CN116886367A - 安全认证的方法、装置、电子设备及存储介质 - Google Patents

Abstract

本申请涉及信息安全技术领域，具体提供了一种安全认证的方法、装置、电子设备及存储介质。一种安全认证的方法，包括：确定接收到用户设备针对目标服务发送的安全认证请求时，获取安全认证请求中的目标设备信息和目标服务信息；基于目标设备信息进行设备认证，获得设备认证结果；基于服务、用户设备以及用户账号之间的服务绑定关系，以及目标设备信息和目标服务信息，进行服务认证，获得服务认证结果；基于设备认证结果以及服务认证结果，确定安全认证结果；向用户设备返回安全认证结果。这样，提高了认证安全性。

Description

安全认证的方法、装置、电子设备及存储介质

技术领域

本申请涉及信息安全技术领域，具体涉及一种安全认证的方法、装置、电子设备及存储介质。

背景技术

随着互联网技术的发展，人们对网络信息安全的要求越来越高。

现有技术下，主要是通过对用户的身份验证进行安全认证，具体的，通常会根据用户的账号信息或者生物特征信息等进行安全认证。

但是，采用这种方式，在一些需要通过特定设备(如，安全系数较高的设备或者指定区域的设备)提供特定服务(如，支付或者保密信息查看)的场景中，难以满足认证安全性。

发明内容

本申请实施例的目的在于提供一种安全认证的方法、装置、电子设备以及存储介质，用以在进行安全认证时，可以提高认证安全性。

一方面，本申请实施方式提供了一种安全认证的方法，方法包括：

确定接收到用户设备针对目标服务发送的安全认证请求时，获取安全认证请求中的目标设备信息和目标服务信息；

基于目标设备信息进行设备认证，获得设备认证结果；

基于服务、用户设备以及用户账号之间的服务绑定关系，以及目标设备信息和目标服务信息，进行服务认证，获得服务认证结果；

基于设备认证结果以及服务认证结果，确定安全认证结果；

向用户设备返回安全认证结果。

一种实施方式中，基于目标设备信息进行设备认证，获得设备认证结果，包括：

获取目标设备信息对应的设备认证状态；

若设备认证状态表征认证通过，则确定设备认证成功，否则，确定设备认证失败。

一种实施方式中，在获取目标设备信息对应的设备认证状态之前，方法还包括：

确定接收到用户设备发送的在线状态时，向用户设备返回挑战码；

接收到用户设备的设备签名信息时，对设备签名信息进行签名验证；设备签名信息是对目标设备信息和挑战码签名获得的；

若确定签名验证通过，挑战码与本地挑战码一致，且设备注册信息集合中包含目标设备信息，则设置设备认证状态为认证通过，否则，设置设备认证状态为认证失败。

一种实施方式中，基于服务、用户设备以及用户账号之间的服务绑定关系，以及目标设备信息和目标服务信息，进行服务认证，获得服务认证结果，包括：

在安全认证请求中不包含用户账号信息的情况下，若基于服务绑定关系，成功获得目标设备信息和目标服务信息对应的用户账号信息，则确定服务认证成功，否则，确定服务认证失败；

或者，基于服务绑定关系，获得目标设备信息和目标服务信息对应的用户账号信息，若目标设备信息和目标服务信息对应的用户账号信息，与安全认证请求中还包含的用户账号信息匹配，则确定服务认证成功，否则，确定服务认证失败。

一种实施方式中，在基于服务、用户设备以及用户账号之间的服务绑定关系，以及目标设备信息，进行服务认证，获得服务认证结果之前，方法还包括：

确定接收到用户绑定请求时，获取用户绑定请求中的用户绑定签名；

对用户绑定签名进行签名验证；

若确定签名验证通过，则获取用户绑定签名中的用户账号信息以及目标设备信息；

基于目标设备信息进行设备认证，获得设备认证结果；

若设备认证结果表征认证通过，则建立用户账号信息和目标设备信息之间的服务绑定关系。

一种实施方式中，基于设备认证结果以及服务认证结果，确定安全认证结果，包括：

若设备认证结果表征认证通过且服务认证结果表征认证通过，则确定安全认证通过，否则，确定安全认证失败。

一种实施方式中，在获取安全认证请求中的目标设备信息和目标服务信息之前，方法还包括：

对安全认证请求进行签名验证；

基于设备认证结果以及服务认证结果，确定安全认证结果，包括：

若确定安全认证请求签名验证通过、设备认证结果表征认证通过且服务认证结果表征认证通过，则确定安全认证通过，否则，确定安全认证失败。

一方面，本申请实施方式提供了一种安全认证的方法，方法包括：

向安全服务器发送针对目标服务安全认证请求；安全认证请求包括目标设备信息和目标服务信息；

接收安全服务器返回的安全认证结果；安全认证结果是基于设备认证结果以及服务认证结果返回的；设备认证结果是基于目标设备信息进行设备认证获得的，服务认证结果是基于服务、用户设备以及用户账号之间的服务绑定关系，以及目标设备信息和目标服务信息进行服务认证获得的。

