CN118157900A - 身份认证方法、装置、电子设备及存储介质 - Google Patents

Abstract

本发明实施例提供了一种身份认证方法、装置、电子设备及可读存储介质，涉及网络通信技术领域，本发明提供的身份认证方法中，分层级部署的网络，每层级的服务器的证书由其上一层级的服务器颁发，从而形成证书链，建立同一可信设备根证书的级联证书信任体系，保证网络内任一合法终端证书均可依据完整的证书路径被验证。第一层级服务器收到终端的认证申请时，确认为终端签发签名证书的第二层级服务器；按照层级由底层向顶层的方向，确认第一层级服务器和第二层级服务器的第一个共同上级服务器为目标服务器；使用第一层级服务器至目标服务器经过的所有中间层级服务器的验证信息以及目标服务器的验证信息，对认证申请对应的终端签名证书依次进行验证。

Description

身份认证方法、装置、电子设备及存储介质

技术领域

本发明涉及网络通信技术领域，特别是涉及一种身份认证方法、装置、电子设备及存储介质。

背景技术

目前视联网以自治域为最小单元系统，每个自治域内部署综合管理服务系统及密码服务系统，综合管理服务系统和密码服务系统相互配合管理本自治域内所有终端类设备的身份认证。

在实际应用过程中，存在跨域加密会议等场景的业务需求，然而在目前视联网中，无法实现终端的跨域身份认证，如自治域A内终端A想参加自治域B发起的视频会议，因自治域A和自治域B之间的数字证书无法相互信任、证书状态无法验证等原因，自治域B内综合管理服务系统B无法对终端A进行身份认证，导致实际上难以实现跨域加密视频会议。

由此可见，目前亟需一种新的身份认证方法，以实现视联网终端跨域身份认证。

发明内容

鉴于上述问题，提出了本发明实施例，以便提供一种克服上述问题或者至少部分地解决上述问题的一种身份认证方法、装置、电子设备及存储介质。

为了解决上述问题，第一方面，本发明实施例公开了一种身份认证方法，应用于分层级部署的网络，所述网络包括从顶层至底层逐层级连的多个服务器，其中，按照从底层至顶层的方向，每层级的服务器的证书由其上一层级的服务器颁发；所述方法包括：

第一层级服务器收到终端发起的认证申请时，确认为所述终端签发签名证书的第二层级服务器；

按照层级由底层向顶层的方向，确认所述第一层级服务器和第二层级服务器的第一个共同的上级服务器为目标服务器；

使用所述第一层级服务器至所述目标服务器经过的所有中间层级服务器的验证信息以及所述目标服务器的验证信息，对所述认证申请对应的终端签名证书依次进行验证；

在验证均通过的情况下，通知所述终端身份认证成功。

可选地，所述方法还包括：

对所述认证申请对应的终端签名证书进行验证，得到所述终端签名证书的证书路径；

所述使用所述第一层级服务器至所述目标服务器经过的所有中间层级服务器的验证信息以及所述目标服务器的验证信息，对所述认证申请对应的终端签名证书依次进行验证，包括：

使用所述目标服务器的根证书公钥逐层验证该证书路径上的各个证书。

可选地，

所述第一层级服务器收到终端发起的认证申请时，确认为所述终端签发签名证书的第二层级服务器后，所述方法还包括：

所述第一层级服务器与所述第二层级服务器进行互认证；

互认证通过后，对所述认证申请对应的终端签名证书进行验证，得到所述终端签名证书的证书路径。

可选地，所述方法还包括：

根据预先获取的证书吊销信息，对所述证书路径的有效性进行验证；

验证通过的情况下，通知所述终端身份认证成功。

可选地，所述互认证通过后，对所述认证申请对应的终端签名证书进行验证，包括：

第一层级服务器向所述终端发送身份认证申请，所述身份认证申请携带所述第一层级服务器产生的随机数；

接收所述终端发送的身份认证请求，所述身份认证请求携带签名值，所述签名值是基于所述终端的签名证书和所述随机数生成的；

基于所述身份认证请求携带的签名值解析得到签名证书。

第二方面，本发明实施例公开了一种身份认证装置，应用于分层级部署的网络，所述网络包括从顶层至底层逐层级连的多个服务器，其中，按照从底层至顶层的方向，每层级的服务器的证书由其上一层级的服务器颁发；所述装置包括：

