CN109617901A - 确定白名单的方法及其装置 - Google Patents

Abstract

本发明提供了一种确定白名单的方法，包括：获取多个用户在第一时间段内登录的所有历史信息，其中，历史信息中包括用户名和登录的设备ID；如果多个用户中的第一用户通过第一登录方式登录成功并且在第一时间段内通过相同的设备ID登录成功的次数超过第一阈值并且相同的设备ID不在设备黑名单中，则将相同的设备ID与第一用户的用户名关联并作为白名单的一部分。通过本发明的确定白名单的方法使得用户可以精确地识别黑客的攻击行为和正常的登录行为，并且使得黑客即使知道用户的正确用户名和密码也不能登录成功。

Description

确定白名单的方法及其装置

技术领域

本发明涉及网络安全，尤其涉及确定白名单的方法及其装置。

背景技术

用户在互联网上的很多重要行为，例如下单、支付、投资、聊天、语音、视频等等，都需要通过登录账号之后才能进行。用户通常通过账号密码、短信验证码、指纹密码、手势密码等方式登录账号。其中，通过账号密码登录是最常用的一种方式，然而也是风险最大最容易被黑客黑产攻击的一种方式。

对于账号密码登录的方式，任何人只要知道了账号密码，就可以随时随地登录该账号，进而就可以进行未授权的操作。黑客黑产破解账号密码的方式有很多种，最常用的是通过直接暴力破解(穷举)的方式。如果黑客知道了用户名以及密码的位数，就可以通过穷举的方式来尝试各种密码。但是这种方式需要大量的计算量，即使是6位的数字密码，也得尝试一百万次，所以这种方式并不适合获取大规模的账号。黑产为了提高成功率，通常会事先获取用户的账号和常用密码，再进行批量尝试。有些互联网平台(如社交网站等)，会在前端展示用户的账号，黑产可以通过爬虫批量获取账号。如果网站没有展示，黑产还可以遍历用户名尝试进行注册：如果系统提示用户已经存在，则表明该用户名是合法用户名，通过这种方式也可以批量获取用户名。而常用密码，则可以搜集网上统计的用户常用的简单密码的列表，如123456等等一般用户会选择的简单方便记忆的密码。另外一种常用的破解方式是撞库。黑客会收集黑市上流传的各类平台之前泄露的用户的账号密码的数据库，也就是社工库，然后利用这些社工库进行撞库攻击。因为很多用户为了方便记忆，会在不同的平台用相同的账号密码。所以如果其中某个平台的账号密码泄露了，那该用户在其他平台上的账号密码也就有风险了。

为了防止暴力破解，账号系统一般会设置这样的安全策略：如果一个账号在预定时间内登录失败次数超过一定阈值，则将账号锁定。但是，这样的策略会影响用户体验，并且如果黑产不断试错用户的账号，就会使得大量用户账号被锁定，导致正常用户无法登陆。而黑产也可以通过固定密码、变化用户名破解，或者使用慢速撞库的方式来绕过这种安全策略。

另一种常用的安全策略是对访问登录接口的IP进行限速(rate limit)，即一定时间内某个IP地址只能访问预定次数，如果超过预定次数就拦截该IP地址的访问请求。但是这样的策略比较容易误伤在某个正常的出口IP地址下的正常用户请求。另外，黑产也会通过IP代理池和慢速撞库的方式来绕过这个策略。

有些安全策略结合了限速和图片验证码的方式，即如果对IP地址的访问超过一定速度，就会弹出一个图片验证码，验证码通过识别之后才能进行登陆。这种方式可以减少误伤，但是黑产仍可以通过IP代理池的方式绕过，而且图片验证码也可以用刷码平台进行对抗。

另外有些安全策略会要求用户每次登陆都做一次人机识别验证，这样就能确保每次登陆请求都是由人而不是由机器触发的。也不再使用传统的图片验证码，而使用更难对抗的新型验证码，如滑动验证、拼图验证等等。这种策略可以很好地防住机器批量撞库和暴力破解密码，但是不能防止人工撞库。另外，每次登陆都需要弹一次验证码，对用户体验也有一定地伤害。

发明内容

针对上述问题，本发明一方面提供了一种确定白名单的方法，包括：获取多个用户在第一时间段内登录的所有历史信息，其中，所述历史信息中包括用户名和登录的设备ID；如果所述多个用户中的第一用户通过第一登录方式登录成功并且在所述第一时间段内通过相同的设备ID登录成功的次数超过第一阈值并且所述相同的设备ID不在设备黑名单中，则将所述相同的设备ID与所述第一用户的用户名关联并作为白名单的一部分。

本发明另一方面还提供了一种使用白名单进行登录验证的方法，包括：接收待验证用户的登录请求；基于上述确定白名单的方法所确定的白名单分别对所述待验证的用户登录的IP地址、登录的设备ID、登录地点和登录行为进行评分，以获得与所述登录的IP地址、所述登录的设备ID、所述登录地点和所述登录行为分别对应的第一分数、第二分数、第三分数和第四分数；如果所述第一分数、所述第二分数、所述第三分数和所述第四分数之和小于分数阈值且接收到的验证码是正确的，则所述登录请求被通过。

本发明另一方面还提供了一种确定白名单的装置，包括：处理器；以及存储器，其用于存储指令，当所述指令被执行时使得所述处理器执行以下操作：获取多个用户在第一时间段内登录的所有历史信息，其中，所述历史信息中包括用户名和登录的设备ID；如果所述多个用户中的第一用户通过第一登录方式登录成功并且在所述第一时间段内通过相同的设备ID登录成功的次数超过第一阈值并且所述相同的设备ID不在设备黑名单中，则将所述相同的设备ID与所述第一用户名关联并作为白名单的一部分。

本发明另一方面还提供了一种使用白名单进行登录验证的装置，包括：处理器；以及存储器，其用于存储指令，所述指令被执行时使得所述处理器执行以下操作：接收待验证用户的登录请求；通过上述确定白名单的方法所确定的白名单分别对所述待验证用户的登录的IP地址、登录的设备ID、登录地点和登录行为进行评分，以获得与所述登录的IP地址、所述登录的设备ID、所述登录地点和所述登录行为分别对应的第一分数、第二分数、第三分数和第四分数；如果所述第一分数、所述第二分数、所述第三分数和所述第四分数之和小于分数阈值且接收到的验证码是正确的，则所述登录请求被通过。

本发明另一方面还提供了一种计算机可读存储介质，所述存储介质包括指令，当所述指令被执行时，所述计算机的处理器执行用于确定白名单的方法和使用白名单进行登录验证的方法。

通过本发明的确定白名单的方法和使用白名单进行登录验证的方法，使得用户可以精确地识别黑客的攻击行为和正常的登录行为，并且使得黑客即使知道用户的正确用户名和密码也不能登录成功，同时对用户的正常登录行为没有过多的干扰。

附图说明

图1是根据本发明的实施例的确定白名单的方法的流程图100；

图2是根据本发明的一个实施例的确定黑名单的方法的流程图200；

图3是根据本发明的一个实施例的确定白名单的方法的流程图300；

图4是根据本发明的一个实施例的使用白名单进行登录验证的方法的流程图400；

图5是根据本发明的另一个实施例的使用白名单进行登录验证的方法的流程图500；

图6是根据本发明的实施例的一种装置600的示意图。

具体实施方式

以下参考附图详细描述本公开的各个示例性实施例。附图中的流程图和框图示出了根据本公开的各种实施例的方法和系统的可能实现的体系架构、功能和操作。应当注意，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，所述模块、程序段、或代码的一部分可以包括一个或多个用于实现各个实施例中所规定的逻辑功能的可执行指令。也应当注意，在有些作为备选的实现中，方框中所标注的功能也可以按照不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，或者它们有时也可以按照相反的顺序执行，这取决于所涉及的功能。同样应当注意的是，流程图和/或框图中的每个方框、以及流程图和/或框图中的方框的组合，可以使用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以使用专用硬件与计算机指令的组合来实现。

本文所使用的术语“包括”、“包含”及类似术语应该被理解为是开放性的术语，即“包括/包含但不限于”，表示还可以包括其他内容。术语“基于”是“至少部分地基于"。术语“一个实施例”表示“至少一个实施例”；术语“另一实施例”表示“至少一个另外的实施例”，等等。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为说明书的一部分。对于附图中的各单元之间的连线，仅仅是为了便于说明，其表示至少连线两端的单元是相互通信的，并非旨在限制未连线的单元之间无法通信。

术语解释：

IP黑名单：由在预定时间段内，请求登录的次数超过预定阈值的IP地址或者请求登录的用户数超过另一预定阈值的IP地址组成的名单。

设备黑名单：由在预定时间段内，请求登录的次数超过预定阈值的设备ID或者请求登录的用户数超过另一预定阈值的设备ID组成的名单。

白名单：由用户登录成功的历史信息中，在预定时间段内符合相应阈值的登录的IP地址、登录的设备ID、登录地点或登录行为与用户名组成的信息列表。

登录行为：用户登录的时间点，登录使用的接口(针对有多个接口的情况)等可以标记用户特征的行为。

IP异常行为：IP过去一定时间内请求登录的次数过高；IP访问的接口数量和顺序不同于正常的业务(例如，比如正常业务模式下，用户是先登录，再浏览，再下单这个顺序，而异常业务是这个IP一直下单并不按前述顺序执行)；IP过去一定时间内关联的用户数量过高；IP过去一定时间内关联的设备数量过高等。应理解的是，黑名单的数据是根据历史数据计算出来的，例如过去30天的数据，而IP异常行为中的数据是实时数据计算的，例如在过去1小时内登录次数过高的IP，我们就会认为这个IP行为异常，但是这个IP可能并没有在历史数据里出现，所以不会在黑名单里。

以下结合附图对本发明进行详细说明。

图1是根据本发明的实施例的确定白名单的方法的流程图100。

步骤S101：获取多个用户在第一时间段内登录的所有历史信息，其中，该历史信息中包括用户名和登录的设备ID。

步骤S102：如果多个用户中的第一用户通过第一登录方式登录成功并且在第一时间段内通过相同的设备ID登录成功的次数超过第一阈值并且该相同的设备ID不在设备黑名单中，则将该相同的设备ID与第一用户的用户名关联并作为白名单的一部分。应理解，这里的第一用户可以是多个用户中的任意一个用户。

通过本发明的确定白名单的方法，使得用户可以精确地识别黑客的攻击行为和正常的登录行为。

图2是根据本发明的一个实施例的确定黑名单的方法的流程图200。

步骤S210：获取多个用户在时间段1(例如，过去30天)内登录的所有历史信息。例如，从记载用户登录信息的服务器中获取过去30天中多个用户登录的所有历史信息。

步骤S211：如果在时间段2(例如，过去30天中的1个小时)内，IP地址被请求登录的次数超过阈值1(例如，过去30天中的每个小时中允许172.45.6.7这个IP地址被请求登录的次数的临界值为10次，即阈值1为10次)或者IP地址被请求登录的用户数超过阈值2(例如，过去30天中的每个小时中允许请求通过172.45.6.7这个IP地址登录的用户数的临界值为15，即阈值2为15)，则执行步骤S212。

步骤S212：将IP地址作为IP黑名单的一部分。

步骤S210之后还包括步骤S221和步骤S222，步骤S221与步骤S211并行执行。

步骤S221：如果在时间段2内，设备ID被请求登录的次数超过阈值3(例如，过去30天中的每个小时中允许abcde这个设备ID被请求登录的次数的临界值为20次，即阈值3为20次)或者设备ID被请求登录的用户数超过阈值4(例如，过去30天中的每个小时中允许abcde这个设备ID被请求登录的用户数的临界值为25，即阈值4为25)，则执行步骤S222。

步骤S222：将设备ID作为设备黑名单的一部分。

应理解的是，时间段2为时间段1内的任意时间段，例如，当时间段1为过去30天时，时间段2可以为过去30天中的1个小时、每2个小时、半天或者几天等等；阈值1、阈值2、阈值3和阈值4可以根据需要进行设定。

图3是根据本发明的一个实施例的确定用户白名单的方法的流程图300。

步骤S310：获取多个用户在时间段1内登录的所有历史信息。例如，从记载用户登录信息的服务器中获取过去30天中用户登录的所有历史信息。应理解，这里的时间段1与图2所表示的流程图中的时间段1是同一个时间段。

步骤S311：如果多个用户中的用户1通过户密码方式或token方式登录成功，则执行步骤S312。

步骤S312：在时间段1内，用户1通过相同的设备ID登录成功的次数超过阈值5(例如，过去30天中允许通过abcd这个设备ID登录成功的次数的临界值为50次，即阈值5为50)，则执行步骤S313。

步骤S313：如果该相同的设备ID不在设备黑名单(应理解，该设备黑名单为根据图2所示的确定黑名单的方法所确定的设备黑名单)中，则执行步骤S314。

步骤S314：将该相同的设备ID与用户1关联并作为白名单的一部分。

在另一个实施例中，步骤S311之后还包括步骤S322至步骤S324。

步骤S322：如果在时间段1内，用户1通过相同的IP地址登录成功的次数超过阈值6(例如，过去30天中允许通过172.45.6.5这个IP地址登录成功的次数的临界值为50次，即阈值5为50次)，则执行步骤S323。

步骤S323：如果该相同的IP地址不在IP黑名单(应理解，该IP黑名单为根据图2所示的确定黑名单的方法所确定的IP黑名单)中，则执行步骤S324。

步骤S324：将该相同的IP地址与用户1关联并作为白名单的一部分。

在另一个实施例中，步骤S311之后还包括步骤S332和步骤S333。

步骤S332：如果在时间段1内，用户1通过相同的登录地点登录成功的次数超过阈值7(例如，过去30天中允许通过上海这个登录地点登录成功的次数的临界值为50次，即阈值7为50次)，则执行步骤S333。

步骤S333：将该相同的登录地点与用户1关联并作为白名单的一部分。

在另一个实施例中，步骤S311之后还包括与步骤S342和步骤S343。

步骤S342：在时间段1内，用户1通过相同的登录行为登录成功的次数超过阈值8(例如，过去30天中允许在8:00-10:00并且通过接口1登录成功的次数的临界值为50次，即阈值8为50次)，则执行步骤S343。

步骤S343：将该相同的登录行为与用户1关联并作为白名单的一部分。

应理解，这里的用户1是指多个用户中的任意一个用户，与用户1关联可以是通过任何合适的数据关联方式使用户1与相应的登录的设备ID、登录的IP地址、登录地点或登录行为绑定，从而当查询到用户1时即可知晓可以使用户1登录成功的登录的设备ID、登录的IP地址、登录地点或登录行为。

还应理解，虽然图3中画出了步骤S311之后有四个分支，步骤S312至步骤S314、步骤S322至步骤S324、步骤S332至步骤S333、以及步骤S342至步骤S343，但并不意味着该四个分支步骤必须同时出现在一个实施例中；本发明中，优先考虑设备ID，其次考虑IP地址，再其次考虑登录地点，最后考虑登录行为来确定白名单，因此，在步骤执行时，先执行步骤S312至步骤S314，然后执行步骤S322至S324，其次执行步骤S332至步骤S333，最后执行步骤S342至步骤S343。

在另一个实施例中，步骤S310之后还包括步骤S351。

步骤S351：如果用户1通过短信验证方式或指纹验证方式登录成功，则执行步骤S352。

步骤S352：将对应的登录地点和对应的登录行为均与用户1关联并作为白名单的一部分。

步骤S351之后还包括与步骤S352并行执行的步骤S362。

步骤S362：如果对应的登录的IP地址不在IP黑名单(应理解，该IP黑名单为根据图2所示的确定黑名单的方法所确定的IP黑名单)中，则执行步骤S363。

步骤S363：将对应的登录的IP地址与用户1关联并作为白名单的一部分。

步骤S351之后还包括与步骤S352并行执行的步骤S372。

步骤S372：如果对应的登录的设备ID不在设备黑名单(应理解，该设备黑名单为根据图2所示的确定黑名单的方法所确定的设备黑名单)中，则执行步骤S373。

步骤373：将对应的登录的设备ID与用户1关联并作为白名单的一部分。

还应理解的是，阈值5、阈值6、阈值7和阈值8可以相同也不可以不同，它们可以根据需要进行设定。

图4是根据本发明的一个实施例的利用白名单进行登录验证的方法的流程图400。

步骤S410：接收待验证用户的登录请求。

步骤S411：通过所确定的白名单(应理解，这里的白名单为通过本发明中的前述方法所确定的白名单)分别对用户登录的IP、登录的设备ID、登录地点和登录行为进行评分，以获得与登录的IP、登录的设备ID、登录地点和登录行为相对应的第一分数、第二分数、第三分数和第四分数。

步骤S422：如果所述第一分数、所述第二分数、所述第三分数和所述第四分数之和小于分数阈值且接收到的验证码是正确的，则所述登录请求被通过。

应理解的是，这里，验证码为新型验证码(例如，滑动验证码或拼图验证码)或短信验证码。

图5是根据本发明的一个实施例的利用白名单进行登录验证的方法的流程图500。

步骤S510：接收待验证用户的登录请求。

步骤S511：通过所确定的白名单(应理解，这里的白名单为通过本发明中的前述方法所确定的白名单)分别对用户登录的IP、登录的设备ID、登录地点和登录行为进行评分，以获得与登录的IP、登录的设备ID、登录地点和登录行为相对应的第一分数、第二分数、第三分数和第四分数。

在一个实施例中，评分标准如下：

IP分为A、B、C、D四段，4段一样：20分，ABC 3段一样：15分，AB 2段一样：2分，其余0分；

地点：一致：10分，城市距离不超过500公里：5分，其余0分；

时间范围：一致：10分，不一致，但在5:00-23:00之间：6分，其余：-5分。

例如，用户A的白名单信息是IP：[172.45.6.7]，设备ID：[abcde]，地点：[上海]，行为:[App1，接口1，接口2，上午8点-10点]。而本次登录用户A账号的登录请求的IP是123.4.5.6，设备ID是abcde，地点是杭州，行为是App1，接口1，下午1点。该IP跟白名单的IP的A段不同，则给最低分0分；ID相同，给最高分10分；地点相差不算太远，给5分；登录的App和接口一致，时间不一致，不过也在合理范围内，给6分。总分是21分。

步骤S512：如果第一分数、第二分数、第三分数和第四分数之和小于分数阈值(应理解，该分数阈值根据需要进行设定)，则执行步骤S513，否则执行步骤S514。

步骤S513：如果接收到的证码码正确，则执行步骤S516。

步骤S514：如果登录的IP地址在IP黑名单中或登录的设备ID在设备黑名单中或登录IP地址在当日出现过IP异常行为，则执行步骤S515，否则执行步骤S516。

步骤S515：接收到的验证码是正确的，则执行步骤S516。

步骤S516：登录请求被通过。

应理解的是，这里，验证码为新型验证码(例如，滑动验证码或拼图验证码)或短信验证码。

通过以上验证方法，黑客即时知道用户的正确用户名和密码也不能登录成功，同时对用户的正常登录行为没有过多的干扰。

图6示出了根据本发明的实施例的装置的示意图。装置600可以包括：存储器601和耦合到存储器601的处理器602。存储器601用于存储指令。

在一种实施方式中，装置600可以作为确定白名单的装置，处理器602被配置为当存储器601中的指令被执行时执行以下操作：获取多个用户在第一时间段内登录的所有历史信息，其中，所述历史信息中包括用户名和登录的设备ID；如果所述多个用户中的第一用户通过第一登录方式登录成功并且在所述第一时间段内通过相同的设备ID登录成功的次数超过第一阈值并且所述相同的设备ID不在设备黑名单中，则将所述相同的设备ID与所述第一用户的用户名关联并作为白名单的一部分。在一种实施方式中，所述历史信息还包括登录的IP地址，当所述指令被执行时使得所述处理器还执行以下操作：如果所述第一用户通过第一登录方式登录成功并且在所述第一时间段内通过相同的IP地址登录成功的次数超过第二阈值并且所述相同的IP地址不在IP黑名单中，则将所述相同的IP地址与所述第一用户的用户名关联并作为所述白名单的一部分。在一种实施方式中，所述历史信息还包括登录地点，当所述指令被执行时使得所述处理器还执行以下操作：如果所述第一用户通过所述第一登录方式登录成功并且在所述第一时间段内通过相同的登录地点登录成功的次数超过第三阈值，则将所述相同的登录地点与所述第一用户的用户名关联并作为所述白名单的一部分。在一种实施方式中，所述历史信息还包括登录行为，当所述指令被执行时使得所述处理器还执行以下操作：如果所述第一用户通过所述第一登录方式登录成功并且在所述第一时间段内通过相同的登录行为登录成功的次数超过第四阈值，则将所述相同的登录行为与所述第一用户的用户名关联并作为所述白名单的一部分。在一种实施方式中，所述第一登录方式为用户密码登录方式或token登录方式。在一种实施方式中，所述设备黑名单由第二时间段内被请求登录的次数超过第五阈值的设备ID或被请求登录的用户数超过第六阈值的设备ID组成，其中，所述第二时间段为所述第一时间段内的时间段。在一种实施方式中，所述IP黑名单由第二时间段内被请求登录的次数超过第七阈值的IP地址或被请求登录的用户数超过第八阈值的IP地址组成，其中，所述第二时间段为所述第一时间段内的时间段。在一种实施方式中，当所述指令被执行时使得所述处理器还执行以下操作：如果所述第一用户通过第二登录方式登录成功，则将对应的登录地点和对应的登录行为均与所述第一用户的用户名关联并作为所述白名单的一部分；如果对应的登录的设备ID不在所述设备黑名单中，则将所述对应的登录的设备ID与所述第一用户的用户名关联并作为所述白名单的一部分；如果对应的登录的IP地址不在所述IP黑名单中，则将所述对应的登录的IP地址与所述第一用户的用户名关联并作为所述白名单的一部分。在一种实施方式中，所述第二登录方式为短信验证方式或指纹验证方式。

在另一种实施方式中，装置600可以作为利用确定的白名单进行登录验证的装置，处理器602被配置为当存储器601中的指令被执行时执行以下操作：接收待验证用户的登录请求；通过权利要求1-9中任一项所确定的白名单分别对所述待验证用户的登录的IP地址、登录的设备ID、登录地点和登录行为进行评分，以获得与所述登录的IP地址、所述登录的设备ID、所述登录地点和所述登录行为分别对应的第一分数、第二分数、第三分数和第四分数；如果所述第一分数、所述第二分数、所述第三分数和所述第四分数之和小于分数阈值且接收到的验证码是正确的，则所述登录请求被通过。在另一种实施方式中，当所述指令被执行时使得所述处理器还执行以下操作：如果所述登录的IP地址在IP黑名单中或所述登录的设备ID在设备黑名单中或登录IP地址在当日出现过IP异常行为中的任意一个条件满足、接收到的验证码是正确的并且所述第一分数、所述第二分数、所述第三分数和所述第四分数之和大于等于分数阈值，则所述登录请求被通过。在另一种实施方式中，当所述指令被执行时使得所述处理器还执行以下操作：如果所述登录的IP地址在IP黑名单中或所述登录的设备ID在设备黑名单中或登录IP地址在当日出现过IP异常行为中没有一个条件满足并且所述第一分数、所述第二分数、所述第三分数和所述第四分数之和大于等于分数阈值，则所述登录请求被通过。在另一种实施方式中，所述验证码为短信验证码或新型验证码。

如图6所示，装置600还可以包括通信接口603，用于与其它设备进行信息交互。此外，装置600还可以包括总线604，存储器601、处理器602和通信接口603通过总线604来彼此进行通信。

存储器601可以包括易失性存储器，也可以包括非易失性存储器。处理器602可以是中央处理器(CPU)、微控制器、专用集成电路(ASIC)、数字信号处理器(DSP)、现场可编程门阵列(FPGA)或其它可编程逻辑器件、或是被配置为实现本发明的实施例的一个或多个集成电路。

替代地，上述的方法能够通过计算机程序产品，即有形的计算机可读存储介质来体现。计算机程序产品可以包括计算机可读存储介质，其上载有用于执行本公开的各个方面的计算机可读程序指令。计算机可读存储介质可以是可以保持和存储由指令执行设备使用的指令的有形设备。计算机可读存储介质例如可以是但不限于电存储设备、磁存储设备、光存储设备、电磁存储设备、半导体存储设备或者上述的任意合适的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、静态随机存取存储器(SRAM)、便携式压缩盘只读存储器(CD-ROM)、数字多功能盘(DVD)、记忆棒、软盘、机械编码设备、例如其上存储有指令的打孔卡或凹槽内凸起结构、以及上述的任意合适的组合。这里所使用的计算机可读存储介质不被解释为瞬时信号本身，诸如无线电波或者其它自由传播的电磁波、通过波导或其它传输媒介传播的电磁波(例如，通过光纤电缆的光脉冲)、或者通过电线传输的电信号。

需要注意的是，以上列举的仅为本发明的具体实施例，显然本发明不限于以上实施例，随之有着许多的类似变化。本领域的技术人员如果从本发明公开的内容直接导出或联想到的所有变形，均应属于本发明的保护范围。

Claims (27)

1.一种确定白名单的方法，包括：

获取多个用户在第一时间段内登录的所有历史信息，其中，所述历史信息中包括用户名和登录的设备ID；

如果所述多个用户中的第一用户通过第一登录方式登录成功并且在所述第一时间段内通过相同的设备ID登录成功的次数超过第一阈值并且所述相同的设备ID不在设备黑名单中，则将所述相同的设备ID与所述第一用户的用户名关联并作为白名单的一部分。

2.根据权利要求1所述的方法，其中，所述历史信息还包括登录的IP地址，所述方法还包括：如果所述第一用户通过第一登录方式登录成功并且在所述第一时间段内通过相同的IP地址登录成功的次数超过第二阈值并且所述相同的IP地址不在IP黑名单中，则将所述相同的IP地址与所述第一用户的用户名关联并作为所述白名单的一部分。

3.根据权利要求2所述的方法，其中，所述历史信息还包括登录地点，所述方法还包括：如果所述第一用户通过所述第一登录方式登录成功并且在所述第一时间段内通过相同的登录地点登录成功的次数超过第三阈值，则将所述相同的登录地点与所述第一用户的用户名关联并作为所述白名单的一部分。

4.根据权利要求3所述的方法，其中，所述历史信息还包括登录行为，所述方法还包括：如果所述第一用户通过所述第一登录方式登录成功并且在所述第一时间段内通过相同的登录行为登录成功的次数超过第四阈值，则将所述相同的登录行为与所述第一用户的用户名关联并作为所述白名单的一部分。

5.根据权利要求1所述的方法，其中，所述第一登录方式为用户密码登录方式或token登录方式。

6.根据权利要求1所述的方法，其中，所述设备黑名单由第二时间段内被请求登录的次数超过第五阈值的设备ID或被请求登录的用户数超过第六阈值的设备ID组成，其中，所述第二时间段为所述第一时间段内的时间段。

7.根据权利要求2所述的方法，其中，所述IP黑名单由第二时间段内被请求登录的次数超过第七阈值的IP地址或被请求登录的用户数超过第八阈值的IP地址组成，其中，所述第二时间段为所述第一时间段内的时间段。

8.根据权利要求4所述的方法，还包括：

如果所述第一用户通过第二登录方式登录成功，则将对应的登录地点和对应的登录行为均与所述第一用户的用户名关联并作为所述白名单的一部分；

如果对应的登录的设备ID不在所述设备黑名单中，则将所述对应的登录的设备ID与所述第一用户的用户名关联并作为所述白名单的一部分；

如果对应的登录的IP地址不在所述IP黑名单中，则将所述对应的登录的IP地址与所述第一用户的用户名关联并作为所述白名单的一部分。

9.根据权利要求8所述的方法，其中，所述第二登录方式为短信验证方式或指纹验证方式。

10.一种使用白名单进行登录验证的方法，包括：

接收待验证用户的登录请求；

通过权利要求1-9中任一项所确定的白名单分别对所述待验证用户的登录的IP地址、登录的设备ID、登录地点和登录行为进行评分，以获得与所述登录的IP地址、所述登录的设备ID、所述登录地点和所述登录行为分别对应的第一分数、第二分数、第三分数和第四分数；

如果所述第一分数、所述第二分数、所述第三分数和所述第四分数之和小于分数阈值且接收到的验证码是正确的，则所述登录请求被通过。

11.根据权利要求10所述的方法，还包括：

如果所述登录的IP地址在IP黑名单中或所述登录的设备ID在设备黑名单中或登录IP地址在当日出现过IP异常行为中的任意一个条件满足、接收到的验证码是正确的并且所述第一分数、所述第二分数、所述第三分数和所述第四分数之和大于等于分数阈值，则所述登录请求被通过。

12.根据权利要求10所述的方法，还包括：

如果所述登录的IP地址在IP黑名单中或所述登录的设备ID在设备黑名单中或登录IP地址在当日出现过IP异常行为中没有一个条件满足并且所述第一分数、所述第二分数、所述第三分数和所述第四分数之和大于等于分数阈值，则所述登录请求被通过。

13.根据权利要求10所述的方法，其中，所述验证码为短信验证码或新型验证码。

14.一种确定白名单的装置，包括：

处理器；以及

存储器，其用于存储指令，当所述指令被执行时使得所述处理器执行以下操作：

获取多个用户在第一时间段内登录的所有历史信息，其中，所述历史信息中包括用户名和登录的设备ID；

如果所述多个用户中的第一用户通过第一登录方式登录成功并且在所述第一时间段内通过相同的设备ID登录成功的次数超过第一阈值并且所述相同的设备ID不在设备黑名单中，则将所述相同的设备ID与所述第一用户名关联并作为白名单的一部分。

15.根据权利要求14所述的装置，其中，所述历史信息还包括登录的IP地址，当所述指令被执行时使得所述处理器还执行以下操作：

如果所述第一用户通过第一登录方式登录成功并且在所述第一时间段内通过相同的IP地址登录成功的次数超过第二阈值并且所述相同的IP地址不在IP黑名单中，则将所述相同的IP地址与所述第一用户的用户名关联并作为所述白名单的一部分。

16.根据权利要求15所述的装置，其中，所述历史信息还包括登录地点，当所述指令被执行时使得所述处理器还执行以下操作：

如果所述第一用户通过所述第一登录方式登录成功并且在所述第一时间段内通过相同的登录地点登录成功的次数超过第三阈值，则将所述相同的登录地点与所述第一用户的用户名关联并作为所述白名单的一部分。

17.根据权利要求16所述的装置，其中，所述历史信息还包括登录行为，当所述指令被执行时使得所述处理器还执行以下操作：

如果所述第一用户通过所述第一登录方式登录成功并且在所述第一时间段内通过相同的登录行为登录成功的次数超过第四阈值，则将所述相同的登录行为与所述第一用户的用户名关联并作为所述白名单的一部分。

18.根据权利要求14所述的装置，其中，所述第一登录方式为用户密码登录方式或token登录方式。

19.根据权利要求14所述的装置，其中，所述设备黑名单由第二时间段内被请求登录的次数超过第五阈值的设备ID或被请求登录的用户数超过第六阈值的设备ID组成，其中，所述第二时间段为所述第一时间段内的时间段。

20.根据权利要求14所述的装置，其中，所述IP黑名单由第二时间段内被请求登录的次数超过第七阈值的IP地址或被请求登录的用户数超过第八阈值的IP地址组成，其中，所述第二时间段为所述第一时间段内的时间段。

21.根据权利要求17所述的装置，其中，当所述指令被执行时使得所述处理器还执行以下操作：：

如果所述第一用户通过第二登录方式登录成功，则将对应的登录地点和对应的登录行为均与所述第一用户的用户名关联并作为所述白名单的一部分；

如果对应的登录的设备ID不在所述设备黑名单中，则将所述对应的登录的设备ID与所述第一用户的用户名关联并作为所述白名单的一部分；

如果对应的登录的IP地址不在所述IP黑名单中，则将所述对应的登录的IP地址与所述第一用户的用户名关联并作为所述白名单的一部分。

22.根据权利要求21所述的装置，其中，所述第二登录方式为短信验证方式或指纹验证方式。

23.一种使用白名单进行登录验证的装置，包括：

处理器；以及

存储器，其用于存储指令，当所述指令被执行时使得所述处理器执行以下操作：

接收待验证用户的登录请求；

通过权利要求1-9中任一项所确定的白名单分别对所述待验证用户的登录的IP地址、登录的设备ID、登录地点和登录行为进行评分，以获得与所述登录的IP地址、所述登录的设备ID、所述登录地点和所述登录行为分别对应的第一分数、第二分数、第三分数和第四分数；

如果所述第一分数、所述第二分数、所述第三分数和所述第四分数之和小于分数阈值且接收到的验证码是正确的，则所述登录请求被通过。

24.根据权利要求23所述的装置，其中，当所述指令被执行时使得所述处理器还执行以下操作：

如果所述登录的IP地址在IP黑名单中或所述登录的设备ID在设备黑名单中或登录IP地址在当日出现过IP异常行为中的任意一个条件满足、接收到的验证码是正确的并且所述第一分数、所述第二分数、所述第三分数和所述第四分数之和大于等于分数阈值，则所述登录请求被通过。

25.根据权利要求23所述的装置，其中，当所述指令被执行时使得所述处理器还执行以下操作：

如果所述登录的IP地址在IP黑名单中或所述登录的设备ID在设备黑名单中或登录IP地址在当日出现过IP异常行为中没有一个条件满足并且所述第一分数、所述第二分数、所述第三分数和所述第四分数之和大于等于分数阈值，则所述登录请求被通过。

26.根据权利要求23所述的装置，其中，所述验证码为短信验证码或新型验证码。

27.一种计算机可读存储介质，所述存储介质包括指令，当所述指令被执行时，所述计算机的处理器执行权利要求1-13中任一项所述的方法。