一種用于發(fā)現(xiàn)服務(wù)的用戶身份驗證方法及系統(tǒng)的制作方法
【專利摘要】本發(fā)明涉及一種用于發(fā)現(xiàn)服務(wù)的用戶身份驗證方法及系統(tǒng)。由多個用戶身份驗證服務(wù)器構(gòu)成DHT網(wǎng)絡(luò)，每個服務(wù)器的標識通過計算該服務(wù)器擁有者的公鑰與其提供的一個隨機數(shù)的哈希值得到；每個用戶身份驗證服務(wù)器分別基于PKI對用戶的身份進行驗證，通過后生成封裝成SAML格式的票據(jù)，然后將票據(jù)分為多個較小的數(shù)據(jù)分片并存儲；DS服務(wù)器接收用戶的查詢請求，計算出相應(yīng)數(shù)據(jù)分片的存儲位置并恢復(fù)出原始的票據(jù)，然后根據(jù)恢復(fù)后的票據(jù)對用戶的身份進行驗證，通過后返回與查詢物品RFID標識相關(guān)的企業(yè)信息服務(wù)器地址。采用本發(fā)明，用戶只需要被驗證一次身份就能在一段時間內(nèi)多次訪問DS，可以簡化用戶訪問DS的流程，并降低用戶的資源消耗。
【專利說明】-種用于發(fā)現(xiàn)服務(wù)的用戶身份驗證方法及系統(tǒng)

【技術(shù)領(lǐng)域】
[0001] 本發(fā)明屬于信息【技術(shù)領(lǐng)域】，具體涉及一種用于發(fā)現(xiàn)服務(wù)的用戶身份驗證方法及系 統(tǒng)。

【背景技術(shù)】
[0002] 近年來，RFID (Radio-Frequency Identification)被大規(guī)模用于制造業(yè)、物流業(yè)、 零售業(yè)等行業(yè)中物品的標識。發(fā)現(xiàn)服務(wù)（Discovery Service, DS)作為實現(xiàn)對供應(yīng)鏈中物 品進行跟蹤和追溯的關(guān)鍵性支撐服務(wù)，被設(shè)計用于為用戶提供物品RFID標識與存儲該物 品詳細信息的多個企業(yè)的信息服務(wù)器（Information Service, IS)地址之間的映射服務(wù)。 DS中存儲的物品與相關(guān)IS服務(wù)器地址之間的映射信息能夠反映出物品的流通模式、企業(yè) 之間的貿(mào)易關(guān)系等商業(yè)敏感信息。因此，DS必須首先對用戶的身份進行驗證，在確定用戶 的身份后，再根據(jù)其訪問控制策略決定是否允許該用戶的訪問。
[0003] 當前，DS主要采用兩種方案對用戶的身份進行驗證：（1)基于用戶名/密碼的用 戶身份驗證方案；（2)基于PKI (Public-Key Infrastructure)的用戶身份驗證方案。第一 種方案的優(yōu)點是，該方案非常簡單，并且很容易實現(xiàn)。但是，第一種方案的缺點是用戶需要 提前向所有DS中的服務(wù)器注冊自己的用戶名和密碼，這非常不便于用戶訪問DS。此外，DS 中的每個服務(wù)器需要分別維護大量的用戶身份信息，這對其也是一個很大的負擔。因此，基 于用戶名/密碼的用戶身份驗證方案，不適合在DS中應(yīng)用。在基于PKI的用戶身份驗證方 案中，用戶需要先從其信任的CA(Certificate Authority)處得到一個X. 509證書，這個證 書包含該用戶的公鑰（Public Key)和私鑰（Private Key)等信息。在用戶訪問DS時，DS 將基于PKI對用戶的身份進行驗證。這種方案的優(yōu)點是，用戶不需要提前向所有DS中的服 務(wù)器注冊自己的身份信息。用戶為獲取物品的詳細信息，需要經(jīng)常訪問DS。但是DS每次在 允許用戶訪問前，都需要基于PKI對用戶的身份進行驗證，這不僅增加了用戶訪問DS的復(fù) 雜度，而且消耗了用戶的大量資源（CPU、帶寬等）。因此，基于PKI的用戶身份驗證方案不 能很好的滿足用戶的實際使用需求。綜上所述，當前在DS中用于對用戶進行身份驗證的兩 種主流方案，都不能很好的滿足實際的應(yīng)用需求。


