CN114095183B - 一种客户端双重认证方法、终端设备及存储介质 - Google Patents

Abstract

本发明公开了一种客户端双重认证方法，涉及通信安全技术领域。包括以下步骤：S1，客户端接入，进行量子卡检测，若检测到量子检测卡，则处于量子密钥和口令双因子认证环境；S2，用户注册，输入用户名后进行量子密钥协商，协商成功后设置密码进行口令因子认证，认证成功则注册完成；S3，用户登录，输入用户名和密码，进行量子密钥协商，协商成功后进行口令因子认证，认证成功则完成登录。本发明解决了当前会议系统接入中身份冒充的安全隐患。

Description

一种客户端双重认证方法、终端设备及存储介质

技术领域

本发明涉及通信安全技术领域，尤其涉及一种客户端双重认证方法、终端设备及存储介质。

背景技术

视频会议系统是一种为两地或多地的用户之间提供语音和画面双向实时传送的视听会话型会议，是不受地域限制、建立在宽带网络基础上，双向、多点、实时的音视频交互系统。现有的视频会议系统有依托于平台的视频会议，也有基于硬件系统的视频会议系统。随着信息化的不断发展与通信技术的不断提高，视频会议不论在个人应用还是企业间都有了很大的提高，而且随着移动时代的到来，视频会议系统更多在移动端使用，用户可以在任何地点通过移动设备轻松加入会议。

虽然用户首先考虑的是流畅度和稳定性的问题，很少有人去关注安全问题，然而对于企业来说，视频会议的安全问题一定是最需要考虑的问题，一旦安全环节出现问题，会对企业带来直接的损失。伴随而来的接入视频会议系统的客户端安全性也变得岌岌可危，对于源头的控制成为安全之门的第一道关卡。目前接入系统的客户端认证方式主要以传统的口令认证方式为主，通过会议室的安全设置来防止无权限人员的接入，而对于接入的客户端的认证安全性较低，容易让黑客以不正当的手段获得帐户登录权限，伪装身份进入会议。

随着视频会议系统越来越多的被广泛应用，对于整个系统的安全性和可靠性逐步提升到用户考虑的重要方面。因为视频会议本身存在以下安全隐患：1）网络监听——开会信息被偷听；2）服务器受黑客或流量攻击；3）身份冒充；4）会议内容被篡改或窃取。

目前对于大型的视频会议系统在云平台的部署、通信、登录和存储等各环节上通过全方位安全机制进行针对性部署，向客户提供安全可靠稳定的通信服务，而在接入视频会议系统的客户端主要的实现方式是：

口令认证接入，对于任一用户只要通过口令手机号码注册就可以获取相应的登录权限;

通过视频会议链接分享，分享后也可以轻松地进入会议。

发明内容

为了解决背景技术中提到的至少一个技术问题，本发明的目的在于提供一种客户端双重认证方法、终端设备及存储介质，解决当前会议系统接入中身份冒充的安全隐患。

为实现上述目的，本发明提供如下技术方案：

一种客户端双重认证方法，包括以下步骤：

S1，客户端接入，进行量子卡检测，若检测到量子检测卡，则处于量子密钥和口令双因子认证环境；

S2，用户注册，输入用户名后进行量子密钥协商，协商成功后设置密码进行口令因子认证，认证成功则注册完成；

S3，用户登录，输入用户名和密码，进行量子密钥协商，协商成功后进行口令因子认证，认证成功则完成登录。

进一步的，所述量子密钥协商的过程包括：

XS1，客户端获取量子卡序列号；

XS2，应用服务系统请求客户端的包名、容器名及量子卡序列号，同时加载量子云控系统；

XS3，客户端通过量子卡序列号发起协商会话密钥请求；

XS4，应用服务系统通过量子云控系统更新终端会话密钥，并将会话密钥句柄传送给客户端；

XS5，客户端获取会话密钥句柄，验证协商结果。

进一步的，所述口令因子认证采用设置的密码、注册的盐值、迭代的次数、生成密文的长度进行PBKDF2加密，获得加密后的密钥。

进一步的，所述迭代的次数为1000。

进一步的，在所述用户登录的过程中，起用多线程机制，主线程处理UI及事件处理，子线程处理量子密钥协商及后台请求。

进一步的，所述主线程与子线程之间的交互通过消息队列进行。

进一步的，将所述注册的盐值、迭代的次数、加密后的密钥、加密后的量子卡序列号存储至数据库。

进一步的，当所述子线程完成量子密钥协商，获取的终端会话密钥传递到主线程，所述应用服务系统根据获取的终端会话密钥对数据库内存储的加密后的密钥进行二次加密，然后进行验证，验证结果传递到主线程，进行UI的更新。

一种终端设备，包括存储器、处理器以及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如上所述的客户端双重认证方法。

一种计算机存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如上所述的客户端双重认证方法。

与现有技术相比，本发明的有益效果是：

本发明提出了一种集传统口令因子认证和量子密钥认证于一体的客户端双重认证实现方法，在传统的口令因子认证的方法中，大都仅采用存储密码明文的哈希值，密码安全性有限；本发明结合了量子密钥和口令双因子认证，以达到提升接入安全性的目的。

附图说明

图1为本发明的客户端接入视频会议系统框架图。

图2为本发明的客户端接入流程图。

图3为本发明的客户端用户注册流程图。

图4为本发明的注册数据框图。

图5为本发明的客户端登录流程图。

图6为本发明的量子密钥协商流程图。

具体实施方式

下面对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

针对视频会议系统安全隐患中的身份认证隐患，本发明的描述中，主要提供一种接入视频会议系统的集传统口令因子认证和量子密钥认证于一体的客户端双重认证实现方法和流程，在传统的口令因子认证的方法中，大都采用存储密码明文的哈希值，而本发明中采用存储密码明文的加盐哈希，保证每个用户的salt都不一样，以此来保证密码的安全性。量子密钥的原理基于量子力学，根据通信双方能够产生并分享一个随机的、安全的密钥，由此来保证通信的安全性。但是传统密码学是基于某些数学算法的计算复杂度，无法察觉窃听攻击，因此本发明将两种认证原理进行结合和优化，以达到接入的安全性。

请参照图1，首先提出一种客户端接入视频会议系统整体框架，本发明中对于接入视频会议系统的客户端认证，主要交互的模块有量子SDK模块，量子云控系统、应用服务系统，客户端输入的用户信息，通过注册和登录两个步骤经过PBKDF2加密算法和量子密钥加密认证成功后接入视频会议系统。

量子卡：即量子安全T卡；

量子密钥：是由量子随机数源生成量子真随机数。

量子云控系统是一款集身份认证和加解密功能为一体的安全平台。提供的主要功能如下：

1)基于量子密钥的认证机制；

2)支持C2C模式的加解密；

3)支持C2S模式的加解密；

4)支持在线充注、离线充注的密钥充注模式；

5)支持CA系统；

6)支持Window,Linux、安卓等多种操作系统。

实施例一：

如图2所示，本实施例提供一种客户端双重认证方法，包括以下步骤：

S1，客户端接入；进行量子卡检测，若检测到量子检测卡，则处于量子密钥和口令双因子认证环境；

在接入的过程中，首先进行量子卡的检测，如果未检测到量子卡则处于口令因子认证环境，提示用户插入量子卡；检测到量子卡，则提示处于量子密钥和口令双因子认证环境，用户名优选为手机号，手机号和量子卡序列号两者绑定则为一个唯一的帐号，在进入视频会议系统之前会经过注册和登录两个步骤。

S2，用户注册；如图3所示，客户端用户注册流程，新用户需要先进行用户注册，此处用户名优选对应的手机号码，根据所填的手机号码，获取手机验证码，获取成功后需要进行量子密钥协商，协商成功后设置密码进行口令因子认证，认证成功则注册完成。注册流程包含以下步骤：

1、输入用户名（手机号码)；

2、根据手机号码获取验证码；

3、根据用户名及量子加密卡进行验证码验证；

4、验证成功后进行量子密钥协商；

5、协商成功后进行密码设置验证；

6、 注册流程结束；

如图4所示，在上述的过程中，注册时在进行量子协商成功的前提下进行口令因子认证，摒弃常用的MD5加密，而是通过registerSalt 、Count、passWord、nLen进行PBKDF2加密得到加密后的密钥，具体的：

令认证中加密后的密钥encPassWord = PBKDF2(passWord，registerSalt，Count，nLen), 其中passWord为用户输入的密码，registerSalt为注册的盐值，RNG为根据不同的用户产生加密的强随机数，每个用户的盐值都不一样，保证安全型。Count为迭代的次数，nLen为生成密文的长度，在本发明中Count设定为1000，即对salted hash进行1000次的重复计算，通过这样的算法能抵御彩虹表的攻击，

