CN108494764B - 一种身份认证方法及装置 - Google Patents

Abstract

本申请公开了一种身份认证方法及装置。本申请中，服务器接收第一终端的身份认证请求；若所述服务器判断接收到的认证数据与所述服务器存储的所述第一终端的标识对应的认证数据相匹配，则根据与所述第一终端的距离，从认证通过的终端中选择第二终端和第三终端，并分别通知所述第一终端、所述第二终端和所述第三终端建立自组网；所述服务器分别向所述第二终端和所述第三终端发送加密后的序列，指示所述第二终端、所述第三终端和所述第一终端通过自组网发送序列，并指示所述第一终端将从所述第三终端接收到的序列发送给所述服务器；所述服务器根据从所述第一终端接收到的序列，对所述第一终端进行身份认证。

Description

一种身份认证方法及装置

技术领域

本申请涉及通信领域，尤其涉及一种身份认证方法及装置。

背景技术

随着技术的发展，高价值的智能化终端设备已成为主流。服务提供商为了吸引和留住更多的用户，在服务内容和服务形式上不断创新，基于电视机等智能终端设备，为用户提供了更多高附加值的增值服务。为了更好的开展业务以及为用户提供更好的服务，终端设备需要具有合法的身份标识，该身份标识需要确定终端设备的唯一性，且该身份标识不能被仿冒或者即使被仿冒也可以被识别出来。

目前对终端设备进行身份标识的方法有许多，然而这些方法普遍存在容易被仿冒且被仿冒后不容易被识别等问题。例如，有些终端设备的身份标识是直接写在终端设备存储器中的按顺序排列的自然数，这种身份标识很容易被读取出来，然后写入到仿冒的终端设备中，这样仿冒的终端设备也具有了合法的身份标识；另外，还有些终端设备直接采用本身的MAC地址作为身份标识，本意是利用MAC地址的不可重复性确保身份标识的合法且唯一性，但是实际上MAC地址比较容易伪造，进而造成终端设备很容易被仿冒，不仅如此，并不是所有的终端都有MAC地址，所以使用MAC作为终端身份标识的方式也不通用。

如何让仿冒的终端设备能够很快被识别出来，阻止仿冒的终端设备侵犯服务提供商和生产厂家的利益，是本领域技术人员急需解决的问题。

发明内容

本申请的目的就是为了解决上述问题，提供一种身份认证方法与装置。

本申请的一个实施例提供身份认证方法，该方法包括：

服务器接收第一终端的身份认证请求，所述身份认证请求携带所述第一终端的标识以及由所述第一终端根据所述第一终端的标识生成的认证数据；

若所述服务器判断接收到的所述认证数据与所述服务器存储的所述第一终端的标识对应的认证数据相匹配，则根据与所述第一终端的距离，从认证通过的终端中选择第二终端和第三终端，并分别通知所述第一终端、所述第二终端和所述第三终端建立自组网；

所述服务器分别向所述第二终端和所述第三终端发送加密后的序列，指示所述第二终端通过所述自组网将接收到的序列发送给所述第三终端，指示所述第三终端通过所述自组网将从所述服务器接收到的序列以及从所述第二终端接收到的序列发送给所述第一终端，并指示所述第一终端将从所述第三终端接收到的序列发送给所述服务器；

