CN107948186A - 一种安全认证方法及装置 - Google Patents

Abstract

本发明提供了一种安全认证方法及装置，该方法包括：设置至少一种认证方式；制作至少一个安全套接字层SSL证书；将至少一个第一SSL证书设置在客户端中以及将所述至少一个第二SSL证书设置在服务端中；其中，所述至少一个第一SSL证书以及所述至少一个第二SSL证书均包括在所述至少一个SSL证书中；在所述至少一种认证方式中的任一目标认证方式被选中时，通过所述至少一个第一SSL证书以及所述至少一个第二SSL证书，控制所述客户端与所述服务端采用所述目标认证方式进行安全认证。因此，本发明提供的方案可以提高安全性。

Description

一种安全认证方法及装置

技术领域

本发明涉及计算机技术领域，特别涉及一种安全认证方法及装置。

背景技术

随着网络技术的快速发展，在电子商务、网上银行等互联网业务领域中，需要在客户端以及服务端之间进行频繁通信。但是由于黑客活动会对客户端以及服务端之间的通信造成威胁，因此，保证客户端以及服务端之间通信的安全性成为网络技术的一个技术关键点。

目前，在客户端与服务端之间进行通信时，通常采用的方法为对通信数据进行加密，然后直接传输数据。比如，客户端需要给服务端传输数据时，客户端对数据进行加密，然后将加密的数据直接传输给服务端，服务端接收数据。但是，在该通信传输过程中，可能存在恶意软件伪装成服务端来获取数据，从而导致数据被黑客截获，造成数据的丢失和泄露。可见客户端不能确定获取数据的服务端是否为真的服务端。因此，现有的方式安全性较低。

发明内容

本发明实施例提供了一种安全认证方法及装置，可以提高安全性。

第一方面，本发明实施例提供了一种安全认证方法，该方法包括：

设置至少一种认证方式；

制作至少一个安全套接字层SSL证书；

将至少一个第一SSL证书设置在客户端中以及将所述至少一个第二SSL证书设置在服务端中；其中，所述至少一个第一SSL证书以及所述至少一个第二SSL证书均包括在所述至少一个SSL证书中；

在所述至少一种认证方式中的任一目标认证方式被选中时，通过所述至少一个第一SSL证书以及所述至少一个第二SSL证书，控制所述客户端与所述服务端采用所述目标认证方式进行安全认证。

优选地，

所述制作至少一个SSL证书，包括：

接收外部输入的用户信息、密钥以及签名；

利用预先设定的数据证书工具，将所述用户信息、所述密钥以及所述签名制作为根证书；

在接收到外部输入的至少一个证书请求文件时，利用预先设定的至少一个密钥库文件为每一个所述证书请求文件生成对应的密钥；

针对每一个所述证书请求文件均执行：利用所述根证书对当前所述证书请求文件以及当前所述证书请求文件对应的密钥进行签证，形成当前所述证书请求文件对应的SSL证书。

优选地，

所述至少一种认证方式包括：单向认证方式，和/或，双向认证方式。

优选地，

在所述目标认证方式为单向认证方式时，

所述通过所述至少一个第一SSL证书以及所述至少一个第二SSL证书，控制所述客户端与所述服务端采用所述目标认证方式进行安全认证，包括：

控制所述客户端发送第一认证请求至所述服务端；

控制所述服务端根据所述第一认证请求发送所述至少一个第二SSL证书至所述客户端；

控制所述客户端解析所述至少一个第二SSL证书，并判断解析后的所述至少一个第二SSL证书是否与所述至少一个第一证书相匹配，如果是，安全认证通过。

优选地，

在所述目标认证方式为双向认证方式时，

所述通过所述至少一个第一SSL证书以及所述至少一个第二SSL证书，控制所述客户端与所述服务端采用所述目标认证方式进行安全认证，包括：

控制所述客户端发送第二认证请求至所述服务端以及控制所述服务端发送第三认证请求至所述客户端；

控制所述服务端根据所述第二认证请求发送所述至少一个第二SSL证书至所述客户端，以及控制所述客户端根据所述第三认证请求发送所述至少一个第一SSL证书至所述服务端；

控制所述客户端解析所述至少一个第二SSL证书，判断解析后的所述至少一个第二SSL证书是否与所述至少一个第一SSL证书相匹配；

控制所述服务端解析所述至少一个第一SSL证书，判断解析后的所述至少一个第一SSL证书是否与所述至少一个第二SSL证书相匹配；

在确定解析后的所述至少一个第二SSL证书与所述至少一个第一SSL证书相匹配，且解析后的所述至少一个第一SSL证书与所述至少一个第二SSL证书相匹配时，安全认证通过。

