CN105827406A - 一种身份验证方法、装置和系统 - Google Patents

Abstract

本发明实施例公开了一种身份验证方法、装置和系统；本发明实施例采用在用户访问资源的期间，接收客户端周期性上报的验证信息，其中，该验证信息包括用户标识和用户的击键行为数据，然后根据该用户标识获取相应的击键行为模型，并根据该击键行为模型对该用户的击键行为数据进行合法性验证，若验证不通过，则阻止用户访问资源，反正，若验证通过，则允许用户访问资源，并返回执行接收客户端周期性上报的验证信息的步骤，以对用户的击键行为的合法性进行持续性监控。该方案可以大大提高信息的安全性。

Description

一种身份验证方法、装置和系统

技术领域

本发明涉及通信技术领域，具体涉及一种身份验证方法、装置和系统。

背景技术

随着通信技术的发展，以及终端的广泛应用，通信设备之间的信息交互也日益频繁，所涉及的数据量也颇为巨大，而如何提高在此过程中的信息安全性，也是人们广为关注的一个问题。

在现有技术中，存在有多种方式来保障信息的安全性，对用户进行身份认证就是其中一种较常使用的方法。在现有的身份认证方案中，一般都会根据用户输入的账号名称和密码来对其身份进行验证，或者，还可以根据用户的指纹或虹膜等生理特征、或者击键习惯来对其身份进行验证，在验证成功后，便判断该用户为合法用户，于是允许用户进行后续操作。

在对现有技术的研究和实践过程中，本发明的发明人发现，如果攻击者通过某种方式绕过了这一次身份认证，比如合法用户在公用设备上登录了自己的即时通讯工具没有退出，而攻击者通过某种途径取得设备的使用权，则系统无法识别出攻击者，因此，现在方案的安全性还不够高。

发明内容

本发明实施例提供一种身份验证方法、装置和系统，可以提高其安全性。

本发明实施例提供一种身份验证方法，包括：

在用户访问资源的期间，接收客户端周期性上报的验证信息，所述验证信息包括用户标识和用户的击键行为数据；

根据所述用户标识获取相应的击键行为模型；

根据所述击键行为模型对所述用户的击键行为数据进行合法性验证；

若验证不通过，则阻止用户访问资源；

若验证通过，则允许用户访问资源，并返回执行所述接收客户端周期性上报的验证信息的步骤。

本发明实施例还提供一种身份验证方法，包括：

在用户访问资源的期间，采集用户的击键行为数据；

向身份验证装置周期性上报验证信息，所述验证信息包括用户标识和所述击键行为数据，以便所述身份验证装置根据所述验证信息和预置的击键行为模型进行身份验证。

相应的，本发明实施例还提供一种身份验证装置，包括接收单元、获取单元、持续验证单元和处理单元，如下：

接收单元，用于在用户访问资源的期间，接收客户端周期性上报的验证信息，所述验证信息包括用户标识和用户的击键行为数据；

获取单元，用于根据所述用户标识获取相应的击键行为模型；

持续验证单元，用于根据所述击键行为模型对所述用户的击键行为数据进行合法性验证；

处理单元，用于在持续验证单元确定验证不通过时，阻止用户访问资源，在验证单元确定验证通过时，允许用户访问资源，并触发接收单元执行所述接收客户端周期性上报的验证信息的操作。

相应的，本发明实施例还提供一种客户端，包括采集单元和上报单元，如下：

采集单元，用于在用户访问资源的期间，采集用户的击键行为数据；

上报单元，用于向身份验证装置周期性上报验证信息，所述验证信息包括用户标识和所述击键行为数据，以便所述身份验证装置根据所述验证信息和预置的击键行为模型进行身份验证。

此外，本发明实施例还提供一种身份验证系统，包括本发明实施例提供的任一种身份验证装置和本发明实施例提供的任一种客户端。

本发明实施例采用在用户访问资源的期间，接收客户端周期性上报的验证信息，其中，该验证信息包括用户标识和用户的击键行为数据，然后根据该用户标识获取相应的击键行为模型，并根据该击键行为模型对该用户的击键行为数据进行合法性验证，若验证不通过，则阻止用户访问资源，反正，若验证通过，则允许用户访问资源，并返回执行接收客户端周期性上报的验证信息的步骤，以对用户的击键行为的合法性进行持续性监控。由于该方案无需用户重复输入密码，就可以基于用户的击键行为对用户的身份进行持续性验证，因此，相对于现有技术中只对用户身份进行一次性验证的方案而言，大大提高了攻击者进行非法访问的难度，可以大大提高信息的安全性。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1a是本发明实施例提供的身份验证系统的场景示意图；

图1b是本发明实施例提供的身份验证系统的场景示意图；

图1c是本发明实施例提供的身份验证方法的流程图；

图2是本发明实施例提供的身份验证方法的另一流程图；

图3是本发明实施例提供的身份验证方法的又一流程图；

图4是本发明实施例提供的身份验证方法的又一流程图；

图5a是本发明实施例提供的身份验证装置的结构示意图；

图5b是本发明实施例提供的身份验证装置的另一结构示意图；

图6a是本发明实施例提供的客户端的结构示意图；

图6b是本发明实施例提供的客户端的另一结构示意图；

图6c是本发明实施例提供的客户端的又一结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例提供一种身份验证方法、装置和系统。

如图1a和图1b所示，该身份验证系统可以包括身份验证装置和客户端，其中，该客户端可以集成在终端，比如手机、平板电脑或个人计算机(PC，PersonalComputer)等设备中；而该身份验证装置则可以集成服务器等网络设备中，参见图1a，或者，也可以集成在客户端所属的终端中，比如，参见图1b，可以集成在终端的后台处理模块中。