第一确认模块，用于第一层级服务器收到终端发起的认证申请时，确认为所述终端签发签名证书的第二层级服务器；

第二确认模块，用于按照层级由底层向顶层的方向，确认所述第一层级服务器和第二层级服务器的第一个共同的上级服务器为目标服务器；

验证模块，用于使用所述第一层级服务器至所述目标服务器经过的所有中间层级服务器的验证信息以及所述目标服务器的验证信息，对所述认证申请对应的终端签名证书依次进行验证；

通知模块，用于在验证均通过的情况下，通知所述终端身份认证成功。

可选地，所述装置还包括：

第一证书路径确认模块，用于对所述认证申请对应的终端签名证书进行验证，得到所述终端签名证书的证书路径；

所述验证模块，具体用于：

使用所述目标服务器的根证书公钥逐层验证该证书路径上的各个证书。

可选地，

所述装置还包括：

互认证模块，用于所述第一层级服务器与所述第二层级服务器进行互认证；

第二证书路径确认模块，用于互认证通过后，对所述认证申请对应的终端签名证书进行验证，得到所述终端签名证书的证书路径。

可选地，所述装置还包括：

有效性验证模块，用于根据预先获取的证书吊销信息，对所述证书路径的有效性进行验证；

通知模块，具体用于验证通过的情况下，通知所述终端身份认证成功。

可选地，所述证书路径确认模块，具体用于：

第一层级服务器向所述终端发送身份认证申请，所述身份认证申请携带所述第一层级服务器产生的随机数；

接收所述终端发送的身份认证请求，所述身份认证请求携带签名值，所述签名值是基于所述终端的签名证书和所述随机数生成的；

基于所述身份认证请求携带的签名值解析得到签名证书。

第三方面，本发明实施例还公开了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如本发明第一方面所述的方法中的步骤。

第四方面，本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如本发明第一方面所述的方法中的步骤。

本发明实施例提供的身份认证方法中，分层级部署的网络，包括从顶层至底层逐层级连的多个服务器，其中，按照从底层至顶层的方向，每层级的服务器的证书由其上一层级的服务器颁发，从而形成证书链，建立同一可信设备(顶层的服务器)根证书的级联证书信任体系，保证网络内任一合法终端证书均可依据完整的证书路径被验证。具体的，第一层级服务器收到终端发起的认证申请时，确认为所述终端签发签名证书的第二层级服务器；按照层级由底层向顶层的方向，确认所述第一层级服务器和第二层级服务器的第一个共同的上级服务器为目标服务器；使用所述第一层级服务器至所述目标服务器经过的所有中间层级服务器的验证信息以及所述目标服务器的验证信息，对所述认证申请对应的终端签名证书依次进行验证；在验证均通过的情况下，通知所述终端身份认证成功。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例的描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明的一种身份认证方法中涉及的视联网网络架构的结构示意图；

图2是本发明的一种身份认证方法实施例的步骤流程图；

图3本发明的一种身份认证方法示例性实施例的流程示意图；

图4本发明的一种身份认证方法示例性实施例的流程示意图；

图5本发明的一种身份认证装置实施例的结构框图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

本发明实施例中，以所述分层级部署的网络为视联网为例进行说明，视联网中包括多个分层级部署的自治域，每个自治域内部署有一个服务器，从而，各个服务器也是从顶层至底层逐层级连的。

可以理解，本发明实施例提供的身份认证方法可以应用于所有分层级部署的网络。

首先对本发明实施例中涉及的网络架构进行说明，如图1所示，其示出了本发明实施例的一种身份认证方法中涉及的网络架构的结构示意图，该网络成分层级部署，包括从顶层至底层逐层级连的多个服务器。以视联网为例，视联网可以由多个视联网自治域组成，每个自治域配置有至少一个服务器，其上部署有密码服务系统和综管系统，其中，中综管系统用于发起跨域视频会议业务申请和签名证书验证，密码服务系统用于进行本自治域内的签名证书签发和吊证证书信息管理，从而各个服务器从顶层到底层逐层级连接，示例地，可以类似于全国行政区划分级，以省、市、区县为不同层级进行逐层级划分与连接。

