CN109522689B - 移动办公环境下的多因子强身份认证方法 - Google Patents

移动办公环境下的多因子强身份认证方法 Download PDF

Info

Publication number
CN109522689B
CN109522689B CN201811270436.7A CN201811270436A CN109522689B CN 109522689 B CN109522689 B CN 109522689B CN 201811270436 A CN201811270436 A CN 201811270436A CN 109522689 B CN109522689 B CN 109522689B
Authority
CN
China
Prior art keywords
smart card
tsp
authentication
enterprise
terminal equipment
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201811270436.7A
Other languages
English (en)
Other versions
CN109522689A (zh
Inventor
曾剑隽
杜少飞
南建坤
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Jiuzhou Yunteng Technology Co ltd
Original Assignee
Beijing Jiuzhou Yunteng Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Jiuzhou Yunteng Technology Co ltd filed Critical Beijing Jiuzhou Yunteng Technology Co ltd
Priority to CN201811270436.7A priority Critical patent/CN109522689B/zh
Publication of CN109522689A publication Critical patent/CN109522689A/zh
Application granted granted Critical
Publication of CN109522689B publication Critical patent/CN109522689B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y04S40/20—Information technology specific aspects, e.g. CAD, simulation, modelling, system security

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本发明提供了一种移动办公环境下的多因子强身份认证方法。该方法包括：企业员工的终端设备TE向ES发送携带企业员工的身份标识的注册请求，ES利用所述身份标识和系统参数给所述企业员工生成智能卡；将智能卡插入TE，TE向ES发送所述企业员工的登录请求消息，ES和智能卡进行双向认证，在认证成功后，生成共享的秘密会话密钥；ES和TE、智能卡之间进行双向的通信，并且通信的内容通过所述秘密会话密钥进行加密处理。本发明的方法可以实现在员工和企业之间安全高效的双向认证；可以实现前向安全性、用户匿名性、不可追踪性以及会话密钥的安全性。在确保访问企业信息的用户身份真实性的同时，保护用户的隐私信息。

