CN103532966A - 一种支持基于usb key单点登录虚拟桌面的装置及方法 - Google Patents

Abstract

本发明公开了一种支持基于USBKEY单点登录虚拟桌面的装置及方法，涉及桌面云安全技术。本发明技术要点：包括用户终端、认证网关服务器、虚拟化服务器；所述用户终端上部署有用户端登录插件与认证网关客户端，所述认证网关服务器上部署有认证网关服务端，所述虚拟化服务器部署有虚拟桌面登录插件等。

Description

一种支持基于USB KEY单点登录虚拟桌面的装置及方法

技术领域

本发明涉及桌面云安全技术，尤其是一种支持基于USB KEY密码设备单点登陆虚拟桌面的装置及登陆方法。

背景技术

现有的桌面云安全认证技术多借助于微软的AD域结合单点登录技术实现身份认证，例如现有的登陆验证信息只包含用户名及用户密码。这种认证方式最大的缺陷就是一旦用户终端（瘦终端或传统的PC机）不访问云端资源时，则完全可以逃避AD域的控制和约束，恶意用户则可以绕开AD域进行攻击。

发明内容

本发明所要解决的技术问题是：针对上述存在的问题，提供一种支持基于USB KEY单点登陆虚拟桌面的装置及登陆方法。USB KEY作为密码设备，其上存储有PIN码及用户数组证书，所述数字证书可以是CA系统（Certificate Authority，电子商务认证授权机构，也称为电子商务认证中心，是负责发放和管理数字证书的权威机构，并作为电子商务交易中受信任的第三方，承担公钥体系中公钥的合法性检验的责任。）签发。

本发明提供了一种支持基于USB KEY单点登录虚拟桌面的装置，包括用户终端、认证网关服务器、虚拟化服务器；

所述用户终端上部署有用户端登录插件与认证网关客户端：

其中，用户端登录插件用于对用户终端的操作系统进行改造，登录插件还用于读取插入用户终端的USB KEY中的用户数字证书及PIN码；所述经过改造后的操作系统接收用户输入的用户名、用户登录密码与PIN码，并对所述用户输入的用户名、用户登录密码与PIN码进行验证，若验证无误，则允许用户进入用户终端的操作系统； 

所述认证网关客户端用于接收用户填入认证网关服务器的端口，所述认证网关客户端根据所述认证网关服务器的端口与认证网关服务器建立加密通道，并将所述用户数字证书及用户输入的PIN码发送给认证网关服务器；

所述认证网关服务器上部署有认证网关服务端，所述认证网关服务端用于接收并验证所述用户数字证书的合法性，若用户数字证书合法则将包含授权于该用户数字证书的全部虚拟桌面资源的选择界面通过所述加密通道推送至所述用户终端，供用户选择虚拟桌面资源；随后，认证网关服务端接收用户选择的虚拟桌面资源，并将所述用户数字证书对应的虚拟桌面登录用户名、虚拟桌面登录密码以及用户输入的PIN码推送给用户选择的虚拟桌面；

所述虚拟化服务器的各个虚拟桌面中部署有虚拟桌面登录插件；在各个虚拟桌面中，所述虚拟桌面登录插件用于对虚拟桌面进行改造；用户选定某一虚拟桌面后，该虚拟桌面接收所述虚拟桌面登录用户名、虚拟桌面登录密码以及所述用户输入的PIN码，并对所述虚拟桌面登录用户名、虚拟桌面登录密码以及所述用户输入的PIN码进行验证，若验证成功，则将该虚拟桌面推送至用户终端，供用户操作；

所述用户端登录插件还用于获取USB KEY中的数据信息并将该数据信息发送给所述虚拟桌面登录插件，所述虚拟桌面登录插件还用于将所述USB KEY中的数据信息转移到虚拟桌面上以完成USB KEY设备映射。

优选地，所述经过改造后的操作系统对所述用户输入的用户名、用户登录密码与PIN码进行验证的方法包括：若用户输入的所述用户名与用户输入的所述用户登录密码对应，以及用户输入的PIN码与用户端登录插件从USB KEY读取的PIN码相同，则得到验证无误的结果。 

优选地，所述经过改造后的虚拟桌面对所述虚拟桌面登录用户名、虚拟桌面登录密码以及所述用户输入的PIN码进行验证的方法包括：若虚拟桌面登录用户名与虚拟桌面登录密码对应，以及用户输入的PIN码与虚拟桌面登录插件从映射到虚拟桌面的USB KEY数据信息中读取的PIN码相同，则得到验证无误的结果。 

