CN111835773B - 一种基于边缘计算的用户身份认证系统 - Google Patents

Abstract

本发明公开了一种基于边缘计算的用户身份认证系统，包括：一个或多个用户设备、边缘服务器和远程用户身份认证服务器；一个或多个用户设备向附近的边缘服务器发出包括认证信息的身份认证请求；所述边缘服务器，接收身份认证请求，并判断当前未处理的身份认证请求数量，如果未处理认证请求数量少于设定阈值，则在本地进行身份认证处理，并将认证结果发送给远程用户身份认证服务器，否则将超出设定阈值的身份认证请求信息发送给远程用户身份认证服务器进行身份认证；所述远程用户身份认证服务器对所述边缘服务器发送的身份认证请求进行认证并将果返回给边缘服务器。本发明能够利用边缘计算的优势，有效提高用户身份认证的效能。

Description

一种基于边缘计算的用户身份认证系统

技术领域

本发明涉及用户认证领域，特别涉及一种基于边缘计算的用户身份认证方法、装置及系统。

背景技术

边缘计算是为应用开发者和服务提供商在网络的边缘侧提供云服务和IT环境服务，目标是在靠近数据输入或用户的地方提供计算、存储和网络带宽。如图1所示，其通常是将部分计算任务从远端的数据中心或者数据云迁移到以蜂窝基站和WI-FI接入点为代表的边缘网络的边缘服务器(如图1的“区域性网络连接点”和“本地网络连接点”)中，终端上(如图1的“终端用户”)运行的服务的部分运算任务可以放到边缘服务器上执行，以避免放到远端数据中心或者数据云导致的高时延。与传统的集中式计算模式相比，边缘计算中处理用户任务的计算资源在地理位置和逻辑位置上都更加接近用户，改善了传输时延高、网络拥塞等问题，提升了用户在网络服务中的体验。

在网络应用服务中，用户的身份认证是最为常见的一种安全服务，其一般过程是由用户将身份认证请求和认证信息发送给远端的认证服务器或者认证云，认证服务器完成认证后，将认证结果反馈给用户，然后基于认证结果提供相应的网络服务。出于安全考虑，认证服务器通常由远程数据中心或者远程云来承担，随着用户不断增加，从而使得认证数据交互以及认证数据量快速增长，由于带宽资源不足导致认证过程的传输时延越来越大，甚至因时延过大导致认证失败。而边缘计算虽然传输时延小，但存在着一定的安全风险。中国专利CN107135228A提出的一种基于中心节点的认证系统，通过将中心节点分为本地校验认证单元以及远程校验认证单元的方式，目的在于提供多点认证，实现多个设备的接入，但仍然属于中心节点控制的方式，不能够解决认证时延的问题，此外，也没有利用边缘计算资源的优势。因此，如何基于边缘计算进行身份认证，是一个值得关注的技术问题。

发明内容

为了解决上述传统的基于远端服务器进行身份认证存在的时延大以及边缘计算的安全性不足的技术问题，本发明提出基于边缘计算的特点，在边缘计算设备和用户设备之间通过建立身份认证流程，不仅提升边缘计算的安全性，还利用边缘计算的优势，提升了用户身份认证的效能，有效改善了认证的时延问题。

为实现上述目的，本发明提供了一种基于边缘计算的用户身份认证系统，该系统包括：一个或多个用户设备、边缘服务器和远程用户身份认证服务器；

一个或多个用户设备向附近的边缘服务器发出包括认证信息的身份认证请求，所述认证信息包括用户名、密码和发出身份认证请求的时刻；

所述边缘服务器，用于接收所述身份认证请求，并判断当前未处理的身份认证请求数量，如果未处理的身份认证请求数量少于设定阈值，则在本地进行身份认证处理，并将身份认证处理的结果发送给所述远程用户身份认证服务器；否则将超出设定阈值的身份认证请求发送给所述远程用户身份认证服务器进行身份认证；

所述远程用户身份认证服务器接收到所述身份认证请求并进行认证，如果身份认证通过，则向所述边缘服务器发送所述身份认证通过的用户名、密码和认证值计算方法，向所述用户设备发送所述认证值计算方法，并通知所述用户设备的身份认证通过；

