CN101321063A - 基于数字证书技术的系统用户访问管理系统及方法 - Google Patents

Abstract

本发明揭示了一种基于数字证书技术的系统用户访问管理系统及方法，包括设定系统及用户的数字证书，设定用户的访问权限、用户认证以及赋予用户访问权限。本发明采用了高安全保证的数字证书技术，这使得用户的密钥的安全性得到了很好的保护，另外，本发明采用了先对用户认证，认证后再对用户进行访问控制的授权，即整个用户访问控制是分阶段实现的，这同样使得其安全性得到了提高。

Description

基于数字证书技术的系统用户访问管理系统及方法

技术领域

本发明涉及用户访问权限的管理技术，跟具体地说，涉及一种基于数字证书技术的系统用户访问管理系统及方法。

背景技术

用户访问是信息系统安全管理的重要机制之一，对主体(即信息的使用者)的访问控制是信息保密的前提。在信息系统中，用户要使用信息系统，需要凭借一定的身份标识，数据交换双方也必须通过某种形式的身份认证机制来证明它们的身份，以确认通信双方的身份是否与它们所宣称的一致。

从开发角度讲，认证用户的身份是实现应用系统访问控制的基础，用户的身份认证必须是“精确”的，能够满足各种访问控制的要求。在传统的用户访问权限的管理方式中，都是通过单一的账号方式来进行管理，即对于一个账号，给与一固定的权限，只要该帐号能够通过一定的验证手续，比如密码之类，就能顺利登陆并且获得相应的权限。但是，这种方式在具有复杂业务和复杂数据的系统中存在一定的缺陷。因为，对于具有复杂业务和复杂数据的系统来说，同一个用户在不同的业务应用中可能是享有不同的权限的，但是，传统技术中，并没有对这种情况加以区分，使得用户只能以单一的账号登陆并享受单一的权限，这对于具有复杂业务的系统来说并不是最佳的方案。

发明内容

本发明旨在提供一种基于数字证书技术的系统用户访问管理系统及方法，数字证书技术能更好的保证其安全性，并根据不同的应用为一个用户提供不同的访问权限。

一方面，本发明提供一种基于数字证书技术的系统用户访问管理方法，包括：

设定系统服务器数字证书以及用户数字证书；

根据用户的基本属性，设定用户的基本访问权限及用户的数据信息；

向请求认证的用户发送服务器数字证书和随机数，用户签名随机数，并用服务器数字证书加密随机数，将用户数字证书、签名随机数和加密随机数返还至系统服务器；

系统服务器解密所述随机数，并将解密后的随机数与原随机数比对，若一致则用户认证成功，若不一致则拒绝认证；

结合用户的基本访问权限确定给与该用户的访问授权策略；

基于该访问授权策略确定用户的最终访问权限。

所述用户数字证书的密钥存储于客户端的存储器，所述系统服务器数字证书存储于系统服务器的存储器。

所述用户的基本属性包括名称、职位、职级、辖地。

所述根据用户的基本属性，设定用户的基本访问权限，每一级的用户的基本访问权限由其上一级的用户确定。

作为一实施例，还提供一访问控制列表，针对每一个特定的应用，记录对于该特定的应用中对于用户的分类。

另一方面，基于数字证书技术的系统用户访问管理系统，包括：

数字证书设定装置，设定系统服务器数字证书以及用户数字证书；

基本访问权限设定装置，根据用户的基本属性，设定用户的基本访问权限及用户的数据信息；

认证装置，向请求认证的用户发送服务器数字证书和随机数，用户签名随机数，并用服务器数字证书加密随机数，将用户数字证书、签名随机数和加密随机数返还至系统服务器；系统服务器解密所述随机数，并将解密后的随机数与原随机数比对，若一致则用户认证成功，若不一致则拒绝认证；

分类确定装置，结合用户的基本访问权限确定给与该用户的访问授权策略；

访问权限确定装置，基于该访问授权策略确定用户的最终访问权限。

所述用户数字证书的密钥存储于客户端的存储器，所述系统服务器数字证书存储于系统服务器的存储器。

所述基本访问权限设定装置设定的用户的基本访问权限，每一级的用户的基本访问权限由其上一级的用户确定，所述用户的基本属性包括名称、职位、职级、辖地。

所述分类确定装置提供一访问控制列表，针对每一个特定的应用，记录对于该特定的应用中对于用户的分类。

采用本发明所述的一种基于数字证书技术的系统用户访问管理系统及方法，由于采用了高安全保证的数字证书技术，这使得用户的密钥的安全性得到了很好的保护，另外，本发明采用了先对用户认证，认证后再对用户进行访问控制的授权，即整个用户访问控制是分阶段进行的，这同样使得其安全性得到了提高。

附图说明

图1示出了根据本发明的一实施例的系统用户访问管理方法的流程图；

图2示出了根据本发明的一实施例的系统用户访问管理系统的结构原理图。

具体实施方式

本发明提供一种基于数字证书技术的系统用户访问管理方法，参考图1，示出了该方法的一实例100的流程图，该方法100包括：

101、设定系统服务器数字证书以及用户数字证书；

PKI(公开密钥系统)，是应用公钥概念和公钥密码技术为全社会广泛实施和提供信息化安全及信任服务的安全基础设施。在PKI中，为了确保用户及其所持有密钥的正确性，需要一个值得信赖而且独立的第三方机构充当CA认证中心(Certification Authority)，来确认声称拥有公开密钥的实体的真正身份。要确认一个公开密钥，CA首先制作一张“数字证书”，它包含用户身份的部分信息及用户所持有的公开密钥，然后CA利用本身的密钥为数字证书加上数字签名，所述用户数字证书的密钥存储于客户端的存储器，所述系统服务器数字证书存储于系统服务器的存储器，这样一个属于这个实体的数字证书就完成了。

102.根据用户的基本属性，设定用户的基本访问权限及用户的数据信息。根据本发明的一实施例，该方法应用于公共安全系统，此时，用户的基本属性包括名称、职位、职级、辖地。

103、发送服务器数字证书和随机数。系统服务器向请求认证的用户发送服务器数字证书和随机数，用户签名随机数，并用服务器数字证书加密随机数，将用户数字证书、签名随机数和加密随机数返还至系统服务器；

对于系统服务器，首先，系统服务器要接受很多客户端的服务要求，这就要建立合适的数据库，以便保存用户的数据信息，并方便维护和管理，提供查找修改等功能。还要提供数据库的备份设备，以防数据被破坏。其次，服务器端的网页要进行适当的修改，提供用户登陆的界面，显示用户登录后的信息，满足用户的一些基本要求。再次，服务器端要注册COM动态链接文件，安装数字证书管理器，以保证登陆地网页和程序能正确地调用SafeEngine等库函数。

对于用户(客户端)，要安装数字证书管理器，以能将私钥装入并正确获得证书。对于安全级别较高地用户要使用硬件加密设备，例如明华USB棒等。数字证书管理器可以通过CAB包从网页中下载安装。

当用户端登陆服务器时，服务器端初始化，得到服务器数字证书，并产生一个随机数，然后把服务器证书和随机数发给客户端。客户端初始化硬件加密设备，获得客户端的用户数字证书和所述随机数，验证服务器数字证书，验证通过后用户用其私钥签名所述随机数，并用服务器数字证书加密所述随机数，然后把用户数字证书、随机数签名和随机数加密发给服务器。

104、系统服务器解密所述随机数，并将解密后的随机数与原随机数比对，若一致则用户认证成功，若不一致则拒绝认证；

服务器收到返回的数据后，用其私钥初始化，并取出服务器数字证书。然后验证客户端数字证书，验证通过后用自己的私钥解密随机数，并用客户端数字证书对收到的随机数签名进行验证，再检查解密的随机数与原来发送的随机数是否一致，若一致则用户认证成功，若不一致则拒绝认证。

105.根据一实施例，作为一特定的应用，设定用户的特定访问权限，其中，具有特定访问权限的用户是用户基本访问权限数据库中保存的用户，而该特定访问权限与该特定的应用中该用户的分类有关。如上面所介绍的，本发明的一实施例是应用于公共安全系统，对于公共安全系统来说，时常会出现不同的任务，这些不同的任务可以被视为是不同的特定应用。同一个工作人员在不同的任务中的角色是不同的，因此希望他们在不同的任务中被赋予不同的访问权限。在传统技术中，由于对于单一账号的登陆只给与单一的访问权限，因此无法满足上面的这种应用的要求。本发明设计的用户的特定访问权限，该特定访问权限是基于不同的特定应用而设定。在一个特定应用中，可以对用户进行分类，因此同一个用户在不同的应用中可能被分到不同的类中，于是，针对不同的应用，同一个用户就能被赋予不同的特定访问权限。根据本发明的一实现，还提供一访问控制列表，针对每一个特定的应用，记录对于该特定的应用中对于用户的分类。

106.获取该用户对于该特定的应用的分类，结合用户的基本访问权限或用户的特定访问权限确定给与该用户的访问授权策略。例如，对于公共安全系统的应用，通过认证后CA服务器和目录服务器向访问控制模块发回用户的名称、职位、职级、辖地等权限信息。访问控制模块通过查询访问控制列表，判别用户的类别，执行不同的授权策略。

107.基于该访问授权策略确定用户的最终访问权限。

同样，对于公共安全系统的应用，上述的步骤102，根据用户的基本属性，设定用户的基本访问权限、身份识别信息和验证信息是分级进行，每一级的用户的基本访问权限、身份识别信息和验证信息是分级由其上一级的用户确定。比如，上级部门给下级部门授权，下级部门给再下一级机构授权，各级机关内部设置职位(角色)，给一个工作人员设置权限的过程是，相应机关管理员或领导，只要从工作人员库中选出要授权的工作人员，赋予相应的职位(角色)即可。

本发明还提供一种基于数字证书技术的系统用户访问管理系统200，参考图2示出了其实施例，该系统200包括：

数字证书设定装置201，设定系统服务器数字证书以及用户数字证书；

PKI(公开密钥系统)，是应用公钥概念和公钥密码技术为全社会广泛实施和提供信息化安全及信任服务的安全基础设施。在PKI中，为了确保用户及其所持有密钥的正确性，需要一个值得信赖而且独立的第三方机构充当CA认证中心(Certification Authority)，来确认声称拥有公开密钥的实体的真正身份。要确认一个公开密钥，CA首先制作一张“数字证书”，它包含用户身份的部分信息及用户所持有的公开密钥，然后CA利用本身的密钥为数字证书加上数字签名，这样一个属于这个实体的数字证书就完成了，所述用户数字证书的密钥存储于客户端的存储器，所述系统服务器数字证书存储于系统服务器的存储器，所述数字证书设定装置201就是为了完成上述任务。

基本访问权限设定装置202，根据用户的基本属性，设定用户的基本访问权限及用户的数据信息；根据本发明的一实施例，该方法应用于公共安全系统，此时，用户的基本属性包括名称、职位、职级、辖地。

认证装置203，向请求认证的用户发送服务器数字证书和随机数，用户签名随机数，并用服务器数字证书加密随机数，将用户数字证书、签名随机数和加密随机数返还至系统服务器；系统服务器解密所述随机数，并将解密后的随机数与原随机数比对，若一致则用户认证成功，若不一致则拒绝认证。

对于系统服务器，首先，系统服务器要接受很多客户端的服务要求，这就要建立合适的数据库，以便保存用户的数据信息，并方便维护和管理，提供查找修改等功能。还要提供数据库的备份设备，以防数据被破坏。其次，服务器端的网页要进行适当的修改，提供用户登陆的界面，显示用户登录后的信息，满足用户的一些基本要求。再次，服务器端要注册COM动态链接文件，安装数字证书管理器，以保证登陆地网页和程序能正确地调用SafeEngine等库函数。

对于用户(客户端)，要安装数字证书管理器，以能将私钥装入并正确获得证书。对于安全级别较高地用户要使用硬件加密设备，例如明华USB棒等。数字证书管理器可以通过CAB包从网页中下载安装。

当用户端登陆服务器时，服务器端初始化，得到服务器数字证书，并产生一个随机数，然后把服务器证书和随机数发给客户端。客户端初始化硬件加密设备，获得客户端的用户数字证书和所述随机数，验证服务器数字证书，验证通过后用户用其私钥签名所述随机数，并用服务器数字证书加密所述随机数，然后把用户数字证书、随机数签名和随机数加密发给服务器。服务器收到返回的数据后，用其私钥初始化，并取出服务器数字证书。然后验证客户端数字证书，验证通过后用自己的私钥解密随机数，并用客户端数字证书对收到的随机数签名进行验证，再检查解密的随机数与原来发送的随机数是否一致，若一致则用户认证成功，若不一致则拒绝认证。

分类确定装置204，结合用户的基本访问权限确定给与该用户的访问授权策略；例如，对于公共安全系统的应用，通过认证后CA服务器和目录服务器向访问控制模块发回用户的名称、职位、职级、辖地等权限信息。访问控制模块通过查询访问控制列表，判别用户的类别，执行不同的授权策略。所述分类确定装置204提供一访问控制列表207，针对每一个特定的应用，记录对于该特定的应用中对于用户的分类。

访问权限确定装置205，基于该访问授权策略确定用户的最终访问权限。所述访问权限设定装置206设定的用户的基本访问权限，每一级的用户的基本访问权限由其上一级的用户确定，所述用户的基本属性包括名称、职位、职级、辖地。基于该访问授权策略确定用户的最终访问权限。同样，对于公共安全系统的应用，上述的步骤202，根据用户的基本属性，设定用户的基本访问权限、身份识别信息和验证信息是分级进行，每一级的用户的基本访问权限、身份识别信息和验证信息是分级由其上一级的用户确定。比如，上级部门给下级部门授权，下级部门给再下一级机构授权，各级机关内部设置职位(角色)，给一个工作人员设置权限的过程是，相应机关管理员或领导，只要从工作人员库中选出要授权的工作人员，赋予相应的职位(角色)即可。

根据一实施例，还可以有特定访问权限设定装置206作为一特定的应用，设定用户的特定访问权限，其中，具有特定访问权限的用户是用户基本访问权限数据库中保存的用户，而该特定访问权限与该特定的应用中该用户的分类有关。如上面所介绍的，本发明的一实施例是应用于公共安全系统，对于公共安全系统来说，时常会出现不同的任务，这些不同的任务可以被视为是不同的特定应用。同一个工作人员在不同的任务中的角色是不同的，因此希望他们在不同的任务中被赋予不同的访问权限。在传统技术中，由于对于单一账号的登陆只给与单一的访问权限，因此无法满足上面的这种应用的要求。本发明设计的用户的特定访问权限，该特定访问权限是基于不同的特定应用而设定。在一个特定应用中，可以对用户进行分类，因此同一个用户在不同的应用中可能被分到不同的类中，于是，针对不同的应用，同一个用户就能被赋予不同的特定访问权限。根据本发明的一实现，还提供一访问控制列表，针对每一个特定的应用，记录对于该特定的应用中对于用户的分类。那么分类确定装置204获取该用户对于该特定的应用的分类，结合用户的特定访问权限确定给与该用户的访问授权策略。例如，对于公共安全系统的应用，通过认证后CA服务器和目录服务器向访问控制模块发回用户的名称、职位、职级、辖地等权限信息。访问控制模块通过查询访问控制列表，判别用户的类别，执行不同的授权策略。

本技术领域中的普通技术人员应当认识到，以上的实施例仅是用来说明本发明，而并非用作为对本发明的限定，只要在本发明的实质精神范围内，对以上所述实施例的变化、变型都将落在本发明的权利要求范围。

Claims (9)

1、一种基于数字证书技术的系统用户访问管理方法，其特征在于，包括：

设定系统服务器数字证书以及用户数字证书；

根据用户的基本属性，设定用户的基本访问权限及用户的数据信息；

向请求认证的用户发送服务器数字证书和随机数，用户签名随机数，并用服务器数字证书加密随机数，将用户数字证书、签名随机数和加密随机数返还至系统服务器；

系统服务器解密所述随机数，并将解密后的随机数与原随机数比对，若一致则用户认证成功，若不一致则拒绝认证；

结合用户的基本访问权限确定给与该用户的访问授权策略；

基于该访问授权策略确定用户的最终访问权限。

2、如权利要求1所述的系统用户访问管理方法，其特征在于，所述用户数字证书的密钥存储于客户端的存储器，所述系统服务器数字证书存储于系统服务器的存储器。

3、如权利要求2所述的系统用户访问管理方法，其特征在于，所述用户的基本属性包括名称、职位、职级、辖地。

4、如权利要求2所述的系统用户访问管理方法，其特征在于，所述根据用户的基本属性，设定用户的基本访问权限，每一级的用户的基本访问权限由其上一级的用户确定。

5、如权利要求1至4中任一项所述的系统用户访问管理方法，其特征在于，提供一访问控制列表，针对每一个特定的应用，记录对于该特定的应用中对于用户的分类。

6、一种基于数字证书技术的系统用户访问管理系统，其特征在于，包括：

数字证书设定装置，设定系统服务器数字证书以及用户数字证书；

基本访问权限设定装置，根据用户的基本属性，设定用户的基本访问权限及用户的数据信息；

认证装置，向请求认证的用户发送服务器数字证书和随机数，用户签名随机数，并用服务器数字证书加密随机数，将用户数字证书、签名随机数和加密随机数返还至系统服务器；系统服务器解密所述随机数，并将解密后的随机数与原随机数比对，若一致则用户认证成功，若不一致则拒绝认证；

分类确定装置，结合用户的基本访问权限确定给与该用户的访问授权策略；

访问权限确定装置，基于该访问授权策略确定用户的最终访问权限。

7、如权利要求6所述的系统用户访问管理系统，其特征在于，所述用户数字证书的密钥存储于客户端的存储器，所述系统服务器数字证书存储于系统服务器的存储器。

8、如权利要求7所述的系统用户访问管理系统，其特征在于，所述基本访问权限设定装置设定的用户的基本访问权限，每一级的用户的基本访问权限由其上一级的用户确定，所述用户的基本属性包括名称、职位、职级、辖地。

9、如权利要求6至8中任一项所述的系统用户访问管理系统，其特征在于，所述分类确定装置提供一访问控制列表，针对每一个特定的应用，记录对于该特定的应用中对于用户的分类。

Images