WO2014000281A1 - 身份认证方法及装置 - Google Patents

身份认证方法及装置 Download PDF

Info

Publication number
WO2014000281A1
WO2014000281A1 PCT/CN2012/077939 CN2012077939W WO2014000281A1 WO 2014000281 A1 WO2014000281 A1 WO 2014000281A1 CN 2012077939 W CN2012077939 W CN 2012077939W WO 2014000281 A1 WO2014000281 A1 WO 2014000281A1
Authority
WO
WIPO (PCT)
Prior art keywords
digital certificate
identity authentication
unit
browser kernel
user digital
Prior art date
Application number
PCT/CN2012/077939
Other languages
English (en)
French (fr)
Inventor
李立
胡立新
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to ES12879738.8T priority Critical patent/ES2644593T3/es
Priority to EP12879738.8A priority patent/EP2860906B1/en
Priority to CN201280000785.1A priority patent/CN103621008B/zh
Priority to PCT/CN2012/077939 priority patent/WO2014000281A1/zh
Publication of WO2014000281A1 publication Critical patent/WO2014000281A1/zh
Priority to US14/409,300 priority patent/US9628461B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/957—Browsing optimisation, e.g. caching or content distillation
    • G06F16/9577—Optimising the visualization of content, e.g. distillation of HTML documents
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G06F21/335—User authentication using certificates for accessing specific resources, e.g. using Kerberos tickets
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates

Definitions

  • the present invention relates to network technologies, and in particular, to an identity authentication method and apparatus. Background technique
  • the Web application is an application written in a language supported by the browser that relies on the browser as a running and presentation environment.
  • users use the Web application, in order to ensure the security of the network system resources, it is usually necessary to authenticate the user so that the legitimate user can access the resources of the network system with legal rights.
  • the user is usually authenticated by the user name and password entered by the user, and the user needs to remember the user name and password. Moreover, the password is easily intercepted by the third party during the transmission process, the security is not high, and the input password is also compared. Trouble, not convenient enough. Summary of the invention
  • the embodiment of the invention provides an identity authentication method and device to improve the convenience and security of identity authentication.
  • the embodiment of the invention provides an identity authentication method, including:
  • the browser kernel unit generates a login request carrying the selected user digital certificate according to the selected user digital certificate, and sends the login request to the application server;
  • the browser kernel unit receives a response indicating that the authentication is successful after the application server performs identity authentication according to the selected digital certificate, extracts a webpage file from the response, parses the webpage file, and generates a webpage. And sent to the browser interface unit;
  • the browser interface unit displays the webpage.
  • An embodiment of the present invention provides an identity authentication apparatus, including a browser kernel unit and a browser interface unit;
  • the browser kernel unit is configured to generate, according to the selected user digital certificate, a login request carrying the selected user digital certificate, send the login request to the application server, and receive the digital certificate according to the selected application server according to the selected Indicating certification returned after identity authentication a successful response, extracting a webpage file from the response, parsing the webpage file, generating a webpage, and transmitting the webpage to the browser interface unit;
  • the browser interface unit is configured to display the webpage.
  • the browser kernel unit generates a login request carrying the selected user digital certificate according to the selected user digital certificate, and sends the login request to the application server, browsing
  • the kernel unit receives the response sent by the application server to indicate the successful authentication, extracts the webpage file from the response, parses the webpage file, generates the webpage and sends the webpage to the browser interface unit, and the browser interface unit displays the webpage.
  • FIG. 1 is a flowchart of a first identity authentication method according to an embodiment of the present invention
  • FIG. 2 is a flowchart of a second identity authentication method according to an embodiment of the present invention.
  • FIG. 3 is a flowchart of a method for implementing step 204 shown in FIG. 2;
  • FIG. 4 is a schematic diagram of identity authentication signaling according to an embodiment of the present invention.
  • FIG. 5 is a flowchart of a third identity authentication method according to an embodiment of the present invention.
  • FIG. 6 is a schematic diagram of another identity authentication signaling according to an embodiment of the present invention.
  • FIG. 7 is a flowchart of a fourth identity authentication method according to an embodiment of the present invention.
  • FIG. 8 is a schematic diagram of another identity authentication signaling according to an embodiment of the present disclosure.
  • FIG. 9 is a flowchart of a fifth identity authentication method according to an embodiment of the present invention.
  • FIG. 10 is a schematic structural diagram of an identity authentication system according to an embodiment of the present disclosure.
  • FIG. 11 is a schematic structural diagram of another identity authentication system according to an embodiment of the present invention.
  • DETAILED DESCRIPTION OF THE EMBODIMENTS In order to make the objectives, technical solutions and advantages of the embodiments of the present invention more clear, the following will be combined with the present invention.
  • the technical solutions in the embodiments of the present invention are clearly and completely described in the drawings, and the embodiments are described as a part of the embodiments of the present invention, rather than all of the embodiments. All other embodiments obtained by those skilled in the art based on the embodiments of the present invention without creative efforts are within the scope of the present invention.
  • FIG. 1 is a flowchart of a first identity authentication method according to an embodiment of the present invention.
  • the identity authentication method provided in this embodiment may be specifically applied to an authentication process of a user identity when a user uses a web application through a browser, and may be performed by an identity authentication device provided with a browser.
  • the identity authentication device can be a device such as a personal computer, a notebook computer, a tablet computer, and a smart phone.
  • Step 101 The browser kernel unit generates, according to the selected user digital certificate, a login request that carries the selected user digital certificate, and sends the login request to the application server.
  • Step 102 The browser kernel unit receives a response indicating that the authentication is successful after the application server performs identity authentication according to the selected digital certificate, extracts a webpage file from the response, and parses the webpage file. And generating a webpage and sending the webpage to the browser interface unit.
  • Step 103 The browser interface unit displays the webpage.
  • the user is first registered as a legitimate user of the web application, and the web application distributes a corresponding user digital certificate to the client of the user, and the user digital certificate is stored in the identity authentication device.
  • the user digital certificate can utilize a public key system, that is, a pair of mutually matching keys for encryption and decryption. In the process of network transmission, only the public key will be transmitted, and the private key will only be stored locally in the user. Therefore, even if the user's digital certificate is intercepted, it cannot be decrypted to obtain the real data of the user's digital certificate.
  • each user identity has its own corresponding user digital certificate.
  • the user identity can be identified by the WebID (the identity of the user in the web page) to achieve uniqueness of the user identity.
  • the user digital certificate can include information such as WebID, certificate issuer, certificate type, certificate public key, and digital signature algorithm. When the user needs to log in as a user, he can select the user digital certificate and word certificate corresponding to the user identity.
  • the browser kernel unit is specifically configured with a browser kernel program, and the browser kernel unit generates a login request carrying the selected user digital certificate according to the selected user digital certificate, the login The request is used to indicate that the user identity corresponding to the user digital certificate is requested to be logged in, and the login request is specifically an HTTP (HyperText Transfer Protocol) GET request.
  • the browser kernel unit sends the login request to the application server corresponding to the web application, and the application server receives the login request to verify the user digital certificate in the login request.
  • the manner in which the application server verifies the user digital certificate may include the following two types:
  • the application server can initiate a query request to the corresponding authentication server by using a Simple Protocol and RDF Query Language (SPARQL) method, and the query request can carry several key parameters in the digital certificate of the user, such as a WebID.
  • the certificate type and the certificate public key, etc. the authentication server performs the query according to the above-mentioned key parameters.
  • the query result is True, the identity authentication succeeds; when the parameters of a user digital certificate stored in the authentication server are different from or different from the key parameters carried in the above query process, the identity authentication fails.
  • the application server obtains a user digital certificate saved on the authentication server and used for the webID by using a HTTPS (Hypertext Transfer Protocol over Secure Socket Layer) GET request.
  • the application server matches the user digital certificate carried in the received login request with the user digital certificate obtained from the authentication server. If the parameters in the two user digital certificates are all the same, that is, the matching is successful, the user identity authentication succeeds. If the parameters in the two user digital certificates are all different or not identical, the identity authentication fails.
  • HTTPS Hypertext Transfer Protocol over Secure Socket Layer
  • the response is sent to the browser kernel unit to indicate that the authentication is successful.
  • the response carries a webpage file corresponding to the web application, and the response indicating that the authentication succeeds may be an HTTP 200 response.
  • the browser kernel unit extracts the webpage file from the response, parses the webpage file, executes the webpage file, and performs corresponding rendering, and displays the final webpage through the browser interface unit to provide the corresponding web application for the user.
  • the webpage file may specifically include a Hypertext Markup Language (HTML) file, a javascript script file, and a Cascading Style Sheet (CSS) file.
  • a browser interface program is set in the browser interface unit. When the user identity authentication fails, the application server also returns a response to the browser kernel unit to indicate that the authentication failed, the indication authentication The failed response can be an HTTP 403 response.
  • the browser kernel unit generates a login request carrying the selected user digital certificate according to the selected user digital certificate, and sends the login request to the application server, and the browser kernel unit receives the application server.
  • the webpage file is extracted from the response, the webpage file is parsed, the webpage is generated and sent to the browser interface unit, and the browser interface unit displays the webpage.
  • FIG. 2 is a flowchart of a second identity authentication method according to an embodiment of the present invention.
  • the browser kernel unit in step 101 of the embodiment shown in FIG. 1, the browser kernel unit generates a login request carrying the selected user digital certificate according to the selected user digital certificate.
  • the method further includes the following steps:
  • Step 201 The browser kernel unit detects a login trigger event, and sends the login trigger event to the web application unit.
  • Step 202 The web application unit determines, according to the login trigger event, a web address corresponding to the login triggering operation, and sends the web address to the browser kernel unit; and sends an access request to the application server;
  • Step 204 The browser kernel unit receives the required identity authentication information returned by the application server according to the access request, and determines the selected user digital certificate according to the required identity authentication indication information.
  • a web application is set in the web application unit.
  • the user when a user uses a web application through a browser, the user does not need to log in when the accessed network resource does not need to be authenticated.
  • the network resource accessed by the user needs to be authenticated, the user is required to provide the user digital certificate for identity authentication.
  • the login trigger event is specifically an event that triggers a login operation. For example, when a user clicks a text, a button, or a picture containing a hyperlink in a webpage displayed by a browser interface unit, a user click event is generated, and the click event specifically carries the user. Clicking on the text, button or image identifier, the browser interface unit reports the user click event to the browser kernel unit, and the user click event can be used as a login trigger event.
  • the trigger login operation may be a click operation, triggering a login operation. Place The corresponding URL can be the URL to which the click action is linked.
  • the login trigger event can also be an automatic jump of a web page, a video playback to a certain length, or a user performing a copy operation.
  • the browser kernel unit When the browser kernel unit detects the login trigger event, it sends a login trigger event to the web application unit.
  • the web application unit determines the web address corresponding to the login triggering operation according to the login triggering event, and sends the web address to the browser kernel unit.
  • the browser kernel unit generates an access request carrying the web address, and sends the access request to the application server.
  • the access request can be an HTTP GET request.
  • the application server determines the security, importance, and privacy of the network resources accessed by the user according to the access request. If it is determined that the network resource requested by the user needs to authenticate the user, the application server sends the required identity authentication indication information to the browser kernel unit.
  • the browser kernel unit determines the selected user digital certificate based on the required identity authentication indication information.
  • the required identity authentication indication information may further carry an identity authentication limiting parameter, where the identity authentication limiting parameter may include the following content:
  • Issuer The issuer, the certificate issuer;
  • Certificate— types which can be RSA key (RSA public key encryption algorithm), DSA key (Digital Signature Algorithm key), RSA static
  • DSA static DH key Select to determine the user digital certificate that meets the authentication qualification parameters.
  • FIG. 3 is a flow chart of the method for implementing step 204 shown in FIG. 2.
  • the browser kernel unit receives the required identity authentication returned by the application server according to the access request.
  • the information, and determining the selected user digital certificate according to the required identity authentication indication information may specifically include the following steps, as shown in FIG. 3:
  • Step 2041 The browser kernel unit generates a required identity authentication event according to the required identity authentication indication information, and reports the required identity authentication event to the web application unit.
  • Step 2042 The web application unit receives the required identity authentication event, and invokes a login interface of an authentication object of the browser kernel unit.
  • Step 2043 The browser kernel unit obtains a locally stored default user digital certificate, determines that the default user digital certificate is the selected user digital certificate, or the browser kernel unit obtains multiple stored locally And selecting a user digital certificate, and determining, according to the received selection indication information, a user digital certificate from the plurality of user digital certificates to be selected as the selected user digital certificate.
  • the foregoing required identity authentication indication information may be specifically a Transport Layer Security (TLS) request
  • the browser kernel unit receives the required identity authentication indication information, and if the required identity authentication indication information carries the identity authentication, The parameter is defined, and the identity authentication defining parameter is parsed from the required identity authentication indication information. Checking whether the web application unit pre-establishes the monitoring of the user identity authentication event. If yes, the browser kernel unit reports the identity authentication event to the web application unit, and the identity authentication event may carry the identity authentication limit parameter.
  • TLS Transport Layer Security
  • the login function sub-object may be weblDAthentication. If the window. weblDAthentication is detected, the login interface of the authentication object is invoked in the browser kernel unit, and the authentication object may be a weblDAthentication object, if the authentication object The authentication object is created.
  • the login interface is specifically the doLogin interface. If the identity authentication parameter exists, the identity authentication parameter can be passed as a parameter to the browser kernel unit through the login interface.
  • the web application unit can also detect whether the user needs to be authenticated according to the internal logic of the web application.
  • the doLogin interface can be specifically implemented by the following interface functions:
  • DCList Readonly [DC] attribute DCList;//The list of digital certificates corresponding to the webID void doLogin(AuthContext context); ⁇ user authentication interface void doLogout(DOMString webID);//user logout interface
  • the browser kernel unit When the browser kernel unit receives the webIDAthentication::doLogin interface call, it checks whether the browser kernel unit needs to automatically select a user digital certificate for the user authentication according to the preset user configuration or system policy.
  • the user configuration process may specifically be that the browser kernel unit automatically selects a pre-set user digital certificate for the user when the user digital certificate is required for identity authentication according to the user configuration, or prompts the user to manually select.
  • the browser kernel unit can perform identity authentication according to the system policy, for example, when there is only one user digital certificate stored locally, and the user digital certificate is used as the default user digital certificate for authentication, when the user digital certificate is stored locally. When there are multiple, all user digital certificates can be displayed to the user for the user to select.
  • the browser kernel unit obtains the default user digital certificate. If the identity authentication limit parameter is passed when the doLogin interface is invoked, it is also possible to check whether the default user digital certificate meets the requirements of the identity authentication limit parameter. . Confirm that the default user digital certificate is used for this identity authentication, and no need to explicitly interact with the user through the digital certificate manager interface, which can greatly shorten the processing time of the overall process and improve processing efficiency.
  • the browser kernel unit obtains a plurality of user digital certificates to be selected to form a user digital certificate list. If the authentication qualification parameter is passed in, it can also be based on the user's digital certificate list.
  • the Digital Certificate Manager interface pops up, listing all available user digital certificates, prompting the user to select a user digital certificate for identity authentication for this website visit. This type of processing makes it easy for users to log in to different web applications using different user identities.
  • the digital certificate manager interface may be an operation interface of a digital certificate manager implemented inside the browser kernel unit. If the browser kernel unit implements the digital certificate manager by itself, the browser kernel unit needs to be provided by the operating system.
  • CAPICOM Cosmetic API Component Object Model
  • the browser can read the user's digital certificate at startup, or trigger the reading of the user's digital certificate when processing a specific application and page to provide higher processing efficiency.
  • the Digital Certificate Manager can also be a digital certificate manager provided by the operating system.
  • the browser kernel unit reports the digital certificate selection event to the web application, and instructs the browser kernel unit to send the login request to the application server through the digital certificate selection event reporting.
  • step 205 the browser kernel unit generates a login request carrying the selected user digital certificate according to the selected user digital certificate, and sends the login request to the application server;
  • Step 206 The browser kernel unit receives a response indicating that the authentication is successful after the application server performs identity authentication according to the selected digital certificate, extracts a webpage file from the response, and parses the webpage file. And generating a webpage and sending the webpage to the browser interface unit; Step 207: The browser interface unit displays the webpage.
  • steps 205-207 in this embodiment may refer to the steps of the embodiment in FIG.
  • step 206 of this embodiment after the browser kernel unit receives the response indicating that the authentication succeeds after the application server performs identity authentication according to the selected digital certificate, the browser kernel unit is from the browser Before the method of extracting the webpage file in the response, the method may further include:
  • the browser kernel unit parses the authentication result of the successful authentication from the response, and sends the authentication result to the web application unit through an authentication result event or a callback function.
  • the browser kernel unit parses the authentication result of the successful authentication from the response, and transmits the authentication result to the web application unit by reporting the authentication result event or calling the callback function. If the web application unit pre-establishes the monitoring of the authentication result event, the browser kernel unit notifies the web application unit of the authentication result by the authentication result event reporting method, and does not need to transfer the function address, and has high running efficiency. If the web application unit pre-implements the callback interface onLogin, the browser kernel unit can pass the authentication result to the web application unit by calling the callback function onLogin.
  • step 207 is similar to step 103 of the embodiment shown in FIG.
  • step 103 reference may be made to step 207.
  • FIG. 4 is a schematic diagram of identity authentication signaling according to an embodiment of the present invention. The identity authentication method of this embodiment will be described in detail below with reference to FIG.
  • the browser interface unit reports a user click event to the browser kernel unit.
  • the browser kernel unit detects the user click event, and reports the user click event as a login trigger event to the web application unit.
  • the web application unit determines a web address corresponding to the login trigger event, and sends the web address to the browser kernel unit.
  • the browser kernel unit sends an access request to the application server according to the website address.
  • the application server determines that the user needs to be authenticated, and sends an identity authentication indication information to the browser kernel unit, where the identity authentication indication information may carry the identity authentication limit parameter.
  • the browser kernel unit generates an identity authentication event according to the required identity authentication indication information, and reports an identity authentication event to the web application unit.
  • the web application unit determines, according to the required identity authentication event, whether the window object in the browser DOM includes a login function sub-object, and if the login function sub-object is detected, executing 409;
  • the browser kernel unit checks whether it is necessary to automatically select a digital certificate for the user. If automatic selection is not required, the digital certificate management interface is invoked, and the user selects the user digital certificate through the user digital certificate list displayed in the browser interface unit, and the selection information is selected. Sent to the browser kernel unit;
  • the browser kernel unit reports a digital certificate selection event to the web application unit.
  • the web application unit sends the modified login parameter to the browser kernel unit according to the digital certificate selection event.
  • the browser kernel unit returns a modify login parameter response to the web application unit.
  • the browser kernel unit sends a login request to the application server, where the login request carries the selected user digital certificate.
  • the application server queries the authentication server with the SPARQL to query the user identity, and receives the query. As a result, determining whether the user identity authentication is successful, if successful, executing 416, and if not, sending an identity authentication failure response (not shown) to the browser kernel unit;
  • the application server returns an identity authentication success response to the browser kernel unit, where the identity authentication success response carries a webpage file, and the webpage file is specifically a html/css/js file;
  • the browser kernel unit passes the login result to the web application unit through the callback interface.
  • the browser kernel unit parses the webpage file.
  • the browser interface unit displays the parsed webpage.
  • the browser kernel unit parses the required authentication indication information and the response sent by the application server, which can reduce the processing complexity of the web application unit.
  • the processing flow sent by the application server that requires the identification of the authentication indication information and the response may also be implemented by the web application unit.
  • FIG. 5 is a flowchart of a third identity authentication method according to an embodiment of the present invention. As shown in FIG. 5, in another implementation manner, the specific implementation of the steps 501-503 of the embodiment may refer to steps 201-203 of FIG. 2, and details are not described herein again.
  • the embodiment also includes the step 204 of the embodiment of FIG. 2, that is, the browser kernel unit determines the selected user digital certificate according to the required identity authentication indication information, which may specifically include the following steps:
  • Step 504 The browser kernel unit generates an identity authentication event according to the required identity authentication indication information, and reports the required identity authentication event to the web application unit.
  • Step 505 The web application unit according to the requirement Identity authentication indication information, calling a digital certificate selection interface of the digital certificate management object of the browser kernel unit;
  • Step 506 The browser kernel unit acquires a default user digital certificate stored locally, determines that the default user digital certificate is the selected user digital certificate, or the browser kernel unit obtains multiple stored locally And selecting a user digital certificate, and determining, according to the received selection indication information, a user digital certificate from the plurality of user digital certificates to be selected as the selected user digital certificate.
  • the identity authentication indication information is required to be specifically an HTTP response.
  • the browser core unit receives the required identity authentication indication information, and the identity authentication event is reported to the web application unit according to the required identity authentication indication information, and the interface may be requested by calling the hypertext transfer protocol of the web application unit.
