多通道主動式網絡身份驗證系統及網絡身份驗證裝置的製作方法

2023-05-10 02:54:06

專利名稱：多通道主動式網絡身份驗證系統及網絡身份驗證裝置的製作方法
技術領域：
本發明有關網絡安全控管機制，尤指一種多通道主動式網絡身份驗證系統及相關的多通道網絡身份驗證裝置和主動式網絡身份驗證裝置。
背景技術：
隨著各種網絡服務應用愈來愈普及，網絡信息安全的重要性也愈來愈高。傳統登入遠端網絡服務系統(例如網絡銀行、網絡下單、線上遊戲、企業內部網絡系統等)的方式，是利用使用者帳號與密碼來做登入者身份的驗證。隨著木馬程序、鍵盤側錄程序(key logger)、屏幕側錄程序(screen logger)、網絡釣魚(Phishing)、中間人(man-1n-the-middle attack)攻擊、重送攻擊(replay attack)等惡意技術的進步,使得單純利用用戶帳號與密碼的身份驗證方式面臨重大信息安全威脅。為了加強網絡銀行交易時的安全性，有信息安全廠商在大約十年前推出了利用簡訊通道的行動驗證方案(SMS-authentication),例如RSA數據安全(RSA security)有限公司的保安認證系統(On-demand Authenticators)等。當使用者以既有的帳號、密碼登入網絡銀行系統後，網絡銀行系統會利用電信平臺，以簡訊方式發送一組動態密碼(one timepassword, OTP)到使用者的手機上。使用者必須在網絡銀行的網頁中輸入該動態密碼，完成第二道的身份驗證手續，方能進行網絡銀行的交易服務。然而，這一類的方法和系統，並無法有效抵禦中間人攻擊和網絡釣魚攻擊的威脅。因為一旦使用者在登入網絡銀行系統的過程中遭受到中間人攻擊或網絡釣魚攻擊，則使用者在網絡銀行的網頁中所輸入的動態密碼，就會被發起攻擊的惡意人士給攔截和知悉。於是，各種改進的方案不斷地被提出。例如，中國信託的臺灣發明第1288554號專利說明書中提出了一種所謂的雙因素身份認證方法和系統，會在發送動態密碼的簡訊中加入該次交易內容的摘要數據，例如轉帳帳號的部分號碼或交易金額，以供使用者比對是否與自己在網頁上輸入的數據相符，其中該動態密碼是由交易內容的數據算出。若使用者能謹慎地仔細核對簡訊內容的正確性，便可提高對攻擊的偵測能力。但這種方式並無法有效防禦較狡猾的中間人攻擊和網絡釣魚攻擊。例如，釣魚網頁可能會提示使用者:「若您手機收到的簡訊中的轉帳帳號或交易金額與您在網頁輸入的交易內容不符，則請將簡訊中的動態密碼輸入網頁中的"取消交易"的欄位以取消該筆交易」。此時，使用者若依照釣魚網頁的指示操作，發起攻擊的惡意人士便能取得動態密碼。即便前述的動態密碼有使用時效的限制，但在密碼的有效期間內仍足以讓惡意人士假冒使用者身份竄改網絡交易的內容，造成使用者的金錢損失。此外，也曾發生過黑客假冒使用者向電信公司謊報手機SIM卡遺失，而從電信公司騙取到同樣電話號碼的SIM卡。此時，黑客便能接收到網絡銀行系統要發給使用者的動態密碼，並假冒使用者的身份使用網絡銀行服務，造成使用者的金錢損失。由前述說明可知，臺灣發明專利第1288554號專利所提出的方法和系統仍然存在明顯的信息安全漏洞，無法有效核實網絡使用者的身份真實性和確保網絡交易的安全。

發明內容
有鑑於此，如何有效驗證網絡使用者的身份真實性，加強網絡服務的信息安全控管效能，實為迫切需要解決的問題。本發明提供了一種多通道主動式網絡身份驗證系統之實施例，其包含有:一瀏覽器模塊，用於通過一第一傳輸通道傳送一服務要求；一安全認證模塊，用於產生一挑戰值；一服務處理模塊，用於產生對應該服務要求的服務內容信息，並使用該服務處理模塊與該瀏覽器模塊間的一目標會話，將該服務內容信息和該挑戰值通過該第一傳輸通道傳送給該瀏覽器模塊；一顯示裝置，用於顯示該服務內容信息和該挑戰值；一驗證啟動模塊，用於提示使用者將該顯示裝置所顯示的該服務內容信息及該挑戰值輸入一預定界面；一驗證數據產生模塊，用於依據一挑戰回應算法產生與該預定界面接收到的挑戰值相對應的一回應值，並使用一金鑰對該服務內容信息及該回應值進行加密，以產生安全驗證數據；以及一簡訊模塊，用於將該安全驗證數據以簡訊形式通過一第二傳輸通道傳送給該安全認證模塊；其中該安全認證模塊接收到該安全驗證數據時，會核驗該安全驗證數據及一來源電話號碼，若該安全驗證數據中未包含該服務內容信息及該回應值、或該來源電話號碼不是一預先約定號碼，則該安全認證模塊會拒絕該瀏覽器模塊通過該第一傳輸通道傳來的該服務要求。本發明提供了一種用於一服務提供端系統的多通道網絡身份驗證裝置的實施例，包含有:用於依據一挑戰回應算法產生一挑戰值的裝置；用於利用一服務處理模塊使用該服務處理模塊與一用戶端裝置間的一目標會話，將該挑戰值通過一第一傳輸通道傳送給用戶端裝置的裝置；用於接收通過一第二傳輸通道傳來的安全驗證數據的裝置；以及用於核驗該安全驗證數據的裝置；其中若該安全驗證數據中未包含有與該挑戰值相對應的一回應值，則用於核驗該安全驗證數據的裝置會拒絕該用戶端裝置通過該第一傳輸通道傳來的一服務要求。