CN102469080A - 实现通行证用户安全登录应用客户端的方法和系统 - Google Patents

Abstract

本发明实现通行证用户安全登录应用客户端的方法和系统。在应用客户端集成通行证服务中心发布的安全控件，启动应用客户端，在应用客户端展示的安全控件界面输入帐号和密码；安全控件获取密码，根据预置加密算法和存储的密钥进行加密得到密文密码，将帐号和密文密码通过应用客户端发送给应用平台服务器；应用平台服务器向通行证服务中心转发认证请求；通行证服务中心根据帐号提取已保存的明文密码，对所述明文密码进行与安全控件一致的加密处理，将加密后密码与接收到的密文密码进行比对，如果一致，则认证通过。本发明提解决了网络认证系统和互联网应用系统相互独立前提下的通行证帐号服务提供商的安全应用问题。

Description

实现通行证用户安全登录应用客户端的方法和系统

技术领域

本发明属于互联网通信领域中的网络安全认证技术，涉及互联网通行证、软件控件集成、安全加密技术等相关内容。

背景技术

互联网通行证是指用户拥有一个特定的通行证帐号，便可使用该通行证相关的所有互联网网络服务，避免了用户访问多个网站时需多次注册、多重登录的帐号密码管理的繁琐。目前微软、Yahoo、新浪、腾讯等以及中移动、中电信等服务提供商均在推广互联网通行证业务，提供“一个帐号、统一认证、全网通行”的服务体验。各大服务提供商的通行证帐号应用不仅限于Web浏览器登录访问，还扩展到应用客户端登录访问(如IM、游戏客户端等)，不仅适用于服务提供商自身自营的互联网应用，也逐步面向第三方合作伙伴进行帐号服务开放。

各大服务提供商的通行证普遍采用静态密码方式(采用OTP密码或密保卡等方式)，即一个“通行证帐号+静态密码”便可访问所有相关的互联网应用，极大改善了用户服务体验，相应的对通行证密码保护提出了更高的安全性要求。除了保障通行证服务中心系统自身的安全性能、用户侧主机系统防病毒防木马攻击，以及用户侧-互联网应用-通行证服务中心三者之间的安全通信机制外，通行证用户密码不被所服务的应用系统所接触/泄露也是至关重要的环节，即在认证系统和应用系统相互独立的情况下，如何保障互联网应用系统不接触用户的真实静态密码，这是帐号服务提供商所关注的安全核心。

用户基于Web浏览器登录访问互联网Web网站，静态密码保护有着多种行业标准或技术专利可供选择(如安全插件技术、重定向技术、颁发令牌技术等)。但通行证用户基于应用客户端登录访问互联网服务时，客户端如果直接接收用户键入通行证帐号和静态密码，再由应用后台服务器转发到通行证服务中心进行登录认证，此场景下客户端完全有条件记录所有通过该客户端成功登录应用的帐号及密码，特别是在该客户端软件已遭受黑客破解，或客户端为第三方合作伙伴所有，该类型安全隐患所带来的后果将是致命的。

目前有关互联网帐号及密码安全的相关技术主要偏重于软件防黑客防木马、用户数据灵活加密、临时或动态密码机制等等，但基本前提多为认证系统功能由应用服务系统本身提供，故用户密码对应用客户端是可看见可信任的，这与公共帐号服务提供商的用户密码保护目标是不同的。对通行证帐号服务提供商来说，迫切需要一种有效的适用于不同应用客户端软件(自营或第三方)的安全登录保护机制，既不影响用户的服务使用体验，又不开发和建设新的功能平台系统，同时可保障用户静态密码不被应用客户端感知而泄露。