其中，所述边缘服务器对于在设定阈值数量内的身份认证请求放入认证请求队列，按照先进先出的原则对身份认证请求顺序进行处理；

所述边缘服务器从所述认证请求队列取出一身份认证请求后，查询所述边缘服务器是否保存有所述身份认证请求的认证信息中的用户名，如是，则根据所述用户名，确定所述用户名的认证值及对应的认证码，然后将所述认证值和认证码发送给所述用户设备；

所述用户设备接收到所述认证值和认证码后，计算第一校验值，如果第一校验值与所述认证值相等，则计算第二校验值，并将所述第二校验值发送给所述边缘服务器；

所述边缘服务器对所述用户设备返回的第二校验值进行校验，如果校验成功，则比较所述认证信息中的密码与所述边缘服务器保存的所述用户名对应的密码，如果两者一致，则通知所述用户设备的身份认证通过，并将用户身份认证成功的结果反馈给所述远程用户身份认证服务器；否则，即校验不成功或者所述认证信息中的密码与所述边缘服务器保存的所述用户名对应的密码不一致时，则将所述身份认证请求发送给所述远程用户身份认证服务器。

根据本发明的系统，优选的，所述边缘服务器根据所述用户名确定认证值包括：

根据所述认证信息中的用户名查找对应的认证值计算方法，如果存在，基于所述认证值计算方法计算认证值；如果不存在，则将所述身份认证请求发送给所述远程用户身份认证服务器进行身份认证。

根据本发明的系统，优选的，所述认证值计算方法包括：

计算认证值的函数H1(x,y,L)，其定义如下：

其中，x为被数值化的密码，y为所述身份认证请求的发出时刻,L表示用户身份认证成功的次数。

根据本发明的系统，优选的，所述边缘服务器确定所述用户名的认证值及对应的认证码包括：

获取所述用户身份认证成功的次数L，作为所述认证码；

当L为偶数时，计算所述认证值的函数为：

ID＝arctan(x)+y，

当L为奇数时，计算认证值的函数为：

ID＝arccot(x)+y，

其中，ID为所述认证值，x为被数值化的密码，y为所述身份认证请求的发出时刻。

根据本发明的系统，优选的，其特征在于所述用户设备计算第一校验值包括：

当所述认证码L为偶数时，则第一校验值V1按照如下公式计算：

V1＝arctan(x)+y，

当所述认证码L为奇数时，则第一校验值V1按照如下公式计算：

V1＝arccot(x)+y，

其中，x为用于用户身份认证的被数值化的密码，y为所述身份认证请求的发出时刻。

根据本发明的系统，优选的，所述用户设备计算第二校验值包括：

当所述认证码为偶数时，则第二校验值V2按照如下公式计算：

V2＝V1+arccot(y)，

当所述认证码为奇数时，则第二校验值V2按照如下公式计算：

V2＝V1+arctan(y)，

其中，V1为所述第一校验值，y为所述身份认证请求的发出时刻。

与现有技术方案相比，本发明提供的技术方案至少具有以下有益的技术效果：

(1)充分利用边缘计算中的边缘服务器和用户设备的计算能力，减少了远程用户认证服务器的计算负荷，有效提升了用户身份认证的效能。

(2)利用条件式函数和三角函数的特点，提升了基于边缘计算的用户身份认证过程中的数据安全性。

(3)利用边缘服务器和用户设备之间认证数据值的不恒定和可辨识(如认证码)的特点，利于用户设备察觉非法用户，提高了合法用户主动发现潜在危险的能力。

附图说明

图1是边缘计算的网络示意图。

下面对本发明进一步详细说明。但下述的实例仅仅是本发明的简易或者最佳例子，并不代表或限制本发明的权利保护范围，本发明的保护范围以权利要求书为准。

具体实施方式

下面结合附图并通过具体实施方式来进一步说明本发明的技术方案。

为更好地说明本发明，以及便于理解本发明的技术方案，本发明的典型但非限制性的实施例如下，但这里需要特别说明的是本发明所列的实施方式仅是为了说明问题方便而给出的示例性实施方法，其不得理解为是本发明唯一正确的实施方式，更不得理解为是对本发明保护范围的限制性说明。

