CN103312678B - 一种客户端安全登录方法、装置及系统 - Google Patents

Abstract

本发明公开了一种客户端安全登录方法、装置及系统。其中该方法包括：客户端发送登录请求到业务平台；业务平台验证登录请求，验证成功后，生成与安全模块SE通信的安全密钥并发送至SE；所述SE和所述客户端设置于同一终端上；SE利用安全密钥将令牌Token加密后发送到所述业务平台；业务平台对加密后的Token解密后，进行验证，验证通过后，将登录结果返回到所述客户端。本发明通过将Token存储到SE中，登录过程中，由SE将Token发送到业务平台，这样，防止Token被盗，避免伪造用户端，提高用户登录的安全性。

Description

一种客户端安全登录方法、装置及系统

技术领域

本发明涉及一种数据业务技术，尤其涉及一种客户端安全登录方法、装置及系统。

背景技术

手机号码是移动业务非常重要的一个用户标识，在为用户提供服务前，服务后台必须获得用户手机号码并对其进行相关安全认证后，才能提供服务。在传统的蜂窝网络下，用户通过短信或GPRS与平台进行通信时，短信中心或WAP网关能将用户号码传给平台。但是随着WLAN或其它一些传输方式的流行和出现，手机号码不能自动传给平台。如果通过用户输入或者每次登录都发短信，这将大大降低用户的体验度。

现有方案通过客户端首次启动时，向后台申请一个TOKEN(申请时手机将同步发送一条短信，以便后台能获得此手机的号码)，将申请到的TOKEN保存在客户端，后续登录时，通过TOKEN进行验证登录。此方法，可解决号码不能自动携带的问题，但是却引入另外一个风险问题，即存储在客户端的TOKEN的安全性问题，目前手机病毒和客户端反编译能力很强，完全可以直接从客户端读取出TOKEN，从而再使用假手机冒名进入。

发明内容

本发明的目的在于，提供一种客户端安全登录方法、装置及系统，可以防止Token被盗，避免伪造用户端，提高用户登录的安全性。

为实现上述目的，根据本发明的一个方面，提供一种客户端安全登录方法，包括：客户端发送登录请求到业务平台；所述业务平台验证登录请求，验证成功后，生成与安全模块SE通信的安全密钥并发送至SE；所述SE和所述客户端设置于同一终端上；所述SE利用安全密钥将令牌Token加密后发送到所述业务平台；所述业务平台对加密后的Token解密后，进行验证，验证通过后，将登录结果返回到所述客户端。

其中，客户端发送登录请求到业务平台之前还包括：所述客户端向SE发送ID请求；所述SE将其ID发送给所述客户端；所述客户端检测SIM卡的国际移动用户识别码IMSI是否和本地存储的IMSI一致，若一致，则客户端发送包含所述SIM卡的IMSI和所述SE的ID的登录请求到业务平台。

其中，客户端发送登录请求到可信业务管理业务平台之前还包括：当所述客户端检测SIM卡的IMSI与本地存储的IMSI不一致或本地未存放IMSI时，客户端发送包含所述SIM卡的IMSI和所述SE的ID的短信到短信中心；短信中心在所述短信中加入所述客户端所在手机的手机号码后，发送到所述业务平台；所述业务平台根据所述短信生成Token，建立并存储手机号码、SIM卡的IMSI、SE的ID及Token的对应关系；所述业务平台接收到所述客户端发送的包含所述SIM卡的IMSI和所述SE的ID的Token请求，对所述Token请求进行验证；验证成功后，所述业务平台生成与SE通信的安全密钥并发送至SE；所述业务平台将所述Token用所述安全密钥加密后发送给所述SE；所述SE解密并保存所述Token。

优选地，该方法还包括：在客户端和业务平台之间建立数据链路，客户端和业务平台之间通过数据链路进行通信。数据链路为TCP/IP链路。

为实现上述目的，根据本发明的另一个方面，提供一种终端，包括：安全模块SE和客户端，其中，

所述客户端，发送登录请求到业务平台，并接收所述业务平台返回的登录结果；所述SE，接收所述业务平台发送的安全密钥，利用所述安全密钥将令牌Token加密后发送到所述业务平台。

