CN101222488B - 控制客户端访问网络设备的方法和网络认证服务器 - Google Patents

Abstract

本发明提供了一种控制客户端访问网络设备的方法和网络认证服务器，该方法主要包括：网络中的认证服务器通过用户的客户端对用户进行身份认证，身份认证通过后，所述认证服务器给所述用户的客户端分配认证信息，该认证信息包括临时ID和相应的有效期；所述认证服务器根据所述给用户的客户端分配的认证信息，控制所述用户的客户端访问网络中的设备。利用本发明所述方法和网络认证服务器，可以实现网络中的认证服务器安全、有效而方便地控制用户的终端对网络中的设备的访问。

Description

控制客户端访问网络设备的方法和网络认证服务器 

技术领域

本发明涉及网络安全领域，尤其涉及一种控制客户端访问网络设备的方法和网络认证服务器。 

背景技术

ITU(International Telecommunication Union，国际电信联盟)中提出的家庭网络的一般模型的结构示意图如图1所示。根据各个实体所处位置及作用的不同，图1所示的家庭网络的模型的可以分为7种，分别为：远程用户、远程终端、应用程序服务器、安全家庭网关、家庭应用程序服务器、家庭用户和家庭设备。其中家庭设备根据功能不同又被划分如下的A、B、C三类设备。 

A类设备：具有控制功能；例如：电脑、机顶盒 

B类设备：具有桥接功能；例如：交换机(switch)、集线器(hub) 

C类设备：为其它家庭设备提供特定服务；例如：数字电视、冰箱。该C类设备没有通信接口直接连接到家庭网络，而是通过B类设备连接到家庭网络。 

图1所示的家庭网络的模型中有12种关系，分别在：远程用户和远程终端、远程终端和安全家庭网关、远程终端和家庭应用程序服务器、远程终端和家庭设备、应用程序服务器和安全家庭网关、应用程序服务器和家庭应用程序服务器、应用程序服务器和家庭设备、安全家庭网关和家庭设备、家庭应用程序服务器和家庭设备、家庭设备和家庭用户、家庭设备和其他家庭设 备、安全家庭网关和家庭应用程序服务器之间。这些实体及它们之间的相互关系就构成了整个家庭网络的一般模型。 

在家庭网络中需要建立信息安全体系，该信息安全体系的目的是保证家庭网络系统中的数据只能被有权限的用户访问，未经授权的用户无法访问数据，因此，需要对用户进行有效的身份认证。如果没有有效的用户身份认证手段，访问者的身份就很容易被伪造，使得任何安全防范体系都形同虚设。 

上述用户身份认证是指计算机及网络系统确认操作者身份的过程。计算机和计算机网络组成了一个虚拟的数字世界，在该数字世界中，用户的身份信息等所有信息都是由一组特定的数据来表示，计算机及网络系统只能识别用户的数字身份，计算机及网络系统给用户的授权也是针对用户数字身份而进行的。而我们生活的现实世界是一个真实的物理世界，每个人都拥有独一无二的物理身份。如何保证以数字身份进行操作的访问者就是这个数字身份的合法拥有者，即如何保证操作者的物理身份与数字身份相对应，就成为了一个重要的安全问题。用户身份认证技术的诞生就是为了解决这个安全问题。 

目前，在家庭网络中进行用户身份认证的方式包括如下几种： 

1、用户名/密码方式。 

用户名/密码方式是最简单也是最常用的用户身份认证方法，该方式中的用户名/密码非常容易被破解，因此，该方式是一种是极不安全的用户身份认证方式。 

2、IC卡认证方式。 

IC卡由合法用户随身携带，该合法用户登录家庭网络时，必须将其携带的IC卡插入专用的读卡器读取其中的信息，以验证该合法用户的身份，通过IC卡硬件的不可复制性来保证用户身份不会被仿冒。然而，由于每次从IC卡 中读取的数据是静态的，通过内存扫描或网络监听等技术还是很容易截取到IC卡中存储的用户的身份验证信息，因此，该方式还是存在安全隐患。 

3、动态口令认证方式。 

动态口令技术是一种让用户密码按照时间或使用次数不断变化、每个密码只能使用一次的技术。动态口令技术采用一次一密的方法，有效保证了用户身份的安全性。但是，如果家庭网络的客户端与服务器端的时间或次数不能保持良好的同步，就可能发生合法用户无法登录的问题。并且用户每次登录时需要通过键盘输入一长串无规律的密码，一旦输错就要重新操作，使用起来非常不方便，从而有可能造成新的安全漏洞。 

