CN104639321A - 一种身份认证方法、设备及系统 - Google Patents

Abstract

本发明公开了一种身份认证方法、设备及系统，该方法包括：接收用户设备发送的注册请求消息；将所述注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合，并将所述用户身份标识信息集合进行分布式存储；当接收到所述用户设备发送的登录请求消息时，根据所述登录请求消息中携带的用户标识信息查询对应的用户身份标识信息集合；比较查询到的用户身份标识信息集合和所述登录请求消息中携带的用户登录信息集合，并判断所述查询到的用户身份标识信息集合和所述用户登录信息集合中相同的元素的数量是否超过阈值；若判断结果为是，则确定身份认证通过；否则，确定身份认证不通过。在本发明中，提高了身份认证的安全性和可靠性。

Description

一种身份认证方法、设备及系统

技术领域

本发明涉及通信技术领域，尤其涉及一种身份认证方法、设备及系统。

背景技术

随着计算机和互联网的迅速发展，新技术和新业务不断地产生、演变、推动，给各行业用户和个人用户带来很大的便利和改变。云计算这个新技术已成为了目前信息领域的热点，具有宽带互联、资源池共享、弹性配置、按需服务、按服务收费等特点和优势。但是，在开放的云计算环境下提供服务和资源共享的同时，如何保证云计算中系统资源和用户数据的机密性、完整性、可用性是一个重要的问题，而身份认证则是实现此目的的前提保证。因此，为抵抗攻击者和非法用户的恶意攻击和入侵，云计算环境中的身份认证成为云计算安全的核心需求。

发明内容

本发明提供了一种身份认证方法、设备及系统，用以提高身份认证的安全性和可靠性。

为了达到以上目的，本发明实施例提供了一种身份认证方法，包括：

接收用户设备发送的注册请求消息；

将所述注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合，并将所述用户身份标识信息集合进行分布式存储；

当接收到所述用户设备发送的登录请求消息时，根据所述登录请求消息中携带的用户标识信息查询对应的用户身份标识信息集合；

比较查询到的用户身份标识信息集合和所述登录请求消息中携带的用户登录信息集合，并判断所述查询到的用户身份标识信息集合和所述用户登录信息集合中相同的元素的数量是否超过阈值；

若判断结果为是，则确定身份认证通过；否则，确定身份认证不通过。

本发明实施例还提供一种身份认证设备，其特征在于，包括：

注册模块，用于接收用户设备的注册请求消息；

转换模块，用于将所述注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合；

存储模块，用于将所述用户身份标识信息集合进行分布式存储；

登录模块，用于接收用户设备的登录请求消息；

检测模块，用于根据所述登录请求消息中携带的用户标识信息查询对应的用户身份标识信息集合，比较查询到的用户身份标识信息集合和所述登录请求消息中携带的用户登录信息集合，并判断所述查询到的用户身份标识信息集合和所述用户登录信息集合中相同的元素的数量是否超过阈值；

认证模块，用于当所述检测模块的判断结果为是时，确定身份认证通过；当所述检测模块的判断结果为否时，确定身份认证不通过。

本发明实施例还提供一种身份认证系统，包括：用户设备和身份认证设备；其中：

所述用户设备，用于向所述身份认证设备发送注册请求消息；向所述身份认证设备发送登录请求消息；

所述身份认证设备，用于接收用户设备发送的注册请求消息；将所述注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合，并将所述用户身份标识信息集合进行分布式存储；将所述注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合，并将所述用户身份标识信息集合进行分布式存储；比较查询到的用户身份标识信息集合和所述登录请求消息中携带的用户登录信息集合，并判断所述查询到的用户身份标识信息集合和所述用户登录信息集合中相同的元素的数量是否超过阈值；若判断结果为是，则确定身份认证通过；否则，确定身份认证不通过。

本发明上述实施例中，接收到用户设备发送的注册请求消息时，将该注册请求消息中携带的用户标识信息转换为对应的用户标识信息集合，并将该用户标识信息集合进行分布式存储；当接收到该用户设备发送的登录请求消息时，根据该登录请求消息中携带的用户标识信息查询对应的用户身份标识信息集合，并比较查询到的用户身份标识信息集合和登录请求消息中携带的用户登录信息集合，判断查询到的用户身份标识信息集合和用户登录信息集合中相同的元素的数量是否超过阈值；若判断结果为是，则确定身份认证通过；否则，确定身份认证不通过，提高了身份认证的安全性和可靠性。

