[发明专利]一种密码认证方法

说明书

本发明公开了一种密码认证方法，是应用在包括生产端和验证端的密码认证系统中，包括验证端在系统初始化后生成并存储策略配置数据，并将该策略配置数据发送到对应的生产端，生产端在接收到策略配置数据之后存储策略配置数据，生产端根据策略配置数据对获取的认证用户名、认证类型和密码进行处理，并将处理后的数据发送给验证端，验证端对收到的数据进行处理，得到解密后的数据，对其进行认证校验，并向生产端返回认证结果。本发明能解决由于用户设置的密码过于简单和密码的处理算法单一、处理算法强度较弱以及由于密码认证过程中的附加数据(包括认证用户名和认证类型)未经过编码处理，而影响密码认证过程的安全性的技术问题。

技术领域

本发明属于信息安全领域，更具体地，涉及一种密码认证方法。

背景技术

随着网络信息时代的发展，密码作为关键数据广泛用于个人、企业等身份认证，因此对于密码的安全性保护也非常重要。

现有密码认证方法一般是：生产端获取一个用户随机设置的密码，这个密码可能是生日、身份证号或者简单数字组合，生产端对密码经过简单加密算法，以得到加密后的数据，随后在认证端对加密后的数据进行解密以得到解密后的密码与用户输入的密码进行比较，如果两个一致则认证通过。

然而，现有密码认证方法存在一些不可忽略的缺陷：第一、用户为方便输入或记忆，设置的密码往往过于简单，例如“123456”、“A1B2C3”等诸如此类的简单密码，这会造成密码容易被破解，并降低密码认证过程的安全性；第二、密码的处理算法单一，如仅仅对密码进行MD5的Hash算法处理，或者仅仅对密码进行对称加密算法处理，因此会进一步降低密码认证过程的安全性；第三、由于其通常使用的MD5的Hash算法是一个不安全的摘要算法，并会导致密码容易被破解，因此会进一步降低密码认证过程的安全性；第四、由于密码认证过程中的附加数据(包括认证用户名和认证类型)未经过编码或者加密处理，因而容易被第三方获取，进而影响密码认证过程的安全性。

发明内容

针对现有技术的以上缺陷或改进需求，本发明提供了一种密码认证方法，其目的在于解决现有方法中由于用户为方便输入或记忆，设置的密码过于简单，而造成密码容易被破解，并降低密码认证过程的安全性的技术问题，和由于密码的处理算法单一、处理算法强度较弱而降低密码认证过程的安全性的技术问题，以及由于密码认证过程中的附加数据(包括认证用户名和认证类型)未经过编码或者加密处理，而影响密码认证过程的安全性的技术问题。

为实现上述目的，按照本发明的一个方面，提供了一种密码认证方法，是应用在包括生产端和验证端的密码认证系统中，其特征在于，所述密码认证方法包括如下步骤：

(1)验证端在系统初始化后生成并存储策略配置数据C，并将该策略配置数据C发送到对应的生产端；

(2)生产端在接收到策略配置数据C之后存储策略配置数据C；

(3)生产端获取来自用户的认证用户名N1和认证类型N2，并判断策略配置数据C中是否包括启动自动生成密码功能，如果是，则将预先存储在生产端的密码返回给用户，以得到密码P，然后进入步骤(5)，否则进入步骤(4)；

(4)生产端根据策略配置数据C中的密码筛选过滤规则判断来自用户的密码P是否符合预定的长度和格式，如果是则进入步骤(5)，否则向用户返回失败信息，过程结束；

(5)生产端根据策略配置数据C对认证用户名N1、认证类型N2、以及密码P进行处理，以得到编码后的认证用户名M1、编码后的认证类型M2、签名后的数据Ps、以及加密后的数据P2，并将其发送到对应的验证端；

(6)验证端对收到的编码后的认证用户名M1、编码后的认证类型M2、签名后的数据Ps、以及加密后的数据P2进行处理，以得到解码后的认证用户名N1、解码后的认证类型N2、以及解密后的数据P3；