CN113630405B - 入网认证方法、装置、电子设备及存储介质 - Google Patents

Abstract

本公开是关于一种入网认证方法、装置、终端及存储介质，属于网络安全技术领域。入网认证方法包括：接收终端的入网请求，入网请求包括目标身份证书以及终端标识，目标身份证书用于反映终端对应的用户是否具有接入目标网络的入网权限；根据身份证书与授予终端标识之间的对应关系，确定目标身份证书对应的目标授予终端标识，授予终端标识指示的终端为被授予对应的身份证书的终端；对终端标识与目标授予终端标识进行一致性验证；在终端标识与目标授予终端标识不同时，禁止终端接入目标网络；在终端标识与目标授予终端标识相同时，允许终端接入目标网络。本公开能够提高网络入网认证的安全性。

Description

入网认证方法、装置、电子设备及存储介质

技术领域

本公开涉及网络安全技术领域，尤其涉及一种入网认证方法、装置、电子设备及存储介质。

背景技术

随着各类有线网络和无线网络的广泛应用，如何实现针对网络用户的有效接入认证，以保证接入网络的终端为合规终端，日益成为人们更为关注的问题。例如，对于企业类无线网络，通过对网络用户实现有效地接入认证，从而保证接入网络的终端为企业员工对应的终端，进而保障企业网络安全就尤为重要。

目前，终端在接入网络时需要在认证服务器中入网认证后才可以接入网络。终端在向认证服务器发起入网认证时，认证服务器仅对终端所登录的用户的账号名称和密码进行认证。而用户的账号名称和密码容易遗忘、泄露、被窃取等，因而目前终端入网认证方式的安全性较低。

发明内容

本公开提供一种入网认证方法、装置、终端及存储介质，能够在一定程度上解决目前终端入网认证方式的安全性较低的问题。

根据本公开实施例的第一方面，提供一种入网认证方法，应用于服务端，所述方法包括：

接收终端的入网请求，所述入网请求包括目标身份证书以及终端标识，所述目标身份证书用于反映所述终端对应的用户是否具有接入目标网络的入网权限；

根据身份证书与授予终端标识之间的对应关系，确定所述目标身份证书对应的目标授予终端标识，所述授予终端标识指示的终端为被授予对应的身份证书的终端；

对所述终端标识与所述目标授予终端标识进行一致性验证；

在所述终端标识与所述目标授予终端标识不同时，禁止所述终端接入所述目标网络；

在所述终端标识与所述目标授予终端标识相同时，允许所述终端接入所述目标网络。

在一种可能实现方式中，在所述允许所述终端接入所述目标网络之前，所述方法还包括：

采用至少一种校验数据验证所述目标身份证书的有效性，所述校验数据记录身份证书的有效性状态，所述至少一种校验数据包括：实时更新的第一校验数据、周期性更新的第二校验数据；

在采用任意一种所述校验数据确定所述目标身份证书处于无效状态时，禁止所述终端接入所述目标网络；

所述允许所述终端接入所述目标网络，包括：在采用所有所述校验数据均确定所述目标身份证书处于有效状态时，允许所述终端接入所述目标网络。

在一种可能实现方式中，所述第一校验数据包括身份证书库中存储的数据，采用所述第一校验数据验证所述目标身份证书的有效性，包括：

根据在线证书状态协议调用身份证书库，查询所述身份证书库中记录的所述目标身份证书的有效性状态，所述有效性状态至少包括有效状态或者无效状态，所述身份证书库中存储的各身份证书的有效性状态实时更新。

在一种可能实现方式中，所述第二校验数据包括证书撤销列表中记录的数据，采用所述第二校验数据验证所述目标身份证书的有效性，包括：

获取周期性更新后的证书撤销列表，所述证书撤销列表记录有处于无效状态的身份证书；

查询所述证书撤销列表是否包括所述目标身份证书；

在确定所述证书撤销列表不包括所述目标身份证书时，确定所述目标身份证书处于有效状态；

在确定所述证书撤销列表包括所述目标身份证书时，确定所述目标身份证书处于无效状态。

在一种可能实现方式中，所述证书撤销列表还包括：身份证书的失效时刻；所述在确定所述证书撤销列表包括所述目标身份证书时，确定所述目标身份证书处于无效状态，包括：

在确定所述证书撤销列表包括所述目标身份证书，且所述服务端的当前时刻大于所述目标身份证书的失效时刻时，确定所述目标身份证书处于无效状态。

在一种可能实现方式中，在所述接收终端的入网请求之前，所述方法还包括：

接收所述终端首次发送的入网请求，所述首次发送的入网请求包括所述用户的账号信息以及所述终端的终端标识；

在确定所述账号信息对应的账号属于所述目标网络对应的可接入账号时，生成所述账号信息对应的处于有效状态的目标身份证书，所述处于有效状态的目标身份证书用于反映所述用户具有接入目标网络的入网权限；

将所述终端标识作为所述目标身份证书的目标授予终端标识，并记录所述目标身份证书与所述目标授予终端标识的对应关系；

向所述终端发送所述账号信息对应的目标身份证书，所述目标身份证书供所述终端安装。

在一种可能实现方式中，在接收所述终端首次发送的入网请求之前，所述方法还包括：在接收所述终端发送的身份验证请求时，向所述终端发送验证消息；

所述首次发送的入网请求还包括：待验证信息，所述在确定所述账号信息属于所述目标网络对应的可接入账号时，生成所述账号信息对应的处于有效状态的目标身份证书，包括：

在确定所述账号信息属于所述目标网络对应的可接入账号，且所述验证消息与所述待验证消息一致时，生成所述账号信息对应的处于有效状态的目标身份证书。

在一种可能实现方式中，所述首次发送的入网请求还包括：所述终端的操作***类型，所述生成所述账号信息对应的处于有效状态的目标身份证书，包括：

生成目标文件类型的目标身份证书，所述目标文件类型与所述操作***类型对应。

在一种可能实现方式中，所述身份证书库中还记录有所述目标身份证书的失效时刻以及所述目标身份证书对应的用户有效状态；所述方法还包括：

在检测到设定事件时，将所述身份证书库中所述目标身份证书的有效性状态更新为无效状态，其中，所述设定事件包括以下至少一项：

所述终端标识与所述目标授予终端标识不同，

所述服务端的当前时刻大于所述身份证书库中记录的目标身份证书的失效时刻，

所述身份证书库中记录的目标身份证书对应的用户有效状态更新为无效用户状态。

在一种可能实现方式中，身份证书包括以下至少一项：国家代码、所述目标网络所在地理位置、企业名称、所述目标网络的域名、身份证书有效天数。

根据本公开实施例的第二方面，提供一种入网认证装置，应用于服务端，所述装置包括：

接收模块，用于接收终端的入网请求，所述入网请求包括目标身份证书以及终端标识，所述目标身份证书用于反映所述终端对应的用户是否具有接入目标网络的入网权限；

确定模块，用于根据身份证书与授予终端标识之间的对应关系，确定所述目标身份证书对应的目标授予终端标识，所述授予终端标识指示的终端为被授予对应的身份证书的终端；

验证模块，用于对所述终端标识与所述目标授予终端标识进行一致性验证；

接入模块，用于在所述终端标识与所述目标授予终端标识不同时，禁止所述终端接入所述目标网络；以及还用于在所述终端标识与所述目标授予终端标识相同时，允许所述终端接入所述目标网络。

在一种可能实现方式中，所述验证模块，还用于采用至少一种校验数据验证所述目标身份证书的有效性，所述校验数据记录身份证书的有效性状态，所述至少一种校验数据包括：实时更新的第一校验数据、周期性更新的第二校验数据；

所述接入模块，还用于在采用任意一种所述校验数据确定所述目标身份证书处于无效状态时，禁止所述终端接入所述目标网络；

所述接入模块，还用于在采用所有所述校验数据均确定所述目标身份证书处于有效状态时，允许所述终端接入所述目标网络。

在一种可能实现方式中，所述第一校验数据包括身份证书库中存储的数据，所述验证模块，还用于：

根据在线证书状态协议调用身份证书库，查询所述身份证书库中记录的所述目标身份证书的有效性状态，所述有效性状态至少包括有效状态或者无效状态，所述身份证书库中存储的各身份证书的有效性状态实时更新。

