CN115694855A - 一种认证方法、装置及设备 - Google Patents

Abstract

本发明提供一种认证方法、装置及设备，涉及通信技术领域。该方法由第一通信设备执行，包括：接收第二通信设备发送的接入认证请求，其中所述接入认证请求是所述第二通信设备在监听到目标应用发起用户身份认证请求的情况下触发的；根据所述接入认证请求，对所述第二通信设备进行认证；在所述第二通信设备认证通过的情况下，根据接收到的所述第二通信设备转发的用户身份认证请求进行用户身份认证。本发明的方案，解决了用户身份认证过程存在的安全性的问题。

Description

一种认证方法、装置及设备

技术领域

本发明涉及通信技术领域，特别是指一种认证方法、装置及设备。

背景技术

目前用户在使用业务系统之前，业务系统通常都会对用户进行身份认证，常见的有多种身份认证方式，如用户名密码，动态验证码等，这些认证方式大都是服务端实现接口，对终端采取先连接再认证的方式，允许终端访问到认证服务的接口(终端和服务端无需认证即可建立连接，访问到该服务接口)，后续在此服务接口(连接)中传入用户的身份凭据进行认证。

然而，服务端对终端提供的服务端口始终暴露在互联网上，易被恶意扫描和利用该开放端口进行攻击，对用户身份信息的安全性造成威胁。

发明内容

本发明的目的是提供一种认证方法、装置及设备，以提升用户身份认证过程中用户身份信息的安全性。

为达到上述目的，本发明的实施例提供一种认证方法，由第一通信设备执行，包括：

接收第二通信设备发送的接入认证请求，其中所述接入认证请求是所述第二通信设备在监听到目标应用发起用户身份认证请求的情况下触发的；

根据所述接入认证请求，对所述第二通信设备进行认证；

在所述第二通信设备认证通过的情况下，根据接收到的所述第二通信设备转发的用户身份认证请求进行用户身份认证。

可选地，所述接收第二通信设备发送的接入认证请求之前，还包括：

在所述第二通信设备被用于接入认证的情况下，建立所述第二通信设备和用户身份信息的关联关系，并为所述第二通信设备发送配置信息，所述配置信息包括接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

可选地，所述接收第二通信设备发送的接入认证请求，包括：

根据所述第一地址信息进行监听，获取所述接入认证请求。

可选地，所述根据所述接入认证请求，对所述第二通信设备进行认证，包括：

获取所述接入认证请求中携带的所述第二通信设备的接入凭证；

对所述接入凭证进行校验。

可选地，所述根据所述接入认证请求，对所述第二通信设备进行认证之后，还包括：

在所述第二通信设备认证通过的情况下，将所述第二通信设备加入允许访问用户身份认证服务的设备名单，并记录所述接入认证请求的源地址与所述第二通信设备的关联关系；

其中所述设备名单具有预设的有效次数。

可选地，所述根据接收到的所述第二通信设备转发的用户身份认证请求进行用户身份认证，包括：

当接收到所述第二通信设备转发的用户身份认证请求时，根据所述设备名单，验证所述第二通信设备是否允许访问用户身份认证服务；

若所述第二通信设备被允许访问用户身份认证服务，根据所述用户身份认证请求携带的第三地址信息和用户身份信息，进行用户身份认证；

若所述第二通信设备不被允许访问用户身份认证服务，丢弃所述用户身份认证请求。

可选地，所述根据所述用户身份认证请求携带的第三地址信息和用户身份信息，进行用户身份认证，包括：

查询与所述第三地址信息对应的通信设备；

在与所述第三地址信息对应的通信设备和所述用户身份认证请求携带的用户身份信息匹配的情况下，确定用户身份认证通过；

在与所述第三地址信息对应的通信设备和所述用户身份认证请求携带的用户身份信息不匹配的情况下，确定用户身份认证未通过。

可选地，所述根据接收到的所述第二通信设备转发的用户身份认证请求进行用户身份认证之后，还包括：

在所述有效次数到达之后，将所述第二通信设备从所述设备名单中删除。

可选地，所述方法还包括：

在所述第二通信设备被停止用于接入认证的情况下，解绑所述第二通信设备和用户身份信息的关联关系，并删除所述第二通信设备的接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

为达到上述目的，本发明的实施例提供一种认证方法，由第二通信设备执行，包括：

在监听到目标应用发起用户身份认证请求的情况下，发送接入认证请求至第一通信设备。

可选地，所述发送接入认证请求至第一通信设备之前，还包括：

接收所述第二通信设备被用于接入认证时，所述第一通信设备发送的配置信息，所述配置信息包括接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

可选地，所述发送接入认证请求至第一通信设备，包括：

根据所述第一地址信息发送所述接入认证请求，其中所述接入认证请求携带有所述第二通信设备的接入凭证。

可选地，所述发送接入认证请求至第一通信设备之后，包括：

将所述用户身份认证请求转发至所述第一通信设备。

为达到上述目的，本发明的实施例提供一种认证装置，包括：

接收模块，用于接收第二通信设备发送的接入认证请求，其中所述接入认证请求是所述第二通信设备在监听到目标应用发起用户身份认证请求的情况下触发的；

第一认证模块，用于根据所述接入认证请求，对所述第二通信设备进行认证；

第二认证模块，用于在所述第二通信设备认证通过的情况下，根据接收到的所述第二通信设备转发的用户身份认证请求进行用户身份认证。

可选地，所述装置还包括：

第一处理模块，用于在所述第二通信设备被用于接入认证的情况下，建立所述第二通信设备和用户身份信息的关联关系，并为所述第二通信设备发送配置信息，所述配置信息包括接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

可选地，所述接收模块还用于：

根据所述第一地址信息进行监听，获取所述接入认证请求。

可选地，所述第一认证模块包括：

第一获取子模块，用于获取所述接入认证请求中携带的所述第二通信设备的接入凭证；

校验子模块，用于对所述接入凭证进行校验。

可选地，所述装置还包括：

第二处理模块，用于在所述第二通信设备认证通过的情况下，将所述第二通信设备加入允许访问用户身份认证服务的设备名单，并记录所述接入认证请求的源地址与所述第二通信设备的关联关系；