附图说明

图1为本发明实施例提供的一种身份认证方法的流程示意图；

图2为本发明实施例提供的一种具体应用场景的系统架构图；

图3为本发明实施例提供的一种身份认证方法的流程示意图；

图4为本发明实施例提供的一种身份转换与分布式存储的方法流程示意图；

图5为本发明实施例提供的一种分布式检测与认证识别的方法流程示意图；

图6为本发明实施例提供的一种身份认证设备的结构示意图；

图7为本发明实施例提供的一种身份认证系统的结构示意图。

具体实施方式

针对上述现有技术中存在的问题，本发明实施例提供了一种身份认证的技术方案。在该技术方案中，接收到用户设备发送的注册请求消息时，将该注册请求消息中携带的用户标识信息转换为对应的用户标识信息集合，并将该用户标识信息集合进行分布式存储；当接收到该用户设备发送的登录请求消息时，根据该登录请求消息中携带的用户标识信息查询对应的用户身份标识信息集合，并比较查询到的用户身份标识信息集合和登录请求消息中携带的用户登录信息集合，判断查询到的用户身份标识信息集合和用户登录信息集合中相同的元素的数量是否超过阈值；若判断结果为是，则确定身份认证通过；否则，确定身份认证不通过，提高了身份认证的安全性和可靠性。

下面将结合本申请中的附图，对本申请中的技术方案进行清楚、完整的描述，显然，所描述的实施例是本申请的一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本申请保护的范围。

如图1所示，为本发明实施例提供的一种身份认证方法的流程示意图，可以包括以下步骤：

步骤101、接收用户设备发送的注册请求消息。

具体的，当用户需要进行注册时，用户可以通过用户设备发送注册请求消息，该注册请求消息中携带有用户标识信息。

步骤102、将该注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合，并将该用户身份标识信息集合进行分布式存储。

具体的，在本发明实施例中，接收到用户设备的注册请求消息时，需要将该注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合。例如，可以对该注册请求消息中携带的用户标识信息进行负逻辑转换，以获得该用户标识信息对应的用户身份标识信息集合。其中，用户身份标识信息集合中元素的数量至少为两个。

将注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合后，可以将该用户身份标识信息集合中的各元素进行分布式存储。例如，假设用户身份标识信息集合中共包括3个元素：S1、S2、S3，则可以分别将S1、S2、S3分别存储于存储区域1、存储区域2、存储区域3。

需要注意的是，在本发明实施例中，将注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合，并不限于进行负逻辑转换，也可以通过其他方式实现，基于本发明实施例提供的技术方案，本领域技术人员在不付出创造性劳动的前提下，想到的其他将用户标识信息转换为包括两个以上元素的用户身份标识信息集合的实现方式，均应属于本发明的保护范围。

步骤103、当接收到用户设备发送的登录请求消息时，根据该登录请求消息中携带的用户标识信息查询对应的用户身份标识信息集合。

具体的，在本发明实施例中，将注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合后，还需要将该用户身份标识信息集合发送给对应的用户设备（即发送注册请求消息的用户设备）。

用户完成注册后，当想要登录时，可以通过用户设备发送登录请求消息，该登录请求消息中除了携带有用户标识信息之外，还携带有用户登录信息集合。其中，该用户登录信息集合由用户设备根据身份标识信息集合确定，通常情况下，用户登录信息集合为身份标识信息集合的子集。

当接收到用户设备发送的登录请求消息时，可以根据该登录请求消息中携带的用户标识信息查询对应的用户身份标识信息集合。

其中，在本发明实施例中，根据登录请求消息中携带的用户标识信息查询对应的用户身份标识信息集合至少可以包括以下两种情况：

情况一、步骤102中将用户身份标识信息集合进行分布式存储之后，记录了用户身份标识信息集合中各元素的存储地址与用户标识信息的对应关系。

在该情况下，当接收到登录请求消息时，可以根据该登录请求消息中携带的用户标识信息查询对应的用户身份标识信息集合中各元素的存储地址，并根据该存储地址获取对应的用户身份标识信息集合。

情况二、步骤102中将注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合后，在将用户身份标识信息集合进行分布式存储时，具体存储的为用户身份标识集合中各元素和用户标识信息形成的二元组。

例如，假设用户身份标识集合包括元素：S1、S2、S3，用户标识信息为ID1，则将用户身份标识信息集合进行分布式存储时，具体存储的为二元组（S1，ID1）、（S2、ID1），（S3、ID1）。

在该情况下，接收到登录请求消息时，根据该登录请求消息中携带的用户标识信息查询对应的二元组，并根据查询到的二元组获取对应的用户身份标识信息集合。

步骤104、比较查询到的用户身份标识信息集合和登录请求消息中携带的用户登录信息集合，并判断查询到的用户身份标识信息集合和用户登录信息集合中相同的元素的数量是否超过阈值。若判断为是，则确定身份认证通过，否则，确定身份认证不通过。

为了更好地理解本发明实施例提供的技术方案，下面结合具体的应用场景对本发明实施例提供的技术方案进行更加详细地描述。

参见图2，为本发明实施例提供的一种具体应用场景的系统架构图，包括：用户端11，云端12，转换器13，分布式存储14，检测器15。基于该系统架构，本发明提供的技术方案可以分为两个阶段：用户注册阶段和登录认证阶段。其中：

一、在用户注册阶段：

用户端11，用于向云端12发送用户注册信息。

云端12用于，接收用户端11发来的用户注册信息，并将用户注册信息通过基于负逻辑的转换器13获得基于负逻辑的用户身份标识信息集合，再将所获取的基于负逻辑的身份标识信息集合通过分布式存储设备14进行相应的分布式存储。

转换器13，用于接收云端12的用户信息，并进行负逻辑转换，获取基于负逻辑的用户身份标识信息集合。

分布式存储设备14，用于接收转换器13输出的身份标识信息，将其对应地进行分布式存储。

二、在登录认证阶段：

用户端11，用于向云端12发送用户登录信息集合，以及接收云端12的认证结果反馈。

云端12，用于接收用户端11发来的用户登录信息集合，并将其输出给检测器15进行分布式检测，得出认证结果。同时，云端12还接收检测器15的认证结果，并向用户端11发送反馈的身份认证结果。

检测器15，用于接收云端12的用户登录信息，并进行分布式检测，依据检测器匹配通过的数目与最大容忍数目进行比较判定，得出的认证结果。同时，将认证结果输出给云端12。

基于上述系统架构，本发明实施例提供的身份认证方法的流程示意图可以如图3所示，可以包括以下步骤：

步骤301、用户注册请求：用户端向云端发起用户请求并发送用户注册信息。

步骤302、获取用户注册信息：云端获得用户的注册信息。

步骤303、身份信息转换：从注册信息中提取相应的信息，并基于负逻辑的方法进行身份信息转换，获得对应的基于负逻辑的身份信息集合，共包含有n份身份信息。而这些信息，只有当不小于m份的身份信息同时存在时，用户的身份信息才能得以认证。其中的m即为认证通过的最大容忍数。

步骤304、分布式存储：将步骤303中转换后的n份身份信息进行分布式存储。

步骤305、用户登录请求：用户端向云端发送的用户登录请求，其中携带用户登录信息集合。

步骤306、获取用户登录信息：云端获得用户登录信息集合。

步骤307、身份认证：云端开始身份认证过程。

步骤308、分布式认证检测：将用户登录信息集合进行分布式认证检测，假设用户登录信息集合包含t份互异的身份信息，通过基于负逻辑的检测，统计出其中匹配通过检测的份数数目k，再将匹配通过分布式检测的份数数目k与最大容忍数m进行比较，只有当k≥m时，才能获取用户的身份信息，否则无法获取用户的身份信息。

步骤309、身份识别：根据步骤308的反馈结果，进行身份识别。

本发明提供的技术方案中，身份转换与分布式存储的方法流程如图4所示，可以包括以下步骤：

步骤401、输入用户注册信息，具有输入值，如ID_i。

步骤402、获取用户的原始身份信息，如P_i。

步骤403、身份转换。

具体的，该实施例提供的身份是基于负逻辑的身份转换。假设对应步骤401的身份注册信息IDi，其对应的原始真实的身份信息只有1个，记为P_i；其对应的非真实身份信息共有n个，记为S1，S2，S3…Sn。令T={P_i，S1，S2，S3…Sn}，那么，对于用户注册信息ID_i而言，其对应的负逻辑的身份信息集合为T*=T-{P_i}，也即：T*={S1，S2，S3…Sn}。

步骤404、得到用户ID_i在负逻辑下的身份信息集合T*，即：{S1，S2，S3…Sn}。

步骤405，步骤406，步骤407，步骤408，步骤409表示不同的存储区域，分别对应存储区域1、2、……、i、i+1、……、n，是对步骤404的结果进行分布式存储的结果。

本发明实施例提供的技术方案中，分布式检测器与认证识别的方法流程是基于负逻辑的分布式检测器与认证识别。其中，针对负逻辑的身份识别的最大容忍数为m，即至少需要m份互异的基于负逻辑的身份信息，才能识别出原始真实的用户身份信息，进而访问云计算环境。分布式检测与认证识别的方法流程如图5所示，可以包括以下步骤：

