CN102752269A - 基于云计算的身份认证的方法、系统及云端服务器 - Google Patents

Abstract

本发明提供一种基于云计算的身份认证的方法、系统及云端服务器，该云端服务器包括：身份认证信息接收模块，用于接收来自用户设备的身份认证信息；身份认证算法选取模块，用于从所述身份认证信息中获取用户设备的标识信息，并选取与所述用户设备的标识信息对应的身份认证算法；身份认证服务模块，用于根据选取的所述身份认证算法，进行所述用户设备的身份认证的计算。由于可根据不同的用户设备选取不同的身份认证算法，从而提高身份认证的安全性。

Description

基于云计算的身份认证的方法、系统及云端服务器

技术领域

本发明属于数据业务技术领域，尤其涉及一种基于云计算的身份认证的方法、系统及云端服务器。

背景技术

目前，由于云计算系统的无所不在的特性，大大方便了用户可以在任何可连接上网的地方登录进入云计算系统。因此，云计算的账号安全逐渐受到重视。

如现有的一种用于云计算系统，该系统包括：位于云计算系统的账户保安系统和用户手机，账户保安系统监控云计算系统的各账户，当账户保安系统发现对受监控的账户进行操作时，账户保安系统会通过电话网络致电该账户的用户手机，请用户输入确认信息，并核对用户的确认信息无误后，账户保安系统才允许云计算系统进行该受监控的操作，从而保障云计算系统的账户安全，即使密码被黑客偷取了，没有用户手机也是不能对账户进行任何受监控的操作，包括登录、访问受保护数据等操作。

然而，现有的账户保安系统所采用的身份认证算法单一，不能针对不同性能的用户手机选取不同强度的身份认证算法，不能满足身份认证的安全性要求。

发明内容

为了解决上述问题，本发明的目的是提供一种基于云计算的身份认证的方法、系统及云端服务器，可根据不同的用户设备选取不同的身份认证算法，提高身份认证的安全性。

为了达到上述目的，本发明提供一种基于云计算的身份认证的方法，所述方法包括：

接收来自用户设备的身份认证信息；

从所述身份认证信息中获取用户设备的标识信息，并选取与所述用户设备的标识信息对应的身份认证算法；

根据选取的所述身份认证算法，进行所述用户设备的身份认证的计算。

优选地，所述选取与所述标识信息对应的身份认证算法的步骤具体包括：

根据所述用户设备的标识信息，获取所述用户设备的用户设备类型；

根据所述用户设备类型，得到与所述用户设备的标识信息对应的身份认证算法和共享密钥SK。

优选地，所述身份认证信息还包括用户设备产生的随机数RNK_m；

所述根据选取的所述身份认证算法，进行所述用户设备的身份认证的计算的步骤具体为：

利用选取的所述身份认证算法，根据所述用户设备产生的随机数RNK_m、云端服务器产生的序列号SQN和共享密钥SK，进行所述用户设备的身份认证的计算，并得到云端服务器侧的认证令牌TKN_c。

优选地，在计算得到所述云端服务器侧的认证令牌TKN_c之后，所述方法还包括：

所述用户设备接收非授权应答信息，所述非授权应答信息包括：所述云端服务器侧的认证令牌TKN_c、所述云端服务器产生的随机数RNK_c、所述云端服务器产生的序列号SQN；

所述用户设备接收到所述非授权应答信息后，通过与所述云端服务器选取的身份认证算法相同的算法，根据所述用户设备产生的随机数RNK_m、所述共享密钥SK和所述云端服务器产生的序列号SQN，计算得到用户设备侧的认证令牌TKN_m；

当所述用户设备侧的认证令牌TKN_m与所述云端服务器侧的认证令牌TKN_c相同时，得到的身份认证结果为所述云端服务器的身份合法。

优选地，所述方法还包括：

接收所述用户设备侧的消息认证码MAC_m，所述用户设备侧的消息认证码MAC_m由所述用户设备通过与所述云端服务器选取的身份认证算法相同的算法，根据所述云端服务器侧的认证令牌TKN_c、所述云端服务器产生的随机数RNK_c、所述共享密钥SK和所述用户设备的标识信息计算得到；

