CN103873477A

CN103873477A - 农资物联网中基于二维码及非对称加密的访问认证方法

Info

Publication number: CN103873477A
Application number: CN201410121178.1A
Authority: CN
Inventors: 胡瑞林
Original assignee: Jiangsu IoT Research and Development Center
Current assignee: Jiangsu IoT Research and Development Center
Priority date: 2014-03-27
Filing date: 2014-03-27
Publication date: 2014-06-18

Abstract

本发明涉及一种农资物联网中基于二维码及非对称加密的访问认证方法，其包括如下步骤：a、服务器根据访问客户端的登录连接信息生成登录会话序列；b、访问客户端显示输出服务器返回的登录二维码；c、使用移动客户端扫描访问客户端上的登录二维码，并对所述登录二维码进行解析，当利用服务器名称、服务器标识符与移动客户端内的服务器信息匹配时，移动客户端选择帐号；d、在选定帐号后，利用移动客户端进行登录，移动客户端将与选定帐号相关的登录确认信息传输至服务器内；e、当解密后的登录会话序列与服务器内的会话序列匹配时，服务器向访问客户端传输登录成功信息。本发明操作方便，提高农资物联网的访问认证的安全性。

Description

农资物联网中基于二维码及非对称加密的访问认证方法

技术领域

本发明涉及一种访问认证方法，尤其是一种农资物联网中基于二维码及非对称加密的访问认证方法，属于农资物联网的技术领域。

背景技术

农业是人类衣食之源、生存之本，是一切生产的首要条件。农资产品的安全对保障农业生产的安全有着特别重要的作用。在当下物联网发展的大背景下，农资物联网的出现是非常有必要的。

虽然，互联网已经渗入到人们生活和工作的方方面面，但同时也给人们带来越来越大的安全问题。人们拥有不同网站的账号，而保护这些账号的典型方式却是口令。口令具有越长越复杂的固有特点，一直让我们在安全和方便上不得不做两难选择。

一个典型网站的口令，可能在以下几个方面出现问题导致泄漏：

1）、弱口令直接被穷举；

2）、用户口令被计算机内的木马窃取，如网吧或者笔记本本身被安装了木马；

3）、中间人攻击窃听用户口令；

4）、钓鱼网站诱骗用户登录从而获得用户名和口令；

5）、黑客破解服务器获取后台存储的明文密码或者工作人员监守自盗。

就拿农资物联网来说，一旦口令被上述任何一种方式破解，而用户往往在多个账户间使用相同的口令，所以很多时候一次破解会导致连锁反映，用户很可能损失惨重。虽然业界为口令的安全做出不懈的努力，如动态密码卡、双因素认证、Open ID以及OAUTH认证等技术，但安全与方便的两难选择依然存在：密码简单又容易被盗，密码复杂则不容易记住不方便实用。随着云计算、互联网、物联网、社交网络与开放平台的全面发展，口令问题表现得越来越严重。

发明内容

本发明的目的是克服现有技术中存在的不足，提供一种农资物联网中基于二维码及非对称加密的访问认证方法，其操作方便，提高农资物联网的访问认证的安全性。

按照本发明提供的技术方案，一种农资物联网中基于二维码及非对称加密的访问认证方法，包括服务器以及能与所述服务器进行通讯的移动客户端与访问客户端；所述访问认证方法包括如下步骤：

a、利用访问客户端打开登录服务器的登录界面，以对服务器进行连接，服务器根据访问客户端的登录连接信息生成登录会话序列；

b、服务器根据生成会话序列向访问客户端返回登录二维码，所述登录二维码包含的信息包括登录会话序列、服务器名称、服务器标识符、登录确认信息将要提交的URL地址；访问客户端显示输出服务器返回的登录二维码，并不断轮训访问服务器，以检测是否完成登录；

c、使用移动客户端扫描访问客户端上的登录二维码，并对所述登录二维码进行解析，以得到所在登录会话序列对应的服务器名称、服务器标识符；对上述得到的服务器名称、服务器标识符与移动客户端内的服务器信息进行匹配，且当利用服务器名称、服务器标识符与移动客户端内的服务器信息匹配时，移动客户端选择帐号，以利用所述选择帐号登录到匹配的服务器；

d、在选定帐号后，利用移动客户端进行登录，移动客户端将与选定帐号相关的登录确认信息传输至服务器内；所述登录确认信息包括账户名以及使用用户RSA私钥加密的登录会话序列；

e、服务器收到移动客户端提交的登录确认信息并对传输的与帐号相关的身份信息进行解析；服务器根据解析得到的账户名查找与所述账户名对应的用户RSA公钥，并利用用户RSA公钥对利用用户RSA私钥加密的登录会话序列进行解密；当解密后的登录会话序列与服务器内的会话序列匹配时，服务器向访问客户端传输登录成功信息。

所述步骤d中，登录确认信息中使用用户RSA私钥对登录会话序列进行RSA加密。

所述移动客户端包括智能手机。

所述步骤e中，服务器中用户RSA公钥为注册时保存的公钥。

在服务器中注册得到用户RSA公钥包括如下步骤：

S1、利用访问客户端打开连接服务器的注册界面，服务器根据访问客户端的连接注册信息生成注册会话序列；

S2、利用访问客户端在注册界面上向服务器提交包含账户名的注册信息；

S3、服务器根据接收的注册信息向访问客户端返回注册二维码，所述注册二维码的信息包括注册会话序列、服务器名称、服务器标识符、账户名以及注册确认信息将要提交的URL地址；访问客户端显示输出服务器返回的注册二维码，并不断轮训访问服务器，以检测是否完成注册；

S4、使用移动客户端扫描访问客户端上的注册二维码，并对注册二维码进行解析，以得到所在登录会话序列对应的服务器名称、服务器标识符；在移动客户端内利用RSA加密方法随机生成用户RSA公钥私钥对，所述用户RSA公钥私钥对包括用户RSA公钥以及用户RSA私钥；在移动客户端内将账户名、服务器名称、服务器标识符以及用户RSA公钥私钥对进行关联存储；

S5、移动客户端在进行上述关联存储后，向服务器提交注册确认信息，所述注册确认信息包括账户名、用户RSA公钥以及注册会话序列；

S6、服务器接收移动客户端提交的注册确认信息并对所述注册确认信息进行解析，以得到注册的账户名、用户RSA公钥以及注册会话序列；服务器将解析的账户名与待注册的账户名进行比对，当解析的账户名与待注册的账户名匹配后，服务器将账户名以及用户RSA公钥进行关联存储，并向访问客户端传输注册成功信息。

所述移动客户端向服务器提交注册确认信息的方式包括GPRS、3G网络。

本发明的优点：在整个登录过程中，由于不存在口令，而RSA密钥又拥有高强度安全性，所以穷举法无法获取用户信息；用户RSA公钥与用户RSA私钥对不能互相推导，黑客或者服务器内部员工即使获取服务器端用户数据库也无法加以利用；认证是只在移动客户端和服务器上完成，访问客户端即使被挂马，用户账户的安全也无法被攻破；双方的私钥都不在网络上进行传输，所以中间人攻击无效；用户身份在登录时不进行传递，所以钓鱼攻击甚至连用户的账户名都无法获取，操作方便，提高农资物联网的访问认证的安全性。

附图说明

图1为本发明进行登录的示意图。

图2为本发明进行注册的示意图。

附图标记说明：100-服务器、110-移动客户端及120-访问客户端。

具体实施方式

下面结合具体附图和实施例对本发明作进一步说明。

如图1所示：为了提高物联网中信息访问认证的可靠性，本发明包括服务器100以及能与所述服务器100进行通讯的移动客户端110与访问客户端120；所述访问认证方法包括如下步骤：

a、利用访问客户端120打开登录服务器100的登录界面，以对服务器100进行连接，服务器100根据访问客户端120的登录连接信息生成登录会话序列；

本发明实施例中，访问客户端120一般可以为能对服务器100进行网络连接的计算机，移动客户端110可以包括智能手机，也可以为其他的手持智能设备。服务器100生成的登录会话序列为针对当前的登录连接信息生成的标识序列。

b、服务器100根据生成会话序列向访问客户端120返回登录二维码，所述登录二维码包含的信息包括登录会话序列、服务器名称、服务器标识符、登录确认信息将要提交的URL地址；访问客户端120显示输出服务器100返回的登录二维码，并不断轮训访问服务器100，以检测是否完成登录；

二维码是用某种特定的几何图形按一定规律在平面（二维方向）上分布的黑白相间的图形记录数据符号信息，它除了具有信息容量大、可靠性高特点以外，还有超高速识读全方位识读可表示汉字图像声音等一切可以数字化的信息，并且有很强的保密防伪等优点。作为一种新的信息载体，二维码现已广泛地应用于国防、公共安全、交通运输、医疗保健、工业、商业、金融、海关及政府等领域。本发明实施例中，登录二维码可以采用QR码，所述QR码是二维条码的一种。与其他二维码相比，QR码具有识读速度快、数据密度大、占用空间小的优势。服务器标识符为标识服务器的唯一标识符，通过登录确认信息将要提交的URL（Uniform Resoure Locator）地址能方便移动客户端110将登录确认信息的提交。上述不断轮训访问服务器100是指访问客户端120不断与服务器100进行通讯，以确定是否完成登录。

c、使用移动客户端110扫描访问客户端120上的登录二维码，并对所述登录二维码进行解析，以得到所在登录会话序列对应的服务器名称、服务器标识符；对上述得到的服务器名称、服务器标识符与移动客户端110内的服务器信息进行匹配，且当利用服务器名称、服务器标识符与移动客户端110内的服务器信息匹配时，移动客户端110选择帐号，以利用所述选择帐号登录到匹配的服务器；

在具体实施时，通过移动客户端110提交登录确认信息，移动客户端110内包含服务器100需要登录的信息。在进行登录时，移动客户端110内存储有服务器数据库，所述服务器数据库内包含大量需要登录访问的服务器100信息，通过服务器100的服务器名称、服务器标识符能在服务器数据库内进行查找匹配所需的服务器信息。当利用服务器名称、服务器标识符与移动客户端110内的服务器信息匹配时，说明需要登录的服务器110与移动客户端110之间经过了认证，能够实现后续的登录确认操作。当利用服务器名称、服务器标识符不能与移动客户端110内的服务器信息匹配时，则移动客户端110会终止此次的登录操作。

d、在选定帐号后，利用移动客户端110进行登录，移动客户端110将与选定帐号相关的登录确认信息传输至服务器100内；所述登录确认信息包括账户名以及使用用户RSA私钥加密的登录会话序列；

非对称加密算法需要两个密钥：公开密钥（publickey）和私有密钥（privatekey）。公开密钥与私有密钥是一对，如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。

非对称密码体制的特点是算法强度复杂、安全性依赖于算法与密钥。所以保证其安全性就是保证密钥的安全，而非对称密钥体制有两种密钥，其中一个是公开的，这样就可以不需要像对称密码那样传输对方的密钥，故安全性就大了很多。RSA算法是目前最有影响力的非对称加密算法之一。

RSA的算法涉及三个参数：n、e1、e2。

n是两个大质数p、q的积，n的二进制表示时所占用的位数，就是所谓的密钥长度。e1和e2是一对相关的值，e1可以任意取，但要求e1与(p-1）*(q-1）互质；再选择e2，要求（e2*e1）mod((p-1）*(q-1））=1。（n，e1），（n，e2）就是密钥对。其中(n，e1）为公钥，（n，e2）为私钥。

RSA加解密的算法完全相同，设A为明文，B为密文，则：A=B^e2 mod n；B=A^e1 mod n；（公钥加密体制中，一般用公钥加密，私钥解密），e1和e2可以互换使用，即：A=B^e1 mod n；B=A^e2 mod n。

登录确认信息中使用用户RSA私钥对登录会话序列进行RSA加密。本发明实施例中，利用用户RSA私钥对登录会话序列进行RSA加密如上述所述，具体为本技术领域技术人员所熟知，此处不再熟知。移动客户端110内的用户RSA私钥可以通过移动客户端110与服务器100间认证过程中获得，具体可以参考下述注册步骤。

e、服务器100收到移动客户端110提交的登录确认信息并对传输的与帐号相关的身份信息进行解析；服务器100根据解析得到的账户名查找与所述账户名对应的用户RSA公钥，并利用用户RSA公钥对利用用户RSA私钥加密的登录会话序列进行解密；当解密后的登录会话序列与服务器100内的会话序列匹配时，服务器100向访问客户端120传输登录成功信息。

