CN101478396B

CN101478396B - 一种基于私有密钥的低相关性的单向跨域身份验证方法及其应用

Info

Publication number: CN101478396B
Application number: CN2008102196815A
Authority: CN
Inventors: 黄希; 伍如建
Original assignee: Individual
Current assignee: Individual
Priority date: 2008-12-04
Filing date: 2008-12-04
Publication date: 2011-06-15
Anticipated expiration: 2028-12-04
Also published as: CN101478396A

Abstract

本发明提供一种基于私有密钥的低相关性的单向跨域身份验证方法，包括下述步骤：用户首先在服务主站注册账号，注册成功则系统会为用户分配一个标识号；用户登录到服务主站，获得验证身份；用户在服务主站点击联盟网站的链接，服务主站将用户的标识号和对应的密钥传递到联盟网站；联盟网站获取服务主站传递过来的参数，当判断是属于首次访问时，则采用获取的标识号和密钥两个参数为用户分配一个账号，并调用登录模块通过身份验证；当属于再次访问时，则通过所获取的标识号和密钥两个参数调用登录模块通过身份验证。本方法用于移动互联网使用中，以用户的手机号与用户的多个互联网应用账号进行绑定的登录过程；具有隐密性好，使用便捷，便于网络管理，适用性强的特点。

Description

一种基于私有密钥的低相关性的单向跨域身份验证方法及其应用

技术领域

本发明涉及一种互联网身份验证技术，特别涉及一种基于私有密钥的低相关性的单向跨域身份验证方法及其应用。

背景技术

一般的互联网应用都需要用户提交资料注册并登录，以提供个性化的服务。为了解决用户访问不同网站需要重复注册和反复登录的问题，目前有一种称为OpenID的开放、离散式的用于用户数字标识的方法，该方法的认证流程如图1所示，包括下述步骤：(1)终端用户(End User)首先需要在OpenID服务网站(OpenID Provider)注册一个OpenID账号，OpenID账号一般采用URL(Uniform Resource Locator统一资源定位符)的表现形式；(2)终端用户访问支持OpenID的业务网站(Website)，在指定的登录框中输入OpenID账号名，系统将自动跳转到OpenID服务网站；(3)终端用户在OpenID服务网站输入密码，提交后由OpenID服务网站进行身份验证；(4)OpenID服务网站将验证结果返回业务网站，验证通过则成功登录到业务网站，验证不通过则业务网站拒绝登录。该方法采用“验证服务器”进行集中验证的方式，不同网站采用统一验证的方式。但此方法需要用户在每个访问网站输入OpenID账号，对用户使用造成困扰；同时需要改变网站登录的界面和使用方法，为了支持OpenID还要进行比较复杂的系统修改；另外，为了兼顾传统登录方法而不得不同时采用两种登录机制，对网站配合带来了一定的障碍，因此该技术的应用推广受到了一定的限制。另外，OpenID在安全上仍存在诸多问题。首先是防范“网络钓鱼”、即电子欺诈的功能较弱，用户在登录到一个号称支持OpenID的网站时，可能会把输入的用户名和密码送到欺诈网页；其次，OpenID依赖于路由到互联网上正确机器的URL标识，而这又依赖于进行网络地址映射的域名解析系统，但这种系统存在安全隐患。另外还有一种称为SSO的单点登录方法，但该方法一般采用COOKIE和SESSION技术，由于COOKIE和SESSION无法跨域传递，因此一般只能满足同域身份验证。上述两种主流技术均采用高相关性的机制，亦即用户在任一系统登录，均可采用同一验证身份访问其它系统。为此，各系统之间需要一个共存的身份验证服务体系，各系统之间的依赖性比较大。某一个环节失效，则用户的相关访问都将无法进行。

发明内容

本发明的目的在于克服现有技术的缺点与不足，提供一种基于私有密钥的低相关性的单向跨域身份验证方法。该方法解决了用户(End user)在电脑或手机等终端上访问不同网站为获得个性化服务而需要单独注册和登录的问题，实现了在服务主站(CommonID Server)登录后，即可通过用户标识号(CommonID)和私有密钥(PK：Private Keys)访问联盟网站(Website)并自动执行联盟网站的登录过程，实现单向的身份验证功能，避免了用户的重复注册和反复登录。该方法结合了用户在手机终端可以通过移动网络以短消息方式(SMS)接收验证码的优势，使得用户通过手机即可捆绑服务主站账号和所有联盟网站的账号，具有使用简便，用户接受程度高的优点。

