一種結(jié)合隨身安全模塊的移動(dòng)應(yīng)用統(tǒng)一身份認(rèn)證實(shí)現(xiàn)方法
【專利摘要】本發(fā)明涉及一種結(jié)合隨身安全模塊的移動(dòng)應(yīng)用統(tǒng)一身份認(rèn)證實(shí)現(xiàn)方法，屬于信息安全領(lǐng)域。將多功能安全終端與受控的移動(dòng)終端連接，利用移動(dòng)終端的網(wǎng)絡(luò)通過反向連接方式與認(rèn)證服務(wù)器連接并進(jìn)行用戶身份認(rèn)證請(qǐng)求，認(rèn)證請(qǐng)求成功后從認(rèn)證服務(wù)器獲取用戶身份主憑證，并將主憑證存儲(chǔ)到多功能安全終端的安全存儲(chǔ)區(qū)；多功能安全終端可以同時(shí)與同一用戶多臺(tái)受控的移動(dòng)終端進(jìn)行連接，通過接收到訪問特定移動(dòng)應(yīng)用請(qǐng)求并攜帶用戶身份主憑證再到認(rèn)證服務(wù)器獲取訪問特定應(yīng)用資源的應(yīng)用憑證，移動(dòng)終端通過應(yīng)用憑證即可訪問特定移動(dòng)應(yīng)用系統(tǒng)。本發(fā)明可防止木馬等惡意軟件在移動(dòng)終端不知情的情況下隨意訪問各種移動(dòng)應(yīng)用系統(tǒng)資源與數(shù)據(jù)，提高安全性。
【專利說明】一種結(jié)合隨身安全模塊的移動(dòng)應(yīng)用統(tǒng)一身份認(rèn)證實(shí)現(xiàn)方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及一種結(jié)合隨身安全模塊的移動(dòng)應(yīng)用統(tǒng)一身份認(rèn)證實(shí)現(xiàn)方法，屬于信息安全領(lǐng)域。
【背景技術(shù)】
[0002]身份認(rèn)證是在計(jì)算機(jī)網(wǎng)絡(luò)中確認(rèn)操作者身份的過程，身份認(rèn)證是信息安全中最基本最重要的環(huán)節(jié)，即使將授權(quán)、保密性、完整性、不可否認(rèn)等環(huán)節(jié)做得很完善，但如果非法用戶盜用了合法用戶的賬號(hào)和口令并登錄系統(tǒng)，系統(tǒng)仍然識(shí)別為合法用戶，并給予相應(yīng)的訪問權(quán)限，系統(tǒng)資源與企業(yè)數(shù)據(jù)將完全暴露，給企業(yè)帶來巨大損失。
[0003]同時(shí)，隨著企業(yè)應(yīng)用系統(tǒng)的不斷增加，用戶在訪問每個(gè)應(yīng)用系統(tǒng)時(shí)需要記憶大量的用戶名和密碼，并且重復(fù)輸入，這種應(yīng)用系統(tǒng)的訪問方式不但使用上及其不便利，而且極易造成密碼信息泄露而導(dǎo)致大量信息安全問題，使企業(yè)蒙受巨大損失，統(tǒng)一身份認(rèn)證方案便是一種能解決上述問題的辦法。利用統(tǒng)一身份認(rèn)證技術(shù)，用戶在統(tǒng)一用戶身份認(rèn)證入口進(jìn)行一次用戶身份信息檢驗(yàn)并成功后，并可以獲取用戶身份主憑證，當(dāng)用戶需要訪問某個(gè)特定應(yīng)用系統(tǒng)時(shí)，出于高安全性考慮，需要進(jìn)一步利用用戶身份主憑證并向認(rèn)證服務(wù)器請(qǐng)求訪問特定應(yīng)用系統(tǒng)資源的應(yīng)用憑證。理論上用戶獲取用戶身份主憑證后便可登錄和訪問該用戶已授權(quán)的應(yīng)用系統(tǒng)資源和數(shù)據(jù)，由此可見，用戶身份主憑證的安全性尤為重要，需要對(duì)其進(jìn)行加強(qiáng)保護(hù)。
[0004]目前企業(yè)為提高身份認(rèn)證強(qiáng)度，多采用基于硬件數(shù)字證書的雙因素身份認(rèn)證，雙因素身份認(rèn)證即通過用戶所能擁有的(硬件數(shù)字證書)再加上用戶所知道的(PIN碼)這二個(gè)要素組合到一起才能發(fā)揮作用的身份認(rèn)證方式。硬件數(shù)字證書身份認(rèn)證設(shè)備的基本原理和步驟為，硬件數(shù)字證書通過移動(dòng)終端提供的數(shù)據(jù)通訊接口與移動(dòng)終端進(jìn)行連接，在SSL協(xié)議的基礎(chǔ)上，當(dāng)用戶在移動(dòng)終端提出身份認(rèn)證請(qǐng)求后，硬件數(shù)字證書身份認(rèn)證設(shè)備會(huì)響應(yīng)請(qǐng)求計(jì)算數(shù)字簽名，并將簽名結(jié)果送出，客戶端和服務(wù)器端分別驗(yàn)證對(duì)方證書的合法性和簽名的正確性，若簽名和證書都驗(yàn)證可信，則身份認(rèn)證成功，否則身份認(rèn)證失敗。
[0005]硬件數(shù)字證書認(rèn)證設(shè)備是基于智能卡芯片，集成了各種算法的協(xié)處理器，內(nèi)部嵌入智能卡操作系統(tǒng)軟件(COS)并具有安全存儲(chǔ)特性的安全設(shè)備，但是這種身份認(rèn)證方法特別是在移動(dòng)終端中使用時(shí)仍然存在以下安全隱患:
