專利名稱：一種基于標(biāo)識的密碼技術(shù)的公共網(wǎng)絡(luò)安全通信服務(wù)用戶身份的認(rèn)證方法
技術(shù)領(lǐng)域：
本發(fā)明屬于網(wǎng)絡(luò)技術(shù)領(lǐng)域，具體地說是一種基于標(biāo)識的密碼技術(shù)的公共網(wǎng)絡(luò)安全通信服務(wù)用戶身份的認(rèn)證方法。
背景技術(shù)：
許多基于傳統(tǒng)公鑰密碼體系的安全系統(tǒng)已在廣泛使用。比如重要的互聯(lián)網(wǎng)應(yīng)用電子郵件，就有相應(yīng)的安全系統(tǒng)PGP(Pretty GoodPrivacy)系統(tǒng)等。IETF(Internet Engineering Task Force)也有制定相應(yīng)的標(biāo)準(zhǔn)S/MIME(Secure/Multipurpose Internet MailExtensions)。但這類系統(tǒng)都依賴于復(fù)雜的證書頒發(fā)系統(tǒng)PKI(PublicKey Infrastructure)。在2001年，兩位美國密碼學(xué)家Boneh和Franklin提出了首個(gè)安全性可以證明的實(shí)用的基于標(biāo)識的加密系統(tǒng)IBE，即Identity based encryption(參見文獻(xiàn)D.Boneh and M.Franklin.Identity based encryption from the Weil pairing.In Proceedings ofAdvances in Cryptology-Crypto 2001，LNCS 2139，pp.213-229，Springer-Verlag，2001.)。基于標(biāo)識的密碼系統(tǒng)不再需要PKI，而是直接使用用戶的標(biāo)識作為用戶的公鑰，從而去除了對PKI的依賴。
作為密碼學(xué)領(lǐng)域的最新發(fā)展，國際上只有極少數(shù)公司提供基于標(biāo)識的密碼產(chǎn)品。最主要的產(chǎn)品由Voltage公司提供。但該公司只提供企業(yè)級的產(chǎn)品，即產(chǎn)品只為企業(yè)的雇員間的通信提供安全服務(wù)。產(chǎn)品線包括郵件加密網(wǎng)關(guān)，桌面軟件，文件加密，安全的即時(shí)通信等。這些產(chǎn)品全部是基于企業(yè)級的應(yīng)用，在安全策略服務(wù)方面做了很多工作，用戶主要是面對企業(yè)內(nèi)用戶，也兼顧到少數(shù)企業(yè)外的臨時(shí)用戶。基于標(biāo)識的密碼系統(tǒng)中有一個(gè)重要的步驟，即用戶認(rèn)證(又稱用戶鑒權(quán))，并在鑒權(quán)成功后分發(fā)對應(yīng)于用戶標(biāo)識的私鑰。Voltage的產(chǎn)品對于用戶的鑒權(quán)是通過企業(yè)級軟件的通用方法來實(shí)現(xiàn)的，比如Windows系統(tǒng)帳號，Email系統(tǒng)賬戶等。對企業(yè)外部的個(gè)別臨時(shí)用戶也可以采用郵件回復(fù)的方式認(rèn)證。
圖1為Voltage產(chǎn)品描述的一個(gè)通常的IBE過程李四向張三發(fā)送一封基于標(biāo)識技術(shù)的加密郵件。第一步李四以張三的Email地址(張三@b.com)作為標(biāo)識(即張三的公鑰)，向張三發(fā)送加密郵件；第二步張三收到郵件后，到密碼服務(wù)器去申請對應(yīng)于張三@b.com的私鑰；第三步張三從服務(wù)器得到私鑰后解密郵件。
