CN103269270A - 一种基于手机号码的实名认证安全登录的方法及系统 - Google Patents

Abstract

一种基于手机号码的实名认证安全登录的方法及系统，它涉及互联网实名认证领域。实名身份管理服务器根据用户提供的身份信息进行审核注册；通过审核后，用户通过手机动态验证码与数字证书激活帐号；第三方应用申请登录服务，请求将被发送到统一登录服务器并被转发至实时认证服务器，实时认证服务器将请求发送给用户确认，并根据返回至统一登录服务器的结果判断是否同意登录，如果同意则将会话信息存于会话管理服务器中，并将信息返回至第三方应用。本发明解决了用户对不同应用中用户信息的依赖，通过手机认证能保证信息的安全，方便网络管理部门的管理，且不需要用户在所有应用中重新维护个人信息，给用户带来了便捷，减少了用户对隐私泄露的担忧。

Description

一种基于手机号码的实名认证安全登录的方法及系统

技术领域：

本发明涉及互联网应用安全认证以及实名认证登录技术领域，尤其涉及一种基于手机号码的实名认证安全登录的方法及系统。

背景技术：

随着互联网的迅速发展，各种各样的来自于不同服务提供商的应用不断涌现，人们也正面临着如何既方便又安全的进行信息交换的巨大挑战，特别是在对安全性要求很高的商务应用中，如银行系统，网上购物系统，企业信息系统等，人们对其具有保密性、完整性、真实性以及不可否认性等四项安全需求。

目前国内大多数安全认证系统采用的认证模式主要有以下几种：

1)用户名加密码认证：用户只需要通过用户名及密码即可登录使用。

2)手机动态认证加密码：通过用户在应用中绑定的手机号码，系统将随机生成的动态认证码通过短信的形式发送给该手机，用户输入动态认证码来实现客户身份的识别，实现起来方便，只需具备一个手机即可。

3)数字证书加密码：数字证书是由权威公正的第三方机构签发的，以数字证书为核心的加密技术对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的机密性、完整性，以及身份的真实性、签名信息的不可否认性，从而保证网络应用的安全性。

4)手机动态认证和数字证书的双认证安全模式：用户登录应用系统时须输入用户名、登录密码、手机动态密码，并结合客户端证书等各种因素统一认证来完成客户身份认证。

上述现有关于安全认证的技术在不同程度上带来了一定的安全性，同时也在不同程度上带来了一定了不方便性，另外在目前繁杂的网络环境中，网络欺骗现象也经常发生，一方面是因为用户隐私的泄露，另一方面是因为用户信息的虚假性使得其网络犯罪的成本很小，这种现象将导致国内的网络环境非常混乱，最终使得用户对其失去信任，当前，社会对网络安全越来越关注，对网络犯罪也越来越担心，对互联网实名认证的呼声也越来越高，而现有互联网实名认证策略还没有更好的实施方式，主要难点在于用户隐私安全、数据安全与实名要求难以达到一定的平衡。

发明内容：

本发明的目的是提供一种基于手机号码的实名认证安全登录的方法，它采用统一的手机认证系统，方便信息的统一管理，解决了用户对不同应用中的用户信息的依赖，另外通过手机认证能保证信息的安全，使用非常方便，同时也方便网络管理部门的管理，而且不需要用户在所有应用中都要重新维护自己的个人信息，从一定的程度上给用户带来了便捷，也减少了用户对隐私泄露的担忧。

为了解决背景技术所存在的问题，本发明方法采用以下技术方案，其包括以下步骤：

步骤一：用户向实名身份管理服务器提供手机号码和身份证信息进行注册，实名身份管理服务器将自动或人工审核用户的手机号码与身份证信息；

步骤二：用户在实名身份管理服务器通过审核后，可以下载手机认证客户端，通过手机动态验证码来下载数字证书，然后通过手机动态验证码与数字证书来激活认证帐号，激活成功后，用户可通过数字证书与实时认证服务器进行连接；

步骤三：第三方应用在统一登录系统中申请使用统一登录服务，用户在通过单点登录服务使用用户登录标识申请登录认证或者绑定，请求将被发送到统一登录服务器中，统一登录服务器把用户的请求转发至实时认证服务器，实时认证服务器将请求发送至用户的手机认证客户端，用户收到认证请求后判断是否同意登录，并将认证结果返回实时认证服务器，实时认证服务器将结果返回至统一登录服务器，统一登录服务器根据结果判断是否同意登录，如果同意登录就在会话管理服务器中保存会话信息，并将会话的信息返回至第三方应用。

