[发明专利]业务处理安全验证方法及装置

说明书

本发明提供了一种业务处理安全验证方法及装置，该方法包括：查询本地数据库得到密码本和未使用的标识位，并根据密码本和标识位得到随机数；利用随机数对业务请求数据进行对称加密，并利用固定密钥对标识位进行加密；发送对称加密后的业务请求数据和加密后的所述标识位，并接收返回包，该返回包包括针对该业务请求数据返回的业务处理数据和返回的加密的标识位；利用固定密钥对返回的加密的标识位进行解密；在解密的返回的标识位为无效的情况下，拒绝对返回的业务处理数据作进一步业务处理；在解密的返回的标识位为有效的情况下，利用解密的返回的标识位对返回的业务处理数据进行解密，以作进一步业务处理。本发明能够提高业务处理安全性。

技术领域

本发明涉及互联网信息安全技术领域，尤其涉及一种业务处理安全验证方法及装置。

背景技术

目前互联网即时通信系统的移动客户端与服务器端之间的信息传输普遍采用对称加密算法，以保证客户信息的安全，防止客户信息被盗。服务器端需防止客户端的恶意攻击，例如，非法人员截取客户端交易后，进行高频重复调用(例如，查询类相关交易)，对应用服务器集群造成压力。

原有的对称加密密钥由三部分组成：随机数、手势密码锁及固定密钥串。其中，随机数每天更新一次，所以，在手势密码和固定密钥串不变的情况下，实际上客户端与后台服务器之间的交互密钥为一天一密。恶意攻击虽无法破解密文篡改，但可以通过截取请求返回包，并替换同一场景业务的返回包，从而导致交易失败，或非正常结果展现。另外，通过对截取后的交易进行高频重复调用(例如，查询类相关交易)还会对应用服务器集群造成一定压力。

发明内容

本发明提供了一种业务处理安全验证方法及装置，以提高业务处理安全性。

本发明实施例提供一种业务处理安全验证方法，包括：查询本地数据库得到密码本和未使用的标识位，并根据所述密码本和所述标识位得到随机数；利用所述随机数对业务请求数据进行对称加密，并利用固定密钥对所述标识位进行加密；发送对称加密后的业务请求数据和加密后的所述标识位，并接收返回包，所述返回包包括针对所述业务请求数据返回的业务处理数据和返回的加密的标识位；利用所述固定密钥对返回的加密的标识位进行解密；在解密的返回的标识位为无效的情况下，拒绝对返回的业务处理数据作进一步业务处理；在解密的返回的标识位为有效的情况下，利用解密的返回的标识位对返回的业务处理数据进行解密，以作进一步业务处理。

本发明实施例另提供一种业务处理安全验证方法，包括：接收请求包，所述请求包包括对称加密的业务请求数据和加密的标识位；利用固定密钥对加密的所述标识位进行解密；利用解密后的所述标识位在分布式缓存中查询密码本；在解密后的所述标识位为无效的情况下，拒绝处理对称加密的业务请求数据；在解密后的所述标识位为有效的情况下，通过解密后的所述标识位从查询到的密码本中截取对应的随机数；利用所述随机数对对称加密的业务请求数据进行解密，以进行业务处理；利用所述随机数对业务处理后的返回数据进行对称加密，利用所述固定密钥对解密后的所述标识位重新进行加密，并发送对称加密后的所述返回数据和重新加密后的所述标识位。

本发明实施例另提供一种业务处理安全验证装置，用于实现上述各实施例所述的步骤。

本发明实施例另提供一种业务处理安全验证系统，包括：

客户端，用于：查询本地数据库得到密码本和未使用的标识位，并根据所述密码本和所述标识位得到随机数；利用所述随机数对业务请求数据进行对称加密，并利用固定密钥对所述标识位进行加密；发送对称加密后的业务请求数据和加密后的所述标识位，并接收返回包，所述返回包包括针对所述业务请求数据返回的业务处理数据和返回的加密的标识位；利用所述固定密钥对返回的加密的标识位进行解密；在解密的返回的标识位为无效的情况下，拒绝对返回的业务处理数据作进一步业务处理；在解密的返回的标识位为有效的情况下，利用解密的返回的标识位对返回的业务处理数据进行解密，以作进一步业务处理；