CN106571921B - 一种实体身份有效性验证方法及其装置 - Google Patents
一种实体身份有效性验证方法及其装置 Download PDFInfo
- Publication number
- CN106571921B CN106571921B CN201510655266.4A CN201510655266A CN106571921B CN 106571921 B CN106571921 B CN 106571921B CN 201510655266 A CN201510655266 A CN 201510655266A CN 106571921 B CN106571921 B CN 106571921B
- Authority
- CN
- China
- Prior art keywords
- message
- trusted
- party
- ttp
- entity
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Mobile Radio Communication Systems (AREA)
- Storage Device Security (AREA)
Abstract
本发明提供的实体身份有效性验证方法和装置，涉及网络通信领域，解决了当前无多可信第三方参与身份有效性验证的技术方案的问题，该身份有效性验证方法涉及实体A、实体B、第一可信第三方TTPA和第二可信第三方TTPB，该方法包括1)实体B发送消息1到实体A；2)实体A向TTPA发送消息2；3)TTPA向TTPB发送消息3；4)TTPB向TTPA返回消息4；5)TTPA构造消息5发送给实体A；6)实体A根据验证结果R判断实体B身份的有效性。相应的，本发明还提供了与实体身份有效性验证方法相对应的装置。
Description
技术领域
本发明涉及网络通信领域，尤其涉及多个可信第三方参与的实体身份有效性验证方法及装置。
背景技术
现有的在实体之间的身份有效性验证方法中，有一类需要可信第三方TTP参与并提供验证服务的方法，这类方法中，存在一个身份有效性验证双方共同信任的TTP，其用于为参与身份有效性验证的双方提供验证服务，通过将验证结果反馈给参与身份有效性验证的双方实体，从而帮助实体之间完成对彼此身份的有效性验证。
但这类方法并不能指导本领域技术人员完成一些特定环境下的身份有效性验证工作。所述的特定身份有效性验证环境例如：分别信任不同可信第三方TTP的实体之间对彼此身份有效性进行验证，且又同时需要可信第三方参与并提供验证的环境。
发明内容
有鉴于此，为了解决背景技术中存在的上述技术问题，本发明提供的一种实体身份有效性验证方法及其装置，能够适用于多可信第三方TTP参与身份有效性验证的应用场景。
一种实体身份有效性验证方法，实体A的身份有效性能被TTPA验证，实体B的身份有效性能被TTPB验证，实体A信任TTPA和TTPB，实体B信任TTPB，该方法包括以下步骤：
1)所述实体B发送消息1到所述实体A，所述消息1包括实体B的身份信息IB；
2)所述实体A收到所述消息1后，向TTPA发送消息2，所述消息2包括实体A产生的随机数RA和IB；
3)TTPA收到实体A发送的所述消息2后，向TTPB发送消息3，所述消息3包括TTPA自己产生的随机数RTPA、RA和IB；
4)TTPB收到TTPA发送的消息3后，根据IB验证实体B身份的有效性，获取实体B的身份验证结果ResB；
并向TTPA返回消息4，所述消息4包括权标TokenTPBA，所述权标TokenTPBA包含RA、ResB、TTPB的第一签名以及TTPB的第二签名；所述TTPB的第一签名的签名对象包括ResB、RA，所述TTPB的第二签名的签名对象包括RTPA；
5)TTPA收到TTPB发送的消息4后，验证包含在TokenTPBA中所述TTPB的第二签名，验证通过后，检查从消息4中得到的RTPA是否与自己在消息3中发送给TTPB的随机数RTPA一致，若一致，TTPA构造消息5发送给实体A，所述消息5包括权标TokenTA，所述权标TokenTA包含ResB、TTPB的第一签名；
6)实体A收到来自TTPA的消息5后，首先验证包含在TokenTA中TTPB的第一签名，验证通过后，检查从消息5中得到的RA是否与自己在消息2中发送给TTPA的随机数RA一致，若一致，实体A根据验证结果ResB判断实体B身份的有效性。
本发明还提供了与上述身份有效性验证方法相应的装置。
第一实体身份有效性验证装置，用于在第一可信第三方装置和第二可信第三方装置的参与下，与第二实体身份有效性验证装置进行身份有效性验证，所述第一实体身份有效性验证装置包括收发单元和处理单元，具体的：
所述处理单元用于产生随机数RA；
所述收发单元用于接收所述第二实体身份有效性验证装置发送的消息1，并用于向所述第一可信第三方装置发送消息2，所述消息1包括所述第二实体身份有效性验证装置的身份信息IB，所述消息2包括RA和IB；