在一种可能实现方式中，所述第二校验数据包括证书撤销列表中记录的数据，所述验证模块，还用于：

获取周期性更新后的证书撤销列表，所述证书撤销列表记录有处于无效状态的身份证书；

查询所述证书撤销列表是否包括所述目标身份证书；

在确定所述证书撤销列表不包括所述目标身份证书时，确定所述目标身份证书处于有效状态；

在确定所述证书撤销列表包括所述目标身份证书时，确定所述目标身份证书处于无效状态。

在一种可能实现方式中，所述证书撤销列表还包括：身份证书的失效时刻；所述验证模块，还用于在确定所述证书撤销列表包括所述目标身份证书，且所述服务端的当前时刻大于所述目标身份证书的失效时刻时，确定所述目标身份证书处于无效状态。

在一种可能实现方式中，所述接收模块，还用于接收所述终端首次发送的入网请求，所述首次发送的入网请求包括所述用户的账号信息以及所述终端的终端标识；

所述装置还包括：

生成模块，用于在确定所述账号信息对应的账号属于所述目标网络对应的可接入账号时，生成所述账号信息对应的处于有效状态的目标身份证书，所述处于有效状态的目标身份证书用于反映所述用户具有接入目标网络的入网权限；

记录模块，用于将所述终端标识作为所述目标身份证书的目标授予终端标识，并记录所述目标身份证书与所述目标授予终端标识的对应关系；

发送模块，用于向所述终端发送所述账号信息对应的目标身份证书，所述目标身份证书供所述终端安装。

在一种可能实现方式中，所述发送模块，还用于在接收所述终端发送的身份验证请求时，向所述终端发送验证消息；

所述首次发送的入网请求还包括：待验证信息，所述生成模块，还用于在确定所述账号信息属于所述目标网络对应的可接入账号，且所述验证消息与所述待验证消息一致时，生成所述账号信息对应的处于有效状态的目标身份证书。

在一种可能实现方式中，所述首次发送的入网请求还包括：所述终端的操作***类型，所述生成模块，还用于生成目标文件类型的目标身份证书，所述目标文件类型与所述操作***类型对应。

在一种可能实现方式中，所述身份证书库中还记录有所述目标身份证书的失效时刻以及所述目标身份证书对应的用户有效状态；所述装置还包括：

检测模块，用于在检测到设定事件时，将所述身份证书库中所述目标身份证书的有效性状态更新为无效状态，其中，所述设定事件包括以下至少一项：

所述终端标识与所述目标授予终端标识不同，

所述服务端的当前时刻大于所述身份证书库中记录的目标身份证书的失效时刻，

所述身份证书库中记录的目标身份证书对应的用户有效状态更新为无效用户状态。

在一种可能实现方式中，身份证书包括以下至少一项：国家代码、所述目标网络所在地理位置、企业名称、所述目标网络的域名、身份证书有效天数。

根据本公开实施例的第三方面，提供了一种电子设备，包括：

一个或多个处理器；

用于存储所述一个或多个处理器可执行指令的一个或多个存储器；

其中，所述一个或多个处理器被配置为执行上述任一方面或任一方面的任一种可能实现方式所述的入网认证方法。

根据本公开实施例的第四方面，提供了一种计算机可读存储介质，当所述计算机可读存储介质中的指令由电子设备的处理器执行时，使得电子设备能够执行上述第一方面或第一方面的任一种可能实现方式所述的入网认证方法。

根据本公开实施例的第五方面，提供了一种计算机程序产品，包括计算机程序指令，所述计算机程序指令被处理器执行时实现上述第一方面或第一方面的任一种可能实现方式所述的入网认证方法。

根据本公开实施例的第六方面，提供一种应用程序产品，当所述应用程序产品中的指令由终端的处理器执行时，使得终端能够执行上述第一方面或第一方面的任一种可能实现方式所述的入网认证方法。

本公开的实施例提供的技术方案可以包括以下有益效果：

本公开实施例提供的入网认证方法、装置、电子设备及存储介质，在接收到来自终端的入网请求后，可以通过身份证书与授予终端标识之间的对应关系，确定与入网请求包括的目标身份证书对应的目标授予终端标识。从而根据入网请求包括的终端标识与目标授予终端标识的一致性检验结果，判断是否允许终端接入目标网络。该技术方案相较于相关技术中对终端进行入网认证的方式，不涉及用户的账号名称和密码的验证，避免了因账号名称和密码遗忘、泄露、被窃取等原因造成的入网认证方式的安全性较低的问题，降低了终端入网认证的风险，提升了网络完全性。并且，由于授予终端标识指示的终端为被授予对应的身份证书的终端，因此根据入网请求包括的终端标识与目标授予终端标识的一致性检验结果，判断是否允许终端接入目标网络，实现了对入网终端的身份校验，从而进一步避免了身份证书被盗等情况对入网认证方式的安全性的影响，提高网络完全性。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。

图1是根据一示例性实施例示出的一种入网认证方法的实施环境示意图。

图2是根据一示例性实施例示出的另一种入网认证方法的实施环境示意图。

图3是根据一示例性实施例示出的一种入网认证方法的流程图。

图4是根据一示例性实施例示出的一种网络登录界面的示意图。

图5是根据一示例性实施例示出的另一种入网认证方法的流程图。

图6是根据一示例性实施例示出的一种入网认证装置的框图。

图7是根据一示例性实施例示出的一种电子设备的框图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本公开相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本公开的一些方面相一致的装置和方法的例子。

需要说明的是，本公开的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本公开的实施例能够以除了在这里图示或描述的那些以外的顺序实施。以下示例性实施例中所描述的实施方式并不代表与本公开相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本公开的一些方面相一致的装置和方法的例子。

图1是根据一示例性实施例示出的一种入网认证方法的实施环境示意图。如图1所示，实施环境包括：终端101和服务端102。终端101可以与服务端102通过有线网络或者无线网络连接。

其中，服务端102隶属于一目标网络，可以用于实现目标网络的入网认证功能，以确保目标网络的安全。示例的，服务端102可以是任何可提供计算服务，能够响应服务请求，并进行处理的设备，例如可以是常规服务器、云服务器、云主机、虚拟中心等。终端101可以在通过服务端102入网认证后接入目标网络。示例的，终端101可以是智能手机、平板电脑、个人电脑、穿戴设备等。在一种实现场景中，服务器102隶属的目标网络可以是属于某一企业的企业网络，则本公开实施例提供的入网认证方法可以应用于针对企业网络的入网认证。

可选地，服务端102可以执行的入网认证功能可以包括：设备维度的认证功能以及用户身份维度的认证功能。其中，终端101向服务端102发送的入网请求可以包括：目标身份证书以及终端标识。目标身份证书用于反映终端对应的用户是否具有接入目标网络的入网权限。则设备维度的认证功能可以指的是入网请求中携带的终端标识，与被授予目标身份证书的授予终端标识的一致性认证。用户身份维度的认证功能可以指的是针对目标身份证书的有效性的认证。

在一种可选的实现方式中，如图2所示，在图1所示的实施环境的基础上，服务端102可以包括：第一服务端102A以及至少一个第二服务端。其中，第一服务端102A可以用于接收终端101发送的入网请求，并针对入网请求的发起终端进行设备维度的认证功能。至少一个第二服务端可以用于针对入网请求的发起终端进行用户身份维度的认证功能。在一种可选地实现方式中，第一服务端102A可以为远程用户拨号认证***(Remoteauthentication dial in userservice，Radius)服务端。其中，终端101与服务端之间交互数据需要封装为Radius协议报文。Radius服务端可以用于终端与服务端之间所需传输的数据进行Radius协议报文封装与解封装，实现数据交互。

可选的，针对入网请求的发起终端进行用户身份维度的认证可以具有多种认证方式。则第二服务端的数量可以为多个，一个第二服务端可以用于基于一种认证方式实现用户身份维度的认证功能。图2以通过两种认证方式实现用户身份维度认证功能时，实施环境可对应包括两个第二服务端(102B1和102B2)为例进行说明。

在本公开实施例示例性的入网认证***中，终端101可以通过入网认证接入服务器102所属的目标网络。其中，终端101可以用于基于其安装的身份证书向服务器102发起入网请求。服务器102可以用于根据入网请求对用户的入网权限进行验证处理。在对入网权限验证通过时，允许终端接入目标网络。

图3是根据一示例性实施例示出的一种入网认证方法的流程图。入网认证方法可以应用于图1或图2所示的实施环境，由该实施环境中的服务端102执行。如图3所示，入网请求包括：

