CN103327487A

CN103327487A - 一种远程认证鉴权服务系统

Info

Publication number: CN103327487A
Application number: CN201210072346.3A
Authority: CN
Inventors: 顾健
Original assignee: Shanghai Bolu Information Technology Co Ltd
Current assignee: Shanghai Bolu Information Technology Co Ltd
Priority date: 2012-03-19
Filing date: 2012-03-19
Publication date: 2013-09-25

Abstract

本发明公开了一种远程认证鉴权服务系统，包含鉴权请求模块，请求路由模块，终端审批模块，数据库模块等。系统端提供认证服务，并以服务方式开放给应用系统，应用系统嵌入系统的鉴权服务，同时，用户在应用系统的注册用户和终端进行绑定，用户在应用系统的登录请求转发到系统，系统再路由用户的请求到终端，终端接收到登录请求的通知消息，在终端上进行审核批准，完成整个工作流之后，系统获取用户的审批状态，并通知应用系统，应用系统根据用户的审核状态决定是否允许登录。通过分离用户的登录和认证以及审批，提供了基于一种远程认证鉴权服务的业务体验。

Description

一种远程认证鉴权服务系统

技术领域

本发明涉及互联网和智能终端等技术领域，特别是指一种远程认证鉴权服务系统。

背景技术

随着互联网技术和软件技术的发展，特别是互联网软件和云计算技术的发展，为一种远程认证鉴权服务系统提供了可行性。

目前，用户通常的登录方式为在应用系统的入口输入用户名与密码，系统获取用户名和密码进行认证鉴权，由于网络安全的因素，用户的电脑暴露在互联网上存在很多不安全因素，与用户的使用习惯和安装软件环境和维护有着密切关系，同时，用户需要记忆不同网站上的不同的密码，对用户来说是个很大的负担，用户很难记忆不同的应用系统的密码，而通过分离用户的密码输入和验证环节到手机终端，安全性得到很大的提高，同时，绑定用户终端硬件，通过终端硬件特征识别用户，用户在授权的终端上输入一次密码进入到授权界面进行操作，无需记忆多个密码，是对目前认证鉴权方式的一种补充。

有鉴于此，本发明的目的在于提出一种简单易行，结合智能终端的一种远程认证鉴权服务系统。

发明内容

从上面所述可以看出，系统端提供认证服务，并以服务方式开放给应用系统，应用系统嵌入系统的鉴权服务，同时，用户在应用系统的注册用户和终端进行绑定，用户在应用系统的登录请求转发到系统，系统再路由用户的请求到终端，终端接收到登录请求的通知消息，在终端上进行审核批准，完成整个工作流之后，系统获取用户的审批状态，并通知应用系统，应用系统根据用户的审核状态决定是否允许登录。

进一步的，通过所提供的一种远程认证鉴权服务系统为一种便捷电子认证鉴权业务的发展提供有力保障，满足用户各方要求，提升用户友好体验。

为实现上述目的，本发明的一个方面提供了一种远程认证鉴权服务系统，该方法包括：

系统端的用户认证鉴权的功能模块以服务方式开放并嵌入到第三方应用系统，应用系统获取用户的登录请求后，将认证消息路由到系统的认证鉴权服务并等待认证鉴权服务的结果，系统认证模块再将用户认证请求消息通知用户绑定的终端，用户在终端上进行操作审核后返回审核结果。

本发明提供的一种远程认证鉴权服务系统的一个实施例中，该方法还包括：

用户在第三方的应用系统注册的用户名信息同步到认证系统，认证系统与用户终端进行硬件和终端号码的绑定，用户认证客户端采集的终端特征信息包含终端识别信息，如IMEI或MEID，以及SIM卡包含的用户识别信息，如IMSI或SIM卡ID数据，并结合下发号码信息并验证方式，获取并绑定用户的终端MDN号码。

应用系统在获取用户的登录认证请求后，将用户的登录信息，包含用户名和登录网址等数据的消息转发到认证鉴权模块，系统端的认证鉴权模块获取登录请求中的用户名信息，根据绑定的终端号码和终端硬件指纹信息，查询对应的终端并推送该通知消息给绑定的终端。