优选地，

在控制所述客户端与所述服务端采用所述目标认证方式进行安全认证之后，进一步包括：

在安全认证通过时，控制所述服务端发送握手信息至所述客户端；

在确定所述客户端验证所述握手信息合法时，控制所述客户端针对所述握手信息生成随机数据以及将所述随机数据发送给所述服务端；

在确定所述服务端接收到所述随机数据时，控制所述服务端根据所述随机数据生成会话密钥以及将所述会话密钥反馈给所述客户端；

控制所述客户端根据所述会话密钥与所述服务端进行通信。

第二方面，本发明实施例提供了一种安全认证装置，该装置包括：

设置模块，用于设置至少一种认证方式；

制作模块，用于制作至少一个安全套接字层SSL证书；

布置模块，用于将至少一个第一SSL证书设置在客户端中以及将所述至少一个第二SSL证书设置在服务端中；其中，所述至少一个第一SSL证书以及所述至少一个第二SSL证书均包括在所述制作模块制作的所述至少一个SSL证书中；

认证模块，用于在所述设置模块设置的所述至少一种认证方式中的任一目标认证方式被选中时，通过所述至少一个第一SSL证书以及所述至少一个第二SSL证书，控制所述客户端与所述服务端采用所述目标认证方式进行安全认证。

优选地，

所述制作模块，包括：根证书制作子模块以及SSL证书生成子模块；

所述根证书制作子模块，用于接收外部输入的用户信息、密钥以及签名；利用预先设定的数据证书工具，将所述用户信息、所述密钥以及所述签名制作为根证书；

所述SSL证书生成子模块，用于在接收到外部输入的至少一个证书请求文件时，利用预先设定的至少一个密钥库文件为每一个所述证书请求文件生成对应的密钥；针对每一个所述证书请求文件均执行：利用所述根证书对当前所述证书请求文件以及当前所述证书请求文件对应的密钥进行签证，形成当前所述证书请求文件对应的SSL证书。

优选地，

在所述目标认证方式为单向认证方式时，

所述认证模块，包括：第一交互子模块以及第一认证处理子模块；

所述第一交互子模块，用于控制所述客户端发送第一认证请求至所述服务端；控制所述服务端根据所述第一认证请求发送所述至少一个第二SSL证书至所述客户端；

所述第一认证处理子模块，用于控制所述客户端解析所述至少一个第二SSL证书，并判断解析后的所述至少一个第二SSL证书是否与所述至少一个第一证书相匹配，如果是，安全认证通过。

优选地，

在所述目标认证方式为双向认证方式时，

所述认证模块，包括：第二交互子模块以及第二认证处理子模块；

所述第二交互子模块，用于控制所述客户端发送第二认证请求至所述服务端以及控制所述服务端发送第三认证请求至所述客户端；控制所述服务端根据所述第二认证请求发送所述至少一个第二SSL证书至所述客户端，以及控制所述客户端根据所述第三认证请求发送所述至少一个第一SSL证书至所述服务端；

所述第二认证处理子模块，用于控制所述客户端解析所述至少一个第二SSL证书，判断解析后的所述至少一个第二SSL证书是否与所述至少一个第一SSL证书相匹配；控制所述服务端解析所述至少一个第一SSL证书，判断解析后的所述至少一个第一SSL证书是否与所述至少一个第二SSL证书相匹配；在确定解析后的所述至少一个第二SSL证书与所述至少一个第一SSL证书相匹配，且解析后的所述至少一个第一SSL证书与所述至少一个第二SSL证书相匹配时，安全认证通过。

优选地，

进一步包括：数据传输模块以及通信建立模块；

所述数据传输模块，用于在安全认证通过时，控制所述服务端发送握手信息至所述客户端；在确定所述客户端验证所述握手信息合法时，控制所述客户端针对所述握手信息生成随机数据以及将所述随机数据发送给所述服务端；

所述通信建立模块，用于在确定所述服务端接收到所述随机数据时，控制所述服务端根据所述随机数据生成会话密钥以及将所述会话密钥反馈给所述客户端；控制所述客户端根据所述会话密钥与所述服务端进行通信。

本发明实施例提供了一种安全认证方法及装置，首先根据业务要求设置至少一种认证方式以及制作至少一种SSL证书。然后在客户端中设置至少一个第一SSL证书(所设置的第一证书均包括在制作的SSL证书中)以及在服务端中设置至少一个第二SSL证书(所设置的第二证书均包括在制作的SSL证书中)。在所设置的认证方式中存在一个目标认证方式被用户选中时，则通过各个第一SSL证书以及各个第二SSL证书，控制客户端与服务端采用所选中的目标认证方式进行安全认证。通过上述可知，本方案中分别在客户端以及服务端均设置了对应的SSL证书。且在用户选中认证方式时，通过客户端所设置的SSL证书以及服务端所设置的SSL证书，控制客户端与服务端采用目标认证方式进行安全认证。以通过安全认证来验证客户端以及服务端的身份，以降低客户端与服务端在数据交互过程中出现数据被劫持或盗取的概率。因此，本发明实施例提供的方案可以提高安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明一个实施例提供的一种安全认证方法的流程图；

