[發明專利]一種可隱藏用戶登錄軌跡的單點登錄方法

有效

• 申請號: 201811585948.2
• 申請日: 2018-12-24
• 公開（公告）號: CN109547472B
• 公開（公告）日: 2021-07-27
• 發明（設計）人: 蔡權偉;郭丞乾;林璟鏘;孟令佳;王瓊霄
• 申請（專利權）人: 中國科學院數據與通信保護研究教育中心
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京君尚知識產權代理有限公司 11200
• 代理人: 俞達成

1.一種可隱藏用戶登錄軌跡的單點登錄方法，其特征在于：該方法包括以下步驟：

用戶向身份依賴方發起登錄請求，身份提供方生成并公開一個大素數P和其本原根g；身份提供方對身份依賴方名稱RP_Name、用戶身份憑據接收地址RP_Addr、身份依賴方唯一標識Basic_RP_ID及身份提供方名稱IdP_Name進行簽名得到RP_Cert，將RP_Cert發送給身份依賴方；

身份依賴方在收到用戶發起的登錄請求后，生成一個位于[2，P-1]的隨機數x，計算R1＝g^xmod P，并將R1發送給用戶；用戶生成一個位于[2，P-1]的隨機數y，計算R＝R1^ymod P，若R與P-1互素，則計算R2＝g^ymod P，并將R2發送給身份依賴方；身份依賴方計算R2^xmod P，得到隨機數R；身份依賴方計算Basic_RP_ID^Rmod P，得到本次登錄的臨時應用標識RP_ID；身份依賴方將RP_Cert發送給用戶；

用戶驗證收到的RP_Cert簽名有效后，利用Basic_RP_ID和R計算臨時應用標識RP_ID’；比對RP_ID和RP_ID’是否一致，以及比對RP_Cert中的RP_Addr與本次請求中的RP_Addr是否一致，若一致則生成虛假的用戶身份憑據接收地址RP_Addr’；使用RP_ID和RP_Addr’構造身份依賴方注冊請求，并將其發送給身份提供方；身份提供方若驗證RP_ID唯一，則完成身份依賴方注冊；

身份依賴方向身份提供方請求用戶身份憑據，該請求中包含身份依賴方生成的一個隨機序列nonce；身份提供方根據用戶唯一身份標識uid和依賴方臨時應用標識RP_ID，生成該用戶對應該臨時應用標識的用戶標識User_ID；身份提供方對User_ID、RP_ID、憑據有效時間區間和身份憑據請求中的nonce進行簽名作為用戶身份憑據；身份提供方將User_ID、RP_ID、用戶身份憑據和身份憑據請求中的nonce返回給用戶；用戶將身份提供方提供的User_ID、RP_ID、用戶身份憑據和nonce返回給身份依賴方；

身份依賴方在每次獲取用戶身份憑據之后，驗證用戶身份憑據的正確性，驗證正確后再判斷是否已存在該用戶賬戶信息，若不存在，則允許用戶登錄，創建賬戶并保存用戶身份憑據及登錄信息；如果已存在該用戶賬戶，則允許該用戶以該賬戶登錄。

2.根據權利要求1所述的方法，其特征在于：用戶向身份依賴方發起登錄請求時，還執行如下步驟：

在身份依賴方初始化過程中，身份依賴方在身份提供方處初始化注冊，將包括自身名稱RP_Name、用戶身份憑據接收地址RP_Addr在內的證明信息發送給身份提供方；身份提供方驗證身份依賴方身份后，生成一個位于[2，P-1]的隨機數Rb，Rb與P-1互素，計算g^Rbmod P作為身份依賴方唯一標識Basic_RP_ID；

身份依賴方驗證RP_Cert簽名及身份提供方名稱IdP_Name正確后，保存RP_Cert。

3.根據權利要求1所述的方法，其特征在于：用戶代替該身份依賴方在身份提供方處進行身份依賴方注冊，若注冊失敗，則重新生成臨時應用標識，再次發起身份依賴方注冊過程；若RP_Cert簽名無效或RP_ID與RP_Addr比對不一致，則返回相應錯誤提示。

4.根據權利要求1所述的方法，其特征在于：在收到User_ID、RP_ID、用戶身份憑據和nonce后，身份依賴方驗證該信息的正確性，驗證包括nonce和RP_ID的一致性驗證、身份憑據中數字簽名的正確性驗證和憑據有效時間驗證；其中，nonce和RP_ID的一致性驗證是指分別比對用戶傳遞的nonce、RP_ID與本次用戶登錄過程中本地存儲的nonce、臨時應用標識的一致性，若一致，則nonce、RP_ID的一致性驗證通過；憑據有效時間驗證是指憑據接收時間是否在憑據有效時間區間之內，若在該區間內，則驗證通過；僅當nonce、RP_ID的一致性驗證、憑據有效時間驗證和身份憑據中數字簽名的正確性驗證均通過后，身份依賴方才繼續處理用戶登錄過程，否則拒絕此次用戶登錄過程。