CN102811203B - 互联网中用户身份识别方法、系统及用户终端 - Google Patents

Abstract

本发明公开了一种互联网中用户身份识别方法、系统及用户终端，克服现有的采用PKI体系进行身份验证较为复杂的缺陷。其中该方法包括：用户终端根据用户的操作向网站系统发送请求服务指令；网站系统收到请求服务指令后，向用户终端发送身份验证提示信息；根据身份验证提示信息，将用户身份识别设备连接到用户终端；用户终端获得用户身份识别设备的第一序列号后发送给网站系统；网站系统对第一序列号与本地存储的对应于用户身份识别设备的第二序列号进行内容一致性判断，内容一致则通过用户终端的身份验证。本发明相比现有技术更简单，实现的流程更简洁，并且能提供足够的安全强度，有效弥补了目前已有验证方式的缺陷。

Description

互联网中用户身份识别方法、系统及用户终端

技术领域

本发明涉及身份识别技术，尤其涉及一种互联网中用户身份识别方法及系统，以及一种用户终端。

背景技术

互联网站提供信息或服务时，通常会验证用户身份，一般采取两种不同的方法。第一种方法是用户自助注册的用户名＋密码的方式；第二种方法是向用户提供硬件身份识别设备。

通常如邮件服务网站、招聘网站、购物网站、社交网站等，往往使用第一种身份验证方法，用户可以在网站中自助注册用户名，设置个人密码，在以后的使用过程中，凭借用户名＋密码的方式来验证身份，以获取进一步的服务。对用户身份识别有严格要求的网站，如网上银行，网上炒股等网站，往往采用第二种身份验证方法，作为服务提供方的银行或证券公司，在验证用户身份正确后，向用户发放硬件身份识别设备，如智能钥匙（USBKey），作为使用网上银行服务时验证身份的手段。

第一种验证方法，由于用户名和密码在网络上传输，信息很容易被盗取，因而安全性较低。

第二种验证方法，采用了严格的公钥基础设备（PKI）体系，智能钥匙（USBKey）硬件设备中，包含有一个IC卡芯片，保存了用户的公私钥对，通过私钥加密、公钥解密的方式，一方面确保机密信息传输的安全，另一方面也严格地认证了用户身份，保证了签名数据的不可抵赖性。

但是，采用第二种验证方法，实现方式较为复杂，大致的流程为：在用户登录网站并请求某项服务（比如在网上银行请求网上转账服务）后，在网站的要求下将USBKey插入用户终端，用户终端将请求服务的信息发送至USBKey，并在用户输入使用密码后，USBKey对请求信息进行签名运算，生成电子签名返回至用户终端；用户终端将请求信息及电子签名一并发送给网站后，由网站执行签名验证程序，若签名验证通过则受理用户的转账请求，否则拒绝。

