一种网络中动态加密装置及其口令认证方法

1. 一种网络中动态加密装置，该装置通过使用软键盘模式的口令输入方式防止木马程序监控物理键盘的输入，通过使用基于随机口令加密指令串进行动态加密的方式防止木马程序窃取内存中的口令， 其特征在于，该装置由数据管理装置(1)、服务提供装置(2)、内部网络(3)、安全服务装置(4)、网络安全装置(5)、公共网络(6)、客户终端装置(7)组成，其中，所述内部网络(3)分别连接于数据管理装置(1)、服务提供装置(2)、安全服务装置(4)和网络安全装置(5)，所述网络安全装置(5)通过公共网络(6)连接于所述客户终端装置(7)； 数据管理装置(1)，用于存放企业数据和客户信息，并负责认证通过后的客户访问管理； 服务提供装置(2)，为客户提供接入服务； 安全服务装置(4)，为用户提供认证服务； 网络安全装置(5)，用于保护企业内部网络的安全； 公共网络(6)，客户终端装置(7)通过该公共网络(6)联机到企业的服务提供装置(2)； 客户终端装置(7)是网络系统的客户端，当客户终端装置(7)开始访问服务提供装置(2)中涉及安全的服务时，如果用户还没有通过认证，服务提供装置(2)便要求用户认证，从安全服务装置(4)取得一个随机的口令加密指令串，生成用户认证所需的初始数据，发送给客户终端装置(7)，所述初始数据中包含从安全服务装置返回的随机口令加密指令串；客户终端装置(7)利用初始数据中的口令加密指令串对用户输入的口令信息进行加密，并将包括客户标识、已加密的口令以及所需的认证信息作为用户认证数据发送给服务提供装置(2)；服务提供装置(2)将用户认证数据交给安全服务装置(4)进行认证，所述用户认证数据至少包括客户标识、加密口令以及所需的认证信息；安全服务装置(4)在对用户认证数据进行认证时，先取出与初始数据中随机口令加密指令串对应的口令解密指令串，并将该口令解密指令串与用户认证数据中的加密口令一起交自身的解密装置进行解密，然后将解密的口令与存放在数据管理装置(1)中的用户口令一起交自身的比较装置进行比较，最后将比较结果返回给服务提供装置(2)；如果安全服务装置(4)返回认证正确，则向客户终端装置(7)提供用户所需的服务，如果安全服务装置(4)返回认证失败，则服务提供装置(2)再次要求用户进行认证，或拒绝向客户终端装置(7)提供用户所需的服务。
2、 根据权利要求1所述的网络中动态加密装置，其特征在于，所述 数据管理装置是一个PC服务器或主机。
3、 根据权利要求1所述的网络中动态加密装置，其特征在于，所述 服务提供装置是一个Web服务器或提供接入的服务器。
4、 根据权利要求1所述的网络中动态加密装置，其特征在于，所述 内部网络是局域网，或者是以太网。
5、 根据权利要求1所述的网络中动态加密装置，其特征在于，所述 安全服务装置，负责随机口令加密措令串和口令解密串的产生、用户认 证信息中的加密口令解密、从数据管理装置获取用户原口令并比较；其 结构包括：随机口令加密措令串和口令解密措令串产生装置，用于动态生成随 机口令加密指令串和口令解密指令串，或者用于从一个口令加密指令串 和口令解密指令串库中随机获取；记录装置,记录用户会话使用的口令加密措令串和口令解密指令串； 解密装置,对客户终端装置提交的认证信息中的加密口令进行解密； 比较装置，对解密装置解密得到的口令与存放在数据管理装置中的 用户口令进行比较。
6、 根据权利要求1所述的网络中动态加密装置，其特征在于，所述 网络安全装置为防火墙，用于保护企业内部网络的安全，防止公共网络 中的非法用户对内部网络的访问和攻击。
7、 根据权利要求1所述的网络中动态加密装置，其特征在于，所述 公共网络是互联网或企业外部网，客户终端装置通过公共网络联机到企 业的服务提供装置。
8、 根据权利要求1所述的网络中动态加密装置，其特征在于，所述客户终端装置是网络系统的客户端，是一台个人PC，包括：显示装置为显示器，输入装置为鼠标和键盘，通讯装置为Modem。
