CN104363207A - 多因子安全增强授权与认证方法 - Google Patents

多因子安全增强授权与认证方法 Download PDF

Info

Publication number
CN104363207A
CN104363207A CN201410593550.9A CN201410593550A CN104363207A CN 104363207 A CN104363207 A CN 104363207A CN 201410593550 A CN201410593550 A CN 201410593550A CN 104363207 A CN104363207 A CN 104363207A
Authority
CN
China
Prior art keywords
factor
certification
user
safety
validation gateway
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201410593550.9A
Other languages
English (en)
Other versions
CN104363207B (zh
Inventor
丁爱民
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Cheng Zhongzhi Science And Technology Ltd
Original Assignee
Beijing Cheng Zhongzhi Science And Technology Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Cheng Zhongzhi Science And Technology Ltd filed Critical Beijing Cheng Zhongzhi Science And Technology Ltd
Priority to CN201410593550.9A priority Critical patent/CN104363207B/zh
Publication of CN104363207A publication Critical patent/CN104363207A/zh
Application granted granted Critical
Publication of CN104363207B publication Critical patent/CN104363207B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3218—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using proof of knowledge, e.g. Fiat-Shamir, GQ, Schnorr, ornon-interactive zero-knowledge proofs
    • H04L9/3221—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using proof of knowledge, e.g. Fiat-Shamir, GQ, Schnorr, ornon-interactive zero-knowledge proofs interactive zero-knowledge proofs

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明实施例提供一种多因子安全增强授权与认证方法，包括：注册步骤，通过在验证网关上存储与示证用户相关的可信因子来完成示证用户在验证网关上的注册，并且在验证网关与示证用户之间同步可信因子，并且分别将同步成功的可信因子存储为认证因子；安全增强授权步骤，验证网关在安全域内采集授权因子并同步到示证用户，验证网关和示证用户分别将同步成功的全部授权因子存储为认证因子；安全增强认证码生成步骤，验证网关和示证用户分别生成安全增强认证码；以及安全认证步骤，验证网关验证示证用户提供的安全增强认证码是否匹配，以对示证用户进行安全认证。本发明的方法提高多认证因子传输安全性、减少认证数据网络传输流量，减少认证时长。

