[发明专利]一种网上交易安全认证方法及网上交易安全认证系统

权利要求书

1.一种网上交易安全认证方法，其特征在于，包括：

生成用户端与服务端进行加密通信的随机会话密钥；

所述服务器端依据所述随机会话密钥，验证所述用户端的用户身份；

用户身份验证通过后，所述服务器端生成交易图片信息，并依据所述随机会话密钥加密传输所述交易图片信息至用户端；

所述用户端确认所述交易图片信息后，所述服务器端依据所述随机会话密钥验证交易签名。

2.根据权利要求1所述的方法，其特征在于，所述生成用户端与服务端进行加密通信的随机会话密钥，包括：

在用户端生成随机数；

用预置的RSA公钥加密所述随机数；

发送所述加密的随机数至服务端；

在服务端依据所述加密的随机数生成随机会话密钥；

发送所述随机会话密钥至用户端。

3.根据权利要求1或2所述的方法，其特征在于，所述依据随机会话密钥验证用户端的用户身份，包括：

在用户端提取用户机器信息；

用所述随机会话密钥加密用户机器信息；

传送所述加密的用户机器信息至服务端；

在服务端验证用户机器信息匹配程度；

当用户机器信息匹配程度符合预置条件时，用户身份验证通过；

当用户机器信息匹配程度不符合预置条件时，用户身份验证失败。

4.根据权利要求3所述的方法，其特征在于，还包括：

在服务端生成抓取因子，并发送至用户端；

则在用户端根据所述抓取因子提取用户机器信息，用所述随机会话密钥加密用户机器信息和抓取因子，并传送至服务端；

服务端依据所述抓取因子验证用户机器信息匹配程度。

5.根据权利要求3所述的方法，其特征在于，当用户身份验证失败时，还包括：

用户端发送手机短信发送请求；

服务端收到所述请求后，获取用户信息，生成手机短信验证码，并发送所述手机短信验证码至用户绑定的手机；

用户收到手机短信验证码后，在用户端输入所述手机短信验证码，并发送至服务端；

服务端进行短信验证码验证，验证通过后，发送用户身份验证通过的结果至用户端。

6.根据权利要求1所述的方法，其特征在于，所述生成交易图片信息，包括：

根据交易信息、随机会话密钥、时间和用户种子，生成交易验证码；

根据交易信息和随机会话密钥，生成摘要信息；

生成底图，并将摘要信息加入所述底图；

将所述交易信息和交易验证码加入所述包含摘要信息的底图，生成交易图片信息。

7.根据权利要求1或6所述的方法，其特征在于，所述依据随机会话密钥验证交易签名，包括：

在用户端输入交易验证码；

对交易图片信息和交易验证码用所述随机会话密钥进行数字签名；

发送所述数字签名至服务端；

服务端验证所述数字签名是否正确，并发送验证结果至用户端。

8.一种网上交易安全认证系统，其特征在于，包括：OTP控件、OTP控件服务器和OTP认证平台，其中，

所述OTP控件和OTP控件服务器，用于生成OTP控件与OTP控件服务器进行加密通信的随机会话密钥，并依据所述随机会话密钥，验证OTP控件的用户身份；

所述OTP认证平台，与OTP控件服务器相连，用于在收到OTP控件服务器发送的用户身份验证通过的信息后，生成交易图片信息，并依据所述随机会话密钥加密传输所述交易图片信息至OTP控件；在OTP控件确认所述交易图片信息后，依据所述随机会话密钥验证交易签名。

9.根据权利要求8所述的系统，其特征在于：

在生成随机会话密钥时，所述OTP控件用于生成随机数，用预置的RSA公钥加密所述随机数，并发送至OTP控件服务器；

所述OTP控件服务器用于依据所述加密的随机数生成随机会话密钥，并发送所述随机会话密钥至OTP控件。