CN107196914A - 身份认证方法及装置 - Google Patents

Abstract

本申请实施例提供一种身份认证方法及装置。其中，方法包括如下的步骤：获取用户输入的登录账号、登录密码以及第一登录口令；根据所述用户账号以及所述登录密码，对所述用户进行合法性验证以及权限鉴别；确定所述用户通过所述合法性验证以及所述权限鉴别之后，调用预先配置的身份认证服务，验证所述第一登录口令的有效性；在所述第一登录口令通过有效性验证时，确定所述用户通过身份认证。本申请实施例的技术方案增加了用户账号的安全性，保障了用户的数据安全。

Description

身份认证方法及装置

技术领域

本申请涉及信息安全领域，尤其涉及一种身份认证方法及装置。

背景技术

现如今，网络技术飞速发展。一方面，网络技术为人们的生活提供了便利，提升了人们的工作效率。另一方面，网络安全问题也层出不穷，对人们的生活造成了困扰。

为方便用户使用并保证用户数据安全，在用户登录任一平台时，通常需输入账号以及登录密码。服务器根据用户输入的账号以及登录密码对用户进行身份认证，若认证成功，则接受用户的访问。

但是，用户的账号及密码极易受到非法盗取，进而导致用户的数据安全将遭到极大威胁。

发明内容

本申请实施例提供一种身份认证方法及装置，用以解决现有技术中使用账号及密码的登录方式的安全性较低的缺陷。

本申请实施例提供一种身份认证方法，包括：

获取用户输入的登录账号、登录密码以及第一登录口令；

根据所述用户账号以及所述登录密码，对所述用户进行合法性验证以及权限鉴别；

确定所述用户通过所述合法性验证以及所述权限鉴别之后，调用预先配置的身份认证服务，验证所述第一登录口令的有效性；

在所述第一登录口令通过有效性验证时，确定所述用户通过身份认证。

进一步可选地，根据所述用户账号以及所述登录密码，对所述用户进行合法性验证以及权限鉴别，包括：将所述登录账号在数据库中进行匹配；若在所述数据库中匹配到所述登录账号，确定所述用户是合法用户；根据所述登录账号在所述数据库中查询所述登录账号对应的用户密码；若查询到的所述用户密码与所述登录密码一致，则确定所述用户具有登录权限。

进一步可选地，在获取第一登录口令之前，所述方法包括：根据所述用户请求登录口令时的时间戳以及与所述用户账号对应的密钥随机生成所述第一登录口令；显示所述第一登录口令。

进一步可选地，调用预先配置的身份认证服务，验证所述第一登录口令的有效性，包括：根据所述身份认证服务的类型，从可插拔的认证模块(PAM)中，调用所述身份认证服务对应的配置文件；根据所述配置文件，加载预存在指定路径下的所述身份认证服务的认证库文件；通过所述认证库文件对所述第一口令进行有效性验证。

进一步可选地，根据所述配置文件，加载预存在指定路径下的所述身份认证服务的认证库文件，包括：通过所述配置文件的鉴别类接口，确定所述指定路径；根据所述指定路径，加载所述认证库文件。

进一步可选地，通过所述认证库文件对所述第一口令进行有效性验证，包括：验证所述第一登录口令与所述身份认证服务根据所述用户登录时的时间戳，以及所述用户账号对应的密钥生成的第二登录口令的一致性；若所述第一登录口令与所述第二登录口令一致，则确定所述第一登录口令通过有效性验证。

本申请实施例提供一种身份认证装置，包括：

数据获取模块，用于获取用户输入的登录账号、登录密码以及第一登录口令；

第一认证模块，用于根据所述用户账号以及所述登录密码，对所述用户进行合法性验证以及权限鉴别；

第二认证模块，用于确定所述用户通过所述合法性验证以及所述权限鉴别之后，调用预先配置的身份认证服务，验证所述第一登录口令的有效性；

确定模块，用于在所述第一登录口令通过有效性验证时，确定所述用户通过身份认证。

进一步可选地，所述第一认证模块具体用于：将所述登录账号在数据库中进行匹配；若在所述数据库中匹配到所述登录账号，确定所述用户是合法用户；根据所述登录账号在所述数据库中查询所述登录账号对应的用户密码；若查询到的所述用户密码与所述登录密码一致，则确定所述用户具有登录权限。

进一步可选地，所述装置还包括口令生成模块，所述口令生成模块具体用于：在获取第一登录口令之前，根据所述用户请求登录口令时的时间戳以及与所述用户账号对应的密钥随机生成所述第一登录口令；显示所述第一登录口令。

进一步可选地，所述第二认证模块，具体用于：根据所述身份认证服务的类型，从可插拔的认证模块(PAM)中，调用所述身份认证服务对应的配置文件；根据所述配置文件，加载预存在指定路径下的所述身份认证服务的认证库文件；通过所述认证库文件对所述第一口令进行有效性验证。

本申请实施例提供的一种身份认证方法及装置，在根据用户账号以及用户的登录密码，对用户进行合法性验证以及权限鉴别之后，进一步采用预先配置的身份认证服务对用户输入的第一登录口令进行有效性验证。在第一登录口令通过有效性验证之后，才可确定该用户通过身份认证，进一步增加了用户账号的安全性，保障了用户的数据安全。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本申请实施例提供的一身份认证方法的流程示意图；

图2是本申请实施例提供的另一身份认证方法的流程示意图；

图3是本申请实施例提供的一身份认证装置的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

针对现有的用户在登录时存在的账号安全问题，本申请实施例提供一种解决方案，其核心原理是：根据用户对登录口令的请求，为用户生成登录口令。用户采用账号、密码以及该登录口令进行登录；在确定用户账号以及密码通过验证后，进一步验证该登录口令的正确性。通过进一步验证该登录口令的正确性，避免了用户账号被非法盗取时所产生的风险，进而提升了用户数据的安全性。

图1是本申请实施例提供的一身份认证方法的流程示意图，结合图1，该方法包括：

步骤101、获取用户输入的登录账号、登录密码以及第一登录口令。

步骤102、根据用户账号以及登录密码，对用户进行合法性验证以及权限鉴别。

步骤103、确定用户通过合法性验证以及权限鉴别之后，调用预先配置的身份认证服务，验证第一登录口令的有效性。

步骤104、在第一登录口令通过有效性验证时，确定用户通过身份认证。

针对步骤101，在用户登录某一平台或客户端时，该平台或客户端会提供一页面，该页面包含登录提示信息以及账户和密码输入区。用户根据登录提示信息在账户和密码输入区内输入对应的账户和密码，从而，身份认证装置可获取用户所输入的内容并对用户进行身份认证。

在本步骤中，登录提示信息还提示用户在密码输入区输入登录口令。该登录口令是身份认证服务给用户提供的、与当前时间相关的随机数，用于进一步对用户进行身份认证。为便于后续描述以及区分，标记该登录口令为第一登录口令。

针对步骤102，在获取用户账号之后，首先判断该用户账号对应的用户是否为合法用户，例如，判断该用户账号是否存在于本地或者远程的数据库中，若存在，继续判断该用户账号是否过期，若未过期，则确定该用户账号对应的用户是合法用户；否则，确定该用户账号对应的用户为非法用户，不再进行下一步认证并拒绝登录。

进一步地，在验证用户账号的合法性之后，用户进行权限鉴别。例如，验证该用户输入的登录密码与本地或者远程的数据库中保存的该用户账号对应的密码是否一致，若一直，则确定该用户具有登录权限；若不一致，则不再进行下一步认证并拒绝登录。

针对步骤103、在上一步骤确定该用户通过合法性验证以及权限鉴别之后，调用预先配置的身份认证服务，验证该用户输入的第一登录口令的有效性。

预先配置的身份认证服务，可由预先配置于身份认证装置的身份认证模块实现。该身份认证服务用于生成该用户对应的第二登录口令，并验证第一登录口令以及第二登录口令的一致性。

针对步骤104、若上一步骤中，第一登录口令以及第二登录口令完全一致，则可确定第一登录口令通过有效性验证，进而确定该用户通过身份认证，为用户展示登录后的内容。

本实施例提供的一种身份认证方法，在根据用户账号以及用户的登录密码，对用户进行合法性验证以及权限鉴别之后，进一步采用预先配置的身份认证服务对用户输入的第一登录口令进行有效性验证。在第一登录口令通过有效性验证之后，才可确定该用户通过身份认证，进一步增加了用户账号的安全性，保障了用户的数据安全。

在一种可选的实施方式中，本申请实施例提供的身份认证方法可以由内置有谷歌身份认证服务(Google Authenticator)的远程拨号认证服务(RADIUS，RemoteAuthentication Dial In User Service)实现。在本申请实施例中，谷歌身份认证服务，由安装于用户的终端设备上的谷歌身份认证客户端以及内嵌于远程拨号认证服务的谷歌身份认证服务端组合完成。

