CN114039748A - 身份验证方法、***、计算机设备和存储介质 - Google Patents

Abstract

本申请涉及一种身份验证方法、***、计算机设备和存储介质。所述方法包括：通过内网的第一单向文件接收设备，接收物理隔离的外网的第一单向文件发送设备发送的授权请求；授权请求用于请求对目标用户进行授权；针对第一单向文件接收设备所接收到的授权请求，获取在内网中输入的目标用户的身份验证信息；基于身份验证信息验证通过后，生成对应于授权请求的加密的鉴权凭据；通过内网的第二单向文件发送设备，向外网的第二单向文件接收设备发送鉴权凭据；鉴权凭据用于指示在外网中基于鉴权凭据对目标用户进行鉴权处理。采用本方法能够提高安全性。

Description

身份验证方法、***、计算机设备和存储介质

技术领域

本申请涉及计算机信息处理技术领域，特别是涉及一种身份验证方法、***、计算机设备和存储介质。

背景技术

传统的身份验证方法主要使用账号和密码的方式，通过存储用户的账号和密码，并使用单独的账号密码模块对用户的账号和密码进行比对，以验证用户的身份，但是非法用户能够利用木马、钓鱼等网络攻击手段窃取用户的账号和密码进行登录，无法保证安全性。

发明内容

基于此，有必要针对上述技术问题，提供一种能够提高安全性的身份验证方法、***、计算机设备和存储介质。

一种身份验证方法，所述方法包括：

通过内网的第一单向文件接收设备，接收物理隔离的外网的第一单向文件发送设备发送的授权请求；所述授权请求用于请求对目标用户进行授权；

针对所述第一单向文件接收设备所接收到的授权请求，获取在内网中输入的所述目标用户的身份验证信息；

基于所述身份验证信息验证通过后，生成对应于所述授权请求的加密的鉴权凭据；

通过所述内网的第二单向文件发送设备，向所述外网的第二单向文件接收设备发送所述鉴权凭据；所述鉴权凭据用于指示在所述外网中基于所述鉴权凭据对所述目标用户进行鉴权处理。

在其中一个实施例中，所述方法还包括：

外网中的业务***接收到由所述目标用户发起的登录请求后，若所述登录请求中未携带与所述目标用户对应的鉴权凭据，则将所述登录请求重定向至外网中的鉴权服务；

通过所述鉴权服务，基于所述目标用户的用户信息生成针对所述目标用户的授权请求；

通过所述鉴权服务将所述授权请求发送至所述第一单向文件发送设备，以指示所述第一单向文件发送设备向内网的所述第一单向文件接收设备转发所述授权请求。

在其中一个实施例中，所述方法还包括：

通过所述第二单向文件接收设备，接收所述第二单向文件发送设备发送的与所述授权请求对应的鉴权凭据；

通过所述外网中的鉴权服务从所述第二单向文件接收设备中获取所述鉴权凭据，并触发在外网中基于所述鉴权凭据对所述目标用户进行登录所述业务***的鉴权处理。

在其中一个实施例中，针对所述第一单向文件接收设备所接收到的授权请求，获取在内网中输入的所述目标用户的身份验证信息包括：

针对所述第一单向文件接收设备所接收到的授权请求，在内网中生成与所述目标用户对应的用户待办任务；

在所述目标用户使用的客户端接入内网后，获取在内网中针对所述用户待办任务输入的所述目标用户的身份验证信息。

在其中一个实施例中，所述针对所述第一单向文件接收设备所接收到的授权请求，获取在内网中输入的所述目标用户的身份验证信息包括：

针对所述第一单向文件接收设备所接收到的授权请求，根据在内网中输入的所述目标用户的账号和密码进行初次验证；

在所述初次验证通过之后，调用双因素服务对所述目标用户进行双因素验证。

在其中一个实施例中，所述针对所述第一单向文件接收设备所接收到的授权请求，获取在内网中输入的所述目标用户的身份验证信息，包括：

通过内网中的授权服务，以轮询的方式查询第一单向文件接收设备中所接收到的授权请求；

针对查询到的每个授权请求，获取在内网中输入的与所述授权请求对应的目标用户的身份验证信息。

在其中一个实施例中，所述第一单向文件接收设备和所述第一单向文件发送设备是唯一对应的一组单向文件传输设备；所述第二单向文件接收设备和所述第二单向文件发送设备是唯一对应的另一组单向文件传输设备；每组所述单向文件传输设备均以激光为载体、空气为传输介质，在所述内网和所述外网之间单向地传输数据。

一种身份验证***，所述***包括设置于内网中的第一设备、第一单向文件接收设备和第二单向文件发送设备、以及设置于外网中的第一单向文件发送设备和第二单向文件接收设备；

第一单向文件接收设备，用于接收物理隔离的外网的第一单向文件发送设备发送的授权请求；所述授权请求用于请求对目标用户进行授权；

所述第一设备，用于针对所述第一单向文件接收设备所接收到的授权请求，获取在内网中输入的与所述授权请求中的所述用户信息对应的身份验证信息；基于所述身份验证信息验证通过后，生成对应于所述授权请求的加密的鉴权凭据；

所述第二单向文件发送设备，用于向所述外网的第二单向文件接收设备发送所述鉴权凭据；所述鉴权凭据用于指示在所述外网中基于所述鉴权凭据对所述目标用户进行鉴权处理。

一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，所述计算机程序被所述处理器执行时，使得所述处理器执行本申请各实施例所述的身份验证方法中的步骤。

一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时，使得所述处理器执行本申请各实施例所述的身份验证方法中的步骤。

