《通用串行总线装置认证方法及其相关通用串行总线装置.pdf》由会员分享，可在线阅读，更多相关《通用串行总线装置认证方法及其相关通用串行总线装置.pdf（8页珍藏版）》请在专利查询网上搜索。
1、(10)申请公布号 CN 103368732 A (43)申请公布日 2013.10.23 CN 103368732 A *CN103368732A* (21)申请号 201210086297.9 (22)申请日 2012.03.26 H04L 9/32(2006.01) G06F 13/40(2006.01) (71)申请人 虎昂科技股份有限公司 地址 中国台湾台北市 (72)发明人 白孟海伦 (74)专利代理机构 深圳新创友知识产权代理有 限公司 44223 代理人 江耀纯 (54) 发明名称 通用串行总线装置认证方法及其相关通用串 行总线装置 (57) 摘要 本发明公开一种用于一通用串行。
2、总线装置的 认证方法。该认证方法是由客户端经由一服务器 与一认证服务器进行交互挑战响应， 藉此产生一 验证结果来指示登入的服务器是否正确 ； 一但确 认登入的服务器是正确后， 再产生一一次性密码 进行人员登入。 (51)Int.Cl. 权利要求书 1 页 说明书 4 页 附图 2 页 (19)中华人民共和国国家知识产权局 (12)发明专利申请 权利要求书1页 说明书4页 附图2页 (10)申请公布号 CN 103368732 A CN 103368732 A *CN103368732A* 1/1 页 2 1. 一种用于一通用串行总线装置的认证方法， 其特征在于， 包括有 ： 经由一服务器与一认。
3、证服务器进行双向验证， 以产生一验证结果指示是否验证成功 ； 以及 根据该认证结果， 来产生一一次性密码。 2. 如权利要求 1 所述的认证方法， 其特征在于， 在该验证结果指示验证成功时， 该服务 器为一被认可登入主机。 3. 如权利要求 1 所述的认证方法， 其特征在于， 还包括在该验证结果指示验证成功时， 触发该通用串行总线的一开关， 以产生并传送该一次性密码至该服务器。 4. 如权利要求 3 所述的认证方法， 其特征在于， 该服务器转传该一次性密码至该认证 服务器进行验证。 5. 如权利要求 3 所述的认证方法， 其特征在于， 该开关为一触控感应式开关， 且触发该 通用串行总线的该开关。
4、的步骤包括有触控该开关。 6. 如权利要求 1 所述的认证方法， 其特征在于， 还包括以至少一灯号显示一验证状况。 7. 一种通用串行总线装置， 其特征在于， 包括有 ： 一传送单元， 用来传送与一认证服务器进行双向验证的讯息至一服务器 ； 一接收单元， 用来接收与一认证服务器进行双向验证的讯息及一验证结果 ； 一判断单元， 判断所接收认证及验证的讯息是否正确 ； 以及 一密码产生单元， 用来根据该验证结果， 产生一一次性密码。 8. 如权利要求 7 所述的通用串行总线装置， 其特征在于， 在该验证结果指示验证成功 时， 该服务器为一被认可登入主机。 9. 如权利要求 7 所述的通用串行总线装。
5、置， 其特征在于， 还包括一开关， 用来在该验证 结果指示验证成功时接收触发， 使得该传送单元传送该一次性密码至该服务器。 10. 如权利要求 9 所述的通用串行总线装置， 其特征在于， 该服务器转传该一次性密码 至该认证服务器进行验证。 11. 如权利要求 9 所述的通用串行总线装置， 其特征在于， 该开关为一触控感应式开 关， 且利用触控该开关以触发该开关。 12. 如权利要求 7 所述的通用串行总线装置， 其特征在于， 还包括至少一灯号， 用来显 示一验证状况。 权 利 要 求 书 CN 103368732 A 2 1/4 页 3 通用串行总线装置认证方法及其相关通用串行总线装置 技术领。
6、域 0001 本发明涉及一种通用串行总线 (Universal Serial Bus， USB) 装置认证方法及其 相关通用串行总线装置， 尤指一种可降低成本并增加安全性的通用串行总线装置认证方法 及其相关通用串行总线装置。 背景技术 0002 在计算机网络中， 一般数据传输， 认证或是软件在使用时通常使用账户、 密码或是 令牌 (Token) 的方式或设备， 来认证使用者是否为正当授权的使用者。常见的方式使用者 可向令牌公司申请一令牌的硬件装置， 并经由特定网页启动并设定对特定账户的保护。每 当使用者欲存取被保护的账户， 软件或特定服务器时 ( 如登入特定网域或登入特定网络商 店的账户 ) 。
