CN111177686B - 一种身份认证方法、装置及相关设备 - Google Patents

一种身份认证方法、装置及相关设备 Download PDF

Info

Publication number
CN111177686B
CN111177686B CN201911417640.1A CN201911417640A CN111177686B CN 111177686 B CN111177686 B CN 111177686B CN 201911417640 A CN201911417640 A CN 201911417640A CN 111177686 B CN111177686 B CN 111177686B
Authority
CN
China
Prior art keywords
user
server
authentication
verification code
identity
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201911417640.1A
Other languages
English (en)
Other versions
CN111177686A (zh
Inventor
韩长垚
周迪超
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Cloud Computing Technologies Co Ltd
Original Assignee
Huawei Cloud Computing Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Cloud Computing Technologies Co Ltd filed Critical Huawei Cloud Computing Technologies Co Ltd
Priority to CN201911417640.1A priority Critical patent/CN111177686B/zh
Priority to CN202210863291.1A priority patent/CN115333792A/zh
Publication of CN111177686A publication Critical patent/CN111177686A/zh
Priority to EP20910373.8A priority patent/EP4083830A4/en
Priority to KR1020227026477A priority patent/KR20220133206A/ko
Priority to PCT/CN2020/141007 priority patent/WO2021136290A1/zh
Application granted granted Critical
Publication of CN111177686B publication Critical patent/CN111177686B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0863—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving passwords or one-time passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2115—Third party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/082—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying multi-factor authentication

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Power Engineering (AREA)
  • Storage Device Security (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Computer And Data Communications (AREA)

Abstract

本申请实施例提供一种身份认证方法、装置及相关设备，其中方法包括：服务提供商的服务器接收用户的用户身份已通过身份提供商的服务器认证的消息，该消息包括用户绑定的验证方式信息；所述服务提供商的服务器根据验证方式信息向用户终端发送验证请求；服务提供商的服务器接收用户终端发送的验证码，对验证码进行验证；在服务提供商的服务器对所述验证码验证通过的情况下，服务提供商的服务器生成用户对应的访问凭据，并将访问凭据发送给用户终端，该访问凭据指示用户具有访问服务提供商的服务器的权限。通过实施上述方法，在实现联邦身份认证的过程中，通过多因素认证对用户的身份进行确认，防止单一系统的身份凭据泄漏给用户数据安全带来的风险。