其中，用户可以通过客户端进行资源访问，在用户访问资源的期间，客户端可以采集用户的击键行为数据，并向身份验证装置周期性上报携带用户标识和该击键行为数据的验证信息。身份验证装置在接收到该验证信息后，根据该验证信息中的用户标识获取相应的击键行为模型，并根据该击键行为模型对该用户的击键行为数据进行合法性验证，若验证不通过，则阻止用户访问资源，反之，若验证通过，则允许用户访问资源，并返回执行接收客户端周期性上报的验证信息的步骤，以对用户的击键行为的合法性进行持续性监控。以下将分别进行详细说明。

实施例一、

本实施例将从身份验证装置的角度进行描述，该身份验证装置具体可以集成在后台处理设备，比如服务器等网络设备中，或者，也可以集成在终端中。

一种身份验证方法，包括：在用户访问资源的期间，接收客户端周期性上报的验证信息，其中，该验证信息包括用户标识和用户的击键行为数据；根据该用户标识获取相应的击键行为模型；根据该击键行为模型对该用户的击键行为数据进行合法性验证；若验证不通过，则阻止用户访问资源；若验证通过，则允许用户访问资源，并返回执行接收客户端周期性上报的验证信息的步骤。

如图1c所示，该身份验证方法，具体流程可以如下：

101、在用户访问资源的期间，接收客户端周期性上报的验证信息，其中，该验证信息可以包括用户标识和用户的击键行为数据等信息。

例如，可以在接收到的用户发送的资源访问请求后，到用户结束资源访问之间，接收客户端周期性上报的验证信息。

又例如，还可以在对资源访问请求进行初步验证，比如在对用户进行指纹或密钥等身份验证后，到用户结束资源访问之间，接收客户端周期性上报的验证信息。

其中，击键行为数据可以由客户端采集而得到，比如，可以由客户端监控用户的击键行为操作，然后根据该击键行为操作生成击键行为数据，等等。该击键行为数据可以包括用户在击键时的按键持续时间和按键时间间隔等数据。

其中，客户端上报的周期可以根据实际应用的需求进行设置，比如，可以设置每15分钟上报一次，或设置每半个钟头上报一次，等等。

其中，用户标识可以包括用户名、用户账号或邮箱账号等信息。

102、根据该用户标识获取相应的击键行为模型。

其中，每个用户都具有一个与之相应的击键行为模型，该击键行为模型可以是预先保存在该身份验证装置中，也可以由该身份验证装置自行学习并进行建立，即在步骤“接收终端周期性上报的验证信息”之前，该方法还可以包括：

建立用户的击键行为模型。

其中，建立该击键行为模型的方式可以有多种，例如，具体可以采用如下任意一种方式：

(1)第一种方式；

向客户端发送指定文本，并指示用户根据该指定文本进行击键行为操作，接收客户端根据该击键行为操作所得到的击键特征信息，然后，基于该击键特征信息建立用户的击键行为模型。

其中，该指定文本可以根据实际应用的需求进行设置，比如，可以设置为“我们都是好孩子”或者“今天我很开心”，等等。

需说明的是，该接收指定文本的客户端可以是任意的客户端，也可以是用户指定或绑定的客户端，具体可根据实际应用的需求进行设置。

(2)第二种方式；

接收客户端发送的击键特征信息，并基于该击键特征信息建立用户的击键行为模型。

其中，该击键特征信息由客户端根据用户在进行击键行为操作时的按键持续时间和按键时间间隔学习所得到。

当然，也可以采用其他的方式来建立击键行为模型，在此不再列举。

103、根据该击键行为模型对该用户的击键行为数据进行合法性验证，若验证不通过，则执行步骤104，若验证通过，则执行步骤105。

例如，具体可以判断该击键行为数据是否符合该击键行为模型，若符合，则确定验证通过，于是执行步骤105；否则，则确定验证不通过，于是执行步骤104，等等。

104、在验证不通过时，阻止用户访问资源。

其中，阻止的方式有多种，比如，可以直接拒绝用户的访问请求，或者，直接跳转到身份验证界面、或者，还可以直接显示出错页面，等等，具体可以根据实际应用的需求进行设置，在此不再赘述。

可选的，此时还可以发送标识验证不通过的提示消息给客户端，以通知用户。

105、在验证通过时，允许用户访问资源，并返回执行步骤101，即返回执行“接收客户端周期性上报的验证信息”步骤。

例如，在验证通过时，则允许用户登陆邮箱系统、浏览微博、浏览网页、、进行购物操作、或者付款操作等等，在此不再赘述。

可选的，为了进一步增强其全性，在基于用户的击键行为进行身份验证之前，还可以采用一般的身份验证方法对用户的访问操作进行初步验证，比如，可以利用密钥进行验证，或者，也可以利用用户指纹进行验证，等等，在验证通过时，才允许用户进行资源访问，并在用户的资源访问期间，基于用户的击键行为进行持续性的身份验证。例如，以利用密钥进行初步验证为例，则在步骤“在用户访问资源的期间，接收客户端周期性上报的验证信息”之前，该身份验证方法还可以包括：

接收客户端发送的资源访问请求，其中，该资源访问请求携带用户标识和访问密钥，根据该用户标识和访问密钥进行身份验证，在身份验证通过时，接受该资源访问请求，然后执行步骤101。

否则，若根据该用户标识和访问密钥确定身份验证不通过，则拒绝该资源访问请求，流程结束。

由上可知，本实施例采用在用户访问资源的期间，接收客户端周期性上报的验证信息，其中，该验证信息包括用户标识和用户的击键行为数据，然后根据该用户标识获取相应的击键行为模型，并根据该击键行为模型对该用户的击键行为数据进行合法性验证，若验证不通过，则阻止用户访问资源，反正，若验证通过，则允许用户访问资源，并返回执行接收客户端周期性上报的验证信息的步骤，以对用户的击键行为的合法性进行持续性监控。由于该方案无需用户重复输入密码，就可以基于用户的击键行为对用户的身份进行持续性验证，因此，相对于现有技术中只对用户身份进行一次性验证的方案而言，大大提高了攻击者进行非法访问的难度，可以大大提高信息的安全性。

实施例二、

本实施例将从客户端的角度进行描述，该客户端具体可以集成在终端中，该终端具体可以为手机、平板电脑或PC等设备。

一种身份验证方法，包括：在用户访问资源的期间，采集用户的击键行为数据，向身份验证装置周期性上报验证信息，其中，该验证信息包括用户标识和所述击键行为数据，以便该身份验证装置根据该验证信息和预置的击键行为模型进行身份验证。

如图2所示，该身份验证方法，具体流程可以如下：

201、在用户访问资源的期间，采集用户的击键行为数据。

例如，可以监控用户的击键行为操作，然后根据该击键行为操作生成击键行为数据，等等。其中，该击键行为数据可以包括用户在击键时的按键持续时间和按键时间间隔等数据。

其中，用户访问资源的期间指的是客户端发送资源访问请求时，到资源访问结束之间的时间段，或者，如果需要对用户身份进行初步验证(比如进行密钥或指纹验证等)的话，则该用户访问资源的期间指的是初步验证通过后，到资源访问结束之间的时间段。

比如，步骤“在用户访问资源的期间，采集用户的击键行为数据”具体可以是：

向身份验证装置发送资源访问请求后，到用户结束资源访问期间，采集用户的击键行为数据；或者，

向身份验证装置发送资源访问请求，在接收到身份验证装置返回的表示初步验证通过的响应后，到用户结束资源访问期间，采集用户的击键行为数据，其中，表示初步验证通过的响应由身份验证装置根据资源访问请求进行初步验证后得到。

202、向身份验证装置周期性上报验证信息，其中，该验证信息可以包括用户标识和所述击键行为数据等信息，以便该身份验证装置根据该验证信息和预置的击键行为模型进行身份验证。

其中，身份验证装置根据该验证信息和预置的击键行为模型进行身份验证的方法具体可参见实施例一，在此不再赘述。

其中，每个用户都具有一个与之相应的击键行为模型，该击键行为模型可以是预先保存在该身份验证装置中，也可以由该身份验证装置自行学习并进行建立，即在步骤“采集用户的击键行为数据”之前，该身份验证方法还可以包括：

向身份验证装置发送击键特征信息，以便身份验证装置根据该击键特征信息建立用户的击键行为模型，具体可以采用如下任意一种方式：

(1)第一种方式；

接收身份验证装置发送的指定文本，显示该指定文本，并提示用户根据该指定文本进行击键行为操作，对该击键行为操作进行分析处理，得到击键特征信息，将该击键特征信息发送给身份验证装置，以便身份验证装置基于该击键特征信息建立用户的击键行为模型。

其中，该指定文本可以根据实际应用的需求进行设置，比如，可以设置为“我们都是好孩子”或者“今天我很开心”，等等。

(2)第二种方式；

监控用户的击键行为操作，以获取用户在进行这些击键行为操作时的按键持续时间和按键时间间隔，根据“支持向量数据描述方法”对该按键持续时间和按键时间间隔进行学习，得到击键特征信息，将该击键特征信息发送给身份验证装置，以便身份验证装置基于该击键特征信息建立用户的击键行为模型。

当然，也可以采用其他的方式来获取击键特征信息，以协助身份验证装置建立击键行为模型，在此不再列举。

需说明的是，客户端上报的周期可以根据实际应用的需求进行设置，比如，可以设置每15分钟上报一次，或设置每半个钟头上报一次，等等。即可选的，在步骤“向身份验证装置周期性上报验证信息”之前，该身份验证方法还可以包括：

对上报周期进行设置；

则此时，步骤“向身份验证装置周期性上报验证信息”具体可以为：按照设置的上报周期，向身份验证装置上报验证信息。

可选的，为了进一步增强其全性，在基于用户的击键行为进行身份验证之前，还可以采用一般的身份验证方法对用户的访问操作进行初步验证，比如，可以利用密钥进行验证，或者，也可以利用用户指纹进行验证，等等，在验证通过时，才允许用户进行资源访问，并在用户的资源访问期间，由身份验证装置基于用户的击键行为进行持续性的身份验证。例如，以利用密钥进行初步验证为例，则在步骤“在用户访问资源的期间，采集用户的击键行为数据”之前，该身份验证方法还可以包括：

向身份验证装置发送资源访问请求，其中，该资源访问请求携带用户标识和访问密钥等信息，以便该身份验证装置根据该用户标识和访问密钥进行身份验证；

在接收到身份验证装置返回的表示身份验证通过的响应时，对资源进行访问。

其中，身份验证装置根据该用户标识和访问密钥进行身份验证的方法具体可参见实施例一，在此不再赘述。

由上可知，本实施例采用在用户访问资源的期间，采集用户的击键行为数据，并向身份验证装置周期性上报验证信息，其中，该验证信息包括用户标识和所述击键行为数据，使得该身份验证装置可以根据该验证信息和预置的击键行为模型进行身份验证，从而实现对用户击键行为的合法性进行持续性监控。由于该方案无需用户重复输入密码，就可以基于用户的击键行为对用户的身份进行持续性验证，因此，相对于现有技术中只对用户身份进行一次性验证的方案而言，大大提高了攻击者进行非法访问的难度，可以大大提高信息的安全性。