7、时， 使用者预先输入使用者账号与密码， 接着要求使用者在使用者计算机插入 令牌来验证账号， 密码及令牌是否正确， 如果正确后将可使用此软件， 账号或数据。 0003 在前述使用者认证方式中， 一般都是由服务器作最后决定， 决定是否认证通过。 然 而， 这样的保密模式仍然存在着风险。举例来说， 使用者可能不慎连结至假网站， 然后输入 令牌所显示的一次性密码 (one time password， OTP) 后， 假网站会进行再登入动作转网站 进入真网站， 而造成风险。此外， 公知令牌通常利用液晶显示方式显示一次性密码， 再由使 用者进行输入， 此方式不仅需要液晶显示器而成本较高， 且较不方便。有。
8、鉴于此， 公知技术 实有改进的必要。 发明内容 0004 因此， 本发明的主要目的即在于提供一种可降低成本并增加安全性的通用串行总 线装置认证方法及其相关通用串行总线装置。 0005 本发明公开一种该认证方法是由客户端经由一服务器与一认证服务器进行交互 挑战响应， 藉此产生一验证结果来指示登入的服务器是否正确 ； 一但确认登入的服务器是 正确后， 再产生一一次性密码进行人员登入。 0006 本发明还公开一种通用串行总线装置， 该通用串行总线装置包括有一传送单元， 用来传送与一认证服务器进行交互挑战响应的讯息至一服务器 ； 一接收单元， 用来接收与 后端一认证服务器进行交互挑战响应的讯息及讯息确。
9、认结果 ； 一判断单元， 判断所接收的 挑战响应的讯息是否正确 ； 以及一密码产生单元， 用来根据该挑战响应的结果， 来产生一一 次性密码。 0007 在此配合下列图示、 实施例的详细说明及权利要求书， 将上述及本发明的其它目 的与优点详述于后。 附图说明 0008 图 1 为本发明实施例一认证流程的示意图。 0009 图 2 为本发明实施例一令牌的示意图。 说 明 书 CN 103368732 A 3 2/4 页 4 0010 其中， 附图标记说明如下 ： 0011 10 认证流程 0012 100 190 步骤 0013 12 服务器 0014 14、 20 令牌 0015 16 认证服务。
10、器 0016 200 连接接口 0017 210 接收单元 0018 220 传送单元 0019 230 密码产生单元 0020 240 判断单元 0021 250 灯号 0022 260 开关 0023 C1、 C2 挑战明文 0024 R1、 R2 回应值 0025 OTP 一次性密码 0026 AU_RES 验证结果 具体实施方式 0027 请参考图 1， 图 1 为本发明实施例一认证流程 10 的示意图。认证流程 10 用来实现 一服务器 12 及其一认证服务器 16 与一通用串行总线 (Universal Serial Bus， USB) 装置 14 间的认证， 例如为令牌 (Tok。
11、en)14， 其中， 服务器 12 可为一网站服务器而令牌 14 可经由 使用者所使用的一使用者计算机连结服务器 12。认证流程 10 包括下列步骤 ： 0028 步骤 110 ： 令牌 14 传送令牌 14 的一挑战明文 C1 至服务器 12。 0029 步骤 120 ： 服务器 12 转传挑战 (Challenge) 明文 C1 至认证服务器 16。 0030 步骤 130 ： 认证服务器 16 根据挑战明文 C1， 以一算法产生一响应 (Response) 值 R1。 0031 步骤 140 ： 认证服务器 16 传送响应值 R1 及一挑战明文 C2 至令牌 14。 0032 步骤 15。
