CN101340439A - 一种身份认证方法、系统及移动终端 - Google Patents

Abstract

本发明公开了一种身份认证方法、系统及移动终端，所述身份认证方法包括认证码发送过程，所述认证码发送过程包含如下步骤：A.移动终端通过无线通讯方式与认证客户端实现连接，所述移动终端中存储有至少一组认证ID与其对应认证码的认证信息对；B.移动终端接收认证客户端发送来的携带有当前认证用户认证ID的认证请求，根据所述认证ID提取对应的认证码并发送给认证客户端。所述身份认证系统包括认证客户端和存储有至少一组认证ID与其对应认证码的认证信息对的移动终端。本发明的身份认证相比于现有技术更加方便快捷，由于减轻了用户使用身份认证的负担，也因此可以提高身份认证的效力。

Description

一种身份认证方法、系统及移动终端

技术领域

本发明涉及信息安全领域，具体的说涉及一种身份认证方法、系统及移动终端。

背景技术

信息安全领域中一个非常重要的手段就是身份认证，现在流行的方式有口令、加密、身份认证卡等等。通常，在各种不同系统中需要很多不同的认证手段，这造成人们可能需要记忆众多的口令、密码或者携带多种认证卡，给人们带来了很大的负担。这种身份认证负担造成的结果或者是人们惧怕各种认证，或者通过各种逃避方式实际上减弱了身份认证的效力。

发明内容

有鉴于此，本发明提供了一种身份认证方法、系统及移动终端，能够方便地进行身份认证，从而提高信息安全。

为了解决上述技术问题，本发明采用了如下技术方案：

一种身份认证方法，包括认证码发送过程，所述认证码发送过程包含如下步骤：

A、移动终端通过无线通讯方式与认证客户端实现连接，所述移动终端中存储有至少一组认证ID与其对应认证码的认证信息对；

B、移动终端接收认证客户端发送来的携带有当前认证用户认证ID的认证请求，根据所述认证ID提取对应的认证码并发送给认证客户端。

所述的身份认证方法，在步骤B后还包括认证通过过程：

认证客户端将移动终端发送来的认证码提供给认证对象；

认证对象确认所述认证码是否正确，如是，通过当前身份认证，向当前认证用户开放权限。

所述步骤A中的无线通讯方式为蓝牙通讯。

所述步骤B中的认证码采用密文发送。

所述的身份认证方法，在步骤A之前还包括认证授权过程，所述认证授权过程包含如下步骤：

C1、认证客户端生成认证授权信息，所述认证授权信息中包含至少一个认证对象的至少一组认证ID及其对应的认证码；

C2、认证客户端发送所述认证授权信息给移动终端；

C3、所述移动终端接收并存储所述认证授权信息。

本发明还公开了一种身份认证系统，包括认证客户端和存储有至少一组认证ID与其对应认证码的认证信息对的移动终端，所述移动终端与认证客户端通过无线通讯方式实现连接；所述移动终端用于接收认证客户端发送来的携带有当前认证用户认证ID的认证请求，根据所述认证ID提取对应的认证码并发送给认证客户端，所述认证客户端用于提供移动终端发送来的认证码给认证对象，所述认证对象在确认所述认证码正确后，通过当前身份认证，向当前认证用户开放权限。

所述的身份认证系统，无线通讯方式为蓝牙通讯。

所述的身份认证系统，所述移动终端根据所述认证请求将相应的认证码发送给所述认证客户端采用的是密文发送方式。

所述的身份认证系统，所述认证对象为计算机应用系统。

本发明还公开了一种移动终端，用于对认证客户端进行身份认证，所述移动终端中存储有至少一组认证ID与其对应认证码的认证信息对；所述移动终端用于通过无线通讯方式接收认证客户端发送来的携带有当前认证用户认证ID的认证请求，根据所述认证ID提取对应的认证码并发送给认证客户端。

所述的移动终端，所述无线通讯方式为蓝牙通讯。

所述的移动终端，所述移动终端将认证码发送给所述认证客户端采用的是密文发送方式。

本发明利用移动终端通过无线通讯方式连接认证客户端，根据认证用户的认证请求发送相应的认证码给认证客户端，由认证客户端完成认证用户对认证对象的身份认证的自动认证，使得身份认证相比于现有技术更加方便快捷，由于减轻了用户使用身份认证的负担，也因此可以提高身份认证的效力。