一种实施方式中，在接收安全服务器返回的安全认证结果之前，方法还包括：

确定符合设备认证条件时，向安全服务器发送在线状态；

确定接收到安全服务器基于在线状态返回的挑战码时，对目标设备信息以及挑战码进行签名，获得设备签名信息；

将设备签名信息发送给安全服务器；

接收安全服务器基于设备签名信息返回的设备认证结果。

一方面，本申请实施方式提供了一种安全认证的装置，包括：

获取单元，用于确定接收到用户设备针对目标服务发送的安全认证请求时，获取安全认证请求中的目标设备信息和目标服务信息；

认证单元，用于基于目标设备信息进行设备认证，获得设备认证结果；

获得单元，用于基于服务、用户设备以及用户账号之间的服务绑定关系，以及目标设备信息和目标服务信息，进行服务认证，获得服务认证结果；

确定单元，用于基于设备认证结果以及服务认证结果，确定安全认证结果；

返回单元，用于向用户设备返回安全认证结果。

一种实施方式中，认证单元还用于：

获取目标设备信息对应的设备认证状态；

若设备认证状态表征认证通过，则确定设备认证成功，否则，确定设备认证失败。

一种实施方式中，认证单元还用于：

确定接收到用户设备发送的在线状态时，向用户设备返回挑战码；

接收到用户设备的设备签名信息时，对设备签名信息进行签名验证；设备签名信息是对目标设备信息和挑战码签名获得的；

若确定签名验证通过，挑战码与本地挑战码一致，且设备注册信息集合中包含目标设备信息，则设置设备认证状态为认证通过，否则，设置设备认证状态为认证失败。

一种实施方式中，获得单元用于：

在安全认证请求中不包含用户账号信息的情况下，若基于服务绑定关系，成功获得目标设备信息和目标服务信息对应的用户账号信息，则确定服务认证成功，否则，确定服务认证失败；

或者，基于服务绑定关系，获得目标设备信息和目标服务信息对应的用户账号信息，若目标设备信息和目标服务信息对应的用户账号信息，与安全认证请求中还包含的用户账号信息匹配，则确定服务认证成功，否则，确定服务认证失败。

一种实施方式中，获得单元还用于：

确定接收到用户绑定请求时，获取用户绑定请求中的用户绑定签名；

对用户绑定签名进行签名验证；

若确定签名验证通过，则获取用户绑定签名中的用户账号信息以及目标设备信息；

基于目标设备信息进行设备认证，获得设备认证结果；

若设备认证结果表征认证通过，则建立用户账号信息和目标设备信息之间的服务绑定关系。

一种实施方式中，确定单元用于：

若设备认证结果表征认证通过且服务认证结果表征认证通过，则确定安全认证通过，否则，确定安全认证失败。

一种实施方式中，获取单元还用于：对安全认证请求进行签名验证；

确定单元用于：若确定安全认证请求签名验证通过、设备认证结果表征认证通过且服务认证结果表征认证通过，则确定安全认证通过，否则，确定安全认证失败。

一方面，本申请实施方式提供了一种安全认证的装置，包括：

发送单元，用于向安全服务器发送针对目标服务安全认证请求；安全认证请求包括目标设备信息和目标服务信息；

接收单元，用于接收安全服务器返回的安全认证结果；安全认证结果是基于设备认证结果以及服务认证结果返回的；设备认证结果是基于目标设备信息进行设备认证获得的，服务认证结果是基于服务、用户设备以及用户账号之间的服务绑定关系，以及目标设备信息和目标服务信息进行服务认证获得的。

一种实施方式中，发送单元还用于：

确定符合设备认证条件时，向安全服务器发送在线状态；

确定接收到安全服务器基于在线状态返回的挑战码时，对目标设备信息以及挑战码进行签名，获得设备签名信息；

将设备签名信息发送给安全服务器；

接收安全服务器基于设备签名信息返回的设备认证结果。

一方面，本申请实施方式提供了一种电子设备，包括：

处理器；以及

存储器，存储有计算机指令，计算机指令用于使处理器执行如上述任一种安全认证的各种可选实现方式中提供的方法的步骤。

一方面，本申请实施方式提供了一种存储介质，存储有计算机指令，计算机指令用于使计算机执行如上述任一种安全认证的各种可选实现方式中提供的方法的步骤。

本申请实施例提供的安全认证的方法、装置、电子设备及存储介质中，确定接收到用户设备针对目标服务发送的安全认证请求时，获取安全认证请求中的目标设备信息和目标服务信息；基于目标设备信息进行设备认证，获得设备认证结果；基于服务、用户设备以及用户账号之间的服务绑定关系，以及目标设备信息和目标服务信息，进行服务认证，获得服务认证结果；基于设备认证结果以及服务认证结果，确定安全认证结果；向用户设备返回安全认证结果。这样，先基于目标设备信息进行设备认证，然后基于目标设备信息以及目标服务信息进行服务认证，综合考虑了不同服务对设备以及用户的限制，提高了安全认证的性能，满足了用户的安全需求。

附图说明

为了更清楚地说明本申请具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本申请的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是根据本申请一些实施方式中设备初始化方法的交互流程图。

图2是根据本申请一些实施方式中设备注册方法的实施流程图。

图3是根据本申请一些实施方式中设备认证方法的实施流程图。

图4是根据本申请一些实施方式中服务绑定方法的实施流程图。

图5是根据本申请一些实施方式中安全认证的方法的流程图。

图6是根据本申请一些实施方式中安全认证的装置的结构框图。

图7是根据本申请一些实施方式中另一种安全认证的装置的结构框图。

图8是根据本申请一些实施方式中电子设备的结构示意图。

具体实施方式

下面将结合附图对本申请的技术方案进行清楚、完整地描述，显然，所描述的实施方式是本申请一部分实施方式，而不是全部的实施方式。基于本申请中的实施方式，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施方式，都属于本申请保护的范围。此外，下面所描述的本申请不同实施方式中所涉及的技术特征只要彼此之间未构成冲突就可以相互结合。

首先对本申请实施例中涉及的部分用语进行说明，以便于本领域技术人员理解。

终端设备：可以是移动终端、固定终端或便携式终端，例如移动手机、站点、单元、设备、多媒体计算机、多媒体平板、互联网节点、通信器、台式计算机、膝上型计算机、笔记本计算机、上网本计算机、平板计算机、个人通信系统设备、个人导航设备、个人数字助理、音频/视频播放器、数码相机/摄像机、定位设备、电视接收器、无线电广播接收器、电子书设备、游戏设备或者其任意组合，包括这些设备的配件和外设或者其任意组合。还可预见到的是，终端设备能够支持任意类型的针对用户的接口(例如可穿戴设备)等。

服务器：可以是独立的物理服务器，也可以是多个物理服务器构成的服务器集群或者分布式系统，还可以是提供云服务、云数据库、云计算、云函数、云存储、网络服务、云通信、中间件服务、域名服务、安全服务以及大数据和人工智能平台等基础云计算服务的云服务器。

随着互联网技术的发展，人们对网络信息安全的要求越来越高。现有技术下，为用户请求服务时，通常会根据用户的账号信息以及生物特征信息等进行安全认证。

但是，采用这种方式，在一些场景中，仍然存在一些安全风险。例如，在实际的扩展现实(Extended Reality，XR)业务场景中，由于XR设备较为昂贵，商家通常采用租赁的方式运营。

用户在XR设备中的XR客户端请求服务时，为保证服务安全性，通常通过用户的生物特征信息或者账号信息针对服务请求进行安全认证。但是，采用这种方式，仅考虑了用户身份的验证，并没有考虑到不同服务对使用设备以及用户的服务限制，不能保证用户的安全需求。

基于上述相关技术存在的缺陷，本申请实施方式提供了一种安全认证的方法、装置、电子设备及存储介质，旨在进行安全认证时，提高安全认证性能。本申请实施方式提供了一种安全认证的方法，该方法可应用于电子设备，本申请对于电子设备的类型不作限制，其可以是任何适于实施的设备类型，例如智能手机、平板电脑等，本申请对此不再赘述。

下面对本申请实施例的应用场景进行示例说明。

一种应用场景中，用户设备在执行用户的服务请求操作前，先通过安全服务器进行安全认证，以提高信息安全。具体的，用户设备响应于用户针对文件下载(即目标服务)的下载请求，向安全服务器发送包含文件下载信息以及设备序列号(即目标服务信息和目标设备信息)的安全认证请求。安全服务器基于安全认证请求进行安全认证，获得安全认证结果。用户设备接收安全服务器返回的安全认证结果，若确定安全认证通过，则响应该下载请求，执行文件下载操作，使得用户可以获得需要下载的文件。

一种应用场景中，用户设备为业务服务器，在接收终端设备发送的服务请求时，先通过安全服务器进行安全认证，在安全认证通过之后，再向终端设备返回请求的服务。具体的，终端设备响应于用户针对文件下载(即目标服务)的下载操作，向用户设备发送文件下载请求。用户设备基于文件下载请求，向安全服务器发送包含文件下载信息以及设备序列号(即目标服务信息和目标设备信息)的安全认证请求。安全服务器基于安全认证请求进行安全认证，获得安全认证结果，并将安全认证结果返回至用户设备。若确定安全认证通过，则用户设备响应终端设备该文件下载请求，终端设备基于用户设备返回的文件下载响应消息，执行文件下载操作，使得用户可以获得需要下载的文件。

一种应用场景中，用户设备向安全服务器发送服务请求。安全服务器接收到服务请求后，向自身的安全认证模块下发安全认证指令(即安全认证请求)。安全认证模块基于安全认证请求进行安全认证，获得安全认证结果，并将安全认证结果返回至安全服务器中的服务模块。服务模块确定安全认证通过，向用户设备返回服务响应消息，否则，返回响应失败消息。

本申请实施例中，在进行安全认证之前，先对用户设备进行注册、设备认证以及进行服务绑定。可选的，用户设备可以为终端设备，可以为用于提供服务的服务器。

参阅图1所示，为设备初始化方法的交互流程图。图2中包括客户端、安全软件开发工具包(Software Development Kit，SDK)以及安全服务器。其中，客户端和安全SDK位于同一用户设备。下面结合图1，对上述设备初始化的方法进行说明，该方法的具体实施流程如下：

步骤100：客户端向安全SDK发送目标设备信息的初始化请求。

一种实施方式中，客户端确定产线装配完成且开机初始化之后，向安全SDK发送初始化请求。

其中，初始化请求中包含目标设备信息。可选的，目标设备信息可以包含用户设备的产品序列号(Serial Number，SN)，还可以包含中央处理器序列号(Central ProcessingUnit Number，CPU Num)。实际应用中，目标设备信息可以根据实际应用场景进行设置，在此不做限制。