优选地，所述认证网关服务器存储有合法用户数字证书、各个合法的用户数字证书对应的授权虚拟桌面资源以及各个合法的用户数字证书对应的虚拟桌面登录用户名以及虚拟桌面登录密码。

优选地，认证网关服务端验证所述用户数字证书的合法性的方法包括：查找认证网关服务器中是否存储有该用户数字证书，若有，则得到所述用户数字证书合法的结果。

优选地，所述USB KEY中的数据信息通过所述加密通道传输或者通过非加密通道传输；所述虚拟化服务器的虚拟桌面通过所述加密通道或者通过非加密通道推送到用户终端。

优选地，所述用户终端为瘦终端或传统的PC机。

本发明还提供了一种在前述装置上实现基于USB KEY的虚拟桌面单点登录的方法，包括：

步骤1：用户在用户终端上插入USB KEY，输入PIN码、用户名及用户登录密码；用户端登录插件读取插入用户终端的USB KEY中的用户数字证书及USB KEY中的PIN码；经过改造后的操作系统接收并验证用户输入的用户名、用户登录密码与PIN码，若验证无误则允许该用户进入用户终端的操作系统；

步骤2：用户输入认证网关服务器的端口；所述认证网关客户端接收用户输入的认证网关服务器的端口，根据所述认证网关服务器的端口与认证网关服务器建立加密通道，并将所述用户数字证书及用户输入的PIN码发送给认证网关服务器；

步骤3：所述认证网关服务器上部署的认证网关服务端接收并验证所述用户数字证书的合法性，若用户数字证书合法则将包含授权于该用户数字证书的全部虚拟桌面资源的选择界面通过所述加密通道推送至所述用户终端，供用户选择虚拟桌面资源；随后，认证网关服务端接收用户选择的虚拟桌面资源，并将所述用户数字证书对应的虚拟桌面登录用户名、虚拟桌面登录密码以及所述用户输入的PIN码推送给用户选择的虚拟桌面；

步骤4：用户选定的虚拟桌面接收并验证所述虚拟桌面登录用户名、虚拟桌面登录密码以及所述用户输入的PIN码，若验证成功，则将该虚拟化服务器的虚拟桌面推送至用户终端，供用户操作。

综上所述，由于采用了上述技术方案，本发明的有益效果是：

1.本发明在用户终端上部署了用户端登录插件、在虚拟桌面上部署了虚拟桌面登录插件，利用该插件分别对用户终端操作系统及虚拟桌面中的GINA进行改造，实现了用户名、密码及PIN码同时验证成功才能进入用户终端操作系统或虚拟桌面，利用“USB KEY+PIN码”的方式，确保用户登录用户终端和虚拟桌面的安全性，弥补了目前桌面云环境中单一的“用户名+密码”验证带来的安全缺陷。

2.本发明中的装置及方法只需要用户在用户终端输入一次用户名、登录密码及PIN码，便可实现用户终端操作系统的登录验证、认证网关验证及虚拟桌面登录验证，实现了单点登录虚拟桌面。

3.本发明中，当已经成功登录过一次虚拟桌面的用户退出该虚拟桌面在虚拟桌面资源选择界面选择另一虚拟桌面时，认证网关服务端自动进行虚拟桌面登录，对于用户来说，无需再次进行身份认证，即确保了用户登录虚拟桌面的安全性，又给用户以便捷的重新选在虚拟桌面登录的体验。

4.本发明通过部署用户端登录插件和虚拟桌面登录插件、认证网关客户端插件和认证网关服务端插件，在用户终端和虚拟桌面间建立一条安全可控的通道，恶意用户无法越过网关的认证过程连入到虚拟桌面中，安全管理员通过认证网关服务器可方便地实施虚拟桌面资源访问控制。

附图说明

本发明将通过例子并参照附图的方式说明，其中：

图1为本发明装置原理框图。

具体实施方式

本说明书中公开的所有特征，或公开的所有方法或过程中的步骤，除了互相排斥的特征和/或步骤以外，均可以以任何方式组合。

本说明书中公开的任一特征，除非特别叙述，均可被其他等效或具有类似目的的替代特征加以替换。即，除非特别叙述，每个特征只是一系列等效或类似特征中的一个例子而已。

如图1 ，本发明提供了一种支持基于USB KEY单点登录虚拟桌面的装置，包括用户终端、认证网关服务器、虚拟化服务器。

所述用户终端上部署有用户端登录插件与认证网关客户端：

其中，用户端登录插件用于对用户终端的操作系统进行改造，登录插件还用于读取插入用户终端的USB KEY中的用户数字证书及PIN码；所述经过改造后的操作系统接收用户输入的用户名、用户登录密码与PIN码，并对所述用户输入的用户名、用户登录密码与PIN码进行验证，若验证无误，则允许用户进入用户终端的操作系统；

