CN104125070A - 一种用于多个信息交互系统的互信认证方法及系统 - Google Patents

Abstract

本发明公开了一种用于多个信息交互系统的互信认证方法，包括：信息交互系统接收来自认证对象的信息交互请求；检测该信息交互请求中是否包括凭据，包括则对其进行验证，不包括则申请凭据以继续对信息交互系统的访问。其中，凭据的发放包括：生成第一主题；将第一主题转换为字符串后经过处理生成唯一的凭据；将第一主题和唯一的凭据进行对应存储；将唯一的凭据进行发放。其中，凭据的验证包括：根据验证请求生成第二主题；判断第二主题是否与第一主题一致，并相应地发送验证结果。本发明还公开了相应的互信认证系统。本发明能够以各种数据发起凭据的申请和验证，有效地实现了多个信息交互系统的相互信任体系。

Description

一种用于多个信息交互系统的互信认证方法及系统

技术领域

本发明涉及一种认证方法及系统，特别涉及一种用于多个信息交互系统之间的互信体系的互信认证方法及系统。

背景技术

银行等企业往往有多个独立的信息交互系统为用户提供互联网上的web服务，出于安全的需要，各信息交互系统对用户提供服务前必须对用户进行身份认证。而用户在登陆不同的信息交互系统时均需要进行登录操作，给用户带来了不便，因此需要提供统一身份认证问题的解决方案，将身份认证的责任和提供服务的责任分离开来。

基于这个原因，需要在身份认证之后提供一个凭据，证明一个认证对象(如用户、进程或系统)已经得到可以在一定条件下获得信息交互服务的承诺，同时还要负责在这个认证对象要求得到信息交互服务时验证其所提供的凭据是否合法有效。

已经有多种方式用于凭据的发放和验证，例如发送一个唯一的随机数作为凭据，或者经过密钥加密的字符串作为凭据等，并利用保存在认证服务器端的凭据或者经过对应的密钥解密的凭据来验证认证对象所提交的凭据是否有效。

然而，现有的凭据验证方法由于通常包括加解密运算，验证过程较为复杂，并且需要对信息交互系统和身份认证系统进行较大幅度的改动，对于凭据的申请请求和验证请求的数据格式也有限制性的要求。

发明内容

本发明的目的在于提供一种用于多个信息交互系统的互信认证方法及系统，其能够以各种数据发起凭据的申请请求和验证请求，有效地实现了多个信息交互系统的相互信任体系。

为此，本发明提出了一种用于多个信息交互系统的互信认证方法，包括：

S1、所述多个信息交互系统的其中一个信息交互系统通过互联网接收来自认证对象的信息交互请求；

S2、检测该信息交互请求中是否包括凭据，如果检测结果为包括所述凭据则进行步骤S3，如果检测结果为不包括所述凭据则进行下列步骤S4-S7；

S3、所述信息交互系统将验证请求发送到互信认证系统，并在从所述互信认证系统接收到响应于所述验证请求的验证结果后，根据所述验证结果为所述凭据为有效或无效来执行针对所述信息交互请求的相应操作，其中，所述验证请求包括所述凭据和与所述信息交互请求相关的参数；

S4、将所述认证对象对所述信息交互系统的访问重定向为对身份认证系统的访问，所述身份认证系统为所述多个信息交互系统所共用；

S5、所述身份认证系统向互信认证系统发送凭据申请请求，所述凭据申请请求包括所述与所述信息交互请求相关的参数；

S6、所述互信认证系统根据所述凭据申请请求而生成唯一的凭据，将该唯一的凭据进行存储并发送给所述身份认证系统；

S7、所述身份认证系统将其接收到的该凭据发送给所述认证对象；

S8、将所述认证对象当前对所述身份认证系统的访问重定向为对所述信息交互系统的访问，并执行上述步骤S3，

其中步骤S6具体包括以下步骤：S61、根据所述凭据申请请求中的所述与所述信息交互请求相关的参数而生成第一主题；S62、将所述第一主题转换为字符串后经过处理生成所述唯一的凭据；S63、将所述第一主题和所述唯一的凭据进行对应存储；S64、将所述唯一的凭据发送给所述身份认证系统，

