TWI778319B

TWI778319B - 跨平台授權存取資源方法及授權存取系統

Info

Publication number: TWI778319B
Application number: TW109100894A
Authority: TW
Inventors: 李嘉銘; 雋偉方
Original assignee: 玉山商業銀行股份有限公司
Priority date: 2020-01-10
Filing date: 2020-01-10
Publication date: 2022-09-21
Also published as: TW202127289A

Abstract

一種跨平台授權存取資源方法與授權存取系統，系統提出一代理存取模組，可自一資源擁有者接收資源存取請求，再向授權模組發出授權請求，授權模組因此取得資源擁有者的識別代碼與所請求的資源項目，與資源擁有者完成身份驗證後，產生對應所請求的資源項目的一存取代碼，並將資源項目與存取代碼進行一押碼演算，產生押碼值。之後，授權模組傳送存取代碼、資源項目與押碼值至代理存取模組以及一資源模組，經資源模組確認押碼值無誤後，即提供資源擁有者一取得資源項目的資訊。

Description

跨平台授權存取資源方法及授權存取系統

本發明涉及一種授權驗證的系統，特別是一種將部分授權程序轉移到資源方以轉移授權伺服器工作的跨平台授權存取資源方法及授權存取系統。

隨著網路與資訊科技的成熟，並產生許多的應用，同時，網路資訊安全為當中最重要的議題之一，安全驗證一般可倚賴設備與設備之間的加解密技術，以防止資料被竄改，以及倚賴使用者本身的識別資料確保存取者的身份無誤，例如傳統常見的帳號與密碼、生物識別技術，以及可通過使用者個人裝置提供安全認證的機制。

當網路上的應用愈來愈複雜，依據需求，許多現行技術也提出更為安全的驗證與授權流程，例如網路金融服務就需要更為安全的交易程序，常見為提出公正第三方的授權與認證技術，例如一種開放授權（OAuth、OAuth2）協定。

開放授權（OAuth/OAuth2.0）是一個開放標準，允許使用者通過第三方授權機制存取特定網路資源，其中使用憑證或一次式密碼（token），並不同於傳統帳號與密碼的安全措施。利用這類憑證還可以管制被授權使用者存取特定範圍內的網路資源，如影片、照片、文件等，所述開放授權（OAuth/OAuth2.0）即讓使用者可以授權第三方網站存取使用者在特定位置（網站）的特定資源。

值得一提的是，所述OAuth2.0授權協定可以解決資源可能分散在多個伺服器上產生的授權問題，使用者可以在通過一次驗證後，能夠在多個伺服器進行授權，多個伺服器僅須確認請求資訊中所攜帶的存取憑證為合法後，即能完成第三方授權而准許存取資源。舉例來說，Facebook™、Google™等的身份驗證機制常被各種應用所使用，可稱為Open ID，這些應用倚賴Facebook、Google的身份驗證結果，讓使用者可以使用Facebook、Google等帳號登入各種應用，一旦通過身份驗證，即可存取各種網路資源。

有鑑於現行開放授權的機制可能造成主要授權伺服器需要處理大量的授權需求，造成效能不彰或是整體負載沈重的問題，揭露書提出一種跨平台授權存取資源方法以及一種授權存取系統，其目的之一是解決習知跨平台（如跨過多個單位、金融機構）授權技術中驗證方擔負大量驗證計算的問題，所揭示的方法將其中驗證程序延伸至可由資源方的相關主機執行部分的驗證程序。

根據實施例之一，跨平台授權存取資源方法運行於一授權存取系統，在此授權存取系統中，提出一代理存取模組，由代理存取模組自一資源擁有者接收資源存取請求，請求中包括了要請求的資源項目以及資源擁有者的識別代碼。之後，代理存取模組將根據資源存取請求產生一授權請求，並傳送至授權模組，授權模組可根據此授權請求得出資源擁有者的識別代碼，再與此資源擁有者進行身份驗證。

