CN114520735A - 一种基于可信执行环境的用户身份鉴定方法、***及介质 - Google Patents

一种基于可信执行环境的用户身份鉴定方法、***及介质 Download PDF

Info

Publication number
CN114520735A
CN114520735A CN202210052719.4A CN202210052719A CN114520735A CN 114520735 A CN114520735 A CN 114520735A CN 202210052719 A CN202210052719 A CN 202210052719A CN 114520735 A CN114520735 A CN 114520735A
Authority
CN
China
Prior art keywords
instance
tee
user
user identity
client
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202210052719.4A
Other languages
English (en)
Other versions
CN114520735B (zh
Inventor
李汝佳
林振天
张均成
谢磊
陈恩光
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
State Grid Information and Telecommunication Co Ltd
Fujian Yirong Information Technology Co Ltd
Original Assignee
State Grid Information and Telecommunication Co Ltd
Fujian Yirong Information Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by State Grid Information and Telecommunication Co Ltd, Fujian Yirong Information Technology Co Ltd filed Critical State Grid Information and Telecommunication Co Ltd
Priority to CN202210052719.4A priority Critical patent/CN114520735B/zh
Publication of CN114520735A publication Critical patent/CN114520735A/zh
Application granted granted Critical
Publication of CN114520735B publication Critical patent/CN114520735B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种基于可信执行环境的用户身份鉴定方法、***及介质，涉及信息管理技术领域。所述方法包括实例初始化过程、访问权限鉴定过程以及用户身份鉴定过程。本发明的技术方法，将***用户身份鉴定程序装载到可信执行环境TEE实例中，划分安全可行的处理器和内存中的保护区域，使用这种新的应用层可信执行环境，可以有效提高业务***的用户权限鉴定，确保***登陆入口不被恶意程序劫持。本发明提供的一种基于可信执行环境的用户身份鉴定方法、***及介质，基于硬件可信执行环境对用户身份进行鉴定，从而大幅提升安全性，有效保障***数据安全。

