CN105187362B - 一种桌面云客户端和服务端之间连接认证的方法及装置 - Google Patents

Abstract

本发明公开了一种桌面云客户端和服务端之间连接认证的方法及装置，涉及桌面云技术领域，所述方法包括：桌面云客户端通过登录桌面云管理系统，获取虚拟机列表；在所述虚拟机列表中选取待登录的虚拟机，并通过桌面云管理系统获取所述虚拟机的连接参数和已加密认证信息；桌面云客户端向桌面云服务器发起用来验证所述已加密认证信息的连接请求；在通过验证后，利用已授权的已加密认证信息和所述连接参数，登录所选取的虚拟机。本发明能够以较低的成本提高桌面云系统接入的安全性，降低用户信息泄漏的风险，并提供一种安全的方式实现免身份验证访问一些桌面云的应用业务。

Description

一种桌面云客户端和服务端之间连接认证的方法及装置

技术领域

本发明涉及云计算环境下的桌面云技术领域，特别涉及桌面云领域的桌面云客户端与服务端之间的安全连接认证的方法及其相关的装置。

背景技术

桌面云，是指可以通过瘦客户端或者其他任何与网络相连的设备来访问跨平台的应用程序。用户的桌面环境都是集中部署在企业的数据中心，本地终端只是一个配置相对较低的集成电路机身，具备连接显示、输入设备的常用接口，其本身的处理能力是很低的，主要依靠连接到远程服务器，共享虚拟化处理器资源池中的资源。桌面云提供的托管桌面支持使用各种终端设备接入，而网络访问的方式为企业用户提供了非常灵活的工作处理能力，只要有网络的地方，员工都可以通过网络进入到企业的办公环境来处理工作。

既然用户的数据全部部署在远端服务器上，那么可信的云计算就成为用户关心的重要问题，包括可信接入安全、可信网络安全和可信安全管理。其中可信接入安全，即桌面云的客户端与服务端之间的连接认证，成为桌面云首要安全保证。也就是说，由于使用桌面云的用户的资料都在云端服务器，保护用户隐私尤为重要，桌面云安全是需要解决的关键问题，而桌面云客户端和服务端之间的连接认证则肩负起安全的第一道重任。

目前桌面云的安全连接认证方法一般是在终端登录界面上输入账户，通过密码或插入USB KEY或采集指纹特征进行桌面云连接认证授权操作。当连接认证成功之后，便可以从用户的虚拟机(VM)列表中选择虚拟机进行登录。

在现有连接认证方法中，用于连接认证的用户信息(账户、密码、USB KEY、指纹特征等)有一些是直接存储在本地数据中心；也有直接通过明文发送到服务端进行鉴权的。这样的处理方式很容易被恶意软件窃取，造成账户密码等信息泄漏，用户信息安全性不能得到保障。

为了保证安全，一些桌面云在进入虚拟桌面系统的时候还需要再次输入登录信息；在使用桌面云的某些应用业务的时候也需要进行鉴权。桌面云中的各应用系统拥有各自独立的身份认证方式，如此重复的鉴权不仅给用户带来诸多不便，并且容易导致密码泄漏。

还有一些复杂一点的连接认证方式，在部署桌面云的时候，在系统中设置了一台认证服务器，专门负责桌面云用户登录时的身份认证工作。该方法确实提高了桌面云的安全性，但是同时也提高了桌面云系统的运营成本和维护工作量。

