CN117176402A - 一种操作系统平台的统一身份认证方法、装置及介质 - Google Patents

Abstract

本发明公开了一种操作系统平台的统一身份认证方法、装置及介质，本发明操作系统平台的统一身份认证方法包括根据用户请求进行用户登录验证；当登陆用户需要访问可信域内的业务系统时，验证登陆用户的令牌的完整性，若登陆用户的令牌完整，则从令牌中获取登陆用户的访问控制列表ACL，若访问控制列表ACL允许访问该业务系统时，则将登陆用户的令牌传递至业务系统以实现统一身份认证。本发明旨在实现一种新型的统一认证方式，利用信任链传递技术实现一次登录、全业务系统通行的访问机制，为访问控制和安全审计打下坚实的基础的同时，为用户提供安全、可靠、便捷、高效的保障。

Description

一种操作系统平台的统一身份认证方法、装置及介质

技术领域

本发明属于计算机操作系统和网络安全技术领域，具体涉及一种操作系统平台的统一身份认证方法、装置及介质。

背景技术

近年来，随着网络通讯技术的飞速发展，云计算、大数据等一系列新型技术的应用也越来越广泛，企业正在经历一场全面的数字化转型。数字化在为企业带来成本降低和效能提升同时，也为信息安全带来了新的挑战。为了提供更加安全可靠的办公环境与业务平台，越来越多的安全技术被发明出来并投入使用。这种应用模式下，虽然能够确保业务系统和用户数据的安全，也带来了一个新的问题，即多次登录与超强密码给用户使用过程带来的不便。

身份认证的主要目的是对网络系统中的主客体之间的信任关系进行证明，以确保主体对客体的访问、控制与操作均是合法的。那么，对于同一个工作域内的业务系统而言，要求用户通过提供ID和口令等方式进行验证只是这种信任关系证明的一种形式，而非必须的步骤。如果能够在一定的范围内将这种信任关系的证明进行传递，从而实现对于用户身份的认证，即可解决反复登录以及超强密码在使用过程中给用户带来的不便。

随着移动计算技术、生物特征识别技术以及移动互联网技术的不断发展和逐渐成熟，身份认证的方式也不再局限于用户名和密码加密这种传统的方式。国产自主可控操作系统平台，基于可信硬件平台进行了安全增强，同时对网络、存储、输入输出等系统组件进行安全加固，形成了一体化的软硬结合安全平台。在国产自主可控操作系统平台上，已经支持可信计算功能，利用可信度量技术实现了从硬件平台到关键应用软件的可信计算。在此基础上，如何实现种操作系统平台的统一身份认证，已成为一项亟待解决的关键技术问题。

发明内容

本发明要解决的技术问题：针对现有技术的上述问题，提供一种操作系统平台的统一身份认证方法、装置及介质，本发明旨在实现一种新型的统一认证方式，利用信任链传递技术实现一次登录、全业务系统通行的访问机制，为访问控制和安全审计打下坚实的基础的同时，为用户提供安全、可靠、便捷、高效的保障。

为了解决上述技术问题，本发明采用的技术方案为：

一种操作系统平台的统一身份认证方法，包括：

S101，根据用户请求进行用户登录验证；

S102，当登陆用户需要访问可信域内的业务系统时，验证登陆用户的令牌的完整性，若登陆用户的令牌完整，则从令牌中获取登陆用户的访问控制列表ACL，若访问控制列表ACL允许访问该业务系统时，则将登陆用户的令牌传递至业务系统以实现统一身份认证。

可选地，步骤S102包括当登陆用户需要访问可信域内的业务系统时，由用户进程向指定的系统进程发出访问请求，所述指定的系统进程响应访问请求的操作包括：

S201，根据登陆用户的用户ID查询登陆用户对应的令牌；

S202，验证登陆用户的令牌的完整性，若登陆用户的令牌完整，则跳转步骤S203；若登陆用户的令牌不完整，则提示当前系统存在安全风险，冻结当前登陆用户，锁定系统并返回到用户登录界面，结束并退出；

S203，从登陆用户的令牌中获取登陆用户的访问控制列表ACL；

S204，根据访问控制列表ACL判断用户是否有针对业务系统的访问权限，若没有访问权限，则返回无访问权限错误提示信息结束并退出；否则跳转步骤S205；

S205，若访问控制列表ACL允许访问该业务系统时，则将登陆用户的令牌传递至业务系统以实现统一身份认证。

可选地，步骤S202中验证登陆用户的令牌的完整性包括：采用预设的解码函数ψ(·)对登陆用户的令牌T进行解码得到登陆用户的用户信任证明C，所述用户信任证明C中包含登陆用户的用户ID和访问控制权限ACL以及用户接入设备HID；将用户信任证明C、系统当前的可信度量码ξ采用预设的编码函数进行编码得到编码结果/>若编码结果和登陆用户的令牌T相同，则判定用户的令牌完整，否则判定用户的令牌不完整。