Description

多因子安全增强授权与认证方法
技术领域
本发明涉及信息安全领域，尤其涉及一种多因子安全增强授权与认证方法。
背景技术
安全域是指同一环境内有相同的安全保护需求、相互信任、并具有相同的安全访问控制和边界控制策略的网络或系统。网络安全域是指同一系统内有相同的安全保护需求，相互信任，并具有相同的安全访问控制和边界控制策略的子网或网络，且相同的网络安全域共享一样的安全策略。广义的安全域是具有相同业务要求和安全要求的系统要素集合，这些要素包括网络区域、主机和系统、人和组织、物理环境、策略和流程、业务和使命等诸多因素。通过网络安全域的划分，可以把一个复杂的大型网络系统安全问题转化为较小区域更为单纯的安全保护问题，从而更好地控制网络安全风险，降低系统风险；利用网络安全域的划分，理顺网络架构，可以更好地指导系统的安全规划和设计、入网和验收工作；通过网络安全域的划分，各区域防护重点明确，可以将有限的安全设备投入到最需要保护的资产，提高安全设备利用率；有了网络安全域的划分，相对简化了网络安全的运维工作，并可有的放矢地部署网络审计设备，提供检查审核依据。
安全域通过授权和身份认证来防止非法用户对安全域的非法访问。授权和认证涉及到两方：示证用户和验证网关。示证用户一般指安全域的用户终端、用户卡等，验证网关一般指安全域的授权与认证管理信息系统、安全认证网关设备等。
授权是验证网关签发给示证用户的通行证，对安全域而言，是安全域签发给用户的通行证，规定用户是否有权出入某个安全域，侧重于强调用户拥有什么样的访问权限，这种权限是系统预先设定的，并不关心用户是否发起访问请求。
身份认证是示证用户向验证网关证实其真实身份与其所声称的身份是否相符的过程，这一过程是通过特定的协议和算法来实现的。身份认证是安全域验证用户身份与其所声称的身份是否一致，防止非法用户进入安全域。身份认证是信息安全理论的重要组成部分，它以密码理论为基础，同时也是访问控制和审计的前提，对网络环境下的信息安全尤其重要。
身份认证的数学基础有两种，知识认证和零知识认证。示证用户试图向验证网关证明自己知道某信息。一种方法是示证用户说出这一信息使得验证网关相信，这样验证网关也知道了这一信息，这是基于知识的证明，称为知识认证。另一种方法是使用某种有效的数学方法，使得验证网关相信示证用户掌握这一信息，却不泄露任何有用的信息，这是基于零知识的证明，称为零知识认证。零知识认证可以分为两大类：最小泄露认证和零知识认证。
身份认证的知识认证方式基于三种物理基础：示证用户所知道的知识、示证用户拥有的知识、示证用户的特征知识。第一类的例子是最常用的密码和口令；第二类的例子有身份证、护照、密钥盘等；第三类包括用户的生物特征，如指纹、红膜、DNA、声纹，还包括用户的下意识行为，比如签名。这三类物理基础各有利弊。第一类方法最简单，系统开销最小，但是最不安全；第二类泄漏秘密的可能性比较小，因而安全性比第一类高，但是认证系统相对复杂；第三类的安全性最高，比如想窃取一个人的指纹是很困难的，但是涉及更复杂的算法和实现技术。针对前两类基础的技术起步较早，目前相对成熟，应用比较广泛。有关第三类的技术也由于它在安全性上的优势正在迅速发展。
在安全域授权与认证领域，计算机网络世界中一切信息包括用户的身份信息都是用一组特定的数据来表示的，计算机只能识别用户的数字身份，所有对用户的授权也是针对用户数字身份的授权。由于大量的身份信息在计算机网络上进行传输，关于身份信息的保护越来越被关注与增强，在电子交易、行政执法、移动办公等领域，早已不再简单的依靠用户名口令的方式认证，越来越多的认证过程加入了授权过程加入了更多的认证因子。
在实现本发明的过程中，发明人发现现有的授权与认证技术中存在如下问题：1、认证过程中，认证因子直接暴露在网络上进行传输，很容易被非法获取；2、对于有较高安全要求的系统或者网络，安全域采取多因子安全认证技术提高安全认证级别，现有的授权与认证技术需要示证用户传输所有的认证因子，例如用户密码、用户特征值、系统终端介质等多重信息，导致网络流量大，在网络带宽有限的情况下，尤其是移动通信网络下，因认证数据传输时间较长而直接导致认证过程耗时很长；3、安全域在需要从不同侧面对用户进行认证时，现有的授权与认证技术存在多次认证、认证网络流量大、认证过程时间长等问题，当认证因子和验证环节较多时，在当前使用的认证方法中采用多次认证方式，每个侧面都独立认证一次，导致示证用户需要多次发起认证、传输认证数据、不同的验证网关进行身份验证，导致认证时间长、消耗的网络流量大。
发明内容
本发明实施例提供一种多因子安全增强授权与认证方法，以在安全域对用户进行认证时提高多认证因子传输安全性、减少认证数据网络传输流量，减少认证时长。
根据本发明的第一方面，提供一种多因子安全增强授权与认证方法，用于安全域的示证用户认证过程，所述安全域包括验证网关，该多因子安全增强授权与认证方法包括：
注册步骤，在该步骤中，通过在验证网关上存储与示证用户相关的可信因子来完成示证用户在验证网关上的注册，并且在验证网关与示证用户之间同步可信因子，验证网关将同步成功的可信因子存储为认证因子，并且注册用户将同步成功的可信因子也存储为认证因子；
安全增强授权步骤，在该步骤中，验证网关在安全域内采集与完成了注册步骤的示证用户关联的一个或多个授权因子，并且与示证用户同步全部授权因子，验证网关将同步成功的全部授权因子存储为认证因子，并且示证用户将同步成功的全部授权因子存储为认证因子；
安全增强认证码生成步骤，在该步骤中，验证网关和示证用户分别根据各自存储的认证因子按照相同算法生成安全增强认证码；以及
安全认证步骤，在该步骤中，验证网关验证自身生成的安全增强认证码与示证用户提供的安全增强认证码是否匹配，以对示证用户进行安全认证。
根据本发明的第二方面的多因子安全增强授权与认证方法，所述注册步骤包括：
逻辑注册步骤，在该步骤中，以在验证网关的数据库中存储与示证用户相关的逻辑可信因子，所述逻辑可信因子是与示证用户相关联的可信因子并且不描述示证用户的物理设备信息，仅仅完成逻辑注册的示证用户不允许访问安全域内除验证网关之外的其他任何设备；以及
物理注册步骤，在逻辑注册步骤完成后，验证网关授权示证用户登录到验证网关进行物理注册步骤，在物理注册步骤中，示证用户在首次登录到验证网关后，以在线方式将采集到的与示证用户的物理设备相关的物理可信因子上传到验证网关的数据库，所述物理可信因子是描述示证用户的物理设备信息的可信因子，并且在验证网关与示证用户之间同步逻辑可信因子和物理可信因子，验证网关将同步成功的逻辑可信因子和物理可信因子存储为认证因子，并且注册用户将同步成功的逻辑可信因子和物理可信因子也存储为认证因子。
根据本发明的第三方面的多因子安全增强授权与认证方法，示证用户具有数据库，在该数据库中建立同步表和安全增强认证因子表，并且验证网关具有数据库，在该数据库中建立同步表和安全增强认证因子表，其中，示证用户的同步表和验证网关的同步表均用于存储未在示证用户和验证网关之间完成同步的可信因子和授权因子，示证用户的安全增强认证因子表和验证网关的安全增强认证因子表均用于将已经在示证用户和验证网关之间完成同步的可信因子和授权因子存储为认证因子，
其中，所述物理注册步骤包括：
示证用户采集与示证用户的物理设备相关的物理可信因子并存储到示证用户的同步表；
示证用户将示证用户的同步表中的物理可信因子提交到验证网关；
验证网关在接收到示证用户提交的物理可信因子后，将接收到的物理可信因子在验证网关的安全增强认证因子表中存储为认证因子；
验证网关将认证因子成功接收的确认信息返回给示证用户；以及
示证用户接收到验证网关发来的确认信息后，将示证用户的同步表中的物理可信因子从该同步表中更新到示证用户的安全增强认证因子表中作为认证因子。
根据本发明的第四方面的多因子安全增强授权与认证方法，在将示证用户的同步表中的物理可信因子从该同步表中更新到示证用户的安全增强认证因子表中作为认证因子之后，所述物理注册步骤还包括：
验证网关采集需要与示证用户同步的与示证用户相关的逻辑可信因子，将所述逻辑可信因子存储到验证网关的同步表；
验证网关向示证用户发送验证网关的同步表中存储的逻辑可信因子；
示证用户在接收到验证网关发送的逻辑可信因子后，将接收到的逻辑可信因子存储到示证用户的同步表中；
示证用户向验证网关返回逻辑可信因子接收成功的确认信息；
验证网关在接收到示证用户返回的逻辑可信因子接收成功的确认信息后，将验证网关的同步表中的逻辑可信因子更新到验证网关的安全增强认证因子表中；
验证网关向示证用户返回在安全增强认证因子表中成功更新逻辑可信因子的确认信息；以及
示证用户在接收到验证网关返回的在安全增强认证因子表中成功更新逻辑可信因子的确认信息后，将示证用户的同步表中的认证因子更新到示证用户的安全增强认证因子表中。
根据本发明的第五方面的多因子安全增强授权与认证方法，所述安全增强授权步骤还包括：
验证网关在安全域内采集与完成了注册步骤的示证用户关联的一个或多个授权因子，将所述授权因子存储到验证网关的同步表；
验证网关向示证用户发送验证网关的同步表中存储的授权因子；
示证用户在接收到验证网关发送的授权因子后，将接收到的授权因子存储到示证用户的同步表中；
示证用户向验证网关返回授权因子接收成功的确认信息；
验证网关在接收到示证用户返回的授权因子接收成功的确认信息后，将验证网关的同步表中的授权因子更新到验证网关的安全增强认证因子表中；
验证网关向示证用户返回在安全增强认证因子表中成功更新授权因子的确认信息；以及
示证用户在接收到验证网关返回的在安全增强认证因子表中成功更新授权因子的确认信息后，将示证用户的同步表中的认证因子更新到示证用户的安全增强认证因子表中。
根据本发明的第六方面的多因子安全增强授权与认证方法，所述安全增强授权步骤还包括以多环节授权方式生成授权因子，所述多环节授权方式是指，如果在安全域内存在多个授权环节，所有授权环节共享授权因子数据库并生成各自的授权因子，所有授权环节统一将授权因子同步到示证用户。
根据本发明的第七方面的多因子安全增强授权与认证方法，当安全认证步骤的结果为认证未通过时，将示证用户的同步表中的数据更新到示证用户的安全增强认证因子表中之后，再次执行安全增强认证码生成步骤和安全认证步骤。
根据本发明的第八方面的多因子安全增强授权与认证方法，在示证用户首次登录到验证网关之后每次登录验证网关时，示证用户检测示证用户的安全增强认证因子表中存储的物理可信因子和采集到的与示证用户的物理设备相关的物理可信因子是否一致，如果不一致，则示证用户先使用现有安全增强认证因子表执行安全增强认证码生成步骤和安全认证步骤，在安全认证步骤的结果为通过认证之后，再次执行物理注册步骤。
根据本发明的第九方面的多因子安全增强授权与认证方法，所述算法为哈希算法。
根据本发明的第十方面的多因子安全增强授权与认证方法，安全增强认证码的长度短于可信因子和授权因子的总长度。
上述技术方案具有如下有益效果：1、本发明的多因子安全增强授权与认证方法在认证过程中，只是传输用户名和安全增强认证码，而可信因子、授权因子、安全增强认证码生成算法均不在认证过程中传输，因此增强了可信因子、授权因子的安全性。2、本发明很好地适用于多个可信因子、授权因子组成的多因子认证，通过算法，优选为哈希算法，编码出安全增强认证码使得各个因子相互关联、相互认证，提高安全认证的级别。3、本发明的多因子安全增强授权与认证方法将示证用户注册步骤分为逻辑注册步骤和物理注册步骤两步，要求示证用户的用户设备唯一编码等物理信息由示证用户在物理注册过程中自行采集、自动注册，简化了系统管理的过程，使得系统管理人员不需要手工采集每个示证用户的物理可信因子。4、本发明的多因子安全增强授权与认证方法优选采用哈希算法编码出固定长度的安全增强认证码，可信因子和验证网关的授权因子的数量、长度不影响安全增强认证码的长度，支持一个安全增强认证码通行整个安全域，有效支持多个验证网关统一验证，支持将多次验证合并简化为一次验证；通过减少认证次数提高了认证速度，并且哈希算法本身有很强的数据压缩效果，通过减少认证时的网络流量提高了认证速度。5、本发明优选所有授权环节共享授权因子数据库，全安全域统一同步授权因子到示证用户，支持多方授权情况下统一授权因子的同步和统一身份认证。6、本发明通过多次交互协商机制完成示证用户注册、验证网关授权因子发布等工作，并采用了示证用户认证不通过后自动将示证用户同步表中的数据更新到示证用户安全增强认证因子表中对应的数据，再次进行认证的手段，这些特征很好支持了各种网络不稳定、授权或认证发生异常等情况下自动纠错，提升了系统的稳定性和适用性，尤其适用于移动通信网络下的授权与认证。8、本发明通过登录检测示证用户的物理可信因子，与示证用户的安全增强认证因子表中的数据进行对比，实时发现物理可信因子的变化，及时将变化的认证因子重新注册到验证网关，提升了多因子认证的灵活性和适用性。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明的多因子安全增强授权与认证方法的总体流程图。
图2为本发明的多因子安全增强授权与认证方法中的对物理可信因子进行“双表五步一确认”的同步处理的流程图。
图3为本发明的多因子安全增强授权与认证方法中的对逻辑可信因子进行“双表七步三确认”同步处理的流程图。
图4为本发明的多因子安全增强授权与认证方法的实施例中示证用户在验证网关上进行注册的流程图。
图5为本发明的多因子安全增强授权与认证方法中的对授权因子进行“双表七步三确认”同步处理的流程图。
图6为在图5所示的本发明的多因子安全增强授权与认证方法中的对授权因子进行“双表七步三确认”同步处理过程中的步骤505之后出现网络异常断开情况时的处理过程的流程图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
图1为本发明的多因子安全增强授权与认证方法的总体流程图。
图1所示的本发明的多因子安全增强授权与认证方法用于安全域的示证用户认证过程，所述安全域包括验证网关。该多因子安全增强授权与认证方法包括：
注册步骤101，在该步骤中，通过在验证网关上存储与示证用户相关的可信因子来完成示证用户在验证网关上的注册，并且在验证网关与示证用户之间同步可信因子，验证网关将同步成功的可信因子存储为认证因子，并且注册用户将同步成功的可信因子也存储为认证因子；
安全增强授权步骤102，在该步骤中，验证网关在安全域内采集与完成了注册步骤101的示证用户关联的一个或多个授权因子，并且与示证用户同步全部授权因子，验证网关将同步成功的全部授权因子存储为认证因子，并且示证用户将同步成功的全部授权因子存储为认证因子；
安全增强认证码生成步骤103，在该步骤中，验证网关和示证用户分别根据各自存储的认证因子按照相同算法生成安全增强认证码；以及
安全认证步骤104，在该步骤中，验证网关验证自身生成的安全增强认证码与示证用户提供的安全增强认证码是否匹配，以对示证用户进行安全认证。
优选地，在图1所示的本发明的多因子安全增强授权与认证方法中，所述注册步骤101可以包括：
逻辑注册步骤，在该步骤中，以在验证网关的数据库中存储与示证用户相关的逻辑可信因子，所述逻辑可信因子是与示证用户相关联的可信因子并且不描述示证用户的物理设备信息，仅仅完成逻辑注册的示证用户不允许访问安全域内除验证网关之外的其他任何设备；以及
物理注册步骤，在逻辑注册步骤完成后，验证网关授权示证用户登录到验证网关进行物理注册步骤，在物理注册步骤中，示证用户在首次登录到验证网关后，以在线方式将采集到的与示证用户的物理设备相关的物理可信因子上传到验证网关的数据库，所述物理可信因子是描述示证用户的物理设备信息的可信因子，并且在验证网关与示证用户之间同步逻辑可信因子和物理可信因子，验证网关将同步成功的逻辑可信因子和物理可信因子存储为认证因子，并且注册用户将同步成功的逻辑可信因子和物理可信因子也存储为认证因子。
具体而言，在图1所示的本发明的多因子安全增强授权与认证方法中，在注册步骤101中可以进行这样的操作：在示证用户的注册数据中，选择示证用户用户名、密码、数字证书、用户设备唯一编码、用户自身的身份识别编码、用户联系方式等等数据作为可信因子。优选的，示证用户在验证网关上注册的过程可以分两步：第一步，逻辑注册，即通过系统管理人员在验证网关上登记示证用户的逻辑描述性的逻辑可信因子，包括用户名，初始密码，组织机构数据，联系方式数据等等，注册受理完成后，验证网关自动授权示证用户登录到验证网关进行下一步注册过程，仅仅完成逻辑注册的示证用户不允许访问安全域内除验证网关之外的其他任何设备；第二步，物理注册，即示证用户首次登录到验证网关后，示证用户将其设备内存储的描述示证用户物理设备信息的物理可信因子，包括数字证书、用户设备唯一编码等数据上传到验证网关数据库中，并从验证网关数据库中下载在上一步逻辑注册过程中登记的逻辑可信因子。优选的，在示证用户的注册数据中，选择示证用户用户名、密码、数字证书、用户设备唯一编码、用户自身的身份识别编码、用户联系方式等等数据作为可信因子。另外，在逻辑注册步骤中，可以以离线方式或在线方式在验证网关的数据库中存储与示证用户相关的逻辑可信因子。
逻辑注册步骤和物理注册步骤具体描述将在后面参照图4对应用实施例进行讨论时再进一步进行描述。
优选地，在图1所示的本发明的多因子安全增强授权与认证方法中，示证用户具有数据库，在该数据库中建立同步表和安全增强认证因子表，并且验证网关具有数据库，在该数据库中建立同步表和安全增强认证因子表，其中，示证用户的同步表和验证网关的同步表均用于存储未在示证用户和验证网关之间完成同步的可信因子和授权因子，示证用户的安全增强认证因子表和验证网关的安全增强认证因子表均用于将已经在示证用户和验证网关之间完成同步的可信因子和授权因子存储为认证因子。
图2为本发明的多因子安全增强授权与认证方法中的对物理可信因子进行“双表五步一确认”的同步处理的流程图。
如图2所示，所述物理注册步骤包括：
201、示证用户采集与示证用户的物理设备相关的物理可信因子并存储到示证用户的同步表；
202、示证用户将示证用户的同步表中的物理可信因子提交到验证网关；
203、验证网关在接收到示证用户提交的物理可信因子后，将接收到的物理可信因子在验证网关的安全增强认证因子表中存储为认证因子；
204、验证网关将认证因子成功接收的确认信息返回给示证用户；以及
205、示证用户接收到验证网关发来的确认信息后，将示证用户的同步表中的物理可信因子从该同步表中更新到示证用户的安全增强认证因子表中作为认证因子。
在本发明中，上述物理注册步骤中将示证用户的物理可信因子同步到验证网关的方式可以称作“双表五步一确认”方式。
图3为本发明的多因子安全增强授权与认证方法中的对逻辑可信因子进行“双表七步三确认”同步处理的流程图。
优选地，在图1所示的本发明的多因子安全增强授权与认证方法中，在将示证用户的同步表中的物理可信因子从该同步表中更新到示证用户的安全增强认证因子表中作为认证因子之后，参照图3，所述物理注册步骤还包括：
301、验证网关采集需要与示证用户同步的与示证用户相关的逻辑可信因子，将所述逻辑可信因子存储到验证网关的同步表；
302、验证网关向示证用户发送验证网关的同步表中存储的逻辑可信因子；
303、示证用户在接收到验证网关发送的逻辑可信因子后，将接收到的逻辑可信因子存储到示证用户的同步表中；
304、示证用户向验证网关返回逻辑可信因子接收成功的确认信息；
305、验证网关在接收到示证用户返回的逻辑可信因子接收成功的确认信息后，将验证网关的同步表中的逻辑可信因子更新到验证网关的安全增强认证因子表中；
306、验证网关向示证用户返回在安全增强认证因子表中成功更新逻辑可信因子的确认信息；以及
307、示证用户在接收到验证网关返回的在安全增强认证因子表中成功更新逻辑可信因子的确认信息后，将示证用户的同步表中的认证因子更新到示证用户的安全增强认证因子表中。
在本发明中，上述物理注册步骤中将验证网关所存储的逻辑可信因子同步到示证用户的同步到方式可以称作“双表七步三确认”方式。
图5为本发明的多因子安全增强授权与认证方法中的对授权因子进行“双表七步三确认”同步处理的流程图。
优选地，在图1所示的本发明的多因子安全增强授权与认证方法中，参照图5，所述安全增强授权步骤102还包括：
501、验证网关在安全域内采集与完成了注册步骤101的示证用户关联的一个或多个授权因子，将所述授权因子存储到验证网关的同步表；
502、验证网关向示证用户发送验证网关的同步表中存储的授权因子；
503、示证用户在接收到验证网关发送的授权因子后，将接收到的授权因子存储到示证用户的同步表中；
504、示证用户向验证网关返回授权因子接收成功的确认信息；
505、验证网关在接收到示证用户返回的授权因子接收成功的确认信息后，将验证网关的同步表中的授权因子更新到验证网关的安全增强认证因子表中；
506、验证网关向示证用户返回在安全增强认证因子表中成功更新授权因子的确认信息；以及
507、示证用户在接收到验证网关返回的在安全增强认证因子表中成功更新授权因子的确认信息后，将示证用户的同步表中的认证因子更新到示证用户的安全增强认证因子表中。
在本发明中，上述物理注册步骤中将验证网关所存储的授权因子同步到示证用户的同步到方式也可以称作“双表七步三确认”方式。
而且，从以上参照图3和图5的描述可见，将“逻辑可信因子”和“授权因子”从验证网关同步到示证用户的方式都可采用“双表七步三确认”方式。
在本发明中，优选地，将示证用户存储的可信因子同步到验证网关时，可采用“双表五步一确认”的同步方式，包括在注册、变更等情况下物理可信因子和逻辑可信因子的同步。优选地，当将验证网关存储的可信因子和授权因子同步到示证用户时，可采用“双表七步三确认”的同步方式，包括从验证网关上下载逻辑可信因子到示证用户、验证网关发布授权因子到示证用户、验证网关修改认证因子同步到示证用户等。
以下举例说明在“双表五步一确认”的同步方式的概念。例如，“双表”指的是：在示证用户数据库和验证网关数据库中各建立两张表，一个是同步表，用于存储未完成同步的认证因子，一个是安全增强认证因子表，用于存储已经完成同步的认证因子，该表中的认证因子用来生成安全增强认证码。例如，“五步一确认”指的是：
第一步，示证用户采集本地的认证因子存储到本地同步表；
第二步，示证用户将同步表中的认证因子提交到验证网关；
第三步，验证网关收到示证用户的认证因子后，将认证因子存储在本地安全增强认证因子表中；
第四步，即，确认步骤，验证网关返回给示证用户认证因子成功接收的确认信息；
第五步，示证用户接收到验证网关发来的确认信息后，将认证因子从本地的同步表中剪切到安全增强认证因子表中。
而且，在示证用户中建立同步表和安全增强认证因子表，记录下来未完成同步和完成同步的认证因子，每次示证用户与验证网关认证通过后，都要将同步表中未完成同步的数据继续完成同步工作。
