專利名稱：：一種對用戶設備操作申請進行驗證的方法和系統(tǒng)的制作方法
技術領域：
：本發(fā)明涉及局域網(wǎng)的安全技術，特別是一種在局域網(wǎng)中的實現(xiàn)認證的方法和系統(tǒng)，進一步加強網(wǎng)絡安全。
背景技術：
：隨著越來越多的設備搭載有線和無線通訊功能，居室內(nèi)和辦公區(qū)域內(nèi)的有線/無線設備增多，可以提供不同服務的網(wǎng)絡設備也隨之增加。單獨工作的設備通過網(wǎng)絡彼此連接，在局部區(qū)域內(nèi)組成局域網(wǎng)，使得區(qū)域內(nèi)的設備可以共享數(shù)據(jù)和協(xié)同工作。目前，為網(wǎng)絡安全使用的技術包括網(wǎng)絡接入認證，也就是經(jīng)常使用的ID認證，在此ID包括第三方、TPM(TrustedPlatformModel，可信任平臺模塊)和生物(指紋、虹膜)識別提供的ID。為了保障設備連接和通訊的安全性，需要對網(wǎng)絡上的設備劃歸群組(group),并用群組ID(GroupID)來進行標識。設備通過UUID(UniversalUniqueIdentifier,見US2005/0021793Al)，或者GroupID(見US2002/0184310Al)來劃分所屬的的群組(group)。群組內(nèi)的設備通過ID來區(qū)分組內(nèi)和組外，并在數(shù)據(jù)安全方面形成屏障。對于需要加入群組的設備，必須得到批準，并分配給群組的ID。不論是有線網(wǎng)，還是無線網(wǎng)，每一個網(wǎng)絡上的設備只有通過ID的驗證，才能獲得進入網(wǎng)絡的通行證。然而，每一個網(wǎng)絡結點并不是完全由設備組成，更多的是由人和設備共同組成一個結點，進入網(wǎng)絡的ID是由人來掌控。因此ID就存在被泄露的可能，如網(wǎng)絡ID被借給熟人使用，從而使得陌生人可以自由進入網(wǎng)絡組，造成安全的隱患。當網(wǎng)絡的參加人員增多時，這種潛在泄漏網(wǎng)絡ID的可能性也隨之增加。另外，網(wǎng)絡ID被盜或者被破解同樣嚴重危害網(wǎng)絡和信息的安全。比如使用較短長度的ID，或者使用者姓名、生日等，均較易被盜取和破解。如前所述，單純通過ID認證，不管是第三方認證，還是生物識別認證，都是一種被動的認證方式，其模式是設備提交ID—網(wǎng)絡進行辨識—網(wǎng)絡決策接收(拒絕)—網(wǎng)絡通訊，這是一種單向的接收或者拒絕方式，只要提交的ID沒有問題，網(wǎng)絡的大門就洞開了。因此，有必要提出一種方法或系統(tǒng)，在ID被盜取(猜測)、破解或被非授權人員使用的情況下，局域網(wǎng)絡依然可以識別，并拒絕非法的接入用戶。
發(fā)明內(nèi)容本發(fā)明的目的在于提供一種對用戶設備操作申請進行驗證的方法和系統(tǒng)，解決現(xiàn)有技術中由于ID被盜取(猜測)、破解或被非授權人員使用帶來的網(wǎng)絡安全問題，進一步鞏固網(wǎng)絡的安全。為了實現(xiàn)上述目的，本發(fā)明提供了一種對用戶設備操作申請進行驗證的方法，包括一設備標識和ID驗證的步驟，其中，在設備標識和ID驗證通過的情況下，還包括交互信息驗證步驟，對比所述用戶設備的信息與可信設備的交互信息，并在二者匹配的情況下通過對所述操作申請的驗證，所述交互信息用于記錄可信用戶設備之間的通信行為。上述的方法，其中，所述用戶設備的信息為用戶設備的交互信息或用戶設備的相關信息。