專利名稱：動(dòng)態(tài)電子密碼設(shè)備及其資源共享系統(tǒng)的用戶身份認(rèn)證方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種信息安全技術(shù)領(lǐng)域，更確切地說是涉及動(dòng)態(tài)電子密碼形成和核驗(yàn)設(shè)備，特別涉及一種利用專用集成電路和非對(duì)稱密鑰加密算法的動(dòng)態(tài)電子密碼設(shè)備(或系統(tǒng))，它具有形成動(dòng)態(tài)電子密碼的功能，該密碼是該設(shè)備唯一簽出的，即電子密碼具有數(shù)字簽名功能，另外，它還具有核驗(yàn)功能，即在由多個(gè)這樣的設(shè)備組成的系統(tǒng)中，一個(gè)設(shè)備可以核驗(yàn)另一個(gè)設(shè)備形成的動(dòng)態(tài)電子密碼的正確性。
從國內(nèi)外的發(fā)展情況來看，動(dòng)態(tài)電子密碼設(shè)備的實(shí)用化才剛剛起步，目前所見到的動(dòng)態(tài)電子密碼設(shè)備的具體實(shí)施方法，大多均采用通用的集成電路實(shí)現(xiàn)，如標(biāo)準(zhǔn)的邏輯門電路、觸發(fā)器、通用門陣列、CPLD(復(fù)雜可編程邏輯器件)、FPGA(現(xiàn)場可編程門陣列)、微處理器等，這樣的系統(tǒng)很容易被仿制，安全性較差，并且，利用通用器件完成專用密碼運(yùn)算的操作，則使設(shè)備結(jié)構(gòu)復(fù)雜、性能價(jià)格比降低。
另一方面，從目前所見到的動(dòng)態(tài)電子密碼設(shè)備的密碼形成算法來看，大多屬于對(duì)稱密碼算法的范疇，在這種對(duì)稱密碼算法體制中，加密算法和解密算法使用相同的密鑰，亦即形成密碼所使用的密鑰和核驗(yàn)密碼所使用的密鑰相同，并且被不同的設(shè)備共有，這樣，系統(tǒng)的安全性就較差，當(dāng)出現(xiàn)密鑰泄漏事件時(shí)，無法仲裁是那方的責(zé)任。
實(shí)現(xiàn)本發(fā)明目的的技術(shù)方案是這樣的一種動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備，其特征在于包括微處理器和與微處理器分別連接的存儲(chǔ)單元、完成雜湊操作的HASH操作專用集成電路芯片、和完成加密變換或解密變換的有限域乘法專用集成電路芯片，HASH操作專用集成電路芯片還連接存儲(chǔ)單元。
所述的電子密碼設(shè)備還包括有可分別顯示、打印電子密碼(C)的顯示器、打印機(jī)，用于傳輸電子密碼(C)的通信接口，和鍵盤裝置；所述的顯示器、打印機(jī)、通信接口分別與所述的微處理器連接，所述的鍵盤裝置與所述的HASH操作專用集成電路芯片連接。
還包括有IC卡插槽與記錄用戶信息的IC卡，IC卡插槽與所述的微處理器連接，和連接所述的HASH操作專用集成電路芯片。
所述的HASH操作專用集成電路芯片，包括加密運(yùn)算模塊、一個(gè)以上的并行口及其緩沖器，和指令、時(shí)序、譯碼控制模塊，加密運(yùn)算模塊、緩沖器和指令、時(shí)序、譯碼控制模塊通過數(shù)據(jù)總線連接。
所述的有限域乘法專用集成電路芯片包括有限域乘法器，并行口及其緩沖器、寄存器，和時(shí)序生成、組合邏輯模塊；有限域乘法器、緩沖器、寄存器、和時(shí)序生成、組合邏輯模塊通過數(shù)據(jù)總線、控制總線連接。
實(shí)現(xiàn)本發(fā)明目的的技術(shù)方案還是這樣的一種利用本發(fā)明的動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備建立的用戶資源共享系統(tǒng)的用戶身份認(rèn)證方法，其特征在于包括A.在所述系統(tǒng)的每一臺(tái)被訪問設(shè)備及訪問設(shè)備側(cè)設(shè)置一臺(tái)動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備，并通過串行方式與所述的被訪問設(shè)備、訪問設(shè)備連接，形成用戶資源共享系統(tǒng)的動(dòng)態(tài)電子密碼系統(tǒng)；B.在每一臺(tái)動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備設(shè)置自身固有的且不同于其它動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備的私鑰(K1)，和具有其它動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備的公鑰(K2)，并由用戶設(shè)備的身份標(biāo)識(shí)碼指定公鑰與訪問設(shè)備或被訪問設(shè)備間的對(duì)應(yīng)關(guān)系；C.由訪問設(shè)備側(cè)的動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備獲取當(dāng)前的用戶信息與口令，并與存儲(chǔ)器中的用戶信息與口令比較，比較一致時(shí)接收該訪問設(shè)備的登錄請求；D.被訪問設(shè)備接收訪問設(shè)備的登錄請求，記錄訪問設(shè)備的標(biāo)識(shí)碼，并產(chǎn)生一個(gè)隨機(jī)數(shù)返回該訪問設(shè)備；E.該訪問設(shè)備采用脫機(jī)或聯(lián)機(jī)方式向動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備輸入該隨機(jī)數(shù)，將該隨機(jī)數(shù)作為明文數(shù)據(jù)，經(jīng)編碼和帶有密鑰的雜湊操作后獲得明文的HASH結(jié)果(m)，再利用私鑰(K1)及明文的HASH結(jié)果(m)進(jìn)行密碼形成算法操作，生成動(dòng)態(tài)電子密碼(C)，并送至被訪問設(shè)備；F.被訪問設(shè)備的動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備，根據(jù)記錄的訪問設(shè)備標(biāo)識(shí)碼獲得訪問設(shè)備的公鑰(K2)，再利用該公鑰(K2)和密碼核驗(yàn)算法對(duì)所述的隨機(jī)數(shù)及動(dòng)態(tài)電子密碼(C)進(jìn)行核驗(yàn)，并將核驗(yàn)結(jié)果傳送給被訪問設(shè)備，在核驗(yàn)結(jié)果正確時(shí)允許訪問設(shè)備登錄。
所述步驟A中的訪問設(shè)備可以是一終端通信用戶，被訪問設(shè)備可以是另一終端通信用戶或服務(wù)器。
所述步驟B中，所述的私鑰(K1)與公鑰(K2)是成對(duì)生成的。
所述步驟C中，所述的獲取當(dāng)前用戶信息與口令，是由所述的動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備，分別通過讀取IC卡槽中的IC卡和掃描鍵值獲得的。
所述步驟E中的脫機(jī)方式，是利用所述動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備上的鍵盤直接輸入所述的隨機(jī)數(shù)完成的。
所述步驟E中的聯(lián)機(jī)方式，是利用訪問設(shè)備上的鍵盤直接輸入所述的隨機(jī)數(shù)，并通過訪問設(shè)備上的聯(lián)機(jī)操作軟件完成的。
所述步驟E中的帶有密鑰的雜湊操作是利用HASH操作專用集成電路芯片完成的；所述的密碼形成算法操作是利用密碼形成算法操作專用集成電路芯片完成的15位數(shù)據(jù)的有限域乘法運(yùn)算，采用簽名(S)運(yùn)算用私鑰(K1)對(duì)HASH操作結(jié)果(m)進(jìn)行加密變換，生成動(dòng)態(tài)電子密碼(C)。
所述步驟F中的核驗(yàn)進(jìn)一步包括f1.采用核驗(yàn)(V)運(yùn)算用公鑰(K2)對(duì)所述的動(dòng)態(tài)電子密碼作解密變換，形成中間結(jié)果(m’)；f2.對(duì)所述的隨機(jī)數(shù)作編碼和雜湊(HASH)操作，形成HASH操作結(jié)果(m)；f3.將暫存的中間結(jié)果(m’)與上述的HASH操作結(jié)果(m)進(jìn)行比較，兩者相同時(shí)判斷驗(yàn)證結(jié)果正確，兩者不一致時(shí)判斷驗(yàn)證結(jié)果不正確。
本發(fā)明的動(dòng)態(tài)電子密碼形成和核驗(yàn)設(shè)備，采用非對(duì)稱密鑰加密算法體制，解密算法和加密算法使用不同的密鑰，分別稱為公鑰和私鑰，亦即形成密碼所使用的密鑰和核驗(yàn)密碼所使用的密鑰不同，只有擁有私鑰才能形成電子密碼，擁有公鑰的設(shè)備只能核驗(yàn)對(duì)方的密碼而不能仿造出用別人私鑰形成的電子密碼，從而在發(fā)生密鑰泄漏事件時(shí)，能明確區(qū)分責(zé)任，進(jìn)行仲裁。
本發(fā)明的動(dòng)態(tài)電子密碼形成和核驗(yàn)設(shè)備，采用有密碼算法的專用集成電路，大大簡化了設(shè)備結(jié)構(gòu)，提高了工作可靠性，和保證設(shè)備具有較高的安全性。
