专利名称：利用手持设备在互联网应用中身份验证的方法
技术领域：
本发明涉及一种网络安全方法，具体地说，是涉及一种利用手持设备在互联网应用中身份验证的方法。
随着互联网的高速发展，目前大量的服务和应用都是基于互联网的。互联网给这些服务和运作提供了极大的方便，用户范围扩展到更大的范围，乃至全球。时间也号称24小时不间断。然而，这也带来了安全隐患。由于网络媒体的开放性，身份认证成为一个重要的安全考量。盗用用户名和密码的事故越来越多。另外，人们常常在不同的地点，终端上连接服务器，这也给身份确认带来困难，引入新的安全漏洞。当用户在办公室，乃至公共场所连接时，用户名和密码容易被窃取。另外，由于许多用户不是计算机专业用户，密码容易被窃取。特别是当用户的计算机感染病毒或遭黑客入侵时，更是如此。用户为了方便起见，往往不愿意接受复杂的身份验证程序，这也给盗用密码者更多的机会。不法分子使用盗取的用户名和密码登陆时，服务器往往无法分辨。
本发明的目的是设计一种利用手持设备验证身份的方法，安全方便的进行身份验证，避免用户因密码被盗窃造成损失。
为实现这个目的，本发明通过手持设备的参与实现身份验证。在一个连接过程里，如一个客户/服务器连接过程，服务器不断地要求客户端提供身份验证，客户端将要求通过有线或无线的连接传递到用户的手持设备，如手机，由手持设备提供验证。因此，当用户离开时，连接过程自动失效。尤其在手持设备具有计算功能时，所提供身份验证与收到的验证要求相关，时时不同(例如，待验证码和应答码每次不同)，更加安全。服务器和用户的手持设备还可以通过对称或非对称加密将待验证码和应答码加密，进一步防范黑客的攻击。这种方法也可以应用在对等设备连接中，例如双方通过互联网进行秘密交谈，交换文件资料等等，避免黑客从中间插入，冒名顶替。此时双方都需要验证对方的身份，向对方提供身份验证，这两个方向的身份验证都与上述客户/服务器的验证方法类似。
与现有的身份验证方法相比，本发明的好处是安全，方便。每当用户使用需要安全的网络应用时，例如连接网络银行，通过互联网管理帐务，公司业务，进行电子商务，享受付费服务等等，由用户的手持设备提供身份验证。因此，十分方便。本方法在不增加，甚至简化用户操作复杂度的情况下(如不需要输入用户名和密码)，大大增强身份验证的安全性。用户只需象原来一样输入一次用户名和密码，或者一次也不用输入。服务器在连接过程中不断的要求身份验证，而手持设备不断的提供身份验证。一旦得不到手持设备的正确应答，连接自动被清除。这种验证，即使每0.1秒进行一次，都不会造成太大的通讯量和应用复杂度，对用户则是透明的。在手持设备具有计算功能时，手持设备针对服务器的验证要求(待验证码)，得到验证应答码，因此每次不同。即使黑客侵入了用户的终端，盗取了用户的密码，得不到用户的手持设备，仍然无法非法冒充。盗取用户手持设备或者模拟用户手持设备内部程序及设置的难度比盗用密码大大增加，也更易于被发现。手持设备身份验证往往是一个简单应用，无法接受普通的外来程序进驻运行，不象终端系统那样是一个复杂的操作系统，因而入侵是十分困难的。
下面，结合附图给出本发明的具体实施例子。在说明书附图中，
图1为本发明的示意图；图2为使用非对称加密时本发明的流程示意图；图3为使用对称加密时本发明的流程示意图。
图1为本发明的示意图，图1.1为客户/服务器方式，图1.2为对等方式，其中1为“互联网”，2为“设备1”，即客户端设备或对等设备1，3为“手持设备”，4为“设备2”，即服务器设备或对等设备2；在一个客户/服务器的连接中，用户通过一个设备(设备1)连接另一个设备(设备2)时，设备2要求设备1提供身份验证，设备1由手持设备得到身份验证，发送给设备2。这其中，设备1通常为客户端，如装有网络浏览器或应用程序客件的个人电脑；设备2为服务器端，如网站服务器(web server)、数据库服务器、文件服务器、网络服务器、应用服务器等。用户通过家庭，办公室，网吧等处的个人电脑连接服务器，验证身份后使用服务器提供的服务，如电子付费，帐务查询，业务管理等操作。用户通过一个在服务器端注册的手持设备，如手机，PDA，IC卡或其他手持设备等，随时可以提供身份验证。手持设备与设备1间可以通过无线或有线的连接。无线连接可以通过红外传输串口，无线局域网，蓝牙，家庭射频(home RF)，调频等方式。有线连接可以通过如串行通讯，并行通讯，通用串行通讯(USB)，1394通讯等标准通讯接口。在一个连接通讯过程(session)中，设备2可以有多种方式要求身份验证，如一次性要求设备1提供身份验证，或每隔固定时间要求设备1提供身份验证，或每隔随机时间要求设备1提供身份验证，或按预设的时间间隔要求设备1提供身份验证。在多次要求身份验证时，其要求每次可以不同，并且可以是加密的，加密方法既可以是对称加密，也可以是非对称加密。