為了更好的實現(xiàn)上述目的，本發(fā)明還提供了一種對用戶設備操作申請進行驗證的系統(tǒng)，包括一第一驗證模塊，用于對結合設備標識和ID對所述操作申請進行驗證，其中，還包括交互信息保存模塊，用于記錄交互信息，所述交互信息用于記錄可信用戶設備之間的通信行為；第二驗證模塊，根據(jù)所述用戶設備的信息與可信設備的交互信息對所述操作申請進行驗證；上述的系統(tǒng)，其中，所述用戶設備的信息為用戶設備的交互信息或用戶設備的相關信息。上述的系統(tǒng)，其中，所述交互信息保存模塊設置于中心服務器或設置于每個用戶設備/可信設備。上述的系統(tǒng)，其中，還包括第三驗證模塊，用于在用戶設備交互信息和/或對應可信設備交互信息無法獲取時，根據(jù)用戶設備的其他信息對用戶設備進行驗證；默認交互信息生成模塊，用于在用戶設備通過第三驗證模塊的驗證后生成默認交互信息，并發(fā)送給交互信息保存模塊保存。本發(fā)明的對用戶設備操作申請進行驗證的方法和系統(tǒng)，通過在設備標識和ID驗證通過的情況下，進一步根據(jù)交互信息對用戶設備進行驗證，只有在交互用戶設備的信息與可信設備的交互信息匹配的情況下才能通過驗證，否則進行進一步更加嚴格的驗證，這樣，在用戶ID被盜取、破解、或被非授權人員使用時，大部分情況下，會被拒絕，有效地保護了網(wǎng)絡，鞏固了網(wǎng)絡安全。圖1為本發(fā)明應用的網(wǎng)絡結構示意圖；圖2為本發(fā)明第一實施例的流程示意圖；圖3為本發(fā)明第二實施例的流程示意圖；圖4為本發(fā)明第三實施例的流程示意圖；圖5為本發(fā)明第四實施例的流程示意圖。具體實施例方式為方便描述，在此先對本發(fā)明涉及到的一些概念進行說明。如圖1所示，為本發(fā)明的應用場景的示意圖，包括可信網(wǎng)絡群組，包括有多個已接入的已接入可信設備；待接入設備，準備接入可信網(wǎng)絡群組的用戶設備。本發(fā)明的用戶認證的方法可用于待接入設備接入網(wǎng)絡的認證，同時還可以用于可信任網(wǎng)絡群組內(nèi)部的認證，如更換ID、更換加密算法的認證等。本發(fā)明的用戶認證的方法包括以下步驟步驟S1，設置一交互信息保存模塊，用于記錄交互信息，所述交互信息記錄了可信設備之間的通信行為；步驟S2，用戶設備在申請進行需要驗證的操作時(如接入網(wǎng)絡、更換ID、更換加密算法等)，在網(wǎng)絡標識和網(wǎng)絡接入ID驗證通過的情況下，進一步根據(jù)該待接入設備與其他已接入可信設備的交互信息對該設備的操作的合法性進行判斷，最終決定是否準許該設備進行該申請的操作。上述的交互信息保存模塊可設置于每個設備上，由每個設備單獨保存自身的交互信息，也可設置于一中心服務器，由中心服務器集中保存，也可以同時設置于每個設備和中心服務器。在本發(fā)明的具體實施例部分僅以接入設備的接入網(wǎng)絡認證為例進行詳細的說明。本發(fā)明中對接入設備接入網(wǎng)絡進行認證，包括兩種情況該待接入設備在此次申請接入之前曾經(jīng)接入到可信網(wǎng)絡群組中，與其他已接入可信設備之間有過交互，因此在交互信息保存模塊中記錄有對應的交互信息；及該待接入設備在此之前沒有接入到可信網(wǎng)絡群組中，與其他已接入可信設備之間沒有任何交互，因此在交互信息保存模塊中沒有記錄任何交互信息。下面結合不同的實施例對本發(fā)明進行詳細的說明，為方便描述，在下文均將待接入設備命名為設備X，與設備X有過交互的設備命名為設備Y,在此設備Y可以是一個已接入可信設備，也可以是多個已接入可信設備。