所述认证网关客户端用于接收用户填入的认证网关服务器的端口，所述认证网关客户端根据所述认证网关服务器的端口与认证网关服务器建立加密通道，并将所述用户数字证书及用户输入的PIN码发送给认证网关服务器。

所述认证网关服务器上部署有认证网关服务端，所述认证网关服务端用于接收并验证所述用户数字证书的合法性，若用户数字证书合法则将包含授权于该用户数字证书的全部虚拟桌面资源的选择界面通过所述加密通道推送至所述用户终端，供用户选择虚拟桌面资源；随后，认证网关服务端接收用户选择的虚拟桌面资源，并将所述用户数字证书对应的虚拟桌面登录用户名以及虚拟桌面登录密码推送给用户选择的虚拟桌面。

所述虚拟化服务器上的各个虚拟桌面上部署有虚拟桌面登录插件；在各个虚拟桌面中，虚拟桌面登录插件用于对虚拟桌面进行改造；用户选定某个虚拟桌面后，虚拟桌面用于接收所述虚拟桌面登录用户名及虚拟桌面登录密码以及所述用户输入的PIN码，并对所述虚拟桌面登录用户名、虚拟桌面登录密码以及所述用户输入的PIN码进行验证，若验证成功，则将该虚拟化服务器的虚拟桌面推送至用户终端，供用户操作。所述用户端登录插件还用于获取USB KEY中的数据信息并将该数据信息发送给虚拟虚拟桌面登录插件，所述虚拟虚拟桌面登录插件还用于将所述USB KEY中的数据信息转移到虚拟桌面上以完成USB KEY设备映射。

其中所述虚拟化服务器的虚拟桌面可以通过所述加密通道或者通过另外建立的普通非加密通道推送到用户终端。

在一个具体实施例中，用户终端为瘦终端或普通的PC机，用户终端上的操作系统为微软操作系统。本领域技术人员知晓，在微软操作系统中，登录进程的验证和身份验证都是在GINA中完成的（GINA - Graphical Identification and Authentication图形标识和身份验证），微软对用户提供了接口，用户可以自己编写GINA DLL来代替微软操作系统中原来的MSGINA.DLL。由此，用户可以自己开发GINA DLL以实现其他的身份验证方法，本实施例使用用户端登录插件对用户终端的操作系统的GINA进行改造，接管用户终端操作系统的登录验证，使登录验证除了原有的用户名及登录密码验证以外，还增设了PIN码验证。若用户输入的所述用户名与用户输入的所述用户登录密码对应，以及用户输入的PIN码与用户端登录插件从USB KEY读取的PIN码相同，则得到验证无误的结果。这样可以进一步增强用户身份验证，提高安全性。

同样的，在各个虚拟桌面的虚拟桌面登录插件也对虚拟桌面进行改造，改变虚拟桌面的身份验证方式，在一个具体实施例中，虚拟桌面登录插件接管虚拟桌面登录认证，其可以接收、代填并验证认证网关服务端传来的合法用户数字证书对应的虚拟桌面登录用户名、密码及用户在用户终端输入的PIN码，这样用户无需手动再次输入虚拟桌面登录用户名、密码及PIN码。所述经过改造后的虚拟桌面对所述虚拟桌面登录用户名、虚拟桌面登录密码以及所述用户输入的PIN码进行验证的方法包括：若虚拟桌面登录用户名与虚拟桌面登录密码对应，以及用户输入的PIN码与虚拟桌面登录插件从映射到虚拟桌面的USB KEY数据信息中读取的PIN码相同，则得到验证无误的结果。

上述认证网关客户端根据所述认证网关服务器的端口与认证网关服务器建立加密通道，所述加密通道建立的一个具体实施方法是这样的：

1.认证网关客户端发起认证请求；

2.认证网关服务端收到认证请求后产生随机数R1，并发送到认证网关客户端；

3.认证网关客户端对R1进行签名并产生随机数R2；并传递R1的签名值，R2及认证网关客户端证书；

4.认证网关服务器验证所述认证网关客户端证书的有效性和R1签名值，并对R2签名；然后将R2的签名值、认证网关服务器证书发送到认证网关客户端；

5.认证网关客户端验证所述认证网关服务器证书的有效性和R2的签名值，并向认证网关服务端返回认证结果；

6.认证网关服务端收到所述认证结果后，生成票据并传给认证网关客户端；从而建立起认证网关客户端与认证网关服务端的加密通道，利用所述票据中的密钥对需要在该通道上传输的数据进行加密、解密。

当然加密通道的建立并非仅限于上述步骤，不应当将上述具体实施方式理解为对本发明的限制。

前述认证网关服务器存储有合法用户数字证书、各个合法的用户数字证书对应的授权虚拟桌面资源以及各个合法的用户数字证书对应的虚拟桌面登录用户名以及虚拟桌面登录密码。在本发明的另一个具体实施例中，虚拟化服务器上有多个虚拟桌面，而授权给同一个合法用户数字证书的虚拟桌面也可为多个，认证网关服务器将合法的用户数字证书及其对应的授权虚拟桌面资源、虚拟桌面登录用户名及密码进行备份。认证网关服务端查找认证网关服务器中是否存储有该用户数字证书，若有，则得到所述用户数字证书合法的结果，进而可得到该用户数字证书可以访问的虚拟桌面资源及登录用户名、密码。

由于本发明的所述用户端登录插件还用于获取USB KEY中的数据信息并将该数据信息发送给所述虚拟桌面登录插件，所述虚拟桌面登录插件还用于将所述USB KEY中的数据信息转移到虚拟桌面上以完成USB KEY设备映射。这样，用户可以在虚拟桌面上直接对USB KEY中的数据信息加以利用。而所述USB KEY中的数据信息可以通过所述加密通道传输，也可以通过非加密通道传输。

本发明还提供了一种在前述装置上实现基于USB KEY的虚拟桌面单点登录的方法，包括：

步骤1：用户在用户终端上插入USB KEY，输入PIN码、用户名及用户登录密码；用户端登录插件读取插入用户终端的USB KEY中的用户数字证书及USB KEY中的PIN码；经过改造后的操作系统接收并验证用户输入的用户名、用户登录密码与PIN码，若验证无误则允许该用户进入用户终端的操作系统；

步骤2：用户输入认证网关服务器的端口；所述认证网关客户端接收用户填入的认证网关服务器的端口，根据所述认证网关服务器的端口与认证网关服务器建立加密通道，并将所述用户数字证书及用户输入的PIN码发送给认证网关服务器；

步骤3：所述认证网关服务器上部署的认证网关服务端接收并验证所述用户数字证书的合法性，若用户数字证书合法则将包含授权于该用户数字证书的全部虚拟桌面资源的选择界面通过所述加密通道推送至所述用户终端，供用户选择虚拟桌面资源；随后，认证网关服务端接收用户选择的虚拟桌面资源，并将所述用户数字证书对应的虚拟桌面登录用户名、虚拟桌面登录密码及用户输入的PIN码推送给用户选择的虚拟桌面；

步骤4：改造后的虚拟桌面接收并验证所述虚拟桌面登录用户名、虚拟桌面登录密码及用户输入的PIN码，若验证成功，则将该虚拟桌面推送至用户终端，供用户操作。

本发明并不局限于前述的具体实施方式。本发明扩展到任何在本说明书中披露的新特征或任何新的组合，以及披露的任一新的方法或过程的步骤或任何新的组合。

Claims (8)

1.一种支持基于USB KEY单点登录虚拟桌面的装置，其特征在于，包括用户终端、认证网关服务器、虚拟化服务器；

所述用户终端上部署有用户端登录插件与认证网关客户端：

其中，用户端登录插件用于对用户终端的操作系统进行改造，登录插件还用于读取插入用户终端的USB KEY中的用户数字证书及PIN码；所述经过改造后的操作系统接收用户输入的用户名、用户登录密码与PIN码，并对所述用户输入的用户名、用户登录密码与PIN码进行验证，若验证无误，则允许用户进入用户终端的操作系统； 

所述认证网关客户端用于接收用户填入认证网关服务器的端口，所述认证网关客户端根据所述认证网关服务器的端口与认证网关服务器建立加密通道，并将所述用户数字证书及用户输入的PIN码发送给认证网关服务器；

所述认证网关服务器上部署有认证网关服务端，所述认证网关服务端用于接收并验证所述用户数字证书的合法性，若用户数字证书合法则将包含授权于该用户数字证书的全部虚拟桌面资源的选择界面通过所述加密通道推送至所述用户终端，供用户选择虚拟桌面资源；随后，认证网关服务端接收用户选择的虚拟桌面资源，并将所述用户数字证书对应的虚拟桌面登录用户名、虚拟桌面登录密码以及用户输入的PIN码推送给用户选择的虚拟桌面；

所述虚拟化服务器的各个虚拟桌面中部署有虚拟桌面登录插件；在各个虚拟桌面中，所述虚拟桌面登录插件用于对虚拟桌面进行改造；用户选定某一虚拟桌面后，该虚拟桌面接收所述虚拟桌面登录用户名、虚拟桌面登录密码以及所述用户输入的PIN码，并对所述虚拟桌面登录用户名、虚拟桌面登录密码以及所述用户输入的PIN码进行验证，若验证成功，则将该虚拟桌面推送至用户终端，供用户操作；

所述用户端登录插件还用于获取USB KEY中的数据信息并将该数据信息发送给所述虚拟桌面登录插件，所述虚拟桌面登录插件还用于将所述USB KEY中的数据信息转移到虚拟桌面上以完成USB KEY设备映射。

2.根据权利要求1所述的一种支持基于USB KEY单点登录虚拟桌面的装置，其特征在于，所述经过改造后的操作系统对所述用户输入的用户名、用户登录密码与PIN码进行验证的方法包括：若用户输入的所述用户名与用户输入的所述用户登录密码对应，以及用户输入的PIN码与用户端登录插件从USB KEY读取的PIN码相同，则得到验证无误的结果。

3.根据权利要求1或2所述的一种支持基于USB KEY单点登录虚拟桌面的装置，其特征在于，所述经过改造后的虚拟桌面对所述虚拟桌面登录用户名、虚拟桌面登录密码以及所述用户输入的PIN码进行验证的方法包括：若虚拟桌面登录用户名与虚拟桌面登录密码对应，以及用户输入的PIN码与虚拟桌面登录插件从映射到虚拟桌面的USB KEY数据信息中读取的PIN码相同，则得到验证无误的结果。

4.根据权利要求3所述的一种支持基于USB KEY单点登录虚拟桌面的装置，其特征在于，所述认证网关服务器存储有合法用户数字证书、各个合法的用户数字证书对应的授权虚拟桌面资源以及各个合法的用户数字证书对应的虚拟桌面登录用户名以及虚拟桌面登录密码。

5.根据权利要求4所述的一种支持基于USB KEY单点登录虚拟桌面的装置，其特征在于，认证网关服务端验证所述用户数字证书的合法性的方法包括：查找认证网关服务器中是否存储有该用户数字证书，若有，则得到所述用户数字证书合法的结果。

6.根据权利要求5所述的一种支持基于USB KEY单点登录虚拟桌面的装置，其特征在于，所述USB KEY中的数据信息通过所述加密通道传输或者通过非加密通道传输；所述虚拟化服务器的虚拟桌面通过所述加密通道或者通过非加密通道推送到用户终端。

7.根据权利要求1所述的一种支持基于USB KEY单点登录虚拟桌面的装置，其特征在于，所述用户终端为瘦终端或传统的PC机。

8.在权利要求1~7所述的装置上实现基于USB KEY的虚拟桌面单点登录的方法，其特征在于，包括：

步骤1：用户在用户终端上插入USB KEY，输入PIN码、用户名及用户登录密码；用户端登录插件读取插入用户终端的USB KEY中的用户数字证书及USB KEY中的PIN码；经过改造后的操作系统接收并验证用户输入的用户名、用户登录密码与PIN码，若验证无误则允许该用户进入用户终端的操作系统；

步骤2：用户输入认证网关服务器的端口；所述认证网关客户端接收用户输入的认证网关服务器的端口，根据所述认证网关服务器的端口与认证网关服务器建立加密通道，并将所述用户数字证书及用户输入的PIN码发送给认证网关服务器；

步骤3：所述认证网关服务器上部署的认证网关服务端接收并验证所述用户数字证书的合法性，若用户数字证书合法则将包含授权于该用户数字证书的全部虚拟桌面资源的选择界面通过所述加密通道推送至所述用户终端，供用户选择虚拟桌面资源；随后，认证网关服务端接收用户选择的虚拟桌面资源，并将所述用户数字证书对应的虚拟桌面登录用户名、虚拟桌面登录密码以及所述用户输入的PIN码推送给用户选择的虚拟桌面；

步骤4：用户选定的虚拟桌面接收并验证所述虚拟桌面登录用户名、虚拟桌面登录密码以及所述用户输入的PIN码，若验证成功，则将该虚拟化服务器的虚拟桌面推送至用户终端，供用户操作。

Images