通过所述身份认证算法，根据所述云端服务器侧的认证令牌TKN_c、所述云端服务器产生的随机数RNK_c、所述共享密钥SK和所述用户设备的标识信息，计算得到云端服务器侧的消息认证码MAC_c；

当所述用户设备侧的消息认证码MAC_m与云端服务器侧的消息认证码MAC_c相同时，则通过所述用户设备的身份认证，并向所述用户设备发送授权信息。

优选地，所述身份认证算法为单向哈希函数。

为了达到上述目的，本发明还提供一种基于云计算的身份认证的系统，所述系统包括：用户设备和云端服务器，其中

所述用户设备，用于向所述云端服务器发送身份认证信息；

所述云端服务器，用于接收来自所述用户设备的身份认证信息，从所述身份认证信息中获取用户设备的标识信息，并选取与所述用户设备的标识信息对应的身份认证算法，最后根据选取的所述身份认证算法，进行所述用户设备的身份认证的计算，得到云端服务器侧的认证令牌TKN_c。

优选地，所述用户设备还用于接收所述云端服务器发送的非授权应答信息，所述非授权应答信息包括：所述云端服务器侧的认证令牌TKN_c、云端服务器产生的随机数RNK_c、云端服务器产生的序列号SQN，然后通过与所述云端服务器选取的身份认证算法相同的算法，根据所述用户设备产生的随机数RNK_m、共享密钥SK和所述云端服务器产生的序列号SQN，计算得到用户设备侧的认证令牌TKN_m，当所述用户设备侧的认证令牌TKN_m与所述云端服务器侧的认证令牌TKN_c相同时，得到的身份认证结果为所述云端服务器的身份合法。

为了达到上述目的，本发明还提供一种云端服务器，包括：

身份认证信息接收模块，用于接收来自用户设备的身份认证信息；

身份认证算法选取模块，用于从所述身份认证信息中获取用户设备的标识信息，并选取与所述用户设备的标识信息对应的身份认证算法；

身份认证服务模块，用于根据选取的所述身份认证算法，进行所述用户设备的身份认证的计算。

优选地，所述云端服务器还包括：

身份认证信息存储模块，与所述身份认证算法选取模块连接，用于存储所述用户设备的身份认证信息、共享密钥SK和身份认证算法。

由上述技术方案可知，本发明的实施例具有如下有益效果：首先，云端服务器可根据不同的用户设备选取不同的身份认证算法，例如根据用户设备的类型，来选取不同强度的单向哈希函数来进行身份认证计算，有效提高了身份认证的安全性；其次，用户设备也可对云端服务器进行身份验证，当云端服务器的身份合法时，才继续进行后续的身份认证流程，从而实现了云端服务器侧和用户设备侧的双向身份认证，有效提高了身份认证的安全性。

附图说明

图1为本发明的实施例中基于云计算的身份认证的方法流程图；

图2为本发明的实施例中基于云计算的身份认证的工作流程图；

图3为本发明的实施例中基于云计算的身份认证的系统结构图；

图4为本发明的实施例中云端服务器的结构框图。

具体实施方式

为了使本发明实施例的目的、技术方案和优点更加清楚明白，下面结合实施例和附图，对本发明实施例做进一步详细地说明。在此，本发明的示意性实施例及说明用于解释本发明，但并不作为对本发明的限定。

如图1所示，为本发明的实施例中基于云计算的身份认证的方法流程图，具体步骤如下：

步骤101、用户设备向云端服务器发送身份认证信息；

在执行步骤101之前，用户设备可采用现有的方式产生随机数RNK_m，用户设备产生的随机数RNK_m可通过伪随机数生成函数生成，用于保证身份认证信息的新鲜性，消除重放攻击，然后开始执行步骤101。

在步骤101中，用户设备通过移动通信网络向云端服务器发送身份认证信息，该身份认证信息包括：用户名(Username)、用户设备的标识信息(DeviceID)和用户设备产生的随机数RNK_m，其中该用户设备产生的随机数RNK_m的位数一般为128位。

步骤102、云端服务器接收来自用户设备的身份认证信息；

步骤103、云端服务器从身份认证信息中获取用户设备的标识信息，并选取与用户设备的标识信息对应的身份认证算法；

例如，云端服务器首先根据用户设备的标识信息，以及用户设备的标识信息与用户设备类型的对应关系，获取用户设备的用户设备类型；

然后，云端服务器根据用户设备类型，以及用户设备类型与身份认证算法的对应关系，得到与用户设备的标识信息对应的身份认证算法和共享密钥SK。

在本实施例中，在云端服务器上可预先设置用户设备的标识信息与用户设备类型的对应关系，以及预先设置用户设备类型与身份认证算法的对应关系。用户设备的标识信息与用户设备类型的对应关系可以是一对一的对应关系，用户设备的标识信息与用户设备类型的对应关系也可以是多对一的对应关系。

同理，用户设备类型与身份认证算法的对应关系可以是一对一的对应关系，用户设备类型与身份认证算法的对应关系也可以是多对一的对应关系。如下表所示：

例如：云端服务器中记录有每个用户设备的用户设备类型，根据设备类型的不同，云端服务器可自动选择不同强度的身份认证算法(例如单向哈希函数，每个用户设备可对应一种类型的单向哈希函数)。

步骤104、云端服务器根据选取的身份认证算法，进行用户设备的身份认证的计算；

在步骤103～104中，云端服务器查询得到与用户设备的标识信息对应的身份认证算法以及共享密钥SK，并获取云端服务器产生的序列号SQN和云端服务器产生的随机数RNK_c。

然后，通过步骤103中获取的身份认证算法，根据用户设备产生的随机数RNK_m、共享密钥SK和云端服务器产生的序列号SQN，计算得到云端服务器侧的认证令牌TKN_c。

在计算得到云端服务器侧的认证令牌TKN_c之后，云端服务器向用户设备发送非授权应答信息，该非授权应答信息包括：云端服务器侧的认证令牌TKN_c、云端服务器产生的随机数RNK_c和云端服务器产生的序列号SQN；

上述共享密钥SK是指用户设备和云端服务器共享的密码。

上述云端服务器产生的随机数RNK_c和云端服务器产生的序列号SQN，可通过伪随机数生成函数生成，用于保证身份认证信息的新鲜性。

在本实施例中，身份认证算法可选用单向哈希函数H来实现其计算过程，例如MD5、SHA-1、SHA-256、SHA-384、SHA-512、RIPEMD-128、RIPEMD-160等单向哈希函数H，此时，云端服务器侧的认证令牌TKN_c计算的伪代码为：

TKN_c＝H(RNK_m||SK||SQN)。

步骤105、用户设备接收非授权应答信息；

该非授权应答信息包括：云端服务器侧的认证令牌TKN_c、云端服务器产生的随机数RNK_c和云端服务器产生的序列号SQN；

步骤106、用户设备通过身份认证算法，根据用户设备产生的随机数RNK_m、共享密钥SK、云端服务器产生的序列号SQN，计算得到用户设备侧的认证令牌TKN_m；

在本实施例中，该用户设备采用的身份认证算法和云端服务器在步骤103中选取的身份认证算法相同。

例如：当选用单向哈希函数H作为身份认证算法时，用户设备侧的认证令牌TKN_m计算的伪代码为：

TKN_m＝H(RNK_m||SK||SQN)。

例如，当云端服务器在步骤103中选用MD5来计算云端服务器侧的认证令牌TKN_c，则在步骤106中，该用户设备相应的也采用MD5来计算用户设备侧的认证令牌TKN_m。

步骤107、用户设备比较用户设备侧的认证令牌TKN_m与云端服务器侧的认证令牌TKN_c是否相同，如果相同，则确认云端服务器的身份合法，继续执行步骤108；否则，终止身份认证流程，结束本流程。

步骤108、用户设备计算得到用户设备侧的消息认证码MAC_m；

也就是，用户设备通过与云端服务器选取的身份认证算法相同的算法，根据云端服务器侧的认证令牌TKN_c、云端服务器的随机数RNK_c、共享密钥SK和用户设备的标识信息(DeviceID)，计算得到用户设备侧的消息认证码MAC_m，并将用户设备侧的消息认证码MAC_m发送给云端服务器。