這是一個(gè)通常的IBE的過程，步驟②涉及用戶向密碼服務(wù)器認(rèn)證過程。Voltage的產(chǎn)品采用以下幾種鑒權(quán)方式驗(yàn)證用戶a)Exchange2000服務(wù)器使用Windows域認(rèn)證，b)Exchange5.5服務(wù)器使用Windows域認(rèn)證，c)輕量目錄訪問協(xié)議(LDAP)，d)PKI客戶證書，e)智能卡，f)RSA公司SecureID卡，g)POP3郵件協(xié)議認(rèn)證，h)郵件回復(fù)認(rèn)證。
這些方法均沒有考慮到如何確認(rèn)一位普通的公共用戶的身份，也沒有考慮到基于公眾用戶的付費(fèi)方法，因而無法提供公共網(wǎng)絡(luò)安全通信服務(wù)。具體的講a)和b)中的方法使用Exchange郵件服務(wù)器和Windows的域認(rèn)證方法，顯然公共用戶不會(huì)在相同的Windows域中。c)方法需要用戶都向一個(gè)LDAP目錄注冊，這對公共用戶不現(xiàn)實(shí)。d)方法要求用戶都具有一個(gè)PKI的證書，這對公共用戶同樣不現(xiàn)實(shí)，而且對PKI證書的需求正是基于標(biāo)識的密碼系統(tǒng)要去除的。注意在企業(yè)應(yīng)用中，用戶是可能已經(jīng)擁有一個(gè)用作其它用途的證書的。e)和f)中的方法都需要公共用戶從某個(gè)發(fā)卡單位獲取智能卡，而且使用這些卡也難以在互聯(lián)網(wǎng)上進(jìn)行遠(yuǎn)程驗(yàn)證。g)方法要求密碼服務(wù)器和公共用戶的所有郵件服務(wù)提供商共享用戶的郵件服務(wù)登錄密碼，郵件服務(wù)提供商不會(huì)愿意和他方共享這些敏感信息。h)方法可以較安全的驗(yàn)證用戶對Email地址的擁有權(quán)，但僅使用該方法無法避免假冒、惡意申請、誤操作等，也無法提供公共收費(fèi)服務(wù)。

發(fā)明內(nèi)容
本發(fā)明的目的在于為采用基于標(biāo)識的密碼技術(shù)的公共網(wǎng)絡(luò)安全通信服務(wù)提供一種用戶身份認(rèn)證方法。該方法簡單易行，能可靠地解決公共用戶的身份認(rèn)證，從而使得基于標(biāo)識的密碼技術(shù)的公共網(wǎng)絡(luò)可方便地對公共用戶提供安全通信服務(wù)，同時(shí)還能解決面向公眾服務(wù)時(shí)的收費(fèi)問題。
本發(fā)明的核心思想是在IBE的應(yīng)用領(lǐng)域，第一，確認(rèn)用戶要使用的標(biāo)識是什么；第二，確認(rèn)對應(yīng)于該標(biāo)識的用戶擁有什么；第三，根據(jù)前兩個(gè)步驟的結(jié)果實(shí)現(xiàn)持續(xù)的有控制的用戶授權(quán)，從而實(shí)現(xiàn)用戶記費(fèi)。
本發(fā)明的目的是通過下述技術(shù)方案實(shí)現(xiàn)的，其特征在于1)用戶請求注冊時(shí)，通過互聯(lián)網(wǎng)向密碼中心傳送需要提供密碼服務(wù)的Email地址或即時(shí)通信號碼或標(biāo)識或音頻、視頻聲訊號碼或標(biāo)識，同時(shí)傳送其擁有的手機(jī)號碼或固定電話機(jī)號碼或傳真機(jī)號碼或其他可接受信息的公共付費(fèi)服務(wù)終端標(biāo)識，并設(shè)定一個(gè)注冊密碼，其Email地址或即時(shí)通信號碼或標(biāo)識或音、視頻聲訊號碼或標(biāo)識將被作為用戶的標(biāo)識，該標(biāo)識將被作為公鑰，2)密碼中心收到上述注冊申請后，即按下述方法對用戶提供的信息的有效性進(jìn)行驗(yàn)證①向該用戶的Email