CN106911627A

CN106911627A - 一种基于eID的真实身份安全控制方法及其***

Info

Publication number: CN106911627A
Application number: CN201510970179.8A
Authority: CN
Inventors: 冯登国; 张严; 张立武; 高志刚
Original assignee: Institute of Software of CAS
Current assignee: Institute of Software of CAS
Priority date: 2015-12-22
Filing date: 2015-12-22
Publication date: 2017-06-30
Anticipated expiration: 2035-12-22
Also published as: CN106911627B

Abstract

本发明公开了一种基于eID的真实身份安全控制方法及其***。本***包括目标应用***AS的虚拟身份管理***VIMS和真实身份管理***EMS；其中，VIMS用于对用户进行认证；认证通过，则生成绑定请求发送至EMS；当该用户访问该AS时，生成登录请求发送给该EMS；EMS用于根据绑定请求对用户进行认证；验证通过则返回该用户的eID身份Ie，然后将该Ie和绑定请求中包含的账号Iv、V进行绑定，然后将绑定结果发送至该VIMS；以及根据登录请求对用户进行认证；验证通过，则根据返回虚拟账号集合{I}、该EMS的标识E生成认证结果信息返回给该VIMS；该VIMS获取其中包含的虚拟账号Iv对该用户的访问进行处理。

Description

一种基于eID的真实身份安全控制方法及其***

技术领域

本发明涉及一种基于eID的真实身份安全控制方法及其***，属于计算机技术领域。

背景技术

随着网络技术的发展，网络生活在人们的生活中正占据越来越重要的地位，涉及到日常生活的方方面面。然而，网络应用在给人们生活带来便利的同时，以网络诈骗、钓鱼攻击等为代表的安全威胁也随之日益增多，造成的损失逐年递增。用户身份的认证是解决上述问题的重要过程，通过对用户网络身份进行认证，可以确保实体身份的有效性，然而，网络身份的虚拟性仍然无法实现出现安全问题时对责任方的有效追查，因此，依赖用户真实身份建立实名制的网络身份，得到了越来越多的关注。

目前，我国已建立了电子身份标识(electronic Identity,eID)***，该***依托公安部覆盖13亿人口的全国公民身份信息库，为保证网络用户身份的真实性提供了信任基础。

然而，实名制网络身份的建立，在提升网络可信和可追踪性的同时，也为安全功能的实施提出了更高的挑战。由于真实身份的敏感性，使得其传播将会对用户现实生活产生直接影响，如果不能对其进行有效控制，可能会造成用户和***的重大安全问题。另一方面，网络应用种类日益增加，进一步扩展了用户身份信息传播的范围，同时对应用监管的缺失也增加了恶意泄露、贩卖用户隐私的威胁程度，使得用户隐私问题的解决变得更加困难。如何在依托真实身份建立网络空间信任的同时，避用户隐私泄露造成安全威胁，是目前真实身份管理***必须解决的问题。

在我国的eID***中，通过由eID统一认证并出具身份断言的方式来实现对用户真实身份信息的保护。当用户需要访问电子商务、电子票务、网络游戏等网络应用并需要进行身份认证时，用户使用其持有的eID载体(USBKEY、智能卡等)在eID***处进行认证，eID***认证用户eID身份后，为应用提供包含用户eID身份的身份证明，这一身份证明保证了用户身份的真实性，同时，由于用户姓名、年龄、住址等信息储存于eID***内部，因此网络应用智只能确认用户身份的真实性，而无法了解用户身份信息，从而在一定程度上保护了用户隐私。

虽然eID***的这一设计可以在一定程度上解决用户隐私保护问题，但是其在应用时，仍存在一些不足：首先，由于eID身份的唯一性，使得应用仍然可以通过这一信息对同一用户的操作进行跨应用关联，建立用户行为档案。此外，用户在不同的组织内拥有不同的身份和组织关系，如工作中基于单位和部门的关系、银行交易中基于账号的关系、社交网络中基于联系人的关系等。因此，对于这些不同类别的应用，依赖其相关组织建立虚拟账号管理***，采取不同结构管理用户虚拟账号，是自然且便利的，而采用单一的eID身份对其进行替代，不符合当前网络应用的现状，也不利于进行灵活的身份管理。

