[發明專利]一種基于單點登錄的身份認證方法

有效

• 申請號: 201310698156.7
• 申請日: 2013-12-18
• 公開（公告）號: CN103685282A
• 公開（公告）日: 2014-03-26
• 發明（設計）人: 陸舟;于華章
• 申請（專利權）人: 飛天誠信科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于單點登錄的身份認證方法，其特征在于，包括：

步驟S1：客戶端收到用戶的訪問請求時，判斷是否緩存有該用戶的一個加密的客戶端身份憑證，是則根據客戶端信息組成第二認證信息，并用緩存的第一會話密鑰加密所述第二認證信息，客戶端根據緩存的加密的客戶端身份憑證、加密的第二認證信息、客戶端信息和要訪問的服務信息組成第二請求包并發送給認證服務器，然后執行步驟S4；否則提示用戶輸入登錄信息，當接收到用戶輸入的登錄信息后，用所述登錄信息中的用戶登錄密鑰加密當前時間值得到第一認證信息，根據所述登錄信息中的用戶名生成客戶端信息，根據所述客戶端信息、當前時間值、授權服務端信息和所述第一認證信息生成第一請求包發送給認證服務器，然后執行步驟S2；

步驟S2：認證服務器接收到第一請求包，根據從所述第一請求包中獲取的第一認證信息、一個時間值、授權服務端信息和客戶端信息驗證客戶端是否合法，若合法則生成第一會話密鑰，根據第一會話密鑰、客戶端信息和第一時間戳組成客戶端身份憑證，并用預設密鑰加密所述客戶端身份憑證，根據客戶端信息在數據庫中查找得到與之對應的用戶登錄密鑰，將第一會話密鑰用用戶登錄密鑰加密，根據加密后的第一會話密鑰和加密后的客戶端身份憑證生成第一響應包發送給客戶端，若不合法則生成包含登錄失敗信息的第一響應包發送給客戶端；

步驟S3：客戶端根據接收到的第一響應包中包含的數據判斷是否登錄成功，是則從所述第一響應包中獲取加密的客戶端身份憑證和加密的第一會話密鑰，客戶端用用戶登錄密鑰對加密的第一會話密鑰解密得到第一會話密鑰，并將所述加密的客戶端身份憑證和所述第一會話密鑰與當前用戶關聯并緩存，當所述客戶端身份憑證失效時所述客戶端自動銷毀緩存的所述加密的客戶端身份憑證和所述第一會話密鑰；根據客戶端信息組成第二認證信息，并用第一會話密鑰加密所述第二認證信息，客戶端根據加密的客戶端身份憑證、加密的第二認證信息、客戶端信息和要訪問的服務信息組成第二請求包并發送給認證服務器，然后執行步驟S4，否則返回執行步驟S1所述提示用戶輸入登錄信息；

步驟S4：認證服務器接收到第二請求包，根據從所述第二請求包中獲取的加密的客戶端身份憑證、加密的第二認證信息、客戶端信息和要訪問的服務信息，以及用預設密鑰解密所述加密的客戶端身份憑證得到的第一會話密鑰、客戶端信息和第一時間戳，驗證所述客戶端身份憑證是否有效和所述客戶端是否合法，若驗證所述客戶端身份憑證有效且所述客戶端合法則生成第二會話密鑰，根據要訪問的服務信息在數據庫中查找到服務端登錄密鑰，根據第二會話密鑰、客戶端信息和第二時間戳組成訪問票據，并用服務端登錄密鑰加密所述訪問票據，將第二會話密鑰用第一會話密鑰加密，根據加密后的第二會話密鑰和加密后的訪問票據生成第二響應包發送給客戶端，否則生成包含訪問失敗信息的第二響應包發送給客戶端；

步驟S5：客戶端接收到第二響應包，判斷所述第二響應包中是否存在加密的訪問票據，是則從所述第二響應包中獲取加密的第二會話密鑰和加密的訪問票據，用第一會話密鑰解密加密的第二會話密鑰得到第二會話密鑰，根據客戶端信息組成第三認證信息并用第二會話密鑰加密，根據加密的訪問票據和加密的第三認證信息生成第三請求包并發送給要訪問的服務所在的服務端，然后執行步驟S6，否則返回執行步驟S1所述提示用戶輸入登錄信息；

步驟S6：服務端接收到第三請求包，根據從所述第三請求包中獲取的加密的訪問票據和加密的第三認證信息，以及用服務端登錄密鑰解密所述加密的訪問票據得到的第二會話密鑰、客戶端信息和第二時間戳，驗證所述訪問票據是否有效和所述客戶端是否合法，若驗證所述訪問票據有效且所述客戶端合法則執行訪問操作，根據訪問操作結果生成第三響應包發送給客戶端，然后執行步驟S7，否則生成包含訪問失敗信息的第三響應包發送給客戶端，然后執行步驟S7；

步驟S7：客戶端接收到第三響應包，并根據第三響應包中的數據顯示訪問結果，結束。

2.根據權利要求1所述的方法，其特征在于，所述客戶端信息還包括客戶端IP地址，所述授權服務端信息包括經認證服務器授權的服務端標識，所述要訪問的服務信息包括要訪問的服務名稱以及服務端標識。