其中所述设备名单具有预设的有效次数。

可选地，所述第二认证模块包括：

设备验证子模块，用于当接收到所述第二通信设备转发的用户身份认证请求时，根据所述设备名单，验证所述第二通信设备是否允许访问用户身份认证服务；

用户身份认证子模块，用于若所述第二通信设备被允许访问用户身份认证服务，根据所述用户身份认证请求携带的第三地址信息和用户身份信息，进行用户身份认证；若所述第二通信设备不被允许访问用户身份认证服务，丢弃所述用户身份认证请求。

可选地，所述用户身份认证子模块包括：

查找单元，用于查询与所述第三地址信息对应的第二通信设备；

处理单元，用于在与所述第三地址信息对应的第二通信设备和所述用户身份认证请求携带的用户身份信息匹配的情况下，确定用户身份认证通过；在与所述第三地址信息对应的通信设备和所述用户身份认证请求携带的用户身份信息不匹配的情况下，确定用户身份认证未通过。

可选地，所述装置还包括：

第三处理模块，用于在所述有效次数到达之后，将所述第二通信设备从所述设备名单中删除。

可选地，所述装置还包括：

第四处理模块，用于在所述第二通信设备被停止用于接入认证的情况下，解绑所述第二通信设备和用户身份信息的关联关系，并删除所述第二通信设备的接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

为达到上述目的，本发明的实施例提供一种认证装置，包括：

第一发送模块，用于在监听到目标应用发起用户身份认证请求的情况下，发送接入认证请求至第一通信设备。

可选地，所述装置还包括：

配置接收模块，用于接收所述第二通信设备被用于接入认证时，所述第一通信设备发送的配置信息，所述配置信息包括接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

可选地，所述第一发送模块还用于：

根据所述第一地址信息发送所述接入认证请求，其中所述接入认证请求携带有所述第二通信设备的接入凭证。

可选地，所述装置包括：

第二发送模块，用于将所述用户身份认证请求转发至所述第一通信设备。

为达到上述目的，本发明的实施例提供一种通信设备，包括处理器和收发器，其中，

所述收发器用于：接收第二通信设备发送的接入认证请求，其中所述接入认证请求是所述第二通信设备在监听到目标应用发起用户身份认证请求的情况下触发的；

所述处理器用于：根据所述接入认证请求，对所述第二通信设备进行认证；在所述第二通信设备认证通过的情况下，根据接收到的所述第二通信设备转发的用户身份认证请求进行用户身份认证。

可选地，所述处理器还用于：

在所述第二通信设备被用于接入认证的情况下，建立所述第二通信设备和用户身份信息的关联关系，并为所述第二通信设备发送配置信息，所述配置信息包括接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

可选地，所述处理器还用于：

根据所述第一地址信息进行监听，获取所述接入认证请求。

可选地，所述处理器还用于：

获取所述接入认证请求中携带的所述第二通信设备的接入凭证；

对所述接入凭证进行校验。

可选地，所述处理器还用于：

在所述第二通信设备认证通过的情况下，将所述第二通信设备加入允许访问用户身份认证服务的设备名单，并记录所述接入认证请求的源地址与所述第二通信设备的关联关系；

其中所述设备名单具有预设的有效次数。

可选地，所述处理器还用于：

当接收到所述第二通信设备转发的用户身份认证请求时，根据所述设备名单，验证所述第二通信设备是否允许访问用户身份认证服务；

若所述第二通信设备被允许访问用户身份认证服务，根据所述用户身份认证请求携带的第三地址信息和用户身份信息，进行用户身份认证；

若所述第二通信设备不被允许访问用户身份认证服务，丢弃所述用户身份认证请求。

可选地，所述处理器还用于：

查询与所述第三地址信息对应的第二通信设备；

在与所述第三地址信息对应的第二通信设备和所述用户身份认证请求携带的用户身份信息匹配的情况下，确定用户身份认证通过；

在与所述第三地址信息对应的通信设备和所述用户身份认证请求携带的用户身份信息不匹配的情况下，确定用户身份认证未通过。

可选地，所述处理器还用于：

在所述有效次数到达之后，将所述第二通信设备从所述设备名单中删除。

可选地，所述处理器还用于：

在所述第二通信设备被停止用于接入认证的情况下，解绑所述第二通信设备和用户身份信息的关联关系，并删除所述第二通信设备的接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

为达到上述目的，本发明的实施例提供一种通信设备，包括收发器，其中，

所述收发器用于：在监听到目标应用发起用户身份认证请求的情况下，发送接入认证请求至第一通信设备。

可选地，所述收发器还用于：

接收所述第二通信设备被用于接入认证时，所述第一通信设备发送的配置信息，所述配置信息包括接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

可选地，所述收发器还用于：

根据所述第一地址信息发送所述接入认证请求，其中所述接入认证请求携带有所述第二通信设备的接入凭证。

可选地，所述收发器还用于：

将所述用户身份认证请求转发至所述第一通信设备。

为达到上述目的，本发明的实施例提供一种通信设备，包括收发器、处理器、存储器及存储在所述存储器上并可在所述处理器上运行的程序或指令；所述处理器执行所述程序或指令时实现如上所述的由第一通信设备或第二通信设备执行的认证方法中的步骤。

为达到上述目的，本发明的实施例提供一种可读存储介质，其上存储有程序或指令，所述程序或指令被处理器执行时实现如上所述的由第一通信设备或第二通信设备执行的认证方法中的步骤。

本发明的上述技术方案的有益效果如下：

本发明实施例的方法，第一通信设备接收到第二通信设备在监听到目标应用发起用户身份认证请求的情况下发送的接入认证请求后，会根据该接入认证请求先对第二通信设备进行认证，继而在第二通信设备认证通过的情况下，再根据接收到的第二通信设备转发是用户身份认证请求进行用户身份认证，通过两步认证的联合认证方式，阻止了非授权终端通过用户身份认证接口对服务端的恶意连接，收敛了服务端的互联网暴露面，降低了服务端被攻击的风险。

