CN111444499B - 用户身份认证方法及系统 - Google Patents

Abstract

本发明提供一种用户身份认证方法及系统，适用于在物理隔离状态下实现跨网络身份认证，保障用户信息的安全。系统包括：第一服务器，用于生成表示用户身份的随机密钥，以及从时间信息源获取时间信息，并根据时间信息和随机密钥生成动态码；第二服务器，与第一服务器物理隔离，用于获取人为导入的随机密钥，以及从时间信息源获取时间信息，并根据时间信息和随机密钥生成动态码；用户端，用于获取随机密钥，以及从时间信息源获取时间信息，根据时间信息和随机密钥生成动态码，并向用户显示动态码；第一服务器和第二服务器还用于在接收到用户提供的动态码时与本地生成的动态码进行比对，根据比对结果验证用户的身份。

Description

用户身份认证方法及系统

技术领域

本发明涉及网络数据安全领域，具体涉及一种用户身份认证方法及系统。

背景技术

随着技术的不断发展，身份认证方式已经在传统“账号+密码”基础上增加了许多新的辅助手段，如随机短信码、人脸识别、UKEY数字证书、大数据风险介入等。在互相隔离的跨网环境下，同样需要加强用户身份认证的安全防护强度，同时又要便于用户使用和系统管理。

在银行网、公安网、军队网、办公内网、互联网等跨网认证场景中，对于物理隔离的多个网络，用户需要分别进行注册，即同一用户拥有多个账户，其中包括用户名、密码以及个人信息等身份相关的信息，这些信息在特殊行业中属于敏感信息。互联网是公开的网络，这些敏感信息在互联网中有被盗取的风险，而为了管理用户以及便于用户在互联网中获取和管理文件资料，又必须在互联网中设立账户。因此，当用户登录互联网的账户时，必然会暴露账户信息，一旦信息被盗取，局域网中的数据安全性也将受到威胁，并且很容易暴露用户的真实身份及敏感信息。由此可见，虽然传统的用户身份认证方式采取了一定的保护措施，但不能满足跨网络身份认证对安全性的需求，仍需进一步提高安全防护强度。

发明内容

有鉴于此，本发明提供一种用户身份认证系统，包括：

第一服务器，用于生成表示用户身份的随机密钥，以及从时间信息源获取时间信息，并根据所述时间信息和所述随机密钥生成动态码；

第二服务器，与所述第一服务器物理隔离，用于获取人为导入的所述随机密钥，以及从所述时间信息源获取时间信息，并根据所述时间信息和所述随机密钥生成动态码；

用户端，用于获取所述随机密钥，以及从所述时间信息源获取时间信息，根据所述时间信息和所述随机密钥生成动态码，并向用户显示所述动态码；

所述第一服务器和所述第二服务器还用于在接收到用户提供的动态码时与本地生成的动态码进行比对，根据比对结果验证用户的身份。

可选地，所述第一服务器是局域网中的服务器，所述第二服务器是互联网或其它物理隔离网络中的服务器。

可选地，所述第一服务器还用于存储与用户身份相关的其它个人信息。

可选地，所述第一服务器、第二服务器和用户端分别按照同样的设定时间步长依次生成所述动态码。

可选地，所述第一服务器、第二服务器和用户端分别取当前时间值CTime，根据起点时间T0和时间步长TS得到时间整数T，所述时间整数T值在同一个时间步长内相同，且每过一个时间步长T值增加；

使用设定算法基于所述随机密钥SKey对所述时间整数T进行加密得到加密数据；

根据预设的动态码位数N，采用截短函数将所述加密数据截短得到N位数字的所述动态码。

本发明还提供一种用户身份认证方法，包括：

第一服务器生成表示用户身份的随机密钥；

第二服务器和用户端分别获取人为导入的所述随机密钥，所述第二服务器与所述第一服务器物理隔离；

第一服务器、第二服务器和用户端分别从时间信息源获取时间信息，并根据所述时间信息和所述随机密钥生成动态码，且用户端向用户显示所述动态码；

第一服务器和第二服务器分别监测是否收到用户的身份认证请求，当收到所述身份认证请求时，获取用户输入的动态码，比对用户提供的动态码与本地生成的动态码，根据比对结果验证用户的身份。

可选地，所述第一服务器是局域网中的服务器，所述第二服务器是互联网或其它物理隔离网络中的服务器。

可选地，第一服务器生成表示用户身份的随机密钥，包括：

第一服务器获取用户提供的注册信息，包括与用户身份相关的个人信息；

第一服务器接收到所述注册信息后生成所述随机密钥，并与所述注册信息关联存储。

可选地，在根据所述时间信息和所述随机密钥生成动态码的步骤中，第一服务器、第二服务器和用户端分别按照同样的设定时间步长依次生成所述动态码。

可选地，所述第一服务器、第二服务器和用户端分别取当前时间值CTime，根据起点时间T0和时间步长TS得到时间整数T，所述时间整数T值在同一个时间步长内相同，且每过一个时间步长T值增加；

使用设定算法基于所述随机密钥SKey对所述时间整数T进行加密得到加密数据；

根据预设的动态码位数N，采用截短函数将所述加密数据截短得到N位数字的所述动态码。

根据本发明提供的用户身份认证方法及系统，针对跨网络的认证需求，本系统通过其中一个网络的服务器来生成表示用户身份的随机密钥，另一个网络的服务器获取人为导入的随机密钥、用户端获取该随机密钥，三端可以基于同样的随机密钥和同步的时间信息产生同样的动态码，使得用户可以基于一个登录信息即动态码，登录两个物理隔离的网络，每次登陆时的动态码都由终端实时生成，不需要用户记住，具有较强的便利性。

在本方案中，被导入随机密钥的服务器不需要存储与用户真实身份相关的敏感信息，用户进行认证时两个服务器间不需要跨网通信，该服务器不会泄露任何敏感信息；由于动态密码是一次性的，每次生成动态密码时，新密码与之前的密码完全无关，且动态密码只在一定时间内有效，即使泄露，超出有效时间也无法再次使用，因此各种密码破解方法都对该认证系统无效；用户登录该服务器的账户时不需要提供除动态码外的其它信息，无需暴露随机密钥即可验证身份，即使攻击者截获某个动态密码，也无法反推出密钥，更无法推导出下一个动态密码。因此本系统具有较强的安全性。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例中的用户身份认证系统的架构示意图；

图2为本发明实施例中的用户身份认证方法的流程示意图；

图3为本发明实施例中的文件传输系统的架构示意图。

具体实施方式

下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的描述中，需要说明的是，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性。此外，下面所描述的本发明不同实施方式中所涉及的技术特征只要彼此之间未构成冲突就可以相互结合。

如图1所示，本发明实施例提供一种用户身份认证系统，系统包括第一服务器11、第二服务器12和用户端13，其中第二服务器12与第一服务器11处于不同的网络中，二者间物理隔离。用户端13可以直接或间接连接第二服务器12或者第一服务器11。

第一服务器11用于生成表示用户身份的随机密钥，即针对每个用户生成一个私有密钥SKey，不同用户的密钥是不同的。随机密钥一般是无实际含义的数字、字母或者其组合，其内容与用户的真实身份无关。在优选的实施例中，为了进一步提高安全性，第一服务器11是局域网(内网)中的服务器，其中还可以存储与用户身份相关的其它个人信息，如真实姓名、联系方式、职务级别等等。

第二服务器12用于获取人为导入的随机密钥。具体地，管理员可以从第一服务器11下载随机密钥并保存在介质中(如光盘、移动硬盘等数据存储设备)，然后使用介质将随机密钥拷贝到第二服务器12中，其本身不具备生成或修改随机密钥的功能或权限。第二服务器12可以是互联网中的服务器，或者是另一个局域网中的服务器，可根据具体应用场景而定。需要说明的是，第二服务器12中不需要存储如真实姓名、联系方式、职务级别等与用户真实身份相关的敏感信息，如果管理员需要确定第二服务器12中注册用户的真实身份，可以通过其掌握的随机密钥在第一服务器11中进行查询。

用户端13是用户的个人设备，例如个人计算机、便携式计算机、移动终端(手机)等等。用户端13用于获取随机密钥，其获取的是该用户本人的随机密钥，获取方式有多种，例如用户可以与第一服务器11通信查看自己的随机密钥，然后手动输入到用户端13中(或通过目视查看随机密钥、扫描二维码等形式)，或者是由管理员导入都是可行的。

第一服务器11、第二服务器12和用户端13还用于分别从同一个时间信息源10获取时间信息。时间信息源10具体可以是GPS、北斗、NTP(Network Time Protocol)等能够提供标准授时服务的服务器或系统。由此，第一服务器11、第二服务器12和用户端13中保存了同样的随机密钥并具有同步授时，三端根据同步的时间信息和同样的随机密钥，以及相同的算法生成动态码，因此三端生成的动态码是相同的。

基于时间和随机密钥生成的是一次性动态密码，也即动态码只在一定时间内有效，以此来代替传统的静态密码。每次认证时客户端与服务器分别根据同样的密钥、同样的时间和同样的算法计算生成完全相同动态密码，从而实现用户的安全认证。

具体地，当用户需要登录第一服务器11或者第二服务器12时，用户可通过用户端13来获取并查看当前的动态码，并以此向服务器进行登录身份验证(输入验证框提交服务器进行认证)。第一服务器11或者第二服务器12还用于在接收到用户提供的动态码时与本地生成的动态码进行比对，根据比对结果验证用户的身份，如果动态码一致则身份验证通过，否则提示用户重新认证，超过认证次数则提示用户认证失败。

根据本发明实施例提供的用户身份认证系统，针对跨网络的认证需求，本系统通过其中一个网络的服务器来生成表示用户身份的随机密钥，另一个网络的服务器获取人为导入的随机密钥、用户端获取该随机密钥，三端可以基于同样的随机密钥和同步的时间信息产生同样的动态码，使得用户可以基于一个登录信息即动态码，登录两个物理隔离的网络，每次登陆时的动态码都由终端实时生成，不需要用户记住，具有较强的便利性。

在本系统中，被导入随机密钥的服务器不需要存储与用户真实身份相关的敏感信息，用户进行认证时两个服务器间不需要跨网通信，该服务器不会泄露任何敏感信息；由于动态密码是一次性的，每次生成动态密码时，新密码与之前的密码完全无关，且动态密码只在一定时间内有效，即使泄露，超出有效时间也无法再次使用，因此各种密码破解方法都对该认证系统无效；用户登录该服务器的账户时不需要提供除动态码外的其它信息，无需暴露随机密钥即可验证身份，即使攻击者截获某个动态密码，也无法反推出密钥，更无法推导出下一个动态密码。因此本系统具有较强的安全性。

下面结合图2介绍基于上述系统执行的用户身份认证方法，包括如下步骤：

S1，第一服务器11生成表示用户身份的随机密钥。在实际应用例中，一般是根据用户本人的注册请求执行这一步骤，即生成该用户个人的随机密钥。所以此步骤具体可以包括：第一服务器11获取用户提供的注册信息，包括与用户身份相关的个人信息；第一服务器11接收到注册信息后生成随机密钥，并与注册信息关联存储。当然，也可以由管理员统一为所有用户进行注册，第一服务器11一次生成多个用户的随机密钥。

在可选的实施例中，由于第一服务器11中需要存储用户的个人信息，比如账号等，为了保证安全性，需要对数据进行字段加密，保证信息在存储、查询、传输过程中均为密文，进一步提高数据安全性。具体地，数据库加密及查询方法包括：

在本方案中用户个人信息和对应的随机密钥共同构成一条数据S(A,K),A表示个人信息字段，K表示随机密钥字段，加密算法可采用如DES等对称加密算法；

将数据S通过加密后生成的数据定义为SE(Index_S,AE,KE)，其中Index_S为数据S的索引值，通过对个人信息明文A进行MD5加密生成，即Index_S＝MD5(A)。KEY_DES为加密密钥，定义加密算法为E_DES，则AE＝E_DES(A,KEY_DES),KE＝E_DES(K,KEY_DES)。

查询时，数据库对用户个人信息进行MD5加密计算出索引值，根据索引值查询到加密数据SE，定义与加密算法E_DES相对应的解密算法为D_DES，计算出密钥K＝D_DES(KE,KEY_DES)，完成数据库查询。

通过上述数据库加密方式，数据在所有数据库及传输过程中均为密文形式，提高了安全性；数据中增加索引字段，保证了查询效率；使用同一个密钥，简化了算法流程，且单一密钥便于保存和保护，密钥可以定期更新，甚至可以使用离线方式保存或导入到其他服务器中，避免被攻击盗取。

S2，得到随机密钥后第一服务器11可以立即开始从时间信息源获取时间信息，并根据时间信息和随机密钥生成动态码。这是一个反复执行的步骤，随时间的变化，不同时间生成的动态码不同。

S3，第二服务器12和用户端13分别获取人为导入的随机密钥。为了将个人设备用作身份认证，用户需要在用户端13中安装专用的客户端(应用程序)，首次安装客户端时，将自己的随机密钥输入客户端，使服务器和客户端拥有相同的密钥，输入方式包括手动输入或客户端扫描由系统生成的二维码来读取密钥和帐号信息，同时还可以设置相关的参数，具体在下文中进行介绍。

S4，得到随机密钥后第二服务器12和用户端13分别从时间信息源获取时间信息，并根据时间信息和随机密钥生成动态码。与步骤S2类似，这是一个反复执行的步骤，随时间的变化，不同时间生成的动态码不同，但同一时间三端生成的动态码是相同的。

S5，第一服务器11和第二服务器12分别监测是否收到用户的身份认证请求，当收到身份认证请求时，获取用户输入的动态码，比对用户提供的动态码时与本地生成的动态码，根据比对结果验证用户的身份，以使用户登录第一服务器11或者第二服务器12。用户可以使用用户端13或者另外的终端访问第一服务器11和第二服务器12。

关于第一服务器11、第二服务器12和用户端13生成动态码的过程，在一个优选的实施例中，这三端分别按照同样的设定时间步长依次生成动态码。进一步地，它们分别取当前时间值CTime(取自时间信息源10)，根据起点时间T0和时间步长TS(例如30秒)得到时间整数T，例如T＝(CTime-T0)/TS，并取整。时间整数T值在同一个时间步长(30秒)内相同，且每过一个时间步长T值增加(例如每过30秒使T+1)；

使用设定算法基于随机密钥SKey对时间整数T进行加密得到加密数据，其中的设定算法有多种，例如HMAC-SHA-1、HMAC-SHA-256、HMAC-SHA-512等，所得到的加密数据可以表示为Hash＝HMAC-SHA-1(T，SKey)。

根据预设的动态码位数N(例如N＝6)，采用截短函数将加密数据Hash截短得到N位数字的动态码。其中的截短函数可以为Truncate，得到的动态码可表示为DCode＝Truncate(Hash，N)。

更进一步地，随机密钥SKey可以是一个加密密钥。第一服务器11可以先生成一个原始随机密钥RKey，然后将RKey进行加密(例如Base32编码)后作为加密密钥SKey，即SKey＝Base32(RKey)。

在实际应用中，系统管理员可以统一设置如密码长度N、时间步长TS等生成动态码过程中所需的参数。

下面结合图3介绍一种基于上述身份认证方案的应用例，具体涉及一个文件传输系统，其中包括互联网服务器31、光盘自动摆渡机32和内网导入服务器33。内网导入服务器33可作为上述第一服务器、互联网服务器31可作为上述第二服务器，并且它们还用于处理用户的待传文档。

首先按照上述实施例中的身份认证方案对文件传输系统进行设置，使其具备身份认证功能。当用户需要将一个文档从互联网单向导入内网时，使用动态码登录互联网服务器31的个人账户，获取待传文档并保持在账户中。

光盘自动摆渡机32用于把文件转移到内网导入服务器33中。具体地，光盘自动摆渡机32包括刻录机321、机械手322和只读机323，刻录机321读取互联网服务器31中用户账户中的待传文档，将其内容刻录成光盘；机械手322拾取光盘并放置在只读机323中；只读机323读取光盘内容生成文档，将其保存在内网的个人账户中。

用户使用动态码登录内网导入服务器33的个人账户，即可获取还原文档。

该单向传输系统能够实现用户从互联网向内网单向、安全地拷贝文件，满足日常文件传输需求，在保证两个网络物理隔离的情况下，两个网络中的服务器共用同一套账号，并且不需要在互联网中暴露用户的个人敏感信息，由此提高跨网络传输文件的便利性和安全性。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