在相关问题的解决方案中，专利《一种两层架构的可信身份服务平台及其构建方法》(ZL201010588222.1)提出了一种两层架构的可信身份服务平台，依靠分离的上级网络身份证***与下级业务账号管理***来实现隐私保护问题和真实身份绑定问题。但是该发明专利中所依赖的上级网络身份证***必须维护用户的受信数字身份信息、业务账号***信息与用户绑定信息，然而，在我国已应用的电子身份标识(eID)***中，用户受信数字身份信息的维护方未提供相关绑定功能，而且在当前环境下，让eID***的管理方来额外提供这些功能也是不现实的，因此，该发明所提出的技术无法直接应用于eID***中，来以解决eID***面临的用户隐私保护问题。

发明内容

本发明的目的之一在于克服现有技术中存在的问题，提供一种基于eID的真实身份安全控制方法及其***。

具体来说，如图1所示，本发明技术方案包括下列几个重要方面：

一、eID身份与虚拟账号绑定方法

当用户需要在某个支持本方法的应用***中引入其eID身份进行认证登录时，需先执行的eID身份与虚拟账号绑定方法如下所述：

1.用户访问目标应用***，申请进行身份绑定；

2.用户使用预先注册的虚拟账号向应用***进行认证，应用***通过用户名/口令、PKI证书等方式对用户进行认证。验证用户具有***中的合法身份，若用户通过认证，则应用***生成身份绑定请求并交由真实身份管理***进行处理；

3.用户使用其预先获取的eID载体向真实身份管理***进行认证，真实身份管理***验证用户持有合法的eID身份，若用户通过认证，则真实身份管理***接受身份绑定请求，建立并缓存映射信息，之后生成绑定结果信息并发送给应用***。

二、eID身份登录方法

当执行完eID身份与虚拟账号的绑定过程后，当用户需要访问应用***中需要进行身份认证的服务和资源时，执行的eID身份登录方法如下所述：

1.用户访问目标应用***，申请进行基于eID的认证。应用***将该请求交由真实身份管理***进行处理；

2.用户使用其预先获取的eID载体与真实身份管理***进行交互认证，该认证可以通过eID***进行，认证结束后，真实身份管理***可验证用户是否持有合法的eID身份。若用户通过认证，则真实身份管理***确认用户是否已经就目标***的虚拟账号执行过身份绑定操作，若是，则生成认证信息并向应用***发送该信息。

3.应用***验证认证信息的有效性，如果有效，则应用***从中获取用户在本***中对应的虚拟账号，为用户提供相应服务与资源。

在本方案中，用户认证信息需要在真实身份管理***与应用***之间通过可信方式传递。传递方式可以选择多种不同的形式来实现，例如，在B/S应用模式下可以选择在HTTPS保护下采用安全断言置标语言(SAML)标准作为认证信息的发布形式，组织之间以及组织内部的信任通过PKI体系来保证。在C/S应用模式下，如果采用对称密钥体系来建立信任关系可直接对认证信息加密进行传输，如果采用PKI体系可以选择加密信道下对认证信息进行签名的方式传送。

和现有技术相比，本发明的真实身份管理方法具有如下优势：

1、引入真实身份管理***，基于eID身份保证用户身份真实性，在发生安全问题时可以建立完整的身份映射链进行责任认定，提升了网络行为的安全性。

2、与现有eID***身份认证过程相比，本发明通过建立真实身份管理***建立eID身份与虚拟账号的映射，在应用***中仍使用原有用户虚拟账号，避免了通过eID身份进行跨应用身份关联，进一步提高了隐私性，同时保留原有虚拟账号体系，也更符合用户操作习惯和网络现状。

3、与现有技术相比，本方案中的真实身份管理***独立于eID***运行，基于eID***已建立的用户认证功能实现认证，不需对现有eID***进行改造或要求eID***提供额外服务，可直接应用，具有现实实用性；此外，本方案中的真实身份管理***可在提供eID-虚拟账号绑定的同时，接入其它类似于eID的受信身份，实现虚拟账号与多种真实身份的绑定；最后，本方案还提供了在进行绑定后，使用eID载体进行认证访问应用的功能，进一步增强了***使用时的灵活性。

4、本方案中的应用***仍然保留原有的身份管理与账号体系，无需进行整体迁移，原有基于虚拟账号的认证机制也可保留，具有更高的灵活性和更低的部署代价。

三、基于eID的真实身份管理***

本发明针对B/S应用模式，根据以上身份管理方法的核心思想给出了一套真实身份管理***。它由真实身份管理***(EMS,EID Management System)和身份管理信息处理模块(IMPM,Identity Management Processing Module)两部分组成。其中，真实身份管理***是独立的Web应用***，身份管理信息处理模块位于虚拟账号管理***中，在实际应用中，虚拟账号管理***可以与应用***为同一***，也可是独立的两个***。在***中，EMS负责用户eID身份和虚拟账号的映射建立和维护，IMPM在虚拟账号管理***端负责请求的生成、与EMS的交互以及响应消息的处理。该***的网络拓扑结构如图#所示。

1.真实身份安全控制***(EMS)，如图2所示：EMS是一个独立的Web应用***，负责用户eID身份与虚拟账号的绑定和映射，维护映射状态。同时使用用户的eID身份对用户身份合法性进行认证，根据用户eID身份查询对应的虚拟账号并生成认证信息。

该子***内部包含下列功能模块，如图3所示：

a.身份绑定与登录管理模块(BLMM,Binding and Login Management Module)：该模块是整个EMS***的核心，提供了身份管理的整体框架，主要负责Web层信息的处理，以及各个模块的组装及调用，完成用户身份绑定和登录的主体功能。LLMM负责处理外界转发来的用户请求，根据请求的不同，进行不同的处理。首先，该模块调用eID认证模块对用户进行认证；之后对于绑定请求，它从请求中解析用户要进行绑定的虚拟账号并调用绑定信息维护模块建立新的映射，对于登录请求，则调用绑定信息维护模块获取已与用户eID身份绑定的虚拟账号；最后，它生成绑定结果信息或调用认证信息生成模块生成安全的认证信息并返回给虚拟账号管理***。

b.绑定信息维护模块(BIMM,Binding Infomation Maintenance Module)：该模块负责维护用户eID身份与虚拟账号的绑定信息，并响应BLMM的虚拟账号查询返回与被查询eID身份绑定的虚拟账号。

c.eID登录模块(ELM,eID Login Module)：该模块负责对用户的eID身份进行认证，包括Web层与用户的交互、调用eID***的认证接口对用户发来的认证凭证进行认证以及对eID***返回的认证结果进行解析，获取用户eID身份。

d.认证信息模块(AIM,Authentication Information Module)：该模块负责响应BLMM的认证信息生成请求，生成包含认证结果和对应虚拟账号的安全信息，并采用数字签名等方式确保该认证信息在传递至虚拟账号管理***的过程中不被篡改。

2.身份管理信息处理模块(IMPM)：IMPM位于虚拟账号管理***中，协助虚拟账号管理***生成正确格式的请求并对响应信息进行解析。对于绑定过程，它首先将用户转发至虚拟账号管理***的认证模块进行认证，然后根据用户的虚拟账号生成绑定请求并将用户转发至EMS，在EMS返回绑定结果信息后，IMPM根据结果生成响应的消息并告知用户。对于登录过程，它首先将用户转发至EMS进行基于eID的登录，在EMS返回认证结果信息后，验证认证结果信息的有效性并从中获取用户的虚拟账号信息，完成登录过程。

以上描述的真实身份管理***与身份管理信息处理模块组成了本发明所要提供的基于eID的身份管理***，该***可以为虚拟账号管理***提供基于eID真实身份的用户认证，同时保护用户隐私信息不被应用***所知。

本发明的基于eID的真实身份管理***具有如下特点：

1.从***功能的角度而言，该***可提供实名制认证过程中需要的基于用户真实身份的用户认证，同时避免了eID身份及用户真实身份信息向应用***的泄露，防止进行跨应用身份关联，进一步提高了隐私保护级别。

2.从***设计的角度而言，该***通过建立真实身份管理***建立eID身份与虚拟账号的映射，保留了应用***中的原有用户虚拟账号体系，不会对用户操作习惯进行改变，也更符合网络现状。

3.从***应用的角度而言，该***不需应用***替换原有账号，并可根据需要保留原有基于虚拟账号的认证机制和***，身份管理信息处理模块与业务过程完全独立，简化了***支持eID认证的升级成本。

附图说明

图1表示本发明身份管理方法采用的信任体系结构。

图2表示本发明身份安全控制***的网络拓扑结构。

图3表示本发明真实身份安全控制***的结构组成。

图4表示本发明身份绑定阶段具体流程。

图5表示本发明用户登录阶段具体流程。

具体实施方式

下面通过具体实施例结合附图对本发明作更详细的说明。

一、身份绑定方法

本实施例基于如下的情景设定，应用***AS使用虚拟身份管理***VIMS管理其用户虚拟账号和认证，持有eID身份为Ie的用户U在VIMS中注册了虚拟账号Iv，希望通过EMS进行eID身份和虚拟账号的绑定。

图4显示了该用户身份绑定的整个流程，具体内容如下：

1、用户访问虚拟身份管理***VIMS，发起身份绑定请求；

2、位于VIMS上的IMPM组件负责处理该请求，首先提请用户进行虚拟账号登录。

3、用户访问VIMS中的登录页面，使用其已注册的虚拟账号Iv，通过预先协商好的用户名/口令、PKI证书等方式进行认证。

4、如果认证通过，则IMPM组件为用户生成绑定请求，其中包含VIMS的标识V和用户在VIMS中注册的虚拟账号Iv。并将其发送至EMS。

5、EMS的BLMM模块收到该请求，将用户转至ELM中的登录页面进行基于eID的认证。

6、用户使用包含其eID身份的载体(USBEY、智能卡)等进行认证，ELM通过调用eID***的认证接口，验证用户eID身份的有效性。

7、如果验证通过，则ELM返回用户的eID身份Ie，BLMM将Ie和请求中包含的Iv、V一起作为输入，调用BIMM。

8、BIMM在映射信息表T中建立以Ie、V作为索引，Iv作为键值的记录。

9、BLMM生成绑定结果信息并将其发送至VIMS，告知VIMS用户绑定流程的操作结果。

二、基于eID的登录方法

本实施例基于如下的情景设定，应用***AS使用虚拟身份管理***VIMS管理其用户虚拟账号和认证，持有eID身份为Ie的用户U在EMS处通过身份绑定将其在VIMS中注册的虚拟账号Iv进行了绑定，现在，U希望通过EMS进行eID登录访问AS处的受限资源和服务。

图5显示了该用户eID登录的整个流程，具体内容如下：

1、用户访问AS，选择eID登录，AS将用户转至VIMS进行处理。

2、VIMS生成登录请求，其中包含VIMS的标识V，并通过用户转发至EMS。

3、EMS的BLMM模块收到该请求，将用户转至ELM中的登录页面进行基于eID的认证。

4、用户使用包含其eID身份的载体(USBEY、智能卡)等进行认证，ELM通过调用eID***的认证接口，验证用户eID身份的有效性。

5、如果验证通过，则ELM返回用户的eID身份Ie，BLMM将Ie和请求中V一起作为输入，调用BIMM进行查询。

6、BIMM在映射信息表T中以Ie、V作为索引进行查询，获取用户在EMS中已绑定的虚拟账号集合，若{I}为空，则BIMM返回“未绑定虚拟账号”错误，并转至步骤8，否则返回{I}。

7、若{I}中包含唯一的虚拟账号Iv，则转至步骤8；若{I}中包含的虚拟账号数多于一个，则BLMM与用户交互，提请用户选择本次登录过程中使用的虚拟账号Iv后转至步骤8。

8、BLMM调用AIM生成认证结果，其输入包含用户虚拟账号Iv或错误代码，以及EMS***的标识E。AIM根据输入，产生带有防篡改机制的认证结果信息，并返回给BLMM。

9、BLMM将认证结果信息返回给VIMS，VIMS中的IMPM组件验证该结果的有效性，如果信息有效且认证通过，则获取其中包含的虚拟账号Iv。

10、VIMS按照用户已使用虚拟账号Iv进行处理，向AS告知认证结果。

Claims

1.一种基于eID的真实身份安全控制方法，其步骤为：

1)用户向目标应用***AS的虚拟身份管理***VIMS发起身份绑定请求；其中，该绑定请求中包含该VIMS的标识V和该用户在VIMS中注册的虚拟账号Iv；

2)该虚拟身份管理***VIMS对该用户进行认证；如果认证通过，则为该用户生成绑定请求，并将其发送至真实身份管理***EMS；

3)该EMS根据该绑定请求对该用户进行基于eID的认证；如果验证通过，则返回该用户的eID身份Ie，然后将该Ie和该绑定请求中包含的Iv、V进行绑定，然后将绑定结果发送至该VIMS；

4)该用户访问该目标应用***AS时，该目标应用***AS的虚拟身份管理***VIMS生成登录请求发送给该真实身份管理***EMS；其中，该登录请求包括该VIMS的标识V；

5)该EMS根据该登录请求对该用户进行基于eID的认证；如果验证通过，则根据该用户的eID身份Ie和该标识V，获取该用户在该EMS中已绑定的虚拟账号集合{I}；

6)该EMS根据返回集合{I}、该EMS的标识E生成认证结果信息返回给该VIMS；该VIMS验证该认证结果的有效性，如果验证通过，则获取其中包含的虚拟账号Iv，然后按照该虚拟账号Iv对该用户的访问进行处理。

2.如权利要求1所述的方法，其特征在于，该虚拟身份管理***VIMS对该用户进行认证的方法为：该虚拟身份管理***VIMS首先提请该用户进行虚拟账号登录；该用户访问VIMS中的登录页面，使用其已注册的虚拟账号Iv以及预先协商好的用户名、口令或PKI证书进行认证。

3.如权利要求1所述的方法，其特征在于，所述基于eID的认证的方法为：该EMS将该用户转至登录页面进行基于eID的认证，该EMS根据该用户提供的包含其eID身份的载体验证该用户eID身份的有效性，对该用户进行认证。

4.如权利要求1所述的方法，其特征在于，生成所述绑定结果的方法为：该EMS在映射信息表T中建立以Ie、V作为索引，Iv作为键值的记录，生成该绑定结果。

5.如权利要求1所述的方法，其特征在于，所述认证结果为带有防篡改机制的认证结果。

6.如权利要求1～5任一所述的方法，其特征在于，所述步骤6)中，若集合{I}为空，则EMS生成一设定代码，然后将该设定代码和该EMS的标识E生成认证结果返回给该VIMS；若集合{I}中包含的虚拟账号数多于一个，则提请该用户选择一虚拟账号Iv，然后将该虚拟账号Iv和和该EMS的标识E生成认证结果返回给该VIMS。

7.一种基于eID的真实身份安全控制***，其特征在于，包括目标应用***AS的虚拟身份管理***VIMS和真实身份管理***EMS；其中，

该虚拟身份管理***VIMS，用于对用户进行认证；如果认证通过，则为该用户生成绑定请求，并将其发送至真实身份管理***EMS；以及当该用户访问该目标应用***AS时，生成登录请求发送给该真实身份管理***EMS；其中，该绑定请求中包含该VIMS的标识V和该用户在VIMS中注册的虚拟账号Iv，该登录请求包括该VIMS的标识V；

该真实身份管理***EMS，用于根据该绑定请求对用户进行基于eID的认证；如果验证通过，则返回该用户的eID身份Ie，然后将该Ie和该绑定请求中包含的Iv、V进行绑定，然后将绑定结果发送至该VIMS；以及根据登录请求对用户进行基于eID的认证；如果验证通过，则根据该用户的eID身份Ie和该标识V，获取该用户在该EMS中已绑定的虚拟账号集合{I}；然后根据返回集合{I}、该EMS的标识E生成认证结果信息返回给该VIMS；该VIMS验证该认证结果的有效性，如果验证通过，则获取其中包含的虚拟账号Iv，然后按照该虚拟账号Iv对该用户的访问进行处理。

8.如权利要求7所述的***，其特征在于，该真实身份管理***EMS是一个独立的Web应用***。

9.如权利要求7所述的***，其特征在于，该虚拟身份管理***VIMS与目标应用***AS为同一***或分别为独立的两个***。

10.如权利要求7所述的***，其特征在于，该真实身份管理***EMS生成认证结果时，若集合{I}为空，则EMS生成一设定代码，然后将该设定代码和该EMS的标识E生成认证结果返回给该VIMS；若集合{I}中包含的虚拟账号数多于一个，则提请该用户选择一虚拟账号Iv，然后将该虚拟账号Iv和和该EMS的标识E生成认证结果返回给该VIMS。