在用户访问网络设备时，服务器要对用户的身份进行认证，要保证网络安全，认证必须严格复杂。现有技术中，如果用户访问了网络中的一台网络设备之后，又要访问另外的网络设备，为保证安全，服务器需要根据网络设备发出的对用户进行认证的请求，对用户重复进行一次严格复杂的认证，用户操作及服务器的控制都比较复杂。 

发明内容

本发明实施例的目的是提供一种控制客户端访问网络设备的方法和网络认证服务器，从而可以有效而方便地控制用户的终端对网络中的设备的访问。 

本发明实施例的目的是通过以下技术方案实现的： 

一种控制客户端访问网络设备的方法，包括步骤： 

A、网络中的认证服务器通过用户的客户端对用户进行身份认证，身份认证通过后，所述认证服务器给所述用户的客户端分配认证信息，该认证信息包括临时ID和相应的有效期； 

B、所述认证服务器将所述认证信息发送给所述用户的客户端，所述认证服务器在所述网络中的设备接收到所述用户的客户端的访问请求后，响应所述设备的对所述用户进行验证的请求，根据所述用户的临时ID对所述用户进行验证； 

所述认证服务器确定所述用户的临时ID不存在或虽然存在但不在有效期内时，向所述设备返回拒绝访问消息；当认证服务器确定所述用户临时ID存在且在有效期内，则向所述设备返回允许访问消息，并将所述用户的客户端的认证信息发送给所述设备。 

一种网络认证服务器，包括： 

身份认证模块，用于通过用户的客户端对用户进行身份认证； 

权限分配模块，用于在所述身份认证模块对所述用户的身份认证通过后，给所述用户的客户端分配认证信息，该认证信息包括临时ID和相应的有效期；并将所述认证信息发送给所述用户的客户端； 

客户端访问控制模块：用于在所述网络中的设备接收到用户的客户端的访问请求后，根据所述权限分配模块给所述用户的客户端分配的认证信息，控制所述用户的客户端对所述网络中的设备的访问； 

所述客户端访问控制模块具体包括： 

认证信息确认模块：用于在所述网络中的设备接收到用户的客户端的访问请求后，响应所述设备的对所述用户进行验证的请求，根据给所述用户的客户端分配的认证信息对所述用户进行验证； 

访问控制处理模块：用于根据认证信息确认模块对所述用户进行认证的结果，获取给所述用户的客户端分配的认证信息；当确定所述用户的临时ID不存在或虽然存在但不在有效期内时，向所述设备返回拒绝访问消息，当确定所述用户临时ID存在且在有效期内，则向所述设备返回允许访问消息，并将给所述用户的客户端分配的认证信息发送给所述设备。 

由上述本发明实施例提供的技术方案可以看出，本发明实施例中，网络中的认证服务器通过用户的客户端对用户进行身份认证后，所述认证服务器给所述用户分配临时ID和相应的有效期，以及权限信息，用户可根据这个认证服务器分配的临时ID访问网络中的设备，由于此临时ID和相应的有效期由认证服务器根据用户的身份分配，与用户相对应，用户在利用此临时ID访问网络设备时，服务器能根据临时ID识别出用户的身份、有效期和权限等信息，从而不必再对用户进行复杂严格的身份认证。所以，上述技术方案实现了网络中的认证服务器安全、有效而方便地控制用户的终端对网络中的设备的访问。 

附图说明

图1为ITU中提出的家庭网络的一般模型的结构示意图； 

图2为本发明所述方法的实施例的处理流程图； 

图3为本发明所述单点登录过程的实施例的处理流程图； 

图4为本发明所述装置的实施例的结构示意图。 

具体实施方式

本发明实施例提供了一种控制客户端访问网络设备的方法和网络认证服务器。 

本发明实施例所述方法的主要处理流程为：网络中的认证服务器和用户的客户端之间首先采用公钥密码体制进行双向身份认证，所述认证服务器给所述用户的客户端分配临时ID和相应的有效期，以及权限信息。然后，控制所述用户的客户端在所述有效期内，使用所述临时ID访问网络中的设备。 

本发明实施例所述方法适用于各种小形局域网络，比如，家庭网络。 

以家庭网络为例，本发明所述方法的实施例的处理流程主要包括如下步骤： 

步骤A、家庭网络中的认证服务器通过用户的客户端对用户进行身份认证，在该身份认证通过后，所述认证服务器给所述用户的客户端分配认证信息，该认证信息包括临时ID和相应的有效期； 

