CN108449364A - 一种分布式身份认证方法及云认证节点 - Google Patents

Abstract

本发明公开了一种分布式身份认证云节点及认证方法，该节点包括：认证系统交互的用户对象；对象控制器，所有的交互都通过对象控制器进行控制，其管理所有用户对象且负责进行用户认证、授权、会话和缓存的管理；认证器，负责登陆的认证，检验用户身份的合法性；授权器，对所有关于用户操作的权限进行验证，接收用户请求传入的Permission实例与后台调用Ldap Realm获取的用户相应的角色/权限进行对比；会话管理器，对会话进行管理操作；缓存管理器，用于封装RedisDao,执行针对缓存服务器Redis的基类操作。通过本方案，提高了身份认证的效率和稳定，节约了本地处理资源。

Description

一种分布式身份认证方法及云认证节点

技术领域

本发明涉及大数据安全领域，具体涉及一种分布式身份认证方法及系统。

背景技术

现有的互联网体系正在从传统的集中模式向去中心化转变，传统互联体系中的集中控制点可能面临越来越多的网络攻击和信息盗取，去中心化、分布式结构越来越多的出现在人们眼前。

在这种变革下，传统的集中身份认证方式面临巨大挑战，如何在去中心化的互联体系下构建新的身份认证方式迫在眉睫。

发明内容

为解决上述技术问题，本发明提供了一种分布式身份认证云节点，包括：

认证系统交互的用户对象；

对象控制器，所有的交互都通过对象控制器进行控制，其管理所有用户对象且负责进行用户认证、授权、会话和缓存的管理；

认证器，负责登陆的认证，检验用户身份的合法性；

授权器，对所有关于用户操作的权限进行验证，接收用户请求传入的Permission实例与后台调用Ldap Realm获取的用户相应的角色/权限进行对比；

会话管理器，对会话进行管理操作；

缓存管理器，用于封装RedisDao，执行针对缓存服务器Redis的基类操作。

根据本发明的节点，优选的，所述对象控制器负责真正的身份验证逻辑；它委托给认证器进行身份验证。

根据本发明的节点，优选的，所述认证器进行身份验证，其为核心的身份认证入口点。

根据本发明的节点，优选的，所述认证器委托给相应的认证策略选择对应的Realm进行身份验证，其包括两种Realm进行获取数据的数据源操作：

基于JDBC关系型数据库的数据源获取方式；或

提供ldap轻型目录访问协议的数据仓储基础操作；

Reaml获取的安全数据包含用户常用的用户相关基础信息内容。

根据本发明的节点，优选的，认证器把相应的令牌传入Realm，从Realm获取身份验证信息，如果没有返回/抛出异常表示身份验证失败；否则返回相关数据，标识信息认证成功。

为解决上述技术问题，本发明提供了一种采用上述之一的分布式身份认证云节点的分布式身份认证方法，包括以下步骤：

1)客户端向认证服务器发送认证请求；

2)认证服务器的认证接入点接收所述认证请求；

3)所述认证接入点实时监控各个认证云节点的工作状态和工作负荷；

4)根据所述工作状态和工作负荷将认证请求分发给相应的认证云节点；

5)所述认证云节点实现对用户的认证授权，并生成授权策略，提供用户访问权限，将认证结果返回给所述客户端。

根据本发明的方法，优选的，所述认证服务器由认证云实现，所述认证云CCQ(Cloud based Client Queue)由多个认证云节点分布式构成。

根据本发明的方法，优选的，所述认证接入点运行分发请求master进程，每个所述认证云节点运行处理请求work进程。

根据本发明的方法，优选的，所述分发请求master进程管理着所有注册过的处理请求work进程，并实时监控各个work进程的工作状态，work进程连接不上，系统发送报警信息，并进行相应的异常状态处理。

根据本发明的方法，优选的，所述发请求master进程监控各处理请求work进程的使用情况，将认证请求分发到空闲的认证云节点，所述发请求master进程分发请求依据为：注册的处理请求work进程的权重值。

根据本发明的方法，优选的，在所述步骤1)之前，将原始身份认证信息片段化验证，分配指定用户识别标识后，形成指定范围内的不可识别信息片段，然后通过调用指定验证服务机制，将注册信息分布、散列、随机存储在认证云节点中，完成信息注册验证过程。

