CN101154252A - 窗口登录与认证系统及其方法 - Google Patents

Abstract

一种窗口登录与认证系统及其方法，利用图形化识别与验证(GINA)的定制功能，在不影响用户使用习惯下，在窗口操作系统登录画面上产生多因子的认证窗口，使产生更安全与方便的登录方式，该系统包括：一窗口操作系统登录单元，即利用定制的GINA模块执行登录程序，并建立传统登录画面；多因子(multi－factor)认证单元，即以定制的通知程序(Notification)产生多因子认证程序，并产生该多因子认证的登录窗口；信息传递单元，即通过信号传递通道实现多因子认证程序与登录程序间的信号传递；借以确认用户身份的用户身份对比单元；以及执行登录程序的用户名称/密码回填单元。

Description

窗口登录与认证系统及其方法

技术领域

本发明为一种窗口登录与认证系统及其方法，特别是指利用定制的图形化识别与验证模块产生多因子认证程序的窗口操作系统的登录系统及其方法。

背景技术

普遍使用的窗口操作系统(WindowsOS)为一种多人使用的磁盘作业环境，其中有几种经用户认证的登录(Logon)方式，借以针对系统与其中数据建立一个安全与保密的作业环境。

窗口操作系统支持交互式登录的方式，其中利用窗口登录(Winlogon)的程序管理窗口操作系统认证登录的策略，负责保管与传递信息，以及维持操作系统的状态，如欢迎画面、登录、退出、工作站锁定等。运行时，显示系统登录画面与处理账号认证等工作是由一个图形化识别与验证(GraphicalIdentification and Authentication，GINA)的动态链接库(dynamic-link library，DLL)负责，一般仅需将此GINA的动态链接库换掉就可以替换成定制的认证方式，其中窗口操作系统内建的就是MSGINA动态链接库(MSGINA.DLL)。

上述窗口操作系统的交互式登录方式更是应用窗口登录通知套件(Winlogon notification package)，窗口登录通知套件为一个窗口操作系统的动态链接库，借以产生处理窗口登录事件的功能。举例来说，当一个用户登录系统时，此窗口登录的程序即呼叫(call)各窗口登录通知套件的登录事件处置器(handler)，以提供有关登录事件的信息，监控所有登录的事件，包括用户登录/退出(Logoff)与启动系统(startup)等情况下所要进行的处理程序。

上述图形化识别与验证动态链接库提供一种安全的认证工具，其GINA动态链接库是在系统启动后装载于系统中，产生面向用户的交互式登录程序。且GINA动态链接库可提供一个定制的用户识别与认证程序，预设是使用一安全警告序列(Secure Attention Sequence，SAS)来监视窗口登录指令，如果接受了CTRL+ALT+DEL组合键的安全警告序列事件，即进行一般用户账号密码的登录程序。

窗口操作系统提供了让程序设计师可以进行其它登录方式的定制环境，以便引入除了传统窗口操作系统所提供的用户识别码与密码(ID/Password)认证以外的方式，如使用生物特征辨识(biometrics)的方式。

上述交互式登录的方式可通过GINA Stubs或GINA Hooks的方式进行定制。

其中GINA Stubs是一个可以经由定制的链接库工具，提供程序人员各种工具或功能，以进行窗口登录程序的修改，程序人员可使用每个GINA stub功能指针(pointer)呼叫另一GINA动态链接库(例如使用预设的MSGINA.DLL)相对应的功能。而GINA Hooks链接库工具则完全依照程序设计师所设定的登录画面，能完整控制产生的交谈窗口外观与行为。

如图1所示为一般窗口操作系统登录认证画面示意图，一个窗口操作系统(如WindowsNT)的用户欲进行窗口本地端的认证，在开机后加载操作系统，并开始登录会谈(logon session)，即启动一个图形化识别与验证(GINA)模块(下称GINA模块)，借以控制登录作业程序，GINA模块显示登录窗口10，提示用户填入用户名称101与密码102，借以登录本地端计算机，如图式中“此计算机”的选项，也可利用网络联机进行远程服务器的登录。

熟知的窗口操作系统登录GINA的传统流程，若要搭配生物辨识或是其它的认证(如智能卡、Token等)，都是直接在GINA画面进行修正，必须改写操作系统认证与权限的部分，而且混杂其它认证的处理将造成系统不稳定。然而，本发明利用上述GINA的定制功能，在不影响用户使用习惯下，在窗口系统登录画面上产生多因子(multi-factor)的认证画面，在执行登录系统时借以产生更安全与方便的登录方式。

发明内容

本发明的目的为提供一种窗口登录与认证系统及其方法，其利用图形化识别与验证的定制功能，在不影响用户使用习惯下，在微软(Microsoft)窗口系统登录画面上产生多因子的认证画面，在执行登录系统时借此多因子的认证方式产生更安全与方便的登录方式。

因为本发明是利用原窗口操作系统提供的GINA模块进行用户名称(或识别码)/密码的认证，以产生登录时操作系统该有的目录与权限，再利用定制的效果引入不同以往的身份认证方式，以可提高稳定度。然而，若需要一般用户名称(或识别码)/密码认证，仍可在预设的传统认证GINA模块上处理。

本发明的窗口登录与认证系统的优选实施例包括：窗口操作系统登录单元，利用窗口操作系统中定制的图形化识别与验证模块执行窗口操作系统登录程序，并同时建立传统的登录画面；多因子认证单元，利用定制的通知程序(Notification)执行多因子认证程序，并产生多因子认证的登录窗口，且将与上述传统的登录画面共存；信息传递单元，通过信号传递通道实现多因子认证程序与窗口操作系统登录程序间的信号传递；用户身份对比单元，借以对比多因子认证程序产生的用户识别数据与身份识别数据库中记录的用户数据，借以确认该用户身份；以及用户名称/密码回填单元，在确认该用户身份后，回填身份识别数据。

而本发明所示方法的优选实施例包括：在开机后执行窗口登录程序，接着启动认证登录程序，并建立具有一组用户名称与密码字段的登录窗口，同时启动多因子的认证程序，建立多因子认证登录窗口，再在多因子的认证程序与上述认证登录程序间建立信息传递通道，之后请求输入身份识别数据，在认证时回填窗口操作系统登录时的用户名称与密码，执行登录程序。值得一提的是，上述信息传递通道为经加解密的通道，以达到安全信息传递的目的。

另一实施例说明了利用窗口操作系统的定制的图形化识别与验证模块产生与用户交互的登录验证流程，步骤包括：在开机后加载操作系统，并执行窗口登录程序，此时加载定制的GINA模块，借以建立窗口操作系统的登录程序，以显示具有一组用户名称与密码字段的窗口登录画面，同时加载通知程序，借以建立多因子认证程序，并将多因子认证窗口显示于上述的窗口登录画面上。之后，在该多因子认证程序与窗口操作系统登录程序间建立信息传递通道，并在进行多因子认证时，提取用户身份识别数据，再对比身份识别数据与身份识别数据库，对应出一组用户身份数据，将此组用户身份数据回填至窗口登录画面的用户名称与密码字段，以执行登录操作。

附图说明

图1为一般窗口操作系统登录认证画面的示意图；

图2A所示为本发明在使用上的图形用户界面示意图之一；

图2B所示为本发明在使用上的图形用户界面示意图之二；

图3显示本发明的窗口登录与认证的实施例的流程图；

图4显示本发明的窗口登录与认证的实施例的流程图。

其中，附图标记说明如下：

10、登录窗口

101、用户名称

102、密码

20、20’、多因子的认证登录窗口

22、登录窗口

201、指纹认证图式

202、芯片卡认证图式

203、脸型认证图式

具体实施方式

本发明公开一种窗口登录与认证系统及其方法，利用熟知的用于窗口操作系统中控制系统登录程序的图形化识别与验证模块，产生定制的登录程序，在不影响一般用户使用习惯下，在窗口系统登录画面上产生多因子认证的登录窗口，包括智能卡(smart card)，在执行登录系统时借以产生更安全与方便的系统登录方式。

主要特征是通过变更图形识别与身份验证，以支持智能卡系统(使用MSGINA.DLL时已经支持)、生物辨识系统或其它用来取代标准窗口操作系统用户名称(或识别码)/密码身份验证的一般方法的身份验证机制。

此窗口登录与认证系统包括有几个主要单元以及功能：

(1)窗口操作系统登录单元，利用窗口操作系统中定制的图形化识别与验证模块执行窗口操作系统登录程序，并建立窗口操作系统登录画面，此画面显示提示登录一计算机系统时需要填入识别码与密码(ID/Password)的字段，其中所要登录的计算机系统可为本地端计算机或是网络服务器，除了使用完全定制的GINA模块所产生的定制登录环境外，也可由此定制GINA模块加载动态链接库(如MSGINA.DLL)，以产生传统显示的用户名称/密码登录窗口操作系统；

(2)多因子(multi-factor)认证单元，利用上述定制的GINA模块执行多因子认证程序，并产生多因子认证的登录窗口，该单元可包括需键入通行码或识别码的智能卡、符记卡、各种掌纹(palm print)、虹膜(iris)、视网膜(retina)、颜面(facial)、耳廓(auricle)、语音声纹(voiceprint)、指纹(fingerprint)、手指/手掌/手背静脉(vein)分布等生物辨识机制，或是其它认证方式，举例来说，可利用指纹扫描装置扫描该用户的指纹，借以进行此多因子认证程序；

(3)信息传递单元，通过信号传递通道实现该多因子认证程序与窗口操作系统登录程序间的信号传递，主要是多因子认证程序与上述GINA模块间的信号传递，使多因子认证的身份辨识方式可用于窗口操作系统登录程序，并且，为了达到安全信息传递的目的，此信息传递通道为经加解密的通道；

(4)用户身份对比单元，在通知程序中对比该多因子认证程序产生的用户识别数据与身份识别数据库中记录的用户数据，借以确认该用户身份；或是在GINA模块产生的窗口操作系统登录程序中进行数据库的对比；以及

(5)用户名称(或识别码)/密码回填单元，其一实施例是在多因子认证时确认用户身份，将身份识别数据库中对应的用户名称(或识别码)/密码回填至窗口操作系统的登录字段，以执行登录程序；另一实施例是直接将多因子认证时所对应的用户身份数据回填至传统的登录字段，再在此时进行身份认证。

如图2A所示本发明在使用上的图形用户界面(Graphical User Interface，GUI)示意图，在一般利用GINA动态链接库所产生的窗口操作系统用户登录画面上显示多因子的认证登录窗口20，图中是以指纹输入为例(并非以此为限)，显示在登录画面上至少包括需要填入用户名称与密码的登录窗口22，本发明是利用改变传统的GINA登录系统的流程，使窗口操作系统的用户认证能更顺畅，且不用改变原来用户登录系统的使用习惯，仅需利用相同的登录画面中任一位置所显示的多因子的认证登录窗口20进行登录作业。在该图所示的实施例中，当用户利用上述多因子的认证登录窗口20配合指纹扫描装置(未显示于图中)进行指纹扫描，经对比确认用户身份后，即回填原认证方式的用户名称与密码，以快速登录系统。其优点至少包括：

交互式登录画面；

用户只要在一种操作系统下操作过后，其它操作系统即可快速上手；

支持多因子的窗口登录(Winlogon处理程序产生的程序)的密码回填；

利用多因子认证方式自动登录窗口系统；

利用标准的窗口登录指令，应用其中可抽换(pluggable)的GINA模块(如使用MSGINA.DLL)，执行其它不同方式的认证程序，并不影响用户操作习惯；

可产生定制的登录画面；

更安全的认证机制。

再如图2B所示的实施例示意图，在传统GINA模块所产生的登录画面上额外显示多因子的认证登录窗口20’，此实施例的多因子的认证登录窗口20’还包括有多个表示各多因子认证功能的认证图式，让用户选择适当的认证方式，如图中所显示的指纹认证图式201、芯片卡认证图式202与脸型认证图式203等，用户可借以选择所要进行或该计算机系统所支持的认证方式，在不用改变原来用户登录系统的使用习惯下，利用相同的登录画面中所显示的多因子的认证登录窗口20’进行登录。

本发明是应用GINA的定制链接库工具，以此为基础所产生的窗口登录与认证方法，其中的一个实施例是由GINA模块加载动态链接库，如窗口系统所提供的MSGINA.DLL，因为原来窗口操作系统即应用于控制登录程序的MSGINA.DLL，所以实施本发明所提供的方法并不会改变原有用户的习惯；本发明的另一实施例是利用定制的GINA模块产生完全定制的登录环境。

本发明是先变更图形识别与身份验证模块，以支持生物辨识系统或其它用来取代标准窗口操作系统(如窗口NT，窗口2000，窗口XP等)用户名称/密码身份验证的一般方法。以上通过原来窗口操作系统有的图形识别与身份验证模块进行用户名称/密码的认证，可产生登录时操作系统该有的目录与权限，以提高稳定度，而显示额外窗口的方式也可以让用户清楚的认知多因子认证单元的运行。另外，若需要一般用户名称/密码认证，仍可在预设的传统认证GINA模块上处理一般登录方式。

如图2A或图2B所示的实施例，多因子的认证登录窗口20，20’与窗口操作系统中的登录窗口22间需要传递认证信息，经身份识别后(如生物认证的特征对比、智能卡的身份信息确认)，达到登录该窗口操作系统的目的。为处理所弹出的多因子的认证登录窗口与GINA模块间程序传递的信息，本发明可利用以下信息传递的方式：

(1)管道(Pipe)的机制，将多因子的认证程序与窗口操作系统的认证登录程序连接起来，在其间传递信息，其方式就是使管道前面程序的标准输出导引至管道后面程序的标准输入。如将上述多因子的认证程序中所读取智能卡的信息、扫描的指纹或其它生物认证的特征值经标准输出，经由此管道传递至窗口操作系统的认证登录程序；

(2)窗口操作系统中的信息(Message)机制，可以窥视或接收传递队列中的信息，此信息机制提供本发明的多因子的认证程序传递智能卡的信息、扫描的指纹或其它生物认证的特征值至指定任何对象类型，如GINA模块；

(3)或利用信息共用机制，即利用共用存储器(shared memory)进行智能卡的信息、扫描的指纹或其它生物认证的特征值等信息的交换。

经多因子的认证程序与窗口操作系统的认证登录程序间信息传递后，再对比数据库中用户的识别信息，确认用户身份后即进行登录，在此所述的对比步骤可在通知程序中对比多因子认证程序产生的用户识别数据与身份识别数据库中登录的用户数据，或是在GINA模块产生的窗口操作系统登录程序中进行数据库的对比。

图3显示本发明的窗口登录与认证方法的主要流程图，包括：先利用上述窗口操作系统登录单元，即于开机(步骤S301)后加载操作系统，其优选实施例是应用于窗口操作系统(步骤S303)，在进入操作系统时，即进行窗口登录程序，如由Winlogon.exe启动的登录程序，并同时建立由本发明定制的GINA模块所启动的窗口操作系统登录程序(步骤S307)与利用通知程序(Notification)产生智能卡、生物特征辨识等认证方式的多因子认证程序(步骤S305)，并在此多因子的认证程序与原窗口操作系统的认证登录程序间建立信息传递通道(channel)，可为需经加解密过程的安全通道，如图中步骤S305与步骤S307间的虚线所示，借以实现多因子的认证登录窗口与GINA模块间程序的传递。

接着进行多因子认证程序，用户可通过指纹扫描、视网膜扫描或其它生物认证方式进行认证，或是GINA模块以支持的智能卡进行认证，并由此所提取的用户数据经身份识别数据库对比，可确认用户身份(步骤S309)，由数据库的对比对应一组用户名称(或识别码)与密码，并进行回填此组用户名称与密码，该组用户名称与密码传回至GINA模块所产生的窗口操作系统登录程序，回填其建立的登录窗口所显示的字段(步骤S311)，再执行登录操作(步骤S313)。若身份无法确认，即执行退出程序，或回复错误信息。

上述用户身份对比的步骤主要可分为两种：由通知程序中将所提取的用户数据经身份识别数据库对比，确认用户身份后，并将身份识别数据库对应的用户名称(或识别码)与密码传回至GINA模块以进行窗口操作系统登录程序；而另一实施例中，也可以由通知程序先将所提取的用户数据传至GINA模块，再由GINA模块进行身份识别数据库的对比，并将对应的用户名称(或识别码)与密码，回填其建立的登录窗口所显示的字段。