当该身份认证算法选用单向哈希函数H时，用户设备侧的消息认证码MAC_m计算的伪代码为：

MAC_m＝H(TKN_c||RNK_c||SK||DeviceID)

步骤109、云端服务器接收用户设备侧的消息认证码MAC_m，并计算得到云端服务器侧的消息认证码MAC_c；

也就是，云端服务器通过身份认证算法，根据云端服务器侧的认证令牌TKN_c、云端服务器产生的随机数RNK_c、共享密钥SK和身份认证信息(DeviceID)，计算得到云端服务器侧的消息认证码MAC_c。

当该身份认证算法选用单向哈希函数H时，云端服务器侧的消息认证码MAC_c的计算的伪代码为：

MAC_c＝H(TKN_c||RNK_c||SK||DeviceID)

步骤110、云端服务器判断云端服务器侧的消息认证码MAC_c与用户设备侧的消息认证码MAC_m是否相同，如果相同，则通过用户设备的身份认证，执行步骤111；否则，终止身份认证流程；

步骤111、云端服务器向用户设备发送授权信息。

用户设备在接收到授权信息后，即可正常访问云端服务器。

由上述技术方案可知，本发明的实施例具有如下有益效果：首先，云端服务器可根据不同的用户设备选取不同的身份认证算法，例如根据用户设备的类型，来选取不同强度的单向哈希函数来进行身份认证计算，有效提高了身份认证的安全性；其次，用户设备也可对云端服务器进行身份验证，当云端服务器的身份合法时，才继续进行后续的身份认证，从而实现了云端服务器侧和用户设备侧的双向身份认证，有效提高了身份认证的安全性。

在本实施例中，可根据用户设备的型号或用户设备的操作系统等信息对用户设备类型进行分类，例如：

根据用户设备的操作系统可分为：智能终端和非智能终端，针对上述两种类型的用户设备，在进行身份认证计算时，所选用的单向哈希函数H的强度逐步降低。

根据用户设备的处理能力和内存的性能参数可分为：高级智能终端、普通智能终端、高级非智能终端和普通非智能终端。针对上述四种类型的用户设备，在进行身份认证计算时，所选用的单向哈希函数H的强度逐步降低。

以按照用户设备的处理器的主频来划分为例，将用户设备的处理器主频高于500MHz的智能终端归为高级智能终端，用户设备的处理器主频低于等于500MHz的智能终端归为普通智能终端；将用户设备的处理器主频高于50MHz的非智能终端归为高级非智能终端，用户设备的处理器主频低于等于50MHz的非智能终端归为普通非智能终端。

从而，上述云端服务器根据用户设备的类型自动选择不同强度的单向哈希函数H的过程为：

当用户设备为高级智能终端时，云端服务器选用的单向哈希函数H可以是SHA-256、RIPEMD-256或SHA-512；

当用户设备为普通智能终端时，云端服务器选用的单向哈希函数H可以是SHA-1或RIPEMD-160；

当用户设备为高级非智能终端时，云端服务器选用的单向哈希函数H可以是SHA-1或RIPEMD-128；

当用户设备为普通非智能终端是，云端服务器选用的单向哈希函数H可以是MD5。

针对上述四种类型的用户设备，在进行身份认证计算时，所选用的哈希算法的强度(如哈希值的位数)逐步降低。

如图2所示，为本发明的实施例中基于云计算的身份认证的工作流程图，具体步骤如下：

步骤201、用户设备向云端服务器发送身份认证信息；

该身份认证信息包括：用户名(Username)、用户设备的标识信息(DeviceID)和用户设备产生的随机数RNK_m；

此时，云端服务器可根据用户设备的标识信息选取对应的身份认证算法，来进行身份认证计算。

步骤202、云端服务器向用户设备发送非授权应答信息；

该非授权应答信息包括：云端服务器侧的认证令牌TKN_c、云端服务器产生的随机数RNK_c和云端服务器产生的序列号SQN，此时，由用户设备对云端服务器进行身份认证。

