CN115296818A - 认证方法及装置、存储介质及电子设备 - Google Patents

Abstract

本公开涉及数据传输技术领域，具体涉及一种认证方法及装置、计算机可读存储介质及电子设备，方法包括：将客户端信息、用户终端信息和用户的数字签名封装为初始数据包；将用户CA证书、初始数据包和密匙信息封装为目标SPA数据包；向控制端发送目标SPA数据包，以使得控制端根据初始数据包、数字签名和密匙信息完成初步认证。本公开实施例的技术方案提升了SPA单包授权的安全性，从而提升零信任***的安全防护能力，有效保护后端业务***。

Description

认证方法及装置、存储介质及电子设备

技术领域

本公开涉及数据传输技术领域，具体而言，涉及一种认证方法及装置、计算机可读存储介质及电子设备。

背景技术

SPA(Single Packet Authorization)单包授权技术是零信任落地实践的关键技术之一，在零信任***中，默认丢弃所有网络连接请求，仅当SPA包通过验证后，才开放端口，响应相应的连接请求。通过SPA单包授权技术可以实现网络隐身，防止嗅探和DDOS(Distributed Denial of Service，分布式拒绝服务)攻击。

但是，现有SPA单包授权技术主要通过预置根密钥(种子)，基于种子、计数器、等参数根据加密算法生成动态密码，验证发送者的身份。相关技术中的SPA授权码的生成方式存在分发的过程有泄露的可能；密钥分发困难，种子密钥需定期更换，便利性不足。

需要说明的是，在上述背景技术部分公开的信息仅用于加强对本公开的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

本公开的目的在于提供一种认证方法、认证装置、计算机可读介质和电子设备，进而至少在一定程度上提升了SPA单包授权的安全性，从而提升零信任***的安全防护能力，有效保护后端业务***。

根据本公开的第一方面，提供一种认证方法，应用于单数据包授权的客户端，包括：将客户端信息、用户终端信息和用户的数字签名封装为初始数据包；将所述用户CA证书、初始数据包和密匙信息封装为目标SPA数据包；向控制端发送所述目标SPA数据包，以使得控制端根据所述初始数据包、所述数字签名和所述密匙信息完成初步认证。

根据本公开的第二方面，提供一种认证方法，应用于单数据包授权的控制端，包括：接收客户端发送的目标SPA数据包，所述目标SPA数据包由初始数据包、用户CA证书和密匙信息封装得到，其中，初始数据包是由客户端信息、用户终端信息和用户的数字签名封装得到的；根据所述密匙信息确定解密秘钥；根据所述解密秘钥和所述目标SPA数据包得到所述初始数据包；根据所述用户CA证书、初始数据包和所述数字签名完成初步认证。

根据本公开的第三方面，提供一种认证方法，包括：客户端将客户端信息、用户终端信息和用户的数字签名封装为初始数据包；客户端将所述用户CA证书、初始数据包和密匙信息封装为目标SPA数据包；客户端向控制端发送所述目标SPA数据包；控制端接收客户端发送的目标SPA数据包；控制端根据所述密匙信息确定解密秘钥；控制端根据所述解密秘钥和所述目标SPA数据包得到所述初始数据包；控制端根据所述用户CA证书、初始数据包和所述数字签名完成初步认证。

根据本公开的第四方面，提供一种装置，应用于单数据包授权的客户端，包括：第一封装模块，用于将客户端信息、用户终端信息和用户的数字签名封装为初始数据包；第二封装模块，用户将所述用户CA证书、初始数据包和密匙信息封装为目标SPA数据包；数据发送模块，用于向控制端发送所述目标SPA数据包，以使得控制端根据所述初始数据包、所述数字签名和所述密匙信息完成初步认证。

根据本公开的第五方面，提供一种装置，应用于单数据包授权的控制端，包括数据接收模块，用于接收客户端发送的目标SPA数据包，所述目标SPA数据包由初始数据包、用户CA证书和密匙信息封装得到，其中，初始数据包由客户端信息、用户终端信息和用户的数字签名封装得到的；第一解密模块，用于根据所述密匙信息确定解密秘钥；第二解密模块，用于根据所述解密秘钥和所述目标SPA数据包得到所述初始数据包；初步认证模块，用于根据所述用户CA证书、初始数据包和所述数字签名完成初步认证。