地址或QQ號碼或音、視頻聲訊號碼發(fā)送一個(gè)令牌1，一個(gè)令牌是一串隨機(jī)數(shù)字或字符或數(shù)字與字符的組合，②向該用戶擁有的手機(jī)號碼或固定電話機(jī)號碼或傳真機(jī)號碼或其他可接受信息的終端發(fā)送另一個(gè)令牌2，③該用戶收到這兩個(gè)令牌后，按照與收取時(shí)相同的渠道或通過密碼中心的申請確認(rèn)主頁，將兩個(gè)令牌回饋給密碼中心，確認(rèn)其注冊申請，3)密碼中心收到回饋的對應(yīng)于同一用戶的兩個(gè)令牌后，即確認(rèn)該用戶身份有效，其注冊申請為有效申請。
在按上述方法認(rèn)證了用戶的確切身份后，密碼中心確認(rèn)用戶身份有效，其注冊申請為有效申請，密碼中心即可為其提供相應(yīng)服務(wù)(生成用戶的私鑰和定制的客戶端軟件)，并可通過該用戶手機(jī)或固定電話機(jī)或傳真機(jī)或其他可接受信息的公共付費(fèi)服務(wù)終端標(biāo)識的運(yùn)營商或者通過該用戶提供的信用卡向該用戶收取相應(yīng)的費(fèi)用?？蛻敉ㄟ^使用定制的客戶端軟件獲得安全服務(wù)。
該發(fā)明另外一個(gè)重要內(nèi)容是根據(jù)認(rèn)證鑒權(quán)后的用戶信息對使用服務(wù)的用戶進(jìn)行持續(xù)的有控制的授權(quán)并收取費(fèi)用的方法。該發(fā)明使用在線用戶驗(yàn)證激活軟件服務(wù)的方法授權(quán)用戶使用服務(wù)。在以下情況下用戶的客戶軟件需要向密碼中心進(jìn)行驗(yàn)證以獲取授權(quán)并激活相應(yīng)服務(wù)①在一個(gè)月的不固定一天進(jìn)行自動(dòng)在線驗(yàn)證。
②在使用客戶軟件一定次數(shù)時(shí)自動(dòng)驗(yàn)證。
③在用戶申請?zhí)厥饷艽a時(shí)(如需要解密有指定解密時(shí)間的文件)附帶驗(yàn)證。
④手工驗(yàn)證。客戶可以用客戶端軟件的手工驗(yàn)證功能驗(yàn)證。
如果用戶未付費(fèi)，密碼中心將指令客戶端軟件停止提供服務(wù)，直至用戶付費(fèi)后，再次使用客戶端軟件手工驗(yàn)證通過后，恢復(fù)服務(wù)。
本發(fā)明由于采用了分步驗(yàn)證、綁定兩種驗(yàn)證的鑒權(quán)方式，即通過不同渠道發(fā)布令牌并要求兩個(gè)令牌都被回復(fù)確認(rèn)來認(rèn)證一個(gè)普通公共用戶申請注冊的有效性，排除了出于各種目的或誤操作造成的無效申請，成功地為基于標(biāo)識的密碼技術(shù)的公共網(wǎng)絡(luò)安全通信服務(wù)提供了一種簡單易行的用戶身份認(rèn)證方法，可靠地解決了公共用戶的身份認(rèn)證問題，從而使得公共網(wǎng)絡(luò)可方便地對公共用戶提供采用基于標(biāo)識的密碼技術(shù)的安全通信服務(wù)(包括公共安全郵件系統(tǒng)，公共安全即時(shí)通信系統(tǒng)及音、視頻聲訊系統(tǒng)等)。同時(shí)，本發(fā)明采用在線用戶驗(yàn)證激活服務(wù)的方法授權(quán)用戶使用安全服務(wù)，從而實(shí)現(xiàn)持續(xù)服務(wù)授權(quán)和記費(fèi)。
概括地說，本發(fā)明是通過Email(或其它需要提供網(wǎng)絡(luò)服務(wù)的標(biāo)識)+手機(jī)(或其它與需要提供網(wǎng)絡(luò)服務(wù)的項(xiàng)目緊密相連的、易于驗(yàn)證、易于收費(fèi)管理的手段)驗(yàn)證用戶注冊是否有效的方法，從而可以方便地、準(zhǔn)確地認(rèn)定任何一位普通用戶，并且通過手機(jī)(或固定電話等)綁定收費(fèi)系統(tǒng)，通過已有的通信運(yùn)營商或信用卡收取費(fèi)用，形成非常好的付費(fèi)模式，順利地解決了基于標(biāo)識的密碼技術(shù)的公共網(wǎng)絡(luò)安全通信面向公眾服務(wù)時(shí)的收費(fèi)問題，從而使得基于標(biāo)識的密碼技術(shù)形成面向公眾的服務(wù)成為現(xiàn)實(shí)。就認(rèn)證方法而言，收費(fèi)是認(rèn)證過程中的一個(gè)重要環(huán)節(jié)。
本發(fā)明的方法簡單、易行，工作可靠，適用于各種基于標(biāo)識的密碼技術(shù)的公共網(wǎng)絡(luò)安全通信服務(wù)的用戶身份認(rèn)證


本發(fā)明有如下附圖圖1通常的IBE過程示意圖。
圖2認(rèn)證鑒權(quán)流程示意圖。
圖3認(rèn)證鑒權(quán)實(shí)施例示意圖具體實(shí)施方式
以下結(jié)合具體實(shí)施例對本發(fā)明作進(jìn)一步詳細(xì)說明。
本發(fā)明的方法是針對下述問題而提出的現(xiàn)有的基于標(biāo)識的密碼技術(shù)的網(wǎng)絡(luò)安全通信服務(wù)系統(tǒng)，由于沒有解決公眾客戶的身份認(rèn)證問題以及收費(fèi)問題，因而無法開展對公共客戶的服務(wù)，限制了這一先進(jìn)技術(shù)的大范圍推廣應(yīng)用。本發(fā)明對公共用戶必不可少的現(xiàn)有的通信技術(shù)手段中的兩種進(jìn)行了組合，通過這兩種手段的組合，既解決了基于標(biāo)識的密碼技術(shù)的公共網(wǎng)絡(luò)安全通信服務(wù)系統(tǒng)的標(biāo)識問題，又解決了公共用戶身份唯一、有效的問題。本發(fā)明給出的具體認(rèn)證方法為1)用戶請求注冊時(shí)，首先通過互聯(lián)網(wǎng)向密碼中心傳送需要提供密碼服務(wù)的Email地址或即時(shí)通信標(biāo)識(如QQ號碼)或音頻、視頻標(biāo)識，其Email地址或即時(shí)通信標(biāo)識(如QQ號碼)或音頻、視頻標(biāo)識將被作為用戶的基于標(biāo)識的密碼技術(shù)的公共網(wǎng)絡(luò)安全通信服務(wù)系統(tǒng)的標(biāo)識。所說的Email地址可以是任何合法有效電子郵件地址，例如myibe001@yahoo.com、eric@cfdrive.com等。所說的即時(shí)通信標(biāo)識可以是即時(shí)通信服務(wù)商給定的號碼，例如騰訊公司給定的號碼59387321(QQ號碼)。所說的音頻、視頻標(biāo)識可以是網(wǎng)絡(luò)電話號碼或帳號，例如Skype公司的某個(gè)網(wǎng)絡(luò)帳號myapn001。
用戶同時(shí)向密碼中心傳送其擁有的手機(jī)號碼(例如13501234567)或固定電話機(jī)號碼(例如67123456)，或傳真機(jī)號碼(例如67654321，相當(dāng)于專用的電話號碼)，或其他可接受信息的公共付費(fèi)服務(wù)終端標(biāo)識(例如小靈通號碼60000999)，異地申請時(shí)應(yīng)加區(qū)位號(例如010、0512)，并設(shè)定一個(gè)注冊密碼(例如09873655)。本發(fā)明規(guī)定這兩種必須提供的通信手段的號碼或標(biāo)識，是公共用戶身份認(rèn)定的基礎(chǔ)，其中Email地址或QQ號碼或音、視頻標(biāo)識既是服務(wù)對象，又是認(rèn)證渠道之一；手機(jī)號碼或固定電話機(jī)號碼或傳真機(jī)號碼等則是另一個(gè)認(rèn)證渠道。
2)密碼中心收到上述注冊申請后，即按下述方法對用戶提供的信息的有效性進(jìn)行驗(yàn)證①向該用戶的Email地址或QQ號碼或音、視頻標(biāo)識發(fā)送一個(gè)令牌1。令牌1是密碼中心為認(rèn)證用戶身份所發(fā)出的一串隨機(jī)數(shù)字或字符或數(shù)字與字符的組合，例如7720889、axd43056等，②向該用戶擁有的手機(jī)號碼或固定電話機(jī)號碼或傳真機(jī)號碼或其他可接受信息的公共付費(fèi)服務(wù)終端發(fā)送另一個(gè)令牌2。令牌2是密碼中心為認(rèn)證用戶身份所發(fā)出的另一串隨機(jī)數(shù)字或字符或數(shù)字與字符的組合，例如qscghu6809、1025798等。令牌的使用示意圖參見圖3。對于固定電話機(jī)而言，所謂的發(fā)送令牌也可以是直接語言通知，并詢問是否注冊、申請了某種密碼服務(wù)及要求服務(wù)的標(biāo)識等能夠認(rèn)證用戶身份的話語。密碼中心與用戶之間的令牌傳送可以是手機(jī)對手機(jī)、手機(jī)對固定電話(傳真電話)、傳真機(jī)對傳真機(jī)、密碼中心的服務(wù)器-ISP網(wǎng)關(guān)對手機(jī)或其他可接受信息的公共付費(fèi)服務(wù)終端以及技術(shù)上可以實(shí)施的這幾種通信工具之間的信息交換方式。
③該用戶收到這兩個(gè)令牌后，可以通過兩種方式確認(rèn)其注冊。方法一按照與收取時(shí)相同的渠道及時(shí)將其回饋給密碼中心，確認(rèn)其注冊申請?！芭c收取時(shí)相同的渠道確認(rèn)”保證了令牌發(fā)送和回饋渠道的對等，進(jìn)而為申請過程提供物理(如申請確認(rèn)傳真件)或第三方憑證(電信短信記錄等)。方法二用戶可以使用獲取的兩個(gè)令牌訪問密碼中心的申請確認(rèn)主頁。通過輸入兩個(gè)令牌來完成申請過程。具體實(shí)施例參見圖3。圖3為本發(fā)明中通過密碼中心的申請確認(rèn)主頁反饋兩個(gè)令牌認(rèn)證的實(shí)施例示意圖，第一欄填寫需要提供安全服務(wù)的郵件地址標(biāo)識，第二欄填寫通過郵件得到的令牌1，第三欄填寫通過手機(jī)短訊得到的令牌2，最后一欄輸入用戶設(shè)定的注冊密碼，然后提交認(rèn)證。
兩個(gè)令牌的確認(rèn)步驟排除了出于各種目的(包括惡意的)或誤操作造成的無效申請，保證了用戶身份認(rèn)證的可靠性。
3)密碼中心收到回饋的對應(yīng)于同一用戶的兩個(gè)令牌后，即確認(rèn)該用戶身份有效，其注冊申請為有效申請。由于本發(fā)明從兩個(gè)不同的渠道發(fā)出了兩個(gè)令牌，只有提供了這兩個(gè)渠道的申請人才能夠獲得這兩個(gè)令牌，且只有該申請人確實(shí)決定申請注冊時(shí)才會(huì)回饋這兩個(gè)令牌，從而保證了本發(fā)明認(rèn)證方法的可靠性，使面向公眾的服務(wù)及相應(yīng)的收費(fèi)得以實(shí)施。
在按上述方法認(rèn)證了用戶的確切身份后，密碼中心即可為該用戶提供相應(yīng)的服務(wù)，并可通過該用戶手機(jī)或固定電話機(jī)或傳真機(jī)的運(yùn)營商或者通過該用戶提供的信用卡向該用戶收取相應(yīng)的費(fèi)用。
4)用戶使用定制的客戶端軟件提供的安全服務(wù)，客戶端軟件只有在從密碼中心獲得相應(yīng)的授權(quán)后才提供服務(wù)?？蛻舳塑浖捎迷诰€驗(yàn)證的方式向密碼中心申請授權(quán)。密碼中心只有在確定用戶有效(即用戶正常付費(fèi)后)才給予授權(quán)。除了傳統(tǒng)的收費(fèi)方式，該系統(tǒng)自動(dòng)支持手機(jī)收費(fèi)系統(tǒng)，不需要通過人工或第三方認(rèn)證收費(fèi)系統(tǒng)，可直接和手機(jī)或固定電話運(yùn)營商捆綁。