Description

一种身份认证方法、装置及相关设备
技术领域
本申请涉及计算机技术领域，尤其涉及一种身份认证方法、装置及相关设备。
背景技术
随着网络技术的发展，用户经常需要使用不同的服务提供商(service provider，SP)提供的服务，但是每个SP一般都有自己独立的身份认证系统，用户在需要使用不同SP提供的服务时，需要分别通过各个SP的身份认证系统的验证才能使用服务。
当前可以将不同SP的身份认证系统实现联邦，通过单点登录(single sign on，SSO)技术实现在单个身份认证系统中通过验证，即可使用实现联邦的多个身份认证系统对应的SP提供的服务。但是，当多个身份认证系统实现联邦时，只需要使用单一的认证凭据即可通过验证，若单一的认证凭据出现泄漏，攻击者可以通过单一系统的身份凭证使用多个SP的服务，用户信息安全会受到严重威胁。
发明内容
本申请实施例公开了一种身份认证方法、装置及相关设备，在进行联邦身份认证的过程中，通过多因素认证对用户的身份进行确认，防止单一系统的身份凭据泄漏给用户数据安全带来的风险，提高联邦身份认证的安全性。
第一方面，本申请实施例提供一种联邦身份认证方法，包括：
服务提供商的服务器接收用户的用户身份已通过身份提供商的服务器认证的消息，所述消息包括所述用户绑定的验证方式信息；
所述服务提供商的服务器根据所述验证方式信息，向用户终端发送验证请求；
所述服务提供商的服务器接收所述用户终端发送的验证码，对所述验证码进行验证；
在所述服务提供商的服务器对所述验证码验证通过的情况下，所述服务提供商的服务器生成所述用户对应的访问凭据，并将所述访问凭据发送给所述用户终端，所述访问凭据指示所述用户具有访问所述服务提供商的服务器的权限。
通过实施上述方法，在通过联邦身份认证时，在身份提供商的服务器对用户的用户身份进行第一次认证并认证成功之后，服务提供商的服务器需要对用户身份进行第二次认证，在用户通过服务提供商的服务器的第二次认证之后，服务提供商的服务器才会允许用户访问服务提供商的资源。通过多因素认证对用户身份进行认证，防止联邦身份认证过程中使用单一系统的身份凭据，在单一系统的身份凭据泄漏时对用户数据安全带来的风险，提高联邦身份认证的安全性。
在一种具体的实施例中，所述服务提供商的服务器根据所述验证方式信息，向用户终端发送验证请求，包括：
所述服务提供商的服务器根据所述验证方式信息，确定所述用户接收所述验证码的方式，所述用户接收验证码的方式包括通过邮箱接收验证码或通过短信息接收验证码；
所述服务提供商的服务器向所述用户终端发送验证请求，并生成所述验证码，将所述验证码通过确定的所述用户接收验证码的方式发送给用户使用的电子设备。
在一种具体的实施例中，所述验证码是用户使用的多因素认证设备生成的，所述消息包括所述用户的多因素认证密钥；
所述服务提供商的服务器接收所述用户终端发送的验证码，对所述验证码就行验证，包括：
所述服务提供商的服务器接收所述用户终端发送的多因素认证设备生成的第一验证码；
所述服务提供商的设备根据所述多因素认证密钥生成第二验证码，根据所述第二验证码对所述第一验证码进行验证。
在一种具体的实施例中，所述服务提供商的服务器接收用户的用户身份已通过身份提供商的服务器的认证的消息之前，所述方法还包括：
服务提供商的服务器接收所述用户终端发送的第一访问请求，所述第一访问请求包括所述身份提供商的标识；
所述服务提供商的服务器根据所述第一访问请求生成认证请求，所述认证请求包括所述服务提供商的标识；
所述服务提供商的服务器根据所述身份提供商的标识确定所述身份提供商的服务器的地址，将所述认证请求发送至所述身份提供商的服务器，所述认证请求指示所述身份提供商的服务器对所述用户的用户身份进行认证，并根据认证结果向所述用户终端发送所述消息。
在一种具体的实施例中，所述方法还包括：所述服务提供商的服务器接收所述用户终端的发送的第二访问请求，所述第二访问请求包括所述访问凭据；
在所述服务提供商的服务器确定所述访问凭据是其颁发的合法访问凭据时，所述服务提供商的服务器将所述第二访问请求访问的数据发送给所述用户终端，其中，所述服务提供商可以是云服务提供商。
第二方面，本申请实施例提供一种身份认证装置，包括：
接收单元，用于接收用户的用户身份已通过身份提供商的服务器认证的消息，所述消息包括所述用户绑定的验证方式信息；
发送单元，用于根据所述验证方式信息，向用户终端发送验证请求；
所述接收单元，还用于接收所述用户终端发送的验证码；
处理单元，用于对所述验证码进行验证；在所述验证码验证通过的情况下，生成所述用户对应的访问凭据，所述访问凭据指示所述用户具有访问服务提供商的服务器的权限；
所述发送单元，还用于将所述访问凭据发送给所述用户终端。
在一种具体的实施例中，所述处理单元，还用于根据所述验证方式信息，确定所述用户接收所述验证码的方式，并生成所述验证码，其中，所述用户接收验证码的方式包括通过邮箱接收验证码或通过短信息接收验证码；
所述发送单元，具体用于向所述用户终端发送验证请求，并将所述验证码通过确定的所述用户接收所述验证码的方式发送给用户使用的电子设备。
在一种具体的实施例中，所述验证码是用户使用的多因素认证设备生成的，所述消息包括所述用户的多因素认证密钥；
所述接收单元，还用于接收所述用户终端发送的多因素认证设备生成的第一验证码；
所述处理单元，具体用于根据所述多因素认证密钥生成第二验证码，根据所述第二验证码对所述第一验证码进行验证。
在一种具体的实施例中，所述接收单元，还用于接收所述用户终端发送的访问请求，所述访问请求包括所述身份提供商的标识；
所述处理单元，还用于根据所述访问请求生成认证请求，所述认证请求包括所述服务提供商的标识；
根据所述身份提供商的标识确定所述身份提供商的服务器的地址；
所述发送单元，还用于将所述认证请求发送至所述身份提供商的服务器，所述认证请求指示所述身份提供商的服务器对所述用户的用户身份进行认证，并根据认证结果向所述用户终端发送所述消息。
第三方面，本申请实施例提供一种服务器，包括处理器和存储器，所述存储器用于存储指令，所述处理器用于执行所述指令，当所述处理器执行所述指令时，所述服务器执行如第一方面或第一方面任一具体实施例中所述的方法。
第四方面，本申请实施例提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时，所述处理器执行如第一方面或第一方面任一具体实施例中所述的方法。
附图说明
图1是本申请实施例提供的一种联邦身份认证系统的示意图；
图2是本申请实施例提供的一种联邦身份认证的交互示意图；
图3是本申请实施例提供的一种多因素认证页面示意图；
图4是本申请实施例提供的另一种联邦身份认证系统的交互示意图；
图5是本申请实施例提供的一种身份认证装置的结构示意图；
图6是本申请实施例提供的一种服务器的结构示意图。
具体实施方式
为了帮助本领域技术人员更好地理解本申请的技术方案，首先对本申请实施例中所涉及到的一些概念进行介绍。
多因素认证(multi-factor authentication，MFA)是一种计算机访问控制方法，用户需要通过两种或者两种以上的认证之后，才能获得授权，使用计算机资源。
基于时间的一次性密码(time-based one-time password)算法是一种根据密钥和当前时间计算一次性密码的算法。TOTP算法使用加密哈希函数将密钥和当前时间戳组合在一起以生成一次性密码。TOTP算法多用于MFA系统中，用户在登录一个系统时，获取虚拟MFA设备或者实体MFA设备通过TOTP算法生成的待确认验证码，用户终端将用户输入的待确认验证码发送给需要登录的系统服务器。当系统服务器接收到用户终端发送的待确认验证码之后，根据该用户对应的密钥和当前时间生成验证码，系统服务器在确定待确认验证码与服务器自身生成的验证码相同的情况下，确认该用户为合法用户。
身份提供商(identity provider，IDP)是负责收集、存储用户的身份信息，为企业提供身份管理系统的服务提供商。其中，IDP的服务器中存储有企业系统的用户的身份信息，用户的身份信息包括用户的用户名、密码、邮箱、手机号等。在企业系统的用户登录企业系统时，IDP的服务器负责对用户进行身份认证，IDP提供的身份管理系统即为企业自身的身份管理系统。
服务提供商(service provider，SP)是指为用户提供不同服务的提供商，例如云服务提供商。用户在需要使用SP提供的服务时，需要成为SP的注册用户，用户注册成功之后，SP的服务器中会存储有用户的身份信息。用户在登录SP系统时，SP的身份认证系统会对用户进行身份认证。
当用户需要使用不同系统提供的服务时，在登录不同的系统时需要通过不同身份认证系统的认证，例如，用户需要使用企业系统，需要登录企业系统，登录时IDP的身份管理系统会对用户的身份进行认证，在需要使用SP的服务时，需要登录SP的系统，登录时SP的身份认证系统会对用户的身份进行认证。这种使用一个系统的服务就要通过身份凭据登录一个系统的方式，需要用户记录不同应用系统的账号和密码等身份凭证，会导致工作效率低下。
