CN1635738A - 通用认证授权服务系统及方法 - Google Patents

Abstract

一种通用认证授权服务系统及方法，其可在分布式网络中实现集中式用户认证授权服务。该系统包括一通用认证授权服务器、多个客户端计算机及一数据库。通用认证授权服务器用于在分布式网络中实现集中式用户认证授权服务。该通用认证授权服务器包括一认证装置，用于在分布式网络中对用户的身份进行识别和确认，并生成授权凭证；一授权装置，用于在分布式网络中确认用户对多个应用服务系统的访问权限，并生成服务凭证。客户端计算机提供一交互式用户界面，以便于用户输入用户名称及密码，并获得授权凭证及服务凭证。数据库用于存储用户列表、授权凭证及服务凭证。利用本发明，可安全、高效的在分布式网络中实现集中式用户认证授权服务。

Description

通用认证授权服务系统及方法

【技术领域】

本发明涉及一种认证授权服务系统及方法，特别是涉及一种集中对用户进行认证授权服务的系统及方法。

【背景技术】

随着网络环境及技术的成熟，网络通讯已成为人们生活的一部分。基于保护通讯资料的完整性及隐密性，人们逐渐发展出认证授权技术以对其通讯资料内容进行保护，从而防止非授权用户对资料进行窃取与窜改。

现在的应用软件系统开发平台很多，大部分以各自独有的或者部分重复的方式进行认证授权，这样不但会增加各个应用软件系统的负担，加重研发人员的开发及维护的投入，难于达到统一的安全规范，还会导致用户信息分散存储，用户需要保存因不同应用软件系统而存在的多份访问控制信息，比如用户名称和密码，从而造成用户使用和维护信息方面的不便。

台湾智慧财产局于2002年1月11日公告的公告标号为472929，名称为“分布式动态配置实时多点认证服务器装置”的专利，其安全模块担任资料加解密及基础储存的工作，多点控制器将资料传送到多个安全模块并接受每个安全模块传送的数据，动态配置模块负责分配安全模块，验证流程单元负责资料验证流程的工作，认证效能统计单元计算分析每个安全模块的负载并产生分析统计报表，容错处理单元侦测安全模块的状态并隔离产生故障的安全模块以确保系统的正常运作，利用分布式动态配置实时多点方式达成系统安全认证的目的。上述专利虽然提供了一种分布式动态配置实时多点认证服务器装置，安全性有所提高，但是在复杂的多种类型用户环境下，无法对各种应用服务系统的访问进行安全、有效、统一及可行的认证授权。

所以需要提供一种通用认证授权服务系统及方法，其可在分布式网络中实现集中式用户认证授权服务。

【发明内容】

本发明的主要目的在于提供一种通用认证授权服务系统及方法，其可在分布式网络中实现集中式用户认证授权服务。该系统包括一通用认证授权(UAAS)服务器、多个客户端计算机及一数据库。UAAS服务器用于在分布式网络中实现集中式用户认证授权服务，其包括一认证装置及一授权装置。客户端计算机提供一交互式用户界面，以便于用户输入用户名称及密码，并获得授权凭证及服务凭证，其包括一授权凭证获取装置及一服务凭证获取装置。数据库用于存储用户列表、授权凭证及服务凭证。上述用户列表为多个用户的信息列表，包括用户名称、用户标识、密码、创建时间、有效时间及每一用户对多个应用服务系统的访问权限。上述用户标识是用户在不同应用服务系统中指向UAAS服务器的唯一指针，从而起到保持用户在多个应用服务系统中信息一致性的作用。上述密码必须以安全的方式使用，不可以明文在数据库中存储；上述密码必须以安全的方式传输，不可以明文在网络上传输。上述创建时间指用户注册到UAAS服务器时的时间。上述有效时间指用户可以访问多个应用服务系统的时间。上述访问权限指浏览、修改及管理等权限。上述应用服务系统为用户提供各种不同类型的应用服务，如各种网站服务器。上述授权凭证是用户通过认证后获得的相关凭证，其为一个包括用户名称、用户标识、创建时间及有效时间的封包。只有获得授权凭证后，UAAS服务器才有可能为用户提供授权服务。上述服务凭证是用户通过授权后获得的相关凭证，其为一个包括用户对多个应用服务系统的访问权限的封包。只有获得服务凭证后，用户才有可能获得对多个应用服务系统进行访问的权限。

认证装置用于在分布式网络中对用户的身份进行识别和确认，并生成授权凭证，其包括一用户名称接收模块，用于接收用户利用用户界面输入的用户名称；一用户名称判断模块，用于根据数据库中存储的用户列表，判断上述接收的用户名称在数据库中是否存在；一授权凭证生成模块，用于根据数据库中存储的用户列表，生成授权凭证；一授权凭证密文生成模块，用于将上述授权凭证加密，生成授权凭证密文；一授权凭证密文发放模块，用于将上述授权凭证密文发送给授权凭证获取装置。

授权凭证获取装置用于获取上述认证装置所生成的授权凭证，其包括一授权凭证密文接收模块，用于接收授权凭证密文发放模块所发送的授权凭证密文；一密码接收模块，用于接收用户利用用户界面输入的密码；一授权凭证密文解密模块，用于根据上述接收的密码，将上述授权凭证密文解密，并判断解密是否成功，如果解密成功，则表示上述输入的密码正确，同时获得认证装置所生成的授权凭证；一密钥生成模块，用于生成密钥；一授权凭证发放模块，用于将上述授权凭证传给授权装置，并将该授权凭证存储于数据库中。

授权装置用于在分布式网络中确认用户对多个应用服务系统的访问权限，并生成服务凭证，其包括一授权凭证接收模块，用于接收授权凭证发放模块传来的授权凭证；授权凭证判断模块，用于判断上述接收的授权认证的有效性，如果超过有效时间，则表示授权凭证无效；一访问权限判断模块，用于根据数据库中存储的用户列表，判断用户对多个应用服务系统的访问权限，如浏览、修改及管理等权限；一服务凭证生成模块，用于根据上述访问权限，生成服务凭证；一服务凭证密文生成模块，用于将上述服务凭证加密，生成服务凭证密文；一服务凭证密文发放模块，用于将上述服务凭证密文发送给服务凭证获取装置。

服务凭证获取装置用于获取上述授权装置所生成的服务凭证，其包括一服务凭证密文接收模块，用于接收服务凭证密文发放模块所发送的服务凭证密文；一密钥获取模块，用于获取上述授权凭证获取装置生成的密钥；一服务凭证密文解密模块，用于根据上述获取的密钥，将上述服务凭证密文解密，以获得授权装置所生成的服务凭证，并将该服务凭证存储于数据库中。

本发明还提供一种通用认证授权服务方法，其中，认证方法包括以下步骤：(a)认证装置接收用户输入的用户名称；(b)判断上述用户名称在数据库中是否存在；(c)如果用户名称存在，生成授权凭证；(d)将上述授权凭证加密，生成授权凭证密文；(e)发送上述授权凭证密文至客户端计算机；(f)上述客户端计算机接收上述授权凭证密文；(g)接收用户输入的密码；(h)根据上述密码，将上述授权凭证密文解密，以获得上述授权凭证，并判断解密是否成功；(i)如果解密成功，则生成密钥；(h)将上述授权凭证传给授权装置，并将授权凭证存储于数据库中。

授权方法包括以下步骤：(a)授权装置接收上述客户端计算机传来的授权凭证；(b)判断上述授权凭证的有效性；(c)如果授权凭证有效，判断用户对多个应用服务系统的访问权限；(d)根据上述访问权限，生成服务凭证；(e)将上述服务凭证加密，生成服务凭证密文；(f)发送上述服务凭证密文至客户端计算机；(g)上述客户端计算机接收上述服务凭证密文；(h)获取上述授权凭证获取装置生成的密钥；(i)根据上述获取的密钥，将上述服务凭证密文解密，以获得上述生成的服务凭证，并将该服务凭证存储于数据库中。

利用本发明，可安全、高效的在分布式网络中实现集中式用户认证授权服务。

【附图说明】

图1是本发明通用认证授权服务系统的硬件架构图。

图2是本发明通用认证授权服务系统的UAAS服务器的功能架构图。

图3是本发明通用认证授权服务系统的客户端计算机的功能架构图。

图4是本发明通用认证授权服务系统的认证装置的功能模块图。

图5是本发明通用认证授权服务系统的授权凭证获取装置的功能模块图。

图6是本发明通用认证授权服务系统的授权装置的功能模块图。

图7是本发明通用认证授权服务系统的服务凭证获取装置的功能模块图。

图8是本发明通用认证授权服务方法的认证作业流程图。

图9是本发明通用认证授权服务方法的授权作业流程图。

【实施方式】

如图1所示，是本发明通用认证授权服务系统的硬件架构图。该系统包括一通用认证授权(UAAS)服务器1、一网络2、多个客户端计算机3、一连接4及一数据库5。其中分布式分布的多个客户端计算机3利用网络2与UAAS服务器1相连，网络2可以是一企业内部网(Intranet)，也可以是互联网(Internet)或其它类型通讯网络。UAAS服务器1利用连接4与数据库5相连，连接4是一种数据库连接，如开放式数据库连接(Open Database Connectivity，ODBC)，或者Java数据库连接(Java Database Connectivity，JDBC)。

UAAS服务器1用于在分布式网络中实现集中式用户认证授权服务。客户端计算机3提供一交互式用户界面，以便于用户输入用户名称及密码，并获得授权凭证及服务凭证。数据库5用于存储用户列表、授权凭证及服务凭证。上述用户列表为多个用户的信息列表，包括用户名称、用户标识、密码、创建时间、有效时间及每一用户对多个应用服务系统(图中未标示)的访问权限。上述用户标识是用户在不同应用服务系统中指向UAAS服务器的唯一指针，从而起到保持用户在多个应用服务系统中信息一致性的作用。上述密码必须以安全的方式使用，不可以明文在数据库5中存储；上述密码必须以安全的方式传输，不可以明文在网络2上传输。上述创建时间指用户注册到UAAS服务器时的时间。上述有效时间指用户可以访问多个应用服务系统的时间。上述访问权限为浏览、修改及管理等权限。上述应用服务系统为用户提供各种不同类型的应用服务，如各种网站服务器。上述授权凭证是用户通过认证后获得的相关凭证，其为一个包括用户名称、用户标识、创建时间及有效时间的封包。只有获得授权凭证后，UAAS服务器才有可能为用户提供授权服务。上述服务凭证是用户通过授权后获得的相关凭证，其为一个包括用户对多个应用服务系统的访问权限的封包。只有获得服务凭证后，用户才有可能获得对多个应用服务系统进行访问的权限。

如图2所示，是本发明通用认证授权服务系统的UAAS服务器1的功能架构图。UAAS服务器1用于在分布式网络中实现集中式用户认证授权服务，其包括一认证装置10及一授权装置11。其中，认证装置10用于在分布式网络中对用户的身份进行识别和确认，并生成授权凭证，其包括一系列功能模块(如图4所示)；授权装置11用于在分布式网络中确认用户对多个应用服务系统的访问权限，并生成服务凭证，其包括一系列功能模块(如图6所示)。