以上是基本的处理流程，若使用功能较为复杂的USBKey，其流程会更为繁琐，如在USBKey上增加一个按键，按下按键后USBKey才进行签名运算等。

可以看出，以上两种方法，方法一过于简单，往往不能保证网站安全性，而方法二又过于复杂，除网上银行等安全性要求较高的网站外，一般网站难以实施。

发明内容

本发明所要解决的技术问题是需要提供一种互联网中用户身份识别技术，克服现有的采用PKI体系进行身份验证较为复杂的缺陷。

为了解决上述技术问题，本发明提供了一种互联网中用户身份识别方法，包括如下步骤：

用户通过用户终端登录网站系统，该用户终端根据用户的操作向该网站系统发送请求服务指令；

该网站系统收到该请求服务指令后，向该用户终端发送身份验证提示信息；

根据该身份验证提示信息，将用户身份识别设备连接到该用户终端；

该用户终端获得该用户身份识别设备的第一序列号后发送给该网站系统；

该网站系统对该第一序列号与本地存储的对应于该用户身份识别设备的第二序列号进行内容一致性判断，内容一致则通过该用户终端的身份验证。

优选地，该用户终端获得该第一序列号的步骤，包括：

该用户通过客户端软件登录该网站系统时，该用户终端向该用户身份识别设备发出读取指令以获取该第一序列号；或者

该用户通过通用浏览器登录该网站系统时，接收由该通用浏览器发送的该第一序列号；

其中，该通用浏览器通过读取控件向该用户身份识别设备发出读取指令以获取该第一序列号。

优选地，该用户终端获得该第一序列号后，该方法进一步包括：

该用户终端判断是否需要对该第一序列号进行加密传输；

需要对该第一序列号进行加密传输时，如果该第一序列号为密文形式则该用户终端将该第一序列号发送给该网站系统，如果该第一序列号为明文形式则该用户终端对该第一序列号进行加密，获得该第一序列号的密文形式并将发送给该网站系统；

不需要对该第一序列号进行加密传输时，该用户终端将明文形式的该第一序列号发送给该网站系统。

优选地，该网站系统收到该第一序列号后，判断该第一序列号是明文形式还是密文形式；该第一序列号与该第二序列号同为明文形式或同为密文形式时，该网站系统对该第一序列号及该第二序列号进行该内容一致性判断；该第一序列号与该第二序列号不同为明文形式或不同为密文形式时，该网站系统将该第一序列号与该第二序列号处理成同为明文形式或同为密文形式，再对该第一序列号及该第二序列号进行该内容一致性判断。

本发明还提供了一种互联网中用户身份识别系统，包括用户身份识别设备、用户终端以及网站系统，其中：

用户终端，用于用户登录该网站系统，根据用户的操作向该网站系统发送请求服务指令，根据该网站系统发送的身份验证提示信息连接该用户身份识别设备，并获得该用户身份识别设备的第一序列号发送给该网站系统；

网站系统，用于收到该请求服务指令后，向该用户终端发送该身份验证提示信息，并用于对该第一序列号与本地存储的对应于该用户身份识别设备的第二序列号进行内容一致性判断，内容一致则通过该用户终端的身份验证。

优选地，该用户终端用于在该用户通过客户端软件登录该网站系统时，向该用户身份识别设备发出读取指令以获取该第一序列号；在该用户通过通用浏览器登录该网站系统时，接收由该通用浏览器获取的该第一序列号；

其中，该通用浏览器上的读取控件向该用户身份识别设备发出读取指令以获取该第一序列号。

优选地，该用户终端用于获得该第一序列号后，判断是否需要对该第一序列号进行加密传输；需要对该第一序列号进行加密传输时，如果该第一序列号为密文形式则将该第一序列号发送给该网站系统，如果该第一序列号为明文形式则对该第一序列号进行加密，获得该第一序列号的密文形式并发送给该网站系统；不需要对该第一序列号进行加密传输时，将明文形式的该第一序列号发送给该网站系统。

本发明还提供了一种用户终端，用于向网站系统发送一用户身份识别设备的序列号，包括登录模块、发送模块、连接模块以及获取模块，其中：

登录模块，用于用户登录该网站系统；

发送模块，用于根据用户的操作向该网站系统发送请求服务指令，并将该用户身份识别设备的序列号发送给该网站系统；

接收模块，用于接收该网站系统发送的身份验证提示信息；

连接模块，用于根据该身份验证提示信息连接该用户身份识别设备；

获取模块，用于获得该用户身份识别设备的该序列号；

其中，该网站系统在收到该请求服务指令后发送该身份验证提示信息。

优选地，该获取模块用于在用户通过客户端软件登录该网站系统时，向该用户身份识别设备发出读取指令以获取该序列号；在该用户通过通用浏览器登录该网站系统时，接收由该通用浏览器获取的该序列号；

其中，该通用浏览器上的读取控件向该用户身份识别设备发出读取指令以获取该序列号。

优选地，该用户终端进一步包括：

第一判断模块，用于该获取模块获得该序列号后，判断是否需要对该序列号进行加密传输；

第二判断模块，用于该第一判断模块判断出需要对该序列号进行加密传输时，判断该序列号是明文形式还是密文形式；

加密模块，用于对明文形式的该序列号进行加密，获得该序列号的密文形式；

其中，该发送模块用于第一判断模块判断出不需要对该序列号进行加密传输时，将明文形式的该序列号发送给该网站系统；以及第一判断模块判断出需要对该序列号进行加密传输时，将密文形式的该序列号发送给该网站系统。