步骤101：安全SDK生成设备证书。

一种实施方式中，安全SDK获取初始化请求中的目标设备信息，并按照预设规则，基于目标设备信息生成设备证书。

其中，通过设备证书可以获得并存储设备证书私钥和设备证书公钥。可选的，设备证书私钥和设备证书公钥可以为对称加密秘钥，也可以为非对称加密密钥。

可选的，用户设备按照预设规则还可以生成TID，并将TID添加到目标设备信息中。

步骤102：安全SDK对目标设备信息进行加密获得加密设备信息。

一种实施方式中，安全SDK通过设备证书私钥对目标设备信息进行加密，获得加密设备信息。

步骤103：安全SDK向用户设备返回加密设备信息和设备证书公钥。

步骤104：用户设备将加密设备信息和设备证书公钥发送安全服务器。

步骤105：安全服务器基于设备秘钥对加密设备信息进行解密，获得目标设备信息。

步骤106：安全服务器保存目标设备信息以及设备证书公钥。

进一步地，安全服务器向安全服务器返回初始化结果。安全服务器将初始化结果发送至客户端。

这样，就可以将用户设备先进行初始化。

在设备初始化后，就可以对用户设备进行注册。参阅图2所示，为设备注册方法的实施流程图。下面结合图2，对上述设备注册的方法进行说明，该方法的具体实施流程如下：

步骤200：客户端向安全SDK发送再次初始化请求。

步骤201：安全SDK获取初始化检测结果。

一种实施方式中，安全SDK获取再次初始化请求中包含的目标设备信息，并获取目标设备信息对应的初始化状态。若确定初始化状态为已经完成初始化，则向客户端返回表征初始化完成的初始化检测结果，反之，则执行上述设备初始化流程，即步骤100-步骤106。

步骤202：安全SDK向客户端返回初始化检测结果。

步骤203：客户端向安全服务器发送注册请求。

一种实施方式中，客户端根据初始化检测结果，确定初始化完成，则向安全服务器发送注册请求。其中，注册请求可以包含目标设备信息。

步骤204：安全服务器进行设备注册记录。

一种实施方式中，安全服务器进对目标设备信息进行注册记录，以实现对用户设备的注册。

一种实施方式中，安全服务器根据设备注册请求，获取目标设备信息，并根据目标设备信息以及初始化记录，判断是否用户设备是否初始化完成，若是，则对目标设备信息进行注册记录。可选的，可以采用蚂蚁链上链的方式进行设备注册。进一步地，可以将目标设备信息添加到设备注册信息集合中。

这样，就可以通过安全服务器对用户设备进行注册。

在设备注册完成后，就可以对在线的用户设备进行可信认证。参阅图3所示，为设备认证方法的实施流程图。下面结合图3，对上述设备认证的方法进行说明，该方法的具体实施流程如下：

步骤300：客户端将在线状态发送至安全服务器。

一种实施方式中，客户端确定符合设备认证条件时，将在线状态发送至安全服务器。

可选的，设备认证条件可以为设备激活时，还可以为达到设定认证时间时，还可以为接收到用户的认证指令时。实际应用中，设备认证条件可以根据实际应用场景进行设置，在此不做限制。

步骤301：安全服务器向客户端发送挑战码。

一种实施方式中，安全服务器确定接收到用户设备发送的在线状态时，向客户端发送挑战码。

其中，挑战码也称作挑战口令，是指遵循握手验证协议生成的一组加密口令，用于在传输过程中保证用户的真实密码不被泄露，以提高数据安全性。

步骤302：客户端向安全SDK发送认证加密请求。

其中，认证加密请求中可以包含挑战码以及目标设备信息。

步骤303：安全SDK进行签名，获得设备签名信息。

一种实施方式中，安全SDK通过设备证书私钥，对挑战码以及目标设备信息进行签名，获得设备签名信息。

步骤304：安全SDK将设备签名信息发送给客户端。

步骤305：客户端将设备签名信息发送至安全服务器。

一种实施方式中，客户端将设备签名信息发送给安全服务器。

步骤306：安全服务器对设备签名信息进行签名验证。

步骤307：若确定签名验证通过，则基于挑战码和目标设备信息对进行设备认证。

具体的，若确定签名验证通过，挑战码与本地挑战码一致，且设备注册信息集合中包含目标设备信息，则设置设备认证状态为认证通过，否则，设置设备认证状态为认证失败。

一种实施方式中，安全服务器基于设备证书公钥对设备签名信息进行签名验证，若验证通过，则获取设备签名信息中的目标设备信息和挑战码，若挑战码与本地挑战码一致，且目标设备信息被设备注册信息集合包含，则确定设备认证通过。

进一步地，将设备认证结果发送至客户端。若客户端确定认证失败，则重复执行设备认证流程，即步骤300-步骤306，直至确定设备认证成功。

这样，就可以预先通过安全服务器对用户设备进行设备认证。

一种实施方式中，在设备认证完成后，就可以进行服务绑定，即建立服务、用户设备以及用户账号之间的关联关系。参阅图4所示，为服务绑定方法的实施流程图。下面结合图4，对上述服务绑定的方法进行说明，该方法的具体实施流程如下：

步骤400：客户端向安全SDK发送绑定加密请求。

一种实施方式中，客户端可以引导用户进行服务绑定，响应于用户的服务绑定操作，调用服务绑定接口，向安全SDK发送绑定加密请求。

其中，绑定加密请求中可以包含目标服务信息、用户账号信息以及目标设备信息。

进一步地，在发送绑定加密请求之前，为提高安全性，客户端还可以引导用户输入操作密码，响应于用户的密码输入操作，进行密码验证，若验证通过，则向安全SDK发送绑定加密请求。

进一步地，在执行步骤400之前，还可以预先设置操作密码。一种实施方式中，客户端可以预先通过以下步骤，设置操作密码：

响应于用户的安全中心登录操作，登录安全中心，并响应于用户的密码设置操作，获取用户输入的操作密码，判断是否与用户的终端设备完成了设备绑定，若确定未完成设备绑定，则执行终端设备绑定操作，若确定已完成设备绑定，则响应于用户的验证输入操作，获得用户输入的验证码(如，手机验证码)，若确定验证码验证成功，则确定密码设置成功，反之，确定密码设置失败。其中，验证码是用户通过终端设备获取的。

进一步地，若用户忘记操作密码，还可以进行操作密码重置。一种实施方式中，还可以采用以下步骤，重置操作密码：

响应于用户的安全中心登录操作，登录安全中心，并响应于用户的密码重置操作，获取用户输入的新的操作密码，响应于用户的验证输入操作，获得用户输入的验证码(如，手机验证码)，若确定验证码验证成功，则确定密码设置成功，反之，确定密码设置失败。进一步地，若确定无法使用终端设备，还可以采用邮件的方式，获取验证码。

进一步地，为提高账号安全，还可以采用以下方式中的至少一个：

方式一：根据用户的操作，进行终端设备更换绑定流程，以更换用户绑定的终端设备。

方式二：识别账号是否异地登录，以检测登录设备是否为非绑定终端设备或者异常IP。

方式三：采用锁屏的方式验证操作密码。

方式四：在用户注册时，在客户端内，通过用户的虹膜以及掌纹等生物特征对用户进行服务验证。

步骤401：安全SDK基于用户证书私钥进行加密，获得绑定加密信息。

一种实施方式中，安全SDK生成用户证书，并通过用户证书私钥，对目标服务器信息、目标设备信息和用户账号信息进行加密。

其中，可以通过用户证书获得用于加解密的用户证书公钥和用户证书私钥。

步骤402：安全SDK将用户证书公钥以及绑定加密信息，发送给客户端。

步骤403：客户端将用户证书公钥以及绑定加密信息发送给安全服务器。

步骤404：安全服务器基于用户证书公钥，对绑定加密信息进行解密，获得绑定解密信息。

其中，绑定解密信息包括目标服务信息、目标设备信息和用户账号信息。

步骤405：安全服务器对绑定解密信息进行验证。

一种实施方式中，安全服务器基于目标设备信息进行设备认证，若设备认证通过，则建立目标服务信息、用户账号信息和目标设备信息之间的用关联关系，获得服务、用户设备以及用户账号之间的服务绑定关系，若设备认证失败或者解密设备，则向客户端返回绑定失败结果。

进一步地，安全服务器可以将包含该服务绑定关系的绑定成功结果，返回至客户端。若客户端接收到绑定失败结果，则重复执行用户绑定流程，即步骤400-步骤405，直至服务绑定成功。

进一步地，还可以基于用户的解绑操作，注销用户证书，并可以通过解绑接口，删除服务绑定关系，以解除可信绑定关系。

需要说明的是，本申请实施例中，安全SDK是在可信执行环境(Trusted ExecutionEnvironment，TEE)中，提供密钥生成接口，从而可以调用密钥生成接口，采用不对外的规则生成数字证书，即设备证书以及用户证书，进而可以获得不可变的密钥对，并将密钥对中的公钥上传至支付认证平台，从而可以通过密钥对传输数据进行加解密，保证了传输数据的安全性和真实性。以及，为进一步地提高安全性，对重复生成数字证书的指令不处理，并可以将数字证书的安全等级设置为较高的级别，并可以将密钥对设置为全局默认，还可以密钥对与设备一对一设置。

本申请实施例中，仅以一个服务为例进行说明，实际应用中，可以针对多个不同的服务，建立服务绑定关系，在此不做赘述。

在建立服务绑定关系之后，就可以进行安全认证。参阅图5所示，为本申请一些实施方式中安全认证的方法的流程图，下面结合图5对该方法进行说明，该方法的具体实施流程如下：

步骤500：安全服务器确定接收到终端设备针对目标服务发送的安全认证请求时，获取安全认证请求中的目标设备信息和目标服务信息。

一种实施方式中，用户设备确定符合安全认证条件时，向安全服务器发送安全认证请求。

可选的，安全认证条件可以为接收到用户针对目标服务的服务请求操作，还可以为接收到针对目标服务的服务请求指令。

可选的，目标服务可以为查看信息、下载文件、调用服务接口以及支付等服务。

进一步地，为提高安全性，用户设备还可以对安全认证请求进行签名，并将签名后的安全认证请求发送给安全服务器。

步骤501：安全服务器基于目标设备信息进行设备认证，获得设备认证结果。

一种实施方式中，获取目标设备信息对应的设备认证状态；若设备认证状态表征认证通过，则确定设备认证成功，否则，确定设备认证失败。

这样，就可以获取预先设置的设备认证状态，提高了设备认证确定的效率。

步骤502：基于服务、用户设备以及用户账号之间的服务绑定关系，以及目标设备信息和目标服务，进行服务认证，获得服务认证结果。

具体的，执行步骤502时，可以采用以下任一方式：

方式一：在安全认证请求中不包含用户账号信息的情况下，若基于服务绑定关系，成功获得目标设备信息和目标服务信息对应的用户账号信息，则确定服务认证成功，否则，确定服务认证失败。

这样，就可以根据是否存在目标设备信息对应的用户账号信息，判断是否服务认证成功。

方式2：基于服务绑定关系，获得目标设备信息和目标服务信息对应的用户账号信息，若目标设备信息和目标服务信息对应的用户账号信息，与安全认证请求中还包含的用户账号信息匹配，则确定服务认证成功，否则，确定服务认证失败。

这样，就可以根据服务绑定关系中是否包含用户账号信息和目标设备信息之间的关联关系，判断是否服务认证成功。

步骤503：基于设备认证结果以及服务认证结果，确定安全认证结果。

一种实施方式中，若设备认证结果表征认证通过且服务认证结果表征认证通过，则确定安全认证通过，否则，确定安全认证失败。

进一步地，在还需要对安全认证请求进行签名验证情况下，若确定安全认证请求签名验证通过、设备认证结果表征认证通过且服务认证结果表征认证通过，则确定安全认证通过，否则，确定安全认证失败。

这样，就可以实现安全认证。

步骤504：向终端设备返回安全认证结果。

本申请实施例中，没有采用传统的生物特征或者账号进行安全认证，而是根据目标设备信息进行设备认证，以保证设备的安全性，并根据服务、用户设备以及用户账号之间的服务绑定关系，以及目标服务信息以及目标设备信息，进行服务认证，从而可以验证不同用户在不同设备下使用各种服务的安全性，可以满足特定设备场景下的安全认证需求。进一步地，通过直接获取的设备认证状态确定设备认证是否通过，提高了设备认证的效率。再者，可以通过是否成功获取目标设备信息和目标服务信息对应的用户账号信息，或者，通过目标设备信息、目标服务信息以及用户账号信息之间的绑定关系是否被预先注册，确定服务验证是否成功，增加了服务验证的多样性。以及，结合签名验证结果、设备认证结果以及服务验证结果确定安全认证结果，进一步提高了安全认证的准确性，提高了安全性。

本申请所涉及的用户信息(包括但不限于用户设备信息、用户个人信息等)和数据(包括但不限于用于分析的数据、存储的数据、展示的数据等)，均为经用户授权或者经过各方充分授权的信息和数据，并且相关数据的收集、使用和处理需要遵守相关国家和地区的相关法律法规和标准，并提供有相应的操作入口，供用户选择授权或者拒绝。

基于同一发明构思，本申请实施方式还提供了一种安全认证的装置，由于上述装置及设备解决问题的原理与一种安全认证的方法相似，因此，上述装置的实施可以参见方法的实施，重复之处不再赘述。该装置可应用于电子设备，本申请对于电子设备的类型不作限制，其可以是任何适于实施的设备类型，例如智能手机、平板电脑等，本申请对此不再赘述。

参阅图6所示，为本申请实施方式中一种安全认证的装置的结构框图。在一些实施方式中，本申请示例的安全认证的装置，包括：

获取单元601，用于确定接收到用户设备针对目标服务发送的安全认证请求时，获取安全认证请求中的目标设备信息和目标服务信息；

认证单元602，用于基于目标设备信息进行设备认证，获得设备认证结果；

获得单元603，用于基于服务、用户设备以及用户账号之间的服务绑定关系，以及目标设备信息和目标服务信息，进行服务认证，获得服务认证结果；

确定单元604，用于基于设备认证结果以及服务认证结果，确定安全认证结果；

返回单元605，用于向用户设备返回安全认证结果。

一种实施方式中，认证单元602还用于：

获取目标设备信息对应的设备认证状态；

若设备认证状态表征认证通过，则确定设备认证成功，否则，确定设备认证失败。

一种实施方式中，认证单元602还用于：

确定接收到用户设备发送的在线状态时，向用户设备返回挑战码；

接收到用户设备的设备签名信息时，对设备签名信息进行签名验证；设备签名信息是对目标设备信息和挑战码签名获得的；

若确定签名验证通过，挑战码与本地挑战码一致，且设备注册信息集合中包含目标设备信息，则设置设备认证状态为认证通过，否则，设置设备认证状态为认证失败。

一种实施方式中，获得单元603用于：

在安全认证请求中不包含用户账号信息的情况下，若基于服务绑定关系，成功获得目标设备信息和目标服务信息对应的用户账号信息，则确定服务认证成功，否则，确定服务认证失败；

或者，基于服务绑定关系，获得目标设备信息和目标服务信息对应的用户账号信息，若目标设备信息和目标服务信息对应的用户账号信息，与安全认证请求中还包含的用户账号信息匹配，则确定服务认证成功，否则，确定服务认证失败。

一种实施方式中，获得单元603还用于：

确定接收到用户绑定请求时，获取用户绑定请求中的用户绑定签名；

对用户绑定签名进行签名验证；

若确定签名验证通过，则获取用户绑定签名中的用户账号信息以及目标设备信息；

基于目标设备信息进行设备认证，获得设备认证结果；

若设备认证结果表征认证通过，则建立用户账号信息和目标设备信息之间的服务绑定关系。

一种实施方式中，确定单元604用于：

若设备认证结果表征认证通过且服务认证结果表征认证通过，则确定安全认证通过，否则，确定安全认证失败。

一种实施方式中，获取单元601还用于：对安全认证请求进行签名验证；

确定单元604用于：若确定安全认证请求签名验证通过、设备认证结果表征认证通过且服务认证结果表征认证通过，则确定安全认证通过，否则，确定安全认证失败。

参阅图7所示，为本申请实施方式中另一种安全认证的装置的结构框图。在一些实施方式中，本申请示例的安全认证的装置，包括：

发送单元701，用于向安全服务器发送针对目标服务安全认证请求；安全认证请求包括目标设备信息和目标服务信息；

接收单元702，用于接收安全服务器返回的安全认证结果；安全认证结果是基于设备认证结果以及服务认证结果返回的；设备认证结果是基于目标设备信息进行设备认证获得的，服务认证结果是基于服务、用户设备以及用户账号之间的服务绑定关系，以及目标设备信息和目标服务信息进行服务认证获得的。

一种实施方式中，发送单元701还用于：

确定符合设备认证条件时，向安全服务器发送在线状态；

确定接收到安全服务器基于在线状态返回的挑战码时，对目标设备信息以及挑战码进行签名，获得设备签名信息；

将设备签名信息发送给安全服务器；

接收安全服务器基于设备签名信息返回的设备认证结果。

本申请实施例提供的安全认证的方法、装置、电子设备及存储介质中，确定接收到用户设备针对目标服务发送的安全认证请求时，获取安全认证请求中的目标设备信息和目标服务信息；基于目标设备信息进行设备认证，获得设备认证结果；基于服务、用户设备以及用户账号之间的服务绑定关系，以及目标设备信息和目标服务信息，进行服务认证，获得服务认证结果；基于设备认证结果以及服务认证结果，确定安全认证结果；向用户设备返回安全认证结果。这样，先基于目标设备信息进行设备认证，然后基于目标设备信息以及目标服务信息进行服务认证，综合考虑了不同服务对设备以及用户的限制，提高了安全认证的性能，满足了用户的安全认证需求。

本申请实施方式提供了一种电子设备，包括：

处理器；以及

存储器，存储有计算机指令，计算机指令用于使处理器执行上述任意实施方式的方法。

本申请实施方式提供了一种存储介质，存储有计算机指令，计算机指令用于使计算机执行上述任意实施方式的方法。

图8示出了一种电子设备8000的结构示意图。参阅图8所示，电子设备8000包括：处理器8010以及存储器8020，可选的，还可以包括电源8030、显示单元8040、输入单元8050。

处理器8010是电子设备8000的控制中心，利用各种接口和线路连接各个部件，通过运行或执行存储在存储器8020内的软件程序和/或数据，执行电子设备8000的各种功能。

本申请实施例中，处理器8010调用存储器8020中存储的计算机程序时执行上述实施例中的各个步骤。

可选的，处理器8010可包括一个或多个处理单元；优选的，处理器8010可集成应用处理器和调制解调处理器，其中，应用处理器主要处理操作系统、用户界面和应用等，调制解调处理器主要处理无线通信。可以理解的是，上述调制解调处理器也可以不集成到处理器8010中。在一些实施例中，处理器、存储器、可以在单一芯片上实现，在一些实施例中，它们也可以在独立的芯片上分别实现。

存储器8020可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、各种应用等；存储数据区可存储根据电子设备8000的使用所创建的数据等。此外，存储器8020可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件等。

电子设备8000还包括给各个部件供电的电源8030(比如电池)，电源可以通过电源管理系统与处理器8010逻辑相连，从而通过电源管理系统实现管理充电、放电、以及功耗等功能。

显示单元8040可用于显示由用户输入的信息或提供给用户的信息以及电子设备8000的各种菜单等，本申请实施例中主要用于显示电子设备8000中各应用的显示界面以及显示界面中显示的文本、图片等对象。显示单元8040可以包括显示面板8041。显示面板8041可以采用液晶显示屏(Liquid Crystal Display，LCD)、有机发光二极管(Organic Light-Emitting Diode，OLED)等形式来配置。

输入单元8050可用于接收用户输入的数字或字符等信息。输入单元8050可包括触控面板8051以及其他输入设备8052。其中，触控面板8051，也称为触摸屏，可收集用户在其上或附近的触摸操作(比如用户使用手指、触摸笔等任何适合的物体或附件在触控面板8051上或在触控面板8051附近的操作)。

具体的，触控面板8051可以检测用户的触摸操作，并检测触摸操作带来的信号，将这些信号转换成触点坐标，发送给处理器8010，并接收处理器8010发来的命令并加以执行。此外，可以采用电阻式、电容式、红外线以及表面声波等多种类型实现触控面板8051。其他输入设备8052可以包括但不限于物理键盘、功能键(比如音量控制按键、开关机按键等)、轨迹球、鼠标、操作杆等中的一种或多种。

当然，触控面板8051可覆盖显示面板8041，当触控面板8051检测到在其上或附近的触摸操作后，传送给处理器8010以确定触摸事件的类型，随后处理器8010根据触摸事件的类型在显示面板8041上提供相应的视觉输出。虽然在图8中，触控面板8051与显示面板8041是作为两个独立的部件来实现电子设备8000的输入和输出功能，但是在某些实施例中，可以将触控面板8051与显示面板8041集成而实现电子设备8000的输入和输出功能。

电子设备8000还可包括一个或多个传感器，例如压力传感器、重力加速度传感器、接近光传感器等。当然，根据具体应用中的需要，上述电子设备8000还可以包括摄像头等其它部件，由于这些部件不是本申请实施例中重点使用的部件，因此，在图8中没有示出，且不再详述。

本领域技术人员可以理解，图8仅仅是电子设备的举例，并不构成对电子设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件。

为了描述的方便，以上各部分按照功能划分为各模块(或单元)分别描述。当然，在实施本申请时可以把各模块(或单元)的功能在同一个或多个软件或硬件中实现。

显然，上述实施方式仅仅是为清楚地说明所作的举例，而并非对实施方式的限定。对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式的变化或变动。这里无需也无法对所有的实施方式予以穷举。而由此所引伸出的显而易见的变化或变动仍处于本申请创造的保护范围之中。

Claims (13)

1.一种安全认证的方法，所述方法包括：

确定接收到用户设备针对目标服务发送的安全认证请求时，获取所述安全认证请求中的目标设备信息和目标服务信息；

基于所述目标设备信息进行设备认证，获得设备认证结果；

基于服务、用户设备以及用户账号之间的服务绑定关系，以及所述目标设备信息和所述目标服务信息，进行服务认证，获得服务认证结果；

基于所述设备认证结果以及所述服务认证结果，确定安全认证结果；

向所述用户设备返回安全认证结果。

2.如权利要求1所述的方法，所述基于所述目标设备信息进行设备认证，获得设备认证结果，包括：

获取所述目标设备信息对应的设备认证状态；

若所述设备认证状态表征认证通过，则确定设备认证成功，否则，确定设备认证失败。

3.如权利要求2所述的方法，在获取所述目标设备信息对应的设备认证状态之前，所述方法还包括：

确定接收到所述用户设备发送的在线状态时，向所述用户设备返回挑战码；

接收到所述用户设备的设备签名信息时，对所述设备签名信息进行签名验证；所述设备签名信息是对所述目标设备信息和所述挑战码签名获得的；

若确定签名验证通过，所述挑战码与本地挑战码一致，且设备注册信息集合中包含所述目标设备信息，则设置所述设备认证状态为认证通过，否则，设置所述设备认证状态为认证失败。

4.如权利要求1-3任一项所述的方法，所述基于服务、用户设备以及用户账号之间的服务绑定关系，以及所述目标设备信息和所述目标服务信息，进行服务认证，获得服务认证结果，包括：

在所述安全认证请求中不包含用户账号信息的情况下，若基于所述服务绑定关系，成功获得所述目标设备信息和所述目标服务信息对应的用户账号信息，则确定服务认证成功，否则，确定服务认证失败；

或者，基于所述服务绑定关系，获得所述目标设备信息和所述目标服务信息对应的用户账号信息，若所述目标设备信息和所述目标服务信息对应的用户账号信息，与所述安全认证请求中还包含的用户账号信息匹配，则确定服务认证成功，否则，确定服务认证失败。

5.如权利要求1-3任一项所述的方法，在基于服务、用户设备以及用户账号之间的服务绑定关系，以及所述目标设备信息，进行服务认证，获得服务认证结果之前，所述方法还包括：

确定接收到用户绑定请求时，获取所述用户绑定请求中的用户绑定签名；

对所述用户绑定签名进行签名验证；

若确定签名验证通过，则获取所述用户绑定签名中的用户账号信息以及目标设备信息；

基于所述目标设备信息进行设备认证，获得设备认证结果；

若所述设备认证结果表征认证通过，则建立所述用户账号信息和所述目标设备信息之间的服务绑定关系。

6.如权利要求1-3任一项所述的方法，所述基于所述设备认证结果以及所述服务认证结果，确定安全认证结果，包括：

若所述设备认证结果表征认证通过且所述服务认证结果表征认证通过，则确定安全认证通过，否则，确定安全认证失败。

7.如权利要求1-3任一项所述的方法，在获取所述安全认证请求中的目标设备信息和目标服务信息之前，所述方法还包括：

对所述安全认证请求进行签名验证；

所述基于所述设备认证结果以及所述服务认证结果，确定安全认证结果，包括：

若确定所述安全认证请求签名验证通过、所述设备认证结果表征认证通过且所述服务认证结果表征认证通过，则确定安全认证通过，否则，确定安全认证失败。

8.一种安全认证的方法，所述方法包括：

向安全服务器发送针对目标服务安全认证请求；所述安全认证请求包括目标设备信息和目标服务信息；

接收所述安全服务器返回的安全认证结果；所述安全认证结果是基于设备认证结果以及服务认证结果返回的；所述设备认证结果是基于所述目标设备信息进行设备认证获得的，所述服务认证结果是基于服务、用户设备以及用户账号之间的服务绑定关系，以及所述目标设备信息和所述目标服务信息进行服务认证获得的。

9.如权利要求8所述的方法，在接收所述安全服务器返回的安全认证结果之前，所述方法还包括：

确定符合设备认证条件时，向所述安全服务器发送在线状态；

确定接收到所述安全服务器基于所述在线状态返回的挑战码时，对所述目标设备信息以及所述挑战码进行签名，获得设备签名信息；

将所述设备签名信息发送给所述安全服务器；

接收所述安全服务器基于所述设备签名信息返回的设备认证结果。

10.一种安全认证的装置，所述装置包括：

获取单元，用于确定接收到用户设备针对目标服务发送的安全认证请求时，获取所述安全认证请求中的目标设备信息和目标服务信息；

认证单元，用于基于所述目标设备信息进行设备认证，获得设备认证结果；

获得单元，用于基于服务、用户设备以及用户账号之间的服务绑定关系，以及所述目标设备信息和所述目标服务信息，进行服务认证，获得服务认证结果；

确定单元，用于基于所述设备认证结果以及所述服务认证结果，确定安全认证结果；

返回单元，用于向所述用户设备返回安全认证结果。

11.一种安全认证的装置，所述装置包括：

发送单元，用于向安全服务器发送针对目标服务安全认证请求；所述安全认证请求包括目标设备信息和目标服务信息；

接收单元，用于接收所述安全服务器返回的安全认证结果；所述安全认证结果是基于设备认证结果以及服务认证结果返回的；所述设备认证结果是基于所述目标设备信息进行设备认证获得的，所述服务认证结果是基于服务、用户设备以及用户账号之间的服务绑定关系，以及所述目标设备信息和所述目标服务信息进行服务认证获得的。

12.一种电子设备，包括：

处理器；以及

存储器，存储有计算机指令，所述计算机指令用于使所述处理器执行根据权利要求1-7或8-9任一项所述的方法。

13.一种存储介质，存储有计算机指令，所述计算机指令用于使计算机执行根据权利要求1-7或8-9任一项所述的方法。