【發(fā)明內(nèi)容】

[0004] 本發(fā)明針對當前用于在DS中對用戶進行身份驗證的兩種主流方案的不足，提出 一種用戶只需要被驗證一次身份，就能夠在一段時間內(nèi)多次訪問DS的用戶身份驗證方案， 以簡化用戶訪問DS的流程，并且降低用戶的資源消耗。
[0005] 為實現(xiàn)上述目的，本發(fā)明采用如下技術(shù)方案：
[0006] -種用于發(fā)現(xiàn)服務(wù)的用戶身份驗證方法，其步驟包括：
[0007] 1)由多個用戶身份驗證服務(wù)提供者（UIASP，User Identity Authentication Service Provider)提供的用戶身份驗證服務(wù)器構(gòu)成DHT (Distributed Hash Table,分布 式哈希表）網(wǎng)絡(luò)，每個用戶身份驗證服務(wù)器的標識通過計算該服務(wù)器擁有者（某個WASP) 的公鑰與其提供的一個隨機數(shù)的哈希值得到；
[0008] 2)每個用戶身份驗證服務(wù)器分別基于PKI對用戶的身份進行驗證，驗證通過后生 成一個封裝成SAML (Security Assertion Markup Language,安全斷言標記語言）格式的票 據(jù)（Ticket);
[0009] 3)用戶身份驗證服務(wù)器基于 IDA (Information Dispersal Algorithm)在一個有 限域中將票據(jù)分為多個較小的數(shù)據(jù)分片；
[0010] 4)在完成對票據(jù)的分片后，用戶身份驗證服務(wù)器根據(jù)用戶指定的key，通過哈希 鏈（Hash Chain)的方法計算各數(shù)據(jù)分片的存儲位置，然后存儲這些數(shù)據(jù)分片；
[0011] 5)DS中的服務(wù)器接收用戶的查詢請求，根據(jù)用戶查詢請求中包含的key，采用哈 希鏈的方法計算出相應(yīng)數(shù)據(jù)分片在用戶身份驗證服務(wù)器中的存儲位置，并檢索和獲取這些 數(shù)據(jù)分片，然后根據(jù)這些數(shù)據(jù)分片恢復(fù)出原始的票據(jù)；
[0012] 6)DS中的服務(wù)器根據(jù)恢復(fù)后的票據(jù)對用戶的身份進行驗證，通過驗證后，DS中的 服務(wù)器向用戶返回與查詢物品RFID標識相關(guān)的企業(yè)信息服務(wù)器地址。
[0013] 一種采用上述方法的用于發(fā)現(xiàn)服務(wù)的用戶身份驗證系統(tǒng)，包括：
[0014] 多個用戶身份驗證服務(wù)器，由用戶身份驗證服務(wù)提供者（UIASP)提供，各用戶身 份驗證服務(wù)器構(gòu)成的DHT網(wǎng)絡(luò)，每個服務(wù)器的標識通過計算該服務(wù)器擁有者的公鑰與其提 供的一個隨機數(shù)的哈希值得到；每個用戶身份驗證服務(wù)器分別基于PKI對用戶的身份進行 驗證，驗證通過后生成一個封裝成SAML格式的票據(jù)，然后在一個有限域中將票據(jù)分為多個 較小的數(shù)據(jù)分片并存儲；
[0015] DS服務(wù)器，用于根據(jù)用戶的查詢請求檢索和獲取相應(yīng)的數(shù)據(jù)分片，根據(jù)這些數(shù)據(jù) 分片恢復(fù)出原始的票據(jù)，然后根據(jù)恢復(fù)后的票據(jù)對用戶的身份進行驗證，通過驗證后向用 戶返回與查詢物品RFID標識相關(guān)的企業(yè)信息服務(wù)器地址；
[0016] 企業(yè)信息服務(wù)器，存儲物品的詳細信息，供用戶訪問以獲取物品相關(guān)信息。
[0017] 與現(xiàn)有技術(shù)相比，本發(fā)明的有益效果如下：
[0018] 1) 一次驗證，多次訪問：
