù)置的RSA公鑰加密所述隨機(jī)數(shù)，并發(fā)送至OTP控件服務(wù)器20 ;所述OTP控件服務(wù)器20用于依據(jù)所述加密的隨機(jī)數(shù)生成隨機(jī)會(huì)話密鑰，并發(fā)送所述隨機(jī)會(huì)話密鑰至OTP控件10。其中，在驗(yàn)證OTP控件的用戶身份時(shí)，所述OTP控件10用于提取用戶機(jī)器信息，用所述隨機(jī)會(huì)話密鑰加密用戶機(jī)器信息，并發(fā)送至OTP控件服務(wù)器20 ;所述OTP控件服務(wù)器20用于驗(yàn)證用戶機(jī)器信息匹配程度，當(dāng)用戶機(jī)器信息匹配程度符合預(yù)置條件時(shí)，用戶身份驗(yàn)證通過；當(dāng)用戶機(jī)器信息匹配程度不符合預(yù)置條件時(shí)，用戶身份驗(yàn)證失敗。進(jìn)一步優(yōu)選的，所述OTP控件服務(wù)器20還用于生成抓取因子，并發(fā)送至OTP控件10 ;則所述OTP控件10可以根據(jù)所述抓取因子提取用戶機(jī)器信息，用所述隨機(jī)會(huì)話密鑰加密用戶機(jī)器信息和抓取因子，并發(fā)送至OTP控件服務(wù)器20 ;所述OTP控件服務(wù)器20可以依據(jù)所述抓取因子驗(yàn)證用戶機(jī)器信息匹配程度。進(jìn)一步優(yōu)選的，如圖12所示，當(dāng)上述用戶身份驗(yàn)證失敗時(shí)，所述系統(tǒng)還可以包括:客戶端腳本模塊40，用于發(fā)送手機(jī)短信發(fā)送請(qǐng)求；所述OTP認(rèn)證平臺(tái)30還用于收到所述請(qǐng)求后，獲取用戶信息，生成手機(jī)短信驗(yàn)證碼，并發(fā)送所述手機(jī)短信驗(yàn)證碼至用戶綁定的手機(jī)；用戶收到手機(jī)短信驗(yàn)證碼后，在客戶端腳本模塊40中輸入所述手機(jī)短信驗(yàn)證碼，并發(fā)送至OTP認(rèn)證平臺(tái)30;所述OTP認(rèn)證平臺(tái)30還用于進(jìn)行短信驗(yàn)證碼驗(yàn)證，驗(yàn)證通過后，發(fā)送用戶身份驗(yàn)證通過的結(jié)果至客戶端腳本模塊40。進(jìn)一步優(yōu)選的，所述OTP認(rèn)證平臺(tái)30具體可以包括:OTP算法驅(qū)動(dòng)模塊，用于根據(jù)交易信息、隨機(jī)會(huì)話密鑰、時(shí)間和用戶種子，生成交易驗(yàn)證碼；OTP業(yè)務(wù)系統(tǒng)，用于根據(jù)交易信息和隨機(jī)會(huì)話密鑰，生成摘要信息；圖片服務(wù)器，用于生成底圖，并將摘要信息加入所述底圖；還用于將所述交易信息和交易驗(yàn)證碼加入所述包含摘要信息的底圖，生成交易圖片信息。其中，在驗(yàn)證交易簽名時(shí)，所述OTP控件10用于輸入交易驗(yàn)證碼，對(duì)交易圖片信息和交易驗(yàn)證碼用所述隨機(jī)會(huì)話密鑰進(jìn)行數(shù)字簽名，并發(fā)送所述數(shù)字簽名至OTP認(rèn)證平臺(tái)30 ；
所述OTP認(rèn)證平臺(tái)30用于驗(yàn)證所述數(shù)字簽名是否正確，并發(fā)送驗(yàn)證結(jié)果。對(duì)于上述安全認(rèn)證系統(tǒng)實(shí)施例而言，由于其與方法實(shí)施例基本相似，所以描述的比較簡(jiǎn)單，相關(guān)之處參見方法實(shí)施例的部分說(shuō)明即可。為了更好地理解本申請(qǐng)的內(nèi)容，下面再結(jié)合幾個(gè)黑客攻擊的具體案例分析利用本申請(qǐng)?zhí)峁┑姆椒ê拖到y(tǒng)如何能防范釣魚、木馬、木馬釣魚。1、支付網(wǎng)站站內(nèi)釣魚站內(nèi)交易替換是近期出現(xiàn)的一種木馬病毒變種，木馬在支付網(wǎng)站站內(nèi)創(chuàng)建一筆即時(shí)到帳交易，如:我要付款，然后跳轉(zhuǎn)回收銀臺(tái)讓用戶支付。站內(nèi)交易替換的過程，參照?qǐng)D13所示:①用戶在購(gòu)物網(wǎng)站購(gòu)買商品后，用戶點(diǎn)擊確認(rèn)購(gòu)買，瀏覽器跳轉(zhuǎn)到支付網(wǎng)站收銀臺(tái)后，木馬攔截正常的支付流程；②木馬將瀏覽器導(dǎo)向支付網(wǎng)站即時(shí)到帳頁(yè)面；③木馬生成一筆“我要付款”訂單，收款方為欺詐者的網(wǎng)上支付賬號(hào)；④瀏覽器跳回支付網(wǎng)站收銀臺(tái)；用戶看到自己需要支付一筆訂單，這筆訂單實(shí)際上會(huì)支付到欺詐者的網(wǎng)上支付賬號(hào)；⑤用戶選擇付款；⑥用戶支付木馬生成的即時(shí)到帳訂單，釣魚過程結(jié)束。在本申請(qǐng)的方案中，因?yàn)橛脩舻慕灰仔畔⑹且詧D片形式傳入控件顯示，而且整個(gè)過程是由應(yīng)用層的隨機(jī)會(huì)話密鑰加密，即使黑客創(chuàng)建一筆新的交易，他也無(wú)法讓這筆交易的圖片傳入控件，因?yàn)槊總€(gè)控件的隨機(jī)會(huì)話密鑰不一樣，黑客的圖片無(wú)法用用戶控件的隨機(jī)會(huì)話密鑰解密。2、釣魚到第三方外部商家此類型木馬的釣魚步驟參照?qǐng)D14所示:①用戶機(jī)器感染木馬后，木馬會(huì)監(jiān)聽瀏覽器的URL地址欄；用戶在購(gòu)物網(wǎng)站購(gòu)買商品后，用戶點(diǎn)擊確認(rèn)購(gòu)頭；②瀏覽器跳轉(zhuǎn)到支付網(wǎng)站收銀臺(tái)后，木馬會(huì)攔截正常的支付流程，跳轉(zhuǎn)至另一個(gè)第三方外部商戶；③木馬在用戶客戶端登錄欺詐者的外部商戶賬號(hào)，然后生成一筆同樣金額的訂單，該訂單使用支付網(wǎng)站進(jìn)行付款；④瀏覽器會(huì)跳回支付網(wǎng)站收銀臺(tái)；這時(shí)候，用戶看到自己需要支付一筆訂單，這筆訂單實(shí)際上會(huì)支付到欺詐者的外部商戶賬號(hào)；⑤用戶選擇付款；⑥用戶實(shí)際支付了一筆外部商戶訂單，支付網(wǎng)站會(huì)付款給所述第三方外部商戶，釣魚過程結(jié)束。從以上流程可以看出，這種木馬釣魚不僅與支付網(wǎng)站的安全相關(guān)，而且與被釣魚的第三方外部商家的安全性緊密相關(guān)。如果能將本申請(qǐng)的方案應(yīng)用到第三方外部商家，因?yàn)榻^大多數(shù)外部商家沒有能力建設(shè)完善的安全體系，那么由支付網(wǎng)站提供客戶端控件和服務(wù)端服務(wù)的方式，就可以防止這種木馬。3、釣魚到第三方支付平臺(tái)
此種木馬釣魚方式是用戶通過在支付網(wǎng)站收銀臺(tái)的時(shí)候，木馬去其他第三方支付平臺(tái)生成一筆網(wǎng)銀充值訂單，誘騙用戶進(jìn)行網(wǎng)銀充值付款。參照?qǐng)D15，詳細(xì)過程如下:①用戶在收銀臺(tái)頁(yè)面進(jìn)行充值操作；這個(gè)操作可能由很多原因發(fā)起，如:用戶在購(gòu)物網(wǎng)站購(gòu)買商品，進(jìn)入收銀臺(tái)準(zhǔn)備付款；用戶發(fā)起一筆“我要付款”即時(shí)到帳交易；用戶在個(gè)人版點(diǎn)擊交易詳情進(jìn)行付款等；木馬會(huì)監(jiān)聽瀏覽器的URL，當(dāng)用戶準(zhǔn)備付款時(shí)，木馬就攔截正常的操作流程；②木馬將瀏覽器導(dǎo)向其他第三方支付平臺(tái)，并登錄欺詐者的賬號(hào)；木馬可以使用下列方式將瀏覽器導(dǎo)向第三方支付平臺(tái):(I)修改瀏覽器的跳轉(zhuǎn)地址，跳轉(zhuǎn)至第三方支付平臺(tái)；(2)修改網(wǎng)銀訂單提交表單的跳轉(zhuǎn)地址；這種方式和圖15中的流程稍有不同，需要木馬在遠(yuǎn)程服務(wù)端動(dòng)態(tài)生成一筆網(wǎng)銀訂單，然后遠(yuǎn)程發(fā)送給木馬客戶端，木馬篡改頁(yè)面中的表單信息；這種方式在木馬出現(xiàn)初期較為常見；(3)其他形式；木馬在短時(shí)間內(nèi)做大量的URL跳轉(zhuǎn)，比如木馬會(huì)在用戶點(diǎn)擊去網(wǎng)銀充值時(shí)，不直接進(jìn)行攔截，而在瀏覽器跳轉(zhuǎn)到網(wǎng)銀頁(yè)面后，再跳轉(zhuǎn)去盛大；③無(wú)論木馬在第二步會(huì)使瀏覽器跳轉(zhuǎn)多少次，都會(huì)到第三方支付平臺(tái)生成一筆網(wǎng)銀充值訂單；④用戶在瀏覽器看到自己需要支付一筆網(wǎng)銀訂單，支付的銀行和金額和正常交易流程相同，但是網(wǎng)銀充值收款方不是支付網(wǎng)站；⑤用戶沒有注意充值收款方，進(jìn)行了充值；⑥銀行將錢充值進(jìn)欺詐者的帳號(hào)，釣魚過程完成。從以上流程可以看出，這種木馬釣魚不僅與支付網(wǎng)站的安全相關(guān)，而且跟被釣魚的第三方支付平臺(tái)的安全緊密相關(guān)。如果能將本申請(qǐng)的方案應(yīng)用到第三方支付平臺(tái)，由支付網(wǎng)站提供方案，第三方支付平臺(tái)自建系統(tǒng)，方案被推廣后，可以防止這種木馬。綜上所述，本申請(qǐng)包含以下優(yōu)點(diǎn):第一，本申請(qǐng)基于OTP技術(shù)、密碼控件技術(shù)、交易圖片簽名技術(shù)等軟件技術(shù)實(shí)現(xiàn)了網(wǎng)上交易的安全認(rèn)證，克服了硬件產(chǎn)品存在的使用范圍、使用壽命和技術(shù)升級(jí)的難點(diǎn)；第二，本申請(qǐng)通過利用隨機(jī)會(huì)話密鑰安全地傳輸交易圖片的方式，實(shí)現(xiàn)了用戶交易的二次確認(rèn)，即利用軟件的方式實(shí)現(xiàn)了二代OTP技術(shù)，解決了現(xiàn)有的軟件產(chǎn)品防范釣魚、木馬、木馬釣魚困難的問題；第三，本申請(qǐng)通過建立了 OTP控件服務(wù)器和OTP認(rèn)證平臺(tái)，實(shí)現(xiàn)了 OTP技術(shù)的批量化交易；第四，本申請(qǐng)?zhí)峁┑陌踩J(rèn)證系統(tǒng)是基于軟件技術(shù)構(gòu)建的，易于推廣，如能在第三方系統(tǒng)(如第三方商家、第三方支付企業(yè))中得到應(yīng)用，可以增強(qiáng)整個(gè)行業(yè)的安全性。