CN104168329A - 云计算及互联网中的用户二次认证方法、装置和系统 - Google Patents

Abstract

本发明提供了一种云计算及互联网中的用户二次认证方法、装置和系统。其中，该方法包括：网络服务器接收到第一用户终端发送的登录请求后，提示用户输入用户信息和登录密码；网络服务器接收用户信息和登录密码，对用户信息和登录密码进行一次认证；上述一次认证通过后，网络服务器触发用户关联的第二用户终端生成并返回一次性密钥，判断一次性密钥是否通过二次认证，如果是，允许用户执行后续操作。本发明不需要用户手工输入一次性密钥，简化了用户的操作，两种认证方式的有效结合，提升了认证的安全性和可靠性，适于推广应用。

Description

云计算及互联网中的用户二次认证方法、装置和系统

技术领域

本发明涉及通信领域，具体而言，涉及一种云计算及互联网中的用户二次认证方法、装置和系统。

背景技术

目前，云计算和互联网可以通过用户名(或称为账户、账号)与密码的传统验证方式登录，但这种方式的安全漏洞较大，无法应对截获用户名与密码重放登录的问题。为了解决这个问题，一些网站在登录时采用了二次认证方式，该方式除了要求输入账户与密码之外，还需要输入另一个一次性密码。银行常用的动态口令卡(也称“令牌”)就是一次性密码的例子，还有一种是在线支付网站的一次性短信密码实现方式。但是上述两种实现方法使用繁琐，影响推广。同时因为没有采用行业或是国际标准，存在不安全隐患。

参见图1所示的用户登录网站的基本认证方法的示意图，该方法包括如下步骤：

步骤S102，客户端向服务器发起用户访问服务请求；

步骤S104，服务器接收到上述访问服务请求后，向客户端提供认证窗口，提示用户输入用户名与密码(执行401认证)；

步骤S106，客户端接收用户输入的用户名和密码，并发送给上述服务器；

步骤S108，服务器对上述用户名和密码进行验证，验证成功后，指向该用户登录的界面。

参见图2所示的二次认证登录方法的示意图，该方法包括如下步骤：

步骤S200，用户使用客户端；

步骤S202，客户端向服务器发起访问服务请求；

步骤S204，服务器接收到上述访问服务请求后，向客户端提供认证窗口，提示用户输入用户名与密码(执行401认证)；

步骤S206，客户端接收用户输入的用户名和密码，并发送给上述服务器；

步骤S208，服务器对上述用户名和密码进行验证，验证成功后，按约定指向二次认证服务器；

步骤S210，二次认证服务器向上述服务器发送带随机数的验证码请求消息；

步骤S212，服务器请求用户输入认证码；

步骤S214，用户通过RSA或USB生成一次性认证码；

步骤S216，用户将上述一次性认证码发送给服务器；

步骤S218，服务器按随机数将上述一次性认证码返回给二次认证服务器；

步骤S220，二次认证服务器收到上述一次性认证码后进行认证，认证成功后向服务器返回确认消息；

步骤S222，服务器向上述客户端返回验证成功，执行登录后功能；

步骤S224，用户继续使用客户端。

通过上述流程可以看出，用户在确认的时候，不得不随身携带有源的RSA，或是无源的USB卡，并且要手工输入动态的认证码，(通常为6位数的密码)，操作比较繁琐，在云计算中，因为没有物理网络的保护，用户身份是唯一的防火墙，而该保护方式容易被窃取，影响云计算的推广。

发明内容

本发明的目的在于提供一种云计算及互联网中的用户二次认证方法、装置和系统，以解决上述的问题。

在本发明的实施例中提供了一种云计算及互联网中的用户二次认证方法，包括：网络服务器接收到第一用户终端发送的登录请求后，提示用户输入用户信息和登录密码；网络服务器接收用户信息和登录密码，对用户信息和登录密码进行一次认证；上述一次认证通过后，网络服务器触发用户关联的第二用户终端生成并返回一次性密钥，判断一次性密钥是否通过二次认证，如果是，允许用户执行后续操作。

优选地，上述方法还包括：网络服务器接收用户的注册请求，提示用户是否进行二次认证；网络服务器接收到用户确认进行二次认证的消息后，将用户注册的第二用户终端的信息保存至二次认证服务器；网络服务器触发用户关联的第二用户终端生成并返回一次性密钥，判断一次性密钥是否通过二次认证包括：网络服务器向二次认证服务器发送对用户进行二次认证的通知；二次认证服务器接收到通知后，向用户关联的第二用户终端发送二次认证请求消息；二次认证服务器接收第二用户终端返回的一次性密钥，对一次性密钥进行认证，并将认证结果通知网络服务器；网络服务器根据认证结果确认用户是否通过二次认证。

在本发明的实施例中还提供了一种云计算及互联网中的用户二次认证方法，包括：第一用户终端向网络侧发送用户的登录请求；第一用户终端接收并显示网络侧返回的输入用户信息和登录密码的提示消息；第一用户终端接收用户输入的用户信息和登录密码，将用户信息和登录密码发送给网络侧进行认证；用户的第二用户终端接收到来自网络侧的二次认证请求消息后，判断用户是否同意进行二次认证；如果是，生成一次性密钥，并将一次性密钥发送给网络侧进行认证；第一用户终端接收到网络侧返回的认证通过消息后，允许用户执行后续操作。

优选地，上述用户的第二用户终端判断用户是否同意进行二次认证包括：第二用户终端提示用户是否进行二次认证；当第二用户终端在指定时间内感应到摇晃自身的频率和/或幅度达到设定阈值时，第二用户终端确定用户同意进行二次认证。

优选地，上述用户的第二用户终端判断用户是否同意进行二次认证包括：第二用户终端提示用户是否进行二次认证；当第二用户终端在指定时间内接收到用户按压确认键的信号时或者确认用户按压屏幕的轨迹与设定轨迹匹配时，第二用户终端确定用户同意进行二次认证。

在本发明的实施例中提供了一种云计算及互联网中的用户二次认证装置，包括：第一认证提示模块，用于接收到第一用户终端发送的登录请求后，提示用户输入用户信息和登录密码；第一认证模块，用于接收用户信息和登录密码，对用户信息和登录密码进行一次认证；第二认证模块，用于在一次认证通过后，触发用户关联的第二用户终端生成并返回一次性密钥，判断一次性密钥是否通过二次认证；登录处理模块，用于当第二认证模块的认证结果为是时，允许用户执行后续操作。

在本发明的实施例中提供了一种云计算及互联网中的用户二次认证系统，包括设置于网络侧的网络服务器、设置于用户侧的第一用户终端和第二用户终端；其中：网络服务器包括上述装置；第一用户终端包括：登录请求发送模块，用于向网络侧发送用户的登录请求；提示信息接收模块，用于接收并显示网络侧返回的输入用户信息和登录密码的提示消息；第一认证信息接收与发送模块，用于接收用户输入的用户信息和登录密码，将用户信息和登录密码发送给网络侧进行认证；操作模块，用于接收到网络侧返回的认证通过消息后，允许用户执行后续操作；第二用户终端包括：二次认证判断模块，用于接收到来自网络侧的二次认证请求消息后，判断用户是否同意进行二次认证；二次认证模块，用于在二次认证判断模块的判断结果为是时，生成一次性密钥，并将一次性密钥发送给网络侧进行认证。

优选地，上述系统还包括二次认证服务器；上述网络服务器还包括：二次认证提示模块，用于接收用户的注册请求，提示用户是否进行二次认证；注册信息保存模块，用于接收到用户确认进行二次认证的消息后，将用户注册的第二用户终端的信息保存至二次认证服务器；

上述第二认证模块包括：二次认证通知单元，用于在一次认证通过后，向二次认证服务器发送对用户进行二次认证的通知；二次认证确认单元，用于根据二次认证服务器返回的认证结果确认用户是否通过二次认证；

上述二次认证服务器包括：二次认证请求消息发送模块，用于接收到网络服务器发送的二次认证通知后，向用户关联的第二用户终端发送二次认证请求消息；一次性密钥认证模块，用于接收第二用户终端返回的一次性密钥，对一次性密钥进行认证，并将认证结果通知网络服务器。

优选地，上述二次认证判断模块包括：认证提示单元，用于提示用户是否进行二次认证；二次认证确定单元，用于当第二用户终端在指定时间内确认有以下事件之一发生时，确定用户同意进行二次认证：(1)感应到用户摇晃自身的频率和/或幅度达到设定阈值；(2)接收到用户按压确认键的信号；(3)确认用户按压屏幕的轨迹与设定轨迹匹配。

优选地，上述第一用户终端与第二用户终端可以为同一设备。

本发明实施例提供的方法、装置和系统，通过网络侧在对用户进行一次认证通过的基础上，触发用户的终端设备自动生成一次性密钥，并自动将该一次性密钥发送给网络侧，由网络侧对该一次性密钥进行认证，进而实现二次认证，这两种认证方式的结合，不需要用户手工输入一次性密钥，简化了用户的操作，同时两种认证方式的有效结合，提升了认证的安全性和可靠性，适于推广应用。

附图说明

图1示出了相关技术提供的用户登录网站的基本认证方法的示意图；

图2示出了相关技术提供的二次认证登录方法的示意图；

图3示出了本发明实施例提供的云计算及互联网中的用户二次认证方法的流程图；

图4示出了本发明实施例提供的用户注册的方法示意图；

图5示出了本发明实施例提供的云计算及互联网中的用户二次认证方法的流程图；

图6示出了本发明实施例提供的云计算及互联网中的用户二次认证方法的流程图；

图7示出了本发明实施例提供的云计算及互联网中的用户二次认证方法的示意图；

图8示出了本发明实施例提供的云计算及互联网中的用户二次认证装置的结构框图。

具体实施方式

下面通过具体的实施例并结合附图对本发明做进一步的详细描述。

本发明实施例为了提升用户在云计算及互联网中的身份安全认证方式，在传统一次认证(用户名/密码认证)的基础上，通过用户的终端设备(例如：个人手机或穿戴设备)来进行二次认证。因为采用了来自个人设备如手机等的确认过程，从而保证用户在云计算及互联网中的身份更为安全。基于此，本发明实施例提供了一种云计算及互联网中的用户二次认证方法、装置和系统，具体实施例如下。

参见图3所示的云计算及互联网中的用户二次认证方法的流程图，该方法以从网络侧描述为例进行说明，包括以下步骤：

步骤S302，网络服务器接收到第一用户终端发送的登录请求后，提示用户输入用户信息和登录密码；其中，用户信息指用户注册时提供的身份信息，例如：用户名、用户标识码(手机号)、邮箱地址等；

步骤S304，网络服务器接收上述用户信息和登录密码，对该用户信息和登录密码进行一次认证；

步骤S306，上述一次认证通过后，网络服务器触发用户关联的第二用户终端生成并返回一次性密钥，判断该一次性密钥是否通过二次认证，如果是，允许上述用户执行后续动作。

本实施例的第一用户终端和第二用户终端可以是同一个设备，也可以两个不同的设备。例如均为用户的手机，或者一个是用户的手机，一个是用户的电脑等。

其中，本实施例的一次性密钥可以是基于时间要素(系统时间)生成的一次性口令，也可以是基于事件要素(使用次数)生成的一次性口令，以基于时间要素生成的一次性口令为例，本发明实施例可以基于互联网工程任务组(Internet Engineering Task Force，IETF)的标准算法RFC 6238(RFC 4226的一种扩展)。这是一种基于时间的一次性密码(Time-based One-time Password，简称TOTP，也可以称为一次性密钥)，在用户终端(如手机)上安装该密码生成应用程序，就可以生成一个随着时间变化的一次性密码。

TOTP的工作原理如下：客户端和服务器事先协商好一个密钥K，用于一次性密码的生成过程，此密钥不被任何第三方所知道。此外，客户端和服务器各有一个当前时间T，并且事先将当前标准时间尽量同步。选用手机的原因是运营商在会自动把手机和基站的时间有一个同步过程，只要服务器采用类似的同步方法，者的误差很小。

进行验证时，客户端对密钥和计数器的组合(K,T)使用HMAC(Hash-based Message Authentication Code)算法计算一次性密码，公式如下：

TOTP(K,T)＝Truncate(HMAC-SHA-1(K,T))

上面采用了HMAC-SHA-1，当然也可以使用HMAC-MD5等。HMAC算法得出的值位数比较多，不方便用户输入，因此需要截断(Truncate)成为一组不太长十进制数(例如6位)。用户将这一组十进制数输入并且提交之后，服务器端同样的计算，并且与用户提交的数值比较，验证通过则意味二次认证通过。

由于网络延时，用户输入延迟等因素，可能当服务器端接收到一次性密码时，T的数值已经改变，这样就会导致服务器计算的一次性密码值与用户输入的不同，验证失败。解决这个问题的一个方法是，服务器计算当前时间片以及前后的n个时间片内的一次性密码值，只要其中有一个与用户输入的密码相同，则验证通过。当然，n不能太大，否则会降低安全性，通常选择5次。

因为时间每时每刻都在变化，如果选择一个变化太快的T(例如从某一时间点开始的秒数)，那么用户来不及输入密码。如果选择一个变化太慢的T(例如从某一时间点开始的小时数)，那么第三方攻击者就有充足的时间去尝试所有可能的一次性密码(6位数字的一次性密码仅仅有10^6种组合),降低了密码的安全性。变化太慢的T还会导致另一个问题。如果用户需要在短时间内两次登录账户，由于密码是一次性的不可重用，用户需要等到下一个一次性密码被生成时才能登录，这意味着最多需要等待59分59秒！这显然不可接受。综合以上考虑，多数厂商(例如Google)选择了30秒作为时间片，T的数值为从Unix epoch(1970年1月1日00:00:00)来经历的30秒的个数。

本实施例的上述方法，通过网络侧在对用户进行一次认证通过的基础上，触发用户的终端设备自动生成一次性密钥，并自动将该一次性密钥发送给网络侧，由网络侧对该一次性密钥进行认证，进而实现二次认证，这两种认证方式的结合，不需要用户手工输入一次性密钥，简化了用户的操作，同时两种认证方式的有效结合，提升了认证的安全性和可靠性，适于推广应用。

为了提升网络侧的认证能力，可以在网络侧设置一个专门用于二次认证的服务器，本发明实施例中称之为二次认证服务器，基于此，用户在注册过程中的相关信息可以直接保存至二次认证服务器中，具体实现时，上述方法还可以包括：网络服务器接收用户的注册请求，提示用户是否进行二次认证；网络服务器接收到用户确认进行二次认证的消息后，将用户注册的第二用户终端的信息保存至二次认证服务器；相应地，上述网络服务器触发用户关联的第二用户终端生成并返回一次性密钥，判断一次性密钥是否通过二次认证可以包括如下步骤：

(1)网络服务器向二次认证服务器发送对用户进行二次认证的通知；

(2)二次认证服务器接收到通知后，向用户关联的第二用户终端发送二次认证请求消息；

(3)二次认证服务器接收第二用户终端返回的一次性密钥，对一次性密钥进行认证，并将认证结果通知网络服务器；

(4)网络服务器根据认证结果确认用户是否通过二次认证。

参见图4所示的用户注册的方法示意图，该注册方法包括以下步骤：

步骤S402，用户初次登录服务器(即上述网络服务器，其可以是云端服务器，也可以是通信网络中的服务器)；

步骤S404，服务器向该用户返回登录成功消息；

步骤S406，用户向服务器启动二次认证注册流程；

步骤S408，服务器通知二次认证服务器该用户要求登记；

步骤S410，二次认证服务器将生成随机密钥发送给服务器；并等待服务器返回登记信息；

步骤S412，服务器生成二维码，并将该二维码发送给该用户，进入等待状态；

步骤S414，用户使用终端设备(如手机)扫描二维码，向服务器进行登记；

步骤S416，服务器接收到二维码登记信息后，向二次认证服务器返回登记信息；

步骤S418，二次认证服务器向服务器返回绑定确认消息；

步骤S420，服务器向用户返回登记确认消息。

上述用户只需要注册一个api帐户，就可以完成上述登记注册过程。

上述方法是从网络侧描述的用户认证过程，参见图5所示的云计算及互联网中的用户二次认证方法的流程图，该方法以从用户侧描述为例进行的说明，该方法包括以下步骤：

步骤S502，第一用户终端向网络侧(例如上述网络服务器)发送用户的登录请求；

步骤S504，第一用户终端接收并显示网络侧返回的输入用户信息和登录密码的提示消息；

步骤S506，第一用户终端接收用户输入的用户信息和登录密码，将用户信息和登录密码发送给网络侧进行认证；

步骤S508，上述用户的第二用户终端接收到来自网络侧(可以是上述网络服务器，也可以是上述二次认证服务器)的二次认证请求消息后，判断该用户是否同意进行二次认证；如果是，生成一次性密钥，并将一次性密钥发送给网络侧进行认证；

当然，如果用户不同意进行二次认证，则此用户认证失败。

步骤S510，第一用户终端接收到网络侧返回的认证通过消息后，允许用户执行后续操作。

本实施例的方法，在第一用户终端通过一次认证通过的基础上，触发第二用户终端在用户确认进行二次认证时自动生成一次性密钥，并自动将该一次性密钥发送给网络侧，由网络侧对该一次性密钥进行认证，进而实现二次认证，这两种认证方式的结合，不需要用户手工输入一次性密钥，简化了用户的操作，同时两种认证方式的有效结合，提升了认证的安全性和可靠性，适于推广应用。

为了进一步增加认证的安全性，上述用户的第二用户终端判断用户是否同意进行二次认证包括：第二用户终端提示用户是否进行二次认证；当第二用户终端在指定时间内感应到摇晃自身的频率和/或幅度达到设定阈值时，第二用户终端确定用户同意进行二次认证。

或者，用户的第二用户终端判断用户是否同意进行二次认证包括：第二用户终端提示用户是否进行二次认证；当第二用户终端在指定时间内接收到用户按压确认键的信号时或者确认用户按压屏幕的轨迹与设定轨迹匹配时，第二用户终端确定用户同意进行二次认证。

上述几种判断用户是否同意进行二次认证的方式能够进一步增强安全性和可操作性，用户仅需要一个动作即可触发第二用户终端生成一次性密钥，并自动将该一次性密钥发送给网络侧，进行二次认证。网络侧也是在二次认证通过时，向第一用户终端返回认证通过的消息，这样即完成了整个用户认证过程，之后用户即可登录相应的网址。

由上述方法可知，用户登录时，先是输入用户名/密码，通过服务器进行传统的网络基本认证；在此之后，还需要一个来自用户预先关联设备如手机的确认动作，然后才能打开用户界面或进行下一步操作。本发明是通过将传统的RFC 2617 BASIC和RFC 6238TOTP相结合进行二次认证的一种方法，且二次认证部分通常是用户拥有的，比如手机上生成的30秒变化一次的一次性令牌，达到控制用户对在云计算中自身资源的授权访问，并充分利用了手机等智能终端的推送功能，可以实现用户不需要逐字输入通常6位一次性密码，用户可以通过实施一个手势，比如摇晃一下手机完成确认动作，通过二者的结合，保证了用户在云计算中的用户身份安全。

参见图6所示的云计算及互联网中的用户二次认证方法的流程图，该方法以从用户侧和网络侧描述为例进行的说明，该方法包括以下步骤：

步骤S601，用户登录，输入登录信息；具体地，用户提交用户名和密码，或其它的数字特征，到服务器(即上述网络服务器)认证。

步骤S602，服务器对上述信息进行认证，判断是否正确？如果是，执行步骤S603，否则，执行步骤S613；

步骤S603，服务器查看该用户是否要求使用二次认证，如果是，向其在服务器上提前登记的设备发送确认请求消息；并自动进入步骤S608，等候状态。

步骤S604，手机接收来自服务器的确认请求。

步骤S605，判断用户是否同意，如果是，进入下一步606。如果否，进入步骤S615，即登录失败；

步骤S606，用户摇晃手机确认，用户采用摇晃一下手机这种手势，手机应用会自动生成一个用户独有的6位30秒有效的一次性密码，并进入步骤S607。

步骤S607，手机应用通过已经登录到手机的用户身份，向服务器发送上述一次性密码，确认回调。

步骤S608，处于等待状态的服务器在指定时间内接收上述一次性密码。

步骤S609，在定时器的指定时间内发现收到上述一次性密码，则执行步骤S610，否则执行步骤S614，即用户选择放弃还是重试；

步骤S610，验证收到的一次性密码。其中为了防止服务器和手机时间的不同步，及传递过程的延误，允许前后2分钟的偏差。

步骤S611，验证是否通过？如果是，执行步骤S612；如果否，执行步骤S615。

步骤S612，二次认证通过，用户认证成功。

步骤S613，判断验证登录信息失败的次数是否超过3次，如果是，执行步骤S615；否则返回步骤S601。

步骤S614，用户选择放弃还是重试，如果是放弃，执行步骤S615；否则返回步骤S603。

步骤S615，用户认证失败。

上述方法中，用户登录，输入正确的用户名/密码后，还会向用户手机发一个二次认证，用户通过摇晃等手势确认后，才能登录进入到下一步操作。该二次认证方法可以应用在云计算中的SAAS应用等中。

参见图7所示的云计算及互联网中的用户二次认证方法的示意图，该方法以从用户侧和网络侧描述为例进行的说明，该方法包括以下步骤：

步骤S702，用户使用客户端；

步骤S704，客户端向服务器(即上述网络服务器)发送用户的访问服务；

步骤S706，服务器通知客户端需要认证(401认证)；

步骤S708，客户端向服务器返回用户输入的用户名/口令；

步骤S710，服务器通知二次认证服务器，一次验证成功；

步骤S712，二次认证服务器向用户登记的手机发出确认请求；用户收到请求后，可以决定拒绝或是接受；如果接受，执行步骤S714；

步骤S714，用户摇晃手机，向二次认证服务器发出30秒有效的一次性确认；

手机在捕捉到摇晃这个信号后，自动调用RFC 6238，生成一次性密钥，进行30秒有效的一次性确认；

步骤S716，二次认证服务器认证通过后，通知服务器收到确认；

步骤S718，服务器向客户端返回验证成功，执行登录后功能；

步骤S720，用户继续使用客户端。

本实施例中引入了一个二次认证服务器以保证用户设备登记，帐户关联等一系列的需求。

为了节省网络带宽，确保将来支持多用户并发的需求。服务器可以使用Push(推送)的方式，当服务器端有新信息了，则把最新的信息Push到客户端上。这样，客户端就能自动的接收到消息。

在iphone上，推送功能的工作机制可以简单的概括为应用服务器将携带签名的推送消息发送给APNS消息服务器；APNS消息服务器再将推送消息发送给手机；手机再将推送消息发送给客户端应用。

对应于上述方法，本发明实施例还提供了一种云计算及互联网中的用户二次认证装置，该装置设置与网络侧的服务器上，参见图8，该装置包括以下模块：

第一认证提示模块82，用于接收到第一用户终端发送的登录请求后，提示用户输入用户信息和登录密码；

第一认证模块84，用于接收用户信息和登录密码，对用户信息和登录密码进行一次认证；

第二认证模块86，用于在一次认证通过后，触发用户关联的第二用户终端生成并返回一次性密钥，判断一次性密钥是否通过二次认证；

登录处理模块88，用于当第二认证模块86的认证结果为是时，允许用户执行后续操作。

本实施例的装置通过在对用户进行一次认证通过的基础上，触发用户的终端设备自动生成一次性密钥，并自动将该一次性密钥发送给网络侧，由网络侧对该一次性密钥进行认证，进而实现二次认证，这两种认证方式的结合，不需要用户输入一次性密钥，简化了用户的操作，同时两种认证方式的有效结合，提升了认证的安全性和可靠性，适于推广应用。

对应于上述方法和装置，本发明实施例还提供了一种云计算及互联网中的用户二次认证系统，包括设置于网络侧的网络服务器、设置于用户侧的第一用户终端和第二用户终端；其中：网络服务器包括图8所示的装置；

第一用户终端包括：登录请求发送模块，用于向网络侧发送用户的登录请求；提示信息接收模块，用于接收并显示网络侧返回的输入用户信息和登录密码的提示消息；第一认证信息接收与发送模块，用于接收用户输入的用户信息和登录密码，将用户信息和登录密码发送给网络侧进行认证；操作模块，用于接收到网络侧返回的认证通过消息后，允许用户执行后续操作；

第二用户终端包括：二次认证判断模块，用于接收到来自网络侧的二次认证请求消息后，判断用户是否同意进行二次认证；二次认证模块，用于在二次认证判断模块的判断结果为是时，生成一次性密钥，并将一次性密钥发送给网络侧进行认证。

进一步地，上述系统还包括二次认证服务器；相应地，网络服务器还包括：二次认证提示模块，用于接收用户的注册请求，提示用户是否进行二次认证；注册信息保存模块，用于接收到用户确认进行二次认证的消息后，将用户注册的第二用户终端的信息保存至二次认证服务器；

相应地，上述第二认证模块包括：二次认证通知单元，用于在一次认证通过后，向二次认证服务器发送对用户进行二次认证的通知；二次认证确认单元，用于根据二次认证服务器返回的认证结果确认用户是否通过二次认证；

上述二次认证服务器包括：二次认证请求消息发送模块，用于接收到网络服务器发送的二次认证通知后，向用户关联的第二用户终端发送二次认证请求消息；一次性密钥认证模块，用于接收第二用户终端返回的一次性密钥，对一次性密钥进行认证，并将认证结果通知网络服务器。

优选地，上述二次认证判断模块包括：认证提示单元，用于提示用户是否进行二次认证；二次认证确定单元，用于当第二用户终端在指定时间内确认有以下事件之一发生时，确定用户同意进行二次认证：(1)感应到用户摇晃自身的频率和/或幅度达到设定阈值；(2)接收到用户按压确认键的信号；(3)确认用户按压屏幕的轨迹与设定轨迹匹配。

上述第一用户终端与第二用户终端为同一设备。

本发明以上实施例提供的认证机制可以在云计算及互联网中的身份安全中进行应用，具体实现时，可以通过用户个人手机或穿戴设备来进行二次认证。主要基于传统的用户名/密码认证(basic)；及在此基础上增加一种一次性令牌认证(TOTP)的二次认证技术，因为采用了来自个人设备如手机等的确认过程，从而保证用户在云计算及互联网中的身份更为安全，解决了相关认证机制的不安全和不便捷的问题，适于推广应用。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种云计算及互联网中的用户二次认证方法，其特征在于，包括：

网络服务器接收到第一用户终端发送的登录请求后，提示用户输入用户信息和登录密码；

所述网络服务器接收所述用户信息和登录密码，对所述用户信息和登录密码进行一次认证；

所述一次认证通过后，所述网络服务器触发所述用户关联的第二用户终端生成并返回一次性密钥，判断所述一次性密钥是否通过二次认证，如果是，允许所述用户执行后续操作。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：网络服务器接收用户的注册请求，提示所述用户是否进行二次认证；所述网络服务器接收到所述用户确认进行二次认证的消息后，将所述用户注册的第二用户终端的信息保存至二次认证服务器；

所述网络服务器触发所述用户关联的第二用户终端生成并返回一次性密钥，判断所述一次性密钥是否通过二次认证包括：所述网络服务器向所述二次认证服务器发送对所述用户进行二次认证的通知；所述二次认证服务器接收到所述通知后，向所述用户关联的第二用户终端发送二次认证请求消息；所述二次认证服务器接收所述第二用户终端返回的一次性密钥，对所述一次性密钥进行认证，并将认证结果通知所述网络服务器；所述网络服务器根据所述认证结果确认所述用户是否通过二次认证。

3.一种云计算及互联网中的用户二次认证方法，其特征在于，包括：

第一用户终端向网络侧发送用户的登录请求；

所述第一用户终端接收并显示所述网络侧返回的输入用户信息和登录密码的提示消息；

所述第一用户终端接收所述用户输入的用户信息和登录密码，将所述用户信息和登录密码发送给所述网络侧进行认证；

所述用户的第二用户终端接收到来自所述网络侧的二次认证请求消息后，判断所述用户是否同意进行二次认证；如果是，生成一次性密钥，并将所述一次性密钥发送给所述网络侧进行认证；

所述第一用户终端接收到所述网络侧返回的认证通过消息后，允许用户执行后续操作。

4.根据权利要求3所述的方法，其特征在于，所述用户的第二用户终端判断所述用户是否同意进行二次认证包括：

所述第二用户终端提示所述用户是否进行二次认证；

当所述第二用户终端在指定时间内感应到摇晃自身的频率和/或幅度达到设定阈值时，所述第二用户终端确定所述用户同意进行二次认证。

5.根据权利要求3所述的方法，其特征在于，所述用户的第二用户终端判断所述用户是否同意进行二次认证包括：

所述第二用户终端提示所述用户是否进行二次认证；

当所述第二用户终端在指定时间内接收到所述用户按压确认键的信号时或者确认所述用户按压屏幕的轨迹与设定轨迹匹配时，所述第二用户终端确定所述用户同意进行二次认证。

6.一种云计算及互联网中的用户二次认证装置，其特征在于，包括：

第一认证提示模块，用于接收到第一用户终端发送的登录请求后，提示用户输入用户信息和登录密码；

第一认证模块，用于接收所述用户信息和登录密码，对所述用户信息和登录密码进行一次认证；

第二认证模块，用于在所述一次认证通过后，触发所述用户关联的第二用户终端生成并返回一次性密钥，判断所述一次性密钥是否通过二次认证；

登录处理模块，用于当所述第二认证模块的认证结果为是时，允许所述用户执行后续操作。

7.一种云计算及互联网中的用户二次认证系统，其特征在于，包括设置于网络侧的网络服务器、设置于用户侧的第一用户终端和第二用户终端；其中：

所述网络服务器包括权利要求6所述的装置；

所述第一用户终端包括：登录请求发送模块，用于向网络侧发送用户的登录请求；提示信息接收模块，用于接收并显示所述网络侧返回的输入用户信息和登录密码的提示消息；第一认证信息接收与发送模块，用于接收所述用户输入的用户信息和登录密码，将所述用户信息和登录密码发送给所述网络侧进行认证；操作模块，用于接收到所述网络侧返回的认证通过消息后，允许所述用户执行后续操作；

所述第二用户终端包括：二次认证判断模块，用于接收到来自所述网络侧的二次认证请求消息后，判断所述用户是否同意进行二次认证；二次认证模块，用于在所述二次认证判断模块的判断结果为是时，生成一次性密钥，并将所述一次性密钥发送给所述网络侧进行认证。

8.根据权利要求7所述的系统，其特征在于，所述系统还包括二次认证服务器；

所述网络服务器还包括：二次认证提示模块，用于接收用户的注册请求，提示所述用户是否进行二次认证；注册信息保存模块，用于接收到所述用户确认进行二次认证的消息后，将所述用户注册的第二用户终端的信息保存至所述二次认证服务器；

所述第二认证模块包括：二次认证通知单元，用于在所述一次认证通过后，向所述二次认证服务器发送对所述用户进行二次认证的通知；二次认证确认单元，用于根据所述二次认证服务器返回的认证结果确认所述用户是否通过二次认证；

所述二次认证服务器包括：二次认证请求消息发送模块，用于接收到所述网络服务器发送的二次认证通知后，向所述用户关联的第二用户终端发送二次认证请求消息；一次性密钥认证模块，用于接收所述第二用户终端返回的一次性密钥，对所述一次性密钥进行认证，并将认证结果通知所述网络服务器。

9.根据权利要求7所述的系统，其特征在于，所述二次认证判断模块包括：

认证提示单元，用于提示所述用户是否进行二次认证；

二次认证确定单元，用于当所述第二用户终端在指定时间内确认有以下事件之一发生时，确定所述用户同意进行二次认证：(1)感应到所述用户摇晃自身的频率和/或幅度达到设定阈值；(2)接收到所述用户按压确认键的信号；(3)确认所述用户按压屏幕的轨迹与设定轨迹匹配。

10.根据权利要求7所述的系统，其特征在于，所述第一用户终端与所述第二用户终端为同一设备。