[0019] 在接收到用戶的身份驗證請求后，⑶IAS將基于PKI對用戶的身份進行驗證。如 果用戶通過身份驗證，CUIAS將為該用戶生成一個票據(jù)，并使用IDA將其分為多個分片，然 后存儲在CUIAS中。當用戶訪問DS時，DS將根據(jù)用戶查詢請求中包含的參數(shù)從CUIAS中 檢索相應(yīng)的分片，并進行數(shù)據(jù)恢復(fù)，然后根據(jù)恢復(fù)后的票據(jù)確定用戶是否通過CUIAS的身 份驗證。因此，在票據(jù)的有效時間內(nèi)，用戶只需要被CUIAS驗證一次身份，就可以多次訪問 DS，從而能夠簡化用戶訪問DS的流程，降低用戶的資源開銷。
[0020] 2)跨平臺兼容性：
[0021] 在用戶身份驗證的過程中，涉及到用戶、DS服務(wù)器等多個參與方。這些參與方所 使用設(shè)備的硬件和軟件可能是多種多樣的，例如，X86或ARM CPU、Windows或Linux操作系 統(tǒng)等。在本方案中，CUIAS基于SAML和PKI實現(xiàn)，因此，具有跨平臺兼容性，能夠支持基于 不同硬件體系或操作系統(tǒng)的設(shè)備。
[0022] 3)性能可擴展：
[0023] 隨著RFID在全球范圍內(nèi)大規(guī)模的應(yīng)用，DS將需要處理大量的用戶查詢請求。因 此，為DS提供用戶身份驗證的服務(wù)也需要具備性能可擴展性，以滿足不斷增長的需求。在 本文中，⑶IAS被實現(xiàn)為一個DHT網(wǎng)絡(luò)，能夠支持服務(wù)器動態(tài)的加入和退出，具有很好的性 能可擴展性。

【專利附圖】

【附圖說明】
[0024] 圖1是本發(fā)明的⑶IAS的系統(tǒng)結(jié)構(gòu)示意圖。
[0025] 圖2是本發(fā)明方法的驗證與查詢流程圖。

【具體實施方式】
[0026] 為使本發(fā)明的上述目的、特征和優(yōu)點能夠更加明顯易懂，下面通過具體實施例和 附圖，對本發(fā)明做進一步說明。
[0027] 1.CUIAS系統(tǒng)結(jié)構(gòu)簡介
[0028] 針對DS已有的兩種主流用戶身份驗證方案的不足，提出一種基于SAML(Security Assertion Markup Language)和 PKI 實現(xiàn)的稱為 CUIAS(Centralized User Identity Authentication Service)的集中式用戶身份驗證方案，用于在全球范圍內(nèi)為DS提供用戶 身份的驗證服務(wù)。
[0029] CUIAS 被部署為一個由多個 UIASP (User Identity Authentication Service Provider,用戶身份驗證服務(wù)提供者）提供的服務(wù)器構(gòu)成的DHT(Distributed Hash Table) 網(wǎng)絡(luò)，如圖1所示。由于DHT網(wǎng)絡(luò)能夠支持服務(wù)器動態(tài)的加入和退出，因此⑶IAS具有強大 的性能可擴展性。此外，大多數(shù)DHT網(wǎng)絡(luò)，例如，Chord、Pastry和Tapestry，能夠通過0 (log N)跳完成在DHT網(wǎng)絡(luò)中的數(shù)據(jù)查找，其中N是DHT網(wǎng)絡(luò)中的服務(wù)器總數(shù)。⑶IAS中每個服 務(wù)器的標識通過計算該服務(wù)器擁有者（某個WASP)的公鑰與其提供的一個隨機數(shù)的哈希 值得到，即服務(wù)器ID = hash(UIASP的公鑰，隨機數(shù)）。
[0030] 每個nASP分別基于PKI對用戶的身份進行驗證。用戶可以選擇自己信任的nASP 為自己提供身份驗證服務(wù)。在用戶的身份被驗證通過后，UIASP將生成一個固定長度的封裝 成SAML斷言格式的票據(jù)（ticket)。在這個票據(jù)中包含提供身份驗證服務(wù)的WASP的公鑰、 用戶的公鑰、票據(jù)生成時間（ticket generation time)、票據(jù)有效時間（ticket validity time)和票據(jù)數(shù)字簽名（ticket digital signature)。其中，票據(jù)有效時間由用戶在其身 份驗證的過程中指定，決定了該票據(jù)的有效時間長度。票據(jù)數(shù)字簽名由UIASP使用自己的 私鑰對票據(jù)的MD5(Message Digest Algorithm 5)校驗和進行簽名得到，以保證票據(jù)的數(shù) 據(jù)完整性。
