CN104378210A - 跨信任域的身份认证方法 - Google Patents

Abstract

本发明公开了一种跨信任域的身份认证方法，包括身份认证服务模块和认证终端模块；所述身份认证服务模块提供身份令牌的颁发服务和验证服务；所述身份令牌的颁发服务包括对身份令牌申请的受理、身份令牌的封装和身份令牌的颁发；所述身份令牌的验证服务提供基于挑战的身份令牌的验证，并以合法令牌为依据返回用户应用***信息，并通过同步LDAP或CRL排除非法用户的身份令牌验证；所述认证终端模块包括身份令牌申请模块和客户端密码模块；所述身份令牌申请模块负责身份令牌的申请和维护；所述客户端密码模块提供客户端证书及密码运算。本发明实现了一处认证，全网访问，解决了当前存在的信任问题。

Description

跨信任域的身份认证方法

技术领域

本发明涉及信息网络中的身份认证技术领域，具体涉及一种跨信任域的身份认证方法，通过身份认证令牌，实现信任域内或跨信任域访问。

背景技术

当前在政务、商务等集团大网络环境中，很多时候存在不同的网络使用不同的信任体系，如不同的CA，不同的业务***，当在各子网之间进行互访的时候，出于安全机制，都需要在各子网进行多次认证，存在很大的信息屏障，不方便各子网之间的信息共享与交互。

发明内容

为了克服现有技术的上述缺点，本发明提供了一种跨信任域的身份认证方法，实现一处认证，全网访问，解决了当前存在的信任问题。

本发明解决其技术问题所采用的技术方案是：一种跨信任域的身份认证方法，包括身份认证服务模块和认证终端模块；

所述身份认证服务模块提供身份令牌的颁发服务和验证服务；所述身份令牌的颁发服务包括对身份令牌申请的受理、身份令牌的封装和身份令牌的颁发；所述身份令牌的验证服务提供基于挑战的身份令牌的验证，并以合法令牌为依据返回用户应用***信息，并通过同步LDAP或CRL排除非法用户的身份令牌验证；

所述认证终端模块包括身份令牌申请模块和客户端密码模块；所述身份令牌申请模块负责身份令牌的申请和维护；所述客户端密码模块提供客户端证书及密码运算。

与现有技术相比，本发明的积极效果是：本发明以PKI技术为核心，身份令牌为载体，基于Windows及Linux平台实现域内或域间身份认证及应用***的单点登录。具有如下优点：

1)解决用户跨***跨部门的身份漫游问题；

2)解决用户跨证书域的认证问题；

3)提供信任的传递能力；

4)解决协同型大型应用***的认证问题；

5)规范应用***的身份认证方式，简化应用***身份认证开发过程；

6)实现多个应用***之间的单点登录。

7)身份令牌的载体--认证客户端支持Windows平台及Linux平台。

8)身份令牌的跨软硬件平台、跨语言、可扩展性。

附图说明

本发明将通过例子并参照附图的方式说明，其中：

图1为应用***对用户进行身份认证的流程图。

具体实施方式

本发明基于：

1、PKI的数字签名技术，实现身份令牌的签名，保证身份令牌的有效性，为跨域认证提供基础。

2、XML语言规范，实现身份令牌的封装，实现令牌跨平台、跨语言、可扩展。

3、WebService技术，实现跨软硬件平台、跨语言的身份令牌验证服务。

4、OPENID技术，实现身份认证协议的标准化。

5、COM技术，实现Window平台的令牌接口调用。

6、FireFox插件技术，实现Linux平台的令牌接口调用。

一种跨信任域的身份认证方法，包括：身份认证服务器的身份令牌颁发服务、令牌验证服务；基于Windows认证客户端的身份令牌申请模块、基于Windows的令牌调用COM接口；基于Linux认证客户端的身份令牌申请模块、基于linux的firefox令牌调用插件；客户端密码模块；其中：

身份令牌：类似于生活中的居民身份证，包括个人信息(加密、签名证书等)，签发者信息，签章(签发者的签名)，有效时间范围,身份令牌采用XML语言进行封装，让身份令牌具有跨平台、跨语言、可扩展性等高级特性。

身份令牌颁发服务：提供对身份令牌申请的受理，令牌的封装，令牌的颁发。

身份令牌验证服务：提供基于挑战的身份令牌的验证，并以合法令牌为依据返回用户应用***信息的功能；并可以通过同步LDAP或CRL排除非法用户的身份令牌验证。

身份令牌申请模块：支持Windows及Linux平台，申请身份令牌，维护身份令牌，并实时检查令牌的有效期，保证身份令牌的可用。

基于Windows的令牌调用COM接口：提供基于Windows平台的令牌调用相关COM接口，方便基于Windows应用的跨语言令牌调用。

基于Linux的Firefox令牌调用插件：提供基于Linux平台下的令牌调用相关接口，方便基于Linux的应用调用。

客户端密码模块：提供客户端证书、提供签名验签等密码运算。

本发明采用基于X.509V3的数字证书进行身份认证。数字证书是由CA签发的一个声明，证明证书主体(“证书申请者”被发放证书后即成为“证书主体”)与证书中所包含的公钥的唯一对应关系。证书包括证书申请者的名称及相关信息、申请者的公钥、签发证书的CA的数字签名及证书的有效期等内容。通过数字证书的认证方式能杜绝传统的基于用户名、口令的认证方式所带来的安全隐患。