當完成身份驗證後，授權模組將產生對應所請求的資源項目的存取代碼，並將資源項目與存取代碼形成一驗證資料，之後傳送驗證資料至所述代理存取模組以及一資源模組，此時，代理存取模組也傳送資源存取請求至資源模組，經資源模組檢查自授權模組接收的驗證資料無誤後，可根據所得到的資源存取請求提供資源擁有者一資源取得資訊。

優選地，授權模組將資源項目與存取代碼演算形成的驗證資料可為進行一押碼演算，之後形成一押碼值，這個押碼值可提供資源模組驗證資料是否未被竄改，一旦確認無誤後，即根據資源存取請求提供資源擁有者取得所述資源項目的資訊，例如下載資源項目或資訊的連結。

進一步地，所述代理存取模組接收資源存取請求時，可以代理存取模組的一代理識別碼及一金鑰進行數位簽章後產生授權請求，再經加密後傳送到授權模組。

進一步地，授權模組可以根據資源擁有者的識別代碼，查詢得出資源擁有者的通信方法，以根據此通信方法與資源擁有者完成身份驗證。

根據授權存取系統的實施例，系統主要元件為資源模組，可通過網路提供資源擁有者自己或授權他人存取各種資源項目的服務，設有授權模組，可通過網路提供存取資源模組中各種資源項目的使用者認證與授權服務，以及一代理存取模組，能通過網路提供資源擁有者自己或授權他人存取資源模組中各種資源項目的代理服務。

進一步地，所述代理存取模組可為提供使用者請求存取資源項目的代理伺服器；授權模組可為負責授權存取資源的授權伺服器；以及資源模組可為提供各種資源項目的資源伺服器。

為使能更進一步瞭解本發明的特徵及技術內容，請參閱以下有關本發明的詳細說明與圖式，然而所提供的圖式僅用於提供參考與說明，並非用來對本發明加以限制。

以下是通過特定的具體實施例來說明本發明的實施方式，本領域技術人員可由本說明書所公開的內容瞭解本發明的優點與效果。本發明可通過其他不同的具體實施例加以施行或應用，本說明書中的各項細節也可基於不同觀點與應用，在不悖離本發明的構思下進行各種修改與變更。另外，本發明的附圖僅為簡單示意說明，並非依實際尺寸的描繪，事先聲明。以下的實施方式將進一步詳細說明本發明的相關技術內容，但所公開的內容並非用以限制本發明的保護範圍。

應當可以理解的是，雖然本文中可能會使用到“第一”、“第二”、“第三”等術語來描述各種元件或者信號，但這些元件或者信號不應受這些術語的限制。這些術語主要是用以區分一元件與另一元件，或者一信號與另一信號。另外，本文中所使用的術語“或”，應視實際情況可能包括相關聯的列出項目中的任一個或者多個的組合。

揭露書公開一種跨平台授權存取資源方法與授權存取系統，所提出的方法與系統要解決的問題之一是，在習知跨平台（如跨過多個單位、金融機構）授權技術中，負責授權的一方擔負多方驗證的工作，因此也負責大量驗證計算的工作，如此會造成系統因為運算負擔大而影響到效能，而揭露書所提出的跨平台授權存取資源方法的目的之一為將驗證程序延伸至其他單位，如可由提供資源的相關主機執行驗證程序。

在運行跨平台授權存取資源方法的授權存取系統中，根據說明書記載之實施例，如圖1所示授權存取系統的系統架構，其中顯示主要的代理伺服器10、授權伺服器12以及資源伺服器14可為相互獨立而以網路相互連線的伺服主機，或是各種主機中的功能模組，而其中運行功能亦可為運行在各種現行伺服系統中的功能模組，例如可為運行為金融機構、政府機構或是私人企業中各種伺服器中的模組，實際實施時並不限於特定方式。

在此授權存取系統架構下，使用者可操作執行於使用者裝置101的網頁瀏覽器、特定應用程式，或是執行於個人行動裝置中的行動應用程式（如APP）連線一代理伺服器（agent/client server）10，代理伺服器10可通過網路提供一或多個資源擁有者自己或授權他人存取資源伺服器14中各種資源項目的代理服務，這是一個系統提出的第三方服務伺服器（或運行於特定伺服器的軟體模組），讓使用者可以利用網頁或是特定應用程式中的使用者介面輸入自資源伺服器（resource server）14所要取得的資源項目，形成一個資源存取請求。所述資源伺服器14為通過網路提供一或多個資源擁有者自己（或授權他人）存取各種資源項目的服務，其中設有資源資料庫140，其中儲存了各種可存取資源，資源都關聯特定使用者的識別碼（user ID），例如為一些關於個人隱私、敏感資料、安全性等級高的一些檔案文件等資源項目。

之後，代理伺服器10根據資源存取請求中記載的事項，如欲取得的資源項目以及資源擁有者的識別代碼，形成一授權請求，再將此授權請求傳送到授權伺服器12。此授權伺服器12同樣可為運行於特定伺服主機中的軟體模組，可通過網路提供使用者存取所述資源伺服器14中各種資源項目的使用者認證與授權服務。授權伺服器12設有一使用者資料庫120，因此可以根據資源存取請求中記載的資源擁有者的識別代碼查詢得出資源擁有者的通信方式，因此可以通過此通信方式驗證提出資源存取的資源擁有者。

舉例來說，授權伺服器12（或相關功能模組）通過查詢得出的通信方法向資源擁有者發出一身份確認請求，要求資源擁有者通過網站、應用程式，或特定來往信息進行身份驗證的請求，所提出約定的驗證資料例如密碼、使用者裝置101（如行動裝置）的設備資訊、資源擁有者的生物特徵、使用者裝置101產生的一次式密碼，或由授權模組產生經簡訊或推播傳送至使用者裝置101的一次式密碼（OTP），再由授權伺服器12驗證資源擁有者的使用者裝置101所產生的一次式密碼。

當完成資源擁有者的身份驗證後，授權伺服器12將產生對應所請求之資源項目的一存取代碼，並將所述資源項目與此存取代碼形成一驗證資料，提供資源伺服器14驗證資料無誤後，可以產生連結於所請求資源的連結，此連結為連結至資源資料庫140中特定資源項目的位址，提供給發出請求的資源擁有者或是經過授權的他人。

根據所述授權存取系統實施例，所述代理伺服器10、授權伺服器12與資源伺服器14可為各自獨立運行的伺服器、運行於特定伺服器中的軟體模組，或是依照需求分別為運行在特定伺服主機的軟體模組或是獨立伺服器。在所述系統架構下，使用者可以通過授權伺服器12實現跨平台授權存取特定資源伺服器14中的資源項目，其中代理伺服器10更是為提供多個終端使用者此授權存取服務的中繼伺服器。

圖2顯示運行於授權存取系統的跨平台授權存取資源方法的實施例流程圖，流程中描述的代理存取模組、授權模組與資源模組可為運行於特定伺服器中的軟體模組，亦可為獨立運行的伺服器。

一開始，如步驟S201，由代理存取模組接收使用者發出的資源存取請求，代理存取模組可從資源存取請求得出請求內容，包括資源項目與資源擁有者之識別代碼（user ID），接著通過代理存取模組本身之識別代碼（client ID）及預先與授權模組交換之金鑰進行簽章，以此產生授權請求，還可繼續以授權模組提供的公鑰進行加密，傳送授權請求至授權模組（步驟S203）。

當授權模組接授權請求後，如步驟S205，授權模組將根據其中的資源擁有者的識別代碼比對使用者資料庫後得出資源擁有者的通信方法，能根據此方式與資源擁有者執行身份驗證。一旦確認資源擁有者的身份後，如步驟S207，授權模組產生對應所請求之資源項目的存取代碼（access code），這是作為驗證的資訊之一，授權模組可將資源項目與此存取代碼演算後形成一驗證資料。

根據一實施例，所述產生驗證資料的方法之一如執行一押碼演算（authentication code algorithm），這個押碼演算過程為將資源項目與存取代碼進行明文拆解、運算，以得出一押碼值。所述押碼演算技術的目的是提供傳輸的資料不會被非經授權的第三者竄改或破壞的機制，例如，演算在金融產業中所提出的一種訊息驗證碼（Message Authentication Code，MAC），或可採用雜湊演算（hash algorithm）演算雜湊值、加密或數位簽章（digital signature）等技術，用於往來機構之間的訊息驗證，保護金融訊息的正確性。

接著，在步驟S209中，授權模組傳送存取代碼、資源項目與押碼值至代理存取模組以及資源模組，此時，如步驟S211，資源模組取得資源擁有者的資訊，可以由代理存取模組傳送了包括資源擁有者資訊的資源存取請求至資源模組，或由授權模組取得，如步驟S213，一旦資源模組檢查押碼值無誤後，表示授權模組傳送內容無誤，可提供此資源擁有者一資源取得資訊。

在所述流程中的身份驗證程序，可參考圖3所示跨平台授權存取資源方法中執行身份驗證的實施例流程圖。

在授權模組執行身份驗證之前，同樣地，流程仍由代理存取模組接收自資源擁有者或授權他人所產生的資源存取請求開始（步驟S301），代理存取模組以其代理識別碼及金鑰進行數位簽章後，產生授權請求（步驟S303），再將此授權請求經加密後傳送至授權模組（步驟S305），由授權模組根據數位簽章驗證此授權請求（步驟S307），經授權模組解密並根據數位簽章得出資源擁有者的識別代碼（步驟S309），同時也能經過查詢使用者資料庫得出資源擁有者的通信方式，以與資源擁有者執行身份驗證（步驟S311），例如通過傳統密碼或是一次式密碼驗證身份。

之後，一旦授權模組成功驗證資源擁有者身份後，產生存取代碼，可將資源項目與此存取代碼演算後形成一驗證資料，驗證資料並傳送到資源模組，當資源模組檢查自授權模組接收的驗證資料無誤後，可根據代理存取模組傳送的資源存取請求，也驗證來自代理存取模組的資源存取請求，最後提供資源擁有者一資源取得資訊。

圖4顯示運行於多方（使用者裝置41、代理存取模組42、授權模組43以及資源模組44）之間的跨平台授權存取資源方法的實施例流程圖。

流程由使用者裝置41發出資源存取請求至代理存取模組42（步驟S401）開始，資源存取請求主要記載了使用者通過網頁或應用程式輸入的資源擁有者的識別代碼以及欲存取的資源項目。

之後，由代理存取模組42根據資源存取請求，加入代理存取模組42本身的識別代碼及預先與授權模組43交換之金鑰進行簽章，產生授權請求（步驟S403），並傳送到授權模組43，由授權模組從中得到資源擁有者的識別代碼（步驟S405），因此可以查詢得出當初註冊所登錄的通信方式，如電子郵件、電話號碼或推播信息等，以此能與資源擁有者進行身份驗證，包括向使用者裝置41（或轉發至特定裝置）發出身份確認請求（步驟S407），並由使用者裝置41（或特定裝置）接收身份確認資料（步驟S409），以此驗證資源擁有者身份（步驟S411）。如果身份驗證失敗，授權模組43將向發出請求的使用者裝置41發出驗證失敗信息（步驟S413）。

當授權模組43與資源擁有者完成身份驗證後，產生對應所請求之資源項目的存取代碼，並將資源項目與存取代碼進行押碼演算以產生一押碼值（步驟S411），所述押碼值、資源項目（關聯資源擁有者）與存取代碼形成驗證資料。

