CN109033784A - 在通信网络中身份认证方法和装置 - Google Patents

Abstract

本发明公开了一种在通信网络中身份认证方法和装置。所述方法包括：采集用户操作浏览器过程中生成的浏览器指纹信息，其中所述浏览器指纹信息是根据浏览器当前的基础配置信息和终端设备中硬件的动态变化结果生成的；将采集得到的浏览器指纹信息与预先保存的浏览器指纹基准信息进行比对，得到比对结果；根据所述比对结果，控制所述用户使用所述浏览器的权限。

Description

在通信网络中身份认证方法和装置

技术领域

本发明涉及信息处理领域，尤指一种在通信网络中身份认证方法和装置。

背景技术

计算机网络中一切信息包括用户的身份信息都是用一组特定的数据来表示的，计算机只能识别用户的数字身份，所有对用户的授权也是针对用户数字身份的授权。如何保证以数字身份进行操作的操作者就是这个数字身份合法拥有者，也就是说保证操作者的物理身份与数字身份相对应，身份认证就是为了解决这个问题，作为防护网络资产的第一道关口，身份认证有着举足轻重的作用。

身份认证也称为“身份验证”或“身份鉴别”，是指在计算机及计算机网络***中确认操作者身份的过程，从而确定该用户是否具有对某种资源的访问和使用权限，进而使计算机和网络***的访问策略能够可靠、有效地执行，防止攻击者假冒合法用户获得资源的访问权限，保证***和数据的安全，以及授权访问者的合法利益。

传统身份认证技术在便捷性、实用性、灵活性、成本方面存在劣势，如以“U盾”为代表硬件安全设备需要定期更换，便携性差，成本高。随着移动互联新生态快速崛起和网络安全威胁多维度爆发，亟需身份认证技术的优化。

发明内容

为了解决上述技术问题，本发明提供了一种在通信网络中身份认证方法和装置，减低身份认证操作所需的硬件成本。

为了达到本发明目的，本发明提供了一种在通信网络中身份认证方法，包括：

采集用户操作浏览器过程中生成的浏览器指纹信息，其中所述浏览器指纹信息是根据浏览器当前的基础配置信息和终端设备中硬件的动态变化结果生成的；

将采集得到的浏览器指纹信息与预先保存的浏览器指纹基准信息进行比对，得到比对结果；

根据所述比对结果，控制所述用户使用所述浏览器的权限。

其中，所述方法还具有如下特点：所述将采集得到的浏览器指纹信息与预先保存的浏览器指纹基准信息进行比对，得到比对结果，包括：

计算所述浏览器指纹信息与所述浏览器指纹基准信息间的差值；

将所述差值与预先设置的差值阈值进行比较；

如果比较结果为所述差值在所述差值阈值范围内，则确定所述比对结果为指纹认证通过；否则，确定所述比对结果为指纹认证不通过。

其中，所述方法还具有如下特点：所述根据所述比对结果，控制所述用户使用所述浏览器的权限，包括：

根据所述比对结果，生成所述用户的浏览器访问权限信息；

向所述终端设备发送所述用户浏览器访问权限信息。

其中，所述方法还具有如下特点：所述方法还包括：

采集终端设备上浏览器当前的基准配置信息和硬件动态变化的结果，生成浏览器指纹基准信息，并将所述浏览器指纹基准信息保存在服务器端的安全存储区。

其中，所述方法还具有如下特点：所述将所述浏览器指纹基准信息保存在服务器端的安全存储区还包括：

接收终端设备加密后的浏览器指纹基准信息；

根据预先设置的加解密策略，读取解密密钥；

利用所述解密密钥解密所述加密后的浏览器指纹基准信息，得到浏览器指纹基准信息。

一种在通信网络中身份认证装置，包括：

采集模块，用于采集用户操作浏览器过程中生成的浏览器指纹信息，其中所述浏览器指纹信息是根据浏览器当前的基础配置信息和终端设备中硬件的动态变化结果生成的；

比对模块，用于将采集得到的浏览器指纹信息与预先保存的浏览器指纹基准信息进行比对，得到比对结果；

控制模块，用于根据所述比对结果，控制所述用户使用所述浏览器的权限。

其中，所述装置还具有如下特点：所述比对模块包括：

计算单元，用于计算所述浏览器指纹信息与所述浏览器指纹基准信息间的差值；

比较单元，用于将所述差值与预先设置的差值阈值进行比较；

确定单元，用于如果比较结果为所述差值在所述差值阈值范围内，则确定所述比对结果为指纹认证通过；否则，确定所述比对结果为指纹认证不通过。

其中，所述装置还具有如下特点：所述控制模块包括：

生成单元，用于根据所述比对结果，生成所述用户的浏览器访问权限信息；

发送单元，用于向所述终端设备发送所述用户浏览器访问权限信息。

其中，所述装置还具有如下特点：所述装置还包括：

处理模块，用于采集终端设备上浏览器当前的基准配置信息和硬件动态变化的结果，生成浏览器指纹基准信息，并将所述浏览器指纹基准信息保存在服务器端的安全存储区。

其中，所述装置还具有如下特点：所述处理模块还包括：

接收单元，用于接收终端设备加密后的浏览器指纹基准信息；

读取单元，用于根据预先设置的加解密策略，读取解密密钥；

解密单元，用于利用所述解密密钥解密所述加密后的浏览器指纹基准信息，得到浏览器指纹基准信息。

本发明提供的实施例，采集浏览器当前的基础配置信息和终端设备中硬件的动态变化结果，得到浏览器指纹信息，与预设的浏览器指纹基准值进行比对，根据比对结果，对访问进行控制，实现身份认证的目的，与现有技术相比，本发明采用浏览器当前的基础配置和硬件动态变化结果进行判断，无需增加硬件成本，在保证检测精准前提下，实现身份认证，减低了身份认证所需的硬件成本。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。

附图说明

附图用来提供对本发明技术方案的进一步理解，并且构成说明书的一部分，与本申请的实施例一起用于解释本发明的技术方案，并不构成对本发明技术方案的限制。

图1为本发明提供的在通信网络中身份认证方法的流程图；

图2为本发明应用实例提供的基于浏览器指纹的身份认证方法的示意图；

图3为本发明提供的在通信网络中身份认证装置的结构图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机***中执行。并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

图1为本发明提供的在通信网络中身份认证方法的流程图。图1所示方法包括：

步骤101、采集用户操作浏览器过程中生成的浏览器指纹信息，其中所述浏览器指纹信息是根据浏览器当前的基础配置信息和终端设备中硬件的动态变化结果生成的；

其中，与现有技术中不同的是，本步骤采集的信息均为终端设备已存在的软件配置和硬件配置的信息，无需增加硬件成本；

步骤102、将采集得到的浏览器指纹信息与预先保存的浏览器指纹基准信息进行比对，得到比对结果；

其中，本步骤的比对是用于计算上述两个指纹信息是否相似，如果相似度达到预期，则确定比对结果为指纹通过，否则确定比对结果为指纹不通过；

步骤103、根据所述比对结果，控制所述用户使用所述浏览器的权限。

本发明提供的方法实施例，采集浏览器当前的基础配置信息和终端设备中硬件的动态变化结果，得到浏览器指纹信息，与预设的浏览器指纹基准值进行比对，根据比对结果，对访问进行控制，实现身份认证的目的，与现有技术相比，本发明采用浏览器当前的基础配置和硬件动态变化结果进行判断，无需增加硬件成本，在保证检测精准前提下，实现身份认证，减低了身份认证所需的硬件成本。

下面对本发明提供的方法实施例作进一步说明：

本发明实现了一种基于浏览器指纹的身份认证技术，基于此技术对浏览器指纹的进行采集、加密、校验、存储，实现对浏览器所在智能终端设备身份认证，如PC、手机和Pad等，提供一种新的安全有效的身份认证方法，以此为基础实现多因子身份认证方式，增强安全性和便捷性的同时降低使用成本，丰富和提升身份认证技术。

其中，浏览器可以为现有技术中的Chrome、IE、Opera、Firefox、360安全浏览器和腾讯浏览器等浏览器，采集信息包括User Agent、时区信息、屏幕信息、语言设置、插件列表、***安装的字体、地理位置、MIME(Multipurpose Internet Mail Extensions)多用途互联网邮件扩展类型列表、移动设备加速器和陀螺仪的噪音信号、Canvas、Web Font和WebGL中的至少一个等。

利用上述信息生成浏览器指纹的采集。浏览器指纹具有无需在客户端保存任何信息，不会被用户发觉，用户也无法清除的特点。上述全面的浏览器信息保证浏览器指纹的唯一性。

在本发明提供的一个方法实施例中，所述将采集得到的浏览器指纹信息与预先保存的浏览器指纹基准信息进行比对，得到比对结果，包括：

计算所述浏览器指纹信息与所述浏览器指纹基准信息间的差值；

将所述差值与预先设置的差值阈值进行比较；

如果比较结果为所述差值在所述差值阈值范围内，则确定所述比对结果为指纹认证通过；否则，确定所述比对结果为指纹认证不通过。

具体的，在实现对浏览器指纹的安全分析过程中，对比传入的浏览器指纹信息和已存储的浏览器指纹基准信息，根据计算的相似度判定身份的合法性，并结合机器学习算法跟踪并分析潜在风险。相似度计算包括如下方面：

1)不同设备信息采用不同的对比策略和权重设置；

具体的，通过对上述浏览器当前的基础配置信息和终端设备中硬件的动态变化的多次采样，根据参数对应的结果的变化情况，确定上述参数的灵敏度，即变化次数越多的参数，该参数的灵敏度越高，反之，则该参数的灵敏度越低；在得到该参数的灵敏度后，根据该灵敏度设置参数的权重，提高浏览器指纹的唯一性的可能性。

2)识别设备信息正常的变化，避免造成误判。

具体的，在终端设备使用过程中，采集时间以及终端设备的运行环境会造成浏览器指纹的结果有一定的偏差空间，需提前计算该偏差空间，以便在后续比较时，不会产生误判。

在本发明实施例中，通过对海量认证请求的处理和大规模浏览器指纹的存储，由认证服务校验服务和存储服务采用集群实现对***的水平扩容、负载均衡和自动灾备，提升认证服务的稳定性和效率。

举例来说，通过计算浏览器指纹信息与所述浏览器指纹基准信息间的差异，将差异与差异阈值进行比较，根据差异结果来判断两者的相似度，在相似度符合预设的相似度阈值时，确定浏览器指纹认证通过，否则，确定浏览器指纹认证不通过。其中，浏览器指纹的比对方式可以采用现有技术中的识别方式进行比对，此处不再赘述。

其中，相似度阈值大小的设置可以根据设备信息正常变化所产生的设置，具体可通过多次实验采集得到。

在本发明提供的一个方法实施例中，所述根据所述比对结果，控制所述用户使用所述浏览器的权限，包括：

根据所述比对结果，生成所述用户的浏览器访问权限信息；

向所述终端设备发送所述用户浏览器访问权限信息。

具体的，由于浏览器指纹比对的计算处理量较大，为保证处理及时度和准确度，需有服务器来进行管理，由服务器进行后续判断的输出和发送，通知终端设备根据该判断结果进行控制。

需要说明的是，在处理终端设备发送到实时的浏览器指纹信息时，需要提前将浏览器指纹基准值配置完成，因此，在执行认证前，所述方法还包括：

采集终端设备上浏览器当前的基准配置信息和硬件动态变化的结果，生成浏览器指纹基准信息，并将所述浏览器指纹基准信息保存在服务器端的安全存储区。

具体的，该浏览器指纹基准值可以存储于设备***或核心应用保护的存储空间，保证该信息不会轻易被篡改。

在本发明提供的一个方法实施例中，所述将所述浏览器指纹基准信息保存在服务器端的安全存储区还包括：

接收终端设备加密后的浏览器指纹基准信息；

根据预先设置的加解密策略，读取解密密钥；

利用所述解密密钥解密所述加密后的浏览器指纹基准信息，得到浏览器指纹基准信息。

具体的，对浏览器指纹的安全处理可以采用HTTPS、RSA等数据传输和数据加密技术极大限制了“中间人攻击”的难度；前端代码随时间空间信息做混淆，极大增加代码的破解难度。

由上可以看出，浏览器作为用户最常用的终端软件，以浏览器基础实现对智能终端的身份标示，从而实现一种新的安全有效的身份认证方法，丰富和提升身份认证技术。

下面对本发明提供的应用实例作进一步说明：

图2为本发明应用实例提供的基于浏览器指纹的身份认证方法的示意图。图2所示方法包括：

1.客户端程序包括业务相关的业务程序、存储“浏览器ID”和浏览器身份认证组件。

(1)“浏览器ID”存储于设备***或核心应用保护的存储空间，当第一次使用或者“浏览器ID”丢失时通过调用校验接口重新获取并存储；

(2)指纹提取模块提取浏览器指纹；

(3)加密模块对提取到的设备指纹进行加密；

(4)数据传输模块与认证服务器进行交互，将存储“浏览器ID”和浏览器指纹数据上报，如果此时“浏览器ID”为空将返回的“浏览器ID”保存。

2.认证服务器接收到认证请求进行解密、验证、存储、告警等操作。

(1)数据解密模块进行解密；

(2)验证模块计算设备指纹的相似度，判定身份认证请求是否合法，如果传入的“浏览器ID”为空则生成新的“浏览器ID”；

(3)当认证合法时且不存在此浏览器信息时，数据存储模块存储此“浏览器ID”和浏览器指纹数据。当相似度不是100％但依然合法时，更新浏览器指纹数据。

(4)当验证不合法时告警模块发出告警。

本发明应用实例提供的方法，基于浏览器指纹的身份认证，实现多因子身份认证方式，增强安全性和便捷性的同时降低使用成本，丰富和提升身份认证技术无需特定硬件；支持对浏览器指纹进行全面采集保证设备唯一性；对浏览器指纹进行安全分析，在保证安全的情况下允许部分浏览器信息可变。提供一种新的安全有效的身份认证方法。相比传统身份认证技术，在便捷性、实用性、灵活性、成本方面具有优势。

图3为本发明提供的在通信网络中身份认证装置的结构图。图3所示装置包括：

采集模块301，用于采集用户操作浏览器过程中生成的浏览器指纹信息，其中所述浏览器指纹信息是根据浏览器当前的基础配置信息和终端设备中硬件的动态变化结果生成的；

比对模块302，用于将采集得到的浏览器指纹信息与预先保存的浏览器指纹基准信息进行比对，得到比对结果；

控制模块303，用于根据所述比对结果，控制所述用户使用所述浏览器的权限。

在本发明提供的一个装置实施例中，所述比对模块302包括：

计算单元，用于计算所述浏览器指纹信息与所述浏览器指纹基准信息间的差值；

比较单元，用于将所述差值与预先设置的差值阈值进行比较；

确定单元，用于如果比较结果为所述差值在所述差值阈值范围内，则确定所述比对结果为指纹认证通过；否则，确定所述比对结果为指纹认证不通过。

在本发明提供的一个装置实施例中，所述控制模块303包括：

生成单元，用于根据所述比对结果，生成所述用户的浏览器访问权限信息；

发送单元，用于向所述终端设备发送所述用户浏览器访问权限信息。

在本发明提供的一个装置实施例中，所述装置还包括：

处理模块，用于采集终端设备上浏览器当前的基准配置信息和硬件动态变化的结果，生成浏览器指纹基准信息，并将所述浏览器指纹基准信息保存在服务器端的安全存储区。

在本发明提供的一个装置实施例中，所述处理模块还包括：

接收单元，用于接收终端设备加密后的浏览器指纹基准信息；

读取单元，用于根据预先设置的加解密策略，读取解密密钥；

解密单元，用于利用所述解密密钥解密所述加密后的浏览器指纹基准信息，得到浏览器指纹基准信息。

本发明提供的装置实施例，采集浏览器当前的基础配置信息和终端设备中硬件的动态变化结果，得到浏览器指纹信息，与预设的浏览器指纹基准值进行比对，根据比对结果，对访问进行控制，实现身份认证的目的，与现有技术相比，本发明采用浏览器当前的基础配置和硬件动态变化结果进行判断，无需增加硬件成本，在保证检测精准前提下，实现身份认证，减低了身份认证所需的硬件成本。

本领域普通技术人员可以理解上述实施例的全部或部分步骤可以使用计算机程序流程来实现，所述计算机程序可以存储于一计算机可读存储介质中，所述计算机程序在相应的硬件平台上(如***、设备、装置、器件等)执行，在执行时，包括方法实施例的步骤之一或其组合。

可选地，上述实施例的全部或部分步骤也可以使用集成电路来实现，这些步骤可以被分别制作成一个个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

上述实施例中的各装置/功能模块/功能单元可以采用通用的计算装置来实现，它们可以集中在单个的计算装置上，也可以分布在多个计算装置所组成的网络上。

上述实施例中的各装置/功能模块/功能单元以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。上述提到的计算机可读取存储介质可以是只读存储器，磁盘或光盘等。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求所述的保护范围为准。

Claims (10)

1.一种在通信网络中身份认证方法，其特征在于，包括：

采集用户操作浏览器过程中生成的浏览器指纹信息，其中所述浏览器指纹信息是根据浏览器当前的基础配置信息和终端设备中硬件的动态变化结果生成的；

将采集得到的浏览器指纹信息与预先保存的浏览器指纹基准信息进行比对，得到比对结果；

根据所述比对结果，控制所述用户使用所述浏览器的权限。

2.根据权利要求1所述的方法，其特征在于，所述将采集得到的浏览器指纹信息与预先保存的浏览器指纹基准信息进行比对，得到比对结果，包括：

计算所述浏览器指纹信息与所述浏览器指纹基准信息间的差值；

将所述差值与预先设置的差值阈值进行比较；

如果比较结果为所述差值在所述差值阈值范围内，则确定所述比对结果为指纹认证通过；否则，确定所述比对结果为指纹认证不通过。

3.根据权利要求1所述的方法，其特征在于，所述根据所述比对结果，控制所述用户使用所述浏览器的权限，包括：

根据所述比对结果，生成所述用户的浏览器访问权限信息；

向所述终端设备发送所述用户浏览器访问权限信息。

4.根据权利要求1至3任一所述的方法，其特征在于，所述方法还包括：

采集终端设备上浏览器当前的基准配置信息和硬件动态变化的结果，生成浏览器指纹基准信息，并将所述浏览器指纹基准信息保存在服务器端的安全存储区。

5.根据权利要求4所述的方法，其特征在于，所述将所述浏览器指纹基准信息保存在服务器端的安全存储区还包括：

接收终端设备加密后的浏览器指纹基准信息；

根据预先设置的加解密策略，读取解密密钥；

利用所述解密密钥解密所述加密后的浏览器指纹基准信息，得到浏览器指纹基准信息。

6.一种在通信网络中身份认证装置，其特征在于，包括：

采集模块，用于采集用户操作浏览器过程中生成的浏览器指纹信息，其中所述浏览器指纹信息是根据浏览器当前的基础配置信息和终端设备中硬件的动态变化结果生成的；

比对模块，用于将采集得到的浏览器指纹信息与预先保存的浏览器指纹基准信息进行比对，得到比对结果；

控制模块，用于根据所述比对结果，控制所述用户使用所述浏览器的权限。

7.根据权利要求6所述的装置，其特征在于，所述比对模块包括：

计算单元，用于计算所述浏览器指纹信息与所述浏览器指纹基准信息间的差值；

比较单元，用于将所述差值与预先设置的差值阈值进行比较；

确定单元，用于如果比较结果为所述差值在所述差值阈值范围内，则确定所述比对结果为指纹认证通过；否则，确定所述比对结果为指纹认证不通过。

8.根据权利要求6所述的装置，其特征在于，所述控制模块包括：

生成单元，用于根据所述比对结果，生成所述用户的浏览器访问权限信息；

发送单元，用于向所述终端设备发送所述用户浏览器访问权限信息。

9.根据权利要求6至8任一所述的装置，其特征在于，所述装置还包括：

处理模块，用于采集终端设备上浏览器当前的基准配置信息和硬件动态变化的结果，生成浏览器指纹基准信息，并将所述浏览器指纹基准信息保存在服务器端的安全存储区。

10.根据权利要求9所述的装置，其特征在于，所述处理模块还包括：

接收单元，用于接收终端设备加密后的浏览器指纹基准信息；

读取单元，用于根据预先设置的加解密策略，读取解密密钥；

解密单元，用于利用所述解密密钥解密所述加密后的浏览器指纹基准信息，得到浏览器指纹基准信息。