[0006]移動(dòng)終端易受到惡意軟件侵害與黑客攻擊，當(dāng)用戶提出身份認(rèn)證請(qǐng)求而需要進(jìn)行數(shù)字簽名運(yùn)算時(shí)，移動(dòng)終端上的木馬程序也可以提出同樣的請(qǐng)求，提出請(qǐng)求后硬件數(shù)字證書身份認(rèn)證設(shè)備會(huì)響應(yīng)請(qǐng)求計(jì)算數(shù)字簽名，并將簽名結(jié)果送出，木馬有了數(shù)字簽名就能騙過服務(wù)器的身份信息檢驗(yàn)。同時(shí)，基于硬件數(shù)字證書進(jìn)行身份認(rèn)證成功后，服務(wù)器端會(huì)給用戶返回用戶身份主憑證信息，該主憑證信息會(huì)存儲(chǔ)在移動(dòng)終端上，很容易被移動(dòng)終端上的木馬或惡意程序竊取，并在用戶不知情的情況下濫用用戶身份主憑證進(jìn)行非法訪問和操作應(yīng)用系統(tǒng)，隨意竊取、篡改企業(yè)的敏感數(shù)據(jù)。
【發(fā)明內(nèi)容】
[0007]針對(duì)現(xiàn)有移動(dòng)終端基于硬件數(shù)字證書進(jìn)行用戶身份認(rèn)證方法的不足之處，本發(fā)明提供一種結(jié)合隨身安全模塊的移動(dòng)應(yīng)用統(tǒng)一身份認(rèn)證實(shí)現(xiàn)方法，隨身安全模塊可以是多功能安全終端、智能密碼鑰匙或其他具備同等功能的安全模塊。將移動(dòng)應(yīng)用統(tǒng)一身份認(rèn)操作由安全可信的隨身安全模塊主動(dòng)發(fā)起，配合隨身安全模塊的用戶確認(rèn)功能和用戶身份主憑證保護(hù)機(jī)制，借助安全信道，同時(shí)對(duì)同一用戶的多臺(tái)移動(dòng)終端提供應(yīng)用層認(rèn)證服務(wù)，從而有效防止了移動(dòng)終端上的木馬等惡意程序在用戶不知情的情況下獲取數(shù)字簽名來騙取用戶服務(wù)器認(rèn)證憑證，或是直接從移動(dòng)終端上竊取用戶身份主憑證，增加移動(dòng)應(yīng)用系統(tǒng)用戶身份認(rèn)證過程的安全性和便利性。
[0008]所述實(shí)現(xiàn)方法包括:將隨身安全模塊與受控的移動(dòng)終端連接，隨身安全模塊利用移動(dòng)終端的網(wǎng)絡(luò)通過反向連接的方式與認(rèn)證服務(wù)器連接并進(jìn)行用戶身份認(rèn)證請(qǐng)求，用戶身份認(rèn)證請(qǐng)求成功后從認(rèn)證服務(wù)器獲取用戶身份主憑證，并將用戶身份主憑證存儲(chǔ)到隨身安全模塊的安全存儲(chǔ)區(qū)；隨身安全模塊可以同時(shí)與同一用戶的多臺(tái)受控的移動(dòng)終端進(jìn)行連接，任一已連接的移動(dòng)終端均可向獲取了用戶身份主憑證的隨身安全模塊請(qǐng)求訪問特定移動(dòng)應(yīng)用系統(tǒng)，隨身安全模塊通過接收到訪問特定移動(dòng)應(yīng)用請(qǐng)求并攜帶用戶身份主憑證再到認(rèn)證服務(wù)器獲取訪問特定應(yīng)用資源的應(yīng)用憑證，并將應(yīng)用憑證返回給移動(dòng)終端，移動(dòng)終端通過應(yīng)用憑證即可訪問特定移動(dòng)應(yīng)用系統(tǒng)。
[0009]本發(fā)明實(shí)現(xiàn)步驟為:
[0010]步驟一、構(gòu)建移動(dòng)用戶身份映射；
[0011]步驟二、通過步驟一集中身份管理與統(tǒng)一認(rèn)證系統(tǒng)進(jìn)行移動(dòng)用戶身份映射后，通過隨身安全模塊的數(shù)字證書更新功能進(jìn)行移動(dòng)應(yīng)用用戶數(shù)字證書的下載，移動(dòng)數(shù)字證書下載包括第2.1步至第2.3步，具體為:
[0012]第2.1步:在隨身安全模塊正常運(yùn)行過程中，用戶通過觸摸屏和某個(gè)系統(tǒng)接口，向用戶交互模塊發(fā)送數(shù)字證書下載指令和證書信息；
[0013]第2.2步:隨身安全模塊的用戶交互模塊根據(jù)接收到的數(shù)字證書下載指令和證書信息，調(diào)用應(yīng)用級(jí)接口集成模塊中對(duì)應(yīng)的應(yīng)用級(jí)數(shù)字證書更新接口 ；
[0014]第2.3步:應(yīng)用級(jí)數(shù)字證書更新接口將上層應(yīng)用發(fā)來的證書信息傳遞到數(shù)字證書管理模塊，由數(shù)字證書管理模塊對(duì)信息進(jìn)行鑒別并分別處理:
[0015]如果是合法的數(shù)字證書，則執(zhí)行下載操作，并將下載成功的提示信息逐級(jí)反饋至隨身安全模塊的顯示屏；
[0016]如果是非法的數(shù)字證書，則放棄下載操作，并將下載失敗的提示信息逐級(jí)反饋至隨身安全模塊的顯示屏。進(jìn)行移動(dòng)數(shù)字證書下載；
[0017]步驟三、連入移動(dòng)終端管理系統(tǒng)對(duì)移動(dòng)終端進(jìn)行管控；首先，可連入移動(dòng)終端管理系統(tǒng)對(duì)移動(dòng)終端進(jìn)行登記注冊(cè)，用戶也可以選擇自助注冊(cè)方式進(jìn)行登記注冊(cè)，并通過移動(dòng)終端的設(shè)備序列號(hào)作為移動(dòng)終端的唯一標(biāo)識(shí)；然后，移動(dòng)終端通過主動(dòng)下載或是接收可連入移動(dòng)終端管理系統(tǒng)推送的設(shè)備證書，接下來，在移動(dòng)終端進(jìn)行設(shè)備證書的導(dǎo)入與安裝，此方法為軟證書方式，亦可根據(jù)安全需要選擇移動(dòng)硬件數(shù)字證書方式；移動(dòng)終端只有在可連入移動(dòng)終端管理系統(tǒng)進(jìn)行登記注冊(cè)，并安裝了可連入移動(dòng)終端管理系統(tǒng)下發(fā)的設(shè)備證書，方可被視為安全可靠的移動(dòng)終端，允許與隨身安全模塊進(jìn)行連接并組建安全信道；
