[發明專利]一種基于數字證書技術的信息系統的訪問控制方法及裝置

無效

• 申請號: 200810040674.9
• 申請日: 2008-07-17
• 公開（公告）號: CN101321064A
• 公開（公告）日: 2008-12-10
• 發明（設計）人: 高建強;顧國強;王占宏;孫圭寧;高念高
• 申請（專利權）人: 上海眾恒信息產業有限公司
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L29/06;H04L12/56
• 代理公司: 上海明成云知識產權代理有限公司
• 代理人: 周成

1、一種基于數字證書技術的信息系統訪問控制方法，其特征在于，包括以下步驟：

a、設定系統服務器數字證書以及用戶數字證書；

b、定義所述信息系統的訪問角色，所述訪問角色是所述信息系統不同訪問權限的集合；

c、向注冊的用戶創建身份標識，將所述b步驟定義的訪問角色賦予所述身份標識；

d、根據所述a步驟的數字證書對請求登陸的用戶進行認證；

e、根據所述c步驟的用戶身份標識，對通過認證的用戶建立訪問控制表，所述訪問控制表執行所述用戶的訪問控制。

2、如權利要求1所述的訪問控制方法，其特征在于，所述d步驟包括：

1)向請求登陸認證的用戶發送服務器數字證書和隨機數，用戶簽名隨機數，并用服務器數字證書加密隨機數，將用戶數字證書、簽名隨機數和加密隨機數返還至系統服務器；

2)系統服務器解密所述隨機數，并將解密后的隨機數與原隨機數比對，若一致則用戶認證成功，若不一致則拒絕認證。

3.如權利要求2所述的訪問控制方法，其特征在于，所述a步驟還定義了所述信息系統數據庫的數據的保密等級，所述定義了保密等級的數據與所述訪問角色匹配。

4、如權利要求2所述的訪問控制方法，其特征在于，所述a步驟所述用戶數字證書的密鑰存儲于客戶端的存儲器，所述系統服務器數字證書存儲于系統服務器的存儲器。

5.如權利要求1所述的訪問控制方法，其特征在于，所述訪問控制表包括所述訪問角色與所述定義了保密等級的數據以及所述身份標識三者之間的聯系規則，所述訪問控制表存儲在所述信息系統的數據庫中。

6.如權利要求1所述的訪問控制方法，其特征在于，所述訪問控制表驗證所述身份標識以及所述身份標識的訪問目標的合法性。

7.一種基于數字證書技術的信息系統的訪問控制裝置，其特征在于，包括：

注冊模塊，所述注冊模塊為所述信息系統的用戶提供注冊并設定系統服務器數字證書以及用戶數字證書；

定義模塊，定義所述信息系統的訪問角色，向注冊的用戶創建身份標識，將所述訪問角色賦予所述身份標識，所述訪問角色是所述信息系統不同訪問權限的集合；

控制模塊，所述控制模塊根據所述注冊模塊設定的數字證書對請求登陸的用戶進行認證，并根據所述身份標識對通過認證的用戶建立訪問控制表，所述訪問控制表執行所述用戶的訪問控制。

8.如權利要求7所述的訪問控制裝置，其特征在于，所述控制模塊對請求登陸的用戶進行認證包括以下步驟：

1)向請求登陸認證的用戶發送服務器數字證書和隨機數，用戶簽名隨機數，并用服務器數字證書加密隨機數，將用戶數字證書、簽名隨機數和加密隨機數返還至系統服務器；

2)系統服務器解密所述隨機數，并將解密后的隨機數與原隨機數比對，若一致則用戶認證成功，若不一致則拒絕認證。

9.如權利要求8所述的訪問控制裝置，其特征在于，所述定義模塊還定義了所述信息系統數據庫的數據的保密等級，所述定義了保密等級的數據與所述訪問角色匹配。

10.如權利要求7所述的訪問控制裝置，其特征在于，所述訪問控制表包括所述訪問角色與所述定義了保密等級的數據以及所述身份標識三者之間的聯系規則，所述訪問控制表存儲在所述信息系統的數據庫中。