[发明专利]安全电子交易的网络认证方法

说明书

一种安全电子交易的网络认证方法，由一客户端储存指派给一用户的一凭证对应的一凭证索引，及借由该用户决定的一个人身份标识符加密得到的一参考私钥。该客户端通过输入一用户输入码解密该参考私钥产生相关于该凭证索引的一当前密钥而产生用于事务数据的一数字签名。一凭证服务器基于储存凭证的公钥判断数字签名是否该私钥所签名，当判断结果确定，将收到的该事务数据的该数字签名确定为相关于该用户。

技术领域

本发明涉及一种网络认证方法，特别是涉及一种应用于安全电子交易(SecureElectronic Transactions，简称SET)的网络认证方法。

背景技术

现今如网络银行及网络商店的网站在线交易十分盛行。但相关于其所造成客户交易安全问题也是一大挑战。一般而言，客户端的计算机由于易被例如按键侧录程序、木马程序，或屏幕侧录程序等入侵。其可能造成重要讯息被导引至伪装的服务器。

传统认证方式是借由客户端输入一用户身份代号及一密码。然而，此种简单的认证方式无法提供客户足够保护，也无法避免被恶意程序攻击，其攻击方式像是中间人攻击(man-in-the-middle；简称MITM)，浏览器中间人攻击(man-in-the-browser；简称MITB)，及键次登录(keystroke logging)等。

因为该用户身份代号及密码容易被窃取，一身份验证装置，例如，一载有一公用密钥凭证的USB装置、一IC电子卡或一动态令牌(dynamic token)，被用于用户身份验证，从而造成客户服务成本增加。因此，存在改善前述问题的空间。

发明内容

本发明的目的在于提供一种安全电子交易的网络认证方法。

本发明的网络认证方法应用于连接一通讯网络的一客户端及一凭证服务器，该客户端相关于一用户及一认证程序，该网络认证方法包括下述步骤：a)该凭证服务器储存一指派给该用户的凭证，该凭证具有一唯一标识符及一非对称式密钥对的一公钥及一私钥；b)该客户端储存一凭证索引及一参考私钥，该凭证索引是对应于指派给该用户的该凭证，该参考私钥是通过该用户以一个人身份标识符加密该私钥而产生；c)该客户端在接受相关于一介于该客户端及一网络服务器的电子交易且是被该用户确认的事务数据后，响应该认证程序的执行，通过一输入操作产生一用户输入码，借由该用户输入码解密储存在步骤b)的该参考私钥以得到一当前密钥，及产生一用于该事务数据并使用该当前密钥及该事务数据的数字签名；及d)该凭证服务器依据该通讯网络接收的一数字签名及一凭证索引，基于该凭证的该公钥决定收到的该凭证索引是否唯一对应，判断收到的以该私钥签名的该数字签名，当判断为该数字签名是该私钥所签名时，将收到的该事务数据的该数字签名被确定为相关于该用户。

本发明的安全电子交易的网络认证方法，在步骤c)，当该用户输入码与该个人身份标识符相符，该当前密钥视为该私钥。

本发明的安全电子交易的网络认证方法，还使用该网络服务器及一连接该通讯网络的认证服务器，该网络认证方法还包括介于步骤b)及步骤c)之间的下述步骤：

e)该网络服务器依据接收的一交易讯息相关于该电子交易，通过该通讯网络发送用于该电子交易的一认证请求至该认证服务器，该认证请求具有经过该用户确认的该用户的该唯一标识符及该事务数据；及

f)该认证服务器从该网络服务器接收该认证请求后，通过该通讯网络发送用于该事务数据的一签名请求至该客户端，该签名请求具有该事务数据；

其中，在步骤c)，在产生该用户输入码之前，该客户端还显示该事务数据。

本发明的安全电子交易的网络认证方法，还包括介于步骤c)及步骤d)之间的下述步骤：

g)该客户端执行该认证程序，通过该通讯网络发送在步骤c)产生的该数字签名，以及在步骤b)储存的该凭证索引至该认证服务器；及