[0018]步驟四、隨身安全模塊與移動(dòng)終端建立連接；具體為:
[0019]第4.1步:在隨身安全模塊正常運(yùn)行過程中，用戶通過觸摸屏，選擇欲采用的系統(tǒng)接口，向用戶交互模塊發(fā)送連接建立指令；
[0020]優(yōu)選的，隨身安全模塊上選擇系統(tǒng)接口的順序是藍(lán)牙、W1-F1、USB接口 ；
[0021]第4.2步:用戶交互模塊根據(jù)接收到的連接建立指令和欲采用的系統(tǒng)接口信息，調(diào)用應(yīng)用級(jí)接口集成模塊中具體的應(yīng)用級(jí)連接建立接口 ；
[0022]第4.3步:應(yīng)用級(jí)連接建立接口根據(jù)系統(tǒng)接口類型，調(diào)用連接管理模塊中對(duì)應(yīng)的設(shè)備掃描子模塊，發(fā)現(xiàn)所有可用的移動(dòng)終端，形成列表并逐級(jí)返回至隨身安全模塊的觸摸屏，供用戶選擇；
[0023]第4.4步:用戶的選擇結(jié)果反饋給應(yīng)用級(jí)連接建立接口，由應(yīng)用級(jí)連接建立接口根據(jù)系統(tǒng)接口類型，一方面，調(diào)用連接管理模塊中對(duì)應(yīng)的設(shè)備連接子模塊，另一方面，通過所選接口向移動(dòng)終端發(fā)送連接建立指令，等待其反饋；
[0024]步驟五、隨身安全模塊根據(jù)對(duì)步驟四中移動(dòng)終端的反饋結(jié)果分別處理如下:
[0025]如果連接建立成功，更新連接管理模塊的連接列表，記錄新建連接的系統(tǒng)接口和對(duì)應(yīng)移動(dòng)終端的基本信息、狀態(tài)信息等，并將新建連接的基本信息逐級(jí)反饋至隨身安全模塊的顯示屏；
[0026]如果連接建立失敗，給出提示信息并逐級(jí)反饋至隨身安全模塊的顯示屏；
[0027]步驟六、隨身安全模塊與移動(dòng)終端組建安全信道；具體為:
[0028]第6.1步:在隨身安全模塊正常運(yùn)行過程中，用戶在移動(dòng)終端側(cè)，通過隨身安全模塊和移動(dòng)終端間某個(gè)已建立的連接，向用戶交互模塊發(fā)送安全信道組建指令；
[0029]第6.2步:用戶交互模塊根據(jù)接收到的安全信道組建指令和對(duì)應(yīng)的系統(tǒng)接口信息，調(diào)用應(yīng)用級(jí)接口集成模塊中具體的應(yīng)用級(jí)安全信道組建接口 ；
[0030]第6.3步:應(yīng)用級(jí)安全信道組建接口根據(jù)系統(tǒng)接口類型，通過已建立的連接向移動(dòng)終端發(fā)送安全信道組建指令，等待其反饋；
[0031]第6.4步:隨身安全模塊的應(yīng)用級(jí)安全信道組建接口根據(jù)移動(dòng)終端的反饋結(jié)果，處理如下:
[0032]如果移動(dòng)終端上安全信道創(chuàng)建失敗，給出提示信息并逐級(jí)反饋至智能移動(dòng)終端，然后結(jié)束操作；
[0033]如果移動(dòng)終端上安全信道創(chuàng)建成功，則調(diào)用安全信道模塊中對(duì)應(yīng)的安全信道組建子模塊，利用隨身安全模塊和智能移動(dòng)終端間已建立的連接，組建它們之間的安全信道，繼續(xù)執(zhí)行第6.5步；
[0034]第6.5步:在安全信道管理模塊的安全信道列表中添加一條信息，用來記錄所連接移動(dòng)終端的標(biāo)識(shí)和系統(tǒng)接口等內(nèi)容，并將安全信道組建成功的信息反饋至移動(dòng)終端；
[0035]步驟七、隨身安全模塊發(fā)起用戶身份認(rèn)證，具體為:
[0036]第7.1步:隨身安全模塊與安全可信的移動(dòng)終端通過建立連接并組建安全信道；
[0037]第7.2步:隨身安全模塊接收到移動(dòng)終端發(fā)送的身份認(rèn)證請(qǐng)求，并在顯示屏上啟動(dòng)認(rèn)證口令輸入界面，認(rèn)證口令可以是數(shù)字PIN碼、九宮格解鎖、圖案解鎖等多種方式
[0038]第7.3步:用戶在認(rèn)證口令輸入界面輸入認(rèn)證口令，隨身安全模塊后臺(tái)認(rèn)證程序獲取用戶輸入的認(rèn)證口令；
[0039]第7.4步:隨身安全模塊檢驗(yàn)用戶輸入的認(rèn)證口令的合法性，即用戶輸入的認(rèn)證口令與隨身安全模塊中存儲(chǔ)的認(rèn)證口令是否一致；如果相同，則進(jìn)入7.5步，否則返回到7.2步；
[0040]第7.5步:隨身安全模塊通過移動(dòng)終端的網(wǎng)絡(luò)使用反向連接的方式與認(rèn)證服務(wù)器進(jìn)行連接通訊，并向認(rèn)證服務(wù)器發(fā)起用戶身份認(rèn)證的請(qǐng)求；
[0041]第7.6步:認(rèn)證服務(wù)器根據(jù)隨身安全模塊通的認(rèn)證請(qǐng)求進(jìn)行用戶身份認(rèn)證，包含隨身安全模塊中證書有效性以及用戶信息的有效性檢驗(yàn)；如果認(rèn)證成功，則進(jìn)入7.7步，否則直接結(jié)束認(rèn)證流程；
[0042]第7.7步:隨身安全模塊身份認(rèn)證成功后，從認(rèn)證服務(wù)器獲取用戶身份主憑證，并將用戶身份主憑證存儲(chǔ)到隨身安全模塊的安全存儲(chǔ)區(qū)加以保護(hù)；