用户身份认证是网络应用中一个非常重要的应用，通过用户身份认证来确保用户的真实身份，并提供所述用户被授权的网络应用服务。由于用户身份认证过程中，通常涉及到一些如用户名和密码等敏感信息，因而对认证过程中的安全性要求较高。为了提升安全性，用户身份认证一般由特定的安全性高的远程用户身份认证服务器或者远程云中心来集中处理。但是，远程用户身份认证服务器或远程中心容易受到数据带宽、计算能力等不足等影响，导致更高的传输时延，甚至会导致认证失败，因而会降低用户身份认证的体验。虽然边缘计算是充分利用距离用户设备更近的网络边缘侧的设备提供云服务和IT环境服务，能够有效解决传统的集中处理方式传输时延高的问题。但是，执行边缘计算服务的设备的安全性和稳定性不如远程用户身份认证服务器。因此，传统的身份认证服务流程较难以边缘计算的形式实施。

为了克服现有技术中的不足，本发明提出了一种新的用户身份认证方法和装置，并适用于边缘计算。本发明所提出的基于边缘计算的用户身份认证方法，通过有效利用边缘计算和用户设备的计算资源来实施身份认证的流程，以确保用于用户身份认证的边缘服务器的安全性，同时，利用边缘计算的低时延，从而提高了用户身份认证的体验。

为了便于理解和突出本发明的发明构思和核心点，对计算机网络方面的公知技术进行了简化，其具体内容可进一步参考相关的技术资料。

用户设备发出包含认证信息的身份认证请求，所述认证信息包括用户名、密码和发出身份认证请求的时刻。所述身份认证请求和认证信息首先被靠近所述用户设备的边缘服务器所接收，本实施例的边缘服务器由于能提供用户身份认证服务，因而不像传统边缘服务器将接收到的身份认证请求转发给远程用户身份认证服务器，而是利用边缘计算进行用户身份认证。

用户设备基于地理位置选择距离用户设备最近的边缘服务器，用户设备可以根据内置的边缘服务器地理位置信息以及用户设备的当前位置信息计算用户设备与边缘服务器的距离信息，并根据该距离信息，按照从近到远对边缘服务器进行排名，并选择排名第一，距离用户设备最近的边缘服务器。用户设备向选择的边缘服务器发送状态探测信息，如果边缘服务器返回“闲”的状态信息，则将身份认证请求发送给该边缘服务器进行身份认证；如果被选择的边缘服务器返回“忙”的状态信息，则选择下一个排名的边缘服务器，并继续发送状态探测信息，直至获取状态返回“闲”的状态信息的边缘服务器，将身份认证请求发送给返回“闲”状态信息的边缘服务器进行身份认证。

所述边缘服务器，默认的状态为“闲”，接收身份认证请求，并判断当前未处理的身份认证请求数量，如果当前未处理的身份认证请求数量少于第一设定阈值，则在本地进行身份认证处理，并将认证结果发送给远程用户身份认证服务器，如果当前未处理身份认证请求数量超过第一设定阈值，小于第二设定阈值，则将在第一设定阈值以下的身份认证请求在本地处理，将超出第一设定阈值的身份认证请求信息发送给远程用户身份认证服务器进行身份认证；如果身份认证请求数量超过第二设定阈值，则将边缘服务器状态设置为“忙”。作为一个优选的实施例，第一设定阈值可以设定为数值10，第二设定阈值设定为数值15。边缘服务器的状态根据当前未处理的身份认证请求数量实时更新。

所述边缘服务器对于在第一设定阈值数量内的身份认证请求放入认证请求队列，按照先进先出的原则对身份认证请求顺序进行处理；

边缘服务器从所述认证请求队列取出一身份认证请求后，查询所述边缘服务器是否保存有所述用户名，如保存有所述用户名，所述边缘服务器根据所述用户名，确定所述用户名的认证值及对应的认证码，然后将所述认证值和认证码发送给所述用户设备。

所述用户设备接收到所述认证值和认证码后，计算第一校验值，如果第一校验值与所述认证值相等，则计算第二校验值，并将所述第二校验值发送给所述边缘服务器。

利用用户设备通过校验值的比对，来确定边缘服务器的安全性，同时，为了避免非法用户设备盗窃合法用户设备的数据，边缘服务器还需要继续对用户设备进行验证：

所述边缘服务器收到所述第二校验值后进行校验，如果校验成功，则比较所述认证信息中的密码与所述边缘服务器保存的所述用户名对应的密码，如果两者一致，则通知所述用户设备的身份认证通过，并将用户身份认证成功的结果反馈给远程用户身份认证服务器；否则，即校验不成功或者两者不一致时，将所述身份认证信息发送给所述远程用户身份认证服务器。

当校验成功时，确保用户设备是合法的用户设备后，才进行用户的身份认证，从而保证了整个认证流程的安全性，防范非法设备的惯用的冒充方式的欺骗手段。此外，边缘服务器由于存储容量较小，其存储的数据信息不足以对所有的用户提供身份认证时，则交由远程用户身份认证服务器执行认证流程。通过边缘服务器提供的边缘计算和中心服务器提供的集中计算相结合的方式，有机融合了边缘计算的优势，从而有效提升了现有的用户身份认证服务的性能。

如果所述边缘服务器查询当前没有保存所述用户名，则将所述认证信息发送给远程用户身份认证服务器；所述远程用户身份认证服务器接收到所述身份认证请求，如果身份认证通过，则向所述边缘服务器发送所述身份认证通过的用户名和认证值计算方法，同时将所述认证值计算方法也发送给所述用户设备，并通知所述用户设备的身份认证通过；

远程用户身份认证服务器如果认证成功，同时也将相关的用于认证的信息发送给用户设备和边缘服务器，以利于边缘服务器利用边缘计算的优势进行用户身份认证。

作为更优的实施方式，所述边缘服务器确定所述用户名的认证值进一步包括：

根据所述认证信息中的用户名查找对应的认证值计算方法，如果存在，基于所述认证值计算方法计算认证值；如果不存在，则将所述用户名和密码发送给所述远程用户身份认证服务器进行认证。

本实施例中，认证值的计算方法是由远程用户认证服务器进行用户设备的用户身份认证时，认证成功后，发送给边缘服务器和用户设备的特殊信息。利用这种特殊信息，边缘服务器可以评估自身是否能够替代远程用户身份服务器提供认证服务。

作为更优的实施方式，所述远程用户身份认证服务器中的认证值计算方法包括下述流程：

统计用户身份认证成功的次数L，

用于计算认证值的函数H1(x,y,L)定义如下：

其中，x为被数值化的密码，y为所述身份认证请求的发出时刻的数值化形式。

作为更优的实施方式，所述边缘服务器确定所述用户名的认证值及对应的认证码包括：

统计所述用户身份认证成功的次数L，并作为所述对应的认证码；

当L为偶数时，计算认证值ID的函数为：

ID＝arctan(x)+y，

当L为奇数时，计算认证值ID的函数为：

ID＝arccot(x)+y，

其中，x为被数值化的密码，y为所述身份认证请求的发出时刻的数值化形式。

作为更优的实施方式，所述用户设备计算第一校验值包括：

当所述认证码为偶数时，则第一校验值V1按照如下公式计算：

V1＝arctan(x)+y，

当所述认证码为奇数时，则第一校验值V1按照如下公式计算：

V1＝arccot(x)+y，

其中，x为用于用户身份认证的被数值化的密码，y为所述身份认证请求的发出时刻的数值化形式。

作为更优的实施方式，所述用户设备计算第二校验值包括：

当所述认证码为偶数时，则第二校验值V2按照如下公式计算：

V2＝V1+arccot(y)， (公式2)

当所述认证码为奇数时，则校验值V2按照如下公式计算：

V2＝V1+arctan(y)， (公式3)

其中，x为用于用户身份认证的被数值化的密码，y为发送所述身份认证请求的发出时刻。

作为更优的实施方式，所述边缘服务器校验第二校验值包括：

(1)当所述认证码为偶数时，计算：

R＝V2-V1-arccot(y)， (公式4)

当所述认证码为奇数时，则计算：

R＝V2-V1-arctan(y)， (公式5)

其中，y为所述身份认证请求的发出时刻,V2为第二校验值，V1为所述第一校验值；

(2)当R＝0时，则校验成功，否则，校验失败。

作为更优的实施方式，还包括：

每间隔一指定的时间，所述边缘服务器请求所述用户设备重新进行用户身份认证流程。

为了便于理解，下面用一简单的例子予以说明：

用户设备A于2020年5月1日12点30分52秒发起用户身份认证的请求，当最靠近用户设备A的边缘服务器(通常为本地网络连接点或者区域性网络连接点)收到请求后，首先在其数据库检索用户A的请求中检索用户A的用户名，

如果用户名在边缘服务器中没有相关记录，则说明边缘服务器缺乏所述用户设备A的身份认证的相关数据，则直接将所述请求转发给远程用户身份认证服务器，当远程用户身份认证服务器对用户设备A认证成功，除了响应用户设备A，告知用户设备A身份认证成功外,还同时将所述用户名和认证值计算方法(如公式(1))发送给所述边缘服务器。

如果用户名在边缘服务器中有相关记录，即所述边缘服务器曾经接收并存储了所述远程用户身份认证服务器发送的与用户身份认证有关的数据，则可以在所述边缘服务器中查找到对应的认证值计算函数，首先将请求信息中与用户名对应的密码数值化，最常用的一种数值化方法是用该密码中每个字符对应的ASCII(American Standard Code forInformation Interchange，美国信息互换标准代码，ASCⅡ)码替换，作为函数的x参数，将请求身份认证的发出时刻2020年5月1日11时23分52秒数值化为20200501123052作为函数y参数，边缘服务器获取用户设备A身份认证的成功的次数L，所述次数L可通过与远程用户身份认证服务器中存放统计用户设备A成功认证的计数器值同步，或者边缘服务器通过与远程用户身份认证服务器交互，获取用户设备A成功认证的值。根据L的奇偶性，确定公式1中的具体计算函数，计算得到认证值，然后将所述认证值和作为认证码的L发送给用户设备A。

用户设备A得到认证码L，与自身用于身份认证的密码和请求身份认证的时刻，作为公式1的输入参数，确定第一校验值V1，当计算的第一校验值V1与接收到的认证值相等时，用户设备A基于第一校验值和请求身份认证的时刻利用公式2或者公式3计算第二校验值V2。如果是仿冒的边缘服务器，由于无法提供L值或者第一校验值，用户设备A由此可判别出非法的提供认证服务的边缘服务器。因此，通过第一校验值的计算和比较，能有效地确保提供认证服务的边缘服务器的安全性。

边缘服务器基于公式(4)或公式(5)校验接收到的所述第二校验值，通过校验来确保用户设备的真实性。然后，边缘服务器在基于用户名和密码来进行用户的身份认证。最后将认证的结果告知远程用户认证服务器(用于统计用户认证成功的次数)和用户设备。

对于方法实施，本发明提出的各种实施方式可以以使用例如计算机软件、硬件或其任何组合的计算机可读介质来实施。对于硬件实施，本发明提出的各种实施方式可以通过使用特定用途集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理装置(DSPD)、可编程逻辑装置(PLD)、现场可编程门阵列(FPGA)、处理器、处理器、微处理器、微处理器、被设计为执行这里描述的功能的电子单元中的至少一种来实施。对于软件实施，本发明提出的各种实施方式可以与允许执行至少一种功能或操作的单独的软件模块来实施。软件代码可以由以任何适当的编程语言编写的软件应用程序(或程序)来实施。

申请人声明，本发明通过上述实施例来说明本发明的详细结构特征，但本发明并不局限于上述详细结构特征，即不意味着本发明必须依赖上述详细结构特征才能实施。所属技术领域的技术人员应该明了，对本发明的任何改进，对本发明所选用部件的等效替换以及辅助部件的增加、具体方式的选择等，均落在本发明的保护范围和公开范围之内。

以上详细描述了本发明的优选实施方式，但是，本发明并不限于上述实施方式中的具体细节，在本发明的技术构思范围内，可以对本发明的技术方案进行多种简单变型，这些简单变型均属于本发明的保护范围。

另外需要说明的是，在上述具体实施方式中所描述的各个具体技术特征，在不矛盾的情况下，可以通过任何合适的方式进行组合，为了避免不必要的重复，本发明对各种可能的组合方式不再另行说明。

