CN110213248B

CN110213248B - 一种离线环境下授权方法和装置

Info

Publication number: CN110213248B
Application number: CN201910416957.7A
Authority: CN
Inventors: 许振兴; 朱留锋; 荣强
Original assignee: Wuhan Dengta Interactive Culture Communication Co ltd
Current assignee: Wuhan Dengta Interactive Culture Communication Co ltd
Priority date: 2019-05-20
Filing date: 2019-05-20
Publication date: 2022-02-18
Anticipated expiration: 2039-05-20
Also published as: CN110213248A

Abstract

本发明涉及安全认证技术领域，提供了一种离线环境下授权方法和装置。方法包括云端授权系统获取用户通过第一终端输入的授权码请求；云端授权系统生成第一授权码，并根据预设的方式，将所述第一授权码发送给所述第一终端或者第二终端；用户将通过所述第一终端或者第二终端获取到的第一授权码输入到第三终端中，所述第三终端根据预先设定好的，且与云端授权系统相一致的授权码生成机制，生成第三终端本地的第二授权码；所述第三终端在匹配第一授权码和第二授权码相同时，确定给与所述第三终端中使用指定应用的权限。本发明避免了涉及应用软件所在主体的第三终端接入网络环境，使其保持在离线安全环境下完成授权认证。

Description

一种离线环境下授权方法和装置

【技术领域】

本发明涉及安全认证技术领域，特别是涉及一种离线环境下授权方法和装置。

【背景技术】

金融证券领域是一个信息高度敏感的行业，市场对信息的反映极其强烈，提前预知如财务消息、重大收购等消息可能对公司股价产生很大的波动，因此在公布之前，对内幕信息的保护极其中，但当前信息社会，办公自动化是趋势，不可避免有众多软件开放商需要提供更高效快捷的软件来协助上市公司提高工作效率。

但如果采用目前最为普遍的互联网软件形态，很有可能被第三方通过技术手段截取，而直接发送主机单机程序给用户在无网环境下使用，权限控制难度较大，软件开发商的权益可能无法得到保障。因此，如何在机制设计上保证软件使用安全，防止信息泄漏，又能保证软件开发商的权益，是一个需要解决的问题。

鉴于此，克服该现有技术所存在的缺陷是本技术领域亟待解决的问题。

【发明内容】

本发明要解决的技术问题是如何在机制设计上保证软件使用安全，防止信息泄漏，又能保证软件开发商的权益。

本发明采用如下技术方案：

第一方面，本发明提供了一种离线环境下授权方法，包括：

云端授权系统获取用户通过第一终端输入的授权码请求，其中，所述授权码请求中携带授权期限、授权对象、授权模式、授权缴费信息中的一项或者多项；

云端授权系统生成第一授权码，并根据预设的方式，将所述第一授权码发送给所述第一终端或者第二终端；

用户将通过所述第一终端或者第二终端获取到的第一授权码输入到第三终端中，所述第三终端根据预先设定好的，且与云端授权系统相一致的授权码生成机制，生成第三终端本地的第二授权码；

所述第三终端在匹配第一授权码和第二授权码相同时，确定给与所述第三终端中使用指定应用的权限。

优选的，所述第一终端为智能手机、平板电脑、台式机和服务器中的一种或者多种；所述第二终端为具有短信接收功能的主机、功能机或者智能手机。

优选的，所述授权请求中携带授权对象中包括CPU标识、BIOS标识和BASE标识中的至少一项机器码；则所述云端授权系统生成第一授权码，具体包括：

云端授权系统根据当前时间和所述机器码，采用预设加密算法，生成第一秘钥；其中，所述当前时间为接收到授权码请求的时间，或者为开始生成所述第一秘钥的时间；

云端授权系统根据指定字符串起始位置和指定长度字符串，在所述第一秘钥中获取第一授权码；

其中，当前时间的时间粒度，根据授权模式设置，时间粒度包括分钟、小时、日期或者月份。

优选的，所述第三终端根据预先设定好的，且与云端授权系统相一致的授权码生成机制，具体包括：

第三终端根据本机时间和自身机器码，采用预设加密算法，生成第二秘钥；其中，本机时间为获取到输入第一授权码时间、为启动授权验证的时间，或者开始生成所述第二秘钥时间；

第三终端根据与云端授权系统相同设置的，指定字符串起始位置和指定长度字符串，在所述第二秘钥中获取第二授权码；

其中，所述第三终端用于计算第二秘钥所使用的本机时间与云端授权系统所使用的所述当前时间，具有相同的时间粒度。

优选的，所述预设加密算法为HASH算法，包括MD5、SHA、HMAC、RIPE-MD、HAVAL、N-Hash和Tiger中第一种或者多种。

优选的，在所述方法中，所述授权期限包括指定月数、指定年数和终生中的一种或者多种；

所述授权对象包括CPU标识、BIOS标识和BASE标识中的至少一项机器码；或者，用户身份标识；

所述授权模式包括第一授权码在指定秒数内有效、第一授权码在指定天数内有效、第一授权码在指定月数内有效中的一项或者多项；

授权缴费信息包括缴费单号或者同步缴费请求。

优选的，若授权对象具体为用户身份标识，授权模式为指定天数或者指定月数内有效；则所述第三终端根据预先设定好的，且与云端授权系统相一致的授权码生成机制，生成第三终端本地的第二授权码，具体包括：

第三终端一次性的根据授权模式中包含的各时间粒度，生成对应于各时间粒度的第二授权码；

第三终端逐一的将对应各时间粒度的第二授权码，与所述第一授权码进行匹配，若匹配成功，确定给与所述第三终端中使用指定应用的权限；

其中，云端授权系统生成第一授权码具体为：

根据当前时间和/或用户身份标识，采用预设加密算法，生成第一秘钥；其中，所述当前时间为接收到授权码请求的时间，或者为开始生成所述第一秘钥的时间；

云端授权系统根据指定字符串起始位置和指定长度字符串，在所述第一秘钥中获取第一授权码。

优选的，所述云端授权系统获取用户通过第一终端输入的授权码请求，具体包括：

用户通过登录账号和密码，建立第一终端和云端授权系统的数据连接，用户通过第一终端向云端授权系统发起授权码请求。

优选的，所述授权码请求中还携带第一图片；其中，所述第一图片为用户指定的一图片、桌面截图，或者从预备图片组中随机抽选；则所述云端授权系统生成第一授权码，具体包括：

云端授权系统根据图像识别出在所述第一图片中的一个或者多个字符对象，以及相应字符对象的像素坐标；

云端授权系统根据当前时间和所述字符对象，采用预设加密算法，生成第一秘钥；其中，所述当前时间为接收到授权码请求的时间，或者为开始生成所述第一秘钥的时间；

则进一步的，云端授权系统将所述第一授权码发送给所述第一终端或者第二终端的同时，还携带上述像素坐标；

用户将通过所述第一终端或者第二终端获取到的第一授权码、第一图片和像素坐标，输入到第三终端中，所述第三终端根据自身时间和所述字符对象，采用预设加密算法，生成第二秘钥；第三终端根据指定字符串起始位置和指定长度字符串，在所述第二秘钥中获取第二授权码；

第二方面，本发明还提供了一种离线环境下授权装置，用于实现第一方面所述的离线环境下授权方法，所述装置包括：

至少一个处理器；以及，与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被程序设置为执行第一方面所述的离线环境下授权方法。

第三方面，本发明还提供了一种非易失性计算机存储介质，所述计算机存储介质存储有计算机可执行指令，该计算机可执行指令被一个或多个处理器执行，用于完成第一方面所述的第一终端的方法执行内容。

本发明提供了一种离线环境下应用使用到授权认证方法，克服了在线式认证方式容易被抓包、破解软件的风险，避免了软件开发方的研发风险。并在，在本发明中，利用了远端授权系统的双向信息交互方式，以及安装应用的第三终端的单向的信息获取方式，对于远端授权系统来说，其一方面获取第一终端的授权请求，另一方面向第一终端或者第二终端发送第一授权码；对于第三终端来说，其单向的获取用户输入的第一授权码，避免了涉及应用软件所在主体的第三终端接入网络环境，使其保持在离线安全环境下，即可通过本发明方法完成授权验证。

【附图说明】

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例中所需要使用的附图作简单地介绍。显而易见地，下面所描述的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种离线环境下授权方法的流程示意图；

图2是本发明实施例提供的一种云端授权系统生成第一授权码方法流程图；

图3是本发明实施例提供的一种第三终端生成第二授权码方法流程图；

图4是本发明实施例提供的一种带图片的离线环境下授权方法的流程示意图；

图5是本发明实施例提供的一种离线环境下授权装置结构示意图。

【具体实施方式】

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

在本发明的描述中，术语“内”、“外”、“纵向”、“横向”、“上”、“下”、“顶”、“底”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明而不是要求本发明必须以特定的方位构造和操作，因此不应当理解为对本发明的限制。

此外，下面所描述的本发明各个实施方式中所涉及到的技术特征只要彼此之间未构成冲突就可以相互组合。

实施例1:

本发明实施例1提供了一种离线环境下授权方法，该方法主要是应用于一种安装有需要离线工作应用的第三终端，如何与云端授权系统完成授权认证的过程。在本发明各实施例中，所涉及的第一终端、第二终端、第三终端，均可以采用PC或者智能终端来实现，其中，对于第二终端来说，其本身作用就是起到提高信息传输网络复杂度，增加黑客拦截难度，并且，在实施例中完成的功能更多的就是起到接收第一授权码的作用，因此，所述第二终端还可以采用普通的仅具有短消息结构功能的功能机。在本发明实施例中，云端授权系统仅仅是为了描述方便起的对象称呼，其实际表现形式可以一台主机服务器，也可以是多台主机构成的虚拟云系统，在本发明中并不做特殊限定。接下来，具体阐述所述方法的实现，如图1所示，包括：

在步骤201中，云端授权系统获取用户通过第一终端输入的授权码请求。其中，用户可以通过登录账号和密码，建立第一终端和云端授权系统的数据连接，用户通过第一终端向云端授权系统发起授权码请求。

其中，所述授权码请求中携带授权期限、授权对象、授权模式、授权缴费信息中的一项或者多项。具体实现时，可以仅包含授权期限；也可以是授权期限和授权兑现该组合，此时会约束后续第一授权码允许使用的终端主体；还可以携带授权模式的，例如进一步拓宽授权的时效性，即是即时有效(例如1分钟以内)；还是可以延展到1个月内有效；甚至于是终生有效等等。

所述授权期限包括指定月数、指定年数和终生中的一种或者多种；

授权缴费信息包括缴费单号或者同步缴费请求。

在步骤202中，云端授权系统生成第一授权码，并根据预设的方式，将所述第一授权码发送给所述第一终端或者第二终端。

其中，若所述第一授权码是发给第二终端的话，相对于所述第一授权码发给第一终端的方式，拉长了整个信令交互的逻辑链，并复杂化了交互对象；尤其是在当下每一个用户都携带有智能手机的情况下，若以智能手机作为第二终端，则相比较直接发送第一授权码给第一终端而言，对于用户的操作不会增加任何难度和繁琐过程，但是从安全性和可破解性来说，都有了很大程度的提高。尤其是，发送给第二终端的方式是短信方式时候，其安全性会比通过互联网方式将所述第一授权码发送给第一终端，进一步高几个数量级。

在步骤203中，用户将通过所述第一终端或者第二终端获取到的第一授权码输入到第三终端中，所述第三终端根据预先设定好的，且与云端授权系统相一致的授权码生成机制，生成第三终端本地的第二授权码。

操作时候，步骤203的形式可以是多样的，例如：

可以是用户A通过第一终端集中获取到对应多个第三终端(此时，第三终端可以理解是在表述一类型的终端)的一组第一授权码；然后由用户A统一的分发给群组B中各用户，然后由群组B中各用户在各自的第三终端中完成本发明实施例的后续步骤中的授权认证过程。对于这种方式，所述第二终端还可以就是群组B中各用户所持有的智能手机。

还可以是用户A通过自己的智能手机完成步骤201-203中与云端授权系统的交互过程，并在获取到第一授权码后，输入自己控制的第三终端，并完成本发明实施例的后续步骤中的授权认证过程。

通过上面介绍，可知本发明实施例提供的是一种可支撑多模式实现的离线授权认证方案，具体采用哪种模式进行执行，可以根据具体的应用场景需求进行调整；此处，并不做为限缩本发明保护范围的内容。

在步骤204中，所述第三终端在匹配第一授权码和第二授权码相同时，确定给与所述第三终端中使用指定应用的权限。

本发明实施例提供了一种离线环境下应用使用到授权认证方法，克服了在线式认证方式容易被抓包、破解软件的风险，避免了软件开发方的研发风险。并在，在本发明实施例中，利用了远端授权系统的双向信息交互方式，以及安装应用的第三终端的单向的信息获取方式，对于远端授权系统来说，其一方面获取第一终端的授权请求，另一方面向第一终端或者第二终端发送第一授权码；对于第三终端来说，其单向的获取用户输入的第一授权码，避免了涉及应用软件所在主体的第三终端接入网络环境，使其保持在离线安全环境下，即可通过本发明方法完成授权验证。

在本发明实施例中，所述授权请求中携带授权对象中包括CPU标识、BIOS标识和BASE标识中的至少一项机器码；例如：机器码＝CPUID+BIOSID+BASEID的方式呈现，或者，以机器码＝BIOSID+BASEID，或者，直接以机器码＝BIOSID方式呈现，其他延伸形式，以及可能引入的新参数组合，同样属于本发明共同发明构思范畴内，在此不再赘述。则所述云端授权系统生成第一授权码，如图2所示，具体包括：

在步骤301中，云端授权系统根据当前时间和所述机器码，采用预设加密算法，生成第一秘钥。

其中，所述当前时间为接收到授权码请求的时间，或者为开始生成所述第一秘钥的时间。

在步骤302中，云端授权系统根据指定字符串起始位置和指定长度字符串，在所述第一秘钥中获取第一授权码。

此处，指定字符串起始位置和指定长度字符串中，字符串所指代的便是所述第一秘钥；由于通过加密算法计算得到的第一秘钥通常为一长度超过常规授权码设置要求的，因此，最为简便的方法就是和第三终端中的应用软件协商好，采用相一致的截取方式，经由截取所述第一秘钥得到第一授权码。

其中，当前时间的时间粒度，根据授权模式设置，时间粒度包括分钟、小时、日期或者月份。这里所述的时间粒度，即表现为生成第一秘钥时，作为当前时间的参数内容，例如：粒度为小时时，则相应的当前时间可以表现为2019-5-17-12；力度为日期时，则相应的当前时间可以表现为2019-5-17，等等。

依据上述步骤301-302细化的特征内容，对应的在本发明实施例中相应第三终端的授权验证过程也存在对应的执行内容；所述第三终端根据预先设定好的，且与云端授权系统相一致的授权码生成机制，如图3所示，具体包括：

在步骤401中，第三终端根据本机时间和自身机器码，采用预设加密算法，生成第二秘钥。

其中，本机时间为获取到输入第一授权码时间、为启动授权验证的时间，或者开始生成所述第二秘钥时间。

在步骤402中，第三终端根据与云端授权系统相同设置的，指定字符串起始位置和指定长度字符串，在所述第二秘钥中获取第二授权码。

在本发明实施例中，若授权对象具体为用户身份标识，授权模式为指定天数或者指定月数内有效；则所述第三终端根据预先设定好的，且与云端授权系统相一致的授权码生成机制，生成第三终端本地的第二授权码，具体包括：

其中，云端授权系统生成第一授权码具体为：

实施例2：

在提出了实施例1的实现方案之后，本发明实施例进一步从安全性考虑，创造性的融入了随机图片，以及云端授权系统通过所述随机图片中识别出有效字符，作为本发明实施例1中加密算法的组成要素，并且，将相应识别出的有效字符的像素坐标码发送给第一终端或者第二终端的方式，使得用户侧能够在第三终端中还原出上述图片中所使用的字符，从而进一步保证授权认证的安全性；其中，第三终端获取所述图片和像素坐标码的方式，可以是由用户操作，从第一终端和/或第二终端侧获取。因此，在本发明实施例实现过程中，所述授权码请求中还携带第一图片；其中，所述第一图片为用户指定的一图片、桌面截图，或者从预备图片组中随机抽选；则所述云端授权系统生成第一授权码，如图4所示，具体包括：

在步骤501中，云端授权系统根据图像识别出在所述第一图片中的一个或者多个字符对象，以及相应字符对象的像素坐标。

其中，图像识别算法可以借鉴现有已经成熟的技术实现，而相应的图像识别功能并非本发明的发明点，在此不再赘述。而为了提高安全性，云端授权系统选择字符对象的方式可以采用一种随机算法方式实现。

在步骤502中，云端授权系统根据当前时间和所述字符对象，采用预设加密算法，生成第一秘钥；其中，所述当前时间为接收到授权码请求的时间，或者为开始生成所述第一秘钥的时间。

所述第一秘钥的可以是，直接将所述当前时间和所述字符对象作为HASH算法的输入参数，通过HASH计算得到第一秘钥。而在步骤502仅仅给与了当前时间和所述字符对象的组合方式，只是出于典型性考虑；在具体实现过程中，还可以引入实施例1中的机器码。

在步骤503中，云端授权系统根据指定字符串起始位置和指定长度字符串，在所述第一秘钥中获取第一授权码。

此处的步骤503的实现和实施例1中的相似，具体可以参照实施例1中实现内容，在此不再赘述。

在步骤504中，云端授权系统将所述第一授权码发送给所述第一终端或者第二终端的同时，还携带上述像素坐标。

在步骤505中，用户将通过所述第一终端或者第二终端获取到的第一授权码、第一图片和像素坐标，输入到第三终端中，所述第三终端根据自身时间和所述字符对象，采用预设加密算法，生成第二秘钥。

其中，第三终端中的应用在启动激活程序时，会调取所述第一图片，并根据所述像素坐标识别所述图片上的字符对象，从而实现与云端授权系统采用相同的加密算法生成第二秘钥。

在步骤506中，第三终端根据指定字符串起始位置和指定长度字符串，在所述第二秘钥中获取第二授权码。

其中，指定字符串起始位置和指定长度字符串的设置是应用在出厂时候就设置好的，且与云端授权系统采用相同机制实现。

在步骤507中，所述第三终端在匹配第一授权码和第二授权码相同时，确定给与所述第三终端中使用指定应用的权限。

实施例3：

如图5所示，是本发明实施例的离线环境下授权装置的架构示意图。本实施例的离线环境下授权装置包括一个或多个处理器21以及存储器22。其中，图5中以一个处理器21为例。

处理器21和存储器22可以通过总线或者其他方式连接，图5中以通过总线连接为例。

存储器22作为一种离线环境下授权方法和装置非易失性计算机可读存储介质，可用于存储非易失性软件程序和非易失性计算机可执行程序，如实施例1中的离线环境下授权方法。处理器21通过运行存储在存储器22中的非易失性软件程序和指令，从而执行离线环境下授权方法中对应于第一终端的方法内容。

存储器22可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非易失性固态存储器件。在一些实施例中，存储器22可选包括相对于处理器21远程设置的存储器，这些远程存储器可以通过网络连接至处理器21。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

所述程序指令/模块存储在所述存储器22中，当被所述一个或者多个处理器21执行时，执行上述实施例1中的离线环境下授权方法，例如，执行以上描述的图1和图3所示的对应第一终端的各个步骤。

值得说明的是，上述装置和系统内的模块、单元之间的信息交互、执行过程等内容，由于与本发明的处理方法实施例基于同一构思，具体内容可参见本发明方法实施例中的叙述，此处不再赘述。

本领域普通技术人员可以理解实施例的各种方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：只读存储器(ROM，Read Only Memory)、随机存取存储器(RAM，Random AccessMemory)、磁盘或光盘等。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims

1.一种离线环境下授权方法，其特征在于，包括：

所述第三终端在匹配第一授权码和第二授权码相同时，确定给与所述第三终端中使用指定应用的权限；

若授权对象具体为用户身份标识，授权模式为指定天数或者指定月数内有效；则所述第三终端根据预先设定好的，且与云端授权系统相一致的授权码生成机制，生成第三终端本地的第二授权码，具体包括：

其中，云端授权系统生成第一授权码具体为：

2.根据权利要求1所述的离线环境下授权方法，其特征在于，所述第一终端为智能手机、平板电脑、台式机和服务器中的一种或者多种；所述第二终端为具有短信接收功能的主机、功能机或者智能手机。

3.根据权利要求1所述的离线环境下授权方法，其特征在于，所述授权码请求中携带授权对象中包括CPU标识、BIOS标识和BASE标识中的至少一项机器码；则所述云端授权系统生成第一授权码，具体包括：

4.根据权利要求3所述的离线环境下授权方法，其特征在于，所述第三终端根据预先设定好的，且与云端授权系统相一致的授权码生成机制，具体包括：

第三终端根据本机时间和自身机器码，采用预设加密算法，生成第二秘钥；其中，本机时间为获取到输入第一授权码时间、为启动授权验证的时间，或者开始生成所述第二秘钥的时间；

5.根据权利要求3或4所述的离线环境下授权方法，其特征在于，所述预设加密算法为HASH算法，包括MD5、SHA、HMAC、RIPE-MD、HAVAL、N-Hash和Tiger中第一种或者多种。

6.根据权利要求1所述的离线环境下授权方法，其特征在于，在所述方法中，

授权缴费信息包括缴费单号或者同步缴费请求。

7.根据权利要求1所述的离线环境下授权方法，其特征在于，所述云端授权系统获取用户通过第一终端输入的授权码请求，具体包括：

8.根据权利要求1所述的离线环境下授权方法，其特征在于，所述授权码请求中还携带第一图片；其中，所述第一图片为用户指定的一图片、桌面截图，或者从预备图片组中随机抽选；则所述云端授权系统生成第一授权码，具体包括：

9.一种离线环境下授权装置，其特征在于，所述装置包括：

至少一个处理器；以及，与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被程序设置为执行权利要求1-8任一中对应第一终端的方法执行内容。