[发明专利]一种基于事件的一次性口令认证系统令牌重同步方法

说明书

(一)技术领域

本发明涉及互联网安全身份认证技术，具体涉及在一次性口令认证系统中，当硬件令牌和认证服务器发生失步时的一种基于事件的令牌重同步方法。属于计算机和信息安全技术领域。

(二)技术背景

一次性口令认证技术为用户进行身份认证时提供随机生成的和每次不同的认证口令，解决传统的静态口令容易被盗的危险。一次性口令认证已被越来越广泛的应用于电子商务，网络游戏，网上银行等任何一种需要进行身份认证的网络平台上。

现有的各种一次性口令认证技术及方案大多提供硬件令牌和认证服务器，所述硬件令牌用于为用户在有认证需求时随机提供认证口令；所述认证服务器用于接收用户认证时传来的用户名和用户口令，并根据用户名查找相关因子计算口令副本，并将口令副本与用户传来的用户口令进行对比，以验证用户是否认证成功。

由于硬件令牌和认证服务器分别通过口令生成因子计算用户口令和口令副本，因此，很容易发生由于用户误操作等原因引起的口令生成因子不同步的问题(即发生令牌失步)，使得失步后的认证操作均无法成功。目前的各种一次性口令认证方案没有提供的解决该失步问题的有效方法，

特别的，对于基于事件的一次性口令认证系统，硬件令牌和认证服务器间的口令同步通过内置计数器实现，计数器值随着某种事件的触发不断递增。一般的，在硬件令牌中，用户点击按钮一次，则计数器值加一；在认证服务器中，认证成功一次，则计数器值加一，如果用户不断点击硬件令牌上的按钮而不进行认证操作，则会导致硬件令牌中的计数器值不断增加，而认证服务器中的计数器值保持不变，使得两者发生失步。

本发明针对基于事件的一次性口令认证系统中的令牌失步问题，考虑不同应用场景，在保证系统可靠性，灵活性的基础上提供完整的令牌重同步方法，主要特点有：

1.本发明适用于基于时间的一次性口令认证系统，令牌重同步方法基于硬件令牌和认证服务器中的计数器值完成。

2.令牌重同步方法基于预设窗口大小，分为窗口内重同步和窗口外重同步两个方面。

3.窗口内重同步由客户端和认证服务器自动完成，窗口外重同步由管理员参与完成。

(三)发明内容

1、目的：本发明的目的是为了提供一种基于事件的一次性口令认证系统令牌重同步方法，该方法基于预先设定的窗口大小，分为窗口内重同步和窗口外重同步两个方面，完成硬件令牌和认证服务器失步后的重同步操作。

2、技术方案：所述技术方案如下：

本发明一种基于事件的一次性口令认证系统令牌重同步方法，其包括窗口内重同步和窗口外重同步两个方面，两者的关系是：系统预先设定窗口值大小，当硬件令牌和认证服务器计数器失步次数小于或等于窗口值大小则进行窗口内重同步；当硬件令牌和认证服务器计数器失步次数大于窗口值大小则进行窗口外重同步。发明所涉及方法的整体执行流程图如图1所示。

所述窗口内重同步是指：系统通过预先配置的方式设置窗口大小，当进行窗口内重同步操作时，硬件令牌首先计算一个客户口令，并发送至认证服务器，认证服务器根据当前计数器值计算服务器口令，如果客户口令和服务器匹配，则窗口内重同步成功，将计数器值加一。如果不匹配，服务器将计数器值加一后重新计算服务器口令，再与客户端口令进行比较，如果匹配，则窗口内重同步成功，如果不匹配则重复上述过程，此过程重复次数不能超过窗口值大小，窗口内重同步由认证服务器自动完成，执行流程图如图2所示。

窗口大小的选取很关键，取值过大会降低认证强度，增加攻击者伪造身份成功的概率，取值过小会频繁引起窗口外重同步，影响系统的正常运行。

所述窗口外重同步是指：如果失步次数超出窗口值大小，则说明有可能存在恶意攻击行为，此时应当进行更高强度的重同步操作。窗口外重同步不可由系统自动完成，需要管理员参与完成。管理员在验证用户合法性后，通过令牌获取三个连续的客户口令，按照先后次序发送至认证服务器。认证服务器将计数器值逐次加一，并重复计算服务器口令，直到有三组连续的服务器口令与客户口令均匹配，则窗口外重同步成功。执行流程图如图3所示。

窗口外重同步在三个连续动态口令同时匹配时才能成功，如果前一口令匹配，而后一口令不匹配，则窗口外重同步要重新执行，这样严格保证了同步结果的正确性。但其执行流程较复杂，应当设定适当的窗口大小，在保证系统安全的基础上防止频繁进行窗口外重同步操作。