示例性的，企业为某个云服务提供商的用户，企业在云服务提供商处申请了云服务资源，企业有对应的云服务的企业账号和密码。企业系统的用户若需要使用企业申请的云服务资源，则企业账号的管理员可以在企业账号下创建用户组以及供企业系统的用户使用的子账号，并为每个子账号分配用户组，其中，每个用户组具有不同的权限，每个子账户可以加入一个或者多个用户组。企业系统的用户在使用企业系统时，需要使用在企业系统中注册的账号和密码登录企业系统，在登录时需要通过IDP的身份管理系统进行身份认证。企业系统的用户在需要使用企业的云服务资源时，需要使用企业账号以及企业分配给用户的子账号登录云服务系统，登录时需要通过云服务系统的身份认证系统的认证。
联邦身份认证是指IDP与SP之间建立信任关系并完成交互流程，实现用户单点登录的过程。单点登录是指企业系统的用户在IDP的身份管理系统中登录后，可以通过跳转链接访问已建立信任关系的SP系统。例如，企业的IDP与云服务提供商建立了信任关系后，企业系统的用户可以通过云服务提供商提供的登录入口，使用企业系统的账号和密码在IDP的身份管理系统中登录，即可访问云服务提供商的系统，使用企业在云服务提供商处申请的云服务资源。
上述IDP与SP之间建立信任关系时，需要IDP与SP之间交换元文件(metadata)，其中，IDP的元文件中包括IDP的IDP标识、IDP的服务器的地址、IDP的公钥以及IDP支持的协议等，SP的元文件中包括SP的SP标识、SP的服务器的地址、SP的公钥以及SP支持的协议等。本申请实施例中，以IDP支持的协议与SP支持的协议为安全断言标记语言(securityassertion markup language，SAML)协议为例进行说明。
SAML是一种基于可扩展标记语言(extensible markup language，XML)的开源标准数据格式，主要用于IDP和SP之间交换数据，实现联邦身份认证过程中的身份认证问题。例如，上述用户在需要使用云服务，但通过IDP的身份管理系统登录时，IDP在验证用户输入的企业系统的账号和密码之后，需要生成一个包括用户信息的SAML格式的断言，然后发送给云系统的服务器，云系统的服务器根据预先配置的身份转换规则将企业系统中的用户、用户组以及访问权限转换为云系统中的用户、用户组以及访问权限。
联邦身份认证可以实现两个或者多个系统的单点登录，方便用户使用多个系统，提高工作效率，但是上述联邦身份认证的过程中，用户只需要使用单一系统的身份凭据，通过IDP的身份管理系统的验证后，就可以登录两个或者多个服务提供商的系统，若单一系统的身份凭据泄漏，就会给用户数据安全带来风险。
本申请实施例提供一种联邦身份认证方法，在联邦身份认证过程中引入多因素身份认证机制，以提高用户数据的安全性。如图1所示，图1是本申请实施例提供的一种系统示意图，图1中包括一个用户终端、一个IDP的服务器和多个SP的服务器，这多个SP均与IDP建立了信任关系，可以通过联邦身份认证的方式实现单点登录。当用户需要登录任意一个SP系统时，可以通过登录IDP，即可访问SP的资源。本申请实施例中，用户可以从IDP侧发起联邦身份认证，也可以从SP侧发起联邦身份认证，下面介绍从SP侧发起联邦身份认证的方法。图2是本申请实施例提供的一种联邦身份认证的交互示意图，如图2所示，从SP侧发起的联邦身份认证过程如下：
S201、用户终端向SP的服务器发送访问请求。
当用户需要访问一个SP的资源时，用户在用户终端的浏览器中输入该SP的登录链接，用户终端在接收到用户输入的登录链接之后，通过浏览器向SP的服务器发起访问请求，其中，该访问请求包括IDP的IDP标识。
S202、SP的服务器接收到访问请求后，生成认证请求，并根据IDP标识确定IDP的服务器的地址。
SP的服务器在接收到访问请求之后，SP的服务器根据访问请求中的IDP标识确定需要进行联邦身份认证。由于SP的服务器中存储有IDP的元文件，SP的服务器根据IDP标识与IDP的元文件确定该IDP标识对应的IDP的服务器的地址。同时SP的服务器生成一个SAML格式的认证请求，该认证请求中包括SP标识，该认证请求指示IDP的服务器对上述用户进行身份认证。
S203、SP的服务器将IDP的服务器的地址和认证请求发送给用户终端。
SP的服务器在生成认证请求并确定IDP的服务器的地址之后，将IDP的服务器的地址和认证请求发送给用户终端，以使用户终端根据IDP的服务器的地址将该认证请求转发给IDP的服务器。
S204、用户终端接收认证请求和IDP的服务器的地址，根据IDP的服务器的地址将认证请求发送给IDP的服务器。
S205、IDP的服务器接收认证请求，根据认证请求向用户终端发送第一验证请求。
IDP的服务器接收到用户终端发送的认证请求之后，向用户终端发送第一验证请求，该第一验证请求包括IDP的登录页面，用于指示用户输入认证凭据，该认证凭据包括用户名和用户密码，上述IDP登录页面包括用户名输入框和用户密码输入框，用于用户输入用户名和用户密码。
S206、用户终端向IDP的服务器发送认证凭据。
用户终端在浏览器页面显示上述IDP的登录界面，接收用户输入的认证凭据，并将认证凭据发送至IDP的服务器。
S207、IDP的服务器接收用户终端发送的认证凭据，对认证凭据进行认证，在认证凭据认证通过的情况下，根据认证凭据生成响应消息，并将响应消息发送给用户终端。
IDP的服务器在接收到上述认证凭据之后，将认证凭据中的用户名和用户密码与IDP存储的注册用户的用户名和用户密码进行匹配，若在IDP的服务器中匹配到认证凭据中的用户名和用户密码，则IDP的服务器确定认证凭据验证通过并确认该用户为合法用户。
IDP的服务器在确定用户为合法用户之后，根据用户名确定该用户的用户信息，该用户信息包括用户的用户名、用户所属的用户组以及该用户绑定的MFA验证方式，上述MFA验证方式指示该用户使用验证码验证时接收验证码的方式。IDP的服务器根据用户的用户信息生成针对SP的服务器发送的认证请求的响应消息，该响应消息包括IDP标识与用户的用户名、用户名所属的用户组以及该用户绑定的MFA验证方式，MFA验证方式包括通过邮箱认证、通过手机号认证或者通过MFA设备生成的动态验证码认证，其中，用户可以绑定一种或者多种MFA认证方式，若用户绑定了多种MFA验证方式，上述响应消息中包括用户绑定的多种MFA验证方式。MFA设备可以是虚拟MFA设备，也可以是硬件MFA设备，本申请实施例不做具体限制。
IDP的服务器中存储有SP的元文件，IDP的服务器在生成认证请求之后，根据认证请求中的SP标识确定上述SP对应的公钥以及SP的服务器的地址。IDP的服务器可以先使用IDP的私钥对响应消息进行签名，然后用SP的公钥对签名后的响应消息进行加密，最后将经过签名加密后的响应消息与SP的服务器的地址发送给用户终端。IDP的服务器也可以先使用SP的公钥对响应消息进行加密，然后使用IDP的私钥对加密后的响应消息进行签名，然后将经过加密签名后的响应消息与SP的服务器的地址发送给用户终端。本申请实施例中以对响应消息先签名后加密为例进行说明。
S208、用户终端将上述响应消息转发给SP的服务器。
用户终端接收到IDP的服务器发送的SP的服务器的地址和加密签名后的响应消息之后，根据SP的服务器的地址，将上述加密后的响应消息转发给SP的服务器。
S209、SP的服务器接收用户终端发送的响应消息，根据响应消息生成第二验证请求，并将第二验证请求发送给所述用户终端。
SP的服务器在接收到用户终端转发的签名并加密后的响应消息之后，用SP的私钥对加密后的响应消息进行解密。若解密成功，SP的服务器根据响应消息中的IDP标识在SP的服务器的元文件中找到该IDP标识对应的IDP元文件，并在IDP元文件中找到IDP的公钥，用该IDP的公钥验证响应消息的签名，若SP的服务器能对加密后的响应消息解密成功且签名验证通过，则SP的服务器确定该响应消息是IDP的服务器发送的未经修改的响应消息。
SP的服务器在确定响应消息是未经修改的之后，根据响应消息中该用户对应的MFA验证方式，向用户终端发送第二验证请求，该第二验证请求包括MFA页面，用于指示用户进行多因素认证。具体的，MFA页面包括验证方式以及验证码输入框。其中，验证方式可以是用户配置的一种验证方式，也可以通过MFA页面的验证方式选项选择。例如，若用户只绑定了的一种MFA验证方式，且绑定的MFA验证方式为通过邮箱验证或者通过手机号验证，则MFA页面的验证方式不可选择，SP的服务器需要根据用户绑定的MFA验证方式，生成验证码并将验证码发送给用户绑定的邮箱或者手机号。