上述身份验证方法、***、计算机设备和存储介质，通过内网的第一单向文件接收设备，接收物理隔离的外网的第一单向文件发送设备发送的授权请求；针对第一单向文件接收设备所接收到的授权请求，获取在内网中输入的与授权请求中的用户信息对应的身份验证信息；基于身份验证信息验证通过后，生成对应于授权请求的鉴权凭据；通过内网的第二单向文件发送设备，向外网的第二单向文件接收设备发送鉴权凭据，外网用户只有通过内网的验证，才能够获得鉴权凭据以在外网进行访问，内网与外网实现了物理隔离，能够抵御网络层的攻击，攻击者无法使用网络攻击方法通过攻击外网获得内网生成的鉴权凭据，提高安全性。

此外，内网和外网在物理隔离的情况下通过单向文件发送设备和单向文件接收设备单向地进行通信，在保证安全性的前提下，能够满足数据交换的需求。

附图说明

图1a为一个实施例中身份验证方法的应用环境图；

图1b为另一个实施例中身份验证方法的应用环境图；

图2为一个实施例中身份验证方法的流程示意图；

图3为一个实施例中身份验证方法的架构图；

图4为一个实施例中身份验证的时序图；

图5为一个实施例中身份验证***的结构框图；

图6为一个实施例中计算机设备的内部结构图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

本申请提供的身份验证方法，可以应用于如图1a所示的应用环境中。其中，内网的第一单向文件接收设备104接收物理隔离的外网的第一单向文件发送设备102发送的授权请求。内网的第一设备106查询内网的第一单向文件接收设备104所接收到的授权请求，并针对查询到的授权请求，获取目标用户在内网中输入的与授权请求中的用户信息对应的身份验证信息。内网的第一设备106基于身份验证信息验证通过后，生成对应于授权请求的加密的鉴权凭据，并将鉴权凭据发送至内网的第二单向文件发送设备108。内网的第二单向文件发送设备108，向外网的第二单向文件接收设备110发送鉴权凭据。

在一个实施例中，本申请提供的身份验证方法，可以应用于如图1b所示的应用环境中。其中，外网的第二设备112生成用于请求对目标用户进行授权的授权请求，并将授权请求发送至外网的第一单向文件发送设备102。外网的第二设备112查询外网的第二单向文件接收设备所接收的鉴权凭据。

在一个实施例中，如图2所示，提供了一种身份验证方法，以该方法应用于图1中的身份验证***中各设备为例进行说明，包括以下步骤：

S202，通过内网的第一单向文件接收设备，接收物理隔离的外网的第一单向文件发送设备发送的授权请求。

其中，授权请求用于请求对目标用户进行授权。内网，是指内部网络。外网，是指外部网络。内网与外网之间采用物理隔离技术断开连接。物理隔离技术是指采用物理方法将内网与外网隔离从而避免入侵或信息泄露的风险的技术手段。可以理解，内网与外网是相对的。内网可以是用于内部通信的网络。外网可以是用于对外通信的网络。单向文件接收设备是指用于单向地接收数据的设备。单向文件发送设备是指单向地发送数据的设备。可以理解，单向文件接收设备和单向文件发送设备是相对的。单向文件接收设备可以单向地接收单向文件发送设备发送的数据。

具体地，内网的第一单向文件接收设备可以接收物理隔离的外网的第一单向文件发送设备发送的授权请求。第一设备可以查询第一单向文件接收设备所接收到的授权请求。

在一个实施例中，单向文件传输服务可以配置于内网。单向文件传输服务可以包括一套单向文件发送服务和单向文件接收服务。可以理解，单向文件传输服务可以用于转发合法的信息，对信息的转发进行控制和登记。内网的单向文件接收服务唯一对应于内网的第一单向文件接收设备。内网的单向文件发送服务唯一对应于内网的第二单向文件发送设备。

在一个实施例中，单向文件传输服务可以按照白名单方式指定访问来源。其中白名单可以包括IP地址(互联网协议地址)、端口和MAC地址(局域网地址)中的至少一种。

在一个实施例中，第一设备可以通过与第一单向文件接收设备对应的单向文件接收服务，与第一单向文件接收设备进行通信，以查询第一单向文件接收设备所接收到的授权请求。可以理解，第一设备无法与单向文件接收设备直接通信，单向文件接收服务相当于第一设备与单向文件接收设备通信的端口，单向文件接收服务可以向第一设备转发单向文件接收设备所接收到的授权请求。

在一个实施例中，第一设备可以按照轮询的方式，查询第一单向文件接收设备所接收到的授权请求。

S204，针对第一单向文件接收设备所接收到的授权请求，获取在内网中输入的目标用户的身份验证信息。

其中，目标用户是指授权请求对应的用户。身份验证信息是指能够验证目标用户身份的相关信息。

具体地，内网的第一设备可以查询内网的第一单向文件接收设备所接收到的目标用户发起的授权请求，并针对查询到的授权请求，获取目标用户在内网的终端上输入的目标用户的身份验证信息。

在一个实施例中，目标用户可以在内网的终端中输入身份验证信息，对应的终端可以向第一设备发送身份验证信息。

S206，基于身份验证信息验证通过后，生成对应于授权请求的加密的鉴权凭据。

其中，加密是指对原来为明文的文件或数据按加密算法进行处理，使其不可读。可以理解，数据加密的基本过程就是对原来为明文的文件或数据按某种算法进行处理，使其成为不可读的一段代码为“密文”，使其只能在输入相应的密钥之后才能显示出原容，通过这样的途径来达到保护数据不被非法人窃取、阅读的目的。

