CN101621794A

CN101621794A - 一种无线应用服务系统的安全认证实现方法

Info

Publication number: CN101621794A
Application number: CN200910054451A
Authority: CN
Inventors: 董志
Original assignee: Individual
Current assignee: Individual
Priority date: 2009-07-07
Filing date: 2009-07-07
Publication date: 2010-01-06

Abstract

一种无线应用服务系统的安全认证实现方法，其实现包括如下过程：(1)移动通信客户终端在发起服务请求时，通过对用户名、密码和终端IP地址进行加密和鉴权计算，将鉴权值附加在加密数据后，发送给业务控制服务器；(2)所述业务控制服务器对所述移动通信客户终端发送的安全认证请求数据进行鉴权和解密过程，并验证解密后得到的用户名和密码。鉴权和用户名密码验证通过后，所述业务控制服务器对服务器端IP地址进行加密并附加鉴权值，发送给所述移动通信客户终端；(3)所述移动通信客户终端对所述业务控制服务器发送的鉴权安全认证请求数据进行鉴权并验证通过后，发送双向鉴权安全认证过程成功消息，安全认证过程完成。

Description

一种无线应用服务系统的安全认证实现方法

技术领域

本发明涉及一种无线应用服务系统的安全认证实现方法。特别的，本发明所述无线应用服务系统包含业务控制服务器设备和移动通信客户终端，本发明提供了一种在所述服务器和客户终端之间进行双向鉴权、加密以及验证用户安全密码的安全认证方法。

背景技术

无线通信网络目前在技术上已经比较成熟，并得到了广泛的应用。其中公共无线通信网，包括比如GSM/GPRS/EDGE、WCDMA/HSDPA/HSUPA/HSPA+、CDMA/CDMA2000/CDMA2000-EVDO、TD-SCDMA和LTE系统等，其优势在

于覆盖范围非常广，用户可以方便的漫游到各个国家或地区。在公共无线通信网内手机等智能移动通信终端的使用非常便利和广泛，已经成为当前人们生活中必不可少的个人电子设备。而无线局域网如WIFI等系统则具有组网方便灵活、辐射低、用户可用带宽较大等优点。

现有的无线应用服务系统，客户端基本上通过用户名、密码和随机产生的附加码通过加密后发送到服务器端，进行用户名和密码的身份认证，防止恶意用户伪造身份登录。用户名/密码方式是最简单也是最常用的身份认证方法，每个用户的密码是由这个用户自己设定的，只有他自己才知道，因此只要能够正确输入密码，计算机就认为他就是这个用户。然而实际上，由于许多用户为了防止忘记密码，经常采用诸如自己或家人的生日、电话号码等容易被他人猜测到的有意义的字符串作为密码，或者把密码抄在一个自己认为安全的地方，这都存在着许多安全隐患，极易造成密码泄露。即使能保证用户密码不被泄漏，由于密码是静态的数据，并且在验证过程中需要在计算机内存中和网络中传输，而每次验证过程使用的验证信息都是相同的，很容易驻留在计算机内存中的木马程序或网络中的监听设备截获。因此用户名/密码方式一种是极不安全的身份认证方式。

一些网上银行服务系统，通过给客户提供USB Key的方式，将密钥或数字证书保存在USB存储设备中，并利用USB Key内置的密码学算法实现对用户身份的认证。基于USB Key身份认证系统主要有两种应用模式：一是基于冲击/相应的认证模式，二是基于PKI体系的认证模式。但通过USB Key的方式没有考虑服务器和用户之间的身份双向认证问题，即只考虑了服务器对可能假冒的用户的身份认证，没有考虑用户对可能假冒的服务器的身份认证。同时目前的身份认证方式也没有实现加密令牌的动态产生。动态产生加密令牌技术，即一次一密的好处是用户每次使用的密码都不相同，即使黑客截获了一次密码，也无法利用这个密码来仿冒合法用户的身份。

发明内容

本发明要解决的技术问题是：提供一种在无线应用服务系统中，业务控制服务器端设备和移动通信客户终端之间有效进行双向身份安全认证的方法，以保证用户和服务器的身份不被恶意伪造，保护认证信息不被窃取。

为了解决上述问题，本发明提供了一种在无线应用服务系统中，业务控制服务器端设备和移动通信客户终端之间进行双向鉴权安全认证的实现方法。该方法包括了对用户身份认证等信息进行加密的过程，服务器端和客户端之间进行双向鉴权的过程，以及在鉴权过程中使用动态随机数令牌来保证一次一密的方法。

本发明包含如下特征：

1.在业务控制服务器上产生并保存特定用户对应的加密和鉴权密钥文件，同时产生一组随机数，并将该文件和随机数组一起写入到智能存储卡中。用户使用的移动通信客户终端与所述智能存储卡接口，在需要进行身份认证时读出该加密、鉴权密钥文件和随机数组。