本发明实施例中，如图1所示，具体可以包括：顶层服务器、二层服务器、三层服务器......等N层服务器，为了便于说明，图1中仅示出顶层服务器、二层服务器和三层服务器，可以理解其他层级的自治域配置方式和连接方式可以类推。本发明实施例中，整个网络的网络架构分层级部署，各个服务器逐层级连接，相应的，本发明实施例中，各个服务器上部署的密码服务系统也呈分层级部署，各个密码服务系统逐层级连接，如图1中的密码服务系统系统(一级)、密码服务系统系统(二级)、密码服务系统系统(三级)、等。

本发明实施例中，各个服务器的密码服务系统按照服务器的层级逐层级连接，并且，可以由上级服务器的密码服务系统颁发下级服务器的密码服务系统的根证书，形成证书链，建立同一可信设备(顶级服务器的密码服务系统)根证书的视联网跨域级联证书信任体系，保证视联网内任一合法终端证书均可依据完整的证书路径被验证。

本发明实施例中，各个密码服务系统在各自的自治域内可以作为可信终端，完成本自治域内的终端的签名证书颁发和认证。

本发明实施例中，各个自治域内均设置有终端(例如：参会终端、监控终端等)，各个终端与各自自治域内的密码服务系统相连接，以完成终端的签名证书注册和认证。

本发明实施例中，每个自治域内的密码服务系统均可以连接N个终端，为了便于说明，图1中仅示出密码服务系统连接的部分终端，可以理解，各个自治域内的密码服务系统均可以连接N个终端。

本发明实施例中，每个自治域内的密码服务系统可以处理本自治域内相连接的终端设备的身份认证工作，并且，各个自治域内的密码服务系统按照自治域的层级逐层级连接，并且，可以由上级自治域的密码服务系统颁发下级自治域的密码服务系统的根证书，形成证书链，从而第二自治域内的密码服务系统可以根据第一自治域的终端(跨域终端)的签名证书解析得到可信的完整证书路径，完成第一自治域的终端的身份认证，从而实现视联网跨域级联业务中终端的跨域身份认证。

以下，对本发明实施例提出的身份认证方法进行说明，参照图2，示出了本发明的一种身份认证方法实施例的步骤流程图，本发明实施例提供的身份认证方法可以包括以下步骤：

S201，第一层级服务器收到终端发起的认证申请时，确认为所述终端签发签名证书的第二层级服务器。

S202，按照层级由底层向顶层的方向，确认所述第一层级服务器和第二层级服务器的第一个共同的上级服务器为目标服务器。

S203，使用所述第一层级服务器至所述目标服务器经过的所有中间层级服务器的验证信息以及所述目标服务器的验证信息，对所述认证申请对应的终端签名证书依次进行验证。

S204，在验证均通过的情况下，通知所述终端身份认证成功。

示例的，在视联网场景下，本发明实施例中，第二自治域内的终端可以在确定需要加入第一自治域内的某视联网业务流程时，主动发送身份认证请求至第一自治域的服务器，该身份认证请求携带该终端的签名证书。

本发明实施例中，第一自治域内的服务器可以基于本自治域内的控制终端确定第二自治域内的某终端为需要邀请加入视联网业务(例如：视频会议业务)的终端，发送身份认证申请至该终端，再接受该终端发送的身份认证请求，并从该身份认证请求中获取该终端的签名证书。

本发明实施例中，在步骤S201中，第一层级服务器可以基于终端所属服务器，确定为所述终端签发签名证书的第二层级服务器。

本发明实施例中，在步骤S202中，第一层级服务器根据当前网络层级结构，将第一层级服务器和第二层级服务器的第一个共同的上级服务器为目标服务器。

本发明实施例中，在步骤S203中可以基于服务器预存的第一层级服务器至所述目标服务器经过的所有中间层级服务器的验证信息以及所述目标服务器的验证信息，对终端的签名证书中得到的证书路径依次进行验证。

从而可以确定终端的签名证书是否验证通过，在验证通过的情况下，确定所述终端的身份认证完成，进而可以将该终端添加到对应的视联网业务流程，执行对应的视联网业务流程。

具体的上述步骤S203可以包括：验证所述证书路径中是否包含所述目标层级服务器的根证书。

本发明实施例中，第一层级服务器可以基于自身的根证书的证书路径和解析出的终端的证书路径进行比对，确定该终端的证书路径中是否包含目标层级服务器的根证书。

本发明实施例中，所述方法还包括：S1，对所述认证申请对应的终端签名证书进行验证，得到所述终端签名证书的证书路径。

在这种情况下，所述步骤S203包括：使用所述目标服务器的根证书公钥逐层验证该证书路径上的各个证书。

本发明实施例中，所述证书路径包括：所述终端至顶层的服务器所经过的每个服务器的根证书。本发明实施例中，根证书是每个自治域中证书链中的最顶层证书，也是整个自治域证书链的信任锚点。本发明实施例中，根证书指的是每个服务器的签名证书。本发明实施例中，由上级服务器颁发下级服务器的根证书，每个服务器的根证书的公钥用于验证证书链中下一级证书的签名有效性。

本发明实施例中，在各个服务器为其连接的终端颁发签名证书时，可以在该签名证书配置对应的证书路径，具体的，在该证书路径中可以包含顶层服务器至该服务器所经过的每个服务器的根证书。由于每个服务器的根证书是由上级服务器颁发的。从而，可以得到整体可信的证书路径，用于验证终端证书的合法性和真实性。

具体的，本发明实施例中，在确定该终端的证书路径中包含共同目标层级服务器的根证书的情况下，即可确定该终端的签名证书和第一层级服务器的根证书是由同一可信终端颁发的，从而完成该终端的签名证书认证。

在一种可选地实施方式中，还可以对该终端的签名证书的整个证书路径进行验证，具体的，本发明实施例中，首先可以验证所述证书路径中是否包含所述目标层级服务器的根证书，在验证通过的情况下，确定该签名证书是由共同的可信终端签发的。再通过使用该目标层级服务器的根证书的公钥验证下一层级的服务器的根证书的签名，逐层级验证至该终端所连接的第二层级服务器的根证书。再基于该终端所连接的第二层级服务器的根证书的公钥验证该终端的签名证书。从而完成从第一层级服务器和所述第二层级服务器的共同上级服务器的根证书到终端的签名证书的可信任签名路径验证。从而可以确保跨域的通信双方的身份认证和数据传输的安全性。

在本发明一种可选的实施例中，所述方法还包括：

S11，所述第一层级服务器与所述第二层级服务器进行互认证。

S12，互认证通过后，对所述认证申请对应的终端签名证书进行验证，得到所述终端签名证书的证书路径。

本发明实施例中，第一层级服务器在确定为所述终端签发签名证书的第二层级服务器之后，还可以和第二层级服务器进行互认证，具体的认证过程类似于对终端的认证过程，使用所述第一层级服务器至所述目标服务器经过的所有中间层级服务器的验证信息以及所述目标服务器的验证信息，验证对方的签名证书。

在互认证通过之后，第一层级服务器对所述认证申请对应的终端签名证书进行验证，得到所述终端签名证书的证书路径。从而可以确定为所述终端签发签名证书的服务器为可信服务器。

在本发明一种可选的实施例中，上述方法还包括以下步骤：

S21，根据预先获取的证书吊销信息，对所述证书路径的有效性进行验证。

S22，验证通过的情况下，通知所述终端身份认证成功。

本发明实施例中，证书吊销信息具体可以为证书吊销列表(CertificateRevocation List，CRL)，证书吊销信息是各个服务器发布的本服务器记录的吊销或失效签名证书的列表。CRL记录了在一定时间范围内被吊销或失效的证书的序列号、吊销日期等信息。CRL可以用于验证终端的签名证书的有效性和真实性。当一个签名证书被吊销时，服务器会将该证书的信息添加到CRL中，并定期发布更新的CRL，以便其他各个服务器获取。各个服务器可以定期下载其他服务器最新的CRL并与终端的签名证书进行比对，来验证终端的签名证书是否有效。如果终端的签名证书的序列号与CRL中的吊销列表匹配，或者该签名证书在CRL中被标记为吊销，则意味着该签名证书不再可信，进而可以防止使用被吊销的证书进行欺骗、伪造或其他安全威胁。

本发明实施例中，第一层级服务器首先可以根据终端的签名证书的编号，确定本地是否已经获取到包含该签名证书的证书吊销信息。在本地未存储有包含所述签名证书的证书吊销信息的情况下，确定为该终端颁发签名证书的第二层级服务器，向该第二层级服务器请求证书吊销信息，验证该终端的签名证书的有效性。

具体的，在第一层级服务器向第二层级服务器请求证书吊销信息的步骤可以包括：

S221，向第二层级服务器发送证书吊销信息请求，所述证书吊销信息请求携带所述第一层级服务器的签名证书；以使所述第二层级服务器基于所述第一层级服务器的签名证书进行验证。

S222，接收第二层级服务器发送的证书吊销信息，所述证书吊销信息是第二层级服务器基于所述第一层级服务器的签名证书验证通过的情况下发送的。

具体的签名证书验证过程，与上述互认证过程类似，在此不再赘述。

本发明实施例中，第二层级服务器在完成对该第以层级服务器的身份认证之后，可以发送最新的证书吊销信息至第一层级服务器。

在本发明一种可选的实施例中，对认证申请对应的终端签名证书进行验证的步骤具体还可以包括：

S31，第一层级服务器向所述终端发送身份认证申请，所述身份认证申请携带所述第一层级服务器产生的随机数。

S31，接收所述终端发送的身份认证请求，所述身份认证请求携带签名值，所述签名值是基于所述终端的签名证书和所述随机数生成的。

S33，基于所述身份认证请求携带签名值解析得到签名证书。

本发明实施例中，第一层级服务器向终端发送身份认证申请中，可以携带随机数，由终端基于该随机数和本终端的签名证书进行运算，得到签名值，再将该签名值发送至第一层级服务器，从而，第一层级服务器还可以基于该签名值解析得到随机数对终端发送的身份认证请求进行验证，避免通信消息被拦截，密码服务系统受到伪造终端的干扰，进一步提高视联网内通信的安全性。

为了便于理解，以下，以网络为视联网为例对本发明实施例提出的身份认证方法进行说明，视联网包括多个自治域，每个自治域内配置有对应的服务器，每个服务器又配置有综管系统和密码服务系统，其中综管系统用于发起跨域视频会议业务申请和签名证书验证，密码服务系统用于进行本自治域内的签名证书签发和吊证证书信息管理。如图3所示，图3示出了本发明的一种身份认证方法示例性实施例的流程示意图，具体的，本发明实施例提供的身份认证方法可以包括以下步骤：

S301，自治B的综管系统B(即第一层级服务器)向自治A的视联网终端发送跨域视频会议业务申请。其中，所述跨域视频会议业务申请携带综管系统B产生的随机数。

其中，视联网自治域A内终端以接收到本域密码服务系统颁发的签名证书，并已接入视联网(即具备网络通信链路)，则自治域B内的综管系统B可以向自治A的视联网终端发起跨域级联业务，自治域A内终端受邀参加业务。

S302，自治A的终端使用自身具备的签名证书对收到的随机数签名，得到签名值，发送身份认证请求至综管系统B。

S303，综管系统B基于所述签名值进行验证，并解析得到终端的签名证书和证书路径。

S304，综管系统B对终端签名证书依次进行验证。

具体的，综管系统B使用综管A和综管系统B的共同上级综管的根证书公钥逐级验证该终端的证书路径上的各个证书。验证通过后，综管系统B再使用综管系统A的根证书验证终端的证书的颁发者的签名。

S305，验证通过后，综管系统B根据所述签名证书的编号确定本地是否存储有该签名证书的证书吊销信息。

若存储有包含所述签名证书的证书吊销列表，依据该存储验证该终端的签名证书是否被吊销或冻结；若没有，则执行下述步骤S306～S311。

S306，向自治A中的综管系统A申请证书吊销列表请求。

S307，自治A中的综管系统A向自治A中的密码服务系统申请吊销列表请求，并发送给综管系统B。

为了便于理解，以下，以网络为视联网，网络业务为视联网会议为例对本发明实施例提出的身份认证方法进行说明，如图4所示，图4示出了本发明的一种身份认证方法示例性实施例的流程示意图，具体的，本发明实施例提供的身份认证方法具体可以为：

控会客户端在自治域A发起会议请求，终端1、终端2、终端3、终端4、终端5分别与自治域内的综管A(即服务器)进行身份认证，认证过程中传递各自的终端证书及签名值，综管验证签名值及证书有效性后准予身份，继续后续的业务流程。其中验证证书有效性时，需依据证书编号，判断终端证书来自哪个综管(密码服务系统)，并判断本地是否有其CRL列表以及CRL列表是否在有效期内，若没有或已不在有效期内，则向对应的服务器配置的密码服务系统申请，判断证书是否被吊销或冻结，并存储或更新本地CRL列表，以备后续其它跨域业务应用。

基于同一发明构思，本发明实施例中还提出一种身份认证装置，应用于分层级部署的网络，所述网络包括从顶层至底层逐层级连的多个服务器，其中，按照从底层至顶层的方向，每层级的服务器的证书由其上一层级的服务器颁发；如图5所示，图5示出了本发明的一种身份认证装置实施例的结构框图，所述装置包括：

第一确认模块501，用于第一层级服务器收到终端发起的认证申请时，确认为所述终端签发签名证书的第二层级服务器；

第二确认模块502，用于按照层级由底层向顶层的方向，确认所述第一层级服务器和第二层级服务器的第一个共同的上级服务器为目标服务器；

验证模块503，用于使用所述第一层级服务器至所述目标服务器经过的所有中间层级服务器的验证信息以及所述目标服务器的验证信息，对所述认证申请对应的终端签名证书依次进行验证；

通知模块504，用于在验证均通过的情况下，通知所述终端身份认证成功。

可选地，所述装置还包括：

第一证书路径确认模块，用于对所述认证申请对应的终端签名证书进行验证，得到所述终端签名证书的证书路径；

所述验证模块，具体用于：

使用所述目标服务器的根证书公钥逐层验证该证书路径上的各个证书。

可选地，

所述装置还包括：

互认证模块，用于所述第一层级服务器与所述第二层级服务器进行互认证；

第二证书路径确认模块，用于互认证通过后，对所述认证申请对应的终端签名证书进行验证，得到所述终端签名证书的证书路径。

可选地，所述装置还包括：

有效性验证模块，用于根据预先获取的证书吊销信息，对所述证书路径的有效性进行验证；

通知模块，具体用于验证通过的情况下，通知所述终端身份认证成功。

可选地，所述证书路径确认模块，具体用于：

第一层级服务器向所述终端发送身份认证申请，所述身份认证申请携带所述第一层级服务器产生的随机数；

接收所述终端发送的身份认证请求，所述身份认证请求携带签名值，所述签名值是基于所述终端的签名证书和所述随机数生成的；

基于所述身份认证请求携带的签名值解析得到签名证书。

基于同一发明构思，本发明实施例还提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述任一实施例所述的方法中的步骤。

基于同一发明构思，本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现上述任一实施例所述的方法中的步骤。

需要说明的是，对于方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明实施例并不受所描述的动作顺序的限制，因为依据本发明实施例，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作并不一定是本发明实施例所必须的。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本领域内的技术人员应明白，本发明实施例的实施例可提供为方法、装置、或计算机程序产品。因此，本发明实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明实施例是参照根据本发明实施例的方法、终端设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程身份认证终端设备的处理器以产生一个机器，使得通过计算机或其他可编程身份认证终端设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程身份认证终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程身份认证终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明实施例的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明实施例范围的所有变更和修改。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上对本发明所提供的一种身份认证方法、装置、电子设备及可读存储介质，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种身份认证方法，其特征在于，应用于分层级部署的网络，所述网络包括从顶层至底层逐层级连的多个服务器，其中，按照从底层至顶层的方向，每层级的服务器的证书由其上一层级的服务器颁发；所述方法包括：