所述SE包括：接收模块，用于接收客户端发送的ID请求，接收业务平台发送的安全密钥；存储模块，用于存储SE的ID、Token及安全密钥；加密模块，用于利用安全密钥将Token进行加密；

发送模块，用于将所述SE的ID发送给所述客户端，将加密后的Token发送至业务平台。

另外，SE还包括解密模块，其中，所述接收模块，接收所述业务平台发送的经所述安全密钥加密后的Token；解密模块，利用存储的安全密钥对所述加密后的Token进行解密。

另外，客户端包括：登录请求生成模块，用于生成登录请求；发送模块，用于将所述登录请求发送至业务平台；

接收模块，用于接收所述业务平台发送的登录结果。

其中，该客户端还包括：ID请求生成模块和检测模块，ID请求生成模块，用于生成ID请求；所述发送模块，将所述ID请求发送至SE；接收模块，接收所述SE返回的ID；

检测模块，用于检测SIM卡的IMSI是否和本地存储的IMSI一致；所述登录请求生成模块，用于当SIM卡的IMSI和本地存储的IMSI一致时，生成包含SIM卡的IMSI和SE的ID的登录请求。

另外，该客户端还包括：短信生成模块，用于当SIM卡的IMSI和本地存储的IMSI不一致时，生成包含SIM卡的IMSI和SE的ID的短信；所述发送模块，将所述短信发送至短信中心。

为实现上述目的，根据本发明的另一个方面，提供一种业务平台，其特征在于，包括：接收模块，用于接收客户端发送的登录请求，SE发送的加密后的Token；第一验证模块，用于验证所述登录请求；安全密钥生成模块，用于在登录请求验证成功后生成与SE通信的安全密钥；

解密模块，用于利用安全密钥将加密后的Token进行解密；第二验证模块，用于验证所述Token；发送模块，用于将所述安全密钥发送给所述SE，验证Token成功后将登录结果发送给所述客户端。

另外，该业务平台还包括：Token生成模块、存储模块、第三验证模块、加密模块，其中，所述接收模块，接收短信中心发送的包含手机号码、SIM卡的IMSI、SE的ID的短信，接收所述客户端发送的Token请求；所述Token生成模块，用于根据所述短信生成Token；所述存储模块，用于存储手机号码、SIM卡的IMSI、SE的ID和Token的对应关系；所述第三验证模块，用于验证所述Token请求；所述安全密钥生成模块，当验证Token请求成功后，生成与SE通信的安全密钥；所述加密模块，用于利用安全密钥对所述Token进行加密；所述发送模块，用于将加密后的Token发送给所述SE。

为实现上述目的，根据本发明的另一个方面，提供一种客户端安全登录系统，包括：设置于同一终端的客户端和SE，位于网络侧的业务平台；其中，客户端，发送登录请求到业务平台；业务平台，验证登录请求，验证成功后，生成与安全模块SE通信的安全密钥并发送至SE；对加密后的Token解密后，进行验证，验证通过后，将登录结果返回到所述客户端；SE，利用安全密钥将令牌Token加密后发送到所述业务平台。

其中，所述客户端，向SE发送ID请求；检测SIM卡的IMSI是否和本地存储的IMSI一致，若一致，则客户端发送包含所述SIM卡的IMSI和所述SE的ID的登录请求到业务平台；所述SE，将其ID发送给所述客户端。

其中，该系统还包括：短信中心，其中，所述客户端，当检测SIM卡的IMSI与本地存储的IMSI不一致或本地未存放IMSI时，发送包含所述SIM卡的IMSI和所述SE的ID的短信到短信中心；所述短信中心，在所述短信中加入所述客户端所在手机的手机号码后，发送到所述业务平台；所述业务平台，根据所述短信生成Token，并建立并存储手机号码、SIM卡的IMSI、SE的ID及Token的对应关系；接收到所述客户端发送的包含所述SIM卡的IMSI和所述SE的ID的Token请求，对所述Token请求进行验证；验证成功后，生成与SE通信的安全密钥并发送至SE；将所述Token用所述安全密钥加密后发送给所述SE；所述SE，解密并保存所述Token。