为确保密码的安全性，同时将registerSalt、Count、encPassWord、encStoreId存储至数据库，encStoreId是加密后的量子卡序列号。

S3，用户登录；待注册成功后，用户根据用户名和密码进行登录，输入用户名和密码，进行量子密钥协商，协商成功后进行口令因子认证，认证成功则完成登录。如图5所示，登录的具体步骤为：

1、用户输入用户名（userName）和密码（passWord）；

2、启动新线程，进行量子密钥的协商；

3、协商线程通过Message Queue与主线程进行交互，进行口令认证，获取加密后的密钥encPassWord；

4、验证结束。

在所述用户登录的过程中，起用多线程机制，主线程处理UI及事件处理，子线程处理量子密钥协商及后台请求。所述主线程与子线程之间的交互通过消息队列（MessageQueue）进行。

当量子协商线程（子线程）完成量子密钥协商，获取的终端会话密钥通过MessageQueue传递到主线程，所述应用服务系统根据获取的终端会话密钥对数据库内存储的加密后的密钥进行二次加密，然后进行验证，验证结果传递到主线程，进行UI的更新。

在用户注册和用户登录的流程中需要先进行量子密钥的协商认证。如图6所示，量子协商的过程，涉及的模块有客户端、量子SDK模块、应用服务系统、量子云控系统。每张量子加密卡在量子设备管理系统上须先进行充注，协商的过程如下：

XS1，客户端App启动时，通过量子SDK的接口获取设备序列号即量子卡序列号storeId；

XS2，应用服务系统通过接口请求客户端的包名（appName）、容器名（containerName）及量子卡序列号（storeId），同时加载量子云控系统；

XS3，客户端通过携带的量子卡序列号发起协商会话密钥请求；

XS4，应用服务系统通过量子云控系统更新终端会话密钥，并将会话密钥句柄传送给客户端；

XS5，客户端获取会话密钥句柄，通过量子SDK模块验证协商结果，如果协商结果为true则表示协商成功，否则则为失败。

实施例二：

本实施例提供一种终端设备，包括存储器、处理器以及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如实施例一所述的客户端双重认证方法。

实施例三：

一种计算机存储介质，其上存储有计算机程序，该程序被处理器执行时实现如实施例一所述的客户端双重认证方法。

对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化囊括在本发明内。

Claims (8)

1.一种客户端双重认证方法，其特征在于，包括以下步骤：

S1，客户端接入，进行量子卡检测，若检测到量子检测卡，则处于量子密钥和口令双因子认证环境；

S2，用户注册，输入用户名后进行量子密钥协商，协商成功后设置密码进行口令因子认证，认证成功则注册完成；

S3，用户登录，输入用户名和密码，进行量子密钥协商，协商成功后进行口令因子认证，认证成功则完成登录；

所述量子密钥协商的过程包括：

XS1，客户端获取量子卡序列号；

XS2，应用服务系统请求客户端的包名、容器名及量子卡序列号，同时加载量子云控系统；

XS3，客户端通过量子卡序列号发起协商会话密钥请求；

XS4，应用服务系统通过量子云控系统更新终端会话密钥，并将会话密钥句柄传送给客户端；

XS5，客户端获取会话密钥句柄，验证协商结果；

所述口令因子认证采用设置的密码、注册的盐值、迭代的次数、生成密文的长度进行PBKDF2加密，获得加密后的密钥。

2.根据权利要求1所述的客户端双重认证方法，其特征在于，所述迭代的次数为1000。

3.根据权利要求1所述的客户端双重认证方法，其特征在于，在所述用户登录的过程中，起用多线程机制，主线程处理UI及事件处理，子线程处理量子密钥协商及后台请求。

4.根据权利要求3所述的客户端双重认证方法，其特征在于，所述主线程与子线程之间的交互通过消息队列进行。

5.根据权利要求1所述的客户端双重认证方法，其特征在于，将所述注册的盐值、迭代的次数、加密后的密钥、加密后的量子卡序列号存储至数据库。

6.根据权利要求3所述的客户端双重认证方法，其特征在于，当所述子线程完成量子密钥协商，获取的终端会话密钥传递到主线程，所述应用服务系统根据获取的终端会话密钥对数据库内存储的加密后的密钥进行二次加密，然后进行验证，验证结果传递到主线程，进行UI的更新。

7.一种终端设备，包括存储器、处理器以及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至6任意一项所述的客户端双重认证方法。

8.一种计算机存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1至6任意一项所述的客户端双重认证方法。

Images