CN102457377A - 基于角色的Web远程认证与授权方法及系统 - Google Patents

Abstract

本发明涉及基于角色的Web远程认证与授权方法及系统。该认证与授权方法根据用户角色定义用户权限，在用户请求远程访问不同级别的资源时，根据资源级别的高低，选择用户需要认证的方式。用户请求访问系统级别较低的资源（非敏感资源）时，使用口令认证即可；访问系统级别高的资源（敏感资源）时，使用全球唯一识别码认证。采用全球唯一识别码认证的过程中，对全球唯一标识码的采集是在Web浏览器端通过加载插件或控件技术来实现的。本发明所采用的这种分级认证与授权的方式，降低了用户认证与授权的复杂度，增强了认证与授权的安全性，可跨平台、跨浏览器实现，使得用户体验更加良好。

Description

基于角色的Web远程认证与授权方法及系统

技术领域

本发明涉及认证与授权方法及系统，特别是基于角色的访问控制和基于Web相结合的远程认证与授权方法及系统。

背景技术

为了保证信息安全，目前已有身份认证技术，访问控制技术，信息加密技术和数字签名技术等。

身份认证技术已经出现了很多种，有基于口令（即用户名和密码）的认证、X.509证书、智能卡、全球唯一标识码等认证技术。

访问控制是通过某种途径显式的准许或限制访问权力以及范围的一种方法。访问控制通过控制用户访问的范围、功能、模块等，使系统提供的服务不被非法使用。访问控制主要包括自主访问控制、强制访问控制和基于角色的访问控制等三种策略。其中基于角色的访问控制（基于角色的访问控制（RBAC）是实施面向企业安全策略的一种有效的访问控制方式。其基本思想是，对系统操作的各种权限不是直接授予具体的用户，而是在用户集合与权限集合之间建立一个角色集合。每一种角色对应一组相应的权限。一旦用户被分配了适当的角色后，该用户就拥有此角色的所有操作权限。这样做的好处是，不必再每次创建用户时都进行分配权限的操作，只要分配用户相应的角色即可，而且角色的权限变更比用户的权限变更要少得多，这样将简化用户的权限管理，减少系统的开销。）是近年来兴起的新型访问控制技术，由美国国家标准化和技术委员会等提出来的。自主访问控制的灵活性高但是安全性低；强制访问控制安全性高但是限制太强；基于角色的访问控制两者兼具，不仅易于管理而且降低了复杂性、成本和发生错误的概率，因而近年来得到了极大的发展。

信息加密技术近年来出现了对称加密技术，不对称加密技术，会话密钥加密，是目前加密文件的常用方法。

认证是保证系统安全的重要一部分，不仅保证本软件的安全，还需要保证操作系统本身的安全。尽管以上提到的现有的这些技术和方法一定程度上能够满足用户对认证的需求，但是仍然存在以下问题：

1）目前现有的全球唯一标识码认证技术，都是在本机采集特征码，还没有基于Web的特征码提取技术，无法满足用户远程提取特征码的需求。

2）目前现有的认证技术中，很少有Web认证、全球唯一标识码认证技术与基于角色的访问控制相结合的认证系统。这样的话，如果仅使用当前的Web认证系统进行认证，一旦Web认证系统失去作用，用户将无法访问服务器的资源。

3）目前还没有针对资源做动态多级认证的技术，无法满足用户对多级动态认证技术的需求。

发明内容

鉴于现有认证方法中的上述不足之处。本发明提供安全有效的、基于角色的动态Web认证与授权方法，结合全球唯一标识码，以及系统本身的PAM认证相结合的混合认证方式，以期解决现有技术中的上述不足，提高Web认证的灵活性和安全性。

本发明的一目的是提供基于角色的Web动态认证与授权的技术和全球唯一标识码认证技术、系统PAM认证混合的认证技术。即使在Web认证失去作用时，还可以由服务器提供PAM认证来访问较低级别的资源，克服了一旦Web认证系统失去作用，用户将无法访问服务器的资源的缺陷。但此时由于服务器不能够提供高一级的认证，用户不能访问敏感资源。

本发明实现这样一个混合认证与授权系统的总体构思是，对资源进行敏感程度等级划分，同时对角色的定义进行处理，并且也需要对Web认证系统进行是否能够提供服务进行判断，如果不能提供服务，则直接进行系统已有的PAM认证。这样设计，相对于传统的基于角色的认证与授权，增加了对角色进行定义的逻辑复杂度。

