CN101873331B - 一种安全认证方法和*** - Google Patents

Abstract

本发明公开了一种安全认证方法和***。该方法包括：用户通过客户端向服务器提交绑定建立请求；服务器向客户端下载安全检测装置以及一生成的第一随机数；所述安全检测装置利用客户端的硬件信息生成计算机指纹信息以及计算机标识，并将加密后的计算机指纹信息、计算机标识以及随机数上传到服务器；服务器解密密文获得随机数，如果该随机数与第一随机数相等，则登记所述计算机指纹信息以及计算机标识，否则返回绑定失败信息；在每次服务器向客户端提供服务时，都要对所述绑定进行检查。利用本发明的技术方案，在安全认证过程中通过使用计算机硬件信息来识别客户端，从而确保网络侧唯一识别所述客户端设备，提高了网络通信的安全性。

Description

一种安全认证方法和***

技术领域

本发明涉及网络安全技术，尤其涉及一种对客户端进行安全认证的方法和***。

背景技术

随着互联网技术的普遍使用，网络安全问题已经成为困扰网络发展的一个重要因素。网络安全隐患主要表现在以下三个方面：病毒、内部用户的非法操作和网络外部的黑客攻击。内部用户的非法操作包括恶意和非恶意两种：一种是由于网络设置的不严密性，网络内部使用者误入他们本不该进入的领域，误改其中的数据；另一种是有些内部用户利用合法身份有意对数据进行破坏。黑客攻击是最可怕的，网络黑客一旦进入某个网络，其造成的损失无法估量。

对于普通用户而言，为了安全使用网络，对客户身份的验证大多集中在介质和密码上，这样对识别是否是客户本人存在很大的局限性，一旦介质丢失和/或密码泄露，网络侧无法准确地的判断本次操作的客户的真实身份。目前主要问题是安全性过于依赖用户本身的网络知识，对于安全观念较差的用户，其密码很容易被盗取。黑客有可能通过非法手段获得客户的密码等信息，进而使得客户的私人资料、甚至是一些非常重要的数据被窃。

例如，比较普遍使用的一种方法是，服务器端利用session方式维持和客户端的状态，在每个页面中保存一个session ID，如果黑客拿到此session ID，就能使用客户当前会话冒充客户提交请求(此时***不会判断为并发登录控制，因为黑客使用的是客户登录的session ID，而不是新登录产生的新sessionID)，因此客户在进行网上操作的时候，存在很大的风险。

鉴于目前这种情况，需要提供一种有效的安全机制，使得用户在使用互联网时获得安全的网络通信。

发明内容

(一)要解决的技术问题

为了克服现有技术的上述缺陷，本发明提供了一种安全认证***和方法，以提高网络安全性。

(二)技术方案

本发明的安全认证***包括：服务器，用于向客户端提供服务；客户端，通过网络与服务器连接，用于从服务器接收服务。该客户端包括一安全检测装置，用于根据客户端的硬件信息，将客户端与服务器建立绑定关系，以使服务器在提供服务时唯一识别该客户端。

该安全检测装置还包括主控单元，与硬件信息处理单元和建立绑定处理单元连接并调用其功能；硬件信息处理单元，用于采集客户端硬件相关信息，该信息能用于唯一识别该客户端，并利用所获取信息生成能唯一识别该客户端的计算机指纹和计算机标识；建立绑定信息处理单元，对所述计算机指纹、计算机标识以及从服务器获取的第一随机数进行加密，并将密文发送到所述服务器；检查绑定信息处理单元，用于获取所述计算机指纹、计算机标识以及从服务器接收的第二随机数，利用所述计算机指纹作为对称加密的密钥，对所述第二随机数进行加密，将加密后的密文和所述计算机标识一并提交给服务器。所述硬件相关信息包括CPU的ID、主板信息、硬盘信息或网卡信息。

上述服务器包括：绑定建立单元，用于当服务器获取到所述密文之后，对所述密文进行解密，获得一随机数、计算机指纹和计算机标识，如果该随机数与服务器产生的所述第一随机数相等，则将所述的计算机指纹和计算机标识登记在所述客户信息中，完成客户端与服务器之间的绑定关系；检查绑定单元，用于利用客户端上传的计算机标识，在服务器检索客户端在服务器登记的计算机指纹，并利用该计算机指纹解密客户端上传的密文，得到一随机数，将此随机数与服务器产生的所述第二随机数进行比对，如果相等，则检查绑定通过。

