CN105743916A - 一种增强访问安全的信息处理方法，系统及设备 - Google Patents

Abstract

本发明涉及信息安全技术领域，尤其涉及一种增强访问安全的信息处理方法，系统及设备；公开了一种方法，系统及相关设备提高互联网应用用户访问的安全技术，解决易用性和通用性问题；提供一种在线产生客户端和服务器端认证和管理识别的可扩展的方法和设备；提供客户端设备注册的技术方法自动关联识别和密钥；以此基础架构为应用提供安全验证用途；其用途包括应用的授权技术方法；客户端和服务器端密钥更新的方法；应用访问时自动化的获得单次有效的访问凭证的方法；本发明包括应用服务器，设备应用关系验证服务器，其中用户端设备包括应用客户端，设备应用关系客户端和独立安全单元；其中设备应用关系验证服务器包括功能和模块如下:设备管理模块接受设备注册；设备应用授权管模块管理设备应用关系；设备更新模块发起系统密钥更新过程；设备应用关系验证模块判断收到的访问凭证。

Description

一种增强访问安全的信息处理方法，系统及设备

技术领域

本发明涉及信息安全技术领域，尤其涉及一种增强访问安全的信息处理方法，系统及设备。

背景技术

互联网用户易于受到应用用户身份,密码等私密信息被盗的攻击威胁，入侵者使用获得的私密信息在未经许可的第三方设备上访问用户隐私信息，消费或者转账等侵害操作。本发明所述方法通过应用账户通过在授权访问的计算机智能设备上访问验证机制，在密码被盗后，第三方设备由于没有被授权而不能访问，系统和账户持有者由于能够第一时间感知密码泄露并及时补救安全漏洞。

目前有新的技术加强用户登录时的安全，如二次密码验证技术，需要每次登录应用，网络或者系统时使用附加的验证码输入或者输入外设的令牌设备产生的动态密钥，如软件令牌和RSA硬件令牌方法，这些方法增加了手动输入验证码步骤或硬件管理的成本，在提高安全的过程增加了用户使用复杂度；需要一种既提高安全性又简化或者不增加用户使用复杂度的技术。

很多应用使用移动智能设备的固定硬件的参数用来识别设备，如IMEI，计算机主机名，MAC地址，IMSI，计算机硬件序列号信息或者计算机系统固定参数的组合计算而得的信息等等，但是这些信息易于模拟，获得或已经泄漏不能满足对于设备的唯一鉴别的更高安全需求，所以不能用于认证访问授权的凭据来源。需要一种动态验证有效的凭证来保证机密性和有效性。

客户端证书认证理论上可以解决用户在登录时的唯一性认证，但是由于昂贵的解决方案和线下管理成本，目前互联架构无法实现为大部分客户端设备访问互联网提供这项安全服务，需要一种便宜和易于管理的自动化的技术增强用户登录，服务的验证。

目前用于验证和身份识别的硬件外设Key，如银行使用的U盾，RSA公司的SecurID,使用便携硬件单元存储密钥，使用离线方式分发客户端密钥保证安全，使用离线和静态人工维护的方式加载服务器端密钥，通过存储密钥的硬件序列号或者设备ID关联签名密钥和验证密钥，这种方式解决了安全问题，也极大的限制了通用性；同时这种方法需要用户管理附加硬件的成本，尤其是如果密钥生命期限到期，目前商用的硬件Key设备，如RSASecurID只能采取换取新的硬件的方法；需要一种能够在线产生和更新客户端密钥和服务器密钥并自动关联的技术和系统。

现在手机号码和邮件是人们经常使用的验证码和授权码的传递主要方式，如果授权短信码或其他形式的授权信息，二维码，邮件被盗用，就可能授权其他的设备访问应用账户，需要一种技术防止授权码或者验证码被冒用的情况下授权非法设备或者通过冒用的设备访问用户账户和服务，既需要一种授权验证码唯一对应指定应用账号和服务对指定用户端设备的授权或验证技术方法。

目前网络中使用的验证，签名等安全技术方法，都需要面对，生日攻击，暴力破解攻击或中间人攻击对产生凭证的密钥的威胁，需要一种能够改善或增强抗暴力破解攻击，生日攻击的威胁，可以侦测中间人攻击威胁的技术从而提高安全等级。

随着移动计算设备迅速普及，可穿戴设备和物联网发展，具备智能计算能力的设备会迅速扩大，需要被认证的设备对于认证的密钥需求会急剧上升，需要提供认证的密钥有巨大的扩展性，能够提供巨大的扩展空间用于未来物联网各种设备的识别和管理能力。

现有方法中，尚没有一种基于多动态设备验证共享码，动态密钥识别共享码混合独立安全单元用来提供设备应用及账户访问凭证的访问验证技术来解决上述问题。本发明用到一些技术术语：消息认证码(英文：MessageAuthenticationCode，简称：MAC)；应用程序编程接口(英文：ApplicationProgrammingInterface，简称：API)。

发明内容

本发明提供一种在线产生客户端和服务器端密钥的可扩展的方法和设备；提供客户端设备注册的技术方法自动关联设备和密钥，以此基础架构为应用提供安全验证用途；其用途包括应用的授权技术方法；客户端和服务器端密钥更新的方法；应用访问时自动化的获得单次有效的访问凭证的方法；提供一种便捷的应用访问验证，过程中不增加终端用户输入验证码的方法和系统；验证当前发起访问的用户应用请求是来自于授权的客户端设备。

本发明实施例提供一种信息处理系统，包括：所述设备应用关系客户端，所述独立安全单元，所述设备应用关系验证服务器，所述应用客户端和所述应用提供服务器五部分构成；

用户端设备包括设备应用关系客户端，独立安全单元，应用客户端；设备应用关系验证服务器包括设备应用关系验证模块，设备更新模块，设备应用授权模块和设备管理模块；

所述设备应用关系客户端是指运行在用户端设备上，通过密钥交换算法产生并注册第一动态设备验证共享码和第二动态设备验证共享码，接收和保存所述设备应用关系验证服务器分发的动态密钥识别共享码，为用户应用提供发起设备访问凭证的服务，本地信息安全加解密的服务，验证和签名功能的所有软件集合的总称；

所述独立安全单元是用户端计算机设备及系统包括的能够提供如下任意一项或多项能力的单元，即能够提供可信安全计算，安全存储，安全UI服务的计算机可信单元，嵌入式系统，内置安全硬件单元及系统或者安全的固件系统；

设备应用关系验证服务器用于发送和接收密钥交换信息，协商产生所述第一动态设备验证共享码，所述第二动态设备验证共享码；产生所述动态密钥识别共享码；设备管理模块接受设备注册；设备应用授权管模块管理设备应用关系；设备更新模块发起系统密钥更新过程；设备应用关系验证模块判断收到的访问凭证对于申请的账户访问或者服务访问是否来自授权的设备,并提供对应的行为指示给应用提供服务器；