显然，上述实施例仅仅是为清楚地说明所作的举例，而并非对实施方式的限定。对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式的变化或变动。这里无需也无法对所有的实施方式予以穷举。而由此所引伸出的显而易见的变化或变动仍处于本发明创造的保护范围之中。

Claims (10)

1.一种用户身份认证系统，其特征在于，包括：

第一服务器，用于生成表示用户身份的随机密钥，以及从时间信息源获取时间信息，并根据所述时间信息和所述随机密钥生成动态码，所述时间信息源是能够提供标准授时服务的服务器或系统；

第二服务器，与所述第一服务器物理隔离，用于获取人为导入的所述随机密钥，以及从所述时间信息源获取时间信息，并根据所述时间信息和所述随机密钥生成动态码；

用户端，用于获取所述随机密钥，以及从所述时间信息源获取时间信息，根据所述时间信息和所述随机密钥生成动态码，并向用户显示所述动态码；

所述第一服务器与所述第二服务器分别处于不同的网络中，所述第一服务器是内网中的服务器、所述第二服务器是互联网中的服务器；

所述第一服务器、所述第二服务器和所述用户端中保存了同样的随机密钥并具有同步授时，其中所述第一服务器和所述第二服务器还用于在接收到用户提供的动态码时与本地生成的动态码进行比对，根据比对结果验证用户的身份。

2.根据权利要求1所述的系统，其特征在于，所述第一服务器是局域网中的服务器，所述第二服务器是互联网或其它物理隔离网络中的服务器。

3.根据权利要求2所述的系统，其特征在于，所述第一服务器还用于存储与用户身份相关的其它个人信息。

4.根据权利要求1或2所述的系统，其特征在于，所述第一服务器、第二服务器和用户端分别按照同样的设定时间步长依次生成所述动态码。

5.根据权利要求4所述的系统，其特征在于，所述第一服务器、第二服务器和用户端分别取当前时间值CTime，根据起点时间T0和时间步长TS得到时间整数T，所述时间整数T值在同一个时间步长内相同，且每过一个时间步长T值增加；

使用设定算法基于所述随机密钥SKey对所述时间整数T进行加密得到加密数据；

根据预设的动态码位数N，采用截短函数将所述加密数据截短得到N位数字的所述动态码。

6.一种用户身份认证方法，其特征在于，包括：

第一服务器生成表示用户身份的随机密钥；

第二服务器和用户端分别获取人为导入的所述随机密钥，所述第二服务器与所述第一服务器物理隔离；

所述第一服务器与所述第二服务器分别处于不同的网络中，所述第一服务器是内网中的服务器、所述第二服务器是互联网中的服务器；

第一服务器、第二服务器和用户端分别从时间信息源获取时间信息，并根据所述时间信息和所述随机密钥生成动态码，且用户端向用户显示所述动态码，所述时间信息源是能够提供标准授时服务的服务器或系统，所述第一服务器、所述第二服务器和所述用户端中保存了同样的随机密钥并具有同步授时；

第一服务器和第二服务器分别监测是否收到用户的身份认证请求，当收到所述身份认证请求时，获取用户输入的动态码，比对用户提供的动态码时与本地生成的动态码，根据比对结果验证用户的身份。

7.根据权利要求6所述的方法，其特征在于，所述第一服务器是局域网中的服务器，所述第二服务器是互联网或其它物理隔离网络中的服务器。

8.根据权利要求7所述的方法，其特征在于，第一服务器生成表示用户身份的随机密钥，包括：

第一服务器获取用户提供的注册信息，包括与用户身份相关的个人信息；

第一服务器接收到所述注册信息后生成所述随机密钥，并与所述注册信息关联存储。

9.根据权利要求6或7所述的方法，其特征在于，在根据所述时间信息和所述随机密钥生成动态码的步骤中，第一服务器、第二服务器和用户端分别按照同样的设定时间步长依次生成所述动态码。

10.根据权利要求9所述的方法，其特征在于，所述第一服务器、第二服务器和用户端分别取当前时间值CTime，根据起点时间T0和时间步长TS得到时间整数T，所述时间整数T值在同一个时间步长内相同，且每过一个时间步长T值增加；

使用设定算法基于所述随机密钥SKey对所述时间整数T进行加密得到加密数据；

根据预设的动态码位数N，采用截短函数将所述加密数据截短得到N位数字的所述动态码。

Images