[發(fā)明專利]一種提供跨域令牌的系統(tǒng)和方法

有效

• 申請?zhí)枺?/td>: 200810085356.4
• 申請日: 2008-03-14
• 公開（公告）號: CN101534192A
• 公開（公告）日: 2009-09-16
• 發(fā)明（設(shè)計）人: 郭代飛;隋愛芬;史密特·沃爾夫?qū)?/a>
• 申請（專利權(quán)）人: 西門子公司
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L12/58
• 代理公司: 北京市柳沈律師事務(wù)所
• 代理人: 張 亮

1.一種提供跨域令牌的系統(tǒng)，該系統(tǒng)包括：

令牌適配器，用于將用戶終端提交的登錄信息轉(zhuǎn)發(fā)給認證中心，在獲得由 認證中心返回的域內(nèi)令牌時，利用獲得的域內(nèi)令牌向令牌管理子系統(tǒng)發(fā)送令牌 請求，接收返回的跨域令牌，并將獲得的跨域令牌返回給用戶終端；

認證中心，用于在接收到令牌適配器轉(zhuǎn)發(fā)的登錄信息時，利用設(shè)定的用戶 鑒權(quán)方法對登錄信息進行驗證，并在驗證成功時將生成的域內(nèi)令牌返回給令牌 適配器；

令牌管理子系統(tǒng)，用于捕獲認證中心返回給令牌適配器的域內(nèi)令牌，根據(jù) 捕獲到的域內(nèi)令牌確定用于驗證域內(nèi)令牌合法性的令牌驗證信息；還用于接收 令牌適配器發(fā)送的令牌請求，利用所述令牌驗證信息對令牌請求中的域內(nèi)令牌 進行驗證，并在驗證成功時將生成的跨域令牌返回給令牌適配器。

2.根據(jù)權(quán)利要求1所述的系統(tǒng)，其特征在于，所述令牌管理子系統(tǒng)包括：

域內(nèi)令牌捕獲器，用于捕獲認證中心返回給令牌適配器的域內(nèi)令牌；利用 簽名算法對令牌驗證信息進行簽名，獲得驗證信息簽名結(jié)果，所述令牌驗證信 息由捕獲到的域內(nèi)令牌確定；將令牌驗證信息和驗證信息簽名結(jié)果一并發(fā)送給 域內(nèi)令牌驗證管理器；

域內(nèi)令牌驗證管理器，用于根據(jù)驗證信息簽名結(jié)果對令牌驗證信息進行驗 證，并在驗證成功時保存所述令牌驗證信息；還用于在接收到令牌適配器發(fā)送 的令牌請求時，利用保存的令牌驗證信息對令牌請求中攜帶的域內(nèi)令牌進行驗 證，并在驗證成功時向跨域令牌管理器發(fā)送令牌請求，將跨域令牌管理器返回 的跨域令牌轉(zhuǎn)發(fā)給令牌適配器；

跨域令牌管理器，用于在接收到域內(nèi)令牌驗證管理器發(fā)送的令牌請求時， 生成跨域令牌，將生成的跨域令牌返回給域內(nèi)令牌驗證管理器。

3.根據(jù)權(quán)利要求2所述的系統(tǒng)，其特征在于，所述域內(nèi)令牌捕獲器包括：

捕獲單元，用于捕獲認證中心返回給令牌適配器的域內(nèi)令牌，將捕獲到的 域內(nèi)令牌作為令牌驗證信息送給第一簽名執(zhí)行單元；

第一簽名執(zhí)行單元，用于利用簽名算法對輸入的信息進行簽名，獲得驗證 信息簽名結(jié)果，并將令牌驗證信息和獲得的驗證信息簽名結(jié)果輸出給第一收發(fā) 單元；

第一收發(fā)單元，將令牌驗證信息和驗證信息簽名結(jié)果發(fā)送給域內(nèi)令牌驗證 管理器。

4.根據(jù)權(quán)利要求3所述的系統(tǒng)，其特征在于，所述域內(nèi)令牌捕獲器進一步 包括：

第一存儲單元，用于保存發(fā)送方簽名相關(guān)信息，所述發(fā)送方簽名相關(guān)信息 包括所有的運算次數(shù)以及所有的哈希運算結(jié)果，其中，所述運算次數(shù)與哈希運 算結(jié)果一一對應(yīng)，每一個哈希運算結(jié)果是對產(chǎn)生的隨機數(shù)進行相應(yīng)運算次數(shù)的 哈希運算結(jié)果；

第一選擇單元，用于按照順序從第一存儲單元中選擇出一個運算次數(shù)和對 應(yīng)的哈希運算結(jié)果，并將選出的結(jié)果提供給第一簽名執(zhí)行單元；

所述第一收發(fā)單元進一步用于：在將令牌驗證信息和驗證信息簽名結(jié)果發(fā) 送給域內(nèi)令牌驗證管理器時，將運算次數(shù)一并發(fā)送給域內(nèi)令牌驗證管理器。

5.根據(jù)權(quán)利要求3所述的系統(tǒng)，其特征在于，所述域內(nèi)令牌捕獲器進一步 包括：

第一存儲單元，用于保存上一次參與簽名運算的發(fā)送方簽名相關(guān)信息，所 述發(fā)送方簽名相關(guān)信息包括一個運算次數(shù)和對應(yīng)的一個哈希運算結(jié)果，其中， 所述哈希運算結(jié)果是對產(chǎn)生的隨機數(shù)進行相應(yīng)運算次數(shù)的哈希運算結(jié)果；

第一計算單元，用于根據(jù)第一存儲單元中上一次參與簽名運算的發(fā)送方簽 名相關(guān)信息計算出當前的發(fā)送方簽名相關(guān)信息，并提供給第一簽名執(zhí)行單元；

所述第一收發(fā)單元進一步用于：在將令牌驗證信息和驗證信息簽名結(jié)果發(fā) 送給域內(nèi)令牌驗證管理器時，將運算次數(shù)一并發(fā)送給域內(nèi)令牌驗證管理器。