在本申请实施例中，远程拨号认证服务(RADIUS)内置谷歌身份认证服务(GoogleAuthenticator)后，远程拨号认证服务会向用户提供一个与用户账号对应的默认的密钥。用户在终端设备上以用户账号登录谷歌身份认证客户端时，需输入该用户账号对应的密钥。谷歌身份认证客户端将该密钥保存至本地，进而，后续用户需要登录内置有谷歌身份认证服务的远程拨号认证服务时，可预先从谷歌身份认证服务的客户端上请求登录口令。谷歌身份认证服务的客户端根据用户请求登录口令时的时间戳，以及本地保存的用户账号对应的密钥生成一串随机数，该随机数即为第一登录口令。

在远程拨号认证服务调用谷歌身份认证服务时，内嵌于远程拨号认证服务的谷歌身份认证服务端，利用该密钥以及被调用的时的时间戳生成第二登录口令。通过判断第一登录口令以及第二登录口令的一致性即可完成对用户身份的认证。以下将结合图2对该身份认证方法进行进一步地阐述。

图2是本申请实施例提供的另一身份认证方法的流程示意图，结合图2，该方法包括：

步骤201、根据用户请求登录口令时的时间戳以及与用户账号对应的密钥随机生成第一登录口令，并显示第一登录口令。

步骤202、获取用户输入的登录账号、登录密码以及第一登录口令。

步骤203、根据用户账号以及登录密码，对用户进行合法性验证以及权限鉴别。

步骤204、根据身份认证服务的类型，从可插拔的认证模块(PAM)中，调用身份认证服务对应的配置文件。

步骤205、根据配置文件，加载预存在指定路径下的身份认证服务的认证库文件。

步骤206、通过所述认证库文件对第一口令进行有效性验证。

步骤207、在第一登录口令通过有效性验证时，确定用户通过身份认证。

针对步骤201、用户通RADIUS客户端进行登录操作前，预先从安装于终端设备上的谷歌身份认证客户端获取动态的登录口令。此时，谷歌身份认证客户端根据该用户的账号查询本地保存的与该用户账号对应的密钥，以及用户请求登录口令时的时间戳，生成第一登录口令，并向用户展示该第一登录口令。可选的，在展示该第一登录口令时，展示该第一登录口令的有效时间，以提示用户在有效的时间范围内采用该第一登录口令进行身份认证。

针对步骤202，在用户登录时，RADIUS客户端获取用户的登录账号、登录密码以及第一登录口令。根据获取到的用户的登录账号、登录密码，向RADIUS服务器发送认证请求包(access-request)。

针对步骤203，RADIUS服务器获取认证请求包之后，结合本地或远程数据库中保存的用户数据，对认证请求包中携带的用户的登录账号、登录密码进行合法性验证以及权限鉴别。

可选的，RADIUS服务器进行合法性验证以及权限鉴别可以通过如下的过程实现：首先将登录账号在数据库中进行匹配；若在数据库中匹配到该登录账号，确定该用户是合法用户；其次，根据该登录账号在数据库中查询该登录账号对应的用户密码；若查询到的用户密码与该用户输入的登录密码一致，则确定该用户具有登录权限。

如果RADIUS服务器对该用户进行合法性验证以及权限鉴别成功，则将用户的权限信息以接受访问数据包(access-accept)发送给RADIUS客户端；如果认证失败，则返回拒绝访问数据包(access-reject)至RADIUS客户端,以使RADIUS客户端拒绝用户登录。

针对步骤204、可选的，在本申请实施例中，在接收到RADIUS服务器发送的接受访问数据包(access-accept)之后，通过可插拔的认证模块(PAM)调用预先配置的身份认证服务。

可插拔的认证模块(PAM)，是一套共享库，由一组共享库文件和一些配置文件组成的。当接收到身份认证服务的请求时，具有PAM认证功能的RADIUS客户端将与共享库中包含的库文件进行交互，以便得知是否可以授权给发起请求的用户来使用相应的身份认证服务。

PAM通过配置文件来管理不同类型的身份认证服务，配置文件指定了身份认证服务的类型，即指定调用哪种身份认证方法。PAM核心库(lib pam)可以读取配置文件并以该配置文件为依据将RADIUS和相应的身份认证方法联系起来。因此，RADIUS客户端可以根据所绑定的身份认证服务的类型，从可插拔的认证模块(PAM)中，调用该身份认证服务对应的配置文件，进而实现对该身份认证服务的调用。

针对步骤205，可选的，预存有身份认证库文件的指定路径配置于配置文件的鉴别类接口(auth)中，通过读取配置文件的鉴别类接口所配置的内容，即可确定所述指定路径并从所述指定路径，以加载动态库的形式加载身份认证服务的认证库文件。

