CN101827112A - 上网认证服务器识别客户端软件的方法及*** - Google Patents

Abstract

本发明涉及上网认证服务器识别客户端软件的方法及***。该方法包括：客户端通过客户端软件向上网认证服务器发起认证请求，该认证请求包括当前认证信息；上网认证服务器根据认证请求，判断是否为首次认证请求；当不是首次认证请求时，获取首次认证信息，并判断当前认证信息与首次认证信息是否一致；当前认证信息与首次认证信息一致时，确认客户端软件的身份为合法。本发明上网认证服务器识别客户端软件的方法及***通过对客户端的两次认证，每次认证都采用与客户端共享的加密或解密算法对认证信息进行加密或解密处理，不但可以识别客户端软件的身份，还能识别客户端软件的版本号，有效地防止了客户端软件的破解，进一步保证了其接入网络的安全性。

Description

上网认证服务器识别客户端软件的方法及***

技术领域

本发明涉及移动通讯领域，特别涉及一种上网认证服务器识别客户端软件的方法及***。

背景技术

随着宽带接入网络的蓬勃发展，越来越多的客户端通过宽带接入因特网，而且宽带接入服务的市场也越来越广阔。同时，客户端对网络性能的要求也越来越高，人们已经不再满足于畅通无阻的高带宽接入能力，逐渐对服务的质量有了更高的要求，例如对接入网络的安全保证的要求。

现有技术中，为了确保网络安全(阻止病毒和木马在网络上传播)或保证固网运营商利益(阻止客户端共享上网)，客户端软件中会加入除认证外的一些附加功能，例如检测客户端软件所运行的操作***环境是否安装了杀毒软件和防火墙，检测客户端是否启用了共享上网。如果非法的客户端使用客户端软件接入网络，则上网认证服务器可以识别客户端软件的非法身份而阻止其接入网络。

但是，发明人发现这种识别客户端软件的认证方法安全性还是不高，仍然有不少免费的客户端软件，可以破解其认证过程，避开上网认证服务器的认证识别。

发明内容

本发明的主要目的是提供一种上网认证服务器识别客户端软件的方法及***，旨在提高了客户端软件接入网络的安全性。

本发明提供了一种上网认证服务器识别客户端软件的方法，包括以下步骤：

客户端通过客户端软件向上网认证服务器发起认证请求，该认证请求包括当前认证信息；

上网认证服务器根据该认证请求，判断是否为首次认证请求；

当不是首次认证请求时，获取首次认证信息，并判断该当前认证信息与该首次认证信息是否一致；

当前认证信息与首次认证信息一致时，确认该客户端软件的身份为合法。

优选地，上述方法还包括以下步骤：

当是首次认证请求时，将该当前认证信息存储为首次认证信息；

生成附带特征字符串的认证拒绝报文，并将认证拒绝报文发送至客户端。

优选地，上述生成附带特征字符串的认证拒绝报文，并将认证拒绝报文发送至客户端的步骤之后还包括：

客户端接收认证拒绝报文；

对该认证拒绝报文进行处理，并生成再次认证报文；

将再次认证报文发送至上网认证服务器，发起再次认证请求。

优选地，上述上网认证服务器根据认证请求，判断是否为首次认证请求的步骤具体为：

判断是否存在首次认证信息；

当存在首次认证信息，则判断该认证请求不是首次认证请求；或

当不存在首次认证信息，则判断该认证请求为首次认证请求。

优选地，上述获取首次认证信息的步骤与该判断该当前认证信息与该首次认证信息是否一致的步骤之间还包括：

判断该首次认证信息是否在有效期内；

当不在有效期内，则丢弃首次认证信息及当前认证信息，并结束认证。

本发明还提供了一种识别客户端软件的上网认证服务器，包括：

服务器接收模块，用于接收客户端软件发送的认证请求；该认证请求包括当前认证信息；

判断模块，用于根据认证请求，判断是否为首次认证请求；

再次认证报文识别模块，用于当不是首次认证请求时，获取首次认证信息，并判断该当前认证信息与首次认证信息是否一致；当前认证信息与首次认证信息一致时，确认该客户端软件的身份为合法。

优选地，上述上网认证服务器还包括：

存储模块，用于当是首次认证请求时，将该当前认证信息存储为首次认证信息；

认证拒绝报文生成模块，用于生成附带特征字符串的认证拒绝报文；

服务器发送模块，用于发送该认证拒绝报文至客户端。

优选地，上述判断模块包括：

第一判断单元，用于判断是否存在首次认证信息；当不存在首次认证信息，则判断该认证请求为首次认证请求；

第二判断单元，用于当存在首次认证信息，则判断该认证请求不是首次认证请求；否则判断该认证请求是首次认证请求；

第三判断单元，用于当判断该认证请求不是首次认证请求时，则判断该首次认证信息是否在有效期内，当判断首次认证信息不在有效期内，则丢弃首次认证信息及当前认证信息，并结束认证。

本发明还提供了一种客户端，包括：

客户端接收模块，用于接收上网认证服务器发送的认证拒绝报文；

认证拒绝报文处理模块，用于对该认证拒绝报文进行处理，并生成再次认证报文；

客户端发送模块，用于将再次认证报文发送至上网认证服务器，发起再次认证请求。

本发明又提供了一种上网认证服务器识别客户端软件的***，包括上网认证服务器及客户端，其中：

上述上网认证服务器包括：

服务器接收模块，用于接收客户端软件发送的认证请求；该认证请求包括当前认证信息；

判断模块，用于根据认证请求，判断是否为首次认证请求；

再次认证报文识别模块，用于当不是首次认证请求时，获取首次认证信息，并判断该当前认证信息与首次认证信息是否一致；当前认证信息与首次认证信息一致时，确认该客户端软件的身份为合法；

上述客户端包括：

客户端接收模块，用于接收上网认证服务器发送的认证拒绝报文；

认证拒绝报文处理模块，用于对该认证拒绝报文进行处理，并生成再次认证报文；

客户端发送模块，用于将再次认证报文发送至上网认证服务器，发起再次认证请求。

优选地，上述上网认证服务器还包括：

存储模块，用于当是首次认证请求时，将该当前认证信息存储为首次认证信息；

认证拒绝报文生成模块，用于生成附带特征字符串的认证拒绝报文；

服务器发送模块，用于发送该认证拒绝报文至客户端。

本发明上网认证服务器识别客户端软件的方法及***，通过对客户端的两次认证，每次认证都采用与客户端共享的加密或解密算法对认证信息进行加密或解密处理，不但可以识别客户端软件的身份，还能识别客户端软件的版本号，有效地防止了客户端软件的破解，进一步保证了接入网络的安全性。

附图说明

图1是本发明一种上网认证服务器识别客户端软件的方法一实施例的流程示意图；

图2是上述实施例中上网认证服务器根据认证请求，判断是否为首次认证请求的步骤的流程示意图；

图3是使用本发明上网认证服务器识别客户端软件的方法后，802.1X认证过程客户端认证成功时的流程示意图；

图4是使用本发明上网认证服务器识别客户端软件的方法后，802.1X认证过程客户端认证失败时的流程示意图；

图5是使用本发明上网认证服务器识别客户端软件的方法后，802.1X认证过程客户端认证失败时的流程示意图；

图6是本发明一种上网认证服务器识别客户端软件的***一实施例的结构示意图；

图7是本发明识别客户端软件的上网认证服务器一实施例的结构示意图；

图8是上述实施例中判断模块的的结构示意图；

图9是本发明客户端一实施例的结构示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

图1是本发明一种上网认证服务器识别客户端软件的方法一实施例的流程示意图。

本实施例上网认证服务器识别客户端软件的方法包括以下步骤：

步骤S11、客户端通过客户端软件向上网认证服务器发起认证请求；

在客户端通过客户端软件进行宽带接入认证过程中，客户端将向上网认证服务器发起认证请求。该认证请求包括当前认证信息，例如用户名、密码等认证信息。

步骤S12、上网认证服务器根据认证请求，判断是否为首次认证请求；当是首次认证请求，则执行步骤S13；当不是首次认证请求，则执行步骤S18；

步骤S13、将当前认证信息存储为首次认证信息；

上网认证服务器判断客户端发起的认证请求为首次认证请求时，将认证请求中的当前认证请求信息，作为首次认证信息，存储在首次认证存储库中。首次认证信息包括客户端的基本信息，例如用户名、密码、客户端软件的版本号等。

步骤S14、生成附带特征字符串的认证拒绝报文，并将认证拒绝报文发送至客户端；

特征字符串可以为对首次认证信息进行加密处理产生的加密字符串，也可以是根据首次认证信息产生的相应命令字符串，例如命令客户端进行客户端软件的版本升级或反馈客户端软件的版本信息等。其中加密字符串可以通过与客户端共享的私有加密算法对首次认证信息进行加密处理而生成。当判断是首次认证请求时，上网认证服务器将该特征字符串加载至首次认证信息生成认证拒绝报文。在这里需要说明的是，当该首次认证信息包括客户端软件的版本号时，上网认证服务器则根据客户端软件的版本号使用对应的私有加密算法对首次认证信息进行加密处理生成特征字符串，因此，上网认证服务器不但可以识别客户端软件的身份，也可以识别客户端软件的版本号。

步骤S15、客户端接收认证拒绝报文；

步骤S16、对认证拒绝报文进行处理，并生成再次认证报文；

客户端接收到该认证拒绝报文，将对认证拒绝报文进行处理。当认证拒绝报文中特征字符串是加密字符串时，客户端则采用与上网认证服务器共享的解密算法对认证拒绝报文进行解密处理，并将处理结果加载至再次认证报文。当认证拒绝报文中特征字符串是命令字符串，客户端则根据命令字符串进行相应的处理，将处理结果加载至再次认证报文，并采用与上网认证服务器共享的加密算法对再次认证报文进行加密处理。

步骤S17、将再次认证报文发送至上网认证服务器，并转步骤S11；

步骤S18、获取首次认证信息；

步骤S19、判断当前认证信息与首次认证信息是否一致；一致时则转步骤S20；否则结束认证；

当不是首次认证请求，说明客户端使用的客户端软件已经经过了首次认证请求，上网认证服务器则获取首次认证信息，并将当前认证信息与首次认证信息进行比对。

步骤S20、确认客户端软件的身份为合法。

当前认证信息与首次认证信息一致，则表示该客户端软件的身份为合法。则客户端可以使用该客户端软件进行宽带的接入。

当前认证信息与首次认证信息不一致时，上网认证服务器判断该客户端软件的身份为非法，则结束认证，不允许客户端使用该客户端软件接入网络，并可以发送提示信息至客户端，提示客户端所使用的客户端软件的身份为非法。

上述步骤S18与上述步骤S19之间，还包括步骤：

判断首次认证信息是否在有效期内；当在有效期内，则转步骤S19；当不在有效期内，则丢弃该首次认证信息及当前认证信息，并结束认证。

存储首次认证信息时，同时会对首次认证信息设置一个时间信息。根据首次认证信息中的时间信息，判断该首次认证信息是否在有效期内。

参照图2，步骤S12具体包括：

步骤S121、判断是否存在首次认证信息；

首次认证信息为客户端软件发起首次认证请求时的认证信息，存储在上网认证服务器上的首次认证存储库中。查找首次认证存储库中的首次认证信息，查找到则判断存在首次认证信息；查找不到则判断不存在首次认证信息。该查找方法可以采用各种方法，例如Hash表查找或顺序查找等。当存在首次认证信息，则转步骤S122；当不存在首次认证信息，则转步骤S123；

步骤S122、判断该认证请求是首次认证请求；

步骤S123、判断该认证请求不是首次认证请求；

本实施例上网认证服务器识别客户端软件的方法通过对客户端的两次认证，每次认证都采用与客户端共享的加密或解密算法对认证信息进行加密或解密处理，不但可以识别该客户端使用的客户端软件的身份，还能识别客户端软件的版本号，有效地防止了客户端软件的破解，进一步保证了接入网络的安全性。

上述上网认证服务器识别客户端软件的方法可以应用于各种需要客户端进行认证的场合，如宽带接入认证、虚拟专用网络(Virtual Private Network，VPN)认证等，也可以用于支持各种协议的客户端软件，例如密码认证协议(Password Authentication Protocol，PAP)、挑战握手认证协议(ChallengeHandshake Authentication Protocol，CHAP)、可扩展的身份验证协议(Extensional Authentication Protocol，EAP)等各种协议的认证。

下面对本发明上网认证服务器识别客户端软件的方法在802.1X认证过程中的应用进行说明。

由于在802.1X认证过程中，使用的可扩展的身份验证协议(ExtensionalAuthentication Protocol，EAP)对密码进行加密传送，所以即使使用简单的私有加密算法，也可以具有较高的安全性。而且本发明采用了二次认证，进一步提高了认证的安全性。在认证过程中，有3种情况。

(一)如图3所示，客户端采用合法的客户端软件认证成功时的流程图。认证流程主要包括：

A、客户端通过客户端软件向网络附属存储(Network Attached Storage，NAS)设备发起开始认证(EAPOL-START)报文，NAS设备接收到EAPOL-START后发送EAP请求至客户端，客户端收到EAP请求后再发送EAP响应至NAS设备；其中，EAP响应中附带当前认证信息；

B、NAS设备根据客户端的当前认证信息向认证服务器发起认证接入请求；认证服务器判断该认证接入请求为首次认证请求，则将认证用户信息进行存储，并生成附带特征字符串的认证拒绝报文，发送至NAS设备，再由NAS设备转发至客户端；

C、客户端接收到认证拒绝报文，则对特征字符串进行处理，并生成再次认证报文，再次向NAS设备发起开始认证(EAPOL-START)报文，NAS设备接收到EAPOL-START后发送EAP请求至客户端，客户端收到EAP请求后再发送EAP响应至NAS设备；其中EAP响应中附带对特征字符串的处理结果；

D、NAS设备根据对特征字符串的处理结果向认证服务器发起认证接入请求，上网认证服务器判断该认证请求为再次认证请求，则将当前认证信息与存储的首次认证信息进行比对，结果比对一致，上网认证服务器确认客户端软件的身份为合法，则允许客户端使用该客户端软件进行宽带接入。

(二)如图4所示，客户端采用合法客户端软件进行认证，可是上网认证服务器存储的首次认证信息超过有效期，上网认证服务器找到一个过期的信息，使得认证失败的流程图。认证流程中流程A、流程B、流程C与情况(一)的认证流程一致，在此不再赘述。

D、NAS设备根据对特征字符串的处理结果向认证服务器发起认证接入请求，上网认证服务器判断该认证请求为再次认证请求，则将当前认证信息与首次认证信息进行比对，结果首次认证信息已经超过有效期，所以认证失败，上网认证服务器不允许客户端使用该客户端软件进行宽带接入。

(三)如图5所示，客户端采用非法的客户端软件进行认证并认证失败的流程图。认证流程中流程A、流程B与情况(一)的认证流程一致，在此不再赘述。

C、客户端接收到认证拒绝报文后，因为该客户端采用非法的客户端软件，则该客户端软件根据认证拒绝报文，判定认证失败，结束认证流程。

在上述三种情况中，虽然客户端的处理流程有所增加，即多了二次认证的过程，对原有的EAP协议并没有造成影响，只是两次使用了原有的EAP协议，第一次认证时直接回复认证拒绝报文，合法的客户端收到认证拒绝报文，则通过与上网认证服务器共享的私有加密算法，对认证拒绝报文进行解密，并发起二次认证请求；而非法的客户端接收到认证拒绝报文后，判断认证失败，则结束认证流程。上网认证服务器在第二次认证时对二次认证请求进行再次认证，如果认证通过则确定该客户端软件的身份为合法。

图6是本发明一种上网认证服务器识别客户端软件的***一实施例的结构示意图。

本实施例上网认证服务器识别客户端软件的***包括上网认证服务器100及客户端200。上网认证服务器100通过对客户端200进行二次认证。在首次认证过程中，客户端200通过客户端软件向上网认证服务器100发送附带特征字符串的认证拒绝报文。合法的客户端200接收到该认证拒绝报文，则会对其进行处理，并生成再次认证报文，向上网认证服务器100发起二次认证。在二次认证过程中，上网认证服务器100将二次认证请求信息与首次认证请求信息进行比对，比对一致时，则确认客户端软件的身份为合法；否则确认客户端软件的身份为非法。

参照图7，上网认证服务器100包括：

服务器接收模块11，用于接收客户端200发送的认证请求；该认证请求包括当前认证信息；

判断模块12，用于根据认证请求，判断是否为首次认证请求；

再次认证报文识别模块13，用于当不是首次认证请求时，获取首次认证信息，并判断当前认证信息与首次认证信息是否一致；当前认证信息与首次认证信息一致时，确认客户端软件的身份为合法；

存储模块14，用于当是首次认证请求时，将当前认证信息存储为首次认证信息；

认证拒绝报文生成模块15，用于生成附带特征字符串的认证拒绝报文；

服务器发送模块16，用于发送认证拒绝报文至客户端200。

参照图8，上述判断模块12包括：

第一判断单元121，用于判断是否存在首次认证信息；当不存在首次认证信息，则判断认证请求为首次认证请求。

第二判断单元122，用于当存在首次认证信息，则判断认证请求不是首次认证请求；否则判断该认证请求是首次认证请求；

第三判断单元123，用于当判断该认证请求不是首次认证请求时，则判断该首次认证信息是否在有效期内，当判断首次认证信息不在有效期内，则丢弃首次认证信息及当前认证信息，并结束认证。

参照图9，上述客户端200包括：

客户端接收模块21，用于接收上网认证服务器100发送的认证拒绝报文；

认证拒绝报文处理模块22，用于对认证拒绝报文进行处理，并生成再次认证报文；

客户端发送模块23，用于将再次认证报文发送至上网认证服务器100，发起再次认证请求。

本实施例上网认证服务器识别客户端软件的***，通过对客户端软件的两次认证，每次认证都采用与客户端软件共享的加密/解密算法对认证信息进行加/解密处理，不但可以识别客户端软件的身份，还能识别客户端软件的版本号，有效地防止了客户端软件的破解，进一步保证了接入网络的安全性。

以上所述仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (11)

1.一种上网认证服务器识别客户端软件的方法，其特征在于，包括以下步骤：

客户端通过客户端软件向上网认证服务器发起认证请求，所述认证请求包括当前认证信息；

上网认证服务器根据所述认证请求，判断是否为首次认证请求；

当不是首次认证请求时，获取首次认证信息，并判断所述当前认证信息与所述首次认证信息是否一致；

当前认证信息与首次认证信息一致时，确认所述客户端软件的身份为合法。

2.如权利要求1所述的上网认证服务器识别客户端软件的方法，其特征在于，还包括以下步骤：

当是首次认证请求时，将所述当前认证信息存储为首次认证信息；

生成附带特征字符串的认证拒绝报文，并将认证拒绝报文发送至客户端。

3.如权利要求2所述的上网认证服务器识别客户端软件的方法，其特征在于，所述生成附带特征字符串的认证拒绝报文，并将认证拒绝报文发送至客户端的步骤之后还包括：

客户端接收认证拒绝报文；

对所述认证拒绝报文进行处理，并生成再次认证报文；

将再次认证报文发送至上网认证服务器，发起再次认证请求。

4.如权利要求1至3中任意一项所述的上网认证服务器识别客户端软件的方法，其特征在于，所述上网认证服务器根据认证请求，判断是否为首次认证请求的步骤具体为：

判断是否存在首次认证信息；

当存在首次认证信息，则判断所述认证请求不是首次认证请求；或

当不存在首次认证信息，则判断所述认证请求为首次认证请求。

5.如权利要求1至3中任意一项所述的上网认证服务器识别客户端软件的方法，其特征在于，所述获取首次认证信息的步骤与所述判断所述当前认证信息与所述首次认证信息是否一致的步骤之间还包括：

判断所述首次认证信息是否在有效期内；

当不在有效期内，则丢弃首次认证信息及当前认证信息，并结束认证。

6.一种识别客户端软件的上网认证服务器，其特征在于，包括：

服务器接收模块，用于接收客户端软件发送的认证请求；所述认证请求包括当前认证信息；

判断模块，用于根据认证请求，判断是否为首次认证请求；

再次认证报文识别模块，用于当不是首次认证请求时，获取首次认证信息，并判断所述当前认证信息与首次认证信息是否一致；当前认证信息与首次认证信息一致时，确认所述客户端软件的身份为合法。

7.如权利要求6所述的识别客户端软件的上网认证服务器，其特征在于，所述上网认证服务器还包括：

存储模块，用于当是首次认证请求时，将所述当前认证信息存储为首次认证信息；

认证拒绝报文生成模块，用于生成附带特征字符串的认证拒绝报文；

服务器发送模块，用于发送所述认证拒绝报文至客户端。

8.如权利要求6或7所述的识别客户端软件的上网认证服务器，其特征在于，所述判断模块包括：

第一判断单元，用于判断是否存在首次认证信息；当不存在首次认证信息，则判断所述认证请求为首次认证请求；

第二判断单元，用于当存在首次认证信息，则判断所述认证请求不是首次认证请求；否则判断所述认证请求是首次认证请求；

第三判断单元，用于当判断所述认证请求不是首次认证请求时，则判断所述首次认证信息是否在有效期内，当判断首次认证信息不在有效期内，则丢弃首次认证信息及当前认证信息，并结束认证。

9.一种客户端，其特征在于，包括：

客户端接收模块，用于接收上网认证服务器发送的认证拒绝报文；

认证拒绝报文处理模块，用于对所述认证拒绝报文进行处理，并生成再次认证报文；

客户端发送模块，用于将再次认证报文发送至上网认证服务器，发起再次认证请求。

10.一种上网认证服务器识别客户端软件的***，其特征在于，包括上网认证服务器及客户端，其中：

所述上网认证服务器包括：

服务器接收模块，用于接收客户端软件发送的认证请求；所述认证请求包括当前认证信息；

判断模块，用于根据认证请求，判断是否为首次认证请求；

再次认证报文识别模块，用于当不是首次认证请求时，获取首次认证信息，并判断所述当前认证信息与首次认证信息是否一致；当前认证信息与首次认证信息一致时，确认所述客户端软件的身份为合法；

所述客户端包括：

客户端接收模块，用于接收上网认证服务器发送的认证拒绝报文；

认证拒绝报文处理模块，用于对所述认证拒绝报文进行处理，并生成再次认证报文；

客户端发送模块，用于将再次认证报文发送至上网认证服务器，发起再次认证请求。

11.如权利要求10所述的上网认证服务器识别客户端软件的***，其特征在于，所述上网认证服务器还包括：

存储模块，用于当是首次认证请求时，将所述当前认证信息存储为首次认证信息；

认证拒绝报文生成模块，用于生成附带特征字符串的认证拒绝报文；

服务器发送模块，用于发送所述认证拒绝报文至客户端软件。

Images