发明内容

本发明的目的在于提供一种桌面云客户端和服务端之间连接认证的方法及装置，能更好地解决桌面云客户端与服务端之间连接认证的安全性问题。

根据本发明的一个方面，提供了一种桌面云客户端和服务端之间连接认证的方法，包括：

桌面云客户端通过登录桌面云管理系统，获取虚拟机列表；

在所述虚拟机列表中选取待登录的虚拟机，并通过桌面云管理系统获取所述虚拟机的连接参数和已加密认证信息；

桌面云客户端向桌面云服务器发起用来验证所述已加密认证信息的连接请求；

在通过验证后，利用已授权的已加密认证信息和所述连接参数，登录所选取的虚拟机。

优选地，所述的桌面云客户端通过登录桌面云管理系统，获取虚拟机列表的步骤包括：

桌面云客户端将包含其用户名和认证信息的用户信息发送至桌面云管理系统；

桌面云管理系统利用所述用户名，查询相应的虚拟机列表，并将所述虚拟机列表发送至桌面云客户端。

优选地，所述的在所述虚拟机列表中选取一个待登录的虚拟机，并通过桌面云管理系统获取所述虚拟机的连接参数和已加密认证信息的步骤包括：

桌面云客户端获取用户在所述虚拟机列表中选取的待登录的虚拟机，并将包含所述虚拟机信息的登录请求发送至桌面云管理系统；

桌面云管理系统通过解析所述登录请求，得到其中的虚拟机信息，并生成所述虚拟机的连接参数；

利用在创建所述虚拟机时分配的加密密钥，对认证信息进行加密，得到已加密认证信息；

将所述连接参数和所述已加密认证信息发送至桌面云客户端。

优选地，所述的桌面云客户端向桌面云服务器发起用来验证所述已加密认证信息的连接请求的步骤包括：

桌面云客户端将携带有所述已加密认证信息的连接请求发送至桌面云服务器；

桌面云服务器利用在创建所述虚拟机时分配的解密密钥，对所述已加密认证信息进行解密，得到认证信息；

桌面云服务器将解密得到的认证信息与预存的所述用户名对应的认证信息进行比对；

若匹配，则对所述已加密认证信息的验证通过，并将验证结果发送至桌面云客户端。

优选地，所述的利用已授权的已加密认证信息和所述连接参数，登录所选取的虚拟机的步骤包括：

利用所述已授权的已加密认证信息，获取与其绑定的虚拟机自动登陆信息，并利用所述虚拟机自动登陆信息和所述连接参数，自动登录所选取的虚拟机。

优选地，在所述的登录所选取的虚拟机的步骤之后，还包括：

当利用所登陆的虚拟机，访问桌面云应用业务时，通过所述桌面云管理系统，获取所述用户访问的桌面云应用业务的用户权限；

根据所获取的用户权限，直接使用所述桌面云应用业务。

根据本发明的另一方面，提供了一种桌面云客户端和服务端之间连接认证的装置，包括：

虚拟机列表获取模块，用于通过登录桌面云管理系统，获取虚拟机列表；

参数获取模块，用于在所述虚拟机列表中选取待登录的虚拟机，并通过桌面云管理系统获取所述虚拟机的连接参数和已加密认证信息；

连接请求模块，用于向桌面云服务器发起用来验证所述已加密认证信息的连接请求；

虚拟机登陆模块，用于在通过验证后，利用已授权的已加密认证信息和所述连接参数，登录所选取的虚拟机。

优选地，所述虚拟机列表获取模块将包含其用户名和认证信息的用户信息发送至桌面云管理系统，并接收所述桌面云管理系统利用所述用户名查询到的相应的虚拟机列表。

优选地，所述参数获取模块获取用户在所述虚拟机列表中选取的待登录的虚拟机，将包含所述虚拟机信息的登录请求发送至桌面云管理系统，并接收所述桌面云管理系统生成的所述虚拟机的连接参数和已加密认证信息，其中，所述已加密认证信息是利用在创建所述虚拟机时分配的加密密钥加密认证信息而得到的。

优选地，所述连接请求模块将携带有所述已加密认证信息的连接请求发送至桌面云服务器，并接收桌面云服务器响应所述连接请求而生成的验证结果，其中，利用在创建所述虚拟机时分配的解密密钥，对所述已加密认证信息进行解密，得到认证信息，并将解密得到的认证信息与预存的所述用户名对应的认证信息进行比对，并在匹配时，生成对所述已加密认证信息验证通过的验证结果。

优选地，所述虚拟机登陆模块利用所述已授权的已加密认证信息，获取与其绑定的虚拟机自动登陆信息，并利用所述虚拟机自动登陆信息和所述连接参数，自动登录所选取的虚拟机。

优选地，还包括：

业务访问模块，用于当利用所登陆的虚拟机访问桌面云应用业务时，通过所述桌面云管理系统，获取所述用户访问的桌面云应用业务的用户权限，并根据所获取的用户权限，直接使用所述桌面云应用业务。

