CN105306211A - 一种客户端软件的身份认证方法 - Google Patents

Abstract

本发明的一种客户端软件的身份认证方法，包括：客户端向服务端提出登录请求报文；服务端解析客户端发送的登录请求报文，并向客户端回复登录数据，所述登录数据以编码的形式在客户端进行显示；客户端对服务端发送的编码数据进行解析，并将解析结果发送至服务端；服务端接收客户端发送的解析结果，并将解析结果发送至认证服务端，由认证服务端对解析结果进行验证；认证服务端对解析结果进行认证，并将认证结果返回至服务端；服务端接收认证结果后，将认证结果返回至客户端，并根据认证结果对客户端执行激活或关闭动作。通过客户端软件与各账户及密码信息的绑定，并采用加密算法，有效地解决因偷窥、破解、分析等手段造成的账户不安全问题。

Description

一种客户端软件的身份认证方法

技术领域

本发明属于计算机安全领域，具体涉及一种身份认证方法。

背景技术

身份认证技术是在计算机网络中确认操作者身份的过程而产生的有效解决方法。计算机网络世界中一切信息包括用户的身份信息都是用一组特定的数据来表示的，计算机只能识别用户的数字身份，所有对用户的授权也是针对用户数字身份的授权。身份认证技术就是为了解决如何保证以数字身份进行操作的操作者就是这个数字身份合法拥有者，也就是说保证操作者的物理身份与数字身份相对应这个问题。

世界上数字身份认证的方法主要有三种：静态密码、动态密码、PKI。

在实际使用过程中，静态密码技术用户的密码是由用户自己设定的。在网络登录时输入正确的密码，计算机就认为操作者就是合法用户。实际上，由于许多用户为了防止忘记密码，经常采用诸如生日、电话号码等容易被猜测的字符串作为密码，或者把密码抄在纸上放在一个自认为安全的地方，这样很容易造成密码泄漏。如果密码是静态的数据，在验证过程中需要在计算机内存中和传输过程可能会被木马程序或网络中截获。因此，静态密码机制无论是使用还是部署都非常简单，但从安全性上讲，用户名/密码方式是一种不安全的身份认证方式。

PKI是PublicKeyInfrastructure的缩写，PKI是用公钥概念和技术实施的，支持公开密钥的管理并提供真实性、保密性、完整性以及可追究性安全服务的具有普适性的安全基础设施。PKI技术可以保证运行代码正确地通过网络下载而不被黑客篡改；可以保证数字证件，比如护照的真实性，而不用担心被证件阅读者假冒；可以用于版权保护而不用担心没有证据；可以用于负责任的新闻或节目分级管理从而净化文化环境，等等。安全级别最高，但是技术体系复杂，是集中认证模式，管理高度集中、使用成本高而难以推广，而且不断出现新型的第三方威胁。

动态密码技术主流产生形式有手机短信、硬件令牌、手机令牌，根据专门的算法生成一个不可预测的随机数字组合，每个密码只能使用一次，目前被广泛运用在网银、网游、电信运营商、电子政务、企业等应用领域。动态密码是一种安全便捷的帐号防盗技术，可以有效保护交易和登录的认证安全，采用动态密码就无需定期修改密码，安全省心，能有效地对抗偷窥、破解、分析等手段。面对越来越激烈的安全挑战，业界的普遍观点是放弃静态密码，采用动态密码。

无论是单独的静态密码技术、结合身份卡的静态密码技术还是使用令牌的动态密码技术都存在不安全性和使用不方便等局限性。这些技术已经不能满足当今身份认证高度安全性和方便性的需求。

目前常用的动态令牌、U盾等产品用途单一，携带不便，生命周期短，拥有成本高，重复购买功能单一的产品耗费巨大的社会资源。

基于寻找使用方便、高度安全、成本低廉的身份认证方案，本发明提供一种一个设备管理多个电子账号的安全认证体系。身份认证系统的设计理念是用一个软件或硬件来管理数量不受限制的电子账号，为个人节省重复购买多个单一用途的认证器的费用，为社会节省数以亿计的耗费，对绿色经济、环境保护具有积极的意义。本发明兼具通用性、安全性、方便性、低成本等优点。

发明内容

为解决上述问题，本发明提供一种客户端软件身份认证方法。

本发明的技术方案包括如下步骤：

S1、客户端向服务端提出登录请求报文；

S2、服务端解析客户端发送的登录请求报文，并向客户端回复登录数据，所述登录数据以编码的形式在客户端进行显示；

S3、客户端对服务端发送的编码数据进行解析，并将解析结果发送至服务端；

S4、服务端接收客户端发送的解析结果，并将解析结果发送至认证服务端，由认证服务端对解析结果进行验证；

S5、认证服务端对解析结果进行认证，并将认证结果返回至服务端；

S6、服务端接收认证结果后，将认证结果返回至客户端，并根据认证结果对客户端执行激活或关闭动作。

进一步地，若客户端第一次向服务端提出登录请求，则还包括客户端与服务端进行绑定注册的过程，具体过程为：

S01、客户端软件用户以指定的账号为用户名，获得用户密码；

S02、客户端向服务端发送请求绑定报文；所述请求绑定报文报文为随机码或者其他码；

S03、服务端收到客户端的绑定请求后，向客户端回应绑定请求报文；

S04、客户端解析服务端回应的绑定请求报文，并将解析后的报文以编码的形式显示在客户端；

S05、客户端解析获得主机身份信息，并将主机的身份信息、用户名以及用户密码以加密报文的形式发送至认证服务端进行绑定；

S06、认证服务端收到客户端的绑定指令后，进行计算，得到用户名以及用户密码，并将该用户名以及用户密码进行存储完成用户注册，并将绑定结果返回至客户端。

进一步地，所述步骤S2中的登录数据以QR码的形式显示在客户端，OR码的解析通过手机终端的扫描得到解析结果。

进一步的，客户端向服务端发起绑定和登录请求时，所述服务端向客户端发送一个会话标识GUID和一个随机数，所述GUID作为标识终端会话的唯一标记，用于识别用户从哪个终端登录到服务端，所述随机数用于作为应答的加密。

进一步的，在所述客户端向服务端发起绑定请求时，在步骤S03中服务端向客户端回应的绑定请求报文包括：会话标识GUID、目的码、通讯随机码、服务端IP、监听端口Port、Commkey、服务器HID；所述目的码、通讯随机码、服务端IP、监听端口Port、Commkey、服务器HID通过加密方法形成数据报文；

所述客户端接收服务端回应的绑定请求报文后，解析获得会话标识GUID、目的码、通讯随机码、服务端IP、监听端口Port、Commkey、服务器HID，客户端通过将Commkey和会话标识GUID混合产生加密密钥对用户账号、密码以及会话标识GUID进行加密得到加密报文，并将该加密报文发送至认证服务端。

进一步的，所述步骤S2中的登录数据包括通讯数据、认证端口IP、端口号以及服务端名称。

本发明的有益效果是：由以上技术方案可以看出，本发明提供的一种客户端软件认证方法，可以以智能手机为载体，一个设备管理多个电子账号的安全认证体系，通过手持端软件与各账户及密码信息的绑定，并采用加密算法，手持端扫描QR码实现动态密码登录，有效地解决因偷窥、破解、分析等手段造成的账户不安全问题。

附图说明

图1为本发明的一种客户端软件的身份认证方法的流程图。

图2为本发明的账户注册和绑定的流程图。

具体实施例

为了使本发明的目的、技术方案和优点更加清楚，下面结合附图和具体实施例对本发明进行详细描述。

如图1所示本发明一种客户端软件的身份认证方法的流程图，其包括：S1、客户端向服务端提出登录请求报文；

S2、服务端解析客户端发送的登录请求报文，并向客户端回复登录数据，所述登录数据以编码的形式在客户端进行显示；

S3、客户端对服务端发送的编码数据进行解析，并将解析结果发送至服务端；

S4、服务端接收客户端发送的解析结果，并将解析结果发送至认证服务端，由认证服务端对解析结果进行验证；

S5、认证服务端对解析结果进行认证，并将认证结果返回至服务端；

S6、服务端接收认证结果后，将认证结果返回至客户端，并根据认证结果对客户端执行激活或关闭动作。

为了本领域技术人员能够了解并且实施本发明技术方案，下面本方案将结合一具体实施例对本方案进行说明，其中客户端采用手机终端实现，如图2是本发明的账户注册和绑定流程图，用户在使用手机登录之前，必须下载和安装手持端软件。用户使用手机客户端软件进行正常登录之前，首先需要与服务器进行绑定。

绑定过程分为如下步骤。

步骤S01：用户首先必须是的注册用户，以手机号或指定的账号为用户名，并获得用户密码，建议密码应该采用至少8个字符，至少有三种字符，即大小写字母，数字，和符号(例如#，％，^，&等)，以保证安全，因为用户再不用记忆密码，密码长和难不对用户形成困难。

步骤S02：用户在客户端软件上选择绑定按钮，客户端软件向服务端发送RequestBindingCode报文；

报文采用TCP协议发送，格式如下：

指令类型(4字节)	报文请求内容
		0x00,0x00,0x00,0x01	20字符长的随机码或者其他码

其中指令类型，主要是说明传输内容，长度为24个字节，客户端向服务端发送绑定请求报文，请求类型编码0x01。

步骤S03：服务端收到客户端的绑定请求后，回应AckBindingcode报文，包括20个字节的Guid数据(会话Session)，20个字节的通讯随机码，服务端的IP和监听端口Port,共计6个字节，服务器HID，长度不超过14个字节；如果由于IP协议的变化，IP地址从4个字节延长到16个字节，可以从软件版本号来区别，总计不超过100个字节；

指令类型	目的码	主机IP	Port	HostName(HID)
					4字节	4字节	4字节	2字节	>14字节(可选)
Commkey	加密密钥			会话GUID
					20字节	20字节			20个字节

其中指令类型，会话Session(GUID)仅仅用于客户端和服务端的通讯，无需加密。主机IP如果是IPv4协议的地址，就是4个字节，如果是IPv6的地址是16个字节。其中目的码、主机IP、Port、HID、Commkey等需要加密。指令类型编码为0x02，表示客户端绑定响应，数据报文的长度隐含。加密的方法为：其中，目的码+IP+Port+HostName+Commkey用加密密钥做FPE加密，加密密钥也用FPE加密，但是密钥为固定的密钥(例如在软件安装时生产的密钥)。然后这段数据用Base64编码，再加上指令类型，就是数据报文。

步骤S04：客户端软件解析服务端回应的通讯报文，去掉包头，把包含GUID、IP、Port、HostName，Commkey的数据包，总计100个字节，用Base64编码后，为136个字节，客户端把上述编码用QR码显示在屏幕上，QR码的尺寸在100-200个像素之间，具体图像大小和用户的手机摄像头像素有关，可根据用户的需求采用按比例缩放的软件设计，适应不同摄像头质量的用户手机；

步骤S5：用户开启手持端软件，用摄像头扫描客户端显示的QR码，云钥通对编码和指令进行识别，解析获得主机IP、Port、Commkey、HID、GUID；其中Commkey用于建立对称密钥，HID用于显示主机名称，用户可以输入别名代替。主机IP、Port用于建立与服务器关联的TCP通讯，请用户从手机上输入手机用户名和静态密码，云钥通用Commkey和GUID混合产生加密密钥，或者通过协商机制，和服务协商密钥，对用户账号、密码、GUID进行加密，然后把加密报文发送到认证服务端。加密报文可以采用Base64进行编码。报文格式如下：

指令类型	用户名	用户密码	GUID
				4字节	20字节	20字节	20字节(可选)

指令类型的编码值是0x03，表示登录数据报文。数据报文的长度隐含，此处为60个字节，此处采用Commkey和加密密钥共同生成的密钥，AES算法加密，结果采用Base64编码，会扩展到108个字节。

步骤S05：认证服务端收到手持端的绑定指令后，进行计算，把解析出来用户密码和用户名(手机号码)，交给服务端，服务端向手持端发送绑定结果，也可以向客户端发送绑定结果，由客户端显示绑定结果。

需要说明，用户名就是手机号码，和用户密码存放在手持端的文件中，采用FPE格式加密，这是设计的关键环节。服务端的用户名名和密码最好是存储在的服务端中。

返回TCP报文格式如下：

指令类型(4字节)	响应结果(1个字节)
		0x04	结果编码

用户使用的客户端时，从电脑上启动客户端软件，客户端软件与的服务器进行交互，交互过程如下：

步骤S1：客户端软件请求登录，发送RequestLogin请求，报文格式如下；

指令类型(4字节)	报文请求内容
		0x05	20字节随机码或者其他码

步骤S2：服务端返回登录登录数据ACKloginCode，包括通讯数据，认证端口IP,端口号，以及不多于14个字节的服务器名称；报文格式如下：

指令类型	通讯数据	密钥数据
			4字节	···字节	20字节

步骤S3：客户端软件显示ACKloginCode编码，用QR码图像显示；

步骤S4：手持端扫描这个编码，云钥通进行解析，然后把包括用户手机号码或账号在内的机密数据发送给服务端；

这个机密数据应该有如此的结构：报文格式如下：

指令类型	用户名	用户密码	GUID
				4字节	20字节	20字节	20字节

机密数据应该进行加密，加密方式为：ACKLoginCode中的密钥数据和预装的机密数据混合后生产密钥，然后对用户名和用户密码进行对称加密。

步骤S5：服务端请求认证服务端的函数调用，查询认证数据相对应的用户登录信息；

步骤S6：认证服务端确认后，把认证结果，包括用户名(手机号码)，用户密码和客户端Guid，也就是会话Session发送给服务端；

步骤S7：服务端将认证结果发回手持端；

步骤S8：服务端根据认证服务端的认证结果选择激活或者关闭客户端登录页面。服务端决定是否开启用户会话。

此外，服务端与客户端进行正常交互，当超过某一时长无客户操作时，客户端或服务器端自动关闭会话。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (6)

1.一种客户端软件的身份认证方法，其特征在于，包括以下步骤：

S1、客户端向服务端提出登录请求报文；

S2、服务端解析客户端发送的登录请求报文，并向客户端回复登录数据，所述登录数据以编码的形式在客户端进行显示；

S3、客户端对服务端发送的编码数据进行解析，并将解析结果发送至服务端；

S4、服务端接收客户端发送的解析结果，并将解析结果发送至认证服务端，由认证服务端对解析结果进行验证；

S5、认证服务端对解析结果进行认证，并将认证结果返回至服务端；

S6、服务端接收认证结果后，将认证结果返回至客户端，并根据认证结果对客户端执行激活或关闭动作。

2.根据权利要求1一种客户端软件的身份认证方法，其特征在于，若客户端第一次向服务端提出登录请求，则还包括客户端与服务端进行绑定注册的过程，具体过程为：

S01、客户端软件用户以指定的账号为用户名，获得用户密码；

S02、客户端向服务端发送请求绑定报文；所述请求绑定报文报文为随机码或者其他码；

S03、服务端收到客户端的绑定请求后，向客户端回应绑定请求报文；

S04、客户端解析服务端回应的绑定请求报文，并将解析后的报文以编码的形式显示在客户端；

S05、客户端解析获得主机身份信息，并将主机的身份信息、用户名以及用户密码以加密报文的形式发送至认证服务端进行绑定；

S06、认证服务端收到客户端的绑定指令后，进行计算，得到用户名以及用户密码，并将该用户名以及用户密码进行存储完成用户注册，并将绑定结果返回至客户端。

3.根据权利要求1一种客户端软件的身份认证方法，其特征在于，所述步骤S2中的登录数据以QR码的形式显示在客户端，OR码的解析通过手机终端的扫描得到解析结果。

4.根据权利要求2一种客户端软件的身份认证方法，其特征在于，客户端向服务端发起绑定和登录请求时，所述服务端向客户端发送一个会话标识GUID和一个随机数，所述GUID作为标识终端会话的唯一标记，用于识别用户从哪个终端登录到服务端，所述随机数用于作为应答的加密。

5.根据权利要求4一种客户端软件的身份认证方法，其特征在于，在所述客户端向服务端发起绑定请求时，在步骤S03中服务端向客户端回应的绑定请求报文包括：会话标识GUID、目的码、通讯随机码、服务端IP、监听端口Port、Commkey、服务器HID；所述目的码、通讯随机码、服务端IP、监听端口Port、Commkey、服务器HID通过加密方法形成数据报文；

所述客户端接收服务端回应的绑定请求报文后，解析获得会话标识GUID、目的码、通讯随机码、服务端IP、监听端口Port、Commkey、服务器HID，客户端通过将Commkey和会话标识GUID混合产生加密密钥对用户账号、密码以及会话标识GUID进行加密得到加密报文，并将该加密报文发送至认证服务端。

6.根据权利要求1一种客户端软件的身份认证方法，其特征在于，所述步骤S2中的登录数据包括通讯数据、认证端口IP、端口号以及服务端名称。