上述实施例在窗口登录画面中任一位置建立并显示多因子认证登录窗口，并与传统的窗口操作系统的认证登录画面共存。而多因子认证程序与窗口操作系统登录程序间的信息传递通道建立前述的(1)管道机制；或(2)信息机制；或(3)信息共用机制，以进行该多因子认证程序与该图形化识别与验证模块间信息的传递。

图4即显示本发明窗口登录与认证方法的实施例步骤，利用窗口操作系统中由Winlogon处理程序启动的登录程序，步骤包括：先进行计算机系统开机(boot)(步骤S401)，并加载操作系统(OS)(步骤S403)，之后执行窗口登录程序，如由Winlogon.exe启动的登录程序(步骤S405)，通过定制的程序先由操作系统加载定制GINA模块，此定制GINA模块配合上述Winlogon处理程序产生一个交互的窗口登录画面(步骤S409)，以建立传统窗口操作系统的登录程序(步骤S412)，因为GINA模块已经定制，在产生传统窗口操作系统的登录程序的同时，即加载通知程序，此通知程序为一个窗口操作系统中定制的动态链接库，借以管理窗口登录的程序，由此通知程序可建立启动、登录与退出等操作程序(步骤S407)，而本实施例利用其中启动操作程序来建立多因子认证程序(步骤S411)。

在步骤S411与步骤S412中，多因子认证程序与窗口操作系统登录流程分别建立相互沟通的信息传递通道(步骤S413，步骤S415)，包括以管道机制、信息机制或信息共用机制进行该多因子认证程序与该图形化识别与验证模块间信息的传递。

在多因子认证程序中，会于窗口登录画面上特定位置显示多因子认证窗口，如上述图2A与图2B所示的实施例，显示如同一对话窗口(dialog)，以达到与用户认证时的交互(步骤S417)。而窗口操作系统登录程序中，也显示具有一组用户名称与密码字段的传统登录对话窗口(步骤S427)。由此可知，在传统登录画面中显示额外的一个多因子认证对话窗口。

在显示多因子认证窗口时，用户可键入通行码或识别码的智能卡，或其掌纹、虹膜、网膜、颜面、耳廓、语音声纹、指纹、手指/手掌/手背静脉分布等生物特征，或是其它认证处理，在系统接收认证信息后提取用户身份识别数据(步骤S419)，以进行认证(步骤S421)，并对比该身份识别数据与身份识别数据库，以对应出一组所登录的用户身份数据(步骤S423)，接着进行回填用户身份数据，即传回GINA模块，回填至窗口操作系统所显示的登录用户名称与密码的字段(步骤S425至步骤S429)后，执行登录操作(步骤S431)。

上述步骤S423是：由通知程序将所提取的用户数据与身份识别数据库的对比确认用户身份，而此对比的步骤可以由通知程序将所提取的用户数据先传至GINA模块后，再与身份识别数据库对比，取得对应的用户名称(或识别码)与密码，以进行操作系统登录程序。

与本发明的实施例中，因为多因子认证窗口与传统的登录窗口同时显示于画面中，故用户仍可使用传统的登录方式，即填入用户身份数据(步骤S429)后执行登录操作(步骤S431)。并在登录完成后，将上述多因子认证窗口与传统的登录窗口隐藏(步骤S433)。

本发明最后利用一般窗口操作系统的画面进行登录并取得该有的目录与权限，此实施例可有提高稳定度，并因为额外窗口的方式让用户能清楚的认知生物识别单元或是其它认证单元的运行，当仅需要一般用户名称/密码的认证方式，仍可在预设的传统的认证上处理。

上述窗口登录与认证系统及其方法应用于窗口操作系统中WindowsNT、Windows 2000或Windows XP等利用GINA模块管理登录程序的操作系统。

综上所述，本发明为窗口登录与认证系统及其方法，利用GINA与Notification的定制功能，在不影响用户使用习惯下，在微软窗口系统登录画面上产生多因子的认证窗口，在执行登录系统时借此多因子的认证方式产生更安全与方便的登录方式。

以上所述仅为本发明的优选实施例，并不因此而拘限本发明的范围，因此，只要是运用本发明说明书及图示内容而产生的等效结构变化，均应同理属于本发明的范围内。

Claims (12)

1.一种窗口登录与认证系统，其特征在于，所述的系统包括：

窗口操作系统登录单元，其利用窗口操作系统中定制的图形化识别与验证模块执行窗口操作系统登录程序，建立窗口操作系统登录画面，并显示填入识别码与密码的登录画面；

多因子认证单元，其利用该定制的通知程序执行多因子认证程序，并产生多因子认证的登录窗口；

信息传递单元，其通过信号传递通道实现该多因子认证程序与该窗口操作系统登录程序间的信号传递；

用户身份对比单元，其对比该多因子认证程序产生的用户识别数据与身份识别数据库中记录的用户数据，借以确认该用户身份；以及

用户名称/密码回填单元，其在确认该用户身份后，通过该身份识别数据库中对应的用户名称/密码执行该窗口操作系统登录程序。

2.如权利要求1所述的窗口登录与认证系统，其特征在于，所述的多因子认证单元产生利用智能卡的认证方式，或利用指纹扫描装置扫描该用户指纹的认证方式，或利用生物特征识别的生物认证方式。

3.如权利要求1所述的窗口登录与认证系统，其特征在于，所述的信息传递单元是以管道机制、信息机制或利用共用存储器的信息共用机制进行该多因子认证程序与该图形化识别与验证模块间信息的传递。

4.如权利要求1所述的窗口登录与认证系统，其特征在于，所述的用户身份对比单元是在该通知程序或在该GINA模块产生的窗口操作系统登录程序中进行。

5.一种窗口登录与认证方法，其特征在于，所述的方法包括：

开机；

加载窗口操作系统；

进行窗口登录程序；

启动窗口操作系统登录程序，并建立登录窗口，该登录窗口包括需要填入一组用户名称与密码的字段；

启动多因子认证程序，建立多因子认证登录窗口；

建立信息传递通道，在该多因子认证程序与该窗口操作系统登录程序间建立该信息传递通道；

对比利用该多因子认证程序所提取的用户身份数据与身份识别数据库中所记录的用户数据，以确认该用户身份；

回填对应该用户身份的该组用户名称与密码至该窗口操作系统登录程序所建立的登录窗口；以及

执行登录。

6.如权利要求5所述的窗口登录与认证方法，其特征在于，所述的多因子认证程序产生利用智能卡的认证方式，或利用指纹扫描装置扫描该用户指纹的认证方式，或利用生物特征识别的生物认证方式。

7.如权利要求5所述的窗口登录与认证方法，其特征在于，所述的信息传递通道是建立管道机制、信息机制或利用共用存储器的信息共用机制进行该多因子认证程序与该操作系统的图形化识别与验证模块间信息的传递。

8.如权利要求5所述的窗口登录与认证方法，其特征在于，所述的对比步骤是在通知程序或在该窗口操作系统登录程序中进行。

9.一种窗口登录与认证方法，其特征在于，利用窗口操作系统的定制的图形化识别与验证模块产生与用户交互的登录验证流程，所述的方法包括：

开机；

加载操作系统；

执行窗口登录程序；

加载定制GINA模块，配合Winlogon处理程序建立窗口操作系统的登录程序；

显示具有一组用户名称与密码字段的窗口登录画面；

加载通知程序，该通知程序为该操作系统的动态链接库，借以建立多因子认证程序；

显示多因子认证窗口于该窗口登录画面上，借以进行该多因子认证程序；

在该多因子认证程序与该窗口操作系统登录程序间建立一信息传递通道；

在进行多因子认证时，提取用户身份识别数据；

对比该身份识别数据与身份识别数据库，对应出一组用户身份数据；

回填该组用户身份数据；

执行登录操作。

10.如权利要求9所述的窗口登录与认证方法，其特征在于，所述的信号传递通道包括是通过管道机制、信息机制或是信息共享的方式实现信息传递。

11.如权利要求9所述的窗口登录与认证方法，其特征在于，所述的多因子认证是利用智能卡的认证方式，或利用指纹扫描装置扫描该用户指纹的认证方式，或利用生物特征识别的生物认证方式。

12.如权利要求9所述的窗口登录与认证方法，其特征在于，所述的对比步骤是在通知程序或在该定制GINA模块建立的该窗口操作系统登录程序中进行。

Images