在一个实施例中，第一设备可以针对目标用户的身份验证信息进行验证。

具体地，第一设备可以在针对目标用户的身份验证信息的验证通过后，生成对应于授权请求的鉴权凭据，并利用加密算法对鉴权凭据进行加密，生成加密的鉴权凭据。

在一个实施例中，鉴权凭据可以包括用于登录业务***验证目标用户身份的用户令牌、目标用户的内网ID(身份标识号)和目标用户的外网ID中的至少一种。可以理解，目标用户的内网ID和目标用户的外网ID可以将鉴权凭据关联至内网和外网中对应的目标用户。

在一个实施例中，加密算法可以是对称式加密算法和非对称式加密算法中的至少一种。可以理解，第一设备能够利用国产密码算法中的对称加密算法对鉴权凭据进行加密。

在一个实施例中，第一设备可以利用国产哈希算法(SM3)对鉴权凭据进行加密。

其中，国产哈希算法是一种密码散列函数标准。

S208，通过内网的第二单向文件发送设备，向外网的第二单向文件接收设备发送鉴权凭据。

其中，鉴权凭据用于指示在外网中基于鉴权凭据对目标用户进行鉴权处理。

具体地，第一设备可以将S206生成的加密的鉴权凭据发送至内网的第二单向文件发送设备，第二单向文件发送设备将接收到的鉴权凭据发送至外网的第二单向文件接收设备。

在一个实施例中，第一设备可以调用与第二单向文件发送设备对应的内网的单向文件发送服务，与第二单向文件发送设备进行通信，将鉴权凭据发送至第二单向文件发送设备。可以理解，第一设备无法与单向文件发送设备直接通信，内网的单向文件发送服务相当于第一设备与第二单向文件发送设备的通信端口，单向文件发送服务可以向第二单向文件发送设备转发第一设备所生成的鉴权凭据。

上述身份验证方法中，通过内网的第一单向文件接收设备，接收物理隔离的外网的第一单向文件发送设备发送的授权请求；针对第一单向文件接收设备所接收到的授权请求，获取在内网中输入的与授权请求中的用户信息对应的身份验证信息；基于身份验证信息验证通过后，生成对应于授权请求的鉴权凭据；通过内网的第二单向文件发送设备，向外网的第二单向文件接收设备发送鉴权凭据，外网用户只有通过内网的验证，才能够获得鉴权凭据以在外网进行登录，内网与外网实现了物理隔离，能够抵御网络层的攻击，攻击者无法使用网络攻击方法通过攻击外网获得内网生成的鉴权凭据，提高安全性。

此外，内网和外网在物理隔离的情况下通过单向文件发送设备和单向文件接收设备单向地进行通信，在保证安全性的前提下，能够满足数据交换的需求。

在一个实施例中，外网中的业务***接收到由目标用户发起的登录请求后，若登录请求中未携带与目标用户对应的鉴权凭据，则将登录请求重定向至外网中的鉴权服务；通过鉴权服务，基于目标用户的用户信息生成针对目标用户的授权请求；通过鉴权服务将授权请求发送至第一单向文件发送设备，以指示第一单向文件发送设备向内网的第一单向文件接收设备转发授权请求。

其中，登录请求是指登录外网中的业务***的请求。重定向是指重新定向。可以理解，用户是针对外网中的业务***发起的登录请求，登录请求会首先被定位至外网中的业务***以进行登录验证，若外网中的业务***无法验证，则外网中的业务***会将该登录请求重新定向至外网中的鉴权服务。

具体地，目标用户在外网中的终端针对外网中的业务***发起登录请求，该登录请求被定向至外网中的业务***，业务***对登录请求进行验证，若登录请求中未携带与目标用户对应的鉴权凭据，业务***可以将该登录请求重新定向至外网中的鉴权服务。鉴权服务在接收到登录请求之后，会获取登录请求所对应的目标用户的用户信息以生成针对目标用户的授权请求。鉴权服务将生成的针对目标用户的授权请求发送至外网中的第一单向文件发送设备。第一单向文件发送设备会将接收到的授权请求发送至内网的第一单向文件接收设备。

在一个实施例中，目标用户的用户信息可以包括用户当前客户端IP地址(互联网协议地址)、网卡MAC地址(局域网地址)、用户客户端登录ID和用户客户端计算机名等中的至少一种。

在一个实施例中，鉴权服务可以将获取的目标用户的用户信息添加唯一标识信息，利用加密算法加密后，生成针对目标用户的授权请求，并将具有唯一标识信息的加密的授权请求以文件的形式发送到外网中的第一单向文件发送设备。

其中，标识信息用于唯一标识授权请求。标识信息可以是序列号。

在一个实施例中，单向文件传输服务可以配置于外网。外网的单向文件传输服务可以包括外网的单向文件发送服务和外网的单向文件接收服务。外网的单向文件发送服务唯一对应于外网的第一单向文件发送设备。外网的单向文件接收服务唯一对应于外网的第二单向文件接收设备。

在一个实施例中，鉴权服务可以调用与第一单向文件发送设备对应的外网的单向文件发送服务，与第一单向文件发送设备进行通信，将授权请求发送至第一单向文件发送设备。可以理解，鉴权服务无法与单向文件发送设备直接通信，外网的单向文件发送服务相当于鉴权服务与单向文件发送设备通信的端口。

在一个实施例中，外网中的业务***可以将登录请求中携带的与目标用户对应的鉴权凭据发送至外网中的鉴权服务，外网中的鉴权服务对目标用户对应的鉴权凭据进行验证，并将验证结果发送至业务***。在一个实施例中，目标用户首次通过外网的终端针对外网的业务***发起登录请求时，外网的业务***将登录请求重定向至外网的鉴权服务。

