[发明专利]一种抗口令猜测重放攻击的身份验证方法

摘要

本发明涉及身份鉴别技术领域，特别是一种抗口令猜测重放攻击的身份验证方法。本发明首先将服务器与需要身份验证的用户浏览器进行时间同步；然后用户浏览器通过https机制获取一个共享密钥；获取当前的时间戳；用户浏览器端使用共享密钥把用户名和时间戳一起与密码进行加密；然后整个身份验证信息用共享密钥再次加密；然后服务器端进行两次解密，获得两份身份验证信息；然后分别进行对比，如果完全一致，那么把时间戳与当前时间对比，最后验证信息中的用户名密码的组合是否与系统中保存的用户名密码组合是否一致，如果一致，那么执行验证通过。本发明避免了通过口令猜测攻击身份验证；可以用于Web应用的身份验证。

主权项

一种抗口令猜测重放攻击的身份验证方法，其特征在于，所述的方法包括以下步骤：步骤1：服务器与需要身份验证的用户浏览器分别在互联网上进行时间同步，确保两边的系统时间保持一致；步骤2：用户浏览器通过https机制获取一个共享密钥；步骤3：每次需要进行身份验证前，用户浏览器端获取当前的时间戳；步骤4：用户浏览器端使用共享密钥把用户名和时间戳一起与密码进行加密；步骤5：整个身份验证信息用共享密钥再次加密，如下面的构造：{用户名，时间戳，本次密码+{用户名，时间戳，本次密码}共享密钥}共享密钥加密完成后，用户浏览器把上述信息作为消息体传送到服务器端；步骤6：服务器端获得身份验证信息的密文以后，进行第一次解密，获得第一份身份验证信息和一份密文，继续对密文进行第二次解密，获得第二份身份验证信息；步骤7：把第一份身份验证信息和第二份身份验证信息中的用户名、时间戳和本次密码分别进行对比，如果完全一致，那么执行步骤8，否则，可能是重放攻击，执行步骤11；步骤8：把身份验证信息中的时间戳与当前时间对比，如果超出允许的时间范围，可能是重放攻击，执行步骤11，否则，执行步骤9；步骤9：验证信息中的用户名密码的组合是否与系统中保存的用户名密码组合是否一致，如果一致，那么执行步骤10，否则，执行步骤11；步骤10：返回验证通过的响应消息到用户浏览器；步骤11：返回验证不通过的响应消息到用户浏览器。