Description

移动办公环境下的多因子强身份认证方法
技术领域
本发明涉及移动办公安全技术领域，尤其涉及一种移动办公环境下的多因子强身份认证方法。
背景技术
移动办公是信息通信技术发展的必然结果。随着社会信息化的发展，出现了大量多元化的移动终端，改变了人们生活与工作的传统模式，打破了时间、地域的限制，给予人们更多的获取信息的手段。伴随着宽带和无线通信技术的发展，人们已不满足于固定地点与固定方式的连接，希望随时随地获取和处理重要信息，手机智能化，平板电脑的出现，以及社交网络的延伸，实现了人们自由办公的愿望，使人们的沟通无所不在，工作和生活的界限变得日益模糊，加速了移动办公新模式的出现——自带设备办公(BYOD)。
移动办公是一种潮流，对于传统的工作模式带来了新的变革，也带来了很多新的挑战。对于员工而言，能够随时随地使用个人设备访问公司内部的数据或者就直接使用个人设备进行办公，这无疑是一件非常人性化的事情；而对公司而言，不再需要为员工购置移动设备，同时也可以大幅降低设备的维护费(可能需要提供技术支持)，可以节省相当一部分硬件的采购开支。但是与传统桌面计算机相比，移动设备具有不受时间、地点和网络限制的特点，然而移动设备因其便携性会更容易丢失或被他人冒用。
信息安全是企业实施移动办公的一个关键障碍。为了有效地实施移动办公，必须通过限制对敏感数据的未经授权访问来保护企业信息。存储在企业远程服务器上的信息必须通过安全的用户认证，来保证信息的完整性和机密性。
目前，现有技术中还没有一种有效的移动办公环境下的用户身份认证方法。
发明内容
本发明的实施例提供了一种移动办公环境下的多因子强身份认证方法，以实现对用户的身份进行有效的验证。
为了实现上述目的，本发明采取了如下技术方案。
一种移动办公环境下的多因子强身份认证方法，在初始化阶段，企业服务器ES初始化系统参数，公布系统参数，所述方法包括：
企业员工的终端设备TE向所述ES发送携带企业员工的身份标识的注册请求，所述ES利用所述身份标识和系统参数给所述企业员工生成智能卡；
将所述智能卡插入所述TE，所述TE向所述ES发送所述企业员工的登录请求消息，所述ES和所述智能卡进行双向认证，在认证成功后，生成共享的秘密会话密钥；
所述ES和所述TE、智能卡之间进行双向的通信，并且通信的内容通过所述秘密会话密钥进行加密处理。
进一步地，所述的在初始化阶段，企业服务器ES初始化系统参数，公布系统参数，包括：
在初始化阶段，ES初始化系统参数，ES执行下列操作：
选择两个素数p1和p2，计算n＝p1×p2；
选择一个素数q和一个整数t，满足q×t≡1(mod(p1-1)(p2-1))，
t≡q-1(mod(p1-1)(p2-1))；
将t作为私钥，q为公钥；
选择一个单向散列函数h，并且公布系统参数(q,h)。
进一步地，所述的企业员工的终端设备TE向所述ES发送携带企业员工的身份标识的注册请求，所述ES利用所述身份标识和系统参数给所述企业员工生成智能卡，包括：
设企业员工Pi唯一的身份标识为
Figure GDA0001961537740000031
企业员工Pi的终端设备TEi设置口令
Figure GDA0001961537740000032
TEi选择一个随机数r1，计算Pi的假名/>
Figure GDA0001961537740000033
TEi通过安全信道将Pi的注册请求/>
Figure GDA0001961537740000034
提交给ES；
ES收到Pi的注册请求后，计算
Figure GDA0001961537740000035
并为员工Pi生成一个智能卡
Figure GDA0001961537740000036
之后，ES通过安全通道将智能卡/>
Figure GDA0001961537740000037
发送给员工Pi；
计算隐口令
Figure GDA0001961537740000038
和参数/>
Figure GDA0001961537740000039
Figure GDA00019615377400000310
将参数/>
Figure GDA00019615377400000311
存入智能卡
Figure GDA00019615377400000312
将/>
Figure GDA00019615377400000313
从智能卡中删除，此时智能卡/>
Figure GDA00019615377400000314
中包含的参数是/>
Figure GDA00019615377400000315
进一步地，所述的将所述智能卡插入所述TE，所述TE向所述ES发送所述企业员工的登录请求消息，包括：
将智能卡
Figure GDA00019615377400000316
插入终端设备TEi，TEi通过读卡器识别智能卡/>
Figure GDA00019615377400000317
向智能卡/>
Figure GDA00019615377400000318
提交Pi的身份标识/>
Figure GDA00019615377400000319
和口令/>
Figure GDA00019615377400000320
智能卡
Figure GDA00019615377400000321
计算/>
Figure GDA00019615377400000322
Figure GDA00019615377400000323
Figure GDA00019615377400000324
验证/>
Figure GDA00019615377400000325
与/>
Figure GDA00019615377400000326
是否相等，如果验证不相等，则/>
Figure GDA00019615377400000327
拒绝Pi的登录请求并终止登录过程，如果验证相等，则执行下一步；
智能卡
Figure GDA00019615377400000328
产生一个随机数r2和当前的时间戳tsp1，并计算
Figure GDA00019615377400000329
Figure GDA0001961537740000041
终端设备TEi通过安全信道发送Pi的登录请求消息/>
Figure GDA0001961537740000042
给ES。
进一步地，所述ES和所述智能卡进行双向认证，在认证成功后，生成共享的秘密会话密钥，包括：
ES在收到终端设备TEi发送的员工Pi的登录请求消息
Figure GDA0001961537740000043
后，ES使用它的私钥t计算/>
Figure GDA0001961537740000044
由于qt＝1(modn)，使用/>
Figure GDA0001961537740000045
解密/>
Figure GDA0001961537740000046
恢复出信息/>
Figure GDA0001961537740000047
比较时间戳tsp1与当前时间戳tsp是否满足|tsp-tsp1|≤Δtime，Δtime为一个预先设定的时间阈值，如果条件不满足，则终止认证阶段，如果满足，执行下一步；
ES计算
Figure GDA0001961537740000048
比较/>
Figure GDA0001961537740000049
与所述恢复信息中的/>
Figure GDA00019615377400000410
是否相等，如果不相等，则终止Pi的登录请求，如果相等，则计算/>
Figure GDA00019615377400000411
如果r2'≠r2，终止Pi的登录请求，如果相等，则执行下一步；
ES计算
Figure GDA00019615377400000412
验证/>
Figure GDA00019615377400000413
与/>
Figure GDA00019615377400000414
是否相等，如果相等，执行下一步，否则终止认证过程；
ES产生一个随机数r3和当前的时间戳tsp2，计算一个秘密会话密钥
Figure GDA00019615377400000415
和参数/>
Figure GDA00019615377400000416
Figure GDA00019615377400000417
ES通过安全信道发送认证请求消息
Figure GDA00019615377400000418
给终端设备TEi，终端设备TEi再将认证请求消息/>
Figure GDA00019615377400000419
转发给智能卡/>
Figure GDA00019615377400000420
智能卡
Figure GDA00019615377400000421
收到上述认证请求消息/>
Figure GDA00019615377400000422
后，验证时间戳tsp2与当前时间戳tsp是否满足|tsp-tsp2|≤Δtime，如果不满足，终止认证过程，如果满足，计算
Figure GDA0001961537740000051
和
Figure GDA0001961537740000052
然后验证/>
Figure GDA0001961537740000053
是否满足，如果满足，执行下一步，否则终止；
智能卡
Figure GDA0001961537740000054
产生一个当前的时间戳tsp3，并计算
Figure GDA0001961537740000055
智能卡/>
Figure GDA0001961537740000056
发送消息＜sk',tsp3＞给终端设备TEi，终端设备TEi再通过安全信道发送消息＜sk',tsp3＞给ES；
ES收到消息＜sk',tsp3＞后，验证时间戳tsp3与当前时间戳tsp是否满足|tsp-tsp3|≤Δtime，如果不满足，则认证失败，否则，计算
Figure GDA0001961537740000057
并验证sk”＝sk'是否满足，如果满足，则认证成功，将所述sk作为ES、TEi和/>
Figure GDA0001961537740000058
共享的秘密会话密钥。
进一步地，所述方法还包括：
将智能卡
Figure GDA0001961537740000059
插入终端设备TEi，TEi通过读卡器识别智能卡/>
Figure GDA00019615377400000510
向智能卡/>
Figure GDA00019615377400000511
输入Pi的身份标识/>
Figure GDA00019615377400000512
和口令/>
Figure GDA00019615377400000513
/>
智能卡
Figure GDA00019615377400000514
计算/>
Figure GDA00019615377400000515
Figure GDA00019615377400000516
Figure GDA00019615377400000517
然后验证/>
Figure GDA00019615377400000518
与/>
Figure GDA00019615377400000519
是否相等，如果验证不相等，则终止，否则/>
Figure GDA00019615377400000520
要求输入一个新密码；
输入一个新密码
Figure GDA00019615377400000521
到/>
Figure GDA00019615377400000522
Figure GDA00019615377400000523
计算/>
Figure GDA00019615377400000524
Figure GDA00019615377400000525
和/>
Figure GDA00019615377400000526
将智能卡/>
Figure GDA00019615377400000527
中原来的参数
Figure GDA00019615377400000528
替换为/>
Figure GDA00019615377400000529
进一步地，所述方法还包括：
所述终端设备TEi向企业服务器ES发送智能卡
Figure GDA0001961537740000061
的撤销请求，该撤销请求中携带Pi的唯一身份标识/>
Figure GDA0001961537740000064
所述ES接收到所述撤销请求，验证身份标识
Figure GDA0001961537740000062
正确后，将/>
Figure GDA0001961537740000063
及其相关参数从数据库中删除。
由上述本发明的实施例提供的技术方案可以看出，本发明实施例提供的多因子强身份认证方案可以确保移动办公应用的安全性；可以实现在员工和企业(P2E)之间安全高效的双向认证；可以实现前向安全性、用户匿名性、不可追踪性以及会话密钥的安全性；可以抵御假冒攻击、重放攻击、内部攻击等多种安全性攻击；可以有效减少计算开销，满足轻量级需求。
本发明附加的方面和优点将在下面的描述中部分给出，这些将从下面的描述中变得明显，或通过本发明的实践了解到。
附图说明
为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例提供的一种移动办公环境下的多因子强身份认证方法的实现原理图；
图2为本发明实施例提供的一种移动办公环境下的多因子强身份认证方法的处理流程图。
具体实施方式
下面详细描述本发明的实施方式，所述实施方式的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施方式是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。
本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。应该理解，当我们称元件被“连接”或“耦接”到另一元件时，它可以直接连接或耦接到其他元件，或者也可以存在中间元件。此外，这里使用的“连接”或“耦接”可以包括无线连接或耦接。这里使用的措辞“和/或”包括一个或更多个相关联的列出项的任一单元和全部组合。
本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非像这里一样定义，不会用理想化或过于正式的含义来解释。
为便于对本发明实施例的理解，下面将结合附图以几个具体实施例为例做进一步的解释说明，且各个实施例并不构成对本发明实施例的限定。
本发明实施例所提出的方案是一种基于安全智能卡的电子政务应用的用户认证方案，是为移动办公应用提供一种基于安全智能卡的轻量级多因子用户认证方案，确保只有合法的真实用户能够访问企业信息。
本发明实施例提供的一种移动办公环境下的多因子强身份认证方法的实现原理图如图1所示，包含如下单元：企业员工终端设备TE(Terminal Equipment)和企业服务器ES(Enterprise Server)。
企业员工终端设备TE：移动办公的主体，访问企业数据，实现移动自由办公；
企业服务器ES：包含企业各类敏感和非敏感数据的服务器，为企业员工提供工作数据。
本发明实施例提供的移动办公环境下的多因子强身份认证方法的处理流程如图2所示，包括以下步骤：
步骤S21：在初始化阶段，企业服务器ES初始化系统参数，公布系统参数。
在初始化阶段，ES来初始化系统参数，它主要执行下列操作：
-选择两个大素数p1和p2，计算n＝p1×p2；
-选择一个素数q和一个整数t，满足q×t≡1(mod(p1-1)(p2-1))，t≡q-1(mod(p1-1)(p2-1))；
-将t作为私钥，q为公钥；
-选择一个单向散列函数h，并且公布系统参数(q,h)。
步骤S22：企业员工的终端设备TE向所述ES发送携带企业员工的身份标识的注册请求，所述ES利用所述身份标识和系统参数给所述企业员工生成智能卡。
该步骤主要执行下列操作：
-一个企业员工Pi唯一的身份标识为
Figure GDA0001961537740000081
企业员工Pi的终端设备TEi设置口令为
Figure GDA0001961537740000082
TEi选择一个随机数r1，计算Pi的假名/>
Figure GDA0001961537740000083
TEi通过安全信道将注册请求/>
Figure GDA0001961537740000084
提交给ES；/>
-ES收到Pi的注册请求后，计算
Figure GDA0001961537740000091
并为员工Pi生成一个智能卡
Figure GDA0001961537740000092
之后，ES通过安全通道将智能卡/>
Figure GDA0001961537740000093