若用户绑定了多种MFA验证方式，则用户需要选择当前需要使用的MFA验证方式，如图3所示，图3是本申请实施例提供的一种MFA页面示意图，用户设置了通过邮箱验证、通过手机号验证以及通过MFA设备生成的动态验证码认证三种方式，用户需要在MFA页面进行选择，在用户选择一种MFA验证方式之后，用户终端向SP的服务器发送用户的选择结果，以通知SP的服务器根据选择结果指示的MFA验证方式进行验证，例如，若用户选择邮箱验证，则SP的服务器生成验证码并将验证码发送至该用户的邮箱。
S210、用户终端将验证码发送给SP的服务器。
若用户绑定的MFA验证方式为通过邮箱验证或者通过手机号验证，则验证码是SP的服务器生成并发送给用户绑定的邮箱或者手机号的。若用户绑定的是通过MFA设备生成的动态验证码认证，上述验证码是用户拥有的MFA设备生成的。用户终端接收用户在MFA页面的验证码输入框中输入的验证码，并将该验证码发送给SP的服务器。
S211、SP的服务器对用户终端发送的验证码进行验证，在验证通过的情况下，生成访问凭据并将访问凭据发送给用户终端。
SP的服务器接收到用户终端发送的验证码之后，SP的服务器对验证码进行验证。例如，用户选择通过邮箱验证，SP的服务器确定收到用户终端发送的验证码与SP的服务器生成并发送给用户邮箱的验证码相同，则表示验证通过。若验证通过，SP的服务器根据响应消息中的用户名、该用户名所属的用户组以及IDP用户与SP的用户之间的身份转换规则，确定该用户在SP系统中的用户名、用户组以及访问权限等身份信息，根据该用户在SP系统中的身份信息生成访问凭证并将访问凭证发送给用户终端，用户终端在每次访问SP的服务器时，需要携带该访问凭据。其中，用户凭证包括用户在SP系统中的用户名。
可以理解，用户终端在接收到上述访问凭据之后，在每次访问SP的服务器时，都会携带上述访问凭据。服务提供商的服务器接收到用户终端的发送的携带访问凭据的访问请求后，在所述服务提供商的服务器确定所述访问凭据是其颁发的合法访问凭据时，所述服务提供商的服务器将该访问请求访问的数据发送给用户终端。
在一种可能的实施例中，若用户绑定的MFA验证方式包括通过MFA设备生成的动态验证码认证，则上述响应消息还包括MFA密钥，MFA密钥用于MFA设备和SP的服务器根据MFA密钥与TOTP算法生成验证码。当用户使用MFA设备生成的验证码进行认证时，SP的服务器在接收到用户终端发送的验证码之后，SP的服务器根据MFA密钥生成验证码，然后SP的服务器将其根据MFA密钥生成的验证码与接收到的用户终端发送的验证码进行比对，若相同，则表示验证通过，若不同，则表示验证不通过。
在一种可能的实施例中，上述S207中，若用户终端发送给IDP的服务器的认证凭据没有通过IDP的服务器的验证，例如，用户输入的用户名或用户密码错误，则IDP的服务器生成用户名或用户密码错误的反馈消息并发送给用户终端，并且不再执行IDP的服务器在确定用户为合法用户之后的操作，即不会生成响应消息以及不再执行后续S208～S211中的过程。
在一种可能的实施例中，上述S209中，若SP的服务器不能通过SP的私钥对加密的响应消息进行解密，说明SP的服务器接收到的消息不是与SP建立信任关系的IDP的服务器发送的，则SP的服务器不会向用户终端发送第二验证请求。或者SP的服务器在通过SP的私钥对加密的响应消息解密成功之后，用IDP的公钥验证响应消息的签名时，SP的服务器确定该响应消息的签名错误，则说明该响应消息被修改过，SP的服务器同样不会向用户终端发送第二验证请求。
下面介绍从IDP侧发起联邦身份认证的方法。图4是本申请实施例提供的一种联邦身份认证的交互示意图，如图4所示，从IDP侧发起的联邦身份认证过程如下：
S401、用户终端向IDP的服务器发送登录请求。
当用户需要访问目标SP的资源时，用户可以先登录IDP的服务器。用户在浏览器输入IDP的登录链接，用户终端在接收到用户输入的登录链接之后，向IDP的服务器发送登录请求。
S402、IDP的服务器接收到登录请求后，向用户终端发送第一验证请求。
IDP的服务器接收到用户终端发送的登录请求之后，向用户终端发送第一验证请求，该第一验证请求包括IDP的登录页面，用于指示用户输入认证凭据，该认证凭据包括用户名和用户密码。上述IDP登录页面包括用户名输入框和用户密码输入框，用于指示用户输入用户名和用户密码。
S403、用户终端向IDP的服务器发送认证凭据。
用户终端在浏览器页面显示上述IDP的登录界面，接收用户输入的认证凭据，并将认证凭据发送至IDP的服务器。
S404、IDP的服务器接收用户终端发送的认证凭据，对认证凭据进行验证，在认证凭据验证通过的情况下，向用户终端发送服务信息。
IDP的服务器在接收到上述认证凭据之后，将认证凭据中的用户名和用户密码与IDP存储的注册用户的用户名和用户密码进行匹配，若在IDP的服务器中匹配到认证凭据中的用户名和用户密码，则IDP的服务器确认该用户为合法用户。
IDP的服务器确认该用户为合法用户后，向用户终端发送服务信息，该服务信息包括与IDP建立信任关系的一个或者多个SP的标签或者访问链接。
S405、用户终端接收服务信息后，确定用户选择的目标SP，向IDP的服务器发送目标SP信息。
用户终端在接收到服务信息之后，在浏览器中显示包括一个或者多个SP的标签或者访问链接的页面，在用户选择目标SP之后，用户终端将用户选择的目标SP的信息发送给IDP的服务器。例如，浏览器页面包括SP1到SPn共n个SP的访问链接，用户需要访问的目标SP为SP1，则用户点击SP1的访问链接。
S406、IDP的服务器在接收到目标SP信息之后，根据认证凭据生成响应消息，将响应消息与目标SP的服务器地址发送给用户终端。
IDP的服务器在接收到目标SP信息之后，根据目标SP信息确定目标SP的服务器的地址，并根据认证凭据生成响应消息，其中，IDP的服务器生成响应消息并签名加密的方法可参照上述S207中生成响应消息并签名加密的方法，在此不再赘述。
IDP的服务器将加密后的响应消息以及目标SP的服务器的地址发送给用户终端之后的，从IDP侧发起联邦身份认证的其他过程可以参照上述S208～S211，在此不再赘述。
通过实施上述方法，在通过联邦身份认证时，在身份提供商的服务器对用户的用户身份进行第一次认证并认证成功之后，服务提供商的服务器需要对用户身份进行第二次认证，在用户通过服务提供商的服务器的第二次认证之后，服务提供商的服务器才会允许用户访问服务提供商的资源。通过多因素认证对用户身份进行认证，防止联邦身份认证过程中使用单一系统的身份凭据，在单一系统的身份凭据泄漏时对用户数据安全带来的风险，提高联邦身份认证的安全性。
在一种可能的实施例中，上述S402中，IDP发送给用户终端的第一验证请求还包括与IDP建立信任关系的一个或者多个SP的服务器的标签或者访问链接，用户终端在接收到第一验证请求之后，在浏览器页面展示IDP的登录页面以及与IDP建立信任关系上述一个或者多个SP的服务器的标签或者访问链接，用户在该浏览器页面输入认证凭据并选择需要访问的目标SP，然后用户终端将认证凭据和目标SP的信息一起发送给IDP的服务器，IDP的服务器在根据认证凭据确认该用户为合法用户后，执行上述S406中IDP的服务器在接收到目标SP信息之后的操作，在此不再赘述。
在一种可能的实施例中，用户通过浏览器采用上述两种方法登录SP的服务器，获取访问凭证之后，用户终端携带该访问凭据访问SP的服务器，SP的服务器在获取该访问凭据后，SP的服务器会给用户配置联邦身份凭据，该联邦身份凭据包括上述MFA密钥。用户终端在使用SP提供的资源时，发送给SP的服务器的操作请求均包括联邦身份凭据。若用户在执行敏感操作时，SP的服务器会要求验证MFA设备生成的待确认验证码。SP的服务器在接收到用户终端发送的待确认验证码之后，SP的服务器根据联邦身份凭据中的MFA密钥生成MFA验证码，与用户终端发送到SP的服务器的待确认验证码进行匹配，若相同则表示用户可以进行该敏感操作，若不同则拒绝该用户的敏感操作。
上述介绍的从SP侧发起联邦身份认证以及从IDP侧发起的联邦身份认证，均是通过用户终端的浏览器实现的。在一种可能的事实例中，还可以通过用户终端的客户端程序实现单点登录访问SP的服务器。具体的，用户在登录客户端程序后，通过客户端程序中设置的SP的服务器的地址，向SP的服务器发送响应消息，该响应消息包括的信息可参照上述从SP侧发起联邦身份认证中响应消息所包括的信息，其中，该响应信息需要包括MFA密钥，即用户采用客户端程序访问SP的服务器时，必须绑定通过MFA设备生成的动态验证码进行认证的方式。