可选地，步骤S101中根据用户请求进行用户登录验证包括：

S301，接收用户提交的认证凭据，所述认证凭据包括身份信息和登陆凭据；

S302，根据认证凭据中的身份信息检索用户ID，若用户ID存在，则跳转步骤S303；

S303，将认证凭据中的登陆凭据与已注册用户提交的身份认证凭据进行匹配，若用户提交的身份认证凭据匹配，则跳转步骤S304；

S304，判定用户登录验证通过。

可选地，步骤S302中还包括在用户ID不存在时进行登陆失败处理，步骤S303中还包括在用户提交的身份认证凭据不匹配时进行登陆失败处理；所述登陆失败处理包括：累计当前用户ID的认证失败次数，判断当前用户ID的认证失败次数是否达到认证失败极限次数，如果未达到认证失败极限次数，则返回认证失败信息，并提示用户重新提交身份认证凭据，结束并退出；如果已达到认证失败次数极限，则冻结当前用户，并开始倒计时，当达到冻结时间后解除冻结，提示用户重新提供身份认证凭据，结束并退出。

可选地，步骤S101之前还包括进行用户初始化的步骤：

S401，接收用户提交的认证凭据，所述认证凭据包括身份信息和登陆凭据；

S402，为用户生成用户ID；

S403，检测用户ID是否可用，若用户ID不可用则返回当前ID不可用的错误提示，跳转步骤S402；否则，将认证凭据中的身份信息和登陆凭据绑定注册到该用户ID下；

S404，为用户生成初始的访问控制权限ACL，根据用户的用户ID和初始的访问控制权限ACL以及用户接入设备HID生成用户信任证明C，将用户信任证明C、系统当前的可信度量码ξ采用预设的编码函数进行编码得到编码结果/>以作为用户的令牌，将用户的令牌以只读方式存储，所有者为ROOT用户；

S405，通过交互获取用户所需关联的其他身份认证凭据，若得到用户输入的其他身份认证凭据，则将用户提交的其他身份认证凭据绑定注册到该用户ID下；若用户不需要关联其他身份认证凭据，则结束并退出。

可选地，步骤S405之后还包括指定的系统进程为发出权限更新请求的用户更新访问控制权限ACL的步骤：

S501，从权限更新请求中提取出用户ID；

S502，判断该用户ID是否存在，若用户ID存在，则跳转步骤S503；若用户ID不存在则返回当前ID不存在的错误提示，结束并退出；

S503，读取该用户ID对应的令牌，

S504，从令牌中获取登陆用户的访问控制列表ACL并输出；

S505，通过交互获取管理员更新后的访问控制列表ACL，根据用户的用户ID和管理员更新后的访问控制权限ACL以及用户接入设备HID生成用户信任证明C，将用户信任证明C、系统当前的可信度量码ξ采用预设的编码函数进行编码得到编码结果/>以替换用户的原始令牌。

此外，本发明还提供一种操作系统平台的统一身份认证装置，包括相互连接的微处理器和存储器，所述微处理器被编程或配置以执行所述操作系统平台的统一身份认证方法。

此外，本发明还提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，所述计算机程序用于被微处理器编程或配置以执行所述操作系统平台的统一身份认证方法。

此外，本发明还提供一种计算机程序产品，包括计算机程序/指令，该计算机程序/指令被微处理器编程或配置以所述操作系统平台的统一身份认证方法。

和现有技术相比，本发明主要具有下述优点：

1、本发明提供了一种基于用户信任证明传递机制的一体化用户身份认证系统。利用该系统，用户仅需要进行一次身份认证，即可轻松访问可信域内的各类业务系统，而无需反复进行用户身份认证。

2、本发明充分考虑了各类安全问题，在确保系统安全、可靠的基础上，提供了一种高效、便捷、有效的统一身份认证方式，且不同于传统的单点登录技术，本实施例方法充分利用国产操作系统可信的优势，在可信域内提供最大的访问控制权限，为用户提供了一个方便、安全的一体化业务平台。

附图说明

图1为本发明实施例方法的基本流程示意图。

图2为本发明实施例中操作系统平台的统一身份认证系统的总体框架图。

图3为本发明实施例中用户身份认证初始化流程图。

图4为本发明实施例中用户身份认证与信任证明生成流程图。

图5为本发明实施例中为用户统一身份认证与信任证明传递流程图。

图6为本发明实施例中用户信任证明的管理与维护流程图。

图7为本发明实施例中系统用户管理与维护流程图。

具体实施方式

如图1所示，本实施例操作系统平台的统一身份认证方法包括：

S101，根据用户请求进行用户登录验证；

S102，当登陆用户需要访问可信域内的业务系统时，验证登陆用户的令牌的完整性，若登陆用户的令牌完整，则从令牌中获取登陆用户的访问控制列表ACL，若访问控制列表ACL允许访问该业务系统时，则将登陆用户的令牌传递至业务系统以实现统一身份认证。

图2为本实施例中操作系统平台的统一身份认证系统的总体框架图。本实施例中操作系统平台的统一身份认证系统包含了用于完成多种认证方式并存的统一认证服务模块、用于实现一次认证可信域内免登录的认证授权模块、用于系统安全防护的用户行为实时监控模块等。各个模块的主要功能描述如下：统一认证服务模块主要负责完成用户首次登录系统时的用户身份凭据提取与验证。为提供更加方便、快捷和安全的统一身份认证服务，本实施例方法支持多种用户身份凭据(即登录方式)，这些分别由口令认证、证书认证、生物特征认证、手机凭据认证等模块负责实现。认证授权模块主要负责完成用户信任证明的生成与传递，从而实现一次登录即可访问可信域内的所有业务系统。其中，系统登录模块负责用户首次登入系统后的各项初始化功能；业务系统身份认证模块负责实现用户信任证明的传递，从而实现对可信域内各业务系统的访问，包括各类C/S应用以及Web应用；用户权限管理模块用于动态调整用户权限，以及实现对可信域内不同应用系统的授权与访问。用户行为实时监控模块用于对用户行为的进行实时监控与审计，以确保系统安全，同时处理可能遇到的安全事件，以及事后分析。本模块依赖于国产自主可控操作系统的审计功能实现。

参见图2可知，本实施例中操作系统平台的用户登录验证方式包括口令认证、证书认证、生物(指纹、虹膜等)特征认证，专用于手机平台的手机凭据认证包括手机指纹、手机人脸和二维码。这些认证方式接入统一认证服务，可由统一认证服务调用进行用户登录验证，然后进行认证授权，以支撑上层的业务，包括用户权限管理、C/S应用、Web应用、系统登陆以及业务系统身份认证等。同时，包括了用户行为实时监控模块用于实时监控用户行为以用于审计。身份认证是本发明统一身份认证的核心功能之一，也是本实施例方法所有应用的基础。本实施例方法针对不同应用场景、不同安全等级要求，给出了多种用户身份认证方式并存有解决方案。用户在系统初始化时，首先要完成注册并获得唯一的用户身份标识(用户ID)，以及与之对应的口令。接下来，用户在每次重新进入系统之前，均需要进行身份认证，即用户提交用户ID和口令至系统，系统将收到的用户ID和口令与内部身份认证表进行对比查询，如果匹配则通过认证，同时记录认证信息，如果不通过则累计当前认证次数，同时返回认证失败结果，如果用户未注册则返回用户身份未注册信息，同时累计系统认证失败次数。为防止系统被暴力破解，当前用户认证失败次数累计达到上限后，将冻结该用户ID，一定时间后解除冻结，且冻结时间随用户认证失败次数以及被冻结次数以指数级增长，防止用户身份信息及相关用户数据泄露。如果系统认证失败次数累计达到上限后，系统将暂停用户身份认证功能，并将整个系统置为不可访问状态，以确保系统和用户数据安全，一定时间后解除冻结状态，冻结时间同样随着认证失败次数以及被冻结次数以指数级增长。解除冻结需要超级管理员或者特殊辅助硬件设备(如UKEY等)。为满足不同应用场景、不同安全等级等的要求，本实施例方法给出了多种用户身份认证解决方案，包括口令认证、数字签名、生物特征认证，以及手机凭据认证等方式。用户可在系统初始化时，根据需要添加多种身份认证方式，也可在后续使用过程中，添加新的身份认证方式，前提是已经通过系统身份认证。所有的身份认证方式都是基于用户身份(即用户ID)实现的，多种认证方式并存时，也是以用户身份为基础进行认证凭据注册。当用户进行身份认证时，同样需要提交用户ID和认证凭据，只是随着身份认证方式的不同，用户认证凭据的载体不同，认证方式与前文一致。本实施例方法的目的是提供统一身份认证服务，实现可信域内一次登录、全业务系统通行的访问控制机制。不同于普通的单点登录技术，本实施例方法通过对用户身份的可信性进行传递，从而实现统一身份认证以及可信域内不同业务系统之间的免登录访问，而非单点登录的用户身份凭据加密传输模式。用户完成身份认证，即完成了用户信任关系证明，系统会将这种信任关系证明存储下来，用于用户在系统登录期间的所有身份认证的证明。用户信任证明仅在用户登录系统且未注销登录这段时间内，被系统进程管理并存储于系统目录中，用户信任证明的管理与用户本身是相互分离的，完全由系统进程维护，以确保系统安全。用户登录系统时，需要提供身份认证凭据，即前文所描述的不同认证方式。一旦通过系统身份认证后，系统进程首先访问用户权限管理系统，根据用户ID查询用户在可信域内的访问权限ACL，然后与用户ID、登录时间等信息一起构成用户信任证明，然后利用前文描述的编码函数将用户信任证明编码成用户令牌，然后以只读权限存储于系统目录内。用户信任证明只能存在于用户登入系统期间，一旦发生用户注销，或者用户长时间未使用系统而触发系统锁定等操作，用户信任证明将同时被注销，以确保系统安全，本过程为用户信任证明生命周期管理。用户信任证明是统一身份认证的核心，而用户访问可信域内的其他业务系统时是通过用户信任证明的传递实现的身份认证。为确保系统安全，本实施例方法将用户信任证明的传递限制在系统内部，以减少由于传递可能导致的风险。传递的只是访问该业务系统的访问凭证。系统安全审计提供了一种记录系统安全信息的方法，当系统内存在安全事件或者违反安全原则时发出警告信息，也为后续处理安全事件提供必要的依据和支持。系统安全审计的信息包括：可被审计的事件名称、事件状态(成功或失败)和安全信息等。审计系统可以将记录系统内部发生的事件的信息根据用户的需求，提供不同的报表功能，从而实现对系统信息的追踪、审查、统计和报告等功能。系统安全审计是统一身份认证的一个重要内容，它为系统进行事故原因的查询、定位、事故发生前的预测报警以及事故发生后的实时处理提供详细可靠的依据或支持。安全审计机制创建和维护被保护客体的访问记录，并能阻止非授权的用户对这些记录进行访问或破坏。本实施例方法的目标是提供一种方便、快捷、安全、可靠的业务平台，实现用户一次身份认证在可信域内畅行无阻，访问可信域内的其他业务系统时只要有相应的权限，无需反复进行身份认证。为防止因用户信任证明被劫持而导致的安全事件，系统在用户活动期间会对其行为进行实时监控，特别是针对其越权行为、访问核心目录等异常行为进行实时审计，并及时阻止异常行为，超出系统设定阈值将直接冻结该用户。本实施例中，进行系统用户管理的功能主要目的是解决用户因遗忘密码导致系统无法使用的问题，虽然本实施例方法提供了多种用户身份认证方式，但结合用户使用习惯以及产品售后维护统计信息可以发现，该问题依然存在且需要一个方便有效的解决方案。基于此，本实施例提供了一种基于ROOT用户的系统用户管理功能模块。用户身份认证信息的所有者是ROOT用户，故利用ROOT用户来管理是一种有效的手段。为确保系统整体安全，本实施例中该模块的工作过程是完全离线的，即需要本地操作完成。此外，本实施例还为ROOT用户配置了超强密码和加密功能，利用ROOT用户进行系统用户管理需要结合专用的硬件设备(如UKEY)，且对每一步操作均需要进行实时可信度量，以防止因ROOT用户被破解而导致系统被攻破，确保系统整体安全可靠。在系统进行统一身份认证的时候，需要确认该用户是否具有访问可信域内某业务系统的权限，即检查用户的访问控制列表ACL。本模块的主要功能是管理并维护用户对应的访问控制列表ACL。首先，用户在系统初始化注册的过程中，同时也会在用户权限管理系统中进行注册，同时生成该用户ID对应的访问控制列表。为确保系统安全，新用户的访问控制列表按照最小化原则进行初始化。接下来，随着用户使用需要的不断变化，动态调整该用户的访问控制列表权限，对新需要进行授权的同时，回收长期不使用的权限。最后，发生用户注销的同时，也会注销该用户ID对应的访问控制列表ACL。

本实施例步骤S102包括当登陆用户需要访问可信域内的业务系统时，由用户进程向指定的系统进程发出访问请求，所述指定的系统进程响应访问请求的操作包括：

S201，根据登陆用户的用户ID查询登陆用户对应的令牌；

S202，验证登陆用户的令牌的完整性，若登陆用户的令牌完整，则跳转步骤S203；若登陆用户的令牌不完整，则提示当前系统存在安全风险，冻结当前登陆用户，锁定系统并返回到用户登录界面，结束并退出；

S203，从登陆用户的令牌中获取登陆用户的访问控制列表ACL；

S204，根据访问控制列表ACL判断用户是否有针对业务系统的访问权限，若没有访问权限，则返回无访问权限错误提示信息结束并退出；否则跳转步骤S205；

S205，若访问控制列表ACL允许访问该业务系统时，则将登陆用户的令牌传递至业务系统以实现统一身份认证。

本实施例步骤S202中验证登陆用户的令牌的完整性包括：采用预设的解码函数ψ(·)对登陆用户的令牌T进行解码得到登陆用户的用户信任证明C，所述用户信任证明C中包含登陆用户的用户ID和访问控制权限ACL以及用户接入设备HID；将用户信任证明C、系统当前的可信度量码ξ(可利用可信度量技术提供的接口读取得到)采用预设的编码函数进行编码得到编码结果/>若编码结果/>和登陆用户的令牌T相同，则判定用户的令牌完整，否则判定用户的令牌不完整。

用户信任证明C(Credit)是统一身份认证服务的载体，后续可信域内的其他业务系统认证时均需要利用该信息。本实施例提出了一种“编码-解码”方法，首先将用户信任证明编码至一个低维、可度量的向量中，本实施例称该向量为令牌T，然后进行存储和传递，同时进行可信性度量。需要进行统一身份认证时，再从令牌T中解码出用户ID、认证凭据等信息，完成身份认证。且该“编码-解码”方法是一对一的映射，即一个用户信任证明能够唯一编码到一个令牌，同样一个令牌也能够唯一解码成一个用户信任证明。可表示为：

C＝{UID,ACL,HID}，

其中，C为用户信任证明，包含了用户UID、访问控制权限ACL、用户接入设备HID等信息，ξ为可信度量码，T为令牌，和ψ(·)分别是编码函数和解码函数，且互为反函数。令牌T的存储非常关键，需要保证其完整性、可用性、安全性等，这样才能确保整个系统及用户数据的安全。为防止被修改或破坏，本实施例中令牌T以只读方式存储于系统目录内，而且其拥有者为ROOT用户。此外，令牌T的存储、提取、解码等操作均由系统进程处理，用户进程无访问令牌T的权限。利用这种方式，将用户的令牌T与用户本身剥离开来进行分别存储和维护，以确保整体系统安全。为确保当前用户身份认证时使用的令牌是合法的，需要在认证之前对其进行可信度量。令牌编码过程中，已经加入了本次系统启动以来的可信度量码ξ，故这里只需要对其进行可信度量，即可确定该令牌是否是合法且完整的。由于令牌的读取等操作均由系统进程完成，一定程度上确保了令牌的可靠性与合法性。当用户需要访问可信域内的其他业务系统时，就需要进行统一身份认证。此时，系统进程会根据用户ID提取到该用户对应的令牌，由于此时的业务系统可能不在本地，需要将该令牌传递至远端业务系统进行验证。尽管业务系统处于可信域内，传递的过程也需要保证令牌本身的安全。因此，可信域内的业务系统身份认证也将在本地完成，完成后将生成业务系统访问凭证。收到用户访问凭证后，首先对其进行校验，校验通过后完成身份认证，提供具体服务。

本实施例步骤S101中根据用户请求进行用户登录验证包括：

S301，接收用户提交的认证凭据，所述认证凭据包括身份信息和登陆凭据；

S302，根据认证凭据中的身份信息检索用户ID，若用户ID存在，则跳转步骤S303；

S303，将认证凭据中的登陆凭据与已注册用户提交的身份认证凭据进行匹配，若用户提交的身份认证凭据匹配，则跳转步骤S304；

S304，判定用户登录验证通过。

图4是本实施例中用户身份认证与信任证明生成流程，本流程是用户完成统一身份认证的详细过程描述，具体如下：1、用户登录系统之前，需要首先提交身份认证凭据，前提是用户已经注册了该身份谁凭据；2、系统根据用户提交的身份认证凭据，提取出用户ID并进行检索，并根据检索结果进行分支处理：如果该用户ID不存在，则首先累计认证失败次数，然后判断认证失败次数是否累积至极限，如果未达到认证失败极限次数则返回用户不存在认证失败提示信息，请用户重新提供用户身份认证凭据；如果已达到累积极限，则说明系统可能处于安全风险中，系统会被冻结以确保整体安全，同时开始倒计时，当达到冻结时间后，恢复系统提示用户重新提供身份认证凭据；如果该用户ID存在，则匹配认证列表中该ID对应的用户凭据，如果匹配失败，则累计当前用户ID认证失败次数，如果未达到认证失败极限次数，则返回认证失败信息，并提示用户重新提交身份认证凭据；如果已达到认证失败次数极限，则冻结当前用户，并开始倒计时，当达到冻结时间后解除冻结，提示用户重新提供身份认证凭据。3、用户身份凭据验证匹配通过，系统将访问用户权限管理系统，获取当前用户的访问控制列表ACL，接下来生成用户信任证明与令牌，至此用户身份认证过程结束，用户登录系统成功。

本实施例步骤S302中还包括在用户ID不存在时进行登陆失败处理，步骤S303中还包括在用户提交的身份认证凭据不匹配时进行登陆失败处理；所述登陆失败处理包括：累计当前用户ID的认证失败次数，判断当前用户ID的认证失败次数是否达到认证失败极限次数，如果未达到认证失败极限次数，则返回认证失败信息，并提示用户重新提交身份认证凭据，结束并退出；如果已达到认证失败次数极限，则冻结当前用户，并开始倒计时，当达到冻结时间后解除冻结，提示用户重新提供身份认证凭据，结束并退出。

用户在系统初始化的时候需要注册其身份信息，才能够正常登录进入系统。如图3所示，本实施例步骤S101之前还包括进行用户初始化的步骤：

S401，接收用户提交的认证凭据，所述认证凭据包括身份信息和登陆凭据；

S402，为用户生成用户ID(全局唯一)；

S403，检测用户ID是否可用，若用户ID不可用则返回当前ID不可用的错误提示，跳转步骤S402；否则，将认证凭据中的身份信息和登陆凭据绑定注册到该用户ID下；

S404，为用户生成初始的访问控制权限ACL，根据用户的用户ID和初始的访问控制权限ACL以及用户接入设备HID生成用户信任证明C，将用户信任证明C、系统当前的可信度量码ξ采用预设的编码函数进行编码得到编码结果/>以作为用户的令牌，将用户的令牌以只读方式存储，所有者为ROOT用户；

S405，通过交互获取用户所需关联的其他身份认证凭据，若得到用户输入的其他身份认证凭据，则将用户提交的其他身份认证凭据绑定注册到该用户ID下；若用户不需要关联其他身份认证凭据，则结束并退出。

参见图2，检测用户ID是否可用是，如果不可用则返回当前ID不可用错误提示，系统将重新生成用户ID，直至可用为止；如果可用，则注册该ID至用户权限管理系统，同时生成与其对应的访问控制列表ACL，并返回该访问控制列表ACL；系统收到ACL后，将生成用户信任证明及用户令牌，并以只读方式存储于系统目录，所有者为ROOT用户；最后查询用户是否关联其他身份认证凭据，如果用户希望增加登录方式，则提示用户输入身份认证凭据，如图2中所描述的各种身份认证方式，然后将该身份认证凭据关联至该用户ID，同时写入认证列表，再次查询用户是否关联新的凭据，如果没有则结束当前初始化流程。

本实施例步骤S405之后还包括指定的系统进程为发出权限更新请求的用户更新访问控制权限ACL的步骤：

S501，从权限更新请求中提取出用户ID；

S502，判断该用户ID是否存在，若用户ID存在，则跳转步骤S503；若用户ID不存在则返回当前ID不存在的错误提示，结束并退出；

S503，读取该用户ID对应的令牌，

S504，从令牌中获取登陆用户的访问控制列表ACL并输出；

S505，通过交互获取管理员更新后的访问控制列表ACL，根据用户的用户ID和管理员更新后的访问控制权限ACL以及用户接入设备HID生成用户信任证明C，将用户信任证明C、系统当前的可信度量码ξ采用预设的编码函数进行编码得到编码结果/>以替换用户的原始令牌。

图5是本实施例用户统一身份认证与信任证明传递流程：首先，当用户需要访问可信域内的业务系统时，会触发身份认证请求，此时系统将根据用户ID查询当前用户对应的令牌，同时对该令牌进行可信度量，检测其完整性。如果该令牌可信度量失败，则说明当前系统可能处于安全事件中，第一时间发出安全风险提示，同时冻结当前用户，锁定系统并返回到用户登录界面，以确保系统整体安全，该过程结束；如果可信度量成功，则利用步骤2中所描述的过程获取该用户的访问控制列表，同时查询其是否拥有访问该业务系统的权限。如果没有访问权限，则返回无访问权限错误提示信息，结束该过程；如果有访问权限，则利用步骤3所描述的过程，生成用户访问凭证，传递至对应的业务系统，完成访问业务系统的统一身份认证，过程结束。

图6是本实施例用户信任证明的管理与维护流程图。用户信任证明是统一身份认证的载体与核心，为确保系统安全需要定时对该证明进行安全管理与可信度量。此外，为确保安全用户的访问控制列表均按最小化原则进行初始化，使用过程中按需分配权限，并及时回收不使用权限。该流程主要用于完成上述功能。系统首先获得当前用户的ID，然后查询该用户的状态，如果该用户未处于登录状态，则查询该用户的信任证明，如果存在则需要注销该信任证明，然后结束当前流程；如果不存在，则当前系统状态正常，结束当前流程。如果该用户处于登录状态，则在获取其信任证明后，对其进行可信度量，检测该信任证明是否完整。如果可信度量成功，则当前系统状态正常，结束当前流程；如果可信度量失败，则系统当前可能处于风险事件中，立即发出安全风险提示，同时冻结当前用户并删除信任证明，锁定系统并返回用户登录界面，流程结束。

图7是本实施例系统用户管理与维护流程图。该流程是用户权限管理系统的主要业务流程，且该系统独立于用户系统存在，是面向可信域内所有业务平台和用户系统的权限管理与维护。具体流程可以分成两类，一类是用户注册流程，另一类是用户权限变更流程。用户注册流程：系统收到用户注册申请时，首先提取用户ID，然后检测该ID是否存在；如果该申请ID已经存在，则返回当前用户ID不可用错误提示，系统注册流程会重新生成用户ID，重复本流程；如果该申请ID不存在，则当前ID可用，在系统中注册该ID，创建该ID对应的访问控制列表ACL并返回，流程结束。用户权限变更流程：当系统收到用户权限变更申请时，首先提取用户ID，然后在系统中检索该ID，如果申请ID不存在，则返回当前ID不存在错误提示，结束当前流程；如果申请ID存在，则提取该ID对应的访问控制列表ACL，并根据申请权限进行修改，流程结束。

综上所述，本实施例方法实现了一种新的统一用户身份认证方法，利用信任链传递技术实现一次登录、全业务系统通行的访问机制，实现可信域内业务系统之间的统一身份认证，用户仅需要在登录操作系统的时候进行一次身份认证，而不需要多次身份认证，利用该方法用户可以实现在可信域内一次认证、畅行无阻的办公和工作模式。本实施例方法中基于可信度量技术的用户可信证明的传递，所涉及的对象是操作系统中的用户而非具体应用级的用户，在为访问控制和安全审计打下坚实的基础的同时，为用户提供安全、可靠、便捷、高效的保障，可适用于包括国产自主可控操作系统平台在内的各类支持可信度量技术的计算机平台。本实施例方法不依赖于用户登录验证的具体认证方式，针对不同安全级别的应用场景，能够支持密码认证、证书认证、生物特征认证、手机凭据认证等多重认证方式，提升统一身份认证的便携性和高效性；为确保用户业务及数据安全，在运行过程中也可以进行全生命周期的用户行为审计。

此外，本实施例还提供一种操作系统平台的统一身份认证装置，包括相互连接的微处理器和存储器，所述微处理器被编程或配置以执行所述操作系统平台的统一身份认证方法。此外，本实施例还提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，所述计算机程序用于被微处理器编程或配置以执行所述操作系统平台的统一身份认证方法。此外，本实施例还提供一种计算机程序产品，包括计算机程序/指令，该计算机程序/指令被微处理器编程或配置以所述操作系统平台的统一身份认证方法。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可读存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述仅是本发明的优选实施方式，本发明的保护范围并不仅局限于上述实施例，凡属于本发明思路下的技术方案均属于本发明的保护范围。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理前提下的若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (10)

1.一种操作系统平台的统一身份认证方法，其特征在于，包括：

S101，根据用户请求进行用户登录验证；

S102，当登陆用户需要访问可信域内的业务系统时，验证登陆用户的令牌的完整性，若登陆用户的令牌完整，则从令牌中获取登陆用户的访问控制列表ACL，若访问控制列表ACL允许访问该业务系统时，则将登陆用户的令牌传递至业务系统以实现统一身份认证。

2.根据权利要求1所述的操作系统平台的统一身份认证方法，其特征在于，步骤S102包括当登陆用户需要访问可信域内的业务系统时，由用户进程向指定的系统进程发出访问请求，所述指定的系统进程响应访问请求的操作包括：

S201，根据登陆用户的用户ID查询登陆用户对应的令牌；

S202，验证登陆用户的令牌的完整性，若登陆用户的令牌完整，则跳转步骤S203；若登陆用户的令牌不完整，则提示当前系统存在安全风险，冻结当前登陆用户，锁定系统并返回到用户登录界面，结束并退出；

S203，从登陆用户的令牌中获取登陆用户的访问控制列表ACL；

S204，根据访问控制列表ACL判断用户是否有针对业务系统的访问权限，若没有访问权限，则返回无访问权限错误提示信息结束并退出；否则跳转步骤S205；

S205，若访问控制列表ACL允许访问该业务系统时，则将登陆用户的令牌传递至业务系统以实现统一身份认证。

3.根据权利要求1所述的操作系统平台的统一身份认证方法，其特征在于，步骤S202中验证登陆用户的令牌的完整性包括：采用预设的解码函数ψ(·)对登陆用户的令牌T进行解码得到登陆用户的用户信任证明C，所述用户信任证明C中包含登陆用户的用户ID和访问控制权限ACL以及用户接入设备HID；将用户信任证明C、系统当前的可信度量码ξ采用预设的编码函数进行编码得到编码结果/>若编码结果/>和登陆用户的令牌T相同，则判定用户的令牌完整，否则判定用户的令牌不完整。

4.根据权利要求1所述的操作系统平台的统一身份认证方法，其特征在于，步骤S101中根据用户请求进行用户登录验证包括：

S301，接收用户提交的认证凭据，所述认证凭据包括身份信息和登陆凭据；

S302，根据认证凭据中的身份信息检索用户ID，若用户ID存在，则跳转步骤S303；

S303，将认证凭据中的登陆凭据与已注册用户提交的身份认证凭据进行匹配，若用户提交的身份认证凭据匹配，则跳转步骤S304；

S304，判定用户登录验证通过。

5.根据权利要求4所述的操作系统平台的统一身份认证方法，其特征在于，步骤S302中还包括在用户ID不存在时进行登陆失败处理，步骤S303中还包括在用户提交的身份认证凭据不匹配时进行登陆失败处理；所述登陆失败处理包括：累计当前用户ID的认证失败次数，判断当前用户ID的认证失败次数是否达到认证失败极限次数，如果未达到认证失败极限次数，则返回认证失败信息，并提示用户重新提交身份认证凭据，结束并退出；如果已达到认证失败次数极限，则冻结当前用户，并开始倒计时，当达到冻结时间后解除冻结，提示用户重新提供身份认证凭据，结束并退出。

6.根据权利要求5所述的操作系统平台的统一身份认证方法，其特征在于，步骤S101之前还包括进行用户初始化的步骤：

S401，接收用户提交的认证凭据，所述认证凭据包括身份信息和登陆凭据；

S402，为用户生成用户ID；

S403，检测用户ID是否可用，若用户ID不可用则返回当前ID不可用的错误提示，跳转步骤S402；否则，将认证凭据中的身份信息和登陆凭据绑定注册到该用户ID下；

S404，为用户生成初始的访问控制权限ACL，根据用户的用户ID和初始的访问控制权限ACL以及用户接入设备HID生成用户信任证明C，将用户信任证明C、系统当前的可信度量码ξ采用预设的编码函数进行编码得到编码结果/>以作为用户的令牌，将用户的令牌以只读方式存储，所有者为ROOT用户；

S405，通过交互获取用户所需关联的其他身份认证凭据，若得到用户输入的其他身份认证凭据，则将用户提交的其他身份认证凭据绑定注册到该用户ID下；若用户不需要关联其他身份认证凭据，则结束并退出。

7.根据权利要求6所述的操作系统平台的统一身份认证方法，其特征在于，步骤S405之后还包括指定的系统进程为发出权限更新请求的用户更新访问控制权限ACL的步骤：

S501，从权限更新请求中提取出用户ID；

S502，判断该用户ID是否存在，若用户ID存在，则跳转步骤S503；若用户ID不存在则返回当前ID不存在的错误提示，结束并退出；

S503，读取该用户ID对应的令牌，

S504，从令牌中获取登陆用户的访问控制列表ACL并输出；

S505，通过交互获取管理员更新后的访问控制列表ACL，根据用户的用户ID和管理员更新后的访问控制权限ACL以及用户接入设备HID生成用户信任证明C，将用户信任证明C、系统当前的可信度量码ξ采用预设的编码函数进行编码得到编码结果/>以替换用户的原始令牌。

8.一种操作系统平台的统一身份认证装置，包括相互连接的微处理器和存储器，其特征在于，所述微处理器被编程或配置以执行权利要求1～7中任意一项所述操作系统平台的统一身份认证方法。

9.一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，其特征在于，所述计算机程序用于被微处理器编程或配置以执行权利要求1～7中任意一项所述操作系统平台的统一身份认证方法。

10.一种计算机程序产品，包括计算机程序/指令，其特征在于，该计算机程序/指令被微处理器编程或配置以执行权利要求1～7中任意一项所述操作系统平台的统一身份认证方法。