发送给员工Pi；
-员工Pi收到智能卡
Figure GDA0001961537740000094
后，计算隐口令/>
Figure GDA0001961537740000095
和参数
Figure GDA0001961537740000096
Figure GDA0001961537740000097
然后将参数/>
Figure GDA0001961537740000098
存入智能卡，将/>
Figure GDA0001961537740000099
从智能卡中删除，此时智能卡/>
Figure GDA00019615377400000910
中包含的参数是
Figure GDA00019615377400000911
步骤S23：将所述智能卡插入所述TE，所述TE向所述ES发送所述企业员工的登录请求消息，所述ES和所述智能卡进行双向认证，在认证成功后，生成共享的秘密会话密钥。
该步骤主要执行下列操作：
-员工Pi将智能卡
Figure GDA00019615377400000912
插入终端设备TEi，TEi通过读卡器识别智能卡/>
Figure GDA00019615377400000913
向智能卡/>
Figure GDA00019615377400000914
提交Pi的身份标识/>
Figure GDA00019615377400000915
和口令/>
Figure GDA00019615377400000916
-智能卡
Figure GDA00019615377400000917
计算/>
Figure GDA00019615377400000918
Figure GDA00019615377400000919
Figure GDA00019615377400000920
然后验证/>
Figure GDA00019615377400000921
与/>
Figure GDA00019615377400000922
是否相等，如果验证不相等，则/>
Figure GDA00019615377400000923
拒绝Pi的登录请求并终止登录过程，如果验证相等，则执行下一步；
-智能卡
Figure GDA00019615377400000924
产生一个随机数r2和当前的时间戳tsp1，并计算
Figure GDA00019615377400000925
Figure GDA00019615377400000926
然后终端设备TEi通过安全信道发送Pi的登录请求消息/>
Figure GDA0001961537740000101
给ES。
ES在收到终端设备TEi发送的员工Pi的登录请求消息
Figure GDA0001961537740000102
后，会执行企业服务器ES和智能卡/>
Figure GDA0001961537740000103
相互验证双向认证的过程，在认证成功后，会生成一个共享的秘密会话密钥，过程如下：
-收到
Figure GDA0001961537740000104
后，企业服务器ES使用它的私钥t计算
Figure GDA0001961537740000105
由于qt＝1(modn)，利用
Figure GDA0001961537740000106
可以解密/>
Figure GDA0001961537740000107
并且由于/>
Figure GDA0001961537740000108
所以可以恢复出信息。然后比较时间戳tsp1与当前时间戳tsp是否满足|tsp-tsp1|≤Δtime，Δtime为一个预先设定的时间阈值，为了防止接收到的信息的时间与当前时间差太多，如果条件不满足，则终止认证阶段，如果满足，执行下一步；
-ES计算
Figure GDA0001961537740000109
比较/>
Figure GDA00019615377400001010
与上一步计算获得的/>
Figure GDA00019615377400001011
是否相等，如果不相等，则终止Pi的登录请求，如果相等，则计算/>
Figure GDA00019615377400001012
如果r2'≠r2，终止Pi的登录请求，如果相等，则执行下一步；
-ES计算
Figure GDA00019615377400001013
并验证/>
Figure GDA00019615377400001014
与/>
Figure GDA00019615377400001015
是否相等，如果相等，执行下一步，否则终止认证过程；
-ES产生一个随机数r3和当前的时间戳tsp2，计算一个秘密会话密钥
Figure GDA00019615377400001016
和参数/>
Figure GDA00019615377400001017
Figure GDA00019615377400001018
ES通过SSL协议等建立安全信道，通过安全通道发送认证请求消息/>
Figure GDA00019615377400001019
给终端设备TEi，终端设备TEi再将认证请求消息
Figure GDA00019615377400001020
转发给智能卡/>
Figure GDA0001961537740000111
(智能卡插在终端设备上)；
-智能卡
Figure GDA0001961537740000112
收到上述认证请求消息/>
Figure GDA0001961537740000113
后，验证时间戳tsp2与当前时间戳tsp是否满足|tsp-tsp2|≤Δtime，如果不满足，终止认证过程，如果满足，计算
Figure GDA0001961537740000114
Figure GDA0001961537740000115
和
Figure GDA0001961537740000116
然后验证/>
Figure GDA0001961537740000117
是否满足，如果满足，执行下一步，否则终止；
-智能卡
Figure GDA0001961537740000118
产生一个当前的时间戳tsp3，并计算
Figure GDA0001961537740000119
智能卡/>
Figure GDA00019615377400001110
发送消息＜sk',tsp3＞给终端设备TEi，终端设备TEi再通过安全信道发送消息＜sk',tsp3＞给ES；
-ES收到消息＜sk',tsp3＞后，验证时间戳tsp3与当前时间戳tsp是否满足|tsp-tsp3|≤Δtime，如果不满足，则认证失败，否则，计算
Figure GDA00019615377400001111
并验证sk”＝sk'是否满足，如果满足，则认证成功，将所述sk作为ES、TEi和/>
Figure GDA00019615377400001112
共享的秘密会话密钥。
步骤S24：之后，ES和所述TE、智能卡之间进行双向的通信，并且通信的内容通过所述秘密会话密钥进行加密处理。
·口令更换
这个阶段是员工更换口令的过程，主要包括以下步骤：
-将智能卡
Figure GDA00019615377400001113
插入终端设备TEi，TEi通过读卡器识别智能卡/>
Figure GDA00019615377400001114
员工Pi向智能卡/>
Figure GDA00019615377400001115
输入自己的身份标识/>
Figure GDA00019615377400001116
和口令/>
Figure GDA00019615377400001117
-智能卡
Figure GDA0001961537740000121
计算/>
Figure GDA0001961537740000122
Figure GDA0001961537740000123
Figure GDA0001961537740000124
然后验证/>
Figure GDA0001961537740000125
与/>
Figure GDA0001961537740000126
是否相等，如果验证不相等，则终止，否则/>
Figure GDA0001961537740000127
要求Pi输入一个新密码；/>
-Pi输入一个新密码
Figure GDA0001961537740000128
到/>
Figure GDA0001961537740000129
-
Figure GDA00019615377400001210
计算/>
Figure GDA00019615377400001211
Figure GDA00019615377400001212
然后将卡中原来的参数
Figure GDA00019615377400001213
替换为/>
Figure GDA00019615377400001214
·智能卡撤销
如果员工Pi不小心将智能卡遗失或者从公司离职，需要撤销智能卡
Figure GDA00019615377400001215
过程如下：
-Pi的终端设备TEi向企业服务器ES发送智能卡
Figure GDA00019615377400001216
的撤销请求，该撤销请求中携带Pi的唯一身份标识/>
Figure GDA00019615377400001217
-ES接收到上述撤销请求，验证身份标识
Figure GDA00019615377400001218
正确后，将/>
Figure GDA00019615377400001219
及其相关参数从数据库中删除。
综上所述，本发明实施例提供的多因子强身份认证方案可以确保移动办公应用的安全性；可以实现在员工和企业(P2E)之间安全高效的双向认证；可以实现前向安全性、用户匿名性、不可追踪性以及会话密钥的安全性；可以抵御假冒攻击、重放攻击、内部攻击等多种安全性攻击；可以有效减少计算开销，满足轻量级需求；在确保访问企业信息的用户身份真实性的同时，保护用户的隐私信息。
本发明实施例提供了一种移动办公环境下的多因子强身份认证方案。该方案在员工和企业之间建立了一种安全高效的双向认证方案，实现前向安全性、用户匿名性、不可追踪性以及会话密钥的安全性，可抵御假冒攻击、重放攻击、内部攻击等多种安全性攻击；计算高效，满足轻量级需求。
本发明的又一目的是，为移动办公应用提供一种多因子强身份认证方案，实现前向安全性、用户匿名性、不可追踪性以及会话密钥的安全性。
本发明的又一目的是，为移动办公应用提供一种多因子强身份认证方案，抵御假冒攻击、重放攻击、内部攻击等多种安全性攻击。
本发明的又一目的是，为移动办公应用提供一种多因子强身份认证方案，实现轻量级认证，有效减少计算开销。
本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。
通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的装置及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。
以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (3)

1.一种移动办公环境下的多因子强身份认证方法，其特征在于，在初始化阶段，企业服务器ES初始化系统参数，公布系统参数，所述方法包括：
企业员工的终端设备TE向所述ES发送携带企业员工的身份标识的注册请求，所述ES利用所述身份标识和系统参数给所述企业员工生成智能卡；
将所述智能卡插入所述TE，所述TE向所述ES发送所述企业员工的登录请求消息，所述ES和所述智能卡进行双向认证，在认证成功后，生成共享的秘密会话密钥；
所述ES和所述TE、智能卡之间进行双向的通信，并且通信的内容通过所述秘密会话密钥进行加密处理；
所述的在初始化阶段，企业服务器ES初始化系统参数，公布系统参数，包括：
在初始化阶段，ES初始化系统参数，ES执行下列操作：
选择两个素数p1和p2，计算n＝p1×p2；
选择一个素数q和一个整数t，满足q×t≡1(mod(p1-1)(p2-1))，
t≡q-1(mod(p1-1)(p2-1))；
将t作为私钥，q为公钥；
选择一个单向散列函数h，并且公布系统参数(q,h)；
所述的企业员工的终端设备TE向所述ES发送携带企业员工的身份标识的注册请求，所述ES利用所述身份标识和系统参数给所述企业员工生成智能卡，包括：
设企业员工Pi唯一的身份标识为
Figure QLYQS_1
企业员工Pi的终端设备TEi设置口令/>
Figure QLYQS_2
TEi选择一个随机数r1，计算Pi的假名/>
Figure QLYQS_3
TEi通过安全信道将Pi的注册请求
Figure QLYQS_4
提交给ES；
ES收到Pi的注册请求后，计算
Figure QLYQS_5
并为员工Pi生成一个智能卡
Figure QLYQS_6
之后，ES通过安全通道将智能卡/>
Figure QLYQS_7
发送给员工Pi；
计算隐口令
Figure QLYQS_9
和参数/>
Figure QLYQS_11
Figure QLYQS_12
将参数/>
Figure QLYQS_10
存入智能卡
Figure QLYQS_13
将/>
Figure QLYQS_14
从智能卡中删除，此时智能卡/>
Figure QLYQS_15
中包含的参数是/>
Figure QLYQS_8
所述的将所述智能卡插入所述TE，所述TE向所述ES发送所述企业员工的登录请求消息，包括：
将智能卡
Figure QLYQS_16
插入终端设备TEi，TEi通过读卡器识别智能卡/>
Figure QLYQS_17
向智能卡/>
Figure QLYQS_18
提交Pi的身份标识/>
Figure QLYQS_19
和口令/>
Figure QLYQS_20
智能卡
Figure QLYQS_21
计算/>
Figure QLYQS_22
Figure QLYQS_23
Figure QLYQS_24
验证/>
Figure QLYQS_25
与/>
Figure QLYQS_26
是否相等，如果验证不相等，则/>
Figure QLYQS_27
拒绝Pi的登录请求并终止登录过程，如果验证相等，则执行下一步；/>
智能卡
Figure QLYQS_28
产生一个随机数r2和当前的时间戳tsp1，并计算
Figure QLYQS_29
Figure QLYQS_30
终端设备TEi通过安全信道发送Pi的登录请求消息/>
Figure QLYQS_31
给ES；
所述ES和所述智能卡进行双向认证，在认证成功后，生成共享的秘密会话密钥，包括：
ES在收到终端设备TEi发送的员工Pi的登录请求消息
Figure QLYQS_32
后，ES使用它的私钥t计算/>
Figure QLYQS_33
由于qt＝1(modn)，使用/>
Figure QLYQS_34
解密/>
Figure QLYQS_35
恢复出信息/>
Figure QLYQS_36
比较时间戳tsp1与当前时间戳tsp是否满足
|tsp-tsp1|≤Δtime，Δtime为一个预先设定的时间阈值，如果条件不满足，则终止认证阶段，如果满足，执行下一步；
ES计算
Figure QLYQS_37
比较/>
Figure QLYQS_38
与恢复信息中的/>
Figure QLYQS_39
是否相等，如果不相等，则终止Pi的登录请求，如果相等，则计算/>
Figure QLYQS_40
如果r2'≠r2，终止Pi的登录请求，如果相等，则执行下一步；
ES计算
Figure QLYQS_41
验证/>
Figure QLYQS_42
与/>
Figure QLYQS_43
是否相等，如果相等，执行下一步，否则终止认证过程；
ES产生一个随机数r3和当前的时间戳tsp2，计算一个秘密会话密钥
Figure QLYQS_44
和参数/>
Figure QLYQS_45
Figure QLYQS_46
ES通过安全信道发送认证请求消息
Figure QLYQS_47
给终端设备TEi，终端设备TEi再将认证请求消息/>
Figure QLYQS_48
转发给智能卡/>
Figure QLYQS_49
智能卡
Figure QLYQS_50
收到上述认证请求消息/>
Figure QLYQS_51
后，验证时间戳tsp2与当前时间戳tsp是否满足|tsp-tsp2|≤Δtime，如果不满足，终止认证过程，如果满足，计算
Figure QLYQS_52
和
Figure QLYQS_53
然后验证/>
Figure QLYQS_54
是否满足，如果满足，执行下一步，否则终止；
智能卡
Figure QLYQS_55
产生一个当前的时间戳tsp3，并计算
Figure QLYQS_56
智能卡/>
Figure QLYQS_57
发送消息＜sk',tsp3＞给终端设备TEi，终端设备TEi再通过安全信道发送消息＜sk',tsp3＞给ES；
ES收到消息＜sk',tsp3＞后，验证时间戳tsp3与当前时间戳tsp是否满足
|tsp-tsp3|≤Δtime，如果不满足，则认证失败，否则，计算
Figure QLYQS_58
并验证sk”＝sk'是否满足，如果满足，则认证成功，将所述sk作为ES、TEi和/>
Figure QLYQS_59
共享的秘密会话密钥。
2.根据权利要求1所述的方法，其特征在于，所述方法还包括：
将智能卡
Figure QLYQS_60
插入终端设备TEi，TEi通过读卡器识别智能卡/>
Figure QLYQS_61
向智能卡/>
Figure QLYQS_62
输入Pi的身份标识/>
Figure QLYQS_63
和口令/>
Figure QLYQS_64
智能卡
Figure QLYQS_65
计算/>
Figure QLYQS_66
Figure QLYQS_67
Figure QLYQS_68
然后验证/>
Figure QLYQS_69
与/>
Figure QLYQS_70
是否相等，如果验证不相等，则终止，否则/>
Figure QLYQS_71
要求输入一个新密码；
输入一个新密码
Figure QLYQS_72
到/>
Figure QLYQS_73
Figure QLYQS_74
计算/>
Figure QLYQS_75
Figure QLYQS_76
和/>
Figure QLYQS_77
将智能卡/>
Figure QLYQS_78
中原来的参数/>
Figure QLYQS_79
替换为/>
Figure QLYQS_80
3.根据权利要求1所述的方法，其特征在于，所述方法还包括：
所述终端设备TEi向企业服务器ES发送智能卡
Figure QLYQS_81
的撤销请求，该撤销请求中携带Pi的唯一身份标识/>
Figure QLYQS_82
所述ES接收到所述撤销请求，验证身份标识
Figure QLYQS_83
正确后，将/>
Figure QLYQS_84
及其相关参数从数据库中删除。/>
CN201811270436.7A 2018-10-29 2018-10-29 移动办公环境下的多因子强身份认证方法 Active CN109522689B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201811270436.7A CN109522689B (zh) 2018-10-29 2018-10-29 移动办公环境下的多因子强身份认证方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201811270436.7A CN109522689B (zh) 2018-10-29 2018-10-29 移动办公环境下的多因子强身份认证方法

Publications (2)

Publication Number Publication Date
CN109522689A CN109522689A (zh) 2019-03-26
CN109522689B true CN109522689B (zh) 2023-05-30

Family

ID=65773613

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201811270436.7A Active CN109522689B (zh) 2018-10-29 2018-10-29 移动办公环境下的多因子强身份认证方法

Country Status (1)

Country Link
CN (1) CN109522689B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112883364A (zh) * 2021-03-10 2021-06-01 上海升途智能系统有限公司 安全载体的管控方法、装置、设备及存储介质
CN116074023A (zh) * 2021-10-29 2023-05-05 华为技术有限公司 一种认证方法和通信装置

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101765100A (zh) * 2009-08-14 2010-06-30 北京握奇数据系统有限公司 一种实现移动办公的方法、系统及装置
CN103338201A (zh) * 2013-07-02 2013-10-02 山东科技大学 一种多服务器环境下注册中心参与的远程身份认证方法
CN103338202A (zh) * 2013-07-02 2013-10-02 山东科技大学 一种基于智能卡的远程用户密码双重验证方法
CN104660605A (zh) * 2015-03-05 2015-05-27 北京安普诺信息技术有限公司 一种多因子身份验证方法及其系统
CN105871553A (zh) * 2016-06-28 2016-08-17 电子科技大学 一种无需用户身份的三因素的远程用户认证方法
WO2018147673A1 (ko) * 2017-02-09 2018-08-16 에스지에이솔루션즈 주식회사 무선 센서 네트워크 환경에서의 익명성을 보장하는 대칭키 기반의 사용자 인증 방법

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101765100A (zh) * 2009-08-14 2010-06-30 北京握奇数据系统有限公司 一种实现移动办公的方法、系统及装置
CN103338201A (zh) * 2013-07-02 2013-10-02 山东科技大学 一种多服务器环境下注册中心参与的远程身份认证方法
CN103338202A (zh) * 2013-07-02 2013-10-02 山东科技大学 一种基于智能卡的远程用户密码双重验证方法
CN104660605A (zh) * 2015-03-05 2015-05-27 北京安普诺信息技术有限公司 一种多因子身份验证方法及其系统
CN105871553A (zh) * 2016-06-28 2016-08-17 电子科技大学 一种无需用户身份的三因素的远程用户认证方法
WO2018147673A1 (ko) * 2017-02-09 2018-08-16 에스지에이솔루션즈 주식회사 무선 센서 네트워크 환경에서의 익명성을 보장하는 대칭키 기반의 사용자 인증 방법

Also Published As

Publication number Publication date
CN109522689A (zh) 2019-03-26

Similar Documents

Publication Publication Date Title
CN108270571B (zh) 基于区块链的物联网身份认证系统及其方法
Zhao et al. A novel mutual authentication scheme for Internet of Things
Chen et al. Security enhancement on an improvement on two remote user authentication schemes using smart cards
US8724819B2 (en) Credential provisioning
CN109687965B (zh) 一种保护网络中用户身份信息的实名认证方法
CN110932870B (zh) 一种量子通信服务站密钥协商系统和方法
CN101212293B (zh) 一种身份认证方法及系统
CN107360571B (zh) 在移动网络中的匿名相互认证和密钥协商协议的方法
US20150350894A1 (en) Method and System for Establishing a Secure Communication Channel
CN104506534A (zh) 安全通信密钥协商交互方案
CA2879910C (en) Terminal identity verification and service authentication method, system and terminal
CN109347626B (zh) 一种具有反跟踪特性的安全身份认证方法
US8397281B2 (en) Service assisted secret provisioning
CN111416715B (zh) 基于秘密共享的量子保密通信身份认证系统及方法
US10091189B2 (en) Secured data channel authentication implying a shared secret
CN111512608A (zh) 基于可信执行环境的认证协议
CN104901935A (zh) 一种基于cpk的双向认证及数据交互安全保护方法
KR20110083886A (ko) 휴대용 단말기에서 다른 휴대용 단말기를 인증하는 장치 및 방법
CN111404664A (zh) 基于秘密共享和多个移动设备的量子保密通信身份认证系统和方法
CN107094156A (zh) 一种基于p2p模式的安全通信方法及系统
CN111416712B (zh) 基于多个移动设备的量子保密通信身份认证系统及方法
CN109522689B (zh) 移动办公环境下的多因子强身份认证方法
CN110572392A (zh) 一种基于Hyperledger网络的身份认证方法
CN110740034A (zh) 基于联盟链的qkd网络认证密钥生成方法及系统
CN115473655A (zh) 接入网络的终端认证方法、装置及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant