CN101616002A - 一种用户身份验证方法及装置 - Google Patents

Abstract

本发明公开了一种用户身份验证方法及装置，包括：接收用户身份验证请求，在内存中存储用户公钥信息的虚拟公钥库中查找是否有该用户对应的公钥；若有，使用查找到的公钥进行用户身份验证；若没有，用存储用户公钥信息的公钥源更新所述虚拟公钥库，并在更新后的虚拟公钥库中查找是否存在对应的公钥；若存在，使用查找到的公钥进行身份验证；若不存在，返回身份验证失败的结果。本发明所提供的用户身份验证方法，在使用公钥对受信方用户进行身份验证过程中，当查找不到该受信方用户公钥时，能够实现对存储在内存中的虚拟公钥库即时地进行更新，并且实现简单方便。

Description

一种用户身份验证方法及装置

技术领域

本发明涉及信息安全领域，尤其涉及一种用户身份验证方法及装置。

背景技术

Web服务(Web Service)作为当前最广泛的松耦合信息交互方式被广泛运用于各种互联网应用中，由于交互信息直接暴露在互联网上会有很多安全隐患，因此数字证书被广泛使用，数字证书是一种权威性的电子文档，标志通信各方身份信息的一系列数据。它提供了一种在Internet上验证身份的方式。

目前数字证书可以分为两类，一类是证书授权中心(Certificate Authority，CA)认证的数字证书和非CA认证的数字证书。前者是后者通过CA认证签名以后得到的，由于CA认证的成本较高，目前大部分的普通开发者使用的是非CA认证的数字证书，在非CA认证的数字证书使用过程中，如图1所示，如果信息交互的双方(A和B)需要使用签名认证，那么就必须预先把对方数字证书中的公钥导入到本地服务器存储的证书库中，以作为校验身份的证据，双方在进行信息交互时，A使用自己的私钥对发送给B的信息进行数字签名，B接收到该信息后使用本地证书库中的A的公钥进行解密。

上述非CA认证的数字证书的使用过程中，如果信息交互的某一方数字证书更新或者重新创建，那么就必须重新从对方的数字证书中将公钥导出，再通过人为的方式导入到本地服务器存储的证书库中，并且由于数字证书以及证书库都是静态文件，更新后的公钥导入证书库后必须重启服务器，新的公钥才能够生效。

再者，在同时与多个用户进行信息交互的情况之下，如果受信方用户出现变化(不断增加或者减少)，那么就需要不断在本地证书库中导入新的公钥或删除已有的公钥，在证书库文件中增加或删除公钥，也必须重启服务器才能生效。

基于上述现有技术存在的证书库中公钥更新较麻烦、不能及时更新和更新效率低的问题，在使用公钥对受信方用户进行身份验证的过程中，很可能出现由于证书库文件中的公钥未能及时更新，造成合法用户不能通过身份验证的情况，降低了Web Service身份验证***的运行性能和效率。

发明内容

本发明提供了一种用户身份验证方法及装置，用以解决现有技术中存在的证书库中公钥更新较麻烦、不能及时更新和更新效率低的问题，以及由此所造成的Web Service身份验证***运行性能降低的问题。

本发明提供的一种用户身份验证方法，包括：

接收用户身份验证请求，在内存中存储用户公钥信息的虚拟公钥库中查找是否有该用户对应的公钥；

若有，使用查找到的公钥进行用户身份验证；

若没有，用存储用户公钥信息的公钥源更新所述虚拟公钥库；并在更新后的虚拟公钥库中查找是否存在对应的公钥；若存在，使用查找到的公钥进行身份验证；若不存在，返回身份验证失败的结果。

本发明提供的一种用户身份验证装置，包括：

虚拟公钥库，用于在内存中存储用户公钥信息；

请求接收单元，用于接收用户身份验证请求；

第一公钥查找单元，用于根据所述用户身份验证请求在所述存储有用户公钥信息的虚拟公钥库中查找是否有该用户对应的公钥；若有，将查找到的公钥发送至身份验证单元；若没有，通知第一虚拟公钥库更新单元；

所述第一虚拟公钥库更新单元，用于根据所述第一公钥查找单元的通知，使用存储用户公钥信息的公钥源更新所述虚拟公钥库；

第二公钥查找单元，用于在所述第一虚拟公钥库更新单元更新虚拟公钥库后查找是否有用户对应的公钥；若有，将查找到的公钥发送至身份验证单元；若没有，返回身份验证失败的结果；

所述身份验证单元，用于使用所述第一公钥查找单元或第二公钥查找单元查找到的公钥进行用户身份验证。

本发明有益效果如下：

本发明提供的身份验证的方法及装置，通过接收用户身份验证请求，在内存中存储用户公钥信息的虚拟公钥库中查找是否有该用户对应的公钥；若有，使用查找到的公钥进行用户身份验证；若没有，用存储用户公钥信息的公钥源更新所述虚拟公钥库；在更新后的虚拟公钥库中查找是否存在对应的公钥；若有，使用查找到的公钥进行身份验证；若没有，返回身份验证失败的结果。本发明所提供的用户身份验证方法及装置，在使用公钥对受信方用户进行身份验证过程中，当查找不到该受信方用户公钥时，能够实现对存储在内存中的虚拟公钥库即时地进行更新，实现简单方便。这样就避免了现有技术中，由于证书库中公钥更新较麻烦、不及时所造成的合法用户不能通过身份验证的问题。

附图说明

图1为本发明背景技术中数字证书使用过程示意图；

图2为本发明实施例提供的身份验证方法示意图；

图3A为本发明实施例提供的虚拟公钥库建立过程流程图；

图3B为本发明实施例提供的使用软件模块的方式创建虚拟公钥库的流程图；

图4为本发明实施例提供的用户身份验证方法流程图；

图5为本发明实施例提供的用户身份验证装置内部结构示意图。

具体实施方式

下面结合附图，用具体实施例对本发明的一种用户身份验证方法及装置进行详细的说明。

为了说明的方便，本发明实施例以图2中的实例进行说明，在图2中，Web Service身份验证***中的用户A使用其虚拟公钥库中存储的用户B的公钥信息对受信方用户B发送的数字签名进行身份验证(当然，在Web Service身份验证***中，用户A的受信方用户除了用户B之外还可以有一个或多个，例如还可以包含用户C、用户D等等)。用户A的虚拟公钥库通过将公钥源中的公钥信息载入到内存中生成，具体的创建流程如下：

如图3A所示，本发明实施例提供的虚拟公钥库的创建过程，包括如下步骤：

步骤301、将接收的公钥存储至公钥源中。

首先每个受信方用户与用户A之间建立连接时，都会将自己的公钥发送给用户A，用户A将接收的公钥自动地存储至公钥源中。

与现有技术所不同的，公钥源中的公钥信息采用与数字证书分离的方式存储，公钥源可以有多种形式，包括但不限于数据库、文件等等，由于公钥源中的公钥信息数据存储形式不再是静态文件形式，而是采用的例如数据库等非静态文件的形式，这种非静态文件的形式中的公钥信息可以方便地、即时地进行修改、增加或删除，与现有数字证书或者证书库等静态文件的更新方式完全不同。公钥源可以存储在用户A的本地，也可以存储在用户A信任的网络侧第三方服务器上，本发明对公钥源具体的存储位置不做任何限定。

例如当某一受信方用户的公钥发生更新时，该受信方用户会将更新后公钥导出发送给用户A，用户A接收到该用户更新后的公钥后，使用该公钥更新公钥源中对应的公钥信息。

又例如当增加新的受信方用户时，用户A会将接收的新的受信方用户公钥添加至公钥源中；或者

当受信方用户减少时，用户A会直接将公钥源中该受信方用户对应的公钥信息删除。

步骤302、从存储有用户公钥信息的公钥源中获取公钥信息至内存，生成虚拟公钥库。

本发明实施例在Java开源的Axis2框架(Axis2框架支持Web Service交互各方消息的发布、解析等功能，为了形象表述，以下称为Web Service解析发布模块)的基础上对其已有的公钥获取模块的实现功能进行扩展，用软件模块的方式实现了虚拟公钥库的创建过程。但本发明实施例并不限定具体采用何种软件工具进行开发，本发明实施例仅为一种较佳的具体实施方式。当然，虚拟公钥库创建方式还可以采用软件和硬件结合的方式，本发明实施例对此不做任何限定。

本步骤302中创建虚拟公钥库的具体流程如图3B所示，包括：

步骤3021、初始化Web Service解析发布模块，Web Service解析发布模块调用公钥获取模块。

在Web Service应用启动时，初始化Web Service解析发布模块；

现有Web Service解析发布模块已经提供了应用于Web Service身份验证***中交互各方验证身份所用的公钥获取模块，本发明实施例以此模块为切入点，对该模块的实现进行了扩展，使得公钥获取模块被调用后，公钥获取模块的实现除了执行现有的逻辑，例如载入用户A自身数字证书中的公、私钥对信息等，还需要执行下列的步骤3022。

步骤3022、公钥获取模块创建公钥管理模块。

公钥获取模块的实现按照设定的规则在当前环境下查找公钥管理模块的配置文件；如果公钥获取模块的实现没有找到对应的配置文件，那么就载入默认的模块；如果公钥获取模块的实现找到对应的配置文件，那么载入该配置文件所指定的模块。配置文件以及指定的模块都可以由开发者根据需要预先创建并存储。当默认的或指定的模块即公钥管理模块的实现被载入后，公钥获取模块就完成了对公钥管理模块的创建。

步骤3023、公钥管理模块创建公钥载入更新模块。

公钥管理模块的实现按照设定的规则在当前环境下查找公钥载入更新模块的配置文件；如果没有找到对应的配置文件，那么公钥管理模块的实现载入默认的模块；如果找到对应的配置文件，那么公钥管理模块的实现载入该配置文件所指定的模块。当默认的或指定的模块即公钥载入更新模块的实现被载入后，公钥管理模块就完成了公钥载入更新模块的创建。

步骤3024、公钥载入更新模块创建完成后，公钥载入更新模块从公钥源中获取公钥，创建虚拟公钥库。公钥载入更新模块从公钥源中获取公钥，将获取到的公钥存储在内存中，形成虚拟公钥库。

上述公钥管理模块、公钥载入更新模块的接口已预先设计完成，在虚拟公钥库生成的过程中，由上一级模块载入默认的或指定的模块，完成下一级的模块的创建(例如由公钥获取模块创建公钥管理模块，由创建好的公钥管理模块创建公钥载入更新模块)，当公钥载入更新模块创建完成后，执行从公钥源中获取公钥存入内存的操作，形成虚拟公钥库。

在本发明实施例中，在虚拟公钥库创建完成之后，可以根据设定的频率周期地从公钥源中获取公钥信息到内存，并使用获取到的公钥信息对虚拟公钥库进行更新；

还可以在对用户进行身份验证过程中，根据需要即时地对虚拟公钥库进行更新，上述两种方式保证了虚拟公钥库中的公钥信息能够及时地与公钥源中的公钥信息保持一致。这样就避免了现有技术中，当受信方用户的数字证书更新，或者受信方用户自身增加或减少时，需要人为对证书库等静态文件进行修改、更新所造成的操作麻烦、更新不及时和效率低的问题。

还是以图2中用户A对受信方用户B进行身份验证为例，在虚拟公钥库建立之后，当接收到用户身份验证请求，需要对用户的数字签名进行验证的时候，本发明实施例所提供的用户身份验证方法，如图4所示，包括以下步骤：

步骤401、接收用户身份验证请求；

步骤402、根据该请求中携带的数字证书用户名在用户A的虚拟公钥库中查找是否有该受信方用户B对应的公钥。当查找到有对应的公钥时，执行下列步骤403；当没有查找到对应的公钥时，执行下列步骤404；

由于步骤404为可选步骤，本发明实施例中也可以在没有查找到对应的公钥时，直接执行下列步骤405。

步骤403、使用查找到的公钥对用户B的数字签名进行验证，验证其是否是合法的用户；并返回相应的验证结果(身份验证通过或失败)。

步骤404、判断当前虚拟公钥库的更新频率是否大于设定的阈值，若判断结果为是，那么执行步骤405；若判断结果为否，则执行步骤406。

步骤404之所以为可选步骤，主要因为该步骤是出于对Web Service身份验证***的安全与性能方面考虑而设置；由于对虚拟公钥库的更新过程(从公钥源中重新获取公钥再载入至内存)需要耗费***资源，如果对虚拟公钥库所设定更新频率较高，在对用户进行身份验证过程中，过于频繁地更新虚拟公钥库不仅不必要，还有可能会对整个Web Service身份验证***运行的性能和安全不利，因此，可以根据当前虚拟公钥库的更新频率的大小来判断是否需要即时地更新虚拟公钥库，例如可以与设定的某一阈值进行比较，如果虚拟公钥库的更新频率较高，大于该阈值，那么就判断不需要即时更新，如果虚拟公钥库的更新频率较低，小于等于该阈值，那么就判断需要即时更新。

