[發明專利]一種資源信息處理方法

在審

• 申請號: 201710583817.X
• 申請日: 2017-07-18
• 公開（公告）號: CN107347073A
• 公開（公告）日: 2017-11-14
• 發明（設計）人: 呂超能;王巧云;林東雅;阮海麗
• 申請（專利權）人: 廣州知迅行一信息技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32;H04L9/08
• 代理公司: 廣州海藻專利代理事務所(普通合伙) 44386
• 代理人: 趙大武

1.一種資源信息處理方法，用于企業云存儲系統與移動端的相互認證，其特征在于，包括：

使用用戶注冊時輸入的信息作為第一認證向量，使用由移動端固有特征生成的動態特性作為第二認證向量，確定認證系數常量O與I，并將動態向量D作為密鑰，將加入靜態向量S的設備特性C作為輸入生成認證序列，并將該認證序列作為設備的動態特性，即：

SAC(D，C)＝SHA(D⊕O||SHA(S⊕I||C))

其中所述動態向量D使用最后一次登錄時間和自變量隨機數來生成；所述靜態向量S使用用戶設置的安全口令和注冊時產生的隨機數來生成；所述設備特性C將設備原始特性即集成電路標識碼與所述靜態和動態向量進行運算，得到設備動態特性即第二認證向量；

其中使用用戶注冊時輸入的信息作為第一認證向量之前，還包括，在用戶注冊階段，由用戶向所述企業云存儲系統的注冊服務器請求注冊，包括向注冊服務器提供用戶名與口令作為初級認證信息，同時提供可選信息；注冊服務器收到注冊請求后按照以下步驟進行處理：

設置用戶提交的預注冊信息需要符合的條件和格式；檢查預注冊信息是否符合設置的條件；若預注冊信息匹配預設條件且用戶為第一次注冊則將用戶信息保存到主服務器，隨后生成初級可信根文件并返回給用戶；

用戶收到注冊服務器返回的初級可信根文件后，將初級可信根文件、用戶名、移動端集成電路標識碼、用戶設置的OTP安全碼發送給企業云存儲系統的動態認證服務器；動態認證服務器收到注冊請求后按以下步驟完成用戶注冊：

檢查初級可信根文件是否正確，同時向主服務器查詢用戶的初級預注冊信息；設置預注冊信息，包括設置移動端類型、操作系統、設備特性類型、靜態向量、動態向量；檢查收到的預注冊信息是否滿足預注冊信息設置，若不滿足則結束注冊過程并返回失敗信息；將用戶預注冊信息保存在主服務器中；設置認證服務器參數，包括不同等級關聯用戶的認證權值，不同屬性的認證權值；將用戶選擇的原始關聯用戶發送給動態認證服務器，并將其作為自己的預設群體關聯信息，動態認證服務器保存用戶的預設群體關聯信息，將動態認證服務器身份令牌分發給用戶，完成動態特性注冊；

在用戶身份認證的第一認證向量認證中，包括：

1.1認證配置項設置：注冊服務器首先設置需要檢查的認證配置項，包括設置允許訪問注冊服務器的IP段、設置是否允許使用代理、設置使用的通信協議；

1.2檢查認證配置項：注冊服務器對上一步中設置的認證配置項進行檢查，若認證信息匹配認證配置項設置，則進行步驟1.3，否則將認證失敗信息返回給用戶；

1.3驗證認證信息：注冊服務器檢查用戶的用戶名與口令是否正確，若不正確則將認證失敗信息返回給用戶，若正確則將初級認證成功許可返回給用戶；

1.4保存用戶認證狀態：完成后，注冊服務器將用戶成功完成初級認證的狀態保存到主服務器中；

在第二認證向量認證階段，該方法包括：

2.1動態認證服務器認證移動端：

生成移動端動態特性SAC(D，CU)，其中D為選定的動態向量，CU為加入靜態向量的設備特性碼；

移動端將SAC(D，CU)、用戶名、移動端生成的隨機數RU、初級可信根、時間戳封裝后發送到動態認證服務器進行第二級認證；

動態認證服務器解封裝信息，檢查時間戳是否過期；若未過期則查詢用戶動態向量D、靜態向量S，否則返回認證失敗信息；

主服務器檢查用戶的用戶名、認證狀態、初級可信根是否正確，若用戶成功完成初級認證則向動態認證服務器提供用戶的動態向量D與靜態向量S；

動態認證服務器計算移動端隨機數RU，并使用同樣SAC算法生成移動端動態特性SAC(D，CU)；隨后將生成的移動端動態特性與收到的移動端動態特性進行比較，若比較結果相同，則動態認證服務器成功認證移動端，執行下一步，否則返回認證失敗信息；

生成服務器隨機數Rs，然后使用用戶的動態向量D與靜態向量S生成服務器動態特性SAC(D，Cs)，并將生成的服務器隨機數Rs與服務器動態特性封裝后發回移動端；Cs為加入靜態向量的設備特性碼；

2.2移動端認證動態認證服務器：

移動端解封裝信息，并計算時間戳與服務器隨機數Rs；隨后移動端檢查時間戳是否過期，若未過期則使用動態向量D與靜態向量S生成服務器動態特性SAC(D，Cs)，并與收到的服務器動態特性進行比較，否則向動態認證服務器發送移動端認證服務器失敗信息；若比較結果相同，則移動端成功認證動態認證服務器，并向動態認證服務器發送認證成功信息，否則返回認證失敗；

2.3生成會話密鑰：

動態認證服務器Q檢查移動端用戶P返回信息是否正確，若正確則使用隨機數RU、RS計算本次會話密鑰，同時按預定策略改變用戶的動態向量D，否則返回認證失敗；移動端使用同樣的方法更新動態向量，并計算相同的本次會話密鑰；

用戶P首先獲取動態認證服務器Q的公鑰證書CA{KQ}，提取Q的公鑰KQ，然后將如下信息發送給動態認證服務器Q：

M＝ERSA-M(KQ,KPQ||tP||IDQ||X)，X＝ERSA-PS(JP，IDQ)，

tP為時間戳，IDQ為Q的身份，KPQ為協商的會話密鑰；JP為P的私鑰；所述ERSA-M、ERSA-PS分別為RSA公鑰加密算法和簽名算法；

動態認證服務器Q收到發送的信息M后，首先用Q的私鑰JQ解密信息M，得：KQ,KPQ||tP||IDQ||X；

若時間戳tP、IDQ均有效，則Q提取P的公鑰KP，驗證簽名值X＝ERSA-PS(KP，IDQ)，即DRSA-PS(KP,ERSA-PS(KP，IDQ))，若以上簽名值有效，則會話密鑰申請成功；

所述DRSA-PS為RSA驗證簽名算法；

通過會話密鑰KPQ對用戶P的標識IDP以及產生的散列函數HASH進行加密，即ESHA(KPQ||IDP||HASH)并將加密后的ESHA(KPQ||IDP||HASH)發送給用戶，所述ESHA為SHA加密算法；

用戶收到信息ESHA(KPQ||IDP||HASH)后，通過會話密鑰KPQ解密得用戶標識IDP以及對應的散列函數；

同時，用戶生成在區間(0，1)之間的隨機數RU、RS，并生成單向散列鏈表，并把散列鏈表的鏈尾值散列發送給主服務器；

用戶P使用第一認證向量認證完成后協商的會話密鑰加密擁有的身份令牌，隨后將加密后的身份令牌發送給動態認證服務器Q；動態認證服務器檢查用戶P的第一認證向量認證情況，若認證成功則解密用戶P的身份令牌，并驗證令牌的有效期；計算身份令牌的加權和與合法性閾值，若令牌加權和大于合法性閾值則判定用戶P的第二認證向量認證成功；

完成動態和靜態向量認證后，服務器與移動端獲得了同樣的會話密鑰，移動端隨后可以使用對稱加密算法加密通信信息來訪問云平臺服務器；

其中，所述身份令牌還包括用戶間群體關聯信息的許可；所述用戶間群體關聯信息的建立包括：

(1)確定兩個用戶的耦合度是否達到預設閾值；用戶間A與用戶B的耦合度達到某一閾值，則確定對方可信；隨后用戶A向服務器請求生成用戶B的身份令牌，同時用戶B也向服務器請求生成用戶A的身份令牌；

(2)獲取身份令牌；服務器同時收到用戶A與用戶B互相為對方生成身份令牌的請求，則確定用戶A與用戶B間建立了群體關聯信息；隨后生成用戶A、用戶B的身份令牌并對應發送給用戶B與用戶A；

用戶A與用戶B的所述耦合度CpC(A，B)通過以下過程來計算：

CpC(A，B)＝arctan(m/θ)+arctan(n/θ)

上式中m為用戶A向用戶B發起的通信次數；n為用戶B向用戶A發起的通信次數，θ為調節系數。