本实施例中，外网中的业务***可以将未携带与目标用户对应的鉴权凭据的登录请求重定向至外网中的鉴权服务，通过鉴权服务生成针对目标用户的授权请求，对于通过外网中的终端登录外网中的业务***的目标用户，需要先获取相应的登录授权，鉴权服务能够生成具有唯一标识信息的加密的授权请求，使得授权请求不被破解，以保证授权请求本身的安全性，通过鉴权服务将授权请求发送至第一单向文件发送设备，通过第一单向文件发送设备向内网的第一单向文件接收设备转发授权请求，能够单向地将在外网中生成的授权请求发送至内网中，进一步地保证授权请求在传输过程中的安全性。

在一个实施例中，通过第二单向文件接收设备，接收第二单向文件发送设备发送的与授权请求对应的鉴权凭据；通过外网中的鉴权服务从第二单向文件接收设备中获取鉴权凭据，并触发在外网中基于鉴权凭据对目标用户进行登录业务***的鉴权处理。

在一个实施例中，鉴权处理可以包括鉴权服务解析加密的鉴权凭据。可以理解，鉴权服务从第二单向文件接收设备中获取的鉴权凭据是加密的鉴权凭据，无法直接对加密的鉴权凭据进行验证，需要鉴权服务先解析加密的鉴权凭据。

具体地，外网中的第二单向文件接收设备可以接收第二单向文件发送设备发送的与授权请求对应的鉴权凭据。外网中的鉴权服务可以按照轮询的方式查询第二单向文件接收设备接收到的鉴权凭据，并在获取鉴权凭据之后，解析加密的鉴权凭据以使目标用户能够登录业务***。

在一个实施例中，鉴权服务可以调用与第二单向文件接收设备对应的外网的单向文件接收服务，与第二单向文件接收设备进行通信，以查询第二单向文件接收设备所接收到的鉴权凭据。可以理解，鉴权服务无法与第二单向文件接收设备直接通信，外网的单向文件接收服务相当于鉴权服务与第二单向文件接收设备的通信端口。

在一个实施例中，鉴权凭据携带用于标识授权请求的唯一标识信息。鉴权处理可以包括鉴权服务解析加密的鉴权凭据，并按照唯一标识信息，将解析后的鉴权凭据颁发给目标用户。可以理解，将解析后的鉴权凭据颁发给目标用户是指将解析后的鉴权凭据发送至该目标用户发起登录请求所用的终端。

在一个实施例中，鉴权服务可以按照唯一标识信息，将解析后的鉴权凭据发送至目标用户针对外网中的登录***发起登录请求所使用的终端，该终端会存储解析后的鉴权凭据。可以理解，目标用户可以通过具有鉴权凭据的终端，针对外网中的业务***发起登录请求，登录请求中会携带终端中存储的鉴权凭据，业务***可以将登录请求中携带的鉴权凭据发送至鉴权服务，以对目标用户进行身份验证。

在一个实施例中，当携带鉴权凭据的登录请求中的鉴权凭据验证不通过时，外网中的业务***可以将登录请求重定向至外网中的鉴权服务。可以理解，当鉴权凭据出现问题时，鉴权服务无法对该鉴权凭据进行验证，目标用户需要通过外网中的鉴权服务获取新的鉴权凭据。

本实施例中，通过第二单向文件接收设备，接收第二单向文件发送设备发送的与授权请求对应的鉴权凭据，能够单向地接收鉴权凭据，保证鉴权凭据在传输过程中的安全性。通过外网中的鉴权服务从第二单向文件接收设备中获取鉴权凭据，并触发在外网中基于鉴权凭据对目标用户进行登录业务***的鉴权处理，在获取鉴权凭据之后，只有鉴权服务能够解析加密的鉴权凭据，进一步地保证安全性。

在一个实施例中，针对第一单向文件接收设备所接收到的授权请求，获取在内网中输入的目标用户的身份验证信息包括：针对第一单向文件接收设备所接收到的授权请求，在内网中生成与目标用户对应的用户待办任务；在目标用户使用的客户端接入内网后，获取在内网中针对用户待办任务输入的目标用户的身份验证信息。

其中，用户待办任务用于指示内网中的目标用户对授权请求进行验证。可以理解，用户待办任务其实是一种登录验证任务，目标用户可以在内网中处理用户待办任务进行授权，使得目标用户自身能够登录外网中的业务***。

在一个实施例中，在目标用户通过内网中的终端中的客户端登入内网后，终端能够向目标用户展示与目标用户对应的用户待办任务，目标用户在查看到用户待办任务之后，可以在内网中针对用户待办任务输入身份验证信息。

具体地，第一设备可以按照轮询的方式，调用与第一单向文件接收设备对应的内网的单向文件接收服务，从第一单向文件接收设备中查询授权请求，解析查询到的加密的授权请求，以生成与目标用户对应的用户待办任务。在目标用户使用的客户端接入内网后，第一设备可以通过客户端所在的终端向目标用户展示与目标用户对应的用户待办任务，目标用户可以在终端处理用户待办任务，输入身份验证信息，终端可以将目标用户针对用户待办任务输入的身份验证信息发送至第一设备。

在一个实施例中，第一单向文件接收设备所接收到的授权请求是经过外网中的鉴权服务采用加密算法加密的授权请求。第一设备可以在获取加密的授权请求之后，解析加密的授权请求，获取授权请求中目标用户的用户信息，并针对目标用户的用户信息，生成与目标用户对应的用户待办任务。

本实施例中，第一设备通过解析第一单向文件接收设备所接收到的授权请求，在内网中生成与目标用户对应的用户待办任务，并在目标用户使用的客户端接入内网后，获取在内网中针对用户待办任务输入的目标用户的身份验证信息，第一设备获取的是加密的授权请求，只有解密后才能够针对授权请求生成用户待办任务，保证了授权请求的安全性，并且通过用户待办任务的方式提示目标用户处理相应的授权请求，能够实现对授权请求的及时处理。

在一个实施例中，针对第一单向文件接收设备所接收到的授权请求，获取在内网中输入的目标用户的身份验证信息包括：针对第一单向文件接收设备所接收到的授权请求，根据在内网中输入的目标用户的账号和密码进行初次验证；在初次验证通过之后，调用双因素服务对目标用户进行双因素验证。

在一个实施例中，双因素验证可以包括增加USB数字证书、动态码和短信验证码等中的至少一种方式对目标用户进行验证。

具体地，目标用户可以在内网中的终端中输入目标用户的账号和密码，以及进行双因素验证相关的信息，终端可以将用户输入的身份验证信息发送至第一设备，第一设备先针对目标用户的账号和密码进行初次验证，初次验证通过之后，调用双因素服务对目标用户输入的信息进行双因素验证。

其中，进行双因素验证相关的信息对应于进行双因素验证的方式。比如采用短信验证码的方式对目标用户进行双因素验证，相应的进行双因素验证相关的信息就是目标用户收到的短信验证码。

在一个实施例中，双因素验证是一种附加身份验证，即，二次验证。可以理解，目标用户可以同时输入账号和密码，以及进行双因素验证相关的信息，在账号和密码验证通过之后，第一设备针对目标用户输入的进行双因素验证相关的信息，调用双因素服务进行双因素验证。

本实施例中，针对第一单向文件接收设备所接收到的授权请求，根据在内网中输入的目标用户的账号和密码进行初次验证，在初次验证通过之后，调用双因素服务对目标用户进行双因素验证，即使非法用户采用网络攻击手段盗取目标用户的账号和密码，也无法通过双因素验证。进一步地，在与外网物理隔离的内网进行针对目标用户的身份验证信息的验证，非法用户无法访问内网，更加无法使用网络攻击方法或双因素绕过技术，对内网中的任何处理进行攻击和绕过，更加能够保证安全性。

在一个实施例中，针对第一单向文件接收设备所接收到的授权请求，获取在内网中输入的目标用户的身份验证信息，包括：通过内网中的授权服务，以轮询的方式查询第一单向文件接收设备中所接收到的授权请求；针对查询到的每个授权请求，获取在内网中输入的与授权请求对应的目标用户的身份验证信息。

在一个实施例中，第一单向文件接收设备中所接收到的授权请求是加密的授权请求，内网中的授权服务可以解析加密的授权请求。

具体地，第一设备通过内网中的授权服务按照轮询的方式，查询第一单向文件接收设备中所接收到的授权请求。授权服务解析查询到的加密的授权请求，生成目标用户对应的用户待办任务，获取用户在内网中的终端中输入的与用户待办任务对应的身份验证信息。

在一个实施例中，第一设备可以通过内网中的授权服务，验证目标用户的身份验证信息。

具体地，授权服务可以验证目标用户的身份验证信息中的账号和密码。在账号和密码验证通过之后，授权服务可以调用双因素服务，对身份验证信息中进行双因素验证相关的信息进行验证。

在一个实施例中，第一设备可以通过内网中的授权服务，进行针对第一单向文件接收设备中所接收到的授权请求的所有处理。可以理解，第一设备其实是通过内网中的授权服务，对查询到的授权请求进行处理，以对目标用户在外网中针对外网中的业务***发起登录请求所用的外网中的终端进行授权，使得该外网中的终端能够接入业务***，目标用户能够通过获得授权的终端登录业务***以进行访问。

在一个实施例中，内网中的授权服务可以通过内网的第一单向文件接收设备，接收物理隔离的外网的第一单向文件发送设备发送的授权请求。

在一个实施例中，内网中的授权服务可以基于身份验证信息验证通过后，生成对应于授权请求的加密的鉴权凭据。

在一个实施例中，内网中的授权服务可以通过所述内网的第二单向文件发送设备，向所述外网的第二单向文件接收设备发送所述鉴权凭据。

本实施例中，内网中的授权服务可以以轮询的方式查询第一单向文件接收设备中所接收到的授权请求，并针对查询到的每个授权请求，获取在内网中输入的与授权请求对应的目标用户的身份验证信息，通过内网中的授权服务针对授权请求进行授权处理，外网中的鉴权服务验证授权服务生成的鉴权凭据，内网与外网之间物理隔离，身份验证中的授权与鉴权二者功能独立，以保证身份验证的安全性。

在一个实施例中，第一单向文件接收设备和第一单向文件发送设备是唯一对应的一组单向文件传输设备；第二单向文件接收设备和第二单向文件发送设备是唯一对应的另一组单向文件传输设备；每组单向文件传输设备均以激光为载体、空气为传输介质，在内网和外网之间单向地传输数据。

其中，单向文件传输设备是指用于单向地传输数据的设备。可以理解，单向文件接收设备和单向文件发送设备均是单向文件传输设备。

具体地，第一单向文件接收设备和第一单向文件发送设备是唯一对应的一组单向文件传输设备，第一单向文件发送设备发送的数据只能由第一单向文件接收设备接收。第二单向文件接收设备和第二单向文件发送设备是唯一对应的另一组单向文件传输设备，第二单向文件发送设备发送的数据只能由第二单向文件接收设备接收。每组单向文件传输设备均以激光为载体、空气为传输介质，在物理隔离的内网和外网之间单向地传输数据。可以理解，单向地传输数据是指只能由单向文件发送设备向唯一对应的单向文件接收设备发送数据，并且单向文件接收设备不会向单向文件发送设备反馈任何数据。