认证码的发送采用密文发送方式，进一步提高了身份认证的安全性。

附图说明

图1-A是本发明具体实施方式的认证客户端的认证初始化过程的流程图；

图1-B是本发明具体实施方式的认证服务终端的认证初始化过程的流程图；

图2-A是本发明具体实施方式的认证客户端的认证过程的流程图；

图2-B是本发明具体实施方式的认证服务终端的认证过程的流程图；

图3是本发明具体实施方式的认证服务终端、认证客户端和应用系统的逻辑关系图。

具体实施方式

下面对照附图并结合具体实施方式对本发明做详细说明。

参见图1、2、3，本发明的身份认证采用服务器/客户机的方式协同工作，包括两类设备：提供身份认证服务的移动终端(下称认证服务终端)和利用本发明所述方法实现身份认证的认证客户端，认证客户端用于实现与认证服务终端的通讯从而完成对当前认证用户的身份认证。在此，将待当前认证用户认证通过后使用的应用系统称为认证对象，当然，认证对象并不限于本例中的计算机应用系统，也可以是其他需要用户身份认证才对用户开放权限的系统。其中，认证服务终端与认证客户端之间采用无线通讯方式，在本例中，无线通讯方式为蓝牙通讯，即在认证服务终端和认证客户端上皆拥有蓝牙通信模块，支持蓝牙文件传输。

本发明具体实施方式基于蓝牙技术，在不改变系统原有认证方式的前提下，事先将各种系统需要的口令、密码存储到认证服务终端，通过蓝牙的无线通信能力实现自动认证，由于采用这种自动进行的方式，可以使用很强的认证方式或者很长的口令，从而实现强认证。这种认证服务可用于各种启用共同协议的系统。下面对认证服务终端和认证客户端分别进行说明。

认证服务终端为第三方认证中心，负责存储认证客户端与相关应用系统的认证码。认证服务终端由嵌入式系统、非易失性存储器、蓝牙模块等三大部分组成。蓝牙模块需要实现GAP(通用访问应用)、OPP(对象推应用)等应用，内置程序码完成本地管理、认证码初始化、认证实现的处理。各系统的认证信息以认证ID及其对应认证码的信息对的形式存储在非易失性存储器中，这些认证信息对包括了一个或者多个认证对象的一个或多个认证ID及其对应认证码，可以通过外部存储的方式直接拷入，也可以在各系统认证初始化的时候完成，在此，将这些信息对组成的数据库称为认证码库。

认证客户端可以在原有系统的基础上改进而成。改进的步骤是，首先增加一个蓝牙模块，并实现蓝牙GAP、SDP(服务发现应用)、OPP等应用；然后在蓝牙通信的基础上维护一个认证服务终端列表(根据系统的操作终端与用户的对应关系，认证服务列表可能只有一个用户，也可能有很多用户)，实现认证码初始化、认证实现的处理流程。认证客户端与认证对象可以在同一设备，例如在本例中，认证对象为计算机应用系统，则认证客户端也可同样设置在该计算机上，而且认证客户端可以用于对多个不同的应用系统的身份认证。当然，认证客户端也可与认证对象分别在不同设备。

对于每个需要认证的应用系统定义一个唯一的系统ID，用来标识自己。对于系统ID的管理，根据本发明应用场景的不同需要慎重考虑，必须保证系统ID的唯一性和一致性；如果是很多人一起使用的系统并且多人共用一个认证服务终端，所有人的认证服务终端保存的对应系统ID含义必须保持一致，重点需要指出的是，这里所说的系统ID的唯一性和一致性需要系统管理人员保证，认证服务终端并不负有该职责。考虑到多用户的使用情况，可以加设用户ID从而对不同用户加以区分，如果用户与认证服务终端一一对应，则用户ID不是必要的选择。将系统ID和用户ID统称为认证ID，如上所述，认证ID可以只包括系统ID，也可以包括系统ID和用户ID。