步骤501、获取用户登录信息集合中的互异的元素I1，I2，…It。其值输出到检测器中。

步骤502、接收步骤501发送来的值，对这t份互异的身份信息I1，I2，…It，进行基于负逻辑的检测，判断是否属于用户注册信息ID_i所对应的负逻辑的身份信息集合T*，也即{S1，S2，S3…Sn}中的元素。并将检测结果输出给步骤503中的匹配中心。

步骤503、匹配中心接收步骤502的检测结果，并统计出其中匹配通过的分布式检测的份数数目，假设记为k。将该值输出给步骤504，进行比较。

步骤504、，将步骤503的输出值k与最大容忍数m进行大小的比较。

步骤505、根据步骤504的比较结果进行身份识别，最终认证用户身份是否为合法用户。只有当k≥m时，才能获取出用户的真实的原始身份信息，从而进行云计算资源访问和使用；否则，无法获取用户的真实的原始身份信息，无法登录成功，无法访问云资源。

通过以上描述可以看出，在本发明实施例提供的技术方案中，通过对用户的身份信息进行转换并进分布式存储，避免了传统的存储集中导致的不安全因素，提高了身份信息的安全性；当用户登录时，只有当登录请求消息中携带的用户登录信息集合和对应的用户身份标识信息集合中相同的元素的数量超过阈值时，才确定身份认证通过，提高了身份认证的安全性和可靠性。

基于相同的技术构思，本发明实施例还提供了一种身份认证设备，可以应用于上述方法实施例。

如图6所示，为本发明实施例提供的身份认证设备的结构示意图，可以包括：

注册模块61，用于接收用户设备的注册请求消息；

转换模块62，用于将所述注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合；

存储模块63，用于将所述用户身份标识信息集合进行分布式存储；

登录模块64，用于接收用户设备的登录请求消息；

检测模块65，用于根据所述登录请求消息中携带的用户标识信息查询对应的用户身份标识信息集合，比较查询到的用户身份标识信息集合和所述登录请求消息中携带的用户登录信息集合，并判断所述查询到的用户身份标识信息集合和所述用户登录信息集合中相同的元素的数量是否超过阈值；

认证模块66，用于当所述检测模块的判断结果为是时，确定身份认证通过；当所述检测模块的判断结果为否时，确定身份认证不通过。

其中，所述转换模块62具体用于，对所述注册请求消息中携带的用户标识信息进行负逻辑转换，以获得所述用户标识信息对应的用户身份标识信息集合。

其中，所述存储模块63还用于，记录所述用户身份标识信息集合中各元素的存储地址与用户标识信息的对应关系；

所述检测模块65具体用于，根据所述登录请求消息中携带的用户标识信息，查询所述用户身份标识信息集合中各元素的存储地址与用户标识信息的对应关系，以查询所述登录请求消息中携带的用户标识信息对应的用户身份标识信息集合中各元素的存储地址；根据查询到的存储地址获取对应的用户身份标识信息集合。

其中，所述存储模块63具体用于，将所述用户身份标识信息集合中各元素与所述用户标识信息形成的二元组进行分布式存储；

所述检测模块65具体用于，根据所述登录请求消息中携带的用户标识信息查询对应的二元组，并根据查询到的二元组获取所述用户身份标识信息集合。

基于相同的技术构思，本发明实施例还提供了一种身份认证系统，可以应用于上述方法实施例。

如图7所示，为本发明实施例提供的身份认证系统的结构示意图，该身份认证系统包括：用户设备71和身份认证设备72；其中：

所述用户设备71，用于向所述身份认证设备发送注册请求消息；向所述身份认证设备发送登录请求消息；

所述身份认证设备72，用于接收用户设备发送的注册请求消息；将所述注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合，并将所述用户身份标识信息集合进行分布式存储；将所述注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合，并将所述用户身份标识信息集合进行分布式存储；比较查询到的用户身份标识信息集合和所述登录请求消息中携带的用户登录信息集合，并判断所述查询到的用户身份标识信息集合和所述用户登录信息集合中相同的元素的数量是否超过阈值；若判断结果为是，则确定身份认证通过；否则，确定身份认证不通过。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台终端设备（可以是手机，个人计算机，服务器，或者网络设备等）执行本发明各个实施例所述的方法。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视本发明的保护范围。

Claims (9)

