[发明专利]认证方法和系统

说明书

本申请公开了一种认证方法和系统。其中，该方法包括：客户终端获取签名信息，第一数值和认证因素，其中，签名信息是对服务器发送的挑战值进行签名得到的，第一数值用于表征对挑战值进行签名的操作次数，认证因素用于表征客户终端登录服务器的登录信息；客户终端基于签名信息、第一数值和认证因素，生成认证信息；客户终端将认证信息发送至服务器，其中，服务器对认证信息进行验证。本申请解决了现有技术中认证方法无法有效检测到克隆操作的发生，导致认证准确率低的技术问题。

技术领域

本申请涉及双因素认证领域，具体而言，涉及一种认证方法和系统。

背景技术

双因素验证(2FA，Two-factor Authentication)已经是国际上公认的，对用户账号安全最有效的增强保障手段。常见的双因素认证方案如短信验证码、RSA令牌(TOTP)、生物信息等，存在操作不便，中途数据可能被劫持，泄漏用户的隐私等问题。

通用第二因素(U2F，Universal 2nd Facto)类似国内的二代U盾的保护机制，使用双因子(密码和能与用户交互的设备)保护用户账户和隐私。用户在注册阶段，使用服务器支持的U2F设备，将账户和设备绑定。当进行登录验证操作时，服务器在合适的时候，提示用户插入设备并进行按键操作，加密设备对数据签名，发送给服务器，服务器做验证，如果验证成功，用户则可登录成功。由于有了第二因子(加密设备)的保护，用户可以选择不设置密码或者使用更简单易记的密码。

其工作原理如下：当用户登录服务器注册信息时，用户的U2F设备产生一对非对称密钥对，私钥在加密设备中保留，黑客无法读取，公钥传给服务器，服务器将此公钥和用户对应的账户相关联；当用户登录服务器验证信息时，用户使用U2F设备中的私钥对服务器的挑战值做签名，服务器使用对应的公钥做验证，用户的设备中的私钥，必须经过用户解锁(如按键)，才能被用来做签名操作。

具体地，用户注册的过程如下：用户的终端设备提示用户选择一个FIDO(FastIDentity Online。快速在线身份认证联盟)认证因子；用户使用U2F设备解锁FIDO认证因子；用户的终端设备产生一个对本地设备、在线服务、用户账号唯一的新的公钥/私钥对；用户的终端设备发送公钥给在线服务，私钥和本地认证方式(比如U2F设备)不能离开本地设备。

用户登录的过程如下：在线业务的服务器对用户发出挑战，要求用户登陆；用户使用注册时的方法解锁FIDO的认证因子；终端设备使用在线业务服务器提供的用户的账号标识，来选择正确的私钥，并对在线业务的挑战值进行签名；终端设备发送签名后的挑战值给在线业务服务器，在线业务服务器使用公钥对签名做验证，并返回登陆响应给用户。

近年来，FIDO U2F已经成为新一代的、最受关注、最有希望的双因素验证手段，具有免驱动、浏览器(Chrome)原生支持、操作便捷、安全性高(密码学芯片的引入)、设计简单等优点。U2F引入的密钥派生机制，使得FIDO U2F标准虽然安全，但在实现过程中，容易被厂商方面引入安全风险，包括以下两点:

安全模型风险：U2F的安全模型，应该从芯片级安全的信任程度，被降低到供应商级别，即芯片级的安全并不可信，因为U2F设备芯片中的主密钥(即私钥)在出厂、销售、运输等过程中，容易被克隆复制，U2F设备只有在供应商出厂的时候才可信。用户在被授予U2F设备后，需要能够对此U2F设备的主密钥进行重置，以规避供应链过程中引入的主密钥(即私钥)泄漏风险。

克隆检测风险：一些使用了U2F机制的服务提供商，在U2F设备的主密钥被克隆复制之后，没有做对应的提示和注销等风控操作。甚至有些厂商没有按照标准协议实现防克隆检测，导致攻击者根据克隆的主密钥来实现登录认证。