CN103107976A

CN103107976A - Cp/sp认证用户身份的方法、系统及认证支撑装置

Info

Publication number: CN103107976A
Application number: CN2011103540328A
Authority: CN
Inventors: 解冲锋; 孙琼; 何潇; 何琪; 熊小明
Original assignee: China Telecom Corp Ltd
Current assignee: China Telecom Corp Ltd
Priority date: 2011-11-10
Filing date: 2011-11-10
Publication date: 2013-05-15

Abstract

本发明公开了一种CP/SP认证用户身份的方法、系统及认证支撑装置。其中，该方法包括认证支撑装置接收并保存用户ID与用户IP地址之间的对应关系；在接收到CP/SP发送的IP地址查询请求后，在存储的对应关系中查找是否存在与IP地址查询请求中的用户IP地址对应的用户ID；如果存在，则将查询到的用户ID反馈给CP/SP，以确认访问CP/SP的用户的身份。本发明能够基于用户IP地址实现用户身份的认证，从而免去用户手工输入信息和记忆个人密码的繁琐过程，为用户使用业务提供了便捷性。

Description

CP/SP认证用户身份的方法、系统及认证支撑装置

技术领域

本发明涉及电信与IT应用技术领域，特别地，涉及一种CP/SP认证用户身份的方法、系统及认证支撑装置。

背景技术

随着互联网络CP/SP(Content Provider/Service Provider，内容提供商/服务提供商)应用的普及，越来越多的人开始使用互联网上提供的服务。然而目前提供服务的网站大多采用用户名、口令的方式来识别用户身份，这使得用户需要经常性的输入自己的用户名、口令。随着用户网络身份的增加，用户相应的需要记忆多组用户名、口令，这给用户造成记忆上的负担；另外频繁的输入用户名、口令，会相应的增大用户的口令密码被破解的机率。

为了改变这一现状，SSO(Single Sign On，单点登录)技术应运而生。单点登录技术的核心思想是通过一定的方式使得各提供服务的网站之间建立某种联系，用户只需要在其中一个认证网站进行登录后，即可实现全局登录，当用户再访问其他网站时，不需要再次登录，其身份就可以被验证，该技术即为单点登录技术。该技术通过记录用户在应用系统首次登陆时的认证凭证(ticket)信息，将此信息传递到其他应用系统，这样，其他应用系统就能够识别和提取该ticket信息，避免用户在多个应用系统中的多次认证。

SSO的方式能够改善用户在多系统间的多次登录、认证问题，但是SSO仍然存在较大的局限性：首先，采用SSO的方式要求在同一终端条件下访问不同的网站，不能实现跨终端保持统一的用户凭证(ticket)信息；其次，目前较为流行的智能手机部分浏览器和部分UNIX/LINUX操作系统浏览器不支持IE cookie机制，对于基于Token的SSO方案也产生了限制；第三，SSO方式虽然减少了登录与认证的次数，但是仍然还需要至少一次的登录与认证。

为了能够彻底免去用户输入用户名、密码等信息，目前在手机终端上已有部分解决方案通过在用户的客户端预装软件读取用户的IMSI信息，并通过与网络中的认证系统相结合来实现用户免认证。然而，该方案需要更改用户的客户端，对于用户体验有一定的影响，并且存在一定的安全性隐患。同时，该方案依赖手机终端且通过访问WAP(WirelessAccess Protocol，无线接入协议)网关来读取IMSI和MDN手机号码，而WAP接入方式在未来智能终端上将被WIFI访问所取代，而目前智能手机的推广与应用更多通过浏览器直接访问Net信息，IMSI方式将逐渐被淘汰。

发明内容

本发明要解决的一个技术问题是提供一种CP/SP认证用户身份的方法、系统及认证支撑装置，能够在不更改客户端的情况下实现免登录认证。

根据本发明的一方面，提出了一种CP/SP认证用户身份的方法，包括认证支撑装置接收并保存用户ID与用户IP地址之间的对应关系；在接收到CP/SP发送的IP地址查询请求后，在存储的对应关系中查找是否存在与IP地址查询请求中的用户IP地址对应的用户ID；如果存在与该用户IP地址对应的用户ID，则将查询到的用户ID反馈给CP/SP，以确认访问CP/SP的用户的身份。