附图说明

图1为本发明实施例由第一通信设备执行的认证方法的流程图；

图2为认证系统的框图之一；

图3为认证系统的框图之二；

图4为认证系统的框图之三；

图5为本发明实施例的应用示意图之一；

图6为本发明实施例的应用示意图之二；

图7为本发明实施例的应用示意图之三；

图8为本发明实施例的应用示意图之四；

图9为本发明实施例由第二通信设备执行的认证方法的流程图；

图10为对应图1的认证装置的结构图；

图11为对应图9的认证装置的结构图；

图12为本发明实施例的通信设备的结构图。

具体实施方式

为使本发明要解决的技术问题、技术方案和优点更加清楚，下面将结合附图及具体实施例进行详细描述。

应理解，说明书通篇中提到的“一个实施例”或“一实施例”意味着与实施例有关的特定特征、结构或特性包括在本发明的至少一个实施例中。因此，在整个说明书各处出现的“在一个实施例中”或“在一实施例中”未必一定指相同的实施例。此外，这些特定的特征、结构或特性可以任意适合的方式结合在一个或多个实施例中。

在本发明的各种实施例中，应理解，下述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本发明实施例的实施过程构成任何限定。

另外，本文中术语“系统”和“网络”在本文中常可互换使用。

在本申请所提供的实施例中，应理解，“与A相应的B”表示B与A相关联，根据A可以确定B。但还应理解，根据A确定B并不意味着仅仅根据A确定B，还可以根据A和/或其它信息确定B。

如图1所示，本发明实施例的一种认证方法，由第一通信设备执行，包括：

步骤101，接收第二通信设备发送的接入认证请求，其中所述接入认证请求是所述第二通信设备在监听到目标应用发起用户身份认证请求的情况下触发的；

步骤102，根据所述接入认证请求，对所述第二通信设备进行认证；

步骤103，在所述第二通信设备认证通过的情况下，根据接收到的所述第二通信设备转发的用户身份认证请求进行用户身份认证。

这里，第二通信设备用于监听和拦截应用发起的用户身份认证请求，并在接听到目标应用发起用户身份认证请求的情况下触发接入认证请求。如此，第一通信设备接收到第二通信设备发送的接入认证请求后，会根据该接入认证请求先对第二通信设备进行认证，继而在第二通信设备认证通过的情况下，再根据接收到的第二通信设备转发是用户身份认证请求进行用户身份认证，通过两步认证的联合认证方式，阻止了非授权终端通过用户身份认证接口对服务端的恶意连接，收敛了服务端的互联网暴露面，降低了服务端被攻击的风险。

应该知道的是，第一通信设备作为认证服务设备，可以为一个服务器或多个服务器。若第一通信设备实现为一个服务器，该服务器提供接入认证服务和用户身份认证服务；若第一通信设备实现为多个服务器，该多个服务器至少包括用于提供接入认证服务的服务器和提供用户身份认证服务的服务器。而第二通信设备作为接入认证客户端可以是安装目标应用的终端，或者接入网关。

而对于目标应用，可以是预先设置的应用，具有认证需求的应用，可以由系统设置，也可以由用户自定义。

可选地，所述方法在步骤101之前还包括：

在所述第二通信设备被用于接入认证的情况下，建立所述第二通信设备和用户身份信息的关联关系，并为所述第二通信设备发送配置信息，所述配置信息包括接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

这里，用户身份信息用于在用户身份认证系统中，标识用户的唯一身份。第一通信设备会在第二通信设备被用于接入认证的情况下，建立其与用户身份信息的关联关系。具体的，第一通信设备可以根据自身管理策略，对用户注册输入的设备信息和用户身份信息进行绑定。例如，以第二通信设备的ID为每个第二通信设备的唯一身份标识，则关联关系示例如下：

<第二通信设备ID1，用户身份A1>

<第二通信设备ID2，用户身份A2>

<第二通信设备ID2，用户身份B2>

<第二通信设备ID2，用户身份A1>

……

该实施例中，一个第二通信设备可以供一个或多个用户身份使用，一个用户也可使用多个第二通信设备，也可不限制用户使用哪个设备(可使用所有第二通信设备)。

第二通信设备被用于接入认证的情况下，第一通信设备除建立第二通信设备和用户身份信息的关联关系之外，还会针对第二通信设备进行接入认证和用户身份认证的配置，配置接入凭证、提供接入认证服务的第一地址信息，提供监听用户身份认证请求的第二地址信息，发送给该第二通信设备。如此，授权第二通信设备基于第一地址信息发起接入认证，基于第二地址信息监听目标应用是否触发用户身份认证请求。

还应该知道的是，该实施例中，第一地址信息和第二地址信息可以是设备的IP地址或端口。接入凭证用于表明第二通信设备与第一地址信息的对应关系，该接入凭证可实现为用户名密码、共享对称密钥，证书等方式。

可选地，该实施例中，步骤101包括：

根据所述第一地址信息进行监听，获取所述接入认证请求。

以第一地址信息为接入认证端口为例，第一通信设备在接入认证端口进行监听来获取第二通信设备发送的接入认证请求。当然，若第一地址信息为接入认证服务的地址，第一通信设备也可在该地址进行监听来获取第二通信设备发送的接入认证请求。

该实施例中，接入认证请求是第二通信设备在监听到目标应用发起用户身份认证请求时，基于配置的接入凭证生成的。故，可选地步骤102，包括：

获取所述接入认证请求中携带的所述第二通信设备的接入凭证；

对所述接入凭证进行校验。

第一通信设备通过获取接入认证请求中的接入凭证，对该接入凭证进行校验来完成对第二通信设备的认证，认证该第二通信设备是否为第一通信设备授权接入认证服务和用户身份认证服务的设备。

当然，接入认证请求还可包括除接入凭证之外的其它信息，在此不再赘述。

此外，可选地，步骤102之后，还包括：

在所述第二通信设备认证通过的情况下，将所述第二通信设备加入允许访问用户身份认证服务的设备名单，并记录所述接入认证请求的源地址与所述第二通信设备的关联关系；

其中所述设备名单具有预设的有效次数。

这里，将通过接入认证的第二通信设备加入设备名单(也可称为白名单)，来将是否通过接入认证的设备进行区分，拦截接入认证未通过的第二通信设备。

此时，第二通信设备加入设备名单，可实现为第二通信设备的地址信息加入设备名单。

该实施例中，设备名单具有预设的有效次数，也就是说，在第二通信设备接入认证通过后，启动基于该有效次数设置的白名单计数器，当接入身份和用户身份联合认证失败超过该有效次数或用户身份认证失败超过有效次数时，删除该设备名单。

当然，设备名单也具有预设的有效时长，当基于该有效时长设置的白名单计时器超时后，删除该设备名单。

可选地，步骤103，所述根据接收到的所述第二通信设备转发的用户身份认证请求进行用户身份认证，包括：

当接收到所述第二通信设备转发的用户身份认证请求时，根据所述设备名单，验证所述第二通信设备是否允许访问用户身份认证服务；

若所述第二通信设备被允许访问用户身份认证服务，根据所述用户身份认证请求携带的第三地址信息和用户身份信息，进行用户身份认证；

若所述第二通信设备不被允许访问用户身份认证服务，丢弃所述用户身份认证请求。

这样，若该第二通信设备未在允许访问用户身份认证服务的设备名单中，即使接收到用户身份认证请求，第一通信设备也不会响应该请求进行用户身份认证，应用无法进行身份认证；若该第二通信设备在允许访问用户身份认证服务的设备名单中，第一通信设备则会基于用户身份认证请求携带的第三地址信息和用户身份信息来进行用户身份认证。

其中，第三地址信息是用户身份认证请求的源地址，通过该用户身份认证请求的源地址能够查询到对应的第二通信设备。因此，可选地，所述根据所述用户身份认证请求携带的第三地址信息和用户身份信息，进行用户身份认证，包括：

查询与所述第三地址信息对应的第二通信设备；

在与所述第三地址信息对应的第二通信设备和所述用户身份认证请求携带的用户身份信息匹配的情况下，确定用户身份认证通过；

在与所述第三地址信息对应的通信设备和所述用户身份认证请求携带的用户身份信息不匹配的情况下，确定用户身份认证未通过。

即，首先查询与用户身份认证请求携带的第三地址信息对应的第二通信设备；然后，能够基于已建立的第二通信设备与用户身份信息的关联关系，确定与该第三地址信息对应的第二通信设备和用户身份认证请求携带的用户身份信息是否匹配，从而确定用户身份认证是否通过。

具体的，若匹配，则通过；反之，则不通过，可丢弃该用户身份认证请求，不做处理。

考虑到处理的有效性，该实施例中，可选地，所述根据接收到的所述第二通信设备转发的用户身份认证请求进行用户身份认证之后，还包括：

在所述有效次数到达之后，将所述第二通信设备从所述设备名单中删除。

也就是，当前接入身份和用户身份联合认证失败超过有效次数或用户身份认证失败超过有效次数时，删除白名单。此外，还可销毁转发该用户身份认证请求的第二通信设备的接入凭据，后续禁止该第二通信设备的接入，直至该第二通信设备重新注册接入认证服务。

另外，第二通信设备在一些场景下，会被停止用于接入认证，所以，该实施例中可选地，还包括：

在所述第二通信设备被停止用于接入认证的情况下，解绑所述第二通信设备和用户身份信息的关联关系，并删除所述第二通信设备的接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

此时，第一通信设备会发送释放请求至第二通信设备，撤回对第二通信设备的接入认证授权。第二通信设备接收到该释放请求后，销毁接入凭证，删除本地的配置信息。

综上，该实施例中，第一通信设备主要能够提供接入认证服务和用户身份认证服务，还能够对第二通信设备的信息传输的管控，故，认证系统的架构可实现为图2、图3或图4。其中，图2是由一服务器来实现第一通信设备，第二通信设备即安装应用的终端可实现接入认证客户端，服务器对终端的管理经由接入认证管理设备；图3也是由一服务器来实现第一通信设备，但第二通信设备为接入网关，而非安装目标应用的终端，，服务器对接入网关的管理经由接入认证管理设备；图4是由防火墙、服务器和网关实现第一通信设备，第二通信设备即安装目标应用的终端，网关对终端的管理经由接入认证管理设备。其中，接入认证管理设备也可作为第一通信设备的组成设备。

下面，以图4所示的认证系统的架构，说明本发明实施例的应用：

终端可作为接入认证客户端，监听拦截该终端的应用向用户身份认证服务器发起的用户身份认证请求，在发送该请求之前，插入接入认证请求。网关监听接入认证请求，进行接入认证，并配合用户身份认证服务器进行接入身份和用户身份的联合认证。服务器与网关联动，实现接入身份/用户身份联合认证。接入认证管理设备管理终端和服务器的初始配置和更新配置，如终端的认证凭据、终端的监听配置，服务器的监听配置等。

如图5所示，服务器根据自身管理策略，建立终端与用户身份信息的关联关系。当然服务器还对终端与用户身份信息的关联关系进行维护。服务器还会向网关注册一个或多个终端，通常是建立的关联关系中的终端。注册过程携带终端ID、服务器用户身份认证服务的地址或端口。网关针对目标应用的终端的地址或端口(第二地址信息)和网关的地址或端口(第一地址信息)授权终端，也就是配置终端对应的地址信息。网关还会为终端生成接入凭证。第一地址信息、第二地址信息和接入凭证作为配置信息，经由接入认证管理设备配置给终端。终端基于配置信息，更新监听配置和接入认证配置。

如图6所示，当服务器启动网关的接入认证服务，向网关传入服务器对外应用提供服务的端口。网关使用防火墙策略关闭服务器的用户身份认证服务端口，然后开放接入认证监听端口，监听接入认证请求。当终端终的应用使用用户身份认证服务时，应用会访问服务器的用户身份认证服务端口。此时，若不使用接入认证，当用户身份认证请求到达服务器时，会被防火墙策略拦截，服务器不响应用户身份认证请求，应用无法进行身份认证。若使用接入认证，终端监听到应用的用户身份认证请求时，将先拦截该用户身份认证请求，然后基于终端的接入凭证生成接入认证请求发往网关的接入认证监听端口，之后再将用户身份认证请求发送出去。网关监听到接入认证监听端口的接入认证请求时，提取其中接入凭证对终端进行认证(接入认证)。

若接入认证不通过(非授权的终端)，网关不做任何后续处理，后续的用户身份认证请求到达服务端时，会被防火墙策略拦截，服务器不响应用户身份认证请求，应用无法进行身份认证(如下图7所示)。若接入认证通过(授权的终端)，网关将该接入认证请求的源地址(终端地址)作为白名单加入允许访问服务器端口的防火墙策略中，启动白名单定时器，并记录该源地址和终端ID之间的对应关系。当白名单定时器超时，删除白名单策略。

后续服务器收到来自白名单中的用户身份认证请求，即该请求被防火墙策略允许通过，到达服务器。服务器提取用户身份认证请求的源地址(终端地址)和用户身份信息，向网关查询该源地址对应的终端ID，并将获取的终端ID与用户身份信息匹配(接入身份与用户身份的联合认证)，若匹配成功，则继续进行后续的身份认证，并返回用户认证结果；若匹配不成功，对该身份认证相关消息丢弃，不做处理。

当该次接入身份和用户身份联合认证失败超过规定次数或用户身份认证失败超过规定次数时，删除白名单策略，销毁该终端的接入凭证，后续禁止该终端接入，直至服务器重新注册该终端。

此外，如图8所示，当服务器中已不使用某些终端时，首先解绑终端与用户身份信息之间的关联关系，向网关发送释放消息，网关撤回该终端授权，删除接入凭证，并通知接入认证管理设备更新终端的配置(发送释放消息)。终端收到接入认证管理设备的释放消息后，销毁接入凭证，删除本地的配置信息。

所以，本申请实施例能够实现：

1、第一通信设备建立和维护接入身份(第二通信设备)和用户身份(用户身份信息)的关联关系，当接入认证通过时，服务器保存接入身份与接入请求源地址的对应关系。在后续收到用户身份认证请求时，提取用户身份认证请求源地址，根据源地址查找接入身份，并将接入身份与此用户身份认证请求中的用户身份信息进行对应关系的匹配检查，若匹配不通过，不进行后续的用户身份认证。

2.第一通信设备默认关闭用户身份认证服务的端口，当接收到接入认证请求并对第二通信设备验证通过后，通过动态白名单的形式为第二通信设备的源地址动态开放接入用户身份认证服务的能力，白名单策略在超时、联合认证/用户认证失败次数超过规定次数时，自动删除白名单策略。

3.当在一次接入认证生效的范围内，联合认证/用户认证失败超过规定次数，认为该第二通信设备已被泄露至非法用户，将该第二通信设备销毁，后续禁止该第二通信设备接入系统。

4.第二通信设备监听终端的网络流量，当监听到有发往某个特定目的地址的用户身份认证请求时，自动拦截该请求，先发送一个接入认证信息，再发送原始的用户身份认证请求。

如图9所示，本发明的实施例提供一种认证方法，由第二通信设备执行，包括：

步骤901，在监听到目标应用发起用户身份认证请求的情况下，发送接入认证请求至第一通信设备。

如此，第二通信设备能够针对需要及时触发接入认证请求，以使第一通信设备据该接入认证请求先对第二通信设备进行认证，继而在第二通信设备认证通过的情况下，再根据接收到的第二通信设备转发是用户身份认证请求进行用户身份认证，通过两步认证的联合认证方式，阻止了非授权终端通过用户身份认证接口对服务端的恶意连接，收敛了服务端的互联网暴露面，降低了服务端被攻击的风险。

可选地，所述发送接入认证请求至第一通信设备之前，还包括：

接收所述第二通信设备被用于接入认证时，所述第一通信设备发送的配置信息，所述配置信息包括接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

当然，在步骤901之前，该第二通信设备会对目标应用是否发起用户身份认证请求进行监听。具体的，第二通信设备基于第一通信设备配置信息中的第二地址信息进行用户身份认证请求的监听。

可选地，所述发送接入认证请求至第一通信设备，包括：

根据所述第一地址信息发送所述接入认证请求，其中所述接入认证请求携带有所述第二通信设备的接入凭证。

可选地，所述发送接入认证请求至第一通信设备之后，包括：

将所述用户身份认证请求转发至所述第一通信设备。

该方法与上述第一通信设备执行的方法配合，上述实施例的实现方式适用于该方法，具有相同的技术效果。

如图10所示，本发明的实施例提供一种认证装置，包括：

接收模块1010，用于接收第二通信设备发送的接入认证请求，其中所述接入认证请求是所述第二通信设备在监听到目标应用发起用户身份认证请求的情况下触发的；

第一认证模块1020，用于根据所述接入认证请求，对所述第二通信设备进行认证；

第二认证模块1030，用于在所述第二通信设备认证通过的情况下，根据接收到的所述第二通信设备转发的用户身份认证请求进行用户身份认证。

可选地，所述装置还包括：

第一处理模块，用于在所述第二通信设备被用于接入认证的情况下，建立所述第二通信设备和用户身份信息的关联关系，并为所述第二通信设备发送配置信息，所述配置信息包括接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