身份认证模块以PKI为技术基础，以证书认证为信任基础。用户在一个认证服务器上认证通过后，可由该认证服务器为用户颁发一个与PKI技术和证书相关的凭证。用户凭借该凭证，可以得到其它支持本发明认证协议标准的认证服务设施的信任，从而实现用户在一个入口登录后可以无限制地漫游到其它信任域。

身份认证模块为各种应用***提供二次开发接口。应用***按照接口规范进行改造，可使用身份认证模块提供的身份认证服务。

应用***在使用身份认证服务后，用户无需在每个应用***单独进行认证。用户仅需在认证服务器上认证通过后，应用程序凭借身份认证服务即可鉴别用户身份获取用户信息。

身份认证模块可针对每个应用***为用户创建账号映射关系。应用***可凭借用户身份凭据和自身的应用标识从认证服务中获取用户在自身***中的账户信息。此功能可用于解决现存应用***在改造时保留现有的用户信息。

基于跨信任域身份认证机制的身份认证***采用C/S架构，在终端计算机上需部署身份认证客户端软件。身份认证客户端软件作为与用户交互的UI程序，同时用于对安全密码设备(USBKey)进行调度。用户通过身份认证客户端软件与身份认证服务器进行PKI和证书认证，在认证通过后由认证服务器为客户端颁发身份令牌(令牌中包含用户的身份信息、证书信息、认证服务器的相关信息及证书，并由认证服务器私钥签名)。凭借该令牌，用户可在不同的认证域内证明自身的身份。

身份认证模块也定义了一套完整的接口规范和应用***开发规范。应用***按照规范进行开发，即可依托于身份认证服务实现自身应用***的身份认证。不同应用***共用同一个身份认证服务，身份认证模块可向应用***提供用户的统一的身份信息和认证状态，简化用户的身份认证操作，实现单点登录。

身份认证模块对外以两种形式为应用***提供认证服务：基于SOA方式和基于OpenID方式。SOA方式支持所有操作***、支持所有软件开发语言，但不支持通过统一门户进行统一登录、应用统一管理；OpenID只支持Web应用，但是可以通过统一门户进行统一登录，统一管理。

基于SOA方式

身份认证模块在认证服务中提供WebService服务，在终端为用户提供COM控件或FireFox插件。应用***对用户进行身份认证的流程如图1所示，包括如下步骤：

步骤①：认证客户端登录认证服务器进行认证；

步骤②：登录成功后，认证服务器向认证客户端下发令牌，令牌中包含用户的身份信息、证书信息、认证服务器的相关信息及证书，并由认证服务器私钥签名。

步骤③：应用客户端(如IE浏览器)请求访问应用服务器；

步骤④：应用服务器通过自身程序产生一个随机数R，向应用客户端发起随机数挑战；

步骤⑤：应用客户端通过调用认证客户端接口对应用服务器产生的随机数R进行签名，并获取步骤②中认证服务器下发给认证客户端的令牌；

步骤⑥：认证客户端将步骤②中认证服务器下发给认证客户端的令牌和随机数R的签名值Sign(R)递交给应用客户端(IE浏览器)；

步骤⑦：应用客户端将随机数R的签名值Sign(R)和令牌递交给应用服务器；

步骤⑧：应用服务器通过webservice的API接口将随机数R、随机数签名值Sign(R)和令牌递交给认证服务器进行验证；

步骤⑨：认证服务器通过预置的根证书链文件，验证令牌中标识签发本令牌的认证服务器证书的有效性，并根据管理员的授权判断自身是否应信任该认证服务器签发的令牌；如满足上述条件，认证服务器从该证书中提取认证服务器公钥，验证该令牌的有效性，并从令牌中提取用户公钥对步骤⑧中的信息进行验证并产生认证结果。认证结果包含认证是否成功、用户身份信息以及认证服务器的签名；认证服务器将认证结果通过webservice返回给应用服务器。

应用服务器验证认证服务器返回的认证结果，如果在步骤⑨中，通过验证，应用服务器从认证结果中提取用户信息用于自身的业务流程。

基于OpenID方式

基于OpenID的认证方式需要在应用服务器上部署身份认证插件；OpenID的认证方式会依托于SOA的认证方式，其解决方案如下：

1)应用***启动时调用身份认证插件与认证服务器认证并协商通信密钥；

2)用户打开IE浏览器访问应用服务器；

3)应用服务器检测用户没有进行认证即将用户请求跳转到认证服务器的认证服务；

4)认证服务器认证页面通过调用COM控件打开身份认证客户端；

5)用户在身份认证客户端输入USBKey，并触发其与认证服务器认证；

6)身份认证客户端认证通过后从认证服务器获取令牌；

7)认证页面采用基于SOA方式认证的流程对用户身份进行鉴别，并从认证服务中获取用户身份信息；

8)认证页面利用与应用服务器插件协商的密钥对用户信息按照OpenID协议规范产生票据；

9)认证页面将票据置于浏览器的session中并跳转回应用服务器；

10)应用服务器从session中取得票据，并利用与认证服务器的通信密钥验证票据的有效性；

11)如果票据有效，应用服务器从票据中获取用户信息，开始自身的业务流程。

Claims (5)

1.一种跨信任域的身份认证方法，包括身份认证服务模块和认证终端模块，其特征在于：

所述身份认证服务模块提供身份令牌的颁发服务和验证服务；所述身份令牌的颁发服务包括对身份令牌申请的受理、身份令牌的封装和身份令牌的颁发；所述身份令牌的验证服务提供基于挑战的身份令牌的验证，并以合法令牌为依据返回用户应用***信息，并通过同步LDAP或CRL排除非法用户的身份令牌验证；

所述认证终端模块包括身份令牌申请模块和客户端密码模块；所述身份令牌申请模块负责身份令牌的申请和维护；所述客户端密码模块提供客户端证书及密码运算。

2.根据权利要求1所述的跨信任域的身份认证方法，其特征在于：所述身份令牌申请模块包括基于Windows认证客户端的身份令牌申请模块和基于Linux认证客户端的身份令牌申请模块。

3.根据权利要求1所述的跨信任域的身份认证方法，其特征在于：所述身份令牌采用XML语言进行封装。

4.根据权利要求1所述的跨信任域的身份认证方法，其特征在于：所述身份认证模块对外以基于SOA的方式为应用***提供认证服务，具体步骤如下：

步骤①：认证客户端登录认证服务器进行认证；

步骤②：登录成功后，认证服务器向认证客户端下发令牌，令牌中包含用户的身份信息、证书信息、认证服务器的相关信息及证书，并由认证服务器私钥签名；

步骤③：应用客户端请求访问应用服务器；

步骤④：应用服务器通过自身程序产生一个随机数R，向应用客户端发起随机数挑战；

步骤⑤：应用客户端通过调用认证客户端接口对应用服务器产生的随机数R进行签名，并获取步骤②中认证服务器下发给认证客户端的令牌；

步骤⑥：认证客户端将步骤②中认证服务器下发给认证客户端的令牌和随机数R的签名值Sign(R)递交给应用客户端；

步骤⑦：应用客户端将随机数R的签名值Sign(R)和令牌递交给应用服务器；

步骤⑧：应用服务器通过webservice的API接口将随机数R、随机数签名值Sign(R)和令牌递交给认证服务器进行验证；

步骤⑨：认证服务器通过预置的根证书链文件，验证令牌中标识签发本令牌的认证服务器证书的有效性，并根据管理员的授权判断是否信任该认证服务器签发的令牌；如果信任，则认证服务器从该证书中提取认证服务器公钥，验证该令牌的有效性，然后从令牌中提取用户公钥对步骤⑧中的信息进行验证并产生认证结果、将认证结果通过webservice返回给应用服务器；应用服务器对认证结果进行验证：如果在步骤⑨中，通过验证，则应用服务器从认证结果中提取用户信息用于自身的业务流程。

5.根据权利要求4所述的跨信任域的身份认证方法，其特征在于：所述身份认证模块对外以基于OpenID的方式为应用***提供认证服务，具体步骤如下：

1)应用***启动时调用身份认证插件与认证服务器认证并协商通信密钥；

2)用户打开IE浏览器访问应用服务器；

3)当应用服务器检测到用户没有进行认证时，则将用户请求跳转到认证服务器的认证服务；

4)认证服务器认证页面通过调用COM控件打开身份认证客户端；

5)用户在身份认证客户端输入USBKey，并触发其与认证服务器认证；

6)身份认证客户端认证通过后从认证服务器获取令牌；

7)认证页面采用基于SOA方式认证的流程对用户身份进行鉴别，并从认证服务中获取用户身份信息；

8)认证页面利用与应用服务器插件协商的密钥对用户信息按照OpenID协议规范产生票据；

9)认证页面将票据置于浏览器的session中并跳转回应用服务器；

10)应用服务器从session中取得票据，并利用与认证服务器的通信密钥验证票据的有效性；

11)如果票据有效，应用服务器从票据中获取用户信息，开始自身的业务流程。