所述收发单元还用于接收所述第一可信第三方装置发送的消息5，所述消息5包括权标TokenTA，所述权标TokenTA包含第二实体身份有效性验证装置的身份验证结果ResB、第二可信第三方装置的第一签名，所述第二可信第三方装置的第一签名的签名对象包括ResB、RA；
所述处理单元还用于验证包含在TokenTA中所述第二可信第三方装置的第一签名，验证通过后，检查从消息5中得到的RA是否与自己在消息2中发送给所述第一可信第三方装置的随机数RA一致，若一致，根据验证结果ResB判断所述第二实体身份有效性验证装置身份的有效性。
第二实体身份有效性验证装置，用于在第一可信第三方装置和第二可信第三方装置的参与下，与第一实体身份有效性验证装置进行身份有效性验证，所述第二实体身份有效性验证装置包括存储单元、收发单元，具体的：
所述存储单元用于存储所述第二实体身份有效性验证装置的身份信息IB；
所述收发单元用于发送消息1，所述消息1包括IB。
第一可信第三方装置，用于与第二可信第三方装置一起，参与第一实体身份有效性验证装置和第二实体身份有效性验证装置之间的身份有效性验证，所述第一可信第三方装置包括收发单元和处理单元，具体的：
所述收发单元用于接收所述第一实体身份有效性验证装置发送的消息2，所述消息2包括所述第一实体身份有效性验证装置产生的随机数RA以及所述第二实体身份有效性验证装置的身份信息IB；
所述收发单元还用于向所述第二可信第三方装置发送消息3，所述消息3包括所述第一可信第三方装置产生的随机数RTPA、RA和IB；
所述收发单元还用于接收所述第二可信第三方装置发送的消息4，所述消息4包括权标TokenTPBA；所述权标TokenTPBA包含RA、第二实体身份有效性验证装置的身份验证结果ResB、所述第二可信第三方装置的第一签名以及所述第二可信第三方装置的第二签名；所述第二可信第三方装置的第一签名的签名对象包括ResB、RA，所述第二可信第三方装置的第二签名的签名对象包括RTPA；
所述处理单元还用于验证包含在TokenTPBA中所述第二可信第三方装置的第二签名，验证通过后，检查从消息4中得到的RTPA是否与自己在消息3中发送给所述第二可信第三方装置的随机数RTPA一致，若一致，构造消息5，所述消息5包括权标TokenTA，所述权标TokenTA包含ResB以及所述第二可信第三方装置的第一签名；
所述收发单元还用于向所述第一实体身份有效性验证装置发送所述消息5。
第二可信第三方装置，用于与第一可信第三方装置一起，参与第一实体身份有效性验证装置和第二实体身份有效性验证装置之间的身份有效性验证，所述第二可信第三方装置包括收发单元和处理单元，具体的：
所述收发单元用于接收所述第一可信第三方装置发送的消息3，所述消息3包括第一可信第三方装置产生的随机数RTPA、所述第一实体身份有效性验证装置产生的随机数RA以及所述第二实体身份有效性验证装置的身份标识IB；
所述处理单元用于根据IB验证实体B的身份，获取实体B的身份验证结果ResB；
所述收发单元还用于向所述第一可信第三方装置发送消息4，所述消息4包括权标TokenTPBA，所述权标TokenTPBA包含RA、ResB、所述第二可信第三方装置的第一签名以及所述第二可信第三方装置的第二签名；所述第二可信第三方装置的第一签名的对象包括ResB、RA，所述第二可信第三方装置的第二签名的对象包括RTPA。
本发明提供的实体身份有效性验证方法中，实体A的身份有效性能被TTPA验证，实体B的身份有效性能被TTPB验证。实体A信任TTPA和TTPB，实体B信任TTPB，该方法进行相互身份有效性验证的实体的身份有效性只能由不同的可信第三方TTP验证，在身份有效性验证过程中，通过两个实体分别信任的TTP之间的交互为一个实体对另一实体的身份有效性验证提供身份有效性验证服务，完成实体间的身份有效性验证。本发明解决了实体分别信任不同TTP时的身份有效性验证问题。该方法能很好的适用于多TTP参与实体身份有效性验证的场景，填补了当前无多TTP参与实现实体身份有效性验证的技术空白。
附图说明
图1为本发明一实施例的方法流程示意图；
图2为本发明提供的第一实体身份有效性验证装置的结构示意图；
图3为本发明提供的第二实体身份有效性验证装置的结构示意图；
图4为本发明提供的第一可信第三方装置的结构示意图；
图5为本发明提供的第二可信第三方装置的结构示意图。
具体实施方式
本发明提供的实体身份有效性验证方法涉及实体A、实体B、第一可信第三方TTPA和第二可信第三方TTPB，实体A的身份有效性能被TTPA验证，实体B的身份有效性能被TTPB验证，实体A信任TTPA和TTPB，实体B信任TTPB。该方法涉及的各实体之间的连接关系为：实体B仅连接实体A，实体A同时连接实体B和第一可信第三方TTPA，第一可信第三方TTPA同时连接实体A和第二可信第三方TTPB，第二可信第三方TTPB仅连接可信第三方TTPA。以下将结合附图对本发明的实施例进行详细的阐述。
此外，以下实施例所述的实体身份有效性的验证方法还支持实体A的身份有效性能被TTPA验证，实体B的身份有效性能被TTPB验证，实体A信任TTPA和TTPB，实体B信任TTPA和TTPB的情形。
