CN109981680A - 一种访问控制实现方法、装置、计算机设备及存储介质 - Google Patents

一种访问控制实现方法、装置、计算机设备及存储介质 Download PDF

Info

Publication number
CN109981680A
CN109981680A CN201910276632.3A CN201910276632A CN109981680A CN 109981680 A CN109981680 A CN 109981680A CN 201910276632 A CN201910276632 A CN 201910276632A CN 109981680 A CN109981680 A CN 109981680A
Authority
CN
China
Prior art keywords
verifying
access request
verified
chain network
registration
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201910276632.3A
Other languages
English (en)
Other versions
CN109981680B (zh
Inventor
孙海东
孙奇帆
童宙杰
向桂蓉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shanghai Sidewalk Network Information Technology Co Ltd
Original Assignee
Shanghai Sidewalk Network Information Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shanghai Sidewalk Network Information Technology Co Ltd filed Critical Shanghai Sidewalk Network Information Technology Co Ltd
Priority to CN201910276632.3A priority Critical patent/CN109981680B/zh
Publication of CN109981680A publication Critical patent/CN109981680A/zh
Application granted granted Critical
Publication of CN109981680B publication Critical patent/CN109981680B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

本发明实施例公开了一种访问控制实现方法、装置、计算机设备及存储介质。所述方法包括：验证端接收待验证端发送的访问请求并进行解析；所述验证端如果确定所述访问请求中包括合法验证标识，则对所述访问请求进行认证，并将所述认证结果反馈给所述待验证端；其中，所述合法验证标识为登记链网络在对所述访问请求中的认证数据进行处理后，生成并加入至所述登记链网络的登记区块链中的数据。本发明实施例可以实现对待验证端的访问请求进行登记验证和认证，以及实现访问请求的访问控制，减少验证端被攻击的情况。

