CN108241803A - 一种异构系统的访问控制方法 - Google Patents

Abstract

本发明涉及一种异构系统的访问控制方法，该方法包括：针对不同访问控制方法的安全性，给访问控制方法分配相应的安全等级；针对各个异构系统自身的安全性，给系统分配相应的安全等级；当用户通过一个系统的访问控制方法的检查后，根据系统的安全等级和其使用的访问控制方法的安全等级，赋予该用户相应的安全值；用户使用其拥有的未过期的安全值访问其他系统，其他系统根据该安全值确定是否允许用户访问。

Description

一种异构系统的访问控制方法

【技术领域】

本发明属于计算机和访问控制领域，其涉及一种异构系统的访问控制方法。

【背景技术】

目前，无论是政府人员、企业用户还是普通个人用户，在处理日常事务中，都需要面对各种各样的计算机系统，这些系统通常都是异构的。并且，每一个系统为了保证其自身的安全性，都具有自己的访问控制方法。由于这些系统是异构的，这些访问控制方法也常常是异构的，这就要求用户去了解和记住这些不同的访问控制方法和访问控制策略，给用户带来了极大的麻烦，

对于现有技术的上述缺点，还没有一种完善的解决方案。

【发明内容】

为了解决现有技术中的上述问题，本发明提出了一种异构系统的访问控制方法。

本发明采用的技术方案如下：

一种异构系统的访问控制方法，该方法包括以下步骤：

(1)针对不同访问控制方法的安全性，给访问控制方法分配相应的安全等级；

(2)针对各个异构系统自身的安全性，给系统分配相应的安全等级；

(3)当用户通过一个系统的访问控制方法的检查后，根据系统的安全等级和其使用的访问控制方法的安全等级，赋予该用户相应的安全值；

(4)用户使用其拥有的未过期的安全值访问其他系统，其他系统根据该安全值确定是否允许用户访问。

进一步地，所述访问控制方法包括使用U盾访问、使用个人证书访问、指纹识别、语音识别、手势识别。

本发明的有益效果包括：针对不同的异构系统，提供了一种方便的访问控制方法，降低了对用户的要求，提高了用户体验。

【附图说明】

此处所说明的附图是用来提供对本发明的进一步理解，构成本申请的一部分，但并不构成对本发明的不当限定，在附图中：

图1是本发明方法所应用的系统结构图。

【具体实施方式】

下面将结合附图以及具体实施例来详细说明本发明，其中的示意性实施例以及说明仅用来解释本发明，但并不作为对本发明的限定。

本发明方法所应用的系统结构包括用户终端，以及用户终端通过网络连接的各种类型的计算机系统，这些系统都对用户的访问进行控制，一种常见的访问控制方法是由用户输入用户名、密码进行登录，才能允许用户终端访问系统内部的内容。其他的访问控制方法还包括例如：指纹识别、个人证书，U盾等等。

实际上，在现实应用中，每个系统本身的安全性是不同的，其访问控制方法的安全性也不相同。例如，使用U盾访问的银行系统的安全性极高，使用个人证书访问的电子邮箱的安全性也比较高，但可能不及银行网站，使用用户名、密码访问的网络论坛的安全性就相对较低。因而本发明首先将使用的各个系统按照其安全性分级。根据本发明的一个实施例，将系统安全等级分为5级，安全性从1级到5级依次增高，安全高的银行系统可以设为5级，电子邮箱为4级，网络论坛可以根据系统架构和管理程度设为1-3级。

本发明给每个系统各颁发一个数字证书，数字证书中包括了系统的标识符SysID和安全等级SLevel，以作为数字证书中的两个字段。基于该数字证书，每个系统也具有了其相应的公钥和私钥。具体的数字证书技术和颁发方法已经是本领域中公知的技术，本发明不再赘述。

在本发明中，用户在所有系统需要使用同一个用户名登录，但是访问控制方法可以是不同的。基于访问控制方法的安全性，本发明将访问控制方法也按照安全性分等级，根据本发明的一个实施例，将访问控制的安全性分为10个安全等级，安全性从1到10依次增高，例如：U盾为10级，个人证书为9级，指纹识别为8级，语音识别为7级，手势识别为6级，密码根据其复杂程度分为1-5级：

(1)如果密码的长度(即密码中的字符数量)小于等6，则该密码的安全等级为1；否则按照下述方式计算安全等级；

(2)如果密码中只有数字，或只有字母，则该密码的安全等级为2；

(3)如果密码中包括了数字和字母，但没有其他类型字符，并且字母都是小写或都是大写，则该密码的安全等级为3；

(4)如果密码中包括了数字和字母，但没有其他类型字符，并且既有大写字母，又有小写字母，则该密码的安全等级为4；

(5)如果密码中包括了数字、字母和其他类型字符，则该密码的安全等级为5。

以上所述只是一种示例性的分级方法，本领域技术人员可以采用别的访问控制安全等级分级方法，本发明对此不作限制。

下面对本发明的方法做出详细说明：

首先需要说明的是，以下方法中，用户终端和各系统之间的通信都是在安全信道中进行的，例如通过https协议。

在初始状态下，即用户还没有登录任何系统时，用户使用正常的访问控制方法登录任意一个系统Sys₁，在登录成功后，所述系统Sys₁为该用户生成一个访问控制信息Login，该访问控制信息由所述系统发送到用户终端，用户终端保存该访问控制信息。

所述访问控制信息是以下五元组，即：

Login＝{SysID，username，Time，PLevel，Sig}

其中，SysID是该系统Sys₁的标识符，username是登录的用户名，Time是登录Sys₁的时间，PLevel是登录Sys₁所使用的访问控制方法的安全等级，Sig是系统Sys₁使用其私钥对四元组{SysID，username，Time，PLevel}所做的数字签名。

在首次登录之后，用户如果需要登录另一个系统W，用户终端首先检查其拥有的所有访问控制信息，根据每个访问控制信息中的时间值，去除掉过期的访问控制信息。可以预先设置一个过期的时间阈值，计算当前时间和访问控制信息中的登录时间的时间差，如果该时间差大于该时间阈值，就认为该访问控制信息已过期。

在去除了过期访问控制信息后，假设剩余了n个有效访问控制信息，记为L₁，L₂，……，L_n，L_i＝{SysID_i，username，Time_i，PLevel_i，Sig_i}，其中，SysID_i是L_i所属系统的标识符，Time_i是用户登录L_i所属系统的时间，PLevel_i是用户登录L_i所属系统的访问控制方法的安全等级，Sig_i是L_i所属系统对四元组{{SysID_i，username，Time_i，PLevel_i}所做的数字签名。

用户终端将剩余的n个有效访问控制信息发送给需要登录的系统W，该系统W首先对接收的有效访问控制信息再次做一遍检查，以确认其都没有过期，去除过期的访问控制信息。

然后，该系统W根据各个有效访问控制信息里的系统标识符SysID_i获取相应系统的数字证书，使用这些数字证书对各个有效访问控制信息里的数字签名进行验证，去除签名验证不通过的访问控制信息。

经过上述两个去除步骤，剩下了k个有效访问控制信息，假设为L₁，L₂，……，L_k，该系统W从SysID_i所对应的数字证书中获取其相应的系统安全等级SLevel_i，1≤i≤k，则该系统W使用该k个有效访问控制信息计算一个登录安全值P，即：

该系统W判断P≥PLevel_max×SLevel_W是否成立，其中PLevel_max是访问控制方法安全等级的最大可能值，以前述实施例而言，PLevel_max＝10；SLevel_W是该系统W自身的安全等级。

如果上述不等式成立，则该系统W直接接受该用户登录，即以用户名username的登录。如果上述不等式成立，则该系统W要求该用户通过该系统正常的访问控制方法登录，并在正常登录后生成相应的访问控制信息发送给该用户终端。

通过本发明的上述方法，用户在每次正常登录系统后，都能获得一定量的安全值，当累积的安全值足够时，就可以直接登录其他任意系统，从而方便了用户登录，并且无需设置一个单独的登录点，提高了系统整体的安全性。

以上所述仅是本发明的较佳实施方式，故凡依本发明专利申请范围所述的构造、特征及原理所做的等效变化或修饰，均包括于本发明专利申请范围内。

Claims (6)

1.一种异构系统的访问控制方法，其特征在于，该方法包括以下步骤：

(1)针对不同访问控制方法的安全性，给访问控制方法分配相应的安全等级；

(2)针对各个异构系统自身的安全性，给系统分配相应的安全等级；

(3)当用户通过一个系统的访问控制方法的检查后，根据系统的安全等级和其使用的访问控制方法的安全等级，赋予该用户相应的安全值；

(4)用户使用其拥有的未过期的安全值访问其他系统，其他系统根据该安全值确定是否允许用户访问。

2.根据权利要求1所述的异构系统的访问控制方法，其特征在于，所述访问控制方法包括使用U盾访问。

3.根据权利要求1-2任意一项所述的异构系统的访问控制方法，其特征在于，所述访问控制方法包括使用个人证书访问。

4.根据权利要求1-3任意一项所述的异构系统的访问控制方法，其特征在于，所述访问控制方法包括指纹识别。

5.根据权利要求1-4任意一项所述的异构系统的访问控制方法，其特征在于，所述访问控制方法包括语音识别。

6.根据权利要求1-5任意一项所述的异构系统的访问控制方法，其特征在于，所述访问控制方法包括手势识别。