CN102368765A - 一种网站登录认证方法 - Google Patents

Abstract

本发明提供一种网站登录认证方法，包括下列步骤，客户端装置向网站发起登录请求，获取网站返回的网站标识信息，登录认证及票据发放服务器AGS，将账号、密码及网站标识信息提交给AGS进行鉴权；鉴权通过后，AGS根据网站标识信息采用与该网站约定的唯一加密密钥，为客户端生成登录该网站的服务票据和在线会话记录；并将生成的服务票据和会话密钥发送给客户端装置；客户端装置使用服务票据登录网站；并将会话密钥保存在本地，周期使用会话密钥与AGS进行认证通信，史新与AGS之问的在线会话。实施本发明的网站登录认证方法，具有以下有益效果：客户端装置只需登陆一次AGS，即可获得多个网站的登陆服务票据，减小认证过程的复杂性。

Description

一种网站登录认证方法

技术领域

本发明涉及通信系统，尤其涉及一种网站登录认证方法及对应的认证及票据发放服务器（Authority And Grant Service，AGS）和认证系统。

背景技术

目前微软提供了一种实现网站无密码登录的passport认证体系，用户通过其进行登录可以实现在所有微软passport网络网站上的无密码登录。认证原理为：服务提供者网站安装微软的passport软件开发工具包；用户访问服务提供者网站时，自动重定向到passport.com 进行认证；浏览器在passport.com 域名下保存一个在浏览器进程内、有限时间内有效的Cookie, 以便实现后续网站的免密码登录。Passport认证体系包括：用户启动终端浏览器向服务提供者网站发送访问请求；服务提供者网站通过HTTP协议向用户终端返回重定向指令，指示用户终端重定向到passport登录服务器；用户终端向passport登录服务器发起认证请求；passport登录服务器认证通过后向用户终端返回认证响应；用户终端再次向服务提供者网站发起访问请求；服务提供者网站提供用户终端请求的服务，向用户终端下发访问内容。

上述微软的Passport认证体系具有如下缺点：

需要服务提供者安装微软的passport软件开发工具包，限制服务提供者所使用的平台必须为微软操作系统。

用户身份的识别依赖浏览器的Cookie保存机制，通常为了安全性起见，Passport的Cookie的有效时间只是在该浏览器进程的生存周期内，当浏览器关闭之后，Cookie就会丢失，用户再次用浏览器访问服务提供者网站时，需要重新登录认证。

用户身份标识（Cookie）的安全性由浏览器保证，因此存在误配置浏览器，或者由于浏览器本身的BUG ，导致Cookie 被泄漏的危险。

现有技术中，还有一种Kerberos认证体系， Kerberos认证体系中，因为验证服务器与发证服务器分离，且使用者终端与验证服务器、发证服务器之间无持久连接，所以所有的服务许可证的有效时间完全依赖服务许可证中的时间戳（Timestamp）来做判断，如果Timestamp过期，则用户需要重新向验证服务器获取一个新的许可证，重复上述流程。因此，Kerberos认证过程较复杂，当服务许可证中的Timestamp 过期时，需要使用者终端再次与验证服务器、发证服务器进行连接，有司能因为连接失败造成通信中断，给用户使用造成困扰。

发明内容

本发明要解决的技术问题在于，针对现有技术存在的缺陷，提供一种网站登录认证方法，该方法包括下列步骤，

S1、客户端装置向网站发起登录请求，获取网站返回的网站标识信息，登录认证及票据发放服务器AGS，将用户账号、密码及所述网站标识信息提交给所述AGS进行鉴权；

S2、鉴权通过后，所述AGS根据所述网站标识信息采用与该网站约定的唯一加密密钥，为所述客户端装置生成登录该网站的服务票据和包含会话密钥的在线会话记录；并将生成的所述服务票据和会话密钥发送给所述客户端装置；