<第一實施例>本發(fā)明的第一實施例中，設備X在此次申請接入之前曾經(jīng)接入到可信網(wǎng)絡群組中，與設備Y有過交互記錄，在交互信息保存模塊中記錄有對應的交互信息，同時，本發(fā)明的第一實施例中，根據(jù)從設備X獲取的交互信息進行驗證，如圖2所示，步驟S2具體包括如下步驟步驟S21，設備X發(fā)送設備標識和網(wǎng)絡接入ID，提出接入網(wǎng)絡申請；步驟S22，接收并驗證設備標識和網(wǎng)絡接入ID，判斷是否符合驗證要求，如果是進入步驟S23，否則進入步驟S27;步驟S23，獲取設備X的交互信息，該交互信息記錄了設備X與設備Y之間的通信行為；步驟S24，根據(jù)設備X的交互信息獲取設備Y的相關信息；步驟S25，根據(jù)設備Y的相關信息獲取至少一個設備Y的交互信息，并相應對比設備X的交互信息和設備Y的交互信息，判斷是否匹配，如果匹配進入步驟S26，否則進入步驟S27;步驟S26，允許設備X接入網(wǎng)絡；步驟S27，拒絕設備X接入網(wǎng)絡。當然在步驟S25中，也可以對比設備X的設備標識與設備Y的交互信息中的相關項目(如發(fā)送方或接收方)，判斷是否匹配。<第二實施例>本發(fā)明的第二實施例中，設備X在此之前沒有接入到可信網(wǎng)絡群組中，與其他已接入可信設備之間沒有任何交互，因此在交互信息保存模塊中沒有記錄任何交互信息。同時，本發(fā)明的第二實施例中，也是從設備X獲取交互信息來進行驗證，但由于設備X還沒有接入到可信網(wǎng)絡群組中，沒有相關的交互信息，因此需要通過其他途徑進行驗證的處理，如圖3所示，步驟S2具體包括如下步驟步驟S31，設備X發(fā)送設備標識和網(wǎng)絡接入ID，提出接入網(wǎng)絡申請；步驟S32，接收并設備標識和驗證網(wǎng)絡接入ID,判斷是否符合驗證要求，如果是進入步驟S33，否則進入步驟S39;步驟S33，由于無法獲取從設備X處獲取交互信息，因此改為獲取用戶信息，并利用用戶信息判斷是否為合法用戶，如果是進入步驟S34，否則進入步驟S39;步驟S34，由可信設備的系統(tǒng)管理設備為設備X生成默認的交互信息，并發(fā)送給設備X和設備Y，并通知設備X重新發(fā)起接入驗證；步驟S35，驗證設備標識和網(wǎng)絡接入ID，符合驗證要求；步驟S36，獲取設備X的交互信息，該交互信息為得默認交互信息；步驟S37，根據(jù)設備X的交互信息獲取設備Y的相關信息后進一步獲取設備Y的交互信息，并相應對比設備X的交互信息和設備Y的交互信息，判斷是否匹配，由于二者的交互信息都是默認交互信息，二者之間必然匹配，進入步驟S38;步驟S38，允許設備X接入網(wǎng)絡；步驟S39，拒絕設備X接入網(wǎng)絡。其中，步驟33可以是獲取用戶的其他信息，與現(xiàn)有數(shù)據(jù)庫信息進行對比，判斷用戶是否為合法用戶，這樣，非法用戶即使獲取了設備標識和網(wǎng)絡接入ID的情況下，也無法在步驟33中通過驗證，有效地解決了密碼丟失、被破解、借用等情況造成的網(wǎng)絡安全問題。當然在步驟S37中，也可相應對比設備X的設備標識與設備Y的默認交互信息中的相關項目，判斷是否匹配。當在設備Y中，無法獲取與設備X的交互信息時，那么，設備Y將把設備X的請求提交給設備Y中的supervisor(超級設備)。如果supervisor對設備X的申請準許，那么，會生成事前通訊記錄給設備Y。在本發(fā)明的第二實施例中，對于初次接入的設備，由于其沒有與其他可信設備之間的交互信息，因此，即使在設備標識和網(wǎng)絡接入ID正確的情況下，也需要通過其他的嚴格驗證程序的驗證，才能獲取準許接入到網(wǎng)絡的許可，進一步鞏固了網(wǎng)絡的安全。<第三實施例>在本發(fā)明的第三實施例中，設備X在此次申請接入之前曾經(jīng)接入到可信網(wǎng)絡群組中，與設備Y有過交互記錄，在交互信息保存模塊中記錄有對應的交互信息，同時，本發(fā)明的第三實施例中，根據(jù)從設備Y獲取的交互信息進行驗證，如圖4所示，步驟S2具體包括步驟S41，設備X發(fā)送設備標識和網(wǎng)絡接入ID，提出接入網(wǎng)絡申請；步驟S42，接收并驗證設備標識和網(wǎng)絡接入ID，判斷是否符合驗證要求，如果是進入步驟S43，否則進入步驟S46;步驟S43，根據(jù)設備標識查找與設備X有交互的設備Y，并獲取設備Y的與設備X相關的交互信息；步驟S44，將查找到的設備Y的交互信息與設備X的相關項目進行比較，判斷是否匹配，如果匹配，進入步驟S25，否則進入步驟S26;在此，該相關項目典型的可以是設備X的交互信息，也可以是設備X的設備標識或IP地址等。步驟S45，允許設備X接入網(wǎng)絡；步驟S46，拒絕設備X接入網(wǎng)絡。步驟S44中，也可以是將査找到的設備Y的交互信息與設備X的交互信息判斷是否匹配。步驟S43中，當交互信息保存模塊保存在每個設備上時，可通過查詢設備的交互信息獲取，當交互信息保存模塊保存在中心服務器時，可直接查詢中心服務器的交互信息保存模塊査找到。在此，可通過設備標識進行交互信息的査找，對于固定IP的情況，也可根據(jù)IP進行交互信息的查找。<第四實施例>在本發(fā)明的第四實施例中，設備x在此之前沒有接入到可信網(wǎng)絡群組中，與其他已接入可信設備之間沒有任何交互，因此在交互信息保存模塊中沒有記錄任何交互f言息。同時，本發(fā)明的第四實施例中，根據(jù)從設備Y獲取的交互信息進行驗證，但由于設備X還沒有接入到可信網(wǎng)絡群組中，設備Y也沒有相關的交互信息，因此需要通過其他途徑進行驗證的處理，如圖5所示，步驟S2具體包括步驟S51，設備X發(fā)送設備標識和網(wǎng)絡接入ID，提出接入網(wǎng)絡申請；步驟S52，接收并驗證設備標識和網(wǎng)絡接入ID，判斷是否符合驗證要求，如果是進入步驟S53，否則進入步驟S59;步驟S53，根據(jù)設備標識無法査找到與設備X有交互的設備Y，因此獲取用戶其他信息，并利用用戶其他信息判斷是否為合法用戶，如果是進入步驟S54，否則進入步驟S59;步驟S54，由可信設備的系統(tǒng)管理設備為設備X生成默認的交互信息，發(fā)送給設備X和設備Y，并通知設備X重新發(fā)起接入驗證；步驟S55，驗證設備標識和網(wǎng)絡接入ID，符合驗證要求；步驟S56，根據(jù)設備標識查找與設備X有交互的設備Y，并獲取設備Y的與設備X相關的交互信息；步驟S57，將査找到的設備Y的交互信息與設備X的相關項目進行比較，判斷是否匹配，由于該交互信息為默認交互信息，二者之間必然匹配，進入步驟S58;步驟S58，允許設備X接入網(wǎng)絡；步驟S59，拒絕設備X接入網(wǎng)絡。步驟S57中，也可以是將查找到的設備Y的交互信息與設備X的交互信息進行比較判斷是否匹配。在本發(fā)明的第四實施例中，對于初次接入的設備，由于從其他可信設備無法査找到與該待接入設備之間的交互信息，因此，即使在設備標識和網(wǎng)絡接入ID正確的情況下，也需要通過其他的嚴格驗證程序的驗證，才能獲取準許接入到網(wǎng)絡的許可。交互信息的主要包括以下內(nèi)容發(fā)送方、接收方、日期、時間以及其他的選項，其中發(fā)送方和接收方是必選的，其他內(nèi)容可以選擇與發(fā)送方和接收方組合在一起。其中時間可以是交互的起始時間、結束時間、交互時間長度等信息；其他的選項是對交互的附加描述，如交換數(shù)據(jù)的Hash信息，或數(shù)據(jù)交換的字節(jié)數(shù)等。下表為一個默認的交互信息的示意<table>tableseeoriginaldocumentpage12</column></row><table>上述的交互信息表示，X設備曾經(jīng)與TNA-1發(fā)生過交互，二者之間的數(shù)據(jù)交換的字節(jié)數(shù)為12345Byte。本發(fā)明的對用戶設備操作申請進行驗證的系統(tǒng)，包括第一驗證模塊，用于對結合設備標識和ID對所述操作申請進行驗證；交互信息保存模塊，用于記錄交互信息，所述交互信息用于記錄可信用戶設備之間的通信行為；第二驗證模塊，根據(jù)所述用戶設備的信息與可信設備的交互信息對所述操作申請進行驗證；第三驗證模塊，用于在用戶設備交互信息和/或對應可信設備交互信息無法獲取時，根據(jù)用戶設備的其他信息對用戶設備進行驗證；默認交互信息生成模塊，用于在用戶設備通過第三驗證模塊的驗證后生成默認交互信息，并發(fā)送給交互信息保存模塊保存。以上所述僅是本發(fā)明的優(yōu)選實施方式，應當指出，對于本
技術領域：
的普通技術人員來說，在不脫離本發(fā)明原理的前提下，還可以作出若干改進和潤飾，這些改進和潤飾也應視為本發(fā)明的保護范圍。權利要求1.一種對用戶設備操作申請進行驗證的方法，包括一設備標識和ID驗證的步驟，其特征在于，在設備標識和ID驗證通過的情況下，還包括交互信息驗證步驟，對比所述用戶設備的信息與可信設備的交互信息，并在二者匹配的情況下通過對所述操作申請的驗證，所述交互信息用于記錄可信用戶設備之間的通信行為。2.根據(jù)權利要求1所述的方法，其特征在于，所述用戶設備的信息為用戶設備的交互信息或用戶設備的設備標識。3.根據(jù)權利要求2所述的方法，其特征在于，所述交互信息驗證步驟具體包括步驟A1，在設備標識和ID驗證通過后，獲取用戶設備的交互信息；和步驟A2，根據(jù)用戶設備的交互信息獲取可信設備的相關信息；和步驟A3，根據(jù)可信設備的相關信息獲取至少一個可信設備的交互信息，并對比可信設備的交互信息和用戶設備的交互信息，判斷是否匹配，如果匹配則通過對所述操作申請的驗證，否則拒絕所述操作申請的驗證；或步驟A3'，根據(jù)可信設備的相關信息獲取至少一個可信設備的交互信息,并對比可信設備的交互信息和用戶設備的設備標識，判斷是否匹配，如果匹配則通過對所述操作申請的驗證，否則拒絕所述操作申請的驗證。4.根據(jù)權利要求2所述的方法，其特征在于，所述交互信息驗證步驟具體包括步驟B1，在設備標識和ID驗證通過后，獲取用戶設備的交互信息；步驟B2，所述用戶設備的交互信息不存在，根據(jù)所述用戶設備的用戶信息判斷是否為合法用戶，如果是進入步驟B3，否則進入步驟B5;步驟B3，由可信設備的系統(tǒng)管理設備為所述用戶設備生成默認交互信息，并發(fā)送給所述設備和相應的可信設備，并通知所述用戶設備重新發(fā)起接入驗證；步驟B4，設備標識和ID驗證通過后，根據(jù)所述默認交互信息通過對所述操作申請的驗證；步驟B5，拒絕所述操作申請的驗證。5.根據(jù)權利要求2所述的方法，其特征在于，所述交互信息驗證步驟具體包括步驟C1，査找與用戶設備有交互的可信設備；和步驟C2，獲取可信設備的交互信息；和步驟C3，對比可信設備與用戶設備的交互信息，判斷是否匹配，如果匹配則通過對所述操作申請的驗證，否則拒絕所述操作申請的驗證；或步驟C3'，對比可信設備的交互信息與用戶設備的設備標識，判斷是否匹配，如果匹配則通過對所述操作申請的驗證，否則拒絕所述操作申請的驗證。6.根據(jù)權利要求2所述的方法，其特征在于，所述交互信息驗證步驟具體包括步驟D1，査找與用戶設備有交互的可信設備；步驟D2，無法查找到與用戶設備有交互的可信設備，根據(jù)所述用戶設備的用戶信息判斷是否為合法用戶，如果是進入步驟D3，否則進入步驟D5;步驟D3，由可信設備的系統(tǒng)管理設備為所述用戶設備生成默認交互信息，并發(fā)送給所述設備和相應的可信設備，并通知所述用戶設備重新發(fā)起接入驗證；步驟D4，設備標識和ID驗證通過后，根據(jù)所述默認交互信息通過對所述操作申請的驗證；步驟D5，拒絕所述操作申請的驗證。7.根據(jù)權利要求l、2、3、4、5或6所述的方法，其特征在于，所述交互信息至少包括發(fā)送方和接收方。8.—種對用戶設備操作申請進行驗證的系統(tǒng)，包括一第一驗證模塊，用于對結合設備標識和ID對所述操作申請進行驗證，其特征在于，還包括交互信息保存模塊，用于記錄交互信息，所述交互信息用于記錄可信用戶設備之間的通信行為；第二驗證模塊，根據(jù)所述用戶設備的信息與可信設備的交互信息對所述操作申請進行驗證。9.根據(jù)權利要求8所述的系統(tǒng)，其特征在于，所述用戶設備的信息為用戶設備的交互信息或用戶設備的設備標識。10.根據(jù)權利要求8所述的系統(tǒng)，其特征在于，所述交互信息保存模塊設置于中心服務器或設置于每個用戶設備/可信設備。11.根據(jù)權利要求8所述的系統(tǒng)，其特征在于，還包括第三驗證模塊，用于在用戶設備交互信息和/或對應可信設備交互信息無法獲取時，根據(jù)用戶設備的其他信息對用戶設備進行驗證；默認交互信息生成模塊，用于在用戶設備通過第三驗證模塊的驗證后生成默認交互信息，并發(fā)送給交互信息保存模塊保存。12.根據(jù)權利要求8、9、10或11所述的系統(tǒng)，其特征在于，其特征在于，所述交互信息至少包括發(fā)送方和接收方。全文摘要本發(fā)明公開了一種對用戶設備操作申請進行驗證的方法和系統(tǒng)，其中該方法包括一設備標識和ID驗證的步驟，并在設備標識和ID驗證通過的情況下，還包括交互信息驗證步驟，對比所述用戶設備的信息與可信設備的交互信息，并在二者匹配的情況下通過對所述操作申請的驗證，所述交互信息用于記錄可信用戶設備之間的通信行為。本發(fā)明在設備標識和ID驗證通過的情況下，進一步根據(jù)交互信息對用戶設備進行驗證，在用戶ID被盜取、破解、或被非授權人員使用時，大部分情況下，會被拒絕，有效地保護了網(wǎng)絡，鞏固了網(wǎng)絡安全。文檔編號H04L9/32GK101098230SQ200610094300公開日2008年1月2日申請日期2006年6月29日優(yōu)先權日2006年6月29日發(fā)明者珊姜申請人:聯(lián)想(北京)有限公司