与现有技术相比，本发明提供的用户身份识别技术可以利用目前用户已有的USBKey等用户身份识别设备，采用用户终端及网站系统进行身份识别，相比现有技术更简单，实现的流程更简洁，并且能提供足够的安全强度，有效弥补了目前已有验证方式的缺陷。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。

附图说明

附图用来提供对本发明技术方案的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明的技术方案，并不构成对本发明技术方案的限制。在附图中：

图1是本发明互联网中用户身份识别方法实施例的流程示意图；

图2是本发明互联网中用户身份识别系统实施例的组成示意图；

图3是本发明用户终端实施例的组成示意图。

具体实施方式

以下将结合附图及实施例来详细说明本发明的实施方式，借此对本发明如何应用技术手段来解决技术问题，并达成技术效果的实现过程能充分理解并据以实施。

首先，如果不冲突，本发明实施例以及实施例中的各个特征的相互结合，均在本发明的保护范围之内。另外，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

实施例一、互联网中用户身份识别方法

图1是本发明互联网中用户身份识别方法实施例的流程示意图。如图1所示，本实施例主要包括如下步骤：

步骤S110，用户通过用户终端（CT）登录网站系统（WS），用户终端根据用户的操作向网站系统发送请求服务指令。

用户登录网站系统后，网站系统可以首先判断用户登录途径是通用浏览器还是客户端软件；

若用户是通过通用浏览器登录则进一步判断用户终端是否为首次登陆本网站系统，是则首先提示用户下载并运行读取控件以读取用户身份识别设备（ID）的序列号，然后再通过用户终端向网站系统发起请求服务指令；

若用户使用客户端软件登录网站系统，则由于客户端软件具备直接向用户身份识别设备（ID）发起读取序列号的指令的能力，因而无需下载并运行读取控件即可直接向网站系统发起请求服务指令。

其中，用户身份识别设备（ID）是用户拥有的具备唯一序列号（SN）的能够表明用户身份的设备，如智能钥匙（USBKey）、IC卡等等。

步骤S120，网站系统收到服务请求指令后，向用户终端发送身份验证提示信息，提示用户进行身份验证。

一般情况下，网站系统会提供若干类型的服务内容，其中只有当用户请求需要验证用户身份的服务，网站系统才会向用户提示，以指导用户进行后续操作；而对于用户请求的是不需要进行身份验证的服务时，可以不用向用户提示进行身份验证。

步骤S130，用户终端收到网站系统发送的身份验证提示信息后进行显示，用户根据提示将用户身份识别设备（ID）通过用户终端的本地端口与用户终端相连接，该本地端口包括但不限于并口、串口、USB口等。

步骤S140，用户终端读取用户身份识别设备（ID）的第一序列号，并将该第一序列号发送给网站系统。

如果用户通过客户端软件登录网站系统，则用户终端直接向用户身份识别设备（ID）发出序列号读取指令以读取用户身份识别设备的第一序列号。

如果用户通过通用浏览器登录网站系统，则由通用浏览器向读取控件发出序列号读取指令后，由读取控件向用户设备（ID）发出序列号读取指令，用户身份识别设备（ID）返回该第一序列号给读取控件后，再由读取控件向通用浏览器返回该第一序列号。

步骤S150，网站系统接收到该第一序列号后，获取用户终端（CT）发送的第一序列号是明文形式还是密文形式，并判断该第一序列号的明文形式或密文形式是否与网站系统本地存储的与该用户身份识别设备相对应的第二序列号的明文或密文形式是否形式一致，若形式一致（比如用户终端发送的第一序列号及网站系统本地存储的第二序列号都是密文形式，或者都是明文形式）则转步骤S170，否则转步骤S160。

步骤S160，网站系统对接收到的第一序列号进行加密或者解密，以将接收到的第一序列号与本地存储的第二序列号同为密文形式（对应对第一序列号进行加密）或者同为明文形式（对应对第一序列号进行解密），执行步骤S170。