S3、所述客户端装置使用所述服务票据登录所述网站；并将所述会话密钥保存在本地，周期使用所述会话密钥与所述AGS进行认证通信，史新与所述AGS之问的在线会话。

实施本发明的网站登录认证方法，具有以下有益效果：客户端装置只需登陆一次AGS，即可获得多个网站的登陆服务票据，减小认证过程的复杂性。 

具体实施方式

本发明提供一种网站登录认证方法，包括下列步骤，

S1、客户端装置向网站发起登录请求，获取网站返回的网站标识信息，登录认证及票据发放服务器AGS，将用户账号、密码及所述网站标识信息提交给所述AGS进行鉴权；

S2、鉴权通过后，所述AGS根据所述网站标识信息采用与该网站约定的唯一加密密钥，为所述客户端装置生成登录该网站的服务票据和包含会话密钥的在线会话记录；并将生成的所述服务票据和会话密钥发送给所述客户端装置；

S3、所述客户端装置使用所述服务票据登录所述网站；并将所述会话密钥保存在本地，周期使用所述会话密钥与所述AGS进行认证通信，史新与所述AGS之问的在线会话。

该方法的具体流程为：预先将用户账号U 及密码存储到AGS中；且AGS 与每一个网站预先约定一个唯一的加密密钥；当用户通过客户端装置请求登录网站时，执行如下登录认证过程：步骤l、启动客户端装置中的浏览器，向请求登录的网站发起登录请求；填入用户账号U，点击网站登录网页上提供的“一键登录”按钮，请求登录网站。步骤2、网站收到客户端装置发起的登录请求后，向客户端装置返回AGS 服务器的地址B，网站的验证接口地址C，网站的代号（标识信息）D 等信息。步骤3、发起登录请求的客户端装置将网站返回的信息存储在本地；客户端装置判断自身是否已登录到AGS中，如果没有登录到所述AGS中，则登录AGS，将用户账号U、密码G及获取的请求登录的网站标识信息D 提交给所述AGS 。步骤4 、AGs 根据客户端装置提交的账号U、密码G以及本地预先存储的用户相关信息对用户进行鉴权；当鉴权通过后，根据网站标识信息D采用与该网站约定的唯一加密密钥KS，为客户端装置生成登录网站的服务票据Tickets；Timestamp, Life等参数加密后的结果；Address为客户端地址，Life 票据有效周期；并生成一个包含会话密钥（session Key ）的在线会话记录；并将该在线会话记录存储到一个在线会话列表中；在线会话记录中可以包括：session Key、账号U、客户端地址Address、登录时间、最后活跃时间LastActive 等信息；AGS将生成的服务票据Tickets和会话密钥session Key 发送给客户端装置。步骤5、客户端装置使用Tickets登录网站；网站使用与AGs 约定的加密密钥KS 对服务票据Tickets进行解密；当服务票据中的时间戳Timestamp加上票据有效周期life 大于当前时间时，判断该服务票据有效，允许客户端装置登录。步骤6、网站向客户端装置提供请求的服务业务，发送相关业务内容给客户端装置。

实施本发明的网站登录认证方法，具有以下有益效果：客户端装置只需登陆一次AGS，即可获得多个网站的登陆服务票据，减小认证过程的复杂性。 

本发明是通过一些实施例进行描述的，本领域技术人员知悉，在不脱离本发明的精神和范围的情况下，可以对这些特征和实施例进行各种改变或等效替换。另外，在本发明的教导下，可以对这些特征和实施例进行修改以适应具体的情况及材料而不会脱离本发明的精神和范围。因此，本发明不受此处所公开的具体实施例的限制，所有落入本申请的权利要求范围内的实施例都属于本发明的保护范围。

Claims (1)

1.一种网站登录认证方法，其特征在于，包括下列步骤，

S1、客户端装置向网站发起登录请求，获取网站返回的网站标识信息，登录认证及票据发放服务器AGS，将用户账号、密码及所述网站标识信息提交给所述AGS进行鉴权；

S2、鉴权通过后，所述AGS根据所述网站标识信息采用与该网站约定的唯一加密密钥，为所述客户端装置生成登录该网站的服务票据和包含会话密钥的在线会话记录；并将生成的所述服务票据和会话密钥发送给所述客户端装置；

S3、所述客户端装置使用所述服务票据登录所述网站；并将所述会话密钥保存在本地，周期使用所述会话密钥与所述AGS进行认证通信，史新与所述AGS之问的在线会话。