参见图1，实体A和实体B之间的实体身份有效性验证流程具体如下：
1)所述实体B发送消息1到所述实体A，所述消息1包括实体B的身份信息IB；
2)所述实体A收到所述消息1后，向TTPA发送消息2，所述消息2包括实体A产生的随机数RA和IB；
3)TTPA收到实体A发送的所述消息2后，向TTPB发送消息3，所述消息3包括TTPA自己产生的随机数RTPA、RA和IB；
4)TTPB收到TTPA发送的消息3后，根据IB验证实体B身份的有效性，获取实体B的身份验证结果ResB；
并向TTPA返回消息4，所述消息4包括权标TokenTPBA，所述权标TokenTPBA包含RA、ResB、TTPB的第一签名以及TTPB的第二签名；所述TTPB的第一签名的签名对象包括ResB、RA，所述TTPB的第二签名的签名对象包括RTPA；
5)TTPA收到TTPB发送的消息4后，验证包含在TokenTPBA中所述TTPB的第二签名，验证通过后，检查从消息4中得到的RTPA是否与自己在消息3中发送给TTPB的随机数RTPA一致，若一致，TTPA构造消息5发送给实体A，所述消息5包括权标TokenTA，所述权标TokenTA包含ResB、TTPB的第一签名；
6)实体A收到来自TTPA的消息5后，首先验证包含在TokenTA中TTPB的第一签名，验证通过后，检查从消息5中得到的RA是否与自己在消息2中发送给TTPA的随机数RA一致，若一致，实体A根据验证结果ResB判断实体B身份的有效性。
至此，实体A完成了对实体B身份有效性的判断，即实现了对实体B的单向身份有效性验证。
优选的，步骤4)中，根据IB验证实体B身份的有效性，获取实体B的身份验证结果ResB，具体包括：
如果IB是实体B的区分符，则TTPB提取实体B的公钥PB，此时ResB包括PB；如果IB是实体B的证书CertB，则TTPB检查CertB的有效性，此时ResB中包括CertB的有效性状态；
如果实体B的公钥或证书的有效性不能被TTPB获得，此时ResB中包括表示验证失败的内容。
作为本领域公知技术，数字签名算法包括带消息恢复的、不带消息恢复的等算法，如果验证签名时能够恢复目标字段的，则验证签名者可在验证签名通过后从该签名中直接恢复目标字段；如果验证签名时不能够恢复目标字段，则本领域技术人员通常都会在消息中携带该目标字段，从而验证签名者可直接从该消息中获取该目标字段。优选的，在所述步骤5)中，TTPA从消息4中得到RTPA的具体方式是：如果TTPA验证TTPB的第二签名时能够从第二签名中恢复RTPA，则TTPA在验证TTPB的第二签名通过后从该签名中直接恢复RTPA；如果TTPA验证第二签名时不能够恢复RTPA，则消息4中还进一步包括RTPA字段，TTPA从消息4中直接获取RTPA；
在所述步骤6)中，实体A从消息5中得到RA的具体方式是：如果实体A验证TTPB的第一签名时能够从第一签名中恢复RA，则实体A在验证TTPB的第一签名通过后从该签名中直接恢复RA；如果实体A验证第一签名时不能够恢复RA，则消息5中还进一步包括RA字段，实体A从消息5中直接获取RA。
具体的，在步骤5)和步骤6)中，在验证签名不通过或者判断随机数不一致时，则可以采取丢弃对应的消息或终止身份有效性验证过程等本领域公知的处理方式。此处不在赘述。
另外，本发明还提供另一实施例，即上述实施例中的步骤3)中TTPA可不必产生随机数RTPA，且在消息3中可不必发送RTPA，可在后续步骤4)和步骤5)中用RA代替RTPA。该实施例的具体方法流程及具体执行过程同前述实施例，此处不再重复说明。
该实施例的优点在于可在几乎不影响安全性的前提下，TTPA不必再产生随机数，降低了TTPA的计算复杂度，从而提升了系统的效率。
与本发明提供的实体身份有效性验证方法相应的，本发明还分别提供了第一实体身份有效性验证装置、第二实体身份有效性验证装置、第一可信第三方装置以及第二可信第三方装置。以下将分别结合附图进行详细的阐述。
参见图2，第一实体身份有效性验证装置用于在第一可信第三方装置和第二可信第三方装置的参与下，与第二实体身份有效性验证装置进行身份有效性验证，所述第一实体身份有效性验证装置包括收发单元11和处理单元12，具体的：
所述处理单元12用于产生随机数RA；
所述收发单元11用于接收所述第二实体身份有效性验证装置发送的消息1，并用于向所述第一可信第三方装置发送消息2，所述消息1包括所述第二实体身份有效性验证装置的身份信息IB，所述消息2包括RA和IB；
所述收发单元11还用于接收所述第一可信第三方装置发送的消息5，所述消息5包括权标TokenTA，所述权标TokenTA包含第二实体身份有效性验证装置的身份验证结果ResB、第二可信第三方装置的第一签名，所述第二可信第三方装置的第一签名的签名对象包括ResB、RA；
所述处理单元12还用于验证包含在TokenTA中所述第二可信第三方装置的第一签名，验证通过后，检查从消息5中得到的RA是否与自己在消息2中发送给所述第一可信第三方装置的随机数RA一致，若一致，根据验证结果ResB判断所述第二实体身份有效性验证装置身份的有效性。
参见图3，第二实体身份有效性验证装置，用于在第一可信第三方装置和第二可信第三方装置的参与下，与第一实体身份有效性验证装置进行身份有效性验证，所述第二实体身份有效性验证装置包括存储单元21、收发单元22，具体的：
所述存储单元21用于存储所述第二实体身份有效性验证装置的身份信息IB；
所述收发单元22用于发送消息1，所述消息1包括IB。
参见图4，第一可信第三方装置，用于与第二可信第三方装置一起，参与第一实体身份有效性验证装置和第二实体身份有效性验证装置之间的身份有效性验证，所述第一可信第三方装置包括收发单元31和处理单元32，具体的：
所述收发单元31用于接收所述第一实体身份有效性验证装置发送的消息2，所述消息2包括所述第一实体身份有效性验证装置产生的随机数RA以及所述第二实体身份有效性验证装置的身份信息IB；
所述收发单元31还用于向所述第二可信第三方装置发送消息3，所述消息3包括所述第一可信第三方装置产生的随机数RTPA、RA和IB；
所述收发单元31还用于接收所述第二可信第三方装置发送的消息4，所述消息4包括权标TokenTPBA；所述权标TokenTPBA包含RA、第二实体身份有效性验证装置的身份验证结果ResB、所述第二可信第三方装置的第一签名、以及所述第二可信第三方装置的第二签名；所述第二可信第三方装置的第一签名的签名对象包括ResB、RA，所述第二可信第三方装置的第二签名的签名对象包括RTPA；
所述处理单元32还用于验证包含在TokenTPBA中所述第二可信第三方装置的第二签名，验证通过后，检查从消息4中得到的RTPA是否与自己在消息3中发送给所述第二可信第三方装置的随机数RTPA一致，若一致，构造消息5，所述消息5包括权标TokenTA，所述权标TokenTA包含ResB以及所述第二可信第三方装置的第一签名；
所述收发单元31还用于向所述第一实体身份有效性验证装置发送所述消息5。
优选的，所述消息3中第一可信第三方装置不产生随机数RTPA，所述消息4中的RTPA可替换为RA。
参见图5，第二可信第三方装置，用于与第一可信第三方装置一起，参与第一实体身份有效性验证装置和第二实体身份有效性验证装置之间的身份有效性验证，所述第二可信第三方装置包括收发单元41和处理单元42，具体的：
所述收发单元41用于接收所述第一可信第三方装置发送的消息3，所述消息3包括第一可信第三方装置产生的随机数RTPA、所述第一实体身份有效性验证装置产生的随机数RA以及所述第二实体身份有效性验证装置的身份标识IB；
所述处理单元42用于根据IB验证实体B的身份，获取实体B的身份验证结果ResB；
所述收发单元41还用于向所述第一可信第三方装置发送消息4，所述消息4包括权标TokenTPBA，所述权标TokenTPBA包含RA、ResB、所述第二可信第三方装置的第一签名以及所述第二可信第三方装置的第二签名；所述第二可信第三方装置的第一签名的对象包括ResB、RA，所述第二可信第三方装置的第二签名的对象包括RTPA。
当所述第二可信第三方装置收到所述第一可信第三方装置发送的消息3后，根据IB验证所述第二实体身份有效性验证装置的身份时，
如果IB是所述第二实体身份有效性验证装置的区分符，
处理单元进一步用于提取所述第二实体身份有效性验证装置的公钥PB；
如果IB是所述第二实体身份有效性验证装置的证书CertB，
处理单元进一步用于检查CertB的有效性。
优选的，所述消息3中第一可信第三方装置不产生随机数RTPA，所述消息4中的RTPA可替换为RA。
需要说明的是，本发明提供的前述装置与本发明方法实施例中各实体是相对应的，具体的：第一实体身份有效性验证装置包含了实体A，第二实体身份有效性验证装置包含了实体B，第一可信第三方装置中包含了可信第三方TTPA，第二可信第三方装置中包含了可信第三方TTPB。因而，本发明提供的上述装置依照图1组成的系统是能够实施本发明方法的。本领域技术人员应当明白，各装置的具体构成情况已通过前述装置实施例进行了展示，其更进一步的工作细节也与前述方法实施例对应，无需赘述。
本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。
显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。
Claims (10)
1.一种实体身份有效性验证方法，涉及实体A、实体B、第一可信第三方TTPA和第二可信第三方TTPB，实体A的身份有效性能被TTPA验证，实体B的身份有效性能被TTPB验证，实体A信任TTPA和TTPB，实体B信任TTPB，其特征在于，该方法包括以下步骤：
1)所述实体B发送消息1到所述实体A，所述消息1包括实体B的身份信息IB；
2)所述实体A收到所述消息1后，向TTPA发送消息2，所述消息2包括实体A产生的随机数RA和IB；
3)TTPA收到实体A发送的所述消息2后，向TTPB发送消息3，所述消息3包括TTPA自己产生的随机数RTPA、RA和IB；
4)TTPB收到TTPA发送的消息3后，根据IB验证实体B身份的有效性，获取实体B的身份验证结果ResB；
并向TTPA返回消息4，所述消息4包括权标TokenTPBA，所述权标TokenTPBA包含RA、ResB、TTPB的第一签名以及TTPB的第二签名；所述TTPB的第一签名的签名对象包括ResB、RA，所述TTPB的第二签名的签名对象包括RTPA；
5)TTPA收到TTPB发送的消息4后，验证包含在TokenTPBA中所述TTPB的第二签名，验证通过后，检查从消息4中得到的RTPA是否与自己在消息3中发送给TTPB的随机数RTPA一致，若一致，TTPA构造消息5发送给实体A，所述消息5包括权标TokenTA，所述权标TokenTA包含ResB、TTPB的第一签名；
6)实体A收到来自TTPA的消息5后，首先验证包含在TokenTA中TTPB的第一签名，验证通过后，检查从消息5中得到的RA是否与自己在消息2中发送给TTPA的随机数RA一致，若一致，实体A根据验证结果ResB判断实体B身份的有效性。
2.根据权利要求1所述的实体身份有效性验证方法，其特征在于：步骤4)中，根据IB验证实体B身份的有效性，获取实体B的身份验证结果ResB，具体包括：
如果IB是实体B的区分符，则TTPB提取实体B的公钥PB，此时ResB包括PB；
如果IB是实体B的证书CertB，则TTPB检查CertB的有效性，此时ResB中包括CertB的有效性状态；
如果实体B的公钥或证书的有效性不能被TTPB获得，此时ResB中包括表示验证失败的内容。
3.根据权利要求1所述的实体身份有效性验证方法，其特征在于：
在所述步骤5)中，TTPA从消息4中得到RTPA的具体方式是：如果TTPA验证TTPB的第二签名时能够从第二签名中恢复RTPA，则TTPA在验证TTPB的第二签名通过后从该签名中直接恢复RTPA；如果TTPA验证第二签名时不能够恢复RTPA，则消息4中还进一步包括RTPA字段，TTPA从消息4中直接获取RTPA；
在所述步骤6)中，实体A从消息5中得到RA的具体方式是：如果实体A验证TTPB的第一签名时能够从第一签名中恢复RA，则实体A在验证TTPB的第一签名通过后从该签名中直接恢复RA；如果实体A验证第一签名时不能够恢复RA，则消息5中还进一步包括RA字段，实体A从消息5中直接获取RA。
4.根据权利要求1-3中任一所述的实体身份有效性验证方法，其特征在于：
所述步骤3)中TTPA不产生随机数RTPA，所述步骤4)及5)中的RTPA被RA代替。
5.一种第一实体身份有效性验证装置，用于在第一可信第三方装置和第二可信第三方装置的参与下，与第二实体身份有效性验证装置进行身份有效性验证，所述第一实体身份有效性验证装置包括收发单元和处理单元，其特征在于：
所述处理单元用于产生随机数RA；
所述收发单元用于接收所述第二实体身份有效性验证装置发送的消息1，并用于向所述第一可信第三方装置发送消息2，所述消息1包括所述第二实体身份有效性验证装置的身份信息IB，所述消息2包括RA和IB；
所述收发单元还用于接收所述第一可信第三方装置发送的消息5，所述消息5包括权标TokenTA，所述权标TokenTA包含所述第二实体身份有效性验证装置的身份验证结果ResB、第二可信第三方装置的第一签名，所述第二可信第三方装置的第一签名的签名对象包括ResB、RA；
所述处理单元还用于验证包含在TokenTA中所述第二可信第三方装置的第一签名，验证通过后，检查从消息5中得到的RA是否与自己在消息2中发送给所述第一可信第三方装置的随机数RA一致，若一致，根据验证结果ResB判断所述第二实体身份有效性验证装置身份的有效性。
6.一种第二实体身份有效性验证装置，用于在第一可信第三方装置和第二可信第三方装置的参与下，与第一实体身份有效性验证装置进行身份有效性验证，所述第二实体身份有效性验证装置包括存储单元、收发单元，其特征在于：
所述存储单元用于存储所述第二实体身份有效性验证装置的身份信息IB；
所述收发单元用于发送消息1，所述消息1包括IB；
其中，所述第一实体身份有效性验证装置收到所述消息1后，向所述第一可信第三方装置发送消息2，所述消息2包括所述第一实体身份有效性验证装置产生的随机数RA和IB；
所述第一可信第三方装置收到所述第一实体身份有效性验证装置发送的所述消息2后，向所述第二可信第三方装置发送消息3，所述消息3包括所述第一可信第三方装置自己产生的随机数RTPA、RA和IB；
所述第二可信第三方装置收到所述第一可信第三方装置发送的消息3后，根据IB验证所述第二实体身份有效性验证装置身份的有效性，获取所述第二实体身份有效性验证装置的身份验证结果ResB；
并向所述第一可信第三方装置返回消息4，所述消息4包括权标TokenTPBA，所述权标TokenTPBA包含RA、ResB、所述第二可信第三方装置的第一签名以及所述第二可信第三方装置的第二签名；所述第二可信第三方装置的第一签名的签名对象包括ResB、RA，所述第二可信第三方装置的第二签名的签名对象包括RTPA；