第一层级服务器收到终端发起的认证申请时，确认为所述终端签发签名证书的第二层级服务器；

按照层级由底层向顶层的方向，确认所述第一层级服务器和第二层级服务器的第一个共同的上级服务器为目标服务器；

使用所述第一层级服务器至所述目标服务器经过的所有中间层级服务器的验证信息以及所述目标服务器的验证信息，对所述认证申请对应的终端签名证书依次进行验证；

在验证均通过的情况下，通知所述终端身份认证成功。

2.根据权利要求1所述的身份认证方法，其特征在于，所述方法还包括：

对所述认证申请对应的终端签名证书进行验证，得到所述终端签名证书的证书路径；

所述使用所述第一层级服务器至所述目标服务器经过的所有中间层级服务器的验证信息以及所述目标服务器的验证信息，对所述认证申请对应的终端签名证书依次进行验证，包括：

使用所述目标服务器的根证书公钥逐层验证该证书路径上的各个证书。

3.根据权利要求2所述的身份认证方法，其特征在于，

所述第一层级服务器收到终端发起的认证申请时，确认为所述终端签发签名证书的第二层级服务器后，所述方法还包括：

所述第一层级服务器与所述第二层级服务器进行互认证；

互认证通过后，对所述认证申请对应的终端签名证书进行验证，得到所述终端签名证书的证书路径。

4.根据权利要求3所述的身份认证方法，其特征在于，所述方法还包括：

根据预先获取的证书吊销信息，对所述证书路径的有效性进行验证；

验证通过的情况下，通知所述终端身份认证成功。

5.根据权利要求3所述的身份认证方法，其特征在于，所述互认证通过后，对所述认证申请对应的终端签名证书进行验证，包括：

第一层级服务器向所述终端发送身份认证申请，所述身份认证申请携带所述第一层级服务器产生的随机数；

接收所述终端发送的身份认证请求，所述身份认证请求携带签名值，所述签名值是基于所述终端的签名证书和所述随机数生成的；

基于所述身份认证请求携带的签名值解析得到签名证书。

6.一种身份认证装置，其特征在于，应用于分层级部署的网络，所述网络包括从顶层至底层逐层级连的多个服务器，其中，按照从底层至顶层的方向，每层级的服务器的证书由其上一层级的服务器颁发；所述装置包括：

第一确认模块，用于第一层级服务器收到终端发起的认证申请时，确认为所述终端签发签名证书的第二层级服务器；

第二确认模块，用于按照层级由底层向顶层的方向，确认所述第一层级服务器和第二层级服务器的第一个共同的上级服务器为目标服务器；

验证模块，用于使用所述第一层级服务器至所述目标服务器经过的所有中间层级服务器的验证信息以及所述目标服务器的验证信息，对所述认证申请对应的终端签名证书依次进行验证；

通知模块，用于在验证均通过的情况下，通知所述终端身份认证成功。

7.根据权利要求6所述的身份认证装置，其特征在于，所述装置还包括：

第一证书路径确认模块，用于对所述认证申请对应的终端签名证书进行验证，得到所述终端签名证书的证书路径；

所述验证模块，具体用于：

使用所述目标服务器的根证书公钥逐层验证该证书路径上的各个证书。

8.根据权利要求7所述的身份认证装置，其特征在于，所述装置还包括：

互认证模块，用于所述第一层级服务器与所述第二层级服务器进行互认证；

第二证书路径确认模块，用于互认证通过后，对所述认证申请对应的终端签名证书进行验证，得到所述终端签名证书的证书路径。

9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1-7任一项所述的身份认证方法的步骤。

10.一种计算机存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现权利要求1-7任一项所述的身份认证方法的步骤。