步骤B、在所述用户的客户端使用所述给其分配的临时ID访问家庭网络中的设备后，所述认证服务器根据所述给用户的客户端分配的认证信息，控制所述用户的客户端访问网络中的设备。 

本发明实施例提供了一个对上述步骤A进行细化的图2所示的处理流程，该流程包括如下步骤： 

步骤21、家庭网络在建立起来之后，就应该为家庭网络中的用户提供各种服务。用户在使用该各种服务之前，家庭网络需要对用户的身份进行认证，在确认了用户的合法身份之后，该用户才能使用家庭网络中的设备。 

在本实施例的处理流程中，用户是指家庭网络中的家庭成员或者访客，客户端是指用户登录家庭网络所经由的家庭设备，一般为上述家庭网络中的A类设备，例如个人电脑。认证服务器是指家庭网络中具有控制功能的A类设 备，例如家庭网关。数据库则可以建立在家庭网络中的一台服务器上，用来保存和家庭网络用户及设备权限相关的消息，一般仅家庭网络管理员才对该数据库具有操作权。 

用户首先通过客户端向认证服务器发送初始认证请求，该初始认证请求中携带用户ID和用认证服务器公钥加密的随机数a。 

步骤22、认证服务器检查接收到的上述初始认证请求中携带的用户ID是否正确，如果是，则生成随机数b，继续进行认证，否则；终止本次认证。 

步骤23、认证服务器用自身的私钥解密出上述初始认证请求中携带的随机数a，用上述用户的公钥对随机数a和新生成的上述随机数b进行加密后，一同发送给客户端。 

步骤24、客户端用自身的私钥解密出上述认证服务器发送的随机数a、b，检查该随机数a是否正确，若检查通过，则完成上述用户对认证服务器的身份认证。 

步骤25、客户端确定了认证服务器的身份之后，将接收到的上述随机数b用认证服务器的公钥加密后发送给认证服务器。 

步骤26、认证服务器使用自身的私钥解密出上述客户端发送的随机数b，检查该随机数b是否正确，若检查通过，则确认了上述用户的身份。将上述随机数a、b及用户的公钥、认证服务器的公钥作为参数，生成和用户共享的密钥Ks。 

上述共享密钥Ks是可选项，不生成Ks也能完成用户的认证。该共享密钥主要是为了防止非法用户监听身份认证过程中的交互信息而将用户的临时ID截获。 

步骤27、认证服务器在确认了上述用户的身份之后，向数据库发送上述用户的权限查询消息。 

步骤28、数据库向认证服务器返回上述用户的使用各种服务的权限信 息。 

步骤29、认证服务器给上述用户的客户端分配临时ID及其相应的有效期，向客户端返回认证成功响应消息，在该认证成功响应消息中携带用上述Ks加密的临时ID和相应的有效期信息以及获得的上述权限信息。 

上述用户的客户端的临时ID的作用主要体现在单点登录中，用户身份认证通过之后，就可以使用该临时ID来登录家庭网络中的所有设备。 

上述有效期是用户本次身份认证成功之后拥有的临时ID的有效时间期限，该有效期一般比较短，可以是几个小时或者几十分钟。在用户使用完设备后忘记退出登录时，过了该有效期，临时ID就将失效，这样可以减少设备被其他非法用户利用的威险。 

步骤210、客户端接收到上述认证服务器返回的认证成功响应消息后，使用协商好的密码算法和相同的参数计算出相同的上述共享密钥Ks，用该Ks解密获得新分配到的临时ID和相应的有效期信息，以及上述权限信息，关联保存获得的用户ID、临时ID、权限及其有效期，整个认证过程结束。 

在完成了上述用户的身份认证过程后，由于临时ID仅在用户通过身份认证后生成，具有很强的随机性，并且只有用户自身知道，因此，当该用户需要使用家庭网络中的多个设备提供的服务时，无需对该用户进行多次身份认证，而只需检查该用户是否具有有效的临时ID，从而可以实现家庭网络中的单点登录。 

本发明实施例提供了一个对上述步骤B进行细化的图3所示的单点登录过程的实施例的处理流程，该流程包括如下步骤： 

该单点登录过程的实施例的处理流程如图3所示，包括如下步骤： 

步骤31、用户通过客户端向家庭网络中的设备发送携带用户临时ID信息的请求服务消息； 

步骤32、上述设备向认证服务器查询上述用户临时ID是否存在，即检查用户是否进行了身份认证，及该身份认证是否还在有效期内。 

步骤33、若认证服务器经查询确定上述用户临时ID不存在或虽然存在，但不在有效期内，则向上述设备返回拒绝访问消息，上述设备接收到拒绝访问消息后，拒绝上述用户的访问，要求上述用户进行身份认证。 

步骤34、若认证服务器经查询确定上述用户临时ID存在且在有效期内，则向上述设备返回允许访问消息，在该允许访问消息中携带上述临时I D的有效期以及权限等消息。 

步骤35、上述设备接收到上述允许访问消息后，获取该允许访问消息中携带的临时ID、有效期和权限信息，并将该临时ID、权限、有效期信息进行关联保存。 

步骤36、用户在临时ID有效期内根据分配的权限访问上述设备。 

在上面的单点登录过程中，设备将从认证服务器获得的用户的客户端的临时ID、权限、有效期进行关联保存。这样，在用户再次请求服务时，该设备就可以直接检查该用户是否具有使用该服务的权限，而不需再到认证服务器上去验证了，减轻了认证服务器的负担，提高了用户的访问效率。当用户使用完设备忘记退出登录时，如果临时ID有效期满，设备就会自动取消该临时ID，而无需认证服务器通知该设备。 

本发明还提供了一个上述单点登录过程的实施例。 

在该实施例中，家庭中的父亲某次登录家庭网络，通过了身份认证之后，将获取一个临时ID、权限及这次登录的有效期T。如果他想要使用家庭网络中的设备A，则需要先使用该临时ID登录到设备A。上述临时ID仅父亲自己知道，这就避免了其它用户(如小孩)在父亲认证完之后利用父亲的固定ID登录设备，因为固定ID很容易被家庭网络中的其他成员获知。 

设备A到认证服务器上检查父亲输入的临时ID是否存在，若存在，则说 明该用户通过了身份认证，并且该次身份认证还在有效期内；若检查不到该临时ID，则说明该用户未经身份认证，可能是非法用户，或者该次认证获取的有效期已过，需要重新进行身份认证。假设设备A检查到输入的临时ID是存在的，那么父亲就可以根据身份认证过程中获取的权限来访问设备A了。父亲用完设备A后如果按照正常流程注销在设备A的登录，设备A就立即删除父亲的临时ID等信息，但是如果父亲忘记注销登录，那么临时ID等信息也会在有效期结束时由设备A删除。 

综上所述，在本发明实施例中，认证服务器给各个用户的客户端分配唯一的临时ID和相应的有效期，以及权限信息，用户的客户端使用该临时ID访问网络中的设备时，服务器能够根据临时ID识别出用户的身份、有效期和权限等信息，不必再对用户进行复杂严格的身份认证。并且，用户在临时ID的有效期内，可以多次登录网络中的设备。本发明实施例采用了基于公钥密码的双向身份认证机制，认证过程中没有秘密信息的传输，用户可以跨越开放的网络向服务器认证自己的身份，而不必担心认证信息被破解，因此，本发明实施例所述认证方式是一种非常安全的用户身份认证方式。 

本发明实施例提供的控制客户端访问网络设备的装置为认证服务器，该认证服务器的实施例的结构如图4所示，主要包括如下模块： 

身份认证模块，用于通过用户的客户端对用户进行身份认证； 

权限分配模块，用于在所述身份认证模块对所述用户的身份认证通过后，给所述用户的客户端分配认证信息，该认证信息包括临时ID和相应的有效期；并将所述认证信息发送给所述用户的客户端； 

客户端访问控制模块：用于在所述网络中的设备接收到用户的客户端的访问请求后，根据所述权限分配模块给所述用户的客户端分配的认证信息，控制所述用户的客户端对所述网络中的设备的访问。 

所述认证服务器还可以包括： 

认证信息保存模块：用于将给各个用户的客户端分配的认证信息进行关联保存，该认证信息包括临时ID和相应的有效期，以及使用网络设备的权限信息。 

上述客户端访问控制模块具体包括： 

认证信息确认模块：用于在所述网络中的设备接收到用户的客户端的访问请求后，响应所述设备的对所述用户进行验证的请求，根据给所述用户的客户端分配的认证信息对所述用户进行验证； 

访问控制处理模块：用于根据认证信息确认模块对所述用户进行认证的结果，获取给所述用户的客户端分配的认证信息；根据该认证信息控制所述用户的客户端对所述网络中的设备的访问。 