  • the identity authentication indication information is delivered to the web application unit,
  • the Hypertext Transfer Protocol request interface is specifically the XMLHttpRequest interface in the web application architecture AJAX.
  • the web application unit determines that the user needs to be authenticated according to the required identity authentication indication information. If the identity authentication qualification parameter exists, the web application unit may further parse the identity authentication limitation parameter from the required identity authentication indication information.
  • the web application unit web application determines whether the window object in the browser DOM includes a digital certificate management sub-object, and the digital certificate management sub-object is specifically digitalCertificateMagmt. If the window. digitalCertificateMagmt is detected, a digital certificate management object, that is, a digitalCertificateMagmt object, is called.
  • the digital certificate selection interface provided by the browser kernel unit if the identity authentication limit parameter exists, may also pass the identity authentication limit parameter as a parameter to the browser kernel unit through the login interface, and the digital certificate selection interface is specifically a selectDC interface.
  • the web application unit can also detect whether the user needs to be authenticated according to the internal logic of the web application.
  • the selectDC interface can be specifically implemented by the following interface functions:
  • the browser kernel unit receives the digitalCertificateMagmt:: selectDC interface call, and checks whether the browser kernel unit needs to automatically select a digital certificate for the user for the identity authentication according to the preset user configuration or system policy.
  • the browser kernel unit obtains the default user digital certificate. If the identity authentication limit parameter is passed when the selectDC interface is invoked, it is also possible to check whether the default user digital certificate meets the requirements of the identity authentication limit parameter. . Confirm that the default user digital certificate is used for this identity authentication, and no need to explicitly interact with the user through the digital certificate manager interface, which can greatly shorten the processing time of the overall process and improve processing efficiency.
  • the browser kernel unit obtains a plurality of user digital certificates to be selected to form a user digital certificate list. If the identity authentication parameter is passed in, it can also be based on the body. A list of user digital certificates.
  • the digital certificate manager interface pops up, listing all available user digital certificates, prompting the user to select a user digital data certificate for identity authentication for the website access.
  • the selection indication information is an indication information input by the user for selecting a digital certificate of a user. This type of processing makes it easy for users to log in to different web applications using different user identities.
  • the digital certificate manager interface may be an operation interface of a digital certificate manager implemented inside the browser kernel unit. If the browser kernel unit implements the digital certificate manager by itself, the browser kernel unit needs to be provided by the operating system.
  • the CAPICOM interface reads the digital certificate saved by the machine and displays it in the digital certificate manager interface. In this implementation mode, the browser can read the user digital certificate at startup, or can process it. When a specific application and page is triggered, the reading of the user's digital certificate is triggered to provide higher processing efficiency.
  • the Digital Certificate Manager can also be a digital certificate manager provided by the operating system.
  • the browser kernel unit reports the digital certificate selection event to the web application, and instructs the browser kernel unit to send the login request to the application server through the digital certificate selection event reporting.
  • Steps 501-503 in the embodiment shown in FIG. 5 may refer to steps 201-203 in the embodiment shown in FIG. 2, and steps 507-509 in the embodiment shown in FIG. 5 may refer to the steps in the embodiment shown in FIG. 2.
  • the related description of 205-207 will not be repeated here.
  • step 508 of the embodiment after the browser kernel unit receives the response indicating that the authentication succeeds after the application server performs identity authentication according to the selected user digital certificate, the browser kernel unit is Before extracting the webpage file in the response, the method may further include: sending, by the interface, the response to the web application unit;
  • the web application unit parses the authentication result of the successful authentication from the response.
  • the Hypertext Transfer Protocol request interface is specifically the XMLHttpRequest interface in the Web application architecture AJAX (Asynchronous JavaScript and XML).
  • the browser kernel unit sends a response sent by the application server to the web application unit by calling the hypertext transfer protocol request interface, and the web application unit parses the authentication result of the successful authentication from the response.
  • FIG. 6 is a schematic diagram of another identity authentication signaling according to an embodiment of the present invention. The following is combined with FIG. 6 The identity authentication method of the embodiment is described in detail.
  • the browser interface unit reports a user click event to the browser kernel unit.
  • the browser kernel unit detects the user click event, and reports the user click event as a login trigger event to the web application unit.
  • the web application unit determines a web address corresponding to the login trigger event, and sends the web address to the browser kernel unit.
  • the browser kernel unit sends an access request to the application server according to the website address.
  • the application server determines that the user needs to be authenticated, and sends an identity authentication indication information to the browser kernel unit, where the identity authentication indication information may carry the identity authentication limit parameter.
  • the browser kernel unit generates an identity authentication event according to the required identity authentication indication information, and reports an identity authentication event to the web application unit.
  • the web application unit determines, according to the required identity authentication event, whether the window object in the browser DOM includes a digital certificate management sub-object, and if the digital certificate management sub-object is detected, executing 609;
  • the browser kernel unit checks whether it is necessary to automatically select a digital certificate for the user. If no automatic selection is required, the digital certificate management interface is invoked, and the user selects the user digital certificate through the user digital certificate list displayed in the browser interface unit, and the selection information is selected. Sent to the browser kernel unit;
  • the browser kernel unit transmits the user digital certificate selection result to the web application unit through the callback interface.
  • the web application unit invokes a hypertext transfer protocol request interface to send a login request to the browser single core unit.
  • the browser kernel unit sends a login request to the application server, where the login request carries the selected user digital certificate.
  • the application server obtains the user digital certificate of the user from the authentication server, receives the user digital certificate sent by the authentication server, performs matching of the user digital certificate, and if the matching is successful, executes 615, and if the matching fails, returns HTTP to the browser kernel unit.
  • Identity authentication failure response (not shown) Out);
  • the application server returns an HTTP identity authentication success response to the browser kernel unit, where the identity authentication success response carries a webpage file, where the webpage file is specifically an html/css/js file;
  • the browser kernel unit passes the identity authentication success response to the web application unit through the hypertext transfer protocol response interface.
  • the browser kernel unit parses the webpage file.
  • the browser interface unit displays the parsed webpage.
  • FIG. 7 is a flowchart of a fourth identity authentication method according to an embodiment of the present invention.
  • the user logs in when using the web application.
  • the browser kernel unit generates and carries the selection according to the selected user digital certificate.
  • the method may further include the following steps:
  • Step 701 The browser interface unit receives the website information and the identity identifier to be accessed, and sends the website information to be accessed and the identity identifier to the browser kernel unit.
  • the browser kernel unit generates a login request carrying the selected user digital certificate according to the selected user digital certificate, and sends the login request to the application server, in this embodiment.
  • the browser kernel unit determines the selected user digital certificate according to the identity identifier, generates a login request that carries the selected user digital certificate, and sends the login request to the application server, that is, the embodiment. Step 702.
  • the user inputs a web address in the address bar displayed by the browser interface unit, and the web address is the web address information to be accessed.
  • the browser interface unit provides the user with a web ID list, and the user selects a web ID from the web ID list, that is, the user wants to use the web ID.
  • the user ID corresponding to the WebID accesses the webpage corresponding to the web address, and the WebID is the identity identifier.
  • the browser interface unit sends the to-be-accessed web address information and identity to the browser kernel unit.
  • the browser kernel unit can be provided to the user identity selection interface through the CAPICOM interface provided by the operating system to select the digital certificate saved by the machine.
  • the identity selection interface can also be a digital certificate manager interface corresponding to the digital certificate manager provided by the operating system.
  • the browser kernel unit also automatically selects a user identity for the user based on the user configuration or system policy. The user does not need to pass the list or number of available WebIDs.
  • the word certificate manager interface interacts with the user explicitly, which can greatly shorten the processing time of the overall process and improve processing efficiency.
  • Steps 703 and 704 of this embodiment may refer to related descriptions of steps 102 and 103 of the embodiment shown in FIG. 1, and details are not described herein again.
  • FIG. 8 is a schematic diagram of another identity authentication signaling according to an embodiment of the present invention. The identity authentication method of this embodiment will be described in detail below with reference to FIG.
  • the browser interface unit sends the web address and the webID input by the user to the browser kernel unit.
  • the browser kernel unit determines the user digital certificate according to the WebID, and sends the login request that carries the user digital certificate to the application server. Specifically, the browser kernel unit may encrypt the URL and the timestamp with the user private key, and Carryed as a parameter in the login request;
  • the application server obtains the user digital certificate of the user from the authentication server, receives the user digital certificate sent by the authentication server, performs matching of the user digital certificate, and if the matching is successful, executes 804, and if the matching fails, returns the identity to the browser kernel unit.
  • the authentication failure response (not shown in the figure), specifically, after the application server receives the login request, decrypts the user public key, and if the decrypted URL matches the URL that the user is visiting, it can confirm that the login request is indeed Is sent by the browser proxy user, otherwise it may be forged by a third party through message interception means;
  • the application server returns an identity authentication success response to the browser kernel unit, where the identity authentication success response carries a webpage file, where the webpage file is specifically a html/css/js file;
  • the browser kernel unit parses the webpage file.
  • the browser interface unit displays the parsed webpage.
  • the user status can be detected to avoid repeated authentication of the logged-in user.
  • FIG. 9 is a flowchart of a fifth identity authentication method according to an embodiment of the present invention.
  • this embodiment is different from the embodiment shown in FIG. 1 in that, in step 101 of the embodiment shown in FIG. 1, the browser kernel unit generates a bearer according to the selected user digital certificate.
  • the method in this embodiment may further include the following steps: Step 901: The browser kernel unit detects a login trigger event, and sends the login trigger event to the web application unit.
  • Step 902 The web application unit determines, according to the login trigger event, a web address corresponding to the login triggering operation, and if it is determined that the access to the web address requires identity authentication, obtaining the user status. If the user status is an unlogged state, calling a login interface of the authentication object of the browser kernel unit;
  • Step 903 The browser kernel unit obtains a default user digital certificate, determines that the default user digital certificate is the selected user digital certificate, or the browser kernel unit acquires multiple user digital certificates to be selected. Determining, according to the received selection indication information, one of the selected user digital certificates from the plurality of user digital certificates to be selected.
  • the web application unit can determine whether the user needs to be authenticated.
  • the web application unit determines the web address corresponding to the login triggering event according to the login triggering event.
  • the login triggering event may refer to the related description of the login triggering event in the foregoing embodiment, and details are not described herein.
  • the web application unit determines the security, importance, and privacy of the network resources accessed by the user based on the web address. If it is determined that the access to the website requires identity authentication, the user status is further obtained, and the user status may be a login status or an unlogged status.
  • the web application unit invokes the login interface of the authentication object of the browser kernel unit, and the process of the login interface calling process and the browser kernel unit determining the selected user digital certificate may refer to the related description of the foregoing embodiment. This will not be repeated here.
  • step 905 before the browser kernel unit extracts the webpage file from the response, the method further includes: the web application unit: The URL is sent to the browser kernel unit;
  • the browser kernel unit sends an access request to the application server according to the web address, and receives a response returned by the application server according to the access request.
  • the user may not send the identity authentication during the subsequent access to the webpage by the user, and the web application unit directly sends the web address to the browser kernel unit, so that the browser kernel unit sends the application server to the application server according to the URL.
  • the application server After the access request is sent, the application server returns a response carrying the requested webpage file to the browser kernel unit after receiving the access request.
  • the acquiring, by the web application unit, the user status of the user indicated by the selected user digital certificate may include the following steps:
  • the web application unit acquires a user status of the user indicated by the selected user digital certificate by calling a user login status query interface of the browser kernel unit.
  • the web application unit can invoke the user login status query interface weblDAthentication:: doQueryUserstatus provided by the browser kernel, and specify the WeblD to be queried by parameters, and retrieve the current user status of the WeblD.
  • the web application unit can implement the callback interface onQueryUserstatus in advance, and the browser kernel unit can notify the web application unit of the user state by calling the callback function onQueryUserstatus. If the user is already logged in, the browser kernel unit returns the user status to online. If the user has not logged in, the browser kernel unit returns the user status as offline.
  • the web application unit may also pre-set the monitoring of the current login status event of the user, and the browser kernel unit notifies the web application unit of the user status by means of event reporting.
  • the user can log out by clicking the "logout” button or closing the webpage corresponding to the web application.
  • the web application unit invokes the user provided by the browser kernel unit to log out of the weblDAthentication:: doLogout interface, and specifies the WeblD to be logged out by parameters.
  • Browser The kernel unit issues an HTTP request to the application server for user logout and receives an HTTP response returned by the application server.
  • the browser kernel unit parses the result of the user logout from the HTTP response, and the web application unit can pre-establish the monitoring of the user logout event, and the browser kernel unit notifies the web application of the result of the user logout by the event reporting manner, Web
  • the application unit can also implement the callback interface onLogout in advance, and the browser kernel unit notifies the web application of the result of the user logout by calling the callback function onLogout.
  • FIG. 10 is a schematic structural diagram of an identity authentication system according to an embodiment of the present invention.
  • the identity authentication system provided in this embodiment specifically includes an identity authentication device 1001 and an application server 1002.
  • the identity authentication device 1001 can specifically implement various processes of the identity authentication method provided by any embodiment of the present invention. Narration.
  • the identity authentication apparatus 1001 provided in this embodiment specifically includes a browser kernel unit 10011 and a browser interface unit 10012.
  • the browser kernel unit 10011 is configured to generate, according to the selected user digital certificate, a login request that carries the selected user digital certificate, send the login request to the application server 1002, and receive the response from the application server 1002.
  • the web page file is extracted, the web page file is parsed, and the web page is generated and sent to the browser interface unit 10012.
  • the browser interface unit 10012 is configured to display the webpage.
  • the browser kernel unit 10011 generates a login request carrying the selected user digital certificate according to the selected user digital certificate, and sends a login request.
  • the application is sent to the application server 1002.
  • the browser kernel unit 10011 receives the response sent by the application server 1002 to indicate the successful authentication, extracts the webpage file from the response, parses the webpage file, generates the webpage, and sends the webpage to the browser interface unit 10012 for browsing.
  • the browser interface unit 10012 displays the web page.
  • FIG. 11 is a schematic structural diagram of another identity authentication system according to an embodiment of the present invention.
  • the identity authentication system provided in this embodiment specifically includes an identity authentication device 111 and an application server 112.
  • the identity authentication device 111 provided in this embodiment specifically includes a browser kernel unit 1111 and a browser interface unit 1112.
  • a user clicks on a text, button or picture containing a hyperlink in a web page displayed by the browser interface unit 1112 a user click event is generated.
  • the identity authentication apparatus 111 in this embodiment further includes: a web application unit 1113.
  • the browser interface unit 1112 is further configured to detect a login trigger event, send the login trigger event to the web application unit 1113, and send an access request to the application server 112 according to the web address sent by the web application unit 1113. Receiving the required identity authentication information returned by the application server 112 according to the access request, and determining the selected user digital certificate according to the required identity authentication indication information.
  • the web application unit 1113 is configured to determine, according to the login trigger event, a web address corresponding to the login triggering operation, and send the web address to the browser kernel unit 1111.
  • the browser kernel unit 1111 is further configured to generate an identity authentication event according to the required identity authentication indication information, and report the required identity authentication event to the
  • the web application unit 1113 and obtaining a default user digital certificate stored locally, determining that the default user digital certificate is the selected user digital certificate, or the browser kernel unit 1111 acquiring a plurality of locally stored multiple to be selected And a user digital certificate, determining, according to the received selection indication information, a user digital certificate from the plurality of user digital certificates to be selected as the selected user digital certificate.
  • the web application unit 1113 is further configured to receive the login authentication interface of the authentication object of the browser kernel unit 11 by receiving the identity authentication event.
  • the browser kernel unit 1111 is further configured to parse from the response.
  • the authentication result of the successful authentication is sent to the web application unit 1113 by the authentication result event or the callback function.
  • the browser kernel unit 1111 parses the required identity authentication indication information and the response sent by the application server 112, which can reduce the processing complexity of the web application unit 1113.
  • the processing flow sent by the application server 112 that requires the authentication indication information and the response to be parsed may also be implemented by the web application unit 1113.
  • the browser kernel unit 1111 is further configured to generate an identity authentication event according to the required identity authentication indication information, report the required identity authentication event to the web application unit 1113, and obtain a locally stored default user digital certificate. Determining that the default user digital certificate is the selected user digital certificate, or the browser kernel unit 1111 acquires a plurality of locally stored user digital certificates to be selected, according to the received selection indication information from the plurality of Among the user digital certificates to be selected, one user digital certificate is determined as the selected user digital certificate.
  • the web application unit 1113 is further configured to invoke a digital certificate selection interface of the digital certificate management object of the browser kernel unit 1111 according to the required identity authentication indication information.
  • the browser kernel unit 1111 is further configured to send the response to the web application unit 1113 by calling a hypertext transfer protocol request interface of the web application unit 1113.
  • the web application unit 1113 is further configured to parse the authentication result of the authentication success from the response.
  • the user logs in when using the web application, and the user inputs a web address in the address bar displayed by the browser interface unit 1112, where the web address is the web address information to be accessed, and the browser interface unit 1112 provides the user with the website address.
  • the browser interface unit 1112 is further configured to receive the website information and the identity identifier to be accessed, and send the website information to be accessed and the identity identifier to the browser core unit 1111.
  • the browser kernel unit 1111 is further configured to determine the selected user digital certificate according to the identity identifier, generate a login request that carries the selected user digital certificate, and send the login request to the application server 112. .
  • the browser kernel unit 1111 is further configured to detect a login trigger event, send the login trigger event to the web application unit 1113, and obtain the local Storing a default user digital certificate, determining that the default user digital certificate is the selected user digital certificate, or the browser kernel unit 1111 acquiring a plurality of locally stored user digital certificates to be selected, according to the received
  • the selection indication information determines a user digital certificate from the plurality of user digital certificates to be selected as the selected user digital certificate.
  • the web application unit 1113 is further configured to determine, according to the login trigger event, a web address corresponding to the login triggering operation, and if it is determined that the access to the web address requires identity authentication, acquiring the user indicated by the selected user digital certificate. User status, if the user status is not logged in, the login interface of the authentication object of the browser kernel unit 1111 is invoked.
  • the web application unit 1113 is further configured to send the website address to the browser kernel unit 1111.
  • the browser kernel unit 1111 is further configured to send an access request to the application server 112 according to the web address, and receive a response returned by the application server 112 according to the access request.
  • the web application unit 1113 is further configured to acquire a user status of the user indicated by the selected user digital certificate by calling a user login status query interface of the browser kernel unit 1111.
  • the identity authentication device provided in this embodiment may specifically be a device provided with a processor and a memory, such as a personal computer, a notebook computer, a tablet computer, and a smart phone, and the identity authentication device is provided with a browser and an application program.
  • the instructions of the browser and the application are stored in the memory, and the processor calls the relevant instructions in the memory and executes to generate a final display interface to be displayed through the display of the identity authentication device, respectively implementing the browser kernel unit and the browser display.
  • the functionality of the unit and web application unit is a device provided with a processor and a memory, such as a personal computer, a notebook computer, a tablet computer, and a smart phone
  • the instructions of the browser and the application are stored in the memory, and the processor calls the relevant instructions in the memory and executes to generate a final display interface to be displayed through the display of the identity authentication device, respectively implementing the browser kernel unit and the browser display.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Information Transfer Between Computers (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本发明实施例提供一种身份认证方法及装置，该身份认证方法包括：浏览器内核单元根据选择的用户数字证书，生成携带有选择的用户数字证书的登录请求，将登录请求发送给应用服务器；浏览器内核单元接收应用服务器根据选择的数字证书进行身份认证之后所返回的指示认证成功的响应，从响应中提取网页文件，对网页文件进行解析，生成网页并发送给浏览器界面单元；浏览器界面单元对网页进行显示。本发明实施例提供的身份认证方法及装置，提高了身份认证的便捷性和安全性。