认证服务终端和认证客户端之间的蓝牙通信过程包括三种：认证码初始化、认证客户端请求认证码、认证服务终端回复认证码。在这里，这三种通信全部采用文件传输的方式完成，区分三种过程的方法是采用不同的文件扩展名，分别是.authini、.authreq、.authres。认证码初始化过程由认证客户端发起，用来向认证服务终端传输系统认证需要的信息和系统ID，传输的文件内容为【用户ID+\0\0+系统ID+\0\0+认证码】，认证客户端请求认证码过程由认证客户端发起，传输的文件内容为【用户ID+\0\0+系统ID】，认证服务终端回复认证码过程由认证服务终端发起，传输的文件内容为【认证码】。

下面将分别描述上述三个过程的详细流程，上述三个流程的前提是认证客户端通过标准的服务发现过程(SDP)找到了认证服务终端，并完成了配对过程，指定为认证服务终端，添加到认证服务终端列表中。

如图1-A、图1-B，认证初始化过程的详细流程如下：

认证客户端侧：

1)用户在认证服务终端列表中选择一个认证服务终端；

2)认证客户端获取自己的用户ID、系统ID和认证码，以【用户ID+\0\0+系统ID+\0\0+认证码】格式生成.authini文件；

3)认证客户端连接指定的认证服务终端，发起文件传输流程；

4)如果文件发送不成功，则表示初始化失败；否则，文件传输成功后，认证客户端启动一个定时器，监控认证服务终端是否再次与自己建立连接，如果定时超时则表示初始化成功，如果在定时期间认证服务终端再次建立了与自己的连接，表示初始化失败；

认证服务终端侧：

1)认证服务终端接收文件，如果没有成功接收，则再次连接认证客户端，说明初始化失败；否则，认证服务终端成功接收文件后，根据接收到的文件后缀，开始用户ID、系统ID和认证码信息对入库工作；

2)认证服务终端在初始化过程中如果发现认证码库中已存在相同的用户ID和系统ID的认证码信息，则只是对该认证码进行替换；如果认证码库未满，且接收到的用户ID、系统ID和认证码信息对在库中不存在，则将此信息对插入到认证码库，如果认证码库已满，无法正确处理接收到的信息，则认证服务终端再次建立与认证客户端的连接，连接成功后随即断开连接，从而表示初始化失败。

如图2-A、图2-B，认证客户端请求认证码过程和认证服务终端回复认证码过程的详细交互流程如下：

认证客户端侧：

1)用户在认证服务终端列表中选择一个认证服务终端；

2)获取自己的系统ID以【用户ID+\0\0+系统ID】生成.authreq文件；

3)连接指定的认证服务终端，发起文件传输流程；

4)文件如果没有发送成功，则说明认证失败，否则，文件传输成功后，认证客户端启动一个定时器，等待认证服务终端向自己发送.authres文件，如果定时超时则表示认证失败，如果在定时期间收到了.authres文件，则读取文件内容进行认证，完成认证过程。

认证服务终端侧：

1)认证服务终端成功接收文件后，根据接收到的文件后缀，读取用户ID和系统ID，在认证库中查找对应的认证码，以【认证码】格式生成临时的.authres文件，发起文件传输流程；

2)文件发送成功，认证成功，如果失败，则表明认证失败。

上述过程是本发明具体实施方式的基于蓝牙通信技术完成的认证过程，总结上述认证过程，其主要包括：

认证客户端对认证服务终端的认证授权过程，即认证客户端与认证服务终端之间的初始化过程；

认证码发送过程，即认证服务终端通过无线通讯方式与认证客户端实现连接，接收认证客户端发送来的携带有当前认证用户认证ID的认证请求，根据所述认证ID提取对应的认证码并发送给认证客户端。

认证通过过程，即认证客户端将认证码提供给应用系统，由应用系统确认认证码是否正确，如果正确，则应用系统通过当前身份认证，向当前认证用户开放使用自身的权限。

由于认证码的获取是通过蓝牙文件传输完成，认证码可以做到尽可能的复杂，实现强认证。

本发明的所述认证码并不特指某种口令或密码等等，具体的身份认证过程在原有系统中进行，认证服务终端不需要理解身份认证的逻辑。需要指出的是，根据各系统采用的不同的认证方式，传输给认证服务终端的认证码的生成有所不同，比如对称加密密码、用户口令等，认证客户端直接将保存的认证码传输给认证服务终端就可以了；如果是非对称加密密码、消息摘要、甚至是一次性密码等，认证客户端就需要首先包括一个密码对生成的过程。

另外，为了加强信息安全性，可以设置为认证服务终端不提供任何可以获取认证码库内容的接口，对认证库的存储位置进行保密，或者在入库和出库时候采用默认密码，进行加密和解密操作。

考虑到空中传输认证码的安全性，可以在认证初始化过程和认证客户端请求认证码过程当中，增加一个生成一次性密码的步骤。增加该步骤之后，认证初始化、认证客户端请求认证码、认证服务终端回复认证码三个过程的流程如下，由于其相对于前述认证初始化、认证客户端请求认证码、认证服务终端回复认证码的流程仅仅是加密和未加密的不同，故在叙述上略有省略。

认证初始化过程的流程简述如下：

1)用户在认证服务终端列表中选择一个认证服务终端；

2)根据随机化过程生成一次性密码Encode；

3)获取自己的用户ID、系统ID和认证码，以【用户ID+\0\0+系统ID+\0\0+认证码】格式表示，使用Encode和默认加密算法生成加密后的InitCode，以【Encode(明文)+\0\0+InitCode(密文)】格式生成.authini文件；

4)连接指定的认证服务终端，发起文件传输流程；

5)文件传输成功后，认证客户端启动一个定时器，监控认证服务终端是否再次与自己建立连接，如果定时超时则表示初始化成功，如果在定时期间认证服务终端再次建立了与自己的连接，表示初始化失败；

6)认证服务终端根据接收到的文件后缀，读取明文表示的Encode和密文表示的InitCode，使用Encode和默认解密算法对InitCode进行解密，得到【用户ID+\0\0+系统ID+\0\0+认证码】格式的信息，开始系统ID和认证码信息对入库工作；

7)认证服务终端在初始化过程中如果发现认证码库中已存在相同的用户ID和系统ID的认证码信息，则进行替换；如果认证码库已满，无法正确处理接收到的信息，则认证服务终端再次建立与认证客户端的连接，连接成功后随即断开连接。

认证客户端请求认证码过程和认证服务终端回复认证码过程的交互流程简述如下：

1)用户在认证服务终端列表中选择一个认证服务终端；

2)根据随机化过程生成一次性密码EncodeC；

3)获取自己的用户ID和系统ID，以【用户ID+\0\0+系统ID】格式表示，使用EncodeC和默认加密算法生成加密后的IDCode，以【EncodeC(明文)+\0\0+IDCode(密文)】格式生成.authreq文件；

4)连接指定的认证服务终端，发起文件传输流程；

5)文件传输成功后，认证客户端启动一个定时器，等待认证服务终端向自己发送.authres文件，如果定时超时则表示认证失败，如果在定时期间收到了.authres文件，则读取文件内容，读取明文表示的EncodeS和密文表示的AuthCode，使用EncodeS和默认解密算法对AuthCode进行解密，得到认证码，完成认证过程；

6)认证服务终端根据接收到的文件后缀，读取明文表示的Encode和密文表示的IDCode，使用EncodeC和默认解密算法对IDCode进行解密，得到用户ID和系统ID，在认证库中查找对应的认证码；

7)认证服务终端根据随机化过程生成一次性密码EncodeS；

8)使用EncodeS和默认加密算法对认证码进行加密生成后的AuthCode，以【EncodeS(明文)+\0\0+AuthCode(密文)】格式生成临时的.authres文件，发起文件传输流程。

本发明具体实施方式的一种身份认证系统，包括认证客户端和存储有至少一组认证ID与其对应认证码的认证信息对的移动终端，所述移动终端与认证客户端通过无线通讯方式实现连接；所述移动终端用于接收认证客户端发送来的携带有当前认证用户认证ID的认证请求，根据所述认证ID提取对应的认证码并发送给认证客户端，所述认证客户端用于提供移动终端发送来的认证码给认证对象，所述认证对象在确认所述认证码正确后，通过当前身份认证，向当前认证用户开放权限。本发明具体实施方式的一种移动终端，用于对认证客户端进行身份认证，所述移动终端中存储有至少一组认证ID与其对应认证码的认证信息对；所述移动终端用于通过无线通讯方式接收认证客户端发送来的携带有当前认证用户认证ID的认证请求，根据所述认证ID提取对应的认证码并发送给认证客户端。由于其工作过程基本与前述的身份认证方法类似，在此不再赘述。

本发明的有益效果在于：

提供了一种方便的对现有系统进行认证方式的改进途径，省去了用户频繁输入认证码的过程；由于采用了自动认证的方式，可以在现有认证方式的条件下，启动最强的认证级别，比如超长超复杂的口令；认证服务终端可以用于用户对许多系统的认证，方便了用户。

以上内容是结合具体的优选实施方式对本发明所作的进一步详细说明，并不意味着本发明的具体实施只局限于这些说明。对于本发明所属技术领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干简单推演、变形或替换，都应当视为属于本发明的保护范围。

Claims (12)

1.一种身份认证方法，其特征在于，包括认证码发送过程，所述认证码发送过程包含如下步骤：

A、移动终端通过无线通讯方式与认证客户端实现连接，所述移动终端中存储有至少一组认证ID与其对应认证码的认证信息对；

B、移动终端接收认证客户端发送来的携带有当前认证用户认证ID的认证请求，根据所述认证ID提取对应的认证码并发送给认证客户端。

2.如权利要求1所述的身份认证方法，其特征在于，所述步骤B后还包括认证通过过程：

认证客户端将移动终端发送来的认证码提供给认证对象；

认证对象确认所述认证码是否正确，如是，通过当前身份认证，向当前认证用户开放权限。

3.如权利要求1所述的身份认证方法，其特征在于，所述步骤A中的无线通讯方式为蓝牙通讯。

4.如权利要求1所述的身份认证方法，其特征在于，所述步骤B中的认证码采用密文发送。

5.如权利要求1至4任一所述的身份认证方法，其特征在于，所述步骤A之前还包括认证授权过程，所述认证授权过程包含如下步骤：

C1、认证客户端生成认证授权信息，所述认证授权信息中包含至少一个认证对象的至少一组认证ID及其对应的认证码；

C2、认证客户端发送所述认证授权信息给移动终端；

C3、所述移动终端接收并存储所述认证授权信息。

6.一种身份认证系统，其特征在于，包括认证客户端和存储有至少一组认证ID与其对应认证码的认证信息对的移动终端，所述移动终端与认证客户端通过无线通讯方式实现连接；所述移动终端用于接收认证客户端发送来的携带有当前认证用户认证ID的认证请求，根据所述认证ID提取对应的认证码并发送给认证客户端，所述认证客户端用于提供移动终端发送来的认证码给认证对象，所述认证对象在确认所述认证码正确后，通过当前身份认证，向当前认证用户开放权限。

7.如权利要求6所述的身份认证系统，其特征在于，所述无线通讯方式为蓝牙通讯。

8.如权利要求6所述的身份认证系统，其特征在于，所述移动终端根据所述认证请求将相应的认证码发送给所述认证客户端采用的是密文发送方式。

9.如权利要求6至8任一所述的身份认证系统，其特征在于，所述认证对象为计算机应用系统。

10.一种移动终端，用于对认证客户端进行身份认证，其特征在于，所述移动终端中存储有至少一组认证ID与其对应认证码的认证信息对；所述移动终端用于通过无线通讯方式接收认证客户端发送来的携带有当前认证用户认证ID的认证请求，根据所述认证ID提取对应的认证码并发送给认证客户端。

11.如权利要求10所述的移动终端，其特征在于，所述无线通讯方式为蓝牙通讯。

12.如权利要求10所述的移动终端，其特征在于，所述移动终端将认证码发送给所述认证客户端采用的是密文发送方式。

Images