Description

一种基于可信执行环境的用户身份鉴定方法、***及介质
技术领域
本发明涉及信息管理技术领域，特别涉及一种基于可信执行环境的用户身份鉴定方法、***及介质。
背景技术
众所周知，在各个行业的业务***建设过程中，用户身份鉴定是一项尤为重要的环节。
目前业务***的用户身份鉴定过程涉及加密口令和鉴定算法，口令加密后存储到数据库由加密算法保证其不被解密成明文，而鉴定算法一般不会加密，容易暴露或被反编译，甚至算法被劫持利用，导致出现被恶意攻击或利用的风险，造成信息安全泄露。
鉴定过程中由于算法的暴露，存在很大的安全风险。数据库中的口令存在安全风险，例如攻击者利用业务***程序脆弱性或数据库安全漏洞，在程序获取和传输用户口令过程中非法盗取口令数据；鉴定算法方面存在安全风险，例如代码泄露，代码漏洞被攻击者利用获取鉴定过程数据，造成信息安全泄露。由于存在以上的安全风险，如何保证安全身份鉴定变得至关重要。
发明内容
本发明要解决的技术问题，在于提供一种基于可信执行环境的用户身份鉴定方法及***，基于硬件可信计算技术对用户身份进行鉴定，从而大幅提升安全性，有效保障***数据安全。
第一方面，本发明提供一种基于可信执行环境的用户身份鉴定方法，包括：实例初始化过程、访问权限鉴定过程以及用户身份鉴定过程；
所述实例初始化过程包括：将用户身份鉴定程序装载到可信执行环境TrustedExecution Environment(TEE)实例中，然后定义访问权限信息，所述TEE实例启动后按需生成至少两组非对称秘钥，其中，第一私钥和第二私钥存储于TEE实例分配的独立的执行空间内，第一公钥发送给用户客户端，用于用户客户端的会话内容加密，第二公钥发送给业务***，用于将指定数据加密后存储到业务***数据库中；
所述访问权限鉴定过程包括：当客户端需要访问TEE实例时，先通过远程断言验证所述TEE实例的真实性，验证通过后访问TEE实例，将访问信息打包并通过所述第一公钥加密，然后提交到TEE实例，所述TEE实例通过所述第一私钥解密所述访问信息，然后与所述访问权限信息进行比对，权限鉴定通过后自动与所述客户端创建安全会话，用于调用TEE实例执行程序；若权限鉴定未通过，所述TEE实例拒绝所述客户端的访问请求；
所述用户身份鉴定过程包括：当用户在客户端提交登陆信息后，所述登陆信息提交到可信执行环境TEE实例做用户身份鉴定，TEE实例通过安全会话接收到请求后，执行用户身份鉴定程序的鉴定方法，然后返回鉴定结果，完成用户身份鉴定。
进一步地，所述访问权限鉴定过程中，客户端通过远程断言验证所述TEE实例的真实性，具体包括：客户端请求TEE实例获取到实例信息，并提交到服务中心，然后获取服务中心验证TEE实例的真实性后返回的验证结果。
进一步地，所述用户身份鉴定过程中，所述登陆信息包括用户名和输入口令；执行用户身份鉴定程序的鉴定方法，然后返回鉴定结果，具体包括：
首先通过第一私钥解密出客户端提交的登陆信息，通过用户名请求业务***数据库，获取数据库中的加密用户口令并应用第二私钥解密，最后将所述输入口令与加密用户口令的解密后数据输入到用户身份鉴定函数做对比，数据一致为True，不一致为False。
进一步地，所述用户身份鉴定过程中，当用户在客户端提交登陆信息后，所述登陆信息先在本地进行加密编码封装，然后再提交到可信执行环境TEE实例做用户身份鉴定。
第二方面，本发明提供了一种基于可信执行环境的用户身份鉴定***，包括：实例初始化模块、访问权限鉴定模块以及用户身份鉴定模块；
所述实例初始化模块，用于用户身份鉴定程序装载到可信执行环境TEE实例中，然后定义访问权限信息，所述TEE实例启动后按需生成至少两组非对称秘钥，其中，第一私钥和第二私钥存储于TEE实例分配的独立的执行空间内，第一公钥发送给用户客户端，用于用户客户端的会话内容加密，第二公钥发送给业务***，用于将指定数据加密后存储到业务***数据库中；
所述访问权限鉴定模块，用于当客户端需要访问TEE实例时，先通过远程断言验证所述TEE实例的真实性，验证通过后访问TEE实例，将访问信息打包并通过所述第一公钥加密，然后提交到TEE实例，所述TEE实例通过所述第一私钥解密所述访问信息，然后与所述访问权限信息进行比对，权限鉴定通过后自动与所述客户端创建安全会话，用于调用TEE实例执行程序；若权限鉴定未通过，所述TEE实例拒绝所述客户端的访问请求；
