專利名稱：因特網(wǎng)上不同應(yīng)用系統(tǒng)間用戶認證信息共享的方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種在因特網(wǎng)上不同應(yīng)用系統(tǒng)間用戶認證信息共享的方法，具體來說，涉及在不同應(yīng)用系統(tǒng)和登錄認證服務(wù)器之間共享用戶在登錄認證服務(wù)器經(jīng)過驗證的身份信息。
現(xiàn)有的一種解決措施是基于cookie技術(shù)的一次登錄方法。在此方法中，用戶通過www瀏覽器登錄到登錄認證服務(wù)器，登錄認證服務(wù)器產(chǎn)生一個cookie，該cookie用一個秘密對稱密鑰加密，并被傳送到用戶瀏覽器中，用戶在登錄到應(yīng)用系統(tǒng)時，瀏覽器把登錄認證服務(wù)器產(chǎn)生的cookie發(fā)送到應(yīng)用系統(tǒng)，應(yīng)用系統(tǒng)用與登錄認證服務(wù)器共享的秘密對稱密鑰解密cookie中的內(nèi)容，然后把從cookie中獲得的用戶信息與用戶信息數(shù)據(jù)庫中存儲的信息進行比較，如果一致則認為是合法的，否則認為非法。該一次登錄系統(tǒng)的特點是應(yīng)用系統(tǒng)和登錄認證服務(wù)器之間共享一個秘密對稱密鑰，它們之間要維護秘密密鑰的定時更新和同步，同時它們需要共享用戶信息數(shù)據(jù)。這種方法的缺點是，秘密密鑰的更新和維護很復(fù)雜，并且秘密密鑰需要在登錄認證服務(wù)器和多個應(yīng)用系統(tǒng)之間共享，帶來一定安全上的隱患，而且為了共享用戶信息，要求用戶數(shù)據(jù)必須一致，帶來操作上的極大復(fù)雜性。
與上述一次登錄技術(shù)不同的是，本發(fā)明采用PKI公鑰密碼技術(shù)，不需要登錄認證服務(wù)器和應(yīng)用系統(tǒng)之間共享秘密對稱密鑰，登錄認證服務(wù)器在用戶成功登錄后產(chǎn)生一個用戶認證令牌，并用登錄認證服務(wù)器自己的CA數(shù)字證書對應(yīng)的私鑰對用戶認證令牌中的數(shù)據(jù)進行數(shù)字簽名，并且該數(shù)字簽名包含在用戶認證令牌中，應(yīng)用系統(tǒng)只需用登錄認證服務(wù)器的CA數(shù)字證書就可以驗證此用戶認證令牌是否是登錄認證服務(wù)器產(chǎn)生的，從而可以確定用戶身份是否合法。由于登錄認證服務(wù)器的CA數(shù)字證書是可以公開發(fā)布的，所以不存在使用安全上的隱患，并且登錄認證服務(wù)器產(chǎn)生的認證令牌中可以包含用戶的業(yè)務(wù)權(quán)限信息，不需要應(yīng)用系統(tǒng)和登錄認證服務(wù)器采用共享用戶數(shù)據(jù)庫的方法以完成用戶身份的認證。
本發(fā)明是一種因特網(wǎng)上不同應(yīng)用系統(tǒng)間用戶認證信息共享的方法，該方法采用公鑰密碼技術(shù)和令牌技術(shù)，由應(yīng)用系統(tǒng)用于用戶身份驗證，以確定是否允許用戶使用該應(yīng)用系統(tǒng)所提供的服務(wù)，該方法包含登錄認證服務(wù)器；用戶相關(guān)信息數(shù)據(jù)庫；用戶認證令牌；登錄認證服務(wù)器端認證令牌管理裝置；應(yīng)用系統(tǒng)端認證令牌驗證和管理裝置；用戶終端認證令牌管理裝置；
本發(fā)明的特征在于用戶通過登錄認證服務(wù)器進行身份驗證，登錄認證服務(wù)器使用公鑰密碼技術(shù)和用戶相關(guān)信息數(shù)據(jù)庫驗證用戶身份是否合法，用戶通過登錄認證服務(wù)器的登錄驗證后，登錄認證服務(wù)器使用公鑰密碼技術(shù)和登錄認證服務(wù)器端認證令牌管理裝置產(chǎn)生用戶認證令牌，用戶認證令牌被自動返回給用戶發(fā)起登錄請求的用戶終端，當(dāng)用戶登錄應(yīng)用系統(tǒng)時，用戶認證令牌通過用戶終端認證令牌管理裝置被傳送到應(yīng)用系統(tǒng)，應(yīng)用系統(tǒng)使用認證令牌驗證和管理裝置，驗證該用戶認證令牌以確定用戶身份是否合法。
用戶終端指用戶為使用應(yīng)用系統(tǒng)提供的服務(wù)所使用的終端軟件，該終端軟件使用用戶終端認證令牌管理裝置對令牌進行管理，該軟件是www瀏覽器或是應(yīng)用系統(tǒng)專用客戶端軟件。
應(yīng)用系統(tǒng)指通過因特網(wǎng)提供服務(wù)的軟件系統(tǒng)，該軟件系統(tǒng)使用應(yīng)用系統(tǒng)端認證令牌驗證和管理裝置實現(xiàn)對用戶身份的認證，該軟件系統(tǒng)是提供頁面服務(wù)的WWW服務(wù)器，或是提供持續(xù)時間型服務(wù)的專用計算機應(yīng)用軟件系統(tǒng)，持續(xù)時間型服務(wù)應(yīng)用系統(tǒng)是提供音視頻多媒體服務(wù)或是網(wǎng)絡(luò)游戲服務(wù)或是遠程教育服務(wù)的專用計算機應(yīng)用軟件系統(tǒng)。
用戶認證令牌包含用戶認證信息和用戶認證信息的數(shù)字簽名，由登錄認證服務(wù)器采用公鑰密碼技術(shù)的CA數(shù)字證書機制實現(xiàn)對用戶認證信息的數(shù)字簽名，用戶認證信息包含用戶身份標(biāo)識、登錄時間、令牌有效時長，或用戶的業(yè)務(wù)權(quán)限信息。
應(yīng)用系統(tǒng)端認證令牌驗證和管理裝置采用基于公鑰密碼技術(shù)的CA數(shù)字證書機制驗證用戶認證令牌中的數(shù)字簽名是否有效，以確定用戶認證令牌是否合法。
登錄認證服務(wù)器端認證令牌管理裝置采用基于公鑰密碼技術(shù)的CA數(shù)字證書機制對用戶認證信息進行數(shù)字簽名，和對用戶認證令牌進行驗證。
該方法中的應(yīng)用系統(tǒng)端認證令牌驗證和管理裝置、登錄認證服務(wù)器端認證令牌管理裝置和用戶終端認證令牌管理裝置，是由C語言或C++語言或JAVA語言或腳本語言實現(xiàn)的應(yīng)用程序軟件。
因特網(wǎng)上基于公鑰密碼技術(shù)和令牌技術(shù)實現(xiàn)不同應(yīng)用系統(tǒng)間用戶認證信息共享的方法，可以滿足用戶“一站式”服務(wù)的要求，即用戶一次登錄認證服務(wù)器后，訪問采用相同認證體系的應(yīng)用系統(tǒng)時不需再次登錄和認證。該方法使用戶只需要記憶一種身份信息，就可以直接享用采用相同認證體系的不同因特網(wǎng)服務(wù)商提供的應(yīng)用服務(wù)，減少用戶登錄出錯機會，省略或減少繁瑣的用戶登錄過程。
該方法可以使因特網(wǎng)服務(wù)商不必關(guān)心用戶注冊信息的維護工作，也不必關(guān)心用戶發(fā)展工作，由登錄認證服務(wù)器統(tǒng)一管理和維護用戶信息，實現(xiàn)了不同應(yīng)用系統(tǒng)和登錄認證服務(wù)器間用戶資源的共享。該方法采用基于公鑰密碼技術(shù)的CA數(shù)字證書機制保證認證信息的準確性和抗抵賴性，提高了認證的安全性。
附圖
2說明用戶登錄應(yīng)用系統(tǒng)的過程。
2)登錄服務(wù)器端認證令牌管理裝置自動到用戶發(fā)起登錄請求的終端讀取用戶認證令牌，讀取結(jié)果分為兩種情況一是用戶認證令牌不存在；二是用戶認證令牌存在。
3)如果用戶端用戶認證令牌不存在，則要求用戶在登錄界面中填寫其身份信息。
4)如果用戶端用戶認證令牌存在，則提取用戶認證令牌，解析并驗證該用戶認證令牌的有效性，驗證結(jié)果分為兩種情況一是驗證通過；二是驗證不通過。
5)如果驗證通過則登錄認證服務(wù)器進入服務(wù)狀態(tài)。
6)如果驗證不通過可能存在以下原因一是用戶認證令牌已經(jīng)超過它的有效期限；二是用戶認證令牌不符合登錄認證服務(wù)器所規(guī)定的數(shù)據(jù)格式；三是用戶認證令牌中包含的數(shù)據(jù)非法。只要滿足上述原因之一，登錄服務(wù)器端認證令牌管理裝置要求用戶在登錄界面中填寫其身份信息。
