CN114282190A - 一种双重认证方法及其电子设备 - Google Patents

Abstract

本公开提出了一种双重认证方法，应用于CERID系统和Shibboleth系统中，所述CERID系统包括多个子应用服务器，所述Shibboleth系统包括多个联盟成员，所述CERID系统为所述Shibboleth系统的联盟成员，其特征在于，包括：所述子应用服务器接收用户认证请求后，为用户提供本地认证和跨域认证；当用户选择所述跨域认证时，则跳转至所述Shibboleth系统，使得用户所述Shibboleth系统中任一所述联盟成员进行认证。

Description

一种双重认证方法及其电子设备

技术领域

本公开涉及计算机技术领域，尤其涉及一种双重认证方法及其电子设备。

背景技术

随着信息化的发展，各企业和高校都己经建立起了属于自己的综合信息系统。这些系统的认证方式大多采用统一身份认证方案，即一个系统只需注册一次，就可以访问该系统内的所有应用。但由于每个应用系统都有自己的认证方式，所以这些系统都是一个个孤岛，用户无法用其他系统的账号登陆自己要访问的系统。用户不得不在每一个系统上进行注册，且记住注册的账户和密码，这给用户带来了不便，同时，也造成了资源浪费、重复注册的现象，阻碍了教育信息化的进程。

为解决上述问题，现提出一种基于CERID系统和Shibboleth系统的双重认证方法，用来实现多种系统认证方式的相互兼容。

发明内容

有鉴于此，本公开提出了一种双重认证方法，应用于CERID系统和Shibboleth系统中，所述CERID系统包括多个子应用服务器，所述Shibboleth系统包括多个联盟成员，所述CERID系统为所述Shibboleth系统的联盟成员，其特征在于，包括：所述子应用服务器接收用户认证请求后，为用户提供本地认证和跨域认证；当用户选择所述跨域认证时，则跳转至所述Shibboleth系统，使得用户所述Shibboleth系统中任一所述联盟成员进行认证。

可选地，当用户选择所述跨域认证时，则跳转至所述Shibboleth系统，使得用户所述Shibboleth系统中任一所述联盟成员进行认证，包括：跳转至Shibboleth-SP服务器；跳转至Shibboleth-DS服务器，所述Shibboleth-DS服务器提供Shibboleth系统联盟成员的目录列表供用户选择；跳转至用户所选所述联盟成员的对应Shibboleth-IDP服务器，所述Shibboleth-IDP服务器提供所述IDP登陆页面供用户填写登陆信息；所述Shibboleth-IDP服务器根据用户填写的登陆信息进行认证，并将认证结果转发至所述Shibboleth-SP服务器；所述Shibboleth-SP服务器将所述认证结果转发回所述子应用服务器，当所述认证结果为通过时，所述子应用服务器提供访问服务。

可选地，所述CERID系统为所述Shibboleth系统的联盟成员，包括：构建CERID系统对应的Shibboleth-IDP服务器；将所述CERID系统的名称和所述CERID系统对应的Shibboleth-IDP服务器位置加入所述Shibboleth-DS服务器的目录列表。

可选地，构建CERID系统对应的Shibboleth-IDP服务器，包括：将所述CERID系统中的用户信息加密导入到独立的LDAP服务器中；将一个所述Shibboleth-IDP服务器与所述LDAP服务器对接，形成所述CERID系统对应的Shibboleth-IDP服务器。

可选地，Shibboleth-SP服务器将所述认证结果转发回所述子应用服务器，包括：所述Shibboleth-SP服务器通过预先构建的转发接口，将认证结果转发回所述子应用服务器。

可选地，所述转发接口设置有签名密钥，以对传输给所述子应用服务器的认证结果进行完整性校验，其中，所述签名密钥为所述Shibboleth-SP服务器基于所述子应用服务器对应的专用密钥，并进行MD5加密生成的，所述专用密钥为所述CERID系统下发至所述子应用服务器的。

可选地，双重认证方法，还包括：当用户选择所述本地认证时，则跳转至所述CERID系统进行认证。

可选地，当用户选择所述本地认证时，所述跳转至所述CERID系统进行认证，包括：跳转至CERID服务器，所述CERID服务器提供CERID认证方式和第三方认证方式；当用户选择CERID认证方式时，所述CERID服务器提供CERID登陆页面供用户填写登陆信息；所述CERID服务器根据填写的登陆信息进行认证，并将所述认证结果发回所述子应用服务器。

可选地，本地认证还包括：当用户选择第三方认证方式时，跳转至第三方服务器，所述第三方服务器提供第三方登陆页面供用户填写登陆信息，其中，所述第三方服务器为所述CERID服务器信任的服务器；所述第三方服务器根据用户填写的所述登陆信息进行认证，并将认证结果发回所述CERID服务器；所述CERID服务器将所述认证结果发回所述子应用服务器。

本公开另一方面还提供了一种电子设备，包括：一个或多个处理器；存储装置，用于存储一个或多个程序，其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器执行上述方法。

从上述技术方案可以看出，本公开双重认证方法使得用户登陆CERID系统内的子应用可以选择两种认证方法，一种是在Shibboleth系统联盟成员的目录列表中选择自己注册过的系统进行跨域登陆。一种是使用CERID系统自身账号进行本地登陆。且本公开还可以选择CERID系统信任的百度、微信等第三方系统的账号进行登陆。

附图说明

通过以下参照附图对本公开实施例的描述，本公开的上述内容以及其他目的、特征和优点将更为清楚，在附图中：

图1示意性示出了根据本公开实施例的一种双重认证方法；

图2示意性示出了根据本公开实施例中当用户选择跨域认证时的认证流程；

图3示意性示出了根据本公开实施例当用户选择本地认证时的认证流程；

图4示意性示出了根据本公开实施例的一种转发接口示意图；

图5示意性示出了根据本公开实施例的一种双重认证系统架构；

图6示意性示出了根据本公开实施例的一种电子设备。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语包括技术和科学术语具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释例如，“具有A、B和C中至少一个的装置”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的装置等。

本公开实施例提出了一种双重认证方法，应用于CERID系统和Shibboleth系统中。本公开双重认证的系统框架如图5所示。

CERID系统含有多个子应用服务器，且CERID系统为统一认证机制，即用户想要登陆任意子应用服务器，可以通过统一的CERID系统账号进行认证。

Shibboleth系统为一种单点登录机制的系统，包括多个联盟成员，CERID系统为Shibboleth系统的联盟成员之一。在Shibboleth系统中用户只需要一次认证，就可以获得联盟内所有联盟成员的访问权限。

图1示意性的示出了本公开实施例的一种双重认证方法。图1所示，方法包括步骤S110～S130。

步骤S110，子应用服务器接收用户认证请求后，为用户提供本地认证和跨域认证。

步骤S120，当用户选择跨域认证时，则跳转至Shibboleth系统，使得用户选择Shibboleth系统中任一联盟成员进行认证。

步骤S130，当用户选择本地认证时，则跳转至CERID系统进行认证。

根据本公开实施例，在步骤S110中，当用户想要访问CERID系统内任意网站或者应用软件时，在该网站或者应用软件上提出认证请求。该网站或者应用软件对应的子应用服务器提供一选择页面，供用户选择是进行本地认证还是进行跨域认证。

根据本公开实施例，在步骤S120中，当用户选择跨域认证时，用户选择Shibboleth系统中的任意联盟成员，并以该联盟成员的账号和密码进行认证。当认证通过时，子应用服务器提供访问服务。通过上述方法使得用户可以通过非CERID系统的账户来访问CERID系统中的子应用服务器中的数据和信息。

根据本公开实施例，Shibboleth系统框架如图5所示，包括Shibboleth-SP服务器、Shibboleth-DS服务器和多个Shibboleth-IDP服务器。

Shibboleth-SP服务器为服务提供者，用于接收子应用服务器的认证请求，并将Shibboleth-IDP服务器的认证结果发回子应用服务器。

Shibboleth-DS服务器，保存有所有Shibboleth系统联盟成员的名称，及各个联盟成员所对应的Shibboleth-IDP服务器的位置，用于为用户提供导航服务。

Shibboleth-IDP服务器为身份提供者，用于提供身份认证服务。每一个Shibboleth-IDP服务器对应于一个Shibboleth系统的联盟成员。

根据本公开实施例，CERID系统成为Shibboleth系统联盟成员的过程为：构建CERID系统对应的Shibboleth-IDP服务器；将CERID系统的名称和CERID系统对应的Shibboleth-IDP服务器位置加入Shibboleth-DS服务器的目录列表。其中，构建CERID系统对应的Shibboleth-IDP服务器过程为：将CERID系统的用户信息加密导入到独立的LDAP服务器中，用户信息为所有CERID系统用户的账号信息；将一个Shibboleth-IDP服务器与LDAP服务器对接，形成CERID系统对应的Shibboleth-IDP服务器。

