CN109194651B - 一种身份认证方法、装置、设备及存储介质 - Google Patents

Abstract

本发明实施例公开了一种身份认证方法，所述方法包括：第一终端向接入管理平台发送认证请求；如果所述第一终端在预设时间内没有接收到认证响应，则所述第一终端将预先存储的第二数字资产生成第二数字指纹；所述第一终端向预先构建的区块链网络上的第二终端发送指纹验证请求，其中，所述第二终端为所述区块链网络上除所述第一终端外的其他终端；所述第一终端根据所述第二终端返回的指纹验证结果验证所述第二数字指纹的合法性。另外，本发明实施例还提供了另一种身份认证方法、装置、设备及存储介质。

Description

一种身份认证方法、装置、设备及存储介质

技术领域

本发明涉及云计算技术领域，涉及但不限于一种身份认证方法、装置、设备及存储介质。

背景技术

桌面云作为一种基于云计算的桌面交付模式，在该模式下，通过将计算机桌面进行虚拟化，把个人计算环境集中存储于数据中心，为用户提供按需分配、快速交付的桌面。通过桌面云，用户可以随时随地利用瘦客户端或者其他任何与网络相连的设备来访问跨平台的应用程序，以及整个客户桌面。所以，桌面云在教育、政务、银行、企业等领域具有较高的业务价值。

如图1所示，该图示出了一种桌面云的基础架构，从图中可以看出，该架构由桌面云客户端和桌面云服务端组成；其中，桌面云客户端指的是安装或预先加载在终端设备(如瘦客户端、胖客户端或移动终端)的桌面云客户端软件，主要负责接收用户输入的外设指令，对外设指令进行解码，将解码后的外设指令通过传输协议传输到桌面云服务端；桌面云服务端，主要包括接入管理平台和虚拟资源池管理平台；接入管理平台提供统一的桌面云终端连接的接口协议，提供终端接入的身份认证和配置信息交互，同时对桌面云平台的账号、虚拟机以及关联关系进行统一安全管理。虚拟资源池管理平台负责提供虚拟化的基础功能，例如，镜像管理(即所有的桌面镜像进行集中管理，能够对虚拟机进行创建、修改、删除等基本操作)，并且，还能够对虚拟机的网络和存储进行配置和管理。

用户在使用桌面云时，首先通过瘦终端连接接入管理平台；然后，接入管理平台接收瘦终端发送的用户名和密码，并根据用户名和密码对用户身份进行验证，身份认证通过后，接入管理平台获取用户关联的虚拟机型号和虚拟机的IP地址等配置信息，并将这些配置信息发送给虚拟资源池管理平台，虚拟资源池管理平台利用该配置信息通过桌面云远程显示协议连接虚拟机。

在现有的桌面云技术中，接入管理平台采用中心化部署，即对终端接入进行中心化管理，但是，采用中心化部署的接入管理平台存在如下缺陷：(1)当接入管理平台遇到突发的单点故障时，会导致大面积的终端无法接入虚拟机，从而造成业务中断；(2)当接入管理平台遇到突发的大量恶意请求(如拒绝服务攻击)时会造成拥堵，从而造成系统性能下降。

发明内容

有鉴于此，本发明实施例提供一种身份认证方法，旨在当接入管理平台遇到突发的单点故障或者遇到突发的大量恶意请求时，接入终端能够利用预先构建的区块链网络上的其他终端进行身份认证，在身份认证通过后，接入终端通过本地保存的数字资产中的配置信息实现与虚拟机之间的连接，从而保证业务的连续性，提高系统的容灾能力。另外，本发明实施例还提供了另一种身份认证方法、装置、设备及存储介质。

本发明实施例的技术方案是这样实现的：

第一方面，本发明实施例提供一种身份认证方法，所述方法包括：第一终端向接入管理平台发送认证请求；如果所述第一终端在预设时间内没有接收到认证响应，则所述第一终端将预先存储的第二数字资产生成第二数字指纹；所述第一终端向预先构建的区块链网络上的第二终端发送指纹验证请求，其中，所述第二终端为所述区块链网络上除所述第一终端外的其他终端；所述第一终端根据所述第二终端返回的指纹验证结果验证所述第二数字指纹的合法性。

第二方面，本发明实施例提供另一种身份认证方法，所述方法应用于接入管理平台，所述方法包括：接收第一终端发送的认证请求，并根据所述认证请求对所述第一终端的身份进行认证；如果所述第一终端的身份认证通过，组建第一数字资产，所述第一数字资产用于使所述第一终端连接虚拟机；将所述第一数字资产生成第二数字资产，并将所述第一数字资产发送给所述第一终端；利用所述第一数字资产生成区域块，并将所述区域块广播在预先构建的区块链网络中进行广播。

第三方面，本发明实施例提供一种身份认证装置，所述装置包括：第一发送模块、第一生成模块、第二发送模块、第一身份认证模块；其中，所述第一发送模块，配置为向接入管理平台发送认证请求；所述第一生成模块，配置为如果在预设时间内没有接收到认证响应，则将预先存储的第二数字资产生成第二数字指纹；所述第二发送模块，配置为向预先构建的区块链网络上的第二终端发送指纹验证请求，其中，所述第二终端为所述区块链网络上除所述第一终端外的其他终端；所述第一身份认证模块，配置为根据所述第二终端返回的指纹验证结果验证所述第二数字指纹的合法性。

