[发明专利]一种短信验证方法、装置和系统

说明书

本申请提供了一种短信验证方法、装置和系统，涉及通信安全技术领域，通过在上一次短信验证后提前预存服务器发送的身份信息和验证码，在此次短信验证过程中，服务器可以通过上一次预存的身份信息确定客户端为可信任客户端后，通过短信服务器和短信客户端，向用户提供验证码，用户在客户端上填写验证码后，客户端通过对身份码、身份信息、验证码和随机数进行密钥派生和密钥签名，然后发送给服务器，服务器再对自身存储的身份码、身份信息、验证码和随机数进行密钥派生和密钥签名，如果两个签名相同，表明此次短信验证过程中是该用户操作，确保整个短信验证过程是安全的。

技术领域

本发明涉及通信安全技术领域，尤其涉及一种短信验证方法、装置和系统。

背景技术

手机短信验证，是一种基于手机号码和运营商的一次性密码(one timepassword，OTP)的验证方法，一般用于对安全性要求比较高的场景，如登录银行、登录某运维web管理系统后台等等。以手机短信为例，用户在执行登录身份验证或重要操作身份验证后，点击获取验证码，系统对接运营商的短信网关，并让短信网关向指定的手机号发送验证码，用户收到短信验证码后填入系统进行身份验证。但是，这种验证方式的安全性比较低，容易被不法分子窃取验证码，从而造成用户的安全泄露。

发明内容

为了解决上述的问题，本申请的实施例中提供了一种短信验证方法、装置和系统，通过在上一次短信验证后提前预存服务器发送的身份信息和验证码，在此次短信验证过程中，服务器可以通过上一次预存的身份信息确定客户端为可信任客户端后，通过短信服务器和短信客户端，向用户提供验证码，用户在客户端上填写验证码后，客户端通过对身份码、身份信息、验证码和随机数进行密钥派生和密钥签名，然后发送给服务器，服务器再对自身存储的身份码、身份信息、验证码和随机数进行密钥派生和密钥签名，如果两个签名相同，表明此次短信验证过程中是该用户操作，确保整个短信验证过程是安全的。相比较现有技术，安全性更高，且登录过程中，除了短信验证码无需其它操作，相对于其它方案，不仅安全性得到提升，而且带给用户的体验提升或体验不变。

为此，本申请的实施例中采用如下技术方案：

第一方面，本申请提供一种短信验证方法，其特征在于，所述方法由客户端执行，包括：向服务器发送第一请求信息，所述第一请求信息用于请求所述服务器生成短信验证码，所述第一请求信息携带有手机号码和所述客户端自身预先存储的第一身份信息，所述第一身份信息用于让所述服务器验证所述客户端是否为可信任的客户端；接收所述服务器发送的安全信息；接收用户输入的第一短信验证码，对所述第一短信验证码、所述安全信息、自身预先存储的第一身份码和第一身份信息进行密钥派生和密钥签名，得到第一签名结果，并将所述第一签名结果发送给所述服务器。

在一种实施方式中，当所述客户端自身未存储有所述第一身份信息时，在所述向服务器发送第一请求信息之前，还包括：确定前置可信认证成功；向所述服务器发送认证成功信息；接收所述服务器发送的所述客户端的第一身份信息和第一身份码。

在一种实施方式中，所述对所述第一短信验证码、所述安全信息、自身预先存储的第一身份码和第一身份信息进行密钥派生和密钥签名，得到第一签名结果包括：对所述第一短信验证码、所述安全信息和所述自身预先存储的身份信息进行密钥派生，得到第一加密密钥；对所述第一加密密钥、所述安全信息和所述自身预先存储的身份码进行密钥签名，得到所述第一签名结果。

在一种实施方式中，所述方法还包括：接收并存储所述服务器发送的所述客户端的第二身份信息和第二身份码，所述第二身份信息用于下一次短信验证时，让所述服务器验证所述客户端是否为可信任的客户端，所述第二身份码用于在下一次短信验证时，与下一次的短信验证码和安全信息一并加密。

在一种实施方式中，所述方法还包括：接收用户输入的第二短信验证码，对所述第二短信验证码、所述安全信息、所述第一加密密钥和所述第一身份信息进行密钥派生和密钥签名，得到第二签名结果，并将所述第二签名结果发送给所述服务器，所述第二短信验证码为短信客户端接收到的短信验证码。