上述访问控制处理模块具体包括： 

拒绝访问控制处理模块：用于当确定所述用户的临时ID不存在或虽然存在但不在有效期内时，向所述设备返回拒绝访问消息； 

允许访问控制处理模块：用于当确定所述用户临时ID存在且在有效期内，则向所述设备返回允许访问消息，并将给所述用户的客户端分配的认证信息发送给所述设备。 

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。 

Claims (8)

1.一种控制客户端访问网络设备的方法，其特征在于，包括步骤：

A、网络中的认证服务器通过用户的客户端对用户进行身份认证，身份认证通过后，所述认证服务器给所述用户的客户端分配认证信息，该认证信息包括临时ID和相应的有效期；

B、所述认证服务器将所述认证信息发送给所述用户的客户端，所述认证服务器在所述网络中的设备接收到所述用户的客户端的访问请求后，响应所述设备的对所述用户进行验证的请求，根据所述用户的临时ID对所述用户进行验证；

所述认证服务器确定所述用户的临时ID不存在或虽然存在但不在有效期内时，向所述设备返回拒绝访问消息；当认证服务器确定所述用户临时ID存在且在有效期内，则向所述设备返回允许访问消息，并将所述用户的客户端的认证信息发送给所述设备。

2.根据权利要求1所述的方法，其特征在于，所述步骤A具体包括：

A1、所述认证服务器和用户的客户端之间采用公钥密码体制进行双向身份认证，所述认证服务器通过用户的客户端和用户之间互相确定对方的身份；

A2、在所述身份认证通过后，所述认证服务器给所述用户的客户端分配认证信息，该认证信息包括临时ID和相应的有效期，以及使用网络设备的权限信息。

3.根据权利要求1所述的方法，其特征在于，所述的所述认证服务器将所述认证信息发送给所述用户的客户端，具体包括：

所述认证服务器和所述用户的客户端在双向身份认证通过后生成共享密钥，使用该共享密钥对所述认证信息进行加密后，发送给所述用户的客户端。

4.根据权利要求1所述的方法，其特征在于，所述的步骤B还包括：

所述设备接收到所述拒绝访问消息后，拒绝所述用户的客户端的访问；所述设备接收到所述允许访问消息后，接受所述用户的客户端的访问，并将所述用户的客户端的认证信息进行关联保存。

5.根据权利要求1所述的方法，其特征在于，所述方法适用于家庭网络。

6.一种网络认证服务器，其特征在于，包括：

身份认证模块，用于通过用户的客户端对用户进行身份认证；

权限分配模块，用于在所述身份认证模块对所述用户的身份认证通过后，给所述用户的客户端分配认证信息，该认证信息包括临时ID和相应的有效期；并将所述认证信息发送给所述用户的客户端；

客户端访问控制模块：用于在所述网络中的设备接收到用户的客户端的访问请求后，根据所述权限分配模块给所述用户的客户端分配的认证信息，控制所述用户的客户端对所述网络中的设备的访问；

所述客户端访问控制模块具体包括：

认证信息确认模块：用于在所述网络中的设备接收到用户的客户端的访问请求后，响应所述设备的对所述用户进行验证的请求，根据给所述用户的客户端分配的认证信息对所述用户进行验证；

访问控制处理模块：用于根据认证信息确认模块对所述用户进行认证的结果，获取给所述用户的客户端分配的认证信息；当确定所述用户的临时ID不存在或虽然存在但不在有效期内时，向所述设备返回拒绝访问消息，当确定所述用户临时ID存在且在有效期内，则向所述设备返回允许访问消息，并将给所述用户的客户端分配的认证信息发送给所述设备。

7.根据权利要求6所述的认证服务器，其特征在于，所述认证服务器还包括：

认证信息保存模块：用于将给各个用户的客户端分配的认证信息进行关联保存，该认证信息包括临时ID和相应的有效期，以及使用网络设备的权限信息。

8.根据权利要求6或7所述的认证服务器，其特征在于，所述访问控制处理模块具体包括：

拒绝访问控制处理模块：用于当确定所述用户的临时ID不存在或虽然存在但不在有效期内时，向所述设备返回拒绝访问消息；

允许访问控制处理模块：用于当确定所述用户临时ID存在且在有效期内，则向所述设备返回允许访问消息，并将给所述用户的客户端分配的认证信息发送给所述设备。

Images