可以理解的是，在构建Shibboleth系统时，其他系统成为Shibboleth系统的联盟成员的方法跟CERID系统一致。

根据本公开实施例，当用户选择跨域认证时，具体认证方法步骤如图2所示，包括步骤S210～S250。

步骤S210，跳转至Shibboleth-SP服务器。

步骤S220，跳转至Shibboleth-DS服务器，Shibboleth-DS服务器提供Shibboleth系统内联盟成员的目录列表供用户选择。

步骤S230，跳转至用户所选联盟成员的对应Shibboleth-IDP服务器，Shibboleth-IDP服务器提供IDP登陆页面供用户填写登陆信息。

步骤S240，Shibboleth-IDP服务器根据用户填写的登陆信息进行认证，并将认证结果转发至Shibboleth-SP服务器。

步骤S250，Shibboleth-SP服务器将认证结果转发回子应用服务器，当认证结果为通过时，子应用服务器供用户访问内容。

根据本公开实施例，在步骤S210中，子应用服务器跳转至Shibboleth-SP服务器后，以Shibboleth-SP的身份在Shibboleth系统中进行认证流程。

根据本公开实施例，在步骤S220中，联盟成员的目录列表包括所有Shibboleth系统联盟成员的名称，及各个联盟成员所对应的Shibboleth-IDP服务器的位置。用户可以选择任意一个Shibboleth联盟成员，跳转至该联盟成员的Shibboleth-IDP服务器上，以该联盟成员的账号进行认证，认证通过后就可以登陆子应用服务器访问其数据和信息。CERID系统作为Shibboleth联盟成员之一，用户也可以在跨域认证的时候利用CERID系统的账户和密码进行认证。

根据本公开实施例，在步骤S240中，Shibboleth-IDP服务器将用户填写的登陆信息与其对接的LDAP服务器中的用户信息进行比较，得到认证结果。

根据本公开实施例，在步骤S250中，Shibboleth-SP服务器通过预先构建的转发接口，将认证结果转发回子应用服务器。认证结果基于SAML2.0规范，转发接口将认证信息格式化，

本公开实施例所示的转发接口可以实现Shibboleth-SP服务器与子应用服务器之间的直接对接。转发接口示意图如图4所示。

其中，接口请求URL示例如下：

http://www.cerid.cn/setUserFromCarsi.do？remoteUser＝[remoteUser]&rand＝[rand]&ts＝[ts]&sign＝[sign]&from＝[from]；

参数如下表1所示：

表1转发接口参数

接口响应认证结果数据示例为：

查询成功：

{‘result’:’1’,’msg’:’Query suc！’}

查询失败：

1.{‘result’:0,’msg’:’sign is incorrect！’}

2.{‘result’:0,’msg’:’其他错误信息’}

转发接口设置签名密钥，以对传输给子应用服务器的认证结果进行完整性校验，其中，签名密钥为Shibboleth-SP服务器基于子应用服务器对应的专用密钥，并进行MD5加密生成的，专用密钥为CERID系统下发至子应用服务器的。

设计认证接口时，CERID系统分别跟每个子应用服务器进行商议，生成各个子应用服务器的专用秘钥，CERID系统将此专用密钥下发至子应用服务器，也将所有子应用服务器的专用秘钥发送给Shibboleth-SP服务器。

当认证接口要将认证结果传送回来源的子应用服务器时，该子应用服务器的专用秘钥并不直接拼接在参数里，而是由认证接口调用Shibboleth-SP服务器拼接在密钥签名中，再进行MD5加密。

子应用服务器收到参数后，将自身的专用密钥，以Shibboleth-SP服务器的同样的拼接顺序进行拼接，并MD5加密，得到本地签名。判断参数中的签名密钥是否与本地签名一致，一致时才能通过。

在本公开中，使用密钥签名可有效防止数据在传输过程中参数被篡改，即使参数被篡改,也无法在不知道对应子应用服务器专用密钥的情况下重新拼接MD5,可以起到一定的数据安全保障。

产生签名秘钥需要四个参数，并在生成后进行MD5加密。生成签名秘钥代码如下：

$remoteUser＝$_SERVER['persistent-id'].'！'.$_SERVER['affiliation']；//通过Shibboleth获取远程用户信息

$randNumber＝rand()；

$timeStamp＝time()；

$appSecret＝$this->getAppSecret($form)；

&sign＝strtoupper(md5($remoteUser.$randNumber.$timeStamp.$GLOBALS['appSecret']))；//生成秘钥

根据本公开实施例，如果认证结果为通过，用户可以访问子应用服务器内的资源，如果不通过，用户则需要重复S110～S130，重新选择认证方式进行认证。

本公开实施例使用Shibboleth系统的进行跨域认证，只要用户拥有Shibboleth系统任意联盟成员的账号，就可以通过Shibboleth系统完成跨域认证。

根据本公开实施例，在步骤S130中，如图3所示，当用户选择本地认证时，本地认证流程包括步骤S310-S360。

步骤S310，跳转至CERID服务器，CERID服务器提供CERID认证方式和第三方认证方式。

步骤S320，当用户选择CERID认证方式时，CERID服务器提供CERID登陆页面供用户填写登陆信息；

步骤S330，CERID服务器根据填写的登陆信息进行认证。

步骤S340，当用户选择第三方认证方式时，跳转至第三方服务器，第三方服务器提供第三方登陆页面供用户填写登陆信息，其中，第三方服务器为CERID服务器信任的服务器。

步骤S350，第三方服务器根据用户填写的登陆信息进行认证，并将认证结果发回CERID服务器。

步骤S360，CERID服务器将认证结果发回子应用服务器。

根据本公开实施例，因为CERID系统为统一认证机制，当用户选择本地认证时，子应用服务器跳转至CERID服务器，利用CERID系统的账号进行登陆。

根据本公开实施例，本公开CERID系统还提供了第三方认证方式，可以跳转到第三方系统的服务器进行认证。CERID系统与第三方系统基于OAuth2.0协议实现相互信任。现如今，可以直接向百度、微信等系统进行申请，完成与CERID系统的信任。

第三方认证方式与基于Shibboleth系统的认证方式区别在于：Shibboleth系统内只要完成一次认证不仅可以访问CERID系统，还可以访问Shibboleth系统内其他联盟员，但是第三方认证只能是使用第三方系统的账号访问CERID系统，却不能用CERID系统的账号访问第三方系统，且第三方系统之间也无法互相认证。

根据本公开实施例，在步骤S360中，如果认证结果为通过，用户可以访问子应用服务器内的资源，如果不通过，用户则需要重复S110～S130，重新选择认证方式进行认证。

图6示意性示出了根据本公开实施例的用于实现上述双重认证方法的电子设备的方框图。

如图6所示，根据本公开实施例的电子设备600包括处理器601，其可以根据存储在只读存储器(ROM)602中的程序或者从存储部分608加载到随机访问存储器(RAM)603中的程序而执行各种适当的动作和处理。处理器601例如可以包括通用微处理器(例如CPU)、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))等等。处理器601还可以包括用于缓存用途的板载存储器。处理器601可以包括用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

在RAM 603中，存储有电子设备600操作所需的各种程序和数据。处理器601、ROM602以及RAM 603通过总线604彼此相连。处理器601通过执行ROM 602和/或RAM 603中的程序来执行根据本公开实施例的方法流程的各种操作。需要注意，所述程序也可以存储在除ROM 602和RAM 603以外的一个或多个存储器中。处理器601也可以通过执行存储在所述一个或多个存储器中的程序来执行根据本公开实施例的方法流程的各种操作。

根据本公开的实施例，电子设备600还可以包括输入/输出(I/O)接口605，输入/输出(I/O)接口605也连接至总线604。电子设备600还可以包括连接至I/O接口605的以下部件中的一项或多项：包括键盘、鼠标等的输入部分606；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分607；包括硬盘等的存储部分608；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分609。通信部分609经由诸如因特网的网络执行通信处理。驱动器610也根据需要连接至I/O接口605。可拆卸介质611，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器610上，以便于从其上读出的计算机程序根据需要被安装入存储部分608。

本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合或/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。

以上对本公开的实施例进行了描述。但是，这些实施例仅仅是为了说明的目的，而并非为了限制本公开的范围。尽管在以上分别描述了各实施例，但是这并不意味着各个实施例中的措施不能有利地结合使用。本公开的范围由所附权利要求及其等同物限定。不脱离本公开的范围，本领域技术人员可以做出多种替代和修改，这些替代和修改都应落在本公开的范围之内。

Claims (10)

1.一种双重认证方法，应用于CERID系统和Shibboleth系统中，所述CERID系统包括多个子应用服务器，所述Shibboleth系统包括多个联盟成员，所述CERID系统为所述Shibboleth系统的联盟成员，其特征在于，包括：

所述子应用服务器接收用户认证请求后，为用户提供本地认证和跨域认证；

当用户选择所述跨域认证时，则跳转至所述Shibboleth系统，使得用户选择所述Shibboleth系统中任一所述联盟成员进行认证。

2.根据权利要求1所述的双重认证方法，其特征在于，所述当用户选择所述跨域认证时，则跳转至所述Shibboleth系统，使得用户所述Shibboleth系统中任一所述联盟成员进行认证，包括：

跳转至Shibboleth-SP服务器；

跳转至Shibboleth-DS服务器，所述Shibboleth-DS服务器提供Shibboleth系统联盟成员的目录列表供用户选择；

跳转至用户所选所述联盟成员的对应Shibboleth-IDP服务器，所述Shibboleth-IDP服务器提供所述IDP登陆页面供用户填写登陆信息；

所述Shibboleth-IDP服务器根据用户填写的登陆信息进行认证，并将认证结果转发至所述Shibboleth-SP服务器；

所述Shibboleth-SP服务器将所述认证结果转发回所述子应用服务器，当所述认证结果为通过时，所述子应用服务器提供访问服务。

3.根据权利要求2所述的双重认证方法，其特征在于，所述CERID系统为所述Shibboleth系统的联盟成员，包括：

构建CERID系统对应的Shibboleth-IDP服务器；

将所述CERID系统的名称和所述CERID系统对应的Shibboleth-IDP服务器位置加入所述Shibboleth-DS服务器的所述目录列表。

4.根据权利要求3所述的双重认证方法，其特征在于，所述构建CERID系统对应的Shibboleth-IDP服务器，包括：

将所述CERID系统中的用户信息加密导入到独立的LDAP服务器中；

将一个所述Shibboleth-IDP服务器与所述LDAP服务器对接，形成所述CERID系统对应的Shibboleth-IDP服务器。

5.根据权利要求2所述的双重认证方法，其特征在于，所述Shibboleth-SP服务器将所述认证结果转发回所述子应用服务器，包括：

所述Shibboleth-SP服务器通过预先构建的转发接口，将认证结果转发回所述子应用服务器。

6.根据权利要求5所述的双重认证方法，其特征在于，所述转发接口设置有签名密钥，以对传输给所述子应用服务器的认证结果进行完整性校验，其中，所述签名密钥为所述Shibboleth-SP服务器基于所述子应用服务器对应的专用密钥，并进行MD5加密生成的，所述专用密钥为所述CERID系统下发至所述子应用服务器的。

7.根据权利要求1所述的双重认证方法，其特征在于，还包括：

当用户选择所述本地认证时，则跳转至所述CERID系统进行认证。

8.根据权利要求7所述的双重认证方法，其特征在于，所述当用户选择所述本地认证时，所述跳转至所述CERID系统进行认证，包括：

跳转至CERID服务器，所述CERID服务器提供CERID认证方式和第三方认证方式；

当用户选择CERID认证方式时，所述CERID服务器提供CERID登陆页面供用户填写登陆信息；

所述CERID服务器根据填写的登陆信息进行认证，并将所述认证结果发回所述子应用服务器。

9.根据权利要求8所述的双重认证方法，其特征在于，还包括：

当用户选择第三方认证方式时，跳转至第三方服务器，所述第三方服务器提供第三方登陆页面供用户填写登陆信息，其中，所述第三方服务器为所述CERID服务器信任的服务器；

所述第三方服务器根据用户填写的所述登陆信息进行认证，并将认证结果发回所述CERID服务器；

所述CERID服务器将所述认证结果发回所述子应用服务器。

10.一种电子设备，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器执行根据权利要求1～9中任一项所述的方法。

Images