WO2013182151A1 - 基于网络服务应用的鉴权方法及系统 - Google Patents

基于网络服务应用的鉴权方法及系统 Download PDF

Info

Publication number
WO2013182151A1
WO2013182151A1 PCT/CN2013/079769 CN2013079769W WO2013182151A1 WO 2013182151 A1 WO2013182151 A1 WO 2013182151A1 CN 2013079769 W CN2013079769 W CN 2013079769W WO 2013182151 A1 WO2013182151 A1 WO 2013182151A1
Authority
WO
WIPO (PCT)
Prior art keywords
dynamic
party client
dynamic password
authentication
password
Prior art date
Application number
PCT/CN2013/079769
Other languages
English (en)
French (fr)
Inventor
郑守军
陆剑峰
沈蓓洁
秦延涛
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2013182151A1 publication Critical patent/WO2013182151A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3228—One-time or temporary data, i.e. information which is sent for every authentication or authorization, e.g. one-time-password, one-time-token or one-time-key
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H04L63/0846—Network architectures or network communication protocols for network security for authentication of entities using passwords using time-dependent-passwords, e.g. periodically changing passwords

Definitions

  • the present invention relates to the field of network service technologies, and in particular, to an authentication method and system based on a web service application.
  • Web Service is a system external interface. It is a general model for building applications. It can be run in any operating system that supports network communication. It is a new branch of web application. It is self-contained and self-contained. Description, modular application, can be published, located, and called via the web.
  • a web service is an application component that logically provides data and services to other applications. Each application passes network protocols and some standard data formats such as Http (Hyper Text Transport Protocol), XML (Extensive Makeup Language), Soap (Simple Object Access Protocol) ) to access the Web Service, and get the desired result through the internal execution of the Web Service.
  • Web services can perform any function from simple request to complex business processing. Once deployed, other web service applications can discover and invoke the services they deploy.
  • WebService is a platform-independent, software vendor-independent standard based on XML, XSD (XMLSchema, Extensible Standard Language Structure Definition), and is a new platform for creating interoperable, distributed applications.
  • XML Internet-independent
  • XSD XMLSchema, Extensible Standard Language Structure Definition
  • WebService is a platform-independent, software vendor-independent standard based on XML, XSD (XMLSchema, Extensible Standard Language Structure Definition), and is a new platform for creating interoperable, distributed applications.
  • IT Information Technology
  • information security incidents such as web page tampering, computer viruses, system hacking, data breaches, website spoofing, service scams, and illegal exploitation of vulnerabilities still occur when accessing Web Service applications using existing technologies.
  • the embodiment of the invention provides an authentication method and system based on a Web service application, which aims to limit the illegal attack on the Web Service application on the network without affecting the normal use of the legitimate user.
  • the embodiment of the invention discloses an authentication method based on a Web service application, comprising the following steps:
  • the web service web service server receives a dynamic password request sent by a third-party client, and sends the first key information to the third-party client.
  • the dynamic password is generated after the authentication is passed, and the dynamic password is sent to the service multimedia server;
  • the service multimedia server receives the dynamic password, and sends a dynamic password to the terminal, where the third-party client obtains the dynamic password;
  • the web service server receives the application request sent by the third-party client, and authenticates the second key information sent by the third-party client, and sends the application request to the service multimedia server after the authentication is passed; the service multimedia server responds The application requests to initiate a corresponding application to the terminal.
  • the first key information includes: an IP address of the third-party client, a first dynamic timestamp, and a first parameter encryption check string;
  • the second key information includes: an IP address, a second dynamic timestamp, and a second parameter encryption check string of the third party client.
  • the first parameter encryption check string includes enterprise account information, a third dynamic time stamp, and password information of the IP address; and the second parameter encryption check string includes enterprise account information, a fourth dynamic timestamp of the dynamic password encryption, the password information of the IP address, where the third dynamic timestamp is the same as the first dynamic timestamp or an offset value of the first dynamic timestamp The fourth dynamic timestamp is the same as the second dynamic timestamp or an offset value of the second dynamic timestamp.
  • the application request includes a separate dynamic password field, and after receiving the application request sent by the third-party client, the web service server first checks the dynamic password, and after verifying, the third-party client is verified. Two key information is authenticated.
  • the web service server does not limit the IP source of the third party client, then The IP address in the first key information and the second key information needs to be authenticated; preferably, the web service server and the third party client agree to encrypt the dynamic time stamp by using the dynamic password. rule.
  • the embodiment of the invention further discloses an authentication system based on a Web service application, comprising a web service server and a service multimedia server; the web service server is configured to receive a dynamic password request sent by a third party client, to the third party client.
  • the first key information sent by the terminal is authenticated, and the dynamic password is generated after the authentication is passed, and the dynamic password is sent to the service multimedia server; and the application request sent by the third-party client is received, for the third-party client.
  • the second key information sent by the terminal is authenticated, and the application request is sent to the service multimedia server after the authentication is passed;
  • the service multimedia server is configured to receive the dynamic password, and send a dynamic password to the terminal; and is further configured to initiate a corresponding application to the terminal in response to the application request sent by the web service server.
  • the first key information includes: an IP address of the third-party client, a first dynamic timestamp, and a first parameter encryption check string;
  • the second key information includes: an IP address of the third-party client, a second dynamic timestamp, and a second parameter encryption check string.
  • the first parameter encryption check string includes enterprise account information, a third dynamic time stamp, and password information of the IP address; and the second parameter encryption check string includes enterprise account information, a fourth dynamic timestamp of the dynamic password encryption, the password information of the IP address, where the third dynamic timestamp is the same as the first dynamic timestamp or an offset value of the first dynamic timestamp The fourth dynamic timestamp is an offset value of the second dynamic timestamp.
  • the web service server is further configured to: if the application request includes a separate dynamic password field, after the web service server receives the application request sent by the third-party client, The dynamic password is verified first, and the second key information of the third-party client is authenticated after the verification is passed.
  • the web service server is further configured to: if the IP source of the third-party client is not restricted, the IP address in the key information is not required to be authenticated; preferably, the web service server is further configured to make:
  • An operation rule that is compliant with the third-party client to encrypt the fourth dynamic timestamp with the dynamic password is an appointment rule.
  • the embodiment of the invention further discloses a server based on a network service application, comprising a receiving module, a first authentication module, a dynamic password generating module, a sending module and a second authentication module, wherein the receiving module is configured to receive the first a dynamic password request sent by the three-party client; the first authentication module is configured to authenticate the first key information in the dynamic password request received by the receiving module, and notify the dynamic password generation after the authentication is passed a dynamic password generating module, configured to receive a notification of the first authentication module, generate a dynamic password, and transmit the dynamic password to the sending module; and send a module, configured to send the dynamic password to the service multimedia server Sending, by the service multimedia server, the dynamic password to the terminal; the receiving module is further configured to receive the dynamic password fed back by the terminal; the receiving module is further configured to receive the third-party client An application request sent; a second authentication module
  • the second key information includes an IP address, a second dynamic timestamp, and a second parameter encryption check string of the third party client.
  • the first parameter encryption check string includes enterprise account information, a third dynamic timestamp, and password information of the IP address
  • the second parameter encryption check string includes enterprise account information, a fourth dynamic timestamp encrypted by the dynamic password and password information of the IP address; wherein the third dynamic timestamp is the same as the first dynamic timestamp or is one of the first dynamic timestamps An offset value, where the fourth dynamic timestamp is an offset value of the second dynamic timestamp.
  • the second authentication module is further configured to: if the application request includes a dynamic password field, verify the dynamic password first, and then verify the second password to the third party Critical information is authenticated.
  • the first authentication module and the second authentication module are further configured to: if the IP source of the third-party client is not restricted, do not need to perform IP address in the key information. Authentication, optionally, wherein the second authentication module is further configured to:
  • the third-party client sends a dynamic password request through the web service server, and after the authentication is passed, the dynamic password is sent to the service multimedia server, and after receiving the dynamic password, the service multimedia server sends the dynamic password to the terminal.
  • the third-party client obtains the dynamic password from the terminal; after the web service server authenticates the application request sent by the third-party client, the web service server sends an application request to the service multimedia server, and the service multimedia server responds to the application request and initiates to the terminal.
  • the application method has the beneficial effects of limiting the network to the web service application and not affecting the normal use of the legitimate user, improving the system performance and improving the user experience.
  • FIG. 1 is a schematic diagram of a specific application scenario of an authentication method based on a Web Service application according to a preferred embodiment of the present invention
  • 2 is a schematic flowchart of an embodiment of a web service application-based authentication method according to a preferred embodiment of the present invention
  • FIG. 3 is a diagram of a web service application in a web service application-based authentication method according to a preferred embodiment of the present invention
  • FIG. 4 is a schematic structural diagram of an embodiment of an authentication system based on a Web Service application according to a preferred embodiment of the present invention.
  • FIG. 5 is a schematic diagram of a structure of an example of a server based on a Web Service application according to a preferred embodiment of the present invention and a relationship with a third party client, a service multimedia server, and a terminal.
  • FIG. 1 is a schematic diagram of a specific application scenario of a web service application-based authentication method according to a preferred embodiment of the present invention; as shown in FIG. 1 , a specific embodiment of a web service application-based authentication method according to a preferred embodiment of the present invention is shown in FIG. 1 .
  • the application scenario includes a third-party client, a web service server, a multimedia service server, a core network, and a terminal.