并且，步骤S3中的所述验证结果由所述互信认证系统通过执行以下步骤而发送：S31、从所述信息交互系统接收所述验证请求；S32、根据所述验证请求中的所述与所述信息交互请求相关的参数而生成第二主题；S33、根据所述验证请求中的所述凭据，搜索是否已存储有该凭据以及与其对应存储的所述第一主题，如果不存在则向所述信息交互系统发送表示所述凭据为无效的验证结果，如果存在则执行步骤S34；S34、判断所述第二主题是否与所述第一主题一致，如果不一致则向所述信息交互系统发送表示所述凭据为无效的验证结果，如果一致则向所述信息交互系统发送表示所述凭据为有效的验证结果。

本发明同时提出了一种用在上述互信认证方法中的互信认证系统，该互信认证系统包括：

通信模块，其配置为分别与所述身份认证系统和所述信息交互系统进行通信以接收所述凭据申请请求和所述验证请求并发送所述凭据和所述验证结果；

主题生成模块，其连接到所述通信模块，并配置为根据所述凭据申请请求中的所述与所述信息交互请求相关的参数而生成所述第一主题，以及根据所述验证请求中的所述与所述信息交互请求相关的参数而生成所述第二主题；

凭据生成模块，其连接到所述主题生成模块和通信模块，并配置为将所述主题生成模块生成的第一主题转换为字符串并进行处理生成所述唯一的凭据并发送给所述通信模块；

存储模块，其连接到所述主题生成模块和所述凭据生成模块，并配置为将所述第一主题和所述唯一的凭据进行对应存储；

凭据验证模块，其连接到所述存储模块和通信模块，并配置为根据所述验证请求中的所述凭据，搜索所述存储模块中是否已存储有该凭据以及与其对应存储的所述第一主题，以及如果存在所述第一主题则判断所述第二主题是否与所述第一主题一致，并发送相应的验证结果到所述通信模块。

本发明的互信认证系统和互信认证方法，可应用于网上银行系统，但不局限于银行内部，可广泛应用于多个信息交互系统之间传递认证关系。

相对于广泛使用的Kerberos协议，本发明的互信认证系统和互信认证方法有以下优点：

1、不要求客户端了解协议，不需要进行单向函数和加解密运算，适用于web浏览器；

2、对身份认证系统和信息交互系统影响小，对身份认证方式无限制，不需要复杂的协议，可以以各种数据发起凭据的请求和验证，请求凭据的对象几乎没有限制；

3、不会因为参与通信的系统之间时间不同步而导致认证失败，因为时间判断只在互信认证系统内进行；

4、灵活度高，扩展性强，可以对每个凭据的参与者、使用时间、使用地址、使用次数等方面单独进行各种复杂限制，并可以根据应用需要进行扩展。

附图说明

图1为本发明的互信认证过程的示意图；

图2为本发明的互信认证方法的流程图；

图3为图2所示的本发明的互信认证方法的一个实施例中步骤S34及其后步骤的流程图；

图4为图2所示的本发明的互信认证方法的另一个实施例中的步骤S34及其后步骤的流程图；

图5为本发明的互信认证系统的示意性结构框图。

具体实施方式

下面结合附图对本发明的用于多个信息交互系统的互信认证方法和互信认证系统进行详细说明。

图1为本发明的互信认证过程的示意图，图2为本发明的互信认证方法的流程图。

首先在步骤S1中，认证对象(如用户、系统、程序等)通过互联网向信息交互系统发送信息交互请求，这里，该信息交互系统的一个例子为下载服务系统，该信息交互请求为要求提供下载文件的请求。

随后在S2中，接收到信息交互请求的信息交互系统检测该信息交互请求中是否包括凭据，如果检测结果为包括凭据则进行步骤S3的凭据验证过程，如果检测结果为不包括凭据则进行步骤S4-S7的凭据申请过程。