在由多個(gè)本發(fā)明的動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備組成的系統(tǒng)中，一個(gè)設(shè)備可以核驗(yàn)由另一個(gè)設(shè)備形成的動(dòng)態(tài)電子密碼的正確性，從而確保在資源共享系統(tǒng)中對(duì)各用戶身份認(rèn)證的安全可靠性。
圖2是依據(jù)本發(fā)明的專用集成電路(SSPKI01)的原理性結(jié)構(gòu)框圖。
圖3是依據(jù)本發(fā)明的專用集成電路(SSPKI03)的原理性結(jié)構(gòu)框圖。
圖4是依據(jù)本發(fā)明的動(dòng)態(tài)電子密碼形成和核驗(yàn)設(shè)備構(gòu)成的用戶資源共享(基于動(dòng)態(tài)密碼機(jī)制)系統(tǒng)結(jié)構(gòu)示意圖。
圖5是圖4所示資源共享系統(tǒng)的身份認(rèn)證流程圖。
首先說明利用非對(duì)稱密鑰加密算法及加密算法專用集成電路形成動(dòng)態(tài)電子密碼的原理。電子密碼形成算法和電子密碼核驗(yàn)算法分別表達(dá)為C＝f1(K1，M)......(1)M＝f2(K2，C)......(2)其中，M代表明文或明文經(jīng)過HASH(雜湊)運(yùn)算之后的結(jié)果，C是M的電子密碼，f1是電子密碼形成算法，K1是電子密碼的形成密鑰，即“私鑰”，f2是電子密碼核驗(yàn)算法，K2是電子密碼核驗(yàn)密鑰，即“公鑰”。
對(duì)于同一個(gè)私鑰K1和密碼形成算法f1，不同的明文M1、M2，將得到不同的電子密碼。這樣，如果每次以隨機(jī)產(chǎn)生的數(shù)據(jù)即隨機(jī)數(shù)作為明文，或者以絕對(duì)時(shí)間作為明文并定時(shí)變化，每次就可以產(chǎn)生出不同的(動(dòng)態(tài))電子密碼。
參見

圖1，圖中示出本發(fā)明的動(dòng)態(tài)電子密碼形成和核驗(yàn)設(shè)備的原理性結(jié)構(gòu)。由計(jì)算機(jī)微處理器芯片、密碼算法專用集成電路、存儲(chǔ)器件、顯示器、鍵盤、IC卡、實(shí)時(shí)時(shí)鐘、通信部件、電源電路等組成。其中，微處理器是密碼設(shè)備的核心處理部件，完成對(duì)其它各個(gè)部件的控制和操作，以及數(shù)據(jù)的處理；存儲(chǔ)器包括Flash存儲(chǔ)器和機(jī)存取存儲(chǔ)器RAM，F(xiàn)lash存儲(chǔ)器是非易失性存儲(chǔ)器，主要保存設(shè)備工作流程所需參數(shù)和特征數(shù)據(jù)，能長期保存漢字字庫、廠家信息以及以加密形式存儲(chǔ)的算法公鑰，隨機(jī)存取存儲(chǔ)器RAM主要保存設(shè)備運(yùn)行的臨時(shí)數(shù)據(jù)和參數(shù)。顯示器可采用160×64點(diǎn)陣大屏幕液晶顯示器，可以顯示中文、英文、羅馬字、圖形符號(hào)等，鍵盤由通用數(shù)字鍵0到9以及功能鍵(確定、清除)等組成，完成信息的輸入，顯示器和鍵盤是設(shè)備的主要人機(jī)接口；通信部件包括符合RS-232C標(biāo)準(zhǔn)的串行通信口和專用的擴(kuò)展口兩類，串行通信口可以與具有RS-232C標(biāo)準(zhǔn)串行口的其它設(shè)備(如PC機(jī))進(jìn)行通信，完成信息的輸入和輸出，專用的擴(kuò)展口可用于同類設(shè)備之間的通信和功能擴(kuò)展；IC卡是一種具有加密功能的集成電路卡，是使用設(shè)備的準(zhǔn)入卡，用戶將IC卡插入設(shè)備的卡片插槽中，并且輸入正確的登錄口令后就可以使用該設(shè)備了，反之，如果用戶插入的不是設(shè)備的IC卡，或口令錯(cuò)誤均不能使用該設(shè)備，而且，口令連續(xù)錯(cuò)誤次數(shù)超過指定次數(shù)(如3次)，即使以后輸入的口令正確，該用戶也不能使用密碼設(shè)備；實(shí)時(shí)時(shí)鐘為密碼設(shè)備提供準(zhǔn)確時(shí)間；電源電路將交流市電或?qū)溆秒姵仉娹D(zhuǎn)變?yōu)樵O(shè)備所需要的直流電平，并且具有對(duì)備用電池充電的充電器；電源監(jiān)測電路可采用電源電壓監(jiān)測集成片(本實(shí)施例采用具有電源監(jiān)測功能的專用集成電路芯片SSPKI03)檢測設(shè)備電源電壓，當(dāng)該電壓低于設(shè)定電壓達(dá)到指定的時(shí)間后，發(fā)出復(fù)位信號(hào)使微處理器復(fù)位，防止程序跑飛后會(huì)改寫設(shè)備的重要數(shù)據(jù)。
上述設(shè)備形成動(dòng)態(tài)電子密碼的過程是用戶將IC卡插入設(shè)備的卡片插槽中后，ASIC#1(SSPKI01)的P2口檢測到卡片已經(jīng)插入插槽，微處理器開始讀取IC卡中的用戶信息，并提示用戶輸入口令，這時(shí)用戶通過鍵盤輸入口令(如8位數(shù)字)，鍵盤信號(hào)由ASIC#1(SSPKI01)的P2口與P4口進(jìn)行掃描來完成，所得到的鍵值經(jīng)過ASIC#1(SSPKI01)的P0口輸入到微處理器中，微處理器將保存在Flash存儲(chǔ)器中的用戶信息和口令，與當(dāng)前接收的用戶信息和口令比較，當(dāng)兩者相同時(shí)，允許用戶使用設(shè)備，否則不允許用戶使用設(shè)備，并且在用戶輸入的口令出錯(cuò)時(shí)，還會(huì)將錯(cuò)誤次數(shù)記錄在Flash存儲(chǔ)器中該用戶信息的記錄中。其間，需要提示給用戶的信息由微處理器輸出到顯示器上作相應(yīng)顯示。
在用戶登錄后，可以通過兩種方式輸入明文，第一種方法是脫機(jī)方式，第二種方式是聯(lián)機(jī)方式。
脫機(jī)方式時(shí)，用戶使用鍵盤輸入明文數(shù)據(jù)，鍵盤信號(hào)由ASIC#1(SSPKI01)的P2口與P4口進(jìn)行掃描來完成，所得到的鍵值經(jīng)過P0口輸入到微處理器中，微處理器將輸入的明文通過ASIC#2(SSPKI03)的P0口送入加密運(yùn)算模塊ASIC#2中，在該模塊中完成帶有內(nèi)置密鑰的HASH操作，求出摘要值(m)，如56比特?cái)?shù)據(jù)，該hash值(m)被返回到微處理器中，微處理器根據(jù)用戶的記錄信息從Flash存儲(chǔ)器中找到采用加密形式的私鑰并解密(K1)，由上述明文的HASH結(jié)果(m)及得到的私鑰(K1)進(jìn)行密碼形成算法(S算法)操作，其中的主要步驟將由ASIC#2(SSPKI03)中的有限域乘法器完成，最后形成電子密碼(C)，由顯示器顯示出來。
聯(lián)機(jī)方式時(shí)，用戶需要將設(shè)備與通信終端設(shè)備(如PC機(jī))通過串口連接起來，并在通信終端設(shè)備上安裝動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備的聯(lián)機(jī)操作軟件，啟動(dòng)動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備后進(jìn)入串行工作狀態(tài)，這樣，由終端設(shè)備的鍵盤輸入的數(shù)據(jù)通過通信接口電路送到微處理器中，而處理器顯示的內(nèi)容又通過通信接口電路送到通信終端設(shè)備中，并在通信終端設(shè)備顯示器上提示給用戶，密碼設(shè)備內(nèi)部形成電子密碼的操作與第一種方法是完全相同的。
電子密碼形成與核驗(yàn)設(shè)備核驗(yàn)動(dòng)態(tài)密碼的過程是用戶將IC卡插入設(shè)備的卡片插槽中后，ASIC#1(SSPKI01)的P2口檢測到卡片已經(jīng)插入插槽，微處理器開始讀取IC卡中的用戶信息，并提示用戶輸入口令，這時(shí)用戶通過鍵盤輸入口令(如8位數(shù)字)，鍵盤信號(hào)由ASIC#1(SSPKI01)的P2口與P4口通過掃描來完成，所得到的鍵值經(jīng)過P0口輸入到微處理器中，微處理器從Flash存儲(chǔ)器中調(diào)出用戶信息和口令，并與當(dāng)前接收的用戶信息與口令比較，當(dāng)兩者相同時(shí)，允許用戶使用設(shè)備，否則不允許用戶使用設(shè)備，并且在用戶輸入口令出錯(cuò)時(shí)，還將口令錯(cuò)誤次數(shù)記錄在Flash存儲(chǔ)器中該用戶信息的記錄中。其間，需要提示給用戶的信息由微處理器輸出到顯示器上作相應(yīng)顯示。
在用戶登錄后，可以通過兩種方式輸入明文和需要核驗(yàn)的電子密碼并得到核驗(yàn)結(jié)果，第一種方法是脫機(jī)方式，第二種方式是聯(lián)機(jī)方式。