图2是本发明另一个实施例提供的一种安全认证方法的流程图；

图3是本发明一个实施例提供的一种安全认证装置所在设备的一种硬件结构图；

图4是本发明一个实施例提供的一种安全认证装置的结构示意图；

图5是本发明一个实施例提供的一种包括根证书制作子模块以及SSL证书生成子模块的安全认证装置的结构示意图；

图6是本发明一个实施例提供的一种包括第一交互子模块以及第一认证处理子模块的安全认证装置的结构示意图；

图7是本发明一个实施例提供的一种包括第二交互子模块以及第二认证处理子模块的安全认证装置的结构示意图；

图8是本发明一个实施例提供的一种包括数据传输模块以及通信建立模块的安全认证装置的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例，基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本发明实施例提供了一种安全认证方法，该方法可以包括以下步骤：

步骤101：设置至少一种认证方式；

步骤102：制作至少一个安全套接字层SSL证书；

步骤103：将至少一个第一SSL证书设置在客户端中以及将所述至少一个第二SSL证书设置在服务端中；其中，所述至少一个第一SSL证书以及所述至少一个第二SSL证书均包括在所述至少一个SSL证书中；

步骤104：在所述至少一种认证方式中的任一目标认证方式被选中时，通过所述至少一个第一SSL证书以及所述至少一个第二SSL证书，控制所述客户端与所述服务端采用所述目标认证方式进行安全认证。

根据图1所示的实施例，首先根据业务要求设置至少一种认证方式以及制作至少一种SSL证书。然后在客户端中设置至少一个第一SSL证书(所设置的第一证书均包括在制作的SSL证书中)以及在服务端中设置至少一个第二SSL证书(所设置的第二证书均包括在制作的SSL证书中)。在所设置的认证方式中存在一个目标认证方式被用户选中时，则通过各个第一SSL证书以及各个第二SSL证书，控制客户端与服务端采用所选中的目标认证方式进行安全认证。通过上述可知，本方案中分别在客户端以及服务端均设置了对应的SSL证书。且在用户选中认证方式时，通过客户端所设置的SSL证书以及服务端所设置的SSL证书，控制客户端与服务端采用目标认证方式进行安全认证。以通过安全认证来验证客户端以及服务端的身份，以降低客户端与服务端在数据交互过程中出现数据被劫持或盗取的概率。因此，本发明实施例提供的方案可以提高安全性。

在本发明一个实施例中，服务端以及客户端的型式、操作系统均可以根据业务要求确定。比如服务端可以使用Linux操作系统，并安装有WebLogic应用。

在本发明一个实施例中，上述图1所示流程图中的步骤102制作至少一个SSL证书，可以包括：

接收外部输入的用户信息、密钥以及签名；

利用预先设定的数据证书工具，将所述用户信息、所述密钥以及所述签名制作为根证书；

在接收到外部输入的至少一个证书请求文件时，利用预先设定的至少一个密钥库文件为每一个所述证书请求文件生成对应的密钥；

针对每一个所述证书请求文件均执行：利用所述根证书对当前所述证书请求文件以及当前所述证书请求文件对应的密钥进行签证，形成当前所述证书请求文件对应的SSL证书。

在本实施例中，数据证书工具可以根据业务要求确定。比如，可以选用安全套接字层密码库OpenSSL开源的数字证书工具。

在本实施例中，用户信息、密钥以及签名均可以根据业务要求。在接收到用户信息、密钥(可以通过RSA算法确定)以及签名时，利用数据证书工具将用户信息、密钥以及签名制作为根证书。

在本实施例中，证书请求文件中可以包括但不限于客户端或服务端序列号、签名、加密算法(可以为哈希算法)、有效期中的至少一种或多种。

在本实施例中，利用预先设定的至少一个密钥库文件为每一个证书请求文件生成对应的密钥的方法可以包括：可以通过预先设定的keytool工具，根据证书请求文件的内容生成密钥。

根据上述实施例，利用根证书对每一个证书请求文件以及每一个证书请求文件对应的密钥进行签证，形成每一个证书请求文件对应的SSL证书。由于每一个SSL证书均是通过根证书签证生成的，因此各个SSL证书具有统一的验证标准。

在本发明一个实施例中，至少一个SSL证书可以包括客户端SSL证书以及服务端SSL证书。其中，客户端SSL证书作为第一SSL证书设置在客户端中。服务端SSL作为第二SSL证书设置在服务端中。

在本发明一个实施例中，上述图1所示流程图中的步骤101所涉及的至少一种认证方式可以包括：单向认证方式，和/或，双向认证方式。

在本实施例中，单向认证方式只需客户端认证服务端。双向认证方式需要客户端认证服务端，同时需要服务端认证客户端。

根据上述实施例，可以根据业务要求设置认证方式，比如，可以设置为单向认证方式以及双向认证方式中的至少一种或多种。因此，业务适用性较强。

在本发明一个实施例中，在所述目标认证方式为单向认证方式时，

上述图1所示流程图中的步骤104所涉及的通过所述至少一个第一SSL证书以及所述至少一个第二SSL证书，控制所述客户端与所述服务端采用所述目标认证方式进行安全认证，可以包括：