Description

一种访问控制实现方法、装置、计算机设备及存储介质
技术领域
本发明实施例涉及数据处理领域，尤其涉及一种访问控制实现方法、装置、计算机设备及存储介质。
背景技术
随着互联网的发展，越来越多的人开始享受到网络带来的生活上的便利。但是网络技术带来便利的同时，也带来了很多的安全隐患。
业务系统接收外部设备发送的业务请求，并进行处理。在外部设备将业务请求发送至业务系统的过程中，有可能发生渗透等身份伪装、捏造访问记录、篡改访问记录或者被其他非法方式攻击的情况。
特别是，业务系统对于外部设备发送的请求一般是被动接收并执行，或者只是对请求来源进行简单的口令识别，但这种方式无法实现对外部设备的访问控制，导致业务系统通过请求受到攻击，造成损失。
发明内容
本发明实施例提供了一种访问控制实现方法、装置、计算机设备及存储介质，本发明实施例可以实现对待验证端的访问请求进行登记验证和认证，以及实现访问请求的访问控制，减少验证端被攻击的情况。
第一方面，本发明实施例提供了一种访问控制方法，包括：
验证端接收待验证端发送的访问请求并进行解析；
所述验证端如果确定所述访问请求中包括合法验证标识，则对所述访问请求进行认证，并将所述认证结果反馈给所述待验证端；
其中，所述合法验证标识为登记链网络在对所述访问请求中的认证数据进行处理后，生成并加入至所述登记链网络的登记区块链中的数据。
第二方面，本发明实施例提供了一种访问控制实现方法，包括：
待验证端获取认证数据发送至登记链网络中；
其中，所述认证数据用于指示登记链网络在对所述认证数据进行处理后，生成所述认证数据对应的验证标识加入至所述登记链网络的登记区块链中；
所述待验证端根据在所述登记链网络中查询到的所述验证标识，以及所述认证数据构造访问请求发送至验证端，以使所述验证端对所述访问请求进行认证；
所述待验证端接收所述验证端发送的与所述访问请求匹配的认证结果；
所述待验证端向所述验证端发送业务请求，以使所述验证端根据所述认证结果确定对所述业务请求的处理方式。
第三方面，本发明实施例提供了一种访问控制实现装置，配置于验证端中，包括：
访问请求接收模块，用于接收待验证端发送的访问请求并进行解析；
认证结果反馈模块，用于如果确定所述访问请求中包括合法验证标识，则对所述访问请求进行认证，并将所述认证结果反馈给所述待验证端；其中，所述合法验证标识为登记链网络在对所述访问请求中的认证数据进行处理后，生成并加入至所述登记链网络的登记区块链中的数据。
第四方面，本发明实施例提供了一种访问控制实现装置，配置于待验证端中，包括：
认证数据登记模块，用于获取认证数据发送至登记链网络中；其中，所述认证数据用于指示登记链网络在对所述认证数据进行处理后，生成所述认证数据对应的验证标识加入至所述登记链网络的登记区块链中；
访问请求构造模块，用于根据在所述登记链网络中查询到的所述验证标识，以及所述认证数据构造访问请求发送至验证端，以使所述验证端对所述访问请求进行认证；
认证结果接收模块，用于接收所述验证端发送的与所述访问请求匹配的认证结果；
业务请求发送模块，用于向所述验证端发送业务请求，以使所述验证端根据所述认证结果确定对所述业务请求的处理方式。
第五方面，本发明实施例还提供了一种设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序所述处理器执行所述程序时实现如本发明实施例中任一所述的访问控制实现方法。
第六方面，本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如本发明实施例中任一所述的访问控制实现方法。
本发明实施例通过确定访问请求包括合法验证标识，以确定该访问请求在登记链网络中登记，实现第一步访问控制，并在确定访问请求包括合法验证标识之后对该访问请求进行认证，实现第二步访问控制，解决了现有技术中验证端被动接收请求并执行，导致通过请求受到攻击的问题，实现在验证端对待验证端发送的业务请求进行处理之前，对待验证端发送的访问请求进行两步访问控制，保证待验证端的合法性，增加访问控制防御，提高验证端的安全性。
附图说明
图1是本发明实施例一中的一种访问控制实现方法的流程图；
图2a是本发明实施例二中的一种访问控制实现方法的流程图；
图2b是本发明实施例二中的一种应用场景的示意图；
图2c是本发明实施例二中的一种访问请求访问过程的示意图；
图2d是本发明实施例二中的一种验证端的结构示意图；
图3是本发明实施例三中的一种访问控制实现方法的流程图；
图4是本发明实施例四中的一种访问控制实现装置的结构示意图；
图5是本发明实施例五中的一种访问控制实现装置的结构示意图；
图6是本发明实施例六中的一种计算机设备的结构示意图。
具体实施方式
下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。
实施例一
图1为本发明实施例一中的一种访问控制实现方法的流程图，本实施例可适用于验证端对待验证端发送的访问请求进行访问验证的情况，该方法可以由本发明实施例提供的访问控制实现装置来执行，该装置可采用软件和/或硬件的方式实现，并一般可集成提供电子设备中，例如，服务器等。如图1所示，本实施例的方法具体包括：
S110，验证端接收待验证端发送的访问请求并进行解析。
验证端用于与待验证端进行交互，通过待验证端发送的访问请求确定该待验证端的合法性，还用于接收待验证端发送的业务请求，并对业务请求进行处理从而实现服务。验证端可以是互联网中任意节点设备，如可以是服务器或区块链网络中的节点等，待验证端可以是指与验证端交互的节点设备，可以是客户端，或者可以是区块链网络中的节点等。访问请求用于待验证端向验证端请求访问许可，当验证端确定待验证端认证通过时，验证端可以接收待验证端发送的全部业务请求并处理，无需再判断待验证端的合法性。访问请求用于指示验证端验证待验证端的合法性。对访问请求进行解析，获取访问请求中的各项数据。
S120，所述验证端判断所述访问请求是否包括合法验证标识，如果是，则执行S130；否则执行S140。
S130，所述验证端对所述访问请求进行认证，并将所述认证结果反馈给所述待验证端；其中，所述合法验证标识为登记链网络在对所述访问请求中的认证数据进行处理后，生成并加入至所述登记链网络的登记区块链中的数据。
其中，合法验证标识用于确定访问请求已经在区块链网络的登记区块链中登记，还可以用于确定访问请求完整，和/或访问请求包括设定数据(例如认证数据和处理数据等)等。示例性的，合法验证标识可以包括登记区块链中区块的哈希值。
登记链网络为区块链网络，登记区块链上记录有访问请求匹配的数据。登记链网络中的区块生成节点对认证数据进行处理具体为：对认证数据进行认证，当确定认证数据认证成功后，基于认证数据生成事务数据，并根据事务数据或者事务数据的数据指纹生成区块，并将区块广播，以使登记链网络中的其他节点对该区块进行共识验证，当该区块通过共识验证时，将该区块写入登记区块链中。其中，区块中记录有哈希值、时间戳、访问请求中的认证数据或者数据指纹等数据。
可选的，所述对所述访问请求进行认证，并将所述认证结果反馈给所述待验证端，包括：所述验证端根据所述认证数据，生成链上认证查询请求向认证链网络发送，其中，所述链上认证查询请求用于从所述认证链网络的认证区块链中查找与所述认证数据匹配的状态信息；所述验证端如果根据所述认证链反馈的状态信息确定所述认证数据通过认证，则将认证通过结果反馈给所述待验证端；所述验证端如果根据所述认证链反馈的状态信息确定所述认证数据未通过认证，则将认证未通过结果反馈给所述待验证端。
具体的，认证数据用于验证端确定发送访问请求的待验证端的身份，具体可以包括身份信息和/或其他标识信息等。链上认证查询请求用于查询认证数据的状态信息。状态信息用于确定认证数据的有效性。示例性的，认证数据为数字证书，数字证书的状态信息包括下述至少一项：数字证书的撤销状态、有效时间信息和有效范围(条件)信息等。认证链网络是区块链网络，而且认证链网络中节点可以与数字证书认证中心进行通信，获取数字证书的相关信息并生成区块写入认证区块链中，以使其他用户查询数字证书的相关信息。
其中，根据所述认证链网络反馈的状态信息确定所述认证数据通过验证具体可以是，当反馈的状态信息为认证数据有效的信息(如不存在数字证书的撤销状态)时，确定该认证数据通过验证。
通过验证端对访问请求中的认证数据进行进一步认证，并在验证通过时，确定待验证端通过认证，后续可以接收待验证端发送的业务请求并进行处理，实现在访问请求通过合法性验证后进一步进行有效认证，以进一步对待验证端发送的请求进行访问控制，从而提高验证端处理请求的安全性，降低请求处理的风险。
可选的，所述确定所述访问请求中包括合法验证标识，包括：所述验证端从所述访问请求中提取验证标识，并根据所述验证标识，生成链上标识查询请求向所述登记链网络发送；所述验证端如果根据所述登记链网络反馈的查询数据，确定所述验证标识为合法验证标识，则确定所述访问请求中包括合法验证标识。
其中，链上标识查询请求用于指示登记链网络中节点在登记区块链上查询与验证标识匹配的查询数据。查询数据用于确定验证标识是否合法，具体可以包括与验证标识匹配的区块的部分或全部数据。当存在区块存储有该验证标识时，验证端接收到区块链网络反馈的与该验证标识匹配的区块的数据作为查询数据，并判断该查询数据是否与业务请求包括的数据内容匹配(如相同)。如果匹配，则确定验证标识为合法验证标识，可以进一步执行对访问请求的后续认证操作。如果该查询数据与业务请求包括的数据内容不匹配，或者验证端未查询到与验证标识匹配的区块的数据，则表明访问请求中的验证标识是伪造的，确定验证标识不通过验证，验证端向待验证端反馈认证未通过结果。
通过将访问请求中提取的验证标识发送到登记链网络中进行查询，以确定验证标识是否为合法验证标识，并在确定验证标识为合法验证标识时执行后续认证操作，以进一步验证访问请求的合法性，避免验证标识伪造的情况，从而保证访问请求的合法性，提高验证端的安全性。
可选的，在将认证通过结果反馈给所述待验证端之后，还包括：所述验证端接收到所述待验证端发送的业务请求，并对所述业务请求进行处理；所述验证端将所述业务请求关联的处理完成的操作数据进行记录，并生成上链事务请求发送至记录链网络，以使所述记录链网络基于所述上链事务请求，将所述操作数据作为事务数据写入所述记录链网络的记录区块链中。
其中，业务请求可以是指待验证端向验证端申请业务服务的请求。业务请求关联的处理完成的操作数据可以是指从验证端接收到业务请求到验证端结束对业务请求的处理的过程中涉及的操作数据。上链事务请求用于指示记录链网络中节点根据处理操作数据生成区块并写入记录区块链中。记录链网络是区块链网络，记录区块链上记录有业务请求关联的处理操作数据。通过将处理操作数据作为事务数据写入记录区块链中，实现通过区块链网络记录验证端对业务请求的完整操作数据，为验证端提供审计功能。
S140，所述验证端将认证未通过结果反馈给所述待验证端。
验证端确定访问请求认证失败，确定待验证端不合法，不接收待验证端发送的业务请求或放弃处理待验证端发送的业务请求。避免不合法请求对验证端造成的威胁、攻击和损失等风险，从而实现验证端的访问控制功能。
本发明实施例通过确定访问请求包括合法验证标识，以确定该访问请求在登记链网络中登记，实现第一步访问控制，并在确定访问请求包括合法验证标识之后对该访问请求进行认证，实现第二步访问控制，解决了现有技术中验证端被动接收请求并执行，导致通过请求受到攻击的问题，实现在验证端对待验证端发送的业务请求进行处理之前，对待验证端发送的访问请求进行两步访问控制，保证待验证端的合法性，增加访问控制防御，提高验证端的安全性。
实施例二
图2a为本发明实施例二中的一种访问控制实现方法的流程图，本实施例以本发明实施例一为基础作出了优化，将步骤：所述对所述访问请求进行认证，并将所述认证结果反馈给所述待验证端，具体化为：所述验证端根据所述认证数据，生成链上认证查询请求向认证链网络发送，其中，所述链上认证查询请求用于从所述认证链网络的认证区块链中查找与所述认证数据匹配的状态信息；所述验证端如果根据所述认证链反馈的状态信息确定所述认证数据通过认证，则将认证通过结果反馈给所述待验证端；所述验证端如果根据所述认证链反馈的状态信息确定所述认证数据未通过认证，则将认证未通过结果反馈给所述待验证端。同时，在将认证通过结果反馈给所述待验证端之后，优化为：所述验证端接收到所述待验证端发送的业务请求，并对所述业务请求进行处理；所述验证端将所述业务请求关联的处理完成的操作数据进行记录，并生成上链事务请求发送至记录链网络，以使所述记录链网络基于所述上链事务请求，将所述操作数据作为事务数据写入所述记录链网络的记录区块链中。
具体的，该方法可以包括：
S210，验证端接收待验证端发送的访问请求并进行解析。
本实施例的验证端、访问请求、业务请求、合法验证标识、认证数据、处理数据、链上认证查询请求、处理操作数据和上链事务请求等可以参考上述实施例的描述。
本方案中使用的区块链为了兼顾效率，所以一般会选择联盟链或者私有链来实现。联盟链和私有链因为是中心化或者趋向中心化的结构，所以这些链的区块中的时间戳是相对不可信的。为了提高这些链中的时间戳可信度，可以将这些链中的区块打包锚定到可信公有链上，达到公有链为这些链提供可信时间戳的效果，可以有效提高这些链在时间上的可信度。
其中，可以在验证端和待验证端交互的部分或全部请求中添加上述可信的时间戳，提高请求的时间可信度。例如，在访问请求中添加登记区块链中存储有访问请求对应的数据的区块中的时间戳。
S220，所述验证端判断所述访问请求是否包括合法验证标识，如果是，则执行S230；否则执行S260，其中，所述合法验证标识为登记链网络在对所述访问请求中的认证数据进行处理后，生成并加入至所述登记链网络的登记区块链中的数据。
S230，所述验证端根据所述认证数据，生成链上认证查询请求向认证链网络发送，其中，所述链上认证查询请求用于从所述认证链网络的认证区块链中查找与所述认证数据匹配的状态信息。
实际上，在生成链上认证查询请求之前，验证端可以对认证数据进行本地验证，若本地验证通过之后，再生成链上认证查询请求通过认证链网络进行验证；若本地验证未通过，可以直接向待验证端反馈认证未通过结果，无需生成链上认证查询请求。
此外，根据认证数据，生成链上认证查询请求具体可以是对认证数据进行加密操作或标志等操作，可以根据需要设置，对此，本发明实施例不做具体限制。
S240，所述验证端根据所述认证链网络反馈的状态信息判断所述认证数据是否通过认证，如果是，则执行S250；否则执行S260。
S250，所述验证端将认证通过结果反馈给所述待验证端，执行S270。
S260，所述验证端将认证未通过结果反馈给所述待验证端。
S270，所述验证端接收到所述待验证端发送的业务请求，并对所述业务请求进行处理。
S280，所述验证端将所述业务请求关联的处理完成的操作数据进行记录，并生成上链事务请求发送至记录链网络，以使所述记录链网络基于所述上链事务请求，将所述操作数据作为事务数据写入所述记录链网络的记录区块链中。
需要说明的是，为了保证数据处理效率和数据处理性能，通常登记链、认证链和记录链为私有链或联盟链。
在一个具体的例子中，如图2b所示，外部信号源201预先向登记链网络202发送认证数据，以使登记链网络202中节点对认证数据进行处理，生成区块写入登记区块链。其中，外部信号源201可以是指待验证端。外部信号源210在监听到登记区块链中存在区块存储有认证数据时，获取该区块的哈希值作为合法验证标识，同时结合认证数据构造访问请求发送至业务系统203。业务系统203接收到访问请求，判断该访问请求是否包括验证标识，以及该验证标识是否为合法验证标识(通过在登记区块链上查询与验证标识匹配的查询数据确定)，该过程实际是业务系统203的第一层访问控制防御。业务系统203在该访问请求包括合法验证标识的情况下，提取访问请求中的认证数据构造链上认证查询请求发送至认证链网络204，判断认证数据是否有效，并将认证结果反馈给待验证端，该过程实际是业务系统203的第二层访问控制防御。在外部信号源201接收到认证结果后，向业务系统203发送业务请求，业务系统203通过记录链网络205记录该业务请求关联的处理操作数据，用于为事后对操作的记录做审计。
相应的，图2c是本发明实施例二中的一种业务请求访问过程的示意图，如图2c所示，登记链网络用于登记访问请求。认证链网络用于认证访问请求。访问请求通过登记链网络实现登记，以及通过认证链网络实现待验证端的身份认证，其中，通过区块链的分布式机制实现验证业务请求的方法不依赖中心节点，可以避免由于中心节点性能不足或瘫痪带来的影响，从而，可以提高验证端的安全性，以及访问控制功能的稳定性。验证端用于根据业务请求执行业务逻辑。记录链网络用于记录业务请求关联的操作数据。通过记录区块链对操作数据进行记录，以区块链的不可抵赖以及不可捏造特性为验证端提供操作记录审计能力。所有业务请求利用验证端进行的操作都会被验证端以区块链的形式记录下来，为系统提供审计能力。
此外，在验证端中可以为登记链网络、认证链网络和记录链网络分别留存对应的存储空间和运行空间，方便分别对登记链网络反馈的数据、认证链网络反馈的数据和记录链网络反馈的数据进行存储和处理。具体如图2d所示，验证端中包括权限管理模块291、业务逻辑模块292和可信操作记录模块293。其中，权限管理模块用于验证业务请求的合法性和有效性，具体包括登记链运行模块，用于执行验证端与登记链网络的交互操作；登记链存储模块，用于存储验证端与登记链网络的交互数据；认证链运行模块，用于执行验证端与认证链网络的交互操作；认证链存储模块，用于存储验证端与认证链网络的交互数据。业务逻辑模块292用于处理业务请求。可信操作记录模块293用于记录验证端针对业务请求的处理操作数据，包括记录链运行模块，用于执行验证端与记录链网络的交互操作；记录链存储模块，用于存储验证端与记录链网络的交互数据。
本发明实施例通过待验证端发送的访问请求是否包括合法验证标识用于验证访问请求的合法性，实现第一层访问控制，并在确定访问请求包括合法验证标识之后，通过获取访问请求的认证数据的状态信息判断认证数据的有效性，实现第二层访问控制，在访问请求的认证结果为认证通过结果时，将该待验证端发送的业务请求进行处理，并将关联的全部操作数据写入到记录区块链中，实现审计功能，从而实现对验证端的多层保护，防止外界信号对验证端的供给，提高验证端的安全性。
实施例三
图3为本发明实施例三中的一种访问控制实现方法的流程图，本实施例可适用于待验证端向验证端发送业务请求的情况，该方法可以由本发明实施例提供的访问控制实现装置来执行，该装置可采用软件和/或硬件的方式实现，并一般可集成在向验证端发送业务请求的电子设备中，电子设备可以是区块链网络节点或客户端等。如图3所示，本实施例的方法具体包括：
S310，待验证端获取认证数据发送至登记链网络中；其中，所述认证数据用于指示登记链网络在对所述认证数据进行处理后，生成所述认证数据对应的验证标识加入至所述登记链网络的登记区块链中。
本实施例的验证端、认证数据、访问请求、业务请求、合法验证标识、和登记链网络等可以参考上述实施例的描述。
S320，所述待验证端根据在所述登记链网络中查询到的所述验证标识，以及所述认证数据构造访问请求发送至验证端，以使所述验证端对所述访问请求进行认证。
S330，所述待验证端接收所述验证端发送的与所述访问请求匹配的认证结果。
S340，所述待验证端向所述验证端发送业务请求，以使所述验证端根据所述认证结果确定对所述业务请求的处理方式。
本发明实施例通过待验证端在向验证端发送业务请求之前，将认证数据登记在登记区块链中，以及获取从登记区块链中查询到的认证数据对应的验证标识，并基于认证数据和对应的验证标识构造访问请求发送到验证端中，以使验证端判断该待验证端的访问合法性，实现通过登记链网络对访问请求进行共识验证，并登记到登记区块链中，从而保证待验证端的访问的合法性，并在接收到认证结果之后向验证端发送业务请求，以使验证端根据该认证结果确定业务请求的处理方式，实现验证端在对待验证端进行认证之后对业务请求进行处理，从而实现验证端对该验证端的访问控制，以提高验证端的安全性。
实施例四
图4是本发明实施例四中的一种访问控制实现装置的示意图，本实施例是实现本发明上述实施例提供的访问控制实现方法的相应装置，该装置可采用软件和/或硬件的方式实现，并一般可集成提供业务服务的电子设备中，例如，服务器等。
访问请求接收模块410，用于接收待验证端发送的访问请求并进行解析；
认证结果反馈模块420，用于如果确定所述访问请求中包括合法验证标识，则对所述访问请求进行认证，并将所述认证结果反馈给所述待验证端；其中，所述合法验证标识为登记链网络在对所述访问请求中的认证数据进行处理后，生成并加入至所述登记链网络的登记区块链中的数据。
本发明实施例通过确定访问请求包括合法验证标识，以确定该访问请求在登记链网络中登记，实现第一步访问控制，并在确定访问请求包括合法验证标识之后对该访问请求进行认证，实现第二步访问控制，解决了现有技术中验证端被动接收请求并执行，导致通过请求受到攻击的问题，实现在验证端对待验证端发送的业务请求进行处理之前，对待验证端发送的访问请求进行两步访问控制，保证待验证端的合法性，增加访问控制防御，提高验证端的安全性。
进一步的，所述认证结果反馈模块420，具体用于：所述验证端根据所述认证数据，生成链上认证查询请求向认证链网络发送，其中，所述链上认证查询请求用于从所述认证链网络的认证区块链中查找与所述认证数据匹配的状态信息；所述验证端如果根据所述认证链反馈的状态信息确定所述认证数据通过认证，则将认证通过结果反馈给所述待验证端；所述验证端如果根据所述认证链反馈的状态信息确定所述认证数据未通过认证，则将认证未通过结果反馈给所述待验证端。
进一步的，所述认证结果反馈模块420，具体用于：所述验证端从所述访问请求中提取验证标识，并根据所述验证标识，生成链上标识查询请求向所述登记链网络发送；所述验证端如果根据所述登记链网络反馈的查询数据，确定所述验证标识为合法验证标识，则确定所述访问请求中包括合法验证标识。
进一步的，所述访问控制实现装置，具体用于：所述验证端接收到所述待验证端发送的业务请求，并对所述业务请求进行处理；所述验证端将所述业务请求关联的处理完成的操作数据进行记录，并生成上链事务请求发送至记录链网络，以使所述记录链网络基于所述上链事务请求，将所述操作数据作为事务数据写入所述记录链网络的记录区块链中。
进一步的，所述合法验证标识包括区块的哈希值。
上述访问控制实现装置可执行本发明实施例一和实施例二所提供的访问控制实现方法，具备执行的访问控制实现方法相应的功能模块和有益效果。
实施例五
图5是本发明实施例五中的一种访问控制实现装置的示意图。实施例五是实现本发明上述实施例提供的访问控制实现方法的相应装置，该装置可采用软件和/或硬件的方式实现，并一般可集成在向验证端发送业务请求的电子设备中，电子设备可以是待验证端等。
相应的，本实施例的装置可以包括：
认证数据登记模块510，用于获取认证数据发送至登记链网络中；其中，所述认证数据用于指示登记链网络在对所述认证数据进行处理后，生成所述认证数据对应的验证标识加入至所述登记链网络的登记区块链中；
访问请求构造模块520，用于根据在所述登记链网络中查询到的所述验证标识，以及所述认证数据构造访问请求发送至验证端，以使所述验证端对所述访问请求进行认证；
认证结果接收模块530，用于接收所述验证端发送的与所述访问请求匹配的认证结果；
业务请求发送模块540，用于向所述验证端发送业务请求，以使所述验证端根据所述认证结果确定对所述业务请求的处理方式。
本发明实施例通过待验证端在向验证端发送业务请求之前，将认证数据登记在登记区块链中，以及获取从登记区块链中查询到的认证数据对应的验证标识，并基于认证数据和对应的验证标识构造访问请求发送到验证端中，以使验证端判断该待验证端的访问合法性，实现通过登记链网络对访问请求进行共识验证，并登记到登记区块链中，从而保证待验证端的访问的合法性，并在接收到认证结果之后向验证端发送业务请求，以使验证端根据该认证结果确定业务请求的处理方式，实现验证端在对待验证端进行认证之后对业务请求进行处理，从而实现验证端对该验证端的访问控制，以提高验证端的安全性。
上述访问控制实现装置可执行本发明实施例三所提供的访问控制实现方法，具备执行的访问控制实现方法相应的功能模块和有益效果。
实施例六
图6是本发明实施例六中的一种计算机设备的结构示意图。图6示出了适于用来实现本发明实施方式的示例性计算机设备601的框图。图6显示的计算机设备601仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。
如图6所示，计算机设备601以通用计算设备的形式表现。计算机设备601的组件可以包括但不限于：一个或者多个处理器或者处理单元602，系统存储器603，连接不同系统组件(包括系统存储器603和处理单元602)的总线604。
总线604表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器，外围总线，图形加速端口，处理器或者使用多种总线结构中的任意总线结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构(Industry StandardArchitecture，ISA)总线，微通道体系结构(Micro Channel Architecture，MCA)总线，增强型ISA总线、视频电子标准协会(Video Electronics Standards Association，VESA)局域总线以及外围组件互连(Peripheral Component Interconnect，PCI)总线。
计算机设备601典型地包括多种计算机系统可读介质。这些介质可以是任何能够被计算机设备601访问的可用介质，包括易失性和非易失性介质，可移动的和不可移动的介质。
系统存储器603可以包括易失性存储器形式的计算机系统可读介质，例如随机存取存储器(Random Access Memory，RAM)605和/或高速缓存存储器606。计算机设备601可以进一步包括其它可移动/不可移动的、易失性/非易失性计算机系统存储介质。仅作为举例，存储系统607可以用于读写不可移动的、非易失性磁介质(图6未显示，通常称为“硬盘驱动器”)。尽管图6中未示出，可以提供用于对可移动非易失性磁盘(例如“软盘”)读写的磁盘驱动器，以及对可移动非易失性光盘(例如紧凑磁盘只读存储器(Compact Disc Read-OnlyMemory，CD-ROM)，数字视盘(Digital Video Disc-Read Only Memory，DVD-ROM)或者其它光介质)读写的光盘驱动器。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线604相连。系统存储器603可以包括至少一个程序产品，该程序产品具有一组(例如至少一个)程序模块，这些程序模块被配置以执行本发明各实施例的功能。
具有一组(至少一个)程序模块608的程序/实用工具609，可以存储在例如系统存储器603中，这样的程序模块608包括——但不限于——操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。程序模块608通常执行本发明所描述的实施例中的功能和/或方法。
计算机设备601也可以与一个或多个外部设备610(例如键盘、指向设备等)通信，还可与一个或者多个使得用户能与该计算机设备601交互的设备通信，和/或与使得该计算机设备601能与一个或多个其它计算设备进行通信的任何设备(例如网卡，调制解调器等等)通信。这种通信可以通过输入/输出(Input/Output，I/O)接口612进行。并且，计算机设备601还可以通过网络适配器613与一个或者多个网络(例如局域网(Local Area Network，LAN)，广域网(Wide Area Network，WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器613通过总线604与计算机设备601的其它模块通信。应当明白，尽管图6中未示出，可以结合计算机设备601使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、磁盘阵列(Redundant Arrays of Inexpensive Disks，RAID)系统、磁带驱动器以及数据备份存储系统等。
处理单元602通过运行存储在系统存储器603中的程序，从而执行各种功能应用以及数据处理，例如实现本发明任意实施例所提供的一种访问控制实现方法。
实施例七
本发明实施例七提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如本申请所有发明实施例提供的访问控制实现方法：
也即，该程序被处理器执行时实现：验证端接收待验证端发送的访问请求并进行解析；所述验证端如果确定所述访问请求中包括合法验证标识，则对所述访问请求进行认证，并将所述认证结果反馈给所述待验证端；其中，所述合法验证标识为登记链网络在对所述访问请求中的认证数据进行处理后，生成并加入至所述登记链网络的登记区块链中的数据。
或者该程序被处理器执行时实现：待验证端获取认证数据发送至登记链网络中；其中，所述认证数据用于指示登记链网络在对所述认证数据进行处理后，生成所述认证数据对应的验证标识加入至所述登记链网络的登记区块链中；所述待验证端根据在所述登记链网络中查询到的所述验证标识，以及所述认证数据构造访问请求发送至验证端，以使所述验证端对所述访问请求进行认证；所述待验证端接收所述验证端发送的与所述访问请求匹配的认证结果；所述待验证端向所述验证端发送业务请求，以使所述验证端根据所述认证结果确定对所述业务请求的处理方式。
本发明实施例的计算机存储介质，可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、RAM、只读存储器(Read OnlyMemory，ROM)、可擦式可编程只读存储器(Erasable Programmable Read Only Memory，EPROM)、闪存、光纤、便携式CD-ROM、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。
计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括——但不限于——电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。
计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括——但不限于——无线、电线、光缆、无线电频率(RadioFrequency，RF)等等，或者上述的任意合适的组合。
可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括LAN或WAN——连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。
注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (10)

1.一种访问控制实现方法，其特征在于，包括：
验证端接收待验证端发送的访问请求并进行解析；
所述验证端如果确定所述访问请求中包括合法验证标识，则对所述访问请求进行认证，并将所述认证结果反馈给所述待验证端；
其中，所述合法验证标识为登记链网络在对所述访问请求中的认证数据进行处理后，生成并加入至所述登记链网络的登记区块链中的数据。
2.根据权利要求1所述的方法，其特征在于，所述对所述访问请求进行认证，并将所述认证结果反馈给所述待验证端，包括：
所述验证端根据所述认证数据，生成链上认证查询请求向认证链网络发送，其中，所述链上认证查询请求用于从所述认证链网络的认证区块链中查找与所述认证数据匹配的状态信息；
所述验证端如果根据所述认证链反馈的状态信息确定所述认证数据通过认证，则将认证通过结果反馈给所述待验证端；
所述验证端如果根据所述认证链反馈的状态信息确定所述认证数据未通过认证，则将认证未通过结果反馈给所述待验证端。
3.根据权利要求2所述的方法，其特征在于，所述确定所述访问请求中包括合法验证标识，包括：
所述验证端从所述访问请求中提取验证标识，并根据所述验证标识，生成链上标识查询请求向所述登记链网络发送；
所述验证端如果根据所述登记链网络反馈的查询数据，确定所述验证标识为合法验证标识，则确定所述访问请求中包括合法验证标识。
4.根据权利要求2所述的方法，其特征在于，在将认证通过结果反馈给所述待验证端之后，还包括：
所述验证端接收到所述待验证端发送的业务请求，并对所述业务请求进行处理；
所述验证端将所述业务请求关联的处理完成的操作数据进行记录，并生成上链事务请求发送至记录链网络，以使所述记录链网络基于所述上链事务请求，将所述操作数据作为事务数据写入所述记录链网络的记录区块链中。
5.根据权利要求1所述的方法，其特征在于，所述合法验证标识包括区块的哈希值。
6.一种访问控制实现方法，其特征在于，包括：
待验证端获取认证数据发送至登记链网络中；
其中，所述认证数据用于指示登记链网络在对所述认证数据进行处理后，生成所述认证数据对应的验证标识加入至所述登记链网络的登记区块链中；
所述待验证端根据在所述登记链网络中查询到的所述验证标识，以及所述认证数据构造访问请求发送至验证端，以使所述验证端对所述访问请求进行认证；
所述待验证端接收所述验证端发送的与所述访问请求匹配的认证结果；
所述待验证端向所述验证端发送业务请求，以使所述验证端根据所述认证结果确定对所述业务请求的处理方式。
7.一种访问控制实现装置，其特征在于，配置于验证端中，包括：
访问请求接收模块，用于接收待验证端发送的访问请求并进行解析；
认证结果反馈模块，用于如果确定所述访问请求中包括合法验证标识，则对所述访问请求进行认证，并将所述认证结果反馈给所述待验证端；其中，所述合法验证标识为登记链网络在对所述访问请求中的认证数据进行处理后，生成并加入至所述登记链网络的登记区块链中的数据。
8.一种访问控制实现装置，其特征在于，配置于待验证端中，包括：
认证数据登记模块，用于获取认证数据发送至登记链网络中；其中，所述认证数据用于指示登记链网络在对所述认证数据进行处理后，生成所述认证数据对应的验证标识加入至所述登记链网络的登记区块链中；
访问请求构造模块，用于根据在所述登记链网络中查询到的所述验证标识，以及所述认证数据构造访问请求发送至验证端，以使所述验证端对所述访问请求进行认证；
认证结果接收模块，用于接收所述验证端发送的与所述访问请求匹配的认证结果；
业务请求发送模块，用于向所述验证端发送业务请求，以使所述验证端根据所述认证结果确定对所述业务请求的处理方式。
9.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1-5或6中任一所述的访问控制实现方法。
10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-5或6中任一所述的访问控制实现方法。
CN201910276632.3A 2019-04-08 2019-04-08 一种访问控制实现方法、装置、计算机设备及存储介质 Active CN109981680B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910276632.3A CN109981680B (zh) 2019-04-08 2019-04-08 一种访问控制实现方法、装置、计算机设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910276632.3A CN109981680B (zh) 2019-04-08 2019-04-08 一种访问控制实现方法、装置、计算机设备及存储介质

Publications (2)

Publication Number Publication Date
CN109981680A true CN109981680A (zh) 2019-07-05
CN109981680B CN109981680B (zh) 2021-08-24

Family

ID=67083311

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910276632.3A Active CN109981680B (zh) 2019-04-08 2019-04-08 一种访问控制实现方法、装置、计算机设备及存储介质

Country Status (1)

Country Link
CN (1) CN109981680B (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110971670A (zh) * 2019-11-12 2020-04-07 广州大白互联网科技有限公司 一种基于网证平台的网证调用方法、装置及存储介质
CN111010368A (zh) * 2019-11-11 2020-04-14 泰康保险集团股份有限公司 基于认证链的权限认证方法、装置、介质及电子设备
CN111881472A (zh) * 2020-07-22 2020-11-03 云账户技术(天津)有限公司 一种数据访问控制方法、系统及权限管理系统、介质
CN112702301A (zh) * 2019-10-22 2021-04-23 中兴通讯股份有限公司 license验证控制方法、装置、设备及存储介质
CN115176451A (zh) * 2020-03-06 2022-10-11 三菱电机株式会社 通信终端、通信装置、通信管理装置、通信系统、网络加入方法及网络加入程序

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106796685A (zh) * 2016-12-30 2017-05-31 深圳前海达闼云端智能科技有限公司 区块链权限控制方法、装置及节点设备
CN107079036A (zh) * 2016-12-23 2017-08-18 深圳前海达闼云端智能科技有限公司 注册及授权方法、装置及系统
CN108694328A (zh) * 2017-04-05 2018-10-23 三星Sds株式会社 数字标识管理方法、数字标识管理装置和记录介质
CN108702622A (zh) * 2017-11-30 2018-10-23 深圳前海达闼云端智能科技有限公司 移动网络接入认证方法、装置、存储介质及区块链节点
CN109412792A (zh) * 2017-08-16 2019-03-01 中国移动通信有限公司研究院 数字证书的生成、认证方法、通信设备及存储介质

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107079036A (zh) * 2016-12-23 2017-08-18 深圳前海达闼云端智能科技有限公司 注册及授权方法、装置及系统
CN106796685A (zh) * 2016-12-30 2017-05-31 深圳前海达闼云端智能科技有限公司 区块链权限控制方法、装置及节点设备
CN108694328A (zh) * 2017-04-05 2018-10-23 三星Sds株式会社 数字标识管理方法、数字标识管理装置和记录介质
CN109412792A (zh) * 2017-08-16 2019-03-01 中国移动通信有限公司研究院 数字证书的生成、认证方法、通信设备及存储介质
CN108702622A (zh) * 2017-11-30 2018-10-23 深圳前海达闼云端智能科技有限公司 移动网络接入认证方法、装置、存储介质及区块链节点

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112702301A (zh) * 2019-10-22 2021-04-23 中兴通讯股份有限公司 license验证控制方法、装置、设备及存储介质
CN112702301B (zh) * 2019-10-22 2024-04-12 中兴通讯股份有限公司 license验证控制方法、装置、设备及存储介质
CN111010368A (zh) * 2019-11-11 2020-04-14 泰康保险集团股份有限公司 基于认证链的权限认证方法、装置、介质及电子设备
CN110971670A (zh) * 2019-11-12 2020-04-07 广州大白互联网科技有限公司 一种基于网证平台的网证调用方法、装置及存储介质
CN110971670B (zh) * 2019-11-12 2022-10-25 广州大白互联网科技有限公司 一种基于网证平台的网证调用方法、装置及存储介质
CN115176451A (zh) * 2020-03-06 2022-10-11 三菱电机株式会社 通信终端、通信装置、通信管理装置、通信系统、网络加入方法及网络加入程序
CN111881472A (zh) * 2020-07-22 2020-11-03 云账户技术(天津)有限公司 一种数据访问控制方法、系统及权限管理系统、介质
CN111881472B (zh) * 2020-07-22 2024-04-26 云账户技术(天津)有限公司 一种数据访问控制方法、系统及权限管理系统、介质

Also Published As

Publication number Publication date
CN109981680B (zh) 2021-08-24

Similar Documents

Publication Publication Date Title
CN109981680A (zh) 一种访问控制实现方法、装置、计算机设备及存储介质
KR102254499B1 (ko) 블록체인 기반의 권한 인증 방법, 단말 및 이를 이용한 서버
CN102201915B (zh) 一种基于单点登录的终端认证方法和装置
WO2017000829A1 (zh) 一种基于生物特征的安全校验方法及客户端、服务器
CN101527633B (zh) 智能密钥设备获取数字证书的方法
CN109981561A (zh) 单体架构系统迁移到微服务架构的用户认证方法
CN102624720B (zh) 一种身份认证的方法、装置和系统
CN110069908A (zh) 一种区块链的权限控制方法及装置
CN106452772B (zh) 终端认证方法和装置
CA2884775C (en) Method for phone authentication in e-business transactions and computer-readable recording medium having program for phone authentication in e-business transactions recorded thereon
WO2014048749A1 (en) Inter-domain single sign-on
CN106452782A (zh) 为终端设备生成安全通信信道的方法和系统
KR102252086B1 (ko) 블록체인 기반의 권한 인증 방법, 단말 및 이를 이용한 서버
WO2014109881A1 (en) Methods and apparatus for increased security in issuing application tokens
JP7309261B2 (ja) 生体決済機器の認証方法、生体決済機器の認証装置、コンピュータ機器、及びコンピュータプログラム
KR20140127303A (ko) 다중 팩터 인증 기관
CN109388937B (zh) 一种多因子身份认证的单点登录方法及登录系统
CN112953970A (zh) 一种身份认证方法及身份认证系统
CN111447245A (zh) 一种认证方法、装置、电子设备和服务端
CN110177124A (zh) 基于区块链的身份认证方法及相关设备
CN112383401B (zh) 一种提供身份鉴别服务的用户名生成方法及系统
CN103414699A (zh) 客户端证书认证方法、服务器和客户端
CN109462572B (zh) 基于加密卡和UsbKey的多因子认证方法、系统、存储介质及安全网关
CN111147525A (zh) 基于api网关的认证方法、系统、服务器和存储介质
CN111147501A (zh) 一种蓝牙钥匙查询方法及其装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant