CN105812334B - 一种网络认证方法 - Google Patents

Abstract

本发明实施例公开了一种网络认证方法，包括：登录服务器接收登录请求，将用户的手机号和登录请求发送到认证服务器，并将当前认证对象特征值发送到与用户的手机号对应的用户身份识别卡；认证服务器生成随机数，并将与用户的手机号对应的密钥对象、认证对象特征值和生成的随机数发送到与用户的手机号对应的用户身份识别卡；用户身份识别卡对所述密钥对象进行解密得到私钥，根据认证对象特征值来验证所述当前认证对象特征值，在所述当前认证对象特征值通过验证时，用户身份识别卡用所述私钥对所述随机数进行签名，并将签名结果发送到所述认证服务器；认证服务器收到所述签名结果后，用公钥进行验签。本发明实施例能够节省用户身份识别卡存储空间，提高网络认证的安全性。

Description

一种网络认证方法

技术领域

本发明涉及互联网安全领域，尤其涉及一种网络认证方法。

背景技术

目前，用户在登使用互联网环境下的应用、服务或信息系统时，一般都需要首先进行登录认证。最常用的是通过用户名和密码的方式进行用户认证。然而，这种用户名和密码的登录方式一方面安全性较差，容易被非法截获和攻击而造成密码被盗，另一方面，不同的应用或服务都需要各自的用户名和密码，用户有时候会忘记密码，而用户重新设置密码步骤一般都比较复杂，给用户造成了麻烦，增加的应用或系统的开销，降低了工作效率。

当前，为了提高网络认证的安全性，可以通过把用户身份识别卡(诸如SIM卡，USIM卡、UIM卡等)当做身份认证组件，通过注册手机号和用户身份识别卡认证，来进行网络认证。用户身份识别卡自身具备多种硬件保护措施，有很高的安全性。还有对称加密算法和非对称加密算法的协处理器，能够保证运算的性能。

基于用户身份识别卡的认证方法的常规步骤是：用户身份识别卡生成公私钥对，并在用户身份识别卡内存储私钥证书，将公钥证书传给服务器。在做签名验签的时候，服务器将信息传递给用户身份识别卡，用户身份识别卡用私钥进行加密，并将加密信息传递给服务器，服务器用公钥进行解密，判断用户身份的合法性。

现有技术中存在以下问题：由于针对不同的服务、应用或信息系统，可能需要不同的私钥证书，这样就需要在用户身份识别卡内存储多个不同的私钥证书。每个证书的长度从几百个字节到上千个字节，多个证书就需要在用户身份识别卡内占据大量的存储空间。而且私钥证书的存储空间大都是预留的，一旦存储空间满了，可能会限制后续业务的发展。而且，在实际使用时，还需要在用户身份识别卡上开发相应的STK菜单，让用户对证书能进行管理，比如添加，删除，更新等，操作起来较复杂，管理不方便。

发明内容

本发明实施例提供了一种网络认证方法，能够提高互联网环境下用户认证的安全性，节省用户身份识别卡的存储空间。

有鉴于此，本发明提供一种网络认证方法，可包括：

登录服务器接收登录请求，将用户的手机号和所述登录请求发送到认证服务器，并将当前认证对象特征值发送到与用户的手机号对应的用户身份识别卡；

认证服务器生成随机数，并将与用户的手机号对应的密钥对象、认证对象特征值和生成的随机数发送到与用户的手机号对应的用户身份识别卡；

用户身份识别卡对所述密钥对象进行解密得到私钥，根据认证对象特征值来验证所述当前认证对象特征值，在所述当前认证对象特征值通过验证时，用户身份识别卡用所述私钥对所述随机数进行签名，并将签名结果发送到所述认证服务器；

所述认证服务器收到所述签名结果后，用对应的公钥进行验签，如果通过验签，则验证通过，如果没有通过验签，则验证失败。

在第一种可能的实现方式中，在所述登录服务器接收登录请求之前，还可包括：在所述认证服务器中存储手机号和与所述手机号对应的认证对象特征值、公钥、密钥。

在第二种可能的实现方式中，在所述认证服务器中存储手机号和与所述手机号对应的认证对象特征值、公钥、密钥的步骤可包括：

登录服务器向认证服务器发送注册请求、用户输入的手机号和认证对象特征值；

认证服务器接收到所述注册请求后，向与所述输入的手机号对应的用户身份识别卡发送用户身份识别卡注册请求；

用户身份识别卡接收到所述用户身份识别卡注册请求后，生成公私钥对，将私钥进行加密形成密钥对象，并将所述密钥对象和所述公钥发送到所述认证服务器；

所述认证服务器接收所述密钥对象和所述公钥，并存储用户输入的手机号、所述手机号对应的认证对象特征值、公钥和密钥对象。

在第三种可能的实现方式中，所述用户身份识别卡接收到所述用户身份识别卡注册请求后，生成公私钥对，将私钥进行加密形成密钥对象的步骤可包括：所述用户身份识别卡用对称密钥对所述私钥进行加密，形成密钥对象。