所述应用提供服务器是指为任何为用户提供预期服务的服务设备；

所述应用客户端是指发起用户指定的应用服务请求的应用本地程序。

本发明提供一种方法，所述设备应用关系客户端注册到所述设备应用关系验证服务器的方法：

所述设备应用关系客户端与所述设备应用关系验证服务器建立明文会话或者加密会话连接；

所述设备应用关系客户端通过预置的公钥密码验证会话对方是希望的所述设备应用关系验证服务器，

所述设备应用关系客户端通过业界认可的密钥交换算法与所述设备应用关系验证服务器获得共享密钥；

所述设备应用关系客户端与所述设备应用关系验证服务器使用对等方法将获得的对称密钥或基于该密钥种子换算获得的密钥作为第一动态设备验证共享码；

所述设备应用关系客户端与所述设备应用关系验证服务器在当前会话使用与产生第一动态设备验证共享码相同的方法和算法得到第二动态设备验证共享码；

所述设备应用关系客户端将所述第一动态设备验证共享码注册并保存到独立安全单元；

所述设备应用关系客户端将所述第二动态设备验证共享码注册并保存到独立安全单元；

所述设备应用关系验证服务器为第一动态设备验证共享码分配一个注册ID用于在设备注册流程中的标记；

所述设备应用关系验证服务器为第二动态设备验证共享码分配一个注册ID用于在设备注册流程中的标记；

所述设备应用关系验证服务器为第一动态设备验证共享码分配一个密钥识别ID,使用第一动态设备验证共享码加密该密钥识别ID所得密文，再使用第二动态设备验证共享码对其加密所得结果作为所述动态密钥识别共享码，并且将此密钥识别ID,所述动态密钥识别共享码，第一动态设备验证共享码和第二动态设备验证共享码绑定对应关系；

所述设备应用关系验证服务器将第一动态设备验证共享码注册ID,第二动态设备验证共享码注册ID,盐值组成子消息体；

使用第一动态设备验证共享码和第二动态设备验证共享码为产生子消息体凭证；

将子消息体和子消息体凭证组成主消息体；

所述设备应用关系验证服务器使用私钥对主消息体签名，所得结果是签名Sig；

所述设备应用关系验证服务器将主消息体和签名Sig组成的动态设备共享码验证消息发送给所述设备应用关系客户端，消息结构如图9；

所述设备应用关系客户端使用所述设备应用关系验证服务器公钥验证签名Sig；

如验证通过，则进入一下步骤，否则丢弃处理；

所述设备应用关系客户端提取子消息体；

调用独立安全单元接口计算子消息体凭证；

独立安全单元使用第一动态设备验证共享码和第二动态设备验证共享码计算消息体凭证；

独立安全单元将结果返回给所述设备应用关系客户端；；

所述设备应用关系客户端比较计算结果和消息中包括的凭证；

如果一致则继续后续设备注册流程，否则回复错误信息给所述设备应用关系验证服务器；

所述设备应用关系客户端产生设备注册消息，使用用户允许的客户端信息，如时间戳，计算机设备型号或品牌等不限于此的一种或多种信息，所述第一动态设备验证共享码注册ID,所述第二动态设备验证共享码注册ID；随机数盐值合成产生消息体C；

使用第一动态设备验证共享码和第二动态设备验证共享码计算消息体C的凭证；

有益效果：使用第二动态设备验证共享码后，即使黑客捕获此报文，大大提高了暴力破解第一动态设备验证共享码和第二动态设备验证共享码的门槛；在所有的后续交互中都使用了这种方法提高安全等级；

使用所述设备应用关系验证服务器加密公钥加密消息体中的部分明文，如随机数盐值的得到盐值密文；

将此密文代替消息C中的对应的明文，形成最终消息体C1,将消息体C1和消息体凭证组成所述设备注册消息，消息格式如图10；

所述设备应用关系客户端发送设备注册消息给所述设备应用关系验证服务器；

所述设备应用关系验证服务器根据消息中第一动态设备验证共享码注册ID查找对应的第一动态设备验证共享码，使用第二动态设备验证共享码注册ID查找对应的第二动态设备验证共享码；

所述设备应用关系验证服务器使用解密私钥解密收到的消息体C1中的密文，还原明文的消息体；；

使用第一动态设备验证共享码和第二动态设备验证共享码计算消息体C的凭证，验证计算的凭证和消息中发送的凭证是否一致；

如结果通过，则判断为设备注册成功，所述设备应用关系验证服务器将第一动态设备验证共享码和第二动态设备验证共享码标记为注册成功；

有益效果：通过主消息体签名判断消息来自可信的所述设备应用关系验证服务器，通过消息体凭证验证下行方向所述设备应用关系验证服务器用于产生凭证的第一动态设备验证共享码和第二动态设备验证共享码和所述设备应用关系客户端的对应密钥是一致的；使用随机数验证被服务器公钥密码加密传输，只有拥有私钥的服务器才能计算出正确的明文消息体的凭证，保证了上行方向的一致性，从而侦测和防止了在产生第一动态设备验证共享码和第二动态设备验证共享码过程中可能的中间人攻击和完整性破坏；

所述设备注册确认消息由消息体和凭证构成；其中消息体至少由第一动态设备验证共享码注册ID，第二动态设备验证共享码注册ID，注册结果，所述动态密钥识别共享码，随机数组成；

使用第一动态设备验证共享码和第二动态设备验证共享码为计算消息体凭证；

所述设备应用关系验证服务器将所述设备注册确认消息，发送给所述设备应用关系客户端；

所述设备应用关系客户端使用第一动态设备验证共享码和第二动态设备验证共享码验证消息体凭证；如验证通过，所述设备应用关系客户端要求独立安全单元保存所述动态密钥识别共享码，则设备注册成功并流程完成；否则报告错误并结束流程。

