TW201328280A - 即時通訊身分認證系統與方法 - Google Patents

Abstract

一種在即時通訊網路上認證身分的系統及方法，此系統係透過附加於即時通訊軟體之身分驗證模組、驗證伺服器以及使用者之憑證和金鑰載具(如IC卡)所構成。經過公信機關認證之數位憑證可將使用者身分與金鑰載具做一連結，再透過此系統及方法即可達成於即時通訊網路中認證使用者身分之目的。

Description

即時通訊身分認證系統與方法

本發明係有關於一種認證身分的系統及方法，特別是指關於即時通訊進行身分的系統及方法，不須藉由視訊、聲音等等其他管道識別身分。

即時通訊的即時性與便利性受到使用者廣大的歡迎，已是現代人們溝通的重要工具，可說某種程度上取代了E-mail、電話等功能，也因此改變了人際互動的模式，我們在即時通訊上溝通時，多半已經預設信任對方就是我們所認為的人，但事實上目前各家即時通訊的認證技術多是以帳號密碼為基礎，透過電子信箱做為初始認證機制，即使是免費信箱通常亦可以使用，因此可信任的程度並不高，也容易被有心人士以類似名稱故意魚目混珠而造成安全上的漏洞。

而且即時通訊系統為了隨時能夠接收其他人傳來的訊息，通常登入後即使長時間不使用也不會有登出的動作，因此也會有實體安全的顧慮，即使是正確有效的帳號密碼，也可能會被其他人利用空檔趁隙盜用即時通訊系統。

綜合以上數點，雖然即時通訊是以人際溝通為發展起點，但實際上卻是缺乏與「人」實際連結的保證，例如目前即時通訊時常成為工作上討論或是開會的溝通工具，但是我們卻沒有辦法直接由即時通訊來確認對方的身分，必須是認識的朋友，才能藉由手機、視訊等等額外方式來進行身分認證。

不只是一般人際溝通需要身分確認和內容證明機制，線上機器人的服務活動更是需要這類的機制來確保服務對象及交易內容，如果無法提供身分確認與內容證明的機制，將使得即時通訊在商業、金融等等具關鍵性內容的應用上受到很大的限制。

在網路世界裡，要達到確認身分的特性，資訊安全的專家都公認公開金鑰基礎建設(PKI)機制是現今在網路服務中可用來達到個人身分確認及確保不可否認性的最安全且可實現的技術。在公開金鑰基礎建設下，憑證即是身分的證明，但是目前在即時通訊的應用上，尚無實際可行之系統與方法可結合硬體金鑰載具來識別使用者身分。

經本案發明人經潛心研究後，終於成功研發完成本件透過即時通訊結合公開金鑰基礎建設(PKI)技術進行身分的系統及方法。

本發明之目的在提供一種可以認證即時通訊使用者身分的系統與方法，使得任意即時通訊使用者，即使是即時通訊機器人，都可以藉此系統與方法來進行單邊、雙向乃至於多向的互相認證，使即時通訊上的溝通更有安全保障及認證。

可達成上述發明目的之透過即時通訊進行身分認證的系統，係採用數位簽章及驗證技術為基礎，此系統包含：兩個以上之身分驗證模組，至少其一為即時通訊客戶端而另其一為即時通訊伺服端，以及一驗證伺服器可透過安全管道與即時通訊伺服端相連。

身分驗證模組乃是伴隨即時通訊軟體一起使用之軟體元件，身分驗證模組具有讀取使用者憑證及操作使用者金鑰載具之功能，可製作數位簽章並透過即時通訊軟體發送。身分驗證模組亦可連結至驗證伺服器進行驗證要求，驗證伺服器可接受身分驗證模組驗證要求，進行數位簽章驗證及憑證驗證功能，並回應結果。

另外，本發明揭露一種透過即時通訊進行身分認證之方法，可使即時通訊伺服端在通訊過程中得以藉由驗證伺服器來認證即時通訊客戶端的身分，此處客戶端若亦能與驗證伺服器連線，則伺服端與客戶端只要互換身分即可完成雙向認證，同理可推演至多即時通訊使用者互相認證的狀況。

茲配合圖式將本發明較佳實施例詳細說明如下。

圖一係本發明所提供之一種可以認證即時通訊使用者身分的系統示意圖。如圖一所示，即時通訊軟體12兩端分別為客戶端與伺服端，透過即時通訊網路11相連結，客戶端與伺服端均包含身分驗證模組200。即時通訊伺服端另外和驗證伺服器100相連結。即時通訊客戶端使用者則有一金鑰載具21(如IC卡等)內含私密金鑰(Private Key)，亦有一公開憑證22內含與上述私密金鑰成對之公開金鑰(Public Key)及使用者資訊。此憑證係某一憑證中心(Certificate Authority)所發，此處憑證中心必須為即時通訊伺服端所信任，故可藉此憑證來認證客戶端身分。

即時通訊軟體12在圖一中可分為客戶端與伺服端，但其本質並無不同，僅是舉例之扮演角色不同。即時通訊軟體12可透過即時通訊網路11與其他即時通訊軟體12互相通訊，並且可介接身分驗證模組200，此類即時通訊軟體包含微軟Windows Live Messenger、雅虎Yahoo Messenger、谷歌Google Talk等等。唯在本發明中，並非僅限定上述即時通訊軟體，只要是能與上述即時通訊軟體具有相同功能之軟體亦在本發明範圍以內。

身分驗證模組200在客戶端可操作金鑰載具21，進行簽章或解密等私密金鑰動作，亦可讀取憑證22，在一般IC卡上，憑證亦存放於卡片上。身分驗證模組200在伺服端則可與驗證伺服器連線，進行簽章及憑證之驗證動作，但因即時通訊軟體不一定為客戶端或伺服端，故所有身分驗證模組200都可以執行上述動作。

金鑰載具21為一特殊硬體，內含密碼學中的私密金鑰(Private Key)，且無法為外界所獲知，僅能藉由該載具執行私密金鑰動作，藉此可以確保金鑰的私密性及安全性。常見的金鑰載具有IC卡片、硬體保密模組(HSM,Hardware Security Module)、可信賴運算平台(TPM,Trusted Platform Module)等等。

憑證22又稱數位憑證，係指經憑證授權機構(CA,Certificate Authority)進行簽署，用來記載與確認公開金鑰和使用者資訊之數位資料。

驗證伺服器100可執行密碼學運算，以確認數位簽章之有效性，並可驗證憑證22之有效性，驗證伺服器100可與即時通訊伺服端12位於同一實體機器上，或同時位於安全區域網路內，使此兩者之間的通訊不致為外界所窺見或攻擊，若是藉由網際網路連接，亦可藉由SSL或其他保密技術和身分驗證模組200建立連線。

即時通訊身分認證方法可參考圖二，圖二係為即時通訊之身分認證流程示意圖，其中即時通訊客戶端12與即時通訊伺服端12已藉由即時通訊網路11相連接，且即時通訊客戶端已連接金鑰載具及備妥憑證，即時通訊伺服端已與驗證伺服器連接。

步驟01：即時通訊客服端發出通訊初始請求，透過即時通訊網路送往即時通訊伺服端。

步驟02：即時通訊伺服端發出任意亂數或資料至即時通訊客服端，要求客戶端針對該亂數或資料簽章，此步驟乃是為了防止重送攻擊(replay attack)，藉由隨機亂數或資料使惡意攻擊者不能得知之後的待簽資料為何。

步驟03：即時通訊客戶端藉由身分驗證模組操作金鑰載具，並針對伺服端要求的亂數資料及其他認證資料進行簽章動作，並讀取憑證資料。

步驟04：即時通訊客戶端藉由即時通訊網路傳回數位簽章暨憑證至即時通訊伺服端。

步驟05：即時通訊伺服端轉送數位簽章暨憑證至驗證伺服器要求驗證，若即時通訊伺服端及驗證伺服器為同一機器則直接驗證該簽章及憑證正確性及合法性。

步驟06：驗證伺服器將簽章及憑證正確性送回至即時通訊伺服端，即時通訊依驗證結果來確認其即時通訊客服端之身分。

11．．．即時通訊網路

12．．．即時通訊軟體(角色分為客戶端與伺服端)

21．．．金鑰載具

22．．．憑證

100．．．驗證伺服器

200．．．身分驗證模組

01~06．．．身分認證步驟

圖一為本發明之即時通訊身分認證示意圖。

圖二為本發明之即時通訊身分認證流程圖。

11．．．即時通訊網路

12．．．即時通訊軟體

21．．．金鑰載具

22．．．憑證

100．．．驗證伺服器

200．．．身分驗證模組

Claims (4)

1. 一種即時通訊身分認證系統，可讓即時通訊使用者進行身分認證，該系統包括：甲、多個身分驗證模組，配合即時通訊軟體之軟體元件，用以操作使用者金鑰載具及解析憑證，可分為即時通訊客戶端及即時通訊伺服端。乙、一驗證伺服器，可接受身分驗證模組要求，進行數位簽章驗證及憑證驗證功能，並透過安全管道回應結果。丙、一即時通訊網路與多個即時通訊軟體，即時通訊軟體為可透過即時通訊網路互相傳送即時訊息之軟體。丁、一金鑰載具，用以保存及操作私密金鑰，並避免被外界得知私密金鑰之資訊，可為硬體或軟體。戊、一數位憑證，為具公信力之憑證認證中心所簽發之檔案，內含使用者資訊、公開金鑰及憑證認證中心之數位簽章。
2. 如申請專利範圍第1項所述之即時通訊身分認證系統，其中該身分驗證模組可透過即時通訊軟體互相通訊，身分驗證模組可輔助即時通訊軟體解析使用者憑證及操作使用者金鑰載具以完成數位簽章動作，並可透過安全管道接受伺服器驗證結果。
3. 如申請專利範圍第1項所述之即時通訊身分認證系統，其中該驗證伺服器可提供數位簽章驗證功能、憑證驗證功能，並可接受並回應即時通訊模組之驗證請求。
4. 一種透過即時通訊進行身分認證之方法，可讓即時通訊使用者進行身分認證，包含以下步驟：甲、一即時通訊客戶端，透過即時通訊網路發出初始通訊之訊號至另一即時通訊伺服端；乙、即時通訊伺服端回應一亂數或任意資料，要求即時通訊客戶端簽章；丙、即時通訊客戶端透過身分驗證模組進行數位簽章；丁、即時通訊客戶端透過即時通訊網路將數位簽章含憑證送至即時通訊伺服端；戊、即時通訊伺服端將客戶端數位簽章含憑證送至驗證伺服器進行驗證；己、驗證伺服器透過安全管道將驗證結果傳回至即時通訊伺服端，此安全管道意指傳送資訊將不會被第三者竄改或偽造；庚、即時通訊伺服端由驗證伺服器得知即時通訊客服端身分是否正確。