通过本发明的技术方案，取得了以下有益的技术效果：

可以可靠地实现身份认证，认证效率高，认证可靠，不占用本地处理资源。

附图说明

图1为本发明分布安全认证过程逻辑图；

图2为本发明的分布式身份认证工作流程图；

图3为本发明的认证云接入点工作流程图；

图4为认证云认证节点具体的功能模块。

具体实施方式

对于以上问题，本发明通过去中心化方式来实现对用户身份认证信息的安全验证和安全存储，形成从桌面到服务端的全方位无中心的分布式认证验证体系。该系统的主要特点如下：

信息注册验证用户认证信息使用散列和信息隐藏手段，将原始身份认证信息片段化验证，分配指定用户识别标识后，形成指定范围内的不可识别信息片段，然后通过调用指定验证服务机制，将注册信息分布、散列、随机存储在认证结点中，完成信息注册验证过程。

信息存储验证信息存储验证从数据量大小和检索方式两方面进行考虑，将用户的认证信息平均存储到指定范围内的各个认证结点上，并通过分布式检索机制，满足用户在注册和认证过程中产生的片段信息存储、片段信息检索、片段信息读取的相关数据操作行为，并提供存储扩展机制和满足灾备要求的数据保护和恢复机制，保证存储数据访问的安全、机密和高效，允许第三方应用通过指定方式对存储的信息进行访问。

信息认证验证用户认证信息通过客户端工具或集成接口获取后，在终端和服务端对认证信息同时进行验证，服务端通过用户标识信息，获取与该用户匹配对应的认证信息片段，与客户端计算产生结果在判定通过允许概率下进行结果比对，形成对用户身份信息是否合法的比较判断。

结点通信协议分布式认证体系中各个组件的通信使用无需状态保持的可靠通信协议进行，基于UDP协议作为基础，在连接两端使用匿名连接进行互连并达到TCP协议提供的以连接为基础的稳定性，并能够满足NAT需求，防御传输中常见的攻击手段，如窃取Artifact、拒绝服务攻击、窃听、消息的篡改、重放攻击、中间人攻击。集成接口开放集成接口是第三方通过API接口或SOCET等机制访问平台内部功能的通道，该版本将提供用户信息注册、用户信息认证、存储信息查询三类接口，从认证信息的初始化、认证结果的获取到存储结果的检索查询，通过对应的接口机制提供整套访问机制。

分布认证体系分布式认证体系通过形成两个认证区域，即信任认证区域和非信任认证区域，完成对用户认证信息的分布式认证验证。信任认证区域(TAA，Trusted AuthArea)以认证云为基础，即归属于认证云的认证结点形成默认TAA；非信任认证区域(DTAA，De-Trusted Auth Area)以随机加入成为认证结点的移动终端、PC、其他设备为标准，因为其动态加入或退出特性，所以将其构成的认证区域成为DTAA；通过TAA和DTAA相互结合，对用户身份进行验证，完成以认证云验证为基础，结合随机结点认证为相互支撑的认证过程。

认证接入点提供认证接口，支持http，webservice接口，并满足跨平台数据交互；满足多系统环境的服务器搭建。

如图1，显示了本发明(系统)的逻辑组成：由客户端、认证云和管理系统组成。

客户端主要提供注册和认证两部分功能，通过客户端SDK的API方式提供输入用户信息的入口；

认证云由多节点分布式构成，实现大量片段安全信息的有效可靠存储、访问和更新，在认证接入点调度下，通过私有通讯协议完成用户信息注册和身份认证；

管理系统实现对平台的状态监控、数据统计、策略管理、日志查询，保证数据的安全存储和访问。

图2显示了本发明(系统)的工作流程：

步骤S1，客户端调用SDK中用户认证API(Application Programming Interface，应用程序编程接口)接口向通过认证接入点向认证服务器发送认证信息请求验证；

步骤S2，认证接入点接收到认证请求后按照固定个数和循环队列原则从认证云CCQ(Cloud based Client Queue)中选择认证云节点，调度并转发认证请求到所选择的认证云节点；