之後，將驗證資料（存取代碼、資源項目、押碼值）傳送到資源模組44（步驟S415），同時，也將驗證資料傳送到代理存取模組42（步驟S417）。

代理存取模組42接收到驗證資料後，可以傳送最初接收到的資源存取請求給資源模組44，使得資源模組44取得資源擁有者的資訊，或者資源模組44仍可由授權模組43傳送的資料（如驗證資料）中取得資源擁有者的資訊（步驟S419），這時，驗證自授權模組43傳送的驗證資料中的押碼值（步驟S421）。在押碼驗證的技術中，主要是因為雙方（授權模組43與資源模組44）協議使用一個押碼函數。當其中一方建立信息，並將信息與相關金鑰輸入押碼函數，得出押碼值，之後將信息與關聯的押碼值傳送給給另一方，另一方接收後，可以用協議的金鑰與信息輸入本身具有的押碼函數，也演算出一個押碼值，對照所接收的押碼值，若相符合，即表示所接收的信息並未被竄改。

一旦確認信息無誤，即提供使用者裝置41（或特定裝置）一個資源取得資訊（步驟S423），讓使用者可以根據其中資訊取得資料項目（步驟S425），這個項目可以為一資料檔案清單，由資源模組44提供的資源取得資訊包括下載資料檔案的一連結，或是特定資訊的連結。

綜上所述，根據跨平台授權存取資源方法與實現此方法的系統實施例的描述，可以提供使用者跨平台取得資源的服務，所述資源模組如傳統銀行、政府單位等握有使用者（資源擁有者）的個人隱私資料與具有安全需求的敏感資料，當使用者需要取得這些資訊作為他用，或是想要把資料攜去到別的位置，所述方法可以讓第三方在安全無虞的條件下獲得授權而取得使用者的資料，而不受限於握有自己資料的平台。這類服務例如開放銀行（open banking）的第三方服務，所述方法可以提供第三方取得金融方面的資料，如個人帳戶的明細、餘額、交易歷史等；例如有第三方系統要求認證身份，可以通過此方法讓第三方服務經過授權取得個人識別資料。如此，使得第三方可以通過所述方法與授權存取系統達成跨平台存取個人敏感性資料與達到資料可攜等的目的。

以上所公開的內容僅為本發明的優選可行實施例，並非因此侷限本發明的申請專利範圍，所以凡是運用本發明說明書及圖式內容所做的等效技術變化，均包含於本發明的申請專利範圍內。

101:使用者裝置 10:代理伺服器 12:授權伺服器 120:使用者資料庫 14:資源伺服器 140:資源資料庫 41:使用者裝置 42:代理存取模組 43:授權模組 44:資源模組 S201～S213步驟:跨平台授權存取資源方法流程 S301～S311步驟:跨平台授權存取資源方法中驗證身份流程 S401～S425步驟:跨平台授權存取資源方法流程

圖1顯示運行跨平台授權存取資源方法的授權存取系統的系統架構實施例圖；

圖2顯示運行跨平台授權存取資源方法的實施例流程圖；

圖3顯示跨平台授權存取資源方法中執行身份驗證的實施例流程圖；以及

圖4顯示運行於多方的跨平台授權存取資源方法的實施例流程圖。

101:使用者裝置

10:代理伺服器

12:授權伺服器

120:使用者資料庫

14:資源伺服器

140:資源資料庫

Claims

一種跨平台授權存取資源方法，包括：提出一代理存取模組，由該代理存取模組自一資源擁有者接收一資源存取請求，其中包括請求之一資源項目以及該資源擁有者的一識別代碼；該代理存取模組根據該資源存取請求產生一授權請求，並傳送至一授權模組；該授權模組根據該授權請求得出該資源擁有者的該識別代碼，與該資源擁有者完成身份驗證後，產生對應所請求之該資源項目的一存取代碼，並將該資源項目與該存取代碼形成一驗證資料；該授權模組傳送該驗證資料至該代理存取模組以及一資源模組；以及經該資源模組檢查自該授權模組接收的該驗證資料無誤後，根據該資源存取請求提供該資源擁有者一資源取得資訊；其中於形成該驗證資料的步驟中，包括對該資源項目與該存取代碼進行一押碼演算，形成一押碼值，該押碼值、該資源項目與該存取代碼形成該驗證資料，該資源模組即接著驗證該押碼值。
如請求項1所述的跨平台授權存取資源方法，其中該押碼演算為演算一訊息驗證碼、雜湊值、加密或數位簽章。
如請求項2所述的跨平台授權存取資源方法，其中，於該代理存取模組接收該資源存取請求時，以該代理存取模組的一代理識別碼及一金鑰進行該數位簽章後產生該授權請求，該授權請求經加密後傳送至該授權模組。
如請求項3所述的跨平台授權存取資源方法，其中，於該授權模組接收經加密的該授權請求，根據該數位簽章驗證該授權請求，再從中得出關於該資源存取請求的該資源擁有者的該識別代碼，並經比對一使用者資料庫後得出該資源擁有者的一通信方法，以根據該通信方法與該資源擁有者完成身份驗證。
如請求項4所述的跨平台授權存取資源方法，其中該授權模組通過該通信方法向該資源擁有者發出一身份確認請求，為要求該資源擁有者通過一網站、一應用程式或一信息進行身份驗證的請求，約定的驗證資料包括一密碼、一設備資訊、一生物特徵、由一使用者裝置產生的一次式密碼，或由該授權模組產生經簡訊或推播傳送至該資源擁有者的使用者裝置所產生的一次式密碼。
如請求項1至5中任一項所述的跨平台授權存取資源方法，其中該資源項目為一資料檔案清單，由該資源模組提供的該資源取得資訊包括下載資料檔案或資訊的一連結。
一種授權存取系統，包括：一資源模組，通過網路提供一或多個資源擁有者自己或授權他人存取各種資源項目的服務；一授權模組，通過網路提供存取該資源模組中各種資源項目的使用者認證與授權服務；一代理存取模組，通過網路提供該一或多個資源擁有者自己或授權他人存取該資源模組中各種資源項目的代理服務；其中該授權存取系統執行一跨平台授權存取資源方法，包括：該代理存取模組自其中之一資源擁有者接收一資源存取請求，其中包括請求之一資源項目以及該資源擁有者的一識別代碼；該代理存取模組根據該資源存取請求產生一授權請求；該代理存取模組傳送該授權請求至該授權模組；該授權模組根據該授權請求得出該資源擁有者的該識別代碼，與該資源擁有者完成身份驗證後，產生對應所請求之該資源項目的一存取代碼，並將該資源項目與該存取代碼形成一驗證資料；該授權模組傳送該驗證資料至該代理存取模組以及該資源模組；以及經該資源模組檢查自該授權模組接收的該驗證資料無誤後，根據該資源存取請求提供該資源擁有者一資源取得資訊；其中於形成該驗證資料的步驟中，包括對該資源項目與該存取代碼進行一押碼演算，形成一押碼值，該押碼值、該資源項目與該存取代碼形成該驗證資料，該資源模組即接著驗證該押碼值。
如請求項7所述的授權存取系統，其中該押碼演算為演算一訊息驗證碼、雜湊值、加密或數位簽章。
如請求項8所述的授權存取系統，其中該代理存取模組為一提供該使用者請求存取該資源項目的一代理伺服器；該授權模組為一負責授權存取資源的一授權伺服器；以及該資源模組為提供各種資源項目的一資源伺服器。
如請求項8所述的授權存取系統，其中，於該授權模組接收經加密的該授權請求，根據該數位簽章驗證該授權請求，再從中得出關於該資源存取請求的該資源擁有者的該識別代碼，並經比對一使用者資料庫後得出該資源擁有者的一通信方法，以根據該通信方法與該資源擁有者完成身份驗證。
如請求項10所述的授權存取系統，其中該授權模組通過該通信方法向該資源擁有者發出一身份確認請求，為要求該資源擁有者通過一網站、一應用程式或一信息進行身份驗證的請求，約定的驗證資料包括一密碼、一設備資訊、一生物特徵、由一使用者裝置產生的一次式密碼，或由該授權模組產生經簡訊或推播傳送至該資源擁有者的使用者裝置所產生的一次式密碼。
如請求項7至11中任一項所述的授權存取系統，其中該資源項目為一資料檔案清單，由該資源模組提供的該資源取得資訊包括下載資料檔案或資訊的一連結。