客户端程序通过上述相同的方法通过SP的服务器的认证之后，SP的服务器颁发联邦身份凭据给客户端程序，该联邦身份凭据包括MFA密钥。客户端程序在通过SP的服务器的认证之后，第一次访问SP的服务器的应用程序接口(application programminginterface，API)时，客户端程序发送给SP的服务器的调用请求中包括联邦身份凭据，此时SP的服务器会要求验证MFA设备生成的动态验证码，SP的服务器根据联邦身份凭据中的MFA密钥生成MFA验证码，与客户端程序发送到SP的服务器的MFA设备生成的动态验证码进行匹配，若相同则表示该客户端程序具有访问SP的服务器API的权限。SP的服务器在确定客户端程序具有调用API权限后，向客户端颁发访问凭据，该访问凭据包括MFA认证标记，MFA认证标记表示该客户端程序具有访问SP的服务器的API的权限，客户端程序使用该访问凭据访问SP的服务器的API。
上文中结合图1至图4详细描述了本申请提供的身份认证方法，下面将结合图5至图6，描述实现本申请实施例提供的身份认证的相关装置与设备。参见图5，图5是本申请实施例提供的一种身份认证装置的结构示意图，该身份认证装置部署于上述SP的服务器。该身份认证装置500包括接收单元510、发送单元520和处理单元530。其中，
接收单元510，用于接收用户的用户身份已通过身份提供商的服务器认证的消息，该消息包括所述用户绑定的验证方式信息。具体的，该消息包括的信息可以参照上述S207中的响应消息，在此不再赘述。
发送单元520，用于根据上述验证方式信息，向用户终端发送第二验证请求，该第二验证请求指示所述用户终端返回验证码。上述第二验证请求的生成和包括的信息可参照上述S209中的详细描述，在此不再赘述。
接收单元510，还用于接收用户终端发送的验证码。用户终端发送的验证码可以是SP的服务器生成后发送给用户使用的邮箱或者手机号，也可以是用户使用的MFA设备生成的，本申请实施例不做具体限定。
处理单元530，用于对用户终端发送的验证码进行验证；在验证码验证通过的情况下，生成用户对应的访问凭据，并将访问凭据发送给用户终端。该访问凭据指示用户具有访问服务提供商SP的服务器的权限。处理单元530对验证码进行验证的过程可以参照上述S211中的SP的服务器对验证码进行验证的过程，在此不再赘述。
在一种可能的实施例中，处理单元530还用于根据上述验证方式信息，确定用户接收验证码的方式，并生成验证码，其中，用户接收验证码的方式包括通过邮箱接收验证码或通过短信息接收验证码。
发送单元520，具体用于向用户终端发送第二验证请求，并将验证码通过确定的用户接收验证码的方式发送给用户使用的电子设备。
在一种可能的实施例中，上述验证码是用户使用的MFA设备生成的，所述消息包括所述用户的MFA密钥；接收单元510还用于：接收用户终端发送的MFA设备生成的第一验证码；处理单元530根据MFA密钥生成第二验证码，根据第二验证码对第一验证码进行验证，在第一验证码和第二验证码相同的情况下，确定第一验证码验证通过。
在一种可能的实施例中，身份认证装置在接收身份提供商IDP的服务器发送的消息接收单元510接收用户终端发送的访问请求，该访问请求包括IDP的IDP标识；处理单元530根据访问请求生成认证请求，认证请求包括SP的标识；根据IDP标识确定IDP的服务器的地址。发送单元520根据IDP的服务器的地址将认证请求发送至IDP的服务器，认证请求指示IDP的服务器对用户的用户身份进行认证，并根据认证结果向用户终端发送消息。
具体的，该身份认证装置500实现身份认证的操作可以参照上述方法实施例中SP的服务器执行的操作，在此不再赘述。
参见图6，图6是本申请实施例提供的一种服务器的结构示意图。该服务器600包括处理器610、通信接口620以及存储器630。可选的，所述处理器610、通信接口620以及存储器630通过总线640相互连接，其中，
所述处理器610用于实现上述处理单元530执行的操作，处理器610执行各种操作的具体实现可参照上述方法实施例中以SP的服务器为执行主体执行的具体操作。例如处理器610用于执行上述图2中S202、S209以及S211中SP的服务器的操作等，在此不再赘述。
处理器610可以有多种具体实现形式，例如处理器610可以为中央处理器(centralprocessing unit，CPU)或图像处理器(graphics processing unit，GPU)，处理器610还可以是单核处理器或多核处理器。处理器610可以由CPU和硬件芯片的组合。上述硬件芯片可以是专用集成电路(application-specific integrated circuit，ASIC)，可编程逻辑器件(programmable logic device，PLD)或其组合。上述PLD可以是复杂可编程逻辑器件(complex programmable logic device，CPLD)，现场可编程逻辑门阵列(field-programmable gate array，FPGA)，通用阵列逻辑(generic array logic，GAL)或其任意组合。处理器610也可以单独采用内置处理逻辑的逻辑器件来实现，例如FPGA或数字信号处理器(digital signal processor，DSP)等。
通信接口620可以为有线接口或无线接口，用于与其他模块或设备进行通信，有线接口可以是以太接口、局域互联网络(local interconnect network，LIN)等，无线接口可以是蜂窝网络接口或使用无线局域网接口等。
本申请实施例中通信接口620执行上述接收单元510和发送单元520实现的操作，例如，可用于执行上述S201中接收用户终端发送的访问请求、接收用户终端转发的IDP的服务器生成的响应消息以及S209中向用户终端发送第二验证消息等。具体的，通信接口620执行的动作可以参照上述方法实施例中SP的服务器接收或者发送的动作，在此不再赘述。
存储器630可以是非易失性存储器，例如，只读存储器(read-only memory，ROM)、可编程只读存储器(programmable ROM，PROM)、可擦除可编程只读存储器(erasable PROM，EPROM)、电可擦除可编程只读存储器(electrically EPROM，EEPROM)或闪存。存储器630也可以是易失性存储器，易失性存储器可以是随机存取存储器(random access memory，RAM)，其用作外部高速缓存。
存储器630也可用于存储指令和数据，以便于处理器610调用存储器630中存储的指令实现上述处理单元530执行的操作，例如上述方法实施例中SP的服务器执行的操作。此外，服务器600可能包含相比于图6展示的更多或者更少的组件，或者有不同的组件配置方式。
总线640可以是外设部件互连标准(peripheral component interconnect，PCI)总线或扩展工业标准结构(extended industry standard architecture，简称EISA)总线等。所述总线640可以分为地址总线、数据总线、控制总线等。为便于表示，图6中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。
可选地，该服务器600还可以包括输入/输出接口650，输入/输出接口650连接有输入/输出设备，用于接收输入的信息，输出操作结果。
具体地，上述协调服务器600执行各种操作的具体实现可参照上述方法实施例中SP的服务器执行的具体操作，在此不再赘述。
本申请实施例还提供一种非瞬态计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，当计算机程序在处理器上运行时，可以实现上述方法实施例中的SP的服务器执行的方法步骤，所述计算机存储介质的处理器在执行上述方法步骤的具体实现可参照上述方法实施例中SP的服务器的具体操作，在此不再赘述。
在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其它实施例的相关描述。
上述实施例，可以全部或部分地通过软件、硬件、固件或其他任意组合来实现。当使用软件实现时，上述实施例可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载或执行所述计算机程序指令时，全部或部分地产生按照本发明实施例所述的流程或功能。所述计算机可以为通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集合的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质。半导体介质可以是固态硬盘(solid state drive，SSD)。
本申请实施例方法中的步骤可以根据实际需要进行顺序调整、合并或删减；本申请实施例装置中的模块可以根据实际需要进行划分、合并或删减。
以上对本申请实施例进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (10)