鉴别类接口，即RADIUS所使用的PAM的认证接口类型。PAM有四种类型的接口，auth(鉴别类接口)、account(账户类接口)、session(会话类接口)、password(口令类接口)。上述四种类型的接口分别对应不同的功能，auth(鉴别类接口)，主要负责账户合法性检查，确认帐号是否过期，是否有权限登录系统等。

在鉴别类接口配置认证库文件的指定路径之后，还需设置该鉴别类接口的控制位(control_flag)。控制位规定了如何处理认证服务认证的结果，其取值分别为required、Requisite、sufficient或_optional。

required：表示该接口所涉及到的身份认证服务的成功是用户通过身份认证的必要条件。只有在所有控制位取值为required的接口对应的认证服务全部成功后，才能将鉴别成功消息传送至RADIUS客户端。如果任何取值为required的接口对应的认证服务出现了错误，PAM并不立刻将错误消息返回给RADIUS，而是在所有接口都调用完毕后才将错误消息返回至RADIUS客户端。

requisite：表示该接口所涉及到的身份认证服务的成功是用户通过身份认证的必要条件，且控制位取值为requisite的接口一旦失败就不再执行后续其他接口对应的认证服务，并且认证服务过程到此结束，向RADIUS客户端返回错误信息。

sufficient：表示该接口所涉及到的身份认证服务的成功是用户通过身份认证的充分条件。即只要控制位取值为sufficient的接口一旦鉴别成功，那么PAM便立即向RADIU客户端返回成功结果而不必尝试任何其他接口对应的身份认证服务。

optional：表示该接口所涉及到的身份认证服务即使失败，用户仍能够通过认证。

在本申请实施例中，设置auth(鉴别类接口)的控制位的取值为requisite，即，如果该鉴别类接口auth对应的身份认证服务的认证失败，则结束该身份认证。

例如，在一种可选的实施方式中，可在配置文件中按照如下方式设置一auth(鉴别类接口)：

auth requisite/usr/local/lib/security/pam_google_authenticator.so

其中，requisite是auth的控制位的取值，/usr/local/lib/security/是预存身份认证服务的库文件的指定路径，pam_google_authenticator.so即为身份认证服务的库文件。

针对步骤206，加载预存在指定路径下的身份认证服务的认证库文件即实现了对谷歌身份认证服务端的调用。谷歌身份认证服务端根据用户登录时的时间戳，以及用户账号对应的密钥生成的第二登录口令，验证第一登录口令与第二登录口令的一致性；若第一登录口令与第二登录口令一致，则确定所述第一登录口令通过有效性验证。

针对步骤207、在第一登录口令通过有效性验证时，确定用户通过身份认证，接受用户登录请求，并为用户展示登录后的内容。

本实施例提供的身份认证方法，通过对PAM的配置文件进行配置，实现了将谷歌身份认证服务嵌入RADIUS服务，从而在用户登录时，基于RADIUS对用户进行合法性验证以及权限鉴别的结果，进一步采用谷歌身份认证服务对用户输入的第一登录口令进行有效性验证。在第一登录口令通过有效性验证之后，才可确定该用户通过身份认证，进一步增加了用户账号的安全性，保障了用户的数据安全。

图3是本申请实施例提供的一身份认证装置的结构示意图，结合图3，该装置包括：

数据获取模块301，用于获取用户输入的登录账号、登录密码以及第一登录口令；

第一认证模块302，用于根据所述用户账号以及所述登录密码，对所述用户进行合法性验证以及权限鉴别；

第二认证模块303，用于确定所述用户通过所述合法性验证以及所述权限鉴别之后，调用预先配置的身份认证服务，验证所述第一登录口令的有效性；

确定模块304，用于在所述第一登录口令通过有效性验证时，确定所述用户通过身份认证。

进一步可选的，所述第一认证模块302具体用于：将所述登录账号在数据库中进行匹配；若在所述数据库中匹配到所述登录账号，确定所述用户是合法用户；根据所述登录账号在所述数据库中查询所述登录账号对应的用户密码；若查询到的所述用户密码与所述登录密码一致，则确定所述用户具有登录权限。

进一步可选地，所述装置还包括口令生成模块305，所述口令生成模块具体用于：在获取第一登录口令之前，根据所述用户请求登录口令时的时间戳以及与所述用户账号对应的密钥随机生成所述第一登录口令；显示所述第一登录口令。

进一步可选地，所述第二认证模块303，具体用于：根据所述身份认证服务的类型，从可插拔的认证模块(PAM)中，调用所述身份认证服务对应的配置文件；根据所述配置文件，加载预存在指定路径下的所述身份认证服务的认证库文件；通过所述认证库文件对所述第一口令进行有效性验证。

进一步可选地，所述第二认证模块303具体用于：通过所述配置文件的鉴别类接口，确定所述指定路径；根据所述指定路径，加载所述认证库文件。

进一步可选地，所述第二认证模块303具体用于：验证所述第一登录口令与所述身份认证服务根据所述用户登录时的时间戳，以及所述用户账号对应的密钥生成的第二登录口令的一致性；若所述第一登录口令与所述第二登录口令一致，则确定所述第一登录口令通过有效性验证。

本实施例提供的身份认证装置，在根据用户账号以及用户的登录密码，对用户进行合法性验证以及权限鉴别之后，进一步采用预先配置的身份认证服务对用户输入的第一登录口令进行有效性验证。在第一登录口令通过有效性验证之后，才可确定该用户通过身份认证，进一步增加了用户账号的安全性，保障了用户的数据安全。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种身份认证方法，其特征在于，包括：

获取用户输入的登录账号、登录密码以及第一登录口令；

根据所述用户账号以及所述登录密码，对所述用户进行合法性验证以及权限鉴别；

确定所述用户通过所述合法性验证以及所述权限鉴别之后，调用预先配置的身份认证服务，验证所述第一登录口令的有效性；

在所述第一登录口令通过有效性验证时，确定所述用户通过身份认证。

2.根据权利要求1所述的方法，其特征在于，根据所述用户账号以及所述登录密码，对所述用户进行合法性验证以及权限鉴别，包括：

将所述登录账号在数据库中进行匹配；

若在所述数据库中匹配到所述登录账号，确定所述用户是合法用户；

根据所述登录账号在所述数据库中查询所述登录账号对应的用户密码；

若查询到的所述用户密码与所述登录密码一致，则确定所述用户具有登录权限。

3.根据权利要求1所述的方法，其特征在于，在获取第一登录口令之前，所述方法包括：

根据所述用户请求登录口令时的时间戳以及与所述用户账号对应的密钥随机生成所述第一登录口令；

显示所述第一登录口令。

4.根据权利要求1-3任一项所述的方法，其特征在于，调用预先配置的身份认证服务，验证所述第一登录口令的有效性，包括：

根据所述身份认证服务的类型，从可插拔的认证模块中，调用所述身份认证服务对应的配置文件；

根据所述配置文件，加载预存在指定路径下的所述身份认证服务的认证库文件；

通过所述认证库文件对所述第一口令进行有效性验证。

5.根据权利要求4所述的方法，其特征在于，根据所述配置文件，加载预存在指定路径下的所述身份认证服务的认证库文件，包括：

通过所述配置文件的鉴别类接口，确定所述指定路径；

根据所述指定路径，加载所述认证库文件。

6.根据权利要求5所述的方法，其特征在于，通过所述认证库文件对所述第一口令进行有效性验证，包括：

验证所述第一登录口令与所述身份认证服务根据所述用户登录时的时间戳，以及所述用户账号对应的密钥生成的第二登录口令的一致性；

若所述第一登录口令与所述第二登录口令一致，则确定所述第一登录口令通过有效性验证。

7.一种身份认证装置，其特征在于，包括：

数据获取模块，用于获取用户输入的登录账号、登录密码以及第一登录口令；

第一认证模块，用于根据所述用户账号以及所述登录密码，对所述用户进行合法性验证以及权限鉴别；

第二认证模块，用于确定所述用户通过所述合法性验证以及所述权限鉴别之后，调用预先配置的身份认证服务，验证所述第一登录口令的有效性；

确定模块，用于在所述第一登录口令通过有效性验证时，确定所述用户通过身份认证。

8.根据权利要求7所述的装置，其特征在于，所述第一认证模块具体用于：

将所述登录账号在数据库中进行匹配；

若在所述数据库中匹配到所述登录账号，确定所述用户是合法用户；

根据所述登录账号在所述数据库中查询所述登录账号对应的用户密码；

若查询到的所述用户密码与所述登录密码一致，则确定所述用户具有登录权限。

9.根据权利要求7所述的装置，其特征在于，所述装置还包括口令生成模块，所述口令生成模块具体用于：

在获取第一登录口令之前，根据所述用户请求登录口令时的时间戳以及与所述用户账号对应的密钥随机生成所述第一登录口令；

显示所述第一登录口令。

10.根据权利要求7-9任一项所述的装置，其特征在于，所述第二认证模块，具体用于：

根据所述身份认证服务的类型，从可插拔的认证模块(PAM)中，调用所述身份认证服务对应的配置文件；

根据所述配置文件，加载预存在指定路径下的所述身份认证服务的认证库文件；

通过所述认证库文件对所述第一口令进行有效性验证。