步骤S170，网站系统对具有相同形式用户终端发送的第一序列号及本地存储的对应于该用户身份识别设备的第二序列号进行内容一致性判断，以判断出两种序列号的是否内容一致，内容一致则表示通过身份验证，转步骤S180，否则转步骤S190。

步骤S180，网站系统向用户终端反馈身份验证通过信息，向用户提供服务。

步骤S190，网站系统进行身份验证出错处理，向用户终端反馈身份验证未通过提示信息。

在上述步骤S140中，用户终端在读取用户身份识别设备（ID）的序列号后，还可以进行如下步骤：

判断是否需要对序列号进行加密传输；

如果需要对序列号进行加密传输，则进一步判断用户身份识别设备（ID）返回的序列号是否为密文形式，如果是密文形式则不需要加密直接把密文形式的序列号发送给网站系统，如果是明文则用户终端对用户身份识别设备（ID）的序列号进行加密，并将序列号的密文形式发送给网站系统；

如果不需要对序列号进行加密传输，则直接把明文形式的序列号发送给网站系统。

对序列号进行加密传输可以保证信息在传输过程中不被窃取、篡改，有利于进一步增强安全性。

用户身份识别设备（ID）直接返回加密的序列号（序列号为密文形式），则可以省去由用户终端对序列号进行加密运算的过程，明文的序列号仅存在于用户身份识别设备（ID），安全性更高。但是用户身份识别设备（ID）返回加密的序列号需要用户身份识别设备具备加密运算功能，当用户身份识别设备（ID）存在不同类型时，还需要统一各种类型用户身份识别设备（ID）的加密算法，实现起来较为复杂。因此，一种较为简洁的方法是用户身份识别设备（ID）返回明文的序列号，由用户终端进行加密运算。

用户使用客户端软件登录网站系统时，用户终端对用户身份识别设备（ID）的序列号进行加密的操作可由客户端软件完成；用户使用通用浏览器登录网站系统时，用户终端对用户身份识别设备（ID）的序列号进行加密的操作可由读取控件完成。

实施例二、互联网中用户身份识别系统

图2是本发明互联网中用户身份识别系统实施例的组成示意图。结合图1所示的方法实施例的说明，图2所示的本实施例主要包括用户终端（CT）100、网站系统（WS）200以及用户身份识别设备（ID）300，其中：

用户终端100，与网站系统200通过互联网（网络）相连接，与用户身份识别设备300通过本地端口连接；用于用户登录网站系统200根据用户的操作，向网站系统200发送请求服务指令，在接收到网站系统200反馈的身份验证提示信息后，根据网站系统200发送的该身份验证提示信息连接用户身份识别设备300，获得用户身份识别设备300的第一序列号，并将该第一序列号发送给网站系统200。

网站系统200，用于收到用户终端100发送的请求服务指令后，向用户终端100发送该身份验证提示信息，并用于对该第一序列号与本地存储的对应于该用户身份识别设备300的第二序列号进行内容一致性判断，内容一致则通过该用户终端100的身份验证。

在这其中，用户终端100用于在用户通过客户端软件登录网站系统200时，向用户身份识别设备300发出读取指令以获取该第一序列号；在用户通过通用浏览器登录网站系统200时，接收由通用浏览器获取的该第一序列号。该通用浏览器由其上的读取控件向用户身份识别设备300发出读取指令以获取该第一序列号。

本实施例中，用户终端100用于获得该第一序列号后，判断是否需要对该第一序列号进行加密传输；需要对该第一序列号进行加密传输时，如果该第一序列号为密文形式则将该第一序列号发送给该网站系统200，如果该第一序列号为明文形式则对该第一序列号进行加密，获得该第一序列号的密文形式并发送给该网站系统200；不需要对该第一序列号进行加密传输时，将明文形式的该第一序列号发送给该网站系统200。

实施例三、用户终端

本实施例的用户终端主要是用于向网站系统发送一用户身份识别设备的序列号。结合图1所示的方法实施例以及图2所示的系统实施例，图3示出的本实施例主要包括登录模块310、发送模块320、接收模块330、连接模块340以及获取模块350，其中：

登录模块310，用于用户登录该网站系统400；

发送模块320，与该登录模块310及网站系统400相连，用于在用户登录该网站系统400后，根据用户的操作向该网站系统400发送请求服务指令，并将该用户身份识别设备500的序列号发送给该网站系统400；

接收模块330，与该网站系统400相连，用于接收该网站系统400发送的身份验证提示信息；

连接模块340，与该接收模块330相连，用于根据该身份验证提示信息连接该用户身份识别设备500；本实施例中，连接模块包括但不限于并口、串口、USB口等；

获取模块350，与该用户身份识别设备500相连，用于获得该用户身份识别设备500的该序列号；

其中，该网站系统400在收到该请求服务指令后发送该身份验证提示信息。

其中，该获取模块350用于在用户通过客户端软件登录该网站系统400时，向该用户身份识别设备500发出读取指令以获取该序列号；在该用户通过通用浏览器登录该网站系统400时，接收由该通用浏览器获取的该序列号。该通用浏览器上的读取控件向该用户身份识别设备500发出读取指令以获取该序列号。

如图3所示，该用户终端可以进一步包括：

第一判断模块360，与该获取模块350相连，用于该获取模块350获得该序列号后，判断是否需要对该序列号进行加密传输；

第二判断模块370，与该获取模块350及第一判断模块360相连，用于该第一判断模块360判断出需要对该序列号进行加密传输时，判断该序列号是明文形式还是密文形式；

加密模块380，与该发送模块320、获取模块350及第二判断模块370相连，用于对明文形式的该序列号进行加密，获得该序列号的密文形式；

其中，该发送模块320用于第一判断模块360判断出不需要对该序列号进行加密传输时，将明文形式的该序列号发送给该网站系统400；以及第一判断模块360判断出需要对该序列号进行加密传输时，将密文形式的该序列号发送给该网站系统400。

本发明提供的技术方案，与现有技术中仅使用用户名及密码的方式相比，安全性有大幅度提升，有效避免了目前互联网中广泛存在的用户信息泄漏问题。与现有技术中通常采用的PKI体系相比，本发明提供的技术方案实施简单，无需在服务器端实施复杂的认证系统，一般性网站均可实施，而且使用过程简化，无需用户记忆任何额外信息，如用户名、密码、USBKey密码等，插入硬件即可验证身份，降低了使用难度的同时，保证了信息的安全可靠。

本领域的技术人员应该明白，上述的本发明实施例中的系统和/或装置中的各组成部分，以及实施例的方法中的各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

虽然本发明所揭露的实施方式如上，但所述的内容只是为了便于理解本发明而采用的实施方式，并非用以限定本发明。任何本发明所属技术领域内的技术人员，在不脱离本发明所揭露的精神和范围的前提下，可以在实施的形式上及细节上作任何的修改与变化，但本发明的专利保护范围，仍须以所附的权利要求书所界定的范围为准。

Claims (6)

1.一种互联网中用户身份识别方法，无需用户记忆用户名、密码或USBKey密码，用户身份识别设备连接到用户终端即可验证身份，包括如下步骤：

用户通过用户终端登录网站系统，该用户终端根据用户的操作向该网站系统发送请求服务指令；

该网站系统收到该请求服务指令后，向该用户终端发送身份验证提示信息；

根据该身份验证提示信息，将用户身份识别设备连接到该用户终端；

该用户终端获得该用户身份识别设备的第一序列号后发送给该网站系统；其中，用户终端获得该第一序列号的步骤包括：该用户通过客户端软件登录该网站系统时，该用户终端向该用户身份识别设备发出读取指令以获取该第一序列号；或者该用户通过通用浏览器登录该网站系统时，接收由该通用浏览器发送的该第一序列号，该通用浏览器通过读取控件向该用户身份识别设备发出读取指令以获取该第一序列号；

该网站系统对该第一序列号与本地存储的对应于该用户身份识别设备的第二序列号进行内容一致性判断，内容一致则通过该用户终端的身份验证；

其中，该用户终端获得该第一序列号后，该方法进一步包括：

该用户终端判断是否需要对该第一序列号进行加密传输；

需要对该第一序列号进行加密传输时，如果该第一序列号为密文形式则该用户终端将该第一序列号发送给该网站系统，如果该第一序列号为明文形式则该用户终端对该第一序列号进行加密，获得该第一序列号的密文形式并将发送给该网站系统；

不需要对该第一序列号进行加密传输时，该用户终端将明文形式的该第一序列号发送给该网站系统。

2.根据权利要求1所述的方法，其中：

该网站系统收到该第一序列号后，判断该第一序列号是明文形式还是密文形式；

该第一序列号与该第二序列号同为明文形式或同为密文形式时，该网站系统对该第一序列号及该第二序列号进行该内容一致性判断；

该第一序列号与该第二序列号不同为明文形式或不同为密文形式时，该网站系统将该第一序列号与该第二序列号处理成同为明文形式或同为密文形式，再对该第一序列号及该第二序列号进行该内容一致性判断。

3.一种互联网中用户身份识别系统，无需用户记忆用户名、密码或USBKey密码，用户身份识别设备连接到用户终端即可验证身份，包括用户身份识别设备、用户终端以及网站系统，其中：

用户终端，用于用户登录该网站系统，根据用户的操作向该网站系统发送请求服务指令，根据该网站系统发送的身份验证提示信息连接该用户身份识别设备，并获得该用户身份识别设备的第一序列号发送给该网站系统；还用于在该用户通过客户端软件登录该网站系统时，向该用户身份识别设备发出读取指令以获取该第一序列号；在该用户通过通用浏览器登录该网站系统时，接收由该通用浏览器获取的该第一序列号；其中，该通用浏览器上的读取控件向该用户身份识别设备发出读取指令以获取该第一序列号；

网站系统，用于收到该请求服务指令后，向该用户终端发送该身份验证提示信息，并用于对该第一序列号与本地存储的对应于该用户身份识别设备的第二序列号进行内容一致性判断，内容一致则通过该用户终端的身份验证；

该用户终端用于获得该第一序列号后，判断是否需要对该第一序列号进行加密传输；需要对该第一序列号进行加密传输时，如果该第一序列号为密文形式则将该第一序列号发送给该网站系统，如果该第一序列号为明文形式则对该第一序列号进行加密，获得该第一序列号的密文形式并发送给该网站系统；不需要对该第一序列号进行加密传输时，将明文形式的该第一序列号发送给该网站系统。

4.一种采用如权利要求1所述互联网中用户身份识别方法的用户终端，用于向网站系统发送一用户身份识别设备的序列号，包括登录模块、发送模块、连接模块以及获取模块，其中：

登录模块，用于用户登录该网站系统；

发送模块，用于根据用户的操作向该网站系统发送请求服务指令，并将该用户身份识别设备的序列号发送给该网站系统；

接收模块，用于接收该网站系统发送的身份验证提示信息；

连接模块，用于根据该身份验证提示信息连接该用户身份识别设备；

获取模块，用于获得该用户身份识别设备的该序列号；

其中，该网站系统在收到该请求服务指令后发送该身份验证提示信息。

5.根据权利要求4所述的用户终端，其中：

该获取模块用于在用户通过客户端软件登录该网站系统时，向该用户身份识别设备发出读取指令以获取该序列号；在该用户通过通用浏览器登录该网站系统时，接收由该通用浏览器获取的该序列号；

其中，该通用浏览器上的读取控件向该用户身份识别设备发出读取指令以获取该序列号。

6.根据权利要求4所述的用户终端，其中，该用户终端进一步包括：

第一判断模块，用于该获取模块获得该序列号后，判断是否需要对该序列号进行加密传输；

第二判断模块，用于该第一判断模块判断出需要对该序列号进行加密传输时，判断该序列号是明文形式还是密文形式；

加密模块，用于对明文形式的该序列号进行加密，获得该序列号的密文形式；

其中，该发送模块用于第一判断模块判断出不需要对该序列号进行加密传输时，将明文形式的该序列号发送给该网站系统；以及第一判断模块判断出需要对该序列号进行加密传输时，将密文形式的该序列号发送给该网站系统。