1.一种身份认证方法，其特征在于，包括：
服务提供商的服务器接收用户的用户身份已通过身份提供商的服务器认证的消息，所述消息包括所述用户绑定的验证方式信息；
所述服务提供商的服务器根据所述验证方式信息，向用户终端发送验证请求；
所述服务提供商的服务器接收所述用户终端发送的验证码，对所述验证码进行验证；
在所述服务提供商的服务器对所述验证码验证通过的情况下，所述服务提供商的服务器生成所述用户对应的访问凭据，并将所述访问凭据发送给所述用户终端，所述访问凭据指示所述用户具有访问所述服务提供商的服务器的权限。
2.根据权利要求1所述的方法，其特征在于，所述服务提供商的服务器根据所述验证方式信息，向用户终端发送验证请求，包括：
所述服务提供商的服务器根据所述验证方式信息，确定所述用户接收所述验证码的方式，所述用户接收验证码的方式包括通过邮箱接收验证码或通过短信息接收验证码；
所述服务提供商的服务器向所述用户终端发送验证请求，并生成所述验证码，将所述验证码通过确定的所述用户接收验证码的方式发送给用户使用的电子设备。
3.根据权利要求1所述的方法，其特征在于，所述验证码是用户使用的多因素认证设备生成的，所述消息包括所述用户的多因素认证密钥；
所述服务提供商的服务器接收所述用户终端发送的验证码，对所述验证码就行验证，包括：
所述服务提供商的服务器接收所述用户终端发送的多因素认证设备生成的第一验证码；
所述服务提供商的设备根据所述多因素认证密钥生成第二验证码，根据所述第二验证码对所述第一验证码进行验证。
4.根据权利要求1至3任一项所述的方法，其特征在于，所述服务提供商的SP的服务器接收用户的用户身份已通过身份提供商的服务器的认证的消息之前，所述方法还包括：
服务提供商的服务器接收所述用户终端发送的访问请求，所述访问请求包括所述身份提供商的标识；
所述服务提供商的服务器根据所述访问请求生成认证请求，所述认证请求包括所述服务提供商的标识；
所述服务提供商的服务器根据所述身份提供商的标识确定所述身份提供商的服务器的地址，将所述认证请求发送至所述身份提供商的服务器，所述认证请求指示所述身份提供商的服务器对所述用户的用户身份进行认证，并根据认证结果向所述用户终端发送所述消息。
5.一种身份认证装置，其特征在于，包括：
接收单元，用于接收用户的用户身份已通过身份提供商的服务器认证的消息，所述消息包括所述用户绑定的验证方式信息；
发送单元，用于根据所述验证方式信息，向用户终端发送验证请求；
所述接收单元，还用于接收所述用户终端发送的验证码；
处理单元，用于对所述验证码进行验证；在所述验证码验证通过的情况下，生成所述用户对应的访问凭据，所述访问凭据指示所述用户具有访问服务提供商的服务器的权限；
所述发送单元，还用于将所述访问凭据发送给所述用户终端。
6.根据权利要求5所述的装置，其特征在于，
所述处理单元，还用于根据所述验证方式信息，确定所述用户接收所述验证码的方式，并生成所述验证码，其中，所述用户接收验证码的方式包括通过邮箱接收验证码或通过短信息接收验证码；
所述发送单元，具体用于向所述用户终端发送验证请求，并将所述验证码通过确定的所述用户接收所述验证码的方式发送给用户使用的电子设备。
7.根据权利要求5所述的装置，其特征在于，所述验证码是用户使用的多因素认证设备生成的，所述消息包括所述用户的多因素认证密钥；
所述接收单元，还用于接收所述用户终端发送的多因素认证设备生成的第一验证码；
所述处理单元，具体用于根据所述多因素认证密钥生成第二验证码，根据所述第二验证码对所述第一验证码进行验证。
8.根据权利要求5至7任一项所述的装置，其特征在于，
所述接收单元，还用于接收所述用户终端发送的访问请求，所述访问请求包括所述身份提供商的标识；
所述处理单元，还用于根据所述访问请求生成认证请求，所述认证请求包括所述服务提供商的标识；
根据所述身份提供商的标识确定所述身份提供商的服务器的地址；
所述发送单元，还用于将所述认证请求发送至所述身份提供商的服务器，所述认证请求指示所述身份提供商的服务器对所述用户的用户身份进行认证，并根据认证结果向所述用户终端发送所述消息。
9.一种服务器，其特征在于，包括处理器和存储器；所述存储器用于存储指令；所述处理器用于执行所述指令；当所述处理器执行所述指令时，所述服务器执行如权利要求1至4任一项所述的方法。
10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机程序，所述计算机程序指示服务器执行如权利要求1至4任一项所述的方法。
CN201911417640.1A 2019-12-31 2019-12-31 一种身份认证方法、装置及相关设备 Active CN111177686B (zh)