本发明的另一目的在于提供上述基于私有密钥的低相关性的单向跨域身份验证方法的应用。

本发明的目的通过下述技术方案实现：一种基于私有密钥的低相关性的单向跨域身份验证方法，包括下述步骤：

(1)用户首先需要在服务主站(CommonID Server)注册账号，系统将为用户分配一个标识号(CommonID)；

(2)用户登录到服务主站，获得验证身份；

(3)用户在服务主站点击联盟网站(Website)的链接，服务主站将用户的标识号(CommonID)和对应的密钥(PK：Private Keys)传递到联盟网站；

(4)联盟网站获取服务主站传递过来的参数，当判断该用户是属于首次访问时，则采用获取的标识号和密钥两个参数自动为用户分配一个账号，并调用登录模块通过身份验证；当属于再次访问时，则通过所获取的标识号和密钥两个参数调用登录模块通过身份验证。

更具体地，可以包括下述步骤：

(1-1)用户在服务主站提交手机号码注册账号，服务主站将为用户分配一组数字串格式的标识号(CommonID)；

(2-2)用户以手机号码+登录密码的方式登录到服务主站，获得验证身份；

(3-3)用户在服务主站点击联盟网站的URL链接，当属于首次访问时，服务主站将为用户分配一个对应该联盟网站的密钥(PK：PrivateKeys)，并将此密钥和该用户的标识号共两个参数传递到联盟网站；属于再次访问的，服务主站检索用户对应该联盟网站的密钥，并将此密钥和该用户的标识号两个参数传递到联盟网站；

(4-4)联盟网站调用“接收模块”获取从服务主站传递过来的参数，当判断该用户是属于首次访问时，则采用获取的标识号和密钥两个参数调用“CommonID自动注册模块”为用户分配一个账号，并调用“CommonID自动登录模块”通过身份验证；当属于再次访问时，则通过所获取的标识号和密钥两个参数调用“CommonID自动登录模块”通过身份验证。

步骤(1-1)中，在用户操作之前，为了能够支持标识号(CommonID)功能，联盟网站需要对原有系统进行以下修改：(1)增加“接收模块”和“取数模块”，“接收模块”的作用是获取来自服务主站的两个参数：标识号和密钥；“取数模块”的作用是通过标识号和密钥这两个参数到服务主站去查询用户的相关资料；(2)增加“CommonID自动登录模块”和“CommonID自动注册模块”，“CommonID自动登录模块”是实现通过标识号CommonID+密钥方式的登录；“CommonID自动注册模块”是实现通过标识号+密钥方式的自动注册，注册用户过程所需参数通过调用“取数模块”从服务主站中获取；(3)修改“用户资料表”，增加“标识号”和“密钥”这两个字段。

步骤(1-1)中，所述注册账号的过程为：(1)用户提交手机号码；(2)服务主站通过移动短信SMS方式将验证码发送到该用户的手机上；(3)用户接收到验证码并输入到系统，通过身份确认，然后设置账号的登录密码；(4)服务主站自动为该用户分配一个数字串形式的标识号CommonID。

步骤(3-3)中，所述用户登录服务主站后，在服务主站的网站列表中点击联盟网站的URL链接(Uniform Resource Locator统一资源定位符)，服务主站将用户的标识号(CommonID)和密钥传递到联盟网站中的“接收模块”；如果该URL链接属于首次访问，则服务主站自动生成一个密钥。

步骤(4-4)中，所述联盟网站的“接收模块”获取从服务主站传递来的标识号和密钥，然后通过标识号在联盟网站的用户表中判断该用户是否已经存在，如果用户已经存在，则通过调用“CommonID自动登录模块”进行登录；如果用户不存在，则通过调用“CommonID自动注册模块”注册一个新的账号，所需要的如“用户名”、“邮箱”、“性别”等参数则通过调用“取数模块”从服务主站中获取，“密码”则可由系统自动分配或直接采用密钥值；注册完后自动调用“CommonID自动登录模块”进行登录。

上述基于私有密钥的低相关性的单向跨域身份验证方法主要应用于移动互联网使用中，以用户的手机号与用户的多个互联网应用账号进行绑定的登录过程。

本发明相对于现有技术具有如下的优点及效果：

(1)基于私有密钥，隐密性好；

用户通过登录到服务主站访问各联盟网站，服务主站会往联盟网站传递用户标识号(CommonID)和该联盟网站所对应的密钥，该密钥由服务主站分配，同一用户访问不同的联盟网站将分配不同的密钥。例如，假设用户的标识号(CommonID)为4122121223431234，当用户首次访问A网站时，系统分配的密钥是12345678，则传递CommonID＝4122121223431234，密钥＝12345678；当用户首次访问B网站时，系统另外为用户分配访问该网站所需的密钥为87654321，则传递CommonID＝4122121223431234，密钥为87654321。因此，网站A可以获知用户的CommonID和访问A网站的密钥，但无法推算出该用户访问B网站所对应的密钥。

