CN105451225B - 一种接入认证方法及接入认证设备 - Google Patents

Abstract

本发明公开了一种接入认证方法及设备，用于网络安全认证技术领域，以解决非授权用户接入网络的认证问题，所述方法包括如下步骤：S1.接收用户的接入请求，并获取所述接入请求中的主密码；S2.认证所述主密码；S3.根据认证策略和主密码认证结果，确定是否进行副密码的认证激活；S4.当激活副密码的认证时，进行副密码的认证，并返回认证结果。本发明通过进行主副密码的双重认证，解决了用户接入网络的安全认证问题，提高了网络安全性。

Description

一种接入认证方法及接入认证设备

技术领域

本发明涉及网络安全认证技术领域，具体为一种接入认证方法及接入认证设备，特别是涉及一种使用主副密码双重认证机制以防止非授权用户访问的接入认证方法及设备。

背景技术

目前无线用户数逐渐增加，无线网络设备使用量越来越多。部分用户因各种原因，通过各种方式获取SSID(Service Set Identifier，无线网络密码)，去连接并未授权的无线网络。这样的行为可能会导致被蹭网用户的信息泄露、带宽被占用。对被蹭网用户是极大的困扰。

现有的防SSID被窃取的方式主要有以下四种。

第一种是加强无线网络设备本身的安全性能，通过隐藏无线SSID、禁用DHCP服务器、禁用WPS功能、更改设备登陆的用户名或密码、无线MAC过滤、设置长SSID密码等方式实现；