本說(shuō)明書中的各個(gè)實(shí)施例均采用遞進(jìn)的方式描述，每個(gè)實(shí)施例重點(diǎn)說(shuō)明的都是與其他實(shí)施例的不同之處，各個(gè)實(shí)施例之間相同相似的部分互相參見即可。以上對(duì)本申請(qǐng)所提供的一種網(wǎng)上交易安全認(rèn)證方法和網(wǎng)上交易安全認(rèn)證系統(tǒng)，進(jìn)行了詳細(xì)介紹，本文中應(yīng)用了具體個(gè)例對(duì)本申請(qǐng)的原理及實(shí)施方式進(jìn)行了闡述，以上實(shí)施例的說(shuō)明只是用于幫助理解本申請(qǐng)的方法及其核心思想；同時(shí)，對(duì)于本領(lǐng)域的一般技術(shù)人員，依據(jù)本申請(qǐng)的思想，在具體實(shí)施方式
及應(yīng)用范圍上均會(huì)有改變之處，綜上所述，本說(shuō)明書內(nèi)容不應(yīng)理解為對(duì)本申請(qǐng)的限制。
權(quán)利要求
1.一種網(wǎng)上交易安全認(rèn)證方法，其特征在于，包括: 生成用戶端與服務(wù)端進(jìn)行加密通信的隨機(jī)會(huì)話密鑰； 所述服務(wù)器端依據(jù)所述隨機(jī)會(huì)話密鑰，驗(yàn)證所述用戶端的用戶身份； 用戶身份驗(yàn)證通過后，所述服務(wù)器端生成交易圖片信息，并依據(jù)所述隨機(jī)會(huì)話密鑰加密傳輸所述交易圖片信息至用戶端； 所述用戶端確認(rèn)所述交易圖片信息后，所述服務(wù)器端依據(jù)所述隨機(jī)會(huì)話密鑰驗(yàn)證交易簽名。
2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述生成用戶端與服務(wù)端進(jìn)行加密通信的隨機(jī)會(huì)話密鑰，包括: 在用戶端生成隨機(jī)數(shù)； 用預(yù)置的RSA公鑰加密所述隨機(jī)數(shù)； 發(fā)送所述加密的隨機(jī)數(shù)至服務(wù)端； 在服務(wù)端依據(jù)所述加密的隨機(jī)數(shù)生成隨機(jī)會(huì)話密鑰； 發(fā)送所述隨機(jī)會(huì)話密鑰至用戶端。
3.根據(jù)權(quán)利要求1或2所述的方法，其特征在于，所述依據(jù)隨機(jī)會(huì)話密鑰驗(yàn)證用戶端的用戶身份，包括: 在用戶端提取用戶機(jī)器信息； 用所述隨機(jī)會(huì)話密鑰加密用戶機(jī)器信息； 傳送所述加密的用戶機(jī)器信息至服務(wù)端； 在服務(wù)端驗(yàn)證用戶機(jī)器信息匹配程度； 當(dāng)用戶機(jī)器信息匹配程度符合預(yù)置條件時(shí)，用戶身份驗(yàn)證通過； 當(dāng)用戶機(jī)器信息匹配程度不符合預(yù)置條件時(shí)，用戶身份驗(yàn)證失敗。
4.根據(jù)權(quán)利要求3所述的方法，其特征在于，還包括: 在服務(wù)端生成抓取因子，并發(fā)送至用戶端； 則在用戶端根據(jù)所述抓取因子提取用戶機(jī)器信息，用所述隨機(jī)會(huì)話密鑰加密用戶機(jī)器信息和抓取因子，并傳送至服務(wù)端； 服務(wù)端依據(jù)所述抓取因子驗(yàn)證用戶機(jī)器信息匹配程度。
5.根據(jù)權(quán)利要求3所述的方法，其特征在于，當(dāng)用戶身份驗(yàn)證失敗時(shí)，還包括: 用戶端發(fā)送手機(jī)短信發(fā)送請(qǐng)求； 服務(wù)端收到所述請(qǐng)求后，獲取用戶信息，生成手機(jī)短信驗(yàn)證碼，并發(fā)送所述手機(jī)短信驗(yàn)證碼至用戶綁定的手機(jī)； 用戶收到手機(jī)短信驗(yàn)證碼后，在用戶端輸入所述手機(jī)短信驗(yàn)證碼，并發(fā)送至服務(wù)端； 服務(wù)端進(jìn)行短信驗(yàn)證碼驗(yàn)證，驗(yàn)證通過后，發(fā)送用戶身份驗(yàn)證通過的結(jié)果至用戶端。
6.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述生成交易圖片信息，包括: 根據(jù)交易信息、隨機(jī)會(huì)話密鑰、時(shí)間和用戶種子，生成交易驗(yàn)證碼； 根據(jù)交易信息和隨機(jī)會(huì)話密鑰，生成摘要信息； 生成底圖，并將摘要信息加入所述底圖； 將所述交易信息和交易驗(yàn)證碼加入所述包含摘要信息的底圖，生成交易圖片信息。
7.根據(jù)權(quán)利要求1或6所述的方法，其特征在于，所述依據(jù)隨機(jī)會(huì)話密鑰驗(yàn)證交易簽名，包括: 在用戶端輸入交易驗(yàn)證碼； 對(duì)交易圖片信息和交易驗(yàn)證碼用所述隨機(jī)會(huì)話密鑰進(jìn)行數(shù)字簽名； 發(fā)送所述數(shù)字簽名至服務(wù)端； 服務(wù)端驗(yàn)證所述數(shù)字簽名是否正確，并發(fā)送驗(yàn)證結(jié)果至用戶端。
8.一種網(wǎng)上交易安全認(rèn)證系統(tǒng)，其特征在于，包括:OTP控件、OTP控件服務(wù)器和OTP認(rèn)證平臺(tái)，其中， 所述OTP控件和OTP控件服務(wù)器，用于生成OTP控件與OTP控件服務(wù)器進(jìn)行加密通信的隨機(jī)會(huì)話密鑰，并依據(jù)所述隨機(jī)會(huì)話密鑰，驗(yàn)證OTP控件的用戶身份； 所述OTP認(rèn)證平臺(tái)，與OTP控件服務(wù)器相連，用于在收到OTP控件服務(wù)器發(fā)送的用戶身份驗(yàn)證通過的信息后，生成交易圖片信息，并依據(jù)所述隨機(jī)會(huì)話密鑰加密傳輸所述交易圖片信息至OTP控件；在OTP控件確認(rèn)所述交易圖片信息后，依據(jù)所述隨機(jī)會(huì)話密鑰驗(yàn)證交易簽名。
9.根據(jù)權(quán)利要求8所述的系統(tǒng)，其特征在于: 在生成隨機(jī)會(huì)話密鑰時(shí)，所述OTP控件用于生成隨機(jī)數(shù)，用預(yù)置的RSA公鑰加密所述隨機(jī)數(shù)，并發(fā)送至OTP控件服務(wù)器； 所述OTP控件服務(wù)器用于依據(jù)所述加密的隨機(jī)數(shù)生成隨機(jī)會(huì)話密鑰，并發(fā)送所述隨機(jī)會(huì)話密鑰至OTP控件。
10.根據(jù)權(quán)利要求8或9所述的系統(tǒng)，其特征在于: 在驗(yàn)證OTP控件的用戶身份時(shí)，所述OTP控件用于提取用戶機(jī)器信息，用所述隨機(jī)會(huì)話密鑰加密用戶機(jī)器信息，并發(fā)送至OTP控件服務(wù)器； 所述OTP控件服務(wù)器用于驗(yàn)證用戶機(jī)器信息匹配程度，當(dāng)用戶機(jī)器信息匹配程度符合預(yù)置條件時(shí)，用戶身份驗(yàn)證通過；當(dāng)用戶機(jī)器信息匹配程度不符合預(yù)置條件時(shí)，用戶身份驗(yàn)證失敗。