1.一种身份认证方法，其特征在于，包括：

接收用户设备发送的注册请求消息；

将所述注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合，并将所述用户身份标识信息集合进行分布式存储；

当接收到所述用户设备发送的登录请求消息时，根据所述登录请求消息中携带的用户标识信息查询对应的用户身份标识信息集合；

比较查询到的用户身份标识信息集合和所述登录请求消息中携带的用户登录信息集合，并判断所述查询到的用户身份标识信息集合和所述用户登录信息集合中相同的元素的数量是否超过阈值；

若判断结果为是，则确定身份认证通过；否则，确定身份认证不通过。

2.如权利要求1所述的方法，其特征在于，所述将所述注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合，具体为：

对所述注册请求消息中携带的用户标识信息进行负逻辑转换，以获得所述用户标识信息对应的用户身份标识信息集合。

3.如权利要求1所述的方法，其特征在于，

所述将所述用户身份标识信息集合进行分布式存储之后，还包括：

记录所述用户身份标识信息集合中各元素的存储地址与用户标识信息的对应关系；

所述根据所述登录请求消息中携带的用户标识信息查询对应的用户身份标识信息集合，具体为：

根据所述登录请求消息中携带的用户标识信息，查询所述用户身份标识信息集合中各元素的存储地址与用户标识信息的对应关系，以查询所述登录请求消息中携带的用户标识信息对应的用户身份标识信息集合中各元素的存储地址；

根据查询到的存储地址获取对应的用户身份标识信息集合。

4.如权利要求1所述的方法，其特征在于，

所述将所述用户身份标识信息集合进行分布式存储，具体为：

将所述用户身份标识信息集合中各元素与所述用户标识信息形成的二元组进行分布式存储；

所述根据所述登录请求消息中携带的用户标识信息查询对应的用户身份标识信息集合，具体为：

根据所述登录请求消息中携带的用户标识信息查询对应的二元组，并根据查询到的二元组获取所述用户身份标识信息集合。

5.一种身份认证设备，其特征在于，包括：

注册模块，用于接收用户设备的注册请求消息；

转换模块，用于将所述注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合；

存储模块，用于将所述用户身份标识信息集合进行分布式存储；

登录模块，用于接收用户设备的登录请求消息；

检测模块，用于根据所述登录请求消息中携带的用户标识信息查询对应的用户身份标识信息集合，比较查询到的用户身份标识信息集合和所述登录请求消息中携带的用户登录信息集合，并判断所述查询到的用户身份标识信息集合和所述用户登录信息集合中相同的元素的数量是否超过阈值；

认证模块，用于当所述检测模块的判断结果为是时，确定身份认证通过；当所述检测模块的判断结果为否时，确定身份认证不通过。

6.如权利要求5所述的设备，其特征在于，

所述转换模块具体用于，对所述注册请求消息中携带的用户标识信息进行负逻辑转换，以获得所述用户标识信息对应的用户身份标识信息集合。

7.如权利要求5所述的设备，其特征在于，

所述存储模块还用于，记录所述用户身份标识信息集合中各元素的存储地址与用户标识信息的对应关系；

所述检测模块具体用于，根据所述登录请求消息中携带的用户标识信息，查询所述用户身份标识信息集合中各元素的存储地址与用户标识信息的对应关系，以查询所述登录请求消息中携带的用户标识信息对应的用户身份标识信息集合中各元素的存储地址；根据查询到的存储地址获取对应的用户身份标识信息集合。

8.如权利要求5所述的设备，其特征在于

所述存储模块具体用于，将所述用户身份标识信息集合中各元素与所述用户标识信息形成的二元组进行分布式存储；

所述检测模块具体用于，根据所述登录请求消息中携带的用户标识信息查询对应的二元组，并根据查询到的二元组获取所述用户身份标识信息集合。

9.一种身份认证系统，其特征在于，包括：用户设备和身份认证设备；其中：

所述用户设备，用于向所述身份认证设备发送注册请求消息；向所述身份认证设备发送登录请求消息；

所述身份认证设备，用于接收用户设备发送的注册请求消息；将所述注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合，并将所述用户身份标识信息集合进行分布式存储；将所述注册请求消息中携带的用户标识信息转换为对应的用户身份标识信息集合，并将所述用户身份标识信息集合进行分布式存储；比较查询到的用户身份标识信息集合和所述登录请求消息中携带的用户登录信息集合，并判断所述查询到的用户身份标识信息集合和所述用户登录信息集合中相同的元素的数量是否超过阈值；若判断结果为是，则确定身份认证通过；否则，确定身份认证不通过。