[发明专利]一种抗摄像攻击的数字口令输入方法

说明书

本发明涉及一种抗摄像攻击的数字口令输入方法，属于信息安全领域。该方法将数字随机分成两个集合，用户通过选择对应集合的方式输入口令。同时该方法在改变用户输入口令的方式的基础上使用了辅助信道，在用户输入口令时隐蔽地向用户传递额外信息，混淆用户输入的内容，达到有效抵抗弱肩窥攻击和摄像攻击的目的。本发明适用于日常生活中移动支付、移动设备解锁时的口令输入。

技术领域

本发明属于信息安全领域，具体涉及一种抗摄像攻击的数字口令输入方法。

背景技术

口令，俗称“密码”，是一种广泛应用的身份认证机制。当前，移动支付、移动设备解锁等场景主要使用4到6位的数字口令实现身份认证。日常生活中，用户经常在公共场合进行移动支付、移动设备解锁等操作，需要输入数字型口令进行身份认证，输入过程中极易遭受到肩窥攻击。肩窥攻击是一种通过窥视用户口令输入过程，试图窃取用户口令的攻击手段。一般分为弱肩窥攻击和强肩窥攻击两种，其中弱肩窥攻击是指攻击者直接用肉眼从旁窥视用户的口令输入过程，通过记忆窃取用户口令的攻击方法；而强肩窥攻击是指攻击者使用摄像设备将用户的口令输入过程偷录下来，并在事后通过反复观看偷录的视频，以分析出用户真实口令的攻击方法。

针对数字型口令的输入过程易于受到肩窥攻击的问题，目前为止，许多研究人员已经设计出了各种抵抗肩窥攻击的数字型口令输入方案，但是大多用于防范弱肩窥攻击，而无法抵抗摄像攻击等强肩窥攻击。Roth等人在2004年提出的口令输入方法IOC(全称Immediate Oracle Choices)[V.Roth，K.Richter，R.Freidinger，“A PIN-entry methodresilient against shoulder surfing”，2004]是最有影响力的抗肩窥攻击口令输入机制之一。IOC口令输入方法将可输入的数字0到9随机分成两个集合，每个集合各5个数字，两个集合使用黑色和白色区分。被分入黑色集合的数字显示在屏幕上背景为黑色，字体为白色，被分入白色集合的数字显示时背景为白色，字体为黑色。输入数字时根据数字所在集合，选择相应颜色的按键，选择四次输入一位数字。IOC方法的具体步骤如下：

1)数字0到9随机分为黑白两个集合，每个集合各5个数字。屏幕显示对应的黑白数字键盘，黑色集合的数字显示为黑底白字，白色集合的数字显示为白底黑字。

2)用户从屏幕上的键盘中找到要输入的数字，若数字属于黑色集合，选择屏幕上的黑色按键；若数字属于白色集合，选择屏幕上的白色按键。

3)用户选择后，再依次进行步骤1)和步骤2)。四次选择就会唯一确定所要输入的数字，用户每进行步骤2)操作4次，就会输入口令中的一位数字。

4)4位数字的口令一共要进行16次步骤1)和16次步骤2)。

因为人类的短时记忆力和实时计算能力很有限，IOC能有效抵抗弱肩窥攻击。如果攻击者使用摄像设备记录用户口令输入过程，之后再反复回看录像，攻击者依然能够分析出用户的正确口令，摄像攻击的成功率为100％。因此，IOC只能抵抗弱肩窥攻击，不能防范摄像攻击等强肩窥攻击。

发明内容

本发明针对IOC方法无法抵抗摄像攻击的问题，提供了一种抗摄像攻击的数字口令输入方法。在用户选择前通过设备的振动情况来告知用户额外的隐藏信息，用户结合隐藏信息进行输入，不管攻击者进行弱肩窥攻击还是摄像攻击都无法获知该隐藏信息，因而能有效地抵抗弱肩窥攻击和摄像攻击。

本发明的目的就是为了解决IOC方法无法抵抗摄像攻击的问题，提供了一种抗摄像攻击的数字口令输入方法。本发明使用了设备的振动功能，在攻击者不能获得振动信道传递的信息的情况下，通过设备的振动情况向用户传递了隐藏信息。用户再结合隐藏信息进行输入，对于不知道隐藏信息的攻击者无法单单从用户的输入中推测出正确的口令，因而能有效地抵抗弱肩窥攻击和摄像肩窥攻击。本发明的目的通过以下技术方案来实现。

一种抗摄像攻击的数字口令输入方法，其特征在于，所述方法包括以下步骤：