CN103327489B - 认证的方法和系统 - Google Patents

Abstract

本发明公开了一种认证的方法和系统。涉及通信技术领域。解决了在对客户端进行认证时，客户端的身份信息被窃取的问题。本发明中的方法具体可以包括：客户端向通信服务器发送用于指示客户端与通信服务器执行认证操作的认证请求；客户端根据回应信息与通信服务器执行认证操作，所述回应信息包括不同于客户端身份信息的任意信息并由客户端根据P签名计算得到，用于通信服务器确定客户端是否被配置有合法的P签名；通信服务器向客户端发送认证响应，所述认证响应用于表征客户端是否认证成功。可应用于设备认证中。

Description

认证的方法和系统

技术领域

本发明涉及通信技术领域，尤其涉及认证的方法和系统。

背景技术

日益普及的移动互联网在为用户带来通信、信息共享便利的同时，也带来了安全的新挑战。由于无线移动网络的开放性，使得无线通信数据更容易被截获、监听、篡改，这对用户隐私造成极大威胁。传统的身份认证技术会泄露认证客户端的隐私信息，例如，身份信息等。匿名认证技术可以防止身份信息在认证过程中的泄露。

在现有技术的认证过程中，客户端向服务器进行匿名认证需要认证机构的辅助。该认证过程可以包括：客户端将盲化的身份信息发送给服务器，服务器对盲化的身份信息进行签名产生第一认证信息后发回给客户端；客户端生成盲化的服务请求，并将自己的身份信息、盲化的服务请求以及第一认证信息发送至认证机构请求协助；认证机构根据接收到的身份信息和第一认证信息对盲化的服务请求进行签名，生成第二认证信息；客户端将盲化的服务请求和第二认证信息发送给服务器；服务器通过对第二认证信息验证来实现对终端的认证。

在实现上述认证过程中，发明人发现现有技术中至少存在如下问题：移动无线通信的开放性，使得客户端与服务器之间传输的输数据很容易被攻击者监听，若在认证过程中被攻击者监听，则攻击者可以获取客户端的身份信息，导致身份信息的泄露。

发明内容

本发明的实施例提供一种认证的方法和系统，采用上述方案后，通信服务器根据客户端是否被配置有合法的P签名对该客户端进行认证，在执行该认证过程中，不传输客户端的身份信息，避免了身份信息在传输过程中被窃取。

为达到上述目的，本发明的实施例采用如下技术方案：

第一方面，提供一种认证的方法，包括：

客户端向通信服务器发送用于指示所述客户端与所述通信服务器执行认证操作的认证请求；

所述客户端根据回应信息与所述通信服务器执行认证操作，所述回应信息包括不同于所述客户端身份信息的任意信息并由客户端根据所述P签名计算得到，用于通信服务器确定所述客户端是否被配置有合法的P签名；所述，所述回应信息；所述通信服务器向所述客户端发送认证响应，所述认证响应用于表征所述客户端是否认证成功。

第二方面，提供另一种认证的系统，包括：

客户端和通信服务器，其中：

所述客户端包括：第一发送单元、认证单元；

所述第一发送单元，用于向通信服务器发送用于指示所述客户端与所述通信服务器执行认证操作的认证请求；

所述认证单元，用于根据回应信息与所述通信服务器执行认证操作，以便所述通信服务器根据所述回应信息确定所述客户端是否被配置有合法的P签名，所述回应信息是所述客户端根据所述P签名计算的，所述回应信息包括的任意信息不同于所述客户端的身份信息；

所述通信服务器包括：第二发送单元；

所述第二发送单元，用于向所述客户端发送认证响应，所述认证响应用于表征所述客户端是否认证成功。

本发明实施例提供的认证的方法和系统，采用上述方案后，通信服务器可以根据客户端是否被配置有合法的P签名对该客户端进行认证，具体的，若客户端被配置有P签名，则该客户端认证成功，若该客户端未被配置有P签名，则该客户端认证失败。具体的，可以是根据回应信息判断客户端是否被配置有合法的P签名，且回应信息中包含不同于客户端身份信息的任意信息，换言之，在执行认证过程中，客户端与通信服务器之间不传输客户端的身份信息，避免了该身份信息在传输过程中被窃取，增加了身份信息的安全性。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本实施例提供的一种认证的方法流程图；

图2为本实施例提供的另一种认证的方法流程图；

图3为本实施例提供的认证操作的数据交互图；

图4为本实施例提供的在特定场景下的认证操作的数据交互图；

图5为本实施例提供的一种认证的系统的结构示意图；

图6为本实施例提供的另一种认证的系统的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为了解决背景技术中提到的问题，本实施例提供一种认证的方法，如图1所示，可以包括：

101、客户端向通信服务器发送认证请求。

其中，认证请求可以用于指示客户端与通信服务器执行认证操作。

作为本实施例的一种实施方式，在客户端与通信服务器执行相应的操作前，通信服务器需要对客户端进行认证，在认证成功后，客户端才可以与通信服务器执行相应的操作，其中，相应的操作可以包括：业务提供等。

102、客户端根据回应信息与通信服务器执行认证操作，以便通信服务器根据回应信息确定客户端是否被配置有合法的P签名。

其中，回应信息是客户端根据P签名计算的，回应信息包括的任意信息不同于客户端的身份信息，即回应信息中不包括客户端的身份信息。

作为本实施例的一种实施方式，若客户端被配置有合法的P签名，则客户端认证成功，反之，则客户端未认证成功。

P签名是一种可以在不获知P签名本身的情况下，确定某设备是否被配置有该P签名的签名，P签名可以是认证服务器根据客户端的身份信息配置的。

其中，认证服务器与通信服务器可以是相互独立的两个服务器。

本实施例对P签名、以及获取P签名的方法不作限定，为本领域技术人员熟知的技术，在此不再赘述。

103、通信服务器向客户端发送认证响应。

其中，认证响应可以用于表征客户端是否认证成功。客户端可以根据接收到的认证相应确定认证结果(即认证是否成功)，然后，可以再根据认证结果执行后续步骤。

采用上述方案后，通信服务器可以根据客户端是否被配置有合法的P签名对该客户端进行认证，具体的，若客户端被配置有P签名，则该客户端认证成功，若该客户端未被配置有P签名，则该客户端认证失败。具体的，可以是根据回应信息判断客户端是否被配置有合法的P签名，且回应信息中包含的任意信息不同于客户端的身份信息，换言之，在执行认证过程中，客户端与通信服务器之间不传输客户端的身份信息，避免了该身份信息在传输过程中被窃取，增加了身份信息的安全性。

本实施例提供另一种认证的方法，该方法是对图1所示的方法中各步骤的进一步扩展和具体限定，如图2所示，可以包括：

201、客户端从认证服务器中获取P签名。

具体的，客户端从认证服务器中获取P签名可以包括：

客户端向认证服务器发送身份信息；认证服务器根据身份信息生成P签名；将该P签名发送至相应的客户端。其中，不同客户端的P签名不同，P签名与客户端存在唯一对应的关系。

本实施例对P签名、以及获取P签名的方法不作限定，为本领域技术人员熟知的技术，在此不再赘述。

作为本实施例的一种实施方式，客户端可以在认证之前的任意时间从认证服务器中获取P签名。因为，在认证之前，各设备之间还为进行通信，因此，此时传输身份不会被窃取。

作为本实施例的一种优选实施方式，在客户端进行初始化设置时，客户端从认证服务器中获取P签名。

值得说明的是，客户端可以在执行认证操作前的任意时刻从认证服务器中获取P签名，并不限于在客户端进行初始化设置时，客户端从认证服务器中获取P签名这一场景。

进一步的，P签名可以用于表征客户端的身份，但P签名不同于客户端的身份信息。

202、客户端向通信服务器发送认证请求。

其中，认证请求可以用于指示客户端与通信服务器执行认证操作。

作为本实施例的一种实施方式，在通信服务器向客户端提供所需的业务前，客户端可以向通信服务器发送业务请求；通信服务器向客户端发送确认消息；客户端与通信服务器执行认证操作，只有在认证成功后，通信服务器才向客户端提供所需业务。

其中，认证服务器与通信服务器可以是相互独立的两个服务器。

203、通信服务器接收客户端发送的认证请求。

204、客户端根据回应信息与通信服务器执行认证操作，以便通信服务器根据回应信息确定客户端是否被配置有合法的P签名。

其中，回应信息包括的任意信息不同于客户端的身份信息，即回应信息中不包括客户端的身份信息。

作为本实施例的一种实施方式，本实施例可以采用承诺挑战回应协议进行认证操作，如图3所示，具体可以包括：

1.客户端向通信服务器发送随机获取的承诺信息；

其中，承诺信息包括的任意信息不同于客户端的身份信息，即承诺信息不包括客户端的身份信息。

承诺信息的数值可以但不限于为：1、2、3等整数值。

2.通信服务器向客户端发送随机获取的挑战信息；

其中，挑战信息包括的任意信息与客户端的身份信息不相同，即挑战信息不包括客户端的身份信息。

挑战信息的数值可以但不限于为：1、2、3等整数值。

3.客户端接收通信服务器发送的挑战信息；

4.客户端根据承诺挑战回应协议生成回应信息；

其中，回应信息的计算方式可以是根据承诺挑战回应协议中的指定公式计算出的，其中，指定公式中可以包括以下参数：P签名、承诺信息以及挑战信息；

作为本实施例的一种实施方式，客户端以P签名、承诺信息、挑战信息作为参数，运行承诺挑战回应协议中的指定的回应信息生成算法Generate，并将算法输出的结果rep作为回应信息，即：rep←Generate。

本实施例对算法Generate不作限定，为本领域技术人员熟知的技术，例如，可以是承诺挑战回应协议中事先预定的有效算法，能够实现回应信息生成功能，在此不再赘述。

5.客户端向通信服务器发送回应信息；

6.通信服务器接收客户端发送的回应信息；

7.通信服务器根据承诺挑战回应协议、和回应信息判断客户端是否被配置有合法的P签名。

其中，判断客户端是否被配置有合法的P签名的方法可以包括：

首先根据承诺挑战回应协议中的指定公式计算出一个相应的参考值，然后，判断该参考值是否落入承诺挑战回应协议中设定的指定区间内，若落入指定区间内，则客户端被配置有合法的P签名，若未落入指定区间内，则客户端未被配置有合法的P签名(或未被配置有P签名等)。其中，指定公式中的参数可以包括：回应信息、承诺信息以及挑战信息。

作为本实施例的一种实施方式，判断客户端是否被配置有合法的P签名的过程是：

通信服务器接收到回应信息后，首先将承诺信息、挑战信息、回应信息作为参数，运行承诺挑战回应协议中的指定的算法Ver，存储该算法的输出结果r，即r←Ver；进一步地，通信服务器将r值和承诺挑战回应协议中预定的合法区间比对，如果r落在合法区间内，则通信服务器认为客户端被配置有合法的P签名，认证成功，否则认为客户端未被配置有合法的P签名，则认证未成功。

本实施例对算法Ver不作限定，为本领域技术人员熟知的技术，例如，可以是承诺挑战回应协议中预定的有效算法；和r值进行比对的合法区间也可以是承诺挑战回应协议中预定的区间，该区间内存有少量的指定数值。

本实施例对步骤4生成回应信息的方法、和步骤7判断客户端是否被配置有合法的P签名的方法不作限定，例如，均可以是根据承诺挑战回应协议中相应的特定公式进行计算的，为本领域技术人员熟知的技术，且可以根据实际需要进行设定，在此不再赘述。

本实施例对承诺挑战回应协议不作限定，为本领与技术人员熟知的技术，在此不再赘述。

值得说明的是，在执行认证操作时，由于客户端不将身份信息传输给通信服务器，因此通信服务器只可以确定客户端是否被配置有合法的P签名，不能确定进行认证操作的客户端是哪个客户端，在通信服务器需要向客户端发送挑战信息或认证响应时，通信服务器可以先根据接收到的相应的客户端发送的信息的底层IP(Internet Protocol，网络之间互连的协议)地址等信息确定目的客户端的地址，然后，可以根据目的客户端的地址将挑战信息或认证响应发送至目的客户端。

本实施例对通信服务器确定目的客户端的地址的方法不作限定，为本领域技术人员熟知的技术，可以根据实际需要进行设定，在此不再赘述。

由上述内容可以看出，在执行认证操作过程中，客户端与通信服务器之间传输的承诺信息、挑战信息、回应信息中均不包括客户端的身份信息，即在执行认证操作过程中，客户端与通信服务器之间未传输客户端的身份信息和P签名，这样，避免了执行认证操作过程中客户端的身份信息和被窃取，有效的保证了认证的匿名性。

另外，在执行本实施例的认证方法中，客户端只在执行认证操作前与认证服务器进行了一次通信，用于获取P签名，在执行认证操作的过程中，客户端并未与认证服务器进行任何数据传输，这样，避免了在执行认证操作的过程中，由于客户端与认证服务器进行通信导致通信服务器响应时间延长的问题。

205、通信服务器向客户端发送认证响应。

其中，认证响应可以用于表征客户端是否认证成功客户端可以根据接收到的认证相应确定认证结果(即认证是否成功)，然后，可以再根据认证结果执行后续步骤。

若客户端认证成功，则客户端与通信设备可以执行相应操作，如，可以为通信服务器向客户端提供所需业务等。

若客户端的认证失败，则客户端可以再次与通信服务器再次执行认证操作。直到认证成功为止；或者，

若客户端的认证失败，则客户端可以结束认证流程。

本实施例对客户端认证失败后执行的操作不作限定，可以根据实际需要进行设定，在此不再赘述。

采用上述方案后，通信服务器可以根据客户端是否被配置有合法的P签名对该客户端进行认证，具体的，若客户端被配置有P签名，则该客户端认证成功，若该客户端未被配置有P签名，则该客户端认证失败。具体的，可以是根据回应信息判断客户端是否被配置有合法的P签名，且回应信息中包含的任意信息不同于客户端的身份信息，换言之，在执行认证过程中，客户端与通信服务器之间不传输客户端的身份信息，避免了该身份信息在传输过程中被窃取，增加了身份信息的安全性。

另外，在执行本实施例的认证方法中，客户端只在执行认证操作前与认证服务器进行了一次通信，用于获取P签名，在执行认证操作的过程中，客户端并未与认证服务器进行任何数据传输，这样，避免了在执行认证操作的过程中，由于客户端与认证服务器进行通信导致通信服务器响应时间延长的问题。

为了能够更好的对上述实施例进行理解，下面结合具体的场景对上述实施例进行描述。

其中，该场景可以包括：客户端首先向认证服务器进行注册，并获取P签名；当客户端需要通信服务器提供所需业务时，客户端向通信服务器请求业务，客户端首先向通信服务器发送业务请求；通信服务器在接收到业务请求后向客户端发送确认信息，该确认信息用于指示客户端与通信服务器执行认证操作。本场景中，在客户端向认证服务器注册成功后，便向通信服务器请求业务。

具体的，如图4所示，可以包括：

1.客户端向通信服务器发送客户端的身份信息；

2.通信服务器根据接收到的身份信息对该客户端进行验证，若验证成功，则执行步骤3，若验证不成功，则向客户端发送注册失败消息；

3.通信服务器采用相应的签名算法并根据身份信息生成P签名；

4.通信服务器向客户端发送P签名；

5.客户端接收并存储P签名；

6.客户端向通信服务器发送业务请求；

7.通信服务器在接收到业务请求后向客户端发送确认信息；

8.客户端在接收到确认信息后，向通信服务器发送随机获取的承诺信息；通信服务器向客户端发送随机获取的挑战信息；

9.客户端根据接收到的挑战信息、承诺信息、P签名、承诺挑战回应协议计算回应信息；

10.向通信服务器发送回应信息；

11.通信服务器根据接收到的回应信息、承诺信息、挑战信息、承诺挑战回应协议判断客户端是否被配置有P签名，若包含，则客户端认证成功，若不包含，则客户端认证失败；

12.通信服务器向客户端发送认证响应。

其中，回应信息包括的任意信息与客户端的身份信息不相同；承诺信息包括的任意信息与客户端的身份信息不相同；挑战信息包括的任意信息与客户端的身份信息不相同。

本实施例中，通信服务器可以根据客户端是否被配置有合法的P签名对该客户端进行认证，具体的，若客户端被配置有P签名，则该客户端认证成功，若该客户端未被配置有P签名，则该客户端认证失败。具体的，可以是根据回应信息判断客户端是否被配置有合法的P签名，且回应信息中包含的任意信息不同于客户端的身份信息，换言之，在执行认证过程中，客户端与通信服务器之间不传输客户端的身份信息，避免了该身份信息在传输过程中被窃取，增加了身份信息的安全性。

另外，在执行本实施例的认证方法中，客户端只在执行认证操作前与认证服务器进行了一次通信，用于获取P签名，在执行认证操作的过程中，客户端并未与认证服务器进行任何数据传输，这样，避免了在执行认证操作的过程中，由于客户端与认证服务器进行通信导致通信服务器响应时间延长的问题。

下面提供一些系统实施例，该系统实施例与上述提供的相应的方法实施例相对应。

本实施例提供一种认证的系统，如图5所示，可以包括：

客户端51和通信服务器52，其中：

客户端51包括：第一发送单元511、认证单元512；

第一发送单元511，用于向通信服务器52发送认证请求，认证请求用于指示客户端51与通信服务器52执行认证操作；

认证单元512，用于根据回应信息与通信服务器52执行认证操作，以便通信服务器52根据回应信息确定客户端51是否被配置有合法的P签名，回应信息是客户端51根据P签名计算的，回应信息包括的任意信息不同于客户端51的身份信息；

通信服务器52包括：第二发送单元521；

第二发送单元521，用于向客户端51发送认证响应，认证响应用于表征客户端51是否认证成功。

采用上述方案后，通信服务器可以根据客户端是否被配置有合法的P签名对该客户端进行认证，具体的，若客户端被配置有P签名，则该客户端认证成功，若该客户端未被配置有P签名，则该客户端认证失败。具体的，可以是根据回应信息判断客户端是否被配置有合法的P签名，且回应信息中包含的任意信息不同于客户端的身份信息，换言之，在执行认证过程中，客户端与通信服务器之间不传输客户端的身份信息，避免了该身份信息在传输过程中被窃取，增加了身份信息的安全性。

本实施例提供另一种认证的系统，该认系统是对图5所示的认证的系统的进一步限定，如图6所示，可以包括：

客户端61和通信服务器62，其中：

客户端61包括：第一发送单元611、认证单元612；

第一发送单元611，用于向通信服务器62发送认证请求，认证请求用于指示客户端61与通信服务器62执行认证操作；

认证单元612，用于根据回应信息与通信服务器62执行认证操作，以便通信服务器62根据回应信息确定客户端61是否被配置有合法的P签名，回应信息是客户端61根据P签名计算的，回应信息包括的任意信息不同于客户端61的身份信息；

通信服务器62包括：第二发送单元621；

第二发送单元621，用于向客户端61发送认证响应，认证响应用于表征客户端61是否认证成功。

进一步的，客户端61还包括：获取单元613；

获取单元613，用于从认证服务器中获取P签名，P签名是认证服务器根据客户端61的身份信息生成的，身份信息是客户端61向认证服务器发送的。

进一步的，获取单元613，具体用于在客户端61进行初始化设置时，客户端61从认证服务器中获取P签名。

进一步的，认证单元612包括：

生成模块6121，用于根据承诺挑战回应协议生成回应信息；

发送模块6122，用于向通信服务器发送回应信息；

通信服务器62还包括：判断单元622；

判断单元622，用于根据承诺挑战回应协议、和回应信息判断客户端61是否被配置有P签名。

进一步的，获取单元613获取的P签名用于表征客户端61的身份。

采用上述方案后，通信服务器可以根据客户端是否被配置有合法的P签名对该客户端进行认证，具体的，若客户端被配置有P签名，则该客户端认证成功，若该客户端未被配置有P签名，则该客户端认证失败。具体的，可以是根据回应信息判断客户端是否被配置有合法的P签名，且回应信息中包含的任意信息不同于客户端的身份信息，换言之，在执行认证过程中，客户端与通信服务器之间不传输客户端的身份信息，避免了该身份信息在传输过程中被窃取，增加了身份信息的安全性。

另外，在执行本实施例的认证方法中，客户端只在执行认证操作前与认证服务器进行了一次通信，用于获取P签名，在执行认证操作的过程中，客户端并未与认证服务器进行任何数据传输，这样，避免了在执行认证操作的过程中，由于客户端与认证服务器进行通信导致通信服务器响应时间延长的问题。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在可读取的存储介质中，如计算机的软盘，硬盘或光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (6)

1.一种认证的方法，其特征在于，包括：

客户端从认证服务器中获取P签名，所述P签名是所述认证服务器根据所述客户端的身份信息生成的，所述身份信息是所述客户端向所述认证服务器发送的；

所述客户端向通信服务器发送用于指示所述客户端与所述通信服务器执行认证操作的认证请求；

所述客户端根据承诺挑战回应协议生成回应信息，所述回应信息包括不同于所述客户端身份信息的任意信息并由客户端根据P签名、承诺信息、挑战信息计算得到，用于通信服务器确定所述客户端是否被配置有合法的P签名；

所述客户端向所述通信服务器发送所述回应信息；

所述通信服务器根据所述承诺挑战回应协议和所述回应信息判断所述客户端是否被配置有所述P签名；

所述通信服务器向所述客户端发送认证响应，所述认证响应用于表征所述客户端是否认证成功。

2.根据权利要求1所述的方法，其特征在于，所述客户端从认证服务器中获取所述P签名具体为：

在所述客户端进行初始化设置时，所述客户端从所述认证服务器中获取所述P签名。

3.根据权利要求1所述的方法，其特征在于，所述P签名用于表征所述客户端的身份，与所述客户端存在唯一对应关系。

4.一种认证的系统，其特征在于，包括：客户端和通信服务器，其中：

所述客户端包括：获取单元、第一发送单元、认证单元；

所述获取单元，用于从认证服务器中获取P签名，所述P签名是所述认证服务器根据所述客户端的身份信息生成的，所述身份信息是所述客户端向所述认证服务器发送的；

所述第一发送单元，用于向通信服务器发送用于指示所述客户端与所述通信服务器执行认证操作的认证请求；

所述认证单元，用于根据回应信息与所述通信服务器执行认证操作，所述回应信息包括不同于所述客户端身份信息的任意信息并由客户端根据P签名、承诺信息、挑战信息计算得到，用于通信服务器确定所述客户端是否被配置有合法的P签名；

所述认证单元包括：生成模块，用于根据承诺挑战回应协议生成所述回应信息；发送模块，用于向所述通信服务器发送所述回应信息；

所述通信服务器包括：判断单元、第二发送单元；

所述判断单元，用于根据所述承诺挑战回应协议和所述回应信息判断所述客户端是否被配置有所述P签名；

所述第二发送单元，用于向所述客户端发送认证响应，所述认证响应用于表征所述客户端是否认证成功。

5.根据权利要求4所述的系统，其特征在于，所述获取单元，具体用于在所述客户端进行初始化设置时，所述客户端从所述认证服务器中获取所述P签名。

6.根据权利要求4所述的系统，其特征在于，所述获取单元获取的P签名用于表征所述客户端的身份，与所述客户端存在唯一对应关系。