[0043]步驟八、功能安全終端發(fā)起用戶身份認(rèn)證并認(rèn)證成功獲取用戶身份主憑證后，移動(dòng)終端并可通過隨身安全模塊向認(rèn)證服務(wù)器請(qǐng)求訪問特定移動(dòng)應(yīng)用資源的應(yīng)用憑證，具體為:
[0044]第8.1步:隨身安全模塊與安全可信的移動(dòng)終端通過建立連接并組建安全信道；
[0045]第8.2步:隨身安全模塊接收到移動(dòng)終端發(fā)起的訪問特定移動(dòng)應(yīng)用資源的請(qǐng)求，通過移動(dòng)終端的網(wǎng)絡(luò)使用反向連接的方式與認(rèn)證服務(wù)器進(jìn)行連接通訊，并攜帶用戶身份主憑證和特定應(yīng)用資源的唯一標(biāo)識(shí)，向認(rèn)證服務(wù)器發(fā)起訪問特定移動(dòng)應(yīng)用資源的應(yīng)用認(rèn)證請(qǐng)求；
[0046]第8.3步:認(rèn)證服務(wù)器接收到8.2步的認(rèn)證請(qǐng)求后，并在認(rèn)證服務(wù)器用戶授權(quán)管理模塊中的用戶與可訪問應(yīng)用資源列表中進(jìn)行查找以判斷應(yīng)用認(rèn)證是否成功，隨身安全模塊根據(jù)認(rèn)證服務(wù)器的反饋結(jié)果分別處理如下:
[0047]如果應(yīng)用認(rèn)證成功，隨身安全模塊將接收到認(rèn)證服務(wù)器返回的應(yīng)用憑證，并將應(yīng)用憑證再返回給移動(dòng)終端，移動(dòng)終端通過應(yīng)用憑證即可訪問特定的移動(dòng)應(yīng)用資源；
[0048]如果應(yīng)用認(rèn)證失敗，隨身安全模塊將認(rèn)證失敗信息返回給移動(dòng)終端。
[0049]進(jìn)一步的，移動(dòng)應(yīng)用統(tǒng)一身份認(rèn)證實(shí)現(xiàn)方法應(yīng)與企業(yè)現(xiàn)有信息安全防護(hù)體系緊密結(jié)合，充分利用并擴(kuò)展企業(yè)已有的信息安全基礎(chǔ)設(shè)施與資源，建立企業(yè)統(tǒng)一完備的信息安全防護(hù)體系。具體的，移動(dòng)應(yīng)用統(tǒng)一身份認(rèn)證實(shí)現(xiàn)方法可在企業(yè)已經(jīng)建立的統(tǒng)一權(quán)威的公共密鑰體系(PKI)基礎(chǔ)設(shè)施以及集中的用戶身份管理及統(tǒng)一認(rèn)證服務(wù)平臺(tái)的基礎(chǔ)上進(jìn)行擴(kuò)展完善。由于移動(dòng)應(yīng)用所處的安全環(huán)境與企業(yè)內(nèi)部局域網(wǎng)不同，出于隔離企業(yè)內(nèi)外網(wǎng)安全風(fēng)險(xiǎn)、避免移動(dòng)終端和隨身安全模塊丟失影響日常工作等方面的考慮，移動(dòng)應(yīng)用和企業(yè)內(nèi)部局域網(wǎng)應(yīng)用采用兩套認(rèn)證憑證(PC端使用USB Key證書，智能終端使用隨身安全模塊封裝證書)，并在集中身份管理與統(tǒng)一認(rèn)證系統(tǒng)中增加用戶移動(dòng)應(yīng)用“映射身份”的方式實(shí)現(xiàn)內(nèi)部USBKey和外部移動(dòng)應(yīng)用Key等兩套相互隔離但又相對(duì)應(yīng)統(tǒng)一的數(shù)字證書體系。用戶移動(dòng)應(yīng)用“映射身份”可通過為用戶主賬戶生成一個(gè)虛擬的移動(dòng)應(yīng)用主賬戶，兩者為從屬關(guān)系，或采用其他方式進(jìn)行身份映射均可。
[0050]有益效果
[0051]本發(fā)明專利提供了一種結(jié)合隨身安全模塊的移動(dòng)應(yīng)用統(tǒng)一身份認(rèn)證實(shí)現(xiàn)方法，具有以下優(yōu)點(diǎn):
[0052](I)跨平臺(tái)性。本發(fā)明專利所述隨身安全模塊采用平臺(tái)無關(guān)語言編寫了豐富的應(yīng)用級(jí)接口，確保了隨身安全模塊可以與其他各種平臺(tái)的移動(dòng)終端通過無線連接并組建安全信道進(jìn)行正常通信，即各種平臺(tái)的移動(dòng)終端均可使用本發(fā)明專利的移動(dòng)應(yīng)用統(tǒng)一身份認(rèn)證實(shí)現(xiàn)方法。
[0053](2)高安全性。隨身安全模塊進(jìn)行用戶身份成功后接收到的用戶身份主憑證保存在隨身安全模塊的安全存儲(chǔ)區(qū)，所有認(rèn)證操作及應(yīng)用單點(diǎn)登錄均在設(shè)備中完成，僅對(duì)外提供應(yīng)用級(jí)的認(rèn)證服務(wù)接口，減少了移動(dòng)終端中病毒、木馬而導(dǎo)致用戶身份欺詐的威脅；同時(shí)隨身安全模塊與移動(dòng)終端之間的安全信道以及隨身安全模塊與認(rèn)證服務(wù)器之間的通信都采用雙向SSL認(rèn)證的方式，從而保證了連接雙方的可信任性與通信信道的安全性。
[0054](3)便捷性。隨身安全模塊通過無線方式與移動(dòng)終端進(jìn)行連接，較傳統(tǒng)的移動(dòng)硬件數(shù)字證書使用上更便捷，同時(shí)隨身安全模塊可支持同一用戶的多臺(tái)移動(dòng)終端，實(shí)現(xiàn)認(rèn)證信息的共享，用戶操作更便捷。
[0055]利用本發(fā)明可以有效保護(hù)用戶身份主憑證，防止木馬等惡意軟件在移動(dòng)終端不知情的情況下隨意訪問各種移動(dòng)應(yīng)用系統(tǒng)資源與數(shù)據(jù)，同時(shí)隨身安全模塊可同時(shí)支持同一用戶的多臺(tái)且不同平臺(tái)的移動(dòng)終端，該方法為移動(dòng)應(yīng)用統(tǒng)一身份認(rèn)證提高安全性的同時(shí)也增強(qiáng)了用戶體驗(yàn)。
【專利附圖】
【附圖說明】
[0056]圖1本發(fā)明專利的結(jié)合多功能安全終端的移動(dòng)應(yīng)用統(tǒng)一身份認(rèn)證實(shí)現(xiàn)方法體系架構(gòu)圖
[0057]圖2本發(fā)明專利中多功能安全終端發(fā)起用戶身份認(rèn)證操作的流程圖
[0058]圖3身份管理系統(tǒng)中映射員工移動(dòng)身份信息的具體方案圖
[0059]實(shí)施實(shí)施方式
[0060]下面結(jié)合附圖和具體實(shí)施例，對(duì)本發(fā)明做進(jìn)一步的詳細(xì)描述。
[0061]以下實(shí)施例中的隨身安全模塊為一款多功能安全終端，多功能安全終端是一種實(shí)現(xiàn)移動(dòng)終端安全可信的裝置，其主要模塊包括:用戶交互模塊、應(yīng)用級(jí)接口集成模塊、安全信道模塊、連接管理模塊，以及主要由智能卡芯片負(fù)責(zé)的數(shù)字證書管理模塊和信息安全處理模塊。多功能安全終端具有跨平臺(tái)性和高安全性等特點(diǎn)，設(shè)備上的智能操作系統(tǒng)，根據(jù)應(yīng)用需要進(jìn)行了裁剪，強(qiáng)化了設(shè)備驅(qū)動(dòng)，擴(kuò)展了藍(lán)牙連接模塊，并采用平臺(tái)無關(guān)語言編寫了豐富的應(yīng)用級(jí)接口，確保了多功能安全終端可以與其他各種平臺(tái)的移動(dòng)終端進(jìn)行正常通信；設(shè)備利用智能卡芯片，對(duì)數(shù)字證書進(jìn)行了封存和加固；在可信關(guān)系建立方式上，以自身為主導(dǎo)，借助安全信道，實(shí)現(xiàn)了可信服務(wù)器對(duì)移動(dòng)終端的可信度判斷，繞開了移動(dòng)終端，避開了潛在的危險(xiǎn)，實(shí)現(xiàn)方式更加安全可信。
[0062]所述實(shí)現(xiàn)方法如圖1所示，所述實(shí)現(xiàn)方法包括:將多功能安全終端與受控的移動(dòng)終端連接，所述多功能安全終端利用移動(dòng)終端的網(wǎng)絡(luò)通過反向連接的方式與認(rèn)證服務(wù)器連接并進(jìn)行用戶身份認(rèn)證請(qǐng)求，用戶身份認(rèn)證請(qǐng)求成功后從認(rèn)證服務(wù)器獲取用戶身份主憑證，并將用戶身份主憑證存儲(chǔ)到多功能安全終端的安全存儲(chǔ)區(qū)；多功能安全終端可以同時(shí)與同一用戶的多臺(tái)受控的移動(dòng)終端進(jìn)行連接，任一已連接的移動(dòng)終端均可向獲取了用戶身份主憑證的多功能安全終端請(qǐng)求訪問特定移動(dòng)應(yīng)用系統(tǒng)，多功能安全終端通過接收到訪問特定移動(dòng)應(yīng)用請(qǐng)求并攜帶用戶身份主憑證再到認(rèn)證服務(wù)器獲取訪問特定應(yīng)用資源的應(yīng)用憑證，并將應(yīng)用憑證返回給移動(dòng)終端，移動(dòng)終端通過應(yīng)用憑證即可訪問特定移動(dòng)應(yīng)用系統(tǒng)。利用本發(fā)明可以有效保護(hù)用戶身份主憑證，防止木馬等惡意軟件在移動(dòng)終端不知情的情況下隨意訪問各種移動(dòng)應(yīng)用系統(tǒng)資源與數(shù)據(jù)，同時(shí)多功能安全終端可同時(shí)支持同一用戶的多臺(tái)且不同平臺(tái)的移動(dòng)終端，該方法為移動(dòng)應(yīng)用統(tǒng)一身份認(rèn)證提高安全性的同時(shí)也增強(qiáng)了用戶體驗(yàn)。
[0063]根據(jù)步驟一、移動(dòng)應(yīng)用統(tǒng)一身份認(rèn)證實(shí)現(xiàn)方法可在企業(yè)已經(jīng)建立的統(tǒng)一權(quán)威的公共密鑰體系(PKI)基礎(chǔ)設(shè)施以及集中的用戶身份管理及統(tǒng)一認(rèn)證服務(wù)平臺(tái)的基礎(chǔ)上進(jìn)行擴(kuò)展完善。由于移動(dòng)應(yīng)用所處的安全環(huán)境與企業(yè)內(nèi)部局域網(wǎng)不同，出于隔離企業(yè)內(nèi)外網(wǎng)安全風(fēng)險(xiǎn)、避免移動(dòng)終端和多功能安全終端丟失影響日常工作等方面的考慮，移動(dòng)應(yīng)用和企業(yè)內(nèi)部局域網(wǎng)應(yīng)用采用兩套認(rèn)證憑證(PC端使用USB Key證書，智能終端使用多功能安全終端封裝證書)，并在集中身份管理與統(tǒng)一認(rèn)證系統(tǒng)中增加用戶移動(dòng)應(yīng)用“映射身份”的方式實(shí)現(xiàn)內(nèi)部USB Key和外部移動(dòng)應(yīng)用Key等兩套相互隔離但又相對(duì)應(yīng)統(tǒng)一的數(shù)字證書體系。用戶移動(dòng)應(yīng)用“映射身份”可通過為用戶主賬戶生成一個(gè)虛擬的移動(dòng)應(yīng)用主賬戶，兩者為從屬關(guān)系。在企業(yè)集中身份管理系統(tǒng)中映射員工移動(dòng)身份信息的具體方案如圖3所示；
[0064]根據(jù)步驟二、通過集中身份管理與統(tǒng)一認(rèn)證系統(tǒng)進(jìn)行移動(dòng)用戶身份映射后，通過多功能安全終端的數(shù)字證書更新功能進(jìn)行移動(dòng)應(yīng)用用戶數(shù)字證書的下載，移動(dòng)數(shù)字證書下載包括第2.1步至第2.3步，具體為:
[0065]第2.1步:在多功能安全終端正常運(yùn)行過程中，用戶通過觸摸屏和下載證書的系統(tǒng)接口，向用戶交互模塊發(fā)送數(shù)字證書下載指令和證書信息；
[0066]第2.2步:多功能安全終端的用戶交互模塊根據(jù)接收到的數(shù)字證書下載指令和證書信息，調(diào)用應(yīng)用級(jí)接口集成模塊中對(duì)應(yīng)的應(yīng)用級(jí)數(shù)字證書更新接口 ；
[0067]第213步:應(yīng)用級(jí)數(shù)字證書更新接口將上層應(yīng)用發(fā)來的證書信息傳遞到數(shù)字證書管理模塊，由數(shù)字證書管理模塊對(duì)信息進(jìn)行鑒別并分別處理:
[0068]如果是合法的數(shù)字證書，則執(zhí)行下載操作，并將下載成功的提示信息逐級(jí)反饋至多功能安全終端的顯示屏；
[0069]如果是非法的數(shù)字證書，則放棄下載操作，并將下載失敗的提示信息逐級(jí)反饋至多功能安全終端的顯示屏。
[0070]根據(jù)步驟三、為保證連入多功能安全終端的移動(dòng)終端的可靠性與安全性，部署移動(dòng)設(shè)備管理系統(tǒng)(Mobile Device Management)對(duì)移動(dòng)終端進(jìn)行管控。首先，可移動(dòng)設(shè)備管理系統(tǒng)對(duì)移動(dòng)終端進(jìn)行登記注冊(cè)，用戶也可以選擇自助注冊(cè)方式進(jìn)行登記注冊(cè)，并通過移動(dòng)終端的設(shè)備序列號(hào)作為移動(dòng)終端的唯一標(biāo)識(shí)；然后，移動(dòng)終端通過主動(dòng)下載或是接收可連入移動(dòng)設(shè)備管理系統(tǒng)推送的設(shè)備證書，接下來，在移動(dòng)終端進(jìn)行設(shè)備證書的導(dǎo)入與安裝，此方法為軟證書方式，亦可根據(jù)安全需要選擇移動(dòng)硬件數(shù)字證書方式。移動(dòng)終端只有在移動(dòng)設(shè)備管理系統(tǒng)進(jìn)行登記注冊(cè)，并安裝了移動(dòng)設(shè)備管理系統(tǒng)下發(fā)的設(shè)備證書，方可被視為安全可靠的移動(dòng)終端，允許與多功能安全終端進(jìn)行連接并組建安全信道。
[0071]根據(jù)步驟四、多功能安全終端與移動(dòng)終端建立連接的流程包括第4.1步至第4.4步，具體為:
[0072]第4.1步:在多功能安全終端正常運(yùn)行過程中，用戶通過觸摸屏，通過藍(lán)牙傳輸接口方式，向用戶交互模塊發(fā)送連接建立指令；
[0073]第4.2步:用戶交互模塊根據(jù)接收到的連接建立指令和藍(lán)牙接口信息，調(diào)用應(yīng)用級(jí)接口集成模塊中具體的應(yīng)用級(jí)連接建立接口；
[0074]第4.3步:應(yīng)用級(jí)連接建立接口根據(jù)系統(tǒng)接口類型，調(diào)用連接管理模塊中對(duì)應(yīng)的設(shè)備掃描子模塊，發(fā)現(xiàn)所有可用的移動(dòng)終端，形成列表并逐級(jí)返回至多功能安全終端的觸摸屏，供用戶選擇；
[0075]第4.4步:用戶的選擇結(jié)果反饋給應(yīng)用級(jí)連接建立接口，由應(yīng)用級(jí)連接建立接口根據(jù)系統(tǒng)接口類型，一方面，調(diào)用連接管理模塊中對(duì)應(yīng)的設(shè)備連接子模塊，另一方面，通過所選接口向移動(dòng)終端發(fā)送連接建立指令，等待其反饋。
[0076]根據(jù)步驟五、多功能安全終端根據(jù)建立連接的成功與否，更新連接管理模塊的連接列表，記錄新建連接的系統(tǒng)接口和對(duì)應(yīng)移動(dòng)終端的基本信息、狀態(tài)信息等，并將新建連接的基本信息逐級(jí)反饋至多功能安全終端的顯示屏。
[0077]根據(jù)步驟六、多功能安全終端與移動(dòng)終端組建安全信道流程包括第6.1步至第
6.5步，具體為:
[0078]第6.1步:在多功能安全終端正常運(yùn)行過程中，用戶在移動(dòng)終端側(cè)，通過多功能安全終端和移動(dòng)終端間某個(gè)已建立的連接，向用戶交互模塊發(fā)送安全信道組建指令；
[0079]第6.2步:用戶交互模塊根據(jù)接收到的安全信道組建指令和對(duì)應(yīng)的系統(tǒng)接口信息，調(diào)用應(yīng)用級(jí)接口集成模塊中具體的應(yīng)用級(jí)安全信道組建接口 ；
[0080]第6.3步:應(yīng)用級(jí)安全信道組建接口根據(jù)系統(tǒng)接口類型，通過已建立的連接向移動(dòng)終端發(fā)送安全信道組建指令，等待其反饋；
[0081]第6.4步:多功能安全終端的應(yīng)用級(jí)安全信道組建接口根據(jù)移動(dòng)終端的反饋結(jié)果，處理如下:
[0082]如果移動(dòng)終端上安全信道創(chuàng)建失敗，給出提示信息并逐級(jí)反饋至移動(dòng)終端，然后結(jié)束操作；
[0083]如果移動(dòng)終端上安全信道創(chuàng)建成功，則調(diào)用安全信道模塊中對(duì)應(yīng)的安全信道組建子模塊，利用多功能安全終端和移動(dòng)終端問已建立的連接，組建它們之間的安全信道，繼續(xù)執(zhí)行第3.5步；
[0084]第6.5步:在安全信道管理模塊的安全信道列表中添加一條信息，用來記錄所連接移動(dòng)終端的標(biāo)識(shí)和系統(tǒng)接口等內(nèi)容，并將安全信道組建成功的信息反饋至移動(dòng)終端。
[0085]根據(jù)步驟七、多功能安全終端向統(tǒng)一身份認(rèn)證管理服務(wù)器發(fā)起用戶身份認(rèn)證包括第7.1步至第7.7步，具體為:
[0086]第7.1步:多功能安全終端與安全可信的移動(dòng)終端通過建立連接并組建安全信道;
[0087]第7.2步:多功能安全終端接收到移動(dòng)終端發(fā)送的身份認(rèn)證請(qǐng)求，并在顯示屏上啟動(dòng)PIN碼輸入界面；
[0088]第7.3步:用戶在PIN碼輸入界面輸入PIN碼，多功能安全終端后臺(tái)認(rèn)證程序獲取用戶輸入的PIN碼；
[0089]第7.4步:多功能安全終端檢驗(yàn)用戶輸入的PIN碼的合法性，即用戶輸入的PIN碼與多功能安全終端中存儲(chǔ)的PIN碼是否一致。如果相同，則進(jìn)入4.5步，否則返回到4.2
I K
少；
[0090]第7.5步:多功能安全終端通過移動(dòng)終端的網(wǎng)絡(luò)使用反向連接的方式與認(rèn)證服務(wù)器進(jìn)行連接通訊，并向認(rèn)證服務(wù)器發(fā)起用戶身份認(rèn)證的請(qǐng)求。
[0091]第7.6步:認(rèn)證服務(wù)器根據(jù)多功能安全終端通的認(rèn)證請(qǐng)求進(jìn)行用戶身份認(rèn)證，包含多功能安全終端中證書有效性以及用戶信息的有效性檢驗(yàn)。如果認(rèn)證成功，則進(jìn)入4.7步，否則直接結(jié)束認(rèn)證流程；
[0092]第7.7步:多功能安全終端身份認(rèn)證成功后，從認(rèn)證服務(wù)器獲取用戶身份主憑證，并將用戶身份主憑證存儲(chǔ)到多功能安全終端的安全存儲(chǔ)區(qū)加以保護(hù)。
[0093]根據(jù)步驟八、多功能安全終端發(fā)起用戶身份認(rèn)證并認(rèn)證成功獲取用戶身份主憑證后，移動(dòng)終端并通過多功能安全終端向認(rèn)證服務(wù)器請(qǐng)求訪問特定移動(dòng)應(yīng)用資源的應(yīng)用憑證，其流程包括第8.1步至第8.3步，具體為:
[0094]第8.1步:多功能安全終端與安全可信的移動(dòng)終端通過建立連接并組建安全信道;
[0095]第8.2步:多功能安全終端接收到移動(dòng)終端發(fā)起的訪問特定移動(dòng)應(yīng)用資源的請(qǐng)求，通過移動(dòng)終端的網(wǎng)絡(luò)使用反向連接的方式與認(rèn)證服務(wù)器進(jìn)行連接通訊，并攜帶用戶身份主憑證和特定應(yīng)用資源的唯一標(biāo)識(shí)(應(yīng)用資源編號(hào))向認(rèn)證服務(wù)器發(fā)起訪問特定移動(dòng)應(yīng)用資源的應(yīng)用認(rèn)證請(qǐng)求；
[0096]第8.3步:認(rèn)證服務(wù)器接收到8.2步的認(rèn)證請(qǐng)求后，并在認(rèn)證服務(wù)器用戶授權(quán)管理模塊中的用戶與可訪問應(yīng)用資源列表中進(jìn)行查找以判斷應(yīng)用認(rèn)證是否成功，多功能安全終端根據(jù)認(rèn)證服務(wù)器的反饋結(jié)果分別處理如下:
[0097]如果應(yīng)用認(rèn)證成功，多功能安全終端將接收到認(rèn)證服務(wù)器返回的應(yīng)用憑證，并將應(yīng)用憑證再返回給移動(dòng)終端，移動(dòng)終端通過應(yīng)用憑證即可訪問特定的移動(dòng)應(yīng)用資源；
[0098]如果應(yīng)用認(rèn)證失敗，多功能安全終端將認(rèn)證失敗信息返回給移動(dòng)終端。
[0099]以上結(jié)合具體實(shí)施例對(duì)本發(fā)明的技術(shù)/方案作了說明，但這些說明不能被理解為限制了本發(fā)明的范圍，本發(fā)明的保護(hù)范圍由隨附的權(quán)利要求書限定，任何在本發(fā)明權(quán)利要求基礎(chǔ)上的改動(dòng)都是本發(fā)明的保護(hù)范圍。
【權(quán)利要求】
