CN110661800A - 一种支持保证级别的多因子身份认证方法 - Google Patents

一种支持保证级别的多因子身份认证方法 Download PDF

Info

Publication number
CN110661800A
CN110661800A CN201910909113.6A CN201910909113A CN110661800A CN 110661800 A CN110661800 A CN 110661800A CN 201910909113 A CN201910909113 A CN 201910909113A CN 110661800 A CN110661800 A CN 110661800A
Authority
CN
China
Prior art keywords
authentication
factor
user
level
identity
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201910909113.6A
Other languages
English (en)
Inventor
龚自洪
石波
马书磊
吴朝雄
谭旭升
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Institute of Computer Technology and Applications
Original Assignee
Beijing Institute of Computer Technology and Applications
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Institute of Computer Technology and Applications filed Critical Beijing Institute of Computer Technology and Applications
Priority to CN201910909113.6A priority Critical patent/CN110661800A/zh
Publication of CN110661800A publication Critical patent/CN110661800A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • General Health & Medical Sciences (AREA)
  • Power Engineering (AREA)
  • Collating Specific Patterns (AREA)

Abstract

本发明涉及一种多因子身份认证方法，其中，包括：步骤1、预定义认证保证级别；认证保证级别定义为三级，级别一、级别二以及级别三，根据认证因子的秘密来源、认证因子是否包含密码协议以及认证因子载体实现类型三个维度综合进行定义；步骤2、进行用户身份注册；步骤3、用户选择认证因子组合；步骤4、进行多因子身份认证；步骤5、认证服务器根据用户选择的认证因子组合，与预定义认证保证级别进行比较判断，输出本次身份认证的认证保证级别，判断时，从高级别向低级别顺序进行验证，首先验证是否满足级别三，再验证是否满足级别二，最后验证是否满足级别一；步骤6、输出本次身份认证的认证保证级别。