Description

身份认证方法及装置
技术领域 本发明实施例涉及网络技术， 尤其涉及一种身份认证方法及装置。 背景技术
Web (网页）应用为使用浏览器所支持的语言编写的、 依赖于浏览器作 为运行和展现环境的应用程序。 用户在使用 Web应用时， 为了保证网络系统 资源使用的安全性， 通常需要对用户进行身份认证， 以使合法用户以合法的 权限访问网络系统的资源。
现有技术中， 通常通过用户输入的用户名和密码对用户进行身份认证， 用户需要记住用户名和密码， 而且， 密码在传输过程中容易被第三方截获， 安全性不高， 而且输入密码也比较麻烦， 不够方便。 发明内容
本发明实施例提供一种身份认证方法及装置， 以提高身份认证的便捷性 和安全性。
本发明实施例提供一种身份认证方法， 包括：
浏览器内核单元根据选择的用户数字证书， 生成携带有所述选择的用户 数字证书的登录请求， 将所述登录请求发送给应用服务器；
所述浏览器内核单元接收所述应用服务器根据所述选择的数字证书进行 身份认证之后所返回的指示认证成功的响应， 从所述响应中提取网页文件， 对所述网页文件进行解析， 生成网页并发送给浏览器界面单元；
所述浏览器界面单元对所述网页进行显示。
本发明实施例提供一种身份认证装置， 包括浏览器内核单元和浏览器界 面单元；
浏览器内核单元用于根据选择的用户数字证书， 生成携带有所述选择的 用户数字证书的登录请求， 将所述登录请求发送给应用服务器， 以及接收所 述应用服务器根据所述选择的数字证书进行身份认证之后所返回的指示认证 成功的响应， 从所述响应中提取网页文件， 对所述网页文件进行解析， 生成 网页并发送给浏览器界面单元；
所述浏览器界面单元用于对所述网页进行显示。
由上述技术方案可知， 本发明实施例提供的身份认证方法及装置， 浏览 器内核单元根据选择的用户数字证书， 生成携带有选择的用户数字证书的登 录请求， 将登录请求发送给应用服务器， 浏览器内核单元接收应用服务器发 送的用以指示认证成功的响应， 从响应中提取网页文件， 对网页文件进行解 析， 生成网页并发送给浏览器界面单元， 浏览器界面单元对网页进行显示。 通过用户数字证书进行身份认证， 用户无需记住用户名和密码， 而且可以避 免密码在传输过程中被截获， 提高了身份认证的便捷性和安全性。 附图说明
施例或现有技术描述中所需要使用的附图作一简单地介绍， 显而易见地， 下 面描述中的附图是本发明的一些实施例， 对于本领域普通技术人员来讲， 在 不付出创造性劳动性的前提下， 还可以根据这些附图获得其他的附图。
图 1为本发明实施例提供的第一种身份认证方法流程图；
图 2为本发明实施例提供的第二种身份认证方法流程图；
图 3为本图 2所示步骤 204实现方法流程图；
图 4为本发明实施例提供的一种身份认证信令图；
图 5为本发明实施例提供的第三种身份认证方法流程图；
图 6为本发明实施例提供的另一种身份认证信令图；
图 7为本发明实施例提供的第四种身份认证方法流程图；
图 8为本发明实施例提供的再一种身份认证信令图；
图 9为本发明实施例提供的第五种身份认证方法流程图；
图 10为本发明实施例提供的一种身份认证系统结构示意图；
图 1 1为本发明实施例提供的另一种身份认证系统结构示意图。 具体实施方式 为使本发明实施例的目的、 技术方案和优点更加清楚， 下面将结合本发 明实施例中的附图， 对本发明实施例中的技术方案进行清楚、 完整地描述， 显然， 所描述的实施例是本发明一部分实施例， 而不是全部的实施例。 基于 本发明中的实施例， 本领域普通技术人员在没有作出创造性劳动前提下所获 得的所有其他实施例， 都属于本发明保护的范围。
图 1为本发明实施例提供的第一种身份认证方法流程图。 如图 1所示， 本实施例提供的身份认证方法具体可以应用于用户通过浏览器使用 Web应用 时对用户身份的认证过程， 可以通过设置有浏览器的身份认证装置来执行。 该身份认证装置可以为个人计算机、 笔记本电脑、 平板电脑和智能手机等设 备。
本实施例提供的身份认证方法具体包括：
步骤 101、 浏览器内核单元根据选择的用户数字证书， 生成携带有所述 选择的用户数字证书的登录请求， 将所述登录请求发送给应用服务器；
步骤 102、 所述浏览器内核单元接收所述应用服务器根据所述选择的数 字证书进行身份认证之后所返回的指示认证成功的响应， 从所述响应中提取 网页文件， 对所述网页文件进行解析， 生成网页并发送给浏览器界面单元； 步骤 103、 所述浏览器界面单元对所述网页进行显示。
具体地， 用户首先注册为 Web应用的合法用户， Web应用向该用户的客 户端分发相应的用户数字证书， 该用户数字证书存储在身份认证装置中。 具 体地， 用户数字证书可以利用公钥体制， 即利用一对互相匹配的密钥进行加 密和解密。 在网络传输的过程当中， 只有公钥会被传输， 私钥则只保存在用 户本地。 因此即使截获了用户数字证书， 也无法对其进行解密而获取用户数 字证书的真正的数据。 当用户通过多个用户身份进行注册时， 每个用户身份 都有各自对应的用户数字证书， 可以用 WebID (用户在网页中的身份标识)对 用户身份进行标识， 以实现用户身份的唯一性。 用户数字证书中可以包括 WebID, 证书发布者、 证书类型、 证书公钥和数字签名算法等信息。 当用户 需要以某个用户身份进行登录时，可以选择该用户身份对应的用户数字证书， 字证书。
浏览器内核单元中具体设置有浏览器内核程序， 浏览器内核单元根据该 选择的用户数字证书， 生成携带有选择的用户数字证书的登录请求， 该登录 请求用以指示请求对该用户数字证书对应的用户身份进行登录处理， 该登录 请求具体为 HTTP ( HyperText Transfer Protocol, 超文本传输协议 ) GET (获 取）请求。浏览器内核单元向该 Web应用对应的应用服务器发送该登录请求， 应用服务器接收该登录请求， 对登录请求中的用户数字证书进行验证。
具体地， 应用服务器对该用户数字证书进行验证的方式可以包括以下两 种：
一种实现方式， 应用月良务器可以通过 SPARQL ( Simple Protocol and RDF Query Language )方式向对应的认证服务器发起查询请求，查询请求可以携带 有该用户数字证书中的几个关键参数，例如 WebID,证书类型和证书公钥等， 认证服务器根据上述几个关键参数进行查询， 当认证服务器中存储的某个用 户数字证书的参数与上述查询过程中携带的几个关键参数都相同， 则查询结 果为真， 身份认证成功； 当认证服务器中存储的某个用户数字证书的参数与 上述查询过程中携带的几个关键参数都不相同或者不完全相同， 身份认证失 败。
另一种实现方式， 应用服务器通过 HTTPS ( Hypertext Transfer Protocol over Secure Socket Layer, 安全传输的 HTTP消息 ) GET请求获取认证服务 器上保存的与该 webID对用的用户数字证书。 应用服务器将接收到的登录请 求中携带的用户数字证书和从认证服务器上获取到的用户数字证书进行匹 配， 若两个用户数字证书中的参数全部相同， 即匹配成功， 则用户身份认证 成功， 若两个用户数字证书中的参数全部不相同或者不完全相同， 则身份认 证失败。
若用户身份认证成功， 则向浏览器内核单元发送用以指示认证成功的响 应， 该响应中携带有与该 Web应用对应的网页文件， 该指示认证成功的响应 具体可以为 HTTP 200响应。 浏览器内核单元从该响应中提取网页文件， 对 该网页文件进行解析， 执行该网页文件， 并进行相应的渲染， 将最终的网页 通过浏览器界面单元进行显示， 以为用户提供相应的 Web应用。 网页文件具 体可以包括超文本标记语言 （ Hypertext Markup Language , 简称 HTML )文 件、 javascript脚本文件和级联样式表 ( Cascading Style Sheet, 简称 CSS )文 件等。 浏览器界面单元中设置有浏览器界面程序。 当用户身份认证失败时， 应用 良务器也向浏览器内核单元返回用以指示认证失败的响应， 该指示认证 失败的响应具体可以为 HTTP 403响应。
本实施例提供的身份认证方法， 浏览器内核单元根据选择的用户数字证 书， 生成携带有选择的用户数字证书的登录请求， 将登录请求发送给应用服 务器， 浏览器内核单元接收应用服务器发送的用以指示认证成功的响应， 从 响应中提取网页文件， 对网页文件进行解析， 生成网页并发送给浏览器界面 单元， 浏览器界面单元对网页进行显示。 通过用户数字证书进行身份认证， 用户无需记住用户名和密码， 而且可以避免密码在传输过程中被截获， 提高 了身份认证的便捷性和安全性。
图 2为本发明实施例提供的第二种身份认证方法流程图。 如图 2所示， 在本实施例中， 在图 1 所述实施例的步骤 101 , 浏览器内核单元根据选择的 用户数字证书， 生成携带有所述选择的用户数字证书的登录请求之前， 所述 方法进一步还可以包括如下步骤：
步骤 201、 所述浏览器内核单元检测登录触发事件， 将所述登录触发事 件发送给 Web应用单元；
步骤 202、 所述 Web应用单元根据所述登录触发事件确定登录触发操作 对应的网址， 将所述网址发送给所述浏览器内核单元； 向所述应用服务器发送访问请求；
步骤 204、 所述浏览器内核单元接收所述应用服务器根据所述访问请求 所返回的需要身份认证信息， 并且根据所述需要身份认证指示信息确定所述 选择的用户数字证书。
具体地， Web应用单元中设置有 Web应用。 在一种应用场景下， 用户在 通过浏览器使用 Web应用时， 在访问到的网络资源不需要进行身份认证时， 并不需要登录。 当用户访问到的网络资源需要进行身份认证时， 才需要用户 提供用户数字证书以进行身份认证。
登录触发事件具体为触发登录操作的事件， 例如， 用户在浏览器界面单 元所展示的网页中点击包含超链接的文字、 按鈕或图片时， 会产生用户点击 事件， 点击事件中具体携带有用户所点击的文字、 按鈕或图片的标识， 浏览 器界面单元将该用户点击事件上报给浏览器内核单元， 该用户点击事件可以 作为登录触发事件， 此时， 触发登录操作可以是点击操作， 触发登录操作所 对应的网址可以是该点击操作所链接的网址。 登录触发事件还可以为网页自 动跳转、 视频播放到一定长度或用户执行拷贝操作等等。 浏览器内核单元检 测到该登录触发事件时， 将登录触发事件发送给 Web应用单元。 Web应用单 元根据登录触发事件确定登录触发操作对应的网址， 将该网址发送给浏览器 内核单元， 浏览器内核单元生成携带有该网址的访问请求， 并将访问请求发 送给应用服务器。 访问请求具体可以为 HTTP GET请求。 应用服务器根据访 问请求确定用户访问的网络资源的安全性、 重要性和隐私性， 若判断获知用 户请求访问的网络资源需要对用户进行身份认证， 则向浏览器内核单元发送 需要身份认证指示信息。 浏览器内核单元根据该需要身份认证指示信息确定 选择的用户数字证书。
该需要身份认证指示信息中还可以携带有身份认证限定参数， 该身份认 证限定参数可以包括以下内容：
Issuer: 发行机构， 即证书发布者；
Certificate— types: 证书类型， 可以是 RSA key ( RSA公钥加密算法） 、 DSA key ( Digital Signature Algorithm key, DSA公钥力口密算法） 、 RSA static
DH( RSA静态 Diffie-Hellman公钥加密算法） key或 DSA static DH key( DSA 静态
Figure imgf000007_0001
选， 以确定符合该身份认证限定参数的用户数字证书。
图 3为图 2所示步骤 204实现方法流程图。 如图 3所示， 在本实施例中， 在本实施例中， 图 2所述实施例的步骤 204, 所述浏览器内核单元接收所述 应用服务器根据所述访问请求所返回的需要身份认证信息， 并且根据所述需 要身份认证指示信息确定所述选择的用户数字证书，具体可以包括如下步骤， 如图 3所示：
步骤 2041、 所述浏览器内核单元根据所述需要身份认证指示信息生成需 要身份认证事件， 将所述需要身份认证事件上报给所述 Web应用单元；
步骤 2042、所述 Web应用单元接收所述需要身份认证事件，调用所述浏 览器内核单元的认证对象的登录接口； 步骤 2043、 所述浏览器内核单元获取本地存储的默认的用户数字证书， 确定所述默认的用户数字证书为所述选择的用户数字证书， 或者所述浏览器 内核单元获取本地存储的多个待选择的用户数字证书， 根据接收到的选择指 示信息从所述多个待选择的用户数字证书中确定一个用户数字证书为所述选 择的用户数字证书。
具体地， 上述需要身份认证指示信息具体可以为安全传输层协议 ( Transport Layer Security, 简称 TLS )请求， 浏览器内核单元接收该需要身 份认证指示信息， 若该需要身份认证指示信息中携带有身份认证限定参数， 则从该需要身份认证指示信息解析出身份认证限定参数。检查 Web应用单元 是否预先建立了对用户身份认证事件的监听， 如果有， 则浏览器内核单元向 Web应用单元上报需要身份认证事件， 该需要身份认证事件中可以携带有身 份认证限定参数。
Figure imgf000008_0001
是否 包括登录功能子对象， 该登录功能子对象具体可以为 weblDAthentication , 如果检测到该 window. weblDAthentication , 调用浏览器 内核单元中提供认证对象的登录接口 ， 该认证对象具体可以为 weblDAthentication对象， 若认证对象未创建， 可以先创建该认证对象， 该登 录接口具体为 doLogin接口。 若存在身份认证限定参数， 则可以将身份认证 限定参数作为参数通过该登录接口传入浏览器内核单元。 Web应用单元也可 以根据 Web应用内部逻辑检测是否需要对用户进行身份认证。
doLogin接口具体可以通过以下接口函数实现：
interface weblDAthentication： EventTarget {
attribute DOMString webID;〃用户 webID
readonly [DC] attribute DCList;//该 webID对应的数字证书列表 void doLogin(AuthContext context);〃用户身份认证接口 void doLogout(DOMString webID);//用户登出接口
void doQueryUserstatus(DOMString webID);〃用户登录状态查询接
〃回调接口 void attribute Function? onLogin;〃用户身份认证回调接口
void attribute Function? onLogout;〃用户登出回调接口
void attribute Function? onQueryUserstatus;〃用户登录状态查询回调接 口
}；
浏览器内核单元接收到 webIDAthentication::doLogin接口调用时，根据预 设的用户配置或系统策略， 检查浏览器内核单元是否需要自动为用户选择某 个用户数字证书用于此次身份认证。 用户配置过程具体可以为浏览器内核单 元根据用户配置将在需要用户数字证书进行身份认证时， 自动为用户选择预 先设置的用户数字证书， 或者提示用户手动选择。 当用户没有进行配置时， 浏览器内核单元可以根据系统策略， 例如当本地存储的用户数字证书只有一 个时， 将该用户数字证书作为默认的用户数字证书进行身份认证， 当本地存 储的用户数字证书为多个时， 可以将所有的用户数字证书显示给用户， 以便 用户选择。
如果需要进行自动选择， 浏览器内核单元获取默认的用户数字证书， 若 在 doLogin接口被调用时传入了身份认证限定参数， 则还可以检查该默认的 用户数字证书是否符合身份认证限定参数的要求。 确认使用该默认的用户数 字证书进行此次身份认证， 不再需要通过数字证书管理器界面与用户进行显 式交互， 可以极大地缩短整体流程的处理时间， 提高处理效率。
如果不需要进行自动选择， 浏览器内核单元获取多个待选择的用户数字 证书， 形成用户数字证书列表。 若传入了身份认证限定参数， 还可以根据身 的用户数字证书列表。 并弹出数字证书管理器界面， 列出所有可用的用户数 字证书， 提示用户从其中选择某个用户数字证书用于此次网站访问的身份认 证。这种处理方式可方便用户为对不同 Web应用使用不同用户身份进行登录。
在具体实现过程中， 上述数字证书管理器界面可以是浏览器内核单元内 部实现的数字证书管理器的操作界面， 如果浏览器内核单元自行实现数字证 书管理器， 浏览器内核单元需要通过操作系统提供的 CAPICOM ( Cryptographic API Component Object Model,密码接口组件对像模型）接口， 读取本机所保存的数字证书并在数字证书管理器界面中进行展示， 在这种实 现方式下， 浏览器可以在启动时就进行用户数字证书的读取， 也可以在处理 某个具体应用和页面时， 触发用户数字证书的读取， 以提供更高的处理效率。 数字证书管理器也可以为操作系统所提供的数字证书管理器。
如果 Web应用单元预先建立对用户数字证书选择事件的监听， 浏览器内 核单元向 Web应用上报数字证书选择事件， 并通过数字证书选择事件上报接 指示浏览器内核单元向应用服务器发送登录请求。
在步骤 204之后， 执行步骤 205、 浏览器内核单元根据选择的用户数字 证书， 生成携带有所述选择的用户数字证书的登录请求， 将所述登录请求发 送给应用服务器；
步骤 206、 所述浏览器内核单元接收所述应用服务器根据所述选择的数 字证书进行身份认证之后所返回的指示认证成功的响应， 从所述响应中提取 网页文件， 对所述网页文件进行解析， 生成网页并发送给浏览器界面单元； 步骤 207、 所述浏览器界面单元对所述网页进行显示。
本实施例中的步骤 205-207 的具体实现可以参图 1 所述实施例的步骤
101-103的相关描述。
在本实施例的步骤 206中， 所述浏览器内核单元接收所述应用服务器根 据所述选择的数字证书进行身份认证之后所返回的指示认证成功的响应之 后， 所述浏览器内核单元从所述响应中提取网页文件之前， 所述方法进一步 还可以包括：
所述浏览器内核单元从所述响应中解析出认证成功的认证结果， 将所述 认证结果通过认证结果事件或回调函数发送给所述 Web应用单元。
浏览器内核单元从响应中解析出认证成功的认证结果， 将该认证结果通 过认证结果事件上报或调用回调函数的方式传递给 Web应用单元。如果 Web 应用单元预先建立对认证结果事件的监听， 浏览器内核单元通过认证结果事 件上报方式将认证结果通知给 Web应用单元， 无需传递函数地址， 具有较高 的运行效率。 如果 Web应用单元预先实现了回调接口 onLogin, 浏览器内核 单元可以通过调用该回调函数 onLogin方式， 将认证结果传递给 Web应用单 元。
当然， 本步骤 207的具体过程和图 1所述实施例的步骤 103类似， 即步 骤 103的具体实现可以参考该步骤 207。
图 4为本发明实施例提供的一种身份认证信令图。 以下结合图 4对本实 施例的身份认证方法做详细说明。
401、 用户在浏览器界面单元显示的网页中点击包含超链接的文字、按鈕 或图片；
402、 浏览器界面单元向浏览器内核单元上报用户点击事件；
403、 浏览器内核单元检测到该用户点击事件， 将该用户点击事件作为登 录触发事件上报给 Web应用单元；
404、 Web应用单元确定登录触发事件所对应的网址，将该网址发送给浏 览器内核单元；
405、 浏览器内核单元根据该网址向应用服务器发送访问请求；
406、应用服务器确定需要对用户进行身份认证， 向浏览器内核单元发送 需要身份认证指示信息， 该身份认证指示信息中可以携带有身份认证限定参 数；
407、浏览器内核单元根据该需要身份认证指示信息生成需要身份认证事 件， 将需要身份认证事件上报给 Web应用单元；
408、 Web 应用单元根据该需要身份认证事件， 判断浏览器 DOM 中 window对象是否包括登录功能子对象， 若检测到该登录功能子对象， 则执行 409;
409、 调用浏览器内核单元中提供的认证对象的登录接口；
410、 浏览器内核单元检查是否需要自动为用户选择数字证书， 若不需要 自动选择， 调用数字证书管理界面， 用户通过浏览器界面单元中显示的用户 数字证书列表选择用户数字证书， 将选择指示信息发送给浏览器内核单元；
411、 浏览器内核单元向 Web应用单元上报数字证书选择事件；
412、 Web应用单元根据该数字证书选择事件将修改的登录参数发送给浏 览器内核单元；
413、 浏览器内核单元向 Web应用单元返回修改登录参数响应；
414、 浏览器内核单元向应用服务器发送登录请求， 该登录请求中携带有 选择的用户数字证书；
415、 应用服务器向认证服务器以 SPARQL查询用户身份， 并接收查询 结果， 判断用户身份认证是否成功， 若成功， 则执行 416, 若失败， 则向浏 览器内核单元发送身份认证失败响应 （图中未示出） ；
416、应用服务器向浏览器内核单元返回身份认证成功响应， 该身份认证 成功响应中携带有网页文件， 该网页文件具体为 html/css/js文件；
417、 浏览器内核单元通过回调接口将登录结果传递给 Web应用单元；
418、 浏览器内核单元解析该网页文件；
419、 浏览器界面单元对解析出的网页进行显示。
在上述实现方式中， 浏览器内核单元对应用服务器发送的需要身份认证 指示信息和响应均进行解析处理， 可以降低 Web应用单元的处理复杂度。 当 然， 对应用服务器发送的需要身份认证指示信息和响应进行解析的处理流程 也可以由 Web应用单元来实现。
图 5为本发明实施例提供的第三种身份认证方法流程图。 如图 5所示， 则在另一种实现方式中， 该实施例的步骤 501-503 的具体实现可以分别参照 图 2的步骤 201-203 , 在此不再赘述。
该实施例也包括图 2所述实施例的步骤 204, 即所述浏览器内核单元根 据所述需要身份认证指示信息确定选择的所述用户数字证书， 具体可以包括 如下步骤：
步骤 504、 所述浏览器内核单元根据所述需要身份认证指示信息生成需 要身份认证事件， 将所述需要身份认证事件上报给所述 Web应用单元； 步骤 505、 所述 Web应用单元根据所述需要身份认证指示信息， 调用所 述浏览器内核单元的数字证书管理对象的数字证书选择接口；
步骤 506、 所述浏览器内核单元获取本地存储的默认的用户数字证书， 确定所述默认的用户数字证书为所述选择的用户数字证书， 或者所述浏览器 内核单元获取本地存储的多个待选择的用户数字证书， 根据接收到的选择指 示信息从所述多个待选择的用户数字证书中确定一个用户数字证书为所述选 择的用户数字证书。
具体地， 需要身份认证指示信息具体为 HTTP响应。 浏览器内核单元接 收该需要身份认证指示信息， 根据该需要身份认证指示信息将需要身份认证 事件上报给 Web应用单元， 具体可以通过调用所述 Web应用单元的超文本 传输协议请求接口， 将该需要身份认证指示信息传递给所述 Web应用单元， 超文本传输协议请求接口具体为 Web 应用程序架构 AJAX 中的 XMLHttpRequest接口。 Web应用单元根据该需要身份认证指示信息确定需要 对用户进行身份认证， 若存在身份认证限定参数， Web应用单元还可以从需 要身份认证指示信息解析出身份认证限定参数。
Web应用单元 web应用判断浏览器 DOM中 window对象是否包括数字 证书管理子对象， 该数字证书管理子对象具体为 digitalCertificateMagmt, 如 果检测到该 window. digitalCertificateMagmt , 则创建数字证书管理对象， 即 digitalCertificateMagmt对象，调用浏览器内核单元提供的数字证书选择接口， 若存在身份认证限定参数， 则还可以将身份认证限定参数作为参数通过该登 录接口传入浏览器内核单元，该数字证书选择接口具体为 selectDC接口。 Web 应用单元也可以根据 Web应用内部逻辑检测是否需要对用户进行身份认证。
selectDC接口具体可以通过以下接口函数实现：
interface digitalCertificateMagmt: EventTarget {
readonly [DC] attribute DCList;
//选择数字证书函数
void selectDC (AuthContext context);
〃回调函数
void attribute Function? onselectDC;〃选择数字证书回调函数
}；
浏览器内核单元接收到 digitalCertificateMagmt:： selectDC接口调用，根据 预设的用户配置或系统策略， 检查浏览器内核单元是否需要自动为用户选择 某个数字证书用于此次身份认证。
如果需要进行自动选择， 浏览器内核单元获取默认的用户数字证书， 若 在 selectDC接口被调用时传入了身份认证限定参数， 则还可以检查该默认的 用户数字证书是否符合身份认证限定参数的要求。 确认使用该默认的用户数 字证书进行此次身份认证， 不再需要通过数字证书管理器界面与用户进行显 式交互， 可以极大地缩短整体流程的处理时间， 提高处理效率。
如果不需要进行自动选择， 浏览器内核单元获取多个待选择的用户数字 证书， 形成用户数字证书列表。 若传入了身份认证限定参数， 还可以根据身 的用户数字证书列表。 并弹出数字证书管理器界面， 列出所有可用的用户数 字证书， 提示用户从其中选择某个用户数字数据证书用于此次网站访问的身 份认证。 选择指示信息即为用户输入的用于选择某个用户数字证书的指示信 息。这种处理方式可方便用户为对不同 Web应用使用不同用户身份进行登录。
在具体实现过程中， 上述数字证书管理器界面可以是浏览器内核单元内 部实现的数字证书管理器的操作界面， 如果浏览器内核单元自行实现数字证 书管理器， 浏览器内核单元需要通过操作系统提供的 CAPICOM接口， 读取 本机所保存的数字证书并在数字证书管理器界面中进行展示， 在这种实现方 式下， 浏览器可以在启动时就进行用户数字证书的读取， 也可以在处理某个 具体应用和页面时， 触发用户数字证书的读取， 以提供更高的处理效率。 数 字证书管理器也可以为操作系统所提供的数字证书管理器。
如果 Web应用单元预先建立对用户数字证书选择事件的监听， 浏览器内 核单元向 Web应用上报数字证书选择事件， 并通过数字证书选择事件上报接 指示浏览器内核单元向应用服务器发送登录请求。
图 5 所示实施例中的步骤 501-503 可以参照图 2 所示实施例中的步骤 201-203 , 以及图 5所述实施例的步骤 507-509可以参照图 2所示实施例中的 步骤 205-207的相关描述， 在此不再赘述。
在本实施例的步骤 508中， 所述浏览器内核单元接收所述应用服务器根 据所述选择的用户数字证书进行身份认证之后所返回的指示认证成功的响应 之后， 所述浏览器内核单元从所述响应中提取网页文件之前， 所述方法进一 步还可以包括： 接口， 将所述响应发送给所述 Web应用单元；
所述 Web应用单元从所述响应中解析出认证成功的认证结果。
超文本传输协议请求接口具体为 Web应用程序架构 AJAX( Asynchronous JavaScript and XML ) 中的 XMLHttpRequest接口。 浏览器内核单元通过调用 该超文本传输协议请求接口， 将应用服务器发送的响应发送给所述 Web应用 单元， Web应用单元从响应中解析出认证成功的认证结果。
图 6为本发明实施例提供的另一种身份认证信令图。 以下结合图 6对本 实施例的身份认证方法做详细说明。
601、 用户在浏览器界面单元显示的网页中点击包含超链接的文字、按鈕 或图片；
602、 浏览器界面单元向浏览器内核单元上报用户点击事件；
603、 浏览器内核单元检测到该用户点击事件， 将该用户点击事件作为登 录触发事件上报给 Web应用单元；
604、 Web应用单元确定登录触发事件所对应的网址，将该网址发送给浏 览器内核单元；
605、 浏览器内核单元根据该网址向应用服务器发送访问请求；
606、应用服务器确定需要对用户进行身份认证， 向浏览器内核单元发送 需要身份认证指示信息， 该身份认证指示信息中可以携带有身份认证限定参 数；
607、浏览器内核单元根据该需要身份认证指示信息生成需要身份认证事 件， 将需要身份认证事件上报给 Web应用单元；
608、 Web 应用单元根据该需要身份认证事件， 判断浏览器 DOM 中 window对象是否包括数字证书管理子对象， 若检测到该数字证书管理子对 象， 则执行 609;
609、 调用浏览器内核单元中提供的数字证书选择接口；
610、 浏览器内核单元检查是否需要自动为用户选择数字证书， 若不需要 自动选择， 调用数字证书管理界面， 用户通过浏览器界面单元中显示的用户 数字证书列表选择用户数字证书， 将选择指示信息发送给浏览器内核单元；
611、 浏览器内核单元通过回调接口向 Web应用单元传输用户数字证书 选择结果；
612、 Web应用单元调用超文本传输协议请求接口发送登录请求给浏览器 单核单元；
613、 浏览器内核单元向应用服务器发送登录请求， 该登录请求中携带有 选择的用户数字证书；
614、应用服务器从认证服务器获取该用户的用户数字证书， 接收认证服 务器发送的用户数字证书，进行用户数字证书匹配，若匹配成功，则执行 615 , 若匹配失败， 则向浏览器内核单元返回 HTTP身份认证失败响应 （图中未示 出） ；
615、应用服务器向浏览器内核单元返回 HTTP身份认证成功响应， 该身 份认证成功响应中携带有网页文件， 该网页文件具体为 html/css/js文件；
616、浏览器内核单元通过超文本传输协议响应接口将身份认证成功响应 传递给 Web应用单元；
617、 浏览器内核单元解析该网页文件；
618、 浏览器界面单元对解析出的网页进行显示。
图 7为本发明实施例提供的第四种身份认证方法流程图。 如图 7所示， 在另一种应用场景下， 用户在使用 Web应用时登录， 在图 1所述实例的步骤 101 , 浏览器内核单元根据选择的用户数字证书， 生成携带有所述选择的用户 数字证书的登录请求， 将所述登录请求发送给应用服务器之前， 所述方法进 一步还可以包括如下步骤：
步骤 701、 所述浏览器界面单元接收待访问的网址信息和身份标识， 将 所述待访问的网址信息和所述身份标识发送给所述浏览器内核单元；
图 1 所述实施例中的步骤 101 , 浏览器内核单元根据选择的用户数字证 书， 生成携带有所述选择的用户数字证书的登录请求， 将所述登录请求发送 给应用服务器， 在本实施例中可以具体包括：