在步骤S3所示的凭据验证过程中，信息交互系统将验证请求发送到互信认证系统，该验证请求中包括凭据和与上述信息交互请求相关的参数，例如用户标识信息、下载服务器标识信息和下载文件名中的一项或多项信息。互信认证系统响应于验证请求而向该信息交互系统发送针对该凭据的验证结果，从而该信息交互系统根据验证结果为凭据有效或凭据无效来执行针对信息交互请求的相应操作，例如当凭据有效时则提供下载服务，当凭据无效时拒绝提供下载服务。

在步骤S4-S7所示的凭据申请过程中，首先在步骤S4中将认证对象对信息交互系统的访问重定向为对身份认证系统的访问，该身份认证系统为多个信息交互系统所共用。随后，在步骤S5中，身份认证系统向互信认证系统发送凭据申请请求，该凭据申请请求中包括了与所述信息交互请求相关的参数，例如下载服务器标识信息等。在步骤S6中，互信认证系统根据凭据申请请求而生成唯一的凭据，将该唯一的凭据进行存储并发送给身份认证系统，身份认证系统在步骤S7中将接收到的该凭据发送给认证对象，最后在步骤S8中将认证对象当前对身份认证系统的访问重定向为对信息交互系统的访问，并执行上述步骤S3中描述的凭据验证过程。

其中，步骤S6具体包括以下步骤S61-S64：

S61、根据凭据申请请求中的与信息交互请求相关的参数生成第一主题；

主题是由多个因素组成的，主题和因素可以按需扩展。因素可以选自以下的项：属性(例如通用或普通)、时间、地点、人物、事件主题、IP地址，URI因素等。

在本发明的一个实施例中，因素可以选自以下的项：认证对象的标识信息、凭据的使用范围、凭据的使用期限和凭据的使用次数。

S62、将第一主题转换为字符串后经过处理生成唯一的凭据；

在该步骤中，将第一主题转换为字符串后，对该字符串采用不同的替代算法进行进一步的转换处理后获得互信认证中通用的凭据。

在本发明一个实施例中，步骤S62具体为：将第一主题转换为字符串，并在所述字符串中加入随机数和流水号后采用HMAC-SHAI算法或AES算法生成唯一的凭据。

作为示例，步骤S62中的将第一主题转换为字符串是通过以下其中一种算法实现的：XStream的xml格式化、XStream的json格式化、BeansXmal格式化和java标准序列化。前三种方法具有可阅读性，可以用其他算法进行替代，这里，如果请求数据只是简单的字符串，此算法可以省略。

S63、将第一主题和唯一的凭据进行对应存储；

S64、将唯一的凭据发送给身份认证系统。

通过执行步骤S61-64，使得所生成的凭据与信息交互请求相关联，并通过随机数和流水号确保凭据的唯一和不可伪造性。

此外，步骤S3中的验证结果由互信认证系统通过执行以下步骤S31-S34后发送：

S31、从信息交互系统接收验证请求；

S32、根据验证请求中的与信息交互请求相关的参数而生成第二主题；

这里，验证请求中包括凭据和与上述信息交互请求相关的参数，例如用户标识信息、下载服务器标识信息和下载文件名中的一项或多项信息。

S33、根据验证请求中的凭据，搜索是否已存储有该凭据以及与其对应存储的第一主题，如果不存在则向信息交互系统发送表示凭据为无效的验证结果，如果存在则执行步骤S34；

S34、判断第二主题是否与第一主题一致，如果不一致则向信息交互系统发送表示凭据为无效的验证结果，如果一致则向信息交互系统发送表示凭据为有效的验证结果。

通过执行步骤S31-S34，使得不要求客户端了解协议，也不需要进行单向函数和加解密运算就可以实现互信认证过程，在确保了验证安全性的同时使得验证过程更灵活便利。

本发明的互信认证方法对身份认证系统和信息交互系统不需要复杂的协议，可以以各种数据发起凭据的请求和验证，请求凭据的对象几乎没有限制。

在本发明的一个实施例中，步骤S34后还包括：如果判定第二主题与第一主题不一致，则互信认证系统删除存储的凭据及对应存储的第一主题。通过本实施例，能够在主题对比不一致时及时删除已存储的凭据及其相关数据，进一步确保了验证过程的安全性。

在本发明的另一个实施例中，凭据申请请求中还包括有效期信息，且在步骤S63中将第一主题和唯一的凭据及该有效期信息一起对应存储，则如图3所示，步骤S34后还包括以下步骤S341-S343：

S341、如果判定第二主题与第一主题一致，则根据存储的有效期信息来判断验证请求中的凭据是否超时；

S342、如果判定为超时，则向信息交互系统发送表示凭据为无效的验证结果；

S343、如果判定为未超时，则向信息交互系统发送表示凭据为有效的验证结果。

在本实施例中，对有效期信息的描述可以包括通过时间单位、时刻、时段、周期时刻、周期时间段以及布尔逻辑组合形成的复杂时间限制的描述，用于在需要对凭据申请请求做复杂限定的情况中。

通过本实施例的方案实现了对凭据有效期的验证。并且在本实施例中，不会因为参与通信的系统之间时间不同步而导致认证失败，因为时间判断只在互信认证系统内进行，而不需要对不同系统时间的时间进行同步。

在本发明的又一个实施例中，凭据申请请求中还包括面值信息，且在步骤S63中将第一主题和唯一的凭据及该面值信息进行对应存储，则如图4所示，步骤S34后还包括以下步骤S344-S347：

S344、如果判定第二主题与第一主题一致，则将面值信息与预定值进行比较，这里的预定值可以例如为0、1或其他正整数；

S345、如果比较结果为面值信息大于预定值，则在对面值信息进行扣减处理后，向信息交互系统发送表示凭据为有效的验证结果；

S346、如果比较结果为面值信息等于预定值，则在删除凭据及与其对应存储的第一主题和面值信息后，向信息交互系统发送表示凭据为有效的验证结果；

S347、如果比较结果为面值信息小于预定值，则在删除凭据及与其对应存储的第一主题和面值信息后，向信息交互系统发送表示凭据为无效的验证结果。

通过本实施例的方案，实现了对凭据使用次数的验证，从而一个凭据在经过一定次数的使用后自然失效，并且自动清除其在互信认证系统中的存储记录，减轻数据库的管理负担。

此外，作为一个实施例，也可以对存储在互信认证系统中的已经过期但没有经历步骤S3的验证的凭据进行定期或不定期清理，从而减轻数据库的管理负担。

图5为本发明的用在上述互信认证方法中的互信认证系统的示意性结构框图。

如图5所示，本发明的互信认证系统包括通信模块1、主题生成模块2、凭据生成模块3、存储模块4以及凭据验证模块5。

其中，通信模块1用于分别与身份认证系统和信息交互系统进行通信以分别接收上述的凭据申请请求和验证请求，以及用于分别发送凭据和验证结果至身份认证系统和信息交互系统。

主题生成模块2连接到通信模块1，用于根据凭据申请请求中的与信息交互请求相关的参数而生成第一主题，以及用于根据验证请求中的与信息交互请求相关的参数而生成第二主题。

凭据生成模块3连接到主题生成模块2和通信模块1，用于将主题生成模块2生成的第一主题转换为字符串并进行处理生成唯一的凭据，并交由通信模块1进行发送。

存储模块4连接到主题生成模块2和凭据生成模块3，用于将第一主题和上述唯一的凭据进行对应存储，以及在上述对应的实施例中，还将有效期信息和/或面值信息也与凭据和第一主题一起对应存储。

凭据验证模块5连接到存储模块4和通信模块1，用于根据验证请求中的凭据来搜索存储模块4中是否已存储有该凭据以及与其对应存储的第一主题，以及如果存在第一主题则判断所述第二主题是否与所述第一主题一致，并根据判断结果而将相应的验证结果交由通信模块1进行发送。

通过本发明的互信认证系统，能够使得互信认证过程不要求客户端了解协议，也不需要进行单向函数和加解密运算就可以实现，在确保了验证安全性的同时使得验证过程更灵活便利。

在本发明的一个实施例中，如图5所示的互信支持系统中的凭据验证模块5还包括时间处理模块，该时间处理模块用于检查验证请求中的凭据是否超时，并根据该是否超时的检查而给出相应的验证结果，从而实现了对凭据的时效检验。

例如，对凭据时效的约束可以定义为：2012年各单数月每工作日(周一到周五)的北京时间8:30至17:30(中午12:00至1:00除外)，并且按照元旦、春节等假日调整工作日，每月1日和每小时的最后5分钟除外。

以上对本发明的多个实施例进行了说明，但本发明不局限于上述特定实施例子，在不背离本发明精神及其实质情况下，熟悉本领域技术人员可根据本发明作出各种相应改变和变形，但这些相应改变和变形都应属于本发明所附权利要求保护范围之内。

Claims (10)

1.一种用于多个信息交互系统的互信认证方法，包括：

S1、所述多个信息交互系统的其中一个信息交互系统通过互联网接收来自认证对象的信息交互请求；

S2、检测该信息交互请求中是否包括凭据，如果检测结果为包括所述凭据则进行步骤S3，如果检测结果为不包括所述凭据则进行下列步骤S4-S7；

S3、所述信息交互系统将验证请求发送到互信认证系统，并在从所述互信认证系统接收到响应于所述验证请求的验证结果后，根据所述验证结果为所述凭据为有效或无效来执行针对所述信息交互请求的相应操作，其中，所述验证请求包括所述凭据和与所述信息交互请求相关的参数；

S4、将所述认证对象对所述信息交互系统的访问重定向为对身份认证系统的访问，所述身份认证系统为所述多个信息交互系统所共用；

S5、所述身份认证系统向互信认证系统发送凭据申请请求，所述凭据申请请求包括所述与所述信息交互请求相关的参数；

S6、所述互信认证系统根据所述凭据申请请求而生成唯一的凭据，将该唯一的凭据进行存储并发送给所述身份认证系统；

S7、所述身份认证系统将其接收到的该凭据发送给所述认证对象；

S8、将所述认证对象当前对所述身份认证系统的访问重定向为对所述信息交互系统的访问，并执行上述步骤S3，

其特征在于，步骤S6具体包括以下步骤：

S61、根据所述凭据申请请求中的所述与所述信息交互请求相关的参数而生成第一主题；

S62、将所述第一主题转换为字符串后经过处理生成所述唯一的凭据；

S63、将所述第一主题和所述唯一的凭据进行对应存储；

S64、将所述唯一的凭据发送给所述身份认证系统，

并且，步骤S3中的所述验证结果由所述互信认证系统通过执行以下步骤而发送：

S31、从所述信息交互系统接收所述验证请求；

S32、根据所述验证请求中的所述与所述信息交互请求相关的参数而生成第二主题；

S33、根据所述验证请求中的所述凭据，搜索是否已存储有该凭据以及与其对应存储的所述第一主题，如果不存在则向所述信息交互系统发送表示所述凭据为无效的验证结果，如果存在则执行步骤S34；

S34、判断所述第二主题是否与所述第一主题一致，如果不一致则向所述信息交互系统发送表示所述凭据为无效的验证结果，如果一致则向所述信息交互系统发送表示所述凭据为有效的验证结果。

2.如权利要求1所述的用于多个信息交互系统的互信认证方法，其特征在于，所述主题包括多个因素，所述因素选自以下的项：所述认证对象的标识信息、所述凭据的使用范围、所述凭据的使用期限和所述凭据的使用次数。

3.如权利要求1所述的用于多个信息交互系统的互信认证方法，其特征在于，步骤S34后还包括：

如果判定所述第二主题与所述第一主题不一致，则所述互信认证系统删除存储的所述凭据及对应存储的所述第一主题。

4.如权利要求1所述的用于多个信息交互系统的互信认证方法，其特征在于，凭据申请请求中还包括有效期信息，所述步骤S63具体为将所述第一主题和所述唯一的凭据及所述有效期信息进行对应存储，

则步骤S34后包括：

S341、如果判定所述第二主题与所述第一主题一致，则根据存储的所述有效期信息来判断所述验证请求中的所述凭据是否超时；

S342、如果判定为超时，则向所述信息交互系统发送所述表示所述凭据为无效的验证结果；

S343、如果判定为未超时，则向所述信息交互系统发送所述表示所述凭据为有效的验证结果。

5.如权利要求1所述的用于多个信息交互系统的互信认证方法，其特征在于，凭据申请请求中还包括面值信息，所述步骤S63具体为将所述第一主题和所述唯一的凭据及所述面值信息进行对应存储，

则步骤S34后包括：

S344、如果判定所述第二主题与所述第一主题一致，则将所述面值信息与预定值进行比较；

S345、如果比较结果为所述面值信息大于所述预定值，则在对所述面值信息进行扣减处理后，向所述信息交互系统发送所述表示所述凭据为有效的验证结果；

S346、如果比较结果为所述面值信息等于所述预定值，则在删除所述凭据及与其对应存储的所述第一主题和面值信息后，向所述信息交互系统发送所述表示所述凭据为有效的验证结果；

S347、如果比较结果为所述面值信息小于所述预定值，则在删除所述凭据及与其对应存储的所述第一主题和面值信息后，向所述信息交互系统发送所述表示所述凭据为无效的验证结果。

6.如权利要求1所述的用于多个信息交互系统的互信认证方法，其特征在于，该互信认证方法还包括：

对存储在所述互信认证系统中的已经过期且没有经历步骤S3的验证的凭据进行定期或不定期清理。

7.如权利要求1所述的用于多个信息交互系统的互信认证方法，其特征在于，步骤S62具体为：将所述第一主题转换为字符串，并在所述字符串中加入随机数和流水号后采用HMAC-SHAI算法或AES算法生成所述唯一的凭据。

8.如权利要求1所述的用于多个信息交互系统的互信认证方法，其特征在于，步骤S62中的将所述第一主题转换为字符串是通过以下任一种算法实现的：XStream的xml格式化、XStream的json格式化、BeansXmal格式化和java标准序列化。

9.一种用在如权利要求1至8中任一项所述的互信认证方法中的互信认证系统，其包括：

通信模块(1)，其配置为分别与所述身份认证系统和所述信息交互系统进行通信以接收所述凭据申请请求和所述验证请求并发送所述凭据和所述验证结果；

主题生成模块(2)，其连接到所述通信模块(1)，并配置为根据所述凭据申请请求中的所述与所述信息交互请求相关的参数而生成所述第一主题，以及根据所述验证请求中的所述与所述信息交互请求相关的参数而生成所述第二主题；

凭据生成模块(3)，其连接到所述主题生成模块(2)和通信模块(1)，并配置为将所述主题生成模块(2)生成的第一主题转换为字符串并进行处理生成所述唯一的凭据并发送给所述通信模块(1)；

存储模块(4)，其连接到所述主题生成模块(2)和所述凭据生成模块(3)，并配置为将所述第一主题和所述唯一的凭据进行对应存储；

凭据验证模块(5)，其连接到所述存储模块(4)和通信模块(1)，并配置为根据所述验证请求中的所述凭据，搜索所述存储模块(4)中是否已存储有该凭据以及与其对应存储的所述第一主题，以及如果存在所述第一主题则判断所述第二主题是否与所述第一主题一致，并发送相应的验证结果到所述通信模块(1)。

10.如权利要求9所述的互信支持系统，其特征在于，所述凭据验证模块(5)包括时间处理模块，其配置为检查所述验证请求中的所述凭据是否超时，所述凭据验证模块(5)配置为进一步根据该是否超时的检查而发送相应的所述验证结果。