Description

一种支持保证级别的多因子身份认证方法
技术领域
本发明涉及网络安全技术领域，提出一种支持保证级别的多因子身份认证方法。
背景技术
随着信息和网络技术的飞速发展，人们的工作和生活已经越来越依赖于各种网络应用和服务。网络应用和服务为人们带来便利的同时，也面临各种网络安全攻击，导致信息资源被非法泄露、盗用或者破坏等问题。身份认证是网络应用和服务安全防护的第一道防线，也是实施资源授权、访问控制、安全审计等措施的前提。目前，已经有多种身份认证方法，不同的身份认证方法具有不同的安全特性和使用便捷性，如何平衡安全性和便捷性，满足多样化网络应用和服务的需求是身份认证方法研究的重点之一。
认证因子是用户所有并借以证明身份的凭据，可以从几个不同维度对认证因子进行分类。一是从认证因子的秘密来源维度，可分为基于用户所知道的秘密，包括静态口令、动态口令等；基于用户所属的生物特征秘密，包括指纹、指静脉等；基于用户所持有的秘密介质，包括USBKEY、智能卡等。二是从认证因子是否包含密码协议维度，可分为基于密码协议的认证，如采用非对称密码机制或对称密码机制的USBKEY；不基于密码协议的认证，如采用静态口令、生物特征。三是从认证因子载体实现类型维度，可分为软实现的认证因子和硬实现的认证因子，例如动态口令既可采用硬件令牌实现，也可采用软件模块实现。
不同的认证因子被攻击难度存在差异。已有的身份认证方法有的采用单因子身份认证，安全强度不够；有的采用多因子认证，但对不同的多因子组合都只给出认证成功是/否的结论，不能反映具体认证因子组合安全强度的差异。本发明提出的支持安全保证级别的多因子身份认证方法的基本思想是：一是采用多因子的身份认证方法，包括静态口令、动态口令、指纹、指静脉、人脸、虹膜、基于非对称密码机制的USBKEY。二是按照一定的安全策略，基于认证因子的安全性强度预定义多因子组合认证的安全保证级别，用户认证成功后，同时根据用户选用的认证因子得到当次认证的安全保证级别，将认证结果和安全保证级别提供给应用，方便应用进行更精细化的资源访问决策。
发明内容
本发明的目的在于提供一种多因子身份认证方法，用于解决上述现有技术的问题。
本发明一种多因子身份认证方法，其中，包括：步骤1、预定义认证保证级别；认证保证级别定义为三级，级别一、级别二以及级别三，根据认证因子的秘密来源、认证因子是否包含密码协议以及认证因子载体实现类型三个维度综合进行定义；步骤2、进行用户身份注册；步骤3、用户选择认证因子组合；步骤4、进行多因子身份认证；步骤5、认证服务器根据用户选择的认证因子组合，与预定义认证保证级别进行比较判断，输出本次身份认证的认证保证级别，判断时，从高级别向低级别顺序进行验证，首先验证是否满足级别三，再验证是否满足级别二，最后验证是否满足级别一；步骤6、输出本次身份认证的认证保证级别。
根据本发明的多因子身份认证方法的一实施例，其中，预定义认证保证级别，认证保证级别基于认证因子被攻击可能性的经验性判断进行定义。
根据本发明的多因子身份认证方法的一实施例，其中，用户身份注册分配用户唯一标识，登记用户的身份信息以及认证因子，身份信息是用户一系列身份属性，认证因子支持静态口令、动态口令、指纹、指静脉、人脸、虹膜以及基于非对称密码机制的USBKEY，不同的认证因子注册的信息不同，用户注册成功后，为用户分配用户证书及相应密钥，用于保证身份认证过程用户意愿的真实性表达。
根据本发明的多因子身份认证方法的一实施例，其中，根据当次认证环境的是否已经注册了静态口令、是否具有生物特征采集设备以及将访问的应用系统的认证需求，选择具体的认证因子组合。
根据本发明的多因子身份认证方法的一实施例，其中，根据用户选择的认证因子组合，逐一针对各个因子进行身份认证，应是每个认证因子均认证成功，多因子身份认证结果才能输出成功，否则输出失败。
根据本发明的多因子身份认证方法的一实施例，其中，应用客户端访问应用服务器时，应用服务器会将客户端请求重定向到认证服务器，认证服务器和认证客户端执行身份认证协议，认证结束后，认证服务器将认证断言发送给应用服务器，应用服务器执行后续的资源访问控制策略。
根据本发明的多因子身份认证方法的一实施例，其中，三个维度的认证保证级别具体定义为：级别1：采用任意一种身份认证因子；级别2：采用两种及两种以上身份认证因子，至少一种认证因子包含密码协议；级别3：采用两种及两种以上身份认证因子，至少一种认证因子包含密码协议，以及至少一种认证因子载体采用硬件实现。
根据本发明的多因子身份认证方法的一实施例，其中，认证因子包括静态口令、动态口令、指纹、指静脉、人脸、虹膜以及基于非对称密码机制的USBKEY，不同的认证因子注册的信息不同，静态口令包括：注册用户名和用户静态口令；动态口令包括：注册用户名以及动态口令令牌硬件唯一标识；指纹包括：注册用户的指纹生物特征模板；指静脉包括：注册用户的指静脉生物特征模板；人脸包括：注册用户的人脸生物特征模板；虹膜包括：注册用户的红魔生物特征模板；非对称密码机制的USBKEY，注册USBKEY对应的公钥证书CertKey，USBKEY内包含私钥SkKey；用户注册成功后，为用户分配用户证书CertUser和相应私钥SkUser。
根据本发明的多因子身份认证方法的一实施例，其中，对结果的输出，若步骤身份认证失败，则输出失败；若身份认证成功，则输出成功和产生的认证保证级别。
根据本发明的多因子身份认证方法的一实施例，其中，步骤4具体包括：认证服务器根据用户选择的认证因子组合，发送认证请求，若认证因子包含动态口令或者非对称密码机制的USBKEY，则认证服务器发送的认证请求包含随机数Rs，文本字段text，认证服务器通过签名函数Sign输出的签名Sign(text|Rs)，将三个部分内容连接后得到认证请求text|Rs|Sign(text|Rs)；认证客户端根据所选择的认证因子组合，逐一进行身份认证，如果选择了指纹身份认证，则采集用户指纹特征fiT’，传输给认证服务器进行比较；如果认证因子包含动态口令，则采用消息认证码函数MAC输出Mac(text|Rs|Time)作为动态口令，返回信息fiT’|Mac(text|Rs|Time)；如果包含非对称密码机制的USBKEY，则采用签名函数输出SignSkKey(text|Rs)，返回信息fiT’|SignSkKey(text|Rs)；认证服务器对认证客户端返回的信息进行逐一验证，若选择了指纹验证，则验证fiT’与fiT是注册的指纹特征模板是否匹配。如果认证因子包含动态口令，则验证Mac(text|Rs|Time)与本地计算的Mac(text|Rs|Time)是否一致；如果包含非对称密码机制的USBKEY，则采用签名验证函数Verify验证VerifyCertKey(text|Rs)是否成功，签名验证函数与签名函数对应，对于采用私钥SkKey签名的消息，采用对应公钥证书CertKey验证结果应该为真，如果签名验证函数输出结果为真，则表示认证成功，如果签名验证函数输出结果为假，则表示认证失败，上述的参数Time表示对应的时间戳。
发明人发现，单因子认证都存在客观上的缺陷，比如静态口令容易遗忘，被猜测，生物特征可能被伪造、冒用，智能卡、USBKEY等硬件介质则可能被复制、丢失。本发明将结合安全等级理念，设计一种支持认证保证级别的多因子认证方法，多因子认证能够弥补单因子认证的缺陷，提升身份认证的安全性。
附图说明
图1所示为多因子身份认证方法示意图；
图2所示为身份认证系统的示意图。
具体实施方式
为使本发明的目的、内容、和优点更加清楚，下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。
图1所示为多因子身份认证方法示意图，如图1所示，本发明支持保证级别的多因子身份认证方法包括：
步骤01)预定义认证保证级别；
认证因子被攻击的可能性存在差异，攻击方法可能包括伪造、冒用、篡改等手段。认证保证级别基于认证因子被攻击可能性的经验性判断进行定义。具体的定义方法可以采用逐一枚举法、定量计算法等。认证保证级别的数量应当适中，不宜太少，防止对认证因子安全强度反映不充分，也不宜太多，防止认证保证级别缺乏通用性。本发明将认证保证级别定义为三级，具体根据认证因子的秘密来源、认证因子是否包含密码协议、认证因子载体实现类型三个维度综合进行定义。
步骤02)用户身份注册。
用户身份注册分配用户唯一标识，登记用户的身份信息、认证因子。身份信息是用户一系列身份属性。本发明的认证因子支持静态口令、动态口令、指纹、指静脉、人脸、虹膜、基于非对称密码机制的USBKEY。不同的认证因子注册的信息不同。用户注册成功后，为用户分配用户证书及相应密钥，用于保证身份认证过程用户意愿的真实性表达。
步骤03)用户选择认证因子组合。
具体认证过程中，用户根据当次认证环境的具体能力(例如是否已经注册了静态口令、是否具有生物特征采集设备、将访问的应用系统的认证需求)，选择具体的认证因子组合。
步骤04)多因子身份认证。
根据用户选择的认证因子组合，逐一针对各个因子进行身份认证，应是每个认证因子均认证成功，多因子身份认证结果才能输出成功，否则输出失败。
步骤05)认证保证级别判断。
根据用户选择的认证因子组合，与步骤01)预定义认证保证级别进行比较判断，输出本次身份认证的认证保证级别。
步骤06)输出结果。
根据步骤01和步骤05，输出本次身份认证的结果，若步骤04)身份认证失败，则输出失败；若步骤04)身份认证成功，则输出成功和步骤05)产生的认证保证级别。
如图1所示，身份认证系统涉及到三方，包括认证服务器、应用服务器、客户端，客户端包括认证客户端模块和应用客户端模块。应用客户端访问应用服务器时，应用服务器会将客户端请求重定向到认证服务器，认证服务器和认证客户端执行身份认证协议，认证结束后，认证服务器将认证断言发送给应用服务器，应用服务器执行后续的资源访问控制策略。
图2所示为身份认证系统的示意图，如图1以及图2所示，多因子身份认证系统的执行过程包括：
步骤01)预定义认证保证级别。
认证服务器预定义认证保证级别。认证保证级别(L)定义为三级，具体根据认证因子的秘密来源、认证因子是否包含密码协议、认证因子载体实现类型三个维度综合进行定义。三个维度的认证保证级别具体定义为：
级别1：采用任意一种身份认证因子。
级别2：采用两种及两种以上身份认证因子，至少一种认证因子包含密码协议。