本发明提供一种将应用账号的访问，服务，或者行为授权到指定所述设备应用关系客户端设备的方法：

所述应用客户端通过所述设备应用关系客户端提供的API获得动态密钥识别共享码；

所述应用客户端将包括但不限于应用名称或编号，应用用户ID,授权内容，服务提供商信息，要求的授权码信息传递方式，动态密钥识别共享码组成授权请求消息体；

其中授权码信息传递方式包括但不限于通过无线通信，有限固定网络通信，短信，二维码，电子邮件等等；

所述应用客户端调用所述设备应用关系客户端API计算消息体的凭证；

所述应用客户端使用消息体和消息体凭证组成设备应用授权请求消息，发送所述授权请求消息给所述应用提供服务器；

所述应用提供服务器做授权合规检查，如通过，则要求所诉所述设备应用关系验证服务器验证服务，转发授权请求消息给所述设备应用关系验证服务器；

所述设备应用关系验证服务器根据消息中的动态密钥识别共享码，确认是已经注册成功的设备，并查找对应的第一动态设备验证共享码和第二动态设备验证共享码；

使用第一动态设备验证共享码和使用第二动态设备验证共享码验证消息体凭证；

如相等，则根据要求的授权信息传递方式为所述动态密钥识别共享码分配对应的授权码密钥；

产生动态授权码，使用授权码密钥对动态授权码加密产生动态授权码密文M；

有益效果：使用与动态密钥识别共享码唯一对应的授权码密钥加密授权码，使得授权只对当前动态密钥识别共享码对应的设备授权有效，从而防止了授权码被冒用的侵害；

所述设备应用关系验证服务器将授权码密文M,动态密钥识别共享码组成授权码响应消息，发送给所述应用提供服务器；

所述应用提供服务器根据当前申请授权的应用账户选择的授权码传递方式和联系方式传递授权码密文M给用户；

所述应用提供服务器向所述应用客户端发送挑战随机数N用于标记这次授权行为；

所述应用客户端按照收到授权码密文M,所述客户端使用收到的挑战随机数N，时间戳，授权码密文信息M和动态密钥识别共享码构成授权响应消息体Q；

调用所述设备应用关系客户端API；

所述设备应用关系客户端将消息体Q作为参数调用安全单元计算消息体凭证；

所述设备应用关系客户端使用消息体Q和消息体凭证组成授权响应消息，将此消息发送至所述应用提供服务器；

所述应用提供服务器检查动态密钥识别共享码和挑战随机数后记录授权流程状态，转发授权响应消息给所述设备应用关系验证服务器；

所述设备应用关系验证服务器根据授权响应消息中动态密钥识别共享码查找第一动态设备验证共享码，第二动态设备验证共享码共享码和授权码密钥；

使用第一动态设备验证共享码和第二动态设备验证共享码计算得到消息体凭证；

将消息中凭证与计算所得的凭证比较，

如相等则继续验证授权码，否则停止授权过程；

所述设备应用关系验证服务器使用对应的授权码密钥解密消息中的授权码密文M，用此明文与所述设备应用关系验证服务器为该次授权分配的授权码明文记录比较，

如果一致，则此明文授权码对应的授权项目就被批准并且记录在此动态密钥识别共享码对应的表项中；同时发送授权通知消息给所述应用提供服务器；

如果不一致，则把相关失败信息包括在授权通知消息通知应用提供服务器；

所述授权通知消息由授权响应消息中的挑战随机数和判断结果组成；

所述应用提供服务器根据授权通知消息产生应用对应的行为并通知结果到所述应用客户端；

所述设备应用关系客户端收到授权通知消息，应用账户授权设备的过程结束。

本发明提供一种应用用户登录应用服务器获取服务的设备应用关系验证过程：

所述应用客户端发起访问请求到所述应用提供服务器，所述应用提供服务器判断需要设备应用关系认证，发送要求设备应用验证消息，其中消息中包括会话处理ID用来标记这次验证会话；

所述应用客户端收到所述要求设备应用验证消息后，客户端应用程序调用所述设备应用关系客户端API，提交动态密钥识别共享码，时间戳，应用名，应用服务商信息及用户名等信息，所述设备应用关系客户端为这次请求产生设备应用访问凭证消息；

设备应用访问凭证消息由消息体和加密后的消息体凭证组成，消息结构如图10；

其中消息体包括但不限于应用名称，应用账户，应用补充信息，随机数，时间戳，会话处理ID,动态密钥识别共享码构成；

所述应用客户端调用所述设备应用关系客户端API计算消息体凭证；

所述安全单元返回结果凭证；

所述设备应用关系客户端将设备应用访问凭证消息给所述应用客户端；

所述应用客户端发送设备应用访问凭证消息给所述应用提供服务器；

所述应用提供服务器收到设备应用访问凭证消息后，检查会话处理ID有效后，将消息发送至所述设备应用关系验证服务器；

所述设备应用关系验证服务器收到设备应用访问凭证消息，使用动态密钥识别共享码查找第一动态设备验证共享码和第二动态设备验证共享码；

使用第一动态设备验证共享码和第二动态设备验证共享码计算消息体凭证；

比较计算所得凭证与消息中的凭证是否一致；

如果结果一致，则进一步检查对应的设备是否具有应用，账户或者行为的授权，从而得到检查结果；

产生设备应用验证结果消息包括会话处理ID,判断结果，和结果补充信息,发送此消息给应用提供服务器；其中消息内容包括但不限于列举的信息；

所述应用提供服务器按照设备应用结果消息中的结果和补充信息决定这次访问的需要提供的服务。

本发明提供了一种共享码更新的过程用于维护性和自动的系统侧发起的更新：

所述设备应用关系验证服务器为每个注册成功的第一动态设备验证共享码和第二动态设备验证共享码设定有生命周期；当生命周期耗尽之前启动第一动态设备验证共享码，第二动态设备验证共享码和动态密钥识别共享码的更新过程；

所述共享码是指第一动态设备验证共享码，第二动态设备验证共享码和动态密钥识别共享码的统称；

所述共享码密钥是指第一动态设备验证共享码和第二动态设备验证共享码；

所述设备应用关系验证服务器可以从系统侧发起所述更新过程；

所述设备应用关系验证服务器与所述设备应用关系客户端产生新的第一动态设备验证共享码；

所述设备应用关系验证服务器与所述设备应用关系客户端新的第二动态设备验证共享码；

将所述新的第一动态设备验证共享码和新的第二动态设备验证共享码注册保存至独立安全单元；

所述设备应用关系验证服务器产生新的动态密钥识别共享码；

所述设备应用关系验证服务器产生要求设备更新消息，至少包括服务器随机数U，当前动态密钥识别共享码，新的动态密钥识别共享码组成的消息体，和用所述设备应用关系验证服务器私钥对消息体的签名组成；所述设备应用关系验证服务器将所述要求设备更新消息发送给所述设备应用关系客户端；

所述设备应用关系客户端使用所述设备应用关系验证服务器公钥验证所述要求设备更新消息的签名；如果通过继续以下更新过程，否则丢弃；

所述设备应用关系客户端产生设备跟新消息，使用服务器随机数U，时间戳，子消息随机数，当前动态密钥识别码，新的动态密钥识别码组成子消息体；

使用新的第一动态设备验证共享码和新的第二动态设备验证共享码计算子消息体凭证；

将子消息体，子消息体凭证和主消息随机数组成主消息体，使用当前第一动态设备验证共享码和当前第二动态设备验证共享码计算主消息体凭证；

由主消息体和主消息体凭证组成设备更新消息，发送给所述设备应用关系验证服务器，消息结构如图5；

所述设备应用关系验证服务器收到所述设备更新消息，使用当前动态密钥识别共享码对应的当前第一动态设备验证共享码和当前第二动态设备验证共享码计算消息体凭证，与发送的主消息体凭证比较是否一致；

如果一致继续以下过程，否则丢弃；

用新的第一动态设备验证共享码和第二动态设备验证共享码计算子消息体凭证，与消息中发送的子消息体凭证比较；

如果一致，则新的共享码注册成功，否则丢弃；

所述设备应用关系验证服务器产生设备更新确认消息，使用子消息随机数，时间戳，当前动态密钥识别码，新的动态密钥识别码组成子消息体，使用当前第一动态设备验证共享码和当前第二动态设备验证共享码计算子消息体凭证；

所述设备应用关系验证服务器使用子消息体，子消息体凭证,和主消随机数组成设备更新确认消息的主消息体，

使用新的第一动态设备验证共享码和新第二动态设备验证共享码计算主消息体凭证；

使用所述设备应用关系验证服务器私钥对主消息体和凭证组成的消息签名共同组成设备更新确认消息，消息结构如图6；；

所述应用设备关系验证服务器发送设备更新确认消息给所述设备应用关系客户端；

所述设备应用关系客户端使用所述设备应用关系验证服务器公钥验证消息签名；

如签名验证通过，则继续下一步骤更新，否则丢弃；

检查新的动态密钥识别共享码是否正确；

使用对应的新的第一动态设备验证共享码和新的第二动态设备验证共享码验证主消息体凭证；

使用对应的当前第一动态设备验证共享码和当前的第二动态设备验证共享码验证子消息体凭证；

如两次验证都通过，则所述设备应用关系客户端将新的第一动态设备验证共享码和第二动态设备验证共享码设定为注册成功状态；

所述设备应用关系客户端以新的共享码作为验证密钥；

所述设备应用关系客户端将新的动态密钥识别共享码更新为当前密钥识别共享码；

所述设备应用关系客户端使用客户端随机数，时间戳，更新后的当前密钥识别码，更新后的当前第一动态设备验证共享码和更新后的当前第二动态设备验证共享码生成设备注册消息发送给所述设备应用关系验证服务器，消息格式如图10；

所述设备应用关系验证服务器使用更新后动态密钥识别共享码查找对应的第一动态设备验证共享码和第二动态设备验证共享码，计算消息体凭证并将其与消息中发送的凭证比较，验证通过后，发送设备更新结束消息给设备应用关系客户端，消息格式如图10；设备更新技术消息包括当前密钥识别共享码，随机数，使用当前第一和第二动态设备验证共享码计算的消息体凭证；

所述设备应用关系客户端收到设备更新结束消息，检查当前密钥识别共享码，使用第一和第二动态设备验证共享码计算消息体凭证，与消息中发送的凭证比较，验证通过后，设备应用关系验证服务器和设备应用关系客户端都切换到新的共享码和动态密钥识别共享码码作为验证凭据来源，更新过程结束。

本发明具有如下效益：在用户账户及密码被盗的情况下通过动态设备访问凭证技术防止攻击者通过第三方未授权设备访问服务或应用账户相关信息的入侵行为。本发明通过持续自动化的流程产生动态设备凭证，加密和验证省去每次用户应用账户访问手动输入二次用户验证码的步骤。本发明通过双签名机制防止中间人攻击从而保证共享码的端到端安全性。本发明通过动态设备验证共享码机制提高抗暴力攻击和抗生日攻击能力；本发明授权移动智能设备通过验证基于动态设备验证共享码验证方式防止授权验证码被盗后授权其他设备；本发明还提供一种安全，快捷和自动的密钥更新方式达到低成本的系统威胁应对成本和维护成本；本发明提供一种扩展认证客户密钥的方式，在不增加加密算法实现难度和不影响执行效率的情况下实现了扩展，使可以管理的客户端设备大大增加，解决了通用性问题。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本发明的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为本发明实施例中信息处理系统的结构示意图；

图2为本发明实施例中所述设备应用关系客户端注册流程图；

图3为本发明实施例中应用账户授权应用关系客户端设备流程图；

图4为本发明实施例中应用关系客户端验证应用登录服务流程图；

图5为本发明实施例中动态设备更新消息的构成格式；

图6为本发明实施例中动态设备更新确认消息的构成格式；

图7为本发明实施例中设备共享码更新流程；

图8为本发明实施例中客户端消息认证凭证产生流程；

图9为本发明实施例中动态设备共享码验证消息格式；

图10为本发明实施例中包括消息体凭证的消息格式；

图11为客户端设备结构示意图；

图12为设备应用关系验证服务器结构示意图。

具体实施方式

为了提高互联网应用身份相关信息操作及处理过程中的易用性，可维护性，安全性和通用性，本发明实施例提供了一种用于增强互联网络及应用访问验证的方法，系统及相关设备。

以下结合说明书附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明，并且在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。

实施例一、

如图1所示，为本发明实施例提供的信息处理系统的结构示意图，包括设备应用关系客户端11，独立安全单元12，设备应用关系验证服务器13，应用提供服务器14，和应用客户端15，其中：

设备应用关系客户端11是指运行在用户端设备上为用户应用提供发起设备访问凭证服务，本地信息安全加解密服务，验证和签名功能的所有软件集合的总称，其同时提供与用户的UI交换，负责直接与安全独立单元协同工作，与设备应用关系验证服务器会话，辅助或直接产生密钥，更新；对应用客户端提供安全认证或访问凭证服务，加密解密服务的功能实体；

独立安全单元12是指用户端计算机设备及系统包括的能够提供如下任意一项或多项能力的单元，包括提供可信安全计算，安全存储，安全UI服务的计算机可信单元，嵌入式系统，内置安全硬件单元及系统或者固件单元；其只对设备应用关系客户端提供以上所列服务；在实用中，部分功能可在设备应用关系客户端实现；

设备应用关系验证服务器13是用于管理客户端设备，设备应用关系管理，判断设备应用访问凭证对于申请的账户访问或者服务访问是否来自授权的设备并提供对应的行为指示给应用提供服务器；

应用提供服务器14是指任何为用户提供预期服务的服务设备；其利用设备应用关系验证服务器提供的用户设备访问关系凭证验证服务来决定最终提供给终端用户的服务响应；

所述应用客户端15是指发起用户指定的应用服务请求的应用本地程序，其负责调取本地设备应用关系客户端API产生用户设备访问关系凭证并把此服务嵌入应用的流程中获取服务。

实施例二、

具体实施时，如图2中为本发明实施例中所述设备应用关系客户端注册流程图；

步骤S21产生第一动态设备验证共享码,步骤S24产生第二动态设备验证共享码，共享码产生算法可以使用ECDH算法，Diffie-Hellman密钥交换算法，或者RSA密钥可靠传递；较优的使用ECDH算法可以获得更高的计算效率，同等安全级别下更短的密钥长度；

步骤S21和步骤S25需要在设备应用关系客户端及独立安全单元结合计算和保存密钥种子信息，继而基于该种子信息产生最终密钥作为第一动态设备验证共享码和第二动态设备验证共享码；

方式一：设备应用关系客户端通过步骤S22将计算密钥的公开参数传递给独立安全单元，在独立安全单元中计算出密钥的种子信息及基于该种子信息的最终密钥，这种方法保证了种子信息和密钥的更高级别安全；

方式二：步骤S21由设备应用关系客户端运行程序计算种子信息，并生成最终的密钥，即第一动态设备验证共享码，通过步骤S22基于种子信息得到的动态设备验证共享码注册到独立安全单元；方式二安全性稍低于方式一，但实现难度较低；

较优的，具体实施时种子信息和密钥，即第一动态设备验证共享码和第二动态设备验证共享码在独立安全单元中计算产生。

实施时，步骤S23分配密钥识别ID与第一动态设备验证共享码和第二动态设备验证共享码绑定；使用第一动态设备验证共享码加密密钥识别ID得到密文，使用第二动态设备验证共享码加密其密文所得信息作为动态密钥识别共享码；

步骤S27计算动态密钥识别共享码时，使用第一动态设备验证共享码和第二动态设备验证共享码加密产生，加密算法包括但不限于可以是AES256，AES192，优选的使用AES256或使用与其安全级别等同的国家认证的算法和密钥强度；安全密钥长度和算法随着计算机科学是不断演进的，本发明遵循安全验证级别使用业界演进的规律和国家认证的算法；；

独立安全单元中注册的第一动态设备验证共享码和第二动态设备验证共享码只能被设备应用关系客户端使用；其他未被允许的程序是不能使用独立安全单元中的密钥来计算，加密，验证；

步骤S23所述设备应用关系验证服务器注册设备分配的密钥识别ID明文是不允许发送给任何单元的，从而提高了暴力破解获得动态密钥识别共享码密钥的门槛；在密钥识别ID不变的情况下，动态密钥识别共享码随着第一动态设备验证共享码和第二动态设备验证共享码的变换而变化。

步骤S23和S26分配的注册码ID具有双重作用，其一是唯一的标记这次注册，如果在验证流程中验证没有通过，则这次注册码就失效，从而防止重放攻击；其二是在注册的过程中如果通信中断，在新建立的链接中可以继续使用注册码完成如图2所示流程，保障了通信过程的完整性从而适应多变复杂网络环境；

计算消息认证码的算法包括但不限于使用单向散列函数实现的HMAC，或使用DES,AES之类的分组密码实现的消息认证码等等方法或算法；

较佳的使用单向散列函数实现的HMAC计算消息认证码，其在商用计算机平台，尤其是移动智能平台兼容性较强，HMAC安全级别在商业网络中一致认可，易于市场推广；

步骤S28动态共享码验证通过后，后续通信的认证基于以下两种方式：

方式一：基于第一动态设备验证共享码和第二动态设备验证共享码实现；

方法二：在方式二的基础上增加所述设备应用关系验证服务器私钥的签名；

较佳的，使用方式一可以节省运算和签名验证的步骤；

步骤S29，设备应用关系客户端发送计算消息体认证码密文请求给独立安全单元中；

步骤S210在独立安全单元计算消息体凭证；

步骤S211只返回消息体凭证；

步骤S29,S210，S211较佳的运算场所是独立安全单元；

步骤S212设备注册消息，优选的，提供用户许可的客户端信息用于描述注册设备，如注册时间，设备类型及描述，位置等等；

步骤S213设备注册确认消息，同时发送动态密钥识别共享码给设备应用关系客户端；

步骤S214将验证通过的动态密钥识别共享码保存到独立安全单元提供的安全存储区；同时确认第一动态设备验证共享码和第二动态设备验证共享码注册成功；可以为应用客户端提供服务状态。

实施例三、

本发明可以用于公共网络互联网用户的设备应用关系验证，用户接入设备和应用关系验证；

如图3是一种电子邮件应用账户授权应用关系客户端设备流程：

具体实施时，电子邮件应用客户端只与设备应用关系客户端会话，

步骤S31计算消息体凭证，设备应用关系客户端使用如图2中步骤S210,S211,和S212完成请求的消息体凭证计算，将M凭证通过S32返回个应用客户端，电子邮件应用客户端将此凭证作为当前消息认证部分包含在S33授权请求消息中发出；

具体实施时，步骤S33和S35授权请求消息中信息包括但不限于应用ID,用户ID，动态密钥识别共享码，应用授权的期限，应用补充的授权信息，如写，登录动作，等等；其中动态密钥识别共享码是通过所述设备应用关系客户端API查询获得；

具体实施时，S34步骤可以由应用决定检查的信息和选项；

步骤S36产生的授权码用于标记这次授权请求中包括的范围和关系；授权码信息长度和其传递方式决定，如包括但不限于短信，二维码，电子邮件，电话，视频，QQ,微信等等；

如使用短信为信息传递方式，则使用较短的密钥；

如使用二维码或者电子邮件的方式，则可以传递较长的信息，可以使用AES256算法加密；

步骤S39将授权码消息发给电子邮件应用服务器；

具体实施时，发送授权码消息给应用提供服务器，由于终端客户和应用提供服务器之间有服务的约定，所以优选的，应用服务器是授权码发送的路径；

步骤S311输入授权码信息，包括但不限于屏幕UI输入，摄像头输扫描，图像识别，从邮件类容拷贝粘贴等等；

步骤S312发送服务器随机数是电子邮件应用服务器用来管理这次授权的标记，同时也用于挑战客户端凭证；

电子邮件应用客户端使用步骤S313和S314获得消息体凭证，步骤S315授权响应消息发送给电子邮件应用提供服务器；

步骤S316帮助电子邮件应用提供服务器记录流程状态并转发消息；步骤S317转发授权响应消息到设备应用关系验证服务器；

步骤S318设备应用关系验证服务器首先使用消息中动态密钥识别共享码对应的第一动态设备验证共享码和第二动态设备验证共享码验证消息中的凭证是否匹配；然后验证授权码密钥解密的授权码是否和动态密钥识别共享码保存的授权码明文一致；如果都通过匹配，将该授权码对应的电子邮件应用，用户ID，授权的服务操作和授权时间该设备关系添加到设备应用列表中；

步骤S319通知电子邮件应用提供服务器授权流程结束；

步骤S320通知电子邮件应用客户端服务器授权流程结束；

步骤S321设备应用关系客户端使用设备第一动态设备验证共享码和第二动态设备验证共享码验证授权通知消息；根据结果电子邮件应用客户端将成功的授权应用信息保存到设备应用关系客户端；如电子邮件账户，邮件服务商，邮件服务描述信息等；

设备应用关系客户端收到步骤S320授权通知消息，验证消息体凭证通过后，结束授权流程。

实施例四、

本发明可以帮助企业，机构的专业应用网络管理发起应用访问的边界，及设备；

用户可以通过如实施例三的方式授权设备应用关系，但这种方式适合自助服务模式，适合多变，灵活的公众用户需求；

较佳的企业内网可以使用自动化关联企业内服运营部门的方式自动的配置应用和设备关系，从而省去每个员工自助授权的过程，从而实现企业IT访问端设备边界管理。

实施例五、

本发明提供自动化的应用请求设备关系验证，从而节省了用户手动输入验证码的步骤，如图4；

具体实施中，如企业内网的代码应用访问：步骤S41应用客户端发起应用登录请求消息；

步骤S42应用提供服务器要求设备应用验证消息；

步骤S43调用设备应用关系客户端API,计算消息体凭证；

步骤S44使用安全独立单元计算的凭证返回给代码访问应用客户端；

步骤S45代码访问客户端发送设备应用访问凭证消息给代码服务器；

步骤S46代码服务器授权检查是这次访问请求的响应；

步骤S47代码服务器要求设备应用关系验证服务器验证访问关系；

步骤S48设备应用关系验证服务器使用应用访问凭证消息中的动态密钥识别共享码查找其对应的第一动态设备验证共享码和第二动态设备验证共享码；验证消息中的凭证是否和计算的结果一致，如果一致，则继续检查设备应用列表是否包括了消息中请求的代码应用授权和操作操作授权；从而产生判断结果；

步骤S49将设备应用验证结果消息发送给代码服务器；

代码验证服务器根据消息中指示的结果决定授予当前请求的服务。

实施例六、

如图7所示，本发明提供了一种共享码更新的过程用于维护性和自动的系统侧发起的更新：

具体实施时，所述设备应用关系验证服务器为每个注册成功的第一动态设备验证共享码和第二动态设备验证共享码设定有生命周期；当生命周期耗尽之前启动第一动态设备验证共享码，第二动态设备验证共享码和动态密钥识别共享码的更新过程；

较佳的，从服务器侧发起共享码更新的过程用以保证系统在侦测到攻击，有健壮的安全性；

具体实施时，如图7步骤S71所述设备应用关系验证服务器与所述设备应用关系客户端使用与产生新的第一动态设备验证共享码；步骤S72注册新的第一动态设备验证共享码到独立安全单元；

步骤S73产生新的第二动态设备验证共享码；步骤S74注册新的第二动态设备验证共享码到独立安全单元；

步骤S75所述设备应用关系验证服务器使用新的第一和第二动态设备验证共享码计算出新的动态密钥识别共享码；

步骤S76所述设备应用关系验证服务器使用由服务器随机数U，当前动态密钥识别共享码，新的动态密钥识别共享码组成的消息体，和用所述设备应用关系验证服务器私钥对消息体的签名组成的所述要求设备更新消息发送给所述设备应用关系客户端；