根据实施例一和二所描述的方法，以下将在实施例三和四中举例作进一步详细说明。

实施例三、

在本实施例中，将以该身份验证装置具体集成在服务器，客户端具体集成在终端中为例进行说明。

如图1a和图3所示，一种身份验证方法，具体流程可以如下：

301、在用户访问资源的期间，终端采集用户的击键行为数据。

例如，可以监控用户的击键行为操作，然后根据该击键行为操作生成击键行为数据，等等。

其中，该击键行为数据可以包括用户在击键时的按键持续时间和按键时间间隔等数据。

302、终端向服务器周期性上报验证信息，其中，该验证信息可以包括用户标识和所述击键行为数据等信息。

上报的周期可以根据实际应用的需求进行设置，比如，可以设置每15分钟上报一次，或设置每半个钟头上报一次，等等。

303、服务器在接收到该验证信息后，根据该验证信息中携带的用户标识获取相应的击键行为模型。

其中，每个用户都具有一个与之相应的击键行为模型，该击键行为模型可以是预先保存在该服务器中，也可以由该服务器自行学习并进行建立，例如，具体可以采用如下任意一种方式进行建立，如下：

(1)第一种方式；

服务器向终端发送指定文本，并指示用户根据该指定文本进行击键行为操作，终端在接收到该指定文本后，显示该指定文本，并提示用户根据该指定文本进行击键行为操作，然后对用户的击键行为操作进行分析处理，得到击键特征信息，将该击键特征信息发送给服务器，由服务器基于该击键特征信息建立用户的击键行为模型。

其中，该指定文本可以根据实际应用的需求进行设置，比如，可以设置为“我们都是好孩子”或者“今天我很开心”，等等。

(2)第二种方式；

由终端监控用户的击键行为操作，以获取用户在进行这些击键行为操作时的按键持续时间和按键时间间隔，根据“支持向量数据描述方法”对该按键持续时间和按键时间间隔进行学习，得到击键特征信息，将该击键特征信息发送给服务器，由服务器基于该击键特征信息建立用户的击键行为模型。

当然，也可以采用其他的方式来建立击键行为模型，在此不再列举。

304、服务器根据该击键行为模型对该用户的击键行为数据进行合法性验证，若验证不通过，则执行步骤305，若验证通过，则执行步骤306。

例如，具体可以判断该击键行为数据是否符合该击键行为模型，若符合，则确定验证通过，于是执行步骤306；否则，则确定验证不通过，于是执行步骤305，等等。

305、在验证不通过时，阻止用户访问资源。

其中，阻止的方式有多种，比如，可以直接返回拒绝访问的响应给终端，或者，直接跳转到身份验证界面、或者，还可以直接显示出错页面，等等，具体可以根据实际应用的需求进行设置，在此不再赘述。

可选的，此时还可以发送标识验证不通过的提示消息给终端，以通知用户。

306、在验证通过时，允许用户访问资源，并返回执行步骤301，即返回执行“接收终端周期性上报的验证信息”步骤。

例如，在验证通过时，则允许用户登陆邮箱系统、浏览微博、浏览网页、、进行购物操作、或者付款操作等等，在此不再赘述。

可选的，为了进一步增强其全性，在基于用户的击键行为进行身份验证之前，还可以采用一般的身份验证方法对用户的访问操作进行初步验证，比如，可以利用密钥进行验证，或者，也可以利用用户指纹进行验证，等等，在验证通过时，才允许用户进行资源访问，并在用户的资源访问期间，由服务器基于用户的击键行为进行持续性的身份验证，即执行步骤301～306，在此不再赘述。

该方案具体可应用在各种网络资源访问中，比如网页浏览、网络资源下载或网络中的虚拟资源处理等。

由上可知，本实施例采用在用户访问资源的期间，由终端采集用户的击键行为数据，并向服务器周期性上报验证信息，其中，该验证信息包括用户标识和所述击键行为数据，由服务器根据该验证信息和预置的击键行为模型进行身份验证，若验证不通过，则阻止用户访问资源，反正，若验证通过，则允许用户访问资源，并返回执行接收终端周期性上报的验证信息的步骤，以对用户的击键行为的合法性进行持续性监控。由于该方案无需用户重复输入密码，就可以基于用户的击键行为对用户的身份进行持续性验证，因此，相对于现有技术中只对用户身份进行一次性验证的方案而言，大大提高了攻击者进行非法访问的难度，可以大大提高信息的安全性。

实施例四、

在本实施例中，将以该身份验证装置和客户端具体集成在同一终端中为例进行说明，其中，该身份验证装置具体可作为终端中的后台处理模块。

如图1b和图4所示，一种身份验证方法，具体流程可以如下：

401、在用户访问资源的期间，客户端采集用户的击键行为数据。

例如，可以监控用户的击键行为操作，然后根据该击键行为操作生成击键行为数据，等等。

其中，该击键行为数据可以包括用户在击键时的按键持续时间和按键时间间隔等数据。

402、客户端向后台处理模块周期性上报验证信息，其中，该验证信息可以包括用户标识和所述击键行为数据等信息。

上报的周期可以根据实际应用的需求进行设置，比如，可以设置每15分钟上报一次，或设置每半个钟头上报一次，等等。

403、后台处理模块在接收到该验证信息后，根据该验证信息中携带的用户标识获取相应的击键行为模型。

其中，每个用户都具有一个与之相应的击键行为模型，该击键行为模型可以是预先保存在该后台处理模块中，也可以由该后台处理模块自行学习并进行建立，例如，具体可以采用如下任意一种方式进行建立，如下：

(1)第一种方式；

后台处理模块向客户端发送指定文本，并指示用户根据该指定文本进行击键行为操作，客户端在接收到该指定文本后，显示该指定文本，并提示用户根据该指定文本进行击键行为操作，然后对用户的击键行为操作进行分析处理，得到击键特征信息，将该击键特征信息发送给后台处理模块，由后台处理模块基于该击键特征信息建立用户的击键行为模型。

其中，该指定文本可以根据实际应用的需求进行设置，比如，可以设置为“我们都是好孩子”或者“今天我很开心”，等等。

(2)第二种方式；

由客户端监控用户的击键行为操作，以获取用户在进行这些击键行为操作时的按键持续时间和按键时间间隔，根据“支持向量数据描述方法”对该按键持续时间和按键时间间隔进行学习，得到击键特征信息，将该击键特征信息发送给后台处理模块，由后台处理模块基于该击键特征信息建立用户的击键行为模型。

当然，也可以采用其他的方式来建立击键行为模型，在此不再列举。

404、后台处理模块根据该击键行为模型对该用户的击键行为数据进行合法性验证，若验证不通过，则执行步骤405，若验证通过，则执行步骤406。

例如，具体可以判断该击键行为数据是否符合该击键行为模型，若符合，则确定验证通过，于是执行步骤406；否则，则确定验证不通过，于是执行步骤405，等等。

405、在验证不通过时，阻止用户访问资源。

其中，阻止的方式有多种，比如，可以直接拒绝用户的访问请求，或者，直接跳转到身份验证界面、或者，还可以直接显示出错页面，等等，具体可以根据实际应用的需求进行设置，在此不再赘述。

可选的，此时还可以发送标识验证不通过的提示消息给客户端，以通知用户。

406、在验证通过时，允许用户访问资源，并返回执行步骤401，即返回执行“接收客户端周期性上报的验证信息”步骤。

例如，在验证通过时，则允许用户浏览终端中的文件，或对终端中某些文件进行修改等等，在此不再赘述。

可选的，为了进一步增强其全性，在基于用户的击键行为进行身份验证之前，还可以采用一般的身份验证方法对用户的访问操作进行初步验证，比如，可以利用密钥进行验证，或者，也可以利用用户指纹进行验证，等等，在验证通过时，才允许用户进行资源访问，并在用户的资源访问期间，由后台处理模块基于用户的击键行为进行持续性的身份验证，即执行步骤401～406，在此不再赘述。

该方案具体可应用在终端本地的身份验证中，比如对用户在终端中的操作权限进行监控，等等。

由上可知，本实施例采用在用户访问资源的期间，由客户端采集用户的击键行为数据，并向后台处理模块周期性上报验证信息，其中，该验证信息包括用户标识和所述击键行为数据，由后台处理模块根据该验证信息和预置的击键行为模型进行身份验证，若验证不通过，则阻止用户访问资源，反正，若验证通过，则允许用户访问资源，并返回执行接收客户端周期性上报的验证信息的步骤，以对用户的击键行为的合法性进行持续性监控。由于该方案无需用户重复输入密码，就可以基于用户的击键行为对用户的身份进行持续性验证，因此，相对于现有技术中只对用户身份进行一次性验证的方案而言，大大提高了攻击者进行非法访问的难度，可以大大提高信息的安全性。

实施例五、

相应的，本发明实施例还提供一种身份验证装置，如图5a所示，该身份验证装置包括接收单元501、获取单元502、持续验证单元503和处理单元504，如下：

接收单元501，用于在用户访问资源的期间，接收客户端周期性上报的验证信息，其中，该验证信息可以包括用户标识和用户的击键行为数据等信息。

例如，接收单元501可以在接收到的用户发送的资源访问请求后，到用户结束资源访问之间，接收客户端周期性上报的验证信息。

又例如，接收单元501还可以在对资源访问请求进行初步验证，比如在对用户进行指纹或密钥等身份验证后，到用户结束资源访问之间，接收客户端周期性上报的验证信息。

其中，击键行为数据可以由客户端采集而得到，比如，可以由客户端监控用户的击键行为操作，然后根据该击键行为操作生成击键行为数据，等等。该击键行为数据可以包括用户在击键时的按键持续时间和按键时间间隔等数据。

其中，客户端上报的周期可以根据实际应用的需求进行设置，比如，可以设置每15分钟上报一次，或设置每半个钟头上报一次，等等。

获取单元502，用于根据该用户标识获取相应的击键行为模型。

持续验证单元503，用于根据该击键行为模型对该用户的击键行为数据进行合法性验证。

例如，持续验证单元503具体可以判断该击键行为数据是否符合该击键行为模型，若符合，则确定验证通过，于是执行步骤105；否则，则确定验证不通过，于是执行步骤104，等等。

处理单元504，用于在持续验证单元503确定验证不通过时，阻止用户访问资源；在验证单元确定验证通过时，允许用户访问资源，并触发接收单元501执行该接收客户端周期性上报的验证信息的操作。

其中，阻止用户访问资源的方式有多种，比如，可以直接拒绝用户的访问请求，或者，直接跳转到身份验证界面、或者，还可以直接显示出错页面，等等，具体可以根据实际应用的需求进行设置，在此不再赘述。

可选的，此时还可以发送标识验证不通过的提示消息给客户端，以通知用户。

其中，每个用户都具有一个与之相应的击键行为模型，该击键行为模型可以是预先保存在该身份验证装置中，也可以由该身份验证装置自行学习并进行建立，即如图5b所示，该身份验证装置还可以包括建立单元505，如下：

建立单元505，用于建立用户的击键行为模型，例如，具体可以采用如下任意一种方式：

(1)第一种方式；

建立单元505，具体可以用于向客户端发送指定文本，并指示用户根据该指定文本进行击键行为操作，接收客户端根据该击键行为操作所得到的击键特征信息，然后，基于该击键特征信息建立用户的击键行为模型。

其中，该指定文本可以根据实际应用的需求进行设置，比如，可以设置为“我们都是好孩子”或者“今天我很开心”，等等。

需说明的是，该接收指定文本的客户端可以是任意的客户端，也可以是用户指定或绑定的客户端，具体可根据实际应用的需求进行设置。

(2)第二种方式；

建立单元505，具体可以用于接收客户端发送的击键特征信息，并基于该击键特征信息建立用户的击键行为模型。

其中，该击键特征信息由客户端根据用户在进行击键行为操作时的按键持续时间和按键时间间隔学习所得到。

当然，也可以采用其他的方式来建立击键行为模型，在此不再列举。

可选的，为了进一步增强其全性，在基于用户的击键行为进行身份验证之前，还可以采用一般的身份验证方法对用户的访问操作进行初步验证，比如，可以利用密钥进行验证，或者，也可以利用用户指纹进行验证，等等，在验证通过时，才允许用户进行资源访问，并在用户的资源访问期间，基于用户的击键行为进行持续性的身份验证。例如，以利用密钥进行初步验证为例，则如图5b所示，该身份验证装置还可以包括初始验证单元506，如下：