如图3所示，是本发明通用认证授权服务系统的客户端计算机3的功能架构图。客户端计算机3提供一交互式用户界面，以便于用户输入用户名称及密码，并获得授权凭证及服务凭证，其包括一授权凭证获取装置30及一服务凭证获取装置31。其中，授权凭证获取装置30用于获取认证装置10所生成的授权凭证，其包括一系列功能模块(如图5所示)；服务凭证获取装置31用于获取授权装置11所生成的服务凭证，其包括一系列功能模块(如图7所示)。

如图4所示，是本发明通用认证授权服务系统的认证装置10的功能模块图。认证装置10用于在分布式网络中对用户的身份进行识别和确认，并生成授权凭证，其包括一用户名称接收模块100、一用户名称判断模块101、一授权凭证生成模块102、一授权凭证密文生成模块103及一授权凭证密文发放模块104。其中，用户名称接收模块100用于接收用户利用用户界面输入的用户名称。用户名称判断模块101用于根据数据库5中存储的用户列表，判断上述接收的用户名称在数据库5中是否存在。授权凭证生成模块102用于根据数据库5中存储的用户列表，生成授权凭证。授权凭证密文生成模块103用于将上述授权凭证加密，生成授权凭证密文。授权凭证密文发放模块104用于将上述授权凭证密文发送给授权凭证获取装置30。

如图5所示，是本发明通用认证授权服务系统的授权凭证获取装置30的功能模块图。授权凭证获取装置30用于获取认证装置10所生成的授权凭证，其包括一授权凭证密文接收模块300、一密码接收模块301、一授权凭证密文解密模块302、一密钥生成模块303及一授权凭证发放模块304。其中，授权凭证密文接收模块300用于接收授权凭证密文发放模块104所发送的授权凭证密文。密码接收模块301用于接收用户利用用户界面输入的密码。授权凭证密文解密模块302用于根据上述接收的密码，将上述授权凭证密文解密，并判断解密是否成功，如果解密成功，则表示上述输入的密码正确，同时获得认证装置10所生成的授权凭证。密钥生成模块303用于生成密钥。授权凭证发放模块304用于将上述授权凭证传给授权装置11，并将该授权凭证存储于数据库5中。

如图6所示，是本发明通用认证授权服务系统的授权装置11的功能模块图。授权装置11用于在分布式网络中确认用户对多个应用服务系统的访问权限，并生成服务凭证，其包括一授权凭证接收模块110、一授权凭证判断模块111、一访问权限判断模块112、一服务凭证生成模块113、一服务凭证密文生成模块114及一服务凭证密文发放模块115。其中，授权凭证接收模块110用于接收授权凭证发放模块304传来的授权凭证。授权凭证判断模块111用于判断上述接收的授权认证的有效性，如果超过有效时间，则表示授权凭证无效。访问权限判断模块112用于根据数据库5中存储的用户列表，判断用户对多个应用服务系统的访问权限，如浏览、修改及管理等权限。服务凭证生成模块113用于根据上述访问权限，生成服务凭证。服务凭证密文生成模块114用于将上述服务凭证加密，生成服务凭证密文。服务凭证密文发放模块115用于将上述服务凭证密文发送给服务凭证获取装置31。

如图7所示，是本发明通用认证授权服务系统的服务凭证获取装置31的功能模块图。服务凭证获取装置31用于获取授权装置11所生成的服务凭证，其包括一服务凭证密文接收模块310、一密钥获取模块311及一服务凭证密文解密模块312。其中，服务凭证密文接收模块310用于接收服务凭证密文发放模块115所发送的服务凭证密文。密钥获取模块311用于获取上述授权凭证获取装置30生成的密钥。服务凭证密文解密模块312用于根据上述获取的密钥，将上述服务凭证密文解密，以获得授权装置11所生成的服务凭证，并将该服务凭证存储于数据库5中。

如图8所示，是本发明通用认证授权服务方法的认证作业流程图。首先，用户名称接收模块100接收用户利用用户界面输入的用户名称(步骤S800)，用户名称判断模块101根据数据库5中存储的用户列表，判断上述接收的用户名称在数据库5中是否存在(步骤S801)。如果数据库5中存在上述用户名称，授权凭证生成模块102根据数据库5中存储的用户列表，生成授权凭证(步骤S802)；如果数据库5中不存在上述用户名称，则结束本流程。然后，授权凭证密文生成模块103将上述授权凭证加密，生成授权凭证密文(步骤S803)，授权凭证密文发送模块104将上述授权凭证密文发送给客户端计算机3的授权凭证获取装置30(步骤S804)，授权凭证获取装置30的授权凭证密文接收模块300接收上述发送的授权凭证密文(步骤S805)。然后，密码接收模块301接收用户利用用户界面输入的密码(步骤S806)，授权凭证密文解密模块302根据上述接收的密码，将上述授权凭证密文解密(步骤S807)，并判断解密是否成功(步骤S808)。如果解密成功，则获得上述所生成的授权凭证，密钥生成模块303生成密钥(步骤S809)；如果解密不成功，表示上述输入的密码不正确，则结束本流程。最后，授权凭证发放模块304将上述授权凭证传给授权装置11，并将该授权凭证存储于数据库5中(步骤S810)。

如图9所示，是本发明通用认证授权服务方法的授权作业流程图。首先，授权凭证接收模块110接收授权凭证发放模块304传来的授权凭证(步骤S900)，授权凭证判断模块111判断上述接收的授权凭证的有效性(步骤S901)。如果在有效时间内，则表示上述授权凭证有效，访问权限判断模块112根据数据库5中存储的用户列表，判断用户对多个应用服务系统的访问权限(步骤S902)；如果不在有效时间内，则表示上述授权凭证无效，结束本流程。然后，服务凭证生成模块113根据上述访问权限，生成服务凭证(步骤S903)，服务凭证密文生成模块114将上述服务凭证加密，生成服务凭证密文(步骤S904)，服务凭证密文发放模块115将上述服务凭证密文发送给客户端计算机3的服务凭证获取装置31(步骤S905)，服务凭证获取装置31的服务凭证密文接收模块310接收上述发送的服务凭证密文(步骤S906)。然后，密钥获取模块311获取上述授权凭证获取装置30所生成的密钥(步骤S907)。服务凭证密文解密模块116根据上述获取的密钥，将上述服务凭证密文解密，以获得上述生成的服务凭证，并将该服务凭证存储于数据库5中(步骤S908)。

Claims (14)

1.一种通用认证授权服务系统，其包括一通用认证授权服务器、多个客户端计算机及一数据库，其特征在于：

通用认证授权服务器用于在分布式网络中实现集中式用户认证授权服务，该通用认证授权服务器包括：

一认证装置，用于在分布式网络中对用户的身份进行识别和确认，并生成授权凭证；

一授权装置，用于在分布式网络中确认用户对多个应用服务系统的访问权限，并生成服务凭证；

客户端计算机用于提供一交互式用户界面，以便于用户输入用户名称及密码，并获得授权凭证及服务凭证；及

数据库用于存储用户列表、授权凭证及服务凭证。

2.如权利要求1所述的通用认证授权服务系统，其特征在于，所述客户端计算机包括一授权凭证获取装置，用于获取上述认证装置所生成的授权凭证。

3.如权利要求1所述的通用认证授权服务系统，其特征在于，所述客户端计算机还包括一服务凭证获取装置，用于获取上述授权装置所生成的服务凭证。

4.如权利要求1所述的通用认证授权服务系统，其特征在于，所述用户列表，其为多个用户的信息列表，包括用户名称、用户标识、密码、创建时间、有效时间及每一用户对多个应用服务系统的访问权限。

5.如权利要求1所述的通用认证授权服务系统，其特征在于，所述授权凭证，是用户通过认证后获得的相关凭证，其为一个包括用户名称、用户标识、创建时间及有效时间的封包。

6.如权利要求1所述的通用认证授权服务系统，其特征在于，所述服务凭证，是用户通过授权后获得的相关凭证，其为一个包括用户对多个应用服务系统的访问权限的封包。

7.如权利要求1所述的通用认证授权服务系统，其特征在于，所述认证装置包括：

一用户名称接收模块，用于接收用户输入的用户名称；

一用户名称判断模块，用于根据数据库中存储的用户列表，判断上述接收的用户名称在数据库中是否存在；

一授权凭证生成模块，用于根据数据库中存储的用户列表，生成授权凭证；

一授权凭证密文生成模块，用于将上述授权凭证加密，生成授权凭证密文；及

一授权凭证密文发放模块，用于将上述授权凭证密文发送给授权凭证获取装置。

8.如权利要求1所述的通用认证授权服务系统，其特征在于，所述授权装置包括：

一授权凭证接收模块，用于接收授权凭证获取装置传来的授权凭证；

一授权凭证判断模块，用于判断上述接收的授权认证的有效性；

一访问权限判断模块，用于根据数据库中存储的用户列表，判断用户对多个应用服务系统的访问权限；

一服务凭证生成模块，用于根据上述访问权限，生成服务凭证；

一服务凭证密文生成模块，用于将上述服务凭证加密，生成服务凭证密文；及

一服务凭证密文发放模块，用于将上述服务凭证密文发送给服务凭证获取装置。

9.如权利要求2所述的通用认证授权服务系统，其特征在于，所述授权凭证获取装置包括：

一授权凭证密文接收模块，用于接收上述发送的授权凭证密文；

一密码接收模块，用于接收用户输入的密码；

一授权凭证密文解密模块，用于根据上述接收的密码，将上述授权凭证密文解密，并判断解密是否成功；

一密钥生成模块，用于生成密钥；及

一授权凭证发放模块，用于将上述授权凭传给授权装置，并将该授权凭证存储于数据库中。

10.如权利要求3所述的通用认证授权服务系统，其特征在于，所述服务凭证获取装置包括：

一服务凭证密文接收模块，用于接收上述发送的服务凭证密文；

一密钥获取模块，用于获取上述授权凭证获取装置生成的密钥；及

一服务凭证密文解密模块，用于根据上述获取的密钥，将上述服务凭证密文解密，以获得上述授权装置所生成的服务凭证，并将该服务凭证存储于数据库中。

11.一种通用认证授权服务方法，其特征在于，认证方法包括以下步骤：

接收用户输入的用户名称；

判断上述用户名称在数据库中是否存在，如果用户名称存在，生成授权凭证；

将上述授权凭证加密，生成授权凭证密文；

发送上述授权凭证密文；

接收上述授权凭证密文；

接收用户输入的密码；

根据上述密码，将上述授权凭证密文解密，以获得上述授权凭证，并判断解密是否成功，如果解密解密成功，则生成密钥；及

将上述授权凭传给授权装置，并将授权凭证存储于数据库中。

12.如权利要求11所述的通用认证授权服务方法，其特征在于，所述授权凭证，是用户通过认证后获得的相关凭证，其为一个包括用户名称、用户标识、创建时间及有效时间的封包。

13.一种通用认证授权服务方法，其特征在于，授权方法包括以下步骤：

接收上述传来的授权凭证；

判断上述授权凭证的有效性，如果授权凭证有效，判断用户对多个应用服务系统的访问权限；

根据上述访问权限，生成服务凭证；

将上述服务凭证加密，生成服务凭证密文；

发送上述服务凭证密文；

接收上述服务凭证密文；

获取上述生成的密钥；及

根据上述获取的密钥，将上述服务凭证密文解密，以获得上述生成的服务凭证，并将该服务凭证存储于数据库中。

14.如权利要求13所述的通用认证授权服务方法，其特征在于，所述服务凭证，是用户通过授权后获得的相关凭证，其为一个包括用户对多个应用服务系统的访问权限的封包。

Images