CN107426235A - 基于设备指纹的权限认证方法、装置及*** - Google Patents

Abstract

本申请涉及计算机技术领域，尤其涉及一种基于设备指纹的权限认证方法、装置及***，用以解决现有技术中存在的权限验证不安全的问题。本申请主要包括：权限认证装置将接收到的第一验证码和自身生成的设备指纹发送给认证服务器进行两次认证，其中，设备指纹是根据多个硬件信息确定的哈希值进行位运算之后组合得到的，由此，增加了字符串的复杂度，从而，提升了确定设备指纹的可靠性和准确性，避免不同电子设备确定出的设备指纹出现重复，保证设备指纹的唯一性。同时，本申请相比于现有技术中仅采用短信验证码进行权限验证的方案而言，验证的层次或内容较多，给攻击者的破解工作增加了难度，提升了权限认证的安全性以及可靠性。

Description

基于设备指纹的权限认证方法、装置及***

技术领域

本申请涉及计算机技术领域，尤其涉及一种基于设备指纹的权限认证方法、装置及***。

背景技术

随着互联网的兴起，越来越多的涉及到个人信息、事务处理或财产收支等事宜可以在互联网上完成。但是，考虑到互联网的共享特性，可能会存在黑客入侵攻击，因此，为了保证用户的个人信息及财产等方面的安全，在大多数的事宜处理场景需要进行用户身份验证，在验证通过后才可以允许使用相应的服务和账号。

然而，目前的用户身份验证，一般是仅对用户账号及密码的验证，或者还增加有手机短信验证码的验证，但是，一旦黑客等攻击者破解了用户账号对应的密码，并使用电信拦截技术或干扰技术，或者利用木马程序，截获短信验证码；就可以伪装成用户顺利通过用户身份验证，进而盗取用户信息，甚至盗取用户财产。

因此，鉴于当前的权限认证方案并不安全，亟需找到一种新的权限认证方案。

发明内容

本申请实施例提供一种基于设备指纹的权限认证方法、装置及***，用以解决现有技术中存在的不安全的问题。

本申请实施例采用下述技术方案：

一种基于设备指纹的权限认证方法，包括：

发送携带有账号标识的权限认证请求给认证服务器；

接收所述认证服务器返回的第一验证码，所述第一验证码与所述账号标识相对应；

根据电子设备的多个硬件信息分别确定第一哈希值以及第二哈希值；将分别对所述第一哈希值和所述第二哈希值执行位运算得到的结果进行组合，确定为所述电子设备的设备指纹；

将所述设备指纹与所述第一验证码发送给所述认证服务器，以使得所述认证服务器对所述设备指纹进行第一校验，并在第一校验成功后对接收到的第一验证码进行第二校验；

接收第二校验成功后返回的权限确认通知。

可选地，在发送所述权限认证请求之前，所述方法还包括：

发送携带有账号标识的绑定请求给认证服务器；

接收所述认证服务器返回的第二验证码，所述第二验证码与所述账号标识相对应；

将所述第二验证码以及账号标识发送给所述认证服务器进行校验；

接收所述认证服务器在校验成功后发送的绑定通知；

根据电子设备的多个硬件信息分别确定第一哈希值以及第二哈希值；将分别对所述第一哈希值和所述第二哈希值执行位运算得到的结果进行组合，确定为所述电子设备的设备指纹，并发送给所述认证服务器。

