[发明专利]一种网上交易安全认证方法及网上交易安全认证系统

说明书

技术领域

本申请涉及安全认证领域，特别是涉及一种网上交易安全认证方法及网上交易安全认证系统。

背景技术

在互联网日益发达和普及的今天，网上交易因其方便、快捷、高效、经济的优势已逐渐成为人们日常交易活动中重要的交易方式之一。但是，网上交易需要借助于互联网平台才能实现，在交易支付过程中用户需要通过计算机输入账户密码，如果这时遭到黑客的攻击，用户的账户密码就很容易泄露，使用户可能蒙受经济上的损失。

当前比较流行的几种黑客攻击方式包括钓鱼、木马和木马钓鱼等，其中“钓鱼”是指黑客利用用户的弱点来骗取用户的密码；“木马”是指黑客通过向用户机器种植恶意程序，达到篡改用户交易的目的，让用户为黑客买单；“木马钓鱼”是指同时使用木马和钓鱼劫持用户交易，并在第三方网站创建交易，篡改用户交易显示，给用户展示用户想看到的交易，骗取用户输入密码，让用户为黑客在第三方网站上的交易买单。

为了增加交易的安全性，人们开发了密码控件技术和动态口令OTP(one time password，简称OTP，即一次一密)技术，用来对用户的网上交易进行保护。但是，最初的密码控件技术仅仅是一个静态的密码保护插件，而第一代的OTP技术只是基于密码安全的角度设计的，对钓鱼和木马的防范能力较差；第二代的OPT技术虽然将交易信息作为一个外部输入来产生密码，此时的密码已经不再是基于密码安全的安全了，因此安全性能有所提升，但目前应用二代OTP技术的主要是一些硬件产品如USB Key，而硬件产品在使用范围和使用寿命上都受到限制，特别是当技术升级时，硬件产品一般需要更换新的硬件才能实现。

因此，需要本领域技术人员迫切解决的一个技术问题就是：如何通过软件的方式实现二代OTP技术，既能克服硬件存在的使用范围、使用寿命及技术升级的问题，又能解决当前网上交易面临的防范钓鱼、木马、木马钓鱼能力较差的问题。

发明内容

本申请所要解决的技术问题是提供一种网上交易安全认证方法及网上交易安全认证系统，既能克服硬件存在的使用范围、使用寿命及技术升级的问题，又能解决当前网上交易面临的防范钓鱼、木马、木马钓鱼能力较差的问题。

为了解决上述问题，本申请公开了一种网上交易安全认证方法，包括：

生成用户端与服务端进行加密通信的随机会话密钥；

所述服务器端依据所述随机会话密钥，验证所述用户端的用户身份；

用户身份验证通过后，所述服务器端生成交易图片信息，并依据所述随机会话密钥加密传输所述交易图片信息至用户端；

所述用户端确认所述交易图片信息后，所述服务器端依据所述随机会话密钥验证交易签名。

优选的，所述生成用户端与服务端进行加密通信的随机会话密钥，包括：

在用户端生成随机数；

用预置的RSA公钥加密所述随机数；

发送所述加密的随机数至服务端；

在服务端依据所述加密的随机数生成随机会话密钥；

发送所述随机会话密钥至用户端。

优选的，所述依据随机会话密钥验证用户端的用户身份，包括：

在用户端提取用户机器信息；

用所述随机会话密钥加密用户机器信息；

传送所述加密的用户机器信息至服务端；

在服务端验证用户机器信息匹配程度；

当用户机器信息匹配程度符合预置条件时，用户身份验证通过；

当用户机器信息匹配程度不符合预置条件时，用户身份验证失败。

优选的，所述方法还包括：

在服务端生成抓取因子，并发送至用户端；

则在用户端根据所述抓取因子提取用户机器信息，用所述随机会话密钥加密用户机器信息和抓取因子，并传送至服务端；

服务端依据所述抓取因子验证用户机器信息匹配程度。

优选的，当用户身份验证失败时，所述方法还包括：

用户端发送手机短信发送请求；

服务端收到所述请求后，获取用户信息，生成手机短信验证码，并发送所述手机短信验证码至用户绑定的手机；

用户收到手机短信验证码后，在用户端输入所述手机短信验证码，并发送至服务端；

服务端进行短信验证码验证，验证通过后，发送用户身份验证通过的结果至用户端。

优选的，所述生成交易图片信息，包括：

根据交易信息、随机会话密钥、时间和用户种子，生成交易验证码；

根据交易信息和随机会话密钥，生成摘要信息；

生成底图，并将摘要信息加入所述底图；