步骤405、使用存储有受信方用户公钥信息的公钥源更新当前虚拟公钥库。

步骤406、直接返回该用户身份验证失败的结果。

当步骤405中完成对用户A的虚拟公钥库的更新过程后，还需要执行以下步骤：

步骤407、在更新后的用户A的虚拟公钥库中再次查找是否有用户B对应的公钥，当查找到对应的公钥时，转向执行步骤403；当公钥管理模块没有查找到对应的公钥时，转向执行步骤406。

本发明实施例还提供了一种用户身份验证装置，如图5所示，具体包括：虚拟公钥库501、请求接收单元502、第一公钥查找单元503、第一虚拟公钥库更新单元504、第二公钥查找单元505和身份验证单元506；其中：

虚拟公钥库501，用于在内存中存储用户公钥信息；

请求接收单元502，用于接收用户身份验证请求；

第一公钥查找单元503，用于根据接收的用户身份验证请求，在存储有用户公钥信息的虚拟公钥库501中查找是否有对应的公钥；若有，将查找到的公钥发送至身份验证单元506；若没有，通知第一虚拟公钥库更新单元504；

第一虚拟公钥库更新单元504，用于根据第一公钥查找单元503的通知，用存储用户公钥信息的公钥源更新虚拟公钥库501；并在虚拟公钥库501更新完成后，通知第二公钥查找单元505；

第二公钥查找单元505，用于根据第一虚拟公钥库更新单元504的通知，在更新后的虚拟公钥库501中查找是否有对应的公钥；若有，将查找到的公钥发送至身份验证单元506；若没有，返回身份验证失败的结果；

身份验证单元506，用于使用第一公钥查找单元503或第二公钥查找单元505查找到的公钥进行身份验证。

本发明实施例所提供的用户身份验证装置，更进一步地，还包括：判断单元507；

第一公钥查找单元503，在虚拟公钥库501中没有查找到对应的公钥时，还用于通知判断单元507；

判断单元507，用于判断当前设定的虚拟公钥库自身更新频率是否大于设定的阈值，若是，返回用户身份验证失败的结果；

若否，通知第一虚拟公钥库更新单元504更新虚拟公钥库501。

本发明实施例所提供的身份验证装置，更进一步地，还包括：虚拟公钥库生成单元508；

虚拟公钥库生成单元508，用于通过从存储用户公钥信息的公钥源中获取公钥信息到内存，生成虚拟公钥库501。

本发明实施例所提供的身份验证装置，更进一步地，还包括：第二虚拟公钥库更新单元509；用于按照设定的频率周期地从公钥源中获取公钥信息到内存，使用获取到的公钥信息对虚拟公钥库501进行更新。

本发明实施例提供的用户身份验证装置为一个较佳的实施方式，在具体实施过程中，也可以直接采用创建虚拟公钥库时使用的软件模块例如公钥管理模块和公钥载入更新模块完成上述身份验证装置的部分功能，例如采用公钥管理模块可以实现上述第一公钥查找单元、第二公钥查找单元以及身份验证单元的功能；公钥载入更新模块完成上述第一虚拟公钥库更新单元的功能，上述模块或单元的划分可以因具体实施方法的不同产生具体的更改和变形，本发明对此不做任何限定。

本发明实施例提供了一种身份验证的方法，包括：根据接收的身份验证的请求，在虚拟公钥库中查找是否有对应的公钥；若有，使用查找到的公钥进行身份验证；若没有，从公钥源中重新获取公钥数据，更新虚拟公钥库；在更新后的虚拟公钥库中查找是否存在对应的公钥；若存在，使用查找到的公钥进行身份验证；若不存在，返回身份验证失败的结果。本发明所提供的用户身份验证方法，在使用公钥对受信方用户进行身份验证过程中，当查找不到该受信方用户公钥时，能够实现对存储在内存中的虚拟公钥库即时地进行更新，实现简单方便。这样就避免了现有技术中，由于证书库中公钥更新较麻烦、不及时所造成的合法用户不能通过身份验证的问题。并且由于本发明实施例提供的虚拟公钥库存储在内存中，所以在使用过程中，能够更方便快速地进行查询。

另外，本发明实施例所提供的用户身份验证方法，当在虚拟公钥库中没有查找到对应的公钥时，还增加了根据虚拟公钥库自身更新频率的大小判断是否需要即时地更新当前虚拟公钥库的步骤，如果判断结果为是，那么执行更新虚拟公钥库的步骤，如果判断结果为否，直接返回身份验证失败的结果，这样能够保证在对公钥方便、即时地更新的前提下，提高Web Service身份验证***的运行性能以及安全性。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (10)

1、一种用户身份验证方法，其特征在于，包括：

接收用户身份验证请求，在内存中存储用户公钥信息的虚拟公钥库中查找是否有该用户对应的公钥；

若有，使用查找到的公钥进行用户身份验证；

若没有，用存储用户公钥信息的公钥源更新所述虚拟公钥库，并在更新后的虚拟公钥库中查找是否存在对应的公钥；若存在，使用查找到的公钥进行身份验证，若不存在，返回身份验证失败的结果。

2、如权利要求1所述的方法，其特征在于，所述用存储用户公钥信息的公钥源更新所述虚拟公钥库之前，还包括：

判断当前所述虚拟公钥库的更新频率是否大于设定的阈值，若是，返回用户身份验证失败的结果；若否，用存储用户公钥信息的公钥源更新所述虚拟公钥库。

3、如权利要求1所述的方法，其特征在于，所述虚拟公钥库通过从存储用户公钥信息的公钥源中获取公钥信息到内存生成。

4、如权利要求3所述的方法，其特征在于，还包括：当用户公钥更新时，使用更新后的所述用户公钥信息更新所述公钥源中对应的公钥信息；

当用户增加时，将接收的新用户的公钥信息添加至公钥源中；

当用户减少时，在公钥源中删除所述减少的受信方用户对应的公钥信息。

5、如权利要求4所述的方法，其特征在于，还包括：按照设定的频率周期地从公钥源中获取公钥信息到内存，并使用获取到的所述公钥信息对所述虚拟公钥库进行更新。

6、如权利要求1-5任一项所述的方法，其特征在于，所述公钥源包括：存储一个或多个受信方用户公钥信息的数据库或文件。

7、一种用户身份验证装置，其特征在于，包括：

虚拟公钥库，用于在内存中存储用户公钥信息；

请求接收单元，用于接收用户身份验证请求；

第一公钥查找单元，用于根据所述用户身份验证请求在所述存储有用户公钥信息的虚拟公钥库中查找是否有该用户对应的公钥；若有，将查找到的公钥发送至身份验证单元；若没有，通知第一虚拟公钥库更新单元；

所述第一虚拟公钥库更新单元，用于根据所述第一公钥查找单元的通知，使用存储用户公钥信息的公钥源更新所述虚拟公钥库；

第二公钥查找单元，用于在所述第一虚拟公钥库更新单元更新虚拟公钥库后查找是否有用户对应的公钥；若有，将查找到的公钥发送至身份验证单元；若没有，返回身份验证失败的结果；

所述身份验证单元，用于使用所述第一公钥查找单元或第二公钥查找单元查找到的公钥进行用户身份验证。

8、如权利要求7所述的装置，其特征在于，还包括：判断单元；

所述第一公钥查找单元，在所述虚拟公钥库中没有查找到对应的公钥时，还用于通知所述判断单元；

所述判断单元，用于判断当前设定的所述虚拟公钥库的更新频率是否大于设定的阈值，若是，返回用户身份验证失败的结果；

若否，通知所述第一虚拟公钥库更新单元更新所述虚拟公钥库。

9、如权利要求7所述的装置，其特征在于，还包括：虚拟公钥库生成单元；

所述虚拟公钥库生成单元，用于通过从存储用户公钥信息的公钥源中获取公钥信息到内存，生成虚拟公钥库。

10、如权利要求9所述的装置，其特征在于，还包括：第二虚拟公钥库更新单元；

所述第二虚拟公钥库更新单元，用于按照设定的频率周期地从公钥源中获取公钥信息到内存，使用获取到的所述公钥信息对所述虚拟公钥库进行更新。

Images