12、0 ： 令牌 14 以该算法判断响应值 R1 是否正确， 并根据挑战明文 C2， 以该算 法产生一响应值 R2。 0033 步骤 160 ： 令牌 14 经由服务器 12 传送回应值 R2 至认证服务器 16。 0034 步骤 170 ： 认证服务器 16 以该算法判断响应值 R2 是否正确。 0035 步骤 180 ： 认证服务器 16 回传一验证结果 AU_RES 至令牌 14 指示是否验证成功。 0036 步骤 190 ： 令牌 14 根据验证结果 AU_RES， 产生一一次性密码 OTP。 0037 根据认证流程 10， 令牌 14 经由一服务器 12 与认证服务器 16 进行双向验证。
13、， 以产 生一验证结果 AU_RES 指示双向验证是否成功， 然后再根据验证结果 AU_RES， 产生一一次性 密码 OTP。详细来说， 令牌 14 传送挑战明文 C1 至服务器 12， 而服务器 12 转传挑战明文 C1 至认证服务器 16( 即服务器 12 代理认证服务器 16 接收来自令牌 14 的讯息 )， 再让认证服 务器 16 根据挑战明文 C1， 以一算法产生一响应值 R1， 然后传送响应值 R1 及一挑战明文 C2 说 明 书 CN 103368732 A 4 3/4 页 5 至令牌 14。接着， 令牌 14 再以该算法判断响应值 R1 是否正确 ( 即以该算法计算挑战明文 C。
14、1 再将结果与响应值 R1 进行比较 )， 并根据挑战明文 C2， 以该算法产生一响应值 R2， 然后 经由服务器 12 传送响应值 R2 至认证服务器 16。最后， 认证服务器 16 以该算法判断响应 值 R2 是否正确 ( 即以该算法计算挑战明文 C2 再将结果与响应值 R2 进行比较 )， 然后回传 一验证结果 AU_RES 至令牌 14 指示是否验证成功， 使得令牌 14 根据验证结果 AU_RES， 产生 一一次性密码OTP。 因此， 在验证结果AU_RES指示验证失败时， 则表示该登入的服务器不是 合法的服务器， 此时令牌 14 不产生一次性密码 OTP， 而在验证证结果 AU_R。
15、ES 指示验证成功 时， 令牌14才根据使用者操作， 产生一次性密码OTP。 值得注意的是， 由于令牌14经由一服 务器 12 与认证服务器 16 进行双向验证， 因此验证的结果 AU_RES 指示验证成功时， 服务器 12 即为一被认可登入主机 ( 未被认可登入主机无法转传来自令牌 14 的讯息与认证服务器 16 进行双向验证 )。 0038 在此情形下， 令牌14可包括至少一灯号显示验证状况(譬如蓝灯表示验证成功而 蓝灯闪烁表示验证正在进行中 )， 因此使用者可在灯号显示验证成功时， 触发令牌 14 的一 开关， 接着令牌 14 可产生并直接传送一次性密码 OTP 至服务器 12， 而不需。
16、再由使用者进行 输入， 然后服务器 12 再转传一次性密码 OTP 至认证服务器 16 进行验证， 在认证服务器 16 确认一次性密码 OTP 正确时， 可通知服务器 12 允许使用者进行登入。其中， 上述令牌 14 的 开关可为一触控感应式开关， 且利用触控该开关进行触发， 但令牌 14 的开关也可为其它形 式的开关 ( 如机构式开关或按钮式开关 )， 而不限于此。 0039 换言之， 令牌 14 经由服务器 12 转传挑战明文 C1 至认证服务器 16， 使得认证服务 器 16 根据挑战明文 C1， 产生对应的响应值 R1， 并回报给令牌 14 作验证确认， 然后令牌 14 根据挑战明文 。
17、C2， 产生对应的响应值 R2， 并经由服务器 12 转传回报给认证服务器 16 作为 验证， 以产生该验证结果。在验证成功的情况下， 使用者可触发令牌 14 的开关， 以直接传送 一次性密码 OTP 至服务器 12， 再经由服务器 12 转传至认证服务器 16 进行验证而成功登入 欲存取的目标， 如网域或网页， 而不会误将一次性密码OTP输入至假网站(假网站无法转传 来自令牌14的讯息与认证服务器16进行双向验证， 因此无法成功进行双向验证)。 由上可 知， 在认证流程 10 中， 令牌 14 经由服务器 12 与认证服务器 16 进行了两次采用挑战 / 响应 方式的验证流程， 且令牌 14。