所述服务器根据从所述第一终端接收到的序列，对所述第一终端进行身份认证。

可选地，所述根据与所述第一终端的距离，从认证通过的终端中选择第二终端和第三终端，包括：

所述服务器根据与所述第一终端的距离，从认证通过的终端中选择与所述第一终端之间的距离在预设阈值之内的第二终端和第三终端。

可选地，所述服务器分别向所述第二终端和所述第三终端发送加密后的序列，包括：

所述服务器生成第一序列，或者获取由所述服务器生成并存储的第一序列；

所述服务器将所述第一序列拆分为两个序列，并分别对所述两个序列进行加密；

所述服务器将加密后的两个序列中的一个序列发送给所述第二终端，将另一个序列发送给所述第三终端。

可选地，还包括：

所述第二终端对从所述服务器接收到的序列进行解密，并将解密后的序列发送给所述第三终端；

所述第三终端对从所述服务器接收到的序列进行解密，并将解密后的序列和从所述第二终端接收到的解密后的序列发送给所述第一终端。

可选地，所述服务器根据从所述第一终端接收到的序列，对所述第一终端进行身份认证，包括：

所述服务器对从所述第一终端接收到的序列进行解密；

若解密正确，则对所述第一终端认证通过。

可选地，还包括：

若所述服务器在设定时间内未从所述第一终端接收到序列，则对所述第一终端认证失败。

一种身份认证装置，包括：

接收模块，用于接收第一终端的身份认证请求，所述身份认证请求携带所述第一终端的标识以及由所述第一终端根据所述第一终端的标识生成的认证数据；

自组网模块，用于若身份认证装置判断接收到的所述认证数据与所述身份认证装置存储的所述第一终端的标识对应的认证数据相匹配，则根据与所述第一终端的距离，从认证通过的终端中选择第二终端和第三终端，并分别通知所述第一终端、所述第二终端和所述第三终端建立自组网；

发送模块，用于分别向所述第二终端和所述第三终端发送加密后的序列，指示所述第二终端通过所述自组网将接收到的序列发送给所述第三终端，指示所述第三终端通过所述自组网将从所述身份认证装置接收到的序列以及从所述第二终端接收到的序列发送给所述第一终端，并指示所述第一终端将从所述第三终端接收到的序列发送给所述身份认证装置；

认证模块，用于根据从所述第一终端接收到的序列，对所述第一终端进行身份认证。

可选地，所述自组网模块具体用于：

所述身份认证装置根据与所述第一终端的距离，从认证通过的终端中选择与所述第一终端之间的距离在预设阈值之内的第二终端和第三终端。

可选地，所述发送模块具体用于：

所述身份认证装置生成第一序列，或者获取由所述身份认证装置生成并存储的第一序列；

所述身份认证装置将所述第一序列拆分为两个序列，并分别对所述两个序列进行加密；

所述身份认证装置将加密后的两个序列中的一个序列发送给所述第二终端，将另一个序列发送给所述第三终端。

可选地，所述发送模块具体用于：

所述第二终端对从所述身份认证装置接收到的序列进行解密，并将解密后的序列发送给所述第三终端；

所述第三终端对从所述身份认证装置接收到的序列进行解密，并将解密后的序列和从所述第二终端接收到的解密后的序列发送给所述第一终端。

可选地，所述认证模块具体用于：

所述身份认证装置对从所述第一终端接收到的序列进行解密；

若解密正确，则对所述第一终端认证通过。

可选地，所述认证模块还用于：

若所述身份认证装置在设定时间内未从所述第一终端接收到序列，则对所述第一终端认证失败。

上述本申请实施例通过第一终端与其相邻的已合法的终端建立自组网，对第一终端的身份信息进行验证，可以有效防止终端被仿冒，并快速简便的识别出仿冒终端，具有安全性高的优点。

附图说明

图1为本申请实施例提供的身份认证的方法流程示意图；

图2为本申请实施例提供的一种身份认证的流程示意图；

图3为本申请实施例提供的身份认证的装置示意图。

具体实施方式

物联网终端是物联网中连接传感网络层和传输网络层，实现采集数据及向网络层发送数据的设备。它担负着数据采集、初步处理、加密、传输等多种功能。物联网终端是基于通用分组无线服务技术(GPRS)、码分多址(CDMA)、3G/4G、卫星等无线通信网络实现远程数据采集和传输的智能终端设备。在无线通信网络的实现过程中，物联网终端设备需要具有合法的身份标识，该身份标识需要确定终端设备的唯一性，且该身份标识不能被仿冒或者即使被仿冒也可以被识别出来。

为解决该问题，本申请实施例提供一种身份认证方法及装置。

下面结合附图1对本申请实施例所提供的身份认证方法进行详细描述。该流程可由身份认证装置执行。

如图1所示，该方法的流程可包括：

S101：服务器接收第一终端的身份认证请求，所述身份认证请求携带所述第一终端的标识以及由所述第一终端根据所述第一终端的标识生成的认证数据。

S102：若所述服务器判断接收到的所述认证数据与所述服务器存储的所述第一终端的标识对应的认证数据相匹配，则根据与所述第一终端的距离，从认证通过的终端中选择第二终端和第三终端，并分别通知所述第一终端、所述第二终端和所述第三终端建立自组网。

其中，所述服务器根据与所述第一终端的距离，从认证通过的终端中选择与所述第一终端之间的距离在预设阈值之内的第二终端和第三终端。

所述第一终端、第二终端和第三终端至少包括机顶盒、电视机、手机中的一种。自组网是一种移动通信和计算机网络相结合的网络，网络的信息交换采用计算机网络中的分组交换机制，用户终端是可以移动的便携式终端，自组网中每个用户终端都兼有路由器和主机两种功能。作为主机，终端需要运行各种面向用户的应用程序，如编辑器、浏览器等；作为路由器，终端需要运行相应的路由协议，根据路由策略和路由表完成数据分组的转发和路由维护工作，故要求节点实现合适的路由协议。自组网路由协议的目标是快速、准确和高效，要求在尽可能短的时间内查找到准确可用的路由信息，并能适应网络拓扑的快速变化，同时减小引入的额外时延和维护路由的控制信息，降低路由协议的开销，以满足移动终端计算能力、储存空间以及电源等方面的限制。

其中，所述第一终端、第二终端和第三终端根据设定的短距离通信协议：例如蓝牙、紫蜂协议(zigbee)，来进行自组网。

S103：所述服务器分别向所述第二终端和所述第三终端发送加密后的序列，指示所述第二终端通过所述自组网将接收到的序列发送给所述第三终端，指示所述第三终端通过所述自组网将从所述服务器接收到的序列以及从所述第二终端接收到的序列发送给所述第一终端，并指示所述第一终端将从所述第三终端接收到的序列发送给所述服务器。

其中，所述服务器生成第一序列，或者获取由所述服务器生成并存储的第一序列；进一步，所述服务器将所述第一序列拆分为两个序列，并分别对所述两个序列进行加密；进一步，所述服务器将加密后的两个序列中的一个序列发送给所述第二终端，将另一个序列发送给所述第三终端。

进一步地，所述第二终端对从所述服务器接收到的序列进行解密，并将解密后的序列发送给所述第三终端；所述第三终端对从所述服务器接收到的序列进行解密，并将解密后的序列和从所述第二终端接收到的解密后的序列发送给所述第一终端。

服务器生成序列的方式可以是使用哈希算法，或者生成动态口令，序列可以具体根据厂家具体的要求使用，序列的长度根据传感器终端的硬件来设定。哈希算法(HASH)将任意长度的二进制值映射为固定长度的较小二进制值，这个小的二进制值称为哈希值。哈希值是一段数据唯一且极其紧凑的数值表示形式。如果散列一段明文而且只更改该段落的一个字母，随后的哈希都将产生不同的值。要找到散列为同一个值的两个不同的输入，在计算上来说基本上是不可能的。动态口令是根据专门的算法生成一个不可预测的随机数字组合，每个密码只能使用一次。用于生成动态口令终端有硬件令牌、短信密码、手机令牌、软件令牌四种。

第一终端将从第三终端接收到的序列发送给服务器，同时还将第一终端的ID信息等发送给服务器。

S104：所述服务器根据从所述第一终端接收到的序列，对所述第一终端进行身份认证。

具体地，所述服务器对从所述第一终端接收到的序列进行解密；

若解密正确，则对所述第一终端认证通过；

若解密失败，则对所述第一终端认证失败。

其中，若所述服务器在设定时间内未从所述第一终端接收到序列，则对所述第一终端认证失败。

为了更清楚地理解本申请实施例，下面结合图2对上述流程进行详细描述。

步骤1：终端A为待身份认证的终端，终端A向服务器发送身份认证请求，该身份认证请求携带终端A的标识以及由终端A的根据终端A的标识生成的认证数据。

步骤2：服务器判断接收到的所述认证数据与所述服务器存储的所述终端A的标识对应的认证数据相匹配，匹配成功，继续执行下面的步骤。

步骤3：服务器根据与终端A的距离，从认证通过的终端中选择终端B，并通知终端B建立自组网。

步骤4：服务器根据与终端A的距离，从认证通过的终端中选择终端C，并通知终端C建立自组网。

步骤5：服务器向所述终端B发送加密后的序列。

步骤6：服务器向所述终端C送加密后的序列。

步骤7：服务器指示终端B通过自组网将接收到的序列发送给所述终端C。

步骤8：服务器指示终端C通过所述自组网将从服务器接收到的序列以及从终端B接收到的序列发送给终端A。

步骤9：服务器指示终端A将从终端C接收到的序列发送给服务器。

步骤10：服务器根据从所述终端A接收到的序列，对终端A进行身份认证。

在实际应用中，黑客可以通过破解终端B和终端C的通信从而得到序列，使用模拟器或者经过改装的传感器来跟服务器建立连接，给服务器传输错误的信息或者带有病毒的信息，从而达到干扰认证过程的目的。

本申请实施例提供的方法通过自组网由终端B和终端C来对终端A进行确认，并且采用的通信是由A->B->C的路径，能够增加安全强度，具体根据厂家对效率和安全的考虑来选择使用的方法。因此本申请实施例也可以使用A->C,B->C的路径。

本申请实施例通过第一终端与其相邻的已合法的终端建立自组网，以两个相邻终端为例，在自组网的终端之间发送加密序列，使得服务器对第一终端的身份信息进行验证，从而可以有效防止终端被仿冒，并快速简便的识别出仿冒终端，具有安全性高的优点。

基于相同的技术构思，本申请实施例还提供一种装置，该装置可执行上述方法实施例。该身份认证装置包括：

接收模块301，用于接收第一终端的身份认证请求，所述身份认证请求携带所述第一终端的标识以及由所述第一终端根据所述第一终端的标识生成的认证数据；

自组网模块302，用于若身份认证装置判断接收到的所述认证数据与所述身份认证装置存储的所述第一终端的标识对应的认证数据相匹配，则根据与所述第一终端的距离，从认证通过的终端中选择第二终端和第三终端，并分别通知所述第一终端、所述第二终端和所述第三终端建立自组网；

发送模块303，用于分别向所述第二终端和所述第三终端发送加密后的序列，指示所述第二终端通过所述自组网将接收到的序列发送给所述第三终端，指示所述第三终端通过所述自组网将从所述身份认证装置接收到的序列以及从所述第二终端接收到的序列发送给所述第一终端，并指示所述第一终端将从所述第三终端接收到的序列发送给所述身份认证装置；

认证模块304，用于根据从所述第一终端接收到的序列，对所述第一终端进行身份认证。

其中，所述自组网模块302具体用于：

所述身份认证装置根据与所述第一终端的距离，从认证通过的终端中选择与所述第一终端之间的距离在预设阈值之内的第二终端和第三终端。

其中，所述发送模块303具体用于：

所述身份认证装置生成第一序列，或者获取由所述身份认证装置生成并存储的第一序列；

所述身份认证装置将所述第一序列拆分为两个序列，并分别对所述两个序列进行加密；

所述身份认证装置将加密后的两个序列中的一个序列发送给所述第二终端，将另一个序列发送给所述第三终端。

其中，所述发送模块303具体用于：

所述第二终端对从所述身份认证装置接收到的序列进行解密，并将解密后的序列发送给所述第三终端；

所述第三终端对从所述身份认证装置接收到的序列进行解密，并将解密后的序列和从所述第二终端接收到的解密后的序列发送给所述第一终端。

其中，所述认证模块304具体用于：

所述身份认证装置对从所述第一终端接收到的序列进行解密；

若解密正确，则对所述第一终端认证通过。

其中，所述认证模块304还用于：

若所述身份认证装置在设定时间内未从所述第一终端接收到序列，则对所述第一终端认证失败。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本申请的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本申请范围的所有变更和修改。

显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims (10)

1.一种身份认证方法，其特征在于，包括：

服务器接收第一终端的身份认证请求，所述身份认证请求携带所述第一终端的标识以及由所述第一终端根据所述第一终端的标识生成的认证数据；

若所述服务器判断接收到的所述认证数据与所述服务器存储的所述第一终端的标识对应的认证数据相匹配，则根据与所述第一终端的距离，从认证通过的终端中选择第二终端和第三终端，并分别通知所述第一终端、所述第二终端和所述第三终端建立自组网；

所述服务器分别向所述第二终端和所述第三终端发送加密后的序列，指示所述第二终端通过所述自组网将接收到的序列发送给所述第三终端，指示所述第三终端通过所述自组网将从所述服务器接收到的序列以及从所述第二终端接收到的序列发送给所述第一终端，并指示所述第一终端将从所述第三终端接收到的序列发送给所述服务器；

所述服务器根据从所述第一终端接收到的序列，对所述第一终端进行身份认证。

2.如权利要求1所述的方法，其特征在于，所述根据与所述第一终端的距离，从认证通过的终端中选择第二终端和第三终端，包括：

所述服务器根据与所述第一终端的距离，从认证通过的终端中选择与所述第一终端之间的距离在预设阈值之内的第二终端和第三终端。

3.如权利要求1所述的方法，其特征在于，所述服务器分别向所述第二终端和所述第三终端发送加密后的序列，包括：

所述服务器生成第一序列，或者获取由所述服务器生成并存储的第一序列；

所述服务器将所述第一序列拆分为两个序列，并分别对所述两个序列进行加密；

所述服务器将加密后的两个序列中的一个序列发送给所述第二终端，将另一个序列发送给所述第三终端。

4.如权利要求3所述的方法，其特征在于，还包括：

所述第二终端对从所述服务器接收到的序列进行解密，并将解密后的序列发送给所述第三终端；

所述第三终端对从所述服务器接收到的序列进行解密，并将解密后的序列和从所述第二终端接收到的解密后的序列发送给所述第一终端。

5.如权利要求1所述的方法，其特征在于，所述服务器根据从所述第一终端接收到的序列，对所述第一终端进行身份认证，包括：

所述服务器对从所述第一终端接收到的序列进行解密；

若解密正确，则对所述第一终端认证通过。

6.如权利要求1所述的方法，其特征在于，还包括：

若所述服务器在设定时间内未从所述第一终端接收到序列，则对所述第一终端认证失败。

7.一种身份认证装置，其特征在于，包括：

接收模块，用于接收第一终端的身份认证请求，所述身份认证请求携带所述第一终端的标识以及由所述第一终端根据所述第一终端的标识生成的认证数据；

自组网模块，用于若身份认证装置判断接收到的所述认证数据与所述身份认证装置存储的所述第一终端的标识对应的认证数据相匹配，则根据与所述第一终端的距离，从认证通过的终端中选择第二终端和第三终端，并分别通知所述第一终端、所述第二终端和所述第三终端建立自组网；

发送模块，用于分别向所述第二终端和所述第三终端发送加密后的序列，指示所述第二终端通过所述自组网将接收到的序列发送给所述第三终端，指示所述第三终端通过所述自组网将从所述身份认证装置接收到的序列以及从所述第二终端接收到的序列发送给所述第一终端，并指示所述第一终端将从所述第三终端接收到的序列发送给所述身份认证装置；

认证模块，用于根据从所述第一终端接收到的序列，对所述第一终端进行身份认证。

8.如权利要求7所述的装置，其特征在于，所述自组网模块具体用于：

所述身份认证装置根据与所述第一终端的距离，从认证通过的终端中选择与所述第一终端之间的距离在预设阈值之内的第二终端和第三终端。

9.如权利要求7所述的装置，其特征在于，所述发送模块具体用于：

所述身份认证装置生成第一序列，或者获取由所述身份认证装置生成并存储的第一序列；

所述身份认证装置将所述第一序列拆分为两个序列，并分别对所述两个序列进行加密；

所述身份认证装置将加密后的两个序列中的一个序列发送给所述第二终端，将另一个序列发送给所述第三终端。

10.如权利要求9所述的装置，其特征在于，所述发送模块具体用于：

所述第二终端对从所述身份认证装置接收到的序列进行解密，并将解密后的序列发送给所述第三终端；

所述第三终端对从所述身份认证装置接收到的序列进行解密，并将解密后的序列和从所述第二终端接收到的解密后的序列发送给所述第一终端。

Images