所述用户身份鉴定模块，用于当用户在客户端提交登陆信息后，所述登陆信息提交到可信执行环境TEE实例做用户身份鉴定，TEE实例通过安全会话接收到请求后，执行用户身份鉴定程序的鉴定方法，然后返回鉴定结果，完成用户身份鉴定。
进一步地，所述访问权限鉴定模块中，客户端通过远程断言验证所述TEE实例的真实性，具体包括：客户端请求TEE实例获取到实例信息，并提交到服务中心，然后获取服务中心验证TEE实例的真实性后返回的验证结果。
进一步地，所述用户身份鉴定模块中，所述登陆信息包括用户名和输入口令；执行用户身份鉴定程序的鉴定方法，然后返回鉴定结果，具体包括：
首先通过第一私钥解密出客户端提交的登陆信息，通过用户名请求业务***数据库，获取数据库中的加密用户口令并应用第二私钥解密，最后将所述输入口令与加密用户口令的解密后数据输入到用户身份鉴定函数做对比，数据一致为True，不一致为False。
进一步地，所述用户身份鉴定模块中，当用户在客户端提交登陆信息后，所述登陆信息先在本地进行加密编码封装，然后再提交到可信执行环境TEE实例做用户身份鉴定。
第三方面，本发明提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现第一方面所述的方法。
本发明实施例中提供的技术方案具有如下技术效果或优点：
1、基于可信执行环境(Trusted Execution Environment，简称TEE)，在封闭安全的区域内做安全计算和数据处理，可以确保***登陆入口不被恶意程序劫持，并将安全鉴定结果告知业务***，实现高级别安全身份鉴定，提升业务***的整体安全性；
2、通过对用户客户端的会话内容加密以及业务***数据库中指定数据(比如用户口令)的加密，有效应对数据库口令的泄露风险，相对于传统技术路线，显著提升用户身份鉴定的安全级别，有效保障***数据安全，为提升企业核心竞争力提供支撑。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
附图说明
下面参照附图结合实施例对本发明作进一步的说明。
图1为本发明实施例一中方法的流程图；
图2为本发明实施例一中实例初始化流程示意图；
图3为本发明实施例一中访问权限鉴定流程示意图；
图4为本发明实施例一中用户身份鉴定流程示意图；
图5为本发明实施例二中装置的结构示意图；
图6为本发明实施例三中介质的结构示意图。
具体实施方式
本申请实施例通过提供一种基于可信执行环境的用户身份鉴定方法及***，基于硬件可信计算技术对用户身份进行鉴定，从而大幅提升安全性，有效保障***数据安全。
本申请实施例中的技术方案，总体思路如下：
TEE(Trusted Execution Environment)可信执行环境是芯片层面上单独划分出来的一片“区域”，这片区域并不一定会占有芯片的物理位置，也许只是在逻辑上占用了一定的执行空间。这片空间，在Intel SGX中被称作Enclave，而在ARM TrustZone中则被称为Secure World。这片区域负责为代码的执行和数据的储存提供一个更加安全的地方，以此确保其机密性和不可篡改性。
本申请实施例中的技术方案将TEE技术引入的***用户身份鉴定过程中，实现身份鉴定过程安全可信。把***用户身份鉴定程序装载到可信执行环境TEE实例中，划分安全可行的处理器和内存中的保护区域，使用这种新的应用层可信执行环境，可以有效地提高业务***的用户权限鉴定，确保***登陆入口不被恶意程序劫持。
实施例一
本实施例提供一种基于可信执行环境的用户身份鉴定方法，如图1所示，包括：实例初始化过程、访问权限鉴定过程以及用户身份鉴定过程；
所述实例初始化过程包括：将用户身份鉴定程序装载到可信执行环境TEE实例中，然后定义访问权限信息(比如，包括用户访问IP地址以及终端Mac地址)，所述TEE实例启动后按需生成至少两组非对称秘钥，其中，第一私钥和第二私钥存储于TEE实例分配的独立的执行空间内(该独立的执行空间无法被外部的***，包括操作***本身所看到)，第一公钥发送给用户客户端，用于用户客户端的会话内容加密，第二公钥发送给业务***，用于将指定数据加密后存储到业务***数据库中；
