[發明專利]一種廣域多因子身份認證系統

有效

• 申請號: 201910404731.5
• 申請日: 2019-05-16
• 公開（公告）號: CN110213246B
• 公開（公告）日: 2021-11-12
• 發明（設計）人: 顏濤;郭子昕;魏興慎;黃益彬;何迎利;朱江;劉葦;孫圣武
• 申請（專利權）人: 南瑞集團有限公司;南京南瑞信息通信科技有限公司;國家電網有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32
• 代理公司: 南京縱橫知識產權代理有限公司 32224
• 代理人: 董建林;姚蘭蘭

1.一種廣域多因子身份認證系統，其特征在于，包括

身份認證SDK模塊，用于讀取身份認證終端的用戶認證信息并和統一身份認證服務器進行交互，對身份認證流程、網絡通信、數據加解密傳輸進行安全封裝，為業務應用程序提供統一透明的API接口；并讀取所述身份認證終端的用戶認證信息發送至統一身份認證服務器進行用戶身份認證；

數字證書系統，用于根據注冊的具有業務應用訪問權限的可信用戶的人員信息，生成人員證書，并授權簽發至身份認證終端，用于實現可信用戶與身份認證終端的綁定；根據可信用戶的權限信息，生成安全標簽，根據業務應用程序運行的主機設備信息，生成設備證書，根據所述業務應用程序的業務應用程序信息，生成程序證書；并將所述人員證書、安全標簽導入身份認證終端和統一身份認證服務器，將所述設備證書、程序證書導入統一身份認證服務器；

身份認證終端，用于采集身份認證用戶的身份認證信息；并根據存儲在身份認證終端中的具有業務應用程序訪問權限的可信用戶的身份認證信息進行驗證，驗證通過后，將可信用戶的身份認證信息和人員信息、人員證書、安全標簽進行綁定，以及生成的數字簽名發送至統一身份認證服務器進行用戶身份認證；

統一身份認證服務器，用于集中管理和維護用戶認證信息、設備信息、業務應用程序信息，提供身份認證和安全審計服務；所述業務應用程序通過調用身份認證SDK模塊，在用戶身份認證和業務應用程序入網認證通過后，將認證結果返送至所述業務應用程序，獲取登錄用戶及業務應用程序的訪問權限。

2.根據權利要求1所述的廣域多因子身份認證系統，其特征在于，所述身份認證SDK模塊內嵌于業務應用程序中，以API接口提供安全認證服務。

3.根據權利要求1所述的廣域多因子身份認證系統，其特征在于，所述用戶認證信息包括用戶名、應用標識、硬件設備標識、指紋、人臉特征數據或簽名。

4.根據權利要求1所述的廣域多因子身份認證系統，其特征在于，所述業務應用程序調用身份認證SDK模塊相關API接口實現將硬件信息、業務應用程序信息發送至統一身份認證服務器進行主機的入網認證。

5.根據權利要求4所述的廣域多因子身份認證系統，其特征在于，所述主機的入網認證方法如下：

終端設備上線前，需要向所述統一身份認證服務器提交注冊入網信息，統一身份認證服務器審核后存入可信設備信息庫，用于后續設備認證；

設備上電啟動之后，首先發起入網認證請求，將硬件識別信息IP、MAC地址、安全加密芯片上傳到統一身份認證服務器進行驗證；

所述統一身份認證服務器收到設備認證信息后，查詢可信設備信息庫進行比對驗證，若匹配成功，則認證通過，并將認證結果信息及硬件標識返回給終端設備；

終端設備收到認證成功標識后，保存認證結果標識并開啟系統操作權限，否則禁止用戶啟動任何應用程序；

所述統一身份認證服務器配置終端設備與用戶、應用程序之間的關聯綁定，進而實現多級關聯認證。

6.根據權利要求1所述的廣域多因子身份認證系統，其特征在于，終端用戶通過指紋Ukey登錄所屬業務應用系統進行業務查詢，所述身份認證流程具體步驟如下：

終端用戶身份已經和指紋Ukey進行綁定，Ukey經證書系統簽發授權；

指紋驗證成功，調用獲取Ukey人員數字證書認證信息，所述Ukey人員數字證書認證信息包括用戶名、證書序列號、簽名值和安全標簽；

獲取Ukey身份認證信息后，所述統一身份認證服務器進行認證；

所述統一身份認證服務器收到用戶認證信息后根據證書序列號匹配公鑰證書驗證簽名、驗證用戶名，如果認證成功，返回成功標識；

業務系統收到認證成功標識，則允許用戶登錄，并根據角色信息進行相關業務操作；

用戶操作完之后，主動退出登錄，也可直接拔出Ukey,主機自動識別Ukey已拔出，則自動注銷用戶并關閉應用。