[0031] IDA (Information Dispersal Algorithm)是一種糾刪碼算法，通過將一個長度為 L的文件F分為n(n>m)個分片F(xiàn)i (1彡i彡η)，并且每個分片的長度為L/m，那么任意的m 個或更多個分片就能夠恢復(fù)出原始文件F，但是（m-1)個或更少的分片不能恢復(fù)出原始文 件F。IDA能夠有效的保證數(shù)據(jù)的可用性，在數(shù)據(jù)存儲領(lǐng)域中應(yīng)用廣泛。為了保證數(shù)據(jù)可用 性，UIASP基于IDA在一個有限域中將票據(jù)分為多個較小的數(shù)據(jù)分片，具體流程參考后文第 3節(jié)。
[0032] 在完成對票據(jù)的分片后，UIASP將根據(jù)用戶指定的key，通過哈希鏈（Hash Chain) 的方法計算這些分片在⑶IAS中的存儲位置，然后將這些分片存儲在⑶IAS中，具體流程參 考后文第4節(jié)。
[0033] DS中的服務(wù)器在收到用戶的查詢請求后，將根據(jù)用戶查詢請求中包含的key，采 用哈希鏈的方法計算出相應(yīng)分片在CUIAS中的存儲位置，并檢索和獲取這些分片。當DS服 務(wù)器成功獲得足夠數(shù)量的分片后，將根據(jù)這些分片恢復(fù)原始的票據(jù)，具體流程參考后文第5 節(jié)。
[0034] DS中的服務(wù)器根據(jù)恢復(fù)后的票據(jù)，對用戶的身份進行驗證。如果用戶的身份通過 驗證，DS中的服務(wù)器將根據(jù)自己的訪問控制策略決定給用戶返回哪些結(jié)果。
[0035] 2.驗證與查詢過程
[0036] 為了獲取物品的詳細信息，用戶需要首先通過⑶IAS進行身份驗證，然后再訪問 DS，以獲得存儲物品相關(guān)信息的多個服務(wù)器的地址。假設(shè)用戶選擇WASP Μ為其提供身份 驗證服務(wù)，則具體的驗證與查詢流程如下，如圖2所示。
[0037] Step 1:用戶向HASP Μ發(fā)送一個驗證請求。在這個驗證請求中，包含了該用戶的 公鑰（public key)。
[0038] Step 2:UIASP Μ生成一個一次性的消息，其中包含HASP Μ的公鑰、時間戳和一個 隨機數(shù)。然后UIASP Μ使用用戶的公鑰對這個消息進行加密，并返回給用戶。
[0039] St印3:用戶使用自己的私鑰對消息解密，然后再使用UIASP Μ的公鑰對之前消 息解密后的內(nèi)容進行加密，并返回給WASP Μ。
[0040] St印4:UIASP Μ使用自己的私鑰解密用戶返回的消息。如果該消息的內(nèi)容與其在 Step 2中發(fā)送的消息的內(nèi)容相同，那么就可以確定該用戶的身份。然后，UIASP Μ發(fā)送一個 消息給用戶，請求參數(shù)n、m、key和票據(jù)有效時間（ticket validity time)的值。
[0041] Step 5:用戶接收到UIASP Μ發(fā)送的消息，向其返回參數(shù)n、m、key和ticket validity time 的值。
[0042] St印6:UIASP M根據(jù)用戶返回的參數(shù)生成ticket，然后基于IDA和參數(shù)n、m對這 個票據(jù)進行分片，具體過程參考后文第3節(jié)。
[0043] St印7: UIASP Μ根據(jù)用戶返回的參數(shù)key計算這些分片在⑶IAS中的存儲位置， 并將這些分片存儲在⑶IAS中，具體過程參考4. 4節(jié)。
[0044] St印8:用戶發(fā)送一個包含物品RFID標識和參數(shù)n、m、key和UIASP Μ的公鑰的 查詢請求給某個DS服務(wù)器（假定該服務(wù)器為Β)。
[0045] St印9: DS服務(wù)器Β使用key計算η個分片在⑶IAS中的存儲位置，并檢索這些 分片，具體過程參考后文第4節(jié)。當DS服務(wù)器Β成功的檢索到m或更多個分片后，將使用 IDA恢復(fù)原始的ticket，具體過程參考后文第5節(jié)。
[0046] St印10:DS服務(wù)器B使用恢復(fù)后的ticket對用戶的身份進行驗證。在確定用戶 的身份后，DS服務(wù)器B將根據(jù)自己的訪問控制策略向用戶返回與查詢物品RFID標識相關(guān) 的服務(wù)器地址。
[0047] St印11:用戶根據(jù)DS服務(wù)器B返回的結(jié)果，訪問這些服務(wù)器，以獲取物品在整個 供應(yīng)鏈中的詳細信息。
[0048] 3.數(shù)據(jù)分片
[0049] 在HASP Μ生成ticket (標記為T)后，UIASP Μ將基于IDA算法和參數(shù)n、m在有 一個有限域中將該ticket分為n (n>m)個分片，每個分片的長度是L/m，那么，其中任意的m 個或更多個分片能夠恢復(fù)出原始票據(jù)T，但是，（m-1)個或更少的分片不能恢復(fù)出原始票據(jù) τ。首先，將T看作一個8位字節(jié)的串，即T = bi，b2，…，K，其中bi(l彡i彡L)是一個8位 的字節(jié)，則4可以被認為是一個介于0與255之間的整數(shù)。其次，我們選擇一個大于255的 素數(shù)p = 257,則可將T看作是有限域Zp中元素組成的串，并且以下所有的計算都在有限域 Zp中執(zhí)行。UIASP Μ基于IDA和參數(shù)n、m對T的具體分片流程如下：
[0050] 1)UIASP Μ選擇η個向量

【權(quán)利要求】
1. 一種用于發(fā)現(xiàn)服務(wù)的用戶身份驗證方法，其步驟包括： 1) 由多個用戶身份驗證服務(wù)提供者提供的用戶身份驗證服務(wù)器構(gòu)成DHT網(wǎng)絡(luò)，每個用 戶身份驗證服務(wù)器的標識通過計算該服務(wù)器擁有者的公鑰與其提供的一個隨機數(shù)的哈希 值得到； 2) 每個用戶身份驗證服務(wù)器分別基于PKI對用戶的身份進行驗證，驗證通過后生成一 個封裝成SAML格式的票據(jù)； 3) 用戶身份驗證服務(wù)器基于IDA在一個有限域中將票據(jù)分為多個較小的數(shù)據(jù)分片； 4) 在完成對票據(jù)的分片后，用戶身份驗證服務(wù)器根據(jù)用戶指定的key，通過哈希鏈的 方法計算各數(shù)據(jù)分片的存儲位置，然后存儲這些數(shù)據(jù)分片； 5)DS中的服務(wù)器接收用戶的查詢請求，根據(jù)用戶查詢請求中包含的key，采用哈希鏈 的方法計算出相應(yīng)數(shù)據(jù)分片在用戶身份驗證服務(wù)器中的存儲位置，并檢索和獲取這些數(shù)據(jù) 分片，然后根據(jù)這些數(shù)據(jù)分片恢復(fù)出原始的票據(jù)； 6)DS中的服務(wù)器根據(jù)恢復(fù)后的票據(jù)對用戶的身份進行驗證，通過驗證后，DS中的服務(wù) 器向用戶返回與查詢物品RFID標識相關(guān)的企業(yè)信息服務(wù)器地址。
2. 如權(quán)利要求1所述的方法，其特征在于，步驟2)所述票據(jù)中包含：提供身份驗證服 務(wù)的用戶身份驗證服務(wù)器的公鑰、用戶的公鑰、票據(jù)生成時間、票據(jù)有效時間和票據(jù)數(shù)字簽 名；所述票據(jù)有效時間由用戶在其身份驗證的過程中指定，決定該票據(jù)的有效時間長度； 所述票據(jù)數(shù)字簽名用以保證票據(jù)的數(shù)據(jù)完整性。
3. 如權(quán)利要求2所述的方法，其特征在于：所述票據(jù)數(shù)字簽名由用戶身份驗證服務(wù)器 使用自己的私鑰對票據(jù)的MD5校驗和進行簽名得到。
4. 如權(quán)利要求1所述的方法，其特征在于：步驟3)將票據(jù)分為n個分片F(xiàn)i,n>m，I<i<n，并且每個分片的長度為L/m;步驟5)根據(jù)任意的m個或更多個分片恢復(fù)出原始 的票據(jù)。
5. 如權(quán)利要求4所述的方法，其特征在于，步驟3)對票據(jù)進行分片的具體方法是： 首先，將T看作一個8位字節(jié)的串，即T=Id1,b2,…，，其中IDi是一個8位的字節(jié)， I<i<L，則h可以被認為是一個介于O與255之間的整數(shù)； 其次，選擇一個大于255的素數(shù)p，將T看作是有限域Zp中元素組成的串，并且以下所 有的計算都在有限域Zp中執(zhí)行；某個用戶身份驗證服務(wù)器M基于IDA和參數(shù)n、m對T的具 體分片流程如下： a)M選擇n個向量
，其中的任意m個向量都是線性 無關(guān)的； b)M將T分為長度為m的多個部分，即

c)M計算
如下面公式所示：
d)M將ai和Ti組合在一起作為第i個分片
其中，％和Ti之間使用"；"區(qū)分。
6. 如權(quán)利要求5所述的方法，其特征在于，步驟4)對分片進行存儲的具體方法是： 首先，M為每個分片生成一個TTL值，并將其附加在對應(yīng)的分片中，每個分片的TTL值 是一個大于其原始票據(jù)中票據(jù)有效時間的隨機數(shù)； 然后，M計算每個分片的存儲位置Li,i= 1，…，n，公式如下：
M將Li作為第i個分片的標識符，并將其附加在第i個分片的頭部；然后M為每個分片 生成一個MD5校驗和并將其附加在分片尾部；最后M將這些分片根據(jù)其存儲位置進行散列 存儲。
7. 如權(quán)利要求6所述的方法，其特征在于，步驟5)中，設(shè)DS服務(wù)器成功獲得了m個數(shù) 據(jù)分片，則根據(jù)該m個數(shù)據(jù)分片恢復(fù)出原始票據(jù)的方法是： DS服務(wù)器從分片i中獲取向量aieZ；^和TieZ；：，1彡i彡m，令4
則A是一個m*m的矩陣，將f1的第i行標記為（an，…，aj，那么
1彡j彡L，1彡k彡L/m，如下面公式所示：
據(jù)此，可以得到原始票據(jù)
8. -種采用權(quán)利要求1所述方法的用于發(fā)現(xiàn)服務(wù)的用戶身份驗證系統(tǒng)，其特征在于， 包括： 多個用戶身份驗證服務(wù)器，由用戶身份驗證服務(wù)提供者提供，各用戶身份驗證服務(wù)器 構(gòu)成的DHT網(wǎng)絡(luò)，每個服務(wù)器的標識通過計算該服務(wù)器擁有者的公鑰與其提供的一個隨機 數(shù)的哈希值得到；每個用戶身份驗證服務(wù)器分別基于PKI對用戶的身份進行驗證，驗證通 過后生成一個封裝成SAML格式的票據(jù)，然后在一個有限域中將票據(jù)分為多個較小的數(shù)據(jù) 分片并存儲； DS服務(wù)器，用于根據(jù)用戶的查詢請求檢索和獲取相應(yīng)的數(shù)據(jù)分片，根據(jù)這些數(shù)據(jù)分片 恢復(fù)出原始的票據(jù)，然后根據(jù)恢復(fù)后的票據(jù)對用戶的身份進行驗證，通過驗證后向用戶返 回與查詢物品RFID標識相關(guān)的企業(yè)信息服務(wù)器地址； 企業(yè)信息服務(wù)器，存儲物品的詳細信息，供用戶訪問以獲取物品相關(guān)信息。
【文檔編號】H04L29/06GK104243462SQ201410452212
【公開日】2014年12月24日 申請日期:2014年9月5日 優(yōu)先權(quán)日:2014年9月5日
【發(fā)明者】劉鵬, 孔寧, 田野, 李曉東, 閻保平 申請人:中國科學院計算機網(wǎng)絡(luò)信息中心