步骤203、用户设备再次向云端服务器发送身份认证信息；

也就是，当云端服务器通过身份认证后，再由云端服务器对用户设备进行身份认证。

步骤204、云端服务器向用户设备发送身份认证通过的响应消息。

也就是，当云端服务器计算得到的云端服务器侧的消息认证码MAC_c，与用户设备计算得到的用户设备侧的消息认证码MAC_m相同时，用户设备的身份认证通过。

如图3所示，为本发明的实施例中基于云计算的身份认证的系统结构图，该所述系统包括：用户设备31和云端服务器32，其中

所述用户设备31，用于向所述云端服务器32发送身份认证信息；

所述云端服务器32，用于接收来自所述用户设备31的身份认证信息，从所述身份认证信息中获取用户设备的标识信息，并选取与所述用户设备的标识信息对应的身份认证算法，最后根据选取的所述身份认证算法，进行所述用户设备的身份认证的计算，得到云端服务器侧的认证令牌TKN_c。

在本实施例中，用户设备31可通过移动通信网络33与云端服务器32在信息同步(或其他操作)之前，通过共享密钥SK和云端服务器侧的认证令牌TNK_c等双向挑战信息的方式，实现用户设备31与云端服务器32的身份互相认证，其中用户34可拥有多台用户设备31时，每台用户设备31有唯一的设备ID号；

云端服务器32记录每台用户设备31对应的设备性能参数(如处理器的主频，内存等)，根据设备性能参数的不同，云端服务器32可采用若干类不同的身份认证算法(包括算法强度，如哈希值的位数)，每台用户设备31对应一种类型的身份认证算法。用户34在云系统上对身份认证算法的选择是可管理的。

在本实施例中，所述用户设备31，还用于接收所述云端服务器32发送的非授权应答信息，所述非授权应答信息包括：所述云端服务器侧的认证令牌TKN_c、云端服务器产生的随机数RNK_c、云端服务器产生的序列号SQN；然后通过与所述云端服务器选取的身份认证算法相同的算法，根据所述用户设备产生的随机数RNK_m、共享密钥SK和所述云端服务器产生的序列号SQN，计算得到用户设备侧的认证令牌TKN_m；当所述用户设备侧的认证令牌TKN_m与所述云端服务器侧的认证令牌TKN_c相同时，得到的身份认证结果为所述云端服务器32的身份合法。

如图4所示，为本发明的实施例中云端服务器的结构框图，该云端服务器包括：

身份认证信息接收模块41，用于接收来自用户设备的身份认证信息；

身份认证算法选取模块42，用于从所述身份认证信息中获取用户设备的标识信息，并选取与所述用户设备的标识信息对应的身份认证算法；

身份认证服务模块43，用于根据选取的所述身份认证算法，进行所述用户设备的身份认证的计算。

在本实施例中，身份认证算法可选用单向哈希函数H，例如MD5、SHA-1、SHA-256、SHA-384、SHA-512、RIPEMD-128、RIPEMD-160。

在本发明的另一实施例中，该云端服务器还包括：身份认证信息存储模块44，与身份认证算法选取模块42连接，用于存储用户设备的身份认证信息、共享密钥SK、身份认证算法以及其他用户的描述信息。

在本发明的另一实施例中，该云端服务器还包括：身份认证信息管理模块45，与身份认证信息存储模块44连接，用于对身份认证信息进行修改、查询、增加或删除。

在本发明的另一实施例中，该云端服务器还包括：随机数生成模块46，与身份认证服务模块43连接，用于生成云端服务器产生的随机数RNK_c。

在本发明的另一实施例中，该云端服务器还包括：身份认证日志模块47，与身份认证服务模块43连接，用于记录身份认证服务的日志。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (10)

1.一种基于云计算的身份认证的方法，其特征在于，所述方法包括：

接收来自用户设备的身份认证信息；

从所述身份认证信息中获取用户设备的标识信息，并选取与所述用户设备的标识信息对应的身份认证算法；

根据选取的所述身份认证算法，进行所述用户设备的身份认证的计算。

2.根据权利要求1所述的方法，其特征在于，所述选取与所述标识信息对应的身份认证算法的步骤具体包括：

根据所述用户设备的标识信息，获取所述用户设备的用户设备类型；

根据所述用户设备类型，得到与所述用户设备的标识信息对应的身份认证算法和共享密钥SK。

3.根据权利要求1所述的方法，其特征在于，所述身份认证信息还包括用户设备产生的随机数RNK_m；

所述根据选取的所述身份认证算法，进行所述用户设备的身份认证的计算的步骤具体为：

利用选取的所述身份认证算法，根据所述用户设备产生的随机数RNK_m、云端服务器产生的序列号SQN和共享密钥SK，进行所述用户设备的身份认证的计算，并得到云端服务器侧的认证令牌TKN_c。

4.根据权利要求3所述的方法，其特征在于，在计算得到所述云端服务器侧的认证令牌TKN_c之后，所述方法还包括：

所述用户设备接收非授权应答信息，所述非授权应答信息包括：所述云端服务器侧的认证令牌TKN_c、所述云端服务器产生的随机数RNK_c、所述云端服务器产生的序列号SQN；

所述用户设备接收到所述非授权应答信息后，通过与所述云端服务器选取的身份认证算法相同的算法，根据所述用户设备产生的随机数RNK_m、所述共享密钥SK和所述云端服务器产生的序列号SQN，计算得到用户设备侧的认证令牌TKN_m；

当所述用户设备侧的认证令牌TKN_m与所述云端服务器侧的认证令牌TKN_c相同时，得到的身份认证结果为所述云端服务器的身份合法。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

接收所述用户设备侧的消息认证码MAC_m，所述用户设备侧的消息认证码MAC_m由所述用户设备通过与所述云端服务器选取的身份认证算法相同的算法，根据所述云端服务器侧的认证令牌TKN_c、所述云端服务器产生的随机数RNK_c、所述共享密钥SK和所述用户设备的标识信息计算得到；

通过所述身份认证算法，根据所述云端服务器侧的认证令牌TKN_c、所述云端服务器产生的随机数RNK_c、所述共享密钥SK和所述用户设备的标识信息，计算得到云端服务器侧的消息认证码MAC_c；

当所述用户设备侧的消息认证码MAC_m与云端服务器侧的消息认证码MAC_c相同时，则通过所述用户设备的身份认证，并向所述用户设备发送授权信息。

6.根据权利要求1所述的方法，其特征在于，所述身份认证算法为单向哈希函数。

7.一种基于云计算的身份认证的系统，其特征在于，所述系统包括：用户设备和云端服务器，其中

所述用户设备，用于向所述云端服务器发送身份认证信息；

所述云端服务器，用于接收来自所述用户设备的身份认证信息，从所述身份认证信息中获取用户设备的标识信息，并选取与所述用户设备的标识信息对应的身份认证算法，最后根据选取的所述身份认证算法，进行所述用户设备的身份认证的计算，得到云端服务器侧的认证令牌TKN_c。

8.根据权利要求7所述的系统，其特征在于，所述用户设备还用于接收所述云端服务器发送的非授权应答信息，所述非授权应答信息包括：所述云端服务器侧的认证令牌TKN_c、云端服务器产生的随机数RNK_c、云端服务器产生的序列号SQN，然后通过与所述云端服务器选取的身份认证算法相同的算法，根据所述用户设备产生的随机数RNK_m、共享密钥SK和所述云端服务器产生的序列号SQN，计算得到用户设备侧的认证令牌TKN_m，当所述用户设备侧的认证令牌TKN_m与所述云端服务器侧的认证令牌TKN_c相同时，得到的身份认证结果为所述云端服务器的身份合法。

9.一种云端服务器，其特征在于，包括：

身份认证信息接收模块，用于接收来自用户设备的身份认证信息；

身份认证算法选取模块，用于从所述身份认证信息中获取用户设备的标识信息，并选取与所述用户设备的标识信息对应的身份认证算法；

身份认证服务模块，用于根据选取的所述身份认证算法，进行所述用户设备的身份认证的计算。

10.根据权利要求9所述的云端服务器，其特征在于，所述云端服务器还包括：

身份认证信息存储模块，与所述身份认证算法选取模块连接，用于存储所述用户设备的身份认证信息、共享密钥SK和身份认证算法。

Images