与现有技术相比较，本发明的有益效果在于：

1、本发明能够以较低的成本提高桌面云系统接入的安全性，降低用户信息泄漏的风险；

2、本发明能够自动登陆虚拟机，避免用户手动登录的繁琐程序。

3、本发明能够以一种安全的方式实现免身份验证访问一些桌面云的应用业务。

附图说明

图1是本发明提供的桌面云客户端和服务端之间连接认证的方法原理框图；

图2是本发明提供的桌面云客户端和服务端之间连接认证的装置框图；

图3是本发明实施例提供的桌面云客户端与服务端连接认证过程图；

图4是本发明实施例提供的用户使用桌面云应用业务免身份验证过程图。

具体实施方式

以下结合附图对本发明的优选实施例进行详细说明，应当理解，以下所说明的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

图1是本发明提供的桌面云客户端和服务端之间连接认证的方法原理框图，如图1所示，步骤包括：

步骤S101：桌面云客户端通过登录桌面云管理系统，获取虚拟机列表。

具体地说，桌面云客户端通过网页等方式将包含其用户名和认证信息的用户信息发送至桌面云管理系统，桌面云管理系统利用所述用户名，查询相应的虚拟机列表，并将所述虚拟机列表发送至桌面云客户端。

步骤S102：在所述虚拟机列表中选取待登录的虚拟机，并通过桌面云管理系统获取所述虚拟机的连接参数和已加密认证信息。

具体地说，桌面云客户端获取用户在所述虚拟机列表中选取的待登录的虚拟机，并将包含所述虚拟机信息的登录请求发送至桌面云管理系统，桌面云管理系统通过解析所述登录请求，得到其中的虚拟机信息，生成所述虚拟机的连接参数，并利用在创建所述虚拟机时分配的加密密钥，对认证信息进行加密，得到已加密认证信息，并将所述连接参数和所述已加密认证信息发送至桌面云客户端。

步骤S103：桌面云客户端向桌面云服务器发起用来验证所述已加密认证信息的连接请求。

具体地说，桌面云客户端将携带有所述已加密认证信息的连接请求发送至桌面云服务器，桌面云服务器利用在创建所述虚拟机时分配的解密密钥，对所述已加密认证信息进行解密，得到认证信息，并将解密得到的认证信息与预存的所述用户名对应的认证信息进行比对，若匹配，则对所述已加密认证信息的验证通过，并将验证结果发送至桌面云客户端。

步骤S104：在通过验证后，利用已授权的已加密认证信息和所述连接参数，登录所选取的虚拟机。

具体地说，利用所述已授权的已加密认证信息，获取与其绑定的虚拟机自动登陆信息，并利用所述虚拟机自动登陆信息和所述连接参数，自动登录所选取的虚拟机。也就是说，用户在登录虚拟机时，只要桌面云服务器对所述已加密认证信息的验证通过，则可以直接登录所选取的虚拟机，而不需要用户就手动登录。

在登陆虚拟机后，如果需要访问桌面云应用业务，则通过所述桌面云管理系统，获取所述用户访问的桌面云应用业务的用户权限，并根据所获取的用户权限，直接使用所述桌面云应用业务。也就是说，具有相应权限的用户，可以免身份验证，直接使用所述桌面云应用业务所提供的服务，否则，需要用户手动登录。

相比传统的桌面云客户端和服务端的连接认证方法，本发明在保证连接安全性的同时，实现了虚拟机操作系统自动登录，并且将连接认证信息与桌面云应用业务绑定起来，从而可以实现应用业务免身份验证

图2是本发明提供的桌面云客户端和服务端之间连接认证的装置框图，如图2所示，包括：虚拟机列表获取模块201、参数获取模块202、连接请求模块203、虚拟机登陆模块204和业务访问模块205。