所述浏览器内核单元根据所述身份标识确定所述选择的用户数字证书， 生成携带有所述选择的用户数字证书的登录请求， 将所述登录请求发送给所 述应用服务器， 即本实施例的步骤 702。
用户在浏览器界面单元显示的地址栏中输入一个网址， 该网址即为待访 问的网址信息， 浏览器界面单元为用户提供 WebID列表， 用户从 WebID列 表中选择一个 WebID ,即该用户希望用该 WebID所对应的用户身份访问该网 址所对应的网页， 该 WebID即为身份标识。 浏览器界面单元将该待访问的网 址信息和身份标识发送给浏览器内核单元。
浏览器内核单元可以通过操作系统提供的 CAPICOM接口， 提供给用户 身份选择界面， 以选择本机所保存的数字证书。 该身份选择界面也可以为操 作系统所提供的数字证书管理器对应的数字证书管理器界面。
浏览器内核单元也根据用户配置或系统策略， 浏览器内核单元自动为用 户选择某个用户身份用于此次身份认证， 不再需要通过可用 WebID列表或数 字证书管理器界面与用户进行显式交互， 可以极大地缩短整体流程的处理时 间， 提高处理效率。
本实施例的步骤 703和 704可以参照图 1所述实施例的步骤 102和 103 的相关描述， 在此不再赘述。
图 8为本发明实施例提供的再一种身份认证信令图。 以下结合图 8对本 实施例的身份认证方法做详细说明。
801、 浏览器界面单元向浏览器内核单元发送用户输入的网址和 WebID;
802、 浏览器内核单元根据该 WebID确定用户数字证书， 将携带有该用 户数字证书的登录请求发送给应用服务器， 具体地， 浏览器内核单元可以对 网址和时间戳用用户私钥进行加密， 并在登录请求中作为参数携带；
803、应用服务器从认证服务器获取该用户的用户数字证书， 接收认证服 务器发送的用户数字证书，进行用户数字证书匹配，若匹配成功，则执行 804, 若匹配失败， 则向浏览器内核单元返回身份认证失败响应 （图中未示出） ， 具体地， 应用服务器收到登录请求后， 使用用户公钥进行解密， 如果解密得 到的网址与用户正在访问的网址相匹配， 则可确认该登录请求确实由浏览器 代理用户发出， 否则可能由第三方通过消息截获手段进行伪造；
804、应用服务器向浏览器内核单元返回身份认证成功响应， 该身份认证 成功响应中携带有网页文件， 该网页文件具体为 html/css/js文件；
805、 浏览器内核单元解析该网页文件；
806、 浏览器界面单元对解析出的网页进行显示。
用户对 Web应用的使用过程中， 可以对用户状态进行检测， 以避免对已 经登录的用户重复进行身份认证。
图 9为本发明实施例提供的第五种身份认证方法流程图。 如图 9所示， 具体地， 本实施例与图 1所述实施例不同之处在于， 在图 1所述实施例的步 骤 101 , 浏览器内核单元根据选择的用户数字证书， 生成携带有所述选择的 用户数字证书的登录请求之前， 本实施例所述方法还可以包括如下步骤： 步骤 901、 所述浏览器内核单元检测登录触发事件， 将所述登录触发事 件发送给 Web应用单元；
步骤 902、 所述 Web应用单元根据所述登录触发事件确定登录触发操作 对应的网址， 若判断获知对所述网址的访问需要身份认证， 则获取用户状态， 若所述用户状态为未登录状态， 则调用所述浏览器内核单元的认证对象的登 录接口；
步骤 903、 所述浏览器内核单元获取默认的用户数字证书， 确定所述默 认的用户数字证书为所述选择的用户数字证书， 或所述浏览器内核单元获取 多个待选择的用户数字证书， 根据接收到的选择指示信息从所述多个待选择 的用户数字证书确定一个为所述选择的用户数字证书。
可以由 Web应用单元来判断是否需要对用户进行身份认证。 Web应用单 元根据登录触发事件确定登录触发操作对应的网址， 该登录触发事件具体可 以参照上述实施例中的登录触发事件的相关描述， 此不再赘述。 Web应用单 元根据该网址确定用户访问的网络资源的安全性、 重要性和隐私性。 若判断 获知对网址的访问需要身份认证， 则进一步获取用户状态， 用户状态具体可 以为登录状态或未登录状态。 若用户状态为未登录状态， 则 Web应用单元调 用浏览器内核单元的认证对象的登录接口， 登录接口调用过程以及浏览器内 核单元确定选择的用户数字证书的过程可以参照上述实施例的相关描述， 此 不再赘述。
本实施例的步骤 904-906的相关描述可以参照图 1所述实施例中的步骤 101-103 , 在此不再赘述。
若步骤 902中， 获取到的用户状态为登录状态， 则在步骤 905中， 所述 浏览器内核单元从所述响应中提取网页文件之前， 所述方法进一步包括： 所述 Web应用单元将所述网址发送给所述浏览器内核单元；
所述浏览器内核单元根据所述网址向所述应用服务器发送访问请求， 接 收所述应用服务器根据所述访问请求返回的响应。
具体地， 若用户已经登录， 则在用户后续对网页的访问过程中， 可以不 用进行身份认证， Web应用单元直接将网址发送给浏览器内核单元， 以使浏 览器内核单元根据该网址向应用服务器发送访问请求， 应用服务器接收到该 访问请求后， 向浏览器内核单元返回携带有请求的网页文件的响应。
在本实施例中， 所述 Web应用单元获取所述选择的用户数字证书所指示 的用户的用户状态， 具体可以包括如下步骤：
所述 Web应用单元通过调用所述浏览器内核单元的用户登录状态查询接 口获取所述选择的用户数字证书所指示的用户的用户状态。 Web 应用单元可以调用浏览器内核提供的用户登录状态查询接口 weblDAthentication:： doQueryUserstatus, 通过参数指定要查询的 WeblD, 菝 取该 WeblD 当前用户状态。 Web 应用单元可以预先实现了回调接口 onQueryUserstatus , 则浏览器内核单元可以通过调用该回调函数 onQueryUserstatus方式将用户状态通知给 Web应用单元。如果用户已经登录， 浏览器内核单元返回用户状态为 online。 如果用户尚未登录， 浏览器内核单 元返回用户状态为 offline。 Web应用单元还可以预先建立对用户当前登录状 态事件的监听， 浏览器内核单元通过事件上报方式将用户状态通知给 Web应 用单元。
在本实施例中， 用户可以通过点击 "登出" 按鈕或关闭 Web应用对应的 网页实现登出。 具体地， Web应用单元调用浏览器内核单元提供的用户登出 weblDAthentication:: doLogout接口， 通过参数指定要登出的 WeblD。 浏览器 内核单元向应用服务器发出 HTTP请求用于用户登出， 并接收应用服务器返 回的 HTTP响应。 浏览器内核单元从 HTTP响应中解析出用户登出的结果， Web应用单元可以预先建立对用户登出事件的监听， 浏览器内核单元通过事 件上报方式将用户登出的结果通知给 Web应用， Web应用单元还可以预先实 现了回调接口 onLogout,浏览器内核单元通过调用回调函数 onLogout方式将 用户登出的结果通知给 Web应用。
图 10为本发明实施例提供的一种身份认证系统结构示意图。 如图 10所 示，本实施例提供的身份认证系统具体包括身份认证装置 1001和应用服务器 1002,该身份认证装置 1001具体可以实现本发明任意实施例提供的身份认证 方法的各个流程， 此不再赘述。 本实施例提供的身份认证装置 1001具体包括 浏览器内核单元 10011和浏览器界面单元 10012。 浏览器内核单元 10011用 于根据选择的用户数字证书， 生成携带有所述选择的用户数字证书的登录请 求， 将所述登录请求发送给应用服务器 1002, 以及接收所述应用服务器 1002 所述响应中提取网页文件， 对所述网页文件进行解析， 生成网页并发送给浏览 器界面单元 10012。 所述浏览器界面单元 10012用于对所述网页进行显示。
本实施例提供的身份认证装置 1001 , 浏览器内核单元 10011根据选择的 用户数字证书， 生成携带有选择的用户数字证书的登录请求， 将登录请求发 送给应用服务器 1002, 浏览器内核单元 10011接收应用服务器 1002发送的 用以指示认证成功的响应， 从响应中提取网页文件， 对网页文件进行解析， 生成网页并发送给浏览器界面单元 10012, 浏览器界面单元 10012对网页进 行显示。 通过用户数字证书进行身份认证， 用户无需记住用户名和密码， 而 且可以避免密码在传输过程中被截获， 提高了身份认证的便捷性和安全性。
图 11 为本发明实施例提供的另一种身份认证系统结构示意图。 如图 11 所示， 本实施例提供的身份认证系统具体包括身份认证装置 111和应用服务 器 112, 本实施例提供的身份认证装置 111具体包括浏览器内核单元 1111和 浏览器界面单元 1112。在一种应用场景下，用户在通过浏览器使用 Web应用 时， 在访问到的网络资源不需要进行身份认证时， 并不需要登录。 当用户访 问到的网络资源需要进行身份认证时， 才需要用户提供用户数字证书以进行 身份认证。用户在浏览器界面单元 1112所展示的网页中点击包含超链接的文 字、 按鈕或图片时， 会产生用户点击事件。 在本实施例中， 与图 10所述实施 例不同的是， 本实施例中的身份认证装置 111 进一步包括： Web应用单元 1113。 所述浏览器界面单元 1112进一步用于检测登录触发事件， 将所述登录 触发事件发送给 Web应用单元 1113 ,以及根据所述 Web应用单元 1113发送 的所述网址向所述应用服务器 112发送访问请求， 接收所述应用服务器 112 根据所述访问请求所返回的需要身份认证信息， 并且根据所述需要身份认证 指示信息确定所述选择的用户数字证书。 所述 Web应用单元 1113用于根据 所述登录触发事件确定登录触发操作对应的网址， 将所述网址发送给所述浏 览器内核单元 1111。
在本实施例中，所述浏览器内核单元 1111进一步用于根据所述需要身份 认证指示信息生成需要身份认证事件， 将所述需要身份认证事件上报给所述
Web应用单元 1113 , 以及获取本地存储的默认的用户数字证书， 确定所述默 认的用户数字证书为所述选择的用户数字证书， 或所述浏览器内核单元 1111 获取本地存储的多个待选择的用户数字证书， 根据接收到的选择指示信息从 所述多个待选择的用户数字证书中确定一个用户数字证书为所述选择的用户 数字证书。 所述 Web应用单元 1113进一步用于接收所述需要身份认证事件， 调用所述浏览器内核单元 11的认证对象的登录接口。
在本实施例中，所述浏览器内核单元 1111进一步用于从所述响应中解析 出认证成功的认证结果， 将所述认证结果通过认证结果事件或回调函数发送 给所述 Web应用单元 1113。
在上述实现方式中，浏览器内核单元 1111对应用服务器 112发送的需要 身份认证指示信息和响应均进行解析处理， 可以降低 Web应用单元 1113的 处理复杂度。 当然， 对应用服务器 112发送的需要身份认证指示信息和响应 进行解析的处理流程也可以由 Web应用单元 1113来实现。 则在另一种实现 方式中：
所述浏览器内核单元 1111 进一步用于根据所述需要身份认证指示信息 生成需要身份认证事件， 将所述需要身份认证事件上报给所述 Web应用单元 1113 , 以及获取本地存储的默认的用户数字证书， 确定所述默认的用户数字 证书为所述选择的用户数字证书，或者所述浏览器内核单元 1111获取本地存 储的多个待选择的用户数字证书， 根据接收到的选择指示信息从所述多个待 选择的用户数字证书中确定一个用户数字证书为所述选择的用户数字证书。 所述 Web应用单元 1113进一步用于根据所述需要身份认证指示信息调用所 述浏览器内核单元 1111的数字证书管理对象的数字证书选择接口。
在本实施例中，所述浏览器内核单元 1111进一步用于通过调用所述 Web 应用单元 1113的超文本传输协议请求接口， 将所述响应发送给所述 Web应 用单元 1113。 所述 Web应用单元 1113进一步用于从所述响应中解析出认证 成功的认证结果。
在另一种应用场景下， 用户在使用 Web应用时登录， 用户在浏览器界面 单元 1112显示的地址栏中输入一个网址， 该网址即为待访问的网址信息， 浏 览器界面单元 1112为用户提供 WebID列表， 以供用户进行 WebID的选择。 在本实施例中，所述浏览器界面单元 1112进一步用于接收待访问的网址信息 和身份标识， 将所述待访问的网址信息和所述身份标识发送给所述浏览器内 核单元 1111。 所述浏览器内核单元 1111 进一步用于根据所述身份标识确定 所述选择的用户数字证书，生成携带有所述选择的用户数字证书的登录请求， 将所述登录请求发送给所述应用服务器 112。
用户对 Web应用的使用过程中， 可以对用户状态进行检测， 以避免重复 进行身份认证。 在本实施例中， 所述浏览器内核单元 1111进一步用于检测登 录触发事件，将所述登录触发事件发送给 Web应用单元 1113 , 以及获取本地 存储的默认的用户数字证书， 确定所述默认的用户数字证书为所述选择的用 户数字证书，或所述浏览器内核单元 1111获取本地存储的多个待选择的用户 数字证书， 根据接收到的选择指示信息从所述多个待选择的用户数字证书中 确定一个用户数字证书为所述选择的用户数字证书。所述 Web应用单元 1113 进一步用于根据所述登录触发事件确定登录触发操作对应的网址， 若判断获 知对所述网址的访问需要身份认证， 则获取所述选择的用户数字证书所指示 的用户的用户状态， 若所述用户状态为未登录状态， 则调用所述浏览器内核 单元 1111的认证对象的登录接口。
在本实施例中，若所述用户状态为登录状态， 则所述 Web应用单元 1113 进一步用于将所述网址发送给所述浏览器内核单元 1111。 所述浏览器内核单 元 1111进一步用于根据所述网址向所述应用服务器 112发送访问请求，接收 所述应用服务器 112根据所述访问请求返回的响应。
在本实施例中， 所述 Web应用单元 1113进一步用于通过调用所述浏览 器内核单元 1111 的用户登录状态查询接口获取所述选择的用户数字证书所 指示的用户的用户状态。
本实施例提供的身份认证装置具体可以为个人计算机、 笔记本电脑、 平 板电脑和智能手机等设置有处理器和存储器的设备， 该身份认证装置上设置 有浏览器和应用程序。 浏览器和应用程序的相关指令均存储在存储器中， 处 理器调用存储器中的相关指令并执行， 以生成最终的显示界面通过身份认证 装置的显示器进行显示， 分别实现浏览器内核单元、 浏览器显示单元和 Web 应用单元的功能。
本领域普通技术人员可以理解： 实现上述方法实施例的全部或部分步骤可 以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存 储介质中， 该程序在执行时， 执行包括上述方法实施例的步骤； 而前述的存储 介质包括： ROM、 RAM, 磁碟或者光盘等各种可以存储程序代码的介质。
最后应说明的是： 以上实施例仅用以说明本发明的技术方案， 而非对其 限制； 尽管参照前述实施例对本发明进行了详细的说明， 本领域的普通技术 人员应当理解： 其依然可以对前述各实施例所记载的技术方案进行修改， 或 者对其中部分技术特征进行等同替换； 而这些修改或者替换， 并不使相应技 术方案的本质脱离本发明各实施例技术方案的范围。

Claims

权 利 要求 书
1、 一种身份认证方法， 其特征在于， 包括：
浏览器内核单元根据选择的用户数字证书， 生成携带有所述选择的用户 数字证书的登录请求， 将所述登录请求发送给应用服务器；
所述浏览器内核单元接收所述应用服务器根据所述选择的数字证书进行 身份认证之后所返回的指示认证成功的响应， 从所述响应中提取网页文件， 对所述网页文件进行解析， 生成网页并发送给浏览器界面单元；
所述浏览器界面单元对所述网页进行显示。
2、 根据权利要求 1所述的身份认证方法， 其特征在于， 浏览器内核单元 根据选择的用户数字证书， 生成携带有所述选择的用户数字证书的登录请求 之前， 所述方法进一步包括：
所述浏览器内核单元检测登录触发事件， 将所述登录触发事件发送给
Web应用单元；
所述 Web应用单元根据所述登录触发事件确定登录触发操作对应的网 址， 将所述网址发送给所述浏览器内核单元； 服务器发送访问请求；
所述浏览器内核单元接收所述应用服务器根据所述访问请求所返回的需 要身份认证信息， 并且根据所述需要身份认证指示信息确定所述选择的用户 数字证书。
3、 根据权利要求 2所述的身份认证方法， 其特征在于， 所述浏览器内核 单元接收所述应用服务器根据所述访问请求所返回的需要身份认证信息， 并 且根据所述需要身份认证指示信息确定选择的所述用户数字证书， 包括： 所述浏览器内核单元根据所述需要身份认证指示信息生成需要身份认证 事件， 将所述需要身份认证事件上报给所述 Web应用单元；
所述 Web应用单元接收所述需要身份认证事件， 调用所述浏览器内核单 元的认证对象的登录接口；
所述浏览器内核单元获取本地存储的默认的用户数字证书， 确定所述默 认的用户数字证书为所述选择的用户数字证书， 或者所述浏览器内核单元获 取本地存储的多个待选择的用户数字证书， 根据接收到的选择指示信息从所 述多个待选择的用户数字证书中确定一个用户数字证书为所述选择的用户数 字证书。
4、 根据权利要求 2所述的身份认证方法， 其特征在于， 所述浏览器内核 单元接收所述应用服务器根据所述访问请求所返回的需要身份认证信息， 并 且根据所述需要身份认证指示信息确定选择的所述用户数字证书， 包括： 所述浏览器内核单元根据所述需要身份认证指示信息生成需要身份认证 事件， 将所述需要身份认证事件上报给所述 Web应用单元；
所述 Web应用单元根据所述需要身份认证指示信息， 调用所述浏览器内 核单元的数字证书管理对象的数字证书选择接口；
所述浏览器内核单元获取本地存储的默认的用户数字证书， 确定所述默 认的用户数字证书为所述选择的用户数字证书， 或者所述浏览器内核单元获 取本地存储的多个待选择的用户数字证书， 根据接收到的选择指示信息从所 述多个待选择的用户数字证书中确定一个用户数字证书为所述选择的用户数 字证书。
5、 根据权利要求 1或 2或 3所述的身份认证方法， 其特征在于， 所述浏 览器内核单元接收所述应用服务器根据所述选择的数字证书进行身份认证之 后所返回的指示认证成功的响应之后， 所述浏览器内核单元从所述响应中提 取网页文件之前， 所述方法进一步包括：
所述浏览器内核单元从所述响应中解析出认证成功的认证结果， 将所述 认证结果通过认证结果事件或回调函数发送给所述 Web应用单元。
6、 根据权利要求 1或 2或 4所述的身份认证方法， 其特征在于， 所述浏 览器内核单元接收所述应用服务器根据所述选择的数字证书进行身份认证之 后所返回的指示认证成功的响应之后， 所述浏览器内核单元从所述响应中提 取网页文件之前， 所述方法进一步包括： 接口， 将所述响应发送给所述 Web应用单元；
所述 Web应用单元从所述响应中解析出认证成功的认证结果。
7、 根据权利要求 1所述的身份认证方法， 其特征在于， 浏览器内核单元 根据选择的用户数字证书，生成携带有所述选择的用户数字证书的登录请求， 将所述登录请求发送给应用服务器之前， 所述方法进一步包括： 所述浏览器 界面单元接收待访问的网址信息和身份标识， 将所述待访问的网址信息和所 述身份标识发送给所述浏览器内核单元；
所述浏览器内核单元根据选择的用户数字证书， 生成携带有所述选择的 用户数字证书的登录请求， 将所述登录请求发送给应用服务器， 包括：
所述浏览器内核单元根据所述身份标识确定所述选择的用户数字证书， 生成携带有所述选择的用户数字证书的登录请求， 将所述登录请求发送给所 述应用服务器。
8、 根据权利要求 1所述的身份认证方法， 其特征在于， 浏览器内核单元 根据选择的用户数字证书， 生成携带有所述选择的用户数字证书的登录请求 之前， 所述方法进一步包括：
所述浏览器内核单元检测登录触发事件， 将所述登录触发事件发送给
Web应用单元；
所述 Web应用单元根据所述登录触发事件确定登录触发操作对应的网 址， 若判断获知对所述网址的访问需要身份认证， 则获取所述选择的用户数 字证书所指示的用户的用户状态， 若所述用户状态为未登录状态， 则调用所 述浏览器内核单元的认证对象的登录接口；
所述浏览器内核单元获取本地存储的默认的用户数字证书， 确定所述默 认的用户数字证书为所述选择的用户数字证书， 或者所述浏览器内核单元获 取本地存储的多个待选择的用户数字证书， 根据接收到的选择指示信息从所 述多个待选择的用户数字证书中确定一个用户数字证书为所述选择的用户数 字证书。
9、 根据权利要求 8所述的身份认证方法， 其特征在于， 若所述用户状态 为登录状态， 则所述浏览器内核单元从所述响应中提取网页文件之前， 所述 方法进一步包括：
所述 Web应用单元将所述网址发送给所述浏览器内核单元；
所述浏览器内核单元根据所述网址向所述应用服务器发送访问请求， 接 收所述应用服务器根据所述访问请求返回的响应。
10、 根据权利要求 8所述的身份认证方法， 其特征在于， 所述 Web应用 单元获取所述选择的用户数字证书所指示的用户的用户状态， 包括：
所述 Web应用单元通过调用所述浏览器内核单元的用户登录状态查询接 口获取所述选择的用户数字证书所指示的用户的用户状态。
11、 一种身份认证装置， 其特征在于： 包括浏览器内核单元和浏览器界 面单元；
浏览器内核单元用于根据选择的用户数字证书， 生成携带有所述选择的 用户数字证书的登录请求， 将所述登录请求发送给应用服务器， 以及接收所 述应用服务器根据所述选择的数字证书进行身份认证之后所返回的指示认证 成功的响应， 从所述响应中提取网页文件， 对所述网页文件进行解析， 生成 网页并发送给浏览器界面单元；
所述浏览器界面单元用于对所述网页进行显示。
12、 根据权利要求 11所述的身份认证装置， 其特征在于， 所述装置进一 步包括： Web应用单元；
所述浏览器内核单元进一步用于检测登录触发事件， 将所述登录触发事 件发送给 Web应用单元， 以及根据所述 Web应用单元发送的网址向所述应 用服务器发送访问请求， 接收所述应用服务器根据所述访问请求所返回的需 要身份认证信息， 并且根据所述需要身份认证指示信息确定所述选择的用户 数字证书；
所述 Web应用单元用于根据所述登录触发事件确定登录触发操作对应的 网址， 将所述网址发送给所述浏览器内核单元。
13、 根据权利要求 12所述的身份认证装置， 其特征在于：
所述浏览器内核单元进一步用于根据所述需要身份认证指示信息生成需 要身份认证事件， 将所述需要身份认证事件上报给所述 Web应用单元， 以及 获取本地存储的默认的用户数字证书， 确定所述默认的用户数字证书为所述 选择的用户数字证书， 或者所述浏览器内核单元进一步获取本地存储的多个 待选择的用户数字证书， 根据接收到的选择指示信息从所述多个待选择的用 户数字证书中确定一个用户数字证书为所述选择的用户数字证书；
所述 Web应用单元进一步用于接收所述需要身份认证事件， 调用所述浏 览器内核单元的认证对象的登录接口。
14、 根据权利要求 12所述的身份认证装置， 其特征在于：
所述浏览器内核单元进一步根据所述需要身份认证指示信息生成需要身 份认证事件， 将所述需要身份认证事件上报给所述 Web应用单元， 以及获取 本地存储的默认的用户数字证书， 确定所述默认的用户数字证书为所述选择 的用户数字证书， 或者所述浏览器内核单元进一步获取本地存储的多个待选 择的用户数字证书， 根据接收到的选择指示信息从所述多个待选择的用户数 字证书中确定一个用户数字证书为所述选择的用户数字证书；
所述 Web应用单元进一步用于根据所述需要身份认证指示信息调用所述 浏览器内核单元的数字证书管理对象的数字证书选择接口。
15、 根据权利要求 11或 12或 13所述的身份认证装置， 其特征在于： 所述浏览器内核单元进一步用于从所述响应中解析出认证成功的认证结 果 ,将所述认证结果通过认证结果事件或回调函数发送给所述 Web应用单元。
16、 根据权利要求 11或 12或 14所述的身份认证装置， 其特征在于： 所述浏览器内核单元进一步用于通过调用所述 Web应用单元的超文本传 输协议请求接口， 将所述响应发送给所述 Web应用单元；
所述 Web应用单元进一步用于从所述响应中解析出认证成功的认证结 果。
17、 根据权利要求 11所述的身份认证装置， 其特征在于：
所述浏览器界面单元进一步用于接收待访问的网址信息和身份标识， 将 所述待访问的网址信息和所述身份标识发送给所述浏览器内核单元；
所述浏览器内核单元进一步用于根据所述身份标识确定所述选择的用户 数字证书， 生成携带有所述选择的用户数字证书的登录请求， 将所述登录请 求发送给所述应用服务器。
18、 根据权利要求 12所述的身份认证装置， 其特征在于：
所述浏览器内核单元进一步用于检测登录触发事件， 将所述登录触发事 件发送给 Web应用单元， 以及获取本地存储的默认的用户数字证书， 确定所 述默认的用户数字证书为所述选择的用户数字证书， 或所述浏览器内核单元 进一步获取本地存储的多个待选择的用户数字证书， 根据接收到的选择指示 信息从所述多个待选择的用户数字证书中确定一个用户数字证书为所述选择 的用户数字证书；
所述 Web应用单元进一步用于根据所述登录触发事件确定登录触发操作 对应的网址， 若判断获知对所述网址的访问需要身份认证， 则获取所述选择 的用户数字证书所指示的用户的用户状态， 若所述用户状态为未登录状态， 则调用所述浏览器内核单元的认证对象的登录接口。
19、 根据权利要求 18所述的身份认证装置， 其特征在于： 若所述用户状 态为登录状态，
所述 Web应用单元进一步用于将所述网址发送给所述浏览器内核单元； 所述浏览器内核单元进一步用于根据所述网址向所述应用服务器发送访 问请求， 接收所述应用服务器根据所述访问请求返回的响应。
20、 根据权利要求 18所述的身份认证装置， 其特征在于：
所述 Web应用单元进一步用于通过调用所述浏览器内核单元的用户登录 状态查询接口获取所述选择的用户数字证书所指示的用户的用户状态。
PCT/CN2012/077939 2012-06-29 2012-06-29 身份认证方法及装置 WO2014000281A1 (zh)

Priority Applications (5)

Application Number Priority Date Filing Date Title
ES12879738.8T ES2644593T3 (es) 2012-06-29 2012-06-29 Método y dispositivo de autentificación de identidad
EP12879738.8A EP2860906B1 (en) 2012-06-29 2012-06-29 Identity authentication method and device
CN201280000785.1A CN103621008B (zh) 2012-06-29 身份认证方法及装置
PCT/CN2012/077939 WO2014000281A1 (zh) 2012-06-29 2012-06-29 身份认证方法及装置
US14/409,300 US9628461B2 (en) 2012-06-29 2014-12-18 Method and device for identity authentication

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2012/077939 WO2014000281A1 (zh) 2012-06-29 2012-06-29 身份认证方法及装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US14/409,300 Continuation US9628461B2 (en) 2012-06-29 2014-12-18 Method and device for identity authentication

Publications (1)

Publication Number Publication Date
WO2014000281A1 true WO2014000281A1 (zh) 2014-01-03

Family

ID=49782121

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2012/077939 WO2014000281A1 (zh) 2012-06-29 2012-06-29 身份认证方法及装置

Country Status (4)

Country Link
US (1) US9628461B2 (zh)
EP (1) EP2860906B1 (zh)
ES (1) ES2644593T3 (zh)
WO (1) WO2014000281A1 (zh)

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150379289A1 (en) * 2014-06-26 2015-12-31 Toshio Akiyama Device-installation-information distribution apparatus and system
KR20170051415A (ko) * 2014-07-17 2017-05-11 알리바바 그룹 홀딩 리미티드 로컬 정보 취득 방법, 장치 및 시스템
CN106874730A (zh) * 2015-12-11 2017-06-20 平安科技（深圳）有限公司 银行服务器登录证书的校验方法及客户端
CN107113313A (zh) * 2015-03-02 2017-08-29 微软技术许可有限责任公司 将数据从源上传到目的地的代理服务
CN110781522A (zh) * 2019-09-05 2020-02-11 北京中科云链信息技术有限公司 一种ca调用方法
CN111756733A (zh) * 2020-06-23 2020-10-09 恒生电子股份有限公司 一种身份认证方法和相关装置
CN112416345A (zh) * 2020-11-16 2021-02-26 中国电子科技集团公司第二十八研究所 一种通用客户端软件集成系统
CN113672897A (zh) * 2021-07-22 2021-11-19 北京奇艺世纪科技有限公司 数据通信方法、装置、电子设备及存储介质
CN114615004A (zh) * 2020-12-21 2022-06-10 亚信科技（中国）有限公司 H5.0信息访问方法、装置、电子设备及计算机可读存储介质

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8935429B2 (en) * 2006-12-19 2015-01-13 Vmware, Inc. Automatically determining which remote applications a user or group is entitled to access based on entitlement specifications and providing remote application access to the remote applications
US7779091B2 (en) 2005-12-19 2010-08-17 Vmware, Inc. Method and system for providing virtualized application workspaces
US10839378B1 (en) * 2016-01-12 2020-11-17 21, Inc. Systems and methods for performing device authentication operations using cryptocurrency transactions
CN106960148B (zh) 2016-01-12 2021-05-14 阿里巴巴集团控股有限公司 一种设备标识的分配方法和装置
US10218694B2 (en) * 2016-11-22 2019-02-26 Bank Of America Corporation Securely orchestrating events initiated at remote servers using a certificate server
CN106878298B (zh) * 2017-02-08 2019-11-29 飞天诚信科技股份有限公司 一种认证设备与网站的集成方法、系统及装置
CN109960945B (zh) * 2017-12-26 2023-03-21 中标软件有限公司 浏览器主动安全保护方法及系统
CN111291329B (zh) * 2018-12-10 2023-08-18 航天信息股份有限公司 一种文件查看方法、装置、系统、服务器及可读存储介质
CN112187709B (zh) * 2019-07-05 2022-07-05 荣耀终端有限公司 鉴权方法、设备及服务器
JP7367443B2 (ja) * 2019-10-09 2023-10-24 富士通株式会社 本人確認プログラム、管理装置及び本人確認方法
CN113204752A (zh) * 2021-06-01 2021-08-03 京东科技控股股份有限公司 基于区块链的身份验证方法及客户端、服务器
CN116933334B (zh) * 2023-09-19 2023-12-29 杭州锘崴信息科技有限公司 基于数据运营项目的计算要素认证方法及装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1556449A (zh) * 2004-01-08 2004-12-22 中国工商银行 对网上银行数据进行加密、认证的装置和方法
CN1787513A (zh) * 2004-12-07 2006-06-14 上海鼎安信息技术有限公司 安全远程访问系统和方法
CN101610157A (zh) * 2009-07-28 2009-12-23 江苏先安科技有限公司 一种Web表单中使用数字证书自动签名的系统和方法
US7752448B1 (en) * 2004-02-17 2010-07-06 The Weather Channel, Inc. Domain-based application functionality

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9477830B2 (en) * 2005-07-21 2016-10-25 Ca, Inc. Controlled and client-side authentication module
US8590027B2 (en) * 2007-02-05 2013-11-19 Red Hat, Inc. Secure authentication in browser redirection authentication schemes
US20100199099A1 (en) * 2009-02-05 2010-08-05 Junling Wu User friendly Authentication and Login Method Using Multiple X509 Digital Certificates
US7970940B1 (en) * 2009-12-22 2011-06-28 Intel Corporation Domain name system lookup latency reduction
JP5821298B2 (ja) * 2010-08-23 2015-11-24 株式会社リコー Ｗｅｂサービス提供システム、サーバ装置、方法およびプログラム
CN103023894B (zh) * 2012-11-30 2016-01-06 北京奇虎科技有限公司 一种进行网上银行登录的方法和浏览器

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1556449A (zh) * 2004-01-08 2004-12-22 中国工商银行 对网上银行数据进行加密、认证的装置和方法
US7752448B1 (en) * 2004-02-17 2010-07-06 The Weather Channel, Inc. Domain-based application functionality
CN1787513A (zh) * 2004-12-07 2006-06-14 上海鼎安信息技术有限公司 安全远程访问系统和方法
CN101610157A (zh) * 2009-07-28 2009-12-23 江苏先安科技有限公司 一种Web表单中使用数字证书自动签名的系统和方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2860906A4 *

Cited By (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9881181B2 (en) * 2014-06-26 2018-01-30 Ricoh Company, Ltd. Device-installation-information distribution apparatus and system
US20150379289A1 (en) * 2014-06-26 2015-12-31 Toshio Akiyama Device-installation-information distribution apparatus and system
KR102121399B1 (ko) * 2014-07-17 2020-06-11 알리바바 그룹 홀딩 리미티드 로컬 정보 취득 방법, 장치 및 시스템
US11240210B2 (en) 2014-07-17 2022-02-01 Advanced New Technologies Co., Ltd. Methods, apparatuses, and systems for acquiring local information
JP2017523702A (ja) * 2014-07-17 2017-08-17 アリババ グループ ホウルディング リミテッド ローカル情報を取得するための方法、機器、及びシステム
KR20170051415A (ko) * 2014-07-17 2017-05-11 알리바바 그룹 홀딩 리미티드 로컬 정보 취득 방법, 장치 및 시스템
EP3171543A4 (en) * 2014-07-17 2017-06-14 Alibaba Group Holding Limited Local information acquisition method, apparatus and system
CN107113313A (zh) * 2015-03-02 2017-08-29 微软技术许可有限责任公司 将数据从源上传到目的地的代理服务
CN106874730A (zh) * 2015-12-11 2017-06-20 平安科技（深圳）有限公司 银行服务器登录证书的校验方法及客户端
CN110781522A (zh) * 2019-09-05 2020-02-11 北京中科云链信息技术有限公司 一种ca调用方法
CN111756733A (zh) * 2020-06-23 2020-10-09 恒生电子股份有限公司 一种身份认证方法和相关装置
CN112416345A (zh) * 2020-11-16 2021-02-26 中国电子科技集团公司第二十八研究所 一种通用客户端软件集成系统
CN112416345B (zh) * 2020-11-16 2022-10-21 中国电子科技集团公司第二十八研究所 一种通用客户端软件集成系统
CN114615004A (zh) * 2020-12-21 2022-06-10 亚信科技（中国）有限公司 H5.0信息访问方法、装置、电子设备及计算机可读存储介质
CN113672897A (zh) * 2021-07-22 2021-11-19 北京奇艺世纪科技有限公司 数据通信方法、装置、电子设备及存储介质
CN113672897B (zh) * 2021-07-22 2024-03-08 北京奇艺世纪科技有限公司 数据通信方法、装置、电子设备及存储介质

Also Published As

Publication number Publication date
CN103621008A (zh) 2014-03-05
ES2644593T3 (es) 2017-11-29
EP2860906A1 (en) 2015-04-15
US9628461B2 (en) 2017-04-18
EP2860906A4 (en) 2015-06-17
EP2860906B1 (en) 2017-09-06
US20150106882A1 (en) 2015-04-16

Similar Documents

Publication Publication Date Title
WO2014000281A1 (zh) 身份认证方法及装置
US11854003B2 (en) Signature verification method, apparatus, and system
US10623399B1 (en) Virtual requests
US10574686B2 (en) Security verification by message interception and modification
US20170195311A1 (en) Login method, server, and login system
US11050740B2 (en) Third party multi-factor authentication with push notifications
US8453224B2 (en) Single sign-on authentication
US9979725B1 (en) Two-way authentication using two-dimensional codes
Miculan et al. Formal analysis of Facebook Connect single sign-on authentication protocol
US20110258326A1 (en) Method, device, and system for implementing resource sharing
US20150161410A1 (en) Method for secure storing of a data file via a computer communication network
WO2020140407A1 (zh) 基于云安全的云桌面登陆方法、装置、设备和存储介质
US10846432B2 (en) Secure data leak detection
US8191123B2 (en) Provisioning a network appliance
WO2015154488A1 (zh) 一种访问路由器的方法及装置
US8656471B1 (en) Virtual requests
US20150058930A1 (en) Method and apparatus for enabling authorised users to access computer resources
US8621027B2 (en) Automatically providing identity information for a network appliance
WO2019153586A1 (zh) 聊天数据处理方法、装置、计算机设备及存储介质
CN112836186A (zh) 一种页面控制方法及装置
US11838758B2 (en) Systems and methods for personalized image indicator providing resource verification
CN109698863A (zh) 一种确定http报文安全性的方法、装置、设备及存储介质
CN114710547A (zh) 页面显示方法、资源发送方法、电子设备、服务器及介质
JP2023532976A (ja) ユーザの身元の検証のための方法およびシステム
WO2016202129A1 (zh) 一种信息处理方法、装置、终端及服务器

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12879738

Country of ref document: EP

Kind code of ref document: A1

REEP Request for entry into the european phase

Ref document number: 2012879738

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE