CN105072136B - 一种基于虚拟驱动的设备间安全认证方法和*** - Google Patents

Abstract

本发明提供了一种基于虚拟驱动的设备间安全认证方法和***。所述方法包括：将具有安全认证模块的第一设备与具有待认证模块和虚拟驱动模块的第二设备关联，并且基于第一设备的安全认证模块以及第二设备中的虚拟驱动模块进行第二设备的待认证模块的安全认证。本发明的方法和***通过将一个设备的安全认证模块用于另一个设备的安全认证，既可以方便地实现关联设备的解锁，又能够保证用户信息的安全。此外，由于本发明中用户安全信息均不存储在***服务器，所以能够更好地保护用户的隐私。

Description

一种基于虚拟驱动的设备间安全认证方法和***

技术领域

本发明涉及密码管理，具体涉及一种基于虚拟驱动进行设备间安全认证的方法和***。

背景技术

随着手机设备与移动互联网的普及，众多用户获得了手机设备与其他设备同时在线的能力。因此，部分互联网应用开始提供将用户手机与其他设备进行关联，并相互验证关键操作的安全方案。

目前市场上最知名的方案为阿里巴巴在淘宝购物与支付宝结账上的应用方式，即用户在pc端选购商品，在结账时，通知用户绑定的手机并利用手机上的安全能力，如指纹验证，来提升pc上操作的安全性。

但是，阿里巴巴所采用的这种认证方式仅能够在某个特定应用或网站上使用，不能应用于任何其他普通场景，如用户解锁操作***，登陆邮箱等。

而且，现有的设备间验证方式在进行验证时，只能进行一对一地彼此验证，不能实现一对多的关联验证。

发明内容

针对现有手机与pc端互联的安全方案，只能解决某个网站或网络应用的问题，本发明通过引入虚拟设备，实现了通过单一安全认证设备为各种可以互联的设备进行安全验证的目的。在实际应用中，可以实现***性地绑定手机与pc，并且可以应用于各种需要安全验证的场景。

这里所提到的安全认证设备是指在整个安全***架构中，具有最强安全能力的设备。在无专用安全硬件参与的情况下，通常为手机。在有专用安全硬件参与的情况下，通常为安全硬件所连接的设备。其他设备为期望通过安全认证设备获得授权，进而授权自己验证通过的设备。

具体而言，一方面，本发明提供一种基于虚拟驱动的设备间安全认证方法，其特征在于，所述方法包括：将具有安全认证模块的第一设备与具有待认证模块和虚拟驱动模块的第二设备关联，并且基于第一设备的安全认证模块以及第二设备中的虚拟驱动模块进行第二设备的待认证模块的安全认证。

进一步地，所述方法包括下述步骤：

(1)在具有安全认证模块的第一设备上生成第一设备识别编码、用户识别编码、用户身份密钥；

(2)在具有待认证模块的第二设备上生成第二设备识别编码，并且在所述第二设备中生成虚拟驱动模块；

(3)通过加密传输方式实现所述第一设备和所述第二设备之间的关联，在认证服务器中实现所述第一设备识别编码、用户识别编码、用户身份密钥与所述第二设备识别编码的对应；

(4)在所述第一设备中录入与所述待认证模块对应的安全认证信息，当所述第二设备上的待认证模块需要进行身份认证时，所述第二设备将所述待认证模块的认证请求发送至所述第一设备；

(5)所述第一设备接收到所述认证请求后，调用所述安全认证模块，启动安全认证状态；

(6)基于所述第一设备的安全认证模块进行安全认证；

(7)所述安全认证模块一旦确定用户通过安全认证，所述认证服务器将认定所述用户识别编码登陆成功，并将所述用户位于第一设备上的安全认证信息以加密方式转发到所述第二设备上；

(8)所述第二设备中的虚拟驱动模块对所述安全认证信息进行解密，并且进行所述安全认证信息的录入实现所述待认证模块的认证解锁。

在一种优选实现方式中，所述第一设备可以录入多组安全认证信息，每组安全认证信息用于对不同的待验证模块进行验证。

另一方面，本发明提供一种安全认证***，所述安全认证***包括：认证服务器、认证设备、待认证设备，所述认证服务器分别与所述认证设备和待认证设备彼此通信，所述认证设备具有认证模块和存储模块，所述待认证设备具有待认证模块和虚拟驱动模块，

所述存储模块用于存储所述待认证模块的安全认证信息；

所述认证模块用于对用户进行认证，并且如果认证成功，则将所述安全认证信息通过加密方式传输至所述待认证设备，所述待认证设备对所述安全认证信息进行解密，并且通过所述虚拟驱动将所述安全认证信息录入所述待认证模块。

技术效果

本发明可以通过在认证设备上进行高等级的安全认证来实现在待认证设备的安全认证。比如，可以通过在手机上按压指纹或输入解锁手势来完成pc上操作***的登入，邮箱登入或网站登入。

本发明将传统的静态密码，转化为pc和手机双因素认证(因为除去pc上的操作外，增加了手机上的操作)，有效增加个人信息安全性，达到1+1大于2的效果。

本发明将设备互联后，可以互相监视状态，进行安全提醒。

附图说明

图1为本发明一个实施例的***框架图；

图2为本发明一个实施例在使用过程中的流程图。

具体实施方式

下面结合附图对本发明的具体实施例进行详细描述。

如图1所示，本发明的方法可以通过一个安全认证***来执行。安全认证***的一个实施例的架构包括：认证服务器、第一认证设备(又称安全认证设备)、第二认证设备(又称待认证设备)。安全认证设备具有安全认证模块、数据存储模块和通讯模块，待认证设备具有虚拟驱动以及相应的服务模块和配置模块。

1.待验证设备

待认证设备指的是需要进行解锁或解密操作的设备，比如电脑。待认证设备中具有待认证模块，这里所提到的待验证模块，需要做广义的理解，指的是需要通过密钥进行验证才能够进行使用的软件、程序等。比如，待验证模块可以指windows操作***的登录模块，为了登录***需要验证的是Windows的用户名和密码；待验证模块还可以指outlook邮箱，为了登录邮箱需要验证的是邮箱的用户名和密码。

1.1.虚拟驱动：

虚拟驱动，包括但不限于usb-hid,usb-ccid类型的虚拟驱动。虚拟驱动可以被安装到待认证设备的操作***中，并产生虚拟的usb设备或产生其他的虚拟通信设备。虚拟usb设备可以像普通usb设备一样，接受操作***发来的数据，内部处理并返回操作***。同时，虚拟设备可以与操作***中安装的对应软件沟通，接受软件发来的数据，如密码，密钥，指令等数据。虚拟usb设备包括虚拟的键盘设备和其他虚拟设备。其他虚拟设备可用于整个驱动的管理与配置，还可能进行密码学的安全计算。

本发明的认证***中的一个主要部分就是虚拟驱动，其是安装后所形成的虚拟设备。虚拟设备可能是虚拟的键盘，fido认证器或智能卡设备。当虚拟设备为键盘时，可以实现用户名以及密码的可控自动输入，当设备为fido认证器时，可以实现fido指定的双因素登陆，当设备为智能卡设备时，可以替代实体设备，完成类似网银认证等，传统实体智能卡的功能。

1.2.配置模块

其是用于管理虚拟驱动设备、用户信息等内容的图形界面程序。

1.3.服务模块

其负责可短网络连接，处理服务器分发数据并与服务器保持心跳连接。在接收到服务器信息后，将其转发到虚拟驱动设备。

2.认证服务器：

认证服务器与认证设备以及待认证设备是相互关联的，认证服务器负责交换待认证设备和安全认证设备中的数据，纪录设备间连接性，并确认设备中软件提交的身份验证请求。

3.安全认证设备：

安全认证设备指的是具有高级安全认证功能的设备，比如，具有指纹验证功能的手机。安全认证设备可以向认证服务器表明用户的身份。并将其中存储的密码，密钥信息，以密文的形式提交到服务器，供服务器转交其他设备。

如上面所提到的，安全认证设备具有安全认证模块、数据存储模块和通讯模块。

3.1安全认证模块

本实施例中，以指纹识别模块作为安全认证设备，指纹识别模块用于将预先存储的用户指纹信息，与后续输入的指纹进行比对。

3.2数据存储模块

数据存储模块中存储用户指纹信息、安全认证设备的设备编码、与认证服务器之间的关联信息、用于对待认证模块进行认证的安全认证信息(比如，用户名、密码)等。

3.3通讯模块

通讯模块用于与认证服务器进行通讯，这种通讯可以是直接通讯，也可以是经由第二认证设备的网络进行的通讯。

本发明的认证***在运行过程中，所交换的关键数据包括：

1.待认证设备识别编码：其是认证***中某个待认证设备(比如电脑)的唯一编码。

2.安全认证设备识别编码：认证***中某个安全认证设备(比如，手机)的唯一编码。

3.用户编号：认证***用户的唯一编码。

1.2.3中的数据在待认证设备/安全认证设备中存在(比如，由安全认证设备的认证模块生成、由待认证设备的安全认证模块生成)，并在服务器中有存储。

4.用户数据密钥：用于加密用户数据的密钥。在安全认证设备与待认证设备中存储。或借助更安全的方式存储，如用户备份到指定硬件。

5.用户数据：用户的关键数据，如密码，其他***密钥等数据。存储在安全认证设备中，使用时透过网络传输到其他进行设备解密使用，但不存储在pc端。

本发明的认证***涉及多个密钥及加解密过程，在此详细叙述。下面以手机和电脑之间的相互认证为例进行描述，手机作为认证设备，手机中的指纹识别软件作为认证模块，本发明所安装的基于指纹识别进行安全认证的软件称为手机app；电脑作为待认证设备，电脑中所运行的需要通过密码解锁的软件比如，windows的开机解锁部分作为待认证模块，本发明所安装的用于安全认证的软件称为pc软件。

本发明在进行数据传输时，对不同的数据进行了不同的加密和解密方式，进而既保证了数据的安全，又保证了对用户隐私的保障。

如上表中所列，在本发明的安全认证方法及***中，共采用了四种不同的密钥。对于用户数据，采用对称密钥分别存储在手机app和pc软件中，用户数据不上传至服务器；对于用户身份编码，采用非对称密钥仅存储在手机app中；并且，还采用了临时生成的传输密钥。密钥交换时，通过服务器进行中转，但是为了保障用户的隐私，被交换的密钥，采用传输密钥对其进行保护，使其无法被服务器读取。

上面详细介绍了本发明的认证***的架构和其中所涉及的数据形式。下面结合图2仍以手机和电脑之间的认证为例来说明本发明的认证***的工作流程。

一、安装与绑定流程

1.用户在手机上点击下载连接，到应用商店或指定网址下载方案中的手机app并安装。手机app包括：安全认证模块(调用指纹等验证方法)，信息管理模块(管理密码密钥等)、数据存储模块和通讯模块。

2.用户打开手机app，提示需在pc上到指定网址下载pc端安装包。包括上述pc端的全部内容(虚拟驱动、配置管理模块、服务模块)。

进行手机识别编码生成、用户编码生成、用户身份密钥生成，用于app登陆服务器时进行数字签名。

3.用户下载pc端安装包并安装。

进行Pc识别编码生成。

4.点击手机上的绑定按钮，生成6位数字验证码。

进行用户数据密钥的生成以及传输密钥的产生。传输密钥由pc和app协商，用于保护app中的数据密钥传输到pc。

5.在pc上的软件中输入6位数字验证码完成绑定。

在传输密钥的帮助下，用户数据密钥完成交换，服务器端将用户编码与手机识别编码、pc识别编码完成对应

二、认证流程

1.首先，需要用户在手机app上将一组或者多组密码录入到其中，手机app对密码进行加密保护。用户也可以将用户名(用于待验证模块，比如windows登录模块)和密码都录入到手机app中。并且，用户可以给每一组密码设置助记符。

2.用户在pc上遇到需要输入密码或进行认证的场景。用户打开手机app，选择对应的助记符，按下指纹或通过其他方法向服务器表明身份，进行身份认证。

完成指纹或其他认证后，使用用户身份密钥进行数字签名，服务器验证。完成后，手机app将正确的在用户数据密钥保护下的用户数据密文，发送到服务器。

3. pc端完成密码输入或认证。

对应的pc端程序，从服务器取得用户数据密文，解密后，用于密码输入或其他认证行为。行为完成后，清除用户数据。

此外，用户还可以使用单个手机来管理多台pc设备的密码。此时，用户可以添加pc设备。

用户可以打开手机app，点击添加设备，同时在相应的设备上下载安装客户端。然后在此产生6位验证码，输入后完成绑定。当用户有多台设备时，在认证行为中，需先选择对应的设备。用户可以设置默认的设备。

在另一种实现方式中，可以使用usb接口的硬件替代虚拟设备，可以达到相同甚至更优秀的效果。此时，安全认证设备与其他设备可能进行了反转，因为连接了专用安全硬件的设备，其安全能力或大大提升。

在这种情况下，具有usb接口的密码设备连接到pc，pc成为安全认证设备。设备同时具有蓝牙功能，可以成为手机的蓝牙键盘。此时，当手机需要输入密码时，只需按压pc上的指纹传感器，手机上立即相当于在键盘上输入了密码。

本发明所采用的虚拟设备最大的优点是其本质是软件模块，用户下载安装即可获得。并且可以方便的进行更新。通过将虚拟设备与安全中心应用的相连，可以将手机中具备的部分优秀特性，如指纹认证，分享到pc设备。而虚拟设备位于核心态，具有的类似硬件实体的特点，可以使得这种分享具有普遍适用性，使得安全方案，具有极大超越纯粹用户态程序方案的应用领域。

本发明的安全认证***使用的识别编码，用户编号，在用户初次使用***中的软件和绑定设备时生成并在服务器端存储。但***所有部分，并不收集或使用用户设备信息，也无需用户提供用户名。这样可以做到最小程度的窥探用户隐私。

数据加密：用户数据在传递的过程中，始终受用户数据密钥的加密，直到必须解密前的一刻。由于解密在其他设备进行，因此服务器也无从知道用户的数据内容，只是进行了转发。

虽然上面结合本发明的优选实施例对本发明的原理进行了详细的描述，本领域技术人员应该理解，上述实施例仅仅是对本发明的示意性实现方式的解释，并非对本发明包含范围的限定。实施例中的细节并不构成对本发明范围的限制，在不背离本发明的精神和范围的情况下，任何基于本发明技术方案的等效变换、简单替换等显而易见的改变，均落在本发明保护范围之内。

Claims (7)

1.一种基于虚拟驱动的设备间安全认证方法，其特征在于，所述方法包括：将具有安全认证模块的第一设备与具有待认证模块和虚拟驱动模块的第二设备关联，并且基于第一设备的安全认证模块以及第二设备中的虚拟驱动模块进行第二设备的待认证模块的安全认证，所述方法包括下述步骤：

(1)在具有安全认证模块的第一设备上生成第一设备识别编码、用户识别编码、用户身份密钥；

(2)在具有待认证模块的第二设备上生成第二设备识别编码，并且在所述第二设备中生成虚拟驱动模块；

(3)通过加密传输方式实现所述第一设备和所述第二设备之间的关联，在认证服务器中实现所述第一设备识别编码、用户识别编码、用户身份密钥与所述第二设备识别编码的对应；

(4)在所述第一设备中录入与所述待认证模块对应的安全认证信息，当所述第二设备上的待认证模块需要进行身份认证时，所述第二设备将所述待认证模块的认证请求发送至所述第一设备；

(5)所述第一设备接收到所述认证请求后，调用所述安全认证模块，启动安全认证状态；

(6)基于所述第一设备的安全认证模块进行安全认证；

(7)所述安全认证模块一旦确定用户通过安全认证，所述认证服务器将认定所述用户识别编码登陆成功，并将所述用户位于第一设备上的安全认证信息以加密方式转发到所述第二设备上；

(8)所述第二设备中的虚拟驱动模块对所述安全认证信息进行解密，并且进行所述安全认证信息的录入实现所述待认证模块的认证解锁。

2.根据权利要求1所述的安全认证方法，其特征在于，所述安全认证信息的录入包括：密码键入、数字签名。

3.根据权利要求1所述的安全认证方法，其特征在于，所述第一设备为手机，所述第二设备为电脑。

4.根据权利要求3所述的安全认证方法，其特征在于，所述手机具有指纹识别模块，所述指纹识别模块用作安全认证模块。

5.根据权利要求3所述的安全认证方法，其特征在于，所述虚拟驱动模块为虚拟键盘模块。

6.根据权利要求1所述的安全认证方法，其特征在于，所述待认证模块包括操作***登录模块、邮箱登录模块、即时通信软件登录模块。

7.一种安全认证***，所述安全认证***包括：认证服务器、认证设备、待认证设备，所述认证服务器分别与所述认证设备和待认证设备彼此通信，所述认证设备具有认证模块和存储模块，所述待认证设备具有待认证模块和虚拟驱动模块，

所述存储模块用于存储所述待认证模块的安全认证信息；

所述认证模块用于对用户进行认证，并且如果认证成功，则将所述安全认证信息通过加密方式传输至所述待认证设备，所述待认证设备对所述安全认证信息进行解密，并且通过所述虚拟驱动将所述安全认证信息录入所述待认证模块。