级别3：采用两种及两种以上身份认证因子，至少一种认证因子包含密码协议，至少一种认证因子载体采用硬件实现。
步骤02)用户身份注册。
分配用户唯一标识(id)，登记用户的身份信息(attrs)、认证因子。本发明的认证因子支持静态口令、动态口令、指纹、指静脉、人脸、虹膜、基于非对称密码机制的USBKEY。不同的认证因子注册的信息不同。
针对静态口令，注册用户名(n)和用户静态口令(p)。
针对动态口令，注册用户名(n)、动态口令令牌硬件唯一标识(tid)。
针对指纹，注册用户的指纹生物特征模板(fiT)。
针对指静脉，注册用户的指静脉生物特征模板(fvT)。
针对人脸，注册用户的人脸生物特征模板(faT)。
针对虹膜，注册用户的红魔生物特征模板(irT)。
针对非对称密码机制的USBKEY，注册USBKEY对应的公钥证书(CertKey),USBKEY内包含私钥SkKey。
用户注册成功后，为用户分配用户证书(CertUser)和相应私钥(SkUser)。
步骤03)用户选择认证因子组合。
具体认证过程中，用户根据当次认证环境的具体能力(例如是否已经注册了静态口令、是否具有生物特征采集设备)、将访问的应用服务器的认证需求(例如某些应用服务器指定必须采用某种认证因子)，选择具体的认证因子组合。
步骤04)多因子身份认证。
根据用户选择的认证因子组合，认证服务器对认证客户端逐一针对各个因子进行身份认证，应是每个认证因子均认证成功，多因子身份认证结果才能输出成功，否则输出失败。具体流程如下：
认证服务器根据用户选择的认证因子组合，发送认证请求，若认证因子包含动态口令或者非对称密码机制的USBKEY，则认证服务器发送的认证请求包含随机数Rs以及认证服务器签名，即text|Rs|Sign(text|Rs)。
认证客户端根据所选择的认证因子组合，逐一进行身份认证，例如如果选择了指纹身份认证，则采集用户指纹特征fiT’，传输给认证服务器进行比较。如果认证因子包含动态口令，则返回fiT’|Mac(text|Rs|Time)。如果包含非对称密码机制的USBKEY，则返回fiT’||SignSkKey(text|Rs)。
认证服务器对认证客户端返回的信息进行逐一验证，例如验证fiT’与fiT是否匹配，验证Mac(text|Rs|Time)与本地计算的Mac(text|Rs|Time)是否一致，验证VerifyCertKey(text|Rs)是否成功。
a)认证服务器根据用户选择的认证因子组合，发送认证请求，若认证因子包含动态口令或者非对称密码机制的USBKEY，则认证服务器发送的认证请求包含随机数Rs、文本字段Text，以及认证服务器通过签名函数Sign输出的签名Sign(text|Rs)，将三个部分内容连接(“|”为连接符)后的认证请求即text|Rs|Sign(text|Rs)。
b)认证客户端根据所选择的认证因子组合，逐一进行身份认证，例如如果选择了指纹身份认证，则采集用户指纹特征fiT’，传输给认证服务器进行比较。如果认证因子包含动态口令，则采用消息认证码函数MAC输出Mac(text|Rs|Time)，返回fiT’|Mac(text|Rs|Time)。如果包含非对称密码机制的USBKEY，则采用签名函数输出SignSkKey(text|Rs)，返回fiT’|SignSkKey(text|Rs)。
c)认证服务器对认证客户端返回的信息进行逐一验证，例如验证fiT’与fiT是否匹配，验证Mac(text|Rs|Time)与本地计算的Mac(text|Rs|Time)是否一致；采用签名验证函数Verify验证VerifyCertKey(text|Rs)是否成功，密码学上，签名验证函数与签名函数对应，对于采用私钥SkKey签名的消息，采用对应公钥证书CertKey验证结果应该为真。如果签名验证函数输出结果为真，则表示认证成功，如果签名验证函数输出结果为假，则表示认证失败。
步骤05)认证保证级别判断。
认证服务器根据用户选择的认证因子组合，与步骤01)预定义认证保证级别进行比较判断，输出本次身份认证的认证保证级别。判断时，从高级别向低级别顺序进行验证，即首先验证是否满足级别3，再验证是否满足级别2，最后验证是否满足级别1。用户选择静态口令和基于非对称密码的USBKEY，但USBKEY采用软件模拟，则满足级别2。
步骤06)输出结果。
根据步骤01和步骤05，输出本次身份认证的结果，若步骤04)身份认证失败，则输出失败；若步骤04)身份认证成功，则输出成功和步骤05)产生的认证保证级别。例如，用户选择选择静态口令和软实现的基于非对称密码的USBKEY，则输出<成功，2>。认证服务器输出的认证结果以认证断言形式发送给应用服务器。
发明人发现，单因子认证都存在客观上的缺陷，比如静态口令容易遗忘，被猜测，生物特征可能被伪造、冒用，智能卡、USBKEY等硬件介质则可能被复制、丢失。本发明将结合安全等级理念，设计一种支持认证保证级别的多因子认证方法，多因子认证能够弥补单因子认证的缺陷，提升身份认证的安全性。
以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变形，这些改进和变形也应视为本发明的保护范围。

Claims (10)

1.一种多因子身份认证方法，其特征在于，包括：
步骤1、预定义认证保证级别；
认证保证级别定义为三级，级别一、级别二以及级别三，根据认证因子的秘密来源、认证因子是否包含密码协议以及认证因子载体实现类型三个维度综合进行定义；
步骤2、进行用户身份注册；
步骤3、用户选择认证因子组合；
步骤4、进行多因子身份认证；
步骤5、认证服务器根据用户选择的认证因子组合，与预定义认证保证级别进行比较判断，输出本次身份认证的认证保证级别，判断时，从高级别向低级别顺序进行验证，首先验证是否满足级别三，再验证是否满足级别二，最后验证是否满足级别一；
步骤6、输出本次身份认证的认证保证级别。
2.如权利要求1所述的多因子身份认证方法，其特征在于，预定义认证保证级别，认证保证级别基于认证因子被攻击可能性的经验性判断进行定义。
3.如权利要求1所述的多因子身份认证方法，其特征在于，用户身份注册分配用户唯一标识，登记用户的身份信息以及认证因子，身份信息是用户一系列身份属性，认证因子支持静态口令、动态口令、指纹、指静脉、人脸、虹膜以及基于非对称密码机制的USBKEY，不同的认证因子注册的信息不同，用户注册成功后，为用户分配用户证书及相应密钥，用于保证身份认证过程用户意愿的真实性表达。
4.如权利要求1所述的多因子身份认证方法，其特征在于，根据当次认证环境的是否已经注册了静态口令、是否具有生物特征采集设备以及将访问的应用系统的认证需求，选择具体的认证因子组合。
5.如权利要求1所述的多因子身份认证方法，其特征在于，根据用户选择的认证因子组合，逐一针对各个因子进行身份认证，应是每个认证因子均认证成功，多因子身份认证结果才能输出成功，否则输出失败。
6.如权利要求1所述的多因子身份认证方法，其特征在于，应用客户端访问应用服务器时，应用服务器会将客户端请求重定向到认证服务器，认证服务器和认证客户端执行身份认证协议，认证结束后，认证服务器将认证断言发送给应用服务器，应用服务器执行后续的资源访问控制策略。
7.如权利要求1所述的多因子身份认证方法，其特征在于，三个维度的认证保证级别具体定义为：级别1：采用任意一种身份认证因子；级别2：采用两种及两种以上身份认证因子，至少一种认证因子包含密码协议；级别3：采用两种及两种以上身份认证因子，至少一种认证因子包含密码协议，以及至少一种认证因子载体采用硬件实现。
8.如权利要求1所述的多因子身份认证方法，其特征在于，认证因子包括静态口令、动态口令、指纹、指静脉、人脸、虹膜以及基于非对称密码机制的USBKEY，不同的认证因子注册的信息不同；
静态口令包括：注册用户名和用户静态口令；
动态口令包括：注册用户名以及动态口令令牌硬件唯一标识；
指纹包括：注册用户的指纹生物特征模板；
指静脉包括：注册用户的指静脉生物特征模板；
人脸包括：注册用户的人脸生物特征模板；
虹膜包括：注册用户的红魔生物特征模板；
非对称密码机制的USBKEY，注册USBKEY对应的公钥证书CertKey，USBKEY内包含私钥SkKey；
用户注册成功后，为用户分配用户证书CertUser和相应私钥SkUser。
9.如权利要求1所述的多因子身份认证方法，其特征在于，对结果的输出，若步骤身份认证失败，则输出失败；若身份认证成功，则输出成功和产生的认证保证级别。
10.如权利要求1所述的多因子身份认证方法，其特征在于，步骤4具体包括：
认证服务器根据用户选择的认证因子组合，发送认证请求，若认证因子包含动态口令或者非对称密码机制的USBKEY，则认证服务器发送的认证请求包含随机数Rs，文本字段text，认证服务器通过签名函数Sign输出的签名Sign(text|Rs)，将三个部分内容连接后得到认证请求text|Rs|Sign(text|Rs)；
认证客户端根据所选择的认证因子组合，逐一进行身份认证，如果选择了指纹身份认证，则采集用户指纹特征fiT’，传输给认证服务器进行比较；如果认证因子包含动态口令，则采用消息认证码函数MAC输出Mac(text|Rs|Time)作为动态口令，返回信息fiT’|Mac(text|Rs|Time)；如果包含非对称密码机制的USBKEY，则采用签名函数输出SignSkKey(text|Rs)，返回信息fiT’|SignSkKey(text|Rs)；
认证服务器对认证客户端返回的信息进行逐一验证，若选择了指纹验证，则验证fiT’与fiT是注册的指纹特征模板是否匹配。如果认证因子包含动态口令，则验证Mac(text|Rs|Time)与本地计算的Mac(text|Rs|Time)是否一致；如果包含非对称密码机制的USBKEY，则采用签名验证函数Verify验证VerifyCertKey(text|Rs)是否成功，签名验证函数与签名函数对应，对于采用私钥SkKey签名的消息，采用对应公钥证书CertKey验证结果应该为真，如果签名验证函数输出结果为真，则表示认证成功，如果签名验证函数输出结果为假，则表示认证失败，上述的参数Time表示对应的时间戳。
CN201910909113.6A 2019-09-25 2019-09-25 一种支持保证级别的多因子身份认证方法 Pending CN110661800A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910909113.6A CN110661800A (zh) 2019-09-25 2019-09-25 一种支持保证级别的多因子身份认证方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910909113.6A CN110661800A (zh) 2019-09-25 2019-09-25 一种支持保证级别的多因子身份认证方法

Publications (1)

Publication Number Publication Date
CN110661800A true CN110661800A (zh) 2020-01-07

Family

ID=69039045

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910909113.6A Pending CN110661800A (zh) 2019-09-25 2019-09-25 一种支持保证级别的多因子身份认证方法

Country Status (1)

Country Link
CN (1) CN110661800A (zh)

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111935716A (zh) * 2020-09-29 2020-11-13 统信软件技术有限公司 一种认证方法、认证系统及计算设备
CN112118102A (zh) * 2020-10-21 2020-12-22 国网天津市电力公司 一种电力专用的零信任网络系统
CN112580009A (zh) * 2020-12-22 2021-03-30 北京八分量信息科技有限公司 大数据系统中对用户身份进行认证的方法、装置及相关产品
CN112738043A (zh) * 2020-12-22 2021-04-30 北京八分量信息科技有限公司 大数据系统中对用户身份进行合法性认证的方法、系统及相关产品
CN112968779A (zh) * 2021-02-04 2021-06-15 西安电子科技大学 一种安全认证与授权控制方法、控制系统、程序存储介质
CN114626038A (zh) * 2022-01-26 2022-06-14 安徽点亮网络技术有限公司 一种身份验证方法、系统及装置
CN115459957A (zh) * 2022-08-15 2022-12-09 广州江南科友科技股份有限公司 一种用户自定义多重认证方法、系统、设备及存储介质
CN115529126A (zh) * 2022-08-22 2022-12-27 中国南方电网有限责任公司 一种用于网管的双因子认证系统
CN115640555A (zh) * 2022-11-03 2023-01-24 雷顿电气科技有限公司 一种自动转换开关电器信息的云端操控系统
US11854008B2 (en) 2021-10-05 2023-12-26 Capital One Services, Llc Systems and methods for conducting remote user authentication

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150215319A1 (en) * 2014-01-30 2015-07-30 Symantec Corporation Authentication sequencing based on normalized levels of assurance of identity services
CN107592308A (zh) * 2017-09-13 2018-01-16 西安电子科技大学 一种面向移动支付场景的双服务器多因子认证方法
CN109450959A (zh) * 2019-01-08 2019-03-08 四川九洲电器集团有限责任公司 一种基于威胁等级的多因子身份认证方法
CN109639731A (zh) * 2019-01-22 2019-04-16 西安电子科技大学 多因子通用可组合认证及服务授权方法、通信服务系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150215319A1 (en) * 2014-01-30 2015-07-30 Symantec Corporation Authentication sequencing based on normalized levels of assurance of identity services
CN107592308A (zh) * 2017-09-13 2018-01-16 西安电子科技大学 一种面向移动支付场景的双服务器多因子认证方法
CN109450959A (zh) * 2019-01-08 2019-03-08 四川九洲电器集团有限责任公司 一种基于威胁等级的多因子身份认证方法
CN109639731A (zh) * 2019-01-22 2019-04-16 西安电子科技大学 多因子通用可组合认证及服务授权方法、通信服务系统

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111935716A (zh) * 2020-09-29 2020-11-13 统信软件技术有限公司 一种认证方法、认证系统及计算设备
CN111935716B (zh) * 2020-09-29 2021-02-19 统信软件技术有限公司 一种认证方法、认证系统及计算设备
CN112118102A (zh) * 2020-10-21 2020-12-22 国网天津市电力公司 一种电力专用的零信任网络系统
CN112580009A (zh) * 2020-12-22 2021-03-30 北京八分量信息科技有限公司 大数据系统中对用户身份进行认证的方法、装置及相关产品
CN112738043A (zh) * 2020-12-22 2021-04-30 北京八分量信息科技有限公司 大数据系统中对用户身份进行合法性认证的方法、系统及相关产品
CN112738043B (zh) * 2020-12-22 2023-06-27 北京八分量信息科技有限公司 大数据系统中对用户身份进行合法性认证的方法、系统及相关产品
CN112968779A (zh) * 2021-02-04 2021-06-15 西安电子科技大学 一种安全认证与授权控制方法、控制系统、程序存储介质
US11854008B2 (en) 2021-10-05 2023-12-26 Capital One Services, Llc Systems and methods for conducting remote user authentication
CN114626038A (zh) * 2022-01-26 2022-06-14 安徽点亮网络技术有限公司 一种身份验证方法、系统及装置
CN115459957A (zh) * 2022-08-15 2022-12-09 广州江南科友科技股份有限公司 一种用户自定义多重认证方法、系统、设备及存储介质
CN115529126A (zh) * 2022-08-22 2022-12-27 中国南方电网有限责任公司 一种用于网管的双因子认证系统
CN115640555A (zh) * 2022-11-03 2023-01-24 雷顿电气科技有限公司 一种自动转换开关电器信息的云端操控系统

Similar Documents

Publication Publication Date Title
CN110661800A (zh) 一种支持保证级别的多因子身份认证方法
US20220058655A1 (en) Authentication system
CN111931144B (zh) 一种操作系统与业务应用统一安全登录认证方法及装置
CN106330850B (zh) 一种基于生物特征的安全校验方法及客户端、服务器
US8332637B2 (en) Methods and systems for nonce generation in a token
CN109450959A (zh) 一种基于威胁等级的多因子身份认证方法
EP2115993B1 (en) Method for generating digital fingerprint
US8406428B2 (en) Secure method and apparatus to verify personal identity over a network
US9935953B1 (en) Secure authenticating an user of a device during a session with a connected server
CN107294900A (zh) 基于生物特征的身份注册方法和装置
Parmar et al. A comprehensive study on passwordless authentication
CN105827571B (zh) 基于uaf协议的多模态生物特征认证方法和设备
CN110545274A (zh) 一种基于人证合一的uma服务的方法、装置和系统
CN104820814A (zh) 第二代身份证防伪验证系统
CN107733636A (zh) 认证方法以及认证系统
CN109246133A (zh) 一种基于生物识别的网络接入认证方法
US20230208637A1 (en) Key management method and apparatus
Al Rousan et al. A comparative analysis of biometrics types: literature review
WO2015062441A1 (zh) CGI web界面下的多会话验证码的产生及验证方法
Sethuraman et al. Metasecure: A passwordless authentication for the metaverse
AlRousan et al. Multi-factor authentication for e-government services using a smartphone application and biometric identity verification
CN111131140B (zh) 基于消息推送增强Windows操作系统登录安全性的方法和系统
CN110505199A (zh) 基于轻量级非对称身份的Email安全登录方法
Bechelli et al. Biometrics authentication with smartcard
CN102457484A (zh) 用户名密码认证加校验码两者集合来验证用户信息的方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20200107