1.一種結(jié)合隨身安全模塊的移動(dòng)應(yīng)用統(tǒng)一身份認(rèn)證實(shí)現(xiàn)方法，隨身安全模塊可以是多功能安全終端、智能密碼鑰匙或其他具備同等功能的安全模塊，其特征在于: 步驟一、構(gòu)建移動(dòng)用戶身份映射； 步驟二、通過步驟一集中身份管理與統(tǒng)一認(rèn)證系統(tǒng)進(jìn)行移動(dòng)用戶身份映射后，通過隨身安全模塊的數(shù)字證書更新功能進(jìn)行移動(dòng)應(yīng)用用戶數(shù)字證書的下載； 步驟三、連入移動(dòng)終端管理系統(tǒng)對(duì)移動(dòng)終端進(jìn)行管控；首先，可連入移動(dòng)終端管理系統(tǒng)對(duì)移動(dòng)終端進(jìn)行登記注冊(cè)，用戶也可以選擇自助注冊(cè)方式進(jìn)行登記注冊(cè)，并通過移動(dòng)終端的設(shè)備序列號(hào)作為移動(dòng)終端的唯一標(biāo)識(shí)；然后，移動(dòng)終端通過主動(dòng)下載或是接收可連入移動(dòng)終端管理系統(tǒng)推送的設(shè)備證書，接下來，在移動(dòng)終端進(jìn)行設(shè)備證書的導(dǎo)入與安裝，此方法為軟證書方式，亦可根據(jù)安全需要選擇移動(dòng)硬件數(shù)字證書方式；移動(dòng)終端只有在可連入移動(dòng)終端管理系統(tǒng)進(jìn)行登記注冊(cè)，并安裝了可連入移動(dòng)終端管理系統(tǒng)下發(fā)的設(shè)備證書，方可被視為安全可靠的移動(dòng)終端，允許與隨身安全模塊進(jìn)行連接并組建安全信道； 步驟四、隨身安全模塊與移動(dòng)終端建立連接； 步驟五、隨身安全模塊根據(jù)對(duì)步驟四中移動(dòng)終端的反饋結(jié)果分別處理如下: 如果連接建立成功，更新連接管理模塊的連接列表，記錄新建連接的系統(tǒng)接口和對(duì)應(yīng)移動(dòng)終端的基本信息、狀態(tài)信息等，并將新建連接的基本信息逐級(jí)反饋至隨身安全模塊的顯示屏； 如果連接建立失敗，給出提示信息并逐級(jí)反饋至隨身安全模塊的顯示屏； 步驟六、隨身安全模塊與移動(dòng)終端組建安全信道； 步驟七、隨身安全模塊發(fā)起用戶身份認(rèn)證； 步驟八、功能安全終端發(fā)起用戶身份認(rèn)證并認(rèn)證成功獲取用戶身份主憑證后，移動(dòng)終端并可通過隨身安全模塊向認(rèn)證服務(wù)器請(qǐng)求訪問特定移動(dòng)應(yīng)用資源的應(yīng)用憑證。
2.如權(quán)力要求I所述的一種結(jié)合隨身安全模塊的移動(dòng)應(yīng)用統(tǒng)一身份認(rèn)證實(shí)現(xiàn)方法，其特征還在于:將隨身安全模塊與受控的移動(dòng)終端連接，隨身安全模塊利用移動(dòng)終端的網(wǎng)絡(luò)通過反向連接的方式與認(rèn)證服務(wù)器連接并進(jìn)行用戶身份認(rèn)證請(qǐng)求，用戶身份認(rèn)證請(qǐng)求成功后從認(rèn)證服務(wù)器獲取用戶身份主憑證，并將用戶身份主憑證存儲(chǔ)到隨身安全模塊的安全存儲(chǔ)區(qū)；隨身安全模塊可以同時(shí)與同一用戶的多臺(tái)受控的移動(dòng)終端進(jìn)行連接，任一已連接的移動(dòng)終端均可向獲取了用戶身份主憑證的隨身安全模塊請(qǐng)求訪問特定移動(dòng)應(yīng)用系統(tǒng)，隨身安全模塊通過接收到訪問特定移動(dòng)應(yīng)用請(qǐng)求并攜帶用戶身份主憑證再到認(rèn)證服務(wù)器獲取訪問特定應(yīng)用資源的應(yīng)用憑證，并將應(yīng)用憑證返回給移動(dòng)終端，移動(dòng)終端通過應(yīng)用憑證即可訪問特定移動(dòng)應(yīng)用系統(tǒng)。
3.如權(quán)利要求1所述的一種結(jié)合隨身安全模塊的移動(dòng)應(yīng)用統(tǒng)一身份認(rèn)證實(shí)現(xiàn)方法，多功能安全終端與移動(dòng)終端組建安全信道步驟為: 在隨身安全模塊正常運(yùn)行過程中，用戶在移動(dòng)終端側(cè)，通過多功能安全終端和移動(dòng)終端間某個(gè)已建立的連接，向用戶交互模塊發(fā)送安全信道組建指令； 用戶交互模塊根據(jù)接收到的安全信道組建指令和對(duì)應(yīng)的系統(tǒng)接口信息，調(diào)用應(yīng)用級(jí)接口集成模塊中具體的應(yīng)用級(jí)安全信道組建接口； 應(yīng)用級(jí)安全信道組建接口根據(jù)系統(tǒng)接口類型，通過已建立的連接向移動(dòng)終端發(fā)送安全信道組建指令，等待其反饋； 多功能安全終端的應(yīng)用級(jí)安全信道組建接口根據(jù)移動(dòng)終端的反饋結(jié)果，處理如下:如果移動(dòng)終端上安全信道創(chuàng)建失敗，給出提示信息并逐級(jí)反饋至移動(dòng)終端，然后結(jié)束操作； 如果移動(dòng)終端上安全信道創(chuàng)建成功，則調(diào)用安全信道模塊中對(duì)應(yīng)的安全信道組建子模塊，利用多功能安全終端和移動(dòng)終端問已建立的連接，組建它們之間的安全信道； 在安全信道管理模塊的安全信道列表中添加一條信息，用來記錄所連接移動(dòng)終端的標(biāo)識(shí)和系統(tǒng)接口等內(nèi)容，并將安全信道組建成功的信息反饋至移動(dòng)終端。
【文檔編號(hào)】H04L9/32GK104168111SQ201410001408
【公開日】2014年11月26日 申請(qǐng)日期:2014年1月2日 優(yōu)先權(quán)日:2014年1月2日
【發(fā)明者】孫祥明, 黃晟, 李恒濤, 楊海, 靳黎明, 殷祺, 陳燦燦, 王佳, 溫勇, 于光明, 劉鳳偉 申請(qǐng)人:北京中油瑞飛信息技術(shù)有限責(zé)任公司, 北京利云技術(shù)開發(fā)公司