以下举例说明在“双表七步三确认”的同步方式的概念。例如，“双表”与上述关于“双表五步一确认”的描述中的“双表”定义和数据结构一致。例如，“七步三确认”的具体步骤可以包括：
第一步，验证网关采集需要同步认证因子，存储到本地同步表；
第二步，验证网关与示证用户第一次确认，验证网关向示证用户发布认证因子；
第三步，示证用户接收到验证网关发布的认证因子后，将认证因子存储到本地的同步表中；
第四步，示证用户与验证网关第二次确认，示证用户向验证网关返回认证因子接收成功的确认信息；
第五步，验证网关接收到示证用户的确认信息后，将同步表中的认证因子更新到安全增强认证因子表中；
第六步，验证网关与示证用户第三次确认，验证网关向示证用户返回认证因子更新成功的确认信息；
第七步，示证用户接收到验证网关的更新确认信息后，将本地同步表中的认证因子更新到安全增强认证因子表中。
在图1所示的本发明的多因子安全增强授权与认证方法中，在安全增强授权步骤102中可以进行这样的操作：在验证网关安全增强授权过程中，赋予示证用户安全域内唯一身份识别码、授权访问安全域的权限、授权防伪签名码等数据作为授权因子。优选地，在图1所示的本发明的多因子安全增强授权与认证方法中，所述安全增强授权步骤102还包括以多环节授权方式生成授权因子，所述多环节授权方式是指，如果在安全域内存在多个授权环节，所有授权环节共享授权因子数据库并生成各自的授权因子，所有授权环节统一将授权因子同步到示证用户。即，验证网关将这些授权因子存储在数据库中，安全域内如果存在多个授权环节，优选所有授权环节共享授权因子数据库，全安全域统一同步授权因子到示证用户，支持多方授权情况下统一授权因子的同步和统一身份认证。优选地，验证网关安全增强授权后将授权因子优选采用“双表七步三确认”同步到示证用户。
在图1所示的本发明的多因子安全增强授权与认证方法中，在安全增强认证码生成步骤103中可以进行这样的操作：验证网关在安全增强认证因子表有更新时，实时生成安全增强认证码，用于示证用户进行安全增强认证；示证用户在每次登录时，根据本地安全增强认证因子表中认证因子实时生成安全增强认证码。另外，优选的是，示证用户和验证网关生成安全增强认证码的算法及采用的参数双方需要保持一致，并要做到有数据压缩效果。算法优选采用哈希算法。而且，在哈希算法中优选使用MD5、SHA等哈希算法。优选地，安全增强认证码的长度短于可信因子和授权因子的总长度。安全增强认证码优选为固定长度。安全增强认证码的长度优选32位、64位、128位、256位、512位、1024位等2的幂次方。
在图1所示的本发明的多因子安全增强授权与认证方法中，在安全认证步骤104中可以进行这样的操作：在认证过程中，传输示证用户的用户名和安全增强认证码，验证网关根据示证用户上传的用户名和安全增强认证码进行身份认证。整个认证过程中，示证用户的可信因子、授权因子都不需要传输。考虑到网络不稳定等情况会导致同步过程中断，验证网关根据示证用户提供的安全增强认证码进行安全认证未通过时，将示证用户同步表中的数据更新到安全增强认证因子表中对应的数据，再次进行认证。认证通过后，如果示证用户的物理可信因子或逻辑可信因子发生了变化，采用“双表五步一确认”的方式进行重新注册；或者示证用户和验证网关的同步表中仍有未完成同步的认证因子，判断当前同步到哪一个环节，继续完成同步工作。优选地，验证网关根据示证用户提供的安全增强认证码进行安全认证的过程中处理认证异常的方式，即示证用户将本地安全增强认证因子表中的多因子按照与验证网关同样的压缩算法生成固定长度的安全增强认证码提交到验证网关进行认证，认证未通过时，将示证用户同步表中的数据剪切更新到安全增强认证因子表中对应的数据，再次进行认证。优选地，示证用户物理可信因子发生变化时要在验证网关上重新注册物理可信因子的方式，即示证用户每次登录时，检测示证用户安全增强认证因子表中存储的物理可信因子和从承载介质上获取的物理可信因子数据的一致性，如果不一致时，则说明实际的物理可信因子发生了变化，先使用现有安全增强认证因子表产生的安全增强认证码进行认证，认证通过后，优选采用“双表五步一确认”的同步方式将变化的物理可信因子重新注册。优选的，在物理可信因子重新注册时要提醒或征得用户的确认。
在图1所示的本发明的多因子安全增强授权与认证方法中，优选地，当安全认证步骤的结果为认证未通过时，在将示证用户的同步表中的数据更新到示证用户的安全增强认证因子表中之后，再次执行安全增强认证码生成步骤和安全认证步骤。
在图1所示的本发明的多因子安全增强授权与认证方法中，优选地，在示证用户首次登录到验证网关之后每次登录验证网关时，示证用户检测示证用户的安全增强认证因子表中存储的物理可信因子和采集到的与示证用户的物理设备相关的物理可信因子是否一致，如果不一致，则示证用户先使用现有安全增强认证因子表执行安全增强认证码生成步骤和安全认证步骤，在安全认证步骤的结果为通过认证之后，再次执行物理注册步骤。
本发明的多因子安全增强授权与认证方法有如下有益效果：1、本发明的多因子安全增强授权与认证方法在认证过程中，只是传输用户名和安全增强认证码，而可信因子、授权因子、安全增强认证码生成算法均不在认证过程中传输，因此增强了可信因子、授权因子的安全性。2、本发明很好地适用于多个可信因子、授权因子组成的多因子认证，通过算法，优选为哈希算法，编码出安全增强认证码使得各个因子相互关联、相互认证，提高安全认证的级别。3、本发明的多因子安全增强授权与认证方法将示证用户注册步骤分为逻辑注册步骤和物理注册步骤两步，要求示证用户的用户设备唯一编码等物理信息由示证用户在物理注册过程中自行采集、自动注册，简化了系统管理的过程，使得系统管理人员不需要采集每个示证用户的物理可信因子。4、本发明的多因子安全增强授权与认证方法优选采用哈希算法编码出固定长度的安全增强认证码，可信因子和验证网关的授权因子的数量、长度不影响安全增强认证码的长度，支持一个安全增强认证码通行整个安全域，有效支持多个验证网关统一验证，支持将多次验证合并简化为一次验证；通过减少认证次数提高了认证速度，并且哈希算法本身有很强的数据压缩效果，通过减少认证时的网络流量提高了认证速度。5、本发明优选所有授权环节共享授权因子数据库，全安全域统一同步授权因子到示证用户，支持多方授权情况下统一授权因子的同步和统一身份认证。6、本发明通过多次交互协商机制完成示证用户注册、验证网关授权因子发布等工作，并采用了示证用户认证不通过后自动将示证用户同步表中的数据更新到示证用户安全增强认证因子表中对应的数据，再次进行认证的手段，这些特征很好支持了各种网络不稳定、授权或认证发生异常等情况下自动纠错，提升了系统的稳定性和适用性，尤其适用于移动通信网络下的授权与认证。8、本发明通过登录检测示证用户的物理可信因子，与示证用户的安全增强认证因子表中的数据进行对比，实时发现物理可信因子的变化，及时将变化的认证因子重新注册到验证网关，提升了多因子认证的灵活性和适用性。
以下结合应用实施例对本发明的上述技术方案进行详细说明：
实施例应用场景为：手机(示证用户)通过移动通信网络APN安全接入政府内部网络(安全域)的安全接入认证。本实施例中负责实现手机通过移动通信网络APN安全接入政府内部网络的客户端软件为示证用户；负责对示证用户进行接入认证及接入管理的后台系统为验证网关。
本实施例中示证用户的可信因子有两部分，一部分是逻辑可信因子，包括姓名、手机号、用户密码、组织机构代码、组织机构名称，其中手机号为用户名，另一部分是物理可信因子，包括手机IMEI号、手机SIM卡号；授权因子包括示证用户的唯一身份识别码、移动IP地址、防伪签名码。
第一步，示证用户在验证网关上注册，具体过程说明如下。图4为本发明的多因子安全增强授权与认证方法的实施例中示证用户在验证网关上进行注册的流程图。
如图4所示，逻辑注册步骤可包括步骤401和402，物理注册步骤可包括步骤403至407。
如图4所示，逻辑注册步骤包括：
401系统管理人员在验证网关上注册示证用户的逻辑可信因子。
系统管理人员在验证网关上登记示证用户的逻辑描述性的逻辑可信因子，包括姓名、手机号、用户密码、组织机构代码、组织机构名称，将其存储在验证网关初始逻辑可信因子数据表中，以下表1为验证网关的初始逻辑可信因子表。在本实施例中，该表中的数据如下：
表2验证网关‐初始逻辑可信因子表
姓名 丁爱民
手机号 13911889771
用户密码 889771
组织机构代码 08052849-6
组织机构名称 北京成众志科技有限公司
402验证网关生成初始安全增强认证码。
逻辑注册完成后，将验证网关初始逻辑可信因子表中的用户密码存储到验证网关的安全增强认证因子表中。以下表2为验证网关的安全增强认证因子表。在该表中，用户密码以外的其他认证因子值全部为空。验证网关的安全增强认证因子表数据如下：
表3验证网关—安全增强认证因子表
序号 数据项 值 数据类型
1 姓名 NULL 逻辑可信因子
2 用户密码 889771 逻辑可信因子
3 组织机构代码 NULL 逻辑可信因子
4 组织机构名称 NULL 逻辑可信因子
5 IMEI号 NULL 物理可信因子
6 SIM卡号 NULL 物理可信因子
7 唯一身份识别码 NULL 授权因子
8 移动IP地址 NULL 授权因子
9 防伪签名码 NULL 授权因子
将验证网关的安全增强认证因子表中的9个认证因子按照表中的序列组合利用哈希算法(本实施例中可采用MD5算法)生成长度固定(本实施例中可采用MD5算法生成32位)的初始安全增强认证码，存储在验证网关的安全增强认证表中。以下表3为验证网关的安全增强认证表。
表4验证网关—安全增强认证表
序号 用户名 安全增强认证码
1 13911889771 a6f46412a49266f4b8fed63aae18f495
接下来，如图4所示，物理注册步骤包括：
403示证用户首次登录。
示证用户首次登录时，输入手机号13911889771和初始用户密码889771，示证用户的安全增强认证因子表中用户密码取用户输入的889771，其他认证因子全部为空。以下表4为示证用户的安全增强认证因子表。
表5示证用户‐安全增强认证因子表
序号 数据项 值 数据类型
1 姓名 NULL 逻辑可信因子
2 用户密码 889771 逻辑可信因子
3 组织机构代码 NULL 逻辑可信因子
4 组织机构名称 NULL 逻辑可信因子
5 IMEI号 NULL 物理可信因子
6 SIM卡号 NULL 物理可信因子
7 唯一身份识别码 NULL 授权因子
8 移动IP地址 NULL 授权因子
9 防伪签名码 NULL 授权因子
将示证用户的安全增强认证因子表中的9个认证因子按照表中的序列组合利用哈希算法(本实施例中可采用MD5算法)生成长度固定(本实施例中可采用MD5算法生成32位)的初始安全增强认证码a6f46412a49266f4b8fed63aae18f495。
404验证网关对示证用户进行初始认证。
示证用户将用户输入的手机号(用户名)13911889771和生成的安全增强认证码a6f46412a49266f4b8fed63aae18f495提交到验证网关，验证网关接收到示证用户传输过来的手机号13911889771、安全增强认证码a6f46412a49266f4b8fed63aae18f495后，与验证网关的安全增强认证表(表3)中现有的数据进行比对，验证网关的安全增强认证表中的手机号(用户名)13911889771所对应的的安全增强认证码也为a6f46412a49266f4b8fed63aae18f495，因此认证通过，政府内部网络链接成功。
405示证用户修改初始密码。
为了增加用户密码的安全性，在网络链接成功后，示证用户主动(或被验证网关强制)修改初始用户密码889771，本实施例中用户将原密码修改为678901，将修改完的新密码存储到示证用户的同步表中。以下表5为示证用户的同步表。
表6示证用户‐同步表
序号 数据项 值 数据类型
1 姓名 NULL 逻辑可信因子
2 用户密码 678901 逻辑可信因子
3 组织机构代码 NULL 逻辑可信因子
4 组织机构名称 NULL 逻辑可信因子
5 IMEI号 NULL 物理可信因子
6 SIM卡号 NULL 物理可信因子
7 唯一身份识别码 NULL 授权因子
8 移动IP地址 NULL 授权因子
9 防伪签名码 NULL 授权因子
406示证用户读取自身的物理可信因子和修改的用户密码，上传到验证网关。
示证用户读取自身的手机IMEI号、SIM卡号以及修改的用户密码同步到验证网关完成物理注册和用户密码修改。
在本实施例中，示证用户和验证网关的可信因子在同步过程中有可能由于3G/4G网络不顺畅导致政府内部网络的连接意外中断，导致未能完成同步，进而导致可信因子在示证用户和验证网关中不一致，最终导致示证用户生成的安全增强认证码与验证网关存储的安全增强认证码不一致。因此，在本发明中，优选采用双表五步一确认的同步方式，通过建立同步表和安全增强认证因子表的方式，记录下来未完成更新和完成更新的认证因子，在遇到认证失败的情况下，将同步表中的认证因子直接更新到安全增强认证因子表中，保持与验证网关安全增强认证因子的一致性后，再次认证。
在本实施例中，示证用户的物理注册和用户密码修改一并采用“双表五步一确认”的同步方式将需要同步的可信因子同步到验证网关，详细过程如下：
406-1示证用户采集本地物理注册信息，手机IMEI号、SIM卡号，存储到示证用户的同步表中。以下表6为示证用户的同步表。
表7示证用户‐同步表
序号 数据项 值 数据类型
1 姓名 NULL 逻辑可信因子
2 用户密码 678901 逻辑可信因子
3 组织机构代码 NULL 逻辑可信因子
4 组织机构名称 NULL 逻辑可信因子
5 IMEI号 355584057979464 物理可信因子
6 SIM卡号 01148052080000031273 物理可信因子
7 唯一身份识别码 NULL 授权因子
8 移动IP地址 NULL 授权因子
9 防伪签名码 NULL 授权因子
406-2示证用户将表6中的用户密码、IMEI号、SIM卡号提交至验证网关。
406-3验证网关将收到的可信因子存储到安全增强认证因子表中。以下表7为验证网关的安全增强认证因子表。
表8验证网关‐安全增强认证因子表
序号 数据项 值 数据类型
1 姓名 NULL 逻辑可信因子
2 用户密码 678901 逻辑可信因子
3 组织机构代码 NULL 逻辑可信因子
4 组织机构名称 NULL 逻辑可信因子
5 IMEI号 355584057979464 物理可信因子
6 SIM卡号 01148052080000031273 物理可信因子
7 唯一身份识别码 NULL 授权因子
8 移动IP地址 NULL 授权因子
9 防伪签名码 NULL 授权因子
406-4验证网关返回给示证用户用户密码、IMEI号、SIM卡号更新成功的确认信息，例如，Password sync succeed、IMEI sync succeed、SIM sync succeed。
406-5示证用户接收到验证网关更新成功的确认信息后，将表6中的用户密码、IMEI号、SIM卡号剪切更新示证用户的安全增强认证因子表中。以下表8为示证用户的安全增强认证因子表。
表9示证用户‐安全增强认证因子表
序号 数据项 值 数据类型
1 姓名 NULL 逻辑可信因子
2 用户密码 678901 逻辑可信因子
3 组织机构代码 NULL 逻辑可信因子
4 组织机构名称 NULL 逻辑可信因子
5 IMEI号 355584057979464 物理可信因子
6 SIM卡号 01148052080000031273 物理可信因子
7 唯一身份识别码 NULL 授权因子
8 移动IP地址 NULL 授权因子
9 防伪签名码 NULL 授权因子
当将表6中的用户密码、IMEI号、SIM卡号剪切更新示证用户的安全增强认证因子表中时，在示证用户的同步表中，用户密码、IMEI号、SIM卡号为空，即代表目前没有需要更新的数据。以下表9为示证用户的同步表。
表10示证用户‐同步表
序号 数据项 值 数据类型
1 姓名 NULL 逻辑可信因子
2 用户密码 NULL 逻辑可信因子
3 组织机构代码 NULL 逻辑可信因子
4 组织机构名称 NULL 逻辑可信因子
5 IMEI号 NULL 物理可信因子
6 SIM卡号 NULL 物理可信因子
7 唯一身份识别码 NULL 授权因子
8 移动IP地址 NULL 授权因子
9 防伪签名码 NULL 授权因子
407示证用户从验证网关数据库中下载逻辑可信因子。
验证网关将逻辑注册过程中登记的姓名“丁爱民”、组织机构代码“08052849-6”、组织机构名称“北京成众志科技有限公司”三个认证因子通过同步的方式下载到示证用户，确保示证用户和验证网关的安全增强认证因子表中存储的逻辑注册可信因子与示证用户的一致。
在本实施例中，在同步过程中有可能由于3G/4G网络不顺畅导致政府内部网络的连接意外中断，导致验证网关和示证用户的授权因子和逻辑可信因子未能完成同步，进而导致可信因子或授权因子在示证用户和验证网关中不一致，最终导致示证用户生成的安全增强认证码与验证网关存储的安全增强认证码不一致，示证用户无法通过验证网关的认证。为解决以上问题，在本发明中，优选采用“双表七步三确认”同步方式，通过建立同步表和安全增强认证因子表的方式，记录下来未完成同步和已经完成同步的认证因子，在遇到认证失败的情况下，将同步表中的认证因子直接更新到安全增强认证因子表中，保持与验证网关安全增强认证因子的一致性后，再次认证。在本实施例中“双表七步三确认”同步方式的过程说明如下：
407-1验证网关从表1中采集姓名、组织机构代码、组织机构名称存储到本地同步表中。以下表10为验证网关的同步表。
表11验证网关‐同步表
序号 数据项 值 数据类型
1 姓名 丁爱民 逻辑可信因子
2 用户密码 NULL 逻辑可信因子
3 组织机构代码 08052849-6 逻辑可信因子
4 组织机构名称 北京成众志科技有限公司 逻辑可信因子
5 IMEI号 NULL 物理可信因子
6 SIM卡号 NULL 物理可信因子
7 唯一身份识别码 NULL 授权因子
8 移动IP地址 NULL 授权因子
9 防伪签名码 NULL 授权因子
407-2验证网关与示证用户第一次确认，验证网关向示证用户发布姓名、组织机构代码、组织机构名称的数据(逻辑可信因子)。
407-3示证用户接收到验证网关发布的姓名、组织机构代码、组织机构名称后，将数据存储到本地的同步表中。以下表11为示证用户的同步表。
表12示证用户‐同步表
序号 数据项 值 数据类型
1 姓名 丁爱民 逻辑可信因子
2 用户密码 NULL 逻辑可信因子
3 组织机构代码 08052849-6 逻辑可信因子
4 组织机构名称 北京成众志科技有限公司 逻辑可信因子
5 IMEI号 NULL 物理可信因子
6 SIM卡号 NULL 物理可信因子
7 唯一身份识别码 NULL 授权因子
8 移动IP地址 NULL 授权因子
9 防伪签名码 NULL 授权因子
407-4示证用户与验证网关第二次确认，示证用户向验证网关返回接收成功的确认信息，例如，Name receive succeed、Organization code receive succeed、Organization namereceive succeed。
407-5验证网关接收到示证用户的确认信息后，将验证网关的同步表中的数据剪切更新到验证网关的安全增强认证因子表中。以下表12为验证网关的安全增强认证因子表。
表13验证网关‐安全增强认证因子表
序号 数据项 值 数据类型
1 姓名 丁爱民 逻辑可信因子
2 用户密码 678901 逻辑可信因子
3 组织机构代码 08052849-6 逻辑可信因子
4 组织机构名称 北京成众志科技有限公司 逻辑可信因子
5 IMEI号 355584057979464 物理可信因子
6 SIM卡号 01148052080000031273 物理可信因子
7 唯一身份识别码 NULL 授权因子
8 移动IP地址 NULL 授权因子
9 防伪签名码 NULL 授权因子
407-6验证网关与示证用户第三次确认，验证网关向示证用户返回姓名、组织机构代码、组织机构名称同步成功的确认信息，例如，Name sync succeed、Organization code syncsucceed、Organization name sync succeed。
407-7示证用户接收到验证网关的同步确认信息后，将本地同步表中的姓名、组织机构代码、组织机构名称数据剪切更新到示证用户的安全增强认证因子表中。以下表13为示证用户的安全增强认证因子表。
表14示证用户‐安全增强认证因子表
序号 数据项 值 数据类型
1 姓名 丁爱民 逻辑可信因子
2 用户密码 678901 逻辑可信因子
3 组织机构代码 08052849-6 逻辑可信因子
4 组织机构名称 北京成众志科技有限公司 逻辑可信因子
5 IMEI号 355584057979464 物理可信因子
6 SIM卡号 01148052080000031273 物理可信因子
7 唯一身份识别码 NULL 授权因子
8 移动IP地址 NULL 授权因子
9 防伪签名码 NULL 授权因子
第二步，验证网关安全增强授权，并与示证用户同步所有的授权因子。具体过程如下。
验证网关对接入的示证用户进行安全增强授权，赋予示证用户授权因子，包括唯一身份识别码、移动IP地址、防伪签名码，其中移动IP地址是授权访问安全域的权限组。完成以上授权后，验证网关向示证用户同步授权因子。
在本实施例中，在同步过程中有可能由于3G/4G网络不顺畅导致政府内部网络的连接意外中断，导致验证网关和示证用户的授权因子和逻辑可信因子未能完成同步，进而导致可信因子或授权因子在示证用户和验证网关中不一致，最终导致示证用户生成的安全增强认证码与验证网关存储的安全增强认证码不一致，示证用户无法通过验证网关的认证。为解决以上问题，发明人在发明过程中，优选采用“双表七步三确认”同步方式，通过建立同步表和安全增强认证因子表的方式，记录下来未完成更新和完成更新的认证因子，在遇到认证失败的情况下，将同步表中的认证因子直接更新到安全增强认证因子表中，保持与验证网关安全增强认证因子的一致性后，再次认证。本实施例中验证网关安全增强授权的“双表七步三确认”同步过程说明如下：
501，验证网关采集唯一身份识别码、移动IP地址、防伪签名码存储到本地同步表中。以下表14为验证网关的同步表。
表15验证网关‐同步表
序号 数据项 值 数据类型
1 姓名 NULL 逻辑可信因子
2 用户密码 NULL 逻辑可信因子
3 组织机构代码 NULL 逻辑可信因子
4 组织机构名称 NULL 逻辑可信因子
5 IMEI号 NULL 物理可信因子
6 SIM卡号 NULL 物理可信因子
7 唯一身份识别码 SLYH20140923 授权因子
8 移动IP地址 192.168.1.210 授权因子
9 防伪签名码 FWQMM 授权因子
502验证网关与示证用户第一次确认，验证网关向示证用户发布表14中的唯一身份识别码、移动IP地址、防伪签名码数据。
503示证用户接收到验证网关发布的唯一身份识别码、移动IP地址、防伪签名码的数据后，将这三个授权因子的值存储到示证用户的同步表对应的数据项中。以下表15为示证用户的同步表。
表16示证用户‐同步表
序号 数据项 值 数据类型
1 姓名 NULL 逻辑可信因子
2 用户密码 NULL 逻辑可信因子
3 组织机构代码 NULL 逻辑可信因子
4 组织机构名称 NULL 逻辑可信因子
5 IMEI号 NULL 物理可信因子
6 SIM卡号 NULL 物理可信因子
7 唯一身份识别码 SLYH20140923 授权因子
8 移动IP地址 192.168.1.210 授权因子
9 防伪签名码 FWQMM 授权因子
504示证用户与验证网关第二次确认，示证用户向验证网关返回三个授权因子接收成功的确认信息，例如，ID receive succeed、IP receive succeed、Securitycode receive succeed。
505验证网关接收到示证用户的确认信息后，将同步表中的唯一身份识别码、移动IP地址、防伪签名码三个值剪切更新到验证网关的安全增强认证因子表中。以下表16为验证网关的安全增强认证因子表。
表17验证网关‐安全增强认证因子表
序号 数据项 值 数据类型
1 姓名 丁爱民 逻辑可信因子
2 用户密码 678901 逻辑可信因子
3 组织机构代码 08052849-6 逻辑可信因子
4 组织机构名称 北京成众志科技有限公司 逻辑可信因子
5 IMEI号 355584057979464 物理可信因子
6 SIM卡号 01148052080000031273 物理可信因子
7 唯一身份识别码 SLYH20140923 授权因子
8 移动IP地址 192.168.1.210 授权因子
9 防伪签名码 FWQMM 授权因子
506验证网关与示证用户第三次确认，验证网关向示证用户返回唯一身份识别码、移动IP地址、防伪签名码同步成功的确认信息，例如，ID sync succeed、IP sync succeed、Securitycode sync succeed。
507示证用户接收到验证网关的同步确认信息后，将本地同步表中的唯一身份识别码、移动IP地址、防伪签名码数据剪切更新到安全增强认证因子表中。以下表17为示证用户的安全增强认证因子表
表18示证用户‐安全增强认证因子表
序号 数据项 值 数据类型
1 姓名 丁爱民 逻辑可信因子
2 用户密码 678901 逻辑可信因子
3 组织机构代码 08052849-6 逻辑可信因子
4 组织机构名称 北京成众志科技有限公司 逻辑可信因子
5 IMEI号 355584057979464 物理可信因子
6 SIM卡号 01148052080000031273 物理可信因子
7 唯一身份识别码 SLYH20140923 授权因子
8 移动IP地址 192.168.1.210 授权因子
9 防伪签名码 FWQMM 授权因子
到此步骤为止，可信因子和授权因子全部完成了在示证用户和验证网关之间的同步，示证用户的安全增强认证因子表表17和验证网关的安全增强认证因子表表16中的数据完全一致。此时，示证用户和验证网关的同步表中的数据均为空。
本发明实施例中示证用户的逻辑注册可信因子的下载和验证网关的授权因子发布分开来阐述说明的，在实际应用场景中，优选的将逻辑注册可信因子和授权因子的同步一并完成。
本发明实施例中，优选在授权因子和可信因子同步完成后，断开初始连接。
第三步，验证网关和示证用户根据可信因子和授权因子，按照相同算法生成安全增强认证码。在本实施例中，具体过程如下。
验证网关将验证网关的安全增强认证因子表表16中的9个认证因子按照表中的序列组合利用MD5生成长度为32位的安全增强认证码，更新存储在验证网关的安全增强认证表中。以下表18为验证网关的安全增强认证表。
表19验证网关—安全增强认证表
序号 用户名 安全增强认证码
1 13911889771 dfa2fb6feb5b6a82d2c5af018bdd7a6f
示证用户登录时，输入手机号13911889771和用户密码678901，自动获取本地(示证用户)物理可信因子IMEI号、SIM卡号，与本地安全增强认证因子表中的用户密码、IMEI号、SIM卡号进行比对，如果一致，将安全增强认证因子表表17中的9个认证因子按照表中的序列组合利用MD5生成长度为32位的安全增强认证码dfa2fb6feb5b6a82d2c5af018bdd7a6f；如果其中任意一个不一样，优选按照以下方式处理：
1、用户密码不一致，提醒示证用户用户密码输入错误，请重新输入；输入正确后，示证用户使用本地安全增强认证因子表中的9个认证因子按照表中的序列组合利用MD5生成长度为32位的安全增强认证码dfa2fb6feb5b6a82d2c5af018bdd7a6f；
2、手机SIM卡号不一致，如果是用户在手机号不变的情况下更换了SIM卡或安全增强认证因子表中SIM卡号为空，那么先利用安全增强认证因子表中的数据生成安全增强认证码，在认证通过后将新的SIM卡号采用“双表五步一确认”的同步方式同步到验证网关；如果用户SIM卡没有被更换，那么有可能是本地存储的安全增强认证因子表中的SIM卡号被篡改了，那么修正示证用户的安全增强认证因子表中的SIM卡号，生成安全增强认证码；
3、IMEI号不一致，如果安全增强认证因子表中的IMEI号不为空，有可能是本地安全增强认证因子表中的IMEI号被篡改，示证用户自动将获取到的最新IMEI号更新到安全增强认证因子表中；如果安全增强认证因子表中的IMEI号为空，示证用户使用本地安全增强认证因子表中存储的9个认证因子按照表中的序列组合利用MD5生成长度为32位的安全增强认证码。
第四步，验证网关根据示证用户提供的安全增强认证码进行安全增强认证。具体过程如下。
验证网关根据示证用户提供的手机号和安全增强认证码进行安全增强认证，认证通过，政府内部网络连接成功，如果示证用户或验证网关有未完成的同步数据，继续完成数据同步工作。
如果认证未通过，示证用户将本地同步表中的数据剪切更新到安全增强认证因子表中，重新采用MD5算法生成长度为32位的安全增强认证码进行认证。
例如，在本实施例第二步，在步骤505完成后，示证用户与验证网关网络异常断开，这时验证网关的安全增强认证因子表已经全部完成同步，并会在本地继续完成第三步生成安全增强认证码dfa2fb6feb5b6a82d2c5af018bdd7a6f；断网后，示证用户重新登录。
图6为在图5所示的本发明的多因子安全增强授权与认证方法中的对授权因子进行“双表七步三确认”同步处理过程中的步骤505之后出现网络异常断开情况时的处理过程的流程图。
如图6所示，详细过程说明如下：
601示证用户输入手机号13911889771、用户密码678901；
602示证用户比对安全增强认证因子表中用户密码与输入的用户密码：
表13中的用户密码与示证用户输入的用户密码一致；
603示证用户自动获取手机上的IMEI号和SIM卡号；
604与示证用户的安全增强认证因子表表13中的IMEI号和SIM卡号对比；
比对结果发现自动获取的和安全增强认证表中存储的IMEI号和SIM卡号一致；
605示证用户生成安全增强认证码；
将表13中的9个认证因子利用MD5生成长度为32位的安全增强认证码d5ffdbfd970058a88d4d45ba44807f9b；
606示证用户到验证网关认证失败：
示证用户传输安全增强认证码d5ffdbfd970058a88d4d45ba44807f9b到验证网关认证，发现验证网关安全增强认证表中手机号为13911889771的安全增强认证码为a6f46412a49266f4b8fed63aae18f495，与示证用户传输过来的安全增强认证码不一致，因此，验证网关返回给示证用户认证未通过的结果；
607示证用户更新本地安全增强认证因子表：
示证用户接收到认证未通过的信息后，将本地同步表表15中的唯一身份识别码、移动IP地址、防伪签名码剪切更新到安全增强认证因子表中。以下为示证用户的安全增强认证因子表。
表20示证用户‐安全增强认证因子表
序号 数据项 值 数据类型
1 姓名 丁爱民 逻辑可信因子
2 用户密码 678901 逻辑可信因子
3 组织机构代码 08052849-6 逻辑可信因子
4 组织机构名称 北京成众志科技有限公司 逻辑可信因子
5 IMEI号 355584057979464 物理可信因子
6 SIM卡号 01148052080000031273 物理可信因子
7 唯一身份识别码 SLYH20140923 授权因子
8 移动IP地址 192.168.1.210 授权因子
9 防伪签名码 FWQMM 授权因子
608示证用户用表19中的9个安全增强认证因子重新生成安全增强认证码a6f46412a49266f4b8fed63aae18f495；
609示证用户二次认证成功：
示证用户再次将生成的安全增强认证码传输到验证网关进行认证，示证用户和验证网关的安全增强认证码一致，认证通过。
本发明的实施例的技术方案带来如下的有益效果：
1、本发明的实施例在认证过程中，用户只知道示证用户的用户名和用户密码，而真正参与认证的安全增强认证码，用户是不知道的，这增加了安全域(例如，政府内部网络)接入的安全性。
2、本发明的实施例在认证过程中，只是传输用户名和安全增强授权码，可信因子、授权因子、安全增强认证码生成算法均不在认证过程中传输，增强了可信因子、授权因子的安全性。
3、本发明的实施例在认证过程中，对手机IMEI号、手机SIM卡号进行了验证，一旦示证用户的手机设备号、手机SIM卡被盗用或丢失，通过设置重新绑定的人工确认机制，示证用户将无法通过认证，增加了政府内部网络接入的安全性。
4、因此本发明的实施例采用固定长度的哈希算法编码出32位的安全增强认证码，可信因子和验证网关的授权因子的数量、长度不影响认证码的长度，解决了目前AAA服务器在认证过程中对密码长度的限制，将多次验证合并简化为一次验证，通过减少认证次数提高了认证速度。
5、本发明的实施例优选采用固定长度的MD5编码出安全增强认证码，本身有很强的数据压缩效果，通过减少认证时的网络流量提高了认证速度。
6、本发明的实施例将示证用户注册分为逻辑注册和物理注册两步，要求示证用户的手机IMEI号、SIM卡序列号由示证用户在物理注册过程中自行采集、自动注册，简化了系统管理的过程，使得系统管理人员不需要采集每个示证用户的物理可信因子。
7、本发明的实施例很好地适用于多个可信因子、授权因子组成的多因子认证，优选采用固定长度的哈希算法编码出安全增强授权码使得各个因子相互关联、相互认证，提高安全认证的级别。
8、本发明的实施例能很好支持大规模不同来源的示证用户标准化授权与认证。本发明的实施例生成安全增强认证码的算法及对应参数在示证用户和验证网关上保持一致，可采用不可逆的标准化数字签名算法，直接支持了示证用户的身份认证程序接口标准化。
9、本发明的实施例支持自动纠错，具体措施包括：示证用户同步物理可信因子采用的双表五步一确认的同步方式；验证网关同步授权因子和逻辑可信因子到示证用户时采用的“双表七步三确认”同步方式；示证用户认证不通过后自动将示证用户同步表中的数据更新到安全增强认证因子表中对应的数据，再次进行认证。这些特征很好支持了各种网络不稳定，注册、授权、变更等同步过程发生异常等情况下自动纠错，提升了系统的稳定性和适用性，尤其适用于移动通信网络下的授权与认证。