本發明另提供了一種用於一服務提供端系統的多通道網絡身份驗證裝置的實施例，包含有:用於產生一組動態密碼的裝置；用於利用一服務處理模塊使用該服務處理模塊與一用戶端裝置間的一目標會話，將該動態密碼通過一第一傳輸通道傳送給該用戶端裝置的裝置；用於接收通過一第二傳輸通道傳來的安全驗證數據的裝置；以及用於核驗該安全驗證數據的裝置；其中若該安全驗證數據中未包含有該動態密碼，則用於核驗該安全驗證數據的裝置會拒絕該用戶端裝置通過該第一傳輸通道傳來的一服務要求。本發明另提供了一種用於具有一驗證數據產生模塊的一用戶端裝置的主動式網絡身份驗證裝置的實施例，包含有:用於提示使用者將一服務提供端系統通過一第一傳輸通道傳來的一挑戰值，輸入該用戶端裝置的一預定界面的裝置；用於利用該預定界面接收該挑戰值的裝置；用於利用該驗證數據產生模塊依據一挑戰回應算法產生與該挑戰值相對應的一回應值的裝置；用於利用該驗證數據產生模塊產生與該回應值相關的一安全驗證數據的裝置；以及用於將該安全驗證數據以一或多個簡訊的形式通過一第二傳輸通道傳送至一指定電話號碼的裝置。本發明另提供了一種用於具有一驗證數據產生模塊的一用戶端裝置的主動式網絡身份驗證裝置的實施例，包含有:用於提示使用者將一服務提供端系統通過一第一傳輸通道傳來的一動態密碼，輸入該用戶端裝置的一預定界面的裝置；用於利用該預定界面接收該動態密碼的裝置；用於利用該驗證數據產生模塊產生與該動態密碼相關的一安全驗證數據的裝置；以及用於將該安全驗證數據以一或多個簡訊的形式通過一第二傳輸通道傳送至一指定電話號碼的裝置。利用前述的多通道主動式網絡身份驗證系統和相關的網絡身份驗證裝置，不僅可提升用戶端裝置所發出的安全驗證數據的不可否認性和安全性，還能有效克服木馬程序、鍵盤側錄程序、屏幕側錄程序，網絡釣魚、中間人攻擊、重送攻擊等各種常見的網絡攻擊態樣對網絡身份驗證造成的衝擊，大幅強化網絡身份驗證的正確性和可靠性，進而達成更高等級的網絡安全控管目的。


圖1為本發明的多通道主動式網絡身份驗證系統的一第一實施例簡化後的功能方塊圖。圖2和圖3為本發明之多通道主動式網絡身份驗證方法的一第一實施例簡化後的流程圖。圖4為圖1中之用戶端裝置產生安全驗證數據的一第一實施例簡化後的流程圖。圖5為本發明之多通道主動式網絡身份驗證方法的一第二實施例簡化後的局部流程圖。圖6為圖1中之用戶端裝置產生安全驗證數據的一第二實施例簡化後的流程圖。圖7為本發明的多通道主動式網絡身份驗證系統的一第二實施例簡化後的功能方塊圖。
具體實施例方式以下將配合相關圖式來說明本發明之實施例。在這些圖式中，相同的標號表示相同或類似的元件或流程/步驟。在說明書及後續的權利要求當中使用了某些詞彙來指稱特定的元件。所屬領域中具有通常知識者應可理解，同樣的元件可能會用不同的名詞來稱呼。本說明書及後續的權利要求並不以名稱的差異來作為區分元件的方式，而是以元件在功能上的差異來作為區分的基準。在通篇說明書及後續的權利要求當中所提及的「包含」為一開放式的用語，故應解釋成「包含但不限定於...」。在此所使用的「及/或」的描述方式，包含所列舉的其中之一或多個項目的任意組合。另外，除非本說明書中有特別指明，否則任何單數格的用語都同時包含複數格的涵義。請參考圖1，其所繪示為本發明第一實施例的多通道主動式網絡身份驗證系統(mult1-channel active identity authentication system) 100簡化後的功能方塊圖。多通道主動式網絡身份驗證系統100包含有屬於服務提供者的服務提供端系統110以及屬於使用者的用戶端裝置120。服務提供端系統110包含有服務處理模塊112和安全認證模塊114。服務處理模塊112用於處理使用者傳來的服務要求(service request)。安全認證模塊114用於對提出該服務要求的使用者執行網絡身份驗證。服務提供端系統110可以是各種網絡服務系統，例如網絡銀行系統、網絡下單系統、線上遊戲系統、企業內部網絡系統、或是各種雲端服務系統等等。實作上，服務處理模塊112和安全認證模塊114可以是採用電腦程式實現的不同功能模塊，且兩者可以儲存在同一計算機主機上，也可以分別儲存在位於相同或不同地理區域的不同計算機主機上。用戶端裝置120包含有瀏覽器模塊121、顯示裝置122、儲存裝置123、身份識別模塊124、驗證數據產生模塊125、簡訊模塊126、以及儲存在儲存裝置123中的驗證啟動模塊127。瀏覽器模塊121用於通過網際網路130連接至服務提供端系統110。顯示裝置122用於顯示瀏覽器模塊121接收到的網頁信息。身份識別模塊124包含有可代表用戶端裝置120的合法使用者的識別數據。驗證數據產生模塊125是專屬於用戶端裝置120的合法使用者的硬體裝置或軟體模塊，用於產生安全驗證數據。例如，身份識別模塊124可以是SM卡，而驗證數據產生模塊125可以是儲存有用戶端裝置120的合法使用者的金鑰，並貼附於身份識別模塊124上的薄型電路板(俗稱卡貼)。或者，驗證數據產生模塊125可以是以電腦程式實現、且儲存有用戶端裝置120的合法使用者的金鑰的功能模塊。簡訊模塊126用於將該安全驗證數據以簡訊形式傳送給安全認證模塊114。驗證啟動模塊127則用於依據使用者的命令啟動本發明提出的主動式網絡身份驗證程序。