所述虚拟机列表获取模块201通过登录桌面云管理系统，获取虚拟机列表，具体地说，所述虚拟机列表获取模块201将包含其用户名和认证信息的用户信息发送至桌面云管理系统，所述桌面云管理系统利用所述用户名查询到的相应的虚拟机列表，并发送至桌面云客户端。所述参数获取模块202获取用户在所述虚拟机列表中选取的待登录的虚拟机，将包含所述虚拟机信息的登录请求发送至桌面云管理系统，桌面云管理系统生成所述虚拟机的连接参数，并利用在创建所述虚拟机时分配的加密密钥加密认证信息，得到已加密认证信息，以提高连接认证的安全性，最后将所述连接参数和已加密认证信息发送至桌面云客户端。所述连接请求模块203向桌面云服务器发起用来验证所述已加密认证信息的连接请求，具体地说，所述连接请求模块203将携带有所述已加密认证信息的连接请求发送至桌面云服务器，所述桌面云服务器利用在创建所述虚拟机时分配的解密密钥，对所述已加密认证信息进行解密，得到认证信息，并将解密得到的认证信息与预存的所述用户名对应的认证信息进行比对，并在匹配时，生成对所述已加密认证信息验证通过的验证结果。在通过验证后，所述虚拟机登陆模块204利用已授权的已加密认证信息和所述连接参数，登录所选取的虚拟机，具体地说，所述虚拟机登陆模块204利用所述已授权的已加密认证信息，获取与其绑定的虚拟机自动登陆信息，并利用所述虚拟机自动登陆信息和所述连接参数，自动登录所选取的虚拟机，避免手动登陆。当利用所登陆的虚拟机访问桌面云应用业务时，所述业务访问模块205通过所述桌面云管理系统，获取所述用户访问的桌面云应用业务的用户权限，并根据所获取的用户权限，直接使用所述桌面云应用业务，实现免身份验证。

综上，本发明技术方案如下：

1)用户通过网页或客户端登录桌面云，用户信息被提交给桌面云管理系统。所述用户信息包含用户名和认证信息，所述认证信息可以是密码、USBKEY、动态口令，或者生物特征包括：指纹特征、面部特征、虹膜特征等，或者其他可以标识用户身份的特征信息。

2)桌面云管理系统根据用户选择的虚拟机，生成连接参数，对认证信息(例如，连接认证密码)进行加密；

3)桌面云使用上述加密后的连接参数向远端桌面云服务器发起连接请求；

4)远端桌面云服务器对连接请求中的连接认证密码进行验证，若验证成功则授权同意该连接接入，否则拒绝；

5)虚拟机中的代理利用授权后的连接认证信息可实现虚拟机操作系统自动登录；

6)用户在虚拟机中访问桌面云应用业务时，会查询对应用户的相应权限，以实现免身份验证使用某些桌面云应用业务。

在步骤5)和6)实施之前，需要对连接认证信息与虚拟机系统自动登录信息、桌面云应用业务的用户权限进行绑定操作。连接认证信息与虚拟机系统自动登录信息的绑定是在虚拟机创建的时候就已经完成了，连接认证信息与桌面云应用业务的用户权限绑定操作可以是在创建虚拟机时完成，也可以在虚拟机创建之后，由用户向桌面云管理系统申请。只有在绑定操作成功之后，才能实现相关功能的自动登录功能，否则只能由用户手动输入身份认证信息。

图3是本发明实施例提供的桌面云客户端与服务端连接认证过程图，用户从网页或客户端登录；获取虚拟机列表，选择虚拟机登录；由桌面云管理系统生成连接参数，并对参数进行加密；参数下发到客户端，发起连接请求；桌面云服务端收到连接请求后对连接认证信息进行验证；连接认证信息验证通过后可实现自动登录虚拟机操作系统及免身份验证使用桌面云应用业务。利用本连接认证方法能够有效保证连接安全性的同时，实现了虚拟机操作系统自动登录，并且将连接认证信息与桌面云应用业务绑定之后，可以实现应用业务免身份验证，提高了桌面云环境下接入的安全性和便利性。如图3所示，包括以下步骤：

步骤S11：用户通过网页或客户端登陆界面输入用户名和认证信息，所述认证信息可以是密码，或是从USB KEY或指纹采集设备获取的身份信息，或是USB KEY、动态口令，或者生物特征包括：指纹特征、面部特征、虹膜特征等，或者其他可以标识用户身份的特征信息等；认证信息可以存储在专用的认证服务器，也可以直接存储在远端服务器上，客户端的连接请求发送到认证信息所在的地方进行认证操作。

步骤S12：步骤S11所述用户名和认证信息被提交给桌面云管理系统，桌面云管理系统根据用户名查询所属该用户的虚拟机列表。所述虚拟机列表是登录之前创建的属于此用户的一系列虚拟机。

步骤S13：用户选择虚拟机进行登陆，并将登录请求提交给桌面云管理系统。

步骤S14：桌面云管理系统根据所选虚拟机生成连接参数，并将连接认证密码进行加密，下发到客户端，客户端通过网络向远端桌面云服务器发送连接请求。桌面云管理系统面向用户提供简洁的登录界面，待用户选择了将要登录的虚拟机后，桌面云管理系统根据所述用户和其选择的虚拟机来生成相应的连接参数，包括IP地址、端口号、用户名以及相关的虚拟机配置信息，并生成加密后的连接认证密码，所述的密码算法可以根据安全等级选择不同安全级别和复杂度的加密算法。

步骤S15：桌面云服务器对客户端的连接请求中的密码字段进行验证，若验证通过则授权同意接入，否则拒绝。所述密码需要用步骤S14所述的加密算法对应的解密算法进行解密。若连接认证信息使用的是指纹特征，则需要根据所述用户名查询其对应的指纹特征，得到与所述用户对应的正确的指纹特征，将所述密码字段的连接认证信息与所述正确的指纹特征进行对比。所述连接认证信息采用的是其他方式，处理方式与指纹方式类似，此处不在赘述。

步骤S16：当连接进入虚拟机系统登录界面时，虚拟机中的代理会利用连接参数中的虚拟机系统自动登录信息实现自动登录，并且会将该用户信息记录到虚拟机系统中。在此之前，需要对连接认证信息与虚拟机系统自动登录信息进行绑定操作。连接认证信息与虚拟机系统自动登录信息的绑定是在虚拟机创建的时候就已经完成了，只有在绑定操作成功之后，才能实现虚拟机系统的自动登录功能，否则只能由用户手动输入身份认证信息。所述虚拟机系统可以是windows、windows server、linux或其他桌面操作系统。

图4是本发明实施例提供的用户使用桌面云应用业务免身份验证过程图，如图4所示，包括以下步骤：

步骤S21：用户在登录到虚拟机桌面系统之后，通过桌面云访问应用业务。

步骤S22：应用程序向桌面云管理系统查询该用户的使用权限。

步骤S23：桌面云管理系统返回对应用户的使用权限，若所述用户拥有步骤S21所述应用业务的使用权限，则无需再输入身份验证信息，即可登录应用业务使用相关服务；若所述用户不拥有步骤S21所述应用业务的使用权限，则需要手动输入所述应用业务的身份验证信息，验证通过后方可使用相关服务。

在此之前，需要对连接认证信息与桌面云应用业务的用户权限进行绑定操作。连接认证信息与桌面云应用业务的用户权限绑定操作可以是在创建虚拟机时完成，也可以在虚拟机创建之后，由用户向桌面云管理系统申请。只有在绑定操作成功之后，才能实现相关应用业务的免身份验证功能，否则只能由用户手动输入身份认证信息。

综上所述，本发明具有以下技术效果：

1、本发明中，桌面云客户端用于连接远端服务器的认证信息(例如认证密码)是经过加密后传输，提高了连接认证的安全性，所使用的加密密钥是由创建虚拟机时分配的，并且存储在远端服务器中。

2、在进入虚拟机系统登陆界面的时候，虚拟机系统中有一个专门的服务代理负责实现操作系统的自动登录功能，避免了用户手动登录的繁琐。

3、通过远端服务器连接认证后的用户身份信息在登录操作系统后被记录起来，该身份信息跟那些需要验证身份信息的桌面云应用业务相关联，在桌面云管理系统中有一个管理用户身份信息的数据库，对应每个用户都有其相应的权限，当用户使用某些桌面云应用业务的时候，桌面云会首先到管理系统中查询该登录用户是否有此应用业务的使用权限，若有则可实现自动登陆应用业务。

尽管上文对本发明进行了详细说明，但是本发明不限于此，本技术领域技术人员可以根据本发明的原理进行各种修改。因此，凡按照本发明原理所作的修改，都应当理解为落入本发明的保护范围。

Claims (10)