可选地，所述接收模块还用于：

根据所述第一地址信息进行监听，获取所述接入认证请求。

可选地，所述第一认证模块包括：

第一获取子模块，用于获取所述接入认证请求中携带的所述第二通信设备的接入凭证；

校验子模块，用于对所述接入凭证进行校验。

可选地，所述装置还包括：

第二处理模块，用于在所述第二通信设备认证通过的情况下，将所述第二通信设备加入允许访问用户身份认证服务的设备名单，并记录所述接入认证请求的源地址与所述第二通信设备的关联关系；

其中所述设备名单具有预设的有效次数。

可选地，所述第二认证模块包括：

设备验证子模块，用于当接收到所述第二通信设备转发的用户身份认证请求时，根据所述设备名单，验证所述第二通信设备是否允许访问用户身份认证服务；

用户身份认证子模块，用于若所述第二通信设备被允许访问用户身份认证服务，根据所述用户身份认证请求携带的第三地址信息和用户身份信息，进行用户身份认证；若所述第二通信设备不被允许访问用户身份认证服务，丢弃所述用户身份认证请求。

可选地，所述用户身份认证子模块包括：

查找单元，用于查询与所述第三地址信息对应的第二通信设备；

处理单元，用于在与所述第三地址信息对应的第二通信设备和所述用户身份认证请求携带的用户身份信息匹配的情况下，确定用户身份认证通过；在与所述第三地址信息对应的通信设备和所述用户身份认证请求携带的用户身份信息不匹配的情况下，确定用户身份认证未通过。

可选地，所述装置还包括：

第三处理模块，用于在所述有效次数到达之后，将所述第二通信设备从所述设备名单中删除。

可选地，所述装置还包括：

第四处理模块，用于在所述第二通信设备被停止用于接入认证的情况下，解绑所述第二通信设备和用户身份信息的关联关系，并删除所述第二通信设备的接入凭证、接入认证服务的第一地址信息以及用户身份认证服务的第二地址信息。

该装置接收第二通信设备发送的接入认证请求(第二通信设备在监听到目标应用发起用户身份认证请求的情况下触发的)后，会根据该接入认证请求先对第二通信设备进行认证，继而在第二通信设备认证通过的情况下，再根据接收到的第二通信设备转发是用户身份认证请求进行用户身份认证，通过两步认证的联合认证方式，阻止了非授权终端通过用户身份认证接口对服务端的恶意连接，收敛了服务端的互联网暴露面，降低了服务端被攻击的风险。

需要说明的是，该装置是应用了上述由第一通信设备执行的认证方法的装置，上述方法实施例的实现方式适用于该装置也能达到相同的技术效果。

如图11所示，本发明的实施例提供一种认证装置，包括：

第一发送模块1110，用于在监听到目标应用发起用户身份认证请求的情况下，发送接入认证请求至第一通信设备。

可选地，所述装置还包括：

配置接收模块，用于接收所述第二通信设备被用于接入认证时，所述第一通信设备发送的配置信息，所述配置信息包括接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

可选地，所述第一发送模块还用于：

根据所述第一地址信息发送所述接入认证请求，其中所述接入认证请求携带有所述第二通信设备的接入凭证。

可选地，所述装置包括：

第二发送模块，用于将所述用户身份认证请求转发至所述第一通信设备。

该装置能够针对需要及时触发接入认证请求，以使第一通信设备据该接入认证请求先对第二通信设备进行认证，继而在第二通信设备认证通过的情况下，再根据接收到的第二通信设备转发是用户身份认证请求进行用户身份认证，通过两步认证的联合认证方式，阻止了非授权终端通过用户身份认证接口对服务端的恶意连接，收敛了服务端的互联网暴露面，降低了服务端被攻击的风险。

需要说明的是，该装置是应用了上述由第二通信设备执行的认证方法的装置，上述方法实施例的实现方式适用于该装置也能达到相同的技术效果。

本发明实施例还提供一种通信设备，包括处理器和收发器，其中，

所述收发器用于：接收第二通信设备发送的接入认证请求，其中所述接入认证请求是所述第二通信设备在监听到目标应用发起用户身份认证请求的情况下触发的；

所述处理器用于：根据所述接入认证请求，对所述第二通信设备进行认证；在所述第二通信设备认证通过的情况下，根据接收到的所述第二通信设备转发的用户身份认证请求进行用户身份认证。

可选地，所述处理器还用于：

在所述第二通信设备被用于接入认证的情况下，建立所述第二通信设备和用户身份信息的关联关系，并为所述第二通信设备发送配置信息，所述配置信息包括接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

可选地，所述处理器还用于：

根据所述第一地址信息进行监听，获取所述接入认证请求。

可选地，所述处理器还用于：

获取所述接入认证请求中携带的所述第二通信设备的接入凭证；

对所述接入凭证进行校验。

可选地，所述处理器还用于：

在所述第二通信设备认证通过的情况下，将所述第二通信设备加入允许访问用户身份认证服务的设备名单，并记录所述接入认证请求的源地址与所述第二通信设备的关联关系；

其中所述设备名单具有预设的有效次数。

可选地，所述处理器还用于：

当接收到所述第二通信设备转发的用户身份认证请求时，根据所述设备名单，验证所述第二通信设备是否允许访问用户身份认证服务；

若所述第二通信设备被允许访问用户身份认证服务，根据所述用户身份认证请求携带的第三地址信息和用户身份信息，进行用户身份认证；

若所述第二通信设备不被允许访问用户身份认证服务，丢弃所述用户身份认证请求。

可选地，所述处理器还用于：

查询与所述第三地址信息对应的第二通信设备；

在与所述第三地址信息对应的第二通信设备和所述用户身份认证请求携带的用户身份信息匹配的情况下，确定用户身份认证通过；

在与所述第三地址信息对应的通信设备和所述用户身份认证请求携带的用户身份信息不匹配的情况下，确定用户身份认证未通过。

可选地，所述处理器还用于：

在所述有效次数到达之后，将所述第二通信设备从所述设备名单中删除。

可选地，所述处理器还用于：

在所述第二通信设备被停止用于接入认证的情况下，解绑所述第二通信设备和用户身份信息的关联关系，并删除所述第二通信设备的接入凭证、接入认证服务的第一地址信息以及用户身份认证服务的第二地址信息。

该通信设备为第一通信设备，接收到第二通信设备发送的接入认证请求(第二通信设备在监听到目标应用发起用户身份认证请求的情况下触发的)后，会根据该接入认证请求先对第二通信设备进行认证，继而在第二通信设备认证通过的情况下，再根据接收到的第二通信设备转发是用户身份认证请求进行用户身份认证，通过两步认证的联合认证方式，阻止了非授权终端通过用户身份认证接口对服务端的恶意连接，收敛了服务端的互联网暴露面，降低了服务端被攻击的风险。

需要说明的是，该设备是应用了上述由第一通信设备执行的认证方法的装置，上述方法实施例的实现方式适用于该装置也能达到相同的技术效果。

本发明实施例还提供一种通信设备，包括收发器，其中，

所述收发器用于：在监听到目标应用发起用户身份认证请求的情况下，发送接入认证请求至第一通信设备。

可选地，所述收发器还用于：

接收所述第二通信设备被用于接入认证时，所述第一通信设备发送的配置信息，所述配置信息包括接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

可选地，所述收发器还用于：

根据所述第一地址信息发送所述接入认证请求，其中所述接入认证请求携带有所述第二通信设备的接入凭证。

可选地，所述收发器还用于：

将所述用户身份认证请求转发至所述第一通信设备。

该通信设备为第二通信设备，能够针对需要及时触发接入认证请求，以使第一通信设备据该接入认证请求先对第二通信设备进行认证，继而在第二通信设备认证通过的情况下，再根据接收到的第二通信设备转发是用户身份认证请求进行用户身份认证，通过两步认证的联合认证方式，阻止了非授权终端通过用户身份认证接口对服务端的恶意连接，收敛了服务端的互联网暴露面，降低了服务端被攻击的风险。

需要说明的是，该设备是应用了上述由第二通信设备执行的认证方法的装置，上述方法实施例的实现方式适用于该装置也能达到相同的技术效果。

本发明另一实施例的通信设备，如图12所示，包括收发器1210、处理器1200、存储器1220及存储在所述存储器1220上并可在所述处理器1200上运行的程序或指令；所述处理器1200执行所述程序或指令时实现上述由第一通信设备或第二通信设备执行的认证方法。

所述收发器1210，用于在处理器1200的控制下接收和发送数据。

其中，在图12中，总线架构可以包括任意数量的互联的总线和桥，具体由处理器1200代表的一个或多个处理器和存储器1220代表的存储器的各种电路链接在一起。总线架构还可以将诸如外围设备、稳压器和功率管理电路等之类的各种其他电路链接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口提供接口。收发器1210可以是多个元件，即包括发送机和接收机，提供用于在传输介质上与各种其他装置通信的单元。处理器1200负责管理总线架构和通常的处理，存储器1220可以存储处理器1200在执行操作时所使用的数据。

本发明实施例的一种可读存储介质，其上存储有程序或指令，所述程序或指令被处理器执行时实现如上所述的由第一通信设备或第二通信设备执行的认证方法中的步骤，且能达到相同的技术效果，为避免重复，这里不再赘述。

其中，所述处理器为上述实施例中所述的通信设备中的处理器。所述可读存储介质，包括计算机可读存储介质，如计算机只读存储器(Read-Only Memory，简称ROM)、随机存取存储器(Random Access Memory，简称RAM)、磁碟或者光盘等。

进一步需要说明的是，此说明书中所描述的终端包括但不限于智能手机、平板电脑等，且所描述的许多功能部件都被称为模块，以便更加特别地强调其实现方式的独立性。

本发明实施例中，模块可以用软件实现，以便由各种类型的处理器执行。举例来说，一个标识的可执行代码模块可以包括计算机指令的一个或多个物理或者逻辑块，举例来说，其可以被构建为对象、过程或函数。尽管如此，所标识模块的可执行代码无需物理地位于一起，而是可以包括存储在不同位里上的不同的指令，当这些指令逻辑上结合在一起时，其构成模块并且实现该模块的规定目的。

实际上，可执行代码模块可以是单条指令或者是许多条指令，并且甚至可以分布在多个不同的代码段上，分布在不同程序当中，以及跨越多个存储器设备分布。同样地，操作数据可以在模块内被识别，并且可以依照任何适当的形式实现并且被组织在任何适当类型的数据结构内。所述操作数据可以作为单个数据集被收集，或者可以分布在不同位置上(包括在不同存储设备上)，并且至少部分地可以仅作为电子信号存在于系统或网络上。

在模块可以利用软件实现时，考虑到现有硬件工艺的水平，所以可以以软件实现的模块，在不考虑成本的情况下，本领域技术人员都可以搭建对应的硬件电路来实现对应的功能，所述硬件电路包括常规的超大规模集成(VLSI)电路或者门阵列以及诸如逻辑芯片、晶体管之类的现有半导体或者是其它分立的元件。模块还可以用可编程硬件设备，诸如现场可编程门阵列、可编程阵列逻辑、可编程逻辑设备等实现。

上述范例性实施例是参考该些附图来描述的，许多不同的形式和实施例是可行而不偏离本发明精神及教示，因此，本发明不应被建构成为在此所提出范例性实施例的限制。更确切地说，这些范例性实施例被提供以使得本发明会是完善又完整，且会将本发明范围传达给那些熟知此项技术的人士。在该些图式中，组件尺寸及相对尺寸也许基于清晰起见而被夸大。在此所使用的术语只是基于描述特定范例性实施例目的，并无意成为限制用。如在此所使用地，除非该内文清楚地另有所指，否则该单数形式“一”、“一个”和“该”是意欲将该些多个形式也纳入。会进一步了解到该些术语“包含”及/或“包括”在使用于本说明书时，表示所述特征、整数、步骤、操作、构件及/或组件的存在，但不排除一或更多其它特征、整数、步骤、操作、构件、组件及/或其族群的存在或增加。除非另有所示，陈述时，一值范围包含该范围的上下限及其间的任何子范围。

