基于移动支付的一次性口令身份认证方案.pdfVIP

I一探零 跑察…………………一… 基 于移动文付 的一 次性 口令 身份认 征方 柰 浙江工业职业技术学院 王丽丽 【摘要】在移动支付中，交易主体的身份认证是判断和确认交易双方真实身份的重要环节，可 以保证每个交易主体的访问与授权的准确。本文通过分析国内外一次性 口 令认证技术的研究现状、认证技术 以及移动支付中的安全 问题，对一次性 口令认证技术进行改进，提出基于移动支付的一次性 口令身份认证的方案。 【关键词】一次性 口令；身份认证；移动支付 一 、 一 次性 口令国内外研究现状 为计算因子计算动态 口令，以此实现身份认 服务器端的主要功能模块。 美国科学家LeslieLamport首次提 出了 证 。 ●新用户注册模块是实现用户在第一一 利用散列函数产生一次性口令的思想，即用 3．以散列运算和异或运算等低复杂度 次使用此身份认证方案之前必须在认证端服 户每次同服务器进行身份认证时，在网上传 的运算为基础，认证双方通过计算双方交换 务器注册，并完成系统初始化。 输的认证 口令都是一次有效的。~lJLamport 的认证数据进行一次性 口令身份认证。这种 2．客户端包含客户端请求及响应模块、 方式，但它最大的缺点就是计算量特别大， 方式的特点是设计简单、运算量较小，而且 客户端验证模块和客户端应答模块。 需要做大量的加密计算。 实施的成本也较低。 ●客户端请求及响应模块负责在用户 一 次性 口令技术在美国最初主要用于 三、移动支付中安全问题 请求认证或注册服务时，按要求输入用户名 军事、情报、科研等对安全级别要求很高的 在移动支付 中，安全性是影响移动商 和相关信息，将客户端软件生成的请求信息 部门。随着信息技术的发展 ，信息安全受到 务发展的首要因素。移动支付中的安全需求 发送给服务器，并接收注册过程中或认证过 重视，一次性口令进入商用领域 。欧洲的绝 有： 程中的所有信息，转交至相应模块 。 大部分银行，采用一次性 口令技术对安全风 I．数据机密性 。数据在传送中不被泄 ●客户端验证模块主要负责实现解密 险加以防范。 漏 ，未被授权 的人不能读懂数据。 服务器的挑战信息，比对相关信息验证服务 我 国的中科院信息安全 国家重点实验 2．信息完整性 。数据在传输存储中不 器身份。 室于1998年研制一次性口令身份认证系统。 会受到非法的修改，确保信息内容和顺序的 ●客户端应答模块主要实现移动用户 之后，有许多公司开发出不同型号的一次性 完整性。 应答信息的计算及产生。 口令身份认证系统。 3．信息可认证性 。只有通过认证的用 3．认证协议设计分注册阶段和认证 阶 目前，我 国多家银行在其 内部操作员 户才可以在授权范围内访问相应的业务。 段两部分。 管理或网上银行中采用了一次性口令认证 。 4．防抵赖性 。买卖双方都必须对 自己 注册阶段具体流程如图l所示。 网络游戏运营商，都先后推出了各 自的一次 发出和接收的信息不可抵赖 。 1)注册请求 。移动用户使用移动终端 性口令产品，包括矩阵式一次性口令卡和一 5．访问控制。确保用户仅仅看到所授 唯一标识符IMEI作为用户名发送给认证服务 体化令牌，这些