本实施例中，单向文件发送设备发送数据，唯一对应的单向文件接收设备接收数据，数据发送和数据接收两个过程是独立的，能够保证数据传输的安全性。并且每组唯一对应的单向文件传输设备均以激光为载体、空气为传输介质，在物理隔离的内网和外网之间单向地传输数据，能够实现在内网和外网物理隔离的情况下数据单向无反馈传递，在满足数据传输需求的同时，进一步地提高数据传输的安全性。

在一个实施例中，如图3所示，为身份验证方法的架构图。将内网与外网之间通过物理隔离技术实现物理隔离，并通过内网的授权服务和外网的鉴权服务共同实现身份验证方法。

具体地，外网的目标用户针对外网的业务***发起登录请求，请求登录业务***。外网的业务***接收登录请求，并判断登录请求中是否携带与目标用户对应的鉴权凭据。可以理解，鉴权凭据可以用于表征目标用户的身份，鉴权服务可以针对鉴权凭据，对目标用户的身份进行验证。若外网的业务***判定登录请求中未携带与目标用户对应的鉴权凭据，则将目标用户所发起的登录请求重定向至外网的鉴权服务，以对目标用户进行权限鉴定。

外网的鉴权服务接收外网的业务***重定向的登录请求，获取目标用户的用户信息，添加唯一序列号，并利用加密算法进行加密，以生成授权请求，并调用外网的单向文件发送服务，以文件的形式，发送授权请求至外网的第一单向文件发送设备。可以理解，外网的第一单向文件发送设备对应于外网的单向文件发送服务，外网的单向文件发送服务可以将授权请求转发至外网的第一单向文件发送设备。外网的第一单向文件发送设备发送授权请求至物理隔离的内网的第一单向文件接收设备。

内网的授权服务以轮询的方式，调用内网的单向文件接收服务，获取内网的第一单向文件接收设备所接收到的授权请求。可以理解，内网的第一单向文件接收设备对应于内网的单向文件接收服务，内网的授权服务可以从内网的单向文件接收服务中查询第一单向文件接收设备所接收到的授权请求。内网的授权服务解析获取到的授权请求，以获取目标用户的用户信息，生成目标用户对应的用户待办任务。可以理解，解析可以包括对加密的授权请求进行解密。

登入内网的目标用户进行身份验证，以处理用户***任务，内网的授权服务针对用户待办任务，获取目标用户的身份验证信息。可以理解，目标用户登入内网所使用的账号无需再次输入，目标用户只需要输入与账号对应的密码和进行双因素验证相关的信息。内网中的授权服务对目标用户的账号和密码进行初次身份验证，初次身份验证通过之后，内网的授权服务调用内网的双因素服务对目标用户进行双因素验证。

双因素服务验证通过之后，内网的授权服务生成与授权请求对应的加密的鉴权凭据，并调用内网的单向文件发送服务，以文件的形式，发送鉴权凭据至内网的第二单向文件发送设备。内网的第二单向文件发送设备，发送鉴权凭据至物理隔离的外网的第二单向文件接收服务。

外网的鉴权服务以轮询的方式，调用外网的单向文件接收服务，获取外网的第二单向文件接收服务所接收到的鉴权凭据。外网的鉴权服务解析并验证获取的鉴权凭据，在验证通过，即鉴权成功后，外网的业务***允许目标用户登录，目标用户成功登录外网的业务***。

其中，授权服务和双因素服务可以运行于第一设备。鉴权服务可以运行于第二设备。内网与外网的单向文件发送服务和单向文件接收服务可以是两套分别配置于内网与外网的单向文件传输服务。可以理解，内网的单向文件传输服务可以运行于第一设备。外网的单向文件传输服务可以运行于第二设备。单向文件发送服务，用于向唯一对应的单向文件发送设备转发指定该单向文件发送设备发送的信息。单向文件接收服务，用于转发唯一对应的单向文件接收设备所接收到的信息。

在一个实施例中，单向文件传输服务可以配置白名单，以白名单的方式指定访问来源。

在一个实施例中，如图4所示，为身份验证的时序图。目标用户通过外网中的终端上的客户端，针对外网中的业务***发起登录请求，以请求登录业务***。外网中的业务***接收登录请求，判定登录请求中是否携带与目标用户对应的鉴权凭据，若登录请求中未携带鉴权凭证，外网中的业务***会将登录请求重定向至外网中的鉴权服务。外网中的鉴权服务在接收到登录请求后，获取目标用户的用户信息，用户信息包括用户当前客户端IP、网卡MAC地址、用户客户端登录ID和用户客户端计算机名，并将这些用户信息添加唯一序列号，并通过国产密码算法加密后，生成文件形式的加密的授权请求。

鉴权服务通过与外网中的第一单向文件发送设备对应的外网的文件发送服务，将文件形式的加密的授权请求发送至外网中的第一单向文件发送设备。外网中的第一文件发送设备以激光为载体、空气为传输介质，将授权请求单向地无反馈的发送至唯一对应的内网中的第一单向文件接收设备。