所述第一可信第三方装置收到所述第二可信第三方装置发送的消息4后，验证包含在TokenTPBA中所述第二可信第三方装置的第二签名，验证通过后，检查从消息4中得到的RTPA是否与所述第一可信第三方装置在消息3中发送给所述第二可信第三方装置的随机数RTPA一致，若一致，所述第一可信第三方装置构造消息5发送给所述第一实体身份有效性验证装置，所述消息5包括权标TokenTA，所述权标TokenTA包含ResB、所述第二可信第三方装置的第一签名；
所述第一实体身份有效性验证装置收到来自所述第一可信第三方装置的消息5后，首先验证包含在TokenTA中所述第二可信第三方装置的第一签名，验证通过后，检查从消息5中得到的RA是否与所述第一实体身份有效性验证装置在消息2中发送给所述第一可信第三方装置的随机数RA一致，若一致，所述第一实体身份有效性验证装置根据验证结果ResB判断所述第二实体身份有效性验证装置身份的有效性。
7.一种第一可信第三方装置，用于与第二可信第三方装置一起，参与第一实体身份有效性验证装置和第二实体身份有效性验证装置之间的身份有效性验证，所述第一可信第三方装置包括收发单元和处理单元，其特征在于：
所述收发单元用于接收所述第一实体身份有效性验证装置发送的消息2，所述消息2包括所述第一实体身份有效性验证装置产生的随机数RA以及所述第二实体身份有效性验证装置的身份信息IB；
所述收发单元还用于向所述第二可信第三方装置发送消息3，所述消息3包括所述第一可信第三方装置产生的随机数RTPA、RA和IB；
所述收发单元还用于接收所述第二可信第三方装置发送的消息4，所述消息4包括权标TokenTPBA；所述权标TokenTPBA包含RA、第二实体身份有效性验证装置的身份验证结果ResB、所述第二可信第三方装置的第一签名、以及所述第二可信第三方装置的第二签名；所述第二可信第三方装置的第一签名的签名对象包括ResB、RA，所述第二可信第三方装置的第二签名的签名对象包括RTPA；
所述处理单元还用于验证包含在TokenTPBA中所述第二可信第三方装置的第二签名，验证通过后，检查从消息4中得到的RTPA是否与自己在消息3中发送给所述第二可信第三方装置的随机数RTPA一致，若一致，构造消息5，所述消息5包括权标TokenTA，所述权标TokenTA包含ResB以及所述第二可信第三方装置的第一签名；
所述收发单元还用于向所述第一实体身份有效性验证装置发送所述消息5。
8.一种第二可信第三方装置，用于与第一可信第三方装置一起，参与第一实体身份有效性验证装置和第二实体身份有效性验证装置之间的身份有效性验证，所述第二可信第三方装置包括收发单元和处理单元，其特征在于：
所述收发单元用于接收所述第一可信第三方装置发送的消息3，所述消息3 包括第一可信第三方装置产生的随机数RTPA、所述第一实体身份有效性验证装置产生的随机数RA以及所述第二实体身份有效性验证装置的身份标识IB；
所述处理单元用于根据IB验证实体B的身份，获取实体B的身份验证结果ResB；
所述收发单元还用于向所述第一可信第三方装置发送消息4，所述消息4包括权标TokenTPBA，所述权标TokenTPBA包含RA、ResB、所述第二可信第三方装置的第一签名以及所述第二可信第三方装置的第二签名；所述第二可信第三方装置的第一签名的对象包括ResB、RA，所述第二可信第三方装置的第二签名的对象包括RTPA。
9.根据权利要求8所述的第二可信第三方装置，其特征在于：
当所述第二可信第三方装置收到所述第一可信第三方装置发送的消息3后，根据IB验证所述第二实体身份有效性验证装置的身份时，
如果IB是所述第二实体身份有效性验证装置的区分符，
所述处理单元进一步用于提取所述第二实体身份有效性验证装置的公钥PB；
如果IB是所述第二实体身份有效性验证装置的证书CertB，
所述处理单元进一步用于检查CertB的有效性。
10.根据权利要求7-9任一所述的第一可信第三方装置或第二可信第三方装置，其特征在于：所述消息3中第一可信第三方装置不产生随机数RTPA，所述消息4中的RTPA可替换为RA。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201510655266.4A CN106571921B (zh) | 2015-10-10 | 2015-10-10 | 一种实体身份有效性验证方法及其装置 |
| PCT/CN2016/095467 WO2017059736A1 (zh) | 2015-10-10 | 2016-08-16 | 一种实体身份有效性验证方法及其装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201510655266.4A CN106571921B (zh) | 2015-10-10 | 2015-10-10 | 一种实体身份有效性验证方法及其装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN106571921A CN106571921A (zh) | 2017-04-19 |
| CN106571921B true CN106571921B (zh) | 2019-11-22 |
Family
ID=58487270
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201510655266.4A Active CN106571921B (zh) | 2015-10-10 | 2015-10-10 | 一种实体身份有效性验证方法及其装置 |
Country Status (2)
| Country | Link |
|---|---|
| CN (1) | CN106571921B (zh) |
| WO (1) | WO2017059736A1 (zh) |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| GB9903124D0 (en) * | 1999-02-11 | 1999-04-07 | Nokia Telecommunications Oy | An authentication method |
| CN101222328A (zh) * | 2007-12-14 | 2008-07-16 | 西安西电捷通无线网络通信有限公司 | 一种实体双向鉴别方法 |
| CN101247223A (zh) * | 2008-03-06 | 2008-08-20 | 西安西电捷通无线网络通信有限公司 | 一种实用的基于可信第三方的实体双向鉴别方法 |
| CN101378318A (zh) * | 2008-10-08 | 2009-03-04 | 南京邮电大学 | 开放网络中基于动态可信第三方的身份认证方法 |
| CN103179099A (zh) * | 2011-12-23 | 2013-06-26 | 北京新媒传信科技有限公司 | 一种接入开放网站平台的统一认证方法和一种网站平台 |
| CN104378382A (zh) * | 2014-11-28 | 2015-02-25 | 上海斐讯数据通信技术有限公司 | 一种多商户无线认证系统及其认证方法 |
-
2015
- 2015-10-10 CN CN201510655266.4A patent/CN106571921B/zh active Active
-
2016
- 2016-08-16 WO PCT/CN2016/095467 patent/WO2017059736A1/zh active Application Filing
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| GB9903124D0 (en) * | 1999-02-11 | 1999-04-07 | Nokia Telecommunications Oy | An authentication method |
| CN101222328A (zh) * | 2007-12-14 | 2008-07-16 | 西安西电捷通无线网络通信有限公司 | 一种实体双向鉴别方法 |
| CN101247223A (zh) * | 2008-03-06 | 2008-08-20 | 西安西电捷通无线网络通信有限公司 | 一种实用的基于可信第三方的实体双向鉴别方法 |
| CN101378318A (zh) * | 2008-10-08 | 2009-03-04 | 南京邮电大学 | 开放网络中基于动态可信第三方的身份认证方法 |
| CN103179099A (zh) * | 2011-12-23 | 2013-06-26 | 北京新媒传信科技有限公司 | 一种接入开放网站平台的统一认证方法和一种网站平台 |
| CN104378382A (zh) * | 2014-11-28 | 2015-02-25 | 上海斐讯数据通信技术有限公司 | 一种多商户无线认证系统及其认证方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN106571921A (zh) | 2017-04-19 |
| WO2017059736A1 (zh) | 2017-04-13 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN109819443A (zh) | 基于区块链的注册认证方法、装置及系统 | |
| CN109309565A (zh) | 一种安全认证的方法及装置 | |
| CN106815722A (zh) | 基于区块链的信息处理方法和装置 | |
| CN110473318A (zh) | 解锁方法、实现解锁的设备及计算机可读介质 | |
| CN104717217B (zh) | 一种云存储中基于部分授权的可证明安全数据持有性验证方法 | |
| CN111211905A (zh) | 一种基于无证书认证的Fabric联盟链成员身份管理方法 | |
| CN106572066B (zh) | 一种实体身份有效性验证方法及其装置 | |
| CN105743854A (zh) | 安全认证系统及方法 | |
| CN107395623A (zh) | 接口访问数据验证方法及装置、计算机存储介质和设备 | |
| CN104918245B (zh) | 一种身份认证方法、装置、服务器及客户端 | |
| CN116170144B (zh) | 智能电网匿名认证方法、电子设备及存储介质 | |
| CN106572063B (zh) | 一种多ttp参与的实体身份有效性验证方法及装置 | |
| CN106572065B (zh) | 一种多ttp参与的实体身份有效性验证方法及装置 | |
| CN106571921B (zh) | 一种实体身份有效性验证方法及其装置 | |
| CN106571919B (zh) | 一种实体身份有效性验证方法及其装置 | |
| CN106571920B (zh) | 一种多ttp参与的实体身份有效性验证方法及装置 | |
| CN106572064B (zh) | 一种多ttp参与的实体身份有效性验证方法及装置 | |
| CN112636904B (zh) | 随机数生成与验证方法、装置、电子设备及可读存储介质 | |
| CN108847943A (zh) | Np问题的处理方法、装置、电子设备及存储介质 | |
| CN118631461A (zh) | 基于多证明者零知识证明的两方确定性Schnorr签名方法及系统 | |
| CN108769719A (zh) | 一种弹幕验证方法、计算机设备和存储介质 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| EE01 | Entry into force of recordation of patent licensing contract | ||
| EE01 | Entry into force of recordation of patent licensing contract |
Application publication date: 20170419 Assignee: Shenzhen mingwah Aohan Smart Card Co. Ltd. Assignor: Anxi Dianjietong Wireless Network Communications Co.,Ltd. Contract record no.: 2018610000008 Denomination of invention: Method and apparatus for effectiveness verification of entity identity License type: Common License Record date: 20180319 |
|
| EE01 | Entry into force of recordation of patent licensing contract | ||
| EE01 | Entry into force of recordation of patent licensing contract |
Application publication date: 20170419 Assignee: Shenzhen mingwah Aohan Smart Card Co. Ltd. Assignor: Anxi Dianjietong Wireless Network Communications Co.,Ltd. Contract record no.: 2018610000009 Denomination of invention: Method and apparatus for effectiveness verification of entity identity License type: Common License Record date: 20180320 Application publication date: 20170419 Assignee: Shenzhen mingwah Aohan Smart Card Co. Ltd. Assignor: Anxi Dianjietong Wireless Network Communications Co.,Ltd. Contract record no.: 2018610000010 Denomination of invention: Method and apparatus for effectiveness verification of entity identity License type: Common License Record date: 20180322 |
|
| GR01 | Patent grant | ||
| GR01 | Patent grant |