在本實施例中，驗證啟動模塊127是以電腦程式實現、並由服務提供者提供給使用者儲存在用戶端裝置120上的功能模塊。在應用上，用戶端裝置120可以是各種可通過網際網路以外的通道發送簡訊的終端裝置，例如智慧型手機、筆記本計算機、平板計算機、電子書等，也可以是桌上型計算機、車輛電子系統等設備。以下將搭配圖2到圖7來進一步說明多通道主動式網絡身份驗證系統100的運作方式。圖2和圖3為本發明之多通道主動式網絡身份驗證方法的第一實施例簡化後的流程圖。當使用者要使用服務提供端系統110的某項網絡服務時，例如線上交易、線上下單、進行線上遊戲、存取雲端數據、登入或存取遠端企業內部伺服器等等，使用者可利用用戶端裝置120的瀏覽器模塊121執行流程202，經由一第一傳輸通道進行第一重的網絡身份驗證程序，以登入服務提供端系統110。在本實施例中，該第一傳輸通道是網際網路130。用戶端裝置120可經由網際網路130以使用者帳號、固定密碼等各種已知的身份認證方式登入服務提供端系統110，取得安全控管層級較低的部分服務的使用權，例如瀏覽基本數據等基本服務項目。此時，服務提供端系統110的服務處理模塊112和用戶端裝置120的瀏覽器模塊121間會建立起一會話(session)。在流程204中，瀏覽器模塊121會將使用者選擇或指定的安全控管層級較高的服務要求，例如網絡轉帳、修改帳號數據等，利用已建立的會話通過網際網路130傳送給服務處理模塊112。服務處理模塊112接收到瀏覽器模塊121傳來的服務要求時，會進行流程206以產生對應該服務要求的服務內容信息，並通知安全認證模塊114對該服務要求進行多通道網絡身份驗證程序。例如，假設瀏覽器模塊121傳來的服務要求是一筆網絡轉帳的要求，則服務處理模塊112可將該筆網絡轉帳的金額、幣別、轉入帳戶的帳號、或轉入帳戶的名稱等數據，做為服務內容信息供使用者核對。
安全認證模塊114接收到服務處理模塊112的通知後會進行流程208，依據一挑戰回應算法產生一組挑戰值(challenge value)。在本實施例中，用戶端裝置120的驗證數據產生模塊125中會預先儲存有一對應的挑戰回應算法，可依據安全認證模塊114產生的挑戰值計算出一組相對應的回應值。實作上，服務提供者可以針對不同的使用者分別配發不同的挑戰回應算法，並儲存在個別使用者的用戶端裝置的驗證數據產生模塊中，使得不同使用者的用戶端裝置依據同一挑戰值所計算出的回應值會有所不同，藉以強化網絡身份驗證的可靠性。在流程210中，安全認證模塊114會將產生的挑戰值傳送給服務處理模塊112。在流程212中，服務處理模塊112會使用服務處理模塊112與瀏覽器模塊121間的會話，將服務內容信息、挑戰值、以及提示使用者進行主動式網絡身份驗證程序的通知信息，通過網際網路130傳送給瀏覽器模塊121。在流程214中，瀏覽器模塊121會將接收到的服務內容信息、挑戰值和通知信息顯示在顯示裝置122上。前述要求進行主動式網絡身份驗證程序的通知信息，會提醒使用者接下來應該執行用戶端裝置120中的驗證啟動模塊127，以啟動並完成主動式網絡身份驗證程序，才能使服務提供端系統110完成前述的服務要求。如前所述，本實施例中的驗證啟動模塊127是以電腦程式實現、並由服務提供者提供給使用者儲存在用戶端裝置120上的功能模塊。當驗證啟動模塊127接收到使用者的執行命令時，會進行流程216，以啟動驗證數據產生模塊125產生與服務內容信息和與該挑戰值相對應的回應值有關的安全驗證數據。以下將搭配圖4來進一步說明流程216的運作方式。圖4為用戶端裝置120產生安全驗證數據的第一實施例簡化後的流程圖。當驗證啟動模塊127接收到使用者的執行命令時，驗證啟動模塊127會進行流程402，提示使用者將顯示裝置122上所顯示的服務內容信息和挑戰值，輸入用戶端裝置120的一預定界面。例如，藉由語音接收模組或是驗證啟動模塊127所產生的一輸入畫面而輸入。在流程404中，驗證啟動模塊127會接收使用者輸入的數據。接著，驗證啟動模塊127會進行流程406，將使用者輸入的數據傳送給驗證數據產生模塊125。在流程408中，驗證數據產生模塊125會利用內建的挑戰回應算法依據使用者輸入的挑戰值產生一相對應的回應值。在流程410中，驗證數據產生模塊125會利用所儲存的金鑰來加密該回應值和使用者輸入的服務內容信息，以產生安全驗證數據。接下來，驗證數據產生模塊125或驗證啟動模塊127會進行圖2中的流程218，利用簡訊模塊126將該安全驗證數據以單一或多封簡訊的形式，通過第二傳輸通道傳送給服務提供端系統110。這裡所稱的第二傳輸通道與前面的第一傳輸通道是使用不同通信平臺或不同通信協議的數據通信通道。在本實施例中，第二傳輸通道是包含一或多個基站142和簡訊伺服器144的電信網絡(telecom network) 140,而簡訊模塊126在流程218中會將該安全驗證數據以簡訊形式通過電信網絡140傳送給服務提供者所指定的簡訊接收端電話號碼。為了避免使用者被惡意人士欺騙而誤將該安全驗證數據以簡訊形式傳送到惡意人士指定的電話號碼，服務提供者可以將該指定電話號碼預先儲存在驗證數據產生模塊125中，並將其隱藏起來或進行加密，使得使用者無法更動該指定電話號碼的內容，而只有驗證數據產生模塊125或驗證啟動模塊127才可存取該指定電話號碼。此時，流程218中的簡訊接收端的電話號碼，是由驗證數據產生模塊125或驗證啟動模塊127直接向簡訊模塊126指定，而不允許由使用者設定或加以改變。在流程220中，電信網絡140中的簡訊伺服器144會將簡訊模塊126傳來的簡訊，轉發至簡訊接收端電話號碼所對應的目的地，亦即本實施例中的安全認證模塊114。依據用戶端裝置120回傳該安全驗證數據時所使用的簡訊格式而定，簡訊伺服器144可以是電信業者或簡訊服務業者所架設的簡訊服務中心(short message service center, SMSC)、多媒體簡訊轉發伺服器(MMS store and forward server, MMSC)、或是類似功能的裝置。當安全認證模塊114接收到簡訊模塊126傳來的簡訊時，會進行圖3中的流程302和304，以核驗簡訊中的安全驗證數據及簡訊的來源電話號碼。在本實施例中，安全認證模塊114會利用與驗證數據產生模塊125中所儲存的金鑰相對應的金鑰來解密該安全驗證數據，並核驗解密後的安全驗證數據中是否包含正確的服務內容信息，以及與傳送給用戶端裝置120的挑戰值相對應的回應值。安全認證模塊114還會檢查簡訊的來源電話號碼是否為用戶端裝置120的使用者事先向服務提供者登記的電話號碼。若該安全驗證數據中包含正確的回應值和服務內容信息，且簡訊的來源電話號碼是預先約定號碼，則安全認證模塊114會進行流程306。反之，若該安全驗證數據中未包含正確的回應值或服務內容信息，或是簡訊的來源電話號碼並非預先約定號碼，則安全認證模塊114會判定網絡身份驗證失敗並進行流程316。在流程306中，安全認證模塊114會檢查該安全驗證數據是否是在服務處理模塊112將該挑戰值傳送給用戶端裝置120後的一預定時限內收到。若該安全驗證數據是在該預定時限內收到，則安全認證模塊114會判定網絡身份驗證成功並進行流程308 ;否則，安全認證模塊114會判定網絡身份驗證失敗並進行流程316。在流程308中，安全認證模塊114會發送允許服務要求的通知給服務處理模塊112。當服務處理模塊112接收到安全認證模塊114傳來的允許服務要求的通知時，月艮務處理模塊112會進行流程310，以確認瀏覽器模塊121在流程204中通過網際網路130傳送過來的服務要求。接著，服務處理模塊112會進行流程312，以產生相關的服務結果信息，例如，交易完成通知、系統登入成功通知等，並傳送給用戶端裝置120的瀏覽器模塊121。在流程314中，瀏覽器模塊121會將接收到的服務結果信息顯示在顯示裝置122上，以讓使用者得知。在流程316中，安全認證模塊114會發送拒絕服務要求的通知給服務處理模塊112。當服務處理模塊112接收到安全認證模塊114傳來的拒絕服務要求的通知時，服務處理模塊112會直接進行流程312，產生該次服務要求不被允許的相關服務結果信息，並傳送給用戶端裝置120的瀏覽器模塊121。在前述的第一實施例中，當用戶端裝置120通過第一重的網絡身份驗證程序，經由網際網路130登入服務提供端系統110要求服務提供端系統110提供某項網絡服務時，月艮務提供端系統110會依據對應於用戶端裝置120的挑戰回應算法產生挑戰值，並將該挑戰值通過網際網路130傳送給用戶端裝置120。使用者必須操作用戶端裝置120，利用驗證數據產生模塊125產生與該挑戰值相關的一組安全驗證數據，並將該安全驗證數據以簡訊形式通過與網際網路130不同的電信網絡140回傳給服務提供端系統110，才能完成第二重的網絡身份驗證程序。任何第三人在不知道驗證數據產生模塊125所使用的挑戰回應算法的情況下，即使取得了服務提供端系統110傳送給用戶端裝置120的挑戰值，也無法計算出有效的回應值。由於用戶端裝置120中的驗證啟動模塊127必須搭配專屬的驗證數據產生模塊125才能產生安全驗證數據，加上電信網絡140較網際網路130更不易遭受中間人攻擊的特性，所以服務提供端系統110隻要依據前述方法核驗經由電信網絡140接收到的安全驗證數據，便能正確核實用戶端裝置120的使用者身份，而增強系統的安全性。圖5為本發明之多通道主動式網絡身份驗證方法的第二實施例簡化後的局部流程圖。與前述第一實施例不同的地方在於，當服務處理模塊112在流程206中將瀏覽器模塊121傳來的服務要求通知安全認證模塊114時，安全認證模塊114會進行流程508，產生一組動態密碼(one time password, OTP)。實作上,安全認證模塊114可依據特殊的算法計算出專用於該次服務要求，但與該次服務要求或服務內容信息無關的一組動態密碼。或者，安全認證模塊114也可依據瀏覽器模塊121傳來的服務要求、或是服務處理模塊112產生的服務內容信息，計算出專用於該次服務要求，且與該次服務要求或服務內容信息有關的一組動態密碼。接著，安全認證模塊114會進行流程510，將產生的動態密碼傳送給服務處理模塊112。在流程512中，服務處理模塊112會使用服務處理模塊112與瀏覽器模塊121間的會話，將服務內容信息、動態密碼、以及提示使用者進行主動式網絡身份驗證程序的通知信息，通過網際網路130傳送給瀏覽器模塊121。在流程514中，瀏覽器模塊121會將接收到的服務內容信息、動態密碼和通知信息顯示在顯示裝置122上。前述要求進行主動式網絡身份驗證程序的通知信息，會提醒使用者接下來應該執行用戶端裝置120中的驗證啟動模塊127，以啟動並完成主動式網絡身份驗證程序，才能使服務提供端系統110完成前述的服務要求。本實施例中的驗證啟動模塊127是以電腦程式實現、並由服務提供者提供給使用者儲存在用戶端裝置120上的功能模塊。當驗證啟動模塊127接收到使用者的執行命令時，會進行流程516，以啟動驗證數據產生模塊125產生與服務內容信息和動態密碼有關的安全驗證數據。以下將搭配圖6來進一步說明流程516的運作方式。圖6為用戶端裝置120產生安全驗證數據的一第二實施例簡化後的流程圖。當驗證啟動模塊127接收到使用者的執行命令時，驗證啟動模塊127會進行流程602，提示使用者將顯示裝置122上所顯示的服務內容信息和動態密碼，輸入用戶端裝置120的一預定界面，例如，藉由語音接收模組或是驗證啟動模塊127所產生的一輸入畫面而進行輸入動作。在流程604中，驗證啟動模塊127會接收使用者輸入的數據。接著，驗證啟動模塊127會進行流程606，將使用者輸入的數據傳送給驗證數據產生模塊125。
在流程610中，驗證數據產生模塊125會利用所儲存的金鑰來加密使用者輸入的服務內容信息和動態密碼，以產生安全驗證數據。接下來，驗證數據產生模塊125或驗證啟動模塊127會進行圖5中的流程218。圖5中的流程218和220的運作方式和圖1中的流程218和220相同，故前述關於圖1中的流程218和220的說明，也適用於圖5的實施例，為簡潔起見，在此不重複敘述。當安全認證模塊114接收到簡訊模塊126通過電信網絡140傳來的簡訊時，會進行圖3中的流程302和304，以核驗簡訊中的安全驗證數據及簡訊的來源電話號碼。在本實施例中，安全認證模塊114會利用與驗證數據產生模塊125中所儲存的金鑰相對應的金鑰來解密該安全驗證數據。安全認證模塊114會核驗解密後的安全驗證數據中是否包含正確的服務內容信息和動態密碼，並檢查簡訊的來源電話號碼是否為用戶端裝置120的使用者事先向服務提供者登記的電話號碼。若該安全驗證數據中包含正確的動態密碼和服務內容信息，且簡訊的來源電話號碼是預先約定號碼，則安全認證模塊114會進行流程306。反之，若該安全驗證數據中未包含正確的動態密碼或服務內容信息，或是簡訊的來源電話號碼並非預先約定號碼，則安全認證模塊114會判定網絡身份驗證失敗並進行流程316。本實施例中的安全認證模塊114、服務處理模塊112和用戶端裝置120在後續的流程306、308、310、312、314、和316中的運作方式，都於前述實施例相同，為簡潔起見，在此不重複敘述。在前述的第二實施例中，當用戶端裝置120通過第一重的網絡身份驗證程序，經由網際網路130登入服務提供端系統110要求服務提供端系統110提供某項網絡服務時，月艮務提供端系統110會依據一特殊算法產生動態密碼，並將該動態密碼通過網際網路130傳送給用戶端裝置120。使用者必須操作用戶端裝置120，利用驗證數據產生模塊125產生與該動態密碼相關的一組安全驗證數據，並將該安全驗證數據以簡訊形式通過與網際網路130不同的電信網絡140回傳給服務提供端系統110，才能完成第二重的網絡身份驗證程序。由於用戶端裝置120中的驗證啟動模塊127必須搭配專屬的驗證數據產生模塊125才能產生安全驗證數據，加上電信網絡140較網際網路130更不易遭受中間人攻擊的特性，所以服務提供端系統110隻要依據前述方法核驗經由電信網絡140接收到的安全驗證數據，便能正確核實用戶端裝置120的使用者身份，而更增強系統的安全性。在前述的不同實施例中，驗證數據產生模塊125利用所儲存的金鑰來加密要傳送給安全認證模塊114的數據，可避免安全驗證數據在電信網絡140中的傳送過程被電信業者內的不肖人士攔截並竄改。利用金鑰來產生安全驗證數據的方式，可提升安全驗證數據的數據安全性和不可否認性。但使用金鑰來加密只是一種實施例，而非局限本發明的實際實施方式。例如，驗證數據產生模塊125亦可改用其它事先與安全認證模塊114約定好的加密算法，來加密要傳送給安全認證模塊114的數據，而當安全認證模塊114接收到該安全驗證數據時，則可用對應的解密算法進行解密，以核驗安全驗證數據的內容。另外，驗證數據產生模塊125所產生的安全驗證數據可以是文字或數字的態樣，也可以是影像或聲音的態樣。例如，驗證數據產生模塊125可以將加密後的數據轉換成以二維條碼或其它影像碼編碼的一或多個影像，以做為安全驗證數據，再利用簡訊模塊126將該一或多個影像以一或多個簡訊的形式(例如，多媒體簡訊)通過電信網絡140傳送至指定的簡訊接收端電話號碼。當安全認證模塊114接收到前述的影像時，可先用對應的解碼算法將影像還原成加密數據，再用對應的解密算法進行解密，以核驗安全驗證數據的內容。又例如，驗證數據產生模塊125可以將加密後的數據編碼成一或多個音頻文件，以做為安全驗證數據，再利用簡訊模塊126將該一或多個音頻文件以一或多個簡訊的形式(例如，多媒體簡訊)通過電信網絡140傳送至指定的簡訊接收端電話號碼。當安全認證模塊114接收到前述的音頻文件時，可先用對應的解碼算法將音頻文件還原成加密數據，再用對應的解密算法進行解密，以核驗安全驗證數據的內容。在前述的說明中，驗證啟動模塊127是在接收到使用者的執行命令時開始執行。實作上，也可以設計成是由瀏覽器模塊121在接收到服務處理模塊112傳來的服務內容信息時，自動呼叫驗證啟動模塊127進行前述的流程216或516的運作。在驗證數據產生模塊125是貼附於身份識別模塊124上的薄型電路板的實施例中，驗證數據產生模塊125可在流程410或610中，將驗證數據產生模塊125的識別碼與前述的回應值、動態密碼、及/或服務內容信息一起進行加密，以產生安全驗證數據。在此情況下，安全認證模塊114在圖3的流程302和304中會核驗解密後的安全驗證數據中是否包含驗證數據產生模塊125的正確識別碼。若該安全驗證數據中未包含有驗證數據產生模塊125的正確識別碼，則安全認證模塊114會進行流程316，發送拒絕服務要求的通知給服務處理模塊112。此外，為了增加服務提供者配發的驗證數據產生模塊125可和使用者的其它身份識別模塊搭配使用的彈性，服務提供者也可以事先和使用者約定好以驗證數據產生模塊125的識別碼取代身份識別模塊124的電話號碼，來做為判斷安全驗證數據的來源身份的依據。因此，在驗證數據產生模塊125會將驗證數據產生模塊125的識別碼加進安全驗證數據的某些實施例中，安全認證模塊114在圖3的流程302和304中可以省略核驗簡訊的來源電話號碼的程序。另外，在流程410或610中，驗證數據產生模塊125也可將用戶端裝置120當時所在位置的地理位置信息(例如GPS座標等)，與前述的回應值、動態密碼、服務內容信息、及/或驗證數據產生模塊125的識別碼一起進行加密，以產生安全驗證數據。在此情況下，安全認證模塊114在圖3的流程302和304中還會核驗解密後的安全驗證數據中所包含的地理位置信息是否符合一預定條件，例如是否吻合使用者事先向服務提供者登記的可能活動區域範圍。若該安全驗證數據中包含的地理位置信息不符合預定條件，則安全認證模塊114會進行流程316，發送拒絕服務要求的通知給服務處理模塊112。在某些應用中，驗證啟動模塊127在圖4的流程402中可以只提示使用者將顯示裝置122上所顯示的挑戰值輸入用戶端裝置120的一預定界面。此時，驗證數據產生模塊125在流程410中就不會將服務提供端系統110傳來的服務內容信息加到安全驗證數據中，而安全認證模塊114在圖3的流程302和304中也不會檢查安全驗證數據中是否有正確的服務內容信息。同樣地，驗證啟動模塊127在圖6的流程602中也可以只提示使用者將顯示裝置122上所顯示的動態密碼輸入用戶端裝置120的一預定界面。此時，驗證數據產生模塊125在流程610中就不會將服務提供端系統110傳來的服務內容信息加到安全驗證數據中，而安全認證模塊114在圖3的流程302和304中也不會檢查安全驗證數據中是否有正確的服務內容信息。
在前述圖1的多通道主動式網絡身份驗證系統100中，用戶端裝置120中的不同功能方塊是位於單一硬體裝置中，但這只是為了方便說明而使用的實施例。實作上，用戶端裝置120中的不同功能方塊也可以位於不同的硬體裝置中。例如，圖7為本發明第二實施例的多通道主動式網絡身份驗證系統700簡化後的功能方塊圖。在多通道主動式網絡身份驗證系統700中，瀏覽器模塊121和顯示裝置122是位於同一用戶端裝置720 (例如，計算機)中，而儲存裝置123、身份識別模塊124、驗證數據產生模塊125、簡訊模塊126和驗證啟動模塊127，則是位於另一用戶端裝置722 (例如，智慧型手機)中。由前述說明可知，並非單純的將服務提供端系統110通過網際網路130傳來的服務內容信息、挑戰值、及/或動態密碼，利用任何的用戶端裝置通過電信網絡140回傳給服務提供端系統110，就能通過網絡身份驗證程序。在本發明提出的多通道主動式網絡身份驗證系統100或700中，用戶端裝置120 (或722)中必須儲存有驗證啟動模塊127，並搭配使用者專屬的驗證數據產生模塊125 —起使用，才能產生與該次服務要求相關的正確安全驗證數據，並通過正確的通道傳送給服務提供端系統110以完成網絡身份驗證。即使用戶端裝置120被植入木馬程序、鍵盤側錄程序、或屏幕側錄程序，或是使用者受到網絡釣魚的欺騙，或是用戶端裝置120或720與服務處理模塊112間的會話遭受到中間人攻擊，導致服務提供端系統110產生的服務內容信息、挑戰值、和/或動態密碼被惡意人士給攔截和知悉，但惡意人士在欠缺驗證數據產生模塊125的情況下，就無法產生正確的安全驗證數據，所以也無法通過安全認證模塊114的網絡身份驗證程序。因此，惡意人士假冒使用者身份所發出的服務要求自然也就不會被服務提供端系統110所允許。而且，即便有惡意人士假冒使用者身份向電信公司謊報手機SM卡遺失，而從電信公司騙取到同樣電話號碼的SIM卡，在欠缺服務提供者配發給真正使用者的專屬驗證數據產生模塊125的情況下，惡意人士仍舊無法產生可通過安全認證模塊114的網絡身份驗證程序的正確安全驗證數據。另外，由於服務提供端系統HO每次傳送給用戶端裝置120的挑戰值或動態密碼都是一次性數據，所以驗證數據產生模塊125依據動態密碼或與挑戰值對應的回應值所產生的安全驗證數據，自然也會具有一次性數據的特性。因此，即便惡意人士能攔截到在電信網絡140中傳送的安全驗證數據，也無法利用重送攻擊來通過安全認證模塊114的網絡身份驗證程序。由以上說明可以清楚發現，利用本專利提出的多通道主動式網絡身份驗證系統的架構和相關的電腦程式，不僅可提升用戶端裝置所發出的安全驗證數據的不可否認性和安全性，更能有效克服木馬程序、鍵盤側錄程序、屏幕側錄程序，網絡釣魚、中間人攻擊、重送攻擊等各種常見的網絡攻擊態樣對網絡身份驗證造成的衝擊，大幅強化網絡身份驗證的正確性和可靠性，進而達成更高等級的網絡安全控管目的。後續權利要求書中的某些裝置權利要求中的流程特徵，與前述的流程圖中的運作流程內容對應一致。因此，這些裝置權利要求，應當理解為主要透過說明書記載的電腦程式實現前述解決方案的功能模塊架構，而不應當理解為主要通過硬體方式實現該解決方案的實體裝置。以上所述僅為本發明之較佳實施例，凡依本發明權利要求所做之等同變化與修飾，皆應屬本發明之涵蓋範圍。
權利要求
1.一種多通道主動式網絡身份驗證系統，其包含有: 一瀏覽器模塊，用於通過一第一傳輸通道傳送一服務要求； 一安全認證模塊，用於產生一挑戰值； 一服務處理模塊，用於產生對應該服務要求的服務內容信息，並使用該服務處理模塊與該瀏覽器模塊間的一目標會話，將該服務內容信息和該挑戰值通過該第一傳輸通道傳送給該瀏覽器模塊； 一顯示裝置，用於顯示該服務內容信息和該挑戰值； 一驗證啟動模塊，用於提示使用者將該顯示裝置所顯示的該服務內容信息及該挑戰值輸入一預定界面； 一驗證數據產生模塊，用於依據一挑戰回應算法產生與該預定界面接收到的挑戰值相對應的一回應值，並使用一金鑰對該服務內容信息及該回應值進行加密，以產生安全驗證數據；以及 一簡訊模塊，用於將該安全驗證數據以簡訊形式通過一第二傳輸通道傳送給該安全認證模塊； 其中該安全認證模塊接收到該安全驗證數據時，會核驗該安全驗證數據及一來源電話號碼，若該安全驗證數據中未包含該服務內容信息及該回應值、或該來源電話號碼不是一預先約定號碼，則該安全認證模塊會拒絕該瀏覽器模塊通過該第一傳輸通道傳來的該服務要求。
2.一種用於一服務提供端系統的多通道網絡身份驗證裝置，包含有: 用於依據一挑戰回應算法產生一挑戰值的裝置； 用於利用一服務處理模塊使用該服務處理模塊與一用戶端裝置間的一目標會話，將該挑戰值通過一第一傳輸通道傳送給用戶端裝置的裝置； 用於接收通過一第二傳輸通道傳來的安全驗證數據的裝置；以及 用於核驗該安全驗證數據的裝置； 其中若該安全驗證數據中未包含有與該挑戰值相對應的一回應值，則用於核驗該安全驗證數據的裝置會拒絕該用戶端裝置通過該第一傳輸通道傳來的一服務要求。
3.如權利要求2所述的多通道網絡身份驗證裝置，其中若該安全驗證數據中未包含有該服務處理模塊通過該第一傳輸通道傳送給該用戶端裝置的服務內容信息，則用於核驗該安全驗證數據的裝置會拒絕該服務要求。
4.如權利要求2或3所述的多通道網絡身份驗證裝置，其中若該安全驗證數據不是在產生該挑戰值後的一預定時限內收到，則用於核驗該安全驗證數據的裝置會拒絕該服務要求。
5.如權利要求4所述的多通道網絡身份驗證裝置，其中用於核驗該安全驗證數據的裝置進一步用於核驗該安全驗證數據的一來源電話號碼的裝置，若該來源電話號碼不是一預先約定號碼，則用於核驗該安全驗證數據的裝置會拒絕該服務要求。
6.如權利要求4所述的多通道網絡身份驗證裝置，其中若該安全驗證數據中未包含有一薄型電路板的識別碼，則用於核驗該安全驗證數據的裝置會拒絕該服務要求。
7.如權利要求4所述的多通道網絡身份驗證裝置，其中若該安全驗證數據中包含的地理位置信息不符合一預定條件，則用於核驗該安全驗證數據的裝置會拒絕該服務要求。
8.如權利要求4所述的多通道網絡身份驗證裝置，其中用於核驗該安全驗證數據的裝置包含有: 用於利用一金鑰解密該安全驗證數據的裝置。
9.一種用於一服務提供端系統的多通道網絡身份驗證裝置，包含有: 用於產生一組動態密碼的裝置； 用於利用一服務處理模塊使用該服務處理模塊與一用戶端裝置間的一目標會話，將該動態密碼通過一第一傳輸通道傳送給該用戶端裝置的裝置； 用於接收通過一第二傳輸通道傳來的安全驗證數據的裝置；以及 用於核驗該安全驗證數據的裝置； 其中若該安全驗證數據中未包含有該動態密碼，則用於核驗該安全驗證數據的裝置會拒絕該用戶端裝置通過該第一傳輸通道傳來的一服務要求。
10.如權利要求9所述的多通道網絡身份驗證裝置，其中若該安全驗證數據中未包含有該服務處理模塊通過該第一傳輸通道傳送給該用戶端裝置的服務內容信息，則用於核驗該安全驗證數據的裝置會拒絕該服務要求。
11.如權利要求9或10所述的多通道網絡身份驗證裝置，其中若該安全驗證數據不是在傳送該動態密碼後的一預定時限內收到，則用於核驗該安全驗證數據的裝置會拒絕該服務要求。
12.如權利要求11所述的多通道網絡身份驗證裝置，其中用於核驗該安全驗證數據的裝置進一步用於核驗該安全驗證數據的一來源電話號碼，若該來源電話號碼不是一預先約定號碼，則用於核驗該安全驗 證數據的裝置會拒絕該服務要求。
13.如權利要求11所述的多通道網絡身份驗證裝置，其中若該安全驗證數據中未包含有一薄型電路板的識別碼，則拒絕該服務要求。
14.如權利要求11所述的多通道網絡身份驗證裝置，其中若該安全驗證數據中包含的地理位置信息不符合一預定條件，則用於核驗該安全驗證數據的裝置會拒絕該服務要求。
15.如權利要求11所述的多通道網絡身份驗證裝置，其中用於核驗該安全驗證數據的裝置包含有: 用於利用一金鑰解密該安全驗證數據的裝置。
16.一種用於具有一驗證數據產生模塊的一用戶端裝置的主動式網絡身份驗證裝置，包含有: 用於提示使用者將一服務提供端系統通過一第一傳輸通道傳來的一挑戰值，輸入該用戶端裝置的一預定界面的裝置； 用於利用該預定界面接收該挑戰值的裝置； 用於利用該驗證數據產生模塊依據一挑戰回應算法產生與該挑戰值相對應的一回應值的裝置； 用於利用該驗證數據產生模塊產生與該回應值相關的一安全驗證數據的裝置；以及 用於將該安全驗證數據以一或多個簡訊的形式通過一第二傳輸通道傳送至一指定電話號碼的裝置。
17.如權利要求16所述的主動式網絡身份驗證裝置，另包含有: 用於提示使用者將該服務提供端系統通過該第一傳輸通道傳來的服務內容信息輸入該預定界面的裝置； 其中該驗證數據產生模塊會對該回應值和使用者輸入的服務內容信息進行加密，以產生該安全驗證數據。
18.如權利要求17所述的主動式網絡身份驗證裝置，其中該驗證數據產生模塊會對該回應值、使用者輸入的服務內容信息、以及該驗證數據產生模塊的識別碼進行加密，以產生該安全驗證數據。
19.如權利要求17所述的主動式網絡身份驗證裝置，其中該驗證數據產生模塊會對該回應值、使用者輸入的服務內容信息、以及一地理位置信息進行加密，以產生該安全驗證數據。
20.如權利要求17所述的主動式網絡身份驗證裝置，其中該驗證數據產生模塊會使用一金鑰對該回應值和使用者輸入的服務內容信息進行加密，以產生該安全驗證數據。
21.如權利要求17所述的主動式網絡身份驗證裝置，其中該驗證數據產生模塊會將加密後的數據轉換成一或多個影像或音頻文件，以做為該安全驗證數據。
22.如權利要求17所述的主動式網絡身份驗證裝置，其中該指定電話號碼是由該驗證數據產生模塊直接指定，且使用者無法更動。
23.一種用於具有一驗證數據產生模塊的一用戶端裝置的主動式網絡身份驗證裝置，包含有: 用於提示使用者將一服務提供端系統通過一第一傳輸通道傳來的一動態密碼，輸入該用戶端裝置的一預定界面的裝置； 用於利用該預定界面接收 該動態密碼的裝置； 用於利用該驗證數據產生模塊產生與該動態密碼相關的一安全驗證數據的裝置；以及 用於將該安全驗證數據以一或多個簡訊的形式通過一第二傳輸通道傳送至一指定電話號碼的裝置。
24.如權利要求23所述的主動式網絡身份驗證裝置，另包含有: 用於提示使用者將該服務提供端系統通過該第一傳輸通道傳來的服務內容信息輸入該預定界面的裝置； 其中該驗證數據產生模塊會對使用者輸入的動態密碼和服務內容信息進行加密，以產生該安全驗證數據。
25.如權利要求24所述的主動式網絡身份驗證裝置，其中該驗證數據產生模塊會對使用者輸入的動態密碼和服務內容信息、以及該驗證數據產生模塊的識別碼進行加密，以產生該安全驗證數據。
26.如權利要求24所述的主動式網絡身份驗證裝置，其中該驗證數據產生模塊會對使用者輸入的動態密碼和服務內容信息、以及一地理位置信息進行加密，以產生該安全驗證數據。
27.如權利要求24所述的主動式網絡身份驗證裝置，其中該驗證數據產生模塊會使用一金鑰對使用者輸入的動態密碼和服務內容信息進行加密，以產生該安全驗證數據。
28.如權利要求24所述的主動式網絡身份驗證裝置，其中該驗證數據產生模塊會將加密後的數據轉換成一或多個影像或音頻文件，以做為該安全驗證數據。
29.如權利要求24所述的主動式網絡身份驗證裝置，其中該指定電話號碼是由該驗證數據產生模塊直接指定，且使用者無法更動。
全文摘要
本發明提出的多通道主動式網絡身份驗證系統之一，包含有用戶端裝置和服務提供端系統。服務提供端系統包含服務處理模塊和安全認證模塊。當服務處理模塊通過第一傳輸通道接收到用戶端裝置傳來的服務要求時，安全認證模塊會利用挑戰回應算法產生挑戰值，並利用服務處理模塊將挑戰值傳送給用戶端裝置。用戶端裝置必須利用驗證數據產生模塊產生與該挑戰值對應的回應值，並將該回應值加密產生安全驗證數據，然後將該安全驗證數據以簡訊形式通過第二傳輸通道回傳給安全認證模塊，才能完成網絡身份驗證程序。前述的系統不僅可提升用戶端裝置所發出的安全驗證數據的不可否認性和安全性，還能有效強化網絡身份驗證的正確性和可靠性。
文檔編號H04L29/08GK103139179SQ20111039279
公開日2013年6月5日 申請日期2011年12月1日 優先權日2011年12月1日
發明者陳嘉宏 申請人:捷而思股份有限公司