此种方法下，当可信用户接入网络比较麻烦，如家里有客人来访，需连接无线网络时需手动输入SSID。

第二种是通过在电脑上安装防蹭网软件，利用防ARP攻击、欺骗等机制实现；

此种方法下，防蹭网软件可能导致用户无法上网，而且只在电脑开机时防蹭网才会生效，无法实时生效。

第三种是通过在无线网络设备上增加硬件防火墙和WiFi信号接收发射器，通过硬件防火墙绑定本机或允许通过访问的用户，其他用户则拒绝访问的实现方式；

此种方法下，硬件成本比较高。

第四种是通过随机动态的切换认证机制实现防止恶意用户连接；

此种方法下，需要事先集合认证机制和合法用户，导致集合认证机制以外的可信用户无法正常连接无线网络设备。

第五种是无线客户端认证失败次数超过阀值时，拒绝无线客户端的认证。

此种方法下，只能防止高速率试图蹭网的用户，无法防止用户低速率破解无线密码。

发明内容

为克服上述现有技术存在的不足，本发明在于提供一种接入认证方法及设备，以防止非授权用户访问，以实现高效、经济、全面的网络防蹭的目的。

为达上述发明目的，本发明提出一种接入认证方法，包括如下步骤：

一种接入认证方法，所述方法包括如下步骤：

S1.接收用户的接入请求，并获取所述接入请求中的主密码；

S2.认证所述主密码；

S3.根据认证策略和主密码认证结果，确定是否进行副密码的认证激活；

S4.进行副密码的认证，并返回认证结果。

进一步地，步骤S3具体包括：

S301.若所述主密码与预设的主密码信息不一致，则再次接收接入请求并记录主认证失败的次数；

S302.当主认证失败的次数达到预设的第一阈值时，激活副密码认证，并接收用户的接入请求中的副密码。

进一步地，步骤S4具体包括：

S401.认证所述副密码；

S402.若所述副密码与预设的副密码信息不一致，则再次接收接入请求并记录副认证失败的次数；

S403.当副认证失败的次数达到预设的第二阈值时，记录该用户的可信度信息，所述可信度信息包括标记所述用户为非授权用户。

进一步地，步骤S3中，

当所述主密码与预设的主密码信息一致时，记录所述用户的可信度信息，所述可信度信息包括标记所述用户为授权用户。

进一步地，步骤S4所述的接入认证方法还包括：

步骤S302中，还记录所述用户的可信度信息，所述可信度信息包括标记所述用户为可疑用户。

进一步地，所述示接入认证方法还包括：

当标记所述用户为非授权用户时，随机生成一新的副密码信息。该副密码用于下一次的可疑用户登录，以防止本次副密码已被破解的情况。

进一步地，步骤S3所述的接入认证方法具体包括：

S3011.若客户端为可疑用户，当所述主密码与预设的主密码信息一致时，激活副密码认证，并接收副密码接入请求；

S3022.获取并认证所述副密码接入请求中的副密码；

S3033.认证所述副密码；

S3044.若所述副密码与预设的副密码信息不一致，则再次接收接入请求并记录副认证失败的次数；

S3055.当副认证失败的次数达到预设的第二阈值时，记录该用户的可信度信息，所述可信度信息包括标记所述用户为非授权用户。

进一步地，所述接入认证方法还包括：

预先设置所述主密码信息、初始副密码信息、第一阈值、第二阈值以及认证策略。

为了实现本发明的发明目的，本发明实施例还提供了一种接入认证设备，所述接入认证设备包括：

主认证模块，用于接收用户的接入请求，并获取所述接入请求中的主密码，并认证所述主密码；

副密码认证激活模块，用于根据主密码的认证结果，确定是否激活副密码认证；

副认证模块，当所述副密码认证被激活时，进行副密码认证并返回认证结果。

进一步地，所述副密码认证激活模块具体包括：

认证策略读取子模块，用来读取认证策略；

主认证记录子模块，用于当所述主密码与预设的主密码信息不一致时，再次激活主认证，并记录主认证失败的次数；

副密码认证获取子模块，用于当主认证失败的次数达到预设的第一阈值时，根据认证策略，激活副密码认证，并接收用户的接入请求中的副密码。

进一步地，所述副认证模块具体包括：

重认证子模块，用于认证所述副密码，并当所述副密码与预设的副密码信息不一致，则再次接收接入请求并记录副认证失败的次数；

副密码认证结果记录子模块，用于当副认证失败的次数达到预设的第二阈值时，记录该用户的可信度信息，所述可信度信息包括标记所述用户为非授权用户。

进一步地，所述主认证模块还包括：

主认证结果记录子模块，用于当所述主密码与预设的主密码信息一致时，记录所述用户的可信度信息，所述可信度信息包括标记所述用户为授权用户。

进一步地，所述副密码认证激活模块还包括：

可疑用户标记子模块，用于记录所述用户的可信度信息，所述可信度信息包括标记所述用户为可疑用户。

进一步地，所述接入认证设备还包括：

副密码生成模块，用于当标记所述用户为非授权用户时，随机生成一新的副密码信息。

与现有技术相比，本发明一种接入认证方法及设备，提出一种新颖的通过主副密码进行双重认证客户端可信度的方案，其通过随机生成的副密码认证对可能非法接入的用户进行再认证，并根据主副密码的认证次数和认证通过情况生成客户端可信度名单。在本发明中，不需安装额外的软件和硬件，不影响可信客户端原有的简单操作流程，实现了实时、高效、经济、全面的网络防蹭目的。

附图说明

图1为本发明实施例一种接入认证方法的步骤流程图；

图2为本发明另一实施例副认证激活的流程图；

图3为本发明实施例副认证的流程图；

图4为本发明较佳实例之主密码正确时认证副密码的步骤流程图；

图5为本发明实施例主副密码双重认证的具体实施流程图；

图6为本发明实施例另一主副密码双重认证的具体实施流程图；

图7为本发明实施例另一主副密码双重认证的具体实施流程图；

图8为本发明实施例接入认证设备的结构图；

图9为本发明实施例副认证激活模块的结构图；

图10为本发明实施例副认证模块的结构图；

图11为本发明实施例接入认证设备设置模块的结构图。

具体实施方式

以下通过特定的具体实例并结合附图说明本发明的实施方式，本领域技术人员可由本说明书所揭示的内容轻易地了解本发明的其它优点与功效。本发明亦可通过其它不同的具体实例加以施行或应用，本说明书中的各项细节亦可基于不同观点与应用，在不背离本发明的精神下进行各种修饰与变更。

如图1所示，为本发明实施例一种接入认证方法的步骤流程图。如图1所示，一种接入认证方法，所述方法包括如下步骤：

S1.接收用户的接入请求，并获取所述接入请求中的主密码；

S2.认证所述主密码；

S3.根据认证策略和主密码认证结果，确定是否进行副密码的认证激活；

S4.当激活副密码认证时，进行副密码的认证，并返回认证结果。

在该方案中，当接入认证设备被启动，可在该设备显示一预设的管理界面于PC机或服务器或其他终端设备上。本发明实施例中，接入认证设备可以为具备网络接入功能的路由器、无线接入点或无线路由器等。管理界面可设置于PC或服务器上并开启设备管理程序，设备管理程序的内部子模块可如图2所描述，并显示设备管理界面。

在本发明实施中，除常规配置与管理外，例如主密码设置或副密码设置，还可以设置认证策略。

当用户需要接入网络时，发出接入请求Q1，接入认证设备接收该接入请求Q1，并获取该次认证中的主密码M1。接入认证设备按照一定的密码认证策略，和密码匹配规则，匹配认证该主密码M1。并根据主密码M1的认证结果，确定是否进行副密码的认证激活。

在此过程中，在接入认证设备设定认证策略，比如是否仅仅认证主密码，或者同时认证主密码和副密码，或者仅在主密码认证失败时来认证副密码。通过该种认证策略的设定，根据不同情形下来进行不同的认证策略，以提高认证的灵活性。例如，当可信用户或授权用户尝试接入时，可以仅认证主密码，当可疑用户尝试接入时，需要在主密码认证失败时认证副密码，当非授权用户尝试认证时，需要同时认证主密码和副密码，这样，在不同的接入场景或者安全要求时，灵活采用相应的认证策略，在提高了接入认证的灵活性的情况下，提高了网络的安全性，当然，上述认证策略的设置仅为示例，并不限制实际的实施情形。

在一实施例中，如图2所示，步骤S3具体包括：

S301.若所述主密码与预设的主密码信息不一致，则再次接收接入请求并记录主认证失败的次数；

S302.当主认证失败的次数达到预设的第一阈值时，激活副密码认证，并接收用户的接入请求中的副密码。

进一步地，步骤S3中，

当所述主密码与预设的主密码信息一致时，记录所述用户的可信度信息，所述可信度信息包括标记所述用户为授权用户。

进一步地，步骤S4所述的接入认证方法还包括：

步骤S302中，还记录所述用户的可信度信息，所述可信度信息包括标记所述用户为可疑用户。

在该种认证情形下，即当主密码的认证结果为失败时，则再次接收接入求并记录主密码M1认证失败的次数N1；当N1达到预订设定的第一阈值Y1时，激活启动副密码认证，并接收用户的接入请求中的副密码S1.

当然，该用户端的副密码接入请求启动可通过提示进行，或通过用户端设备的接入策略来预先设定，也可与接入认证设备配套实现。

在该方案中，当主密码认证失败多次时，即可认定该用户为可疑用户，或者当主密码一次就认证成功时，即可认定该用户为可信或授权用户。当为可疑用户时，进行副密码的认证激活，提醒或用户自动发出副密码认证。这样一方面可以标记用户可信度信息，另一方面也可以提高接入认证的安全性。

进一步地，在本发明的另一实施例中，如图3所示，步骤S4具体包括：

S401.认证所述副密码；

S402.若所述副密码与预设的副密码信息不一致，则再次接收接入请求并记录副认证失败的次数；

S403.当副认证失败的次数达到预设的第二阈值时，记录该用户的可信度信息，所述可信度信息包括标记所述用户为非授权用户。

进一步地，步骤S4所述的接入认证方法还包括：

当标记所述用户为非授权用户时，随机生成一新的副密码信息。该副密码用于下一次的可疑用户登录，以防止本次副密码已被破解的情况。

在本发明另一实施例中，如图4所示，步骤S3所述的接入认证方法具体包括：

S3011.若用户为可疑用户，当所述主密码与预设的主密码信息一致时，激活副密码认证，并接收副密码接入请求；

S3022.获取所述副密码接入请求中的副密码；

S3033.认证所述副密码；

S3044.若所述副密码与预设的副密码信息不一致，则再次接收接入请求并记录副认证失败的次数；

S3055.当副认证失败的次数达到预设的第二阈值时，记录该用户的可信度信息，所述可信度信息包括标记所述用户为非授权用户。

在该实施例中，用户需要接入网络时，主密码认证成功后也同时认证副密码，因此可以提高网络接入的安全性。

图5为本发明较佳实施例之可疑用户实施双重认证的步骤流程图。如图5所示，对可疑用户，要求主副密码双重认证。若主密码认证通过，则进行副密码认证；若主密码认证不通过，副密码认证通过后，需再次认证主密码。在第一阈值、第二阈值范围内完成主、副密码认证后，本次接入认证通过。本次接入认证不通过的用户，记入非授权用户名单。

图6、7为本发明较佳实例之主密码错误时认证副密码的步骤流程图。如图6所示，对可疑用户，优先进行主密码认证。若主密码认证通过，则不需进行副密码认证，接入成功。若主密码认证不通过，则启动副密码认证。若副密码认证通过，需再次认证主密码。本次接入认证不通过的用户，记入非授权用户名单。同上，如图7所示的接入认证方法流程图，这里不再一一赘述的接入认证方法实施步骤。

为了实现本发明的发明目的，如图8所示，本发明实施例还提供了一种接入认证设备，所述接入认证设备包括：

主认证模块，用于接收用户的接入请求，并获取所述接入请求中的主密码，并认证所述主密码；

副密码认证激活模块，用于根据认证策略和主密码的认证结果，确定是否激活副密码认证；

副认证模块，当所述副密码认证被激活时，进行副密码认证并返回认证结果。

进一步地，所述副密码认证激活模块具体包括：

认证策略读取子模块，用来读取认证策略；

主认证记录子模块，用于当所述主密码与预设的主密码信息不一致时，再次激活主认证，并记录主认证失败的次数；

副密码认证获取子模块，用于当主认证失败的次数达到预设的第一阈值时，根据认证策略，激活副密码认证，并接收用户的接入请求中的副密码。

进一步地，所述副密码认证激活模块还包括：

可疑用户标记子模块，用于记录所述用户的可信度信息，所述可信度信息包括标记所述用户为可疑用户。

图9为本发明接入认证设备的副密码认证激活模块的结构图。如图9所示，副密码认证激活模块读取设置模块设置的认证策略，系统记录的客户端可信度，基于这两者信息触发或不触发副密码认证。此外，优选地，副密码认证激活模块还可以标记主认证失败的用户为可疑用户，以利于后续的用户管理。

进一步地，所述主认证模块还包括：

主认证结果记录子模块，用于当所述主密码与预设的主密码信息一致时，记录所述用户的可信度信息，所述可信度信息包括标记所述用户为授权用户。

进一步地，所述副认证模块具体包括：

重认证子模块，用于认证所述副密码，并当所述副密码与预设的副密码信息不一致，则再次接收接入请求并记录副认证失败的次数；

副密码认证结果记录子模块，用于当副认证失败的次数达到预设的第二阈值时，记录该用户的可信度信息，所述可信度信息包括标记所述用户为非授权用户。

图10为本发明接入认证设备的副认证模块的结构图。如图10所示，副认证模块接收并认证客户端输入的副密码字符串，并记录认证结果、认证次数等信息。当副认证认证结果为“失败”时，副密码生成子模块工作，可选择系统随机生成新的副密码并显示在设备管理界面。在下一次启动设备进行副认证时，客户端需使用新的副密码认证。

图11为本发明一种接入认证设备的设置模块的结构图。本发明实施例中，接入认证设备可以为具备无线功能的路由器、无线接入点等。当接入认证设备后，于PC或服务器上开启接入认证，其设置模块如图5所示，设置模块除了常规配置与管理外，还包含如下：201.第一阈值设置，用于设置主密码的认证次数；202.第二阈值设置，用于设置副密码的认证次数；203.认证策略设置，用于设置何时启用主副密码双重认证：例如可以对可疑用户启用，亦可以对主密码认证失败的可疑用户启用；204.初始副密码设置，用于手动设置一定长度的副密码。

设置模块还可以包含接入用户管理模块，用于管理用户的连接信息及可信度，包含可信用户、可疑用户、非授权用户。此处也允许管理员根据需要手动编辑用户可信度。

进一步地，所述接入认证设备还包括：

副密码生成模块，用于当标记所述用户为非授权用户时，随机生成一新的副密码信息。

如前述实施例，认证策略为管理员根据管理习惯和网络安全的需要，为不同可信度的客户端所定义。例如，可针对可信用户的策略为：无需主副密码认证，直接接入；针对非授权用户的策略为：直接拒绝；针对可疑用户的策略为：优先主密码认证，通过后接入，不需副密码认证；亦可定义为：主副密码同时认证通过后介入。

接入认证设备从可信、可疑、非授权三个方面划分客户端可信度。例如，可信用户可包括管理员及管理员授权的客户端，等；可疑用户可包括有主密码认证失败历史的用户、授权已被管理员收回的客户端，等；亦可以将可疑用户分为高、中、低三种级别分别制定认证策略。非授权用户可包括有主副密码认证失败历史的用户、管理员指定不可连接的用户，等。设备管理程序结合客户端可信度认证策略和客户端可信度记录，以确定是否启动副密码认证。

主认证模块接收客户端输入的主密码并认证正确性。客户端可输入主密码的次数由“第一阈值”决定。程序在认证结束后记录认证结果(成功、失败)和认证次数。

根据认证策略，必要时启动副密码认证激活模块。

副密码认证激活模块结合主认证的认证结果和认证策略，判断是否激活副密码认证。当判断结果为需要副密码认证时，启动副认证模块。副认证模块接收用户端输入的副密码并认证正确性。用户端可输入副密码的次数由“第二阈值”决定。副密码认证结果记录子模块在认证结束后记录认证结果(成功、失败)和认证次数。认证结果为“失败”时，副密码生成子模块可以被激活，可选择系统随机生成新的副密码并显示在接入认证设备的管理界面中，也可选择由管理员手动设置副密码。在下一次客户端进行副认证时，需使用的副密码认证。

较佳地，设置模块还设置主密码和副密码认证次数阈值。也就是说，在进行客户端接入认证之前，通常需预先设置主密码和副密码认证次数，并将该信息存储于内存，以便后续的次数校验。

较佳地，本发明接入认证设备之副密码认证激活模块还包括认证策略管理子模块，提供管理员配置认证策略功能。也就是说，在进行客户端接入认证之前，通常需预先针对不同可信度的客户端设置不同的认证策略，例如何种客户端可直接接入，何种客户端只进行主密码认证，何种客户端还需进行副密码认证。该认证策略具有缺省设置，也可由管理员手动调整。客户端可信度信息由“客户端可信度管理子模块”提供。

较佳地，本发明接入认证设备副密码随机生成子模块还提供随机生成副密码功能。也就是说，在进行客户端接入认证之前，可预先生成新的副密码作为本次接入的认证标准。当副认证认证结果为“失败”时，可激活副密码随机生成子模块，系统随机生成新的副密码并显示在设备管理界面中，在下一次启动设备进行副认证时，客户端需使用新的副密码认证。

较佳地，在进行客户端接入认证之前，管理员可设置副密码作为本次接入的认证标准。副认证认证结果为“失败”时，可激活副密码生成子模块生成随机的副密码并显示在接入设备管理界面中，在下一次启动设备进行副认证时，用户端需使用新的副密码认证。

本发明实施例的接入认证设备还包括一可信度管理子模块，提供用户的可信度管理。也就是说，用户可信度一是可以根据系统缺省设置获得，也可以由管理员配置。例如管理员将来访客人的客户端A设为可信用户，在其离开后从可信用户列表中删除；将多次申请接入但失败的未知客户端B设置为非授权用户等。

与现有技术相比，本发明一种接入认证方法及设备，提出一种新颖的通过主副密码进行双重认证客户端可信度的方案，其通过随机生成的副密码对可能非法接入的用户进行再认证，并根据主副密码的认证次数和认证通过情况生成客户端可信度名单。在本发明中，不需安装额外的软件和硬件，不影响可信客户端原有的简单操作流程，实现了实时、高效、经济、全面的网络防蹭目的。

Claims (6)

1.一种接入认证方法，其特征在于，包括如下步骤：

S1.接收用户的接入请求，并获取所述接入请求中的主密码；

S2.认证所述主密码；

S3.根据认证策略和主密码认证结果，确定是否进行副密码的认证激活；

S4.当激活副密码的认证时，进行副密码的认证，并返回认证结果；

步骤S3具体包括：S301.若所述主密码与预设的主密码信息不一致，则再次接收接入请求并记录主认证失败的次数；

S302.当主认证失败的次数达到预设的第一阈值时，即可认定该用户为可疑用户，激活副密码认证，并接收用户的接入请求中的副密码；

步骤S3还具体包括：

S3011.若客户端为可疑用户，当所述主密码与预设的主密码信息一致时，激活副密码认证，并接收副密码接入请求；

S3022.获取并认证所述副密码接入请求中的副密码；

S3033.认证所述副密码；

S3044.若所述副密码与预设的副密码信息不一致，则再次接收接入请求并记录副认证失败的次数；

S3055.当副认证失败的次数达到预设的第二阈值时，记录该用户的可信度信息，所述可信度信息包括标记所述用户为非授权用户；

步骤S4具体包括：

S401.认证所述副密码；

S402.若所述副密码与预设的副密码信息不一致，则再次接收接入请求并记录副认证失败的次数；

S403.当副认证失败的次数达到预设的第二阈值时，记录该用户的可信度信息，所述可信度信息包括标记所述用户为非授权用户；

步骤S3中，

当所述主密码与预设的主密码信息一致时，记录所述用户的可信度信息，所述可信度信息包括标记所述用户为授权用户；

当授权用户尝试接入时，可以仅认证主密码，当可疑用户尝试接入时，需要在主密码认证失败时认证副密码，但当非授权用户尝试认证时，需要同时认证主密码和副密码。

2.如权利要求1所述的接入认证方法，其特征在于，所述方法还包括：

当标记所述用户为非授权用户时，随机生成一新的副密码信息。

3.如权利要求1至2任意一项所述的接入认证方法，其特征在于，所述方法还包括：

预先设置所述主密码信息、副密码信息、第一阈值、第二阈值以及认证策略。

4.一种接入认证设备，其特征在于，所述接入认证设备包括：

主认证模块，用于接收用户的接入请求，并获取所述接入请求中的主密码，并认证所述主密码；

副密码认证激活模块，用于根据认证策略和主密码的认证结果，确定是否激活副密码认证；

副认证模块，当所述副密码认证被激活时，进行副密码认证并返回认证结果；

所述副密码认证激活模块具体包括：

认证策略读取子模块，用来读取认证策略；

主认证记录子模块，用于当所述主密码与预设的主密码信息不一致时，再次激活主认证，并记录主认证失败的次数；

副密码认证获取子模块，用于当主认证失败的次数达到预设的第一阈值时，根据认证策略，即可认定该用户为可疑用户，激活副密码认证，并接收用户的接入请求中的副密码；

所述副认证模块具体包括：

重认证子模块，用于认证所述副密码，并当所述副密码与预设的副密码信息不一致，则再次接收接入请求并记录副认证失败的次数；

副认证结果记录子模块，用于当副认证失败的次数达到预设的第二阈值时，记录该用户的可信度信息，所述可信度信息包括标记所述用户为非授权用户；

所述主认证模块还包括：

主认证结果记录子模块，用于当所述主密码与预设的主密码信息一致时，记录所述用户的可信度信息，所述可信度信息包括标记所述用户为授权用户；

当授权用户尝试接入时，可以仅认证主密码，当可疑用户尝试接入时，需要在主密码认证失败时认证副密码，但非当非授权用户尝试认证时，需要同时认证主密码和副密码。

5.如权利要求4所述的接入认证设备，其特征在于，所述接入认证设备还包括：

副密码生成模块，用于当标记所述用户为非授权用户时，随机生成一新的副密码信息。

6.如权利要求4至5任意一项所述的接入认证设备，其特征在于，所述接入认证设备还包括：

预先设置所述主密码信息、初始副密码信息、第一阈值、第二阈值以及认证策略。

Images