1.一种桌面云客户端和服务端之间连接认证的方法，其特征在于，包括：

桌面云客户端通过登录桌面云管理系统，获取虚拟机列表；

桌面云客户端获取用户在所述虚拟机列表中选取的待登录的虚拟机，并将包含所述虚拟机信息的登录请求发送至桌面云管理系统；

桌面云管理系统通过解析所述登录请求，得到其中的虚拟机信息，并生成所述虚拟机的连接参数；

利用在创建所述虚拟机时分配的加密密钥，对认证信息进行加密，得到已加密认证信息；

将所述连接参数和所述已加密认证信息发送至桌面云客户端；

桌面云客户端向桌面云服务器发起用来验证所述已加密认证信息的连接请求；

在通过验证后，利用已授权的已加密认证信息和所述连接参数，登录所选取的虚拟机。

2.根据权利要求1所述的方法，其特征在于，所述的桌面云客户端通过登录桌面云管理系统，获取虚拟机列表的步骤包括：

桌面云客户端将包含其用户名和认证信息的用户信息发送至桌面云管理系统；

桌面云管理系统利用所述用户名，查询相应的虚拟机列表，并将所述虚拟机列表发送至桌面云客户端。

3.根据权利要求1所述的方法，其特征在于，所述的桌面云客户端向桌面云服务器发起用来验证所述已加密认证信息的连接请求的步骤包括：

桌面云客户端将携带有所述已加密认证信息的连接请求发送至桌面云服务器；

桌面云服务器利用在创建所述虚拟机时分配的解密密钥，对所述已加密认证信息进行解密，得到认证信息；

桌面云服务器将解密得到的认证信息与预存的所述用户名对应的认证信息进行比对；

若匹配，则对所述已加密认证信息的验证通过，并将验证结果发送至桌面云客户端。

4.根据权利要求1所述的方法，其特征在于，所述的利用已授权的已加密认证信息和所述连接参数，登录所选取的虚拟机的步骤包括：

利用所述已授权的已加密认证信息，获取与其绑定的虚拟机自动登陆信息，并利用所述虚拟机自动登陆信息和所述连接参数，自动登录所选取的虚拟机。

5.根据权利要求1-4任意一项所述的方法，其特征在于，在所述的登录所选取的虚拟机的步骤之后，还包括：

当利用所登陆的虚拟机，访问桌面云应用业务时，通过所述桌面云管理系统，获取所述用户访问的桌面云应用业务的用户权限；

根据所获取的用户权限，直接使用所述桌面云应用业务。

6.一种桌面云客户端和服务端之间连接认证的装置，其特征在于，包括：

虚拟机列表获取模块，用于通过登录桌面云管理系统，获取虚拟机列表；

参数获取模块，用于获取用户在所述虚拟机列表中选取的待登录的虚拟机，将包含所述虚拟机信息的登录请求发送至桌面云管理系统，并接收所述桌面云管理系统生成的所述虚拟机的连接参数和已加密认证信息，其中，所述已加密认证信息是利用在创建所述虚拟机时分配的加密密钥加密认证信息而得到的；

连接请求模块，用于向桌面云服务器发起用来验证所述已加密认证信息的连接请求；

虚拟机登陆模块，用于在通过验证后，利用已授权的已加密认证信息和所述连接参数，登录所选取的虚拟机。

7.根据权利要求6所述的装置，其特征在于，所述虚拟机列表获取模块将包含其用户名和认证信息的用户信息发送至桌面云管理系统，并接收所述桌面云管理系统利用所述用户名查询到的相应的虚拟机列表。

8.根据权利要求6所述的装置，其特征在于，所述连接请求模块将携带有所述已加密认证信息的连接请求发送至桌面云服务器，并接收桌面云服务器响应所述连接请求而生成的验证结果，其中，利用在创建所述虚拟机时分配的解密密钥，对所述已加密认证信息进行解密，得到认证信息，并将解密得到的认证信息与预存的所述用户名对应的认证信息进行比对，并在匹配时，生成对所述已加密认证信息验证通过的验证结果。

9.根据权利要求6所述的装置，其特征在于，所述虚拟机登陆模块利用所述已授权的已加密认证信息，获取与其绑定的虚拟机自动登陆信息，并利用所述虚拟机自动登陆信息和所述连接参数，自动登录所选取的虚拟机。

10.根据权利要求6-9任意一项所述的装置，其特征在于，还包括：

业务访问模块，用于当利用所登陆的虚拟机访问桌面云应用业务时，通过所述桌面云管理系统，获取所述用户访问的桌面云应用业务的用户权限，并根据所获取的用户权限，直接使用所述桌面云应用业务。

Images