在步骤301中，接收终端的入网请求，入网请求包括目标身份证书以及终端标识，目标身份证书用于反映终端对应的用户是否具有接入目标网络的入网权限。

本公开实施例中，终端标识可以为终端的媒体存取控制位址(Media AccessControl Address，MAC)和/或互联网协议地址(Internet Protocol Address，IP)。目标身份证书可以是服务端生成并颁发至终端的数字凭证。目标身份证书的有效性可以用于反映终端对应的用户是否具有接入目标网络的入网权限。用户的终端在已安装有目标身份证书的情况下，若用户想要使得自己的终端接入服务端隶属的目标网络，则用户可以执行入网操作，以使得终端生成入网请求，并将入网请求发送至服务端。服务端可以接收终端的入网请求，从而根据入网请求执行后续入网认证操作。

示例的，用户的终端在已安装目标身份证书的情况下，若想要使得自己的终端接入企业的目标网络。则用户可以在如图4所示的网络登录界面，输入目标网络的网络名称sectest-1-sec、选择扩展认证协议(Extensible Authentication Protocol，EAP)为身份证书、选择安全类型为WPA2企业AES，点击保存按钮。终端在接收到针对保存按钮的点击操作后，可以响应于该点击操作，生成入网请求，该入网请求包括终端上安装的目标身份证书以及终端标识。并将入网请求发送至服务端，以使得服务端接收该入网请求。其中，选择安全类型为WPA2企业AES即指的是选择网络传输的加密方式为WPA2企业AES，WPA2企业AES是一种基于Wi-Fi保护访问II(WPA2)以及高级加密标准(AES)的加密方式。

在步骤302中，根据身份证书与授予终端标识之间的对应关系，确定目标身份证书对应的目标授予终端标识。授予终端标识指示的终端为被授予对应的身份证书的终端。

本公开实施例中，服务端可以将身份证书与该身份证书被授予的终端的授予终端标识关联存储，以基于关联关系表征身份证书与授予终端标识之间的对应关系。或者，服务端可以存储身份证书文档。该身份证书文档记录有身份证书与授予终端标识之间的对应关系。服务端可以查询份证书与授予终端标识之间的对应关系，从该对比关系中查询得到目标身份证书对应的目标授予终端标识。其中，身份证书文档的格式可以为表格或者文本等。

可选的，授予终端标识可以为终端的媒体存取控制位址(Media Access ControlAddress，MAC)和/或互联网协议地址(Internet Protocol Address，IP)。示例的，授予终端标识的类型可以与入网请求中携带的终端标识的类型相同。或者，授予终端标识的类型可以与入网请求中携带的终端标识的类型不同。若授予终端标识的类型可以与入网请求中携带的终端标识的类型不同，则服务端存储有授予终端标识的类型与入网请求中携带的终端标识的类型的对应关系。

在步骤303中，对终端标识与目标授予终端标识进行一致性验证。

本公开实施例中，服务端可以将确定的目标身份证书对应的目标授予终端标识与入网请求中携带的终端标识进行比较，从而确定二者是否一致。

在步骤304中，在终端标识与目标授予终端标识不同时，禁止终端接入目标网络。

本公开实施例中，服务端在确定终端标识与目标授予终端标识不同时，表明当前发送包括目标身份证书的入网请求的终端，与目标身份证书被授予的终端不是同一个终端。进而表明可能存在目标身份证书被盗用，当前请求接入目标网络的终端可能属于异常终端，则服务端禁止终端接入目标网络。

在步骤305中，在终端标识与目标授予终端标识相同时，允许终端接入目标网络。

本公开实施例中，服务端在确定终端标识与目标授予终端标识相同时，表明当前发送包括目标身份证书的入网请求的终端，与目标身份证书被授予的终端为同一个终端。进而表明当前请求接入目标网络的终端可能属于可接入终端，则服务端允许终端接入目标网络。

综上所述，本公开实施例提供的入网认证方法，在接收到来自终端的入网请求后，可以通过身份证书与授予终端标识之间的对应关系，确定与入网请求包括的目标身份证书对应的目标授予终端标识。从而根据入网请求包括的终端标识与目标授予终端标识的一致性检验结果，判断是否允许终端接入目标网络。该技术方案相较于相关技术中对终端进行入网认证的方式，不涉及用户的账号名称和密码的验证，避免了因账号名称和密码遗忘、泄露、被窃取等原因造成的入网认证方式的安全性较低的问题，降低了终端入网认证的风险，提升了网络完全性。并且，由于授予终端标识指示的终端为被授予对应的身份证书的终端，因此根据入网请求包括的终端标识与目标授予终端标识的一致性检验结果，判断是否允许终端接入目标网络，实现了对入网终端的身份校验，从而进一步避免了身份证书被盗等情况对入网认证方式的安全性的影响，提高网络完全性。

请参考图5，图5示出了本公开实施例提供的另一种入网认证方法的流程图。入网认证方法可以应用于图1所示的实施环境。如图5所示，入网请求包括：

在步骤501中，终端首次向服务端发送入网请求，入网请求包括用户的账号信息以及终端的终端标识。

本公开实施例中，若用户首次想要使得自己的终端接入目标网络，则用户可以执行入网操作，使得终端向服务端首次发送入网请求。该入网请求可以包括用户的账号信息以及终端的终端标识。其中，用户的账号信息可以包括用户对应的账号名称和密码。终端标识可以为终端的媒体存取控制位址(Media Access Control Address，MAC)和/或互联网协议地址(Internet Protocol Address，IP)。

示例的，终端可以按照终端与服务端之间的数据传输协议生成入网请求，该入网请求包括用于携带账号名称的格式化参数、用于携带账号名称对应的密码的格式化参数以及用于携带终端的终端标识的格式化参数。

在步骤502中，服务端在确定账号信息属于目标网络对应的可接入账号时，生成账号信息对应的处于有效状态的目标身份证书。

本公开实施例中，目标身份证书用于反映终端对应的用户是否具有接入目标网络的入网权限。处于有效状态的目标身份证书用于反映用户具有接入目标网络的入网权限。相应的，处于无效状态的目标身份证书用于反映用户不具有接入目标网络的入网权限。服务端在接收到终端首次发送的入网请求后，可以解析入网请求得到入网请求包括的账号信息。判断账号信息是否属于终端想要接入的目标网络所对应的可接入账号。其中，目标网络所对应的可接入账号可以是目标网络的管理人员确定的。

可选地，服务端可以与存储有可接入账号以及账号对应密码的数据库通信。该数据库可以集成与服务端，或者该数据库可以独立于服务端。服务端可以遍历数据库中所有可接入账号，依次判断遍历得到的可接入账号与账号信息对应的账号是否相同。若相同，则服务端可以判断该相同的可接入账号的密码，与账号信息对应账号的密码是否相同。若相同，则服务端确定账号信息属于目标网络对应的可接入账号。若遍历得到的可接入账号与账号信息对应的账号不同，则服务端确定账号信息不属于目标网络对应的可接入账号，服务端禁止终端接入目标网络。若遍历得到的可接入账号与账号信息对应的账号相同，但该相同的可接入账号的密码，与账号信息对应账号的密码不同，则服务端确定账号信息不属于目标网络对应的可接入账号。

示例的，以目标网络为企业网络的场景为例。企业员工在办理入职后，由企业管理人员为企业员工生成其用于登录企业网络的账号名称和密码，该账号属于企业网络的可接入账号。企业管理人员将为入职员工分配的账号名称和密码同步并持久化至轻型目录访问协议(Lightweight Directory Access Protocol，LDAP)数据库。该LDAP数据库用于存储企业网络对应的可接入账号的账号名称以及对应的密码，该LDAP数据库位于LDAP服务器上。服务端在获取到入网请求中包括的账号信息后，将账号信息包括的账号名称和密码按照服务端与LDAP服务器之间的传输协议，传输至LDAP服务器。LDAP服务器在接收到入网请求包括的账号名称和密码后，执行账号命名和密码的验证。在确定LDAP数据库中存在入网请求包括的账号名称，且LDAP数据库中相同账号名称对应的密码与入网请求包括的密码相同，确定账号名称和密码的验证通过。LDAP服务器向服务端发送用于指示账号名称和密码验证通过的验证结果。服务端在接收到该验证结果时，确定入网请求包括的账号信息属于目标网络对应的可接入账号，进而生成账号信息对应的处于有效状态的目标身份证书。