10、本发明的实施例优选采用固定长度的哈希算法编码出安全增强授权码，可信因子和验证网关的授权因子的数量、长度不影响授权码的长度，支持一个安全增强认证码通行整个安全域，有效支持多个验证网关统一验证，支持将多次验证合并
简化为一次验证；通过减少认证次数提高了认证速度。
本领域技术人员可以理解，本发明的上述实施例中限定的“可信因子”、“授权因子”和“认证因子”不限于各个表中所列出的项，而是可以包括与认证用户相关的各种要素，只要能够实现本发明的多因子安全增强授权与认证方法即可。
本领域技术人员还可以理解，手机作为示证用户仅仅是示例，示证用户可以包括计算机、移动终端、数据卡等任何有线或无线电子装置。本领域技术人员还可以理解，政府内部网络也仅仅是安全域的一个示例，任何需要对示证用户的访问进行限制的有线或无线网络(包括但不限于政府网络、民用网络、军用网络、工业网络、金融网络、商用网络、教育网络)都可以是安全域，只要可以应用本发明的多因子安全增强授权与认证方法即可。
本领域技术人员还可以了解到本发明实施例列出的各种说明性逻辑块(illustrativelogical block)，单元，和步骤可以通过电子硬件、电脑软件，或两者的结合进行实现。为清楚展示硬件和软件的可替换性(interchangeability)，上述的各种说明性部件(illustrativecomponents)，单元和步骤已经通用地描述了它们的功能。这样的功能是通过硬件还是软件来实现取决于特定的应用和整个系统的设计要求。本领域技术人员可以对于每种特定的应用，可以使用各种方法实现所述的功能，但这种实现不应被理解为超出本发明实施例保护的范围。
本发明实施例中所描述的各种说明性的逻辑块，或单元都可以通过通用处理器，数字信号处理器，专用集成电路(ASIC)，现场可编程门阵列或其它可编程逻辑装置，离散门或晶体管逻辑，离散硬件部件，或上述任何组合的设计来实现或操作所描述的功能。通用处理器可以为微处理器，可选地，该通用处理器也可以为任何传统的处理器、控制器、微控制器或状态机。处理器也可以通过计算装置的组合来实现，例如数字信号处理器和微处理器，多个微处理器，一个或多个微处理器联合一个数字信号处理器核，或任何其它类似的配置来实现。
本发明实施例中所描述的方法或算法的步骤可以直接嵌入硬件、处理器执行的软件模块、或者这两者的结合。软件模块可以存储于RAM存储器、闪存、ROM存储器、EPROM存储器、EEPROM存储器、寄存器、硬盘、可移动磁盘、CD-ROM或本领域中其它任意形式的存储媒介中。示例性地，存储媒介可以与处理器连接，以使得处理器可以从存储媒介中读取信息，并可以向存储媒介存写信息。可选地，存储媒介还可以集成到处理器中。处理器和存储媒介可以设置于ASIC中，ASIC可以设置于用户终端中。可选地，处理器和存储媒介也可以设置于用户终端中的不同的部件中。
在一个或多个示例性的设计中，本发明实施例所描述的上述功能可以在硬件、软件、固件或这三者的任意组合来实现。如果在软件中实现，这些功能可以存储与电脑可读的媒介上，或以一个或多个指令或代码形式传输于电脑可读的媒介上。电脑可读媒介包括电脑存储媒介和便于使得让电脑程序从一个地方转移到其它地方的通信媒介。存储媒介可以是任何通用或特殊电脑可以接入访问的可用媒体。例如，这样的电脑可读媒体可以包括但不限于RAM、ROM、EEPROM、CD-ROM或其它光盘存储、磁盘存储或其它磁性存储装置，或其它任何可以用于承载或存储以指令或数据结构和其它可被通用或特殊电脑、或通用或特殊处理器读取形式的程序代码的媒介。此外，任何连接都可以被适当地定义为电脑可读媒介，例如，如果软件是从一个网站站点、服务器或其它远程资源通过一个同轴电缆、光纤电缆、双绞线、数字用户线(DSL)或以例如红外、无线和微波等无线方式传输的也被包含在所定义的电脑可读媒介中。所述的碟片(disk)和磁盘(disc)包括压缩磁盘、镭射盘、光盘、DVD、软盘和蓝光光盘，磁盘通常以磁性复制数据，而碟片通常以激光进行光学复制数据。上述的组合也可以包含在电脑可读媒介中。
以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种多因子安全增强授权与认证方法，用于安全域的示证用户认证过程，所述安全域包括验证网关，该多因子安全增强授权与认证方法的特征在于，包括：
注册步骤，在该步骤中，通过在验证网关上存储与示证用户相关的可信因子来完成示证用户在验证网关上的注册，并且在验证网关与示证用户之间同步可信因子，验证网关将同步成功的可信因子存储为认证因子，并且注册用户将同步成功的可信因子也存储为认证因子；
安全增强授权步骤，在该步骤中，验证网关在安全域内采集与完成了注册步骤的示证用户关联的一个或多个授权因子，并且与示证用户同步全部授权因子，验证网关将同步成功的全部授权因子存储为认证因子，并且示证用户将同步成功的全部授权因子存储为认证因子；
安全增强认证码生成步骤，在该步骤中，验证网关和示证用户分别根据各自存储的认证因子按照相同算法生成安全增强认证码；以及
安全认证步骤，在该步骤中，验证网关验证自身生成的安全增强认证码与示证用户提供的安全增强认证码是否匹配，以对示证用户进行安全认证。
2.如权利要求1所述的多因子安全增强授权与认证方法，其特征在于，所述注册步骤包括：
逻辑注册步骤，在该步骤中，以在验证网关的数据库中存储与示证用户相关的逻辑可信因子，所述逻辑可信因子是与示证用户相关联的可信因子并且不描述示证用户的物理设备信息，仅仅完成逻辑注册的示证用户不允许访问安全域内除验证网关之外的其他任何设备；以及
物理注册步骤，在逻辑注册步骤完成后，验证网关授权示证用户登录到验证网关进行物理注册步骤，在物理注册步骤中，示证用户在首次登录到验证网关后，以在线方式将采集到的与示证用户的物理设备相关的物理可信因子上传到验证网关的数据库，所述物理可信因子是描述示证用户的物理设备信息的可信因子，并且在验证网关与示证用户之间同步逻辑可信因子和物理可信因子，验证网关将同步成功的逻辑可信因子和物理可信因子存储为认证因子，并且注册用户将同步成功的逻辑可信因子和物理可信因子也存储为认证因子。
3.如权利要求2所述的多因子安全增强授权与认证方法，其特征在于，示证用户具有数据库，在该数据库中建立同步表和安全增强认证因子表，并且验证网关具有数据库，在该数据库中建立同步表和安全增强认证因子表，其中，示证用户的同步表和验证网关的同步表均用于存储未在示证用户和验证网关之间完成同步的可信因子和授权因子，示证用户的安全增强认证因子表和验证网关的安全增强认证因子表均用于将已经在示证用户和验证网关之间完成同步的可信因子和授权因子存储为认证因子，
其中，所述物理注册步骤包括：
示证用户采集与示证用户的物理设备相关的物理可信因子并存储到示证用户的同步表；
示证用户将示证用户的同步表中的物理可信因子提交到验证网关；
验证网关在接收到示证用户提交的物理可信因子后，将接收到的物理可信因子在验证网关的安全增强认证因子表中存储为认证因子；
验证网关将认证因子成功接收的确认信息返回给示证用户；以及
示证用户接收到验证网关发来的确认信息后，将示证用户的同步表中的物理可信因子从该同步表中更新到示证用户的安全增强认证因子表中作为认证因子。
4.如权利要求3所述的多因子安全增强授权与认证方法，其特征在于，在将示证用户的同步表中的物理可信因子从该同步表中更新到示证用户的安全增强认证因子表中作为认证因子之后，所述物理注册步骤还包括：
验证网关采集需要与示证用户同步的与示证用户相关的逻辑可信因子，将所述逻辑可信因子存储到验证网关的同步表；
验证网关向示证用户发送验证网关的同步表中存储的逻辑可信因子；
示证用户在接收到验证网关发送的逻辑可信因子后，将接收到的逻辑可信因子存储到示证用户的同步表中；
示证用户向验证网关返回逻辑可信因子接收成功的确认信息；
验证网关在接收到示证用户返回的逻辑可信因子接收成功的确认信息后，将验证网关的同步表中的逻辑可信因子更新到验证网关的安全增强认证因子表中；
验证网关向示证用户返回在安全增强认证因子表中成功更新逻辑可信因子的确认信息；以及
示证用户在接收到验证网关返回的在安全增强认证因子表中成功更新逻辑可信因子的确认信息后，将示证用户的同步表中的认证因子更新到示证用户的安全增强认证因子表中。
5.如权利要求4所述的多因子安全增强授权与认证方法，其特征在于，所述安全增强授权步骤还包括：
验证网关在安全域内采集与完成了注册步骤的示证用户关联的一个或多个授权因子，将所述授权因子存储到验证网关的同步表；
验证网关向示证用户发送验证网关的同步表中存储的授权因子；
示证用户在接收到验证网关发送的授权因子后，将接收到的授权因子存储到示证用户的同步表中；
示证用户向验证网关返回授权因子接收成功的确认信息；
验证网关在接收到示证用户返回的授权因子接收成功的确认信息后，将验证网关的同步表中的授权因子更新到验证网关的安全增强认证因子表中；
验证网关向示证用户返回在安全增强认证因子表中成功更新授权因子的确认信息；以及
示证用户在接收到验证网关返回的在安全增强认证因子表中成功更新授权因子的确认信息后，将示证用户的同步表中的认证因子更新到示证用户的安全增强认证因子表中。
6.如权利要求5所述的多因子安全增强授权与认证方法，其特征在于，所述安全增强授权步骤还包括以多环节授权方式生成授权因子，所述多环节授权方式是指，如果在安全域内存在多个授权环节，所有授权环节共享授权因子数据库并生成各自的授权因子，所有授权环节统一将授权因子同步到示证用户。
7.如权利要求3所述的多因子安全增强授权与认证方法，其特征在于，当安全认证步骤的结果为认证未通过时，将示证用户的同步表中的数据更新到示证用户的安全增强认证因子表中之后，再次执行安全增强认证码生成步骤和安全认证步骤。
8.如权利要求3所述的多因子安全增强授权与认证方法，其特征在于，在示证用户首次登录到验证网关之后每次登录验证网关时，示证用户检测示证用户的安全增强认证因子表中存储的物理可信因子和采集到的与示证用户的物理设备相关的物理可信因子是否一致，如果不一致，则示证用户先使用现有安全增强认证因子表执行安全增强认证码生成步骤和安全认证步骤，在安全认证步骤的结果为通过认证之后，再次执行物理注册步骤。
9.如权利要求1所述的多因子安全增强授权与认证方法，其特征在于，所述算法为哈希算法。
10.如权利要求1所述的多因子安全增强授权与认证方法，其特征在于，安全增强认证码的长度短于可信因子和授权因子的总长度。
CN201410593550.9A 2014-10-29 2014-10-29 多因子安全增强授权与认证方法 Active CN104363207B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201410593550.9A CN104363207B (zh) 2014-10-29 2014-10-29 多因子安全增强授权与认证方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201410593550.9A CN104363207B (zh) 2014-10-29 2014-10-29 多因子安全增强授权与认证方法