7)用戶通過登錄界面提交登錄請求，登錄認證服務(wù)器端認證令牌管理裝置接收用戶身份信息，并根據(jù)用戶的身份信息從用戶相關(guān)信息數(shù)據(jù)庫中提取對應(yīng)數(shù)據(jù)進行驗證，驗證結(jié)果分為兩種情況一是數(shù)據(jù)一致；二是數(shù)據(jù)不一致。
8)如果用戶提交的身份信息與用戶相關(guān)信息數(shù)據(jù)庫中的不一致，可以提示用戶重新輸入；如果數(shù)據(jù)一致，則根據(jù)登錄認證服務(wù)器的驗證規(guī)則條件確定是否允許用戶驗證通過。
9)如果總是允許合法用戶使用服務(wù)，則通過驗證。
10)如果沒有使用同一用戶身份的用戶在用戶認證令牌有效期內(nèi)使用服務(wù)，則通過驗證；如果有相同用戶身份的用戶處于登錄狀態(tài)，則根據(jù)策略可以選擇允許該用戶驗證通過和不允許該用戶驗證通過。
11)用戶通過身份驗證后，登錄認證服務(wù)器端認證令牌管理裝置產(chǎn)生用戶認證令牌，修改用戶相關(guān)信息數(shù)據(jù)庫中的用戶登錄狀態(tài)。
12)用戶認證令牌返回給用戶登錄終端，該用戶認證令牌中包含的信息有用戶身份標(biāo)識、登錄時間、令牌有效時長、還包含登錄認證服務(wù)器使用數(shù)字證書生成的數(shù)字簽名，也可以包含用戶是否有權(quán)利使用應(yīng)用系統(tǒng)服務(wù)的權(quán)限信息。
實施例2用戶登錄應(yīng)用系統(tǒng)的過程如下
1)用戶發(fā)出使用應(yīng)用系統(tǒng)提供的服務(wù)的請求。
2)應(yīng)用系統(tǒng)端認證令牌驗證和管理裝置讀取用戶終端的用戶認證令牌，讀取結(jié)果分為兩種情況一是用戶認證令牌不存在；二是用戶認證令牌存在。
3)如果用戶端用戶認證令牌不存在，則調(diào)用登錄認證服務(wù)器登錄界面。
4)如果用戶端用戶認證令牌存在，則提取該用戶認證令牌，解析并驗證該用戶認證令牌的有效性，驗證結(jié)果分為兩種情況一是驗證通過；二是驗證不通過。
5)如果驗證通過則進入應(yīng)用系統(tǒng)的服務(wù)狀態(tài)。
6)如果驗證不通過可能存在以下原因一是用戶認證令牌已經(jīng)超過它的有效期限；二是用戶認證令牌不符合使用服務(wù)所規(guī)定的數(shù)據(jù)格式；三是用戶認證令牌中包含的數(shù)據(jù)非法，只要滿足上述原因之一，應(yīng)用系統(tǒng)端認證令牌驗證和管理裝置調(diào)用登錄認證服務(wù)器登錄界面。
7)調(diào)用登錄認證服務(wù)器登錄界面的后續(xù)步驟為，與“用戶登錄到登錄認證服務(wù)器的過程”中的7至12步驟相同。
8)(13)如果用戶通過登錄認證服務(wù)器的驗證，用戶認證令牌被傳送到應(yīng)用系統(tǒng)，應(yīng)用系統(tǒng)端認證令牌驗證和管理裝置驗證該用戶認證令牌，如果驗證通過則進入服務(wù)狀態(tài)；如果驗證不通過，則提示出錯信息，顯示選擇界面，由用戶決定是否重新登錄。
本發(fā)明這樣便實施了一種在不同應(yīng)用系統(tǒng)和登錄認證服務(wù)器之間共享用戶認證信息的方法?？傮w來說，登錄認證服務(wù)器產(chǎn)生一個用戶認證令牌，該認證令牌中包含用戶身份信息、部分管理信息和登錄認證服務(wù)器的數(shù)字簽名，應(yīng)用系統(tǒng)通過獲得該用戶認證令牌，驗證該令牌確實是登錄認證服務(wù)器簽發(fā)的，并且是合法的，從而驗證用戶身份的合法性，達到用戶在登錄認證服務(wù)器登錄一次后，就可以登錄采用相同認證體系的不同應(yīng)用系統(tǒng)，使用戶認證信息在不同應(yīng)用系統(tǒng)和登錄認證服務(wù)器之間共享。
權(quán)利要求
1.一種因特網(wǎng)上不同應(yīng)用系統(tǒng)間用戶認證信息共享的方法，該方法采用公鑰密碼技術(shù)和令牌技術(shù)，由應(yīng)用系統(tǒng)用于用戶身份驗證，以確定是否允許用戶使用該應(yīng)用系統(tǒng)所提供的服務(wù)，該方法包含登錄認證服務(wù)器；用戶相關(guān)信息數(shù)據(jù)庫；用戶認證令牌；登錄認證服務(wù)器端認證令牌管理裝置；應(yīng)用系統(tǒng)端認證令牌驗證和管理裝置；用戶終端認證令牌管理裝置；其特征在于，用戶通過登錄認證服務(wù)器進行身份驗證，登錄認證服務(wù)器使用公鑰密碼技術(shù)和用戶相關(guān)信息數(shù)據(jù)庫驗證用戶身份是否合法，用戶通過登錄認證服務(wù)器的登錄驗證后，登錄認證服務(wù)器使用公鑰密碼技術(shù)和登錄認證服務(wù)器端認證令牌管理裝置產(chǎn)生用戶認證令牌，用戶認證令牌被自動返回給用戶發(fā)起登錄請求的用戶終端，當(dāng)用戶登錄應(yīng)用系統(tǒng)時，用戶認證令牌通過用戶終端認證令牌管理裝置被傳送到應(yīng)用系統(tǒng)，應(yīng)用系統(tǒng)使用認證令牌驗證和管理裝置，驗證該用戶認證令牌以確定用戶身份是否合法。
2.如權(quán)利要求1所述的方法，其特征在于，用戶終端指用戶為使用應(yīng)用系統(tǒng)提供的服務(wù)所使用的終端軟件，該終端軟件使用用戶終端認證令牌管理裝置對令牌進行管理，該軟件是www瀏覽器或是應(yīng)用系統(tǒng)專用客戶端軟件。
3.如權(quán)利要求1所述的方法，其特征在于，應(yīng)用系統(tǒng)指通過因特網(wǎng)提供服務(wù)的軟件系統(tǒng)，該軟件系統(tǒng)使用應(yīng)用系統(tǒng)端認證令牌驗證和管理裝置實現(xiàn)對用戶身份的認證，該軟件系統(tǒng)是提供頁面服務(wù)的WWW服務(wù)器，或是提供持續(xù)時間型服務(wù)的專用計算機應(yīng)用軟件系統(tǒng)，持續(xù)時間型服務(wù)應(yīng)用系統(tǒng)是提供音視頻多媒體服務(wù)或是網(wǎng)絡(luò)游戲服務(wù)或是遠程教育服務(wù)的專用計算機應(yīng)用軟件系統(tǒng)。
4.如權(quán)利要求1所述的方法，其特征在于，用戶認證令牌包含用戶認證信息和用戶認證信息的數(shù)字簽名，由登錄認證服務(wù)器采用公鑰密碼技術(shù)的CA數(shù)字證書機制實現(xiàn)對用戶認證信息的數(shù)字簽名，用戶認證信息包含用戶身份標(biāo)識、登錄時間、令牌有效時長，或用戶的業(yè)務(wù)權(quán)限信息。
5.如權(quán)利要求1所述的方法，其特征在于，應(yīng)用系統(tǒng)端認證令牌驗證和管理裝置采用基于公鑰密碼技術(shù)的CA數(shù)字證書機制驗證用戶認證令牌中的數(shù)字簽名是否有效，以確定用戶認證令牌是否合法；登錄認證服務(wù)器端認證令牌管理裝置采用基于公鑰密碼技術(shù)的CA數(shù)字證書機制對用戶認證信息進行數(shù)字簽名，和對用戶認證令牌進行驗證。
全文摘要
本發(fā)明涉及一種在因特網(wǎng)上不同應(yīng)用系統(tǒng)間用戶認證信息共享的方法。該方法包含登錄認證服務(wù)器，用戶相關(guān)信息數(shù)據(jù)庫，用戶認證令牌，登錄認證服務(wù)器端認證令牌管理裝置，應(yīng)用系統(tǒng)端認證令牌驗證和管理裝置，用戶端認證令牌管理裝置。用戶通過登錄認證服務(wù)器的登錄驗證后，登錄認證服務(wù)器端認證令牌管理裝置產(chǎn)生用戶認證令牌，并傳送給用戶終端系統(tǒng)，在用戶登錄應(yīng)用系統(tǒng)時，通過用戶端認證令牌管理裝置，用戶認證令牌被發(fā)送到應(yīng)用系統(tǒng)，該應(yīng)用系統(tǒng)使用認證令牌驗證和管理裝置驗證用戶認證令牌以確定用戶身份是否合法。該方法使用戶一次登錄可以多次訪問不同應(yīng)用系統(tǒng)。
文檔編號H04L9/32GK1469583SQ0212429
公開日2004年1月21日 申請日期2002年7月16日 優(yōu)先權(quán)日2002年7月16日
發(fā)明者劉辛越, 劉偉, 李婷, 王炳艷, 盛乃軍 申請人:北京創(chuàng)原天地科技有限公司