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明所述原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (19)

1.一种认证方法，其特征在于，由第一通信设备执行，包括：

接收第二通信设备发送的接入认证请求，其中所述接入认证请求是所述第二通信设备在监听到目标应用发起用户身份认证请求的情况下触发的；

根据所述接入认证请求，对所述第二通信设备进行认证；

在所述第二通信设备认证通过的情况下，根据接收到的所述第二通信设备转发的用户身份认证请求进行用户身份认证。

2.根据权利要求1所述的方法，其特征在于，所述接收第二通信设备发送的接入认证请求之前，还包括：

在所述第二通信设备被用于接入认证的情况下，建立所述第二通信设备和用户身份信息的关联关系，并为所述第二通信设备发送配置信息，所述配置信息包括接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

3.根据权利要求2所述的方法，其特征在于，所述接收第二通信设备发送的接入认证请求，包括：

根据所述第一地址信息进行监听，获取所述接入认证请求。

4.根据权利要求1所述的方法，其特征在于，所述根据所述接入认证请求，对所述第二通信设备进行认证，包括：

获取所述接入认证请求中携带的所述第二通信设备的接入凭证；

对所述接入凭证进行校验。

5.根据权利要求2所述的方法，其特征在于，所述根据所述接入认证请求，对所述第二通信设备进行认证之后，还包括：

在所述第二通信设备认证通过的情况下，将所述第二通信设备加入允许访问用户身份认证服务的设备名单，并记录所述接入认证请求的源地址与所述第二通信设备的关联关系；

其中所述设备名单具有预设的有效次数。

6.根据权利要求5所述的方法，其特征在于，所述根据接收到的所述第二通信设备转发的用户身份认证请求进行用户身份认证，包括：

当接收到所述第二通信设备转发的用户身份认证请求时，根据所述设备名单，验证所述第二通信设备是否允许访问用户身份认证服务；

若所述第二通信设备被允许访问用户身份认证服务，根据所述用户身份认证请求携带的第三地址信息和用户身份信息，进行用户身份认证；

若所述第二通信设备不被允许访问用户身份认证服务，丢弃所述用户身份认证请求。

7.根据权利要求6所述的方法，其特征在于，所述根据所述用户身份认证请求携带的第三地址信息和用户身份信息，进行用户身份认证，包括：

查询与所述第三地址信息对应的第二通信设备；

在与所述第三地址信息对应的第二通信设备和所述用户身份认证请求携带的用户身份信息匹配的情况下，确定用户身份认证通过；

在与所述第三地址信息对应的通信设备和所述用户身份认证请求携带的用户身份信息不匹配的情况下，确定用户身份认证未通过。

8.根据权利要求5所述的方法，其特征在于，所述根据接收到的所述第二通信设备转发的用户身份认证请求进行用户身份认证之后，还包括：

在所述有效次数到达之后，将所述第二通信设备从所述设备名单中删除。

9.根据权利要求1所述的方法，其特征在于，还包括：

在所述第二通信设备被停止用于接入认证的情况下，解绑所述第二通信设备和用户身份信息的关联关系，并删除所述第二通信设备的接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

10.一种认证方法，其特征在于，由第二通信设备执行，包括：

在监听到目标应用发起用户身份认证请求的情况下，发送接入认证请求至第一通信设备。

11.根据权利要求10所述的方法，其特征在于，所述发送接入认证请求至第一通信设备之前，还包括：

接收所述第二通信设备被用于接入认证时，所述第一通信设备发送的配置信息，所述配置信息包括接入凭证、接入认证服务的第一地址信息以及监听用户身份认证请求的第二地址信息。

12.根据权利要求11所述的方法，其特征在于，所述发送接入认证请求至第一通信设备，包括：

根据所述第一地址信息发送所述接入认证请求，其中所述接入认证请求携带有所述第二通信设备的接入凭证。

13.根据权利要求11所述的方法，其特征在于，所述发送接入认证请求至第一通信设备之后，包括：

将所述用户身份认证请求转发至所述第一通信设备。

14.一种认证装置，其特征在于，包括：

接收模块，用于接收第二通信设备发送的接入认证请求，其中所述接入认证请求是所述第二通信设备在监听到目标应用发起用户身份认证请求的情况下触发的；

第一认证模块，用于根据所述接入认证请求，对所述第二通信设备进行认证；

第二认证模块，用于在所述第二通信设备认证通过的情况下，根据接收到的所述第二通信设备转发的用户身份认证请求进行用户身份认证。

15.一种认证装置，其特征在于，包括：

第一发送模块，用于在监听到目标应用发起用户身份认证请求的情况下，发送接入认证请求至第一通信设备。

16.一种通信设备，其特征在于，包括收发器和处理器，

所述收发器用于：接收第二通信设备发送的接入认证请求，其中所述接入认证请求是所述第二通信设备在监听到目标应用发起用户身份认证请求的情况下触发的；

所述处理器用于：根据所述接入认证请求，对所述第二通信设备进行认证；在所述第二通信设备认证通过的情况下，根据接收到的所述第二通信设备转发的用户身份认证请求进行用户身份认证。

17.一种通信设备，其特征在于，包括收发器，

所述收发器用于：在监听到目标应用发起用户身份认证请求的情况下，发送接入认证请求至第一通信设备。

18.一种通信设备，包括：收发器、处理器、存储器及存储在所述存储器上并可在所述处理器上运行的程序或指令；其特征在于，所述处理器执行所述程序或指令时实现如权利要求1-9任一项所述的认证方法，或者，如权利要求10-13任一项所述的认证方法中的步骤。

19.一种可读存储介质，其上存储有程序或指令，其特征在于，所述程序或指令被处理器执行时实现如权利要求1-9任一项所述的认证方法，或者，如权利要求10-13任一项所述的认证方法中的步骤。

Images