所述访问权限鉴定过程包括：当客户端需要访问TEE实例时，先通过远程断言验证所述TEE实例的真实性，验证通过后访问TEE实例，将访问信息(比如，客户端IP以及机器Mac地址)打包并通过所述第一公钥加密，然后提交到TEE实例，所述TEE实例通过所述第一私钥解密所述访问信息，然后与所述访问权限信息进行比对，权限鉴定通过后自动与所述客户端创建安全会话，用于调用TEE实例执行程序；若权限鉴定未通过，所述TEE实例拒绝所述客户端的访问请求；
所述用户身份鉴定过程包括：当用户在客户端提交登陆信息后，所述登陆信息提交到可信执行环境TEE实例做用户身份鉴定，TEE实例通过安全会话接收到请求后，执行用户身份鉴定程序的鉴定方法，然后返回鉴定结果，完成用户身份鉴定。
基于可信执行环境，在封闭安全的区域内做安全计算和数据处理，可以确保***登陆入口不被恶意程序劫持，并将安全鉴定结果告知业务***，实现高级别安全身份鉴定，提升业务***的整体安全性；通过对用户客户端的会话内容加密以及业务***数据库中指定数据(比如用户口令)的加密，有效地应对数据库口令的泄露风险，相对于传统技术路线，显著提升用户身份鉴定的安全级别，有效保障***数据安全，为提升企业核心竞争力提供支撑。
本发明实施例的一种具体实现方式如下：
把***用户身份鉴定程序装载到可信执行环境TEE实例中，划分安全可行的处理器和内存中的保护区域，使用这种新的应用层可信执行环境，可以有效提高业务***的用户权限鉴定，确保***登陆入口不被恶意程序劫持。
(1)应用程序通过命令操作可信执行环境TEE，将用户身份鉴定程序进行装载，并定义访问权限信息(如用户访问IP地址、终端Mac地址等信息)到TEE实例中进行初始化，初始化完成后自动进入启动阶段，TEE实例启动后会按需生成两组秘钥：k1组(包含私钥sk1、公钥pk1)、k2组(包含私钥sk2、公钥pk2)，两组私钥存储到TEE实例分配的独立的执行空间内，任何情况下不会离开该硬件，公钥pk1公布到指定的用户客户端，用于会话内容加解密，公钥pk2公布到指定业务***，用于将重要数据(如用户口令)加密后存储到业务***数据库中，流程如图2所示。
(2)用户客户端首先需要进行远程断言，远程断言的目的是证明请求的TEE实例没有被伪装，且在TEE实例内部执行，客户端请求TEE实例获取到实例信息，并提交到服务中心，服务中心负责验证TEE实例的真实性。然后用户客户端访问TEE实例，将客户端IP、机器Mac地址信息打包，并通过TEE实例颁发的可信公钥pk1加密，提交到TEE实例，在TEE实例内部使用私钥sk1进行解密，解密后获取到的明文IP和Mac地址，与初始化TEE实例时设定的访问权限控制(权限名单)做对比，在访问控制范围内时鉴权通过，整个鉴权过程中在TEE实例内部进行，权限鉴定通过自动创建安全会话，能够成功调用TEE实例执行程序，未通过时TEE实例拒绝客户端请求，保证接入过程安全。业务***访问TEE实例时和用户客户端相似，只是采用的公钥pk2进行加密，流程如图3所示。
(3)用户在客户端通过浏览器访问登陆页面，输入用户ID、用户口令信息等用户信息，点击登陆后，用户信息在本地通过公钥pk1加密封装后提交到可信执行环境TEE实例做用户身份鉴定；TEE实例通过安全会话接收到请求后，执行鉴定方法Func，Func执行过程中，首先通过sk1解密出客户端提交的用户ID(UserId)和输入口令(Pass1)，同时通过UserId请求业务***数据库，获取数据库中的加密用户口令Pass2并应用sk2解密，最后将Pass1和Pass2两组口令的解密后数据输入到用户身份鉴定函数最对比，数据一致为True，不一致为False，用户客户端的登录过程通过该返回状态控制用户登录是否成功，完成用户身份验证，流程如图4所示。
通过对基于可信执行环境TEE的用户身份鉴定的技术，可以大幅提升业务***的安全性，有效保障***数据安全，为提升企业核心竞争力提供支撑。
基于同一发明构思，本申请还提供了与实施例一中的方法对应的装置，详见实施例二。
实施例二
在本实施例中提供了一种基于可信执行环境的用户身份鉴定***，如图5所示，包括：实例初始化模块、访问权限鉴定模块以及用户身份鉴定模块；
所述实例初始化模块，用于用户身份鉴定程序装载到可信执行环境TEE实例中，然后定义访问权限信息，所述TEE实例启动后按需生成至少两组非对称秘钥，其中，第一私钥和第二私钥存储于TEE实例分配的独立的执行空间内，第一公钥发送给用户客户端，用于用户客户端的会话内容加密，第二公钥发送给业务***，用于将指定数据加密后存储到业务***数据库中；
所述访问权限鉴定模块，用于当客户端需要访问TEE实例时，先通过远程断言验证所述TEE实例的真实性，验证通过后访问TEE实例，将访问信息打包并通过所述第一公钥加密，然后提交到TEE实例，所述TEE实例通过所述第一私钥解密所述访问信息，然后与所述访问权限信息进行比对，权限鉴定通过后自动与所述客户端创建安全会话，用于调用TEE实例执行程序；若权限鉴定未通过，所述TEE实例拒绝所述客户端的访问请求；
所述用户身份鉴定模块，用于当用户在客户端提交登陆信息后，所述登陆信息提交到可信执行环境TEE实例做用户身份鉴定，TEE实例通过安全会话接收到请求后，执行用户身份鉴定程序的鉴定方法，然后返回鉴定结果，完成用户身份鉴定。
较佳地，所述访问权限鉴定模块中，客户端通过远程断言验证所述TEE实例的真实性，具体包括：客户端请求TEE实例获取到实例信息，并提交到服务中心，然后获取服务中心验证TEE实例的真实性后返回的验证结果。
较佳地，所述用户身份鉴定模块中，所述登陆信息包括用户名和输入口令；执行用户身份鉴定程序的鉴定方法，然后返回鉴定结果，具体包括：
首先通过第一私钥解密出客户端提交的登陆信息，通过用户名请求业务***数据库，获取数据库中的加密用户口令并应用第二私钥解密，最后将所述输入口令与加密用户口令的解密后数据输入到用户身份鉴定函数做对比，数据一致为True，不一致为False。
较佳地，所述用户身份鉴定模块中，当用户在客户端提交登陆信息后，所述登陆信息先在本地进行加密编码封装，然后再提交到可信执行环境TEE实例做用户身份鉴定。
由于本发明实施例二所介绍的***，为实施本发明实施例一的方法所采用的***，故而基于本发明实施例一所介绍的方法，本领域所属人员能够了解该***的具体结构及变形，故而在此不再赘述。凡是本发明实施例一的方法所采用的装置都属于本发明所欲保护的范围。
基于同一发明构思，本申请还提供了实施例一对应的存储介质，详见实施例三。
实施例三
本实施例提供一种计算机可读存储介质，如图6所示，其上存储有计算机程序，该计算机程序被处理器执行时，可以实现实施例一中任一实施方式。
由于本实施例所介绍的计算机可读存储介质为实施本申请实施例一中方法所采用的计算机可读存储介质，故而基于本申请实施例一中所介绍的方法，本领域所属技术人员能够了解本实施例的计算机可读存储介质的具体实施方式以及其各种变化形式，所以在此对于该计算机可读存储介质如何实现本申请实施例中的方法不再详细介绍。只要本领域所属技术人员实施本申请实施例中的方法所采用的计算机可读存储介质，都属于本申请所欲保护的范围。
本发明实施例基于可信执行环境(Trusted Execution Environment，简称TEE)，在封闭安全的区域内做安全计算和数据处理，可以确保***登陆入口不被恶意程序劫持，并将安全鉴定结果告知业务***，实现高级别安全身份鉴定，提升业务***的整体安全性；通过对用户客户端的会话内容加密以及业务***数据库中指定数据(比如用户口令)的加密，有效应对数据库口令的泄露风险，相对于传统技术路线，显著提升用户身份鉴定的安全级别，有效保障***数据安全，为提升企业核心竞争力提供支撑。
虽然以上描述了本发明的具体实施方式，但是熟悉本技术领域的技术人员应当理解，我们所描述的具体的实施例只是说明性的，而不是用于对本发明的范围的限定，熟悉本领域的技术人员在依照本发明的精神所作的等效的修饰以及变化，都应当涵盖在本发明的权利要求所保护的范围内。

