[发明专利]一种结合缓存信息提升验证码安全性的方法及装置

权利要求书

1.一种结合缓存信息提升验证码安全性的方法，其特征在于，包括以下步骤：

S1.在营销活动开始前的预设时间内，针对营销活动设置一个缓存标记，使得服务端生成唯一标识X，并收集此时的浏览器环境信息；用户访问业务系统时，业务系统会在服务端生成一个唯一标识X，同时下发一个凭据Y到客户端，标识X和凭据Y都需要具备唯一性，并且不可篡改；每次访问业务系统时，携带客户端已有的凭据Y到服务器，服务端通过凭据Y关联到标识X，则服务端生成一个新的凭据Y1给到客户端；使得凭据每次请求都会变化，但关联的后台唯一标识X保持不变；一旦凭据Y在服务端查询不到标识X，则重新生成一个标识X1，也重新生成凭据Y1到客户端；所述浏览器环境信息包括浏览器型号、版本、和屏幕分辨率；在标识X生成时，采集客户端的浏览器型号、版本、和屏幕分辨率，记录标识X生成时的浏览器环境信息；

S2.通过缓存收集关联的账号在预设时间段内的用户操作行为信息；预设时间内业务系统静默运行，通过缓存收集关联的账号中缓存唯一标识X存在时间以及用户操作行为信息；

S3.营销活动开始后，调用验证码服务时，验证码模块在客户端采集浏览器环境信息，和当时生成唯一标识X时收集的浏览器环境信息进行对比，判断浏览器环境信息是否一致；

S4.在判断浏览器环境信息一致且缓存可信的情况下，弹出第一等级验证码；在判断浏览器环境信息不一致的情况下，弹出第二等级验证码；所述第二等级的验证码的难度比所述第一等级验证码的难度高；

其中，对于标识浏览器的标识X，若通过这个缓存关联的账号稳定，且账户的操作行为没有高频操作、没有夜间敏感时间操作、没有长期不活跃情况，则认为是一个可信的缓存；在高频操作、夜间敏感时间操作和长期不活跃情况的规则设定中，统计平均每个正常用户在平台查询浏览的次数以及下单次数，设定高于平均次数的N倍为高频操作；夜间敏感时间设定为凌晨1-5点；长期不活跃是指N天以上没有访问过平台；在静默收集分析数据一段时间后，有营销活动的情况下，调用验证码服务时，验证码模块在客户端采集浏览器的版本、型号、和屏幕分辨率信息，和当时生成标识X时收集的环境信息进行对比，确保标识X生成时的环境和本次验证码采集的环境信息一致，若不一致则认为凭据是从别处拷贝过来，则存在风险。

2.一种结合缓存信息提升验证码安全性的装置，其特征在于，包括缓存标记设置模块、信息收集模块、判断模块和验证码执行模块；其中：

缓存标记设置模块用于在营销活动开始前的预设时间内，针对营销活动设置一个缓存标记，使得服务端生成唯一标识X；用户访问业务系统时，业务系统会在服务端生成一个唯一标识X，同时下发一个凭据Y到客户端，标识X和凭据Y都需要具备唯一性，并且不可篡改；每次访问业务系统时，携带客户端已有的凭据Y到服务器，服务端通过凭据Y关联到标识X，则服务端生成一个新的凭据Y1给到客户端；使得凭据每次请求都会变化，但关联的后台唯一标识X保持不变；一旦凭据Y在服务端查询不到标识X，则重新生成一个标识X1，也重新生成凭据Y1到客户端；浏览器环境信息包括浏览器型号、版本、和屏幕分辨率；在标识X生成时，采集客户端的浏览器型号、版本、和屏幕分辨率，记录标识X生成时的浏览器环境信息；

信息收集模块用于通过缓存收集关联的账号在预设时间段内的用户操作行为信息；预设时间内业务系统静默运行，通过缓存收集关联的账号中缓存唯一标识X存在时间以及用户操作行为信息；

判断模块用于在营销活动开始后，调用验证码服务时，验证码模块在客户端采集浏览器环境信息，和当时生成唯一标识X时收集的浏览器环境信息进行对比，判断浏览器环境信息是否一致；

验证码执行模块用于在判断浏览器环境信息一致且缓存可信的情况下，弹出第一等级验证码；在判断浏览器环境信息不一致的情况下，弹出第二等级验证码；所述第二等级的验证码的难度比所述第一等级验证码的难度高；

其中，对于标识浏览器的标识X，若通过这个缓存关联的账号稳定，且账户的操作行为没有高频操作、没有夜间敏感时间操作、没有长期不活跃情况，则认为是一个可信的缓存；在高频操作、夜间敏感时间操作和长期不活跃情况的规则设定中，统计平均每个正常用户在平台查询浏览的次数以及下单次数，设定高于平均次数的N倍为高频操作；夜间敏感时间设定为凌晨1-5点；长期不活跃是指N天以上没有访问过平台；在静默收集分析数据一段时间后，有营销活动的情况下，调用验证码服务时，验证码模块在客户端采集浏览器的版本、型号、和屏幕分辨率信息，和当时生成标识X时收集的环境信息进行对比，确保标识X生成时的环境和本次验证码采集的环境信息一致，若不一致则认为凭据是从别处拷贝过来，则存在风险。