本公开实施例中，服务端不仅可以通过判断账号信息是否属于目标网络对应的可接入账号，以实现验证账号信息的目的，核实用户的身份。从而在确定账号信息属于目标网络对应的可接入账号时，生成账号信息对应的处于有效状态的目标身份证书。服务端还可以通过验证其他因子，以核实用户的身份。提高入网认证的安全性。

可选地，在执行步骤501之前，所述方法还包括：终端向服务端发送身份验证请求。服务端在接收终端发送的身份验证请求时，向终端发送验证消息。相应的，步骤501中，终端首次发送的入网请求还可以包括：待验证消息。该待验证消息可以是用户根据收到的验证消息输入的。

相应的，服务端在确定账号信息属于目标网络对应的可接入账号时，生成账号信息对应的处于有效状态的目标身份证书的过程可以包括：服务端在确定账号信息属于目标网络对应的可接入账号，且验证消息与待验证消息一致时，生成账号信息对应的处于有效状态的目标身份证书。

示例的，服务端还可以通过短信身份验证、邮箱身份验证等方式核实用户身份。在通过短信身份验证方式核实用户身份的情况下，终端在向服务端发送入网请求之前，可以向服务端发送身份验证请求，该身份验证请求包括终端的电话联系方式。服务端在接收终端发送的身份验证请求时，通过电话联系方式向终端发送验证消息。终端在向服务端发送入网请求，该入网请求还可以包括：待验证消息。该待验证消息可以是用户根据收到的验证消息输入的。在确定账号信息属于目标网络对应的可接入账号，且验证消息与待验证消息一致时，生成账号信息对应的处于有效状态的目标身份证书。这样，通过引入多种方式的身份验证机制，可以进一步增强对用户身份的核对功能，进一步提高入网认证方式的安全性，提升网络完全性。

本公开实施例中，服务端生成账号信息对应的处于有效状态的目标身份证书的过程可以包括：服务端根据账号信息包括的账号名称，生成具有唯一序列号的目标身份证书，该目标身份证书与账号信息对应。该目标身份证书的格式可以为X509格式，X500格式等。

可选地，身份证书可以包括以下至少一项：证书主题数据、证书扩展数据以及证书权限数据。证书主题数据包括以下至少一项：国家代码、目标网络所在地理位置、企业名称、目标网络的域名、身份证书有效天数、身份证书加密算法的相关信息、公钥密码。

示例的，服务端生成的目标身份证书可以包括：国家代码：CN(CN表示中国)、目标网络所在地址位置的省份：Beijing、目标网络所在地址位置的城市：Beijing、目标网络所在组织：BeijingKs、目标网络所属企业名称：Ks、目标网络的域名：root、身份证书有效天数:365、身份证书加密算法的相关信息:RSA(一种加密算法)位数为2048、公钥密码：xxx。公钥密码可以指的是证书公钥加密标准(Public Key Cryptography Standards，PCKS)12密码。

可选地，终端发送的入网请求可以还包括：终端的操作***类型。服务端生成账号信息对应的处于有效状态的目标身份证书的过程还可以包括：服务端生成目标文件类型的目标身份证书，该目标文件类型与操作***类型对应。示例的，操作***类型可以为mac、windows或者安卓(Android)等。这样，由于服务端可以根据终端的操作***类型生成与该操作***类型对应的文件类型匹配的目标身份证证书，因此，避免了目标身份证书与终端操作***可能存在的不适配的问题，提高了目标身份证书的可用性，进而保证了入网认证效率。

在步骤503中，服务端将终端首次发送的入网请求中的终端标识作为目标身份证书的目标授予终端标识，并记录目标身份证书与目标授予终端标识的对应关系。

可选地，服务端可以将目标身份证书与该目标身份证书被授予的终端的目标授予终端标识关联存储，以基于关联关系表征目标身份证书与目标授予终端标识之间的对应关系。或者，服务端可以存储身份证书文档。该身份证书文档记录有目标身份证书与目标授予终端标识之间的对应关系。

在步骤504中，服务端向终端发送账号信息对应的目标身份证书，目标身份证书供终端安装。

本公开实施例中，服务端可以对目标身份证书进行加密处理，得到加密后的目标身份证书。服务端将加密后的目标身份证书发送至终端。以使得终端在接收到该加密后的目标身份证书后，对加密后的目标身份证书进行解密处理，得到解密后的目标身份证书。用户执行目标操作，将解密后的目标身份证书安装至终端。可选地，服务端可以采用目标身份证书中公钥密码对目标身份证书进行加密处理。相应的，终端可以利用公钥对应的私钥对加密后的目标身份证书进行解密处理。

在步骤505中，终端向服务端发送入网请求，入网请求包括目标身份证书以及终端标识。

本公开实施例中，用户的终端在已安装目标身份证书后，若用户想要使得自己的终端接入目标网络，则用户可以执行入网操作，利用终端安装的目标身份证书，实现终端入网权限的验证。终端可以基于目标身份证书生成入网请求，并将入网请求发送至服务端，以使得终端生成入网请求，并将入网请求发送至服务端。服务端可以接收终端的入网请求，从而根据入网请求执行后续入网认证操作。

在步骤506中，服务端根据身份证书与授予终端标识之间的对应关系，确定目标身份证书对应的目标授予终端标识。

本公开实施例中，在服务端将身份证书与该身份证书被授予的终端的授予终端标识关联存储，以基于关联关系表征身份证书与授予终端标识之间的对应关系的情况下，服务端可以根据目标身份证书的存储地址与其对应的目标授予终端标识的存储地址的关联关系，从目标授予终端标识的存储地址，读取目标身份证书对应的目标授予终端标识。

或者，服务端可以存储身份证书文档。该身份证书文档记录有身份证书与授予终端标识之间的对应关系。服务端可以从身份证书文档中查询得到目标身份证书对应的目标授予终端标识。其中，身份证书文档的格式可以为表格或者文本等。

在步骤507中，服务端对终端标识与目标授予终端标识进行一致性验证。

本公开实施例中，服务端可以将确定的目标身份证书对应的目标授予终端标识与入网请求中携带的终端标识进行比较，从而确定二者是否一致。

在步骤508中，服务端在终端标识与目标授予终端标识不同时，禁止终端接入目标网络。

本公开实施例中，服务端在确定终端标识与目标授予终端标识不同时，表明当前发送包括目标身份证书的入网请求的终端，与目标身份证书被授予的终端不是同一个终端。进而表明可能存在目标身份证书被盗用，当前请求接入目标网络的终端可能属于异常终端，则服务端禁止终端接入目标网络。

在步骤509中，服务端在终端标识与目标授予终端标识相同时，采用至少一种校验数据验证目标身份证书的有效性，该校验数据记录身份证书的有效性状态。

本公开实施例中，服务端在确定终端标识与目标授予终端标识相同时，表明当前发送包括目标身份证书的入网请求的终端，与目标身份证书被授予的终端为同一个终端。进而表明当前请求接入目标网络的终端可能属于可接入终端，则服务端可以进一步的身份证书验证。其中，服务端可以采用至少一种校验数据验证目标身份证书的有效性。该至少一种校验数据可以包括：实时更新的第一校验数据、周期性更新的第二校验数据。这样，在校验数据的数量为多个的情况下，服务端可以实现基于不同校验数据对多种目标身份证书的多重验证，提高了身份证书的验证准确性。进而提高了入网认证方式的安全性。

基于此，本公开实施例对服务端采用不同的校验数据对目标身份证书的有效性进行校验的过程进行示例性说明。

第一种可选地实现方式，在校验数据为实时更新的第一检验数据的情况下，校验数据可以包括身份证书库中存储的数据。则服务端采用第一校验数据验证目标身份证书的有效性的过程包括：

根据在线证书状态协议(Online Certificate Status Protocol，OCSP)调用身份证书库，查询身份证书库中记录的目标身份证书的有效性状态，该有效性状态至少包括有效状态或者无效状态。其中，身份证书库中存储的各身份证书的有效性状态实时更新。

本公开实施例中，基于数据证书验证标准规定。服务端若需要调用身份证书库以验证目标身份证书，则服务端接收的入网请求为采用OCSP协议进行编码后的请求。该请求包括按照OCSP协议规定格式化处理后的目标身份证书的标识，该标识可以为序列号。相应的，服务端可以采用OCSP协议解析接收到的入网请求，得到目标身份证书的标识。

其中，身份证书库记录有针对目标网络颁发的全量身份证书的标识，以及各身份证书对应的有效性状态。身份证书的有效性状态至少包括有效状态或者无效状态。有效状态可以称为未吊销状态，处于有效状态的身份证书可以反映该证书对应的终端可以具有接入目标网络的入网去权限。无效状态又称吊销状态，处于无效状态的身份证书可以反映该证书对应的终端可以不具有接入目标网络的入网去权限。服务端可以基于目标身份证书的标识，从身份证书库中确定目标身份证书对应的有效状态。以实现采用身份证书库中的数据对目标身份证书的有效性进行校验。

这样，由于身份证书库通常为身份证书的颁发机构维护，因此，身份证书库中存储的各身份证书的有效性状态需要实时更新，以确保各身份证书的有效性状态的准确性。因而，在身份证书库中各身份证书的有效性状态的准确性较高的基础上，采用身份证书库验证目标身份证书的有效性状态的准确性较高，实现了入网认证方式的安全性的有效提高。

可选地，服务端可以通过执行信息检测策略，以检测设定事件，保障身份证书库中各身份证书的有效性状态的准确性。该设定事件用于反映身份证书失效。示例的，身份证书库中还记录有目标身份证书的失效时刻以及目标身份证书对应的用户有效状态。所述方法还包括：服务端在检测到设定事件时，将身份证书库中目标身份证书的有效性状态更新为无效状态。其中，设定事件包括以下至少一项：终端标识与目标授予终端标识不同，服务端的当前时刻大于身份证书库中记录的目标身份证书的失效时刻，身份证书库中记录的目标身份证书对应的用户有效状态更新为无效用户状态。

其中，在目标网络为企业网络的场景下，以下任一情况可能使得身份证书库中用户有效状态为无效用户状态。情况可以包括：员工离职、因员工个人行为导致的入网权限受限等。

本公开实施例中，在前述如图2所示的可选地实施环境下，一个第二服务端可以为采用第一校验数据验证目标身份证书的有效性的服务端，该服务端可以为OCSP服务端。Radius服务端可以对接收到入网请求解析得到目标身份证书后。根据OCSP协议向OCSP服务端发送证书验证请求。该证书验证请求包括按照OCSP格式化处理后的目标身份证书的标识。OCSP服务端在接收到证书验证请求后，可以根据OCSP协议解析证书验证请求，得到目标身份证书的标识。OCSP服务端从身份证书数据库中，确定目标身份证书对应的有效状态。向Radius服务端发送针对证书验证请求的证书验证响应。该证书验证响应用于指示目标身份证书的有效性状态是否为无效状态。Radius服务端可以根据证书验证响应确定是否运行终端接入目标网络。

第二种可选地实现方式，在校验数据为周期性更新的第二检验数据的情况下，校验数据可以包括证书撤销列表中记录的数据。则服务端采用第二校验数据验证目标身份证书的有效性的过程包括：

获取周期性更新后的证书撤销列表(Certificate Revocation List，CRL)，该证书撤销列表记录有处于无效状态的身份证书。查询证书撤销列表是否包括目标身份证书。在确定证书撤销列表不包括目标身份证书时，确定目标身份证书处于有效状态。在确定证书撤销列表包括目标身份证书时，确定目标身份证书处于无效状态。这样，采用周期性更新的证书撤销列表进行目标身份证书的核验的方式，由于证书撤销列表的更新频率较低，因此无需较为频繁的获取最新用于验证的证书撤销列表，减少网络开销。

本公开实施例中，由于证书撤销列表可以由目标网络的管理人员人为维护。其可以看成目标网络的“接入黑名单”。因此，证书撤销列表可以周期性进行更新，以节省人力成本。

可选地，证书撤销列表还可以包括：身份证书的失效时刻。则在确定证书撤销列表包括目标身份证书时，确定目标身份证书处于无效状态的过程可以包括：在确定证书撤销列表包括目标身份证书，且服务端的当前时刻大于目标身份证书的失效时刻时，确定目标身份证书处于无效状态。相应的，服务端在确定证书撤销列表中不包括目标身份证书时，确定目标身份证书处于有效状态。或者，服务端在确定证书撤销列表中包括目标身份证书，且服务端的当前时刻不大于失效时刻时，确定目标身份证书处于有效状态。这样，由于在证书撤销列表中在增加了身份证书的失效时刻，使得基于证书撤销列表判断目标身份证书是否失效的过程，增加了身份证书的失效时刻的判断条件。从而可以避免一定情况下的误操作，提高基于证书撤销列表验证目标身份证书的有效性的准确性。

本公开实施例中，在前述如图2所示的可选地实施环境下，一个第二服务端可以用于生成证书撤销列表，并将生成的证书撤销列表发送至服务端。该服务端可以为CRL服务端。则该第二服务端可以周期性地更新后的证书撤销列表发送至服务端的Radius服务端。Radius服务端可以解析接收到证书撤销列表，以利用解析得到证书撤销列表判断目标身份证书的有效性。在一种可选地实现方式中，证书撤销列表还可以包括：证书撤销列表的有效性。即服务端利用有效期内的证书撤销列表可以有效地判断目标身份证书的有效性。

第三种可选地实现方式，在校验数据包括：实时更新的第一校验数据以及周期性更新的第二检验数据的情况下，服务端采用第一校验数据和第二校验数据验证目标身份证书的有效性的过程包括：

服务端根据在线证书状态协议调用身份证书库，查询身份证书库中记录的目标身份证书的有效性状态。在确定目标身份证书的有效性状态的情况下，获取周期性更新后的证书撤销列表。查询证书撤销列表是否包括目标身份证书。在确定证书撤销列表不包括目标身份证书时，确定目标身份证书处于有效状态。在确定证书撤销列表包括目标身份证书时，确定目标身份证书处于无效状态。

或者，服务端获取周期性更新后的证书撤销列表。查询证书撤销列表是否包括目标身份证书。在确定证书撤销列表不包括目标身份证书时，确定目标身份证书处于有效状态。在确定证书撤销列表包括目标身份证书时，根据在线证书状态协议调用身份证书库，查询身份证书库中记录的目标身份证书的有效性状态。

需要说明的是，第三种可选地实现方式中，服务端根据在线证书状态协议调用身份证书库，查询身份证书库中记录的目标身份证书的有效性状态，以及服务端获取周期性更新后的证书撤销列表。查询证书撤销列表是否包括目标身份证书的解释和实现方式可以分别参考前述第一种可选地实现方式或者第二可选地实现方式，本公开实施例对此不做赘述。

在步骤510中，服务端在采用任意一种校验数据确定目标身份证书处于无效状态时，禁止终端接入目标网络。

本公开实施例中，服务端在采用任意一种校验数据确定目标身份证书处于无效状态时，表明目标身份证书当前失效，则目标身份证书反映终端对应的用户不具有接入目标网络的入网权限，服务端禁止终端接入目标网络。

在步骤511中，服务端在采用所有校验数据均确定目标身份证书处于有效状态时，允许终端接入目标网络。

本公开实施例中，服务端在采用所有校验数据均确定目标身份证书处于有效状态时，可以表明目标身份证书当前有效，，则目标身份证书反映终端对应的用户具有接入目标网络的入网权限，服务端允许终端接入目标网络。

综上所述，本公开实施例提供的入网认证方法，在接收到来自终端的入网请求后，可以通过身份证书与授予终端标识之间的对应关系，确定与入网请求包括的目标身份证书对应的目标授予终端标识。从而根据入网请求包括的终端标识与目标授予终端标识的一致性检验结果，判断是否允许终端接入目标网络。该技术方案相较于相关技术中对终端进行入网认证的方式，不涉及用户的账号名称和密码的验证，避免了因账号名称和密码遗忘、泄露、被窃取等原因造成的入网认证方式的安全性较低的问题，降低了终端入网认证的风险，提升了网络完全性。并且，由于授予终端标识指示的终端为被授予对应的身份证书的终端，因此根据入网请求包括的终端标识与目标授予终端标识的一致性检验结果，判断是否允许终端接入目标网络，实现了对入网终端的身份校验，从而进一步避免了身份证书被盗等情况对入网认证方式的安全性的影响，提高网络完全性。