Claims (9)

1.一种基于可信执行环境的用户身份鉴定方法，其特征在于，包括：实例初始化过程、访问权限鉴定过程以及用户身份鉴定过程；
所述实例初始化过程包括：将用户身份鉴定程序装载到可信执行环境TEE实例中，然后定义访问权限信息，所述TEE实例启动后按需生成至少两组非对称秘钥，其中，第一私钥和第二私钥存储于TEE实例分配的独立的执行空间内，第一公钥发送给用户客户端，用于用户客户端的会话内容加密，第二公钥发送给业务***，用于将指定数据加密后存储到业务***数据库中；
所述访问权限鉴定过程包括：当客户端需要访问TEE实例时，先通过远程断言验证所述TEE实例的真实性，验证通过后访问TEE实例，将访问信息打包并通过所述第一公钥加密，然后提交到TEE实例，所述TEE实例通过所述第一私钥解密所述访问信息，然后与所述访问权限信息进行比对，权限鉴定通过后自动与所述客户端创建安全会话，用于调用TEE实例执行程序；若权限鉴定未通过，所述TEE实例拒绝所述客户端的访问请求；
所述用户身份鉴定过程包括：当用户在客户端提交登陆信息后，所述登陆信息提交到可信执行环境TEE实例做用户身份鉴定，TEE实例通过安全会话接收到请求后，执行用户身份鉴定程序的鉴定方法，然后返回鉴定结果，完成用户身份鉴定。
2.根据权利要求1所述的方法，其特征在于：所述访问权限鉴定过程中，客户端通过远程断言验证所述TEE实例的真实性，具体包括：客户端请求TEE实例获取到实例信息，并提交到服务中心，然后获取服务中心验证TEE实例的真实性后返回的验证结果。
3.根据权利要求1所述的方法，其特征在于：所述用户身份鉴定过程中，所述登陆信息包括用户名和输入口令；执行用户身份鉴定程序的鉴定方法，然后返回鉴定结果，具体包括：
首先通过第一私钥解密出客户端提交的登陆信息，通过用户名请求业务***数据库，获取数据库中的加密用户口令并应用第二私钥解密，最后将所述输入口令与加密用户口令的解密后数据输入到用户身份鉴定函数做对比，数据一致为True，不一致为False。
4.根据权利要求1至3任一项所述的方法，其特征在于：所述用户身份鉴定过程中，当用户在客户端提交登陆信息后，所述登陆信息先在本地进行加密编码封装，然后再提交到可信执行环境TEE实例做用户身份鉴定。
5.一种基于可信执行环境的用户身份鉴定***，其特征在于，包括：实例初始化模块、访问权限鉴定模块以及用户身份鉴定模块；
所述实例初始化模块，用于用户身份鉴定程序装载到可信执行环境TEE实例中，然后定义访问权限信息，所述TEE实例启动后按需生成至少两组非对称秘钥，其中，第一私钥和第二私钥存储于TEE实例分配的独立的执行空间内，第一公钥发送给用户客户端，用于用户客户端的会话内容加密，第二公钥发送给业务***，用于将指定数据加密后存储到业务***数据库中；
所述访问权限鉴定模块，用于当客户端需要访问TEE实例时，先通过远程断言验证所述TEE实例的真实性，验证通过后访问TEE实例，将访问信息打包并通过所述第一公钥加密，然后提交到TEE实例，所述TEE实例通过所述第一私钥解密所述访问信息，然后与所述访问权限信息进行比对，权限鉴定通过后自动与所述客户端创建安全会话，用于调用TEE实例执行程序；若权限鉴定未通过，所述TEE实例拒绝所述客户端的访问请求；
所述用户身份鉴定模块，用于当用户在客户端提交登陆信息后，所述登陆信息提交到可信执行环境TEE实例做用户身份鉴定，TEE实例通过安全会话接收到请求后，执行用户身份鉴定程序的鉴定方法，然后返回鉴定结果，完成用户身份鉴定。
6.根据权利要求5所述的***，其特征在于：所述访问权限鉴定模块中，客户端通过远程断言验证所述TEE实例的真实性，具体包括：客户端请求TEE实例获取到实例信息，并提交到服务中心，然后获取服务中心验证TEE实例的真实性后返回的验证结果。
7.根据权利要求5所述的***，其特征在于：所述用户身份鉴定模块中，所述登陆信息包括用户名和输入口令；执行用户身份鉴定程序的鉴定方法，然后返回鉴定结果，具体包括：
首先通过第一私钥解密出客户端提交的登陆信息，通过用户名请求业务***数据库，获取数据库中的加密用户口令并应用第二私钥解密，最后将所述输入口令与加密用户口令的解密后数据输入到用户身份鉴定函数做对比，数据一致为True，不一致为False。
8.根据权利要求5至7任一项所述的***，其特征在于：所述用户身份鉴定模块中，当用户在客户端提交登陆信息后，所述登陆信息先在本地进行加密编码封装，然后再提交到可信执行环境TEE实例做用户身份鉴定。
9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1至4任一项所述的方法。
CN202210052719.4A 2022-01-18 2022-01-18 一种基于可信执行环境的用户身份鉴定方法、***及介质 Active CN114520735B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210052719.4A CN114520735B (zh) 2022-01-18 2022-01-18 一种基于可信执行环境的用户身份鉴定方法、***及介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210052719.4A CN114520735B (zh) 2022-01-18 2022-01-18 一种基于可信执行环境的用户身份鉴定方法、***及介质

Publications (2)

Publication Number Publication Date
CN114520735A true CN114520735A (zh) 2022-05-20
CN114520735B CN114520735B (zh) 2023-10-31

Family

ID=81597554

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210052719.4A Active CN114520735B (zh) 2022-01-18 2022-01-18 一种基于可信执行环境的用户身份鉴定方法、***及介质

Country Status (1)

Country Link
CN (1) CN114520735B (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115378677A (zh) * 2022-08-16 2022-11-22 上海交通大学 适用于用户端的个人数据收集方法、***及其使用方法、***

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107612940A (zh) * 2017-10-31 2018-01-19 飞天诚信科技股份有限公司 一种身份认证方法及认证装置
CN109787988A (zh) * 2019-01-30 2019-05-21 杭州恩牛网络技术有限公司 一种身份加强认证和鉴权方法及装置
US20200145219A1 (en) * 2016-11-08 2020-05-07 Aware, Inc. Decentralized biometric identity authentication
US10764752B1 (en) * 2018-08-21 2020-09-01 HYPR Corp. Secure mobile initiated authentication
US20210258308A1 (en) * 2018-08-21 2021-08-19 HYPR Corp. Out-of-band authentication to access web-service with indication of physical access to client device

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20200145219A1 (en) * 2016-11-08 2020-05-07 Aware, Inc. Decentralized biometric identity authentication
CN107612940A (zh) * 2017-10-31 2018-01-19 飞天诚信科技股份有限公司 一种身份认证方法及认证装置
US10764752B1 (en) * 2018-08-21 2020-09-01 HYPR Corp. Secure mobile initiated authentication
US20210258308A1 (en) * 2018-08-21 2021-08-19 HYPR Corp. Out-of-band authentication to access web-service with indication of physical access to client device
CN109787988A (zh) * 2019-01-30 2019-05-21 杭州恩牛网络技术有限公司 一种身份加强认证和鉴权方法及装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
刘亚强;李晓宇;: "利用基于身份的密码算法+短信验证码的移动安全支付方案", 计算机科学, no. 01 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115378677A (zh) * 2022-08-16 2022-11-22 上海交通大学 适用于用户端的个人数据收集方法、***及其使用方法、***

Also Published As

Publication number Publication date
CN114520735B (zh) 2023-10-31

Similar Documents

Publication Publication Date Title
US10489574B2 (en) Method and system for enterprise network single-sign-on by a manageability engine
US8402508B2 (en) Delegated authentication for web services
CN112513857A (zh) 可信执行环境中的个性化密码安全访问控制
US20180082050A1 (en) Method and a system for secure login to a computer, computer network, and computer website using biometrics and a mobile computing wireless electronic communication device
US20040098591A1 (en) Secure hardware device authentication method
US20080072066A1 (en) Method and apparatus for authenticating applications to secure services
CN113168476A (zh) 操作***中个性化密码学安全的访问控制
KR20180026508A (ko) 생체 특징에 기초한 보안 검증 방법, 클라이언트 단말, 및 서버
JPH1185622A (ja) コア・データ機密事項の保護記憶
US20090064273A1 (en) Methods and systems for secure data entry and maintenance
US20150264047A1 (en) Method and system for providing secure communication between multiple operating systems in a communication device
WO2021190197A1 (zh) 生物支付设备的认证方法、装置、计算机设备和存储介质
WO2015117523A1 (zh) 访问控制方法及装置
CN112765637A (zh) 数据处理方法、密码服务装置和电子设备
US20170201528A1 (en) Method for providing trusted service based on secure area and apparatus using the same
EP3651048A1 (en) Sfs access control method and system, sfs and terminal device
CN106992978B (zh) 网络安全管理方法及服务器
CN109474431B (zh) 客户端认证方法及计算机可读存储介质
CN114520735B (zh) 一种基于可信执行环境的用户身份鉴定方法、***及介质
CN116996305A (zh) 一种多层次安全认证方法、***、设备、存储介质及入口网关
CN111538973A (zh) 基于国密算法的个人授权访问控制***
US20240113898A1 (en) Secure Module and Method for App-to-App Mutual Trust Through App-Based Identity
CN116450281A (zh) 访问处理方法、虚拟机标识配置方法、芯片及计算机设备
CN112507302B (zh) 基于密码模块执行的调用方身份鉴别方法及装置
CN113468610A (zh) 去中心化可信访问控制框架及其运行方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant