[发明专利]一种安全口令认证设备

说明书

技术领域

本发明涉及信息安全领域，尤其涉及一种计算机信息处理过程中用户输入口令的设备，根据本发明的方法可以增强用户认证过程的安全性。

背景技术

Internet的迅速发展导致网络应用种类和数量的大量增多和商业化趋势的不断增强。随着木马窃取用户个人信息的增多，网上账户的安全性越来越受到威胁。木马通过记录用户键盘输入的信息和拷贝屏幕等方式可以获取用户登录网上账户时输入的口令。一旦用户口令失窃，即使是安全强度高的系统也难以阻挡黑客的侵入。木马的泛滥使得各种网络应用频繁出现用户口令失窃的事件，典型的如：QQ网上聊天工具。网上银行的出现和大量使用，则使得木马窃取口令的危害更大，也更加直接。

目前，已经有一些防止木马窃取口令的方法。例如：

(1)鼠标点击模拟键盘

在屏幕上显示模拟键盘，用户通过鼠标点击模拟键盘输入密码。这样做虽然没有键盘的输入，但木马依然可以通过在鼠标点击时拷贝屏幕获得点击的按键；

(2)密码输入框保护

防止木马从密码输入框中取得密码；

(3)模拟键盘置乱

在屏幕上显示置乱后的模拟键盘，用户键入按键在模拟键盘中对应的按键编号。这样做使得木马所截获的按键输入是经过置乱的。但其弱点是如果木马结合拷贝屏幕，就能够知道模拟键盘的布局，从而根据按键输入(即按键编号)推出真正的按键。

上述方法的缺点是，用户的交互可能完全在木马的监控之下，即使在一定程度上可以防止木马对真实口令的窃取，但仍不能从根本上解决问题。

本专利的目的在于增强用户口令认证过程的安全性，尤其是网上账户口令认证过程的安全性，防止木马窃取用户口令信息。

发明内容

本发明要解决的技术问题在于避免现有技术的不足而提出一种防止木马窃取口令的设备。采用该设备能够使木马在用户认证过程中无法获取到用户的口令信息。

本发明解决所述技术问题可以通过以下设备实现：

该设备(即口令输入保护设备)能够在计算机等信息处理设备接收到键盘信号之前对口令键盘输入进行变换和保护。这样在用户通过键盘输入口令等认证信息的过程中，计算机内的木马所截获到的信息为已受保护的形式，由此不能获得真正的口令等认证信息。计算机上的目标应用程序在收到已施加保护的用户认证信息后，可根据该信息有效验证用户的身份。

该设备的逻辑连接如图1。该设备位于键盘输入部件和计算机之间，用户通过键盘输入部件输入的按键信息首先发送到该设备，然后再由该设备发给计算机，该设备能够对按键信息进行变换处理。

该设备的典型工作过程为：

(1)计算机上的目标应用程序通过界面提示用户进行认证；

(2)用户通过键盘输入用户标识；

(3)计算机上的目标应用程序收到用户标识后，提示用户一个一次性的编码(同一用户每次登录生成的一次性编码都不相同)；

(4)用户启动该设备的口令保护功能；

(5)用户通过键盘输入一次性编码和口令；

(6)用户关闭该设备的口令保护功能；

(7)该设备对输入的一次性编码和口令进行变换(尤其是高强度的密码变换)，把变换后的信息转换成键盘信号发给计算机；

(8)计算机上的目标应用程序收到已施加变换的键盘输入信息后，根据自己掌握的该用户的关键信息(用户口令等)，执行同样的变换，验证用户所输的信息是否正确。

(9)如果通过验证，计算机上的目标应用程序反馈登录成功，否则登录失败。

采用该设备时，口令输入信息的变换和保护过程如图2。用户通过键盘输入一次性编码和口令，口令输入保护设备对用户输入的一次性编码和口令执行单向变换，变换后的信息为一次性口令，口令输入保护设备把一次性口令转化为键盘信号发给计算机。一次性口令转化为键盘信号的方式为：一次性口令一般为二进制数形式，可以把二进制数的十六进制表示(如323EA5...)转化为对应的键盘信号。

采用该设备时，口令输入信息的验证过程如图3。目标应用根据本次登录的一次性编码和自己掌握的该用户的口令，执行与口令输入保护设备相同的变换，获得参考的一次性口令，并与自己收到的一次性口令进行比较。若比较一致，该用户为合法用户；否则为非法用户。