[发明专利]基于位置认证的智能移动客户端支付方法及服务器系统

说明书

技术领域

本发明涉及网络安全通讯领域，具体涉及一种基于位置认证的智能移动客户端支付方法及服务器系统。

背景技术

信息安全的主要任务提供以下5种安全服务：身份认证服务、访问控制服务、数据保密服务，数据完整性服务和抗抵赖服务。其中身份认证服务实现网络安全的重要服务之一，它是网络应用系统中的第一道防线，是安全的网络系统的门户。涉及网络通信的各方必须通过某种形式的身份认证机制来证明它们的身份。目前主流的身份认证方式有3种，一种是传统的“用户名+口令”的基本认证方式，一种是基于生物特征的认证方式如人的指纹和虹膜，最后一种是基于“口令+硬件加密设备(如动态口令卡、USBKEY)”的双因素认证方式。传统的“用户名+口令”的认证方式其口令很容易被截取，安全性很低。基于生物特征的认证方式虽然安全性很高，但由于成本和技术的原因其应用有限。因此基于“口令+硬件加密设备”的双因素认证方式是目前电子商务和电子政务中广泛采用的身份认证机制

近年随着智能手机的移动支付越来越普及，安全问题成为一个重要挑战。一方面由于手机病毒、钓鱼链接、支付环境复杂、快捷支付验证环节简化等影响，使用基于账户密码的身份认证并不能提供足够的安全保障，在支付过程中在账号密码的基础上添加基于位置认证，可以提高支付的安全性。另一方面智能手机是开放系统，手机上的app可能篡改伪造位置信息，对需要真实位置的服务造成影响，尤其可能欺骗基于位置的认证应用。

发明内容

本发明针对上述现有技术中存在的技术问题，提供一种基于位置认证的智能移动客户端支付方法及服务器系统，大幅度增加了系统的可扩展性和重用性，在支付过程中在账号密码的基础上添加基于位置认证，可以有效提高支付的安全性。

为达到上述目的，本发明所采用的技术方案如下：

一种基于位置认证的智能移动客户端支付方法，由移动客户端生产包含城市级别的位置信息，生成订单时在身份认证的基础上，智能移动客户端需要同时向服务器系统上传位置信息，服务器系统通过算法进行位置认证，对于可信的位置即可直接完成移动客户端的电子订单，对于不可信的位置，则要求用户进行更高级别的身份认证；如果支付时遇到问题导致暂时难以获得其位置信息，则移动客户端查询之前使用过的位置信息，如果时间戳在可接受范围内，则上传该记忆位置信息至服务器，否则，认为位置认证失败，要求客户端进行更高级的身份认证。

所述服务器系统通过算法进行位置认证的具体方法是：采取时钟T这个动态因素，在位置认证的初始阶段，当用户在客户端登陆并向资源服务器发出资源访问请求时，系统提示用户输入用户名ID和密码PW，同时产生系统时钟T，然后调用RSA算法(RSA公钥密码算法是一种公认十分安全的公钥密码算法)，用自己的私匙Ke计算出M＝H(ID，PW，T)，再将数据(ID，M)发送到服务器端，服务器端收到数据M后，查询用户数据库，得到用户密码PW’以及用户公匙Kd，同时系统采用上述相同方法计算得出时间因素T’，然后调用RSA算法，用用户的公匙Kd对M进行解密得到ID、PW和T，再将PW与PW’，T与T’分别进行比较，只有当它们都匹配的时候才能通过客户端的身份认证。

所述时间戳不超过5min。

一种基于位置认证的智能移动客户端支付的服务器系统，用于完成上述的支付方法的位置认证，包括以下模块组成：

-位置认证模块

对于客户端上传到服务器的位置信息进行认证，并为通过位置认证的用户生成一个全局会话Session。

位置认证模块还要实现服务器端监听线程，对于每个请求认证的客户专门使用一个线程，处理与相应客户端的所有事务。

-系统管理模块

系统管理模块主要实现一个服务器主线程，处理相应的事务；

系统针对每一个连接的用户创建一个单独的线程，当用户通过服务器的身份认证后，会产生一个全局会话Session，驻留在服务器内存中，服务器处理该用户的一些服务请求时会参考Session里的信息；

Session包括用户ID，用户IP，用户名，创建时间，生存时间，访问权限等；

系统管理模块还实现了对系统管理的接口。其主要功能有：数据库接口，设定数据库连接，以便于和后台数据库通讯。创建数据表格并且生成相应数据；

-用户模块

用户帐号管理，包括增加、删除、修改用户帐号，修改密码，修改密匙，修改密匙有效期，修改权限等功能；

其中的用户管理主要包括两个方面的内容，分别为：新用户注册和用户信息更新。

这些信息被保存在数据库中，以备系统调用；