接收单元501，还可以用于接收客户端发送的资源访问请求，其中，该资源访问请求携带用户标识和访问密钥。

初始验证单元506，可以用于根据该用户标识和访问密钥进行身份验证；

则此时，处理单元504，还可以用于在初始验证单元506确定身份验证通过时，接受该资源访问请求，然后在用户访问资源的期间，触发接收单元501执行接收客户端周期性上报的验证信息的操作。

需说明的是，若根据该用户标识和访问密钥确定身份验证不通过，则处理单元504拒绝该资源访问请求。

具体实施时，以上各个单元可以作为独立的实体来实现，也可以进行任意组合，作为同一或若干个实体来实现，以上各个单元的具体实施可参见前面的实施例，在此不再赘述。

该身份验证装置具体可以集成在后台处理设备，比如服务器等网络设备中，或者，也可以集成在终端中。

由上可知，本实施例的身份验证装置的接收单元501在用户访问资源的期间，可以接收客户端周期性上报的验证信息，其中，该验证信息包括用户标识和用户的击键行为数据，然后由获取单元502根据该用户标识获取相应的击键行为模型，并由持续验证单元503根据该击键行为模型对该用户的击键行为数据进行合法性验证，若验证不通过，则由处理单元504阻止用户访问资源，反正，若验证通过，则处理单元504允许用户访问资源，并触发接收单元501执行接收客户端周期性上报的验证信息的操作，以对用户的击键行为的合法性进行持续性监控。由于该方案无需用户重复输入密码，就可以基于用户的击键行为对用户的身份进行持续性验证，因此，相对于现有技术中只对用户身份进行一次性验证的方案而言，大大提高了攻击者进行非法访问的难度，可以大大提高信息的安全性。

实施例六、

相应的，本发明实施例还提供一种客户端，如图6a所示，该客户端包括采集单元601和上报单元602，如下：

采集单元601，用于在用户访问资源的期间，采集用户的击键行为数据。

例如，可以监控用户的击键行为操作，然后根据该击键行为操作生成击键行为数据，等等。其中，该击键行为数据可以包括用户在击键时的按键持续时间和按键时间间隔等数据。

其中，用户访问资源的期间指的是客户端发送资源访问请求时，到资源访问结束之间的时间段，或者，如果需要对用户身份进行初步验证(比如进行密钥或指纹验证等)的话，则该用户访问资源的期间指的是初步验证通过后，到资源访问结束之间的时间段。

比如，采集单元601具体可以是：

向身份验证装置发送资源访问请求后，到用户结束资源访问期间，采集用户的击键行为数据；或者，

向身份验证装置发送资源访问请求，在接收到身份验证装置返回的表示初步验证通过的响应后，到用户结束资源访问期间，采集用户的击键行为数据，其中，表示初步验证通过的响应由身份验证装置根据资源访问请求进行初步验证后得到。

上报单元602，用于向身份验证装置周期性上报验证信息，其中，该验证信息包括用户标识和该击键行为数据，以便该身份验证装置根据该验证信息和预置的击键行为模型进行身份验证。

其中，身份验证装置根据该验证信息和预置的击键行为模型进行身份验证的方法具体可参见前面的实施例，在此不再赘述。

其中，每个用户都具有一个与之相应的击键行为模型，该击键行为模型可以是预先保存在该身份验证装置中，也可以由该身份验证装置自行学习并进行建立，例如，具体可以采用如下任意一种方式来建立：

(1)第一种方式；

如图6b所示，该客户端还可以包括接收单元603、显示单元604和分析单元605，如下：

接收单元603，可以用于接收身份验证装置发送的指定文本；

显示单元604，可以用于显示该指定文本，并提示用户根据该指定文本进行击键行为操作；

分析单元605，可以用于对该击键行为操作进行分析处理，得到击键特征信息；

则此时，上报单元602，还可以用于将该击键特征信息发送给身份验证装置，以便身份验证装置基于该击键特征信息建立用户的击键行为模型。

其中，该指定文本可以根据实际应用的需求进行设置，比如，可以设置为“我们都是好孩子”或者“今天我很开心”，等等。

(2)第二种方式；

如图6c所示，该客户端还可以包括监控单元606和学习单元607，如下：

监控单元606，可以用于监控用户的击键行为操作，以获取用户在进行该击键行为操作时的按键持续时间和按键时间间隔；

学习单元607，可以用于根据支持向量数据描述方法对所述按键持续时间和按键时间间隔进行学习，得到击键特征信息；

则此时，上报单元602，还可以用于将该击键特征信息发送给身份验证装置，以便身份验证装置基于该击键特征信息建立用户的击键行为模型。

当然，也可以采用其他的方式来获取击键特征信息，以协助身份验证装置建立击键行为模型，在此不再列举。

需说明的是，客户端上报的周期可以根据实际应用的需求进行设置，比如，可以设置每15分钟上报一次，或设置每半个钟头上报一次，等等。即可选的，该客户端还可以包括设置单元，如下：

设置单元，可以用于对上报周期进行设置；

则此时，上报单元602，具体可以用于按照该设置单元设置的上报周期，向身份验证装置上报的验证信息。

可选的，为了进一步增强其全性，在基于用户的击键行为进行身份验证之前，还可以采用一般的身份验证方法对用户的访问操作进行初步验证，比如，可以利用密钥进行验证，或者，也可以利用用户指纹进行验证，等等，在验证通过时，才允许用户进行资源访问，并在用户的资源访问期间，由身份验证装置基于用户的击键行为进行持续性的身份验证。例如，以利用密钥进行初步验证为例，则该客户端还可以包括访问单元，如下：

上报单元602，还可以用于向身份验证装置发送资源访问请求，所述资源访问请求携带用户标识和访问密钥，以便该身份验证装置根据所述用户标识和访问密钥进行身份验证；

则此时，访问单元，可以用于在接收到身份验证装置返回的表示身份验证通过的响应时，对资源进行访问。

其中，身份验证装置根据该用户标识和访问密钥进行身份验证的方法具体可参见前面的实施例，在此不再赘述。

具体实施时，以上各个单元可以作为独立的实体来实现，也可以进行任意组合，作为同一或若干个实体来实现，以上各个单元的具体实施可参见前面的实施例，在此不再赘述。

该客户端具体可以集成在终端中，该终端具体可以为手机、平板电脑或PC等设备。

由上可知，本实施例的客户端的采集单元601可以在用户访问资源的期间，采集用户的击键行为数据，并由上报单元602向身份验证装置周期性上报验证信息，其中，该验证信息包括用户标识和所述击键行为数据，使得该身份验证装置可以根据该验证信息和预置的击键行为模型进行身份验证，从而实现对用户击键行为的合法性进行持续性监控。由于该方案无需用户重复输入密码，就可以基于用户的击键行为对用户的身份进行持续性验证，因此，相对于现有技术中只对用户身份进行一次性验证的方案而言，大大提高了攻击者进行非法访问的难度，可以大大提高信息的安全性。

实施例七、

此外，本发明实施例还提供一种身份验证系统，包括本发明实施例提供的任一种身份验证装置和本发明实施例提供的任一种客户端，其中，身份验证装置具体可参见实施例五，客户端具体可参见实施例六。具体实施时，该身份验证装置可以集成在服务器或终端中，而该客户端则可以集成在终端中，例如，以该身份验证装置具体集成在服务器中，客户端具体集成在终端中为例，则该身份验证系统可以包括服务器和终端，具体如下：

终端，用于在用户访问资源的期间，采集用户的击键行为数据，向服务器周期性上报验证信息，其中，该验证信息包括用户标识和所述击键行为数据。

需说明的是，客户端上报的周期可以根据实际应用的需求进行设置，比如，可以设置每15分钟上报一次，或设置每半个钟头上报一次，等等。

服务器，用于接收终端周期性上报的验证信息，根据该验证信息中携带的用户标识获取相应的击键行为模型，根据该击键行为模型对该验证信息中携带的用户的击键行为数据进行合法性验证；若验证不通过，则阻止用户访问资源；若验证通过，则允许用户访问资源，并返回执行接收终端周期性上报的验证信息的操作。

其中，每个用户都具有一个与之相应的击键行为模型，该击键行为模型可以是预先保存在该服务器中，也可以由该服务器自行学习并进行建立，具体的建立方法可参见前面的实施例，在此不再赘述。

可选的，为了进一步增强其全性，在基于用户的击键行为进行身份验证之前，还可以采用一般的身份验证方法对用户的访问操作进行初步验证，比如，可以利用密钥进行验证，或者，也可以利用用户指纹进行验证，等等，在验证通过时，才允许用户进行资源访问，并在用户的资源访问期间，基于用户的击键行为进行持续性的身份验证，即：

终端，还可以用于向服务器发送资源访问请求，其中，该资源访问请求携带用户标识和访问密钥等信息，以及在接收到服务器返回的表示身份验证通过的响应时，对资源进行访问。

服务器，还可以用于接收客户端发送的资源访问请求，其中，该资源访问请求携带用户标识和访问密钥，根据该用户标识和访问密钥进行身份验证，在身份验证通过时，向终端返回表示身份验证通过的响应，在用户访问资源的期间，执行接收终端周期性上报的验证信息的操作。

该服务器，还可以用于在根据该用户标识和访问密钥确定身份验证不通过时，拒绝该资源访问请求。

以上各个设备的具体操作可参见前面的实施例，在此不再赘述。

由于该身份验证系统可以包括本发明实施例提供的任一种身份验证装置和客户端，因此，可以实现与本发明实施例提供的任一种身份验证装置和客户端同样的有益效果，具体可参见前面实施例，在此不再赘述。

本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：只读存储器(ROM，ReadOnlyMemory)、随机存取记忆体(RAM，RandomAccessMemory)、磁盘或光盘等。

以上对本发明实施例所提供的一种身份验证方法、装置和系统进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (21)