内网中的授权服务以轮询的方式，查询内网中的第一单向文件接收设备所接收到的新的授权请求。授权服务解析查询到的加密的授权请求，获取授权请求中的目标用户的用户信息，以生成与目标用户对应的用户待办任务。目标用户通过内网中的终端登入内网后，授权服务会通过内网中的终端展示目标用户对应的用户待办任务。目标用户处理该用户待办任务，在内网中的终端上输入身份验证信息。可以理解，目标用户此时已经使用账号和密码登入内网，不需要再次输入账号，身份验证信息可以只是对应于账号的密码。授权服务会验证目标用户针对用户待办任务输入的密码和登入内网的账号，初次验证通过之后，授权服务调用双因素服务对目标用户进行双因素验证，双因素服务向授权服务发送验证结果，双因素验证通过之后，授权服务会生成鉴权凭据，添加授权请求中的唯一序列号，通过国产密码算法加密后，生成文件形式的加密的鉴权凭据。

授权服务通过对应于内网中的第二文件发送设备的内网的单向文件接收服务，将文件形式的加密的鉴权凭据发送至内网中的第二文件发送设备，内网中的第二文件发送设备以激光为载体、空气为传输介质，将鉴权凭据发送至外网中的第二文件接收设备。外网中的鉴权服务通过对应于外网中的第二文件接收设备的外网的单向文件接收服务，以轮询的方式查询第二文件接收设备所接收到的新的鉴权凭据。外网中的鉴权服务解析并验证加密的鉴权凭据，向业务***发送携带唯一序列号的验证结果，该唯一序列号对应的目标用户成功登录业务***。

在一个实施例中，鉴权服务可以将解析后的鉴权凭据，基于唯一序列号，发送至与目标用户对应的外网中的终端，该终端可以存储鉴权凭据。可以理解，与目标用户对应的外网中的终端，其实是目标用户针对外网中的业务***发起登录请求所使用的外网中的终端。

在一个实施例中，若登录请求中携带鉴权凭据，外网中的业务***可以将鉴权凭据发送至外网中的鉴权服务，外网中的鉴权服务解析接收到的鉴权凭据以进行验证。

本实施例中，外网中的终端可以存储鉴权凭据，外网中的鉴权服务可以直接验证存储的鉴权凭据，目标用户通过存储鉴权凭据的外网中的终端登录业务***不需要输入账号、密码、鉴权凭据信息，并且生成的鉴权凭据和授权请求均经过国产密码算法加密，没有被窃取和修改的风险，能够达到防窃取的技术效果。外网中的鉴权服务用于解析和验证鉴权凭证，以及生成授权请求，无法对外网中的目标用户授权，并且用于授权的授权服务和双因素服务部署在与外网物理隔离的内网，实现了鉴权和授权功能独立。业务***部署在外网，针对与外网物理隔离的内网中目标用户的身份验证信息，非法用户无法使用网络攻击方法在网络层攻击业务***，以窃取内网中目标用户的身份验证信息，更加无法利用双因素认证绕过技术绕过内网中的双因素验证，实现了阻断攻击。外网与内网之间物理隔离，通过单向文件传输设备实现单向无反馈地传输数据，并且由单向文件发送设备发送数据，单向文件接收设备接收数据，数据发送和数据接收两个过程是独立的，在满足数据传输需求的同时，保证了数据的安全性。

应该理解的是，虽然图2的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，图2中的至少一部分步骤可以包括多个步骤或者多个阶段，这些步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤中的步骤或者阶段的至少一部分轮流或者交替地执行。

在一个实施例中，如图5所示，提供了一种身份验证***500，包括：设置于内网中的第一设备506、第一单向文件接收设备504和第二单向文件发送设备508、以及设置于外网中的第一单向文件发送设备502和第二单向文件接收设备510，其中：

第一单向文件接收设备504，用于接收物理隔离的外网的第一单向文件发送设备502发送的授权请求；所述授权请求用于请求对目标用户进行授权；

所述第一设备506，用于针对所述第一单向文件接收设备504所接收到的授权请求，获取在内网中输入的与所述授权请求中的所述用户信息对应的身份验证信息；基于所述身份验证信息验证通过后，生成对应于所述授权请求的加密的鉴权凭据；

所述第二单向文件发送设备508，用于向所述外网的第二单向文件接收设备510发送所述鉴权凭据；所述鉴权凭据用于指示在所述外网中基于所述鉴权凭据对所述目标用户进行鉴权处理。

在一个实施例中，还包括设置于外网中的第二设备；第二设备，用于外网中的业务***接收到由目标用户发起的登录请求后，若登录请求中未携带与目标用户对应的鉴权凭据，则将登录请求重定向至外网中的鉴权服务；通过鉴权服务，基于目标用户的用户信息生成针对目标用户的授权请求；通过鉴权服务将授权请求发送至第一单向文件发送设备502，以指示第一单向文件发送设备502向内网的第一单向文件接收设备504转发授权请求。

在一个实施例中，第二单向文件接收设备510，还用于接收第二单向文件发送设备508发送的与授权请求对应的鉴权凭据。第二设备，还用于通过外网中的鉴权服务从第二单向文件接收设备510中获取鉴权凭据，并触发在外网中基于鉴权凭据对目标用户进行登录业务***的鉴权处理。

在一个实施例中，第一设备506，还用于针对第一单向文件接收设备504所接收到的授权请求，在内网中生成与目标用户对应的用户待办任务；在目标用户使用的客户端接入内网后，获取在内网中针对用户待办任务输入的目标用户的身份验证信息。

在一个实施例中，第一设备506，还用于针对第一单向文件接收设备504所接收到的授权请求，获取在内网中输入的目标用户的身份验证信息包括：针对第一单向文件接收设备504所接收到的授权请求，根据在内网中输入的目标用户的账号和密码进行初次验证；在初次验证通过之后，调用双因素服务对目标用户进行双因素验证。