本发明的客户端安全登录方法、装置及系统，通过将Token存储到SE中，登录过程中，由SE将Token发送到业务平台，这样，防止Token被盗，避免伪造用户端，提高用户登录的安全性。

附图说明

图1是本发明客户端安全登录方法实施例的流程图；

图2是本发明Token获取方法的流程图；

图3是本发明SE实施例的结构图；

图4是本发明客户端实施例的结构图；

图5是本发明业务平台实施例的结构图；

图6是本发明业务平台另一实施例的结构图。

具体实施方式

本发明在终端中引入一个安全模块(Security Element，简称SE)，SE的数据读取和写入都有权限控制。将令牌(Token)存储到SE中。以下结合附图对本发明进行详细说明。本发明中，网络侧的业务平台的种类可以由许多，以下实施例中，以可信业务管理平台(TSM)为例进行说明。

如图1所示，SE和客户端设置于同一终端中，若SE中已存储了Token，则客户端启动后，直接发起登录流程，本发明客户端安全登录方法包括：

步骤102，客户端向SE发送ID请求；

步骤104，SE将其ID发送给客户端；

步骤106，客户端检测SIM卡的国际移动用户识别码(IMSI)是否和本地存储的IMSI一致，若一致，执行步骤108；

步骤108，客户端建立与TSM的数据链路，该数据链路为TCP/IP链路；

步骤110，客户端通过数据链路发送登录请求到TSM；登录请求中包含SIM卡的IMSI和SE的ID；

步骤112，TSM验证登录请求，将验证结果发送给客户端；若验证成功，执行步骤114；

步骤114，TSM创建与SE本次通信的安全通道，即生成本次通信的安全密钥发送给SE，之后TSM与SE之间的通信均使用该安全密钥加密；

步骤116，TSM向SE发送Token获取请求；

步骤118，SE利用安全密钥将Token加密后发送给TSM；

步骤120，TSM对加密后的Token解密后，进行验证，验证通过后，执行步骤122；

步骤122，TSM将登录结果通过数据链路返回到所述客户端。

当客户端首次启动、检测SIM卡的IMSI与本地存储的IMSI不一致或本地未存放IMSI时，客户端需要发起Token获取流程。如图2所示，Token获取流程如下：

步骤202，客户端向SE发送ID请求；

步骤204，SE将其ID发送给客户端；

步骤206，户端检测SIM卡的国际移动用户识别码(IMSI)是否和本地存储的IMSI一致，若不一致，执行步骤208；

步骤208，客户端发送包含SIM卡的IMSI和SE的ID的短信到短信中心；另外，客户端还在发送的短信中携带一个随机生成的随机数；

步骤210，短信中心在短信中加入客户端所在手机的手机号码(MSISDN)后，发送到TSM；

步骤212，TSM根据所述短信生成Token，建立并存储手机号码、SIM卡的IMSI、SE的ID、Token及随机数的对应关系

步骤214，TSM建立与客户端之间的数据链路，该数据链路为TCP/IP链路；

步骤216，客户端通过数据链路发送的包含SIM卡的IMSI、SE的ID及随机数的Token请求到TSM；

步骤218，TSM对Token请求进行验证，比较SIM卡的IMSI、SE的ID及随机数与预先存储的是否一致，如果一致，则验证成功，执行步骤220；

步骤220，TSM通过数据链路将验证成功响应发送给客户端；

步骤222，TSM创建与SE本次通信的安全通道，即生成本次通信的安全密钥发送给SE，之后TSM与SE之间的通信均使用该安全密钥加密；

步骤224，TSM将Token用安全密钥加密后发送给SE；步骤226，SE解密并保存Token；

步骤228，SE返回接收响应到TSM。

本发明的上述客户端安全登录方法实施例，通过将Token存储到SE中，登录过程中，由SE将Token发送到业务平台(TSM)，这样，防止Token被盗，避免伪造用户端，提高用户登录的安全性。

