缪 蕊 ，钟志贤 ，刘 珺 ，包爱民 ，姜 维，申小琦

(1.昆明冶金高等专科学校网络管理与信息化部，云南 昆明 650033； 2.吉林省明日科技有限公司，吉林 长春 130000)

0 引 言

随着国家大力开展数字化经济，虚拟账号的数量呈指数上升，随之而来的就是与日俱增的数据安全问题。因为互联网有着极强的匿名性，所以服务商很难分辨当前进行远程操作的是客户本人还是冒名顶替的不法分子。为了保证电子商务交易安全和电子支付安全，服务商推出了多种身份验证方式。其中最常使用的是静态密码验证，用户通过输入用户名与密码进行身份认证，密码是静态的，可重复使用。但使用静态密码进行认证存在巨大风险，服务商为了维护这些密码以获得更高的安全性，需要耗费大量的人力、物力。用户会为了方便管理而使用弱密码或低强度密码(例如自己的电话号码、生日、楼栋号等)。这样的静态密码极易被盗用或破解。密码被盗用后，非法用户即可登录应用平台对用户数据进行肆意篡改，从而造成财产损失。

随着网络应用的复杂化、攻击手段的多样化，静态密码验证的安全缺陷也越来越明显，已经不再适用于安全性要求较高的网络应用系统。为了解决静态密码存在的缺陷，一次性动态口令的认证方式应运而生。但是，目前现有的一次性口令认证方案也并不十分完善，有的需要安装第三方插件，有的平台兼容性与可移植性较差，各种方案在执行性能和安全性能上还存在一定缺陷。……