CN101127625A

CN101127625A - 一种对访问请求授权的系统及方法

Info

Publication number: CN101127625A
Application number: CNA2006101114359A
Authority: CN
Inventors: 丁志明
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2006-08-18
Filing date: 2006-08-18
Publication date: 2008-02-20
Anticipated expiration: 2026-08-18
Also published as: CN101127625B; US20090158402A1; EP2053779B1; EP2053779A1; EP2053779A4; WO2008022589A1

Abstract

本发明涉及一种对访问请求进行授权的系统及方法。本发明所述的系统包括：至少一个被访问设备、至少一个授权设备和至少一个授权代理服务器，其中，所述被访问设备中设置有连接请求管理模块，所述授权代理服务器包括访问请求信息转发模块、授权信息转发模块和授权方式管理模块。本发明所述的方法包括：被访问设备获取访问设备的访问请求信息，并将其发送给授权代理服务器；授权代理服务器将所述访问请求信息转发给授权设备，并在收到授权设备的授权信息后，向被访问设备反馈已授权。由上述本发明提出的技术方案可以看出，利用本发明可以实现对访问请求的一次性授权，从而使授权过程变得简单、灵活和安全。

Description

一种对访问请求授权的系统及方法

技术领域

本发明涉及访问权限管理技术领域，尤其涉及一种对访问请求进行授权的系统及方法。

背景技术

随着互联网技术的飞速发展，越来越多的人需要通过远程访问的方式来获取外部网络的共享资源。要实现远程访问，就要求本地计算机通过远程登录的方式连接到其它地理位置的主机上，登录成功后的本地计算机就如远程主机的普通终端一样，可以自由使用远程主机上允许访问的共享资源。

通常，要实现远程登录，本地计算机就需要成为远程计算机的合法用户，也就是通过注册取得一个指定的用户名即登录标识和口令。在进行远程登录的过程中，需要本地计算机用户输入用户名和口令，只有用户名存在且其对应口令正确时，才能成功登录目标系统或设备。

但是，对于那些只希望临时访问目标系统或设备的人员来说，目前的处理方法为：首先目标系统或设备的管理者要为其授权，即，建立一个具有某种权限级别或权限范围的临时帐号(不同级别的帐户，其访问的权限也不同)，然后在用户完成对目标系统或设备的访问，或者帐号期限超时时，管理者还要手工或自动地取消这个帐号。

在目前这种处理方法中，由于用户名和密码是针对特定人员或人群的，其访问权限事先设定，这样就不利于灵活控制，而且由于帐号和密码易于泄密，使非预定人员获得访问权限，从而还会对被访问设备或系统的安全性造成隐患。

而且，所述临时帐号由于是具有级别之分的，不同级别的帐号只能在其权限内可以进行相应的操作。

用户名	修改系统配置	阅读资料	修改资料	删除资料	复制资料	…
用户名	修改系统配置	阅读资料	修改资料	删除资料	复制资料	…	Admin	是	否	否	是	否
Mickey	否	是	是	是	是		Admin	是	否	否	是	否
Mickey	否	是	是	是	是		Tomson	否	是	否	否	是

但是对于上表所示的情况，即每个用户都有自己特定的权限，这时管理者就不能通过划分等级来实现对用户的授权，而是需要对用户访问对象或者是用户所需服务进行精确设置了，这样，就使授权操作变得繁琐、不方便。

发明内容

鉴于上述现有技术所存在的问题，本发明的目的是提供一种对访问请求进行授权的系统及方法，通过授权代理设备转发访问请求信息和授权信息，实现了对用户进行一次性授权，以达到对用户临时授权的目的，从而使授权操作变得简单、安全。

本发明的目的是通过以下技术方案实现的：

本发明包括一种对访问请求进行授权的系统，所述系统包括：至少一个被访问设备、至少一个授权设备和至少一个授权代理服务器，所述被访问设备中设置有连接请求管理模块；

连接请求管理模块：负责获取访问设备的访问请求信息，并将其发送给授权代理服务器；

授权代理服务器：负责将所述访问请求信息转发给授权设备，并在收到授权设备的授权信息后，向被访问设备反馈已授权；

授权设备：负责接收授权代理服务器转发的访问请求信息，并在确定授权后，发送授权信息给授权代理服务器。

所述授权代理服务器包括：访问请求信息转发模块、授权信息转发模块和授权方式管理模块，

授权方式管理模块：用于存储、管理授权通信方式；

访问请求信息转发模块：负责接收被访问设备发来的访问请求信息，并根据授权方式管理模块中的通信方式将所述访问请求信息转发给授权设备；

授权信息转发模块：接收授权设备发来的授权信息，并在收到授权设备的授权信息后，向被访问设备反馈已授权。

所述授权代理服务器支持多种通信方式，所述通信方式包括：短信/彩信、互联网协议IP即时消息、电话。

所述授权设备包括：移动通信终端设备或固定通信终端设备，所述移动通信终端设备或固定通信终端设备支持短信/彩信、互联网协议IP即时消息、电话。

本发明还包括一种对访问请求进行授权的方法，所述方法包括：

A、被访问设备获取访问设备的访问请求信息，并将其发送给授权代理服务器；

B、授权代理服务器将所述访问请求信息转发给授权设备，并在收到授权设备的授权信息后，向被访问设备反馈已授权。

所述步骤A包括：

C、访问设备请求访问，被访问设备根据访问设备的请求获取访问请求信息。

所述步骤C具体包括：

访问设备向被访问设备发送连接请求信息；

被访问设备向访问设备请求与访问相关的信息；

访问设备根据被访问设备的请求，将与访问相关的信息发送至被访问设备；

被访问设备根据与访问相关的信息提取访问请求信息；

或者所述步骤C具体包括：

访问设备向被访问设备发送连接请求信息；

被访问设备根据连接请求信息提取访问请求信息。

所述与访问相关的信息包括：访问者的姓名、访问的内容、访问的权限。

所述步骤B具体包括：

B1、授权代理服务器接收被访问设备发来的访问请求信息，并按照预先设定的通信方式，将所述访问请求信息附加上用于授权的回复信息后，转发给授权设备；

B2、授权设备接收访问请求信息，根据访问设备的请求在确定授权后，发送授权信息给授权代理服务器；

B3、授权代理服务器接收授权信息，并在收到授权设备的授权信息后，向被访问设备反馈已授权；

B4、被访问设备与访问设备建立连接。

所述通信方式包：短信/彩信、互联网协议IP即时信息、电话。

由上述本发明提供的技术方案可以看出，本发明中，通过被访问设备将访问请求信息发送给授权代理服务器；授权代理服务器将所述访问请求信息转发给授权设备，并在收到授权设备的授权信息后，向被访问设备反馈已授权，被访问设备与访问设备建立连接，这样，只要访问者断开连接，其授权期就结束，再次访问需要重新授权，所以，授权者就无需为访问请求的访问者设置帐号、密码等，而可以随时随地地进行授权，从而达到一次性授权的目的，使得操作更加灵活、方便和安全。

附图说明

图1为本发明实施例的访问请求授权系统的结构图；

图2为本发明实施例的访问请求授权过程的示意图。

具体实施方式

本发明的核心思想是通过授权代理设备转发访问请求信息和授权信息，达到在访问请求，尤其是远程访问中对访问者进行临时授权的目的，有效克服现有技术所存在的问题。

首先，结合附图1和附图2对本发明所述的系统进行详细说明。

本发明所述的对访问请求进行授权的系统，包括：至少一个被访问设备、授权设备和至少一个授权代理服务器，所述被访问设备中设置有连接请求管理模块；

连接请求管理模块：负责获取访问请求信息，并将其发送给授权代理服务器；

即，所述连接请求管理模块向访问者显示被访问设备提供的服务、内容、可允许的操作等信息。当访问者通过访问设备试图访问此设备时，连接请求管理模块要求访问者提供真实姓名、访问内容、需要的权限等信息。连接请求管理模块收到包含上述信息的访问请求后，从中提取出访问者姓名、访问内容、需要的权限等信息，并组织成一条文本信息发送给位于公网的一个授权代理服务器。连接请求管理模块向授权代理服务器发送出访问请求信息后，如果在一段时间内收不到授权代理服务器的响应，可作超时处理，直接拒绝访问请求，并可以向授权代理服务器发出一个“已拒绝访问”的消息，这个消息无需授权代理服务器响应。

所述授权代理服务器具体包括：访问请求信息转发模块、授权信息转发模块和授权方式管理模块，下面对这三个模块进行详细说明。

授权方式管理模块：用于存储、管理授权通信方式；

即，授权代理服务器可以支持多种通信方式，并通过所述通信方式向授权设备转发访问请求信息。所述授权方式管理模块中可以同时存储同一用户多个授权通信方式，授权代理服务器可以同时使用所有登记的通信方式发送访问请求信息，而授权设备的所有者只需要使用任一个授权方式回复指定信息进行授权即可。

即，访问请求信息转发模块接受被访问设备发来的访问请求信息，并在所述信息之后附加一段提示信息，内含可用于授权的回复信息，并根据授权方式管理模块中的通信方式将所述访问请求信息转发给授权设备；

即，当授权设备回复授权信息确定授权后，授权信息转发模块就接收授权信息，并在收到授权设备的授权信息后，向被访问设备发送“已授权”消息。

授权设备：负责接收授权代理服务器转发的访问请求信息，并在确定授权后，发送授权信息给授权代理服务器；

即，授权设备接受授权代理服务器转发来的访问请求信息，并在确定可以授权时，向授权代理服务器回复指定信息。如果授权设备所有者不想授权，则不必回复。

下面对本发明所述的方法进行详细说明。

本发明所述授权方法的过程时是：访问者请求访问被访问设备，被访问设备要求访问者提供真实姓名、访问内容、需要的权限等信息，并且在收到包含上述信息的访问请求后，从中提取出访问者姓名、访问内容、需要的权限等信息，并组织成一条文本信息发送给位于公网的授权代理服务器。授权代理服务器收到此访问请求消息后，根据被访问设备所有者事先在该服务器上登记的通信方式转发给被访问设备所有者，并在转发消息中附加用于授权的回复信息。被访问设备所有者收到访问请求消息后，向授权代理服务器回复指定信息完成授权，或不回复从而不授权。授权代理服务器收到指定的回复后，向被访问设备转发一个“已授权”消息。被访问设备收到“已授权”消息后则与发出访问请求的设备建立连接，整个授权过程完成。

下面具体以图2为例，对本发明所述方法的实现过程进行详细说明。

步骤1，用户U1通过设备D1访问设备D2。即，用户U1通过其所有的设备D1向用户U2家中的设备D2发起一个连接。这通常就是一个通过浏览器访问网页的过程，即被访问设备提供了访问页面，并能在互联网和家庭网络中上被寻址，而访问设备则是通过地址寻找到被访问设备。在这里，D1可能是U2家庭网络之中的设备，也可能是U2家庭网络之外的设备，而U1则可以是U2的家人、同事、朋友等，他们都不具有访问设备D2的帐号和口令。

步骤2，设备D2请求设备D1输入有关信息。即，设备D2向设备D1推送访问网页，所提供的访问网页中要求访问者U1输入与访问相关的信息。

所述与访问相关的信息可以是网页中要求U1输入的其真实姓名和住址等有关个人的信息。另外，由于这个网页中还罗列了设备D2中各种可供访问的内容和访问方式，访问内容的陈列方式由设备D2的具体内容决定，例如按图片、视频、音频、文本资料分类的目录结构；访问方式可以是浏览、下载、上传等等。所以，所述与访问相关的信息还包括U1通过WEB页面选择的对D2进行访问的内容和方式。

步骤3，用户U1通过设备D1输入有关信息。即，访问者U1填写或选择好有关信息后就点击页面上的一个按键完成此操作，有关信息传送到设备D2。所述有关信息可以通过其它通信途径发送给被访问设备D2的主人U2，使被访问者能识别访问者的身份。

步骤4，设备D2提取请求信息。即，设备D2收到上述信息后，从中提取出U1填写和选择的信息，组织成一条可读的信息作为访问请求信息，例如“U1要求浏览D2上的图片”。其中“U1”是访问者的真实姓名，例如“王琦”；“浏览”是U1选择的访问方式；“D2”是设备D2的名称；“图片”是用户U1要访问的内容。

设备D2的用户可以对自己的图片库定义一个有含意的名称，例如“媒体仓库”。由于将所有图片提供给访问者浏览可能范围太广，因此还可以将D2设备上的图片再分类存放，例如“家庭照片”、“风景照片”、“2005年的照片”等，并且可以按照各种信息交叉分类。这样就可以仅授权访问者浏览某一分类的照片。这个分类过程由U2完成，并由设备D2的连接请求管理模块自动显示于访问网页。通过这样的设置，设备D2上收到的一个更详细的访问信息可能是这样的：“广州五羊村的王琦要求浏览媒体仓库上的2005年风景图片”。

步骤5，设备D2将访问请求信息发送至授权代理服务器。这个过程通过IP网络完成。通常，允许公网上有多个这样的授权代理服务器。设备D2上应该设置授权代理服务器的地址信息，以便能与该服务器连接，并且可以设置多个授权代理服务器的地址，以便当不能与一个代理服务器连接时可以尝试与另一个代理服务器连接，直到能与其中一个连接上。

对于如何在设备D2上设置授权代理服务器的地址信息则，一般来说，它可以和其它参数一起使用相同的方法进行设置，例如在设备的数据模型中增加这个参数节点，然后通过提供授权代理服务的服务商的自动配置服务器进行配置。由于现有技术中已有多种成熟的方法，这里就不再赘述。

步骤6，授权代理服务器转发访问请求信息，请求授权。即，授权代理服务器将访问请求信息转发给设备D2的主人U2的授权设备，并在信息之后附加一段提示信息，内含可用于授权的回复信息。例如“广州五羊村的王琦要求浏览媒体仓库上的2005年风景图片，回复kyfw批准此请求”。然后等待U2回复，如果U2不在一定时间内回复“kyfw”，则认为U2不同意此请求，授权代理服务器就向D2发送“拒绝访问”的消息，或者D2本身实现超时，从而拒绝访问请求。

授权代理服务器可以支持多种通信方式，通过所述通信方式向U2转发请求信息。例如短信、IP即时消息等，用户喜欢信息生动一点的话也可以使用彩信等，还可以使用电话语音提示进行，这还要决定于用户向授权代理服务器登记的授权通信方式。用户可以同时登记多个授权通信方式，代理服务器同时使用所有该用户登记的通信方式发送访问请求信息，而用户只需要使用任一个授权方式回复指定信息进行授权即可。例如，U2在授权代理服务器上登记的信息可以是这样的：

用户名	通讯方式	号码/地址
用户名	通讯方式	号码/地址	U2	短信	13588888888
U2	短信	07557654321	U2	短信	13588888888
U2	短信	07557654321	U2	即时消息	U2@huawei
U2	电话	13588888888	U2	即时消息	U2@huawei

授权代理服务器并不需要知道用户授权设备的物理信息，只需要知道与物理设备独立的号码、地址、ID号信息即可。如果用户可用于授权的通信设备遗失，只需将号码迁移到新的设备即可，不需要在授权代理服务器上作任何操作。至于使用即时消息通信方式进行远程授权时，一旦设备遗失可能需要作一些特殊处理，甚至不得不更改所使用的ID号，但如果通过ID号发送消息时是需要密码的，则也不需要在授权代理服务器作任何更改操作。

用于批准访问请求的回复信息可以是授权代理服务器随机生成的，每次都生成不一样的字符串，可长可短。当然也可以使用固定字符，例如总是用‘y’表示批准访问请求。这由授权代理服务器的可实现性决定，不是本发明关注的内容。一般来说，使用随机的有一定长度的字符串可以大大减少误授权的机会，而且授权代理服务器可以使用字符串的唯一性来与相应的请求对应起来。

如果是通过电话方式授权，则授权代理服务器能自动拨通用户登记的电话号码，通过语音模块念出访问请求信息，并提示按指定键表示授权、另一个键或直接挂机拒绝授权、再一个键重播访问请求信息。授权代理服务器也可以不认为直接挂机是拒绝授权，因为这可能是一个误操作，则授权代理服务器自动重拨电话，直到用户明确指示授权与否。当然也可以将连续三次直接挂机理解为拒绝授权。比较好的方法还是将直接挂机理解为拒绝授权，因为访问者在被拒绝后可以重新发起连接请求，则重复以上步骤。如果用户未接电话，则授权代理服务器也可视之为拒绝授权或多次重拨电话。

如果用户同时将一个电话号码登记了电话方式和短信/彩信方式，则授权代理服务器可以采用一定的策略，例如先发送一个短信/彩信，如果用户10秒之内未回复短信，则拨通用户的电话。

这里还需说明，如果用户登记了彩信方式，并不意味着用户必须回复彩信进行授权，可以用短信回复。

步骤7，授权设备授权。即，U2向授权代理服务器回复指定信息，例如“kyfw”进行授权。如果U2不想授权，则不必回复。如果U2对访问请求有所怀疑，可以打电话给访问者U1，以确认确实是U1请求此次访问。U1也可以事先与U2联系好，约定访问时间，到时U2收到请求消息后可以放心地授权。