具体实施时，所述设备应用关系客户端使用所述设备应用关系验证服务器公钥验证‘要求设备更新消息’的签名；

步骤S77所述设备应用关系客户端使用，服务器随机数U，时间戳，子消息随机数，当前动态密钥识别码，新的动态密钥识别码组成子消息体；

使用新的第一动态设备验证共享码和新的第二动态设备验证共享码计算子消息体凭证；

步骤S78,子消息体，其凭证和主消息随机数组成动态设备更新消息的主消息体，使用当前第一动态设备验证共享码和当前第二动态设备验证共享码计算主消息体凭证；

步骤S79所述设备应用关系客户端产生所述动态设备更新消息，由主消息体和其凭证组成设备更新消息，发送给所述设备应用关系验证服务器，消息结构如图5；

步骤S710使用当前动态密钥识别共享码对应的当前第一动态设备验证共享码和第二动态设备验证共享码验证主消息体凭证，与消息中发送的凭证比较是否一致；

步骤S711使用新的动态密钥识别共享码对应的新第一动态设备验证共享码和第二动态设备验证共享码验证子消息体凭证，是否与消息中包含的子消息凭证一致；

如果一致继续以下过程，否则丢弃；此验证表明消息发送者持有当前共享码和新的共享码；

步骤S712所述设备应用关系验证服务器使用子消息随机数，当前动态密钥识别码，新的动态密钥识别码组成子消息体，使用当前第一动态设备验证共享码和当前第二动态设备验证共享码计算子消息体凭证；

步骤S713所述设备应用关系验证服务器使用子消息体，子消息体凭证,和主消随机数组成设备更新确认消息的主消息体；

步骤S714产生设备更新确认消息，实施时使用新的第一动态设备验证共享码计算主消息体和新第二动态设备验证共享码计算主消息体凭证，使用所述设备应用关系验证服务器私钥对主消息体和主消息体凭证组成的信息签名；以上共同组成设备更新确认消息，消息结构如图6；；

步骤S715所述应用设备关系验证服务器发送设备更新确认消息给所述设备应用关系客户端；

所述设备应用关系客户端使用所述设备应用关系验证服务器公钥验证消息签名；

如签名验证通过，则继续一下步骤更新，否则丢弃；

检查新的动态密钥识别共享码是否正确；

使用对应的新的第一动态设备验证共享码和新的第二动态设备验证共享码计算主消息体凭证，将其与消息中发送的凭证比较；

如果一致，则继续后续流程，否则丢弃；

使用当前第一动态设备验证共享码和当前的第二动态设备验证共享码计算子消息体凭证，将其与消息体中发送的凭证比较；

如两次判断都通过，则所述设备应用关系客户端将新的第一动态设备验证共享码和第二动态设备验证共享码设定为注册成功状态；

步骤S716将新的动态密钥识别共享码更新为当前密钥识别共享码并保存到独立安全单元；

步骤S717所述设备应用关系客户端使用客户端随机数，时间戳，更新后的当前密钥识别码，更新后的当前第一动态设备验证共享码和更新后的当前第二动态设备验证共享码组建一个设备注册消息发送给所述设备应用关系验证服务器，消息格式如图10；

所述设备应用关系验证服务器依据设备注册消息验证流程完成验证后，在服务器将用新的第一动态设备验证共享码码，新的第二动态设备验证共享码码，新的动态设备识共享码代替旧的共享码用于未来的验证共享码；

步骤S718所述设备应用关系验证服务器发送设备跟新结束消息给设备应用关系客户端，消息格式如图10；该消息证实设备应用关系验证服务器和设备应用关系客户端都切换到新的共享码作为验证凭据来源，更新过程结束。

实施例七、

本发明提供设备应用关系客户端为应用客户端提供安全凭证信息的方法，如图8为本发明实施例中客户端消息认证凭证产生流程，具体实施时：

步骤S81应用客户端请求获取当前设备的动态密钥识别共享码；应用关系客户端首先会检查提起请求的应用客户端是否签约应用，如果是才提供后续安全凭证服务

步骤S82设备应用关系客户端将动态设备共享码返回给应用客户端；

步骤S83应用客户端将包括但不限于相关应用名称或ID,用户ID或用户名，访问的服务类型，应用指定的补充信息，挑战随机数等组成的消息序列提交设备应用关系客户端，请求计算消息体凭证；

步骤S84设备应用关系客户端将所述消息体提交到独立安全单元；

步骤S85独立安全单元使用设备应用关系客户端对应的第一动态设备验证共享码计算消息凭证；

步骤S86独立安全单元使用对应的第二动态设备验证共享码计算凭证；

步骤S87独立啊安全单元将凭证返回给所述设备应用关系客户端；

步骤S88设备应用关系客户端将凭证返回给应用客户端。

实施例八、

本发明具体实施时，具备扩展能；本发明以第一动态设备验证共享码为基础，通过第二动态设备验证共享码增强的方法，类比，可以扩展第三动态设备验证共享码，整个发明的技术和过程不变的情况下取得设备管理数的提升；具体实施时，可以使用第三动态设备共享码对所述凭证再次加密；

实施时，不启用第二动态设备验证共享码，而其余的技术，方法，系统和设备不变的情况下本发明仍然可以部署，可以取得自动，安全和在访问验证过程中不增加终端用户操作复杂度的方法和系统。同理在增加第三动态设备验证共享码的情况下，其作用和方法与第二动态设备验证共享码一致；所述设备应用关系客户端和独立安全单元仍然可以使用本发明技术方法通过产生单次有效的访问凭证，验证当前发起访问的用户应用请求是来自于授权的客户端设备；

具体实施时，在不启用第二动态设备验证共享码功能情况下，防暴力攻击威胁的能力会下降，如生日攻击的威胁；同时单一密钥长度范围限定管理设备应用关系客户端数的上限，所以可以管理的设备数大大减少了，但是对于一些的企业专用场景，如客户端设备不多的场景是足够的；

具体实施时，在不使用第二动态设备验证共享码的情况下，实施时引起的变换如下：

在如图2为本发明实施例中所述设备应用关系客户端注册流程中，动态密钥识别共享码只能用第一动态设备验证共享码验证；所有的消息体消息凭证不再进行第二动态设备验证共享码相关的计算和比较；所述动态设备应用关系客户端和所述设备应用关系验证服务器不管理和分配与第二动态设备验证共享码相关的资源和数据；

在如图3实施例中应用账户授权应用关系客户端设备流程中，所有的消息体消息凭证不再进行第二动态设备验证共享码相关的计算和比较；所述动态设备应用关系客户端和所述设备应用关系验证服务器不管理和分配与第二动态设备验证共享码相关的资源和数据；

在如图4实施例中应用账户授权应用关系客户端设备流程中，所有的消息体消息凭证不再进行第二动态设备验证共享码相关的计算和比较；所述动态设备应用关系客户端和所述设备应用关系验证服务器不管理和分配与第二动态设备验证共享码相关的资源和数据；

具体实施时，如图7为本发明实施例中设备共享码更新流程中，将不会有第二动态设备验证共享码更新相关的过程和运算，只用第一动态设备验证共享码计算凭证，验证运算和比较；所述动态设备应用关系客户端和所述设备应用关系验证服务器不管理和分配与第二动态设备验证共享码相关的资源和数据；

如图8为本发明实施例中客户端消息认证凭证产生流程中所有的消息体消息凭证不再进行第二动态设备验证共享码相关的计算和比较；

步骤S86凭证有第一动态设备验证共享码计算。

Claims (30)

1.一种方法，系统及相关设备，其特征在于，包括：

用户端设备，其包括设备应用关系客户端，独立安全单元，和应用客户端；

所述设备应用关系客户端用于发送和接收密钥交换信息；协商产生所述第一动态设备验证共享码和所述第二动态设备验证共享码；接收和注册所述设备应用关系验证服务器分发的动态密钥识别共享码；为应用客户端提供接口；与安全独立单元接口交互，为请求认证的消息体返回消息认证凭证；

所述独立安全单元接受所述第一动态设备验证共享码和所述第二动态设备验证共享码注册；为所述动态密钥识别共享码提供安全存储；为接收到的消息体计算消息凭证，加密或解密，并将结果返回给所述设备应用关系客户端；为设备应用关系客户端提供接口；

应用客户端用于产生登录请求信息；提交消息体给所述设备应用关系客户端为其消息体产生凭证信息；并将包含此凭证信息的登录请求消息用于获得应用访问服务；

设备应用关系验证服务器用于发送和接收密钥交换信息，协商产生所述第一动态设备验证共享码，所述第二动态设备验证共享码；产生所述动态密钥识别共享码；设备管理模块接受设备注册；设备应用授权管模块管理设备应用关系；设备更新模块发起系统密钥更新过程；设备应用关系验证模块判断收到的访问凭证对于申请的账户访问或者服务访问是否来自授权的设备,并提供对应的行为指示给应用提供服务器；

应用提供服务器用于用户要求设备应用关系验证请求；参与应用授权流程并产生设备应用关系验证标志；根据设备应用关系验证状态向所述设备应用关系验证服务器请求访问凭证验证；按照凭证判断结果提供预期服务。

2.如权利要求1所述的系统，一种设备应用关系客户端其特征在于，包括：

将所述第一动态设备验证共享码注册并保存到独立安全单元；

将所述第二动态设备验证共享码注册并保存到独立安全单元；

接收所述动态密钥识别共享码；发起设备注册流程；

注册成功的所述第一动态设备验证共享码或所述第一动态设备验证共享码和所述第二动态设备验证共享码的组合均可唯一的认证一个所述设备应用关系客户端，即客户端计算设备；所述动态密钥识别共享码唯一的对应所述第一动态设备验证共享码和所述第二动态设备验证共享码。

3.如权利要求1所述的系统，一种设备应用关系验证服务器其特征在于，包括：

通过与所述设备应用关系客户端之间密钥交换的方式产生的种子信息并换算所述第一动态设备验证共享码和所述第二动态设备验证共享码；

为所述第一动态设备验证共享码和所述第一动态设备验证共享码分配对应的密钥识别ID；

使用所述第一动态设备验证共享码加密密钥识别ID,再使用第二动态设备验证共享码加密，所得信息作为所述动态密钥识别共享码包含在消息中发送给所述设备应用关系客户端；

接受设备注册；为所述应用服务器发送的凭证提供验证服务；接受应用授权；

管理设备信息，发起设备共享码更新流程。

4.如权利要求1-3所述的系统，其特征在于，包括：

所述设备应用关系客户端注册到所述设备应用关系验证服务器，步骤：

所述设备应用关系验证服务器向所述设备应用关系客户端发送动态设备共享码验证消息；

所述设备应用关系客户端验证消息签名和消息凭证；

所述设备应用关系客户端向所述设备应用关系验证服务器发送设备注册消息；

所述设备应用关系验证服务器向所述设备应用关系客户端发送设备注册确认消息。

5.如权利要求4所述的方法，其特征在于，包括：

所述设备共享码验证消息至少包括主消息体，和主消息体签名组成，其中主消息体由子消息体，子消息体凭证组成；

子消息体至少由所述设备应用关系验证服务器为第一动态设备验证共享码分配一个注册ID，所述设备应用关系验证服务器为第二动态设备验证共享码分配一个注册ID，盐值组成；

所述设备应用关系验证服务器使用私钥对主消息体签名；

所述设备应用关系验证服务器使用第一动态设备验证共享码和第二动态设备验证共享码计算子消息体凭证；

所述设备应用关系验证服务器将主消息体和签名组成的动态设备共享码验证消息发送到所述设备应用关系客户端。

6.如权利要求4所述的方法，其特征在于，包括：

所述设备注册消息至少包括消息体和消息体凭证：

其中消息体至少包括第一动态设备验证共享码注册ID,所述第二动态设备验证共享码注册ID，随机数盐值密文，和用户允许的客户端信息，如时间戳，计算机设备型号或品牌等不限于此的一种或多种信息；

使用第一动态设备验证共享码和第二动态设备验证共享码计算消息体明文的凭证；

使用所述设备应用关系验证服务器加密公钥加密消息体中部分信息，如随机数盐值，用此密文代替消息体中的随机数盐值明文组成新的消息体，将此消息体与所述基于明文计算的凭证组成设备注册消息；

所述设备应用关系客户端发送设备注册消息到所述设备应用关系验证服务器。

7.如权利要求4所述的方法，其特征在于，包括：

所述设备应用关系验证服务器验证设备注册消息的方法：

提取消息体中密文；使用加密公钥对应的私钥解密，得到明文；

使用明文代替消息体中的密文还原消息体；

使用消息体中第一动态设备验证共享码注册ID查找第一动态设备验证共享码；

使用消息体中第二动态设备验证共享码注册ID查找第二动态设备验证共享码注册ID；

使用所述第一动态设备验证共享码和所述第二动态设备验证消息凭证。

8.如权利要求4所述的方法，其特征在于，包括：

所述设备注册确认消息至少包括消息体和消息体凭证：

其中消息至少包括第一动态设备验证共享码注册ID，第二动态设备验证共享码注册ID，注册结果，所述动态密钥识别共享码，服务器端随机数盐值和所述设备注册消息中密文被还原后的明文部分；

使用第一动态设备验证共享码和使用第二动态设备验证共享码计算消息体凭证；

所述设备应用关系验证服务器发送所述设备注册确认消息给所述设备关系应用客户端。

9.如权利要求4所述的方法，其特征在于:

所述设备应用关系客户端收到设备注册确认消息，使用第一动态设备验证共享码和第二动态设备验证消息凭证，验证通过后，所述设备应用关系客户端将所述动态密钥识别共享码保存到独立安全单元。

10.一种方法用于将应用及账号授权到设备应用关系客户端，即用户设备，其特征在于，包括：

所述应用客户端发送授权请求消息到所述应用服务器；

所述设备应用关系验证服务器发送授权码消息；

所述应用服务器发送挑战随机数给所述应用客户端；

所述设备应用关系客户端发送授权响应消息；

所述设备应用关系验证服务器发送授权通知消息。

11.如权利要求10所述的方法，其特征在于，

所述应用客户端通过所述设备应用关系客户端提供的应用接口获得动态密钥识别共享码。

12.如权利要求10所述的方法，其特征在于，包括：

所述授权请求消息至少包括消息体和消息凭证；

其中消息体至少包括：动态密钥识别共享码，应用名称或编号，应用用户ID,授权内容，服务提供商信息，要求的授权码信息传递方式，组成授权请求消息体；

其中授权码信息传递方式包括但不限于通过无线通信，固定网络通信，短信，网页，电子邮件,电话，视频，QQ，微信和实时信息传递服务；

所述应用客户端将所述设备应用授权请求消息发送到所述应用服务器。

13.如权利要求10所述的方法，其特征在于，包括：

所述设备应用关系验证服务器根据要求的授权信息传递方式为所述动态密钥识别共享码分配对应的授权码密钥；

所述设备应用关系验证服务器产生动态授权码；

使用授权码密钥对动态授权码加密产生动态授权码密文；

所述授权码消息内容至少包括授权码密文；所述设备应用关系验证服务器发送授权码消息到所述应用服务器。

14.如权利要求10所述的方法，其特征在于，

所述应用服务器发送挑战随机数给所述应用客户端用于标记授权过程，此挑战随机数会明文方式包括在授权响应消息和授权通知消息中，应用服务器并将最终的结果记录在应用帐户的应用设备关系验证标志状态中，基于此状态判断是否需要设备应用关系验证。

15.如权利要求10所述的方法，其特征在于，包括：

所述授权响应消息的产生方法，至少包括消息体和凭证两部分：

其中消息体至少由挑战随机数,授权码密文,时间戳，和动态密钥识别共享码构成授权响应消息体；

所述应用客户端将授权响应消息发送到应用服务器，所述应用服务器记录状态后转发消息到所述设备应用关系验证服务器。

16.如权利要求10所述的方法，其特征在于，包括：

所述设备应用关系验证服务器验证授权响应消息的方法：

所述设备应用关系验证服务器根据授权响应消息中动态密钥识别共享码查找第一动态设备验证共享码，第二动态设备验证共享码；验证授权响应消息的凭证；

所述设备应用关系验证服务器使用动态密钥识别共享码查找对应的授权码密钥解密消息中的授权码密文，用此明文与所述设备应用关系验证服务器为该次授权分配的授权码明文记录比较；如果验证通过，则此明文授权码对应的授权项目就被批准并且记录在此动态密钥识别共享码对应设备应用关系客户端的表项中。

17.如权利要求10所述的方法，其特征在于，包括：

所述授权通知消息至少包括消息体和凭证两部分：

消息体至少由挑战随机数和判断结果组成；

所述设备应用关系验证服务器将授权通知消息发送给所述应用服务器，应用服务器标记设备应用验证状态标记后，转发消息到所述应用客户端。

18.如权利要求1-3所述的方法，一种方法，其特征在于，包括步骤：

所述应用客户端发起应用登录请求消息；

所述应用服务器要求设备应用验证消息；

所述应用客户端发送设备应用访问凭证消息；

所述设备应用关系验证服务器发送设备应用验证结果消息。

19.如权利要求18所述的方法，其特征在于，包括：

所述设备应用访问凭证消息至少包括消息体和消息体凭证两部分组成，其中消息体中至少包括动态密钥识别共享码，由应用服务器分配的会话ID，应用名称，应用服务商信息，用户名，申请的服务类型和时间戳；其中所述动态密钥识别共享码是所述应用客户端调用所述设备应用关系客户端接口获得；

应用客户端将设备应用访问凭证消息发送给所述应用服务器。

20.如权利要求18所述的方法，其特征在于，包括：

所述设备应用关系验证服务器收到所述应用服务器转发的设备应用访问凭证消息，发起验证过程：

根据消息体中动态密钥识别码查找对应的第一动态设备验证共享码和第二动态设备验证共享码；

使用第一动态设备验验证消息体凭证；

在第一动态设备验证共享码对应的服务中检查收到的凭证中要求的应用名称，服务商，用户名和要求的访问类型是否有权限。

21.如权利要求18所述的方法，其特征在于，包括：

所述设备应用验证结果消息中至少包括设备判断结果，会话ID，应用名称，应用服务商信息，用户名，申请的服务类型；

所述设备应用关系验证服务器发送设备应用验证结果消息给所述应用服务器；

所述应用服务器根据判断结果提供服务。

22.如权利要求1-3所述的系统和方法，其特征在于，包括：

本发明提供一种第一动态设备验证共享码，第二动态设备验证共享码和动态密钥识别共享码的自动更新方法，步骤如下：

所述设备应用关系验证服务器与所述设备应用关系客户端产生新的第一动态设备验证共享码；

所述设备应用关系验证服务器与所述设备应用关系客户端产生新的第二动态设备验证共享码；

所述设备应用关系验证服务器产生新的动态密钥识别共享码；

所述设备应用关系验证服务器产生要求设备更新消息；

所述设备应用关系客户端产生设备跟新消息；

所述设备应用关系验证服务器验证所述设备更新消息；

所述设备应用关系验证服务器产生设备更新确认消息；

所述设备应用关系客户端发送设备注册消息；

所述设备应用关系验证服务器客发送设备更新结束消息。

23.如权利要求22所述的方法，其特征在于，包括：

所述要求设备更新消息，至少包括由服务器随机数盐值，当前动态密钥识别共享码，新的动态密钥识别共享码组成的消息体，和用所述设备应用关系验证服务器私钥对消息体的签名组成；所述设备应用关系验证服务器发送所述要求设备更新消息给所述设备应用关系客户端。

24.如权利要求22所述的方法，其特征在于，包括：

所述设备应用关系客户端产生设备跟新消息，至少包括由主消息体和主消息体凭证；其中主消息体包括子消息体和子消息体凭证；其中子消息体至少包括：服务器随机数盐值，时间戳，子消息随机数，当前动态密钥识别码，新的动态密钥识别码；

使用新的第一动态设备验证共享码和当前第二动态设备验证共享码产生子消息体凭证；

使用当前第一动态设备验证共享码和新的第二动态设备验证共享码产生主消息体凭证

所述设备应用关系客户端发送所述设备跟新消息给所述设备应用关系验证服务器。

25.如权利要求22所述的方法，其特征在于，包括：

所述设备更新确认消息至少包括主消息体，主消息体凭证和所述设备应用关系验证服务器签名私钥签名组成；其中主消息体由子消息体和子消息体凭证构成；

其中子消息至少包括子消息随机数，时间戳，当前动态密钥识别码，新的动态密钥识别码；

使用当前第一动态设备验证共享码和当前第二动态设备验证共享码产生子消息体凭证；

使用新的第一动态设备验证共享码和新的第二动态设备验证共享码产生主消息体凭证；

所述设备应用关系验证服务器发送设备更新确认消息给所述设备应用关系客户端。

26.如权利要求22所述的方法，其特征在于，包括：

所述设备注册消息至少包括客户端随机数，时间戳，更新后的当前动态密钥识别共享码，和消息体凭证；

所述设备应用关系客户端向所述设备应用关系验证服务器发送所述设备注册消息。

27.如权利要求22所述的方法，其特征在于，包括：

所述设备应用关系验证服务器使用消息中动态密钥识别共享码对应的第一动态设备验证共享码和第二动态设备验证共享码验证消息；

验证通过后，设备应用关系验证服务器和设备应用关系客户端都切换到新的共享码和动态密钥识别共享码作为验证凭据来源；

发送设备更新结束消息，其中消息至少包括当前动态密钥识别共享码。

28.如权利要求1-3所述的方法，其特征在于，包括：

所述独立安全单元提供计算凭证的方法：所述应用客户端调用所述设备应用关系客户端接口计算消息体凭证；

所述设备应用关系客户端调用所述独立安全单元接口计算消息体凭证；

所述独立安全单元使用第一动态设备验证共享码和第二动态设备验证共享码执行计算；

所述独立安全单元返回结果给所述设备应用关系客户端；

所述设备应用关系客户端返回结果给所述应用客户端。

29.如权利要求1-3所述的方法，其特征在于，包括：

一种扩展的方法，所述第一动态设备验证共享码叠加第二动态设备验证共享码实现了认证密钥范围的扩展；类比，可以增加第三动态设备验证共享码的方法扩展认证密钥的范围。

30.如权利要求1-28所述的方法，其特征在于所述第一动态设备验证共享码可以在没有所述第二动态设备验证共享码的扩展的情况下完成方法中的功能。