CN103152179A - 一种适用于多应用系统的统一身份认证方法 - Google Patents

Abstract

本发明公开了一种适用于多应用系统的统一身份认证方法，涉及网路安全技术，设置独立认证系统，包含系统层、核心数据层、核心安全层和应用层，并配置有密码硬件设备和集成到应用系统中的IA套件，并配置安全认证中间件模块；身份认证方法是：当用户访问应用系统时，触发应用系统中集成的IA套件自动对其身份进行认证；在IA套件的认证下，用户将重定向安全认证中间件模块，取得身份凭证；用户取得凭证后返回，并携凭证再次访问应用系统，再次触发IA套件对其身份进行认证；通过认证的用户可以正常访问应用系统。本发明能适应多用户访问多系统的身份认证，效率高成本低，安全性好。

Description

一种适用于多应用系统的统一身份认证方法

技术领域

本发明涉及计算机网络技术，特别是一种能够适用于多种不同的应用系统的统一的身份认证设备及方法。

背景技术

计算机网络访问中，在一些特定的场合，需要对访问某个应用系统的用户进行身份认证。所述的应用系统是指现在常见的基于浏览器（windows IE和互联网的具体应用系统，如OA办公系统、邮件系统、Web服务系统、DNS服务系统、数据库系统等对安全性要求较高的应用系统，这些应用系统都有系统集成商在其中设计有安全认证系统。

一般的安全认证系统模式中，采取的是SSL数字证书的加密方法，结构是在应用系统和用户之间设置一个SSL认证设备，每次用户访问应用系统时都需要经过SSL认证设备认证。

由于计算机技术和信息化的快速发展，出现了多种硬件和操作系统（如windows系统、MAC系统、手机操作系统android等），与之对应的，也有多种不同的应用系统（如前所述），由于建立在不同的硬件和操作平台上，一般都由不同的系统集成商开发不同的安全认证方法，于是不可避免地导致了不同应用系统之间的用户无法统一管理，资源无法统一授权，审计系统也分别独立，且基于数字证书的强身份认证也可能没有实现。用户角色以及资源的改变使得业务运作不够顺畅，导致业务流程被割裂，需要过多的人工介入，效率下降，数据精确度降低，使得信息系统失去了其应有的作用。

从以上问题可知，如果能够将原来已分别建设的各个应用系统平滑地整合在一起，在一个可信的安全基础平台上实现统一用户管理、统一资源授权管理、统一安全审计、统一行为追溯以及基于数字证书的集中身份认证，可以使各个应用系统间形成一个有机的整体，以适应快速变化的外部环境和客户需求，做出及时的调整和反应，最终真正提升使用单位的核心竞争力。

发明内容

本发明就是基于对背景技术中现有的应用系统的身份认证方式的不足的认识，以及对克服上述不足的技术方向的认识，发明了一种适用于多系统的统一身份认证方法。以提高认证效率，减少系统建设成本。

为了解决上述技术问题所采用的技术方案是：这是一种适用于多应用系统的统一身份认证方法，应用于多种需要进行身份认证的应用系统，其特征是：设置一个独立认证系统，所述的独立认证系统包含系统层、核心数据层、核心安全层和应用层；独立认证系统配置有密码硬件设备，所述的密码硬件设备包括客户端使用的USB key和服务端使用的加密卡，该密码硬件设备实现对国产密码算法SM1、SM2及SM3的应用；本方法所采用的独立认证系统还配置有集成到应用系统中的IA套件，并配置安全认证中间件模块；

具体的身份认证方法是：当用户访问应用系统时，触发应用系统中集成的IA套件自动对其身份进行认证；在IA套件的认证下，用户将重定向安全认证中间件模块，取得身份凭证；用户取得凭证后返回，并携凭证再次访问应用系统，再次触发IA套件对其身份进行认证；通过认证的用户可以正常访问应用系统。

优选的：所述的密码硬件设备是SJK0817-B或SJK1134中的一种或两种。

本发明的有益效果是：这种多系统的统一身份认证方法，在多用户访问多系统的时候尤其能够体现其优势，只要在多个系统中分别集成设计一个IA套件，就可以减少多个系统对应的认证设备，即可实现多用户同一平台（即本发明的独立认证系统）的加密访问，便于管理、安全性高、系统效率高、减少成本。

附图说明

图1，本发明的独立认证系统结构图。

图2，本发明的使用过程图。

图3，本发明的认证密码原理和密码流程图。

图4，本发明的登录密码流程图。

具体实施方式

本发明应用于多种需要进行身份认证的应用系统。

本发明所采用的独立认证系统结构如图1，包含系统层、核心数据层、核心安全层和应用层。根据图1的结构内容，和本发明的具体方法，可以编译成具体的软件，本领域技术人员可以轻易实现。

该系统配置有密码硬件设备，所述的密码硬件设备包括客户端使用的USB key和服务端使用的加密卡，独立认证系统还配置有集成到应用系统的IA套件，并配置安全认证中间件模块。其中，IA套件是一个贯彻本发明认证方法的插件，和不同的应用系统的集成并不是技术难点，针对不同的软件编译的应用系统，采取不同的手段实现（如java系统，SQL系统等，其插件接口定义和方法属于现有技术），由于不是本发明的发明重点，而仅仅是一般技术人员能够熟知的、且根据本发明的技术内容可以有不同的软件编译方式的，所以在此不再赘述。

其具体的身份认证的流程如图2：用户2（客户端，并带有USBkey）、某个应用系统1（集成了IA套件4）和本发明的安全认证中间件3组成了一个完整的访问体系。当用户访问应用系统时，触发应用系统中集成的IA套件自动对其身份进行认证；在IA套件的认证下，用户将重定向安全认证中间件模块，取得身份凭证；用户取得凭证后返回，并携凭证再次访问应用系统，再次触发IA套件对其身份进行认证；通过认证的用户可以正常访问应用系统。

优选的实施方式：在客户端使用到的USB Key为SJK1134智能密码钥匙，在系统服务端使用到的加密卡为SJK0817-B型加密卡，这两种硬件设备主要实现对国产SM1密码算法、SM2密码算法及SM3密码算法的运算。

本发明的软件系统结构图如图1所示，由四个层次组成，分别是系统层、核心数据层、核心安全层以及应用层，各层之间相互联系，紧密协调配合，共同构成系统的软件体系架构。

密码硬件设备工作原理

客户端采用SJK1134智能密码钥匙，该设备是一款通过了国家密码管理局安全审查的密码安全产品。SJK1134智能密码钥匙的核心是SSX0912安全芯片，该芯片支持SM2非对称算法和国产SM1通用密码算法以及SM3杂凑算法，具有高度的安全性。通过USB接口和上位机进行通讯，USB接口的通讯符合USB2.0协议。SJK1134智能密码钥匙的SM2加密运算速率达到8.393kps，SM2解密运算速率达到1.137kps，SM1加解密运算速率达到2.34Mbps。

服务端采用SJK0817-B型加密卡，该设备是一款通过了国家密码管理局安全审查的密码安全产品。SJK0817-B型加密卡的核心是SSX30-D和SSX0804安全芯片，同时支持国产SM2非对称算法和SM1通用密码算法。符合PCI接口规范。SJK0817-B型加密卡的SM1加解密运算速率达到200Mbps，SM2的签名速度达到350次每秒，SM2的验签速度达到175次每秒。

系统总体工作原理

系统由后台安全基础设施系统和前台安全应用系统共同构成。其中后台安全基础设施系统以AAAA核心服务引擎为中心，将策略库、安全库、用户库进行有效联动，保证前台应用管理系统相互协调管理，多层次、全方位的整合资源，从而使平台安全体系为用户打造一个安全有序的网络世界，有效规范不同角色用户的访问和操作行为。

系统借助于第三方数字证书权威颁发机构，引入PKI技术，将用户管理、多应用授权管理、安全审计功能集成，并由数字证书统一身份认证系统对多种业务系统、服务器、数据库等资源进行集中管理，旨在为用户提供一个安全可靠、合理有序、灵活易用的统一身份认证与授权管理平台。

第三方数字证书权威颁发机构发布的数字证书，可以自动同步到统一用户目录数据库，并实现同步更新管理。通过统一用户管理和统一资源策略授权管理等集成管理手段以及多应用、多账户映射安全认证技术，实现用户的安全登录。

同时，在系统总体架构中，平台管理员可以根据需要为下级管理员授权，实行分级管理。下级管理员可以在本资源域内的用户进行分级用户管理、分级授权管理、分级安全审计等管理，保护本资源域内的安全。从而形成一个合理有序、权限明确的树形分级管理结构，进行最细粒度的管理。原应用系统中的策略管理和审计管理可以统一整合到一个平台中，进行统一的资源授权管理与集中审计管理。

系统软件工作原理

系统层，也即操作系统层，是上层各功能模块的底层支撑，对操作系统的可靠性、安全性、负载性有较高的要求。因此，安全应用支撑平台对公共服务系统软件部分运行的AAAA核心服务引擎，采用了IdeaBank Linux 2.0安全操作系统。该操作系统基于Linux内核，是专门为AAAA核心服务引擎裁剪加固的安全操作系统，可以与该平台软件系统无缝紧密结合，从而可以发挥平台的最优性能。

核心数据层：包括网络应用资源库、资源访问策略库、用户数据库、审计数据库以及证书LDAP数据库。核心数据层各库功能作用如下：

网络应用资源库：包括系统所用的应用资源；由核心安全层的统一资源管理模块维护；

资源访问策略库：包括系统设置的默认安全策略，以及管理员的自定义策略；由核心安全层的授权管理模块维护和访问。

用户数据库：包括所有用户信息资源；由核心安全层的用户管理模块维护和访问；

审计数据库：包括所有用户的访问操作日志，以及应用系统的运行和使用信息的记录；由核心安全层的安全审计模块维护和访问；

证书LDAP数据库：包括用户的数字证书信息；由核心安全层的统一身份认证模块访问，由用户管理模块负责LDAP数据库的同步和更新维护。

核心安全层是安全应用支撑平台实现深度整合、全面安全服务的核心。以PKI/PMI安全体系为基础，按功能类型的不同可分为以下几部分：

可信安全核心支撑模块

可信安全服务模块

可信安全管理模块

公钥基础设施（PKI，Public Key Infrastructure），是一种遵循既定标准的密钥管理平台,它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系，简单来说，PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。PKI技术已成为在异构环境中为分布式信息系统的各类业务提供统一的安全支撑的重要技术。

授权管理基础设施（PMI，Privilege Management Infrastructure）实际提出了一个新的信息保护基础设施，能够与PKI和目录服务紧密地集成，并系统地建立起对认可用户的特定授权，对权限管理进行了系统的定义和描述，完整地提供了授权服务所需过程。建立在PKI基础上的PMI技术为分布式信息系统的各类业务提供了统一的授权管理和访问控制策略与机制。

可信安全核心支撑模块即AAAA核心服务引擎，是安全管理和安全服务联系核心数据库的安全管理中间件，包括集中的用户认证、远程网络安全访问等系统模块，都是通过AAAA核心服务引擎连接用户库、资源库及策略库，执行相应的用户资源访问安全策略。

AAAA核心服务引擎是一个能够处理用户访问请求的底层服务程序模块，该服务程序模块主要完成以下工作：

处理用户对计算机或网络资源访问的请求并向系统提供认证、授权、审计和管理的AAAA底层服务；

为其他业务系统提供认证、授权和日志审计、安全管理服务等应用接口；

通过检索资源授权审计库决定用户的资源访问权限，对用户身份和操作授权进行验证，同时对于用户在系统中的活动进行记录。

可信安全服务模块主要包括统一身份认证服务模块和统一安全审计服务模块。二者以AAAA核心服务引擎为依托，并借助于PKI/PMI安全体系中的应用API接口提供综合安全服务。

1、统一身份认证服务模块

统一身份认证服务是用户访问资源的入口，直接关系着系统资源的安全。主要完成以下工作：

处理用户请求，创建用户个性化资源访问菜单；

提供用户认证插件模块接口，为用户创建安全会话； 

该服务采用了开放性架构，同时也能够支持扩展的插件式（plug-in）认证技术。

IA套件是快速基于数字证书实现集中用户认证的开发包，主要功能包括：

建立应用服务器与用户认证平台的可信加密通讯；

管理集中用户认证会话及重定向；

维护集中用户认证用户信息； 

为应用系统提供行为审计接口；

为应用系统提供资源授权接口；

实现对密码硬件设备的访问。

iMidWare组件是基于数字证书实现集中用户认证的守护程序，主要功能包括：

建立用户端与用户认证平台的可信回话；

管理集中用户认证会话及重定向；

实现对密码硬件设备的访问。

统一身份认证服务模块的密码应用为：

签名/验签

使用国产SM3密码算法对数据进行杂凑运算，使用国产SM2密码算法对杂凑数据进行签名和验签。

加密/解密

使用国产SM1密码算法对敏感数据进行加解密运算，使用国产SM2密码算法加密保护SM1密码算法密钥。

该服务模块的主要密码过程为：

身份认证时，客户端由iMidWare安全组件负责调用SJY1134智能密码钥匙，使用数字证书，结合SM2和SM3算法，和数字证书统一身份认证系统服务器进行身份认证，服务端通过认证模块调用SJK0817-B型加密卡和客户端进行身份认证，实现双向认证后，由服务端授权模块对当前用户所要访问的应用系统进行权限的认证，权限认证通过后，把带有签名信息的凭证通过客户端iMidWare安全组件传给应用系统。

用户登录时，由IA套件负责调用SJY1134智能密码钥匙，对签名凭证进行验证，通过后，IA套件使用凭证进行用户登录，服务端凭证验证通过后，发送带签名的加密用户信息到应用服务器，应用服务端IA套件对签名凭证进行验证，验证通过后，应用服务端IA套件解密用户信息，完成用户登录并获取对系统的访问权。

统一安全审计服务模块

安全审计的目的是把所有与安全有关的事件记录下来，包括用户访问和操作资源的时间，行为等，以便事后分析调查，及时发现隐患，甚至追查有关的责任者；同时，还可以监视和记录应用的运行和使用信息，向管理员报警。统一安全审计服务模块为审计管理员提供强大的追溯、分析管理与服务事件的能力，可以使审计管理员对系统资源的使用情况有一个详细透彻的了解。

平台的统一安全审计服务模块主要完成以下工作：

为各种应用系统提供了安全、统一的审计功能，并提供审计数据收集、分析、管理等API接口；

数据收集接口与AAAA核心服务引擎相连，审计服务将审计数据保存到审计数据库中；

控制台通过安全审计组件的数据库接口，设置审计数据库，并从审计数据库中获取各种应用的审计数据；

利用审计数据分析接口在控制台上分析数据和生成报表。

为了支持对资源进行分级管理，平台的安全审计模块提供分级安全审计，保证分级管理员对其管辖的资源域进行安全审计。

可信安全管理模块包括用户管理、授权管理、资源管理等管理服务模块。其中，资源管理模块对系统资源实行统一管理，而用户管理模块和授权管理模块不仅支持统一的管理服务功能，同时各模块还支持分级管理功能，即每个接入平台的应用系统都具备与该应用相关的匹配权限，从而对用户和权限进行最细粒度的管理和控制。

1、用户管理模块

基于LDAP目录服务的用户管理模块通过对数字证书信息的目录式集中管理和查询服务，方便分布式环境下各应用系统根据自己的权限将属于本系统中的数字证书与用户名称进行匹配，为管理员提供一个统一的用户管理平台。同时，用户管理模块支持多级用户管理模式，通过统一用户管理平台对应用系统需要的组进行分配，组中的角色由应用系统管理员进行分配管理，不同的应用系统访问属于自己用户组的证书信息。

用户管理模块主要完成以下工作：

用户管理：添加、修改、删除用户信息等，并对用户信息与LDAP用户库进行同步和更新；

用户组的管理：添加、删除用户组，便于进行分级用户管理；

角色管理：对不同用户组的角色进行定位，保证对资源的合理分配；

2、授权管理模块

授权管理模块采用基于策略的访问控制机制，实现安全策略的集中管理和资源的委托授权管理，可以对系统内部的各种资源进行统一的管理，构建强大的基于角色的访问控制，同时提供基于规则的策略控制。

授权管理模块主要完成以下工作：

资源的访问控制：只有经过认证的用户才能访问系统资源，一旦用户完成认证，每个用户都有不同的权限，不同的权限对应不同的资源。所以用户只能访问与自己权限相对应的资源；

权限监控：拒绝未授权的用户以及超出用户权限范围的访问行为；

自定义安全策略规则：不仅支持系统默认的安全策略，管理员还可以自定义安全策略规则，最大限度的进行细粒度权限管理；

分级授权：支持系统管理员对分级授权管理员授权。

3、资源管理模块

统一资源管理模块提供各种应用系统和各种需要保护的功能资源的统一管理功能，有效的控制和管理资源，提供资源的认证和维护。统一资源管理模块采用统一资源目录来进行信息资源的整合与管理。它包括以下几个目录：

组件目录：应用组件的注册信息列表；

信息资源目录：用户能使用、能管理、能查看的信息资源目录；

被授权的信息资源目录：用户被授权的信息资源目录的子集。

统一资源管理模块有如下特点：

基于统一的封装机制，可以实现异构信息资源的统一接入；

为用户提供信息源导航，给用户提供访问所有应用系统的统一入口。管理员可以查找和使用整个网络系统信息资源，而无需了解资源的确切名称或位置； 

采用树状目录分级结构；

与授权控制管理结合，支持用户组级别的目录共享，目录可以共享给指定的授权用户／用户组。

系统的应用层为管理员提供Web管理操作界面，并提供安全应用工具和第三方扩展服务，并可以与OA办公系统、邮件服务系统、Web服务系统、数据库系统等应用系统无缝接入，从而将所有资源纳入系统的管理范围之中。

应用层提供的应用系统整合方式包括：

跨平台应用安全集成套件：套件包括JAVA、C#、ASP、COM等接口模块，分别支持各类B/S与C/S应用系统的安全整合。通过将安全模块内嵌于应用服务器中，与应用系统实现代码级的深度整合，为应用系统提供基于数字证书及账户的统一认证、资源访问授权策略控制、第三方应用行为审计等功能。

用户访问系统的使用过程示意图如图2，

1）用户端通过HTTP协议直接访问应用系统。

2）应用系统调用IA套件证书认证接口判断此访问是否经过认证；如没有通过认证，通知用户端的iMidWare组件自动重定向至数字证书统一身份系统。

3）数字证书统一身份认证系统服务器将根据提交的数字证书验证用户，检查根证书和CRL、证书有效性、用户角色、用户权限等，并在认证日志中记录用户名、IP地址、时间、应用系统名称、登录方式、认证状态等信息。认证密码的流程如图3所示。

4）证书认证通过后，数字证书统一身份认证系统将根据当前用户会话信息、用户基本信息、随机序列值等由服务器证书签名生成一次性凭证，传递给用户端。

5）用户端通过iMidWare组件自动重定向用户端至应用系统，并提交这个一次性签名凭证。

6）IA套件证书认证接口首先验证一次性签名凭证，验证通过以后，将应用授权码和一次性签名凭证传递给数字证书统一身份认证系统，以验证当前会话用户访问签名凭证的合法性以及应用系统授权码正确性。验证通过后，数字证书统一身份认证系统获取用户信息并进行加密，将加密用户信息签名后返回给应用系统，随即销毁一次性签名凭证。应用系统得到签名的用户信息后，验证该信息的真实性，通过后，解密用户信息，然后根据该用户信息登录应用系统。登录密码流程如图4所示。

本发明的创新之处在于：采用了组件思想和技术，即组件可以在应用领域的软件生产中作为零件纳入新的体系中被重用。经过抽象，将纷繁复杂的系统经过提炼和必要的隔离后，以统一的层面形式呈现给应用。应用在数字签名提供的环境中可以更好地集中于业务逻辑上，并以组件化的形式存在，最终自然而然地在异构环境中实现良好的协同工作。其次，系统的实施与受保护的应用系统的开发语言、开发平台和后台数据库无关，在保持现有的软硬件及网络环境不变情况下，对应用系统不做改造或简单接口，可以把平台与应用系统无缝整合。最后，多层次、全方位安全保护设计，实现管理员、安全管理技术、管理策略以及信息资源有效互动和协调，发挥安全保障体系的最大功能。

Claims (2)

1.一种适用于多应用系统的统一身份认证方法，应用于多种需要进行身份认证的应用系统，其特征是：设置一个独立认证系统，所述的独立认证系统包含系统层、核心数据层、核心安全层和应用层；独立认证系统配置有密码硬件设备，所述的密码硬件设备包括客户端使用的USB key和服务端使用的加密卡，该密码硬件设备实现对国产密码算法SM1、SM2及SM3的应用；本方法所采用的独立认证系统还配置有集成到应用系统中的IA套件，并配置安全认证中间件模块；

具体的身份认证方法是：当用户访问应用系统时，触发应用系统中集成的IA套件自动对其身份进行认证；在IA套件的认证下，用户将重定向安全认证中间件模块，取得身份凭证；用户取得凭证后返回，并携凭证再次访问应用系统，再次触发IA套件对其身份进行认证；通过认证的用户可以正常访问应用系统。

2.根据权利要求1所述的适用于多应用系统的统一身份认证方法，其特征是：所述的密码硬件设备是SJK0817-B或SJK1134中的一种或两种。

Images