上述認(rèn)證過程可參見圖2，該圖描述了在本發(fā)明中，認(rèn)證用戶并綁定記費(fèi)系統(tǒng)，從而為基于標(biāo)識的密碼系統(tǒng)提供用戶鑒權(quán)的過程。
本發(fā)明給出的方法簡單，易于實(shí)施，并可取得較高的社會(huì)效率和經(jīng)濟(jì)效益。
權(quán)利要求
1.一種基于標(biāo)識的密碼技術(shù)的公共網(wǎng)絡(luò)安全通信服務(wù)用戶身份的認(rèn)證方法，其特征在于1)用戶請求注冊時(shí)，通過互聯(lián)網(wǎng)向密碼中心傳送需要提供密碼服務(wù)的Email地址或即時(shí)通信號碼或標(biāo)識或音頻、視頻聲訊號碼或標(biāo)識，同時(shí)傳送其擁有的手機(jī)號碼或固定電話機(jī)號碼或傳真機(jī)號碼或其他可接受信息的公共付費(fèi)服務(wù)終端標(biāo)識，并設(shè)定一個(gè)注冊密碼，其Email地址或即時(shí)通信號碼或標(biāo)識或音、視頻聲訊號碼或標(biāo)識將被作為用戶的標(biāo)識，該標(biāo)識將被作為公鑰，2)密碼中心收到上述注冊申請后，即按下述方法對用戶提供的信息的有效性進(jìn)行驗(yàn)證①向該用戶的Email地址或QQ號碼或音、視頻聲訊號碼發(fā)送一個(gè)令牌1，一個(gè)令牌是一串隨機(jī)數(shù)字或字符或數(shù)字與字符的組合，②向該用戶擁有的手機(jī)號碼或固定電話機(jī)號碼或傳真機(jī)號碼或其他可接受信息的終端發(fā)送另一個(gè)令牌2，③該用戶收到這兩個(gè)令牌后，按照與收取時(shí)相同的渠道或通過密碼中心的申請確認(rèn)主頁，將兩個(gè)令牌回饋給密碼中心，確認(rèn)其注冊申請，3)密碼中心收到回饋的對應(yīng)于同一用戶的兩個(gè)令牌后，即確認(rèn)該用戶身份有效，其注冊申請為有效申請。
2.如權(quán)利要求1所述的用戶身份認(rèn)證方法，其特征在于密碼中心確認(rèn)用戶身份有效，其注冊申請為有效申請后，通過該用戶手機(jī)或固定電話機(jī)或傳真機(jī)或其他可接受信息的公共付費(fèi)服務(wù)終端標(biāo)識的運(yùn)營商或者通過該用戶提供的信用卡向該用戶收取相應(yīng)的費(fèi)用。
全文摘要
一種基于標(biāo)識的密碼技術(shù)的公共網(wǎng)絡(luò)安全通信服務(wù)用戶身份的認(rèn)證方法，用戶請求注冊時(shí)，向密碼中心傳送其Email地址等服務(wù)標(biāo)識和手機(jī)號等可繳費(fèi)的用戶標(biāo)識，密碼中心向Email地址和手機(jī)等分別發(fā)送牌1、令牌2，用戶及時(shí)將令牌回饋確認(rèn)其注冊申請，密碼中心收到回饋后，即確認(rèn)其為有效申請。本發(fā)明綁定了兩種驗(yàn)證方式，排除了各種無效申請，方法簡單，易于實(shí)施，使得基于標(biāo)識的密碼技術(shù)面向公眾的服務(wù)成為現(xiàn)實(shí)，并可取得較高的社會(huì)效率和經(jīng)濟(jì)效益。
文檔編號H04L9/32GK1697379SQ20051007733
公開日2005年11月16日 申請日期2005年6月22日 優(yōu)先權(quán)日2005年6月22日
發(fā)明者程朝輝, 王李琰 申請人:王李琰, 程朝輝