在第四种可能的实现方式中，用户身份识别卡对所述密钥对象进行解密得到私钥，根据认证对象特征值来验证所述当前认证对象特征值的步骤可包括：在所述当前认证对象特征值未通过验证时，向所述登录服务器发送异常信息，通知所述登录服务器拒绝用户登录。

在第五种可能的实现方式中，所述认证服务器收到所述签名结果后，用公钥进行验签，如果通过验签，则验证通过，如果没有通过验签，则验证失败的步骤可包括：如果通过验签，则所述认证服务器通知所述登录服务器拒绝用户登录，如果没有通过验签，则通知所述登录服务器允许用户登录。

在第六种可能的实现方式中，所述认证对象特征值可包括以下至少一者：用户的登录服务器的IP地址、端口号、app封装证书的哈希值。

从以上技术方案可以看出，本发明实施例具有以下优点：

本发明实施例中，不需要将私钥存储在用户手机的用户身份识别卡上，而是将公钥和私钥都存储在认证服务器上，在认证时由认证服务器将私钥发送给用户身份识别卡进行认证，节省了用户身份识别卡的存储空间，并且，由于对私钥是以加密后的密钥对象进行存储和传输的，而且加密密钥只保存在用户身份识别卡内，所以安全性较高。而且和常规的通过用户名密码进行验证的方式不同，通过手机号进行验证，避免了用户忘记密码造成的麻烦。

附图说明

图1为本发明实施例中网络认证方法一个实施例的流程图。

具体实施方式

本发明实施例提供了一种网络认证方法，能够节省用户身份识别卡的存储空间，提高认证的安全性。

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

请参阅图1，本发明实施例中网络认证方法一个实施例包括：

S101，登录服务器接收登录请求，将用户的手机号和所述登录请求发送到认证服务器，并将当前认证对象特征值发送到与用户的手机号对应的用户身份识别卡；

其中，用户在登录互联网服务、应用或信息系统时，并(诸如通过点击登陆页面的提交按钮)提交登录请求，登录服务器接收到用户提交的登录请求后，服务器会根据登录账号查找对应的手机号码，将用户的手机号连同登录请求一起发送到认证服务器，并将当前认证对象特征值发送给与用户的手机号对应的用户身份识别卡，该用户身份识别卡可以是可供2G、3G、4G等通信网络进行客户身份鉴别的SIM卡、USIM卡、UIM卡等。

S102，认证服务器生成随机数(或者是包含随机数的一组特征值)，并将与用户的手机号对应的密钥对象、认证对象特征值和生成的随机数发送到与用户的手机号对应的用户身份识别卡。

其中，所述密钥对象是对私钥进行加密后的信息。认证服务器在接收到登录请求之后，会生成随机数，然后将认证服务器中预存的与用户的手机号对应的密钥对象、认证对象特征值连同生成的随机数一起发送到用户的手机号对应的用户身份识别卡。

S103，用户身份识别卡对所述密钥对象进行解密得到私钥，根据认证对象特征值来验证所述当前认证对象特征值，在所述当前认证对象特征值通过验证时，用户身份识别卡用所述私钥对所述随机数进行签名，并将签名结果发送到所述认证服务器。

其中，用户身份识别卡接收到登录服务器发送到的当前认证对象特征值，和接收到认证服务器发送的密钥对象、认证对象特征值和随机号之后，将接收到的当前认证对象特征值与预存的认证对象特征值进行比较，如果相互一致，则当前认证对象特征值通过验证，然后用户身份识别卡用解压后的私钥对随机数进行签名。

S104，所述认证服务器收到所述签名结果后，用公钥进行验签，如果通过验签，则验证通过，如果没有通过验签，则验证失败。

利用本发明提供的网络认证方法，不需要将私钥存储在用户手机的用户身份识别卡上，而是将公钥和私钥存储在认证服务器上，在认证时由认证服务器将私钥发送给用户身份识别卡进行认证，节省了用户身份识别卡的存储空间，并且，由于对私钥是以加密后的密钥对象进行存储和传输的，所以安全性较高。而且和常规的通过用户名密码进行验证的方式不同，通过手机号进行验证，避免了用户忘记密码造成的麻烦。