步骤8，授权代理服务器向设备D2转发授权信息。即，授权代理服务器收到U2的授权回复信息后，向D2发送“已授权”消息。如果是回复短信、即时消息授权，授权代理服务器当然要检查U2回复信息的内容，判断它是否所指定的信息，如果不是，则忽略之，继续等待其授权，也可以立即重发访问请求消息，以示刚才的授权回复错误，请重新回复，并可以在新发的消息中改变用于授权的回复信息。

步骤9，设备D2与设备D1建立连接。即，设备D2收到“已授权”消息后，则与设备D1建立连接，用户U1可以访问D2。如果D2长时间没有收到“已授权”消息，可视为用户U2拒绝授权，可主动终止访问请求，向D1发送一个“访问被拒绝”的信息。D2也可能收到来自授权代理服务器的“拒绝授权”的消息，则立即终止访问请求。

当然，在步骤1中，如果U1通过设备D1发送的连接请求中已经包含了步骤2中所述的与访问相关的信息，那么步骤2和步骤3就可以省略，设备D2直接从连接请求信息中提取与访问相关的信息就可以了，这里就不再赘述了。

在这里，被访问设备与授权代理服务器之间的交互以及用户授权设备与授权代理服务器之间的交互应该是保证安全的，以防假冒的授权回复和“已授权”消息。这种安全保障技术都有现成的方法，本发明不作详细描述。

以上描述的实施方案中设备D1和D2之间的交互是以web方式进行的，即用户U1使用web浏览器来访问D2。当然，本发明并不局限于这种方式，也就是说用户U1也可能使用其它方式访问D2，例如D2可以提供telnet和ftp服务，并提供一系列命令，D1上运行telnet和ftp客户端，则D1和D2之间可以通过telnet和ftp协议交互，U1在D1上通过D2提供的命令查看、下载D1的资料并可向D2上传资料。在U1希望通过telnet协议登录D2和获得某种操作权限时D2可以使用本发明提供的方法由U2进行远程授权。这个过程有可能是分步的，即可能需要多次授权。首先是U1使用telnet命令登录D2，D2收到登录命令后请登录者提供真实姓名和其它必要的信息，然后经授权代理服务器由U2进行一次授权。经过此次授权后，U1可以使用一些查看命令查看D2上有什么内容，找到自己想要的内容后进行下载操作，此时D2再次寻求U2的授权。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求书的保护范围为准。

Claims

1.一种对访问请求进行授权的系统，其特征在于，包括：至少一个被访问设备、至少一个授权设备和至少一个授权代理服务器，所述被访问设备中设置有连接请求管理模块；

2.根据权利要求1所述的一种对访问请求进行授权的系统，其特征在于，所述授权代理服务器包括：访问请求信息转发模块、授权信息转发模块和授权方式管理模块，

授权方式管理模块：用于存储、管理授权通信方式；

3.根据权利要求1或2所述的一种对访问请求进行授权的系统，其特征在于，所述授权代理服务器支持多种通信方式，所述通信方式包括：短信/彩信、互联网协议IP即时消息、电话。

4.根据权利要求1或2所述的一种对访问请求进行授权的系统，其特征在于，所述授权设备包括：移动通信终端设备或固定通信终端设备，所述移动通信终端设备或固定通信终端设备支持短信/彩信、互联网协议IP即时消息、电话。

5.一种对访问请求进行授权的方法，其特征在于，所述方法包括：

6.根据权利要求5所述的一种对访问请求进行授权的方法，其特征在于，所述步骤A包括：

7.根据权利要求6所述的一种对访问请求进行授权的方法，其特征在于，所述步骤C具体包括：

访问设备向被访问设备发送连接请求信息；

被访问设备向访问设备请求与访问相关的信息；

被访问设备根据与访问相关的信息提取访问请求信息；

或者所述步骤C具体包括：

访问设备向被访问设备发送连接请求信息；

被访问设备根据连接请求信息提取访问请求信息。

8.根据权利要求7所述的一种对访问请求进行授权的方法，其特征在于，所述与访问相关的信息包括：访问者的姓名、访问的内容、访问的权限。

9.根据权利要求5所述的一种对访问请求进行授权的方法，其特征在于，所述步骤B具体包括：

B4、被访问设备与访问设备建立连接。

10.根据权利要求9所述的一种对访问请求进行授权的方法，其特征在于，所述通信方式包：短信/彩信、互联网协议IP即时信息、电话。