在一个实施例中，第一设备506，还用于通过内网中的授权服务，以轮询的方式查询第一单向文件接收设备504中所接收到的授权请求；针对查询到的每个授权请求，获取在内网中输入的与授权请求对应的目标用户的身份验证信息。

关于身份验证***的具体限定可以参见上文中对于身份验证方法的限定，在此不再赘述。上述身份验证***中的各个设备可全部或部分通过软件、硬件及其组合来实现。上述各设备可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个设备对应的操作。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是身份验证***中各个设备，可以理解，各个设备可以为服务器或终端，其内部结构图可以如图6所示。该计算机设备包括通过***总线连接的处理器、存储器和网络接口。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作***和计算机程序。该内存储器为非易失性存储介质中的操作***和计算机程序的运行提供环境。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种身份验证方法。

本领域技术人员可以理解，图6中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

在一个实施例中，还提供了一种计算机设备，包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现上述各方法实施例中的步骤。

在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现上述各方法实施例中的步骤。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和易失性存储器中的至少一种。非易失性存储器可包括只读存储器(Read-Only Memory，ROM)、磁带、软盘、闪存或光存储器等。易失性存储器可包括随机存取存储器(Random Access Memory，RAM)或外部高速缓冲存储器。作为说明而非局限，RAM可以是多种形式，比如静态随机存取存储器(Static Random Access Memory，SRAM)或动态随机存取存储器(Dynamic Random Access Memory，DRAM)等。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种身份验证方法，其特征在于，所述方法包括：

通过内网的第一单向文件接收设备，接收物理隔离的外网的第一单向文件发送设备发送的授权请求；所述授权请求用于请求对目标用户进行授权；

针对所述第一单向文件接收设备所接收到的授权请求，获取在内网中输入的所述目标用户的身份验证信息；

基于所述身份验证信息验证通过后，生成对应于所述授权请求的加密的鉴权凭据；

通过所述内网的第二单向文件发送设备，向所述外网的第二单向文件接收设备发送所述鉴权凭据；所述鉴权凭据用于指示在所述外网中基于所述鉴权凭据对所述目标用户进行鉴权处理。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

外网中的业务***接收到由所述目标用户发起的登录请求后，若所述登录请求中未携带与所述目标用户对应的鉴权凭据，则将所述登录请求重定向至外网中的鉴权服务；

通过所述鉴权服务，基于所述目标用户的用户信息生成针对所述目标用户的授权请求；

通过所述鉴权服务将所述授权请求发送至所述第一单向文件发送设备，以指示所述第一单向文件发送设备向内网的所述第一单向文件接收设备转发所述授权请求。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

通过所述第二单向文件接收设备，接收所述第二单向文件发送设备发送的与所述授权请求对应的鉴权凭据；

通过所述外网中的鉴权服务从所述第二单向文件接收设备中获取所述鉴权凭据，并触发在外网中基于所述鉴权凭据对所述目标用户进行登录所述业务***的鉴权处理。

4.根据权利要求1所述的方法，其特征在于，针对所述第一单向文件接收设备所接收到的授权请求，获取在内网中输入的所述目标用户的身份验证信息包括：

针对所述第一单向文件接收设备所接收到的授权请求，在内网中生成与所述目标用户对应的用户待办任务；

在所述目标用户使用的客户端接入内网后，获取在内网中针对所述用户待办任务输入的所述目标用户的身份验证信息。

5.根据权利要求1所述的方法，其特征在于，所述针对所述第一单向文件接收设备所接收到的授权请求，获取在内网中输入的所述目标用户的身份验证信息包括：

针对所述第一单向文件接收设备所接收到的授权请求，根据在内网中输入的所述目标用户的账号和密码进行初次验证；

在所述初次验证通过之后，调用双因素服务对所述目标用户进行双因素验证。

6.根据权利要求1所述的方法，其特征在于，所述针对所述第一单向文件接收设备所接收到的授权请求，获取在内网中输入的所述目标用户的身份验证信息，包括：

通过内网中的授权服务，以轮询的方式查询第一单向文件接收设备中所接收到的授权请求；

针对查询到的每个授权请求，获取在内网中输入的与所述授权请求对应的目标用户的身份验证信息。

7.根据权利要求1至6任意一项所述的方法，其特征在于，所述第一单向文件接收设备和所述第一单向文件发送设备是唯一对应的一组单向文件传输设备；所述第二单向文件接收设备和所述第二单向文件发送设备是唯一对应的另一组单向文件传输设备；每组所述单向文件传输设备均以激光为载体、空气为传输介质，在所述内网和所述外网之间单向地传输数据。

8.一种身份验证***，其特征在于，所述***包括设置于内网中的第一设备、第一单向文件接收设备和第二单向文件发送设备、以及设置于外网中的第一单向文件发送设备和第二单向文件接收设备；

第一单向文件接收设备，用于接收物理隔离的外网的第一单向文件发送设备发送的授权请求；所述授权请求用于请求对目标用户进行授权；

所述第一设备，用于针对所述第一单向文件接收设备所接收到的授权请求，获取在内网中输入的与所述授权请求中的所述用户信息对应的身份验证信息；基于所述身份验证信息验证通过后，生成对应于所述授权请求的加密的鉴权凭据；

所述第二单向文件发送设备，用于向所述外网的第二单向文件接收设备发送所述鉴权凭据；所述鉴权凭据用于指示在所述外网中基于所述鉴权凭据对所述目标用户进行鉴权处理。

9.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至7中任一项所述的方法的步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至7中任一项所述的方法的步骤。

Images