控制所述客户端发送第一认证请求至所述服务端；

控制所述服务端根据所述第一认证请求发送所述至少一个第二SSL证书至所述客户端；

控制所述客户端解析所述至少一个第二SSL证书，并判断解析后的所述至少一个第二SSL证书是否与所述至少一个第一证书相匹配，如果是，安全认证通过。

在本实施例中，在目标认证方式为单向认证方式时，只需客户端认证服务端。认证过程可以为：控制客户端发送认证请求至服务端。在监控到服务端接收到认证请求时，控制服务端反馈给客户端自己所设置的第二SSL证书(同时还可以发送自己的SSL版本以及加密算法，以使客户端校对服务端的SSL版本、加密算法是否与自身的使用的一致)。在监控到客户端接收到服务端发送的第二SSL证书时，控制客户端解析第二SSL证书，以得第二SSL证书中的根证书。在判断出解析后的第二SSL证书中的根证书与客户端自身设置的第一证书中的根证书相匹配时，说明服务端合法，安全认证通过。在判断出解析后的第二SSL证书中的根证书与客户端自身设置的第一证书中的根证书不匹配时，说明存在恶意软件对攻击客户端的可能，安全认证不通过。

根据上述实施例，在选中单向认证方式时，控制客户端对服务端提供的SSL证书进行认证，以认证服务端的合法性。由于只需客户端对服务端进行安全认证，因此，安全认证过程操作较为简单。

在本发明一个实施例中，在所述目标认证方式为双向认证方式时，

上述图1所示流程图中的步骤104所涉及的通过所述至少一个第一SSL证书以及所述至少一个第二SSL证书，控制所述客户端与所述服务端采用所述目标认证方式进行安全认证，包括：

控制所述客户端发送第二认证请求至所述服务端以及控制所述服务端发送第三认证请求至所述客户端；

控制所述服务端根据所述第二认证请求发送所述至少一个第二SSL证书至所述客户端，以及控制所述客户端根据所述第三认证请求发送所述至少一个第一SSL证书至所述服务端；

控制所述客户端解析所述至少一个第二SSL证书，判断解析后的所述至少一个第二SSL证书是否与所述至少一个第一SSL证书相匹配；

控制所述服务端解析所述至少一个第一SSL证书，判断解析后的所述至少一个第一SSL证书是否与所述至少一个第二SSL证书相匹配；

在确定解析后的所述至少一个第二SSL证书与所述至少一个第一SSL证书相匹配，且解析后的所述至少一个第一SSL证书与所述至少一个第二SSL证书相匹配时，安全认证通过。

根据上述实施例，在选中双向认证方式时，需要客户端认证服务端，同时需要服务端认证客户端，以进行客户端以及服务端之间的交互认证。在双方均认证通过时，才进行后续的通信，因此安全性较高。

在本发明一个实施例中，在上述图1所示流程图中的步骤104所涉及的控制所述客户端与所述服务端采用所述目标认证方式进行安全认证之后，可以进一步包括：

在安全认证通过时，控制所述服务端发送握手信息至所述客户端；

在确定所述客户端验证所述握手信息合法时，控制所述客户端针对所述握手信息生成随机数据以及将所述随机数据发送给所述服务端；

在确定所述服务端接收到所述随机数据时，控制所述服务端根据所述随机数据生成会话密钥以及将所述会话密钥反馈给所述客户端；

控制所述客户端根据所述会话密钥与所述服务端进行通信。

在本实施例中，在安全认证通过时，控制服务端采用预设设定的密钥生成方法生成一串字符，并利用预先设定加密算法以及加密密码为该串字符进行加密，形成握手信息，然后将握手信息发送给客户端。在客户端接收到握手信息时，控制客户端采用与服务端预定好的解密算法以及解密密码对握手信息进行解密。在解密成功时，说明验证握手信息合法。在解密不成功时，说明该握手信息不合法，且不是服务端提供的握手信息。在确定握手信息合法时，控制客户端针对握手信息生成随机数据(该随机数据可以为采用预先设定的生成方法生成一串字符，将该串字符利用预设设定的加密算法以及加密密码进行加密形成随机数据)以及将随机数据发送给服务端。在服务端接收到随机数据时，可以控制服务端验证随机数据。在验证成功后，控制服务端根据随机数据生成会话密钥以及将会话密钥反馈给客户端。在客户端接收到会话密钥之后，可以根据该会话密钥与服务端进行通信。

根据上述实施例，在安全认证通过时，客户端以及服务端通过握手信息以及随机数据来确定出会话密钥，以根据会话密钥进行通信。由于会话密钥是服务端以及客户端共同协商确定出来的，因此通过会话密钥进行通信可以搞通信的安全性。

下面以存在客户端A以及服务端A(服务端A中部署了WebLogic应用)为例，展开说明安全认证方法，如图2所示，该安全认证方法可以包括如下步骤：

步骤201：设置至少一种认证方式。

在本步骤中，设置了单向认证方式以及双向认证方式。

步骤202：接收外部输入的用户信息、密钥以及签名。

在本步骤中，接收到用户信息1、密钥1以及签名1。

步骤203：利用预先设定的数据证书工具，将用户信息、密钥以及签名制作为根证书。

在本步骤中，利用预先设定的数据证书工具“OpenSSL开源的数字证书工具”将用户信息1、密钥1以及签名1制作为根证书。

步骤204：在接收到外部输入的至少一个证书请求文件时，利用预先设定的至少一个密钥库文件为每一个证书请求文件生成对应的密钥。

在本步骤中，接收到证书请求文件1以及证书请求文件2。其中，证书请求文件1为客户端证书请求文件，证书请求文件2为服务端证书请求文件。

在本步骤中，可以采用keytool工具以及密钥库文件example.jks、exampletrust.jks生成证书请求文件1以及证书请求文件2对应的密钥。

其中，密钥库文件example.jks、exampletrust.jks中均包括至少一个密钥模板。密钥库文件的存储位置可以根据业务要求确定。比如，在本步骤中，example.jks、exampletrust.jks设置在服务端A中，设置的目录可以为％WEBLOGIC_HOME％\user_projects\domains\example\。

步骤205：针对每一个证书请求文件均执行：利用根证书对当前证书请求文件以及当前证书请求文件对应的密钥进行签证，形成当前证书请求文件对应的SSL证书。

在本步骤中，利用根证书对证书请求文件1以及证书请求文件1对应的密钥进行签证，形成证书请求文件1对应的SSL证书1。利用根证书对证书请求文件2以及证书请求文件2对应的密钥进行签证，形成证书请求文件2对应的SSL证书2。

步骤206：将至少一个第一SSL证书设置在客户端中以及将至少一个第二SSL证书设置在服务端中；其中，至少一个第一SSL证书以及至少一个第二SSL证书均包括在至少一个SSL证书中。

在本步骤中，将SSL证书1设置在客户端A中。将SSL证书2设置在服务端A中。

步骤207：在至少一种认证方式中的任一目标认证方式被选中时，判断目标认证方式是哪种认证方式；在目标认证方式为单向认证方式时，执行步骤208；在目标认证方式为双向认证方式时，执行步骤211。

在本步骤中，目标认证方式为单向认证方式，执行步骤208。

步骤208：控制客户端发送第一认证请求至服务端。

在本步骤中，控制客户端A发送认证请求至服务端A。

步骤209：控制服务端根据第一认证请求发送至少一个第二SSL证书至客户端。

在本步骤中，服务端A根据认证请求发送SSL证书2至客户端。

步骤210：控制客户端解析至少一个第二SSL证书，并判断解析后的至少一个第二SSL证书是否与所述至少一个第一SSL证书相匹配，如果是，安全认证通过，执行步骤215；否则，结束当前流程。

在本步骤中，在监控到客户端A接收到服务端A发送的SSL证书2时，控制客户端A解析SSL证书2，以得SSL证书2中的根证书。在判断解析后的SSL证书2中的根证书与自身设置的SSL证书1中的根证书相匹配时，说明服务端A合法，安全认证通过。

步骤211：控制客户端发送第二认证请求至服务端以及控制服务端发送第三认证请求至客户端。

步骤212：控制服务端根据第二认证请求发送至少一个第二SSL证书至客户端，以及控制客户端根据第三认证请求发送至少一个第一SSL证书至服务端。

步骤213：控制客户端解析至少一个第二SSL证书，判断解析后的所述至少一个第二SSL证书是否与所述至少一个第一SSL证书相匹配，如果是，执行步骤214；否则，结束当前流程。

步骤214：控制服务端解析至少一个第一SSL证书，判断解析后的至少一个第一SSL证书是否与至少一个第二SSL证书相匹配，如果是，执行步骤215；否则，结束当前流程。

步骤215：在安全认证通过时，控制服务端发送握手信息至客户端。

在本步骤中，控制服务端A采用预设设定的密钥生成方法生成一串字符，并利用预先设定加密算法为该串字符进行加密，形成握手信息，然后将握手信息发送给客户端A。

步骤216：在确定客户端验证握手信息合法时，控制客户端针对握手信息生成随机数据以及将随机数据发送给服务端。

在本步骤中，在客户端A接收到握手信息时，控制客户端A采用与服务端A预定好的解密算法以及解密密码对握手信息进行解密，在解密成功时，说明验证握手信息合法。在确定握手信息合法时，控制客户端A针对握手信息生成随机数据(该随机数据可以为采用预先设定的生成方法生成一串字符，将该串字符利用预设设定的加密算法以及机密密码进行加密形成随机数据)以及将随机数据发送给服务端A。

步骤217：在确定服务端接收到随机数据时，控制服务端根据随机数据生成会话密钥以及将会话密钥反馈给客户端。

在本步骤中，在服务端A接收到随机数据时，可以控制服务端A验证随机数据，在验证成功后，控制服务端A根据随机数据生成会话密钥以及将会话密钥反馈给客户端A。

步骤218：控制客户端根据会话密钥与服务端进行通信。

在本步骤中，在客户端A接收到会话密钥之后，可以控制客户端A根据该会话密钥与服务端A进行通信。

如图3、图4所示，本发明实施例提供了一种安全认证装置。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。从硬件层面而言，如图3所示，为本发明实施例提供的安全认证装置所在设备的一种硬件结构图，除了图3所示的处理器、内存、网络接口、以及非易失性存储器之外，实施例中装置所在的设备通常还可以包括其他硬件，如负责处理报文的转发芯片等等。以软件实现为例，如图4所示，作为一个逻辑意义上的装置，是通过其所在设备的CPU将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。本实施例提供的安全认证装置，包括：

设置模块401，用于设置至少一种认证方式；

制作模块402，用于制作至少一个安全套接字层SSL证书；

布置模块403，用于将至少一个第一SSL证书设置在客户端中以及将所述至少一个第二SSL证书设置在服务端中；其中，所述至少一个第一SSL证书以及所述至少一个第二SSL证书均包括在所述制作模块402制作的所述至少一个SSL证书中；

认证模块404，用于在所述设置模块401设置的所述至少一种认证方式中的任一目标认证方式被选中时，通过所述至少一个第一SSL证书以及所述至少一个第二SSL证书，控制所述客户端与所述服务端采用所述目标认证方式进行安全认证。

根据图4所示的实施例，本方案中布置模块分别在客户端以及服务端均设置了对应的SSL证书。且在用户选中认证方式时，认证模块通过客户端所设置的SSL证书以及服务端所设置的SSL证书，控制客户端与服务端采用目标认证方式进行安全认证。以通过安全认证来验证客户端以及服务端的身份，以降低客户端与服务端在数据交互过程中出现数据被劫持或盗取的概率。因此，本发明实施例提供的方案可以提高安全性。

在本发明一个实施例中，如图5所示，所述制作模块402可以包括：根证书制作子模块4021以及SSL证书生成子模块4022；

所述根证书制作子模块4021，用于接收外部输入的用户信息、密钥以及签名；利用预先设定的数据证书工具，将所述用户信息、所述密钥以及所述签名制作为根证书；

所述SSL证书生成子模块4022，用于在接收到外部输入的至少一个证书请求文件时，利用预先设定的至少一个密钥库文件为每一个所述证书请求文件生成对应的密钥；针对每一个所述证书请求文件均执行：利用所述根证书对当前所述证书请求文件以及当前所述证书请求文件对应的密钥进行签证，形成当前所述证书请求文件对应的SSL证书。

在本发明一个实施例中，如图6所示，在所述目标认证方式为单向认证方式时，

所述认证模块404可以包括：第一交互子模块4041以及第一认证处理子模块4042；

所述第一交互子模块4041，用于控制所述客户端发送第一认证请求至所述服务端；控制所述服务端根据所述第一认证请求发送所述至少一个第二SSL证书至所述客户端；

所述第一认证处理子模块4042，用于控制所述客户端解析所述至少一个第二SSL证书，并判断解析后的所述至少一个第二SSL证书是否与所述至少一个第一证书相匹配，如果是，安全认证通过。

在本发明一个实施例中，如图7所示，在所述目标认证方式为双向认证方式时，

所述认证模块404可以包括：第二交互子模块4043以及第二认证处理子模块4044；

所述第二交互子模块4043，用于控制所述客户端发送第二认证请求至所述服务端以及控制所述服务端发送第三认证请求至所述客户端；控制所述服务端根据所述第二认证请求发送所述至少一个第二SSL证书至所述客户端，以及控制所述客户端根据所述第三认证请求发送所述至少一个第一SSL证书至所述服务端；

所述第二认证处理子模块4044，用于控制所述客户端解析所述至少一个第二SSL证书，判断解析后的所述至少一个第二SSL证书是否与所述至少一个第一SSL证书相匹配；控制所述服务端解析所述至少一个第一SSL证书，判断解析后的所述至少一个第一SSL证书是否与所述至少一个第二SSL证书相匹配；在确定解析后的所述至少一个第二SSL证书与所述至少一个第一SSL证书相匹配，且解析后的所述至少一个第一SSL证书与所述至少一个第二SSL证书相匹配时，安全认证通过。

在本发明一个实施例中，如图8所示，安全认证装置可以进一步包括：数据传输模块501以及通信建立模块502；

所述数据传输模块501，用于在安全认证通过时，控制所述服务端发送握手信息至所述客户端；在确定所述客户端验证所述握手信息合法时，控制所述客户端针对所述握手信息生成随机数据以及将所述随机数据发送给所述服务端；

所述通信建立模块502，用于在确定所述服务端接收到所述随机数据时，控制所述服务端根据所述随机数据生成会话密钥以及将所述会话密钥反馈给所述客户端；控制所述客户端根据所述会话密钥与所述服务端进行通信。

本发明实施例提供了一种安全认证系统，该系统可以包括：

上述任一所述的安全认证装置、客户端以及服务端。

在本发明一个实施例提供了一种可读介质，该可读介质包括：执行指令，当存储控制器的处理器执行所述执行指令时，所述存储控制器执行上述任一项所述的安全认证方法。

在本发明一个实施例提供了一种存储控制器，该存储控制器包括：处理器、存储器和总线；所述存储器用于存储执行指令；所述处理器与所述存储器通过所述总线连接；当所述存储控制器运行时，所述处理器执行所述存储器存储的所述执行指令，以使所述存储控制器执行上述任一项所述的安全认证方法。

上述装置内的各单元之间的信息交互、执行过程等内容，由于与本发明方法实施例基于同一构思，具体内容可参见本发明方法实施例中的叙述，此处不再赘述。

综上所述，本发明各个实施例至少可以实现如下有益效果：

1、在本发明实施例中，首先根据业务要求设置至少一种认证方式以及制作至少一种SSL证书。然后在客户端中设置至少一个第一SSL证书(所设置的第一证书均包括在制作的SSL证书中)以及在服务端中设置至少一个第二SSL证书(所设置的第二证书均包括在制作的SSL证书中)。在所设置的认证方式中存在一个目标认证方式被用户选中时，则通过各个第一SSL证书以及各个第二SSL证书，控制客户端与服务端采用所选中的目标认证方式进行安全认证。通过上述可知，本方案中分别在客户端以及服务端均设置了对应的SSL证书。且在用户选中认证方式时，通过客户端所设置的SSL证书以及服务端所设置的SSL证书，控制客户端与服务端采用目标认证方式进行安全认证。以通过安全认证来验证客户端以及服务端的身份，以降低客户端与服务端在数据交互过程中出现数据被劫持或盗取的概率。因此，本发明实施例提供的方案可以提高安全性。

2、在本发明实施例中，利用根证书对每一个证书请求文件以及每一个证书请求文件对应的密钥进行签证，形成每一个证书请求文件对应的SSL证书。由于每一个SSL证书均是通过根证书签证生成的，因此各个SSL证书具有统一的验证标准。

3、在本发明实施例中，可以根据业务要求设置认证方式，比如，可以设置为单向认证方式以及双向认证方式中的至少一种或多种。因此，业务适用性较强。

4、在本发明实施例中，在选中单向认证方式时，控制客户端对服务端提供的SSL证书进行认证，以认证服务端的合法性。由于只需客户端对服务端进行安全认证，因此，安全认证过程操作较为简单。

5、在本发明实施例中，在选中双向认证方式时，需要客户端认证服务端，同时需要服务端认证客户端，以进行客户端以及服务端之间的交互认证。在双方均认证通过时，才进行后续的通信，因此安全性较高。

6、在本发明实施例中，在安全认证通过时，客户端以及服务端通过握手信息以及随机数据来确定出会话密钥，以根据会话密钥进行通信。由于会话密钥是服务端以及客户端共同协商确定出来的，因此通过会话密钥进行通信可以搞通信的安全性。

需要说明的是，在本文中，诸如第一和第二之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个······”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同因素。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储在计算机可读取的存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质中。

最后需要说明的是：以上所述仅为本发明的较佳实施例，仅用于说明本发明的技术方案，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (10)

1.一种安全认证方法，其特征在于，

设置至少一种认证方式；

还包括：

制作至少一个安全套接字层SSL证书；

将至少一个第一SSL证书设置在客户端中以及将所述至少一个第二SSL证书设置在服务端中；其中，所述至少一个第一SSL证书以及所述至少一个第二SSL证书均包括在所述至少一个SSL证书中；

在所述至少一种认证方式中的任一目标认证方式被选中时，通过所述至少一个第一SSL证书以及所述至少一个第二SSL证书，控制所述客户端与所述服务端采用所述目标认证方式进行安全认证。

2.根据权利要求1所述的方法，其特征在于，

所述制作至少一个SSL证书，包括：

接收外部输入的用户信息、密钥以及签名；

利用预先设定的数据证书工具，将所述用户信息、所述密钥以及所述签名制作为根证书；

在接收到外部输入的至少一个证书请求文件时，利用预先设定的至少一个密钥库文件为每一个所述证书请求文件生成对应的密钥；

针对每一个所述证书请求文件均执行：利用所述根证书对当前所述证书请求文件以及当前所述证书请求文件对应的密钥进行签证，形成当前所述证书请求文件对应的SSL证书。

3.根据权利要求1所述的方法，其特征在于，

所述至少一种认证方式包括：单向认证方式，和/或，双向认证方式。

4.根据权利要求3所述的方法，其特征在于，

在所述目标认证方式为单向认证方式时，

所述通过所述至少一个第一SSL证书以及所述至少一个第二SSL证书，控制所述客户端与所述服务端采用所述目标认证方式进行安全认证，包括：

控制所述客户端发送第一认证请求至所述服务端；

控制所述服务端根据所述第一认证请求发送所述至少一个第二SSL证书至所述客户端；

控制所述客户端解析所述至少一个第二SSL证书，并判断解析后的所述至少一个第二SSL证书是否与所述至少一个第一证书相匹配，如果是，安全认证通过。

5.根据权利要求3所述的方法，其特征在于，

在所述目标认证方式为双向认证方式时，

所述通过所述至少一个第一SSL证书以及所述至少一个第二SSL证书，控制所述客户端与所述服务端采用所述目标认证方式进行安全认证，包括：

控制所述客户端发送第二认证请求至所述服务端以及控制所述服务端发送第三认证请求至所述客户端；

控制所述服务端根据所述第二认证请求发送所述至少一个第二SSL证书至所述客户端，以及控制所述客户端根据所述第三认证请求发送所述至少一个第一SSL证书至所述服务端；

控制所述客户端解析所述至少一个第二SSL证书，判断解析后的所述至少一个第二SSL证书是否与所述至少一个第一SSL证书相匹配；

控制所述服务端解析所述至少一个第一SSL证书，判断解析后的所述至少一个第一SSL证书是否与所述至少一个第二SSL证书相匹配；

在确定解析后的所述至少一个第二SSL证书与所述至少一个第一SSL证书相匹配，且解析后的所述至少一个第一SSL证书与所述至少一个第二SSL证书相匹配时，安全认证通过。

6.根据权利要求1至5任一所述的方法，其特征在于，

在控制所述客户端与所述服务端采用所述目标认证方式进行安全认证之后，进一步包括：

在安全认证通过时，控制所述服务端发送握手信息至所述客户端；

在确定所述客户端验证所述握手信息合法时，控制所述客户端针对所述握手信息生成随机数据以及将所述随机数据发送给所述服务端；

在确定所述服务端接收到所述随机数据时，控制所述服务端根据所述随机数据生成会话密钥以及将所述会话密钥反馈给所述客户端；

控制所述客户端根据所述会话密钥与所述服务端进行通信。

7.一种安全认证装置，其特征在于，

设置模块，用于设置至少一种认证方式；

制作模块，用于制作至少一个安全套接字层SSL证书；

布置模块，用于将至少一个第一SSL证书设置在客户端中以及将所述至少一个第二SSL证书设置在服务端中；其中，所述至少一个第一SSL证书以及所述至少一个第二SSL证书均包括在所述制作模块制作的所述至少一个SSL证书中；

认证模块，用于在所述设置模块设置的所述至少一种认证方式中的任一目标认证方式被选中时，通过所述至少一个第一SSL证书以及所述至少一个第二SSL证书，控制所述客户端与所述服务端采用所述目标认证方式进行安全认证。

8.根据权利要求7所述的装置，其特征在于，

所述制作模块，包括：根证书制作子模块以及SSL证书生成子模块；

所述根证书制作子模块，用于接收外部输入的用户信息、密钥以及签名；利用预先设定的数据证书工具，将所述用户信息、所述密钥以及所述签名制作为根证书；

所述SSL证书生成子模块，用于在接收到外部输入的至少一个证书请求文件时，利用预先设定的至少一个密钥库文件为每一个所述证书请求文件生成对应的密钥；针对每一个所述证书请求文件均执行：利用所述根证书对当前所述证书请求文件以及当前所述证书请求文件对应的密钥进行签证，形成当前所述证书请求文件对应的SSL证书。

9.根据权利要求7所述的装置，其特征在于，

在所述目标认证方式为单向认证方式时，

所述认证模块，包括：第一交互子模块以及第一认证处理子模块；

所述第一交互子模块，用于控制所述客户端发送第一认证请求至所述服务端；控制所述服务端根据所述第一认证请求发送所述至少一个第二SSL证书至所述客户端；

所述第一认证处理子模块，用于控制所述客户端解析所述至少一个第二SSL证书，并判断解析后的所述至少一个第二SSL证书是否与所述至少一个第一证书相匹配，如果是，安全认证通过；

或，

在所述目标认证方式为双向认证方式时，

所述认证模块，包括：第二交互子模块以及第二认证处理子模块；

所述第二交互子模块，用于控制所述客户端发送第二认证请求至所述服务端以及控制所述服务端发送第三认证请求至所述客户端；控制所述服务端根据所述第二认证请求发送所述至少一个第二SSL证书至所述客户端，以及控制所述客户端根据所述第三认证请求发送所述至少一个第一SSL证书至所述服务端；

所述第二认证处理子模块，用于控制所述客户端解析所述至少一个第二SSL证书，判断解析后的所述至少一个第二SSL证书是否与所述至少一个第一SSL证书相匹配；控制所述服务端解析所述至少一个第一SSL证书，判断解析后的所述至少一个第一SSL证书是否与所述至少一个第二SSL证书相匹配；在确定解析后的所述至少一个第二SSL证书与所述至少一个第一SSL证书相匹配，且解析后的所述至少一个第一SSL证书与所述至少一个第二SSL证书相匹配时，安全认证通过。

10.根据权利要求7至9任一所述的装置，其特征在于，

进一步包括：数据传输模块以及通信建立模块；

所述数据传输模块，用于在安全认证通过时，控制所述服务端发送握手信息至所述客户端；在确定所述客户端验证所述握手信息合法时，控制所述客户端针对所述握手信息生成随机数据以及将所述随机数据发送给所述服务端；

所述通信建立模块，用于在确定所述服务端接收到所述随机数据时，控制所述服务端根据所述随机数据生成会话密钥以及将所述会话密钥反馈给所述客户端；控制所述客户端根据所述会话密钥与所述服务端进行通信。