步骤S3，所选择的认证云节点向认证接入点返回认证计算控件；

步骤S4，认证接入点向客户端返回客户端侧用的认证计算控件和关联节点信息；

步骤S5，客户端调用SDK中用户认证API接口进行认证信息计算控件逻辑实现并向认证接入点返回客户端通过计算控件计算得出的认证信息结果CRL；

步骤S6，认证接入点向所选择的认证云节点请求认证云对应存储的认证信息，认证云向认证接入点返回关联节点已存储的认证信息SAL；

步骤S7，认证接入点对比客户端返回的认证信息结果CRL和认证云返回的认证信息结果CRL；

步骤S8，认证接入点向客户端(SDK)返回认证结果。

图3描述了上述步骤S2的认证云接入点的具体工作流程图：

①客户端发送认证请求到认证接入点master。

②分发请求master(运行在认证接入点master)管理着所有注册过的处理请求work进程(即work进程，运行在认证接入点master)，每个work进程都分配一个认证云节点的地址，当调用此work进程时，work进程会将接收的请求数据转发给对应的认证云节点地址，并实时监控各个work进程的工作状态，work进程连接不上(每个work进程会时时监控认证云节点地址的运行状态，如果异常代表连接不上)系统发送报警信息，并提示管理员系统运行异常，并进行相关问题排查和处理。

③分发请求master工作正常情况下，监控各认证节点work进程的使用情况，并将认证请求分发到空闲的认证云节点；master分发请求依据为：注册的处理请求work进程的权重值。每个work进程的权重值越大，它本身获取接收请求的机会越大。

④认证云节点进行用户信息认证，并将认证的结果直接返回给客户端。

图4描述了认证云认证节点具体的工作内容。认证云节点实现对用户的认证授权，并生成授权策略，能提供给用户访问细腻度的访问权限，保证系统的安全，返回认证计算控件；

认证云认证节点具体包括的功能模块介绍如下：

①Subject认证系统交互的用户对象

②SecurityManager对象控制器，所有的交互都通过SecurityManager进行控制。它管理所有Subject且负责进行认证和授权，会话，缓存的管理。

③Authenticator认证器，负责主体认证，即登陆的认证，检验用户身份的合法性。

④Authorizer授权器，所有关于用户操作权限的验证都在此进行，Authorizer接收用户请求传入的Permission实例(即一个权限的对象，包含了用户信息，权限信息)与后台调用Ldap Realm(用户请求某些资源时，传入的参数，如：用户ID，URL是否与服务器信息，用户的权限一致)获取的用户相应的角色/权限进行对比，如果匹配(Permission包含：用户ID，URL，即Ldap Realm根据用户查询数据返回用户及权限，判断Ldap Realm返回的数据是否包含了Permission中URL资源)将信息，包括用户信息、权限信息、token令牌、证书组装为认证计算控件，返回给请求；

⑤SessionManager Session管理器，关于session的管理操作都将会基于SessionDao完成。其中，SessionDao会封装对session操作的一些方法，如：基本操作CRUDsession刷新。

⑥CacheManager缓存管理器，封装了RedisDao，针对缓存服务器Redis的基类操作，在某些资源(如：权限认证)交互比较频繁的情况下，使用缓存服务，可以解决很大一部分的服务器资源开销。其中，RedisDao会封装对Redis操作的一些方法，如：基本操作CRUD。

认证云认证节点的认证流程如下：

①首先调用Subject.login(token)进行登录，其会自动委托给SecurityManager；

②SecurityManager负责真正的身份验证逻辑；它会委托给Authenticator进行身份验证；

③Authenticator才是真正的身份验证者，为核心的身份认证入口点；

④Authenticator委托给相应AuthenticationStrategy选择对应的Realm(域，数据源)进行身份验证。此发明中提供2种Realm进行获取数据的数据源操作，一种为基于JDBC关系型数据库的数据源获取方式；一种提供ldap轻型目录访问协议的数据仓储基础操作；

Reaml获取安全数据包含了用户常用的用户相关基础信息内容(如：用户信息，角色，权限)

⑤Authenticator会把相应的token传入Realm，从Realm获取身份验证信息，如果没有返回/抛出异常表示身份验证失败；返回相关数据信息认证成功。

<实施案例>

某商业银行基于本发明做的分布式身份认证演示系统。通过结合客户现有的物理和虚拟环境，搭建一套面向移动端(android)、PC端(windows)和业务系统(Linux)的身份认证系统，分布式单元由10台配置不等的服务器组成，分布式单元可以随时添加。接入用户数约5000上下，该套演示系统性能达到了在50％分布单元退出时身份认证仍正常运行；在并发数达到2000情况下，各类终端设备身份认证小于1s。

合作伙伴通过客户端产品结合服务端集成支持，一方面可以用于新业务系统中对身份认证系统新的安全保障支持，一方面可以将平台的转换和集成接口与第三方业务对接集成，在不影响其现有业务情况下，无缝使用我们提供的分布式认证平台功能。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换以及改进等，均应保护在本发明的保护范围之内。

Claims (11)

1.一种分布式身份认证云节点，用于分布式身份认证系统，其包括：

对象控制器，所有的用户对象交互都通过对象控制器进行控制，其管理所有用户对象且负责对用户进行认证、授权、会话和缓存的管理；

认证器，负责用户登陆的认证，检验用户身份的合法性；

授权器，对所有关于用户操作的权限进行验证，接收用户请求传入的

Permission实例与后台调用Ldap Realm获取的用户相应的角色/权限进行对比；

会话管理器，对会话进行管理操作；

缓存管理器，用于封装RedisDao,执行针对缓存服务器Redis的基类操作。

2.根据权利要求1所述的分布式身份认证云节点，所述对象控制器负责真正的身份验证逻辑；它委托给认证器进行身份验证。

3.根据权利要求2所述的分布式身份认证云节点，所述认证器进行身份验证，其为核心的身份认证入口点。

4.根据权利要求3所述的分布式身份认证云节点，所述认证器委托给相应的认证策略选择对应的Realm进行身份验证，其包括两种Realm进行获取数据的数据源操作：

基于JDBC关系型数据库的数据源获取方式；或

提供ldap轻型目录访问协议的数据仓储基础操作；

Reaml获取的安全数据包含用户常用的用户相关基础信息内容。

5.根据权利要求4所述的分布式身份认证云节点，认证器把相应的令牌传入Realm，从Realm获取身份验证信息，如果没有返回/抛出异常表示身份验证失败；否则返回相关数据，标识信息认证成功。

6.一种采用如权利要求1-5之一的分布式身份认证云节点的分布式身份认证方法，包括以下步骤：

1)客户端向认证服务器发送认证请求；

2)认证服务器的认证接入点接收所述认证请求；

3)所述认证接入点实时监控各个分布式身份认证云节点的工作状态和工作负荷；

4)根据所述工作状态和工作负荷将认证请求分发给相应的分布式身份认证云节点；

5)所述分布式身份认证云节点实现对用户的认证授权，并生成授权策略，提供用户访问权限，将认证结果返回给所述客户端。

7.根据权利要求6所述的方法，所述认证服务器由认证云实现，所述认证云CCQ(Cloudbased Client Queue)由多个认证云节点分布式构成。

8.根据权利要求6所述的方法，所述认证接入点运行分发请求进程以及多个处理请求work进程。

9.根据权利要求8所述的方法，所述分发请求进程管理着所有注册过的处理请求work进程，每个处理请求work进程都分配一个认证云节点的地址，当调用此处理请求work进程时，处理请求work进程会将接收的请求数据转发给分配的认证云节点地址，并实时监控各个处理请求work进程的工作状态，处理请求work进程连接不上，系统发送报警信息，并进行相应的异常状态处理。

10.根据权利要求8所述的方法，所述分发请求进程监控各处理请求work进程的使用情况，将认证请求分发到空闲的认证云节点，所述发请求进程分发认证请求依据为：注册的处理请求work进程的权重值。

11.根据权利要求6所述的方法，在所述步骤1)之前，将原始身份认证信息片段化验证，分配指定用户识别标识后，形成指定范围内的不可识别信息片段，然后通过调用指定验证服务机制，将注册信息分布、散列、随机存储在认证云节点中，完成信息注册验证过程。