本发明另一目的在于，提供一种多级认证的结构，将系统的资源进行分级，一般资源通过口令（即用户名和密码）认证，等级高的资源访问，需要进一步动态的提供高级的认证技术，如全球唯一识别码认证（如生物特征码或者硬件唯一特征码认证）。而且，该认证的技术和等级可以根据角色动态的调整。具体来说，当用户访问某些功能时，根据这个功能的敏感程度进行分级。当敏感度比较低的时候，只需要认证口令（即用户名和密码）即可。根据敏感度的深入，需要提供全球唯一标识码（如生物特征码或者硬件唯一特征码）。

本发明又一目的在于本发明提供基于Web的全球唯一识别码的提取技术，满足用户远程提取特征码的需求。该部分功能包括：响应服务器需要提供进一步验证的请求；在浏览器中对全球唯一识别码特征码的提取；通过浏览器对提取到的特征码进行加密；将加密的数据通过POST方式发送给服务器；得到服务器的认证结果；根据得到的结果，是否允许用户下一步操作。

为实现上述目的，本发明提供了一种基于角色的Web远程认证与授权方法，当用户请求访问系统级别低的资源时，使用口令认证；而用户请求访问系统级别高的资源时，使用全球唯一识别码认证。

其中：

该全球唯一标识码的采集是在Web浏览器端实现的。

该全球唯一标识码的采集在火狐浏览器中是通过加载插件的方式来实现的；而在IE浏览器中是通过加载ActiveX控件的方式来实现的。

浏览器端采集到用户信息后，对该信息进行加密，并以POST方式将加密后的用户信息传递到服务器端。

服务器端接收到用户信息后，采用基于角色的访问控制方式对用户进行认证授权。

该方法包括步骤：

1）首先，用户提交访问系统资源的请求，由一路由器接收用户请求，并判断用户是否已经认证过；如果用户已经认证过，即用户已经提交了正确的认证信息，如口令等，则路由器直接将用户请求发送到授权机上，授权机返回给用户访问资源的接口，即主界面，用户就可以通过该主界面直接访问系统资源了；

2）如果用户没有经过认证，路由器接着判断认证机是否能够提供服务；

（1）如果认知机不能提供认证服务，则路由器直接将用户信息提交给授权机进行PAM认证；

如果用户通过PAM认证，即可访问非敏感资源；如果用户没有通过PAM认证，则返回提示用户重新提交认证口令。

（2）如果认证机能够提供认证服务，则路由器将用户信息提交给认证机进行认证；

在认证过程中，认证机根据接收到的用户信息对用户分配权限等级；如果用户提交的信息为口令，则权限等级为初级；如果用户提交的信息还进一步包括全球唯一认证标识码，则权限等级为高级。

然后，认证机读取用户信息数据库，通过查询用户信息数据库中的用户信息表得到该用户的密码，和用户提交的密码做比对；如果查询得到的密码和用户提交的密码一致，则认证机查询用户信息数据库中的用户角色集合表，得到该用户的角色ID。

最后，认证机通过服务程序将该用户的角色ID和权限等级发送至授权机。

其还可包括步骤：

3）授权机得到用户的角色ID之后，读取授权信息数据库，通过查询授权信息数据库中的功能角色集合表，得到该用户的功能ID；再根据该功能ID查询授权信息数据库中的功能信息表，得到该用户可访问资源的功能信息，包括功能名称、功能等级和功能链接；

接着，授权机根据得到的功能信息产生主界面返回给用户；用户在通过该主界面访问资源时，授权机会进一步判断该资源的功能等级和用户的权限等级是否一致，如果两者一致，则用户可以直接访问该资源；否则，如果权限等级小于功能等级，则授权机会要求用户再提交全球唯一标识码才能访问该资源。

本发明还提供了一种应用于以上方法的基于角色的Web远程认证与授权系统，其包括：路由器，负责对用户的请求进行处理；认证机，负责根据用户提交的信息对用户进行认证；授权机，负责根据用户认证信息对用户可访问的资源进行授权。

其中，所述路由器、认证机和授权机建立在一台服务器上或者分别建立在三台不同的服务器上。

相关技术术语的名词解释：

PAM——（Pluggable Authentication Modules，插件式鉴别模块）是一种认证机制。它通过提供一些动态链接库和一套统一的API，将系统提供的服务 和该服务的认证方式分开，使得系统管理员可以灵活地根据需要给不同的服务配置不同的认证方式而无需更改服务程序，同时也便于向系统中添加新的认证手段。

POST——是一种HTTP定义的与服务器交互的一种方法，它用来请求服务器接受所指定的文档作为对所标识的URI的新的从属实体。

附图说明

图1 为本发明基于Web认证与授权的总体示意图；

图2 为本发明所涉及的Web认证流程的示意图；

图3 为本发明所涉及的Web认证级别示意图；

图4 为本发明基于Web的认证与授权系统的结构图。

具体实施方式

为了使本发明的目的、技术方案及有益效果更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

图1为本发明基于Web认证与授权的总体示意图，主要流程是用户向Web浏览器提交认证信息，并对该认证信息进行加密；服务器根据认证信息，获取用户角色，然后进行授权，用户获取可访问资源的功能列表，对资源进行访问。

本发明所涉及的Web认证流程如图2所示，用户通过Web浏览器输入口令，Web浏览器通过POST向服务器端发送1，然后服务器端通过基于角色授权来判断是否认证成功，返回1。如果认证成功，则允许用户访问非敏感资源。

上述通过认证的用户请求进一步访问时，发送2访问请求，则服务器返回2可访问资源的功能列表。判断用户是否需要访问敏感资源，如果需要则通过Web浏览器插件或控件发送3进一步的认证信息，服务端将认证的结果返回3给浏览器端，判断是否认证成功。如果认证成功，则允许用户访问敏感资源。

本发明所涉及的Web认证过程采用两级认证模式，即：口令认证和全球唯一标识码认证。其中，所涉及的口令认证的过程包括以下步骤：

1）用户通过Web浏览器提供的页面以POST方式提交用户口令；

2）Web浏览器通过Javascript获取用户口令；

3）将获取到用户口令（包括用户名和密码）进行加密，加密的相关代码如下所示：

pwdmd5=dojox.encoding.digests.MD5(‘password’,dojox.encoding.digests.outputTypes.Hex); 

// pwdmd5是加密之后的密文；

// dojox.encoding.digests.MD5是一个用于MD5加密的方法；

// password是需要加密的用户密码；

// dojox.encoding.digests.outputTypes.Hex是指定了加密之后输出的格式，本例加密之后的密文是十六进制格式的。

4）将加密后的用户口令通过POST方式传递给服务器进行认证授权，传递的相关代码如下所示：

dojo.xhrPost({url : posturl, content:{user: username, pwd: pwdmd5}});

// dojo.xhrPost是将口令通过POST方式传递给认知机的方法；

// url:posturl是指需要将数据提交的服务器地址；

// content:{user: username, pwd: pwdmd5}提交的内容，其中user是POST方式提交的用户的名称，username是口令中的用户名，pwd是POST方式提交的口令中的密码，pwdmd5是经加密后密码的密文。

以上通过用户口令进行认证的方式，其认证等级和安全级别比较低，用户只可访问系统的非敏感资源；若用户需要访问敏感资源，则需进一步提供全球唯一标识码进行认证。全球唯一标识码认证的认证等级和安全级别高于口令认证，如图3所示。

本发明所涉及的全球唯一标识码认证的过程包括以下步骤：

1）Web浏览器采集全球唯一标识码（如生物特征码或者硬件唯一特征码Ukey）。

现有技术出于浏览器本身安全的考虑，不允许网页直接访问浏览器端硬件资源，因此现有采集技术中全球唯一标识码是在本机进行采集的。

本发明所涉及的全球唯一标识码是在Web端进行采集的，也就是浏览器端进行采集的，增加了全球唯一标识码采集的难度。本发明在火狐浏览器中是通过火狐的插件技术来获取全球唯一标识码的，在IE浏览器中是通过ActiveX控件技术来获取全球唯一标识码的。具体是通过以下方式来实现的：

首先，在浏览器中加载插件（火狐浏览器）或ActiveX控件（IE浏览器）。接着，插件或控件通过在浏览器端的硬件驱动获取用户信息中的全球唯一标识码（如生物特征码或者硬件唯一特征码Ukey）。最后，在浏览器端通过Javascript与插件或者控件通信，获取插件或控件中的全球唯一标识码。

2）为了保证Web采集到的全球唯一标识码的安全性，需要对其进行加密。以硬件唯一特征码Ukey为例，加密的相关代码如下所示：

keyidmd5=dojox.encoding.digests.MD5(‘KeyID’, dojox.encoding.digests.outputTypes.Hex);

// keyidmd5是加密之后的密文。

// dojox.encoding.digests.MD5是一个用于MD5加密的方法；

// KeyID是需要加密的Ukey；

// dojox.encoding.digests.outputTypes.Hex是指定了加密之后输出的格式，本例加密之后的密文是十六进制格式的；

3）将加密之后的全球唯一标识码通过POST方式传递到服务器进行认证授权。以硬件唯一特征码Ukey为例，相关代码如下所示：

dojo.xhrPost({url : posturl, content:{key: keyidmd5}});

// dojo.xhrPost是将Ukey通过POST方式传递给服务器的方法；

// url:posturl是指需要将数据提交的服务器地址；

// content:{key: keyidmd5}提交的内容，其中，key是POST方式提交的名称，keyidmd5是内容。

本发明采用的这种分级加密认证的方式，降低了用户认证的复杂度，增强了认证的安全性，使用户体验更加良好。

图4 为本发明基于Web的认证与授权系统的结构图，该系统包括路由器、认证机和授权机，其主要功能如下所述：

1）路由器，负责对用户的请求进行处理。该路由器有的两个功能：其一，判断用户是否经过认证。如果用户经过认证，则直接将用户的认证信息提交给授权机进行处理。其二，检测认证机是否能够提供服务。如果认证机不能提供服务，则路由器将用户信息提交给授权机进行系统已有的PAM认证。

2）认证机，负责根据用户提交的信息对用户进行认证。如果用户通过认证，则该认证机会将用户认证信息提交给授权机处理，否则返回用户重新认证。

3）授权机，负责根据用户认证信息对用户可访问的资源进行授权。

需要说明的是，本发明基于Web的认证与授权系统中的路由器、认证机和授权机可以建立在一台服务器上，也可以分别建立在三台不同的服务器上。

本发明基于Web认证与授权系统工作的总体流程为：

服务器端的路由器获取用户请求，路由器首先会判断用户是否已经认证过。如果用户已经认证过，则直接将用户的认证信息提交给授权机进行处理。

接着，路由器判断服务器端的认证机是否有效。如果有效，则将用户信息提交给认证机进行认证；否则直接执行系统已有的PAM认证。

服务器端的认证机对用户信息进行认证时，通过查询用户信息数据库来得到用户的认证信息，然后将该认证信息通过认证机上的服务程序发送给授权机上的服务程序进行处理。

授权机上的服务程序接收到用户认证信息后，通过查询授权信息数据库来得到用户的授权信息，授权机为用户提供访问系统资源的接口（即主界面），此时用户就可以访问系统资源了。

其中，用户信息数据库存储了用户信息数据，由用户信息表（包括用户名、密码和全球唯一标识码字段）、角色信息表（包括角色名称和角色ID字段）和用户角色集合表（包括用户名和角色ID字段）组成。

授权信息数据库存储了对用户进行授权的信息，由功能信息表（包括功能ID、功能名称、功能等级和功能链接字段）和功能角色集合表（包括功能ID和角色ID字段）组成。

以下结合附图4，对本发明认证与授权的整个流程进行详细的描述：

1）首先，用户提交访问系统资源的请求，路由器接收用户请求，并判断用户是否已经认证过。如果用户已经认证过，即用户已经提交了正确的认证信息，如口令等，则路由器直接将用户请求发送到授权机上，授权机返回给用户访问资源的接口，即主界面，用户就可以通过该主界面直接访问系统资源了。

2）如果用户没有经过认证，路由器接着判断认证机是否能够提供服务。

（1）如果认知机不能提供认证服务，则路由器直接将用户信息提交给授权机进行PAM认证。

如果用户通过PAM认证，由于系统已有的PAM认证的认证等级比较低，即只能提供基本的口令认证，所以用户只能访问非敏感资源。如果用户没有通过PAM认证，则返回提示用户重新提交认证口令。

（2）如果认证机能够提供认证服务，则路由器将用户信息提交给认证机进行认证。

在认证过程中，认证机根据接收到的用户信息对用户分配权限等级。如果用户提交的信息为口令，则权限等级为1（初级）；如果用户提交的信息还进一步包括全球唯一认证标识码，则权限等级为2（高级）。

然后，认证机读取用户信息数据库，通过查询用户信息数据库中的用户信息表得到该用户的密码，和用户提交的密码做比对。如果查询得到的密码和用户提交的密码一致，则认证机查询用户信息数据库中的用户角色集合表，得到该用户的角色ID。

最后，认证机通过服务程序将该用户的角色ID和权限等级发送至授权机。

3）授权机得到用户的角色ID之后，读取授权信息数据库，通过查询授权信息数据库中的功能角色集合表，得到该用户的功能ID；再根据该功能ID查询授权信息数据库中的功能信息表，得到该用户可访问资源的功能信息，包括功能名称、功能等级和功能链接。

接着，授权机根据得到的功能信息产生主界面返回给用户。用户在通过该主界面访问资源时，授权机会进一步判断该资源的功能等级和用户的权限等级是否一致，如果两者一致，则用户可以直接访问该资源；否则，如果权限等级小于功能等级，则授权机会要求用户再提交全球唯一标识码才能访问该资源。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所做的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种基于角色的Web远程认证与授权方法，其特征在于，当用户请求访问系统级别低的资源时，使用口令认证；而用户请求访问系统级别高的资源时，使用全球唯一识别码认证。

2.如权利要求1所述的基于角色的Web远程认证与授权方法，其特征在于，该全球唯一标识码的采集是在Web浏览器端实现的。

3.如权利要求2所述的基于角色的Web远程认证与授权方法，其特征在于，该全球唯一标识码的采集在火狐浏览器中是通过加载插件的方式来实现的；而在IE浏览器中是通过加载ActiveX控件的方式来实现的。

4.如权利要求2所述的基于角色的Web远程认证与授权方法，其特征在于，浏览器端采集到用户信息后，对该信息进行加密，并以POST方式将加密后的用户信息传递到服务器端。

5.如权利要求4所述的基于角色的Web远程认证与授权方法，其特征在于，服务器端接收到用户信息后，采用基于角色的访问控制方式对用户进行认证授权。

6.如权利要求1所述的基于角色的Web远程认证与授权方法，其特征在于，其包括步骤：

1）首先，用户提交访问系统资源的请求，由一路由器接收用户请求，并判断用户是否已经认证过；如果用户已经认证过，即用户已经提交了正确的认证信息，如口令等，则路由器直接将用户请求发送到授权机上，授权机返回给用户访问资源的接口，即主界面，用户就可以通过该主界面直接访问系统资源了；

2）如果用户没有经过认证，路由器接着判断认证机是否能够提供服务；

（1）如果认知机不能提供认证服务，则路由器直接将用户信息提交给授权机进行PAM认证；

如果用户通过PAM认证，即可访问非敏感资源；如果用户没有通过PAM认证，则返回提示用户重新提交认证口令；

（2）如果认证机能够提供认证服务，则路由器将用户信息提交给认证机进行认证；

在认证过程中，认证机根据接收到的用户信息对用户分配权限等级；如果用户提交的信息为口令，则权限等级为初级；如果用户提交的信息还进一步包括全球唯一认证标识码，则权限等级为高级；

然后，认证机读取用户信息数据库，通过查询用户信息数据库中的用户信息表得到该用户的密码，和用户提交的密码做比对；如果查询得到的密码和用户提交的密码一致，则认证机查询用户信息数据库中的用户角色集合表，得到该用户的角色ID；

最后，认证机通过服务程序将该用户的角色ID和权限等级发送至授权机。

7.如权利要求6所述的基于角色的Web远程认证与授权方法，其特征在于，其还包括步骤：

3）授权机得到用户的角色ID之后，读取授权信息数据库，通过查询授权信息数据库中的功能角色集合表，得到该用户的功能ID；再根据该功能ID查询授权信息数据库中的功能信息表，得到该用户可访问资源的功能信息，包括功能名称、功能等级和功能链接；

接着，授权机根据得到的功能信息产生主界面返回给用户；用户在通过该主界面访问资源时，授权机会进一步判断该资源的功能等级和用户的权限等级是否一致，如果两者一致，则用户可以直接访问该资源；否则，如果权限等级小于功能等级，则授权机会要求用户再提交全球唯一标识码才能访问该资源。

8.一种应用于以上任一权利要求所述的方法的基于角色的Web远程认证与授权系统，其特征在于，其包括：

路由器，负责对用户的请求进行处理；

认证机，负责根据用户提交的信息对用户进行认证；

授权机，负责根据用户认证信息对用户可访问的资源进行授权。

9.如权利要求8所述的系统，其特征在于，所述路由器、认证机和授权机建立在一台服务器上。

10.如权利要求8所述的系统，其特征在于，所述路由器、认证机和授权机分别建立在三台不同的服务器上。

Images