18、 在判断验证成功后才会输出一次性密码 OTP 至服务器 12 进行 登入， 因此不会误将一次性密码 OTP 输入至假网站。如此一来， 本发明令牌 14 除了可经由 服务器 12 与认证服务器 16 进行双向验证以判断服务器 12 是否为正确的网站， 因而可增加 安全性外， 使用者可经由触发令牌14上开关直接将验证成功时所产生的一次性密码OTP传 送至服务器 12 使其转传至认证服务器 16 进行验证， 因此在增加便利性外， 令牌 14 不需液 晶显示器显示一次性密码 OTP 而可减少成本。 0040 此外， 使用者在使用权杖 14 进行上述操作前， 可在使用者计算机安装一个软件， 其会要求使用。
19、者将令牌 14 插入计算机后并要求使用者输入一密码做为每次使用时的检查 密码， 并要求一个要登入的服务器的联机地址， 然后检查服务器是否存在。接着， 在每次使 用权杖 14， 使用者必须先输入该密码进行使用者确认， 在完成确认时才进行上述操作 ( 令 牌 14 在插入计算机但尚未输入该密码进行使用者确认时灯号可为红灯表示使用者确认 中， 而在使用者确认后以蓝灯闪烁表示验证正在进行中 )。 0041 请参考图 2， 图 2 为本发明实施例一令牌 20 的示意图。令牌 20 用来实现认证流 说 明 书 CN 103368732 A 5 4/4 页 6 程 10 中的令牌 14， 且包括一连接接口 。
20、200、 一接收单元 210、 一传送单元 220、 一密码产生单 元 230、 一判断单元 240、 一灯号 250 以及一开关 260。接收单元 210 及传送单元 220 通过 连接接口 200， 经由一使用者计算机与一服务器 ( 如图 1 的服务器 12) 进行信号交换。连 接接口 200 可为通用串行总线 (Universal Serial Bus， USB)、 一线打印终端 (Line Print Terminal、 LPT) 或 RS-232 等界面， 以让令牌 20 可使用与使用者计算机相同的通信协议或 传输数据加密方式， 再经由使用者计算机与服务器交换数据。当传送单元 220。
21、 通过连接接 口200经由服务器挑战明文C1至一认证服务器时， 认证服务器16可根据挑战明文C1， 产生 对应的响应值 R1， 并回报给令牌 20 作验证确认。接着， 当接收单元 210 接收响应值 R1， 判 断单元 240 可以该算法判断响应值 R1 是否正确， 然后传送单元 220 根据接收单元 210 所接 收的挑战明文 C2， 传送对应的响应值 R2 予认证服务器进行验证确认， 再由认证服务器据以 回传验证结果 AU_RES。在验证结果 AU_RES 指示验证成功时， 再根据使用者产生一次性密 码 OTP， 且灯号 250 可以特定方式显示验证成功， 然后使用者可触发开关 260 直。
22、接将密码产 生单元 230 所产生的一次性密码 OTP 输出至服务器。由于令牌 20 可用来实现认证流程 10 中的令牌 14， 因此详细的认证流程请参考图 1 说明， 在此不赘述。 0042 在公知技术中， 使用者可能不慎连结至假网站， 然后输入令牌所显示的一次性密 码后， 假网站会进行再登入动作转网站进入真网站， 而造成风险。此外， 公知令牌通常利用 液晶显示方式显示一次性密码， 再由使用者进行输入， 此方式不仅需要液晶显示器而成本 较高， 且较不方便。 相较之下， 本发明令牌除了可经由服务器与认证服务器进行双向验证以 判断服务器是否为正确的网站， 因而可增加安全性外， 使用者可经由触发令牌上开关直接 将验证成功时所产生的一次性密码传送至服务器使其转传至认证服务器进行验证， 因此在 增加便利性外， 令牌不需液晶显示器显示一次性密码而可减少成本。 0043 以上所述仅为本发明的优选实施例而已， 并不用于限制本发明， 对于本领域的技 术人员来说， 本发明可以有各种更改和变化。 凡在本发明的精神和原则之内， 所作的任何修 改、 等同替换、 改进等， 均应包含在本发明的保护范围之内。 说 明 书 CN 103368732 A 6 1/2 页 7 图 1 说 明 书 附 图 CN 103368732 A 7 2/2 页 8 图 2 说 明 书 附 图 CN 103368732 A 8 。