上述建立绑定信息处理单元利用RSA非对称算法，使用公钥对所述第一随机数、计算机指纹和计算机标识进行加密。服务器的绑定建立单元利用RSA配对私钥对提交的密文进行解密，获得所述第一随机数、计算机指纹和计算机标识。

本发明的安全认证方法包括：步骤1，用户通过客户端向服务器提交绑定建立请求；步骤2，服务器向客户端下载安全检测装置以及一生成的第一随机数；步骤3，所述安全检测装置利用客户端的硬件信息生成计算机指纹信息以及计算机标识，并对所述计算机指纹信息、计算机标识以及所述第一随机数进行加密，将密文上传到所述服务器；步骤4，所述服务器对接收的密文进行解密获得随机数，如果该随机数与所述第一随机数相等，则登记所述计算机指纹信息以及计算机标识，否则返回绑定失败信息。

其中，当客户端请求服务器提供服务时，首先提交绑定检查请求；服务器向客户端下载一第二随机数，在客户端，安全检测装置利用计算机指纹作为对称加密密钥对所述第二随机数进行加密，将密文和计算机标识发送到服务器；服务器利用所述计算机标识检索到该客户端登记在服务器的计算机指纹，并利用该计算机指纹解密所述密文，得到一随机数，如果该随机数与所述第二随机数相等，则绑定检查通过，否则返回绑定检查失败信息。

(三)有益效果

应用本发明的***和方法，用户利用客户端设备的硬件信息进行网络注册，在安全认证过程中同样使用客户端设备的硬件信息，使得网络侧服务器可以唯一识别该客户端，从而保证网络操作的安全性。

附图说明

图1为本发明安全认证***中安全检测装置的结构框图；

图2为本发明安全认证方法中绑定建立过程的流程图；以及

图3为本发明安全认证方法中绑定检查过程的流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，以下结合例子并参照附图，对本发明做进一步详细说明。

通常，用户通过PC机、手机或PDA等客户端设备，利用互联网或局域网等与服务器相连，从而获得各种服务，例如发送电子邮件、访问数据库、下载数据或在线浏览等。但是很多服务需要对用户进行安全认证，根据本发明的安全认证机制，需要在客户端设备设置一安全检测装置，该安全检测装置可通过计算机软件来实现。其实现原理是将特定客户端与某一服务器进行绑定，从而实现服务器在向用户提供某种服务时，服务器通过客户端的硬件信息来唯一识别该客户端，以防止网络黑客盗用用户密码而截取信息。

参照图1，图1示出了本发明安全认证***，其包括服务器2和客户端1。服务器2和客户端1通过互联网、局域网或广域网等网络进行连接。在客户端1还包括安全检测装置，该装置包括主控单元10、硬件信息处理单元11、建立绑定信息处理单元12、检查绑定信息处理单元14和安全控制单元15。其中硬件信息处理单元11、建立绑定信息处理单元12、检查绑定信息处理单元14和安全控制单元15都与主控单元10相连接。

主控单元10用于接收来自客户端的指令，协调各功能单元实现客户端设备的绑定和检查绑定功能。

硬件信息处理单元11，用于采集客户端设备的硬件相关信息，当客户端设备是PC机时，相关的硬件信息例如是：CPU的ID、主板信息、硬盘信息、网卡信息等，这些信息能够将任意两台机器区分开来。

采集到硬件相关信息之后，所述硬件信息处理单元11根据内置的计算机指纹生成算法，将这些信息的组合通过摘要和特定算法生成特定数字信息，即计算机指纹，能唯一确定对应的计算机，同时，根据内置计算机标识生成算法，将上述计算机硬件相关信息的部分信息的组合通过摘要和特定算法生成特定数字信息，即计算机标识，也能唯一确定对应的计算机。并将生成的计算机指纹和计算机标识传输给主控单元10。

建立绑定信息处理单元12，从主控单元10接收一第一随机数、计算机指纹和计算机标识。如果安全检测装置是通过从服务器下载而获取，则所述第一随机数可随安全检测装置一同下载到客户端。建立绑定信息处理单元12利用内置的RSA非对称算法，利用公钥对所述第一随机数、计算机指纹和计算机标识进行加密，其中所述第一随机数可以作为一个混淆因子。然后将加密后的第一随机数、计算机指纹和计算机标识返回给主控单元10，由主控单元10提交给服务器。

与客户端相对应地，在服务器端设置一绑定建立单元21，与控制单元20连接并受其控制，其中该绑定建立单元21在从客户端获取到经过加密的第一随机数、计算机指纹和计算机标识之后，利用RSA配对私钥对提交的密文进行解密，获得所述第一随机数、计算机指纹和计算机标识，用该解密出来的随机数与服务器产生的第一随机数进行比较，如果相等，则将所述的计算机指纹和计算机标识登记在所述客户信息中。

安全检测装置还包括检查绑定信息处理单元14，用于从主控单元10接收一第二随机数、所述计算机指纹和计算机标识，所述第二随机数是在此安全检测装置从服务器下载到客户端的时候，由服务器产生，并跟随安全检测装置一同下载到客户端的。检查绑定信息处理单元14利用所述计算机指纹作为对称加密的密钥，对所述第二随机数进行加密，将加密后的密文和所述计算机标识一并返回给主控单元10。由主控单元提交给服务器。

与客户端相对应地，在服务器端设置一检查绑定单元22，与控制单元20连接并受其控制。该检查绑定单元22利用客户端传送上来的计算机标识，到服务器检索客户端在服务器登记的计算机指纹，并利用该计算机指纹解密客户端上送的密文，得到一第二随机数，将此随机数与服务器产生的第二随机数进行比对，如果相等，则检查绑定通过。

安全检测装置还包括安全控制单元15，用于控制只能在指定的域名(例如：https://www.***.com.cn/)站点调用此安全检测装置，不能被其他域名站点或通过IP访问的站点所调用，有效地防止黑客调用此安全检测装置，骗取客户硬件信息，或获得一次性的硬件检查密文欺骗服务器。

图2示出了本发明安全认证方法中客户端与服务器之间的绑定建立的流程图，包括以下步骤。

步骤300：用户通过客户端向服务器提交绑定建立请求。

其中客户端可以是PC机、手机或PDA等设备，客户端借助互联网或局域网等与服务器建立通信连接。用户可通过输入域名(例如：https://www.***.com.cn/)的方式访问某个站点服务器，在获取来自该站点的服务之前，需要预先建立与该站点服务器的绑定关系。首先，客户端向服务器提交绑定建立请求，例如通过点击站点网页上的菜单选项来发送该请求。

步骤301：站点服务器在接收到来自客户端的绑定建立请求之后，下载安全检测装置到客户端，同时，由服务器产生一第一随机数，内置于所述安全检测装置中。

步骤302：安全检测装置下载到客户端之后，首先调用安全控制单元15进行安全判断，例如，通过判断所述客户端是否是指定域名站点(例如：https://www.***.com.cn/)或可通过指定IP进行访问，从而判断是否允许该客户端调用，如果是，进入步骤304，否则进入步骤303，绑定失败。

步骤303：显示建立绑定失败信息给客户。

步骤304：安全检测装置中的硬件信息处理单元11采集客户端设备的硬件相关信息，例如CPU的ID、主板信息、硬盘信息、网卡信息等，这些信息能够将任意两台机器区分开来。采集到硬件相关信息之后，安全检测装置根据内置的计算机指纹生成算法，将这些信息的组合通过摘要和特定算法生成特定数字信息，即计算机指纹，能唯一确定对应的计算机，同时，根据内置计算机标识生成算法，将上述计算机硬件相关信息的部分信息的组合通过摘要和特定算法生成特定数字信息，即计算机标识，也能唯一确定对应的计算机。之后，安全检测装置利用内置的RSA非对称算法，利用公钥对步骤301所述服务器产生的第一随机数、以及调用计算机硬件信息处理单元获得的计算机指纹和计算机标识进行加密，其中随机数可以作为一个混淆因子，然后将加密后的密文提交给服务器。

步骤305：服务器利用RSA配对私钥对步骤304提交上来的密文进行解密，获得所述第一随机数、计算机指纹和计算机标识，用该解密出来的第一随机数与步骤301所述服务器产生的第一随机数进行比对，如果相等，则将所述的计算机指纹和计算机标识登记在所述客户信息中，进入步骤306，否则进入步骤303。

步骤306：返回绑定成功信息给客户端。

客户端在与服务器成功绑定之后，就可接收来自服务器的服务，例如下载数据，在线浏览等。

在建立绑定之后，客户端每次访问该服务器之前，都需要检查绑定，检查通过之后，方可进行访问。

图3是本发明安全认证方法中绑定检查的流程图，包括以下步骤。

步骤400，客户端向服务器提交绑定检查请求。该请求可与服务请求一同提交。其中服务请求例如是请求服务器提供数据下载，或在线浏览等服务。

步骤401，服务器在接收到绑定检查请求之后，将安全检测装置下载到客户端，同时，由服务器产生一第二随机数，内置于所述安全检测装置中。

步骤402，安全检测装置下载到客户端之后，首先调用其中的安全控制单元进行安全判断，例如，通过判断所述客户端是否是指定域名站点(例如：https://www.***.com.cn/)或可通过指定IP进行访问，从而判断是否允许该客户端调用该安全检测装置，如果是，进入步骤404，否则进入步骤403。

步骤403，向客户端显示检查绑定失败信息，并显示禁止提供服务的信息。

步骤404，安全检测装置利用其中的硬件信息处理单元11获得的计算机指纹作为对称加密密钥，对步骤401所述第二随机数进行加密，将此密文和硬件信息处理单元11获得的计算机标识一起提交给服务器。

步骤405：服务器利用客户端上传的计算机标识，检索到客户端在服务器登记的计算机指纹，并利用该计算机指纹解密客户端上传的密文，得到一随机数，将该随机数与步骤401所述服务器产生的第二随机数进行比对，如果相等，则绑定检查通过，进入步骤406，否则进入步骤403。

步骤406，绑定检查通过，向客户端提供相应服务。

通过提供本发明的安全认证方法和***，可以建立客户端与提供服务的服务器之间的的绑定关系，提高客户抵御网络欺诈和假网站“钓鱼”的能力，并提高了密码等信息被盗窃后的客户信息的相对安全性，是对现行网路安全认证方式的一种非常有效的补充。该安全认证方法和***还能有效控制客户会话被劫持的风险，即使黑客拿到某个站点每个页面中保存的session ID，也无法从绑定的机器上进行关键操作，从而进一步保证了用户进行网络操作的安全性。

本发明提供的安全认证方法和***是一种主动的安全认证模式，提供客户建立计算机终端绑定，使得客户只能在所述绑定的计算机终端上完成某些网络操作，有效防范了网路密码泄露这一风险。本发明的核心思想是通过网络服务器在客户计算机终端部署安全检测装置，搜集计算机硬件指纹(指计算机硬件相关信息，比如：CPU信息、主板信息、硬盘信息、网卡信息的组合通过摘要和特定算法获取的特定数字信息，能唯一确定对应计算机)，并将搜集到的计算机硬件指纹信息登记在网络服务器中，在客户进行网络操作的时候，核对客户使用的计算机硬件指纹信息与已经登记在网络服务器中的计算机硬件指纹信息是否匹配，如果相匹配，则允许进行网络操作，否则禁止相关的网络操作。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (17)

1.一种安全认证***，该***包括：

服务器，用于向客户端提供服务；

客户端，通过网络与服务器连接，用于从服务器接收服务；

其特征在于，该客户端包括一安全检测装置，该安全检测装置包括：

硬件信息处理单元，用于采集客户端硬件相关信息，该信息能用于唯一识别该客户端，并利用所获取信息生成能唯一识别该客户端的计算机指纹和计算机标识；

建立绑定信息处理单元，用于对所述计算机指纹、计算机标识以及从服务器获取的第一随机数进行加密，并将密文发送到所述服务器；

安全控制单元，用于控制所述安全检测装置只能被指定的域名站点或可通过指定IP进行访问的站点调用；

所述服务器进一步包括绑定建立单元，用于当服务器获取到所述密文之后，对所述密文进行解密，获得一随机数、计算机指纹和计算机标识，如果该随机数与服务器产生的所述第一随机数相等，则将所述的计算机指纹和计算机标识登记在所述客户信息中，完成客户端与服务器之间的绑定关系。

2.根据权利要求1所述的***，其中安全检测装置进一步包括：

检查绑定信息处理单元，用于获取所述计算机指纹、计算机标识以及从服务器接收的第二随机数，利用所述计算机指纹作为对称加密的密钥，对所述第二随机数进行加密，将加密后的密文和所述计算机标识一并提交给服务器。

3.根据权利要求2所述的***，其中服务器进一步包括：

检查绑定单元，用于利用客户端上传的计算机标识，在服务器检索客户端在服务器登记的计算机指纹，并利用该计算机指纹解密客户端上传的密文，得到一随机数，将此随机数与服务器产生的所述第二随机数进行比对，如果相等，则检查绑定通过。

4.根据权利要求1-3任一项所述的***，所述客户端包括PC、移动终端或者PDA。

5.根据权利要求1-3任一项所述的***，所述硬件信息包括CPU的ID、主板信息、硬盘信息或网卡信息。

6.根据权利要求5所述的***，建立绑定信息处理单元利用RSA非对称算法，使用公钥对所述第一随机数、计算机指纹和计算机标识进行加密。

7.根据权利要求6所述的***，服务器的绑定建立单元利用RSA配对私钥接收的密文进行解密，获得所述第一随机数、计算机指纹和计算机标识。

8.一种安全认证方法，该方法包括以下步骤：

步骤1，用户通过客户端向服务器提交绑定建立请求；

步骤2，服务器向客户端下载安全检测装置以及一生成的第一随机数；

步骤3，所述安全检测装置利用客户端的硬件信息生成计算机指纹信息以及计算机标识，并对所述计算机指纹信息、计算机标识以及所述第一随机数进行加密，将密文上传到所述服务器；

步骤4，所述服务器对接收的密文进行解密以获得一随机数，如果该随机数与所述第一随机数相等，则登记所述计算机指纹信息以及计算机标识，否则返回绑定失败信息；

其中所述安全检测装置包括一安全控制单元，用于控制所述安全检测装置只能被所述服务器调用，不能被其他域名站点或通过IP访问的站点所调用。

9.根据权利要求8所述的方法，所述步骤2之后进一步包括判断所述客户端是否可调用所述安全检测装置，如果是，则执行步骤3，如果否，则返回绑定失败信息。

10.根据权利要求9所述的方法，进一步包括通过判断所述客户端是否为指定域名站点或是否可通过指定IP进行访问来确定其是否可调用所述安全检测装置。

11.根据权利要求8所述的方法，其中所述客户端包括PC、移动终端或者PDA。

12.根据权利要求9所述的方法，其中所述客户端硬件信息包括CPU的ID、主板信息、硬盘信息或网卡信息。

13.根据权利要求8所述的方法，其中所述客户端利用RSA非对称算法，使用公钥对所述第一随机数、计算机指纹和计算机标识进行加密。

14.根据权利要求13所述的方法，其中所述服务器利用RSA配对私钥对接收的密文进行解密，获得所述随机数、计算机指纹和计算机标识。

15.根据权利要求8-14任一项所述的方法，进一步包括：

步骤5，当客户端请求服务器提供服务时，首先提交绑定检查请求

步骤6，服务器向客户端下载一第二随机数，在客户端安全检测装置利用计算机指纹作为对称加密密钥，对所述第二随机数进行加密，将密文和计算机标识发送到服务器；

步骤7，服务器利用所述计算机标识检索到该客户端登记在服务器的计算机指纹，并利用该计算机指纹解密所述密文，得到一随机数，如果该随机数与所述第二随机数相等，则绑定检查通过，否则返回绑定检查失败信息。

16.根据权利要求15所述的方法，在步骤5之后进一步包括判断所述客户端是否可调用所述安全检测装置，如果是，则执行步骤6，如果否，则返回绑定检查失败信息。

17.根据权利要求16所述的方法，进一步包括通过判断所述客户端是否为指定域名站点或是否可通过指定IP进行访问来确定其是否可调用所述安全检测装置。

Images