根据本发明的另一方面，还提出了一种认证支撑装置，包括接收单元，用于接收并保存用户ID与用户IP地址之间的对应关系，以及接收CP/SP发送的IP地址查询请求；查询单元与接收单元相连，用于在接收到IP地址查询请求后，在存储的对应关系中查找是否存在与IP地址查询请求中的用户IP地址对应的用户ID；发送单元与查询单元相连，用于如果存在与该用户IP地址对应的用户ID，则将查询到的用户ID反馈给CP/SP，以确认访问CP/SP的用户的身份。

根据本发明的又一方面，还提出了一种CP/SP认证用户身份的系统，包括前述的认证支撑装置。

本发明提供的CP/SP认证用户身份的方法、系统及认证支撑装置，能够基于用户IP地址实现用户身份的认证，从而免去用户手工输入信息和记忆个人密码的繁琐过程，为用户使用业务提供了便捷性。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分。在附图中：

图1是本发明CP/SP认证用户身份的方法的一个实施例的流程示意图。

图2是本发明CP/SP认证用户身份的方法的另一实施例的流程示意图。

图3是本发明认证支撑装置的一个实施例的结构示意图。

图4是本发明CP/SP认证用户身份的系统的一个实施例的结构示意图。

图5是本发明CP/SP认证用户身份的系统的另一实施例的结构示意图。

具体实施方式

下面参照附图对本发明进行更全面的描述，其中说明本发明的示例性实施例。本发明的示例性实施例及其说明用于解释本发明，但并不构成对本发明的不当限定。

以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。

IP地址是可以用来唯一标识互联网上计算机的逻辑地址，每台连网计算机都依靠IP地址来标识自己。在互联网的商业运行过程中，网络运营商一般把一个IP地址分配给一个特定的用户，这种分配有时是动态的，也即，某个用户在不同时候得到的地址是变化的，有时也静态的，也即，用户在不同时候得到的地址是固定不变的，不管是静态的还是动态的，在某个特定时刻，用户是与特定的IP地址相关联的，理论上可以查询某个时刻IP地址所关联的用户身份。发明人发现，与网络运营商具有合作关系的互联网CP/SP可以利用这种方式来鉴别访问自身服务的用户身份。

在电信网络开放用户数据给合作CP/SP的前提下，本发明提出了一种CP/SP认证用户身份的方法、系统及认证支撑装置，其能够根据用户终端的当前IP地址快速地确认用户的身份标识，并根据用户身份信息提供针对性的服务，提高服务质量。

如图1所示，该实施例可以包括以下步骤：

S102，ASE(Authentication Support Entity，认证支撑装置)接收并保存用户ID与用户IP地址之间的对应关系；

S104，在接收到CP/SP发送的IP地址查询请求后，在存储的对应关系中查找是否存在与IP地址查询请求中的用户IP地址对应的用户ID；

S106，如果存在与该用户IP地址对应的用户ID，则将查询到的用户ID反馈给CP/SP，以确认访问CP/SP的用户的身份，否则，向CP/SP反馈未查找到对应用户的信息。

在传统的认证方式中，CP/SP为了对来访的网络用户的身份进行认证，一般要求用户在CP/SP门户页面的登录框中输入个人ID/密码等信息，在如上信息完全正确后才能给用户提供相应的服务，而该实施例则免去了用户在访问SP/CP服务时手工输入认证信息的过程，对于业务类型具有广泛的适用性，显著提高了用户业务使用的便捷性和流畅性，且能够适用于多种多样的终端类型和用户跨域的业务访问，对于用户终端也没有改造需求。

接下来，参照图2进一步描述本发明CP/SP认证用户身份的方法的另一实施例。如图2所示，该实施例可以包括以下步骤：

S202，地址分配装置在对用户进行身份认证后为用户分配IP地址，其中，该IP地址对于用户来说可以是动态的，也可以是静态的(即，专属于这个用户，是不变的)；

S204，地址分配装置及时将用户ID与用户IP地址之间的对应关系同步到认证支撑装置中，可选地，在用户IP地址更新时，地址分配装置也将用户ID与更新后的用户IP地址同步到认证支撑装置中，认证支撑装置接收并保存用户ID与用户IP地址之间的对应关系，此外，在用户断开网络连接时，地址分配装置还将告知认证支撑装置删除该用户的信息，例如，用户ID与用户IP地址之间的对应关系；

S206，用户在获得IP地址后，向与网络运营商合作的CP/SP发起业务访问请求，该业务访问请求中包含该请求包的源地址和目的地址，其中，源地址为该用户当前所拥有的IP地址，目的地址为CP/SP的IP地址；

S208，CP/SP在接收到业务访问请求后，判断是否为用户的初次访问，如果是初次访问，则提取业务访问请求中的用户IP地址(即，该请求包的源地址)，利用该用户IP地址构成IP地址查询请求，并通过CP/SP与认证支撑装置之间的专用接口向认证支撑装置发送IP地址查询请求，IP地址查询请求中包含用户IP地址；

S210，认证支撑装置在接收到CP/SP发送的IP地址查询请求后，在存储的对应关系中查找是否存在与IP地址查询请求中的用户IP地址对应的用户ID；

S212，如果存在对应的用户ID，则将查询到的用户ID反馈给CP/SP，以确认访问CP/SP的用户的身份，否则，向CP/SP反馈未查找到对应用户的信息。

进一步地，在步骤S212之后，如果反馈结果中含有与IP地址查询请求中的IP地址对应的用户ID，则按照该用户ID为该用户提供服务，不需要该用户终端专门手工输入用户ID及密码信息；否则，说明没有查找到该用户的ID，说明该用户不是该运营商的用户，则生成登录界面，提醒该用户在终端上自行输入身份及密码信息。

此外，在步骤S212中，认证支撑装置还可以向CP/SP反馈用户IP地址的生存期，从而可以有效地控制用户对CP/SP所提供业务的访问时间。

本领域普通技术人员可以理解，实现上述方法实施例的全部和部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算设备可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤，而前述的存储介质可以包括ROM、RAM、磁碟和光盘等各种可以存储程序代码的介质。

图3是本发明认证支撑装置的一个实施例的结构示意图。

如图3所示，该实施例中的装置300可以包括：

接收单元302，用于接收并保存用户ID与用户IP地址之间的对应关系，以及接收CP/SP发送的IP地址查询请求；

查询单元304，与接收单元相连，用于在接收到CP/SP发送的地址查询请求后，在存储的对应关系中查找是否存在与地址查询请求中的用户IP地址对应的用户ID；

发送单元306，与查询单元相连，用于如果存在与该用户IP地址对应的用户ID，则将查询到的用户ID反馈给CP/SP，以确认访问CP/SP的用户的身份。

其中，接收单元可以通过两个接口来接收相关信息，一个是ASE与地址分配装置之间的接口，该接口接收地址分配装置发送来的用户同步数据(例如，用户ID与用户IP地址的对应关系)，另外，在检索ASE中不存在与IP地址查询请求中的用户IP地址对应的用户ID时，还可以通过该接口直接向相应的地址分配装置发出用户IP地址当前使用状态查询请求(即，查询地址分配装置是不是已经分配给某个用户，但是还未能实时同步到认证支撑装置中)；另一个是ASE与CP/SP之间的接口，该接口负责和多个与网络运营商建立合作管理的CP/SP进行通信，接收它们的IP地址查询请求，并向它们反馈查询结果。另外，该认证支撑装置还可以包括与其他认证支撑装置的接口，用于多个ASE之间的相互通信，在网络运营商的网络规模比较大的情况下，可能部署多个ASE为合作型的CP/SP提供服务，并且相互之间具备为对方提供查询用户信息的能力(即，在ASE1不具备某个用户的信息时，可以通过该接口向其他ASE(如，ASE2)发出查询请求，查询是否具有该用户的信息，如果有，则ASE2则将相关信息返回给ASE1，再由ASE1提供给CP/SP)，从而形成一个分布式的用户信息查询系统。

此外，该认证支撑装置还可以包括用户数据管理单元，负责对用户数据库进行维护管理，特别是对于过期的用户信息及时进行删除，防止恶意用户采用该合法IP地址假冒其他合法用户。其次，还可以对用户数据进行其他的必要维护，例如，按照地址段进行分区间存储和管理、其它日常的“增删减”功能、统计功能等。

该实施例在互联网用户访问网络运营商的合作伙伴CP/SP时，不需要像以前那样输入用户标识以及密码信息，显著减轻了用户的手工负担。为了协助CP/SP判定该用户的身份，该实施例的认证支撑装置根据CP/SP提供的用户源IP地址信息直接查询并提供该用户的标识信息，实现了用户身份的认证，从而使得合法用户可以直接获得CP/SP的服务，减少了时间的浪费，提高了用户访问CP/SP服务的流畅性。

可选地，接收单元还可以用于接收用户IP地址的生存期，发送单元还可以用于向CP/SP反馈用户IP地址的生存期，从而可以有效地控制用户对CP/SP所提供业务的访问时间。

如图4所示，该实施例中的系统400可以包括认证支撑装置402，该认证支撑装置可以利用图3所示的实施例实现。

具体地，在现网中可以通过两种方式部署认证支撑装置：融合式部署方式和独立式部署方式。

(1)在融合式部署方式中，可以将ASE合并到已有的网元中，例如，业务网络的认证模块(如提供账号认证开放的手机邮箱等业务)、或者AAA数据库中。由于AAA服务器等现有网元中已经保存了大量的用户数据信息，与现有网元的融合部署可以简化查询流程，但仍需要梳理不同类型的用户数据，并对现网的设备进行一定的改造。

(2)在独立式部署方式中，需要引入本发明的ASE网元，该ASE网元与现网的其他网元设备都开放相应的接口，并获取相关的信息。该方式可以减少对现网设备的改造量，有利于层次化、模块化地管理用户数据信息，但查询流程相对较为冗长。

如图5所示，与图4中的实施例相比，该实施例中的系统500还可以包括地址分配装置502和CP/SP服务器504，其中，

地址分配装置用于对用户进行身份认证后为用户分配IP地址，并将用户ID与用户IP地址之间的对应关系同步到认证支撑装置中；

具体地，该地址分配装置可以是网络运营商已有的地址分配服务器，例如，可以通过AAA服务器或AAA数据库实现。接下来以AAA服务器为例进行说明，AAA服务器在对用户进行网络层的身份认证后，为用户分配IP地址，从而使其具备接入互联网、访问互联网上各种CP/SP服务的能力。现有网络上的地址分配服务器具备用户身份ID以及其当前使用的IP地址信息。但由于各种原因(例如，出于安全性考虑，AAA服务器主要给个人或者家庭用户提供认证服务，不适合为第三方CP/SP直接提供访问接口)，目前网络设备中的AAA服务器并不具备直接向CP/SP开发用户数据的能力。在本发明中，可以根据ASE的要求对AAA服务器进行必要功能的升级，即，将新上线用户的ID与IP地址关联信息及时同步到ASE设备中去。

CP/SP服务器用于接收用户发送的业务访问请求，判断是否为用户的初次访问，如果是初次访问，则提取业务访问请求中的用户IP地址，并向认证支撑装置发送IP地址查询请求，IP地址查询请求中包含用户源IP地址；

具体地，CP/SP指在互联网上与特定网络运营商具有合作关系的互联网服务提供商，他们根据协议可以有限地使用网络运营商的用户数据。在该实施例中，为了要具备对于ASE的查询能力，CP/SP服务器要具备相关的查询单元，并和ASE之间建立通信接口，因此需要对现有的CP/SP进行一定的功能补充。

其中，认证支撑装置设置于地址分配装置和CP/SP服务器之间，来为SP/CP提供及时的用户信息查询服务。CP/SP在收到用户的访问请求时提取用户的源IP地址，并向ASE提出IP地址查询请求，从而获得用户的身份标识ID以及其它相关信息(例如，IP地址的生存期)。这种查询的前提是CP/SP和该网络运营商建立一种相对密切的合作关系，并仅仅查询该网络运营商的用户身份信息及其他个人信息。

需要指出的是，该认证支撑装置是本系统的核心网元，其可以接收和管理用户的数据，并向合作CP/SP提供数据查询服务。在地址分配装置为特定用户分配IP地址后，及时将该用户的当前信息(例如，用户ID、用户当前所拥有的IP地址等)同步到ASE中。另外，ASE还接收CP/SP服务器的IP地址查询请求，获得与该请求中IP地址对应的用户ID信息，从而核实了用户的身份(即，CP/SP从ASE获得了当前访问的用户的ID，也就是知道了该用户是谁，从而确认核实了用户的身份)。ASE中含有存储和管理如上信息的数据库，其记录格式如下所示：(用户ID、当前IP地址、生存期、用户其他的信息(可以是用户类别信息，例如，高优先级、或者低优先级用户))。

进一步地，在用户IP地址更新时，地址分配装置还用于将用户ID与更新后的用户IP地址同步到认证支撑装置中。在用户断开网络连接时，地址分配装置还用于告知认证支撑装置删除用户的信息。

本发明上述实施例中的用户所使用的终端包括各种含有IP协议栈、能进行互联网通信的固网式终端和移动式手机终端。在本发明中，可以假定为每个终端分配一个公有的IP地址，每个终端被特定用户所使用，对应用户标识ID，在移动终端中，该用户标识ID可以是用户的手机号码。在该终端获得IP地址后，就含有用户ID和当前IP地址两个属性。

综上所述，本发明上述实施例具备如下有益效果：

(1)互联网用户在访问网络运营商的合作伙伴CP/SP时，不需要像以前那样输入用户标识以及密码信息，大大减轻了用户的手工负担。为了协助CP/SP判定该用户的身份，由网络运营商的ASE根据CP/SP提供的用户源IP地址信息直接提供该用户的标识信息，实现了用户身份的认证，使得合法用户可以直接获得CP/SP的服务，从而减少了时间浪费、提高了用户访问CP/SP服务的流畅性。

(2)本发明的ASE设备可以为多个CP/SP同时提供服务，也即该设备可以共享式提供服务。

(3)与Token等传统的SSO方案相比，本发明由于仅仅进行了网络层IP地址的处理，可以支持应用层系统，而Token目前仅仅支持HTTP协议型业务，应用范围有限，且不支持跨域的访问(即，Token是在一个CP/SP网站内提供免登录认证服务，不能在多个CP/SP的网站之间提供免登录认证服务，而本发明的ASE则基于通用的IP地址信息进行认证，可以被多个CP/SP网站使用，因此支持跨域认证)。

(4)与基于客户端的IMSI提取方案相比，本发明无需对所使用的客户端进行改造，并且具有广泛的用户终端适用性。

(5)在访问多个CP/SP时，SSO方案需要用户至少输入一次用户名/密码，而本发明则无需输入用户名/密码，用户不和后台认证系统打交道，由提供服务的网络运营商和CP/SP联合判定用户的身份。

(6)新的方案不要求用户输入密码等敏感性信息，因此密码在一定程度上得到安全保护。而在传统的方式中，用户需要在CP/SP的登录框中输入用户名/密码信息，然后CP/SP再去网络运营商的数据库中进行核对，这种方式将敏感的密码信息暴露给了CP/SP，大大增加了用户个人信息外泄的可能性。

本说明书中各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同和相似的部分可以相互参见。对于装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处可以参见方法实施例部分的说明。

虽然已经通过示例对本发明的一些特定实施例进行了详细说明，但是本领域的技术人员应该理解，以上示例仅是为了进行说明，而不是为了限制本发明的范围。本领域的技术人员应该理解，可在不脱离本发明的范围和精神的情况下，对以上实施例进行修改。本发明的范围由所附权利要求来限定。

Claims

1.一种CP/SP认证用户身份的方法，其特征在于，包括：

认证支撑装置接收并保存用户ID与用户IP地址之间的对应关系；

在接收到CP/SP发送的IP地址查询请求后，在存储的所述对应关系中查找是否存在与所述IP地址查询请求中的用户IP地址对应的用户ID；

如果存在与所述用户IP地址对应的用户ID，则将查询到的用户ID反馈给所述CP/SP，以确认访问所述CP/SP的用户的身份。

2.根据权利要求1所述的CP/SP认证用户身份的方法，其特征在于，所述方法还包括：

地址分配装置在对用户进行身份认证后为所述用户分配IP地址，并将用户ID与用户IP地址之间的对应关系同步到所述认证支撑装置中；

所述用户在获得IP地址后，向所述CP/SP发起业务访问请求，所述业务访问请求中包含所述用户IP地址；

所述CP/SP判断是否为所述用户的初次访问，如果是初次访问，则提取所述业务访问请求中的用户IP地址，并向所述认证支撑装置发送所述IP地址查询请求，所述IP地址查询请求中包含所述用户IP地址。

3.根据权利要求1所述的CP/SP认证用户身份的方法，其特征在于，所述方法还包括：

所述认证支撑装置还向所述CP/SP反馈用户IP地址的生存期。

4.根据权利要求2所述的CP/SP认证用户身份的方法，其特征在于，所述方法还包括：

在所述用户IP地址更新时，所述地址分配装置将所述用户ID与更新后的用户IP地址同步到所述认证支撑装置中。

5.根据权利要求2所述的CP/SP认证用户身份的方法，其特征在于，所述方法还包括：

在所述用户断开网络连接时，所述地址分配装置告知所述认证支撑装置删除所述用户的信息。

6.根据权利要求1所述的CP/SP认证用户身份的方法，其特征在于，所述用户IP地址为动态IP地址或静态IP地址。

7.一种认证支撑装置，其特征在于，包括：

接收单元，用于接收并保存用户ID与用户IP地址之间的对应关系，以及接收CP/SP发送的IP地址查询请求；

查询单元，与所述接收单元相连，用于在接收到所述IP地址查询请求后，在存储的所述对应关系中查找是否存在与所述IP地址查询请求中的用户IP地址对应的用户ID；

发送单元，与所述查询单元相连，用于如果存在与所述用户IP地址对应的用户ID，则将查询到的用户ID反馈给所述CP/SP，以确认访问所述CP/SP的用户的身份。

8.根据权利要求7所述的认证支撑装置，其特征在于，所述接收单元还用于接收用户IP地址的生存期，所述发送单元还用于向所述CP/SP反馈用户IP地址的生存期。

9.根据权利要求7所述的认证支撑装置，其特征在于，所述用户IP地址为动态IP地址或静态IP地址。

10.一种CP/SP认证用户身份的系统，其特征在于，包括权利要求7-9中任一项所述的认证支撑装置。

11.根据权利要求10所述的CP/SP认证用户身份的系统，其特征在于，所述系统还包括：

地址分配装置，用于对用户进行身份认证后为所述用户分配IP地址，并将用户ID与用户IP地址之间的对应关系同步到所述认证支撑装置中；

CP/SP服务器，用于接收所述用户发送的业务访问请求，判断是否为所述用户的初次访问，如果是初次访问，则提取所述业务访问请求中的用户IP地址，并向所述认证支撑装置发送所述IP地址查询请求，所述IP地址查询请求中包含用户IP地址；

其中，所述认证支撑装置分别与所述地址分配装置和所述CP/SP服务器相连。

12.根据权利要求11所述的CP/SP认证用户身份的系统，其特征在于，在所述用户IP地址更新时，所述地址分配装置还用于将所述用户ID与更新后的用户IP地址同步到所述认证支撑装置中。

13.根据权利要求11所述的CP/SP认证用户身份的系统，其特征在于，在所述用户断开网络连接时，所述地址分配装置还用于告知所述认证支撑装置删除所述用户的信息。