Priority Applications (5)

Application Number Priority Date Filing Date Title
CN201911417640.1A CN111177686B (zh) 2019-12-31 2019-12-31 一种身份认证方法、装置及相关设备
CN202210863291.1A CN115333792A (zh) 2019-12-31 2019-12-31 一种身份认证方法、装置及相关设备
EP20910373.8A EP4083830A4 (en) 2019-12-31 2020-12-29 IDENTITY AUTHENTICATION METHOD AND DEVICE AND RELATED DEVICE
KR1020227026477A KR20220133206A (ko) 2019-12-31 2020-12-29 신분 인증 방법 및 장치, 그리고 관련 디바이스
PCT/CN2020/141007 WO2021136290A1 (zh) 2019-12-31 2020-12-29 一种身份认证方法、装置及相关设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201911417640.1A CN111177686B (zh) 2019-12-31 2019-12-31 一种身份认证方法、装置及相关设备

Related Child Applications (1)

Application Number Title Priority Date Filing Date
CN202210863291.1A Division CN115333792A (zh) 2019-12-31 2019-12-31 一种身份认证方法、装置及相关设备

Publications (2)

Publication Number Publication Date
CN111177686A CN111177686A (zh) 2020-05-19
CN111177686B true CN111177686B (zh) 2022-07-29

Family

ID=70646440

Family Applications (2)

Application Number Title Priority Date Filing Date
CN202210863291.1A Pending CN115333792A (zh) 2019-12-31 2019-12-31 一种身份认证方法、装置及相关设备
CN201911417640.1A Active CN111177686B (zh) 2019-12-31 2019-12-31 一种身份认证方法、装置及相关设备

Family Applications Before (1)

Application Number Title Priority Date Filing Date
CN202210863291.1A Pending CN115333792A (zh) 2019-12-31 2019-12-31 一种身份认证方法、装置及相关设备

Country Status (4)

Country Link
EP (1) EP4083830A4 (zh)
KR (1) KR20220133206A (zh)
CN (2) CN115333792A (zh)
WO (1) WO2021136290A1 (zh)

Families Citing this family (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115333792A (zh) * 2019-12-31 2022-11-11 华为云计算技术有限公司 一种身份认证方法、装置及相关设备
CN113922975B (zh) * 2020-06-22 2024-05-24 中移(苏州)软件技术有限公司 一种安全控制方法、服务器、终端、系统和存储介质
CN112035810A (zh) * 2020-08-19 2020-12-04 绿盟科技集团股份有限公司 一种访问控制方法、装置、介质和设备
CN114091002A (zh) * 2020-08-24 2022-02-25 中兴通讯股份有限公司 云桌面访问认证方法、电子设备和计算机可读存储介质
CN114258006B (zh) * 2020-09-23 2023-07-18 华为技术有限公司 获取凭据的方法、装置及系统
CN112836202A (zh) * 2021-02-01 2021-05-25 长沙市到家悠享网络科技有限公司 信息处理方法及装置、服务器
CN113722690B (zh) * 2021-09-08 2023-11-10 北京华鼎博视数据信息技术有限公司 数据发送、接收以及凭证记录方法、设备
CN113852681B (zh) * 2021-09-22 2024-07-12 深信服科技股份有限公司 一种网关认证方法、装置及安全网关设备
CN114389851B (zh) * 2021-12-17 2023-07-18 苏州浪潮智能科技有限公司 交换机维护服务身份验证方法、系统、终端及存储介质
CN116415223A (zh) * 2021-12-31 2023-07-11 上海云盾信息技术有限公司 第三方应用的单点登录的方法、系统及设备
CN114844661B (zh) * 2022-02-18 2023-07-14 国政通科技有限公司 一种实现远程权限验证管理系统、方法、设备和存储介质
CN114863506B (zh) * 2022-03-18 2023-05-26 珠海优特电力科技股份有限公司 准入权限的验证方法、装置、系统和身份认证终端
CN114553592B (zh) * 2022-03-23 2024-03-22 深圳市美科星通信技术有限公司 一种设备身份验证的方法、设备及存储介质
CN114726595B (zh) * 2022-03-24 2023-09-29 中科吉芯(昆山)信息科技有限公司 一种利用时空信息认证人机身份的方法
CN115277168B (zh) * 2022-07-25 2023-05-26 绿盟科技集团股份有限公司 一种访问服务器的方法以及装置、系统
KR102526267B1 (ko) * 2022-11-16 2023-05-16 주식회사 컴투버스 메타버스 통합 인증 방법 및 시스템
CN117909994A (zh) * 2023-03-25 2024-04-19 深圳市进汇科技有限公司 一种数据安全保护方法、系统、设备及存储介质
CN116321156B (zh) * 2023-05-18 2023-08-04 合肥工业大学 一种轻量化车云身份认证方法和通信方法
CN116800544B (zh) * 2023-08-21 2023-11-24 成都数智创新精益科技有限公司 一种用户认证方法及系统及装置及介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101567878A (zh) * 2008-04-26 2009-10-28 华为技术有限公司 提高网络身份认证安全性的方法和装置
CN102457555A (zh) * 2010-10-28 2012-05-16 中兴通讯股份有限公司 一种分布式存储的安全系统及方法
CN108900561A (zh) * 2018-09-28 2018-11-27 北京芯盾时代科技有限公司 单点登录的方法、装置及系统
CN110572388A (zh) * 2019-09-05 2019-12-13 北京宝兰德软件股份有限公司 对接统一认证服务器的方法及统一认证适配器

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101867589B (zh) * 2010-07-21 2012-11-28 深圳大学 一种网络身份认证服务器及其认证方法与系统
CN102404392A (zh) * 2011-11-10 2012-04-04 山东浪潮齐鲁软件产业股份有限公司 一种Web应用或网站集成登录的方法
CN102624720B (zh) * 2012-03-02 2017-04-12 华为技术有限公司 一种身份认证的方法、装置和系统
US8769651B2 (en) * 2012-09-19 2014-07-01 Secureauth Corporation Mobile multifactor single-sign-on authentication
US9412283B2 (en) * 2012-12-31 2016-08-09 Piyush Bhatnagar System, design and process for easy to use credentials management for online accounts using out-of-band authentication
CN106134155B (zh) * 2014-03-29 2020-01-24 阿卡麦科技公司 与覆盖网络相关的方法
US9641341B2 (en) * 2015-03-31 2017-05-02 Duo Security, Inc. Method for distributed trust authentication
US10187374B2 (en) * 2015-10-29 2019-01-22 Airwatch Llc Multi-factor authentication for managed applications using single sign-on technology
CN106341428A (zh) * 2016-11-21 2017-01-18 航天信息股份有限公司 一种跨域访问控制方法和系统
US11082212B2 (en) * 2017-12-26 2021-08-03 Industrial Technology Research Institute System and method for communication service verification, and verification server thereof
CN115333792A (zh) * 2019-12-31 2022-11-11 华为云计算技术有限公司 一种身份认证方法、装置及相关设备

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101567878A (zh) * 2008-04-26 2009-10-28 华为技术有限公司 提高网络身份认证安全性的方法和装置
CN102457555A (zh) * 2010-10-28 2012-05-16 中兴通讯股份有限公司 一种分布式存储的安全系统及方法
CN108900561A (zh) * 2018-09-28 2018-11-27 北京芯盾时代科技有限公司 单点登录的方法、装置及系统
CN110572388A (zh) * 2019-09-05 2019-12-13 北京宝兰德软件股份有限公司 对接统一认证服务器的方法及统一认证适配器

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
一种基于单点登录的用户认证方案;冯刚 等;《大众科技》;20090630(第6期);第44-46页 *

Also Published As

Publication number Publication date
EP4083830A4 (en) 2023-01-25
EP4083830A1 (en) 2022-11-02
CN111177686A (zh) 2020-05-19
WO2021136290A1 (zh) 2021-07-08
KR20220133206A (ko) 2022-10-04
CN115333792A (zh) 2022-11-11

Similar Documents

Publication Publication Date Title
CN111177686B (zh) 一种身份认证方法、装置及相关设备
US11095455B2 (en) Recursive token binding for cascaded service calls
US10505916B2 (en) Authentication token with client key
KR102678262B1 (ko) 분산형 컴퓨터 애플리케이션들을 구축하기 위한 비-보관 툴
US9813400B2 (en) Computer-implemented systems and methods of device based, internet-centric, authentication
US20170244676A1 (en) Method and system for authentication
US8532620B2 (en) Trusted mobile device based security
JP5980961B2 (ja) マルチファクタ認証局
US11841959B1 (en) Systems and methods for requiring cryptographic data protection as a precondition of system access
US9197420B2 (en) Using information in a digital certificate to authenticate a network of a wireless access point
US20130232336A1 (en) Method and system for user authentication for computing devices utilizing pki and other user credentials
EP2879421B1 (en) Terminal identity verification and service authentication method, system, and terminal
EP3133791B1 (en) Double authentication system for electronically signed documents
US11977620B2 (en) Attestation of application identity for inter-app communications
US11611541B2 (en) Secure method to replicate on-premise secrets in a cloud environment
CN113055186B (zh) 一种跨系统的业务处理方法、装置及系统
CN114157414B (zh) 一种关于数字货币的身份凭证生成方法、验证方法及系统
Aciobanitei et al. Lightweight version of SQRL authentication protocol based on cryptography in the cloud
CN115037545A (zh) 一种免密授权登陆网站的方法、装置及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
TA01 Transfer of patent application right
TA01 Transfer of patent application right

Effective date of registration: 20220208

Address after: 550025 Huawei cloud data center, jiaoxinggong Road, Qianzhong Avenue, Gui'an New District, Guiyang City, Guizhou Province

Applicant after: Huawei Cloud Computing Technologies Co.,Ltd.

Address before: 518129 Bantian HUAWEI headquarters office building, Longgang District, Guangdong, Shenzhen

Applicant before: HUAWEI TECHNOLOGIES Co.,Ltd.

GR01 Patent grant
GR01 Patent grant