基于同一发明构思，本发明还提供一种终端，包括：安全模块SE和客户端，其中，

客户端，发送登录请求到业务平台，并接收所述业务平台返回的登录结果；

SE，接收所述业务平台发送的安全密钥，利用所述安全密钥将令牌Token加密后发送到所述业务平台。

如图3所示，该终端中，SE包括：

接收模块31，用于接收客户端发送的ID请求，接收TSM发送的安全密钥；

存储模块32，用于存储SE的ID、Token及安全密钥；

加密模块33，用于利用安全密钥将Token进行加密；

发送模块34，用于将所述SE的ID发送给所述客户端，将加密后的Token发送至TSM。

SE还包括解密模块35，其中，接收模块31，接收所述TSM发送的经所述安全密钥加密后的Token；解密模块35，利用存储的安全密钥对所述加密后的Token进行解密。

本发明的SE实施例，通过将Token存储到SE中，登录过程中，由SE将Token发送到TSM，TSM对Token进行验证来判断是否允许客户端登录，这样，防止Token被盗，避免伪造用户端，提高用户登录的安全性。

如图4所示，该终端中客户端包括：

登录请求生成模块41，用于生成登录请求；

发送模块42，用于将所述登录请求发送至TSM；

接收模块43，用于接收所述TSM发送的登录结果。

客户端还包括：ID请求生成模块44和检测模块45，其中，

ID请求生成模块44，用于生成ID请求；

发送模块42，将所述ID请求发送至SE；

接收模块43，接收所述SE返回的ID；

检测模块45，用于检测SIM卡的IMSI是否和本地存储的IMSI一致；

登录请求生成模块41，用于当SIM卡的IMSI和本地存储的IMSI一致时，生成包含SIM卡的IMSI和SE的ID的登录请求。

另外，客户端还包括：短信生成模块46，用于当SIM卡的IMSI和本地存储的IMSI不一致时，生成包含SIM卡的IMSI和SE的ID的短信；发送模块42，将所述短信发送至短信中心。

另外，客户端还包括：随机数生成模块47，用于生成随机数，并发送给短信生成模块46；短信生成模块46生成的短信中还包含该随机数。

本发明的客户端实施例，从SE获取Token进行登录验证，这样，防止Token被盗，避免伪造用户端，提高用户登录的安全性。

基于同一发明构思，本发明还提供一种业务平台(如TSM)，如图5所示，TSM实施例包括：

接收模块501，用于接收客户端发送的登录请求，SE发送的加密后的Token；

第一验证模块502，用于验证所述登录请求；

安全密钥生成模块503，用于在登录请求验证成功后生成与SE通信的安全密钥；

解密模块504，用于利用安全密钥将加密后的Token进行解密；

第二验证模块505，用于验证所述Token；

发送模块506，用于将所述安全密钥发送给所述SE，验证Token成功后将登录结果发送给所述客户端。

如图6所示，TSM还包括：Token生成模块507、存储模块508、第三验证模块509、加密模块510，其中，

接收模块501，接收短信中心发送的包含手机号码、SIM卡的IMSI、SE的ID的短信，接收所述客户端发送的Token请求；

Token生成模块507，用于根据所述短信生成Token；

存储模块508，用于存储手机号码、SIM卡的IMSI、SE的ID和Token的对应关系；

第三验证模块509，用于验证所述Token请求；

安全密钥生成模块503，当验证Token请求成功后，生成与SE通信的安全密钥；

加密模块510，用于利用安全密钥对所述Token进行加密；

发送模块506，用于将加密后的Token发送给所述SE。

本发明的TSM实施例，通过将Token存储到SE中，登录过程中，由SE将Token发送到TSM，TSM对Token进行验证来判断是否允许客户端登录，这样，防止Token被盗，避免伪造用户端，提高用户登录的安全性。

如图1所示，本发明客户端安全登录系统实施例包括：位于同一终端的客户端和SE，位于网络侧的业务平台；其中，

客户端，发送登录请求到TSM；

TSM，验证登录请求，验证成功后，生成与安全模块SE通信的安全密钥并发送至SE；对加密后的Token解密后，进行验证，验证通过后，将登录结果返回到所述客户端；

SE，利用安全密钥将令牌Token加密后发送到所述TSM。

其中，客户端，向SE发送ID请求；检测SIM卡的IMSI是否和本地存储的IMSI一致，若一致，则客户端发送包含所述SIM卡的IMSI和所述SE的ID的登录请求到TSM；

SE，将其ID发送给所述客户端。

如图2所示，该系统实施例还包括：短信中心，其中，

客户端，当检测SIM卡的IMSI与本地存储的IMSI不一致或本地未存放IMSI时，发送包含所述SIM卡的IMSI和所述SE的ID的短信到短信中心；

短信中心，在所述短信中加入所述客户端所在手机的手机号码后，发送到所述TSM；

TSM，根据所述短信生成Token，并建立并存储手机号码、SIM卡的IMSI、SE的ID及Token的对应关系；接收到所述客户端发送的包含所述SIM卡的IMSI和所述SE的ID的Token请求，对所述Token请求进行验证；验证成功后，生成与SE通信的安全密钥并发送至SE；将所述Token用所述安全密钥加密后发送给所述SE；

SE，解密并保存Token。

本发明的上述客户端安全登录系统实施例，通过将Token存储到SE中，登录过程中，由SE将Token发送到业务平台(TSM)，这样，防止Token被盗，避免伪造用户端，提高用户登录的安全性。

应说明的是：以上实施例仅用以说明本发明而非限制，本发明也并不仅限于上述举例，一切不脱离本发明的精神和范围的技术方案及其改进，其均应涵盖在本发明的权利要求范围中。

Claims (6)

1.一种客户端安全登录方法，其特征在于，包括：

客户端发送登录请求到业务平台；

所述业务平台验证登录请求，验证成功后，生成与安全模块SE通信的安全密钥并发送至SE；所述SE和所述客户端设置于同一终端上；

所述SE利用安全密钥将令牌Token加密后发送到所述业务平台；

所述业务平台对加密后的Token解密后，进行验证，验证通过后，将登录结果返回到所述客户端；

客户端发送登录请求到业务平台之前还包括：

所述客户端向SE发送ID请求；

所述SE将其ID发送给所述客户端；

所述客户端检测SIM卡的国际移动用户识别码IMSI是否和本地存储的IMSI一致，若一致，则客户端发送包含所述SIM卡的IMSI和所述SE的ID的登录请求到业务平台；

客户端发送登录请求到可信业务管理业务平台之前还包括：

当所述客户端检测SIM卡的IMSI与本地存储的IMSI不一致或本地未存放IMSI时，客户端发送包含所述SIM卡的IMSI和所述SE的ID的短信到短信中心；

短信中心在所述短信中加入所述客户端所在手机的手机号码后，发送到所述业务平台；

所述业务平台根据所述短信生成Token，建立并存储手机号码、SIM卡的IMSI、SE的ID及Token的对应关系；

所述业务平台接收到所述客户端发送的包含所述SIM卡的IMSI和所述SE的ID的Token请求，对所述Token请求进行验证；

验证成功后，所述业务平台生成与SE通信的安全密钥并发送至SE；

所述业务平台将所述Token用所述安全密钥加密后发送给所述SE；

所述SE解密并保存所述Token。

2.根据权利要求1所述的客户端安全登录方法，其特征在于，还包括：在客户端和业务平台之间建立数据链路，客户端和业务平台之间通过数据链路进行通信。

3.根据权利要求2所述的客户端安全登录方法，其特征在于，所述数据链路为TCP/IP链路。

4.一种终端，其特征在于，包括：安全模块SE和客户端，其中，

所述客户端，用于发送登录请求到业务平台，并接收所述业务平台返回的登录结果；

所述SE，用于接收所述业务平台发送的安全密钥，利用所述安全密钥将令牌Token加密后发送到所述业务平台；

所述SE包括：

接收模块，用于接收客户端发送的ID请求，接收业务平台发送的安全密钥；

存储模块，用于存储SE的ID、Token及安全密钥；

加密模块，用于利用安全密钥将Token进行加密；

发送模块，用于将所述SE的ID发送给所述客户端，将加密后的Token发送至业务平台；

所述SE还包括解密模块，其中，

所述接收模块，接收所述业务平台发送的经所述安全密钥加密后的Token；

解密模块，利用存储的安全密钥对所述加密后的Token进行解密；

所述客户端包括：登录请求生成模块，用于生成登录请求；

发送模块，用于将所述登录请求发送至业务平台；

接收模块，用于接收所述业务平台发送的登录结果；

所述客户端还包括：ID请求生成模块和检测模块，其中，

ID请求生成模块，用于生成ID请求；

所述发送模块，将所述ID请求发送至SE；

接收模块，接收所述SE返回的ID；

检测模块，用于检测SIM卡的IMSI是否和本地存储的IMSI一致；

所述登录请求生成模块，用于当SIM卡的IMSI和本地存储的IMSI一致时，生成包含SIM卡的IMSI和SE的ID的登录请求；

所述客户端还包括：

短信生成模块，用于当SIM卡的IMSI和本地存储的IMSI不一致时，生成包含SIM卡的IMSI和SE的ID的短信；

所述发送模块，将所述短信发送至短信中心。

5.一种业务平台，其特征在于，包括：

接收模块，用于接收客户端发送的登录请求，SE发送的加密后的Token；

第一验证模块，用于验证所述登录请求；

安全密钥生成模块，用于在登录请求验证成功后生成与SE通信的安全密钥；

解密模块，用于利用安全密钥将加密后的Token进行解密；

第二验证模块，用于验证所述Token；

发送模块，用于将所述安全密钥发送给所述SE，验证Token成功后将登录结果发送给所述客户端；

还包括：Token生成模块、存储模块、第三验证模块、加密模块，其中，

所述接收模块，接收短信中心发送的包含手机号码、SIM卡的IMSI、SE的ID的短信，接收所述客户端发送的Token请求；

所述Token生成模块，用于根据所述短信生成Token；

所述存储模块，用于存储手机号码、SIM卡的IMSI、SE的ID和Token的对应关系；

所述第三验证模块，用于验证所述Token请求；

所述安全密钥生成模块，当验证Token请求成功后，生成与SE通信的安全密钥；

所述加密模块，用于利用安全密钥对所述Token进行加密；

所述发送模块，用于将加密后的Token发送给所述SE。

6.一种客户端安全登录系统，其特征在于，包括：设置于同一终端的客户端和SE，位于网络侧的业务平台；其中，

客户端，发送登录请求到业务平台；

业务平台，验证登录请求，验证成功后，生成与安全模块SE通信的安全密钥并发送至SE；对加密后的Token解密后，进行验证，验证通过后，将登录结果返回到所述客户端；

SE，利用安全密钥将令牌Token加密后发送到所述业务平台；

所述客户端，向SE发送ID请求；检测SIM卡的IMSI是否和本地存储的IMSI一致，若一致，则客户端发送包含所述SIM卡的IMSI和所述SE的ID的登录请求到业务平台；

所述SE，将其ID发送给所述客户端；

该系统还包括：短信中心，其中，

所述客户端，当检测SIM卡的IMSI与本地存储的IMSI不一致或本地未存放IMSI时，发送包含所述SIM卡的IMSI和所述SE的ID的短信到短信中心；

所述短信中心，在所述短信中加入所述客户端所在手机的手机号码后，发送到所述业务平台；

所述业务平台，根据所述短信生成Token，并建立并存储手机号码、SIM卡的IMSI、SE的ID及Token的对应关系；接收到所述客户端发送的包含所述SIM卡的IMSI和所述SE的ID的Token请求，对所述Token请求进行验证；验证成功后，生成与SE通信的安全密钥并发送至SE；将所述Token用所述安全密钥加密后发送给所述SE；

所述SE，解密并保存所述Token。