优选的，所述认证对象特征值可以包括用户的登录服务器的IP地址、端口号、app封装证书的哈希值等。

在本发明的一个优选实施方式中，在所述登录服务器接收登录请求之前，还可以包括：在所述认证服务器中存储手机号和与所述手机号对应的认证对象特征值、公钥、密钥。

优选的，通过以下方法生成和存储手机号、与手机号对应的公钥、密钥、认证对象特征值等信息：

登录服务器向认证服务器发送注册请求、用户输入的手机号和认证对象特征值；

认证服务器接收到所述注册请求后，向与所述输入的手机号对应的用户身份识别卡发送用户身份识别卡注册请求；

用户身份识别卡接收到所述用户身份识别卡注册请求后，生成公私钥对，将私钥进行加密形成密钥对象，并将所述密钥对象和所述公钥发送到所述认证服务器；

所述认证服务器接收所述密钥对象和所述公钥，并存储用户输入的手机号、所述手机号对应的认证对象特征值、公钥和密钥对象。

通过以上方式，用户先通过登录页面将用户手机号进行注册，由用户身份识别卡生成公钥和密钥，并将公钥和密钥传送到认证服务器上，由认证服务器存储手机号和与手机号对应的认证对象特征值、公钥和密钥对象。这样，就可以将私钥和密钥等信息存储在认证服务器中，为用户身份识别卡节省了空间，也方便了对公钥、密钥等数据进行添加、删除、更新等操作的管理。

优选的，所述用户身份识别卡在将私钥进行加密形成密钥对象时，可以用对称密钥对所述私钥进行加密，例如AES或3DES等对称密钥。相应的，用户登录认证时，用户身份识别卡在从认证服务器接收到密钥对象时，也可以使用同样的对称密钥对密钥对象进行解密，得到私钥。该对称密钥可以存储在用户身份识别卡上。

优选的，用户身份识别卡根据认证对象特征值来验证所述当前认证对象特征值，在所述当前认证对象特征值未通过验证时，向所述登录服务器发送异常信息，通知所述登录服务器拒绝用户登录。

优选的，在所述认证服务器收到所述签名结果后，用公钥进行验签，如果通过验签，则所述认证服务器通知所述登录服务器拒绝用户登录，如果没有通过验签，则通知所述登录服务器允许用户登录。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的实施例能够以除了在这里图示或描述的内容以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

以上所述，以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (5)

1.一种网络认证方法，其特征在于，包括：

登录服务器接收登录请求，将用户的手机号和所述登录请求发送到认证服务器，并将当前认证对象特征值发送到与用户的手机号对应的用户身份识别卡；

认证服务器生成随机数，并将与用户的手机号对应的密钥对象、认证对象特征值和生成的随机数发送到与用户的手机号对应的用户身份识别卡；

用户身份识别卡对所述密钥对象进行解密得到私钥，根据认证对象特征值来验证所述当前认证对象特征值，在所述当前认证对象特征值通过验证时，用户身份识别卡用所述私钥对所述随机数进行签名，并将签名结果发送到所述认证服务器；

所述认证服务器收到所述签名结果后，用公钥进行验签，如果通过验签，则验证通过，如果没有通过验签，则验证失败；

在所述登录服务器接收登录请求之前，还包括：

在所述认证服务器中存储手机号和与所述手机号对应的认证对象特征值、公钥、密钥；

在所述认证服务器中存储手机号和与所述手机号对应的认证对象特征值、公钥、密钥的步骤包括：

登录服务器向认证服务器发送注册请求、用户输入的手机号和认证对象特征值；

认证服务器接收到所述注册请求后，向与所述输入的手机号对应的用户身份识别卡发送用户身份识别卡注册请求；

用户身份识别卡接收到所述用户身份识别卡注册请求后，生成公私钥对，将私钥进行加密形成密钥对象，并将所述密钥对象和所述公钥发送到所述认证服务器；

所述认证服务器接收所述密钥对象和所述公钥，并存储用户输入的手机号、所述手机号对应的认证对象特征值、公钥和密钥对象。

2.根据权利要求1所述的网络认证方法，其特征在于，所述用户身份识别卡接收到所述用户身份识别卡注册请求后，生成公私钥对，将私钥进行加密形成密钥对象的步骤包括：

所述用户身份识别卡用对称密钥对所述私钥进行加密，形成密钥对象。

3.根据权利要求1所述的网络认证方法，其特征在于，用户身份识别卡对所述密钥对象进行解密得到私钥，根据认证对象特征值来验证所述当前认证对象特征值的步骤包括：

在所述当前认证对象特征值未通过验证时，向所述登录服务器发送异常信息，通知所述登录服务器拒绝用户登录。

4.根据权利要求1所述的网络认证方法，其特征在于，所述认证服务器收到所述签名结果后，用公钥进行验签，如果通过验签，则验证通过，如果没有通过验签，则验证失败的步骤包括：

如果没有通过验签，则所述认证服务器通知所述登录服务器拒绝用户登录，如果通过验签，则通知所述登录服务器允许用户登录。

5.根据权利要求1-4中任一项所述的网络认证方法，其特征在于，所述认证对象特征值包括以下至少一者：用户的登录服务器的IP地址、端口号、app封装证书的哈希值。