脫機(jī)方式時(shí)，用戶使用鍵盤輸入數(shù)據(jù)，鍵盤信號(hào)由ASIC#1(SSPKI01)的P2口與P4口通過掃描來完成，所得到的鍵值經(jīng)過P0口輸入到微處理器中，微處理器將輸入數(shù)據(jù)通過ASIC#1(SSPKI01)P0口送入加密運(yùn)算模塊ASIC#1(SSPKI01)中，在該模塊中完成帶有內(nèi)置密鑰的HASH操作，HASH結(jié)果(56比特?cái)?shù)據(jù))被返回給微處理器，微處理器根據(jù)用戶的記錄信息從Flash存儲(chǔ)器中找到加密形式的對(duì)方公鑰并解密(K2)，采用電子密碼形成時(shí)同樣的方法對(duì)明文求HASH結(jié)果(m)，并利用公鑰(K2)及動(dòng)態(tài)電子密碼(C)，利用V運(yùn)算進(jìn)行密碼核驗(yàn)算法操作，得中間結(jié)果(m’)，再與求出的HASH結(jié)果(m)比較，以決定核驗(yàn)結(jié)果的正確與否，其中的主要步驟是由ASIC#2(SSPKI03)中的有限域乘法器完成，最后給出核驗(yàn)結(jié)果，由顯示器顯示出來。
聯(lián)機(jī)方式時(shí)，用戶需要將動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備與通信終端設(shè)備(如PC機(jī))通過串口連接起來，并在通信終端設(shè)備上安裝動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備的聯(lián)機(jī)操作軟件，啟動(dòng)動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備后進(jìn)入串行工作狀態(tài)，這樣，由通信終端設(shè)備鍵盤輸入的數(shù)據(jù)通過通信接口電路送到微處理器中，而處理器顯示的內(nèi)容又通過通信接口電路送到通信終端設(shè)備中，并在通信終端設(shè)備顯示器上提示給用戶，密碼設(shè)備內(nèi)部形成電子密碼的操作與第一種方法是完全相同的。
綜上所述，本發(fā)明的以加密算法專用集成電路為核心部件，所設(shè)計(jì)的動(dòng)態(tài)電子密碼設(shè)備，具有結(jié)構(gòu)簡單、抗攻擊、抗復(fù)制能力強(qiáng)等優(yōu)點(diǎn)，不僅能完成動(dòng)態(tài)電子密碼生成與核驗(yàn)的功能，而且其形成的動(dòng)態(tài)電子密碼具有簽名功能，能在出現(xiàn)密鑰泄漏事件時(shí)做出責(zé)任仲裁。
加密算法專用集成電路主要包括兩片專用集成電路ASIC#1(SSPK102)，如圖2中所示，和ASIC#2(SSPKIO3)，如圖3中所示。
參見圖2，專用集成電路ASIC#1(SSPKI01)的主要功能是實(shí)現(xiàn)帶密鑰的HASH操作，主要由加密運(yùn)算模塊、緩沖器和指令、時(shí)序、譯碼控制電路組成。專用集成電路ASIC#1還有端口擴(kuò)展以及鍵盤擴(kuò)展等功能，圖中P0、P1、P2、P4為四個(gè)端口，P0口與微處理器的8位數(shù)據(jù)總線連接，P1、P2是帶緩沖的8位擴(kuò)展口，P4是帶上拉電阻的4位輸入口，當(dāng)P4中任一線為低電平時(shí)，輸出為低電平，因此，P4口適合用作鍵盤的回掃輸入。專用集成電路ASIC#1還具有電源管理功能，當(dāng)設(shè)備電源電壓低于指定電壓達(dá)到指定時(shí)間后，發(fā)出復(fù)位信號(hào)。加密模塊對(duì)輸入的數(shù)據(jù)，利用內(nèi)置密鑰生成56位的HASH值，HASH操作是提取輸入數(shù)據(jù)(明文)的“摘要”的操作，其意義在于使得輸入數(shù)據(jù)(明文)每位的信息均能反映到HASH結(jié)果的每位上。
參見圖3，專用集成電路ASIC#2(SSPKI03)的主要功能是實(shí)現(xiàn)15位數(shù)據(jù)的有限域乘法運(yùn)算，并且還提供鎖存器、譯碼器等功能。圖中，PO口與微處理器的8位數(shù)據(jù)端口連接，P1為8位帶鎖存器的數(shù)據(jù)輸出口，三個(gè)地址線A0-A2以及P2口實(shí)現(xiàn)3-8譯碼器的功能，有限域乘法器實(shí)現(xiàn)15位乘15位、而結(jié)果仍為15位的有限域乘法運(yùn)算，完成非對(duì)稱密鑰加密算法中密碼形成運(yùn)算和密碼核驗(yàn)運(yùn)算的重要操作。
參見圖4，在基于動(dòng)態(tài)密碼機(jī)制構(gòu)成的用戶資源共享(如局域網(wǎng))系統(tǒng)中，可以由多個(gè)動(dòng)態(tài)密碼形成與核驗(yàn)設(shè)備組成一個(gè)動(dòng)態(tài)密碼系統(tǒng)，來完成用戶身份的認(rèn)證工作。其中，資源共享系統(tǒng)中的各個(gè)被訪問設(shè)備如服務(wù)器41或各用戶終端，以及訪問設(shè)備如各用戶終端(用用戶標(biāo)識(shí)號(hào)1...N區(qū)別)均配有一個(gè)動(dòng)態(tài)電子密碼形成和核驗(yàn)設(shè)備42，并與之通過串行方式連接，安裝相應(yīng)的通信軟件。動(dòng)態(tài)密碼形成和核驗(yàn)設(shè)備42與服務(wù)器41或用戶終端1...N間可選擇脫機(jī)或聯(lián)機(jī)方式工作。
在這樣一個(gè)用戶資源共享系統(tǒng)的用戶認(rèn)證中，各個(gè)密碼設(shè)備42分別具有不同的私鑰，而它們又都具有其它設(shè)備的公鑰，一個(gè)公鑰與一用戶的對(duì)應(yīng)關(guān)系是依靠每個(gè)設(shè)備用戶的身份標(biāo)識(shí)碼來指定的。各個(gè)設(shè)備的私鑰獲取及身份標(biāo)識(shí)碼的分配等是通過“授權(quán)”過程來完成的。
參見圖5，在授權(quán)過程完成之后，一個(gè)終端設(shè)備登錄一臺(tái)服務(wù)器的動(dòng)態(tài)密碼形成和核驗(yàn)的步驟如下步驟51終端設(shè)備啟動(dòng)登錄進(jìn)程，終端設(shè)備向服務(wù)器提交終端設(shè)備的用戶標(biāo)識(shí)碼；步驟52服務(wù)器接收終端用戶的請求，并驗(yàn)證用戶使用的標(biāo)識(shí)碼；步驟53判斷用戶使用的標(biāo)識(shí)碼是否正確，如果用戶使用的標(biāo)識(shí)碼正確，則執(zhí)行步驟54，否則，系統(tǒng)拒絕為終端用戶提供服務(wù)，并返回給用戶相應(yīng)的提示；步驟54服務(wù)器記錄用戶標(biāo)識(shí)碼，并產(chǎn)生一個(gè)隨機(jī)數(shù)，送到終端用戶的操作界面上顯示；步驟55終端用戶登錄，在接收到該隨機(jī)數(shù)后，以其作為明文，調(diào)用動(dòng)態(tài)電子密碼設(shè)備的通信軟件，計(jì)算出動(dòng)態(tài)電子密碼，并提交給服務(wù)器，以執(zhí)行相應(yīng)的密碼核驗(yàn)進(jìn)程；步驟56服務(wù)器將步驟52、54中獲得的用戶標(biāo)識(shí)碼、隨機(jī)數(shù)及動(dòng)態(tài)電子密碼一起發(fā)送到動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備中，該設(shè)備首先由用戶標(biāo)識(shí)號(hào)得到終端用戶的公鑰，然后利用該公鑰和密碼核驗(yàn)算法，對(duì)隨機(jī)數(shù)和動(dòng)態(tài)電子密碼進(jìn)行核驗(yàn)，并將核驗(yàn)結(jié)果返回給服務(wù)器；步驟57由服務(wù)器判斷動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備的核驗(yàn)結(jié)果，當(dāng)核驗(yàn)結(jié)果正確時(shí)，則允許該用戶的登錄請求，執(zhí)行步驟57，否則執(zhí)行步驟59，服務(wù)器拒絕為用戶提供服務(wù)，并返回給終端用戶相應(yīng)的提示。
本發(fā)明的動(dòng)態(tài)電子密碼形成和核驗(yàn)設(shè)備是利用專用集成電路和非對(duì)稱密鑰加密算法實(shí)現(xiàn)的，硬件采用微處理器芯片及存儲(chǔ)器、顯示器等，應(yīng)用軟件使用匯編及高級(jí)語言開發(fā)。具有形成動(dòng)態(tài)電子密鑰的功能，并且該密碼是該設(shè)備唯一簽出的。電子密碼具有數(shù)字簽名功能和核驗(yàn)功能，在由多個(gè)這樣的動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備組成的資源共享系統(tǒng)中，一個(gè)設(shè)備可以核驗(yàn)由另一個(gè)設(shè)備形成的動(dòng)態(tài)電子密碼的正確性，用以認(rèn)證授權(quán)用戶的身份。可廣泛應(yīng)用于銀行、證券、網(wǎng)絡(luò)通信和電子鎖等技術(shù)領(lǐng)域。
權(quán)利要求
1.一種動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備，其特征在于包括微處理器和與微處理器分別連接的存儲(chǔ)單元、完成雜湊操作的HASH操作專用集成電路芯片、和完成加密變換或解密變換的有限域乘法專用集成電路芯片，HASH操作專用集成電路芯片還連接存儲(chǔ)單元。
2.根據(jù)權(quán)利要求1所述的一種動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備，其特征在于所述的電子密碼設(shè)備還包括有可分別顯示、打印電子密碼(C)的顯示器、打印機(jī)，用于傳輸電子密碼(C)的通信接口，和鍵盤裝置；所述的顯示器、打印機(jī)、通信接口分別與所述的微處理器連接，所述的鍵盤裝置與所述的HASH操作專用集成電路芯片連接。
3.根據(jù)權(quán)利要求1所述的一種動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備，其特征在于還包括有IC卡插槽與記錄用戶信息的IC卡，IC卡插槽與所述的微處理器連接，和連接所述的HASH操作專用集成電路芯片。
4.根據(jù)權(quán)利要求1或2或3所述的一種動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備，其特征在于所述的HASH操作專用集成電路芯片，包括加密運(yùn)算模塊、一個(gè)以上的并行口及其緩沖器，和指令、時(shí)序、譯碼控制模塊，加密運(yùn)算模塊、緩沖器和指令、時(shí)序、譯碼控制模塊通過數(shù)據(jù)總線連接。
5.根據(jù)權(quán)利要求1或2或3所述的一種動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備，其特征在于所述的有限域乘法專用集成電路芯片包括有限域乘法器，并行口及其緩沖器、寄存器，和時(shí)序生成、組合邏輯模塊；有限域乘法器、緩沖器、寄存器、和時(shí)序生成、組合邏輯模塊通過數(shù)據(jù)總線、控制總線連接。
6.一種利用權(quán)利要求1的動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備建立的用戶資源共享系統(tǒng)的用戶身份認(rèn)證方法，其特征在于包括A.在所述系統(tǒng)的每一臺(tái)被訪問設(shè)備及訪問設(shè)備側(cè)設(shè)置一臺(tái)動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備，并通過串行方式與所述的被訪問設(shè)備、訪問設(shè)備連接，形成用戶資源共享系統(tǒng)的動(dòng)態(tài)電子密碼系統(tǒng)；B.在每一臺(tái)動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備設(shè)置自身固有的且不同于其它動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備的私鑰(K1)，和具有其它動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備的公鑰(K2)，并由用戶設(shè)備的身份標(biāo)識(shí)碼指定公鑰與訪問設(shè)備或被訪問設(shè)備間的對(duì)應(yīng)關(guān)系；C.由訪問設(shè)備側(cè)的動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備獲取當(dāng)前的用戶信息與口令，并與存儲(chǔ)器中的用戶信息與口令比較，比較一致時(shí)接收該訪問設(shè)備的登錄請求；D.被訪問設(shè)備接收訪問設(shè)備的登錄請求，記錄訪問設(shè)備的標(biāo)識(shí)碼，并產(chǎn)生一個(gè)隨機(jī)數(shù)返回該訪問設(shè)備；E.該訪問設(shè)備采用脫機(jī)或聯(lián)機(jī)方式向動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備輸入該隨機(jī)數(shù)，將該隨機(jī)數(shù)作為明文數(shù)據(jù)，經(jīng)編碼和帶有密鑰的雜湊操作后獲得明文的HASH結(jié)果(m)，再利用私鑰(K1)及明文的HASH結(jié)果(m)進(jìn)行密碼形成算法操作，生成動(dòng)態(tài)電子密碼(C)，并送至被訪問設(shè)備；F.被訪問設(shè)備的動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備，根據(jù)記錄的訪問設(shè)備標(biāo)識(shí)碼獲得訪問設(shè)備的公鑰(K2)，再利用該公鑰(K2)和密碼核驗(yàn)算法對(duì)所述的隨機(jī)數(shù)及動(dòng)態(tài)電子密碼(C)進(jìn)行核驗(yàn)，并將核驗(yàn)結(jié)果傳送給被訪問設(shè)備，在核驗(yàn)結(jié)果正確時(shí)允許訪問設(shè)備登錄。
7.根據(jù)權(quán)利要求6所述的一種用戶資源共享系統(tǒng)的用戶身份認(rèn)證方法，其特征在于所述步驟A中的訪問設(shè)備可以是一終端通信用戶，被訪問設(shè)備可以是另一終端通信用戶或服務(wù)器。
8.根據(jù)權(quán)利要求6所述的一種用戶資源共享系統(tǒng)的用戶身份認(rèn)證方法，其特征在于所述步驟B中，所述的私鑰(K1)與公鑰(K2)是成對(duì)生成的。
9.根據(jù)權(quán)利要求6所述的一種用戶資源共享系統(tǒng)的用戶身份認(rèn)證方法，其特征在于所述步驟C中，所述的獲取當(dāng)前用戶信息與口令，是由所述的動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備，分別通過讀取IC卡槽中的IC卡和掃描鍵值獲得的。
10.根據(jù)權(quán)利要求6所述的一種用戶資源共享系統(tǒng)的用戶身份認(rèn)證方法，其特征在于所述步驟E中的脫機(jī)方式，是利用所述動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備上的鍵盤直接輸入所述的隨機(jī)數(shù)完成的。
11.根據(jù)權(quán)利要求6所述的一種用戶資源共享系統(tǒng)的用戶身份認(rèn)證方法，其特征在于所述步驟E中的聯(lián)機(jī)方式，是利用訪問設(shè)備上的鍵盤直接輸入所述的隨機(jī)數(shù)，并通過訪問設(shè)備上的聯(lián)機(jī)操作軟件完成的。
12.根據(jù)權(quán)利要求6所述的一種用戶資源共享系統(tǒng)的用戶身份認(rèn)證方法，其特征在于所述步驟E中的帶有密鑰的雜湊操作是利用HASH操作專用集成電路芯片完成的；所述的密碼形成算法操作是利用密碼形成算法操作專用集成電路芯片完成的15位數(shù)據(jù)的有限域乘法運(yùn)算，采用簽名(S)運(yùn)算用私鑰(K1)對(duì)HASH操作結(jié)果(m)進(jìn)行加密變換，生成動(dòng)態(tài)電子密碼(C)。
13.根據(jù)權(quán)利要求6所述的一種用戶資源共享系統(tǒng)的用戶身份認(rèn)證方法，其特征在于所述步驟F中的核驗(yàn)進(jìn)一步包括f1.采用核驗(yàn)(V)運(yùn)算用公鑰(K2)對(duì)所述的動(dòng)態(tài)電子密碼作解密變換，形成中間結(jié)果(m’)；f2.對(duì)所述的隨機(jī)數(shù)作編碼和雜湊(HASH)操作，形成HASH操作結(jié)果(m)；f3.將暫存的中間結(jié)果(m’)與上述的HASH操作結(jié)果(m)進(jìn)行比較，兩者相同時(shí)判斷驗(yàn)證結(jié)果正確，兩者不一致時(shí)判斷驗(yàn)證結(jié)果不正確。
全文摘要
本發(fā)明涉及一種動(dòng)態(tài)電子密碼形成與核驗(yàn)設(shè)備，以及在用戶資源共享系統(tǒng)中，利用該設(shè)備分別與訪問及被訪問設(shè)備串接所形成的動(dòng)態(tài)密碼系統(tǒng)的用戶身份認(rèn)證方法。形成與核驗(yàn)設(shè)備主要包括微處理器、存儲(chǔ)單元、HASH操作專用芯片、和完成加解密變換的專用芯片。認(rèn)證方法主要包括被訪問設(shè)備在接收訪問設(shè)備的登錄請求后，記錄其標(biāo)識(shí)碼，并產(chǎn)生隨機(jī)數(shù)返回該訪問設(shè)備；該訪問設(shè)備的形成與核驗(yàn)設(shè)備，將隨機(jī)數(shù)作為明文，經(jīng)雜湊操作獲得HASH結(jié)果(m)，再利用私鑰(K1)及m通過密碼形成算法，生成動(dòng)態(tài)電子密碼(C)送至被訪問設(shè)備；被訪問設(shè)備的形成與核驗(yàn)設(shè)備，根據(jù)標(biāo)識(shí)碼獲得訪問設(shè)備的公鑰(K2)，再利用密碼核驗(yàn)算法對(duì)隨機(jī)數(shù)及C進(jìn)行核驗(yàn)，決定是否允許訪問設(shè)備登錄。
文檔編號(hào)H04L9/32GK1427351SQ01144349
公開日2003年7月2日 申請日期2001年12月17日 優(yōu)先權(quán)日2001年12月17日
發(fā)明者魏朝陽, 楊棟毅, 田非, 王曉東, 張璐, 彭敏, 李志剛, 李曉輝 申請人:北京兆日科技有限責(zé)任公司