9.一种网络中动态加密口令认证方法，该方法通过使用软键盘模式的口令输入方式防止木马程序监控物理键盘的输入，通过使用基于随机口令加密指令串进行动态加密的方式防止木马程序窃取内存中的口令,其具体步骤如下：步骤100:客户终端向服务提供装置发送身份认证请求；歩骤101:响应客户终端请求，服务提供装置接受客户终端的身份认证请求；步骤102:服务提供装置向安全服务装置请求一随机口令加密指令 串；安全服务装置中的随^^口令加密措令串和口令解密指令串产生装置 产生--对随机的口令加密指令串和口令解密措令串对;记录装置对用户 会话使用的口令加密指令串和口令解密指令串对进行记录；安全服务装 置最后将口令加密指令串返回给服务提供装置；歩骤103:服务提供装置生成发送给客户终端的初始化数据，初始 化数据中包含从安全服务装置返回的随机口令加密指令串；歩骤104:服务提供装置将生成的初始化数据发送给客户终端； 步骤105:客户终端接收服务提供装置发送的初始化数据； 歩骤106:客户终端检査本身是否存在最新版本的口令输入控件， 如果不存在或版本不是最新，则转步骤107，否则转步骤108;歩骤107:客户终端从服务提供装置下载最新版本的口令输入控件； 步骤108:客户终端显示口令认证屏面，等待用户输入客户标识、 口令以及其所霈的认证信息；步骤109:用户在客户终端上输入客户标识以及除口令外的所需的 认证数据；步骤110:用户使用鼠标点击口令输入控件上显示有口令字符的图 片区域，进行口令输入；歩骤111: 口令输入控件将鼠标点击的位置转换成一个临时中间值， 该中间值与用户点击位置显示的字符对应，并使用初始化数据中包含的 口令加密指令串对该中间值进行加密；歩骤112: 口令输入控件保存加密的口令数据，并更新口令输入进度指示器；步骤113: 口令输入控件检査口令输入是否完成，如果未完成则转 步骤UO,接受用户下一口令字符的输入；步骤客户终端将用户输入的认证数据发送给服务提供装置； 其中，用户认证数据包括客户标识、已加密的口令以及所需的认证信息;步骤1!5:服务提供装置接收客户终端发送的认证数据；步骤116:服务提供装置将认证数据发送给安全服务装置进行认证; 安全服务装置从记录装置中取出与发送给客户终端的口令加密措令串对 应的口令解密指令串，与认证数据中的加密口令一起交解密装置进行解 密；并将解密的口令与存放在数据管理装置中的用户口令一起交比较装 置进行比较；最后将比较结果返回给服务提供装置；歩骤U7:服务提供装置将认证的结果数据发送给客户终端；歩骤U8:客户终端接收服务提供装置发送的认证结果数据，并在 屏面显示认证结果。
10、根据权利要求9的网络中动态加密口令认证方法，其特征在于， 所述口令加密措令串和口令解密指令串对是与客户会话相关的，每次身 份认证中口令加密措令串和U令解密指令串对是不同的，所述口令加密指令串是-"个加密密钥，或者是自定义的一个加密措 令系列；口令解密指令串是-'个解密密钥，或者是自定义的--个解密指令系列。
11、根据权利要求9的网络中动态加密口令认证方法，其特征在于， 口令输入控件是一种能在客户终端上运行的软件组件，它有--个软键盘 模式的图形界面，通过点击显示有字符的图片区域进行口令输入；鼠标 点击的位置被控件转换为一个临时的中间值并使用口令加密指令串进行 加密。

—种网络中动态加密装置及其口令认证方法\n技术领域\n本发明涉及网络中的数据认证技术领域,特别是涉及一种网络中动态 加密装置及其口令认证方法。\n降眾汉不\n口令认证方法有静态口令认证方法和动态口令认证方法。目前的静态 口令认证方法的口令容易被木马程序窃取，很不安全。目前的动态口令 认证方法都是基于智能令牌，硬令牌方式安全性高但需要相当大的硬件 设备投资，软令牌方式软令牌软件和静态口令同样可能会被木马程序获 取。\n在电子商务中，用户身份认证是系统访问控制的首要环节，然 而目前木马程序窃取口令的事情不断发生，给客户和企业造成了 --定经济损失，也使人们对电子商务的安全性越来越担忧。虽然 目前已经使用一些动态的口令认证方法，但这些方法基本都是基 于智能令牌实现的，硬令牌方式安全性高但霈要相当大的硬件设 备投资，软令牌方式软令牌软件和静态口令同样可能会被木马程 序获取。而且这种智能令牌方式也给客户的使用带来不便，增加\nr客户与企业的管理和使用成本。企业出现对客户资源的被迫选 择，限制了客户资源的扩大。\n发明内容\n本发明提供了一种网络中动态加密装置及其口令认证方法是 --种身份认证装置和方法，其主要目的是为了解决目前木马程序 经常窃取用户口令的问题。