11.根據(jù)權(quán)利要求10所述的系統(tǒng)，其特征在于: 所述OTP控件服務(wù)器還用于生成抓取因子，并發(fā)送至OTP控件； 則所述OTP控件根據(jù)所述抓取因子提取用戶機(jī)器信息，用所述隨機(jī)會(huì)話密鑰加密用戶機(jī)器信息和抓取因子，并發(fā)送至OTP控件服務(wù)器； 所述OTP控件服務(wù)器依據(jù)所述抓取因子驗(yàn)證用戶機(jī)器信息匹配程度。
12.根據(jù)權(quán)利要求10所述的系統(tǒng)，其特征在于，當(dāng)用戶身份驗(yàn)證失敗時(shí)，還包括: 客戶端腳本模塊，用于發(fā)送手機(jī)短信發(fā)送請(qǐng)求； 所述OTP認(rèn)證平臺(tái)還用于收到所述請(qǐng)求后，獲取用戶信息，生成手機(jī)短信驗(yàn)證碼，并發(fā)送所述手機(jī)短信驗(yàn)證碼至用戶綁定的手機(jī)；還用于進(jìn)行短信驗(yàn)證碼驗(yàn)證，驗(yàn)證通過后，發(fā)送用戶身份驗(yàn)證通過的結(jié)果至客戶端腳本模塊。
13.根據(jù)權(quán)利要求8所述的系統(tǒng)，其特征在于，所述OTP認(rèn)證平臺(tái)包括: OTP算法驅(qū)動(dòng)模塊，用于根據(jù)交易信息、隨機(jī)會(huì)話密鑰、時(shí)間和用戶種子，生成交易驗(yàn)證碼； OTP業(yè)務(wù)系統(tǒng)，用于根據(jù)交易信息和隨機(jī)會(huì)話密鑰，生成摘要信息； 圖片服務(wù)器，用于生成底圖，并將摘要信息加入所述底圖；還用于將所述交易信息和交易驗(yàn)證碼加入所述包含摘要信息的底圖，生成交易圖片信息。
14.根據(jù)權(quán)利要求8或13所述的系統(tǒng)，其特征在于: 在驗(yàn)證交易簽名時(shí)，所述OTP控件用于輸入交易驗(yàn)證碼，對(duì)交易圖片信息和交易驗(yàn)證碼用所述隨機(jī)會(huì)話密鑰進(jìn)行數(shù)字簽名，并發(fā)送所述數(shù)字簽名至OTP認(rèn)證平臺(tái)； 所述OTP認(rèn)證平臺(tái)用于驗(yàn) 證所述數(shù)字簽名是否正確，并發(fā)送驗(yàn)證結(jié)果。
全文摘要
本申請(qǐng)?zhí)峁┝艘环N網(wǎng)上交易安全認(rèn)證方法及網(wǎng)上交易安全認(rèn)證系統(tǒng)，既能克服硬件存在的使用范圍、使用壽命及技術(shù)升級(jí)的問題，又能解決當(dāng)前網(wǎng)上交易面臨的防范釣魚、木馬、木馬釣魚能力較差的問題。所述方法包括生成用戶端與服務(wù)端進(jìn)行加密通信的隨機(jī)會(huì)話密鑰；所述服務(wù)器端依據(jù)所述隨機(jī)會(huì)話密鑰，驗(yàn)證所述用戶端的用戶身份；用戶身份驗(yàn)證通過后，所述服務(wù)器端生成交易圖片信息，并依據(jù)所述隨機(jī)會(huì)話密鑰加密傳輸所述交易圖片信息至用戶端；所述用戶端確認(rèn)所述交易圖片信息后，所述服務(wù)器端依據(jù)所述隨機(jī)會(huì)話密鑰驗(yàn)證交易簽名。
文檔編號(hào)H04L29/06GK103095662SQ201110346508
公開日2013年5月8日 申請(qǐng)日期2011年11月4日 優(yōu)先權(quán)日2011年11月4日
發(fā)明者鄧玉良 申請(qǐng)人:阿里巴巴集團(tuán)控股有限公司