第四方面，本发明实施例提供另一种身份认证装置，所述装置包括：第二接收模块、第二身份认证模块、资产组建模块、第三发送模块、第二生成模块、广播模块；其中，所述第二接收模块，配置为接收第一终端发送的认证请求；所述第二身份认证模块，配置为根据所述认证请求对所述第一终端的身份进行认证；所述资产组建模块，配置为如果所述第一终端的身份认证通过，组建第一数字资产，并将所述第一数字资产生成第二数字资产，所述第一数字资产用于使所述第一终端连接虚拟机；所述第三发送模块，配置为将所述第二数字资产发送给所述第一终端；所述第二生成模块，配置为利用所述第一数字资产生成区域块；所述广播模块，配置为将所述区域块在预先构建的区块链网络中进行广播。

第五方面，本发明实施例提供一种终端，所述终端包括第一处理器和配置为存储可执行指令的第一存储介质，其中：第一处理器，配置为执行存储的可执行指令，所述可执行指令配置为执行上述第一方面所述的身份认证方法中的步骤。

第六方面，本发明实施例提供一种服务器，所述服务器包括第二处理器和配置为存储可执行指令的第二存储介质，其中：第二处理器，配置为执行存储的可执行指令，所述可执行指令配置为执行上述第二方面所述的身份认证方法中的步骤。

第七方面，本发明实施例提供一种存储介质，所述存储介质中存储有计算机可执行指令，该计算机可执行指令配置为执行上述第一方面或第二方面所述的身份认证方法中的步骤。

本发明实施例提供了一种身份认证方法，在第一终端向接入管理平台发送认证请求之后，如果所述第一终端在预设时间内没有接收到认证响应，则所述第一终端将预先存储的第二数字资产生成第二数字指纹；所述第一终端向预先构建的区块链网络上的第二终端发送指纹验证请求，其中，所述第二终端为所述区块链网络上除所述第一终端外的其他终端；所述第一终端根据所述第二终端返回的指纹验证结果验证所述第二数字指纹的合法性。这样，如果第一终端与接入管理平台之间的网络出现故障、接入管理平台发生故障、接入管理平台遇到突发的大量恶意请求等，此时，第一终端就可以利用区块链网络上的其他终端实现对所述第一终端的身份认证，从而提高系统的容灾能力，保证业务的连续性，弥补接入管理平台中心化管理所带来的不足。

附图说明

在附图(其不一定是按比例绘制的)中，相似的附图标记可在不同的视图中描述相似的部件。具有不同字母后缀的相似附图标记可表示相似部件的不同示例。附图以示例而非限制的方式大体示出了本文中所讨论的各个实施例。

图1为本发明实施例的一种桌面云的基础架构示意图；

图2为本发明实施例的一种基于区块链的桌面云网络架构示意图；

图3为本发明实施例的一种身份认证方法的实现流程示意图；

图4为本发明实施例的另一种身份认证方法的实现流程示意图；

图5为本发明实施例的又一种身份认证方法实现流程示意图；

图6为本发明实施例的一种身份认证装置的结构示意图；

图7为本发明实施例的另一种身份认证装置的结构示意图；

图8为本发明实施例的一种终端结构示意图；

图9为本发明实施例的一种服务器的结构示意图。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。在后续的描述中，使用用于表示元件的诸如“模块”、“部件”或“单元”的后缀仅为了有利于本发明的说明，其本身没有特定的意义。因此，“模块”、“部件”或“单元”可以混合地使用。

终端可以以各种形式来实施。如，本发明中描述的终端可以包括手机、平板电脑、笔记本电脑、掌上电脑、个人数字助理(Personal Digital Assistant，PDA)、便捷式媒体播放器(Portable Media Player，PMP)、导航装置、可穿戴设备、智能手环、计步器等移动终端，以及诸如数字TV、台式计算机等固定终端。

本发明实施例提供一种基于区块链的桌面云网络架构，图2为本发明实施例的一种基于区块链的桌面云网络架构示意图，如图2所示，该网络架构包括：第一终端211、第二终端221至22N和服务器231；其中，服务器231包括接入管理平台和虚拟资源池管理平台，接入管理平台增加区域块的生成和分发功能，第一终端211和第二终端221至22N增加区域块的同步和校验功能。第一终端211和第二终端221至22N通过网络协议与服务器231进行交互，例如，第一终端211向服务器231中的接入管理平台发送身份认证请求，服务器231中的接入管理平台响应所述身份认证请求，向第一终端211返回携带身份认证结果的认证响应。另外，第一终端211也可以与第二终端221至22N进行交互，例如，第一终端211向第二终端221至22N发送指纹验证请求，第二终端221至22N响应所述指纹验证请求，向第一终端211返回指纹验证结果。

结合图2所示的网络架构示意图，以下对身份认证方法、装置、设备及存储介质的各实施例进行说明。

本发明实施例提供一种身份认证方法，图3为本发明实施例的一种身份认证方法的实现流程示意图，如图3所示，该方法可以包括如下步骤：

S31、第一终端向接入管理平台发送认证请求；

一般来说，所述认证请求中至少包括用户标识和所述第一终端的标识。

S32、如果所述第一终端在预设时间内没有接收到认证响应，则所述第一终端将预先存储的第二数字资产生成第二数字指纹；

需要说明的是，所述认证响应可以指示所述第一终端的身份认证不通过，也可以指示所述第一终端的身份认证通过，也就是说，所述认证响应可以携带有身份认证通过的信息，也可以携带有身份认证不通过的信息。可以理解地，如果所述第一终端在预设时间内没有接收到认证响应，说明第一终端和接入管理平台之间的网络可能出现故障，或者接入管理平台出现故障，或者，接入管理平台遇到突发的大量恶意请求(如拒绝服务攻击)，接入管理平台无法及时响应第一终端发送的认证请求。

S33、所述第一终端向预先构建的区块链网络上的第二终端发送指纹验证请求，其中，所述第二终端为所述区块链网络上除所述第一终端外的其他终端；

需要说明的是，桌面云大多部署在私有网络或者专有网络内，所以，预先构建的区块链网络通常为一个区域块私有链，构建的区块链网络上包括终端(如第一终端和第二终端)和接入管理平台。在其他实施例中，所述第二终端为所述区块链网络上除所述第一终端外的所有终端。

可以理解地，所述指纹验证请求中至少携带有所述第一终端生成的第二数字指纹和所述第一终端的标识，当所述第二终端接收到所述指纹验证请求时，所述第二终端根据所述第一终端的标识从预先存储的一个或多个区域块中检索出与所述第一终端对应的最新区域块，并验证所述第一终端生成的第二数字指纹与所述第一终端对应的最新区域块中的第一数字指纹的一致性，然后将一致性的指纹验证结果返回给所述第一终端。

S34、所述第一终端根据所述第二终端返回的指纹验证结果验证所述第二数字指纹的合法性。

举例来说，如果区块链网络中有50％的第二终端返回的指纹验证结果为第二数字指纹正确(即第二数字指纹与第二终端存储的与所述第一终端对应的最新区域块中的第一数字指纹匹配)，则所述第一终端确定所述第二数字指纹合法，即所述第一终端的身份认证通过，此时，所述第一终端能够利用本地保存的第二数字资产连接虚拟资源池管理平台中的虚拟机，也就是虚拟资源池管理平台中的虚拟桌面。

在本发明实施例中，提供了一种身份认证方法，通过该方法，如果所述第一终端(即接入终端)与接入管理平台之间的网络出现故障、接入管理平台发生故障、接入管理平台遇到突发的大量恶意请求等，导致接入管理平台无法对第一终端的身份进行认证时，第一终端就可以利用区块链网络上的其他终端(即第二终端)实现对所述第一终端的身份进行认证，在身份认证通过后，第一终端通过本地保存的第二数字资产实现与虚拟机之间的连接，从而保证业务的连续性，提高系统的容灾能力，弥补接入管理平台中心化管理所带来的不足。

在其他实施例中，对于步骤S32，即，所述第一终端将预先存储的第二数字资产生成第二数字指纹，可以包括如下步骤：

S321、所述第一终端利用预先生成的私钥对所述第二数字资产进行解密，得到第一数字资产；

S322、所述第一终端利用哈希函数确定所述第一数字资产的第二哈希值；

这里，例如哈希函数是SHA256。

S323、所述第一终端将所述第二哈希值确定为第二数字指纹。

在其他实施例中，所述方法还包括：如果所述第二数字指纹合法，所述第一终端利用所述第一数字资产连接虚拟机；

其中，所述第一数字资产包括用户标识、会话标识、虚拟机的IP地址和虚拟机的端口号，所述会话标识是所述第一终端在上一次身份认证通过时所述接入管理平台随机生成的。

需要说明的是，所述虚拟机即为服务器端的虚拟桌面，在实际应用中，虚拟桌面一般存储在服务器端的虚拟资源池管理平台中，所述第一终端可以通过所述第一数字资产访问服务器端的虚拟桌面。

在其他实施例中，在步骤S31之后，即，在所述第一终端向接入管理平台发送认证请求之后，所述方法还可以包括如下步骤：

S35、如果所述第一终端在预设时间内接收到携带有身份认证通过的认证响应，所述第一终端接收所述接入管理平台发送的第二数字资产，以及，接收所述接入管理平台广播的区域块；

这里，区域块包括会话标识、第一数字指纹和时间戳；其中，所述会话标识是在接入管理平台确定所述第一终端的身份认证通过之后随机生成的，所述第一数字指纹是第一数字资产的哈希值，第一数字资产是接入管理平台在随机生成所述会话标识之后所组建的，第一数字资产一般包括用户标识、会话标识、虚拟机的IP地址和虚拟机的端口号。时间戳记录的是当前时间。

S36、所述第一终端存储所述第二数字资产和所述区域块。

在其他实施例中，所述方法还可以包括如下步骤：

S37、所述第一终端接收所述第二终端发送的指纹验证请求，所述指纹验证请求中携带有所述第二终端的第二数字指纹和所述第二终端的标识；

S38、所述第一终端根据所述第二终端的标识从预先存储的区域块中检索出与所述第二终端对应的最新区域块；

S39、所述第一终端验证所述第二终端的第二数字指纹与所述最新区域块中的第一数字指纹的一致性；

需要说明的是，所述最新区域块中的第一数字指纹是所述第二终端在上一次身份认证通过时，所述接入管理平台根据组建的第一数字资产生成的。所不同的是，这里的第一数字资产是与第二终端对应的第一数字资产，即，包括的是第二终端的用户标识、第二终端在上一次身份认证通过时接入管理平台随机生成的会话标识、第二终端用于连接虚拟机的IP地址和端口号。

S310、所述第一终端将一致性的指纹验证结果发送给所述第二终端。

本发明实施例提供另一种身份认证方法，所述方法应用于接入管理平台，图4为本发明实施例的另一种身份认证方法的实现流程示意图，如图4所示，该方法可以包括如下步骤：

S41、接收第一终端发送的认证请求；

这里，所述认证请求中携带有用户标识、第一密码和所述第一终端的标识。

S42、根据所述认证请求对所述第一终端的身份进行认证；

S43、如果所述第一终端的身份认证通过，组建第一数字资产，并将所述第一数字资产生成第二数字资产，所述第一数字资产用于使所述第一终端连接虚拟机；

在其他实施例中，如果所述第一终端的身份认证不通过，则所述接入管理平台返回给所述第一终端一个携带有身份认证不通过的认证响应。

S44、将所述第二数字资产发送给所述第一终端；

S45、利用所述第一数字资产生成区域块；

这里，需要说明的是，步骤S44与步骤S45可以同步执行，也可以先执行步骤S45，再执行步骤S44。

S46、将所述区域块在预先构建的区块链网络中进行广播。

这样，区块链网络上的终端(如第一终端和第二终端)在接收到接入管理平台广播的区域块时，就会将该区域块保存。

在本发明实施例中，提供了另一种身份认证方法，当接入管理平台确认第一终端的身份认证通过时，在实现第一终端连接虚拟机的同时，还将组建的第一数字资产转换成第二数字资产后下发给第一终端，并将生成的区域块在区块链网络中进行广播，使得区块链网络上的所有终端都保存了该区域块，这样，第一终端在下一次请求连接虚拟机时，如果第一终端和接入管理平台之间的网络出现故障，或者，接入管理平台出现故障，或者，接入管理平台遇到突发的大量恶意请求(如拒绝服务攻击)，第一终端可以通过区块链网络上的其他终端实现身份认证，并利用本地保存的第二数字资产连接虚拟机。

在其他实施例中，所述认证请求中携带有用户标识、第一密码和所述第一终端的标识；对应地，对于步骤S42，所述根据所述认证请求对所述第一终端的身份进行认证，可以包括以下步骤：

S421、根据所述用户标识检索出第二密码；

S422、如果所述第一密码与所述第二密码匹配，确定所述第一终端的身份认证通过。

例如，如果所述第一密码与所述第二密码相同，确定所述第一密码与所述第二密码匹配；或者，如果所述第一密码按照转换规则进行转换后得到的第三密码与所述第二密码相同，确定所述第一密码与所述第二密码匹配。

在其他实施例中，对于步骤S43中，所述组建第一数字资产，可以包括如下步骤：

S431、随机生成会话标识，并根据所述用户标识检索出虚拟机的IP地址和虚拟机的端口号；

S432、将所述会话标识、所述用户标识、所述虚拟机的IP地址和所述虚拟机的端口号组建成所述第一数字资产。

在其他实施例中，对于步骤S43中，即，所述将所述第一数字资产生成第二数字资产，可以包括：利用预先生成的公钥对所述第一数字资产进行加密，得到第二数字资产。

可以理解地，为了防止所述第一终端对第一数字资产进行篡改，在实际应用中，通常将所述第一数字资产进行加密后再发送给所述第一终端，也就是，将加密得到的第二数字资产发送给所述第一终端。

在其他实施例中，对于步骤S45，即，所述利用所述第一数字资产生成区域块，可以包括如下步骤：

S451、利用哈希函数确定所述第一数字资产的第一哈希值，将所述第一哈希值确定为第一数字指纹；

这里，需要说明的是，所述哈希函数和上述步骤S321所述的哈希函数相同。

S452、将时间戳、所述第一数字指纹和所述第一终端的标识组成区域块。

本发明实施例提供又一种身份认证方法，图5为本发明实施例的又一种身份认证方法实现流程示意图，如图5所示，该方法包括如下步骤：

S501、当第一终端请求连接虚拟机时，第一终端向接入管理平台发送第一认证请求，所述第一认证请求中携带有用户标识、第一密码和所述第一终端的标识；

S502、所述接入管理平台接收所述第一认证请求，并根据所述用户标识检索出第二密码；

S503、所述接入管理平台验证所述第一密码与所述第二密码是否一致；如果不一致，则执行步骤S504；如果一致，执行步骤S505；

S504、所述接入管理平台向所述第一终端返回携带有身份认证不通过的第一认证响应；

S505、所述接入管理平台随机生成会话标识，并将所述会话标识同步给虚拟资源池管理平台，然后进入步骤S506；

S506、所述接入管理平台向所述第一终端下发配置信息，所述配置信息包括虚拟机的IP地址和虚拟机的端口号；

可以理解地，当所述接入管理平台向所述第一终端下发配置信息，说明所述第一终端的身份认证通过了，在实际应用中，对于步骤S506，可以是，所述接入管理平台向所述第一终端返回携带有身份认证通过的第一认证响应，所述携带有身份认证通过的第一认证响应中包括所述配置信息。步骤S506执行完成之后，进入步骤S507，且步骤S505和步骤S506之间没有先后执行顺序，例如可以先执行步骤S506再执行步骤S505，或者步骤S505和步骤S506同步执行。

S507、所述第一终端接收所述配置信息，并通过所述配置信息与虚拟资源池管理平台中的虚拟机建立连接；

S508、所述接入管理平台将所述会话标识、所述用户标识和所述配置信息组建成第一数字资产；

这里，事实上，步骤S506和步骤S508可以是同步的。

S509、所述接入管理平台利用预先生成的公钥对所述第一数字资产进行加密，得到第二数字资产；

S510、所述接入管理平台将所述第二数字资产发送给所述第一终端；

S511、所述第一终端接收所述第二数字资产，并将所述第二数字资产保存至本地；

S512、所述接入管理平台利用哈希函数确定所述第一数字资产的第一哈希值，将所述第一哈希值确定为第一数字指纹；

这里，哈希函数例如SHA256。

S513、所述接入管理平台将时间戳、所述第一数字指纹和所述第一终端的标识组成区域块；

其中，所述时间戳用于记录当前时间；

S514、所述接入管理平台将所述区域块广播给预先构建的区块链网络中的所有终端；

需要说明的是，对于步骤S509与步骤S512之间的执行顺序不做限制，可以先执行步骤S509至步骤S511，再执行步骤S512至步骤S514；也可以先执行步骤S512至步骤S514，再执行步骤S509至步骤S511；甚至，同步执行步骤S509与步骤S512。所述区块链网络由所述接入管理平台和所有终端组成。所有终端包括第一终端和第二终端，第二终端为区块链网络中除第一终端外的其他终端，在其他实施例中，第二终端为区块链网络中除第一终端外的其他所有终端。

S515、所述所有终端接收并存储所述区域块。

这里，从步骤S501到步骤S515，第一终端在本地存储了第二数字资产，区块链网络中的所有终端均保存了与第一终端对应的区域块，基于此，当第一终端再次连接虚拟机时，如果系统出现故障，例如，第一终端与接入管理平台之间的网络出现故障、接入管理平台发生故障等，或者，接入管理平台遇到突发的大量恶意请求(如拒绝服务攻击)，此时第一终端就可以通过如下步骤S516至S526对身份进行认证，并实现与虚拟机的连接。

S516、当第一终端再次请求连接虚拟机时，所述第一终端向所述接入管理平台发送第二认证请求；其中，所述第二认证请求中携带有用户标识、第一密码和所述第一终端的标识；

S517、如果所述第一终端在预设时间内没有接收到第二认证响应，则所述第一终端利用预先生成的私钥对本地保存的第二数字资产进行解密，得到第一数字资产；

这里，所述私钥对应步骤S509中的公钥，所述私钥可以解密所述公钥加密的数据。需要说明的是，如果所述第一终端在预设时间内没有接收到第二认证响应，则所述第一终端可以认为出现故障，例如，第一终端与接入管理平台之间的网络出现故障、所述接入管理平台发生故障等；其中，第二认证响应中携带有身份认证通过或身份不通过的结果。

如果所述第一终端在预设时间内接收到了身份认证通过的第二认证响应，则执行类似S505至S515所述的步骤，所不同的是，步骤S509至步骤S511被替换为步骤S509’至步骤S511’，在步骤S509’中，所述接入管理平台利用预先生成的公钥对新的第一数字资产进行加密，得到新的第二数字资产，其中，新的第一数字资产包括新的会话标识、所述用户标识和所述配置信息；在步骤S510’中，所述接入管理平台将新的第二数字资产发送给所述第一终端；在步骤S511’中，所述第一终端需要对本地存储的第二数字资产更新为新的第二数字资产；也就是说，所述第一终端只保存最新的第二数字资产。

S518、所述第一终端利用所述哈希函数确定所述第一数字资产的第二哈希值，将所述第二哈希值确定为第二数字指纹；

S519、所述第一终端向所述第二终端发送指纹验证请求，其中，所述指纹验证请求中携带所述第二数字指纹和所述第一终端的标识；

需要说明的是，第二终端为区块链网络中除第一终端外的其他终端，在其他实施例中，第二终端为区块链网络中除第一终端外的其他所有终端。

S520、所述第二终端接收所述指纹验证请求，并检索出所述第一终端对应的最新区域块；

其中，最新的区域块通过时间戳来体现的，参见步骤S513和步骤S514。

S521、所述第二终端验证所述第二数字指纹与最新区域块中的第一数字指纹的一致性；

S522、所述第二终端将一致性的指纹验证结果发送给所述第一终端；

其中，指纹验证结果包括一致和不一致的结果。

S523、所述第一终端接收所述指纹验证结果，并根据所述指纹验证结果验证所述第二数字指纹的合法性；

S524、如果所述第二数字指纹合法，所述第一终端通过所述第一数字资产与虚拟资源池管理平台中的虚拟机建立连接。

本发明实施例提供一种身份认证装置，图6为本发明实施例的一种身份认证装置的结构示意图，如图6所示，该装置60可以包括：第一发送模块61、第一生成模块62、第二发送模块63、第一身份认证模块64；其中，所述第一发送模块61，配置为向接入管理平台发送认证请求；所述第一生成模块62，配置为如果在预设时间内没有接收到认证响应，则将预先存储的第二数字资产生成第二数字指纹；所述第二发送模块63，配置为向预先构建的区块链网络上的第二终端发送指纹验证请求，其中，所述第二终端为所述区块链网络上除所述第一终端外的其他终端；所述第一身份认证模块64，配置为根据所述第二终端返回的指纹验证结果验证所述第二数字指纹的合法性。

在其他实施例中，所述第一生成模块62，包括：解密单元，配置为利用预先生成的私钥对所述第二数字资产进行解密，得到第一数字资产；第一确定单元，配置为利用哈希函数确定所述第一数字资产的第二哈希值；第二确定单元，配置为将所述第二哈希值确定为第二数字指纹。

在其他实施例中，所述装置60还包括：连接模块65，配置为如果所述第二数字指纹合法，利用所述第一数字资产连接虚拟机；其中，所述第一数字资产包括用户标识、会话标识、虚拟机的IP地址和虚拟机的端口号，所述会话标识是所述装置60在上一次身份认证通过时所述接入管理平台随机生成的。

在其他实施例中，所述装置60还包括：第一接收模块66、检索模块67、指纹验证模块68；其中，所述第一接收模块66，配置为接收所述第二终端发送的指纹验证请求，所述指纹验证请求中携带有所述第二终端的第二数字指纹和所述第二终端的标识；所述检索模块67，配置为根据所述第二终端的标识从预先存储的区域块中检索出与所述第二终端对应的最新区域块；所述指纹验证模块68，配置为验证所述第二终端的第二数字指纹与所述最新区域块中的第一数字指纹的一致性，所述最新区域块中的第一数字指纹是所述第二终端在上一次身份认证通过时，所述接入管理平台根据组建的第一数字资产生成的；所述第一发送模块61，配置为将一致性的指纹验证结果发送给所述第二终端。

在其他实施例中，所述第一接收模块65，还被配置为如果在预设时间内接收到携带有身份认证通过的认证响应，接收所述接入管理平台发送的第二数字资产，以及，接收所述接入管理平台广播的区域块；所述装置60还包括存储模块69，配置为存储所述第二数字资产和所述区域块。

本发明实施例提供另一种身份认证装置，图7为本发明实施例的另一种身份认证装置的结构示意图，如图7所示，该装置70可以包括：第二接收模块71、第二身份认证模块72、资产组建模块73、第三发送模块74、第二生成模块75、广播模块76；其中，所述第二接收模块71，配置为接收第一终端发送的认证请求；所述第二身份认证模块72，配置为根据所述认证请求对所述第一终端的身份进行认证；所述资产组建模块73，配置为如果所述第一终端的身份认证通过，组建第一数字资产，并将所述第一数字资产生成第二数字资产，所述第一数字资产用于使所述第一终端连接虚拟机；所述第三发送模块74，配置为将所述第二数字资产发送给所述第一终端；所述第二生成模块75，配置为利用所述第一数字资产生成区域块；所述广播模块76，配置为将所述区域块在预先构建的区块链网络中进行广播。

在其他实施例中，所述认证请求中携带有用户标识、第一密码和所述第一终端的标识；对应地，第二身份认证模块72，包括：密码检索单元，配置为根据所述用户标识检索出第二密码；第三确定单元，配置为如果所述第一密码与所述第二密码匹配，确定所述第一终端的身份认证通过。

在其他实施例中，所述资产组建模块73，包括：第一生成单元，配置为随机生成会话标识，并根据所述用户标识检索出虚拟机的IP地址和虚拟机的端口号；组建单元，配置为将所述会话标识、所述用户标识、所述虚拟机的IP地址和所述虚拟机的端口号组建成所述第一数字资产。

在其他实施例中，所述资产组建模块73，还包括：加密单元，配置为利用预先生成的公钥对所述第一数字资产进行加密，得到第二数字资产。

在其他实施例中，所述第二生成模块75，包括：第四确定单元，配置为利用哈希函数确定所述第一数字资产的第一哈希值，将所述第一哈希值确定为第一数字指纹；第二生成单元，配置为将时间戳、所述第一数字指纹和所述第一终端的标识组成区域块。

这里需要指出的是：以上装置实施例的描述，与上述方法实施例的描述是类似的，具有同方法实施例相似的有益效果。对于本发明装置实施例中未披露的技术细节，请参照本发明方法实施例的描述而理解。

本发明实施例中，如果以软件功能模块的形式实现上述的身份认证方法，并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实施例的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算设备执行本发明各个实施例所述方法的全部或部分。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read Only Memory，ROM)、磁碟或者光盘等各种可以存储程序代码的介质。这样，本发明实施例不限制于任何特定的硬件和软件结合。

对应地，本发明实施例提供一种终端，图8为本发明实施例的一种终端结构示意图，如图8所示，该终端80包括第一处理器81和配置为存储可执行指令的第一存储介质82，其中：

第一处理器81，配置为执行存储的可执行指令，所述可执行指令配置为执行上述实施例所提供的身份认证方法中的步骤。

对应地，本发明实施例提供一种可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现上述实施例所提供的身份认证方法中的步骤。

对应地，本发明实施例提供一种服务器，图9为本发明实施例的一种服务器的结构示意图，如图9所示，该服务器90包括第二处理器91和配置为存储可执行指令的第二存储介质92，其中：

第二处理器91，配置为执行存储的可执行指令，所述可执行指令配置为执行上述实施例提供的另一身份认证方法中的步骤。

对应地，本发明实施例提供一种可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现上述另一身份认证方法中的步骤。

这里需要指出的是：以上存储介质和设备实施例的描述，与上述方法实施例的描述是类似的，具有同方法实施例相似的有益效果。对于本发明存储介质和设备实施例中未披露的技术细节，请参照本发明方法实施例的描述而理解。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本发明各个实施例所描述的方法。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (15)

1.一种身份认证方法，其特征在于，所述方法包括：

第一终端向接入管理平台发送认证请求；

如果所述第一终端在预设时间内没有接收到认证响应，则所述第一终端将预先存储的第二数字资产生成第二数字指纹；

所述第一终端向预先构建的区块链网络上的第二终端发送指纹验证请求，其中，所述第二终端为所述区块链网络上除所述第一终端外的至少两个终端；

所述第一终端根据所述至少两个终端返回的指纹验证结果验证所述第二数字指纹的合法性；

如果所述第一终端在预设时间内接收到认证响应，则所述第一终端接收所述接入管理平台发送的第二数字资产，以及，接收所述接入管理平台在预先构建的区块链网络中广播的区域块，在所述第一终端接收到另一终端发送的指纹验证请求时，所述区域块被所述第一终端用来验证所述另一终端发送的指纹验证携带的第二数字指纹的合法性，并将生成的指纹验证结果返回给所述另一终端；所述第二数字资产由所述接入管理平台根据第一数字资产生成；所述第一数字资产由所述接入管理平台在所述第一终端的身份认证通过后组建；所述第一数字资产用于使所述第一终端连接虚拟机。

2.根据权利要求1所述的方法，其特征在于，所述第一终端将预先存储的第二数字资产生成第二数字指纹，包括：

所述第一终端利用预先生成的私钥对所述第二数字资产进行解密，得到第一数字资产；

所述第一终端利用哈希函数确定所述第一数字资产的第二哈希值；

所述第一终端将所述第二哈希值确定为第二数字指纹。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

如果所述第二数字指纹合法，所述第一终端利用所述第一数字资产连接虚拟机；

其中，所述第一数字资产包括用户标识、会话标识、虚拟机的IP地址和虚拟机的端口号，所述会话标识是所述第一终端在上一次身份认证通过时所述接入管理平台随机生成的。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述第一终端接收所述第二终端发送的指纹验证请求，所述指纹验证请求中携带有所述第二终端的第二数字指纹和所述第二终端的标识；

所述第一终端根据所述第二终端的标识从预先存储的区域块中检索出与所述第二终端对应的最新区域块；

所述第一终端验证所述第二终端的第二数字指纹与所述最新区域块中的第一数字指纹的一致性，所述最新区域块中的第一数字指纹是所述第二终端在上一次身份认证通过时，所述接入管理平台根据组建的第一数字资产生成的；

所述第一终端将一致性的指纹验证结果发送给所述第二终端。

5.根据权利要求1所述的方法，其特征在于，在所述第一终端向接入管理平台发送认证请求之后，所述方法还包括：

如果所述第一终端在预设时间内接收到携带有身份认证通过的认证响应，所述第一终端接收所述接入管理平台发送的第二数字资产，以及，接收所述接入管理平台广播的区域块；

所述第一终端存储所述第二数字资产和所述区域块。

6.一种身份认证方法，其特征在于，所述方法应用于接入管理平台，所述方法包括：

接收第一终端发送的认证请求，并根据所述认证请求对所述第一终端的身份进行认证；

如果所述第一终端的身份认证通过，组建第一数字资产，所述第一数字资产用于使所述第一终端连接虚拟机；

将所述第一数字资产生成第二数字资产，并将所述第二数字资产发送给所述第一终端；

利用所述第一数字资产生成区域块，并将所述区域块在预先构建的区块链网络中进行广播，以使所述区块链网络上的至少两个第二终端存储所述区域块，在所述至少两个第二终端接收到所述第一终端发送的指纹验证请求时，所述区域块被所述至少两个第二终端用来验证所述指纹验证请求携带的第二数字指纹的合法性，并将生成的指纹验证结果返回给所述第一终端；其中，所述指纹验证请求是在所述第一终端在向所述接入管理平台发送认证请求时在预设时间内没有接收到认证响应而发送的。

7.根据权利要求6所述的方法，其特征在于，所述认证请求中携带有用户标识、第一密码和所述第一终端的标识；对应地，所述根据所述认证请求对所述第一终端的身份进行认证，包括：

根据所述用户标识检索出第二密码；

如果所述第一密码与所述第二密码匹配，确定所述第一终端的身份认证通过。

8.根据权利要求7所述的方法，其特征在于，所述组建第一数字资产，包括：

随机生成会话标识，并根据所述用户标识检索出虚拟机的IP地址和虚拟机的端口号；

将所述会话标识、所述用户标识、所述虚拟机的IP地址和所述虚拟机的端口号组建成所述第一数字资产。

9.根据权利要求6至8任一项所述的方法，其特征在于，所述将所述第一数字资产生成第二数字资产，包括：

利用预先生成的公钥对所述第一数字资产进行加密，得到第二数字资产。

10.根据权利要求6至8任一项所述的方法，其特征在于，所述利用所述第一数字资产生成区域块，包括：

利用哈希函数确定所述第一数字资产的第一哈希值，将所述第一哈希值确定为第一数字指纹；

将时间戳、所述第一数字指纹和所述第一终端的标识组成区域块。

11.一种第一终端，其特征在于，所述第一终端包括：第一发送模块、第一生成模块、第二发送模块、第一身份认证模块；其中，

所述第一发送模块，配置为向接入管理平台发送认证请求；

所述第一生成模块，配置为如果在预设时间内没有接收到认证响应，则将预先存储的第二数字资产生成第二数字指纹；

所述第二发送模块，配置为向预先构建的区块链网络上的第二终端发送指纹验证请求，其中，所述第二终端为所述区块链网络上除所述第一终端外的至少两个终端；

所述第一身份认证模块，配置为根据所述至少两个终端返回的指纹验证结果验证所述第二数字指纹的合法性；如果所述第一终端在预设时间内接收到认证响应，则所述第一终端接收所述接入管理平台发送的第二数字资产，以及，接收所述接入管理平台在预先构建的区块链网络中广播的区域块，在所述第一终端接收到另一终端发送的指纹验证请求时，所述区域块被所述第一终端用来验证所述另一终端发送的指纹验证携带的第二数字指纹的合法性，并将生成的指纹验证结果返回给所述另一终端；所述第二数字资产由所述接入管理平台根据第一数字资产生成；所述第一数字资产由所述接入管理平台在所述第一终端的身份认证通过后组建；所述第一数字资产用于使所述第一终端连接虚拟机。

12.一种接入管理平台，其特征在于，所述接入管理平台包括：第二接收模块、第二身份认证模块、资产组建模块、第三发送模块、第二生成模块、广播模块；其中，

所述第二接收模块，配置为接收第一终端发送的认证请求；

所述第二身份认证模块，配置为根据所述认证请求对所述第一终端的身份进行认证；

所述资产组建模块，配置为如果所述第一终端的身份认证通过，组建第一数字资产，并将所述第一数字资产生成第二数字资产，所述第一数字资产用于使所述第一终端连接虚拟机；

所述第三发送模块，配置为将所述第二数字资产发送给所述第一终端；

所述第二生成模块，配置为利用所述第一数字资产生成区域块；

所述广播模块，配置为将所述区域块在预先构建的区块链网络中进行广播，以使所述区块链网络上的至少两个第二终端存储所述区域块，在所述至少两个第二终端接收到所述第一终端发送的指纹验证请求时，所述区域块被所述至少两个第二终端用来验证所述指纹验证请求携带的第二数字指纹的合法性，并将生成的指纹验证结果返回给所述第一终端；其中，所述指纹验证请求是在所述第一终端在向所述接入管理平台发送认证请求时在预设时间内没有接收到认证响应而发送的。

13.一种终端，其特征在于，所述终端包括第一处理器和配置为存储可执行指令的第一存储介质，其中：

第一处理器，配置为执行存储的可执行指令，所述可执行指令配置为执行权利要求1至5任一项所述的身份认证方法中的步骤。

14.一种服务器，其特征在于，所述服务器包括第二处理器和配置为存储可执行指令的第二存储介质，其中：

第二处理器，配置为执行存储的可执行指令，所述可执行指令配置为执行权利要求6至10任一项所述的身份认证方法中的步骤。

15.一种存储介质，其特征在于，所述存储介质中存储有计算机可执行指令，该计算机可执行指令配置为执行上述权利要求1至5任一项或者上述权利要求6至10任一项所述的身份认证方法中的步骤。

Images