发明内容

为解决网络认证系统和互联网应用系统相互独立前提下的通行证帐号服务提供商安全应用，本发明提出了实现通行证用户安全登录应用客户端的方法和系统。

根据本发明一方面，提出实现通行证用户安全登录应用客户端的方法，包括以下步骤：在应用客户端集成通行证服务中心发布的安全控件，启动应用客户端，在应用客户端展示的安全控件界面输入帐号和密码；安全控件获取密码，根据预置加密算法和存储的密钥进行加密得到密文密码，将帐号和密文密码通过应用客户端发送给应用平台服务器；应用平台服务器向通行证服务中心转发认证请求，在认证请求中携带帐号和密文密码；通行证服务中心根据帐号提取已保存的明文密码，对所述明文密码进行与安全控件一致的加密处理，将加密后密码与接收到的密文密码进行比对，如果一致，则认证通过。

根据本发明一方面，提出实现通行证用户安全登录应用客户端的系统，包括：应用客户端，集成通行证服务中心发布的安全控件，在启动应用客户端时展示安全控件界面用于输入帐号和密码；将帐号和安全控件加密后的密文密码发送给应用平台服务器；应用平台服务器，接收应用客户端发送的帐号和密文密码，将帐号和密文密码发送给通行证服务中心进行认证；通行证认证服务中心，发布安全控件，所述安全控件获取输入的帐号和密码，对所述密码根据预置加密算法和存储的密钥进行加密得到密文密码；接收应用平台服务器发送的帐号和密文密码，根据帐号提取已保存的明文密码，对明文密码进行与安全控件一致的加密处理，将加密后密码与接收到的密文密码进行比对，如果一致，则认证通过。

根据本发明一方面，提出实现通行证用户安全登录应用客户端的通行证认证服务中心，包括：安全控件发布模块，发布用于集成到应用客户端的安全控件，所述安全控件获取输入的帐号和密码，对密码根据预置加密算法和存储的密钥进行密码加密得到密文密码；接收模块，接收帐号和密文密码，所述帐号和密文密码通过应用客户端发送给应用平台服务器，再由应用平台服务器发送给通行证认证服务中心的接收模块；存储模块，存储帐号与明文密码的对应关系；加密模块，根据帐号从存储模块中提取已保存的明文密码，对所述明文密码进行与安全控件一致的加密处理，传送给比对模块；比对模块，将加密模块加密后密码与接收到的密文密码进行比对，将比对结果传送给发送模块；发送模块，将比对结果发送给应用平台服务器。

本发明提出了在应用客户端上保护通行证用户明文密码的方法。通过在应用客户端集成通行证服务中心颁发的安全控件，由该安全控件完成用户密码输入界面呈现、用户输入密码获取保存、及明文密码加密处理等工作，确保应用客户端无法接触和获取明文密码。

本发明对用户来说没有增加额外要求(如改变服务体验、增加额外成本等)，对网络架构来说没有增加新的网元设备或系统，对应用客户端改造的要求不高，相对来说实施技术难度不大。

本发明还可实现针对不同互联网应用需要，定制不同呈现用户界面，配置加密算法及不同加密密钥，满足多样性的客户端需要。

附图说明

图1为本发明网络系统架构的示意图。

图2为本发明实现通行证用户安全登录应用客户端的通行证认证服务中心的结构示意图。

图3为本发明通行证用户登录客户端的处理流程。

图4为通行证用户登录不同互联网应用的实现方案。

具体实施方式

目前，有关密码保护、安全登录、安全认证等相关的解决方案中，大多数有关互联网帐号及密码安全的技术解决方案都可归纳于如下几大类：侧重用户端软件的防木马防盗号，如软键盘技术等类似解决思路；侧重客户端和应用服务器之间的信息安全传输机制(如双方约定的加密通道技术)；侧重于采用临时(一次性)动态密码方式。但这些解决方案的前提基本都是应用客户端和应用平台服务器同属一个服务提供商，用户认证功能模块归属应用平台服务器，应用客户端对用户密码的感知是可信的、安全的。而本发明所关注的目标是网络认证系统和互联网应用系统相互独立的前提下，如何保证公众通行证用户明文密码对应用客户端来说不可见。

为解决互联网通行证用户安全登录应用客户端的密码保护问题，本发明提出了实现通行证用户安全登录应用客户端的方法和系统。通行证帐号服务提供商提供通行证帐号认证及客户端安全控件，应用服务提供商在应用客户端开发中集成此安全控件，网络系统架构如图1所示。

通行证帐号服务提供商的网络单元主要包括两部分：

通行证服务中心，主要实现通行证帐号及密码等基础信息的维护管理，帐号及密码的用户认证功能。面向应用客户端发布不同版本的安全控件(可支持不同操作系统、编程语言环境)。将加密算法及加密密钥固化在客户端安全控件，加密算法建议选择非可逆性加密算法(如MD5/3DES等)，初始密钥在安全控件中预先存储，后续升级安全控件可对加密密钥进行更新。当加密算法、加密密钥，或用户登录输入框需要进行调整时，由通行证服务中心重新发布新的安全控件，应用客户端需相应做升级。在进行用户认证时，通行证服务中心根据应用平台服务器所配置的加密算法将归属平台数据库中密码进行相应加密处理，与接收到的密文密码值进行比对，反馈最终认证结果(成功或失败)。

面向应用客户端的安全控件，可集成到不同应用客户端的用户登录模块，实现用户帐号密码输入框显示，对用户键入密码直接获取，对明文密码进行加密处理等。

应用服务提供商的网络单元也主要包括两部分：

应用平台服务器，提供互联网应用的核心服务及系统管理等功能。在其应用客户端开发中，在用户登录模块中集成通行证服务中心发布的安全控件，正常登录时应用客户端可获取该安全控件所输出的用户帐号及密文密码信息，传送给应用平台服务器，由应用平台服务器与通行证服务中心实现帐号认证接口，携带“帐号+密文密码”向通行证服务中心转发用户认证请求。

应用客户端(可面向PC、手机等不同终端)，用户正常登录该应用客户端后便可使用相应应用平台服务器提供的互联网应用服务。

本发明中，实现通行证用户安全登录应用客户端的通行证认证服务中心可以包括如图2所示的结构，所示结构只是示例性的，本领域技术人员应该可以理解，在此基础上可以进行相应的变形和修改，都应覆盖在本权利要求的保护范围之内。具体的，通行证认证服务中心包括：

安全控件发布模块，发布用于集成到应用客户端的安全控件，所述安全控件获取输入的帐号和密码，对密码根据预置加密算法和存储的密钥进行密码加密得到密文密码。优选地，安全控件发布模块在加密算法、加密密钥进行调整时，重新发布安全控件。

接收模块，接收帐号和密文密码，所述帐号和密文密码通过应用客户端发送给应用平台服务器，再由应用平台服务器发送给通行证认证服务中心的接收模块。

存储模块，存储帐号与明文密码的对应关系。

加密模块，根据帐号从存储模块中提取已保存的明文密码，对所述明文密码进行与安全控件一致的加密处理。

比对模块，将加密后密码与接收到的密文密码进行比对，将比对结果传送给发送模块。

发送模块，将比对结果发送给应用平台服务器。

下面结合图3，对本发明通行证用户登录客户端的处理流程进行详细说明。用户在客户端正确输入帐号及密码，即可使用相关服务。具体包括以下步骤：

在步骤301，用户启动应用客户端，准备登录访问互联网应用；

在步骤302，在应用客户端展示的安全控件界面，用户输入帐号及密码，点击“登录”；

在步骤303，安全控件获取用户密码，根据预置加密算法(如MD5、3DES)和存储的密钥进行密码数据加密处理；

在步骤304，安全控件将帐号及密文密码信息发送给应用客户端；

在步骤305，应用客户端携带用户帐号及密文密码信息，向应用平台服务器发送用户认证请求；

在步骤306，通过SOAP后台认证接口，应用平台服务器向通行证服务中心转发该认证请求；

在步骤307，通行证服务中心根据接收消息的归属平台信息，提取归属平台数据库中该帐号的明文密码同样进行加密处理(加密算法及密钥与安全控件方式一致)，并将加密后密码与接收密文密码进行比对，向应用平台服务器返回认证结果信息(成功&失败)，认证一致则成功，否则失败；

在步骤308，应用平台服务器将认证请求的应答结果转发给应用客户端，若成功，执行步骤309，用户正常访问该互联网应用，若失败，拒绝用户访问互联网应用。

在本发明中，安全控件的开发受到具体操作系统以及具体开发语言的影响，实际开发过程中情况复杂多样。下面以“基于Windows操作系统，使用Visual Studio开发工具，通过C#编程语言”为例对安全控件的开发过程进行描述，但本发明的具体实施并不仅仅局限于此单一技术实现。

为实现安全控件与应用客户端的松耦合，安全控件内部处理对外的无感知，建议采用DLL方式进行实现。在Visual Studio中新创建“Windows Control Library”类型的工程；工程创建后进行安全控件的页面设计，包含用户帐号输入框、密码输入框；在此工程的执行函数内添加内部逻辑处理，包括：接收用户输入的明文帐号、密码，根据预设的加密算法及密钥对密码进行加密；定义用户输入信息获取接口，以供该DLL调用方获取加密后的用户密码信息。最后使用Visual Studio对该工程进行编译，便可生成安全控件的DLL文件。安全控件的输入参数无，输出参数为“帐号”、“密文密码”。

安全控件以DLL文件的形式发布，应用客户端开发时，在工程文件中引入此DLL文件，并将该DLL以组件形式添加至Visual Studio的系统工具栏中，之后即可作为系统标准控件使用。

安全控件可分为标准控件和个性化控件。通行证服务中心可根据全国应用的安全级别需要选择不同的方式。

所谓标准控件，是指通行证服务中心发布的安全控件的加密算法(不可逆算法如MD5、3DES)、加密密钥全部是统一标准的，可适用于通常的应用客户端集成。

所谓个性化控件，是指通行证服务中心为不同的互联网应用发布的安全控件在加密算法、加密密钥上有区别，确保不同应用平台服务器的密文密码只适用于该平台，防止黑客盗用A应用的密文密码去仿造B应用的认证请求。

针对典型互联网通行证用户，基于Web浏览器访问互联网应用，及基于客户端访问互联网应用的实施方案。

图4是典型实施案例的系统架构图，作为互联网通行证帐号的使用，可主要分成两类：

场景1为现有技术中，用户通过Web浏览器方式访问互联网应用，借助微软Passport、SAML2.0或OpenID等行业标准，基于http重定向技术实现用户密码信息的保护。

场景2为本发明用户通过PC或手机客户端方式登录访问互联网应用，在应用客户端开发时集成通行证服务中心的安全控件，由安全控件完全接管用户密码的输入和加密处理，其他客户端相关的工作流程不做改变。

将会理解，在一个实施例中，所讨论的方法步骤是由执行存储在存储装置中的指令(代码段)的处理(即计算机)系统的(一个或多个)适当的处理器来执行的。还将理解，本发明并不局限于任何特定的实现方式或编程技术，并且本发明可以用任何适当的用于实现这里所描述的功能的技术来实现。本发明并不局限于任何特定的编程语言或操作系统。从而，正如本领域的技术人员将会意识到的，本发明的实施例可以实现为方法、诸如专用装置这样的装置、诸如数据处理系统这样的装置，或者承载介质，例如计算机程序产品。承载介质承载用于控制处理系统实现方法的一个或多个计算机可读代码段。因此，本发明的方面可以采取方法、纯硬件实施例、纯软件实施例或者结合了软件和硬件方面的实施例的形式。此外，本发明可以采取承载包含在介质中的计算机可读程序代码段的承载介质(例如计算机可读存储介质上的计算机程序产品)的形式。可以使用任何合适的计算机可读介质，其中包括诸如磁盘或硬盘这样的磁存储设备，或者诸如CD-ROM这样的光存储介质。

作为对详细描述的结论，应该注意本领域的技术人员将会很清楚可对优选实施例做出许多变化和修改，而实质上不脱离本发明的原理。这种变化和修改包含在所附权利要求书所述的本发明的范围之内。

Claims (8)

1.实现通行证用户安全登录应用客户端的方法，包括以下步骤：

在应用客户端集成通行证服务中心发布的安全控件，启动应用客户端，在应用客户端展示的安全控件界面输入帐号和密码；

安全控件获取密码，根据预置加密算法和存储的密钥进行加密得到密文密码，将帐号和密文密码通过应用客户端发送给应用平台服务器；

应用平台服务器向通行证服务中心转发认证请求，在认证请求中携带帐号和密文密码；

通行证服务中心根据帐号提取已保存的明文密码，对所述明文密码进行与安全控件一致的加密处理，将加密后密码与接收到的密文密码进行比对，如果一致，则认证通过。

2.根据权利要求1所述实现通行证用户安全登录应用客户端的方法，其中，认证通过后，还包括以下步骤：

通行证服务中心向应用平台服务器返回认证通过结果；

应用平台服务器向应用客户端返回认证通过结果。

3.根据权利要求1所述实现通行证用户安全登录应用客户端的方法，其中，在应用客户端集成通行证服务中心发布的安全控件的操作中，包括以下步骤：

所集成的安全控件的加密算法、加密密钥进行调整时，通行证服务中心重新发布安全控件，由应用客户端集成重新发布的安全控件。

4.实现通行证用户安全登录应用客户端的系统，包括：

应用客户端，集成通行证服务中心发布的安全控件，在启动应用客户端时展示安全控件界面用于输入帐号和密码；将帐号和安全控件加密后的密文密码发送给应用平台服务器；

应用平台服务器，接收应用客户端发送的帐号和密文密码，将帐号和密文密码发送给通行证服务中心进行认证；

通行证认证服务中心，发布安全控件，所述安全控件获取输入的帐号和密码，对所述密码根据预置加密算法和存储的密钥进行加密得到密文密码；接收应用平台服务器发送的帐号和密文密码，根据帐号提取已保存的明文密码，对明文密码进行与安全控件一致的加密处理，将加密后密码与接收到的密文密码进行比对，如果一致，则认证通过。

5.根据权利要求4所述实现通行证用户安全登录应用客户端的系统，其中：

应用平台服务器接收到通行证服务中心返回的认证通过结果，向应用客户端返回认证通过结果。

6.根据权利要求4所述实现通行证用户安全登录应用客户端的系统，其中：

通行证服务中心发布的安全控件中预先存储初始密钥，当加密算法、加密密钥进行调整时，通行证服务中心重新发布新的安全控件。

7.实现通行证用户安全登录应用客户端的通行证认证服务中心，包括：

安全控件发布模块，发布用于集成到应用客户端的安全控件，所述安全控件获取输入的帐号和密码，对密码根据预置加密算法和存储的密钥进行密码加密得到密文密码；

接收模块，接收帐号和密文密码，所述帐号和密文密码通过应用客户端发送给应用平台服务器，再由应用平台服务器发送给通行证认证服务中心的接收模块；

存储模块，存储帐号与明文密码的对应关系；

加密模块，根据帐号从存储模块中提取已保存的明文密码，对所述明文密码进行与安全控件一致的加密处理，传送给比对模块；

比对模块，将加密模块加密后密码与接收到的密文密码进行比对，将比对结果传送给发送模块；

发送模块，将比对结果发送给应用平台服务器。

8.根据权利要求7所述实现通行证用户安全登录应用客户端的通行证认证服务中心，其中：

安全控件发布模块在加密算法、加密密钥进行调整时，重新发布安全控件。

Images