根据本公开的第五方面，提供一种SDP客户端，所述客户端被配置为实现上述的方法。

根据本公开的第六方面，提供一种SDP控制器，所述控制器被配置为实现上述的方法。

根据本公开的第七方面，提供一种计算机可读介质，其上存储有计算机程序，计算机程序被处理器执行时实现上述的方法。

根据本公开的第八方面，提供一种电子设备，其特征在于，包括：一个或多个处理器；以及存储器，用于存储一个或多个程序，当一个或多个程序被一个或多个处理器执行时，使得一个或多个处理器实现上述的方法。

本公开的一种实施例所提供的认证方法，将客户端信息、用户终端信息和用户的数字签名封装为初始数据包；将用户CA证书、初始数据包和密匙信息封装为目标SPA数据包；向控制端发送目标SPA数据包，以使得控制端根据初始数据包、数字签名和密匙信息完成初步认证。相较于现有技术，一方面，通过将客户端信息、用户终端信息融入SPA数据包中，提升了SPA单包授权的安全性；再一方面，将用户CA证书数据签名，密匙信息等技术融合，从而实现SPA数据包发送者真实可信，使得SPA数据包的传输过程更加安全可靠。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1示出了可以应用本公开实施例的一种示例性***架构的示意图；

图2示意性示出本公开示例性实施例中一种认证方法的流程图；

图3示意性示出本公开示例性实施例中一种目标SPA数据包的组成图

图4示意性示出本公开示例性实施例中另一种目标SPA数据包的组成图

图5示意性示出本公开示例性实施例中另一种认证方法的流程图；

图6示意性示出本公开示例性实施例中再一种认证方法的流程图；

图7示意性示出本公开示例性实施例中认证方法的交互图；

图8示意性示出本公开示例性实施例中认证方法所在***的构成图；

图9示意性示出本公开示例性实施例中认证装置的组成示意图；

图10示意性示出本公开示例性实施例中认证装置的组成示意图；

图11示意性示出本公开示例性实施例中电子设备的结构图。

具体实施方式

现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施方式使得本公开将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施方式中。

此外，附图仅为本公开的示意性图解，并非一定是按比例绘制。图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。附图中所示的一些方框图是功能实体，不一定必须与物理或逻辑上独立的实体相对应。可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

图1示出了***架构的示意图，该***架构100可以包括终端110与服务器120以及网关130。其中，终端110可以是智能手机、平板电脑、台式电脑、笔记本电脑等终端设备，服务器120表示上述控制端。

在一种实施方式中，计算机终端100安装了SDP客户端，用户通过运行计算机终端100中的SDP客户端应用程序就可以启动生成SPA数据包并向服务器120发送生成的SPA数据包的过程。例如，用户点击了计算机终端100的桌面上的一个SDP客户端应用程序，这时就开始了单包授权过程，首先计算机终端100的SPA客户端会生成一个SPA数据包并向服务器120发送生成的SPA数据包，SDP控制器通过SPA数据包完成对用户身份(或者用户身份和用户设备)的识别。

在一些实施例中，用户可以通过打开计算机终端100上的浏览器(需要该浏览器已经按照了SPA客户端程序)来启动生成SPA数据包并向服务器120发送生成的SPA数据包的过程。

在一些实施例中，服务器120还向网关130(例如，服务器为SDP控制器，网关为SDP代理网关)发送计算机终端100的IP地址，以使后续计算机终端100可以通过该IP地址与网关130的连接(例如，通过图1的计算机终端100和网关130之间的TSL通道)来获取网关130(例如，SDP代理网关)屏蔽的服务器资源。在一些实施例中，网关130会向服务器120发送状态确认信息，以使服务器120得到可以向计算机终端100上的用户提供服务的端口信息，为建立TSL通道提供基础数据。

下面结合图2对本示例性实施方式中的认证方法进行说明，图2示出了该认证方法的示例性流程，可以包括：

步骤S210，将客户端信息、用户终端信息和用户的数字签名封装为初始数据包；

步骤S220，将所述用户CA证书、初始数据包和密匙信息封装为目标SPA数据包；

步骤S230，向控制端发送所述目标SPA数据包，以使得控制端根据所述初始数据包、所述数字签名和所述密匙信息完成初步认证。

基于上述方法，一方面，通过将客户端信息、用户终端信息融入SPA数据包中，提升了SPA单包授权的安全性；再一方面，将用户CA证书数据签名，密匙信息等技术融合，从而实现SPA数据包发送者真实可信，使得SPA数据包的传输过程更加安全可靠。。

