[发明专利]一种双向双因子认证方法

说明书

技术领域

本发明提出一种双向双因子认证方法.该方法适用于基于网络的用户和服务认证.

背景技术

用户在访问某种基于网络的服务时，有两个问题需要解决.首先，服务器需要确认用户的身份，以保证该用户身份的合法性和访问权限.其次，用户需要确认服务器的身份，以保证其获得的服务是合法的，并保证用户所提交的信息是被合法的服务器所接收.

目前绝大部分的认证都是单向的，即只有服务器对用户的身份认证，而缺少用户对服务器的认证.其结果是用户可能向非法服务器泄露个人隐私和保密信息.同时，服务器对用户的身份认证也存在安全问题.目前应用最普遍的用户认证方式都是基于密码的(即用户知道什么).这种认证方式简单，容易实施，但安全性很低。任何知道某个用户密码的人，都可以用该用户的身份获得服务，并访问该用户的隐私和保密信息.由于有很多种方式可以用来窃取用户密码，如通过病毒和木马软件，字典攻击，钓鱼攻击等，因此单一的基于密码的用户认证方式无法保证用户的安全.虽然更安全的用户认证方式，如基于安全令牌或手机短信的一次性密码或数字证书(用户持有什么)或基于用户的身体特征的指纹或面部识别(用户有什么特征)，可以大幅提高安全性.但是，由于实施复杂，费用较高，并且给用户的使用带来不便，它们的应用有着很大的局限性.另外，这些高级用户认证方式也都是单向的，没有考虑用户对服务器的认证.

目前绝大部分用户对服务器的认证方式都是基于数字证书.在用户访问某个服务时，服务器向用户提供其数字证书.如果该数字证书被确认合法，则提供该证书的服务器也被确认合法.这种认证方式的缺陷是，绝大部分用户都没有足够的知识来识别数字证书的真伪.因此一个拥有合法证书的服务器可以冒充其它的服务器，而不被用户识别.获得一个合法的数字证书并不困难.

发明内容

本发明提供一种基于密码和注册信息的新的双向双因子认证方法，有效地克服现有认证方式的不足.所述认证方法一方面可以提高服务器对用户认证的安全性，降低用户密码被窃取所带来的风险，另一方面，可以提供用户对服务器的认证，防止用户向非法服务器提供个人隐私和保密信息.所述认证方法和现有的基于密码的认证方式完全兼容，不需要改变用户的使用习惯，并且可以完全用软件实现.

所述双向双因子认证方法采用的技术方案是：用户A首先向服务器B注册，提供密码和N个其它注册信息(注册信息1，注册信息2，直至注册信息n).用户A在每次获得服务器B的服务时，所述双向双因子认证方法将执行以下的步骤：

(101)用户A向服务器B发出访问请求；

(102)服务器B向用户A发出密码请求；

(103)用户A向服务器B提交密码；

(104)服务器B检查用户A所提交的密码.如果密码错误，可以回到步骤102，或服务器B认为用户认证失败，终止服务.如果密码正确，执行步骤105；

(105)服务器B从用户A的N个注册信息中选择一个或多个(如注册信息k).每次选择的注册信息可以固定，也可以不同；

(106)服务器B产生若干个(如X个)和注册信息k相关但不同的信息；

(107)服务器B产生X+1个代码，代码可以有序或随机；

(108)服务器B将产生的X+1个代码和其产生的X个信息及用户A的注册信息k进行关联(如随机关联)；

(109)服务器B将X+1个信息及其关联代码发送给用户A；

(1010)用户A检查服务器B所提交的X+1个信息，如果其中不包含用户A的任何注册信息，用户A确认服务器认证失败，终止服务请求.否则，用户A对服务器B的认证成功，执行步骤1011；

(1011)用户A向服务器B提交和其注册信息k相关联的代码；

(1012)服务器B检查用户A所提交的代码.如果其和信息k的关联代码一致，服务器B对用户A的认证成功，服务请求被批准.否则，服务器B对用户A的认证失败，终止服务请求，或返回步骤105.

根据所述认证方法的步骤109，可以得出结论，一个服务器如果想要向用户A证明其是服务器B，它必须知道用户A在服务器B上存放的某个注册信息.如果一个服务器向用户A声明其是服务器B，但不能展示用户A在服务器B上存放的某个注册信息，它将会被用户A认为非法(见步骤1010).因此，所述认证方法可以实现用户对服务器的认证.这可以防止用户向非法服务器继续提供个人隐私和保密信息.另外，用户可以通过及时在合法服务器上修改密码，来降低向非法服务器提交了密码所带来的风险.