Publications (2)

Publication Number Publication Date
CN104363207A true CN104363207A (zh) 2015-02-18
CN104363207B CN104363207B (zh) 2017-07-11

Family

ID=52530433

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201410593550.9A Active CN104363207B (zh) 2014-10-29 2014-10-29 多因子安全增强授权与认证方法

Country Status (1)

Country Link
CN (1) CN104363207B (zh)

Cited By (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104601602A (zh) * 2015-02-26 2015-05-06 北京成众志科技有限公司 一种终端设备网络安全增强接入与认证方法
CN104703183A (zh) * 2015-03-05 2015-06-10 北京成众志科技有限公司 一种专线apn安全增强接入方法与装置
CN106549976A (zh) * 2016-12-09 2017-03-29 中南大学 一种适用于透明计算系统的用户身份认证方法及系统配置方法
CN106899563A (zh) * 2016-06-29 2017-06-27 阿里巴巴集团控股有限公司 鉴权方法及装置、鉴权码生成方法及装置、鉴权系统
CN110188579A (zh) * 2019-05-29 2019-08-30 成都卫士通信息产业股份有限公司 一种端口安全防护设备及端口安全防护系统
CN110737983A (zh) * 2019-10-11 2020-01-31 上海元城汽车技术有限公司 交通工具的功能试验方法、装置、设备及存储介质
CN111010279A (zh) * 2019-11-29 2020-04-14 中国人民解放军国防科技大学 一种基于零知识证明的远程多因子认证协议
JP2020515126A (ja) * 2017-11-03 2020-05-21 ホアウェイ・テクノロジーズ・カンパニー・リミテッド モノのインターネット通信方法、モノのインターネット装置、及びモノのインターネットシステム
CN111695910A (zh) * 2020-06-12 2020-09-22 中国银行股份有限公司 一种安全认证的方法、装置、存储介质及电子设备
CN112738043A (zh) * 2020-12-22 2021-04-30 北京八分量信息科技有限公司 大数据系统中对用户身份进行合法性认证的方法、系统及相关产品
CN114095227A (zh) * 2021-11-15 2022-02-25 许昌许继软件技术有限公司 一种数据通信网关可信认证方法、系统及电子设备
CN114501442A (zh) * 2021-12-07 2022-05-13 珠海格力电器股份有限公司 报文篡改检测方法、辅助方法、装置、介质和终端
CN114697091A (zh) * 2022-03-18 2022-07-01 江苏林洋能源股份有限公司 一种支持授信通信管理多层级探针的方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101207483A (zh) * 2006-12-20 2008-06-25 吴琛 一种双向双因子认证方法
CN102088353A (zh) * 2011-03-11 2011-06-08 道里云信息技术(北京)有限公司 基于移动终端的双因子认证方法及系统
CN102780674A (zh) * 2011-05-09 2012-11-14 同方股份有限公司 一种具有多因素认证方法的网络业务处理方法及系统
US20130282589A1 (en) * 2012-04-20 2013-10-24 Conductiv Software, Inc. Multi-factor mobile transaction authentication
CN103840938A (zh) * 2012-11-27 2014-06-04 镇江精英软件科技有限公司 用户名密码加校验码两者集合认证来验证用户信息的方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101207483A (zh) * 2006-12-20 2008-06-25 吴琛 一种双向双因子认证方法
CN102088353A (zh) * 2011-03-11 2011-06-08 道里云信息技术(北京)有限公司 基于移动终端的双因子认证方法及系统
CN102780674A (zh) * 2011-05-09 2012-11-14 同方股份有限公司 一种具有多因素认证方法的网络业务处理方法及系统
US20130282589A1 (en) * 2012-04-20 2013-10-24 Conductiv Software, Inc. Multi-factor mobile transaction authentication
CN103840938A (zh) * 2012-11-27 2014-06-04 镇江精英软件科技有限公司 用户名密码加校验码两者集合认证来验证用户信息的方法

Cited By (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104601602B (zh) * 2015-02-26 2017-08-25 北京成众志科技有限公司 一种终端设备网络安全增强接入与认证方法
CN104601602A (zh) * 2015-02-26 2015-05-06 北京成众志科技有限公司 一种终端设备网络安全增强接入与认证方法
CN104703183A (zh) * 2015-03-05 2015-06-10 北京成众志科技有限公司 一种专线apn安全增强接入方法与装置
CN106899563A (zh) * 2016-06-29 2017-06-27 阿里巴巴集团控股有限公司 鉴权方法及装置、鉴权码生成方法及装置、鉴权系统
CN106549976A (zh) * 2016-12-09 2017-03-29 中南大学 一种适用于透明计算系统的用户身份认证方法及系统配置方法
CN106549976B (zh) * 2016-12-09 2019-11-12 中南大学 一种适用于透明计算系统的用户身份认证方法及系统配置方法
US11729615B2 (en) 2017-11-03 2023-08-15 Huawei Cloud Computing Technologies Co., Ltd. Internet of things communication method, apparatus, and system
JP2020515126A (ja) * 2017-11-03 2020-05-21 ホアウェイ・テクノロジーズ・カンパニー・リミテッド モノのインターネット通信方法、モノのインターネット装置、及びモノのインターネットシステム
CN110188579A (zh) * 2019-05-29 2019-08-30 成都卫士通信息产业股份有限公司 一种端口安全防护设备及端口安全防护系统
CN110737983A (zh) * 2019-10-11 2020-01-31 上海元城汽车技术有限公司 交通工具的功能试验方法、装置、设备及存储介质
CN111010279A (zh) * 2019-11-29 2020-04-14 中国人民解放军国防科技大学 一种基于零知识证明的远程多因子认证协议
CN111695910A (zh) * 2020-06-12 2020-09-22 中国银行股份有限公司 一种安全认证的方法、装置、存储介质及电子设备
CN111695910B (zh) * 2020-06-12 2023-11-21 中国银行股份有限公司 一种安全认证的方法、装置、存储介质及电子设备
CN112738043B (zh) * 2020-12-22 2023-06-27 北京八分量信息科技有限公司 大数据系统中对用户身份进行合法性认证的方法、系统及相关产品
CN112738043A (zh) * 2020-12-22 2021-04-30 北京八分量信息科技有限公司 大数据系统中对用户身份进行合法性认证的方法、系统及相关产品
CN114095227A (zh) * 2021-11-15 2022-02-25 许昌许继软件技术有限公司 一种数据通信网关可信认证方法、系统及电子设备
CN114501442A (zh) * 2021-12-07 2022-05-13 珠海格力电器股份有限公司 报文篡改检测方法、辅助方法、装置、介质和终端
CN114501442B (zh) * 2021-12-07 2023-11-03 珠海格力电器股份有限公司 报文篡改检测方法、辅助方法、装置、介质和终端
CN114697091A (zh) * 2022-03-18 2022-07-01 江苏林洋能源股份有限公司 一种支持授信通信管理多层级探针的方法
CN114697091B (zh) * 2022-03-18 2024-03-12 江苏林洋能源股份有限公司 一种支持授信通信管理多层级探针的方法

Also Published As

Publication number Publication date
CN104363207B (zh) 2017-07-11

Similar Documents

Publication Publication Date Title
CN104363207A (zh) 多因子安全增强授权与认证方法
US10924466B2 (en) System and method for IOT security
CN109190410B (zh) 一种云存储环境下的基于区块链的日志行为审计方法
CN110291757B (zh) 用于提供简化帐户注册服务、用户认证服务的方法及利用其的认证服务器
US10637646B2 (en) Verifying an identity based on multiple distributed data sources using a blockchain to safeguard the identity
EP3694175B1 (en) System and method for delegating authority through coupled devices
CN109447645B (zh) 一种设备联动方法、区块链网络及存储介质
CN110177124B (zh) 基于区块链的身份认证方法及相关设备
CN101841525A (zh) 安全接入方法、系统及客户端
CN109388937B (zh) 一种多因子身份认证的单点登录方法及登录系统
CN104539634A (zh) 一种移动应用安全增强授权与认证的方法
CN109861968A (zh) 资源访问控制方法、装置、计算机设备及存储介质
CN103560889A (zh) 一种x509数字证书与证书应用之间的精确化身份认证方法
CN111818088A (zh) 授权模式管理方法、装置、计算机设备及可读存储介质
CN104601602A (zh) 一种终端设备网络安全增强接入与认证方法
CN106790138A (zh) 一种政务云应用用户登录双因子验证的方法
CN114021103A (zh) 基于身份认证的单点登录方法、装置、终端及存储介质
CN104703183A (zh) 一种专线apn安全增强接入方法与装置
CN109241712B (zh) 一种用于访问文件系统的方法和装置
CN112468497B (zh) 区块链的终端设备授权认证方法、装置、设备及存储介质
CN105610855A (zh) 一种跨域系统登录验证的方法和装置
KR101458820B1 (ko) 공공 클라우드 환경에서의 안전한 데이터 관리 시스템 및 기법
CN111488449A (zh) 一种基于许可区块链的学生在校信息存证方法
CN109413200A (zh) 一种资源导入的方法、客户端、mes及电子设备
KR102332004B1 (ko) 블록체인 네트워크에서 계정을 관리하는 방법, 시스템 및 비일시성의 컴퓨터 판독 가능 기록 매체

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant