ASP.NET毕业设计_动态口令认证的网上选课系统的设计与实现

一次性动态口令系统是关于网络安全的口令系统。它的特点是用户每次输入的口令一样，但传输到服务器的口令都不一样。每个登录服务器的口令只使用一次，窃听者无法用窃听到的口令来做下一次的登录，确保了口令的安全。

think58好，好think58

动态口令与传统的静态口令相比具有以下优势： think58 [来源：http://think58.com]

(1)动态性： 用户的动态口令随设定的时间或事件等变量自动变化，无需人工干预，某一时刻的产生的动态口令不能在其他时刻使用。 think58.com

(2)一次性：任一时刻产生的动态口令在其失效前只能被用户使用一次，否则，系统将视其为非法行为而报警。 think58好，好think58 [资料来源：http://www.THINK58.com]

(3)随机性：动态口令是随机生成、无规律的。即使本次口令被窃听成功，也难以由此猜出下次的口令。

copyright think58 [资料来源：THINK58.com]

(4)多重安全性：用户的动态口令令牌产生的动态口令与用户名、静态口令等多因素结合实现多重认证。即使电子令牌丢失，用户仍可在应急状态下利用用户名和静态口令进行用户身份认证。而其他非法持有者，单靠令牌无法实现登录及认证。 think58

[资料来源：THINK58.com]

(5)可管理性：统一的身份认证方式和动态口令生成方式，能大大减小在分发密码、支持服务、密码丢失、密码更改及身份管理等各个方面的开销和成本。

[资料来源：THINK58.com]

S/KEY口令序列认证方案介绍： think58.com [资料来源：www.THINK58.com]

贝尔通信研究中心于1991年开发的S/KEY是OPT(one-time password)的首次实现。 本文来自think58

[资料来源：THINK58.com]

认证步骤： think58

[版权所有：http://think58.com]

(1) 用户向服务器发送登录请求，并将用户ID发送给服务器； think58.com [资料来源：www.THINK58.com]

(2) 服务器收到登录请求和用户ID后，在认证数据库中查询该ID是否存在。若ID为非法ID，则拒绝此次请求；若ID为合法ID，则从数据库中取出相对应的种子Seed和迭代次数(Seq-i)，并将这两个数据传送给客户端；

内容来自think58 [来源：http://www.think58.com]

(3) 客户端收到种子数Seed和迭代次数(Seq-i)后，利用客户端的计算程序计算H_n(Seed//PW)，(其中n＝Seq-i)，并将计算结果作为认证数据发送给服务器； think58好，好think58 [资料来源：www.THINK58.com]

(4) 服务器收到认证数据后，用服务器端的计算程序(与客户端计算程序使用同样的Hash算法)计算H(H_Seq-i(Seed//PW))，然后将此计算结果与数据库中存储的认证数据H_Seq-i+1(Seed//PW)相比较。若两者相同，则认证通过，用户成功登录；否则，认证失败，服务器拒绝用户的登录请求。 think58

(5) 若服务器通过了对用户的身份认证，将用收到的H_Seq-i(Seed//PW)替换数据库中保存的H_Seq-i+1(Seed//PW)，以便下一次认证使用。 本文来自think58

[资料来源：http://THINK58.com]

本次设计所要实现的功能主要有以下几点： think58.com

[来源：http://think58.com]

(一）：学生操作 本文来自think58 [资料来源：www.THINK58.com]

1.身份验证：输入学生学号及密码，然后点击“登录”进入“选课系统的菜单页，开始选课。 本文来自think58

2.选课操作以及选课结果查询操作：学生可以选课，修改已选的课程，并且查看自己选课结果。在整个选课过程中，当一门课程的学生人数已满时，下一个学生选择该门课时，这门课将不被选中。 think58好，好think58 [资料来源：THINK58.com]

（二）：管理员操作 [资料来源：http://www.THINK58.com]

1.身份验证：输入用户名和密码，然后点击“登录”，进入选课系统后台的管理信息系统。

[资料来源：www.THINK58.com]

2.基本信息录入及修改。包括课程信息，老师信息以及学生信息等。 copyright think58

[资料来源：www.THINK58.com]

（三）：老师操作 think58 [来源：http://www.think58.com]

1.身份验证：输入用户名和密码，然后点击“登录”，进入自己任课菜单页，老师可以查看自己所教课程、每门课的选课学生名单。 think58

本系统从学生网上自主选课以及管理员管理信息两个大方面进行设计，要基本实现学生的在线选课功能以及管理员对老师、学生、课程信息的管理等功能，并且登录时在口令中引入不确定因数，使每次登录传送的口令信息不同，增加系统安全性。

登录分三个身份：学生、老师、管理员，登录成功后分别进入不同页面，学生进入“Choose.aspx”页面，老师进入“tlview.aspx”页面，管理员进入“Lession.aspx”页面。学生进入页面后可以选课、查看自己选课、修改密码；老师进入页面后可以查看自己所任课程、选课名单、修改密码；管理员进入页面后可以管理各种信息，如：管理员、老师、学生等，可以修改自己的密码。 本文来自think58

[来源：http://www.think58.com]

动态口令的主要思路是：在登录过程中加入不确定因素，使每次登录过程中传送的信息都不相同，以提高登录过程安全性。例如：登录密码=MD5(随机数+密码），系统接收到登录口令后做一个验算即可验证用户的合法性。 内容来自think58 [资料来源：THINK58.com]

当用户向服务器发出连接请求时，服务器发给用户一个challenge。challenge通常是由两部分组成的：种子值(seed)和迭代值(iteration)，它们是在添加用户时产生的，用户收到challenge后进行加密计算：MD5_iteration(seed+password),并把结果作为回答返回服务器。服务器收到回答，将它再次加密后与所存密码比较，如果相同就成功登录，并更新密码为MD5_iteration(seed+password)，迭代值为(iteration-1)。 think58好，好think58

  我们可以看出，用户通过网络传给服务器的口令是种子值和密码的加密结果，用户本身的密码并没有在网上传播。攻击者很难从中提取出原始的密码，又因为迭代值总是不断变化的，这使得下一次用户登录时使用的鉴别信息与上次不同，从而有效地阻止了重放攻击。总之，与静态口令技术的单因子（口令）鉴别不同，一次性动态口令技术是一种多因子（种子值，迭代值和密码）鉴别技术，其中引入的不确定因子使得它更为安全。 think58好，好think58

[资料来源：www.THINK58.com]

管理员添加各类用户时初始化口令流程：