  • the Web Service server is mainly used for judging and processing the request sent by a third-party client, solving the problem of the legality of the third-party client, and verifying the validity of the user identity. After verification, you can use fax, SMS, conference, and call for various applications.
  • the core network is mainly composed of a number of functional entities such as a Home Subscriber Server (HSS), a Media Gateway Control Function (MGCF), and a Media Gateway (MGW).
  • the business media server is mainly responsible for the judgment and processing of the multimedia business logic.
  • the terminal includes various terminal types for applications such as fax, SMS, conference, and call, and can be a fax machine, a mobile phone, a landline phone, a PHS, a computer, and the like.
  • Third-party clients are a variety of clients that can operate on a variety of applications, such as faxing, texting, conferencing, and calling. In some cases, the third-party client and the terminal can be the same entity.
  • FIG. 2 is a basis of a preferred embodiment of the present invention. As shown in FIG.
  • the web service application-based authentication method of the preferred embodiment of the present invention specifically includes the following steps: Step S01: The web service server receives a third-party client The dynamic password request sent by the terminal authenticates the first key information sent by the third-party client, generates a dynamic password after the authentication is passed, and sends the dynamic password to the service multimedia server;
  • the third-party client initiates a request for applying for a dynamic password to the web service server, and the web service server authenticates the key information sent by the third-party client (ie, the first key information); if the authentication fails, the subsequent step ends. If the authentication succeeds, the web service server generates a dynamic password, and sends the dynamic password to the service multimedia server.
  • the first key information sent by the third-party client includes: an IP (Internet Protocol) address of the third-party client, a first dynamic timestamp, and a first parameter encryption check. Strings, etc.
  • the web service server verifies the IP address of the third-party client, and if the IP address is invalid, directly prohibits the access of the third-party client corresponding to the IP address; if the IP address is legal, the third-party client
  • the dynamic timestamp of the end is verified; if the dynamic timestamp and the time interval on the web service server exceed the duration, the third-party client corresponding to the IP address is directly prohibited from being accessed; if the dynamic timestamp is verified,
  • the parameter encryption string is verified; the string includes a third dynamic timestamp, IP password information, enterprise account information, and the like, wherein the third dynamic timestamp may be the same as the first dynamic timestamp, or
  • the embodiment of the present invention is not limited to the embodiment of the present invention.
  • the first dynamic time stamp is added to the first dynamic time stamp to add a digit string or the first dynamic time stamp is added to the first dynamic time stamp. If the string matching fails, it ends directly; if the string matches, the Web Service server generates the dynamic The code, and the dynamic password is sent to the service multimedia server, and the dynamic password can be a combination of numbers or numbers/characters, as long as the two parties agree on what number each character represents; the dynamic password can be directly a string of dynamic passwords. It can also be a dynamic password short message composed of a dynamic password. This embodiment does not limit the composition content and composition mode of the dynamic password.
  • Step S02 The service multimedia server receives the dynamic password, and sends the dynamic password to the terminal, where the third-party client acquires the dynamic password from the terminal.
  • the service multimedia server receives the dynamic password sent by the web service server, and sends the dynamic password to the terminal, and the third-party client obtains the dynamic password from the terminal; the manner of obtaining is related to the attribute of the terminal: if the terminal is a mobile phone, The terminal may forward the dynamic password to the third-party client; if the terminal is a fax machine, the password needs to be manually entered or otherwise entered into the third-party client; for example, the terminal and the third-party client are The same entity can forward the password to a third-party client, etc. by means of automatic forwarding. After receiving the dynamic password, the third-party client sends an application request to the web service server.
  • the dynamic password can be used as a separate check for the third-party client to be authenticated by the server, or as a random value for the subsequent encrypted dynamic timestamp.
  • the web service server receives the application request sent by the third-party client, and authenticates the second key information sent by the third-party client, and sends the application request to the service multimedia server after the authentication is passed;
  • the third-party client After receiving the dynamic password, the third-party client sends an application request such as a fax, a short message, a conference, a call, and the like to the web service server; the web service server receives the application request sent by the third-party client, and sends the application request to the third-party client again.
  • the key information (ie: the second key information) is authenticated.
  • the web service server authenticates the key information, if the application request contains a separate dynamic password field, the dynamic password sent by the third-party client is first verified; if the verification fails, the reason for the verification failure is analyzed; If the dynamic password is incorrect, the third-party client re-initiates the application request for fax, SMS, conference, call, etc.
  • the Web Service server if the third-party client does not apply for the password or the applied password has expired, the third-party client needs Re-initiate a dynamic password request to the web service server. If the dynamic password is verified, the Web Service server checks the IP address of the third-party client. If the IP address is invalid, the third-party client corresponding to the IP address is directly blocked.
  • the second dynamic timestamp of the third-party client is verified; if the time interval between the second dynamic timestamp and the web service server exceeds the time-length threshold, the access of the third-party client corresponding to the IP address is directly prohibited; After the second dynamic timestamp is verified, the second parameter encrypted string is verified; the second parameter encrypted string includes the encrypted fourth dynamic timestamp information calculated by the dynamic password according to the agreed rule.
  • the second dynamic timestamp is a dynamic timestamp when the third party client initiates an application request
  • the fourth dynamic timestamp is Same as the second dynamic timestamp, or the second dynamic timestamp plus an offset formed by: adding a numeric string after the second dynamic timestamp or adding a number to the second dynamic timestamp, as long as the agreement is made in advance
  • the embodiment of the present invention does not specifically limit; if the string matching fails, the process directly ends; if the string matches, the web service server sends a request for a fax, short message, conference, call, etc. initiated by the third party client to the service multimedia server. .
  • step S03 if the web service server does not limit the IP source of the third party client, the IP address in the key information does not need to be authenticated.
  • Step S04 The service multimedia server sends a corresponding application to the terminal in response to the application request.
  • the service multimedia server responds to the application request initiated by the Web Service server, and initiates corresponding applications such as fax, short message, conference, and call to the terminal.
  • FIG. 3 is a schematic diagram of a process flow of a web service server performing various application signals in a web service application-based authentication method according to a preferred embodiment of the present invention; as shown in FIG. 3, a third-party client sends a dynamic to a web service server.
  • the web service server authenticates the key information sent by the third party client (ie, the first key information), generates a dynamic password after the authentication is passed, and sends the dynamic password to the service multimedia server, the service multimedia.
  • the server sends the dynamic password to the terminal, and the third party client acquires the dynamic password from the terminal. If the third-party client and the terminal are the same entity, the dynamic password can be automatically forwarded to the third-party client by the terminal; if the terminal is a fax machine, a fixed-line telephone, etc., the dynamic password can be manually or otherwise entered.
  • the dynamic password can be forwarded to the third-party client by using a short message or the like; when the third-party client initiates an application request such as a fax, a short message, a conference, or a call,
  • the web service server receives the application request sent by the third-party client, and then authenticates the key information (that is, the second key information) sent by the third-party client, and sends the application request to the service multimedia server after the authentication is passed.
  • the service multimedia server responds to the application request and initiates related applications such as fax, short message, conference, and call to the terminal, and does not affect the normal use of the legitimate user while restricting the network from illegally attacking the Web service application.
  • the application request may include dynamic password information, and the composition content and composition manner of the application request are not limited in this embodiment. It can be understood by those skilled in the art that the web service server performs various applications in the authentication method based on the Web service application. The signal flow is not limited to the specific description of the embodiment of Figure 3.
  • the third party client can send a dynamic password request to the web service server, and the dynamic password is generated by the web service server, and the dynamic password is sent to the service multimedia server, and the service multimedia server receives the dynamic The password is sent to the third party client; or the third party client sends a dynamic password request to the web service server, and the web service server responds to the request, generates a dynamic password, and replies the dynamic password to the third party Clients;
  • the specific implementation manner of the signal flow of the Web Service server for performing various applications in the authentication method based on the Web Service application of the present invention is not limited.
  • FIG. 4 is a schematic structural diagram of a unified embodiment of an authentication system based on a Web Service application according to a preferred embodiment of the present invention.
  • the Web Service application-based authentication system includes a Web Service Server 01 and a Service Multimedia Server 02.
  • the web service server 01 is configured to receive a dynamic password request sent by a third-party client, perform authentication on the first key information sent by the third-party client, generate a dynamic password after the authentication is passed, and send the dynamic password to the service multimedia server 02.
  • the dynamic password is further configured to receive an application request sent by the third-party client, perform authentication on the second key information sent by the third-party client, and send the application to the service multimedia server 02 after the authentication is passed.
  • Request is further configured to receive an application request sent by the third-party client, perform authentication on the second key information sent by the third-party client, and send the application to the service multimedia server 02 after the authentication is passed.
  • the service multimedia server 02 is configured to receive the dynamic password, and send a dynamic password to the terminal.
  • the device is further configured to initiate a corresponding application to the terminal in response to the application request sent by the Web Service server 01.
  • the web service application based on the preferred embodiment of the present invention is used.
  • the specific working process of the authentication system is described as follows: The third-party client initiates a request for applying for a dynamic password to the Web Service server 01, and the Web Service server 01 authenticates the first key information sent by the third-party client; If not, the subsequent process ends; if the authentication is passed, the Web Service server 01 generates a dynamic password and sends the dynamic password to the service multimedia server 02.
  • the first key information sent by the third-party client includes: The IP (Internet Protocol) address, the first dynamic timestamp, the first parameter encryption check string, and the like of the third-party client.
  • the web service server 01 verifies the IP address of the third-party client, and if the IP address is invalid, directly prohibits the access of the third-party client corresponding to the IP address; if the IP address is legal, the third-party client The first dynamic timestamp of the client is verified; if the time interval between the first dynamic timestamp and the web service server 01 exceeds the time width, the access of the third party client corresponding to the IP address is directly prohibited; if the first After the dynamic timestamp is verified, the first parameter encrypted string is verified; the first parameter encrypted string includes a third dynamic timestamp, IP password information, enterprise account information, etc., wherein the third dynamic timestamp , may be the same as the first dynamic timestamp, or may be formed by adding a bias to the first dynamic timestamp: adding a digit string
  • the dynamic password may be a combination of numbers or numbers/characters, as long as the two parties agree on what number each character represents; the dynamic password request may be directly For a string of dynamic passwords, it may also be a dynamic password short message composed of a dynamic password.
  • This embodiment does not limit the composition content and composition manner of the dynamic password request.
  • the web service server 01 does not restrict the IP source of the third party client, the IP address in the third party client key information does not need to be verified.
  • the third-party client After receiving the dynamic password sent by the Web Service server 01 and transmitting the dynamic password to the terminal, the third-party client obtains the dynamic password from the terminal and sends an application request to the Web Service server 01.
  • the dynamic password can be used as a separate check item for authenticating the third party client by the server, or as a random value of the subsequent encrypted dynamic time stamp.
  • the third-party client After obtaining the dynamic password from the terminal, the third-party client sends an application request such as a fax, a short message, a conference, or a call to the Web Service server 01; the Web Service server 01 receives the application request sent by the third-party client, and again The key information sent by the third-party client (ie: the second key information) is authenticated.
  • the web service server 01 authenticates the second key information, if the application requested by the third party client requests the application request to include a separate dynamic password field, the first The dynamic password is checked first; if the verification fails, the reason for the verification failure is analyzed; if the dynamic password is incorrect, the third-party client re-initiates the application request of the fax, short message, conference, call, etc.
  • the third-party client does not apply for a password or the requested password has expired, the third-party client needs to re-initiate a dynamic password request to the Web Service server 01. If the dynamic password is verified, the Web service server 01 checks the IP address of the third-party client. If the IP address is invalid, the third-party client corresponding to the IP address is directly prohibited.
  • the third dynamic timestamp of the third-party client is verified; if the time interval between the second dynamic timestamp and the Web Service server 01 exceeds the time-length threshold, the access of the third-party client corresponding to the IP address is directly prohibited; If the second dynamic timestamp check is passed, the parameter encryption string is verified; the string includes the encrypted fourth dynamic timestamp, the IP password information, and the enterprise after the dynamic password is calculated according to the agreed rule.
  • the second dynamic timestamp is a dynamic timestamp when the third party client initiates an application request
  • the fourth dynamic timestamp is the same as the second dynamic timestamp, or is the second Dynamic time stamping plus an offset is formed: adding a numeric string after the second dynamic timestamp or adding a number to the second dynamic timestamp, If the string matching fails, the web service server 01 sends a fax, a short message, and a third party client to the service multimedia server 02.
  • Application requests such as meetings, calls, etc.
  • the web service server 01 authenticates the third-party client
  • the web service server 01 does not limit the IP source of the third-party client, the IP address in the key information does not need to be performed. Authentication.
  • the service multimedia server 02 responds to the application request initiated by the Web Service server 01, and initiates corresponding applications such as fax, short message, conference, call, and the like to the terminal.
  • the embodiment of the present invention further includes a network service-based server, including a receiving module, a first authentication module, a dynamic password generating module, a sending module, and a second authentication module, where: the receiving module The first authentication module is configured to perform authentication on the first key information in the dynamic password request received by the receiving module, where the first authentication module is configured to receive the dynamic password request sent by the third-party client.
  • a network service-based server including a receiving module, a first authentication module, a dynamic password generating module, a sending module, and a second authentication module, where: the receiving module The first authentication module is configured to perform authentication on the first key information in the dynamic password request received by the receiving module, where the first authentication module is configured to receive the dynamic password request sent by the third-party client.
  • the dynamic password generating module is notified; the dynamic password generating module is configured to receive the notification of the first authentication module, generate a dynamic password, and transmit the dynamic password to the sending module;
  • the sending module is configured to send the dynamic password to the service multimedia server, and the service multimedia server sends the dynamic password to the terminal;
  • the receiving module is further configured to receive the feedback that is sent by the terminal a dynamic password;
  • the receiving module is further configured to receive an application request sent by the third-party client;
  • the second authentication module is configured to be the second one of the application requests received by the receiving module
  • the key information is authenticated, and after the authentication is passed, the sending module is notified to send an application request to the service multimedia server.
  • the first key information includes: an IP address of the third-party client, a first dynamic timestamp, and a first parameter encryption check string
  • the second key information includes: an IP address of the third-party client The second dynamic timestamp and the second parameter cryptographic check string.
  • the parameter encryption check string of the first key information includes enterprise account information, a third dynamic time stamp, and password information of the IP address
  • the parameter encryption check string of the second key information includes enterprise account information, a fourth dynamic timestamp encrypted with the dynamic password and password information of the IP address.
  • the second authentication module is further configured to: if the application request includes a dynamic password field, first verify the dynamic password, and then verify the second key information of the third-party client after the verification is passed.
  • the first authentication module and the second authentication module are further configured to: if the IP source of the third-party client is not restricted, the IP address in the key information does not need to be authenticated;
  • the second authentication module is further configured to: agree with the third party client to use the dynamic password to encrypt the fourth dynamic timestamp.
  • the third-party client sends a dynamic password request through the web service server, and generates a dynamic password after the authentication is passed, and sends the dynamic password to the service multimedia server.
  • the service multimedia server sends a dynamic password to the terminal in response to the dynamic password request, and the third-party client obtains the dynamic password from the terminal; after the application request authentication sent by the third-party client of the Web service server passes, the service is sent to the service multimedia server.
  • the application request, the service multimedia server responds to the application request, and initiates an application to the terminal, which has the beneficial effect of limiting the network to the web service application and not affecting the normal use of the legitimate user, improving the system performance and improving the user experience.
  • a constantly changing check string is introduced, and a dynamic time stamp is introduced;
  • the contract rules are negotiated by the web service server and third-party clients.
  • a legitimate user can apply for a random dynamic password first, and then the third party client operates on the timestamp according to the random number.
  • the dynamic password is 287519
  • the first step is to add 287519 seconds to the timestamp
  • the second step is to replace the 2nd and 8th digits of the timestamp
  • the third step is to change the 7th and 5th digits
  • the fourth Steps change the first and ninth digits to obtain a dynamic timestamp
  • encrypt the dynamic timestamp according to the dynamic password to generate an encrypted dynamic timestamp, thus solving the problem of illegal repetitive attacks and the defects of regular algorithms, expanding An application for authentication.
  • the algorithm for the dynamic timestamp is not limited to the above-mentioned first offset and then exchanged algorithm, and may also be defined as: the first timestamp, the second digit, the second digit, the second digit, the eighth digit, the eighth digit, the eighth digit, the eighth digit, the eighth digit, the eighth digit, the eighth digit, The 7th bit adds 7 to the number part, the 5th bit adds 5 to the number part, the 1st bit adds 1 to the number part, the 9th bit adds 9 to the number part.
  • the second and eighth digits of the timestamp are exchanged.
  • the third step is to replace the seventh and fifth of the last digit.
  • the fourth step is to replace the first and last digits of the last digit.
  • a dynamic timestamp is obtained, and the dynamic timestamp is finally encrypted according to the dynamic password to generate an encrypted dynamic timestamp.
  • the conventions of the Web Service server and the third-party client for encrypting the dynamic time stamp according to the dynamic password are far less than the two implementation methods listed above, and the Web Service server can cooperate with the third-party client.
  • the method for negotiating any of the agreed-upon rules for satisfying the condition is not limited by the method for formulating the rule of the dynamic time stamp according to the dynamic password.
  • all or a portion of the above steps may be performed by a program to instruct the associated hardware, such as a read only memory, a magnetic disk, or an optical disk.
  • all or part of the steps of the foregoing embodiments may also be implemented by using one or more integrated circuits.
  • each module/unit in the foregoing embodiment may be implemented in the form of hardware, or may use software functions.
  • the form of the module is implemented.
  • the invention is not limited to any specific form of combination of hardware and software.
  • the above description is only a preferred embodiment of the present invention, and is not intended to limit the scope of the patents.
  • the equivalent structure or equivalent process transformations made by the description of the present invention and the drawings are directly or indirectly applied to other related technical fields. The same is included in the scope of patent protection of the present invention.
  • the network service server authenticates the request of the third-party client to send the dynamic password, and the service multimedia server sends the dynamic password to the terminal after the authentication is passed.
  • the third-party client obtains the dynamic password from the terminal; after the network service server passes the application request authentication sent by the third-party client, the network service server sends an application request to the service multimedia server, and the service multimedia server initiates the application to the terminal, Limiting the network's illegal attacks on network service applications without affecting the beneficial effects of legitimate users, can improve system performance and improve user experience.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明实施例公开了一种基于网络服务应用的鉴权方法及系统，网络服务服务器对第三方客户端发送动态密码的请求进行鉴权，鉴权通过后业务多媒体体服务器向终端发送动态密码，所述第三方客户端从终端获取所述动态密码；网络服务服务器接收第三方客户端发送的应用请求，鉴权通过后向业务多媒体服务器发送应用请求，业务多媒体服务器响应该应用请求，向终端发起应用的方法，具有限制网络对网络服务应用的非法攻击且不影响合法用户正常使用的有益效果，提高了系统性能，提升了用户体验。

Description

基于网络服务应用的鉴权方法及系统
技术领域 本发明涉及网络服务技术领域， 尤其涉及一种基于网络服务 （Web Service )应用的鉴权方法及系统。
背景技术
Web Service是系统对外的接口， 是一种构建应用程序的普遍模型， 可以 在任何支持网络通信的操作系统中实施运行， 它是一种新的 web (网络） 应 用程序分支， 是自包含、 自描述、 模块化的应用， 可以发布、 定位、 通过 web 调用。 Web Service是一个应用组件， 它逻辑性的为其他应用程序提供数据与 服务。各应用程序通过网络协议和规定的一些标准数据格式如 Http( Hyper Text Transport Protocol, 超文本传输协议 )、 XML ( Extensive Makeup Language , 可 扩展标示语言）、 Soap ( Simple Object Access Protocol, 简单对象访问协议） 等来访问 Web Service,通过 Web Service内部执行得到所需结果。 Web Service 可以执行从简单的请求到复杂商务处理的任何功能。 一旦部署， 其他 Web Service应用程序可以发现并调用它部署的服务。 实际上， WebService的主要 目标是跨平台的可互操作性。为了达到这一目标， WebService完全基于 XML、 XSD ( XMLSchema, 可扩展标准语言结构定义）等独立于平台、 独立于软件 供应商的标准， 是创建可互操作的、 分布式应用程序的新平台。 随着互联网发展和信息技术的普及， 网络和 IT ( Information Technology, 信息技术） 已经日渐深入到日常生活和工作当中， 社会信息化和信息网络化， 突破了应用信息在时间和空间上的障碍， 使信息的价值不断提高。 但与此同 时， 利用现有技术进行 Web Service应用的访问时， 网页篡改、 计算机病毒、 系统非法入侵、 数据泄密、 网站欺骗、 服务瘫痪、 漏洞非法利用等信息安全 事件仍时有发生。
发明内容 本发明实施例提供一种基于 Web Service应用的鉴权方法及系统， 旨在限 制网络上对 Web Service应用的非法攻击， 同时不影响合法用户的正常使用。 本发明实施例公开了一种基于 Web Service应用的鉴权方法， 包括以下步 骤： 网络服务 Web Service服务器接收第三方客户端发送的动态密码请求， 对 所述第三方客户端发送的第一关键信息进行鉴权， 鉴权通过后生成动态密码， 向业务多媒体服务器发送所述动态密码； 业务多媒体服务器接收所述动态密码， 向终端发送动态密码， 所述第三 方客户端从所述终端获取所述动态密码；
Web Service服务器接收所述第三方客户端发送的应用请求， 对所述第三 方客户端发送的第二关键信息进行鉴权， 鉴权通过后向业务多媒体服务器发 送所述应用请求； 业务多媒体服务器响应所述应用请求， 向终端发起相应的应用。 优选地， 所述第一关键信息包括： 所述第三方客户端的 IP地址、 第一动态时间戳和第一参数加密校验字符 串；
所述第二关键信息包括： 所述第三方客户端的 IP地址、第二动态时间戳和 第二参数加密校验字符串。 优选地， 所述第一参数加密校验字符串包括企业账号信息、 第三动态时 间戳、所述 IP地址的密码信息； 所述第二参数加密校验字符串包括企业账号信 息、 用所述动态密码加密的第四动态时间戳、 所述 IP地址的密码信息； 其中， 所述第三动态时间戳与所述第一动态时间戳相同或者是所述第一动态时间戳 的一偏置值， 所述第四动态时间戳与所述第二动态时间戳相同或者是所述第 二动态时间戳的一偏置值。
优选地， 所述应用请求包含单独的动态密码字段， Web Service服务器接 收所述第三方客户端发送的应用请求后， 先校验所述动态密码， 校验通过后 对所述第三方客户端的第二关键信息进行鉴权。
优选地， 若 Web Service服务器不限制所述第三方客户端的 IP来源， 则不 需要对所述第一关键信息和第二关键信息中的 IP地址进行鉴权； 优选地， Web Service服务器与所述第三方客户端约定用所述动态密码对 所述动态时间戳进行加密的运算规则。
本发明实施例还公开一种基于 Web Service应用的鉴权系统， 包括 Web Service服务器和业务多媒体服务器； 所述 Web Service服务器设置成接收第三方客户端发送的动态密码请求， 对所述第三方客户端发送的第一关键信息进行鉴权， 鉴权通过后生成动态密 码， 向业务多媒体服务器发送所述动态密码； 还设置成接收所述第三方客户端发送的应用请求， 对所述第三方客户端 发送的第二关键信息进行鉴权， 鉴权通过后向业务多媒体服务器发送应用请 求；
所述业务多媒体服务器设置成接收所述动态密码， 向终端发送动态密码； 还设置成响应 Web Service服务器发送的所述应用请求， 向终端发起相应 的应用。 优选地， 所述第一关键信息包括： 所述第三方客户端的 IP地址、 第一动态时间戳和第一参数加密校验字符 串；
所述第二关键信息包括： 所述第三方客户端的 IP地址、第二动态时间戳和 第二参数加密校验字符串。 优选地， 所述第一参数加密校验字符串包括企业账号信息、 第三动态时 间戳、所述 IP地址的密码信息； 所述第二参数加密校验字符串包括企业账号信 息、 用所述动态密码加密的第四动态时间戳、 所述 IP地址的密码信息； 其中， 所述第三动态时间戳与所述第一动态时间戳相同或者是所述第一动态时间戳 的一偏置值， 所述第四动态时间戳是所述第二动态时间戳的一偏置值。 优选地， 所述 Web Service服务器还设置成： 若所述应用请求包含单独的 动态密码字段， Web Service服务器接收所述第三方客户端发送的应用请求后， 先校验所述动态密码， 校验通过后对所述第三方客户端的第二关键信息进行 鉴权。 优选地， 所述 Web Service服务器还设置成： 若不限制所述第三方客户端的 IP来源， 则不需要对所述关键信息中的 IP 地址进行鉴权； 优选地， 所述 Web Service服务器还设置成：
与所述第三方客户端约定用所述动态密码对所述第四动态时间戳进行加 密的运算规则即约定规则。 本发明实施例还公开了一种基于网络服务应用的服务器， 包括接收模块、 第一鉴权模块、 动态密码生成模块、 发送模块和第二鉴权模块， 其中， 接收模块， 其设置成接收第三方客户端发送的动态密码请求； 第一鉴权模块， 其设置成对所述接收模块接收到的所述动态密码请求中 的第一关键信息进行鉴权， 鉴权通过后， 通知动态密码生成模块； 所述动态密码生成模块， 其设置成接收所述第一鉴权模块的通知， 生成 动态密码， 传送到所述发送模块； 发送模块， 其设置成将所述动态密码发送给业务多媒体服务器， 由所述 业务多媒体服务器将所述动态密码发送给终端； 所述接收模块， 还设置成接收所述终端反馈的所述动态密码； 所述接收模块， 还设置成接收所述第三方客户端发送的应用请求； 第二鉴权模块， 其设置成对所述接收模块接收到的所述应用请求中的第 二关键信息进行鉴权， 鉴权通过后通知所述发送模块向所述业务多媒体服务 器发送应用请求。 可选地， 其中， 所述第一关键信息包括： 所述第三方客户端的 IP地址、 第一动态时间戳和第一参数加密校验字符 串；
