[發(fā)明專利]一種基于智能終端本地認(rèn)證的web安全訪問的實(shí)現(xiàn)方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201410542741.2
• 申請(qǐng)日: 2014-10-14
• 公開（公告）號(hào): CN104283886B
• 公開（公告）日: 2017-12-29
• 發(fā)明（設(shè)計(jì)）人: 王雅哲;梁超;汪洋;汪祖輝;王瑜
• 申請(qǐng)（專利權(quán)）人: 中國(guó)科學(xué)院信息工程研究所
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 北京科迪生專利代理有限責(zé)任公司11251
• 代理人: 成金玉,孟卜娟

1.一種基于智能終端本地認(rèn)證的web安全訪問的實(shí)現(xiàn)方法，其特征在于完成這一身份認(rèn)證過程的功能部件有：用戶代理(UA)、認(rèn)證客戶端(AC)、認(rèn)證服務(wù)器(AS)、服務(wù)依賴方(RP)、認(rèn)證設(shè)備(AE)、認(rèn)證設(shè)備抽象層(AA)是為認(rèn)證客戶端提供了多設(shè)備支持以及相關(guān)認(rèn)證設(shè)備的驅(qū)動(dòng)程序，元數(shù)據(jù)認(rèn)證服務(wù)器(AMV)是與認(rèn)證服務(wù)器直接建立聯(lián)系，其主要用于存儲(chǔ)公鑰證書；

具體實(shí)現(xiàn)步驟如下：

(1)在智能終端上安裝用戶代理，智能終端需要擁有網(wǎng)絡(luò)連接功能；

(2)用戶在服務(wù)依賴方RP上注冊(cè)用戶賬號(hào)UID，然后將新注冊(cè)的用戶賬號(hào)綁定至智能終端上；

(3)用戶請(qǐng)求認(rèn)證時(shí)首先打開安裝在智能終端上的用戶代理，然后訪問到服務(wù)依賴方RP的頁面，該訪問過程使用傳輸層安全協(xié)議TLS進(jìn)行保護(hù)；

(4)服務(wù)依賴方RP將用戶訪問重定向到認(rèn)證服務(wù)器AS，認(rèn)證服務(wù)器AS首先返回服務(wù)帳號(hào)AppID，認(rèn)證服務(wù)策略Policy，以及認(rèn)證服務(wù)器端生成的挑戰(zhàn)值Chl給認(rèn)證客戶端，該挑戰(zhàn)值Chl使用偽隨機(jī)數(shù)算法生成；所述AppID是依賴方RP的唯一標(biāo)識(shí)，服務(wù)器挑戰(zhàn)值Chl是由認(rèn)證服務(wù)器產(chǎn)生的一組隨機(jī)標(biāo)記，用于防止惡意攻擊者的重放攻擊；所述認(rèn)證策略Policy指明了哪些認(rèn)證方式是合法的而哪些認(rèn)證方式是不被允許的；

(5)認(rèn)證客戶端根據(jù)服務(wù)器挑戰(zhàn)值Chl生成最終挑戰(zhàn)參數(shù)FCH，并與AppID打包傳遞給認(rèn)證設(shè)備；利用注冊(cè)的時(shí)候存儲(chǔ)的用戶本地身份信息，認(rèn)證設(shè)備對(duì)用戶進(jìn)行本地身份信息認(rèn)證，認(rèn)證成功以后，使用注冊(cè)的時(shí)候生成的私鑰UAuth.priv和FCH簽名生成簽名數(shù)據(jù)SignedData，并且發(fā)送到認(rèn)證客戶端后再轉(zhuǎn)發(fā)給認(rèn)證服務(wù)器端；

(6)認(rèn)證服務(wù)器端根據(jù)用戶賬號(hào)查找對(duì)應(yīng)的公鑰，并使用公鑰驗(yàn)證簽名，如果驗(yàn)證通過，則用戶登錄成功，至此完成了基于智能終端本地認(rèn)證的web安全訪問的實(shí)現(xiàn)方法；

所述步驟(2)中，用戶在服務(wù)依賴方RP上注冊(cè)用戶賬號(hào)UID是指用戶使用傳統(tǒng)手段在RP上進(jìn)行注冊(cè)，即使用用戶賬號(hào)和密碼進(jìn)行注冊(cè)后，RP分配給用戶的一個(gè)唯一的身份ID，不同的用戶在同一個(gè)RP上獲取的UID不一樣，同一個(gè)用戶在不同的RP上獲取的UID相互不關(guān)聯(lián)，不同的用戶在不同的RP上獲得的UID可能相同；

所述步驟(5)中，所述用戶本地身份信息是指對(duì)于用戶所持有的，或者是用戶本身特征，包括IC卡或指紋。

2.根據(jù)權(quán)利要求1所述的基于智能終端本地認(rèn)證的web安全訪問的實(shí)現(xiàn)方法，其特征在于：所述步驟(1)中，網(wǎng)絡(luò)連接功能是指通過以太網(wǎng)、Wi-Fi模塊或者藍(lán)牙模塊連上網(wǎng)絡(luò)并且能訪問到RP。

3.根據(jù)權(quán)利要求1所述的基于智能終端本地認(rèn)證的web安全訪問的實(shí)現(xiàn)方法，其特征在于：為了保護(hù)認(rèn)證設(shè)備、客戶端、RP、SP之間的信道，所述各步驟中的所有的數(shù)據(jù)均使用TLS進(jìn)行加密。