用户持终端获取系统端的登录请求消息，查看登录请求，确认本次登录请求为本人的合法登录请求，在审核有效期内进行批准或拒绝，终端将用户的操作作为响应返回给系统，系统端根据用户的操作返回应用系统认证成功或失败的状态消息，完成认证的整个工作流。

用户在终端上的操作返回到系统，根据用户是否批准，系统返回应用系统的认证请求的响应，应用系统则根据认证系统的认证结果允许或拒绝用户的认证请求。

整个认证环节以工作流方式运行，认为请求和响应两个流程，整个环节包含了用户应用系统端，应用系统，系统认证鉴权端以及用户终端多个节点，同时也是请求消息和响应消息的传递路径。

应用系统到认证鉴权系统以及认证鉴权系统到用户终端，之间的消息通过对称或不对称加密方式进行消息的传递，根据应用系统的安全级别，采取普通的链路或VPN进行消息的传递。

系统维护用户登录信息与用户终端的之间的关联，系统通过验证码方式获取用户MDN号码，并绑定用户的SIM卡与手机终端，用户信息与终端信息进行唯一性的映射，用户换卡或换终端通过解除预先的绑定和再次绑定和激活新的SIM卡和终端。

具体来说具有以下优点：

分离验证：

通过将用户登录的请求的审核分离到不同的设备上，如手机，降低了本地设备被盗取密码的可能性，同时也无需用户记忆应用系统的密码，降低了用户的使用记忆负担。

安全性提高：

用户无需在本地登录设备输入密码，通过绑定终端，包含终端硬件特征和SIM卡上包含的用户识别数据，与用户的在应用系统的用户名称进行映射，起到了和指纹类似的效果，其他用户很难伪造和冒充，有效地提高了安全性。

工作流模式：

业务模式按照工作流方式进行，将原有的用户到系统拆分为用户到应用系统，应用系统到认证系统，认证系统到终端多个环节，各个环节以工作流方式进行串联，形成一个完整的业务流程。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为本发明系统模块结构的示意图。

图2为本发明认证鉴权业务流程示意图。

图3为本发明注册绑定流程示意图。

图4为本发明更新绑定数据流程示意图。

具体实施方式

下面参照附图对本发明进行更全面的描述，其中说明本发明的示例性实施例。

为实现上述目的，提出了一种远程认证鉴权服务系统。

以下通过结合附图，对本发明的实施方式进行描述。

实现一种远程认证鉴权服务系统的关键点如下：

注册和绑定：

用户在应用系统进行注册，获取用户名信息和应用系统入口地址信息，同时，用户在终端上绑定获取的应用系统的用户信息，认证系统获取用户的应用系统的用户信息以及绑定的用户终端硬件特征信息，包含用户终端机身识别信息，如IMEI或MEID，以及SIM卡包含的用户识别信息，如IMSI或SIM卡ID数据，并通过唯一性映射算法将终端特征信息不可逆的方式映射为终端硬件特征数据，如MD5算法，并将其和用户在应用系统的用户信息进行绑定，实现一对多的映射关系。

绑定维护：

系统维护用户信息与终端的之间的映射关联关系，用户在更换终端时，需进行绑定关系的更新，在对用户信息进行基本验证后，系统再次获取用户的终端信息和SIM卡用户识别信息，以及用户MDN号码，解除原有的绑定关系并生成新的绑定。

请求路由：

用户发出登录应用系统的请求，应用系统获取用户的登录请求，将用户验证的请求消息路由到系统鉴权认证的服务上，并接收鉴权认证服务的对用户的验证结果。

认证鉴权服务：

用户认证和鉴权服务在系统端以服务方式开放给应用系统，应用系统通过网络服务的方式请求系统对用户鉴权认证，并根据认证鉴权服务的结果判定是否允许用户登录到应用系统。

应用系统获取用户的登录请求，获取用户的登录名信息，并将用户信息作为请求消息参数在消息中发送到认证鉴权服务，认证鉴权服务端保存了用户的应用系统的用户信息以及用户绑定的终端信息，认证鉴权系统查询到该用户后，将鉴权认证消息推送到用户终端上，用户终端接收到该消息后对登录请求进行审核，批准或拒绝，审核结果返回到认证系统，认证系统验证用户终端和审核结果，如通过则向应用系统发出用户审核结果。

工作流控制：

系统认证和鉴权服务整个流程以工作流方式进行执行，认证鉴权系统作为流程的中枢担负起流程的执行和控制，以及消息的上下行的传递。

主要功能模块

如图1所示，一种远程认证鉴权服务系统的结构主要包括：

用户登录端：

登录模块100：

用户访问应用系统的登录模块部分，通过登录模块请求登录到系统。

服务访问接口101：

用户端访问应用系统的接口模块，通过接口模块与应用系统进行交互。

用户终端侧：

审核模块102：

对鉴权认证系统推送的用户登录鉴权消息进行审核，决定是否允许用户访问应用系统。

绑定模块103：

负责采集用户终端特征值，包含终端机身和SIM卡识别数据，并注册到认证鉴权系统，与用户在应用系统的用户信息进行绑定。

服务访问接口104：

用户终端与认证鉴权系统进行交互的接口，通过接口与认证鉴权系统进行各种消息的交互，接收和发送各种消息。

应用系统端：

系统接口模块105：

应用系统与应用系统访问端的接口，通过该接口与用户访问端进行消息的传递和交互。

认证鉴权模块106:

应用系统对用户的认证和鉴权的功能模块，根据认证鉴权模块对用户的认证和鉴权结果，给予用户在应用系统的访问权限。

消息路由模块107：

将用户的认证鉴权请求消息路由到对应的系统认证鉴权服务，并通过认证鉴权服务开放的服务接口进行消息的传递。

系统门户108：

应用系统的门户，承载用户的访问和各种业务，用户通过门户进入到应用系统并使用各种业务。

认证鉴权接口模块109：

应用系统与认证鉴权系统的接口，通过接口请求认证鉴权服务并获取其响应消息。

认证鉴权系统端：

系统接口模块110：

与应用系统的接口模块，通过开放的服务接口提供给应用系统对于的认证鉴权服务。

终端接口模块111：

与绑定的终端之间的消息接口，通过该接口推送终端鉴权认证请求消息并获取终端的审核数据。

消息路由模块112：

系统将应用系统的认证鉴权请求消息，路由到用户终端，请求用户终端进行认证。

绑定模块113：

绑定用户在应用系统的用户信息与用户的终端信息，实现数据的唯一性映射。

认证鉴权服务114：

提供对应用系统的用户的认证和鉴权服务，对用户进行认证以及鉴权。

数据库115：

提供数据存储以及各种基于数据库的各种功能，如数据触发器、函数等逻辑功能以及报表系统等。

管理配置模块116：

系统的管理功能部分，对系统进行综合管理和配置，包含业务参数，系统参数配置等各种管理功能。

传输通道117：

提供数据传输的实际的物理通道，可以是无线宽带网和移动数据网络，包含各个移动通信的数据信道，WIFI，固定宽带等。

图3示为本发明注册绑定流程示意图。

如图所示，该流程包含以下步骤：

1) 终端客户端获取用户终端的硬件特征值以及用户信息；

2) 系统验证用户的MDN号码，可采取下发短信验证码方式进行验证，该步骤不是必须项；

3) 用户提供需绑定的用户信息以及应用系统密码；

4) 提交后，对用户提交信息进行验证，查询是否已有绑定信息；

5) 如未发现已有绑定关系，则生成用户信息与终端的绑定关系并向用户显示成功信息；

6) 如发现已有绑定，则向用户显示错误信息。

图4示为本发明更新绑定数据流程示意图。

如图所示，绑定更新流程包含了如下步骤：

1) 用户在终端上申请绑定更新；

2) 系统验证用户的用户名和密码信息；

3) 如正确则进入到绑定更新流程；

4) 终端采集用户终端特征信息，以及用户数据并提交绑定请求；

5) 系统获取用户的绑定请求信息，解除原有绑定关系，更新的绑定关系；

6) 系统处理绑定关系后向用户推送绑定处理结果信息；

7) 用户查看到本次操作的结果。

下面举一个例子来说明本发明用户通过一种远程认证鉴权服务的方法，如图2所示，该实施例中，业务包括以下步骤：

步骤1：用户访问和请求登录应用系统；

步骤2：应用系统获取用户的访问请求；

步骤3：应用系统将访问请求消息路由到鉴权认证系统的服务模块；

步骤4. 鉴权认证系统解析用户的用户信息并查询对应的绑定关系；

步骤5. 查询到对应的绑定关系后，推送用户访问请求到用户终端；

步骤6. 用户终端获取到系统推送的登录访问请求消息，对本次访问进行审核，并返回用户审核结果数据；

步骤7. 认证和鉴权系统获取用户的审核状态数据，验证本次用户信息，包含终端信息和审核数据；

步骤8. 验证通过后，通知应用系统允许本次登录，否则拒绝本次登录，应用系统根据用户权限允许用户使用应用系统。

本发明的描述是为了示例和说明起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显然的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且使本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。

Claims

1.一种远程认证鉴权服务系统，其特征在于，系统端提供认证服务，并以服务方式开放给应用系统，应用系统嵌入系统的鉴权服务，同时，用户在应用系统的注册用户和终端进行绑定，用户在应用系统的登录请求转发到系统，系统再路由用户的请求到终端，终端接收到登录请求的通知消息，在终端上进行审核批准，完成整个工作流之后，系统获取用户的审批状态，并通知应用系统，应用系统根据用户的审核状态决定是否允许登录。

2.如权利要求1所述，系统端提供认证服务，并以服务方式开放给应用系统，应用系统嵌入系统的鉴权服务，其特征在于，系统端的用户认证鉴权的功能模块以服务方式开放并嵌入到第三方应用系统，应用系统获取用户的登录请求后，将认证消息路由到系统的认证鉴权服务并等待认证鉴权服务的结果，系统认证模块再将用户认证请求消息通知用户绑定的终端，用户在终端上进行操作审核后返回审核结果。

3.如权利要求1所述，用户在应用系统的注册用户和终端进行绑定，其特征在于，用户在第三方的应用系统注册的用户名信息同步到认证系统，认证系统与用户终端进行硬件和终端号码的绑定，用户认证客户端采集的终端特征信息包含终端识别信息，如IMEI或MEID，以及SIM卡包含的用户识别信息，如IMSI或SIM卡ID数据，并结合下发号码信息并验证方式，获取并绑定用户的终端MDN号码。

4.如权利要求1所述，用户在应用系统的登录请求转发到系统，系统再路由用户的请求到终端，其特征在于，应用系统在获取用户的登录认证请求后，将用户的登录信息，包含用户名和登录网址等数据的消息转发到认证鉴权模块，系统端的认证鉴权模块获取登录请求中的用户名信息，根据绑定的终端号码和终端硬件指纹信息，查询对应的终端并推送该通知消息给绑定的终端。

5.如权利要求1所述，终端接收到登录请求的通知消息，在终端上进行审核批准，完成整个工作流，其特征在于，用户持终端获取系统端的登录请求消息，查看登录请求，确认本次登录请求为本人的合法登录请求，在审核有效期内进行批准或拒绝，终端将用户的操作作为响应返回给系统，系统端根据用户的操作返回应用系统认证成功或失败的状态消息，完成认证的整个工作流。

6.如权利要求5所示，系统获取用户的审批状态，并通知应用系统，应用系统根据用户的审核状态决定是否允许登录，其特征在于，用户在终端上的操作返回到系统，根据用户是否批准，系统返回应用系统的认证请求的响应，应用系统则根据认证系统的认证结果允许或拒绝用户的认证请求。

7.如权利要求5所述，系统以工作流方式完成整个认证鉴权服务流程，其特征在于，整个认证环节以工作流方式运行，认为请求和响应两个流程，整个环节包含了用户应用系统端，应用系统，系统认证鉴权端以及用户终端多个节点，同时也是请求消息和响应消息的传递路径。

8.如权利要求7所述，整个流程包含多个节点，同时也是消息的传递路径，其特征在于，应用系统到认证鉴权系统以及认证鉴权系统到用户终端，之间的消息通过对称或不对称加密方式进行消息的传递，根据应用系统的安全级别，采取普通的链路或VPN进行消息的传递。

9.如权利要求3所述，系统保存用户的注册绑定信息，其特征在于，系统维护用户登录信息与用户终端的之间的关联，系统通过下发短信验证码等方式获取用户MDN号码，并绑定用户的SIM卡与手机终端，用户信息与终端信息进行唯一性的映射，用户换卡或换终端通过解除预先的绑定和再次绑定和激活新的SIM卡和终端。