可选地，根据自身的多个硬件信息分别确定第一哈希值以及第二哈希值，具体包括：

对所述多个硬件信息分别进行取余处理，根据得到的余数确定第一字符串；对所述第一字符串进行哈希运算，得到所述第一哈希值；以及

从所述多个硬件信息中选取字符串长度满足阈值的任一硬件信息；对选取的任一硬件信息进行哈希运算，得到所述第二哈希值。

可选地，所述每个硬件信息对应有预设的取余算法；

对所述多个硬件信息分别进行取余处理，根据得到的余数确定第一字符串，具体包括：

为每个硬件信息分别查找相应的取余算法；

按照查找到的取余算法对相应硬件信息进行取余运算；

按照预设拼接规则，将所述多个硬件信息进行取余处理后的余数进行拼接得到所述第一字符串。

可选地，将分别对所述第一哈希值和所述第二哈希值执行位运算得到的结果进行组合，确定为所述电子设备的设备指纹，具体包括：

对所述第一哈希值执行位运算得到第一预设位数的字符串；

对所述第二哈希值执行位运算得到第二预设位数的字符串；

将所述第一预设位数的字符串与所述第二预设位数的字符串首尾拼接形成新的字符串，作为所述电子设备的设备指纹。

一种基于设备指纹的权限认证方法，包括：

接收携带有账号标识的权限认证请求；

生成与所述账号标识相对应的第一验证码，并发送给权限认证装置；

接收携带有账号标识的设备指纹和第一验证码，对所述设备指纹进行第一校验，并在第一校验成功后对所述第一验证码进行第二校验；

在第二校验成功后向所述权限认证装置返回权限确认通知。

可选地，对所述设备指纹进行第一校验，并在第一校验成功后对所述第一验证码进行第二校验，具体包括：

查找存储在本地且与所述设备指纹存在相同账号标识的设备指纹，根据查找到的设备指纹对所述设备指纹进行校验；

查找存储在本地且与所述第一验证码存在相同账号标识的第一验证码，并将查找到的第一验证码与所述第一验证码进行校验。

可选地，在接收所述权限认证请求之前，所述方法还包括：

接收携带有账号标识的绑定请求；

生成与所述账号标识相对应的第二验证码，并发送给权限认证装置；

接收所述第二验证码以及相对应的账号标识，并对所述第二验证码进行校验；

在校验成功后发送绑定通知给所述权限认证装置；

接收所述权限认证装置发送的设备指纹。

一种权限认证装置，包括：

第一发送单元，用于发送携带有账号标识的权限认证请求给认证服务器；

第一接收单元，用于接收所述认证服务器返回的第一验证码，所述第一验证码与所述账号标识相对应；

确定单元，用于根据电子设备的多个硬件信息分别确定第一哈希值以及第二哈希值；将分别对所述第一哈希值和所述第二哈希值执行位运算得到的结果进行组合，确定为所述电子设备的设备指纹；

所述第一发送单元，还用于将所述设备指纹与所述第一验证码发送给所述认证服务器，以使得所述认证服务器对所述设备指纹进行第一校验，并在第一校验成功后对接收到的第一验证码进行第二校验；

所述第一接收单元，还用于接收第二校验成功后返回的权限确认通知。

一种权限认证服务器，包括：

第二接收单元，用于接收携带有账号标识的权限认证请求；

第二发送单元，用于生成与所述账号标识相对应的第一验证码，并发送给权限认证装置；

所述第二接收单元，还用于接收携带有账号标识的设备指纹和第一验证码，对所述设备指纹进行第一校验，并在第一校验成功后对所述第一验证码进行第二校验；

所述第二发送单元，还用于在第二校验成功后向所述权限认证装置返回权限确认通知。

一种权限认证***，包括：权限认证装置和权限认证服务器；其中，

所述权限认证装置，用于发送携带有账号标识的权限认证请求给认证服务器，接收所述认证服务器返回的第一验证码，所述第一验证码与所述账号标识相对应，根据电子设备的多个硬件信息分别确定第一哈希值以及第二哈希值；将分别对所述第一哈希值和所述第二哈希值执行位运算得到的结果进行组合，确定为所述电子设备的设备指纹，将所述设备指纹与所述第一验证码发送给所述认证服务器，以使得所述认证服务器对所述设备指纹进行第一校验，并在第一校验成功后对接收到的第一验证码进行第二校验，接收第二校验成功后返回的权限确认通知；

所述权限认证服务器，用于接收携带有账号标识的权限认证请求，生成与所述账号标识相对应的第一验证码，并发送给权限认证装置，接收携带有账号标识的设备指纹和第一验证码，对所述设备指纹进行第一校验，并在第一校验成功后对所述第一验证码进行第二校验，在第二校验成功后向所述权限认证装置返回权限确认通知。

本申请实施例采用的上述至少一个技术方案能够达到以下有益效果：

通过上述技术方案中涉及到的信息交互可知，终端设备将第一验证码和设备指纹发送给认证服务器进行权限认证，这其中就包含了两层认证，第一层是设备指纹的验证，若比对相同则第一层校验成功，再次进行第二层验证，即第一验证码的校验；其中的设备指纹通过对硬件信息采取取余处理，增加了得到的字符串的复杂度，同时，还在后续对得到的第一哈希值和第二哈希值分别进行位运算处理，进一步打乱了硬件信息的固有字符串，提升确定出的字符串的复杂度，避免不同电子设备确定出的设备指纹出现重复。从而，提升了确定电子设备的设备指纹的可靠性以及准确性，保证设备指纹的唯一性；进而，设备指纹的唯一性的提升必然加强了校验难度，只有双层校验成功后，才可以确认权限认证通过，后续可以根据具体的服务内容进行支付密码验证或登录密码验证等。可见，本申请相比于现有技术中仅采用短信验证码进行权限验证的方案而言，验证的层次或内容较多，给攻击者的破解工作增加了难度，提升了权限认证的安全性以及可靠性，进而，保证用户使用服务时的性能安全和信息安全。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请中权限认证方案所适用的应用场景下的***架构示意图；

图2为本申请实施例提供的权限认证方法的步骤示意图之一；

图3为本申请实施例提供的权限认证方法的步骤示意图之二；

图4为本申请实施例提供的权限认证方法的步骤示意图之三；

图5为本申请实施例提供的权限认证方法的步骤示意图之四；

图6为本申请实施例提供的权限认证方法的交互流程图之一；

图7为本申请实施例提供的权限认证方法的交互流程图之二；

图8为本申请实施例提供的权限认证装置的模块示意图；

图9为本申请实施例提供的认证服务器的模块示意图；

图10为本申请实施例提供的权限认证***的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

以下结合附图，详细说明本申请各实施例提供的技术方案。

在本申请中，所涉及的方案主要适用于权限认证的场景中，例如：银行交易、账号登录、账单支付等涉及到需要对用户身份信息进行验证的实用场景。

进一步，所涉及的权限认证方案可适用于图1所示的***架构，该***主要包括：终端设备11，认证服务器12，其中，认证服务器12可以兼容在用户所实施操作所对应的服务器内，例如，被部署在银行***服务器中，或者，被部署在某聊天工具的登录***服务器中；此外，认证服务器12还可以理解为银行***服务器或者某聊天工具的登录***服务器。终端设备11和认证服务器12通过已建立的无线通信链路或有线通信链路进行信息交互，以实现对使用终端设备11进行服务请求的用户权限的认证。

下面结合实施例对本申请所涉及的权限认证方案进行详细介绍，需要说明的是，以下涉及到的所有内容仅作为解释本申请方案所提出，并不对方案的使用场景及实现方式进行限定。

实施例一

如图2所示为本申请实施例提供的权限认证方法步骤示意图，主要基于设备指纹进行权限认证，该方法的执行主体为权限认证装置，而本申请主要以终端设备为例进行说明，例如可以为手机、pad或其他计算机设备，该方法主要包括以下步骤：

步骤21：发送携带有账号标识的权限认证请求给认证服务器。

其中，本步骤21涉及的账号标识可以理解为能够区分用户的标识，例如：手机号、身份证号等，或者根据用户信息生成的能够区分用户的序列号、二维码等。

另外，本步骤中的权限认证请求可由用户在进行登录或进行支付等服务请求时发起，该权限认证请求具体可以根据用户点击显示界面的控件或语音输入生成。

步骤22：接收认证服务器返回的第一验证码，所述第一验证码与所述账号标识相对应。

其中，在认证服务器侧，该第一验证码与认证服务器接收到的权限认证请求中携带的账号标识相对应。而该第一验证码具体可以包含数字、字母、特殊符号等字符的任意排列组合，也可以单独包含数字或者字母或者特殊符号；且包含的字符数目不限。例如，第一验证码可以为：1ac4。

步骤23：根据电子设备的多个硬件信息分别确定第一哈希值以及第二哈希值；将分别对所述第一哈希值和所述第二哈希值执行位运算得到的结果进行组合，确定为所述电子设备的设备指纹。

在本申请实施例中，所涉及到的硬件信息可以为预设长度的字符串，这些字符串可以是字母或数字的组合。其中，电子设备中的多个硬件信息可以包括：设备主板信息、***定制商信息、CPU指令集信息、设备参数信息、硬件制造商信息、手机制造商信息。举例说明，设备主板信息可以为设备主板序列号，例如：201700004563；或者设备主板序列号与设备主板制造商标识拼接形成的序列号，例如：201700004563HWP2，其中，201700004563为设备主板序列号，HWP2为设备制造商标识。而硬件制造商信息是指该电子设备的制造商标识，不同于设备主板信息中所涉及的设备主板制造商标识。

可选地，本步骤23在根据自身的多个硬件信息分别确定第一哈希值以及第二哈希值时，具体执行为：

第一步，对所述多个硬件信息分别进行取余处理，根据得到的余数确定第一字符串；对所述第一字符串进行哈希运算，得到所述第一哈希值；以及

第二步，从所述多个硬件信息中选取字符串长度满足阈值的任一硬件信息；对选取的任一硬件信息进行哈希运算，得到所述第二哈希值。

其实，在本申请中，可以预先存储多种取余算法，而每个硬件信息对应有相应的预设的取余算法；例如，可以是取余数为0的取余算法、取余数为3的取余算法等；其中，取余算法的类型可以大于硬件信息的类型，这样，可以保证硬件信息的取余方式比较灵活，且可以调整。取余算法的类型也可以小于硬件信息的类型，那么，可以预设多个硬件信息共同使用一种取余算法，而其他的硬件信息可以采用另外的一种或多种取余算法。其实，取余算法的类型还可以等于硬件信息的类型，这样，取余算法与硬件信息一一映射。

以上所涉及的一一映射关系或者一对多、多对一的映射关系，均可以存储在一种表中，该表中记录有硬件信息的标识与相应取余算法的对应关系，例如：硬件信息中的设备主板信息可以标记为信息a，取余算法中的取余数为0这一取余算法标记为A，两者相互映射对应。

根据上述所涉及的预存的映射关系，第一步在对所述多个硬件信息分别进行取余处理，根据得到的余数确定第一字符串时，具体执行为：

(1)为每个硬件信息分别查找相应的取余算法；具体可按照预存的映射关系，根据硬件信息的标识查找相对应的取余算法。

(2)按照查找到的取余算法对相应硬件信息进行取余运算。

一种取余处理：多个硬件信息查找到相同的取余算法，那么，对这些硬件信息采取相同的余数处理方式，得到对应每个硬件信息的余数。

另一种取余处理：多个硬件信息查找到不同的取余算法，那么，分别按照各自查找到的取余算法进行取余处理，得到对应每个硬件信息的余数。

(3)按照预设拼接规则，将所述多个硬件信息进行取余处理后的余数进行拼接得到所述第一字符串。

其实，在本申请中，预设拼接规则可以根据用户的需求设定，例如，按照硬件信息的字符串长度由长到短的作为拼接顺序，对得到的多个硬件信息对应的余数进行拼接处理。这样，就得到一信息打乱且具有一定长度的字符串，确定为第一字符串。

由此，通过上述取余处理，可以按照预定规则打乱硬件信息的字符串信息，得到具有一定复杂度的第一字符串，该字符串经过取余处理，且有可能经过不同取余算法的处理，因此，得到的字符串的复杂度较高，且采用上述方式得到的第一字符串的唯一性较为可靠，几乎不会出现不同电子设备得到相同第一字符串的情况。

其实，考虑到硬件信息的字符串长度，影响了设备指纹的准确性和可靠性，若字符串长度越长，则不同电子设备的硬件信息的重复率就会比较低，反之，字符串长度越短，那么不同电子设备的硬件信息的重复率就会比较高。因此，可以选择字符串长度最长的硬件信息，来确定第二哈希值。第二步中阈值可以根据经验确定，或是以任一长度，例如十六位，作为阈值。凡是字符串长度大于十六位的硬件信息都可以作为确定第二哈希值的硬件信息，然后从中择一选取。

需要说明的是，在本申请中，第一步和第二步的顺序可以不限，即两个步骤可以同时执行，也可以先执行第二步的内容再执行第一步的内容。

其实，经过上述取余算法的处理，并对得到的第一哈希值和第二哈希值分别进行位运算，之后，将分别进行位运算的结果进行组合，确定为电子设备的设备指纹，由于采用了取余算法，且分别进行了两次哈希算法的处理，因此，可以在一定程度上提升得到的字符串(设备指纹)的可靠性、准确性，保证设备指纹的唯一性。

可选地，在本申请中，上述步骤23中将分别对所述第一哈希值和所述第二哈希值执行位运算得到的结果进行组合，确定为所述电子设备的设备指纹，一种较佳实现方式：对所述第一哈希值执行位运算得到第一预设位数的字符串；对所述第二哈希值执行位运算得到第二预设位数的字符串；将所述第一预设位数的字符串与所述第二预设位数的字符串首尾拼接形成新的字符串，确定为所述电子设备的设备指纹。

具体地，假设第一哈希值C进行32位的位运算后，得到一个8位的字符串；同时，对第一哈希值C进行16位的位运算，得到一个4位的字符串。在对第一哈希值C进行两次位运算后，组合为一个12位的字符串，作为第一预设位数的字符串C’。

假设针对第二哈希值D进行64位的位运算，得到一个12位的字符串；同时，对第二哈希值D进行32位的位运算，得到一个8位的字符串。在对第二哈希值D进行两次位运算后，组合为一个20位的字符串，作为第二预设位数的字符串D’。

最后，将字符串C’和字符串D’进行首尾拼接形成新的字符串F，该字符串F即为所要确定的电子设备的设备指纹。其中，首尾拼接顺序可以按照第一、第二的顺序，或者按照预设拼接顺序。

由此，在本申请技术方案中，通过对硬件信息采取取余处理，增加了得到的字符串的复杂度，同时，还在后续对得到的第一哈希值和第二哈希值分别进行位运算处理，进一步打乱了硬件信息的固有字符串，提升确定出的字符串的复杂度，避免不同电子设备确定出的设备指纹出现重复。从而，提升了确定电子设备的设备指纹的可靠性以及准确性，保证设备指纹的唯一性。

步骤24：将所述设备指纹与所述第一验证码发送给所述认证服务器，以使得所述认证服务器对所述设备指纹进行第一校验，并在第一校验成功后对接收到的第一验证码进行第二校验。

步骤25：接收第二校验成功后返回的权限确认通知。

其实，这里的权限确认通知仅是对用户的一个权限确认反馈，告知用户已经顺利通过权限认证，或者已经在通过权限认证后进行了相应的服务，例如，确认支付、确认登录等。

通过上述技术方案中涉及到的信息交互可知，终端设备将第一验证码和设备指纹发送给认证服务器进行权限认证，这其中就包含了两层认证，第一层是设备指纹的验证，若比对相同则第一层校验成功，再次进行第二层验证，即第一验证码的校验；其中的设备指纹通过对硬件信息采取取余处理，增加了得到的字符串的复杂度，同时，还在后续对得到的第一哈希值和第二哈希值分别进行位运算处理，进一步打乱了硬件信息的固有字符串，提升确定出的字符串的复杂度，避免不同电子设备确定出的设备指纹出现重复。从而，提升了确定电子设备的设备指纹的可靠性以及准确性，保证设备指纹的唯一性；进而，设备指纹的唯一性的提升必然加强了校验难度，只有双层校验成功后，才可以确认权限认证通过，后续可以根据具体的服务内容进行支付密码验证或登录密码验证等。可见，本申请相比于现有技术中仅采用短信验证码进行权限验证的方案而言，验证的层次或内容较多，给攻击者的破解工作增加了难度，提升了权限认证的安全性以及可靠性，进而，保证用户使用服务时的性能安全。而且，在本申请中，设备指纹并不是存储在终端设备中的，而是在完成绑定发送给认证服务器后就清除，在后续认证时，重新生成相同的设备指纹随同第一验证码发送给认证服务器进行权限验证。从而，避免存储在终端设备中被恶意改写，提升设备指纹的安全性。

可选地，在步骤21之前，参照图3所示，该权限认证方法还包括：

步骤31：发送携带有账号标识的绑定请求给认证服务器；

步骤32：接收所述认证服务器返回的第二验证码，所述第二验证码与所述账号标识相对应；

步骤33：将所述第二验证码以及账号标识发送给所述认证服务器进行校验；

步骤34：接收所述认证服务器在校验成功后发送的绑定通知；

步骤35：根据电子设备的多个硬件信息分别确定第一哈希值以及第二哈希值；将分别对所述第一哈希值和所述第二哈希值执行位运算得到的结果进行组合，确定为所述电子设备的设备指纹，并发送给所述认证服务器。

需要说明的是，在本申请中，设备指纹是不需要存储的，是根据需求实时生成的，因此，在发送给认证服务器之后，权限认证服务器侧不保留设备指纹。

可选地，在本申请的步骤22中，接收认证服务器返回的第一验证码，具体可以通过基站回传的方式实现。例如，认证服务器将第一验证码发送给基站，基站通过查找相应的手机号(可作为账号标识)，为该手机号对应的终端设备发送短信通知或语音通知。其实，本申请中第一验证码的传输方式并不限于采用基站回传的方式，还可以包括其他的以通信链路为基础的传输方式。

如图4所示为本申请实施例提供的另一权限认证方法步骤示意图，主要基于设备指纹进行权限认证，该方法的执行主体为认证服务器，主要包括：

步骤41：接收携带有账号标识的权限认证请求。

需要说明的是，该账号标识能够被认证服务器识别，并根据该账号标识匹配出用户希望认证的内容。例如，在银行交易场景中，该账号标识可以为手机号，该手机号会伴随用户发起的支付请求一并发送给认证服务器，认证服务器根据手机号匹配出用户早前设置的用于支付的银行卡信息，以便于进行后续的确认支付。

步骤42：生成与所述账号标识相对应的第一验证码，并发送给权限认证装置。

其实，在本步骤中，认证服务器可随机生成第一验证码，该第一验证码的格式与上述图2对应的方案中的格式相同。

步骤43：接收携带有账号标识的设备指纹和第一验证码，对所述设备指纹进行第一校验，并在第一校验成功后对所述第一验证码进行第二校验。

可选地，该步骤43在对所述设备指纹进行第一校验，并在第一校验成功后对第一验证码进行第二校验时，可具体执行为：查找存储在本地且与所述设备指纹存在相同账号标识的设备指纹，根据查找到的设备指纹对所述设备指纹进行校验；查找存储在本地且与所述第一验证码存在相同账号标识的第一验证码，并将查找到的第一验证码与所述第一验证码进行校验。

在本申请中，认证服务器接收到的设备指纹和第一验证码，并不确定是不是账号标识对应的终端设备发送来的，因此，需要根据账号标识查找之前是否预存有对应该账号标识的设备指纹，若查找不到，那么确定本次权限认证请求是非法的，不允许发送请求的用户享受进一步的服务。若查找到，则开始进行本申请中重要的两次校验：

第一次校验：根据账号标识查找之前是否预存有对应该账号标识的设备指纹，若查找不到，则确定本次权限认证请求是非法的，若查找到，则将查找到的设备指纹与接收到的设备指纹进行比对，若相同，则校验成功，允许对接收到的第一验证码进行校验；否则，校验失败。

第二次校验：根据账号标识查找之前是否预存有对应该账号标识的第一验证码，若查找不到，则确定本次权限认证请求是非法的，若查找到，则将查找到的第一验证码与接收到的第一验证码进行比对，若相同，则校验成功，确定通过权限认证，允许进行后续的账单支付或账号登录。否则，校验失败。

其实，在每次校验失败后，都可以向终端设备返回权限认证失败的通知。

步骤44：在第二校验成功后向所述权限认证装置返回权限确认通知。

需要说明的是，在本申请中，在第二校验成功后，即可确认权限认证成功，允许用户进行相应业务。一般情况下，可以在用户发起业务请求之前，进行上述权限认证过程。其实，考虑到这样就可能将权限认证与业务请求隔离开，那么即使权限认证通过后，黑客也可以通过在业务请求阶段进行攻击。为此，可以将业务请求与权限认证结合起来，即在用户发起业务请求的时候即认为同时发起了权限认证请求，同时，在终端设备返回验证码的同时也会提交业务信息，例如：账单详情与支付密码；账号昵称与登录密码等。这样，发送给认证服务器，且在认证服务器权限认证通过后，即可根据业务信息进行账单支付或账号登录业务。

因此，本步骤中返回的权限确认通知，可以理解为仅是在通过权限认证后发送的通知消息，例如：“权限认证成功！”或者，也可以理解为是在通过权限认证且进行业务处理后发送的通知消息，例如：“支付成功！”，这里隐含有权限认证成功的信息。

可选地，在步骤41之前，参照图5所示，所述方法还包括：

步骤51：接收携带有账号标识的绑定请求；

步骤52：生成与所述账号标识相对应的第二验证码，并发送给权限认证装置；

步骤53：接收第二验证码以及相对应的账号标识，并对所述第二验证码进行校验；

步骤54：在校验成功后发送绑定通知给所述权限认证装置；

步骤55：接收所述权限认证装置发送的设备指纹。

下面以具体的应用场景为例，对上述权限认证方案进一步说明。

参照图6所示，为银行交易场景中权限认证的交互流程图，该权限认证的交互场景中主要包括：终端设备(部署有设备绑定装置)A、银行服务器B、安全服务器C、基站D。具体实现流程如下：

步骤601：终端设备A发起支付请求，希望支付账单a；

步骤602：银行服务器B生成第一验证码，并发送；

步骤603：基站D通过短信或语音发送第一验证码；

步骤604：终端设备A确认支付密码和账单a；

步骤605：终端设备A将第一验证码和设备指纹发送给服务器C；同时向银行服务器B发送支付密码和账单a；(两条传输都有账号标识的传输)图中示出的发送第一验证码的步骤与发送支付密码和账单a的步骤是有先后顺序的，但实际上两者的先后顺序并不做限定。

步骤606：安全服务器C校验设备指纹；

具体地，在本步骤中，安全服务器C根据账号标识查找到该账号标识对应的设备指纹，将查找到的设备指纹与接收到的设备指纹进行比对校验。

步骤607：安全服务器C在设备指纹校验成功后发送第一验证码；

步骤608：银行服务器B根据之前接收到的账号标识查找到该账号标识对应的第一验证码，将查找到的第一验证码与接收到的第一验证码进行比对校验。其实，本步骤还可以同时对支付密码进行校验。从而，增加校验的可靠性和安全性。

步骤609：在第一验证码和支付密码均校验成功后，完成该账单支付，并返回支付确认通知。

参照图7所示，为账号登录场景中权限认证的交互流程图，该权限认证的交互场景中主要包括：终端设备(部署有设备绑定装置)A、业务服务器B、安全服务器C、基站D。具体实现流程如下：

步骤701：终端设备A发起登录请求；

步骤702：业务服务器B生成第一验证码，并发送；

步骤703：基站D通过短信或语音发送第一验证码；

步骤704：终端设备A确认登录密码；

步骤705：终端设备A将第一验证码、设备指纹以及登录密码发送给安全服务器C；

步骤706：安全服务器C校验设备指纹；

具体地，在本步骤中，安全服务器C根据账号标识查找到该账号标识对应的设备指纹，将查找到的设备指纹与解密出的设备指纹进行比对校验。

步骤707：安全服务器C在设备指纹校验成功后发送第一验证码和登录密码；

步骤708：银行服务器B根据之前接收到的账号标识查找到该账号标识对应的第一验证码，将查找到的第一验证码与接收到的第一验证码进行比对校验。同时还对登录密码进行校验。从而，增加校验的可靠性和安全性。

步骤709：在第一验证码和登录密码均校验成功后，完成该账单登录，并返回登录确认通知。

实施例二

与上述权限认证方法属于同一发明构思，本申请还提供了执行上述方法的装置。

参照图8所示，一种权限认证装置，包括：

第一发送单元81，用于发送携带有账号标识的权限认证请求给认证服务器；

第一接收单元82，用于接收所述认证服务器返回的第一验证码，所述第一验证码与所述账号标识相对应；

确定单元83，用于根据电子设备的多个硬件信息分别确定第一哈希值以及第二哈希值；将分别对所述第一哈希值和所述第二哈希值执行位运算得到的结果进行组合，确定为所述电子设备的设备指纹；

所述第一发送单元81，还用于将所述设备指纹与所述第一验证码发送给所述认证服务器，以使得所述认证服务器对所述设备指纹进行第一校验，并在第一校验成功后对接收到的第一验证码进行第二校验；

所述第一接收单元82，还用于接收第二校验成功后返回的权限确认通知。

可选地，所述第一发送单元81，还用于在发送所述权限认证请求之前，发送携带有账号标识的绑定请求给认证服务器；所述第一接收单元82，还用于接收所述认证服务器返回的第二验证码，所述第二验证码与所述账号标识相对应；所述第一发送单元81，还用于将所述第二验证码以及账号标识发送给所述认证服务器进行校验；所述第一接收单元82，用于接收所述认证服务器在校验成功后发送的绑定通知；所述第一发送单元81，用于根据电子设备的多个硬件信息分别确定第一哈希值以及第二哈希值；将分别对所述第一哈希值和所述第二哈希值执行位运算得到的结果进行组合，确定为所述电子设备的设备指纹，并发送给所述认证服务器。

可选地，所述确定单元83在根据自身的多个硬件信息分别确定第一哈希值以及第二哈希值时，具体用于：对所述多个硬件信息分别进行取余处理，根据得到的余数确定第一字符串；对所述第一字符串进行哈希运算，得到所述第一哈希值；以及，用于从所述多个硬件信息中选取字符串长度满足阈值的任一硬件信息；对选取的任一硬件信息进行哈希运算，得到所述第二哈希值。

可选地，所述每个硬件信息对应有预设的取余算法；所述确定单元83在对所述多个硬件信息分别进行取余处理，根据得到的余数确定第一字符串时，具体用于：为每个硬件信息分别查找相应的取余算法；按照查找到的取余算法对相应硬件信息进行取余运算；按照预设拼接规则，将所述多个硬件信息进行取余处理后的余数进行拼接得到所述第一字符串。

可选地，所述确定单元在将分别对所述第一哈希值和所述第二哈希值执行位运算得到的结果进行组合，确定为所述电子设备的设备指纹时，具体用于：对所述第一哈希值执行位运算得到第一预设位数的字符串；对所述第二哈希值执行位运算得到第二预设位数的字符串；将所述第一预设位数的字符串与所述第二预设位数的字符串首尾拼接形成新的字符串，作为所述电子设备的设备指纹。

如图9所示，为本申请实施例提供的权限认证服务器的模块示意图，该认证服务器包括：

第二接收单元91，用于接收携带有账号标识的权限认证请求；

第二发送单元92，用于生成与所述账号标识相对应的第一验证码，并发送给权限认证装置；

所述第二接收单元91，还用于接收携带有账号标识的设备指纹和第一验证码，对所述设备指纹进行第一校验，并在第一校验成功后对所述第一验证码进行第二校验；

所述第二发送单元92，还用于在第二校验成功后向所述权限认证装置返回权限确认通知。

可选地，所述第二接收单元91在对所述设备指纹进行第一校验，并在第一校验成功后对所述第一验证码进行第二校验时，具体用于：

查找存储在本地且与所述设备指纹存在相同账号标识的设备指纹，根据查找到的设备指纹对所述设备指纹进行校验；

查找存储在本地且与所述第一验证码存在相同账号标识的第一验证码，并将查找到的第一验证码与所述第一验证码进行校验。

可选地，所述第二接收单元91在接收所述权限认证请求之前，还用于接收携带有账号标识的绑定请求；以及，所述第二发送单元92，用于生成与所述账号标识相对应的第二验证码，并发送给权限认证装置；以及，所述第二接收单元91，用于所述第二验证码以及相对应的账号标识，并对所述第二验证码进行校验；以及，所述第二发送单元92，用于在校验成功后发送绑定通知给所述权限认证装置；以及，所述第二接收单元91，用于接收所述权限认证装置发送的设备指纹。

实施例三

本申请实施例还提供了一种权限认证***，参照图10所示，包括：权限认证装置1001和认证服务器1002；其中，

所述权限认证装置1001，用于发送携带有账号标识的权限认证请求给认证服务器；接收所述认证服务器返回的第一验证码，所述第一验证码与所述账号标识相对应；根据电子设备的多个硬件信息分别确定第一哈希值以及第二哈希值；将分别对所述第一哈希值和所述第二哈希值执行位运算得到的结果进行组合，确定为所述电子设备的设备指纹；将所述设备指纹与所述第一验证码发送给所述认证服务器，以使得所述认证服务器对所述设备指纹进行第一校验，并在第一校验成功后对接收到的第一验证码进行第二校验；接收第二校验成功后返回的权限确认通知；

所述权限认证服务器1002，用于接收携带有账号标识的权限认证请求；生成与所述账号标识相对应的第一验证码，并发送给权限认证装置；接收携带有账号标识的设备指纹和第一验证码，对所述设备指纹进行第一校验，并在第一校验成功后对所述第一验证码进行第二校验；在第二校验成功后向所述权限认证装置返回权限确认通知。

本领域内的技术人员应明白，本发明的实施例可提供为方法、***、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(***)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (11)

1.一种基于设备指纹的权限认证方法，其特征在于，包括：

发送携带有账号标识的权限认证请求给认证服务器；

接收所述认证服务器返回的第一验证码，所述第一验证码与所述账号标识相对应；

根据电子设备的多个硬件信息分别确定第一哈希值以及第二哈希值；将分别对所述第一哈希值和所述第二哈希值执行位运算得到的结果进行组合，确定为所述电子设备的设备指纹；

将所述设备指纹与所述第一验证码发送给所述认证服务器，以使得所述认证服务器对所述设备指纹进行第一校验，并在第一校验成功后对接收到的第一验证码进行第二校验；

接收第二校验成功后返回的权限确认通知。

2.如权利要求1所述的方法，其特征在于，在发送所述权限认证请求之前，所述方法还包括：

发送携带有账号标识的绑定请求给认证服务器；

接收所述认证服务器返回的第二验证码，所述第二验证码与所述账号标识相对应；

将所述第二验证码以及账号标识发送给所述认证服务器进行校验；

接收所述认证服务器在校验成功后发送的绑定通知；

根据电子设备的多个硬件信息分别确定第一哈希值以及第二哈希值；将分别对所述第一哈希值和所述第二哈希值执行位运算得到的结果进行组合，确定为所述电子设备的设备指纹，并发送给所述认证服务器。

3.如权利要求1或2所述的方法，其特征在于，根据自身的多个硬件信息分别确定第一哈希值以及第二哈希值，具体包括：

对所述多个硬件信息分别进行取余处理，根据得到的余数确定第一字符串；对所述第一字符串进行哈希运算，得到所述第一哈希值；以及

从所述多个硬件信息中选取字符串长度满足阈值的任一硬件信息；对选取的任一硬件信息进行哈希运算，得到所述第二哈希值。

4.如权利要求3所述的方法，其特征在于，所述每个硬件信息对应有预设的取余算法；

对所述多个硬件信息分别进行取余处理，根据得到的余数确定第一字符串，具体包括：

为每个硬件信息分别查找相应的取余算法；

按照查找到的取余算法对相应硬件信息进行取余运算；

按照预设拼接规则，将所述多个硬件信息进行取余处理后的余数进行拼接得到所述第一字符串。

5.如权利要求1或2所述的方法，其特征在于，将分别对所述第一哈希值和所述第二哈希值执行位运算得到的结果进行组合，确定为所述电子设备的设备指纹，具体包括：

对所述第一哈希值执行位运算得到第一预设位数的字符串；

对所述第二哈希值执行位运算得到第二预设位数的字符串；

将所述第一预设位数的字符串与所述第二预设位数的字符串首尾拼接形成新的字符串，作为所述电子设备的设备指纹。

6.一种基于设备指纹的权限认证方法，其特征在于，包括：

接收携带有账号标识的权限认证请求；

生成与所述账号标识相对应的第一验证码，并发送给权限认证装置；

接收携带有账号标识的设备指纹和第一验证码，对所述设备指纹进行第一校验，并在第一校验成功后对所述第一验证码进行第二校验；

在第二校验成功后向所述权限认证装置返回权限确认通知。

7.如权利要求6所述的方法，其特征在于，对所述设备指纹进行第一校验，并在第一校验成功后对所述第一验证码进行第二校验，具体包括：

查找存储在本地且与所述设备指纹存在相同账号标识的设备指纹，根据查找到的设备指纹对所述设备指纹进行校验；

查找存储在本地且与所述第一验证码存在相同账号标识的第一验证码，并将查找到的第一验证码与所述第一验证码进行校验。

8.如权利要求6所述的方法，其特征在于，在接收所述权限认证请求之前，所述方法还包括：

接收携带有账号标识的绑定请求；

生成与所述账号标识相对应的第二验证码，并发送给权限认证装置；

接收所述第二验证码以及相对应的账号标识，并对所述第二验证码进行校验；

在校验成功后发送绑定通知给所述权限认证装置；

接收所述权限认证装置发送的设备指纹。

9.一种权限认证装置，其特征在于，包括：

第一发送单元，用于发送携带有账号标识的权限认证请求给认证服务器；

第一接收单元，用于接收所述认证服务器返回的第一验证码，所述第一验证码与所述账号标识相对应；

确定单元，用于根据电子设备的多个硬件信息分别确定第一哈希值以及第二哈希值；将分别对所述第一哈希值和所述第二哈希值执行位运算得到的结果进行组合，确定为所述电子设备的设备指纹；

所述第一发送单元，还用于将所述设备指纹与所述第一验证码发送给所述认证服务器，以使得所述认证服务器对所述设备指纹进行第一校验，并在第一校验成功后对接收到的第一验证码进行第二校验；

所述第一接收单元，还用于接收第二校验成功后返回的权限确认通知。

10.一种权限认证服务器，其特征在于，包括：

第二接收单元，用于接收携带有账号标识的权限认证请求；

第二发送单元，用于生成与所述账号标识相对应的第一验证码，并发送给权限认证装置；

所述第二接收单元，还用于接收携带有账号标识的设备指纹和第一验证码，对所述设备指纹进行第一校验，并在第一校验成功后对所述第一验证码进行第二校验；

所述第二发送单元，还用于在第二校验成功后向所述权限认证装置返回权限确认通知。

11.一种权限认证***，其特征在于，包括：权限认证装置和权限认证服务器；其中，

所述权限认证装置，用于发送携带有账号标识的权限认证请求给认证服务器，接收所述认证服务器返回的第一验证码，所述第一验证码与所述账号标识相对应，根据电子设备的多个硬件信息分别确定第一哈希值以及第二哈希值；将分别对所述第一哈希值和所述第二哈希值执行位运算得到的结果进行组合，确定为所述电子设备的设备指纹，将所述设备指纹与所述第一验证码发送给所述认证服务器，以使得所述认证服务器对所述设备指纹进行第一校验，并在第一校验成功后对接收到的第一验证码进行第二校验，接收第二校验成功后返回的权限确认通知；

所述权限认证服务器，用于接收携带有账号标识的权限认证请求，生成与所述账号标识相对应的第一验证码，并发送给权限认证装置，接收携带有账号标识的设备指纹和第一验证码，对所述设备指纹进行第一校验，并在第一校验成功后对所述第一验证码进行第二校验，在第二校验成功后向所述权限认证装置返回权限确认通知。