2.所述业务控制服务器为每个用户保存其设定的手机号码、用户名和密码信息，以及用户对应的加密、鉴权密钥文件和随机数组。业务控制服务器使用不同用户的用户名和密码对该用户所在的数据区进行数据访问控制，防止非授权用户获取其他用户的私密数据信息。

3.所述移动通信客户终端上运行客户端安全认证应用程序，在发起安全认证请求时，首先访问所述智能存储卡，获取对应的加密、鉴权密钥和随机数组。然后所述安全认证应用程序通过该加密密钥和指定加密算法对该用户输入的用户名、密码及所述移动通信客户终端的IP地址等信息进行加密。最后所述安全认证应用程序通过在所述随机数组中顺序选取的随机数和鉴权密钥，以指定鉴权算法对得到的加密数据进行计算得到鉴权MAC-I值，把该鉴权值附加在加密数据最后。

4.所述移动通信客户终端通过短信、彩信或者通话中的DTMF等方式将所述特征3中得到的加密数据流发送到所述业务控制服务器。

5.所述业务控制服务器上运行的服务器端安全认证应用程序，接收到所述移动通信客户终端发送过来的加密数据，首先通过以该移动通信客户终端的手机号码作为索引，获得该用户保存的鉴权密钥和随机数组，通过鉴权密钥和按与该移动通信客户终端同样顺序获取的随机数，用指定鉴权算法算出鉴权值。如果该计算得到的鉴权值同所述移动通信客户终端发送过来的加密数据末尾附加的鉴权MAC-I值一致，则进行下一步的解密和用户名和密码认证。

6.所述业务控制服务器以所述移动通信客户终端的手机号码作为索引，获得该用户保存的加密密钥和用户名、密码。所述业务控制服务器以指定加密算法对接收的加密数据流进行解密。解密后得到该移动通信客户终端发送过来的用户名和密码，并将其同在服务器端保存的用户名和密码进行比对，如果匹配正确则认为服务器端对移动通信客户终端的鉴权认证通过。

7.所述业务控制服务器用该移动通信客户终端对应的加密密钥将服务器的IP地址等信息进行加密，并在加密流后，获取该用户本次使用随机数组的顺序下一个随机数。把通过鉴权密钥、此随机数和指定鉴权算法得到的鉴权MAC-I值，附加到消息的末尾。最后所述业务控制服务器以短信、彩信或者通话中的DTMF方式发送给所述移动通信客户终端。

8.所述移动通信客户终端收到所述业务控制服务器发送过来的数据后，选取该用户上次使用随机数组的顺序下一个随机数，利用智能存储卡上的鉴权密钥和指定鉴权算法进行鉴权计算，并得到鉴权MAC-I值。如果计算的MAC-I值与发送过来数据流末尾附带的MAC-I值一致，则认为所述移动通信客户终端对所述业务控制服务器的鉴权完成，并将通过解密密钥和指定解密算法得到并保存业务控制服务器的IP地址等信息。最后所述移动通信客户终端向所述业务控制服务器发送双向鉴权成功消息，整个双向鉴权安全认证过程结束。

本发明通过上述方法，可以有效的防止恶意用户窃取合法用户的用户名和密码信息，同时能够有效的对移动通信客户终端用户和业务控制服务器间双向进行身份鉴权，通过使用动态随机数产生鉴权令牌的方法，保证了一次一密的实现，更有效地防止了密钥信息被盗用带来的后果。

附图说明

图1是本发明的无线应用服务系统架构示意图。

图2是本发明的移动通信客户终端的安全认证应用程序示意图。

图3是本发明的业务控制服务器的安全认证应用程序示意图。

图4是本发明的加密数据流示意图。

图5是本发明的业务控制服务器和移动通信客户终端交互过程示意图。

具体实施方式

下面将结合附图和实施对本发明进行详细的描述。

图1是本发明的无线应用服务系统架构示意图。

图中101为业务控制服务器，102为智能存储卡，103为移动通信客户终端。所述无线应用服务系统包括了一个业务控制服务器，一个或多个使用无线通信网的移动通信客户终端，一个或多个智能存储卡设备。

业务控制服务器101通过天线与无线通信网进行通讯，并通过与智能存储卡102间的读写接口，将生成特定用户的加密和鉴权密钥文件、随机数组写入到智能存储卡中。102被特定用户在移动通信客户终端103上使用，通过103与102的接口，读出该用户的加密和鉴权密钥文件、随机数组，以便在安全认证程序交互过程中使用。

移动通信客户终端上运行的客户端安全认证应用程序，在开始后根据用户请求进行安全认证过程，包括如下步骤：

a1：将当前随机数下标初始化为0。

a2：判断是否收到请求进行服务安全认证，如果是则转入a3，否则继续在a2等待请求。

a3：访问智能存储卡，获取对应的加密和鉴权密钥、随机数组。

a4：用加密密钥和加密算法加密用户名、密码及IP地址，得到加密数据。

a5：以当前随机数下标获取随机数组中的随机数。

a6：以鉴权密钥及a5得到的随机数，用指定鉴权算法对a4得到的加密数据进行计算得到MAC-I值。

a7：将MAC-I鉴权值附加在加密数据的最后。

a8：通过短信、彩信或者通话中的DTMF等方式将加密数据流发送到业务控制服务器。

a9：是否收到业务控制服务器发送的认证数据流，如果是则进入a10，否则在经过一段时间后认为安全认证失败，返回a2等待请求。

a10：以当前随机数下标加1，如果下标超过最大下标则回绕到0，得到临时随机数。

a11：利用智能存储卡上的鉴权密钥和临时随机数进行指定鉴权解密计算，并得到鉴权MAC-I值。

a12：判断计算的MAC-I值与接收数据流附带的MAC-I值是否一致，如果一致则进入a13，否则认为安全认证失败，返回a2等待请求。

a13：通过解密密钥和指定解密算法解密数据流。

a14：保存解密后的业务控制服务器IP地址等信息。

a15：保存当前随机数＝临时随机数。

a16：发送双向鉴权安全认证过程成功通知消息。

a17：双向鉴权安全认证过程完成。

图3是本发明的业务控制服务器的安全认证应用程序示意图。

业务控制服务器上运行的服务器端安全认证应用程序，在开始后准备接收客户端的请求进行安全认证过程，包括如下步骤：

b1：将当前随机数下标初始化为0。

b2：判断是否收到移动通信客户终端通过短信、彩信或者通话中的DTMF等方式发送的安全认证请求加密数据，如果是则进入b3，否则继续在b2等待客户端请求。

b3：以该移动通信客户终端的手机号码作为索引，获得该用户保存的鉴权、加密密钥和随机数组。

b4：以当前随机数下标获取随机数组中的随机数。

b5：以鉴权密钥和指定鉴权算法对该加密数据计算得到MAC-I值。

b6：判断计算的MAC-I值与接收数据流附带的MAC-I值是否一致，如果是则进入b7，否则认为安全认证失败，返回b2等待客户端请求。

b7：通过解密密钥和指定解密算法解密数据流。

b8：保存解密后的用户名、密码和IP地址等信息。

b9：同在服务器端保存的用户名和密码进行比对后判断是否匹配，如果是则进入b10，否则认为安全认证失败，返回b2等待客户端请求。

b10：用该移动通信客户终端对应的加密密钥将服务器的IP地址等信息进行加密。

b11：以当前随机数下标加1，如果下标超过最大下标则回绕到0，得到的临时随机数。

b12：以鉴权密钥和指定鉴权算法计算得到MAC-I值。

b13：将MAC-I鉴权值附加在二进制加密数据流加密流最后。

b14：通过短信、彩信或者通话中的DTMF等方式将二进制加密数据流发送到该移动通信终端。

b15：收到终端双向鉴权安全认证过程成功消息。

b16：保存当前随机数＝临时随机数。

b17：双向鉴权安全认证过程完成。

图4是本发明的加密数据示意图。

c1数据流为所述移动通信客户终端发送给所述业务控制服务器的安全认证数据。被加密的数据包括了用户名、密码和终端IP地址。通过使用随机数、鉴权密钥，以指定鉴权算法对加密后的用户名、密码和终端IP地址数据进行鉴权计算，得到鉴权MAC-I值，附加在安全认证数据流的最后。

c2数据流为所述业务控制服务器发送给所述移动通信客户终端的安全认证数据流。被加密的数据包括了服务器IP地址。通过使用随机数、鉴权密钥，以指定鉴权算法对加密后的服务器IP地址数据进行鉴权计算，得到鉴权MAC-I值，附加在安全认证数据流的最后。

图5是本发明的业务控制服务器和移动通信客户终端交互过程示意图。。

首先移动通信客户终端发送客户端鉴权安全认证请求消息，通过对用户名、密码和终端IP地址进行加密并附加鉴权值后，发送给所述业务控制服务器；

然后所述业务控制服务器对客户端发送的请求消息鉴权和安全密码验证通过后，发送服务器端鉴权安全认证请求消息，通过对服务器端IP地址进行加密并附加鉴权值后，发送给所述移动通信客户终端；

最后所述移动通信客户终端通过对服务器端发送的请求消息鉴权验证通过后，发送双向鉴权安全认证过程成功通知消息，整个双向鉴权安全认证过程完成。

Claims

1、一种无线应用服务系统的安全认证实现方法，其特征在于，包括如下交互过程：

(1)无线应用服务系统中的移动通信客户终端在发起用户服务请求时，通过对用户名、密码和终端IP地址进行加密，并对加密数据进行鉴权计算，将得到鉴权值附加在加密数据后，发送给业务控制服务器；

(2)所述业务控制服务器对所述移动通信客户终端发送的客户端安全认证请求数据进行鉴权和解密过程，并验证解密后得到的用户名和密码。鉴权和用户名密码验证通过后，所述业务控制服务器对服务器端IP地址进行加密并附加鉴权值在加密数据后，发送给所述移动通信客户终端；

(3)所述移动通信客户终端对所述业务控制服务器发送的服务器端鉴权安全认证请求数据进行鉴权并验证通过后，发送双向鉴权安全认证过程成功通知消息，整个双向鉴权安全认证过程完成。

2、如权利要求1所述无线应用服务系统的安全认证实现方法，其特征在于，所述业务控制服务器上产生并保存特定用户对应的加密、鉴权密钥文件及一组随机数，并将该文件和随机数组一起写入到智能存储卡中。用户使用的所述移动通信客户终端与所述智能存储卡接口，在需要进行安全认证时读出该加密、鉴权密钥文件和随机数组。

3、如权利要求1所述无线应用服务系统的安全认证实现方法，其特征在于，所述业务控制服务器为每个用户保存其设定的手机号码、用户名和密码信息，以及用户对应的加密、鉴权密钥文件和随机数组。所述业务控制服务器使用不同用户的用户名和密码对该用户所在的数据区进行数据访问控制，防止非授权用户获取其他用户的私密数据信息。

4、如权利要求1所述无线应用服务系统的安全认证实现方法，其交互过程(1)包括如下步骤：

步骤1：所述移动通信客户终端上运行的安全认证应用程序访问所述智能存储卡，获取对应的加密、鉴权密钥和随机数组。

步骤2：所述安全认证应用程序通过该加密密钥和指定加密算法对该用户输入的用户名、密码及所述移动通信客户终端的IP地址等信息进行加密。

步骤3：所述安全认证应用程序通过在所述随机数组中顺序选取的随机数和鉴权密钥，以指定鉴权算法对步骤2得到的加密数据进行计算得到鉴权MAC-I值，把该鉴权值附加在加密数据最后。

步骤4：所述移动通信客户终端通过短信、彩信或者通话中的DTMF等方式将所述步骤3中得到的加密数据发送到所述业务控制服务器。

5、如权利要求1所述所述无线应用服务系统的安全认证实现方法，其交互过程(2)，包括如下步骤：

步骤1：所述业务控制服务器上运行的服务器端安全认证应用程序，接收到所述移动通信客户终端发送过来的加密数据后，首先通过以该移动通信客户终端的手机号码作为索引，获得该用户保存的鉴权密钥和随机数组。

步骤2：所述业务控制服务器通过鉴权密钥和按与该移动通信客户终端同样顺序获取的随机数，用指定鉴权算法算出鉴权值。如果该计算得到的鉴权值同所述移动通信客户终端发送过来的加密数据末尾附加的鉴权MAC-I值一致，则进行步骤3。否则安全认证过程失败。

步骤3：所述业务控制服务器以所述移动通信客户终端的手机号码作为索引，获得该用户保存的加密密钥和用户名、密码。所述业务控制服务器以指定加密算法对接收的加密数据流进行解密。解密后得到该移动通信客户终端发送过来的用户名和密码，并将其同在服务器端保存的用户名和密码进行比对，如果匹配正确则认为服务器端对移动通信客户终端的鉴权认证通过。

步骤4：所述业务控制服务器用该移动通信客户终端对应的加密密钥将服务器的IP地址等信息进行加密。通过获取该用户本次使用随机数组的顺序下一个随机数和鉴权密钥，以指定鉴权算法得到的鉴权MAC-I值，把该鉴权值把附加到加密数据的末尾。

步骤5：所述业务控制服务器以短信、彩信或者通话中的DTMF方式发送给所述移动通信客户终端。

6、如权利要求1所述所述无线应用服务系统的安全认证实现方法，其交互过程(3)，包括如下步骤：

步骤1：所述移动通信客户终端收到所述业务控制服务器发送过来的加密数据后，选取该用户上次使用随机数组的顺序下一个随机数，利用智能存储卡上的鉴权密钥和指定鉴权算法进行鉴权计算，并得到鉴权MAC-I值。如果计算的MAC-I值与发送过来数据流末尾附带的MAC-I值一致，则认为所述移动通信客户终端对所述业务控制服务器的鉴权完成。

步骤2：所述移动通信客户终端通过解密密钥和指定解密算法得到并保存业务控制服务器的IP地址等信息。

步骤3：所述移动通信客户终端向所述业务控制服务器发送双向鉴权成功消息。