本发明通过对木马程序可能窃取用户 口令的各种途径进行分析，采用一种综合的方法，对木马程序可能窃取用户口令的各种途径一~"解决。它通过使用软键盘模式的 口令输入方式防止木马程序监控物理键盘的输入，通过使用基于 随机口令加密指令串进行动态加密的方式防止木马程序窃取内存 中的口令。\n由数据管理装置、服务提供装置、内部网络、安全服务装置、网络 安全装置、公共网络、客户终端装置组成，内部网络分别连接于数据管 理装置、服务提供装置、安全服务装置和网络安全装置，网络安全装置\n通过公共网络连接于客户终端装置；\n数据管理装置，用于存放企业数据和客户信息，并负责认证通过后 的客户访问管理；\n服务提供装置，为客户提供接入服务；\n安全服务装置，为用户提供认证服务；\n网络安全装置，用于保护企业内部网络的安全；\n公共网络，客户终端装置通过公共网络联机到企业的服务提供装置;\n客户终端装置是网络系统的客户端。\n本发明使用软键盘模式的口令输入方法，但它与一般的软键盘 技术是不同的，它由专门的口令输入控件实现，在口令输入过程 中，当用户点击口令输入控件上显示有字符的图片区域时，控件 将鼠标点击的位置转换为表示图片所显示的相应字符的临时中间 值（这个临时中间值由控件的算法决定，而不是用户输入的字符 值），并使用一个随机的口令加密指令串对它进行加密。这个随机 口令加密指令串是在服务器端随机产生返回给客户端的，在每次 认证中这个随机口令加密指令串都是不同的。随机口令加密指令 串可以是--个加密密钥，也可以是其它自定义的口令输入控件能 够识别的一个指令系列。随机口令加密指令串可以由认证服务器 动态生成，也可以在认证服务器中预先存放大量的随机口令加密 措令串，每次认证时随机抽取使用，以提高认证速度。\n通过一个循环的控制处理完成口令各个字符的输入，最后将口\n令各个字符的加密值连接起来组成一个加密的口令。在口令输入 过程中和口令输入完成后是都不会将原口令存放到客户端的内存中的，而保存到内存中的是被加密的口令。企业的认证服务器收 到客户端传来的加密的口令后，使用与口令加密指令串对应的口 令解密指令串解密，再与存放在数据库中的口令比较。\n另外，口令输入控件也会定期更新，如一周更新、一个月更新 等，有效防止控件算法的破译。\n附國说明\n图1是本发明的网络中动态加密装置结构示意图。\n图2是本发明的安全服务装置结构示意图。 图3是本发明的客户终端装置结构示意图。 图4是本发明的认证方法流程图。 图5是本发明的口令输入控件的界面实例图。\n具体实施方式\n图l中，数据管理装置1可以是一个PC服务器或主机，运行 数据库管理系统，存放企业数据和客户信息，如用户名、密码等， 并负责认证通过后的客户访问管理。\n服务提供装置2可以是--个Web服务器或提供接入的服务器。为客 户提供基于http和https协议服务，动态生成Web页面文件，提供给客户 终端装置，和客户终端装置进行交互。当客户终端装置7开始访问服务 提供装置2中涉及安全的服务时，如果用户还没有通过认证，服务提供 装置2便要求用户认证，从安全服务装置4取得一个随机的口令加密指 令串，生成用户认证所需的初始数据，发送给客户终端装置7，初始数据 可以是一个Web页面文件，其中包含--个口令加密指令串和一个口令输 入控件。\n服务提供装置2将用户认证数据交给安全服务装置4进行认 证，如果安全服务装置4返回认证正确，则向客户终端装置7提 供用户所需的服务，如果安全服务装置4返回认证失败，则服务 提供装置2再次要求用户进行认证，或拒绝向客户终端装置7提 供用户所需的服务。内部网络3为企业的局域网，可以是以太网（Ethernet),也可 以是其它局域网络，如光纤分布式数据接口 （FDDI)、令牌环 (Token-Ring)等。\n安全服务装置4是一个认证服务器，为用户提供认证服务。负 责随机口令加密指令串和口令解密串的产生、用户认证信息中的 加密口令解密、从数据管理装置获取用户原口令并比较。\n它包括如图2所示的四个功能部分。当服务提供装置2在生成 给客户终端装置的认证初始数据时，会请求安全服务装置4提供 该用户会话所霈的口令加密指令串。安全服务装置4由随机口令 加密指令串和口令解密措令串产生装置IO产生一对随机的口令加 密指令串和口令解密措令串，由记录装置U记录下该用户会话使\n用的口令加密措令串和口令解密指令串对，并将口令加密措令串 返回给服务提供装置2。当服务提供装置2将用户的认证数据交安 全服务装置4进行认证时，安全脲务装置4中的解密装置12从记 录装置U中取出该用户会话的口令解密指令串，对认证数据中的 加密口令进行解密。安全服务装置4从数据管理装置1中取得用 户的原始口令，将原始口令和解密装置12解密的口令一起交比较 装置13进行比较，并将比较结果返回给服务提供装置2。其中随 机口令加密指令串和口令解密指令串产生装置IO可以动态产生一 对口令加密指令串和口令解密措令串，每次认证的口令加密指令 串和口令解密指令串对是不同的。为了提高速度，也可以预先产 生大量的口令加密指令串和口令解密指令串对存放在安全服务装 置4中，每次认证时，随机口令加密措令串和口令解密指令串产 生装置IO只需随机抽取使用。\n网络安全装置5为防火墙，用于保护企业内部网络的安全，防 止公共网络中的非法用户对内部网络的访问和攻击。\n公共网络6可以是互联网Unteraet),也可以是其它企业外部 网（Extr肌et)。客户终端装置通过公共网络联机到企业的服务提 供装置。\n客户终端装置7是网络系统的客户端，可以是一台个人PC，安装有浏览器软件，也可以是其它能够运行浏览器软件的装置，\n如NC、 Windows图形终端等。它有显示装置和输入装置，显示装 置可以是显示器，输入装置町以是键盘和鼠标。它通过调制解调 器（Modem)或网卡连接到公共网络。\n客户终端装置7接收到初始数据后，先检査口令输入控件是否 在本装置中已经存在，如果没有或版本不是最新，则到服务提供 装置2下载最新版本的口令输入控件。然后在显示装置中显示提 供给用户的认证画面。\n口令输入控件可以是-—个ActiveX控件或Java Applet控件，也 可是其它由浏览器支持的控件类型，但客户终端装置7必须安装 有支持此控件类型的软件，如对于Java Applet控件，客户终端装 置7上应该安装有Java虚拟机（VM)。 口令输入控件有一个软键 盘的界面，如图4所示，软键盘上有一个显示有口令字符集中所 有字符的大图片按钮，或者是有很多小图片按钮，每个小图片分 别显示有口令字符集中的-'个字符。用户输入口令通过鼠标点击 大图片按钮上的字符或点击各个小图片按钮，口令输入控件将鼠 标点击的位置转换成一个代表用户点击字符的临时中间值，再使 用口令加密指令串对该中间值进行加密，并更新口令输入控件上 的口令输入进度指示器。然后等待用户输入下一个口令字符，通 过一个循环控制口令中各个字符的输入，并将每次得到的加密结 果连接到一起，组成一个加密的口令。\n当用户通过鼠标或键盘触发认证界面中的提交认证事件，如使 用鼠标点击认证界面中中的"确定"按钮，客户终端装置7便将包含 加密U令的认证数据发送给服务提供装置2。\n图2中，随机口令加密指令串和口令解密指令串产生装置10 为--个使用软件程序的装置，可以动态生产随机口令加密指令串 和口令解密措令串，也可以从一个口令加密指令串和口令解密指 令串库中随机获取。\n记录装置11记录用户会话使用的口令加密指令串和口令解密 指令串。解密装置12对客户终端装置提交的认证信息中的加密口令进 行解密。\n比较装置13对解密装置12解密得到的口令与存放在数据管理 装置1中的用户口令进行比较。\n图3中，显示装置20为显示器，输入装置22为鼠标和键盘， 通讯装置23为Modem。\n图4中，通过使用软键盘模式的口令输入方式防止木马程序监控物 理键盘的输入，通过使用基于随机口令加密指令串进行动态加密的方式 防止木马程序窃取内存中的口令,其具体步骤如下：\n歩骤10(h客户终端7向服务提供装置2发送身份认证请求；\n步骤101:响应客户终端请求，服务提供装置2接受客户终端 7的身份认证请求；\n步骤102:服务提供装置2向安全服务装置4请求一随机口令 加密措令串；安全服务装置4中的随机口令加密指令串和口令解\n密指令串产生装置io产生---对随机的口令加密指令串和口令解密\n指令串对，记录装置ll对用户会话使用的口令加密指令串和口令 解密指令串对进行记录：安全服务装置4最后将口令加密指令串 返回给服务提供装置2;\n步骤103:服务提供装置2生成发送给客户终端7的初始化数 据，初始化数据中包含从安全服务装置4返回的随机口令加密措\n令串；\n歩骤104:服务提供装置2将生成的初始化数据发送给客户终 端7;\n步骤105:客户终端7接收服务提供装置2发送的初始化\n敏,r JJC3\n数据；\n步骤106:客户终端7检査本身是否存在最新版本的口令输入 控件，如果不存在或版本不是最新，则转歩骤107,否则转歩骤 跳\n步骤107:客户终端7从服务提供装置2下载最新版本的口令 输入控件；歩骤108:客户终端7显示口令认证屏面，等待用户输入客户 标识、口令以及其它所需的认证信息；\n步骤109:用户在客户终端7上输入客户标识以及其它除口令 外的所需的认证数据；\n步骤110:用户使用鼠标点击口令输入控件上显示有口令字符 的图片区域，进行口令输入：\n步骤U1: 口令输入控件将鼠标点击的位置转换成一个临时中 间值，该中间值与用户点击位置显示的字符对应，并使用初始化 数据中包含的口令加密指令串对该中间值进行加密；\n歩骤il2: 口令输入控件保存加密的口令数据，并更新口令输 入进度措示器；\n步骤113: 口令输入控件检査口令输入是否完成，如果未完成 则转步骤110,接受用户下一口令字符的输入；\n歩骤114:客户终端7将用户输入的认证数据发送给服务提供 装置2;其中，用户认证数据包括客户标识、已加密的口令以及所需的 认证信息；\n歩骤11S:服务提供装置2接收客户终端7发送的认证数据； 歩骤116:服务提供装置2将认证数据发送给安全服务装置4 进行认证；安全服务装置4从记录装置11中取出与发送给客户终 端7的口令加密指令串对应的口令解密措令串，与认证数据中的 加密口令--起交解密装置12进行解密；并将解密的口令与存放在 数据管理装置1中的用户[.J令一起交比较装置13进行比较；最后 将比较结果返回给服务提供装置2;\n步骤117:服务提供装置2将认证的结果数据发送给客户终端\n7;\n步骤118:客户终端7接收服务提供装置2发送的认证结果数 据，并在屏面显不认证结果。\n上述步骤中口令加密与口令解密并不是两个完全相反的过程， 因为口令加密过程是对一个中间值进行加密，而口令解密过程需 要得到原始的口令。口令解密过程是，先对加密的口令进行解密得到原中间值，再将中间值转换为原口令。\n网络中动态加密口令认证方法，客户终端向服务提供装置发送的身\n份认证请求包括直接请求和间接请求：\n直接请求，客户终端直接访问服务提供装置的身份认证服务；\n间接请求，客户终端在未通过身份认证的情况下，请求访问服务提 供装置中涉及安全的服务，服务提供装置则暂不提供该服务而强行向客 户终端提供身份认证服务。\n口令加密指令串和口令解密指令串对是与客户会话相关的，即每次 身份认证中口令加密指令串和口令解密指令串对是不同的，\n口令加密指令串可以是一个加密密钥，也可以是自定义的一个加密\n措令系列；\n口令解密指令串可以是一个解密密钥，也可以是自定义的一个解密 指令系列。\n口令输入控件是一种能在客户终端上运行的软件组件，它有一个软\n键盘模式的图形界面，通过点击显示有字符的图片区域进行口令输入；\n鼠标点击的位置被控件转换为一个临时的中间值并使用口令加密指令串 进行加密。\n口令输入控件的界面依据口令的字符集而定，如果口令的字符 集为字母和数字，则口令输入控件的图片区域是一个大键盘的形 状。如果口令的字符集为数字，则口令输入控件的图片区域是--\n个小键盘的形状。如图5所示，为一个小键盘样式的口令输入控 件界面实例-\n其中，"女女女女A女"为口令输入进度指示器，用"女"的个数\n指示口令输入的字符数。在字符图片区域中，所有字符可以在-个大图片按钮上，也可以是每个字符分别在一个小图片按钮上。 发明优越性\n本发明的口令认证方法有效地防止了木马程序窃取用户口令 的问题，主要从如下两个方面进行实现-\n1)、使用点击图片进行口令字符输入的方式防止了木马程序监\n控物理键盘输入的问题；2)、 口令的原始值不会存放在客户端的内存中，而且在口令输 入过程中的任何—个瞬间，在客户端上都不会存在原始口令，存 放到客户端内存中的是使用随机口令加密指令串进行了加密的口 令。由于每次认证使用的隨机口令加密措令串是不同的，所以， 即使木马程序通过扫描内存已经取得加密后的口令也毫无用处， 有效防止了木马程序扫描和监控内存的问题。