1.一种身份验证方法，其特征在于，包括：

在用户访问资源的期间，接收客户端周期性上报的验证信息，所述验证信息包括用户标识和用户的击键行为数据；

根据所述用户标识获取相应的击键行为模型；

根据所述击键行为模型对所述用户的击键行为数据进行合法性验证；

若验证不通过，则阻止用户访问资源；

若验证通过，则允许用户访问资源，并返回执行所述接收客户端周期性上报的验证信息的步骤。

2.根据权利要求1所述的方法，其特征在于，所述接收终端周期性上报的验证信息之前，还包括：

建立用户的击键行为模型。

3.根据权利要求2所述的方法，其特征在于，所述建立用户的击键行为模型，包括：

向客户端发送指定文本，并指示用户根据所述指定文本进行击键行为操作；

接收客户端根据所述击键行为操作所得到的击键特征信息；

基于所述击键特征信息建立用户的击键行为模型。

4.根据权利要求2所述的方法，其特征在于，所述建立用户的击键行为模型，包括：

接收客户端发送的击键特征信息，所述击键特征信息由客户端根据用户在进行击键行为操作时的按键持续时间和按键时间间隔学习所得到；

基于所述击键特征信息建立用户的击键行为模型。

5.根据权利要求1至4任一项所述的方法，其特征在于，所述在用户访问资源的期间，接收客户端周期性上报的验证信息之前，还包括：

接收客户端发送的资源访问请求，所述资源访问请求携带用户标识和访问密钥；

根据所述用户标识和访问密钥进行身份验证；

在身份验证通过时，接受所述资源访问请求。

6.一种身份验证方法，其特征在于，包括：

在用户访问资源的期间，采集用户的击键行为数据；

向身份验证装置周期性上报验证信息，所述验证信息包括用户标识和所述击键行为数据，以便所述身份验证装置根据所述验证信息和预置的击键行为模型进行身份验证。

7.根据权利要求6所述的方法，其特征在于，所述采集用户的击键行为数据之前，还包括：

接收身份验证装置发送的指定文本；

显示所述指定文本，并提示用户根据所述指定文本进行击键行为操作；

对所述击键行为操作进行分析处理，得到击键特征信息；

将所述击键特征信息发送给身份验证装置，以便身份验证装置基于所述击键特征信息建立用户的击键行为模型。

8.根据权利要求6所述的方法，其特征在于，所述采集用户的击键行为数据之前，还包括：

监控用户的击键行为操作，以获取用户在进行所述击键行为操作时的按键持续时间和按键时间间隔；

根据支持向量数据描述方法对所述按键持续时间和按键时间间隔进行学习，得到击键特征信息；

将所述击键特征信息发送给身份验证装置，以便身份验证装置基于所述击键特征信息建立用户的击键行为模型。

9.根据权利要求6至8任一项所述的方法，其特征在于，所述在用户访问资源的期间，采集用户的击键行为数据之前，还包括：

向身份验证装置发送资源访问请求，所述资源访问请求携带用户标识和访问密钥，以便所述身份验证装置根据所述用户标识和访问密钥进行身份验证；

在接收到身份验证装置返回的表示身份验证通过的响应时，对资源进行访问。

10.根据权利要求6至8任一项所述的方法，其特征在于，所述向身份验证装置周期性上报验证信息之前，还包括：

对上报周期进行设置；

所述向身份验证装置周期性上报验证信息，包括：按照设置的上报周期，向身份验证装置上报验证信息。

11.一种身份验证装置，其特征在于，包括：

接收单元，用于在用户访问资源的期间，接收客户端周期性上报的验证信息，所述验证信息包括用户标识和用户的击键行为数据；

获取单元，用于根据所述用户标识获取相应的击键行为模型；

持续验证单元，用于根据所述击键行为模型对所述用户的击键行为数据进行合法性验证；

处理单元，用于在持续验证单元确定验证不通过时，阻止用户访问资源，在验证单元确定验证通过时，允许用户访问资源，并触发接收单元执行所述接收客户端周期性上报的验证信息的操作。

12.根据权利要求11所述的身份验证装置，其特征在于，还包括建立单元；

所述建立单元，用于建立用户的击键行为模型。

13.根据权利要求12所述的身份验证装置，其特征在于，

所述建立单元，具体用于向客户端发送指定文本，并指示用户根据所述指定文本进行击键行为操作，接收客户端根据所述击键行为操作所得到的击键特征信息，基于所述击键特征信息建立用户的击键行为模型。

14.根据权利要求12所述的身份验证装置，其特征在于，

所述建立单元，具体用于接收客户端发送的击键特征信息，所述击键特征信息由客户端根据用户在进行击键行为操作时的按键持续时间和按键时间间隔学习所得到，基于所述击键特征信息建立用户的击键行为模型。

15.根据权利要求11至14任一项所述的身份验证装置，其特征在于，还包括初始验证单元；

所述接收单元，还用于接收客户端发送的资源访问请求，所述资源访问请求携带用户标识和访问密钥；

初始验证单元，用于根据所述用户标识和访问密钥进行身份验证；

所述处理单元，还用于在初始验证单元确定身份验证通过时，接受所述资源访问请求。

16.一种客户端，其特征在于，包括：

采集单元，用于在用户访问资源的期间，采集用户的击键行为数据；

上报单元，用于向身份验证装置周期性上报验证信息，所述验证信息包括用户标识和所述击键行为数据，以便所述身份验证装置根据所述验证信息和预置的击键行为模型进行身份验证。

17.根据权利要求16所述的客户端，其特征在于，还包括接收单元、显示单元和分析单元；

所述接收单元，用于接收身份验证装置发送的指定文本；

所述显示单元，用于显示所述指定文本，并提示用户根据所述指定文本进行击键行为操作；

所述分析单元，用于对所述击键行为操作进行分析处理，得到击键特征信息；

所述上报单元，还用于将所述击键特征信息发送给身份验证装置，以便身份验证装置基于所述击键特征信息建立用户的击键行为模型。

18.根据权利要求16所述的客户端，其特征在于，还包括监控单元和学习单元；

所述监控单元，用于监控用户的击键行为操作，以获取用户在进行所述击键行为操作时的按键持续时间和按键时间间隔；

所述学习单元，用于根据支持向量数据描述方法对所述按键持续时间和按键时间间隔进行学习，得到击键特征信息；

所述上报单元，还用于将所述击键特征信息发送给身份验证装置，以便身份验证装置基于所述击键特征信息建立用户的击键行为模型。

19.根据权利要求16至18任一项所述的客户端，其特征在于，还包括访问单元；

所述上报单元，还用于向身份验证装置发送资源访问请求，所述资源访问请求携带用户标识和访问密钥，以便所述身份验证装置根据所述用户标识和访问密钥进行身份验证；

所述访问单元，用于在接收到身份验证装置返回的表示身份验证通过的响应时，对资源进行访问。

20.根据权利要求16至18任一项所述的客户端，其特征在于，还包括设置单元；

所述设置单元，用于对上报周期进行设置；

所述上报单元，具体用于按照所述设置单元设置的上报周期，向身份验证装置上报的验证信息。

21.一种身份验证系统，其特征在于，包括权利要求11至15任一项所述的身份验证装置和权利要求16至20任一项所述的客户端。