[发明专利]一种动态口令认证方法、装置及系统

说明书

技术领域

本发明涉及安全认证技术领域，尤其涉及一种动态口令认证方法、装置及系统。

背景技术

随着网络的发展，电子商务以及基于网络的交易越来越普遍，互联网的安全问题越来越突出。传统的静态密码认证方法，即静态的用户名加密码的认证方法，存在很多安全隐患，很难抵御黑客的攻击。例如，传统的静态密码认证方法，容易在网络上被监听，造成信息泄露；账户和密码信息容易被截获，而被冒名登录；并且，静态密码容易被熟人猜测获得。尽管有些公司要求客户至少90天更换一次密码，但是这种静态密码认证的方法仍然容易造成客户财产的损失，并且影响公司的声誉。

为了防止不断演变的网络攻击，出现了许多改进的安全认证方法，其中，一种比较有效方法采用动态口令(One Time Password，OTP，又称一次性密码)进行认证，在每次认证时都会生成一个新的密码。实际应用中，一种方法是采用硬件形式的动态口令卡生成动态口令，动态口令卡是一个可以生成随机动态口令的硬件设备，由用户本人拥有，该硬件设备利用时间同步序列，结合存储的特征信息(如随机种子、序列表等唯一信息)，按照特定算法计算生成当前时刻的动态口令并显示给用户。可见，动态口令卡的主要作用是生成一个动态口令，并通过物理设备前端的显示屏显示给用户，以供用户进行身份认证，每一个动态口令都是一次性的。然而，采用硬件形式的动态口令卡成本较高，并且一般硬件设备都具有一定的生命周期，需要对硬件设备进行升级或重新购买，成本较高。

在另一种OTP认证方法中，采用短消息服务(Short Message Service，SMS)发送动态口令，即采用移动终端取代硬件形式的动态口令卡，在携带移动终端的用户需要进行登录认证时，认证服务器验证用户的个人识别码，并在验证通过后发送包含有动态口令的短消息至用户的移动终端，用户采用短消息中包含的动态口令进行登录认证。采用短消息服务发送动态口令的方式虽然能够节约成本，但是由于短消息中包含的动态口令为文本形式，且没有进行加密保护，存在一定的安全隐患。例如，一些用户经常会将手机遗留在办公桌上，其他人容易获取短消息中包含的动态口令，甚至有些黑客能够使用特殊的通信设备截获无线传送的包含动态口令的短消息，而一旦被截获的动态口令有效，就可能会被冒名登录。

发明内容

有鉴于此，本发明提供了一种动态口令认证方法，能够避免动态口令被非法获取或截获，提高了动态口令认证的安全性。本发明还提供了一种动态口令认证装置及系统。

根据本发明的实施方式，提供一种动态口令认证方法，包括：

接收用户的认证请求，根据所述认证请求生成数字序列，按照用户设定的算法基于所述数字序列计算获得第一动态口令；

将所述数字序列发送给所述用户；

接收所述用户自身基于所述数字序列计算获得的第二动态口令，并将所述第二动态口令和所述第一动态口令进行比较，若两者相同则认证成功，否则认证失败。

从上述方案可以看出，在接收用户的认证请求后，根据该认证请求生成数字序列，按照用户设定的算法基于该数字序列计算得到第一动态口令，并将数字序列发送至用户；接收用户自身基于收到的数字序列计算获得第二动态口令，将该第二动态口令与第一动态口令进行比较，以针对用户的认证请求进行认证，从而避免了直接将动态口令发送给用户而存在的安全隐患，提高了发送动态口令的安全性，且由用户自身基于数字序列计算第二动态口令，避免了在硬件设备上保存设定的算法进行第二动态口令计算所存在的安全隐患。

可选地，接收所述用户通过认证代理发送的所述认证请求；将所述数字序列发送给所述认证代理，由所述用户从所述认证代理获取所述数字序列；接收所述用户通过所述认证代理发送的所述第二动态口令。

较佳地，接收所述用户通过认证代理发送的所述认证请求；将所述数字序列发送至短消息中心，由所述短消息中心将所述数字序列发送至所述用户的移动终端，由所述用户从所述移动终端获取所述数字序列；接收所述用户通过短消息中心或所述认证代理发送的第二动态口令。

较佳地，将所述数字序列携带在短消息中发送给所述短消息中心，由所述短消息中心将携带有所述数字序列的短消息发送至所述用户的移动终端。