下面对图2中的每个步骤进行具体说明。

参考图2，在步骤S210中，将客户端信息、用户终端信息和用户的数字签名封装为初始数据包。

在本公开的一种示例实施方式中，上述客户端信息可以包括客户端ID、客户端版本号、服务端ID和计数器，其中，客户端ID表示SDP客户端的唯一标识，服务端ID，即SPA包验证者的ID，在本示例实施方式中，上述服务端ID为SDP控制器的ID或SDP网关的ID，上述计数器表示通信双方数据包发送的数量，在通信双方之间同步，每发一次数据包，计数器增加一定数值，用于防重放攻击。

在本示例实施方式中，上述用户终端信息可以包括终端设备ID、终端类型、终端位置信息、终端环境参数。其中，终端设备ID为终端的唯一标识，终端环境参数用于对终端环境进行评估，包括访问的应用类型、应用版本、应用hash值、终端操作***类型、操作***版本号、中间件/动态连接件等。

在本示例实施方式中，上述客户端为SDP客户端，用户可以首先通过SDP客户端在CA端注册并获取CA证书，然后SDP客户端根据上CA证书对上述客户端信息、用户终端信息进行数字签名并封装成初始数据包。

具体而言，在封装前可以首先对上述客户端信息、用户终端信息进行编码得到上述客户端信息、用户终端信息对应的类型长度值对，具体可以参照表1所示。

表1

参照表1所示，在一示例性实施例中，类型值0x0201表示客户端版本号，类型值0x0202表示服务器ID，类型值0x0203表示计数器，类型值0x0204表示终端设备ID，类型值0x0205表示终端类型，类型值0x0206表示终端位置信息，类型值0x0207表示终端环境信息，类型值0x0208表示SPA包发送的源IP地址，类型值0x0209表示数字签名，类型值0x0201表示对以上信息进行数字签名使用私钥签名，类型值0x020a表示CA证书，类型值0x0301表示加密后的密匙信息。

在本示例实施方式中，在对上述客户端信息、用户终端信息进行编码得到其对应的类型长度值对之后，可将上述类型长度值和数字签名封装为初始数据包。

在本公开的一种示例实施方式中，上述可以将客户端信息、用户终端信息以及上述数字签名封装为UDP数据包作为所述初始数据包，其中，上述UDP数据包包括自定义源端口号，所述自定义源端口号用于表征所述初始数据包为SPA数据包，自定义源端口号可以根据用户需求进行自定义，例如，62222、63333等，在本示例实施方式中不做具体限定。

在步骤S220中，将所述用户CA证书、初始数据包和密匙信息封装为目标SPA数据包。

在本公开的一种示例实施方式中，在得到上述初始数据包之后，可以将用户CA证书、初始数据包和密匙信息封装为目标SPA数据包，具体而言，即对上述用户CA证书、初始数据包采用密匙信息进行非对称加密得到上述目标SPA数据包。

在本示例实施方式中，参照图3所述，上述目标SPA数据包可以包括依次排列的32位源IP地址、32位目的IP地址，加密方式标识(可以采用数字0表示还未协商出共享密钥(即本次采用非对称密钥认证))，17位协议，UDP长度、16位源端口号、16位目的端口号、16位UDP长度、16位目的检验、SPA类型、SPA包总长度和SPA信息(TLV)。

简单来说，参照图4所示，目标SPA数据包可以包括外层IP头，UDP包头、SPA认证参数、签名、CA证书、以及键值，其中，SPA认证参数、签名、CA证书进行加密传输。

在步骤S230中，向控制端发送所述目标SPA数据包，以使得控制端根据所述初始数据包、所述数字签名和所述密匙信息完成初步认证。

在本公开的一种示例实施方式中，可以将上述目标SPA数据包发送至SPA控制端，然后由控制端进行初步认证，

在本示例实施方式中，上述控制端可以首先根据上述判定上述目标SPA数据包的源端口号是否为自定义端口号，若是，则根据上述密匙信息确定解密秘钥，具体而言，可以首先根据上述目标SPA数据包的长度确定上述密匙信息的键值，然后根据键值确定出解密秘钥。