图6是根据一示例性实施例示出的一种入网认证装置的流程图。入网认证装置应用于服务端。如图6所示，入网认证装置包括：

接收模块601，用于接收终端的入网请求，入网请求包括目标身份证书以及终端标识，目标身份证书用于反映终端对应的用户是否具有接入目标网络的入网权限；

确定模块602，用于根据身份证书与授予终端标识之间的对应关系，确定目标身份证书对应的目标授予终端标识，授予终端标识指示的终端为被授予对应的身份证书的终端；

验证模块603，用于对终端标识与目标授予终端标识进行一致性验证；

接入模块604，用于在终端标识与目标授予终端标识不同时，禁止终端接入目标网络；以及还用于在终端标识与目标授予终端标识相同时，允许终端接入目标网络。

在一种可能实现方式中，验证模块603，还用于采用至少一种校验数据验证目标身份证书的有效性，校验数据记录身份证书的有效性状态，至少一种校验数据包括：实时更新的第一校验数据、周期性更新的第二校验数据；

接入模块604，还用于在采用任意一种校验数据确定目标身份证书处于无效状态时，禁止终端接入目标网络；

接入模块604，还用于在采用所有校验数据均确定目标身份证书处于有效状态时，允许终端接入目标网络。

在一种可能实现方式中，第一校验数据包括身份证书库中存储的数据，

验证模块603，还用于：根据在线证书状态协议调用身份证书库，查询身份证书库中记录的目标身份证书的有效性状态，有效性状态至少包括有效状态或者无效状态，身份证书库中存储的各身份证书的有效性状态实时更新。

在一种可能实现方式中，第二校验数据包括证书撤销列表中记录的数据，验证模块603，还用于：

获取周期性更新后的证书撤销列表，证书撤销列表记录有处于无效状态的身份证书；

查询证书撤销列表是否包括目标身份证书；

在确定证书撤销列表不包括目标身份证书时，确定目标身份证书处于有效状态；

在确定证书撤销列表包括目标身份证书时，确定目标身份证书处于无效状态。

在一种可能实现方式中，证书撤销列表还包括：身份证书的失效时刻；验证模块603，还用于在确定证书撤销列表包括目标身份证书，且服务端的当前时刻大于目标身份证书的失效时刻时，确定目标身份证书处于无效状态。

在一种可能实现方式中，接收模块601，还用于接收终端首次发送的入网请求，首次发送的入网请求包括用户的账号信息以及终端的终端标识；

装置还包括：

生成模块，用于在确定账号信息对应的账号属于目标网络对应的可接入账号时，生成账号信息对应的处于有效状态的目标身份证书，处于有效状态的目标身份证书用于反映用户具有接入目标网络的入网权限；

记录模块，用于将终端标识作为目标身份证书的目标授予终端标识，并记录目标身份证书与目标授予终端标识的对应关系；

发送模块，用于向终端发送账号信息对应的目标身份证书，目标身份证书供终端安装。

在一种可能实现方式中，发送模块，还用于在接收终端发送的身份验证请求时，向终端发送验证消息；

首次发送的入网请求还包括：待验证信息，生成模块，还用于在确定账号信息属于目标网络对应的可接入账号，且验证消息与待验证消息一致时，生成账号信息对应的处于有效状态的目标身份证书。

在一种可能实现方式中，首次发送的入网请求还包括：终端的操作***类型，生成模块，还用于生成目标文件类型的目标身份证书，目标文件类型与操作***类型对应。

在一种可能实现方式中，身份证书库中还记录有目标身份证书的失效时刻以及目标身份证书对应的用户有效状态；装置还包括：

检测模块，用于在检测到设定事件时，将身份证书库中目标身份证书的有效性状态更新为无效状态，其中，设定事件包括以下至少一项：

终端标识与目标授予终端标识不同，

服务端的当前时刻大于身份证书库中记录的目标身份证书的失效时刻，

身份证书库中记录的目标身份证书对应的用户有效状态更新为无效用户状态。

在一种可能实现方式中，身份证书包括以下至少一项：国家代码、目标网络所在地理位置、企业名称、目标网络的域名、身份证书有效天数。

综上所述，本公开实施例提供的入网认证装置，在接收到来自终端的入网请求后，可以通过身份证书与授予终端标识之间的对应关系，确定与入网请求包括的目标身份证书对应的目标授予终端标识。从而根据入网请求包括的终端标识与目标授予终端标识的一致性检验结果，判断是否允许终端接入目标网络。该技术方案相较于相关技术中对终端进行入网认证的方式，不涉及用户的账号名称和密码的验证，避免了因账号名称和密码遗忘、泄露、被窃取等原因造成的入网认证方式的安全性较低的问题，降低了终端入网认证的风险，提升了网络完全性。并且，由于授予终端标识指示的终端为被授予对应的身份证书的终端，因此根据入网请求包括的终端标识与目标授予终端标识的一致性检验结果，判断是否允许终端接入目标网络，实现了对入网终端的身份校验，从而进一步避免了身份证书被盗等情况对入网认证方式的安全性的影响，提高网络完全性。

图7是根据一示例性实施例示出的一种电子设备的框图。该电子设备可以为本公开终端或者服务端。该电子设备700可以是：智能手机、平板电脑、MP3播放器(MovingPicture Experts Group Audio Layer III，动态影像专家压缩标准音频层面3)、MP4(Moving Picture Experts Group Audio Layer IV，动态影像专家压缩标准音频层面4)播放器、笔记本电脑或台式电脑。电子设备700还可能被称为用户设备、便携式终端、膝上型终端、台式终端等其他名称。

通常，电子设备700包括有：处理器701和存储器702。

处理器701可以包括一个或多个处理核心，比如4核心处理器、8核心处理器等。处理器701可以采用DSP(Digital Signal Processing，数字信号处理)、FPGA(Field－Programmable Gate Array，现场可编程门阵列)、PLA(Programmable Logic Array，可编程逻辑阵列)中的至少一种硬件形式来实现。处理器701也可以包括主处理器和协处理器，主处理器是用于对在唤醒状态下的数据进行处理的处理器，也称CPU(Central ProcessingUnit，中央处理器)；协处理器是用于对在待机状态下的数据进行处理的低功耗处理器。在一些实施例中，处理器701可以在集成有GPU(Graphics Processing Unit，图像处理器)，GPU用于负责显示屏所需要显示的内容的渲染和绘制。一些实施例中，处理器701还可以包括AI(Artificial Intelligence，人工智能)处理器，该AI处理器用于处理有关机器学习的计算操作。

存储器702可以包括一个或多个计算机可读存储介质，该计算机可读存储介质可以是非暂态的。存储器702还可包括高速随机存取存储器，以及非易失性存储器，比如一个或多个磁盘存储设备、闪存存储设备。在一些实施例中，存储器702中的非暂态的计算机可读存储介质用于存储至少一个指令，该至少一个指令用于被处理器701所执行以实现本申请中方法实施例提供的入网认证方法。

在一些实施例中，电子设备700还可选包括有：***设备接口703和至少一个***设备。处理器701、存储器702和***设备接口703之间可以通过总线或信号线相连。各个***设备可以通过总线、信号线或电路板与***设备接口703相连。具体地，***设备包括：射频电路704、显示屏705、摄像头706、音频电路707、定位组件708和电源709中的至少一种。

***设备接口703可被用于将I/O(Input/Output，输入/输出)相关的至少一个***设备连接到处理器701和存储器702。在一些实施例中，处理器701、存储器702和***设备接口703被集成在同一芯片或电路板上；在一些其他实施例中，处理器701、存储器702和***设备接口703中的任意一个或两个可以在单独的芯片或电路板上实现，本实施例对此不加以限定。

射频电路704用于接收和发射RF(Radio Frequency，射频)信号，也称电磁信号。射频电路704通过电磁信号与通信网络以及其他通信设备进行通信。射频电路704将电信号转换为电磁信号进行发送，或者，将接收到的电磁信号转换为电信号。可选地，射频电路704包括：天线***、RF收发器、一个或多个放大器、调谐器、振荡器、数字信号处理器、编解码芯片组、用户身份模块卡等等。射频电路704可以通过至少一种无线通信协议来与其它终端进行通信。该无线通信协议包括但不限于：城域网、各代移动通信网络(2G、3G、4G及5G)、无线局域网和/或WiFi(Wireless Fidelity，无线保真)网络。在一些实施例中，射频电路704还可以包括NFC(Near Field Communication，近距离无线通信)有关的电路，本申请对此不加以限定。

显示屏705用于显示UI(User Interface，用户界面)。该UI可以包括图形、文本、图标、视频及其它们的任意组合。当显示屏705是触摸显示屏时，显示屏705还具有采集在显示屏705的表面或表面上方的触摸信号的能力。该触摸信号可以作为控制信号输入至处理器701进行处理。此时，显示屏705还可以用于提供虚拟按钮和/或虚拟键盘，也称软按钮和/或软键盘。在一些实施例中，显示屏705可以为一个，设置电子设备700的前面板；在另一些实施例中，显示屏705可以为至少两个，分别设置在电子设备700的不同表面或呈折叠设计；在再一些实施例中，显示屏705可以是柔性显示屏，设置在电子设备700的弯曲表面上或折叠面上。甚至，显示屏705还可以设置成非矩形的不规则图形，也即异形屏。显示屏705可以采用LCD(Liquid Crystal Display，液晶显示屏)、OLED(Organic Light-Emitting Diode,有机发光二极管)等材质制备。

摄像头组件706用于采集图像或视频。可选地，摄像头组件706包括前置摄像头和后置摄像头。通常，前置摄像头设置在终端的前面板，后置摄像头设置在终端的背面。在一些实施例中，后置摄像头为至少两个，分别为主摄像头、景深摄像头、广角摄像头、长焦摄像头中的任意一种，以实现主摄像头和景深摄像头融合实现背景虚化功能、主摄像头和广角摄像头融合实现全景拍摄以及VR(Virtual Reality，虚拟现实)拍摄功能或者其它融合拍摄功能。在一些实施例中，摄像头组件706还可以包括闪光灯。闪光灯可以是单色温闪光灯，也可以是双色温闪光灯。双色温闪光灯是指暖光闪光灯和冷光闪光灯的组合，可以用于不同色温下的光线补偿。

音频电路707可以包括麦克风和扬声器。麦克风用于采集用户及环境的声波，并将声波转换为电信号输入至处理器701进行处理，或者输入至射频电路704以实现语音通信。出于立体声采集或降噪的目的，麦克风可以为多个，分别设置在电子设备700的不同部位。麦克风还可以是阵列麦克风或全向采集型麦克风。扬声器则用于将来自处理器701或射频电路704的电信号转换为声波。扬声器可以是传统的薄膜扬声器，也可以是压电陶瓷扬声器。当扬声器是压电陶瓷扬声器时，不仅可以将电信号转换为人类可听见的声波，也可以将电信号转换为人类听不见的声波以进行测距等用途。在一些实施例中，音频电路707还可以包括耳机插孔。

定位组件708用于定位电子设备700的当前地理位置，以实现导航或LBS(LocationBased Service，基于位置的服务)。定位组件708可以是基于美国的GPS(GlobalPositioning System，全球定位***)、中国的北斗***、俄罗斯的格雷纳斯***或欧盟的伽利略***的定位组件。

电源709用于为电子设备700中的各个组件进行供电。电源709可以是交流电、直流电、一次性电池或可充电电池。当电源709包括可充电电池时，该可充电电池可以支持有线充电或无线充电。该可充电电池还可以用于支持快充技术。

在一些实施例中，电子设备700还包括有一个或多个传感器7010。该一个或多个传感器7010包括但不限于：加速度传感器7011、陀螺仪传感器7012、压力传感器7013、指纹传感器7014、光学传感器7015以及接近传感器7016。

加速度传感器7011可以检测以电子设备700建立的坐标系的三个坐标轴上的加速度大小。比如，加速度传感器7011可以用于检测重力加速度在三个坐标轴上的分量。处理器701可以根据加速度传感器7011采集的重力加速度信号，控制显示屏705以横向视图或纵向视图进行用户界面的显示。加速度传感器7011还可以用于游戏或者用户的运动数据的采集。

陀螺仪传感器7012可以检测电子设备700的机体方向及转动角度，陀螺仪传感器7012可以与加速度传感器7011协同采集用户对电子设备700的3D动作。处理器701根据陀螺仪传感器7012采集的数据，可以实现如下功能：动作感应(比如根据用户的倾斜操作来改变UI)、拍摄时的图像稳定、游戏控制以及惯性导航。

压力传感器7013可以设置在电子设备700的侧边框和/或显示屏705的下层。当压力传感器7013设置在电子设备700的侧边框时，可以检测用户对电子设备700的握持信号，由处理器701根据压力传感器7013采集的握持信号进行左右手识别或快捷操作。当压力传感器7013设置在显示屏705的下层时，由处理器701根据用户对显示屏705的压力操作，实现对UI界面上的可操作性控件进行控制。可操作性控件包括按钮控件、滚动条控件、图标控件、菜单控件中的至少一种。

指纹传感器7014用于采集用户的指纹，由处理器701根据指纹传感器7014采集到的指纹识别用户的身份，或者，由指纹传感器7014根据采集到的指纹识别用户的身份。在识别出用户的身份为可信身份时，由处理器701授权该用户执行相关的敏感操作，该敏感操作包括解锁屏幕、查看加密信息、下载软件、支付及更改设置等。指纹传感器7014可以被设置电子设备700的正面、背面或侧面。当电子设备700上设置有物理按键或厂商Logo时，指纹传感器7014可以与物理按键或厂商Logo集成在一起。

光学传感器7015用于采集环境光强度。在一个实施例中，处理器701可以根据光学传感器7015采集的环境光强度，控制显示屏705的显示亮度。具体地，当环境光强度较高时，调高显示屏705的显示亮度；当环境光强度较低时，调低显示屏705的显示亮度。在另一个实施例中，处理器701还可以根据光学传感器7015采集的环境光强度，动态调整摄像头组件706的拍摄参数。

接近传感器7016，也称距离传感器，通常设置在电子设备700的前面板。接近传感器7016用于采集用户与电子设备700的正面之间的距离。在一个实施例中，当接近传感器7016检测到用户与电子设备700的正面之间的距离逐渐变小时，由处理器701控制显示屏705从亮屏状态切换为息屏状态；当接近传感器7016检测到用户与电子设备700的正面之间的距离逐渐变大时，由处理器701控制显示屏705从息屏状态切换为亮屏状态。

本领域技术人员可以理解，图7中示出的结构并不构成对电子设备700的限定，可以包括比图示更多或更少的组件，或者组合某些组件，或者采用不同的组件布置。

在示例性实施例中，还提供了一种计算机可读存储介质，当该计算机存储介质中的指令由电子设备的处理器执行时，使得电子设备能够执行上述各个方法实施例提供的入网认证方法。

例如，该非临时性计算机可读存储介质可以是ROM(Read-Only Memory,只读内存)、RAM(Random Access Memory，随机存取存储器)、CD-ROM(Compact Disc Read-OnlyMemory，只读光盘)、磁带、软盘和光数据存储设备等。

在示例性实施例中，还提供一种计算机程序产品，包括计算机程序指令，所述计算机程序指令被处理器执行时实现上述各个方法实施例提供的入网认证方法。

在示例性实施例中，还提供了一种应用程序产品，当该应用程序产品中的指令由终端的处理器执行时，使得终端能够执行上述各个方法实施例提供的入网认证方法。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求指出。

应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限制。

Claims (20)

1.一种入网认证方法，其特征在于，应用于服务端，所述方法包括：

接收终端的入网请求，所述入网请求包括目标身份证书以及终端标识，所述目标身份证书用于反映所述终端对应的用户是否具有接入目标网络的入网权限；

根据身份证书与授予终端标识之间的对应关系，确定所述目标身份证书对应的目标授予终端标识，所述授予终端标识指示的终端为被授予对应的身份证书的终端，所述对应关系存储在所述服务端；

对所述终端标识与所述目标授予终端标识进行一致性验证；

在所述终端标识与所述目标授予终端标识不同时，禁止所述终端接入所述目标网络；

在所述终端标识与所述目标授予终端标识相同时，允许所述终端接入所述目标网络；

在所述接收终端的入网请求之前，所述方法还包括：

接收所述终端首次发送的入网请求，所述首次发送的入网请求包括所述用户的账号信息以及所述终端的终端标识；

在确定所述账号信息对应的账号属于所述目标网络对应的可接入账号时，生成所述账号信息对应的处于有效状态的目标身份证书，所述处于有效状态的目标身份证书用于反映所述用户具有接入目标网络的入网权限；

将所述终端标识作为所述目标身份证书的目标授予终端标识，并记录所述目标身份证书与所述目标授予终端标识的对应关系；

向所述终端发送所述账号信息对应的目标身份证书，所述目标身份证书供所述终端安装。

2.根据权利要求1所述的方法，其特征在于，在所述允许所述终端接入所述目标网络之前，所述方法还包括：

采用至少一种校验数据验证所述目标身份证书的有效性，所述校验数据记录身份证书的有效性状态，所述至少一种校验数据包括：实时更新的第一校验数据、周期性更新的第二校验数据；

在采用任意一种所述校验数据确定所述目标身份证书处于无效状态时，禁止所述终端接入所述目标网络；

所述允许所述终端接入所述目标网络，包括：在采用所有所述校验数据均确定所述目标身份证书处于有效状态时，允许所述终端接入所述目标网络。

3.根据权利要求2所述的方法，其特征在于，所述第一校验数据包括身份证书库中存储的数据，采用所述第一校验数据验证所述目标身份证书的有效性，包括：

根据在线证书状态协议调用身份证书库，查询所述身份证书库中记录的所述目标身份证书的有效性状态，所述有效性状态至少包括有效状态或者无效状态，所述身份证书库中存储的各身份证书的有效性状态实时更新。

4.根据权利要求2所述的方法，其特征在于，所述第二校验数据包括证书撤销列表中记录的数据，采用所述第二校验数据验证所述目标身份证书的有效性，包括：

获取周期性更新后的证书撤销列表，所述证书撤销列表记录有处于无效状态的身份证书；

查询所述证书撤销列表是否包括所述目标身份证书；

在确定所述证书撤销列表不包括所述目标身份证书时，确定所述目标身份证书处于有效状态；

在确定所述证书撤销列表包括所述目标身份证书时，确定所述目标身份证书处于无效状态。

5.根据权利要求4所述的方法，其特征在于，所述证书撤销列表还包括：身份证书的失效时刻；所述在确定所述证书撤销列表包括所述目标身份证书时，确定所述目标身份证书处于无效状态，包括：

在确定所述证书撤销列表包括所述目标身份证书，且所述服务端的当前时刻大于所述目标身份证书的失效时刻时，确定所述目标身份证书处于无效状态。

6.根据权利要求1所述的方法，其特征在于，在接收所述终端首次发送的入网请求之前，所述方法还包括：在接收所述终端发送的身份验证请求时，向所述终端发送验证消息；

所述首次发送的入网请求还包括：待验证信息，所述在确定所述账号信息属于所述目标网络对应的可接入账号时，生成所述账号信息对应的处于有效状态的目标身份证书，包括：

在确定所述账号信息属于所述目标网络对应的可接入账号，且所述验证消息与待验证消息一致时，生成所述账号信息对应的处于有效状态的目标身份证书。

7.根据权利要求1所述的方法，其特征在于，所述首次发送的入网请求还包括：所述终端的操作***类型，所述生成所述账号信息对应的处于有效状态的目标身份证书，包括：

生成目标文件类型的目标身份证书，所述目标文件类型与所述操作***类型对应。

8.根据权利要求3所述的方法，其特征在于，所述身份证书库中还记录有所述目标身份证书的失效时刻以及所述目标身份证书对应的用户有效状态；所述方法还包括：

在检测到设定事件时，将所述身份证书库中所述目标身份证书的有效性状态更新为无效状态，其中，所述设定事件包括以下至少一项：

所述终端标识与所述目标授予终端标识不同，

所述服务端的当前时刻大于所述身份证书库中记录的目标身份证书的失效时刻，

所述身份证书库中记录的目标身份证书对应的用户有效状态更新为无效用户状态。

9.根据权利要求1-5任一所述的方法，其特征在于，身份证书包括以下至少一项：国家代码、所述目标网络所在地理位置、企业名称、所述目标网络的域名、身份证书有效天数。

10.一种入网认证装置，其特征在于，应用于服务端，所述装置包括：

接收模块，用于接收终端的入网请求，所述入网请求包括目标身份证书以及终端标识，所述目标身份证书用于反映所述终端对应的用户是否具有接入目标网络的入网权限；

确定模块，用于根据身份证书与授予终端标识之间的对应关系，确定所述目标身份证书对应的目标授予终端标识，所述授予终端标识指示的终端为被授予对应的身份证书的终端，所述对应关系存储在所述服务端；

验证模块，用于对所述终端标识与所述目标授予终端标识进行一致性验证；

接入模块，用于在所述终端标识与所述目标授予终端标识不同时，禁止所述终端接入所述目标网络；以及还用于在所述终端标识与所述目标授予终端标识相同时，允许所述终端接入所述目标网络；

所述装置还包括：

所述接收模块，还用于接收所述终端首次发送的入网请求，所述首次发送的入网请求包括所述用户的账号信息以及所述终端的终端标识；

所述装置还包括：

生成模块，用于在确定所述账号信息对应的账号属于所述目标网络对应的可接入账号时，生成所述账号信息对应的处于有效状态的目标身份证书，所述处于有效状态的目标身份证书用于反映所述用户具有接入目标网络的入网权限；

记录模块，用于将所述终端标识作为所述目标身份证书的目标授予终端标识，并记录所述目标身份证书与所述目标授予终端标识的对应关系；

发送模块，用于向所述终端发送所述账号信息对应的目标身份证书，所述目标身份证书供所述终端安装。

11.根据权利要求10所述的装置，其特征在于，所述验证模块，还用于：采用至少一种校验数据验证所述目标身份证书的有效性，所述校验数据记录身份证书的有效性状态，所述至少一种校验数据包括：实时更新的第一校验数据、周期性更新的第二校验数据；

所述接入模块，还用于在采用任意一种所述校验数据确定所述目标身份证书处于无效状态时，禁止所述终端接入所述目标网络；以及还用于在采用所有所述校验数据均确定所述目标身份证书处于有效状态时，允许所述终端接入所述目标网络。

12.根据权利要求11所述的装置，其特征在于，所述第一校验数据包括身份证书库中存储的数据，所述验证模块，还用于：

根据在线证书状态协议调用身份证书库，查询所述身份证书库中记录的所述目标身份证书的有效性状态，所述有效性状态至少包括有效状态或者无效状态，所述身份证书库中存储的各身份证书的有效性状态实时更新。

13.根据权利要求11所述的装置，其特征在于，所述第二校验数据包括证书撤销列表中记录的数据，所述验证模块，还用户：

获取周期性更新后的证书撤销列表，所述证书撤销列表记录有处于无效状态的身份证书；

查询所述证书撤销列表是否包括所述目标身份证书；

在确定所述证书撤销列表不包括所述目标身份证书时，确定所述目标身份证书处于有效状态；

在确定所述证书撤销列表包括所述目标身份证书时，确定所述目标身份证书处于无效状态。

14.根据权利要求13所述的装置，其特征在于，所述证书撤销列表还包括：身份证书的失效时刻；所述验证模块，还用于在确定所述证书撤销列表包括所述目标身份证书，且所述服务端的当前时刻大于所述目标身份证书的失效时刻时，确定所述目标身份证书处于无效状态。

15.根据权利要求10所述的装置，其特征在于，

所述发送模块，还用于在接收所述终端发送的身份验证请求时，向所述终端发送验证消息；

所述生成模块，还用于在确定所述账号信息属于所述目标网络对应的可接入账号，且所述验证消息与待验证消息一致时，生成所述账号信息对应的处于有效状态的目标身份证书。

16.根据权利要求10所述的装置，其特征在于，所述首次发送的入网请求还包括：所述终端的操作***类型，所述生成模块，还用于生成目标文件类型的目标身份证书，所述目标文件类型与所述操作***类型对应。

17.根据权利要求12所述的装置，其特征在于，所述身份证书库中还记录有所述目标身份证书的失效时刻以及所述目标身份证书对应的用户有效状态；所述装置还包括：

检测模块，用于在检测到设定事件时，将所述身份证书库中所述目标身份证书的有效性状态更新为无效状态，其中，所述设定事件包括以下至少一项：

所述终端标识与所述目标授予终端标识不同，

所述服务端的当前时刻大于所述身份证书库中记录的目标身份证书的失效时刻，

所述身份证书库中记录的目标身份证书对应的用户有效状态更新为无效用户状态。

18.根据权利要求10-14任一所述的装置，其特征在于，身份证书包括以下至少一项：国家代码、所述目标网络所在地理位置、企业名称、所述目标网络的域名、身份证书有效天数。

19.一种电子设备，其特征在于，包括：

一个或多个处理器；

用于存储所述一个或多个处理器可执行指令的一个或多个存储器;

其中，所述一个或多个处理器被配置为执行权利要求1-9任一项所述的入网认证方法。

20.一种计算机可读存储介质，其特征在于，当所述计算机可读存储介质中的指令由电子设备的处理器执行时，使得电子设备能够执行权利要求1-9任一项所述的入网认证方法。

Images