此外，本发明的各种不同的实施方式之间也可以进行任意组合，只要其不违背本发明的思想，其同样应当视为本发明所公开的内容。

Claims (6)

1.一种基于边缘计算的用户身份认证系统，其特征在于，包括：一个或多个用户设备、边缘服务器和远程用户身份认证服务器；

一个或多个用户设备向附近的边缘服务器发出包括认证信息的身份认证请求，所述认证信息包括用户名、密码和发出身份认证请求的时刻；

所述边缘服务器，接收所述身份认证请求，并判断当前未处理的身份认证请求的数量，如果未处理的身份认证请求数量少于设定阈值，则在本地进行身份认证处理，并将身份认证处理的结果发送给所述远程用户身份认证服务器；否则将超出设定阈值的身份认证请求发送给所述远程用户身份认证服务器进行身份认证；

所述远程用户身份认证服务器接收到所述身份认证请求并进行认证，如果身份认证通过，则向所述边缘服务器发送所述身份认证通过的用户名、密码和认证值计算方法，向所述用户设备发送所述认证值计算方法，并通知所述用户设备的身份认证通过；

其中，所述边缘服务器对于在设定阈值数量内的身份认证请求放入认证请求队列，按照先进先出的原则对身份认证请求顺序进行处理；

所述边缘服务器从所述认证请求队列取出一身份认证请求后，查询所述边缘服务器是否保存有所述身份认证请求的认证信息中的用户名，如是，则根据所述用户名，确定所述用户名的认证值及对应的认证码，然后将所述认证值和认证码发送给所述用户设备；

所述用户设备接收到所述认证值和认证码后，计算第一校验值，如果第一校验值与所述认证值相等，则计算第二校验值，并将所述第二校验值发送给所述边缘服务器；

所述边缘服务器对所述用户设备返回的第二校验值进行校验，如果校验成功，则比较所述认证信息中的密码与所述边缘服务器保存的所述用户名对应的密码，如果两者一致，则通知所述用户设备的身份认证通过，并将用户身份认证成功的结果反馈给所述远程用户身份认证服务器；否则，即校验不成功或者所述认证信息中的密码与所述边缘服务器保存的所述用户名对应的密码不一致时，则将所述身份认证请求发送给所述远程用户身份认证服务器。

2.根据权利要求1所述的系统，其特征在于所述边缘服务器根据所述用户名确定认证值包括：

根据所述认证信息中的用户名查找对应的认证值计算方法，如果存在，基于所述认证值计算方法计算认证值；如果不存在，则将所述身份认证请求发送给所述远程用户身份认证服务器进行身份认证。

3.根据权利要求2所述的系统，其特征在于所述认证值计算方法包括：

计算认证值的函数H1(x,y,L)，其定义如下：

其中，x为被数值化的密码，y为所述身份认证请求的发出时刻,L表示用户身份认证成功的次数。

4.根据权利要求3所述的系统，其特征在于，所述边缘服务器确定所述用户名的认证值及对应的认证码包括：

获取所述用户身份认证成功的次数L，作为所述认证码；

当L为偶数时，计算所述认证值的函数为：

ID＝arctan(x)+y，

当L为奇数时，计算所述认证值的函数为：

ID＝arccot(x)+y，

其中，ID为所述认证值，x为被数值化的密码，y为所述身份认证请求的发出时刻。

5.如权利要求4所述的系统，其特征在于所述用户设备计算第一校验值包括：

当所述认证码L为偶数时，则第一校验值V1按照如下公式计算：

V1＝arctan(x)+y，

当所述认证码L为奇数时，则第一校验值V1按照如下公式计算：

V1＝arccot(x)+y，

其中，x为用于用户身份认证的被数值化的密码，y为所述身份认证请求的发出时刻。

6.如权利要求5所述的系统，其特征在于，所述用户设备计算第二校验值包括：

当所述认证码为偶数时，则第二校验值V2按照如下公式计算：

V2＝V1+arccot(y)，

当所述认证码为奇数时，则第二校验值V2按照如下公式计算：

V2＝V1+arctan(y)，

其中，V1为所述第一校验值，y为所述身份认证请求的发出时刻。

Images