(2)低相关性，使用便捷；

服务主站与联盟网站之间的关系仅仅是传递参数的关系，亦即用户必须先登录到服务主站，然后通过服务主站的URL链接访问联盟网站，服务主站向联盟网站传递用户标识号(CommonID)和对应的密钥，用户的登录和验证过程均由联盟网站完成；联盟网站也只是通过用户的标识号(CommonID)和密钥到服务主站获取该用户其它的资料。用户通过服务主站的URL链接自动登录到联盟网站后，验证状态是相互独立的，用户退出任一网站，只会影响当前网站，均不影响其它网站的登录状态。

(3)单向操作，便于网络管理；

只允许服务主站向联盟网站的自动登录访问，反之无效。用户登录到服务主站，通过URL链接访问联盟网站，可以实现自动登录，用户无需另外登录；但用户无论是否登录到联盟网站，均不能自动登录到主站。用户要访问联盟网站必须通过服务主站，也就是说用户通过服务主站自动登录到网站A，当用户要访问网站B时，必须从主站以点击URL链接的方式访问网站B，而且网站A和网站B的验证状态是相互独立的。

(4)实现跨域方式，适用性强；

与其它采取COOKIE或SESSION技术所不同的是，本方法仅通过传递用户标识号(CommonID)和对应密钥的方式实现用户对联盟网站的自动登录，因此可以实现对任意网站的支持。尽管服务主站和联盟网站分属不同的域，但用户登录服务主站后，即可通行各联盟网站，所有的注册和登录均自动进行。

附图说明

图1是现有OpenID认证流程示意图。

图2是本发明基于私有密钥的低相关性的单向跨域身份验证方法的流程图。

图3是本发明的认证流程示意图。

图4是服务主站与联盟网站之间的连接关系图。

具体实施方式

下面结合实施例及附图对本发明作进一步详细的描述，但本发明的实施方式不限于此。

实施例

图2～图4示出了本发明的具体流程，由图2、图3可见，本基于私有密钥的低相关性的单向跨域身份验证方法包括下述步骤：

(1-1)在用户操作之前，为了能够支持标识号(CommonID)功能，联盟网站需要对原有系统进行以下修改(见图4)：(1)增加“接收模块”和“取数模块”，“接收模块”的作用是获取来自服务主站的两个参数：标识号和密钥；“取数模块”的作用是通过标识号和密钥这两个参数到服务主站去查询用户的相关资料；(2)增加“CommonID自动登录模块”和“CommonID自动注册模块”，“CommonID自动登录模块”是实现通过标识号CommonID+密钥方式的登录；“CommonID自动注册模块”是实现通过标识号CommonID+密钥方式的自动注册，注册用户过程所需参数通过调用“取数模块”从服务主站中获取；(3)修改“用户资料表”，增加“标识号”和“密钥”这两个字段。用户开始操作时，在服务主站提交手机号码注册账号，具体为：(1)用户提交手机号码；(2)服务主站通过移动短信SMS方式将验证码发送到该用户的手机上；(3)用户接收到验证码并输入到系统，通过身份确认，然后设置账号的登录密码；(4)服务主站自动为该用户分配一个数字串形式的标识号和登录密码。

(2-2)用户通过手机号码和登录密码登录到服务主站，获得验证身份；

(3-3)所述用户登录服务主站后，在服务主站的网站列表中点击联盟网站的URL链接，服务主站将用户的标识号和密钥传递到联盟网站中的“接收模块”，如果该URL链接属于首次访问，服务主站将为用户分配一个对应该联盟网站的密钥(PK：Private Keys)，并将此密钥和该用户的标识号共两个参数传递到联盟网站；属于再次访问的，服务主站检索用户对应该联盟网站点的密钥，并将此密钥和该用户的标识号两个参数传递到联盟网站；

(4-4)所述联盟网站的“接收模块”获取从服务主站传递来的标识号和密钥，然后通过标识号在联盟网站的用户表中判断该用户是否已经存在，如果用户已经存在，则通过调用“CommonID自动登录模块”进行登录，如图4所示；如果用户不存在，则通过调用“CommonID自动注册模块”注册一个新的账号，所需要的如“用户名”、“邮箱”、“性别”等参数则通过调用“取数模块”从服务主站中获取，“密码”则可由系统自动分配或直接采用密钥值；注册完后自动调用“CommonID自动登录模块”进行登录。

上述实施例为本发明较佳的实施方式，但本发明的实施方式并不受上述实施例的限制，其他的任何未背离本发明的精神实质与原理下所作的改变、修饰、替代、组合、简化，均应为等效的置换方式，都包含在本发明的保护范围之内。

Claims

1.一种基于私有密钥的低相关性的单向跨域身份验证方法，其特征在于包括下述步骤：

(1)用户首先需要在服务主站注册账号，系统将为用户分配一个标识号；

(2)用户登录到服务主站，获得验证身份；

(3)用户在服务主站点击联盟网站的URL链接，服务主站将用户的标识号和对应的密钥传递到联盟网站；

(4)联盟网站获取从服务主站传递过来的参数，当判断该用户是属于首次访问时，则采用获取的标识号和密钥两个参数自动为用户分配一个账号，并调用登录模块通过身份验证；当属于再次访问时，则通过所获取的标识号和密钥两个参数调用登录模块通过身份验证。

2.根据权利要求1所述的基于私有密钥的低相关性的单向跨域身份验证方法，其特征在于包括下述步骤：

(1-1)用户在服务主站提交手机号码注册账号，服务主站将为用户分配一组数字串格式的标识号；

(3-3)用户在服务主站点击联盟网站的链接，当属于首次访问时，服务主站将为用户分配一个对应该联盟网站的密钥，并将此密钥和该用户的标识号共两个参数传递到联盟网站；属于再次访问的，服务主站检索用户对应该联盟网站点的密钥，并将此密钥和该用户的标识号两个参数传递到联盟网站；

(4-4)联盟网站获取服务主站传递过来的参数，当判断该用户是属于首次访问时，则采用获取的标识号和密钥两个参数自动为用户分配一个账号，并调用登录模块通过身份验证；当属于再次访问时，则通过所获取的标识号和密钥两个参数调用登录模块通过身份验证。

3.根据权利要求2所述的基于私有密钥的低相关性的单向跨域身份验证方法，其特征在于：步骤(1-1)中，在用户操作之前，联盟网站进行以下修改：(1)增加“接收模块”和“取数模块”，“接收模块”的作用是获取来自服务主站的两个参数：标识号和密钥；“取数模块”的作用是通过标识号和密钥这两个参数到服务主站去查询用户的相关资料；(2)增加“CommonID自动登录模块”和“CommonID自动注册模块”，“CommonID自动登录模块”是实现通过标识号+密钥方式的登录；“CommonID自动注册模块”是实现通过标识号+密钥方式的自动注册，注册用户过程所需参数通过调用“取数模块”从服务主站中获取；(3)修改“用户资料表”，增加“标识号”和“密钥”这两个字段。

4.根据权利要求2所述的基于私有密钥的低相关性的单向跨域身份验证方法，其特征在于：步骤(1-1)中，所述注册账号的过程为：(1)用户提交手机号码；(2)服务主站通过移动短信SMS方式将验证码发送到该用户的手机上；(3)用户接收到验证码并输入到系统，通过身份确认，然后设置账号的登录密码；(4)服务主站自动为该用户分配一个数字串形式的标识号。

5.根据权利要求3所述的基于私有密钥的低相关性的单向跨域身份验证方法，其特征在于：步骤(3-3)中，所述用户登录服务主站后，在服务主站的网站列表中点击联盟网站的URL链接，服务主站将用户的标识号和密钥传递到联盟网站中的“接收模块”；如果该URL链接属于首次访问，则服务主站自动生成一个密钥。

6.根据权利要求3所述的基于私有密钥的低相关性的单向跨域身份验证方法，其特征在于：步骤(4-4)中，所述联盟网站的“接收模块”获取从服务主站传递来的标识号和密钥，然后通过标识号在联盟网站的用户表中判断该用户是否已经存在，如果用户已经存在，则通过调用“CommonID自动登录模块”进行登录；如果用户不存在，则通过调用“CommonID自动注册模块”注册一个新的账号，所需要的“用户名”、“邮箱”、“性别”参数则通过调用“取数模块”从服务主站中获取，“密码”则由系统自动分配或直接采用密钥值；注册完后自动调用“CommonID自动登录模块”进行登录。

7.根据权利要求1～6任一项所述的基于私有密钥的低相关性的单向跨域身份验证方法，其特征在于：用于移动互联网使用中，以用户的手机号与用户的多个互联网应用账号进行绑定的登录过程。