服务器100中用户RSA公钥为注册时保存的公钥。

在服务器100中注册得到用户RSA公钥包括如下步骤：

S1、利用访问客户端120打开连接服务器100的注册界面，服务器100根据访问客户端120的连接注册信息生成注册会话序列；

S2、利用访问客户端120在注册界面上向服务器100提交包含账户名的注册信息；

S3、服务器100根据接收的注册信息向访问客户端120返回注册二维码，所述注册二维码的信息包括注册会话序列、服务器名称、服务器标识符、账户名以及注册确认信息将要提交的URL地址；访问客户端120显示输出服务器100返回的注册二维码，并不断轮训访问服务器100，以检测是否完成注册；

S4、使用移动客户端110扫描访问客户端120上的注册二维码，并对注册二维码进行解析，以得到所在登录会话序列对应的服务器名称、服务器标识符；在移动客户端110内利用RSA加密方法随机生成用户RSA公钥私钥对，所述用户RSA公钥私钥对包括用户RSA公钥以及用户RSA私钥；在移动客户端110内将账户名、服务器名称、服务器标识符以及用户RSA公钥私钥对进行关联存储，并在进行关联存储时添加刚刚注册用户的信息。

S5、移动客户端110在进行上述关联存储后，向服务器100提交注册确认信息，所述注册确认信息包括账户名、用户RSA公钥以及注册会话序列；

S6、服务器100接收移动客户端110提交的注册确认信息并对所述注册确认信息进行解析，以得到注册的账户名、用户RSA公钥以及注册会话序列；服务器100将解析的账户名与待注册的账户名进行比对，当解析的账户名与待注册的账户名匹配后，服务器100将账户名以及用户RSA公钥进行关联存储，并向访问客户端120传输注册成功信息。

所述移动客户端110向服务器100提交注册确认信息的方式包括GPRS、3G网络。此外，移动客户端110向服务器100提交登录确认信息方式与上述提交注册确认信息的方式相同，具体实施时，还可以采用其他网络连接形式。

进一步地，针对移动客户端110里的内容本身容易被窃取的问题，可以对移动客户端110进行安全级别提升，如要求用户只能通过口令才能打开账户管理应用；在执行登录操作时要求用户输入一个简单的口令或者提供指纹等等。总之掌控移动客户端110中的信息安全比直接把信息暴露在互联网中要容易得多。

其次，一旦移动客户端110被窃取可能会导致信息丢失的问题，移动客户端110中的数据应该能进行加密并备份，用户可以在使用新移动客户端110导入原来的账户信息。另外，对于非常关键的用户，为减少风险，除了提供上述提到的认证机制以外，还应该附加询问第二密码，以确保极为关键的个人账户万无一失。

本发明在整个登录过程中，由于不存在口令，而RSA密钥又拥有高强度安全性，所以穷举法无法获取用户信息；用户RSA公钥与用户RSA私钥对不能互相推导，黑客或者服务器内部员工即使获取服务器端用户数据库也无法加以利用；认证是只在移动客户端110和服务器100上完成，访问客户端120即使被挂马，用户账户的安全也无法被攻破；双方的私钥都不在网络上进行传输，所以中间人攻击无效；用户身份在登录时不进行传递，所以钓鱼攻击甚至连用户的账户名都无法获取，操作方便，提高农资物联网的访问认证的安全性。

Claims

1. 一种农资物联网中基于二维码及非对称加密的访问认证方法，其特征是，包括服务器（100）以及能与所述服务器（100）进行通讯的移动客户端（110）与访问客户端（120）；所述访问认证方法包括如下步骤：

（a）、利用访问客户端（120）打开登录服务器（100）的登录界面，以对服务器（100）进行连接，服务器（100）根据访问客户端（120）的登录连接信息生成登录会话序列；

（b）、服务器（100）根据生成会话序列向访问客户端（120）返回登录二维码，所述登录二维码包含的信息包括登录会话序列、服务器名称、服务器标识符、登录确认信息将要提交的URL地址；访问客户端（120）显示输出服务器（100）返回的登录二维码，并不断轮训访问服务器（100），以检测是否完成登录；

（c）、使用移动客户端（110）扫描访问客户端（120）上的登录二维码，并对所述登录二维码进行解析，以得到所在登录会话序列对应的服务器名称、服务器标识符；对上述得到的服务器名称、服务器标识符与移动客户端（110）内的服务器信息进行匹配，且当利用服务器名称、服务器标识符与移动客户端（110）内的服务器信息匹配时，移动客户端（110）选择帐号，以利用所述选择帐号登录到匹配的服务器；

（d）、在选定帐号后，利用移动客户端（110）进行登录，移动客户端（110）将与选定帐号相关的登录确认信息传输至服务器（100）内；所述登录确认信息包括账户名以及使用用户RSA私钥加密的登录会话序列；

（e）、服务器（100）收到移动客户端（110）提交的登录确认信息并对传输的与帐号相关的身份信息进行解析；服务器（100）根据解析得到的账户名查找与所述账户名对应的用户RSA公钥，并利用用户RSA公钥对利用用户RSA私钥加密的登录会话序列进行解密；当解密后的登录会话序列与服务器（100）内的会话序列匹配时，服务器（100）向访问客户端（120）传输登录成功信息。

2.根据权利要求1所述的农资物联网中基于二维码及非对称加密的访问认证方法，其特征是：所述步骤（d）中，登录确认信息中使用用户RSA私钥对登录会话序列进行RSA加密。

3.根据权利要求1所述的农资物联网中基于二维码及非对称加密的访问认证方法，其特征是：所述移动客户端（110）包括智能手机。

4.根据权利要求1所述的农资物联网中基于二维码及非对称加密的访问认证方法，其特征是：所述步骤（e）中，服务器（100）中用户RSA公钥为注册时保存的公钥。

5.根据权利要求4所述的农资物联网中基于二维码及非对称加密的访问认证方法，其特征是：在服务器（100）中注册得到用户RSA公钥包括如下步骤：

（S1）、利用访问客户端（120）打开连接服务器（100）的注册界面，服务器（100）根据访问客户端（120）的连接注册信息生成注册会话序列；

（S2）、利用访问客户端（120）在注册界面上向服务器（100）提交包含账户名的注册信息；

（S3）、服务器（100）根据接收的注册信息向访问客户端（120）返回注册二维码，所述注册二维码的信息包括注册会话序列、服务器名称、服务器标识符、账户名以及注册确认信息将要提交的URL地址；访问客户端（120）显示输出服务器（100）返回的注册二维码，并不断轮训访问服务器（100），以检测是否完成注册；

（S4）、使用移动客户端（110）扫描访问客户端（120）上的注册二维码，并对注册二维码进行解析，以得到所在登录会话序列对应的服务器名称、服务器标识符；在移动客户端（110）内利用RSA加密方法随机生成用户RSA公钥私钥对，所述用户RSA公钥私钥对包括用户RSA公钥以及用户RSA私钥；在移动客户端（110）内将账户名、服务器名称、服务器标识符以及用户RSA公钥私钥对进行关联存储；

（S5）、移动客户端（110）在进行上述关联存储后，向服务器（100）提交注册确认信息，所述注册确认信息包括账户名、用户RSA公钥以及注册会话序列；

（S6）、服务器（100）接收移动客户端（110）提交的注册确认信息并对所述注册确认信息进行解析，以得到注册的账户名、用户RSA公钥以及注册会话序列；服务器（100）将解析的账户名与待注册的账户名进行比对，当解析的账户名与待注册的账户名匹配后，服务器（100）将账户名以及用户RSA公钥进行关联存储，并向访问客户端（120）传输注册成功信息。

6.根据权利要求5所述的农资物联网中基于二维码及非对称加密的访问认证方法，其特征是：所述移动客户端（110）向服务器（100）提交注册确认信息的方式包括GPRS、3G网络。