CN104506320A - 一种身份认证的方法及*** - Google Patents

Abstract

本申请提供的一种身份认证的方法，包括目标应用程序获取当前用户的凭证信息，所述凭证信息包括用户名和用户密码；在应用服务器上利用第一预设的国密算法对所述凭证信息进行加密；所述应用服务器从数据库表中获取第二预设的国密算法加密的用户密码密文；所述应用服务器对所述加密的用户密码密文进行解密，得到解密后的密码；比较所述解密后的密码与所述凭证信息中的用户密码，当所述解密后的密码与所述用户密码相同时，身份认证成功。将认证与应用逻辑分离开，支持国密算法，使得开发简单、符合国密局的相关规定，能够进行支持国密算法的身份认证，提高身份认证的安全性。

Description

一种身份认证的方法及***

技术领域

本申请涉及安全域技术领域，特别涉及一种身份认证的方法及***。

背景技术

随着计算机技术的发展，人们对进行身份认证的要求越来越高。

用户在进行应用程序访问时，一般都是通过应用进行认证和授权，以及对用户和用户组的管理，没有将认证、授权与应用逻辑相分离，增加了应用开发的难度，对应用***带来了安全威胁，并且不支持国密算法，不符合国密局的相关规定和金融领域的应用需求。

因此，如何进行支持国密算法的身份认证，提高身份认证的安全性并且是本领域技术人员目前需要解决的技术问题。

发明内容

本申请所要解决的技术问题是提供一种身份认证的方法及***，解决了现有技术中没有将认证与应用逻辑相分离，增加应用开发的难度，对应用***带来安全威胁，并且不支持国密算法，不符合国密局的相关规定和金融领域的应用需求的问题。

其具体方案如下：

一种身份认证的方法，该方法包括：

目标应用程序获取当前用户的凭证信息，所述凭证信息包括用户名和用户密码；

在应用服务器上利用第一预设的国密算法对所述凭证信息进行加密；

所述应用服务器从数据库表中获取第二预设的国密算法加密的用户密码密文；

所述应用服务器对所述加密的用户密码密文进行解密，得到解密后的密码；

比较所述解密后的密码与所述凭证信息中的用户密码，当所述解密后的密码与所述用户密码相同时，身份认证成功。

上述的方法，优选的，

所述第一预设的国密算法为SM3算法。

上述的方法，优选的，

所述第二预设的国密算法为SM4算法。

上述的方法，优选的，

在所述目标应用程序获取用户凭证信息之前，还包括：

建立用户表和用户组表，所述用户表和用户组表中包含用户名和用户密码信息，所述用户密码信息为通过第三预设的国密算法加密后的信息；

根据所述用户表和用户组表，建立JDBCRealm模型；

在所述JDBCRealm中配置第四预设的国密算法；

在所述目标应用程序中配置预设的相关信息，所述预设的相关信息包括用户和角色的映射、依赖的安全域和授权访问的资源。

上述的方法，优选的，

所述第三预设的国密算法为SM4算法；

所述第四预设的国密算法为SM3算法和SM4算法。

上述的方法，优选的，还包括：

判断所述当前用户的资源访问权限；

当所述用户具有访问所述目标应用程序的资源的权限时，授权所述当前用户对所述目标应用程序的资源进行访问。

一种身份认证的***，该***包括：

第一获取单元，用于目标应用程序获取当前用户的凭证信息，所述凭证信息包括用户名和用户密码；

加密单元，用于在应用服务器上利用第一预设的国密算法对所述凭证信息进行加密；

第二获取单元，用于所述应用服务器从数据库表中获取第二预设的国密算法加密的用户密码密文；

解密单元，用于所述应用服务器对所述加密的用户密码密文进行解密，得到解密后的密码；

比较单元，用于比较所述解密后的密码与所述凭证信息中的用户密码，当所述解密后的密码与所述用户密码相同时，身份认证成功。

上述的***，优选的，还包括：

第一建立单元，用于建立用户表和用户组表，所述用户表和用户组表中包含用户名和用户密码信息，所述用户密码信息为通过第三预设的国密算法加密后的信息；

第二建立单元，用于根据所述用户表和用户组表，建立JDBCRealm模型；

第一配置单元，用于在所述JDBCRealm中配置第四预设的国密算法；

第二配置单元，用于在所述目标应用程序中配置预设的相关信息，所述预设的相关信息包括用户和角色的映射、依赖的安全域和授权访问的资源。

上述的***，优选的，还包括：

判断单元，用于判断所述当前用户的资源访问权限；

授权单元，用于当所述用户具有访问所述目标应用程序的资源的权限时，授权所述当前用户对所述目标应用程序的资源进行访问。

本申请提供的一种身份认证的方法，目标应用程序获取当前用户的凭证信息，所述凭证信息包括用户名和用户密码；在应用服务器上利用第一预设的国密算法对所述凭证信息进行加密；所述应用服务器从数据库表中获取第二预设的国密算法加密的用户密码密文；所述应用服务器对所述加密的用户密码密文进行解密，得到解密后的密码；比较所述解密后的密码与所述凭证信息中的用户密码，当所述解密后的密码与所述用户密码相同时，身份认证成功。将认证与应用逻辑分离开，支持国密算法，使得开发简单、符合国密局的相关规定，解决了现有技术中没有将认证与应用逻辑相分离，增加应用开发的难度，对应用***带来安全威胁，并且不支持国密算法，不符合国密局的相关规定和金融领域的应用需求的问题，能够进行支持国密算法的身份认证，提高身份认证的安全性。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本申请的一种身份认证的方法实施例1的流程图；

图2是本申请的一种身份认证的方法实施例2的流程图；

图3是本申请的一种身份认证的方法实施例3的流程图；

图4是本申请的一种身份认证的***实施例1的结构示意图；

图5是本申请的一种身份认证的***实施例2的结构示意图；

图6是本申请的一种身份认证的***实施例3的结构示意图；

图7是本申请的一种身份认证的***具体应用的结构示意图。

具体实施方式

本发明的核心是提供一种身份认证的方法及***，解决了现有技术中没有将认证与应用逻辑相分离，增加应用开发的难度，对应用***带来安全威胁，并且不支持国密算法，不符合国密局的相关规定和金融领域的应用需求的问题。

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

参考图1，示出了本申请一种身份认证的方法实施例1的流程图，可以包括以下步骤：

步骤S101：目标应用程序获取当前用户的凭证信息，所述凭证信息包括用户名和用户密码。

当前用户确定需要的目标应用程序，在所述目标应用程序中输入当前用户的凭证信息，所述凭证信息包括用户名、用户密码等相关信息，所述用户密码在用户输入所述目标应用程序之前，通过国密算法SM4进行加密，以防止自己设置的密码被盗窃，保证自己账号的安全性。

所述SM4算法是一个分组对称密钥算法，明文、密钥、密文都是16字节，加密和解密密钥相同。通过32次循环的非线性迭代轮函数来实现加密和解密。其中包括非线性变换S盒，以及由移位异或构成的线性变换。除了256字节的S盒之外，还定义了另外两组参数FK以及CK(具体数据参考密码局网站)。基本过程是首先把16字节密钥按照4字节一组分成4组，然后根据密钥扩展算法，生成32组4字节轮密钥；再把输入的16字节数据也按照4字节一组分成4组然后进行循环运算。

所述目标应用程序获取的所述当前用户的凭证信息中，包含的用户密码为用户设置的明文密码，而非加密后的用户密码。

步骤S102：在应用服务器上利用第一预设的国密算法对所述凭证信息进行加密。

本申请中，所述第一预设的国密算法为SM3算法，用于消息摘要算法。

所述SM3算法适用于商用密码应用中的数字签名和验证，消息认证码的生成与验证以及随机数的生成，可满足多种密码应用的安全需求。此算法对输入长度小于2的64次方的比特消息，经过填充和迭代压缩，生成长度为256比特的杂凑值，其中使用了异或，模，模加，移位，与，或，非运算，由填充，迭代过程，消息扩展和压缩函数所构成。

在应用服务器上利用所述SM3算法对所述凭证信息进行加密，保证所述凭证信息的安全性。

步骤S103：所述应用服务器从数据库表中获取第二预设的国密算法加密的用户密码密文。

所述第二预设的国密算法为SM4算法。

所述应用服务器连接数据库服务器，从所述数据库服务器的用户数据库表中获取所述SM4算法加密的用户密码密文。

步骤S104：所述应用服务器对所述加密的用户密码密文进行解密，得到解密后的密码。

所述应用服务器获取到所述加密的用户密码密文后，利用所述密文对所述加密后的用户的凭证信息进行解密，得到解密后的密码。

步骤S105：比较所述解密后的密码与所述凭证信息中的用户密码，当所述解密后的密码与所述用户密码相同时，身份认证成功。

所述应用服务器判断所述解密后的密码与所述用户输入的明文密码相比较，判断所述解密后的密码与所述明文密码是否相同，若所述解密后的密码与所述明文密码相同，则所述用户的身份认证成功；若所述解密后的密码与所述明文密码不相同，则所述用户的身份认证失败。

本申请提供的一种身份认证的方法将认证与应用逻辑分离开，支持国密算法，使得开发简单、符合国密局的相关规定，解决了现有技术中没有将认证与应用逻辑相分离，增加应用开发的难度，对应用***带来安全威胁，并且不支持国密算法，不符合国密局的相关规定和金融领域的应用需求的问题，能够进行支持国密算法的身份认证，提高身份认证的安全性。

参考图2，示出了本申请一种身份认证的方法实施例2的流程图，在所述目标应用程序获取用户凭证信息之前可以包括以下步骤：

步骤S201：建立用户表和用户组表，所述用户表和用户组表中包含用户名和用户密码信息，所述用户密码信息为通过第三预设的国密算法加密后的信息。

本申请中，需要在数据库中建立用户表和用户组表，所述用户表中和用户组表中包含用户名和用户密码信息，还包括其他一些与用户相关的信息，所述用户密码信息为通过第三预设的国密算法加密后的信息。

所述第三预设的国密算法为SM4算法。

步骤S202：根据所述用户表和用户组表，建立JDBCRealm模型。

根据所述用户表和用户组表中的信息，建立JDBCRealm安全域模型，所述模型中包括名称、类名和特定属性。

所述类名可以选择已有的安全域类名或者输入自定义的安全域类名。

所述特定属性包括JAAS上下文、增加组、JNDI、用户表、用户列名、密码列名、组表名、组表用户列、组表组名列、数据库用户名、摘要算法、密码加密算法、编码和字符集。

所述JAAS上下文中为登陆此JDBCRealm模型的名称；所述增加组为使用此安全域的角色所属的组；所述JNDI为此安全域的JNDI名称；用户表为包含此安全域的授权用户列表的数据库表的名称；用户列名为用户信息表中存放的用户名的列；所述密码列名为用户信息表中存放密码的列；组表名为存放组信息的数据库表；组表用户列为组信息表中存放用户名的列；组表组名列为组信息表中存放组名的列；数据库用户名优先于数据源中的数据库配置使用；数据库密码结合数据库名使用，优先于数据源中的数据库配置使用；摘要算法默认设置为SHA-256；密码加密算法为数据库存储密码时候的加密算法；编码允许的值为hex和base64；字符集为摘要算法的字符集。

步骤S203：在所述JDBCRealm中配置第四预设的国密算法。

所述第四预设的国密算法为SM3算法和SM4算法，此项必须配置，否则存在安全风险。

步骤S204：在所述目标应用程序中配置预设的相关信息，所述预设的相关信息包括用户和角色的映射、依赖的安全域和授权访问的资源。

所述第三预设的国密算法为SM4算法。

参考图3，示出了本申请一种身份认证的方法实施例3的流程图，还包括：

步骤S301：判断所述当前用户的资源访问权限。

所述当前用户的资源访问权限在访问资源之前是预先设定好的。

步骤S302：当所述用户具有访问所述目标应用程序的资源的权限时，授权所述当前用户对所述目标应用程序的资源进行访问。

根据所述用户当前的资源访问权限判断所述用户是否具有访问所述目标应用程序的资源的权限，若有，则授权所述当前用户对所述目标应用程序的资源进行访问，若无，则拒绝所述当前用户对所述目标应用程序的资源进行访问。

与上述本申请一种身份认证的方法实施例1所提供的方法相对应，参见图4，本申请还提供了一种身份认证的***实施例1，在本实施例中，该***包括：

第一获取单元401，用于目标应用程序获取当前用户的凭证信息，所述凭证信息包括用户名和用户密码。

加密单元402，用于在应用服务器上利用第一预设的国密算法对所述凭证信息进行加密。

第二获取单元403，用于所述应用服务器从数据库表中获取第二预设的国密算法加密的用户密码密文。

解密单元404，用于所述应用服务器对所述加密的用户密码密文进行解密，得到解密后的密码。

比较单元405，用于比较所述解密后的密码与所述凭证信息中的用户密码，当所述解密后的密码与所述用户密码相同时，身份认证成功。

参见图5，本申请还提供了一种身份认证的***实施例2的结构示意图，在本实施例中，该***包括：

第一建立单元501，用于建立用户表和用户组表，所述用户表和用户组表中包含用户名和用户密码信息，所述用户密码信息为通过第三预设的国密算法加密后的信息。

第二建立单元502，用于根据所述用户表和用户组表，建立JDBCRealm模型。

第一配置单元503，用于在所述JDBCRealm中配置第四预设的国密算法。

第二配置单元504，用于在所述目标应用程序中配置预设的相关信息，所述预设的相关信息包括用户和角色的映射、依赖的安全域和授权访问的资源。

参见图6，本申请还提供了一种身份认证的***实施例3的结构示意图，在本实施例中，该***包括：

判断单元601，用于判断所述当前用户的资源访问权限。

授权单元602，用于当所述用户具有访问所述目标应用程序的资源的权限时，授权所述当前用户对所述目标应用程序的资源进行访问。

综上所述，本申请提供的一种身份认证的方法及***，能够进行支持国密算法的身份认证，提高身份认证的安全性。

参见图7，本申请还提供了一种身份认证的***具体应用的结构示意图。

图7为网银***应用服务器中间件的***体系架构，客户端或浏览器通过安全交互的方式访问部署在应用服务器上的金融领域应用，应用服务器通过其安全框架中基于JCA/JCE的加解密功能和基于JAAS的安全域技术对用户进行身份认证和访问授权，在身份认证时连接数据库服务器获取用户表中使用国密算法加密的密码。

本发明主要解决现有技术的这两个缺点，在网银***应用服务器中间件进行认证和授权以及用户和组的统一管理，提出了安全域技术并支持国密算法，应用只需根据中间件层现有的机制对程序进行简单的配置，即可将认证、授权与应用逻辑分离，这样可以使开发简便、节约成本，降低维护实施工作量，而且满足了在开放互联网环境下网银用户安全可控交互的需求和国密局的相关规定。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于装置类实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本申请时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例或者实施例的某些部分所述的方法。

以上对本申请所提供的一种身份认证的方法及***进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (9)

1.一种身份认证的方法，其特征在于，该方法包括：

目标应用程序获取当前用户的凭证信息，所述凭证信息包括用户名和用户密码；

在应用服务器上利用第一预设的国密算法对所述凭证信息进行加密；

所述应用服务器从数据库表中获取第二预设的国密算法加密的用户密码密文；

所述应用服务器对所述加密的用户密码密文进行解密，得到解密后的密码；

比较所述解密后的密码与所述凭证信息中的用户密码，当所述解密后的密码与所述用户密码相同时，身份认证成功。

2.根据权利要求1所述的方法，其特征在于，所述第一预设的国密算法为SM3算法。

3.根据权利要求1所述的方法，其特征在于，所述第二预设的国密算法为SM4算法。

4.根据权利要求1所述的方法，其特征在于，在所述目标应用程序获取用户凭证信息之前，还包括：

建立用户表和用户组表，所述用户表和用户组表中包含用户名和用户密码信息，所述用户密码信息为通过第三预设的国密算法加密后的信息；

根据所述用户表和用户组表，建立JDBCRealm模型；

在所述JDBCRealm中配置第四预设的国密算法；

在所述目标应用程序中配置预设的相关信息，所述预设的相关信息包括用户和角色的映射、依赖的安全域和授权访问的资源。

5.根据权利要求4所述的方法，其特征在于，所述第三预设的国密算法为SM4算法；

所述第四预设的国密算法为SM3算法和SM4算法。

6.根据权利要求1所述的方法，其特征在于，还包括：

判断所述当前用户的资源访问权限；

当所述用户具有访问所述目标应用程序的资源的权限时，授权所述当前用户对所述目标应用程序的资源进行访问。

7.一种身份认证的***，其特征在于，该***包括：

第一获取单元，用于目标应用程序获取当前用户的凭证信息，所述凭证信息包括用户名和用户密码；

加密单元，用于在应用服务器上利用第一预设的国密算法对所述凭证信息进行加密；

第二获取单元，用于所述应用服务器从数据库表中获取第二预设的国密算法加密的用户密码密文；

解密单元，用于所述应用服务器对所述加密的用户密码密文进行解密，得到解密后的密码；

比较单元，用于比较所述解密后的密码与所述凭证信息中的用户密码，当所述解密后的密码与所述用户密码相同时，身份认证成功。

8.根据权利要求7所述的***，其特征在于，还包括：

第一建立单元，用于建立用户表和用户组表，所述用户表和用户组表中包含用户名和用户密码信息，所述用户密码信息为通过第三预设的国密算法加密后的信息；

第二建立单元，用于根据所述用户表和用户组表，建立JDBCRealm模型；

第一配置单元，用于在所述JDBCRealm中配置第四预设的国密算法；

第二配置单元，用于在所述目标应用程序中配置预设的相关信息，所述预设的相关信息包括用户和角色的映射、依赖的安全域和授权访问的资源。

9.根据权利要求7所述的***，其特征在于，还包括：

判断单元，用于判断所述当前用户的资源访问权限；

授权单元，用于当所述用户具有访问所述目标应用程序的资源的权限时，授权所述当前用户对所述目标应用程序的资源进行访问。