所述第二关键信息包括，所述第三方客户端的 IP地址、第二动态时间戳和 第二参数加密校验字符串。 可选地， 其中， 所述第一参数加密校验字符串包括企业账号信息、 第三 动态时间戳和所述 IP地址的密码信息，所述第二参数加密校验字符串包括企业 账号信息、 用所述动态密码加密的第四动态时间戳和所述 IP地址的密码信息； 其中， 所述第三动态时间戳与所述第一动态时间戳相同或者是所述第一动态 时间戳的一偏置值， 所述第四动态时间戳是所述第二动态时间戳的一偏置值。 可选地， 其中， 所述第二鉴权模块还设置成： 若所述应用请求包含动态 密码字段， 则先校验所述动态密码， 校验通过后才对所述第三方客户端的第 二关键信息进行鉴权。 可选地， 其中， 所述第一鉴权模块和所述第二鉴权模块还设置成： 若不限制所述第三方客户端的 IP来源， 则不需要对所述关键信息中的 IP 地址进行鉴权； 可选地， 其中， 所述第二鉴权模块还设置成：
与所述第三方客户端约定用所述动态密码对所述第四动态时间戳进行加 密的运算规则。
本发明实施例通过 Web Service服务器对第三方客户端发送动态密码的请 求进行鉴权， 鉴权通过后向业务多媒体服务器发送动态密码， 业务多媒体服 务器接收该动态密码后， 向终端发送动态密码， 所述第三方客户端从该终端 获取所述动态密码； Web Service服务器对第三方客户端发送的应用请求鉴权 通过后， 向业务多媒体服务器发送应用请求， 业务多媒体服务器响应该应用 请求， 向终端发起应用的方法， 具有限制网络对 Web Service应用的非法攻击 且不影响合法用户正常使用的有益效果， 提高了系统性能， 提升了用户体验。
附图概述 图 1是本发明较佳实施方式的基于 Web Service应用的鉴权方法具体应用 场景示意图； 图 2是本发明较佳实施方式的基于 Web Service应用的鉴权方法一实施例 流程示意图； 图 3是本发明较佳实施方式的基于 Web Service应用的鉴权方法中 Web Service服务器进行各种应用信号流程示意图； 图 4是本发明较佳实施方式的基于 Web Service应用的鉴权系统一实施例 结构示意图。 图 5是本发明较佳实施方式的基于 Web Service应用的服务器一实例的结 构及与第三方客户端、 业务多媒体服务器、 终端关系的示意图。
本发明的较佳实施方式
以下结合说明书附图及具体实施例进一步说明本发明较佳实施方式的技 术方案。 应当理解， 此处所描述的具体实施例仅仅用以解释本发明， 并不用 于限定本发明。 需要说明的是， 在不冲突的情况下， 本申请中的实施例及实 施例中的特征可以相互任意组合。 参照图 1 , 图 1是本发明较佳实施方式的基于 Web Service应用的鉴权方 法具体应用场景示意图；如图 1所示，本发明较佳实施方式的基于 Web Service 应用的鉴权方法的具体应用场景包括第三方客户端、 Web Service服务器、 多 媒体业务服务器、 核心网和终端组成。 Web Service服务器主要用于进行第三 方客户端发送请求的判断和处理， 解决第三方客户端合法性的问题， 对用户 身份进行合法性校验。 校验通过后方可进行传真、 短信、 会议、 呼叫各种应 用的使用。 核心网主要由归属地用户服务器 （HSS )、 媒体网关控制功能 ( MGCF )、媒体网关（MGW )等诸多功能实体组成。 业务媒体服务器主要负 责多媒体的业务逻辑的判断和处理。 终端包括传真、 短信、 会议、 呼叫等应 用的各种终端类型， 可以是传真机、 手机、 固定电话、 小灵通、 电脑等等。 第三方客户端为能够进行传真、 短信、 会议、 呼叫等各种应用而操作的各种 客户端。 在某种情况下， 第三方客户端与终端可以为同一个实体。 基于图 1实施例的具体描述， 参照图 2, 图 2是本发明较佳实施方式的基 于 Web Service应用的鉴权方法一实施例流程示意图； 如图 2所示， 本发明较 佳实施方式的基于 Web Service应用的鉴权方法具体包括以下步骤： 步骤 S01、 Web Service服务器接收第三方客户端发送的动态密码请求， 对 所述第三方客户端发送的第一关键信息进行鉴权， 鉴权通过后生成动态密码， 并将该动态密码发送给业务多媒体服务器；
第三方客户端发起申请动态密码的请求给 Web Service服务器， Web Service服务器对所述第三方客户端发送的关键信息 （即： 第一关键信息）进 行鉴权； 若鉴权不通过， 则结束后续流程； 若鉴权通过， 则 Web Service服务 器生成动态密码， 将该动态密码发送给业务多媒体服务器。
在一优选的实施例中， 所述第三方客户端发送的第一关键信息包括： 所 述第三方客户端的 IP ( Internet Protocol, 互联网协议 )地址、第一动态时间戳、 第一参数加密校验字符串等。具体地， Web Service服务器对第三方客户端的 IP 地址进行校验， 若该 IP地址不合法， 则直接禁止该 IP地址对应的第三方客户端 的访问； 若该 IP地址合法， 则对该第三方客户端的动态时间戳进行校验； 若该 动态时间戳和 Web Service服务器上的时间间隔超过时长阔值， 则直接禁止该 IP地址对应的第三方客户端的访问； 若该动态时间戳校验通过，则对参数加密 字符串进行校验； 该字符串包括第三动态时间戳、 IP密码信息、 企业账号信息 等， 其中所述第三动态时间戳， 可以与所述第一动态时间戳相同， 或者是第 一动态时间戳加一偏置形成： 如在该第一动态时间戳之后加数字串或将所述 第一动态时间戳加一数字， 只要事先约定即可， 本发明实施例不作特别限定； 若字符串匹配失败， 则直接结束； 若字符串匹配通过， 则 Web Service服务器 生成动态密码， 并将该动态密码发送到业务多媒体服务器， 动态密码可以是 数字或数字 /字符的组合， 只要双方约定好每个字符代表什么数字即可； 所述 动态密码可以直接为一串动态密码， 也可以为由动态密码组成的动态密码短 信息， 本实施例对动态密码的组成内容和组成方式不作限定。
在一优选的实施例中， 若 Web Service服务器不限制第三方客户端的 IP来 源， 则不需要对第三方客户端关键信息中的 IP地址进行校验。 步骤 S02、业务多媒体服务器接收所述动态密码，向终端发送该动态密码， 所述第三方客户端从所述终端获取所述动态密码。 业务多媒体服务器接收 Web Service服务器发送的动态密码， 并向终端发 送该动态密码， 第三方客户端从所述终端获取该动态密码； 获取的方式与所 述终端的属性有关： 如终端是手机， 该终端可以将该动态密码转发给所述第 三方客户端； 如终端是传真机， 需要釆用人工输入或其他方式将密码录入到 所述第三方客户端； 如终端与所述第三方客户端是同一实体， 可以釆用自动 转发的方式将所述密码转发第三方客户端等等。 第三方客户端收到该动态密 码后， 向 Web Service服务器发送应用请求。 在一优选的实施例中， 所述动态密码既可以作为此后 Web Serviced)良务器 对第三方客户端进行鉴权的一个单独校验项， 也可以作为后续加密动态时间 戳的随机值。 步骤 S03、 Web Service服务器接收所述第三方客户端发送的应用请求， 对 所述第三方客户端发送的第二关键信息进行鉴权， 鉴权通过后向业务多媒体 服务器发送所述应用请求；
第三方客户端收到所述动态密码后， 向 Web Service服务器发送传真、 短 信、 会议、 呼叫等应用请求； Web Service服务器接收该第三方客户端发送的 应用请求， 再次对该第三方客户端发送的关键信息 （即： 第二关键信息）进 行鉴权。 Web Service服务器对关键信息进行鉴权时， 如果该应用请求中包含 单独的动态密码字段， 则首先对第三方客户端发送的动态密码进行校验； 如 果校验失败， 则分析校验失败的原因； 若是因为动态密码错误， 则第三方客 户端重新发起传真、 短信、 会议、 呼叫等应用请求给 Web Service服务器； 若 是因为第三方客户端未申请密码或者申请的密码已过期， 则第三方客户端需 重新向 Web Service服务器发起动态密码请求。 若对动态密码校验通过， Web Service服务器对第三方客户端的 IP地址进行校验， 若该 IP地址不合法， 则直接 禁止该 IP地址对应的第三方客户端的访问； 若该 IP地址合法， 则对该第三方客 户端的第二动态时间戳进行校验； 若该第二动态时间戳和 Web Service服务器 上的时间间隔超过时长阔值， 则直接禁止该 IP地址对应的第三方客户端的访 问； 若该第二动态时间戳校验通过， 则对第二参数加密字符串进行校验； 该 第二参数加密字符串包括釆用所述动态密码根据约定规则运算后的加密的第 四动态时间戳信息、 IP密码信息、 企业账号信息等， 其中， 所述第二动态时间 戳是所述第三方客户端发起应用请求时的动态时间戳， 所述第四动态时间戳 与第二动态时间戳相同， 或者是第二动态时间戳加一偏置形成： 如在该第二 动态时间戳之后加数字串或将所述第二动态时间戳加一数字， 只要事先约定 即可， 本发明实施例不作特别限定； 若字符串匹配失败， 则直接结束； 若字 符串匹配通过， Web Service服务器向业务多媒体服务器发送第三方客户端发 起的传真、 短信、 会议、 呼叫等应用请求。
在一优选的实施例中， 步骤 S03中， 若 Web Service服务器不限制所述第三 方客户端的 IP来源， 则不需要对所述关键信息中的 IP地址进行鉴权。
步骤 S04、业务多媒体服务器响应所述应用请求，向终端发起相应的应用。 业务多媒体服务器响应 Web Service服务器发起的应用请求， 向终端发起 相应的传真、 短信、 会议、 呼叫等应用。 参照图 3 , 图 3是本发明较佳实施方式的基于 Web Service应用的鉴权方 法中 Web Service服务器进行各种应用信号流程示意图； 如图 3所示， 第三方 客户端向 Web Service服务器发送动态密码申请时， Web Service服务器对该第 三方客户端发送的关键信息 （即： 第一关键信息）进行鉴权， 鉴权通过后生 成动态密码， 并将该动态密码发送给业务多媒体服务器， 业务多媒体服务器 将该动态密码发送至终端， 所述第三方客户端从所述终端获取所述动态密码。 其中， 如果第三方客户端与终端是同一实体， 该动态密码可以由终端自动转 发到该第三方客户端； 如果终端是传真机、 固定电话等， 可以釆用人工或其 他方式将该动态密码录入到所述第三方客户端； 如果终端是手机， 可以釆用 短信等方式将该动态密码转发给所述第三方客户端； 当第三方客户端发起传 真、 短信、 会议、 呼叫等应用请求时， Web Service服务器接收该第三方客户 端发送的应用请求， 再次对该第三方客户端发送的关键信息 （即第二关键信 息）进行鉴权， 鉴权通过后将该应用请求发送至业务多媒体服务器， 业务多 媒体服务器响应该应用请求， 并向终端发起传真、 短信、 会议、 呼叫等相关 应用， 在限制网络对 Web Service应用的非法攻击的同时， 不影响合法用户的 正常使用。 所述应用请求可以包含动态密码信息， 本实施例对应用请求的组 成内容和组成方式不作限定 本领域的技术人员可以理解， 本发明基于 Web Service应用的鉴权方法中 Web Service服务器进行各种应用的信号流程并不限于图 3 实施例的具体描 述， 比如还可以通过下述方式实现： 第三方客户端发送动态密码请求至 Web Service服务器， 由 Web Service服务器生成动态密码，将该动态密码发送至业 务多媒体服务器， 该业务多媒体服务器接收所述动态密码， 并将该动态密码 发送至第三方客户端； 或者， 第三方客户端发送动态密码请求至 Web Service 服务器， Web Service服务器响应该请求， 生成动态密码并将该动态密码回复 给所述第三方客户端； 本实施例对本发明基于 Web Service应用的鉴权方法中 Web Service服务器进行各种应用的信号流程的具体实现方式不做限定。
参照图 4, 图 4是本发明较佳实施方式的基于 Web Service应用的鉴权系 统一实施例结构示意图。如图 4所示，本发明较佳实施方式的基于 Web Service 应用的鉴权系统包括 Web Service服务器 01和业务多媒体服务器 02。 所述 Web Service服务器 01用于接收第三方客户端发送的动态密码请求， 对所述第三方客户端的发送第一关键信息进行鉴权， 鉴权通过后生成动态密 码， 并向业务多媒体服务器 02发送所述动态密码； 还用于接收所述第三方客户端发送的应用请求， 对所述第三方客户端发 送的第二关键信息进行鉴权， 鉴权通过后向业务多媒体服务器 02发送所述应 用请求；
所述业务多媒体服务器 02用于接收所述动态密码， 向终端发送动态密码； 还用于响应 Web Service服务器 01发送的所述应用请求， 向终端发起相应 的应用。
基于图 1所述的具体应用场景， 参照图 3中第三方客户端、 Web Service 服务器 01、 业务多媒体服务器 02和终端进行交互时的信号流图，对本发明较 佳实施方式的基于 Web Service应用的鉴权系统的具体工作过程描述如下： 第三方客户端发起申请动态密码的请求给 Web Service服务器 01 , Web Service服务器 01对所述第三方客户端发送的第一关键信息进行鉴权； 若鉴权 不通过， 则结束后续流程； 若鉴权通过， 则 Web Service服务器 01生成动态密 码， 并向业务多媒体服务器 02发送该动态密码。 在一优选的实施例中， 所述第三方客户端发送的第一关键信息包括： 所 述第三方客户端的 IP ( Internet Protocol, 互联网协议）地址、第一动态时间戳、 第一参数加密校验字符串等。 具体地， Web Service服务器 01对第三方客户端 的 IP地址进行校验， 若该 IP地址不合法， 则直接禁止该 IP地址对应的第三方客 户端的访问； 若该 IP地址合法，则对该第三方客户端的第一动态时间戳进行校 验； 若该第一动态时间戳和 Web Service服务器 01上的时间间隔超过时长阔值， 则直接禁止该 IP地址对应的第三方客户端的访问；若该第一动态时间戳校验通 过， 则对第一参数加密字符串进行校验； 该第一参数加密字符串包括第三动 态时间戳、 IP密码信息、 企业账号信息等， 其中所述第三动态时间戳， 可以与 所述第一动态时间戳相同， 或者在第一动态时间戳加一偏置形成： 如在该第 一动态时间戳之后加数字串或将所述第一动态时间戳加一数字， 只要事先约 定即可， 本发明实施例不作特别限定； 若字符串匹配失败， 则直接结束； 若 字符串匹配通过， 则 Web Service服务器 01生成动态密码， 并向业务多媒体服 务器 02发送该动态密码， 动态密码可以是数字或数字 /字符的组合， 只要双方 约定好每个字符代表什么数字即可； 所述动态密码请求可以直接为一串动态 密码， 也可以为由动态密码组成的动态密码短信息， 本实施例对动态密码请 求的组成内容和组成方式不作限定。 在一优选的实施例中， 若 Web Service服务器 01不限制第三方客户端的 IP 来源， 则不需要对第三方客户端关键信息中的 IP地址进行校验。
业务多媒体服务器 02接收 Web Service服务器 01发送的动态密码， 并向终 端发送该动态密码后， 第三方客户端从所述终端获取所述动态密码， 向 Web Service服务器 01发送应用请求。 在一优选的实施例中， 所述动态密码既可以作为此后 Web Serviced)良务器 01对第三方客户端进行鉴权的一个单独校验项， 也可以作为后续加密动态时 间戳的随机值。
第三方客户端从所述终端获取所述动态密码后， 向 Web Service服务器 01 发送传真、 短信、 会议、 呼叫等应用请求； Web Service服务器 01接收该第三 方客户端发送的应用请求， 再次对该第三方客户端发送的关键信息 （即： 第 二关键信息）进行鉴权。 Web Service服务器 01对第二关键信息进行鉴权时， 如果第三方客户端发送的应用请求应用请求包含单独的动态密码字段， 则首 先对该动态密码进行校验； 如果校验失败， 则分析校验失败的原因； 若是因 为动态密码错误， 则第三方客户端重新发起传真、 短信、 会议、 呼叫等应用 请求给 Web Service服务器 01 ; 若是因为第三方客户端未申请密码或者申请的 密码已过期， 则第三方客户端需重新向 Web Service服务器 01发起动态密码请 求。 若动态密码校验通过， Web Service服务器 01对第三方客户端的 IP地址进 行校验，若该 IP地址不合法，则直接禁止该 IP地址对应的第三方客户端的访问； 若该 IP地址合法，则对该第三方客户端的第二动态时间戳进行校验； 若该第二 动态时间戳和 Web Service服务器 01上的时间间隔超过时长阔值， 则直接禁止 该 IP地址对应的第三方客户端的访问； 若该第二动态时间戳校验通过，则对参 数加密字符串进行校验； 该字符串包括釆用所述动态密码根据约定规则运算 后的加密的第四动态时间戳、 IP密码信息、 企业账号信息等， 其中， 所述第二 动态时间戳是所述第三方客户端发起应用请求时的动态时间戳， 所述第四动 态时间戳与所述第二动态时间戳相同， 或者是第二动态时间戳加一偏置形成： 如在该第二动态时间戳之后加数字串或将所述第二动态时间戳加一数字， 只 要事先约定即可， 本发明实施例不作特别限定； 若字符串匹配失败， 则直接 结束； 若字符串匹配通过， Web Service服务器 01向业务多媒体服务器 02发送 第三方客户端发起的传真、 短信、 会议、 呼叫等应用请求。 在一优选的实施例中， Web Service服务器 01对第三方客户端进行鉴权时， 若 Web Service服务器 01不限制所述第三方客户端的 IP来源， 则不需要对所述 关键信息中的 IP地址进行鉴权。 业务多媒体服务器 02响应 Web Service服务器 01发起的应用请求， 向终 端发起相应的传真、 短信、 会议、 呼叫等应用。
如图 5所示， 本发明实施例还包括一种基于网络服务的服务器， 包括接收 模块、 第一鉴权模块、 动态密码生成模块、 发送模块和第二鉴权模块， 其中： 所述接收模块， 其设置成接收第三方客户端发送的动态密码请求； 所述第一鉴权模块， 其设置成对所述接收模块接收到的所述动态密码请 求中的第一关键信息进行鉴权， 鉴权通过后， 通知所述动态密码生成模块； 所述动态密码生成模块， 其设置成接收所述第一鉴权模块的通知， 生成 动态密码， 传送到所述发送模块； 所述发送模块， 其设置成将所述动态密码发送给业务多媒体服务器， 由 所述业务多媒体服务器将所述动态密码发送给终端； 所述接收模块， 还设置成接收所述终端反馈的所述动态密码； 所述接收模块， 还设置成接收所述第三方客户端发送的应用请求； 所述第二鉴权模块， 其设置成对所述接收模块接收到的所述应用请求中 的第二关键信息进行鉴权， 鉴权通过后通知所述发送模块向所述业务多媒体 服务器发送应用请求。 其中， 所述第一关键信息包括： 所述第三方客户端的 IP地址、 第一动态时间戳和第一参数加密校验字符 串， 所述第二关键信息包括： 所述第三方客户端的 IP地址、 第二动态时间戳和 第二参数加密校验字符串，。 所述第一关键信息的参数加密校验字符串包括企业账号信息、 第三动态 时间戳和所述 IP地址的密码信息，所述第二关键信息的参数加密校验字符串包 括企业账号信息、用所述动态密码加密的第四动态时间戳和所述 IP地址的密码 信息。
所述第二鉴权模块还设置成： 若所述应用请求包含动态密码字段， 则先 校验所述动态密码， 校验通过后才对所述第三方客户端的第二关键信息进行 鉴权。 所述第一鉴权模块和所述第二鉴权模块还设置成： 若不限制所述第三方客户端的 IP来源， 则不需要对所述关键信息中的 IP 地址进行鉴权； 所述第二鉴权模块还设置成： 与所述第三方客户端约定用所述动态密码对第四动态时间戳进行加密的 运算规则。
本实施例通过 Web Service服务器对第三方客户端发送动态密码的请求进 行鉴权， 鉴权通过后生成动态密码并向业务多媒体服务器发送该动态密码， 业务多媒体服务器响应该动态密码请求， 向终端发送动态密码， 该第三方客 户端从所述终端获取该动态密码； Web Service服务器第三方客户端发送的应 用请求鉴权通过后， 向业务多媒体服务器发送应用请求， 业务多媒体服务器 响应该应用请求， 向终端发起应用， 具有限制网络对 Web Service应用的非法 攻击且不影响合法用户正常使用的有益效果， 提高了系统性能， 提升了用户 体验。
本发明基于 Web Service应用的鉴权方法及系统的具体实施方式中， 为了 防止网络上的非法重复攻击， 引入了不断变化的校验字符串一一动态时间戳； 所述动态时间戳处理时的约定规则由 Web Service服务器和第三方客户端协 商。
比如， 合法用户可以先申请一个随机动态密码， 然后第三方客户端按照 这个随机数对时间戳进行运算。 例如动态密码是 287519, 第一步将时间戳加 上 287519秒， 第二步将时间戳的第 2位和第 8位数字进行调换， 第三步将第 7位和第 5位调换， 第四步将第 1位和第 9位调换， 得到动态时间戳， 最后根 据动态密码将该动态时间戳加密生成加密动态时间戳， 这样就解决了非法重 复攻击的问题和有规律算法的缺陷问题， 扩展了一种鉴权的应用。 其中对动态时间戳的算法不限于上述先偏移再调换这一种算法， 也可以 定义为： 第一步时间戳第 2位加 2取个数部分， 第 8位加 8取个数部分， 第 7 位加 7取个数部分， 第 5位加 5取个数部分， 第 1位加 1取个数部分， 第 9 位加 9取个数部分。 第二步将时间戳的倒数第 2位和倒数第 8位数字进行调 换， 第三步将倒数第 7位和倒数第 5位调换， 第四步将倒数第 1位和倒数第 9 位调换， 得到动态时间戳， 最后根据动态密码将该动态时间戳加密生成加密 动态时间戳。
本领域的技术人员可以理解， Web Service服务器与第三方客户端对动态 时间戳根据动态密码进行加密处理时的约定规则远远不至上述列举的两种实 现方法， Web Service服务器可以与第三方客户端协商任何一种能够满足条件 的约定规则， 本发明实施例根据动态密码对动态时间戳进行加密处理时的约 定规则的制定方法不作限定。 本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序 来指令相关硬件完成， 所述程序可以存储于计算机可读存储介质中， 如只读 存储器、 磁盘或光盘等。 可选地， 上述实施例的全部或部分步骤也可以使用 一个或多个集成电路来实现， 相应地， 上述实施例中的各模块 /单元可以釆用 硬件的形式实现， 也可以釆用软件功能模块的形式实现。 本发明不限制于任 何特定形式的硬件和软件的结合。 以上所述仅为本发明的优选实施例， 并非因此限制其专利范围， 凡是利 用本发明说明书及附图内容所作的等效结构或等效流程变换， 直接或间接运 用在其他相关的技术领域， 均同理包括在本发明的专利保护范围内。
工业实用性 本发明实施例提供的基于网络服务应用的鉴权方法及系统， 网络服务服 务器对第三方客户端发送动态密码的请求进行鉴权， 鉴权通过后业务多媒体 服务器才向终端发送动态密码； 第三方客户端从该终端获取所述动态密码； 网络服务服务器在第三方客户端发送的应用请求鉴权通过后， 才向业务多媒 体服务器发送应用请求， 由业务多媒体服务器向终端发起应用， 具有限制网 络对网络服务应用的非法攻击且不影响合法用户正常使用的有益效果， 可以 提高系统性能， 改善用户体验。

Claims

权 利 要 求 书
1、 一种基于网络服务应用的鉴权方法， 包括以下步骤： 网络服务服务器接收第三方客户端发送的动态密码请求， 对所述第三方 客户端发送的第一关键信息进行鉴权， 鉴权通过后生成动态密码， 向业务多 媒体服务器发送所述动态密码； 业务多媒体服务器接收所述动态密码， 向终端发送所述动态密码， 所述 第三方客户端从所述终端获取该动态密码； 网络服务服务器接收所述第三方客户端发送的应用请求， 对所述第三方 客户端发送的第二关键信息进行鉴权， 鉴权通过后向业务多媒体服务器发送 所述应用请求； 业务多媒体服务器响应所述应用请求， 向所述终端发起相应的应用。
2、 如权利要求 1所述的方法， 其中， 所述第一关键信息包括： 所述第三方客户端的 IP地址、 第一动态时间戳和第一参数加密校验字符 串；
所述第二关键信息包括： 所述第三方客户端的 IP地址、第二动态时间戳和 第二参数加密校验字符串。
3、 如权利要求 2所述的方法， 其中， 所述第一参数加密校验字符串包括 企业账号信息、第三动态时间戳和所述 IP地址的密码信息； 所述第二参数加密 校验字符串包括企业账号信息、 用所述动态密码加密的第四动态时间戳和所 述 IP地址的密码信息。
4、 如权利要求 1所述的方法， 其中， 网络服务服务器接收所述第三方客 户端发送的应用请求， 若所述应用请求包含动态密码字段， 则先校验所述动 态密码， 校验通过后对所述第三方客户端的第二关键信息进行鉴权， 鉴权通 过后向业务多媒体服务器发送所述应用请求。
5、 如权利要求 1至 4任一项所述的方法， 其中， 若网络服务服务器不限制 所述第三方客户端的 IP来源，则不需要对所述第一关键信息和第二关键信息中 的 IP地址进行鉴权。
6、 如权利要求 3所述的方法， 其中， 所述网络服务服务器与所述第三方 客户端约定用所述动态密码对所述第四动态时间戳进行加密的运算规则。
7、 一种基于网络服务应用的鉴权系统， 包括网络服务服务器和业务多媒 体服务器；
所述网络服务服务器， 设置成接收第三方客户端发送的动态密码请求， 对所述第三方客户端发送的第一关键信息进行鉴权， 鉴权通过后生成动态密 码， 向业务多媒体服务器发送所述动态密码； 还设置成接收所述第三方客户端发送的应用请求， 对所述第三方客户端 发送的第二关键信息进行鉴权， 鉴权通过后向业务多媒体服务器发送应用请 求；
所述业务多媒体服务器， 设置成接收所述动态密码请求， 向终端发送动 态密码；
还设置成响应网络服务服务器发送的所述应用请求， 向终端发起相应的 应用。
8、 如权利要求 7所述的系统， 其中， 所述第一关键信息包括： 所述第三方客户端的 IP地址、 第一动态时间戳和第一参数加密校验字符 串；
所述第二关键信息包括： 所述第三方客户端的 IP地址、第二动态时间戳和 第二参数加密校验字符串。
9、 如权利要求 8所述的系统， 其中， 所述第一参数加密校验字符串包括 企业账号信息、第三动态时间戳和所述 IP地址的密码信息，所述第二参数加密 校验字符串包括企业账号信息、 用所述动态密码加密的第四动态时间戳和所 述 IP地址的密码信息。
10、 如权利要求 7所述的系统， 其中， 所述网络服务服务器还设置成接收 所述第三方客户端发送的应用请求， 若所述应用请求包含动态密码字段， 则 先校验所述动态密码， 校验通过后才对所述第三方客户端的第二关键信息进 行鉴权， 鉴权通过后向业务多媒体服务器发送所述应用请求。
11、 如权利要求 7至 10任一项所述的系统， 其中， 所述网络服务服务器还 设置成： 若不限制所述第三方客户端的 IP来源， 则不需要对所述关键信息中的 IP 地址进行鉴权。
12、 如权利要求 9所述的系统， 其中， 所述网络服务服务器还设置成： 与所述第三方客户端约定用所述动态密码对所述第四动态时间戳进行加 密的运算规则。
13、 一种基于网络服务应用的服务器， 包括接收模块、 第一鉴权模块、 动态密码生成模块、 发送模块和第二鉴权模块， 其中： 接收模块， 其设置成接收第三方客户端发送的动态密码请求； 第一鉴权模块， 其设置成对所述接收模块接收到的所述动态密码请求中 的第一关键信息进行鉴权， 鉴权通过后， 通知动态密码生成模块； 所述动态密码生成模块， 其设置成接收所述第一鉴权模块的通知， 生成 动态密码， 传送到所述发送模块； 发送模块， 其设置成将所述动态密码发送给业务多媒体服务器， 由所述 业务多媒体服务器将所述动态密码发送给终端； 所述接收模块， 还设置成接收所述终端反馈的所述动态密码； 所述接收模块， 还设置成接收所述第三方客户端发送的应用请求； 第二鉴权模块， 其设置成对所述接收模块接收到的所述应用请求中的第 二关键信息进行鉴权， 鉴权通过后通知所述发送模块向所述业务多媒体服务 器发送应用请求。
14、 如权利要求 13所述的服务器， 其中， 所述第一关键信息包括： 所述第三方客户端的 IP地址、 第一动态时间戳和第一参数加密校验字符 串；
所述第二关键信息包括：
所述第三方客户端的 IP地址、 第二动态时间戳和第二参数加密校验字符 串。
15、 如权利要求 13所述的服务器， 其中， 所述第一参数加密校验字符串 包括企业账号信息、第三动态时间戳和所述 IP地址的密码信息，所述第二参数 加密校验字符串包括企业账号信息、 用所述动态密码加密的第四动态时间戳 和所述 IP地址的密码信息。
16、 如权利要求 13所述的服务器， 其中， 所述第二鉴权模块还设置成： 若所述应用请求包含动态密码字段， 则先校验所述动态密码， 校验通过后才 对所述第三方客户端的第二关键信息进行鉴权。
17、 如权利要求 13至 16任一项所述的服务器， 其中， 所述第一鉴权模块 和所述第二鉴权模块还设置成： 若不限制所述第三方客户端的 IP来源， 则不需要对所述关键信息中的 IP 地址进行鉴权。
18、 如权利要求 13所述的服务器， 其中， 所述第二鉴权模块还设置成： 与所述第三方客户端约定用所述动态密码对所述第四动态时间戳进行加 密的运算规则。
PCT/CN2013/079769 2012-11-14 2013-07-22 基于网络服务应用的鉴权方法及系统 WO2013182151A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210457220.8 2012-11-14
CN201210457220.8A CN103812843B (zh) 2012-11-14 2012-11-14 基于WebService应用的鉴权方法及系统

Publications (1)

Publication Number Publication Date
WO2013182151A1 true WO2013182151A1 (zh) 2013-12-12

Family

ID=49711416

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/079769 WO2013182151A1 (zh) 2012-11-14 2013-07-22 基于网络服务应用的鉴权方法及系统

Country Status (2)

Country Link
CN (1) CN103812843B (zh)
WO (1) WO2013182151A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103856557A (zh) * 2014-01-15 2014-06-11 北京奇虎科技有限公司 一种基于第三方平台的业务对象的处理方法和系统
CN103873558A (zh) * 2014-01-15 2014-06-18 北京奇虎科技有限公司 一种基于第三方平台的业务对象的处理方法和系统
CN106447863A (zh) * 2016-10-12 2017-02-22 北京三快在线科技有限公司 一种开锁密码处理方法、门锁和前台服务器

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1937498A (zh) * 2006-10-09 2007-03-28 网之易信息技术（北京）有限公司 一种动态密码认证方法、系统及装置
CN101350720A (zh) * 2007-07-18 2009-01-21 中国移动通信集团公司 一种动态密码认证系统及方法
US20090210720A1 (en) * 2008-02-20 2009-08-20 Tatung Company Method for generating one-time password

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB0610302D0 (en) * 2006-05-24 2006-07-05 Ibm A method, apparatus and computer program for validating that a clients request has been routed to an appropriate server
CN101515932B (zh) * 2009-03-23 2013-06-05 中兴通讯股份有限公司 一种安全的Web service访问方法和系统
CN101615270B (zh) * 2009-04-15 2012-04-04 北京协成致远网络科技有限公司 一种基于b/s模式的工作流分析和呈现的系统及方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1937498A (zh) * 2006-10-09 2007-03-28 网之易信息技术（北京）有限公司 一种动态密码认证方法、系统及装置
CN101350720A (zh) * 2007-07-18 2009-01-21 中国移动通信集团公司 一种动态密码认证系统及方法
US20090210720A1 (en) * 2008-02-20 2009-08-20 Tatung Company Method for generating one-time password

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103856557A (zh) * 2014-01-15 2014-06-11 北京奇虎科技有限公司 一种基于第三方平台的业务对象的处理方法和系统
CN103873558A (zh) * 2014-01-15 2014-06-18 北京奇虎科技有限公司 一种基于第三方平台的业务对象的处理方法和系统
CN106447863A (zh) * 2016-10-12 2017-02-22 北京三快在线科技有限公司 一种开锁密码处理方法、门锁和前台服务器
CN106447863B (zh) * 2016-10-12 2018-11-13 北京三快在线科技有限公司 一种开锁密码处理方法、门锁和前台服务器

Also Published As

Publication number Publication date
CN103812843A (zh) 2014-05-21
CN103812843B (zh) 2018-03-30

Similar Documents

Publication Publication Date Title
Niruntasukrat et al. Authorization mechanism for MQTT-based Internet of Things
US20170353442A1 (en) Proximity-based authentication
EP1959368B1 (en) Security link management in dynamic networks
US9118648B2 (en) Method for authorizing access to protected content
WO2016177052A1 (zh) 一种用户认证方法和装置
JP5021215B2 (ja) Ｗｅｂサービス用の信頼できる第三者認証
US9264420B2 (en) Single sign-on for network applications
WO2019062666A1 (zh) 一种实现安全访问内部网络的系统、方法和装置
US20110035582A1 (en) Network authentication service system and method
KR20060017594A (ko) 안전한 무선 랜 액세스 기술
CN110933078B (zh) 一种h5未登录用户会话跟踪方法
EP2979420B1 (en) Network system comprising a security management server and a home network, and method for including a device in the network system
US8099602B2 (en) Methods for integrating security in network communications and systems thereof
WO2013182151A1 (zh) 基于网络服务应用的鉴权方法及系统
Beekman et al. Breaking Cell Phone Authentication: Vulnerabilities in {AKA},{IMS}, and Android
CN114268450A (zh) 一种api接口认证方法及系统
CN116527341A (zh) 一种客户端调用后端接口鉴权授权安全方法
WO2022135388A1 (zh) 身份鉴别方法、装置、设备、芯片、存储介质及程序
CN116233832A (zh) 验证信息发送方法及装置
Guo et al. Extending registration and authentication processes of FIDO2 external authenticator with qr codes
CN113194069A (zh) 一种基于区块链的通讯溯源方法、通讯溯源装置及介质
Deeptha et al. Extending OpenID connect towards mission critical applications
CN111935164A (zh) 一种https接口请求方法
Culnane et al. Formalising Application-Driven Authentication & Access-Control based on Users’ Companion Devices
TW202110127A (zh) 安全通訊金鑰協商方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13800709

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13800709

Country of ref document: EP

Kind code of ref document: A1