图2给出了非对称加密的几种情况，其中，(1)为待验证码(challenge)，(2)为用户私钥加密后的应答码，(3)为设备2私钥加密后的待验证码，(4)是使用设备2公钥将用户私钥加密后的应答码进一步加密得到的；由图2所示，身份验证采用非对称加密时，有以下方式或他们的组合1)如图2.1所示，设备2将待验证码(1)发送给设备1，设备1将其发送给手持设备，手持设备使用用户私钥将待验证码或待验证码的应答码加密，得到(2)，传送(2)给设备1，设备1传送给设备2，设备2通过用户的公钥解密，验证身份；2)如图2.2所示，由设备2将待验证码使用自己的私钥加密后发送给设备1，设备1使用设备2的公钥解密后发送给手持设备，手持设备使用用户的私钥将待验证码或待验证码的应答码加密，传送给设备1，设备1传送给设备2，设备2通过用户的公钥解密，验证身份；3)如图2.3所示，由设备2将待验证码使用自己的私钥加密后发送给设备1，设备1使用设备2的公钥解密后发送给手持设备，手持设备使用用户的私钥将待验证码或待验证码的应答码加密，传送给设备1，设备1使用设备2的公钥加密后传送给设备2，设备2通过用户的公钥解密，验证身份；4)如图2.4所示，由设备2将待验证码使用自己的私钥加密后发送给设备1，设备1发送给手持设备，手持设备使用设备2的公钥解密后，使用用户的私钥将待验证码或待验证码的应答码加密，传送给设备1，设备1传送给设备2，设备2通过用户的公钥解密，验证身份；5)如图2.5所示，由设备2将待验证码使用自己的私钥加密后发送给设备1，设备1发送给手持设备，手持设备使用设备2的公钥解密后，使用用户的私钥将待验证码或待验证码的应答码加密，再使用设备2的公钥加密，传送给设备1，设备1传送给设备2，设备2通过用户的公钥解密，验证身份。
其中在上述非对称加密方法中，用户的公钥可以是公开的，也可以是用户对设备2的公钥。非授权方无从得到这一公钥；同样，设备2的公钥可以是公开的，也可以是设备2对用户的公钥。其他非授权方乃至设备1无从得到这一公钥。
图3给出了对称加密的几种情况，其中，(1)为待验证码(challenge)，(2)为加密后的应答码，(3)为加密后的待验证码，(4)为应答码；由图3所示，身份验证采用对称加密时，有以下方式或他们的组合1)如图3.1所示，设备2将待验证码(challenge)发送给设备1，设备1将其发送给手持设备，手持设备将待验证码或待验证码的应答码加密，传送给设备1，设备1传送给设备2，设备2解密，验证身份；
2)如图3.2所示，由设备2将待验证码加密后发送给设备1，设备1发送给手持设备，手持设备解密，将待验证码或待验证码的应答码加密，传送给设备1，设备1传送给设备2，设备2解密，验证身份；3)如图3.3所示，由设备2将待验证码加密后发送给设备1，设备1解密后发送给手持设备，手持设备将待验证码或待验证码的应答码加密，传送给设备1，设备1传送给设备2，设备2解密，验证身份；4)如图3.4所示，由设备2将待验证码加密后发送给设备1，设备1解密后发送给手持设备，手持设备将待验证码或待验证码的应答码，传送给设备1，设备1加密，传送给设备2，设备2解密，验证身份。
上述例子中的身份验证的方法，设备1与设备2的连接也可以为对等设备(peer to peer)连接，例如两个网络用户通过网络进行秘密交谈，交换资料等等，设备1与设备2不再是服务器与客户端的关系，他们互相要求对方提供身份验证，各自由相应的手持设备获取身份验证，发送给对方，其方法同上。
在上述例子中，为了进一步避免非法攻击破密，设备1与设备2之间的信道，或设备1与手持设备之间的信道，或两者都是，采用加密信道传输，如SSL。
本发明的另一个实施方法是，可以使用一个第三方的，共同信任的认证中心(CA)。设备1，设备2以及手持设备通过认证中心得到认证，密钥，公钥和私钥。例如，用户在认证中心登记注册，申请设备2的用户。认证中心确认后，用户得到设备2的公钥(可以是对多个用户共同的，也可以是仅仅对一个用户的)，自己的私钥，公钥，并将公钥通知设备2。之后，双方就可以进行安全身份验证了。
在没有认证中心时，如上所述，用户需要直接向设备2注册，通知设备2自己的公钥，获得设备2提供的用户名，密码，和相应设备2的公钥。
权利要求
1.一种利用手持设备在互联网应用中身份验证的方法，其特征在于至少包含一个手持设备，如手机，PDA，等，用户通过一个设备(设备1)连接另一个设备(设备2)时，设备2要求设备1提供身份验证，设备1由手持设备得到身份验证，发送给设备2。
2.根据权利要求1所述的身份验证的方法，其特征在于设备1为客户端，如装有网络浏览器或应用程序客件的个人电脑；设备2为网站服务器(webserver)、数据库服务器、文件服务器、网络服务器、应用服务器等。
3.根据权利要 求1所述的身份验证的方法，其特征在于设备1与设备2的连接为对等设备(peer to peer)连接，他们要求对方提供身份验证，各自由相应的手持设备获取身份验证，发送给对方。
4.根据权利要求1所述的身份验证的方法，其特征在于手持设备与设备1间通过标准无线通讯协议连接，如红外传输，无线局域网，蓝牙，家庭射频，调频等。
5.根据权利要求1所述的身份验证的方法，其特征在于手持设备与设备1间通过标准有线通讯协议连接，如串行通讯，并行通讯，通用串行通讯(USB)，1394通讯等。
6.根据权利要求1所述的身份验证的方法，其特征在于设备2在一个连接过程(session)中，一次性，或每隔固定时间，或随机时间，或按预设的时间间隔，要求设备1提供一次身份验证。
7.根据权利要求1所述的身份验证的方法，其特征在于每一次身份验证采用非对称加密 设备2将待验证码(challenge)发送给设备1，设备1将其发送给手持设备，手持设备使用用户私钥将待验证码或待验证码的应答码加密，传送给设备1，设备1传送给设备2，设备2通过用户的公钥解密，验证身份； 由设备2将待验证码使用自己的私钥加密后发送给设备1，设备1使用设备2的公钥解密后发送给手持设备，手持设备使用用户的私钥将待验证码或待验证码的应答码加密，传送给设备1，设备1传送给设备2，设备2通过用户的公钥解密，验证身份； 由设备2将待验证码使用自己的私钥加密后发送给设备1，设备1使用设备2的公钥解密后发送给手持设备，手持设备使用用户的私钥将待验证码或待验证码的应答码加密，传送给设备1，设备1使用设备2的公钥加密后传送给设备2，设备2通过用户的公钥解密，验证身份； 由设备2将待验证码使用自己的私钥加密后发送给设备1，设备1发送给手持设备，手持设备使用设备2的公钥解密后，使用用户的私钥将待验证码或待验证码的应答码加密，传送给设备1，设备1传送给设备2，设备2通过用户的公钥解密，验证身份； 由设备2将待验证码使用自己的私钥加密后发送给设备1，设备1发送给手持设备，手持设备使用设备2的公钥解密后，使用用户的私钥将待验证码或待验证码的应答码加密，再使用设备2的公钥加密，传送给设备1，设备1传送给设备2，设备2通过用户的公钥解密，验证身份。
8.根据权利要求1所述的身份验证的方法，其特征在于每一次身份验证采用对称加密，也即加密和解密使用相同的密钥；设备2和手持设备可以使用相同的密钥加密，也可以使用不同的密钥加密，也即可以有一个或多于一个密钥，其中 设备2将待验证码发送给设备1，设备1将其发送给手持设备，手持设备将待验证码或待验证码的应答码加密，传送给设备1，设备1传送给设备2，设备2解密，验证身份； 由设备2将待验证码加密后发送给设备1，设备1发送给手持设备，手持设备解密，将待验证码或待验证码的应答码加密，传送给设备1，设备1传送给设备2，设备2解密，验证身份； 由设备2将待验证码加密后发送给设备1，设备1解密后发送给手持设备，手持设备将待验证码或待验证码的应答码加密，传送给设备1，设备1传送给设备2，设备2解密，验证身份； 由设备2将待验证码加密后发送给设备1，设备1解密后发送给手持设备，手持设备将待验证码或待验证码的应答码，传送给设备1，设备1加密，传送给设备2，设备2解密，验证身份。
9.根据权利要求1所述的身份验证的方法，其特征在于设备1与设备2之间的信道，或设备1与手持设备之间的信道，或两者都是，采用加密信道传输，如SSL。
10.根据权利要求1所述的身份验证的方法，其特征在于有一个共同信任的认证中心(CA)，设备1，设备2以及手持设备(用户)通过认证中心得到认证，公钥和私钥。
11.根据权利要求1、3、4、5、6、7、8、9所述的身份验证的方法，其特征在于当连接是对等设备连接时，所述的权利要求也适合于当设备1要求设备2提供身份验证，身份验证要求方可以是设备1(或设备2)，也可以是手持设备。得到身份验证应答进行验证的，可以是设备1(或设备2)，也可以是手持设备。
全文摘要
一种利用手持设备在一个连接过程(session)中身份验证的方法。服务器在连接过程中不断地要求客户端确认身份。客户端通过有线或无线连接与手持设备(如手机)通讯，获得身份验证。手持设备与服务器在认证过程中，使用各自的私钥加密，使用对方的公钥解密。本发明给电子商务，网上银行，远程连接等互联网服务提供了一种严密(盗取密码无效)、方便(无需用户介入)的身份验证机制。
文档编号H04L9/32GK1472915SQ0213533
公开日2004年2月4日 申请日期2002年8月1日 优先权日2002年8月1日
发明者苗庆海, 苗原, 陶雪红 申请人:苗原, 苗庆海, 陶雪红, 苗 原