CN109388937A - 一种多因子身份认证的单点登录方法及登录系统 - Google Patents

Abstract

本申请公开了一种多因子身份认证的单点登录方法及系统，其中方法包括：建立统一认证系统；接入应用，并且确认认证因子；获取身份凭证和设备。与现有技术相比，本申请的技术方案能够统一账户体系，便于管理和维护；单点登录，避免多次登录，提高工作效率；多因子身份认证，降低了身份被伪装或泄露的概率；更方便的融合新型的身份认证技术；支持用户自助设置认证因子，支持方式更灵活。

Description

一种多因子身份认证的单点登录方法及登录系统

技术领域

一种单点登录方法及登录系统，特别涉及一种多因子身份认证的单点登录方法及登录系统。

背景技术

大型企业、公司、事业单位、政府部门一般都会涉及多个信息应用系统，记录每个信息应用系统的账号和口令给系统使用者带来了不少的麻烦。现在已经有一些技术手段能够在一定程度上改善或者部分解决许多大型企业、公司、事业单位、政府部门所面临的急需集成原有分散和独立的信息应用信息的难题。现有单点登录技术，解决了多个应用系统中用户只需登录一次就可以访问所有相互信任的应用系统的问题。

然而，随着安全意识的提高，用户意识到账号和口令的认证模式，并不十分安全。近年来，互联网已经发生了多起系统用户名和口令信息泄露的事故。从技术手段上讲，用户名和口令这种方式，很容易被破解或窃取，而且无法追溯使用者的真实身份，更无法进行责任定位与追究。因此，有人提出了使用数字证书进行登录认证，从一定程度上解决了安全的问题。基于PKI体系，特别是使用物理介质存储的证书，使得系统的安全性得到极大的保障。

但其局限性也是明显的：牺牲了系统的用户体验，首先，Ukey需要随身携带，并且要妥善保管好；另外，因为需要对硬件Ukey进行识别，往往对系统环境有特定的要求，而且一般需要单独安装驱动，所以对客户端的兼容性是个问题。一个关键的问题是，在一个大型企业、公司、事业单位、政府部门中的多个信息应用系统，并不是每个应用都需要数字证书认证的，而对身份及其敏感的业务，如资金转账系统，则必须使用数字证书。即使是同一个系统，对不同的角色而言，对证书的要求也是不一样的，如医疗系统中，患者使用口令登录，而医生使用数字证书认证身份。

发明内容

本申请的目的在于克服上述问题或者至少部分地解决或缓解上述问题。

根据本申请的一个方面，提供了一种多因子身份认证的单点登录方法，包括如下步骤：S2：建立统一认证系统；S4：接入应用，并且确认认证因子；S6：获取身份凭证和设备。

可选地，多因子身份认证的单点登录方法还包括：S8：用户增强认证因子；S10：用户认证并登录。

可选地，所述认证因子为身份标识、内部特征、有效期或验证算法的至少其中之一。

可选地，所述用户认证包括：S101：认证服务器发送挑战数；S102：客户端使用所述认证凭证的内部特征的内部特征对所述挑战数进行运算处理；S103：生成应答数；S104：所述认证服务器收到所述应答数后金鱼所述验证算法进行验证，对所述用户身份确认。

可选地，所述用户认证包括：S101：认证服务器发送挑战数；S102：认证客户端根据所述认证因子的内部特征对所述挑战数进行运算处理，并生成应答数；S103：所述应答数作为下一个认证因子的挑战数生成新的应答数，并形成认证链；S104：根据所述认证链依次进行运行运算，并生成最终应答数；S105：所述认证服务器接受所述最终应答数，使用注册的验证算法依次进行验证，并确认用户身份。

可选地，所述用户认证包括：S101：用户访问应用系统，应用系统判断是否已经建立会话，如果已经建立会话，直接进入应用系统，流程结束；如果没有建立会话，则跳转到认证系统，请求登录认证；S102：登录认证系统接收到请求后，检查是否在其它应用系统登录过，如果没有登录过，跳转到登录界面，提示用户登录认证；如果存在全局会话，说明已经在其它系统登录，检查是否当前应用的多因子认证需求，如果不满足，返回登录页面，提示用户使用合适的认证凭证登录；如果所有认证需求都满足，则可以直接单点登录，进入下一步骤；S103：登录系统产生临时登录凭证，并重定向到应用系统，登录凭以证链接参数形式告知业务系统。临时登录凭证具有时效性，认证完成后立即失效；S104：业务系统受到请求后，从后台发起请求，验证登录凭证的合法性，如果验证未通过，说明是恶意攻击或已经凭证已经过期，提示用户重新认证；如果验证通过，则建立会话，进入系统，流程结束。

根据本申请的另一个方面，还提供了一种多因子身份认证的单点登录系统，使用上述任意一项所述的多因子身份认证的单点登录方法。

根据本申请的另一个方面，还提供了一种计算机设备，包括存储器、处理器和存储在所述存储器内并能由所述处理器运行的计算机程序，其中，所述处理器执行所述计算机程序时实现上述任一项所述的方法。

根据本申请的另一个方面，还提供了一种计算机可读存储介质，优选为非易失性可读存储介质，其内存储有计算机程序，所述计算机程序在由处理器执行时实现上述任一项所述的方法。

根据本申请的另一个方面，还提供了一种计算机程序产品，包括计算机可读代码，当所述计算机可读代码由计算机设备执行时，导致所述计算机设备执行上述任一项所述的方法。

与现有技术相比，本申请所提供的多因子身份认证的单点登录方法及登录系统能够针对不同应用系统，不同的用户，设置不同的认证因子组合策略。例如，对于普通安全级别的系统，可以只用口令认证，可以保持单点会话，无需多次登录。而访问高级别要求的系统时，则提示补充更多的认证因子。这样，既保持了单点登录的优点，又保证了系统的安全性。

根据下文结合附图对本申请的具体实施例的详细描述，本领域技术人员将会更加明了本申请的上述以及其他目的、优点和特征。

附图说明

后文将参照附图以示例性而非限制性的方式详细描述本申请的一些具体实施例。附图中相同的附图标记标示了相同或类似的部件或部分。本领域技术人员应该理解，这些附图未必是按比例绘制的。附图中：

图1是本申请一实施例中多因子身份认证的单点登录方法的体流程图；

图2是本申请一实施例中认证凭证验证过程流程图；

图3是本申请一实施例中多因子认证验证过程流程图；

图4是本申请一实施例中单点登录流程流程图；

图5本申请一实施例中计算机设备的示意图；

图6本申请一实施例中计算机可读存储介质的示意图。

具体实施方式

请参照图1，本申请一实施例中，多因子身份认证的单点登录方法，包括：S2：建立统一认证系统；S4：接入应用，并且确认认证因子；S6：获取身份凭证和设备。

在本申请一实施例中，多因子身份认证的单点登录方法还包括：S8：用户增强认证因子；S10：用户认证并登录。

在本申请一实施例中，所述认证因子为身份标识、内部特征、有效期或验证算法的至少其中之一。

请参照图2，在本申请一实施例中，所述用户认证包括：S101：认证服务器发送挑战数；S102：客户端使用所述认证凭证的内部特征的内部特征对所述挑战数进行运算处理；S103：生成应答数；S104：所述认证服务器收到所述应答数后金鱼所述验证算法进行验证，对所述用户身份确认。

请参照图3，在本申请一实施例中，所述用户认证包括：S101：认证服务器发送挑战数；S102：认证客户端根据所述认证因子的内部特征对所述挑战数进行运算处理，并生成应答数；S103：所述应答数作为下一个认证因子的挑战数生成新的应答数，并形成认证链；S104：根据所述认证链依次进行运行运算，并生成最终应答数；S105：所述认证服务器接受所述最终应答数，使用注册的验证算法依次进行验证，并确认用户身份。

统一认证和单点登录系统。

认证系统，对各个信息应用系统提供统一认证服务，支持多因子身份认证。单点登录的流程严格遵守单点登录协议，同时对信息应用系统提供开放能力。认证统一用户信息，以用户ID作为唯一标识，所有认证因子的认证凭证都要与用户ID进行绑定关联，每次进行统一认证登录时，都要验证所需因子的身份凭证，验证通过后才能进入正常的业务流程。

统一认证和单点登录系统主要通过以下方式实现：

1)认证因子和认证凭证。

认证因子的凭证包括：身份标识、内部特征、有效期和验证算法。基于身份标识可以验证内部特征。

2)统一认证服务。

统一认证平台为所有接入到统一认证平台的信息应用系统提供统一认证服务，认证通过后才能进入正常的业务流程。

认证过程如图2所示，认证服务发送挑战数，客户端使用认证凭证的内部特征，对挑战数进行运算处理，生成应答数。认证服务收到应答后，基于验证算法进行验证，进行用户身份确认。

验证算法也可以是外部的认证服务，由第三方的权威验证机构提供。

多因子的认证过程如3所示，认证客户端根据认证因子内部特征，对挑战数进行运算处理，生成应答数，此应答数作为下一个认证因子的挑战数，生成新的应答数，根据认证链，依次进行运行运算，生成最终的应答数。认证服务器收到应答后，使用注册的验证算法，依次进行验证，确认用户身份。

统一认证平台为所有接入到统一认证平台的信息应用系统提供单点登录功能服务。只要登录统一认证平台成功后，就可以在已经接入的信息应用系统中切换，不需要多次重复认证登录。对于一个确定的登录场景，认证因子的组合是确定的，如果已经全部认证过，则直接进入业务流程，实现单点登录，如果还有部分认证因子未通过，则提示用户进行认证。认证成功后，跳转回信息应用系统。

请参照图4，在本申请一实施例中，所述用户认证包括：S101：用户访问应用系统，应用系统判断是否已经建立会话，如果已经建立会话，直接进入应用系统，流程结束；如果没有建立会话，则跳转到认证系统，请求登录认证；S102：登录认证系统接收到请求后，检查是否在其它应用系统登录过，如果没有登录过，跳转到登录界面，提示用户登录认证；如果存在全局会话，说明已经在其它系统登录，检查是否当前应用的多因子认证需求，如果不满足，返回登录页面，提示用户使用合适的认证凭证登录；如果所有认证需求都满足，则可以直接单点登录，进入下一步骤；S103：登录系统产生临时登录凭证，并重定向到应用系统，登录凭以证链接参数形式告知业务系统。临时登录凭证具有时效性，认证完成后立即失效；S104：业务系统受到请求后，从后台发起请求，验证登录凭证的合法性，如果验证未通过，说明是恶意攻击或已经凭证已经过期，提示用户重新认证；如果验证通过，则建立会话，进入系统，流程结束。

认证提供预置的认证因子类型，包括但不限于口令认证、数字证书认证、生物特征认证以及设备序列号认证。应用系统接入时，可以选择所需要的认证因子类型。作为开放平台，支持认证因子的扩展，允许应用系统增加自己的认证因子类型。

用户取得身份凭证&设备。

认证凭证可以由用户向统一认证平台申请，也可以由企业统一分发给用户。应用系统自定义的认证因子，由应用系统负责发放给用户。

用户增强认证因子。

每个用户访问应用时，默认按照各个应用预置的认证因子，进一步地，用户可以通过自助设置认证因子，来增强某些应用访问的安全性。通过安全中心，用户可以对自己账号的认证因子进行调整。指定某个应用进行调整时，不得少于应用本身设置的因子组合，既用户级的设置，只能增强，不能减弱。一般来说，如果用户自身需要对某些应用系统登录过程加强身份认证，而非应用系统的默认，则采用此方式，在此之前，需要提前申请相关的认证凭证或设备。

本申请还提供了一种多因子身份认证的单点登录系统，使用上述任意一项所述的多因子身份认证的单点登录方法。

本申请还提供了一种计算机设备(请参照图5，包括存储器、处理器和存储在所述存储器内并能由所述处理器运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现上述任一项所述的方法。

本申请还提供了一种计算机可读存储介质(请参照图6，优选为非易失性可读存储介质，其内存储有计算机程序，其特征在于，所述计算机程序在由处理器执行时实现上述任意一项所述的方法。

本申请还提供了一种计算机程序产品，包括计算机可读代码，其特征在于，当所述计算机可读代码由计算机设备执行时，导致所述计算机设备执行上述任一项所述的方法。

在本申请一实施例中，多因子身份认证单点登录系统和方法，方法至少包括：

1.使用多因子认证方式进行身份认证。每个因子都是一种独立的身份认证方式，每个认证因子都可以作为其它认证因子的补充和增强。认证因子先绑定后使用，绑定用户后，服务器注册用户对应该认证因子的标识，使用时，服务器先向客户端发送一个挑战数，认证因子对挑战数进行应答，服务器根据应答完成身份认证。多因子的组合，形成一个认证链，按照链条逐个进行认证，直到全部认证完成。

2.统一认证和单点登录。各个应用系统基于统一的认证平台进行认证，认证通过后才能进入正常的业务流程。对于一个确定的登录场景，认证因子的组合是确定的，如果已经全部认证过，则直接进入业务流程，实现单点登录，如果还有部分认证因子未通过，则提示用户进行认证。

3.信息应用系统接入。各信息应用系统接入认证系统时，确定登录所必需认证因子，由统一认证系统进行注册和设置。然后修改应用系统登录模块，按照单点登录协议进行对接。用户在访问各信息应用系统，页面将跳转至统一认证平台的登录页面，用户使用所需的认证因子，完成统一认证登录。

4.用户设置认证因子。每个用户访问应用时，默认按照各个应用预置的认证因子，进一步地，用户可以通过自助设置认证因子，来增强某些应用访问的安全性。通过安全中心，用户可以对自己账号的认证因子进行调整。指定某个应用进行调整时，不得少于应用本身设置的因子组合，既用户级的设置，只能增强，不能减弱。一般来说，如果用户自身需要对某些应用系统登录过程加强身份认证，而非应用系统的默认，则采用此方式，在此之前，需要提前申请相关的认证凭证或设备。

基于本方案，既实现了统一认证单点登录，又可以根据各个应用系统的具体需求，灵活使用不同的身份认证方式及其组合。既统一了账号信息，避免用户记忆多套口令，多次登录，又可以融合新型的身份认证技术，提高了信息应用系统的安全性。

与现有技术相比，本申请所提供的多因子身份认证的单点登录方法及系统具有如下优点：

1.统一账户体系，一个账号访问所有的应用系统，用户信息资源集中共享，便于管理和维护。

2.单点登录，避免多次登录，提高工作效率。

3.多因子身份认证，降低了身份被伪装或泄露的概率。

4.目前的认证因子已经有很多种，包括但不限于口令认证、数字证书认证、生物特征认证、服务器主机特征认证。因此，可以更方便的融合新型的身份认证技术。

5.支持用户自助设置认证因子，支持方式更灵活。

本申请中的方法的步骤虽然是按照数字顺序编号，但并不意味着各个步骤的执行顺序一定要按照数字的顺序进行。有些步骤之间可以是并列执行的关系，甚至可以颠倒顺序执行，都属于本申请所要求的保护的范围内。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机加载和执行所述计算机程序指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、获取其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘Solid State Disk(SSD))等。

专业人员应该还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令处理器完成，所述的程序可以存储于计算机可读存储介质中，所述存储介质是非短暂性(英文：non-transitory)介质，例如随机存取存储器，只读存储器，快闪存储器，硬盘，固态硬盘，磁带(英文：magnetic tape)，软盘(英文：floppy disk)，光盘(英文：optical disc)及其任意组合。

以上所述，仅为本申请较佳的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应该以权利要求的保护范围为准。

Claims (10)

1.一种多因子身份认证的单点登录方法，其特征在于，包括如下步骤：

S2：建立统一认证系统；

S4：接入应用，并且确认认证因子；

S6：获取身份凭证和设备。

2.根据权利要求1所述的多因子身份认证的单点登录方法，其特征在于，多因子身份认证的单点登录方法还包括：

S8：用户增强认证因子；

S10：用户认证并登录。

3.根据权利要求1所述的多因子身份认证的单点登录方法，其特征在于，所述认证因子为身份标识、内部特征、有效期或验证算法的至少其中之一。

4.根据权利要求3所述的多因子身份认证的单点登录方法，其特征在于，所述用户认证包括：

S101：认证服务器发送挑战数；

S102：客户端使用所述认证凭证的内部特征的内部特征对所述挑战数进行运算处理；

S103：生成应答数；

S104：所述认证服务器收到所述应答数后金鱼所述验证算法进行验证，对所述用户身份确认。

5.根据权利要求3所述的多因子身份认证的单点登录方法，其特征在于，所述用户认证包括：

S101：认证服务器发送挑战数；

S102：认证客户端根据所述认证因子的内部特征对所述挑战数进行运算处理，并生成应答数；

S103：所述应答数作为下一个认证因子的挑战数生成新的应答数，并形成认证链；

S104：根据所述认证链依次进行运行运算，并生成最终应答数；

S105：所述认证服务器接受所述最终应答数，使用注册的验证算法依次进行验证，并确认用户身份。

6.根据权利要求3所述的多因子身份认证的单点登录方法，其特征在于，所述用户认证包括：

S101：用户访问应用系统，应用系统判断是否已经建立会话，如果已经建立会话，直接进入应用系统，流程结束；如果没有建立会话，则跳转到认证系统，请求登录认证；

S102：登录认证系统接收到请求后，检查是否在其它应用系统登录过，如果没有登录过，跳转到登录界面，提示用户登录认证；如果存在全局会话，说明已经在其它系统登录，检查是否当前应用的多因子认证需求，如果不满足，返回登录页面，提示用户使用合适的认证凭证登录；如果所有认证需求都满足，则可以直接单点登录，进入下一步骤；

S103：登录系统产生临时登录凭证，并重定向到应用系统，登录凭以证链接参数形式告知业务系统。临时登录凭证具有时效性，认证完成后立即失效；

S104：业务系统受到请求后，从后台发起请求，验证登录凭证的合法性，如果验证未通过，说明是恶意攻击或已经凭证已经过期，提示用户重新认证；如果验证通过，则建立会话，进入系统，流程结束。

7.一种多因子身份认证的单点登录系统，其特征在于，使用如权利要求1-6任意一项所述的多因子身份认证的单点登录方法。

8.一种计算机设备，包括存储器、处理器和存储在所述存储器内并能由所述处理器运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1-6中任一项所述的方法。

9.一种计算机可读存储介质，优选为非易失性可读存储介质，其内存储有计算机程序，其特征在于，所述计算机程序在由处理器执行时实现如权利要求1-6中任一项所述的方法。

10.一种计算机程序产品，包括计算机可读代码，其特征在于，当所述计算机可读代码由计算机设备执行时，导致所述计算机设备执行权利要求1-6中任一项所述的方法。