在本示例实施方式中，在得到上述解密秘钥之后，利用该解密秘钥对上述目标SPA数据包进行初步解密得到上述初始数据包，然后根据用户CA证书首先确定于用户信息，利用用户信息在CA端获取目标CA证书，对比用户CA证书与目标CA证书是否一致，若一致，则根据上述目标CA证书或者用户CA证书完成对初始数据包的数字签名验证，以完成对上述用户的初步认证。对CA证书进行再一次验证，能够防止在数据包传输过程中被篡改，增加了数据传输的安全性。

在本公开的一种示例实施方式中，还可以向上述控制端发送目标SPA数据包对应的哈希值，以使得上述控制端能够根据上述哈希值对目标SPA数据包进行数据验证，防止传输过程中的数据丢失。

在本公开的另一种示例实施方式中，本公开还提供一种认证方法，应用于控制端，参照图5所示，该认证方法可以包括如下步骤：

步骤S510，接收客户端发送的目标SPA数据包，所述目标SPA数据包由初始数据包、用户CA证书和密匙信息封装得到，其中，初始数据包是由客户端信息、用户终端信息和用户的数字签名封装得到的；

步骤S520，根据所述密匙信息确定解密秘钥；

步骤S530，根据所述解密秘钥和所述目标SPA数据包得到所述初始数据包；

步骤S540，根据所述用户CA证书、初始数据包和所述数字签名完成初步认证。

下面对上述各个步骤进行详细说明。

在步骤S510，接收客户端发送的目标SPA数据包，所述目标SPA数据包由初始数据包、用户CA证书和密匙信息封装得到，其中，初始数据包是对客户端信息、用户终端信息进行数字签名得到的。

在本示例实施方式中，控制端可以接受上述客户端发送的目标SPA数据包，其中，所述目标SPA数据包由初始数据包、用户CA证书和密匙信息封装得到，其中，初始数据包是对客户端信息、用户终端信息进行数字签名得到的。

上述客户端信息可以包括客户端ID、客户端版本号、服务端ID和计数器，其中，客户端ID表示SDP客户端的唯一标识，服务端ID，即SPA包验证者的ID，在本示例实施方式中，上述服务端ID为SDP控制器的ID或SDP网关的ID，上述计数器表示通信双方数据包发送的数量，在通信双方之间同步，每发一次数据包，计数器增加一定数值，用于防重放攻击。

在本示例实施方式中，上述用户终端信息可以包括终端设备ID、终端类型、终端位置信息、终端环境参数。其中，终端设备ID为终端的唯一标识，终端环境参数用于对终端环境进行评估，包括访问的应用类型、应用版本、应用hash值、终端操作***类型、操作***版本号、中间件/动态连接件等。

关于上述目标SPA数据的具体细节可以参照上述对应用于客户端的认证方法，在此不再赘述。

在本示例实施方式中，上述控制端，可以是SDP控制端，用于与上述SDP客户端及进行交互以接收上述目标SPA数据包。

在步骤S520，根据所述密匙信息确定解密秘钥。

在本示例实施方式中，可以对上述目标SPA数据包进行初步解析，以获取上述目标SPA数据包的总长度，基于上述总长度，找到上述密匙信息对应的键值所在位置，并确定键值。然后可以根据上述键值确定上述解密秘钥。

在本示例实施方式中，上述初始数据包为UDP包，且UDP数据包包括自定义源端口号，所述自定义源端口号用于表征初始数据包为SPA数据包。

在根据上述密匙信息确定解密秘钥时，可以首先对上述目标SPA数据包进行源端口号的判定，具体而言，可以首先判定上述上述目标SPA数据包的源端口号是否为自定义端口号，若是，则根据上述密匙信息确定解密秘钥，具体而言，可以首先根据上述目标SPA数据包的长度确定上述密匙信息的位置，然后根据上述密匙信息的位置确定密匙信息对应的键值，然后根据键值确定出解密秘钥。

在步骤S530中，根据所述解密秘钥和所述目标SPA数据包得到所述初始数据包；

在步骤S540中，根据所述用户CA证书、初始数据包和所述数字签名完成初步认证。

在本示例实施方式中，在得到上述解密秘钥之后，利用该解密秘钥对上述目标SPA数据包进行初步解密得到上述初始数据包，然后根据用户CA证书首先确定于用户信息，利用用户信息在CA端获取目标CA证书，对比用户CA证书与目标CA证书是否一致，若一致，则根据上述目标CA证书或者用户CA证书完成对初始数据包的数字签名验证，以完成对上述用户的初步认证。对CA证书进行再一次验证，能够防止在数据包传输过程中被篡改，增加了数据传输的安全性。

在本公开的一种示例实施方式中，还可以向上述控制端发送目标SPA数据包对应的哈希值，以使得上述控制端能够根据上述哈希值对目标SPA数据包进行数据验证，防止传输过程中的数据丢失。

在本示例实施方式中，上述控制端还可以根据对上述客户短信息中的客户端版本进行检测，在上述客户端的版本不是最新版本时，可以向上述客户端反馈版本更新信息，如“版本需更新”、“请更新版本”等，还可以根据用户需求进行自定义，在本示例实施方式中不做具体限定。

在本公开的另一种方式中，在完成对哈希值以及上述客户端版本进行验证之后，基于访问的应用类型、应用版本、应用hash值、终端操作***类型、操作***版本号、中间件/动态连接键等信息对终端设备进行可信度评估。将终端设备ID、终端类型及型号、终端位置信息、客户端ID、客户端版本号等信息一起保存到数据库。以使得该用户下次进行SPA包认证。

在完成上述初步验证之后，控制端可以客户端发送认证通过信息，并向SDP网关发送通信策略，通信策略可以包括用户信息、开放端口信息等，在本示例实施方式中不做具体限定。

然后，客户端可以选择网关，并建立连接请求，SDP网关进行第二次SPA单包认证，其中，第二次SPA单包认证可以参照相关技术，在次不再赘述。

在本示例实施方式中，在完成第二次单包认证之后，执行SDP控制器下发的接入策略，仅对相应的用户开放相应的端口，建立TLS连接。

本公开还提供一种认证方法，参照图6所示，包括如下步骤

步骤S610，客户端将客户端信息、用户终端信息和用户的数字签名封装为初始数据包；

步骤S620，客户端将所述用户CA证书、初始数据包和密匙信息封装为目标SPA数据包；

步骤S630，客户端向控制端发送所述目标SPA数据包；

步骤S640，控制端接收客户端发送的目标SPA数据包；

步骤S650，控制端根据所述密匙信息确定解密秘钥；

步骤S660，控制端根据所述解密秘钥和所述目标SPA数据包得到所述初始数据包；

步骤S670，控制端根据所述用户CA证书、初始数据包和所述数字签名完成初步认证。

上述步骤的具体细节在对应用于客户端和控制端的认证方法进行说明时，已经进行了详细说明，因此，此次不再赘述。

在本示例实施方式中，参照图7所示，整个认证方法可以由用户终端、SDP客户端、SDP控制端、SDP网关，以及CA端之间的相互交互完成，具体而言，可以首先执行步骤S701，用户登录安全客户端，启动连接，然后由SDP客户端执行步骤S702，用户在CA端注册，申请安全证书。之后由CA端执行步骤S703，返回用户CA证书，之后SDP客户端执行步骤S704，封装目标SPA数据包，并执行步骤S705，将目标SPA数据包发送至SDP控制端。

然后由SDP控制端执行步骤S706和步骤S707，判断接收的数据包是否为SPA数据包，并在是SPA数据包时解密解析目标SPA数据包，并根据用户信息向CA端请求获取目标CA证书，然后CA端执行步骤S708，返回目标CA证书，然后SDP控制端执行步骤S709，用户身份认证并根据验证结果进行数字签名验证，并进行客户端版本认证，即判断上述用户CA证书与目标CA证书是否一致，在一致的情况下，对数据包进行数字签名验证，并客户端信息中的客户端版本是否为最新版本，若是，则执行步骤S710和步骤S711，初步认证通过，下发通信策略，并向客户端发送认证通过信息，并下发可以连接的SDP网关列表，若不是，则执行步骤S712，发送版本更新信息。

最后，SDP客户端执行步骤S713，选择SDP网关，并发送建立连接请求，SDP执行步骤S714，进行第二次单包认证，并在认证已通过后执行步骤S715，返回同意建立连接的消息，SDP客户端执行步骤S716，建立双向TLS隧道。

参照图8所示，本申请中的SDP客户端与上述SDP控制端以及SDP网关进行通信，同时，上述SDP客户端还会与CA端及进行通信，SDP控制端也可以完成与上述CA端进行通信，其中，SDP客户端和SDP控制端之间通过控制通道交互，SDP网关与SDP客户端之间建立双向TLS隧道，为数据通道，SDP控制端还可以与上述CA进行交互。

本公开的认证方法基于UDP自定义目标SPA数据包，并将终端、客户端、终端环境评估信息等多类信息融入目标SPA数据包中，提供一种更安全更高效的SPA单包授权机制，过自定义特定UDP源端口号为SPA包，将客户端ID、客户端版本号、服务端ID、计数器、用户的CA证书、终端设备ID、终端类型、终端位置信、终端环境参数、CA证书等信息定义为类型长度值对，便于SDP控制端解析出SPA信息。另一方面，通过对SDP客户端、SDP控制端和SDP网关进行软件升级，SDP客户端增加SPA包生成器、终端信息管理、终端安全管理、注册管理等软件模块，SDP控制器增加SPA包解析、认证管理、授权管理等软件模块，实现一种终端环境可信、用户身份可信、数据传输防泄漏防篡改的SPA单包认证方法。在一方面，通过扩展SPA包并升级SDP零信息***将CA、数字签名，加密传输等技术有机融合，从而实现SPA包发送者真实可信、SPA包传输过程安全可靠(未被篡改未被窃取)，又一方面，判断客户端版本是否最新；SDP控制端基于SPA数据包携带的访问应用类型、应用版本、应用hash值、终端操作***类型、操作***版本号、中间件/动态连接件等信息综合评估终端环境可信度，并基于应用进行访问鉴权；将终端信息与客户端信息关联，为后续持续评估持续认证提供基础。

需要注意的是，上述附图仅是根据本公开示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

进一步的，参考图9所示，本示例的实施方式中还提供一种认证装置900，应用于单数据包授权的客户端，包括第一封装模块910、第二封装模块920和数据发送模块930。

其中，第一封装模块910用于对将客户端信息、用户终端信息和用户的数字签名封装为初始数据包。

第二封装模块920用于将所述用户CA证书、初始数据包和密匙信息封装为目标SPA数据包；

数据发送模块930用于向控制端发送所述目标SPA数据包，以使得控制端根据所述初始数据包、所述数字签名和所述密匙信息完成初步认证。

在一示例性实施例中，第一封装模块910被配置为将客户端信息、用户终端信息以及用户的数字签名封装为UDP数据包作为所述初始数据包；其中，所述UDP数据包包括自定义源端口号，所述自定义源端口号用于表征所述初始数据包为SPA数据包。

在一示例性实施例中，所述将客户端信息、用户终端信息以及用户的数字签名封装为UDP数据包作为所述初始数据包包括对所述对客户端信息、用户终端信息进行编码得到类型长度值对；将所述类型长度值和所述数字签名封装为UDP数据包作为所述初始数据包。

在一示例性实施例中，数据发送模块930被配置为获取所述目标SPA数据包的哈希值；将所述目标SPA数据包和所述哈希值发送至所述控制端。

进一步的，参考图10所示，本示例的实施方式中还提供一种认证装置1000，应用于单数据包授权的控制端，包括数据接收模块1010、第一解密模块1020、第二解密模块1030以及初步认证模块1040。其中，

数据接收模块1010用于接收客户端发送的目标SPA数据包，所述目标SPA数据包由初始数据包、用户CA证书和密匙信息封装得到，其中，初始数据包是由客户端信息、用户终端信息和用户的数字签名封装得到的；

第一解密模块1020用于根据所述密匙信息确定解密秘钥；

第二解密模块1030用于根据所述解密秘钥和所述目标SPA数据包得到所述初始数据包；

初步认证模块1040用于根据所述用户CA证书、初始数据包和所述数字签名完成初步认证。

上述数据接收模块1010还用于接收所述目标SPA数据包对应的哈希值，以根据所述哈希值对接收到所述目标SPA数据包的数据进行验证。

在本公开的一种示例实施方式中，所述初始数据包为UDP数据包，且所述UDP数据包包括自定义源端口号，所述自定义源端口号用于表征所述初始数据包为SPA数据包，第一解密模块1020被配置为响应所述目标SPA数据包中的源端口号为自定义源端口号，根据所述密匙信息确定解密秘钥。

第一解密模块1020被配置根据所述目标SPA数据包的总长度确定所述密匙信息的键值；根据所述键值确定所述解密秘钥。

初步认证模块1040可以被配置为根据所述用户CA证书确定用户信息；基于所述用户信息在CA获取所述用户信息对应的目标CA证书；基于所述目标CA证书、用户CA证书、初始数据包和所述数字签名完成初步认证。

在本示例实施方式中，上述初步认证模块1040可以被配置为响应所述客户端信息中的客户端版本不是最新版本，向客户端反馈版本更新信息。

上述装置中各模块的具体细节在方法部分实施方式中已经详细说明，未披露的细节内容可以参见方法部分的实施方式内容，因而不再赘述。

本公开还提供一种SDP客户端，被配置未执行上述应用于客户端的认证方法，应用于客户端的认证方法上述已经进行了详细说明，因此，此处不再赘述。

本公开还提供一种SDP控制端，被配置未执行上述应用于控制端的认证方法，应用于控制端的认证方法上述已经进行了详细说明，因此，此处不再赘述。

下面参照图11来描述根据本公开的这种实施例的电子设备1100。图11显示的电子设备1100仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图11所示，电子设备1100以通用计算设备的形式表现。电子设备1100的组件可以包括但不限于：上述至少一个处理单元1110、上述至少一个存储单元1120、连接不同***组件(包括存储单元1120和处理单元1110)的总线1130、显示单元1140。

其中，所述存储单元存储有程序代码，所述程序代码可以被所述处理单元1110执行，使得所述处理单元1110执行本说明书上述“示例性方法”部分中描述的根据本公开各种示例性实施例的步骤。例如，所述处理单元1110上述认证方法。

存储单元1120可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)1121和/或高速缓存存储单元1122，还可以进一步包括只读存储单元(ROM)1123。

存储单元1120还可以包括具有一组(至少一个)程序模块1125的程序/实用工具1124，这样的程序模块1125包括但不限于：操作***、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线1130可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、***总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

电子设备1100也可以与一个或多个外部设备1170(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备1100交互的设备通信，和/或与使得该电子设备1100能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口1150进行。并且，电子设备1100还可以通过网络适配器1160与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器1160通过总线1130与电子设备1100的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备1100使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID***、磁带驱动器以及数据备份存储***等。

通过以上的实施例的描述，本领域的技术人员易于理解，这里描述的示例实施例可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施例的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、终端装置、或者网络设备等)执行根据本公开实施例的方法。

所属技术领域的技术人员能够理解，本公开的各个方面可以实现为***、方法或程序产品。因此，本公开的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“***”。

本公开的示例性实施方式还提供了一种计算机可读存储介质，其上存储有能够实现本说明书上述方法的程序产品。在一些可能的实施方式中，本公开的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当程序产品在终端设备上运行时，程序代码用于使终端设备执行本说明书上述“示例性方法”部分中描述的根据本公开各种示例性实施方式的步骤。

需要说明的是，本公开所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的***、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行***、装置或者器件使用或者与其结合使用。而在本公开中，计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行***、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

此外，可以以一种或多种程序设计语言的任意组合来编写用于执行本公开操作的程序代码，程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其他实施例。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由权利要求指出。

应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限。

Claims (18)

1.一种认证方法，应用于单数据包授权的客户端，其特征在于，包括：

将客户端信息、用户终端信息和用户的数字签名封装为初始数据包；

将用户CA证书、初始数据包和密匙信息封装为目标SPA数据包；

向控制端发送所述目标SPA数据包，以使得控制端根据所述初始数据包、所述数字签名和所述密匙信息完成初步认证。

2.根据权利要求1所述的方法，其特征在于，所述对客户端信息、用户终端信息进行数字签名并封装得到初始数据包，包括：

将客户端信息、用户终端信息以及用户的数字签名封装为UDP数据包作为所述初始数据包；

其中，所述UDP数据包包括自定义源端口号，所述自定义源端口号用于表征所述初始数据包为SPA数据包。

3.根据权利要求2所述的方法，其特征在于，所述将客户端信息、用户终端信息以及用户的数字签名封装为UDP数据包作为所述初始数据包，包括：

对所述对客户端信息、用户终端信息进行编码得到类型长度值对；

将所述类型长度值和所述数字签名封装为UDP数据包作为所述初始数据包。

4.根据权利要求1所述的方法，其特征在于，向控制端发送所述目标SPA数据包包括：

获取所述目标SPA数据包的哈希值；

将所述目标SPA数据包和所述哈希值发送至所述控制端。

5.一种认证方法，应用于单数据包授权的控制端，其特征在于，包括：

接收客户端发送的目标SPA数据包，所述目标SPA数据包由初始数据包、用户CA证书和密匙信息封装得到，其中，初始数据包是由客户端信息、用户终端信息和用户的数字签名封装得到的；

根据所述密匙信息确定解密秘钥；

根据所述解密秘钥和所述目标SPA数据包得到所述初始数据包；

根据所述用户CA证书、初始数据包和所述数字签名完成初步认证。

6.根据权利要求5所述的方法，其特征在于，所述初始数据包为UDP数据包，且所述UDP数据包包括自定义源端口号，所述自定义源端口号用于表征所述初始数据包为SPA数据包，所述根据所述密匙信息确定解密秘钥，包括：

响应所述目标SPA数据包中的源端口号为自定义源端口号，根据所述密匙信息确定解密秘钥。

7.根据权利要求5所述的方法，其特征在于，根据所述密匙信息确定解密秘钥，包括：

根据所述目标SPA数据包的总长度确定所述密匙信息的位置；

根据所述密匙信息的位置确定所述键值；

根据所述键值确定所述解密秘钥。

8.根据权利要求5所述的方法，其特征在于，所述根据所述用户CA证书、初始数据包和所述数字签名完成初步认证，包括：

根据所述用户CA证书确定用户信息；

基于所述用户信息在CA获取所述用户信息对应的目标CA证书；

基于所述目标CA证书、用户CA证书、初始数据包和所述数字签名完成初步认证。

9.根据权利要求8所述的方法，其特征在于，基于所述目标CA证书、用户CA证书、初始数据包和所述数字签名完成初步认证，包括：

响应所述用户CA证书与所述目标CA证书一致，根据用户CA证书获取用户公钥；

利用所述用户公钥对所述初始数据包进行数字签名验证并完成初步认证。

10.根据权利要求5所述的方法，其特征在于，所述方法还包括：

接收所述目标SPA数据包对应的哈希值；

根据所述哈希值对接收到所述目标SPA数据包的数据进行验证。

11.根据权利要求5所述的方法，其特征在于，所述方法还包括：

响应所述客户端信息中的客户端版本不是最新版本，向客户端反馈版本更新信息。

12.一种认证方法，其特征在于，包括：

客户端将客户端信息、用户终端信息和用户的数字签名封装为初始数据包；

客户端将所述用户CA证书、初始数据包和密匙信息封装为目标SPA数据包；

客户端向控制端发送所述目标SPA数据包；

控制端接收客户端发送的目标SPA数据包；

控制端根据所述密匙信息确定解密秘钥；

控制端根据所述解密秘钥和所述目标SPA数据包得到所述初始数据包；

控制端根据所述用户CA证书、初始数据包和所述数字签名完成初步认证。

13.一种认证装置，应用于单数据包授权的客户端，其特征在于，包括：

第一封装模块，用于将客户端信息、用户终端信息和用户的数字签名封装为初始数据包；

第二封装模块，用于将所述用户CA证书、初始数据包和密匙信息封装为目标SPA数据包；

数据发送模块，用于向控制端发送所述目标SPA数据包，以使得控制端根据所述初始数据包、所述数字签名和所述密匙信息完成初步认证。

14.一种认证装置，应用于单数据包授权的控制端，其特征在于，包括：

数据接收模块，用于接收客户端发送的目标SPA数据包，所述目标SPA数据包由初始数据包、用户CA证书和密匙信息封装得到，其中，初始数据包由客户端信息、用户终端信息和用户的数字签名封装得到的；

第一解密模块，用于根据所述密匙信息确定解密秘钥；

第二解密模块，用于根据所述解密秘钥和所述目标SPA数据包得到所述初始数据包；

初步认证模块，用于根据所述用户CA证书、初始数据包和所述数字签名完成初步认证。

15.一种SDP客户端，其特征在于，所述客户端被配置为执行如权利要求1-4任一项所述的方法。

16.一种SDP控制器，其特征在于，所述控制器被配置为执行如权利要求5-11任一项所述的方法。

17.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1至12中任一项所述的方法。

18.一种电子设备，其特征在于，包括：

一个或多个处理器；以及

存储器，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如权利要求1至12中任一项所述方法。

Images