步骤四：用户可以随时登录实名身份管理服务器来查看其绑定的第三方应用以及所有登录使用记录，也可以随时解除第三方应用的绑定。

本发明还提供了一种基于手机号码的实名认证安全登录的系统，它包括客户端与服务器，所述的客户端包括手机认证客户端，所述的服务器包括实名身份管理服务器、实时认证服务器、统一登录服务器、会话管理服务器，所述的手机认证客户端可以使用户与实时认证服务器保持持续的连接，可以通过实时认证服务器来对第三方应用提供认证，还可以为第三方应用登录程序，在第三方应用中调用登录统一登录服务器的登录界面，实名身份管理服务器用于管理认证用户的信息，实时认证服务器用于与手机认证客户端保持连接，与用户进行实时交互，接收用户的认证确认消息并返回至统一登录服务器，统一登录服务器用于提供第三方应用登录程序进行登录连接，会话管理服务器用于生成临时会话、临时Token、Token密钥等信息，为第三方的请求提供验证。

本发明的基于手机号码的实名认证安全登录方法及系统，采用统一的手机认证系统，方便信息的统一管理，解决了用户对不同应用中的用户信息的依赖，另外通过手机认证能保证信息的安全，特别是在登录第三方应用的过程中极大简化了登录过程，使用非常方便，同时也方便网络管理部门的管理，对于那些需要实名制的应用服务，只需要与本发明中的统一登录服务器进行绑定，即可达到实名制的效果，特别简单，而且不需要用户在所有应用中都要重新维护自己的个人信息，从一定的程度上给用户带来了便捷，也减少了用户对隐私泄露的担忧。

附图说明：

图1为本发明系统的结构示意图；

图2为本发明方法的流程示意图；

图3为本发明方法中实名注册及激活登录流程图；

图4为本发明方法中统一登录实施流程图。

具体实施方式：

图1为本发明系统的结构示意图，如图1所示，一种基于手机号码的实名认证安全登录的系统，它包括客户端与服务器，所述的客户端包括手机认证客户端，它可以使用户与实时认证服务器保持持续的连接，通过认证服务器来对第三方应用提供认证，第三方应用登录程序，在第三方应用中调用的登录统一登录服务器的登录界面，所述的服务器包括实名身份管理服务器、实时认证服务器、统一登录服务器、会话管理服务器，实名身份管理服务器用于管理认证用户的信息，并保证用户信息的安全性、隐私性以及正确性；实时认证服务器用于与手机认证客户端保持连接，与用户进行实时交互，接收用户的认证确认消息并返回至统一登录服务器；统一登录服务器用于提供第三方应用登录程序进行登录连接；会话管理服务器用于生成临时会话、临时Token、Token密钥等信息，为第三方的请求提供验证。

图2是本发明方法的流程，具体步骤包括：

步骤一：用户在实名身份管理服务器提供手机号码和身份证信息等，实名身份管理服务器将自动或人工审核用户的手机号码与身份证信息，审核成功后将自动生成数字证书，设置账户为未激活状态，如果审核不通过，则将账户设置为审核不通过状态，需要用户重新填写；

步骤二：用户在实名身份管理服务器通过审核后，可以下载手机认证客户端，通过手机动态验证码来下载数字证书，然后通过手机动态验证码与数字证书来激活认证帐号，激活成功后，用户可通过数字证书与实时认证服务器进行连接；

步骤三：第三方应用在统一登录系统中申请使用统一登录服务，用户在通过单点登录服务使用用户登录标识申请登录认证或者绑定，请求将被发送到统一登录服务器中，统一登录服务器把用户的请求转发至实时认证服务器，实时认证服务器将请求发送至用户的手机认证客户端，用户收到认证请求后判断是否同意登录，并将认证结果返回实时认证服务器，实时认证服务器将结果返回至统一登录服务器，统一登录服务器根据结果判断是否同意登录，如果同意登录就在会话管理服务器中保存会话信息，并将会话的信息返回至第三方应用。

步骤四：用户可以随时登录实名身份管理服务器来查看其绑定的第三方应用以及所有登录使用记录，也可以随时解除第三方应用的绑定。

所述步骤一中用户可以提供方便记忆的用户名用于在第三方应用中作为登录标识。

所述步骤二中的激活认证需要确保只有在实名身份管理服务器中提供的手机号码所在的手机才能激活并与实时认证服务器保持连接。

所述步骤二中用户在实名身份管理服务器审核不通过的情况下尝试下载数字证书时将提示错误，从而账户也不能与实时认证服务器进行连接。

所述步骤二中手机认证客户端与实名认证服务器之间的连接必须确保是安全的，可以采用数字证书或者其他的认证方式来保证安全性。

所述步骤三中统一登录服务器并不将用户的隐私信息提供给第三方应用，除非有特殊要求，但提供何种信息需要经过用户通过手机认证客户端进行确认，保证一切对于用户来说都是知情的。

所述步骤三中为确保更进一步的安全性，用户可设置某些特定场合需要在手机认证客户端确认同意认证时输入认证密码，即使用分级认证方式来确保即安全又方便。

所述步骤三中，当手机丢失后，为防止他人轻易使用手机认证客户端来进行认证，用户可以在进入手机认证客户端之前设置使用密码，如九宫格或四位数密码等，同时可以向相关机构申请挂失，挂失后，手机号码与数字证书失效，此时原手机认证客户端将不能使用。

所述步骤三使用第三方登录认证方式来达到实名认证的目的，对所有需要进行实名认证的应用，可为其提供第三方认证接口，该应用只需要将其应用内部的应用信息与本发明中的实名身份管理服务器中的用户进行绑定，以确保用户信息的准确性，而不用担心泄漏用户的隐私问题。

所述步骤四中登录实名身份管理服务器，必须要通过手机动态认证码或更高安全性的认证方式来进行认证。

图3是本发明方法中实名注册及激活登录的流程，具体流程包括：

1、用户在实名身份管理服务器中注册用户信息，如用户的手机号码、用户的身份证信息。

2、实名身份管理服务器对用户的信息进行审核，特别的对手机号码与身份证信息进行认证，确保用户信息的完整性及真实性。

3、通过审核后，可以提供给用户数字证书，设置账户为未激活状态，用户通过在指定手机号码的手机上使用手机认证客户端，通过手机动态认证码来下载数字证书，并使用手机动态认证码和数字证书来进行激活用户帐号，如果审核不通过，则将账户设置为审核不通过状态，需要用户重新填写进行注册。

4、激活成功后，用户可以通过手机认证客户端来登录实时认证服务器，在登录的过程中，用户是不需要输入任何信息的，手机认证客户端会通过获取手机的信息、手机上的数字证书、手机号码信息来进行与实时认证服务器的连接，确保登录的手机是唯一的、有效的，若激活不成功则程序结束。

5、在登录的过程中可能会发生几种情况：手机被盗或丢失、手机号码更换等情况，如果手机被盗或丢失，用户需要向实名身份管理服务器提出挂失请求，此时原手机号码将不能与实时认证服务器进行连接，从而保证认证的安全性，同时如果被盗手机没有对手机认证客户端进行破坏的话，手机认证客户端也会通过定位手机并发送到服务器，能起到一定的防盗作用，如果被盗手机更换手机号码，服务器手机认证服务器也能通过发送短信至用户设置的安全手机号码，从而知道被盗手机的号码，从而查询窃贼的用户信息，如果用户需要更换手机号码，也必须向实名身份管理服务器提出换号申请，更换数字证书，原手机号码作废，用户可以使用新的手机号码来与实时认证服务器进行连接。

图4是本发明方法中第三方应用登录程序进行统一登录认证的实时流程，具体流程包括：

1、用户在第三方应用登录程序中输入用户在实名身份管理服务器中注册的用户登录标识，并向统一登录服务器提交认证请求。

2、统一登录服务器对请求进行初步验证，如登录标识的有效性以及用户的权限范围的有效性等等，如果验证不通过则返回无效登录，如果通过验证则继续。

3、统一登录服务器将用户认证请求转发至实时认证服务器。

4、实时认证服务器检查用户的连接状态，如果没有连接，通过统一登录服务器返回提示信息到第三方应用登录程序，否则继续。

5、实时认证服务器通过与手机认证客户端的连接将认证请求发送给用户。

6、用户对认证请求作出回应并将回应消息返回至实时认证服务器，如果不是用户自己的操作，用户可以拒绝认证请求，并进行投诉，或者将该应用加入黑名单，如果同意认证请求，可以确认认证消息。

7、实时认证服务器将用户的认证回应消息返回至统一登录服务器。

8、统一登录服务器根据用户返回的消息进行分析，如果是拒绝登录认证，则直接返回消息到第三方应用登录程序，否则通过会话管理服务器生成临时会话，包括临时Token、Token密钥等信息，统一登录服务器将临时会话信息返回至第三方应用登录程序，从而完成认证。

9、第三方应用使用临时会话信息通过统一登录服务器提供的服务API进行资源访问。

Claims (10)

1.一种基于手机号码的实名认证安全登录的方法，包括以下步骤：步骤一：用户向实名身份管理服务器提供手机号码和身份证信息进行注册，实名身份管理服务器将自动或人工审核用户的手机号码与身份证信息；

步骤二：用户在实名身份管理服务器通过审核后，可以下载手机认证客户端，通过手机动态验证码来下载数字证书，然后通过手机动态验证码与数字证书来激活认证帐号，激活成功后，用户可通过数字证书与实时认证服务器进行连接；

步骤三：第三方应用在统一登录系统中申请使用统一登录服务，用户在通过单点登录服务使用用户登录标识申请登录认证或者绑定，请求将被发送到统一登录服务器中，统一登录服务器把用户的请求转发至实时认证服务器，实时认证服务器将请求发送至用户的手机认证客户端，用户收到认证请求后判断是否同意登录，并将认证结果返回实时认证服务器，实时认证服务器将结果返回至统一登录服务器，统一登录服务器根据结果判断是否同意登录，如果同意登录就在会话管理服务器中保存会话信息，并将会话的信息返回至第三方应用。

步骤四：用户可以随时登录实名身份管理服务器来查看其绑定的第三方应用以及所有登录使用记录，也可以随时解除第三方应用的绑定。

2.根据权利要求1所述的一种基于手机号码的实名认证安全登录的方法，其特征在于，所述步骤一中用户可以提供方便记忆的用户名用于在第三方应用中作为登录标识。

3.根据权利要求1所述的一种基于手机号码的实名认证安全登录的方法，其特征在于，所述步骤二中的激活认证需要确保只有在实名身份管理服务器中提供的手机号码所在的手机才能激活并与实时认证服务器保持连接。

4.根据权利要求1所述的一种基于手机号码的实名认证安全登录的方法，其特征在于，所述步骤二中用户在实名身份管理服务器审核不通过的情况下尝试下载数字证书时将提示错误，从而账户也不能与实时认证服务器进行连接。

5.根据权利要求1所述的一种基于手机号码的实名认证安全登录的方法，其特征在于，所述步骤二中手机认证客户端与实名认证服务器之间的连接必须确保是安全的，可以采用数字证书或者其他的认证方式来保证安全性。

6.根据权利要求1所述的一种基于手机号码的实名认证安全登录的方法，其特征在于，所述步骤三中统一登录服务器并不将用户的隐私信息提供给第三方应用，除非有特殊要求，但提供何种信息需要经过用户通过手机认证客户端进行确认，保证一切对于用户来说都是知情的。

7.根据权利要求1所述的一种基于手机号码的实名认证安全登录的方法，其特征在于，所述步骤三中为确保更进一步的安全性，用户可设置某些特定场合需要在手机认证客户端确认同意认证时输入认证密码，即使用分级认证方式来确保即安全又方便。

8.根据权利要求1所述的一种基于手机号码的实名认证安全登录的方法，其特征在于，所述步骤三中，当手机丢失后，为防止他人轻易使用手机认证客户端来进行认证，用户可以在进入手机认证客户端之前设置使用密码，如九宫格或四位数密码等，同时可以向相关机构申请挂失，挂失后，手机号码与数字证书失效，此时原手机认证客户端将不能使用。

9.根据权利要求1所述的一种基于手机号码的实名认证安全登录的方法，其特征在于，所述步骤三使用第三方登录认证方式来达到实名认证的目的，对所有需要进行实名认证的应用，可为其提供第三方认证接口，该应用只需要将其应用内部的应用信息与本发明中的实名身份管理服务器中的用户进行绑定，以确保用户信息的准确性，而不用担心泄漏用户的隐私问题。

10.一种基于手机号码的实名认证安全登录的系统，其特征在于，它包括客户端与服务器，所述的客户端包括手机认证客户端，所述的服务器包括实名身份管理服务器、实时认证服务器、统一登录服务器、会话管理服务器，所述的手机认证客户端可以使用户与实时认证服务器保持持续的连接，可以通过实时认证服务器来对第三方应用提供认证，还可以为第三方应用登录程序，实名身份管理服务器用于管理认证用户的信息，实时认证服务器用于与手机认证客户端保持连接，与用户进行实时交互，接收用户的认证确认消息并返回至统一登录服务器，统一登录服务器用于提供第三方应用登录程序进行登录连接，会话管理服务器用于生成临时会话、临时Token、Token密钥等信息，为第三方的请求提供验证。

Images