本發(fā)明屬于信息安全技術(shù)領(lǐng)域，特別是一種基于移動(dòng)終端的身份鑒別方法及系統(tǒng)。

背景技術(shù)：

為了應(yīng)對(duì)在網(wǎng)吧等公共環(huán)境使用公共計(jì)算機(jī)登錄(logon)網(wǎng)絡(luò)信息系統(tǒng)存在的帳戶名、口令失竊的風(fēng)險(xiǎn)，以及為了方便用戶在信息系統(tǒng)的登錄，人們提出了一些借助移動(dòng)終端(如手機(jī)、平板電腦)的信息系統(tǒng)登錄方案，如本發(fā)明專利申請(qǐng)人在其專利申請(qǐng)“一種基于移動(dòng)通信終端和短信的登錄方法”(申請(qǐng)?zhí)枺?01510225152.6)，“一種基于手機(jī)登錄的系統(tǒng)及登錄方法”(申請(qǐng)?zhí)枺?01410395338.1)，“一種面向信息系統(tǒng)的異步登錄方法”(201510393405.0),以及騰訊、百度的一系列專利中提出了基于移動(dòng)終端的解決方案。這些方案的共同特點(diǎn)是：在用戶使用計(jì)算機(jī)登錄一個(gè)信息系統(tǒng)或應(yīng)用系統(tǒng)時(shí)，用戶使用移動(dòng)終端在信息系統(tǒng)或應(yīng)用系統(tǒng)或者一個(gè)登錄輔助系統(tǒng)完成登錄操作，從而實(shí)現(xiàn)用戶使用計(jì)算機(jī)在信息系統(tǒng)或應(yīng)用系統(tǒng)上的登錄。采用這些方案，用戶無(wú)需在計(jì)算機(jī)上輸入帳戶名、口令，從而避免了在公共計(jì)算機(jī)上帳戶名、口令被竊取的風(fēng)險(xiǎn)。

這些方案，或者要求用戶使用移動(dòng)終端通過掃描條碼(二維碼)輸入，或者要求用戶在進(jìn)行登錄操作的計(jì)算機(jī)或移動(dòng)終端中輸入，用于在用戶計(jì)算機(jī)和移動(dòng)終端之間建立關(guān)聯(lián)的隨機(jī)字串，而為了防止攻擊者通過猜測(cè)隨機(jī)字串進(jìn)行攻擊，這個(gè)隨機(jī)字串要足夠長(zhǎng)。掃描條碼或手工輸入長(zhǎng)隨機(jī)字串給用戶帶來(lái)不便(無(wú)論掃描條碼還是手工輸入，用戶都要進(jìn)行較多的操作，而且手工輸入易出錯(cuò))。

技術(shù)實(shí)現(xiàn)要素：

本發(fā)明的目的是提出一種基于移動(dòng)終端的身份鑒別方法及系統(tǒng)以克服現(xiàn)有方案的不足。

為了實(shí)現(xiàn)上述目的，本發(fā)明提出的技術(shù)方案包括一種基于移動(dòng)終端的身份鑒別方法以及此方法的系統(tǒng)，其中，基于移動(dòng)終端的身份鑒別方法如下。

當(dāng)用戶使用信息系統(tǒng)客戶端在一個(gè)信息系統(tǒng)進(jìn)行登錄或身份鑒別時(shí)(logon或authentication)，用戶通過信息系統(tǒng)客戶端(的登錄或身份鑒別界面)輸入用戶在信息系統(tǒng)的帳戶名，并將帳戶名提交到信息系統(tǒng)；

在用戶通過信息系統(tǒng)客戶端將帳戶名提交到信息系統(tǒng)之前或之后，用戶使用移動(dòng)終端中的登錄助手以及用戶在信息系統(tǒng)的身份憑證在信息系統(tǒng)完成登錄或身份鑒別操作(成功登錄或通過身份鑒別)；

在用戶通過信息系統(tǒng)客戶端將用戶在信息系統(tǒng)的帳戶名提交到信息系統(tǒng)以及使用登錄助手在信息系統(tǒng)完成登錄或身份鑒別操作后，信息系統(tǒng)利用用戶通過信息系統(tǒng)客戶端提交的帳戶名和用戶使用登錄助手進(jìn)行登錄或身份鑒別操作時(shí)的身份憑證，將信息系統(tǒng)與用戶使用的信息系統(tǒng)客戶之間的會(huì)話同信息系統(tǒng)與用戶使用的登錄助手之間的會(huì)話相關(guān)聯(lián)(由此將用戶使用的信息系統(tǒng)客戶端同用戶使用的登錄助手相關(guān)聯(lián))，并向登錄助手發(fā)送請(qǐng)求允許用戶在信息系統(tǒng)進(jìn)行登錄或通過身份鑒別的請(qǐng)求，或向登錄助手發(fā)送用戶請(qǐng)求在信息系統(tǒng)進(jìn)行登錄或身份鑒別的提示(若有多個(gè)信息系統(tǒng)客戶端使用同樣的帳戶名在信息系統(tǒng)進(jìn)行登錄或身份鑒別操作，則這種會(huì)話關(guān)聯(lián)會(huì)有多個(gè)，登錄助手接收到的登錄或身份鑒別的請(qǐng)求或提示會(huì)有多個(gè)，而用戶可以依次對(duì)其中的一個(gè)進(jìn)行處理)；

接收到請(qǐng)求允許用戶在信息系統(tǒng)進(jìn)行登錄或身份鑒別的請(qǐng)求，或接收到用戶請(qǐng)求在信息系統(tǒng)進(jìn)行登錄或身份鑒別的提示后，登錄助手自動(dòng)或者在用戶點(diǎn)擊確認(rèn)后通過信息系統(tǒng)向信息系統(tǒng)客戶端發(fā)送信息，或者登錄助手提示用戶在登錄助手的人機(jī)交互界面輸入信息，并將用戶輸入的信息通過信息系統(tǒng)向信息系統(tǒng)客戶端發(fā)送；

登錄助手通過用戶的確認(rèn)操作確定信息系統(tǒng)客戶端是否接收到了登錄助手所發(fā)送的信息；

若通過用戶的確認(rèn)操作確定信息系統(tǒng)客戶端接收到了登錄助手所發(fā)送的信息，則登錄助手向信息系統(tǒng)確認(rèn)允許使用(與登錄助手關(guān)聯(lián)的)信息系統(tǒng)客戶端的用戶在信息系統(tǒng)完成登錄或身份鑒別操作(成功登錄或通過身份鑒別)，之后，信息系統(tǒng)允許使用信息系統(tǒng)客戶端的用戶在信息系統(tǒng)登錄或通過身份鑒別；

若通過用戶的確認(rèn)操作確定信息系統(tǒng)客戶端沒有接收到登錄助手所發(fā)送的信息，則登錄助手要求信息系統(tǒng)拒絕當(dāng)前使用(與登錄助手關(guān)聯(lián)的)信息系統(tǒng)客戶端的用戶在信息系統(tǒng)進(jìn)行的登錄或身份鑒別操作，或者繼續(xù)通過信息系統(tǒng)向信息系統(tǒng)客戶端發(fā)送信息，并繼續(xù)通過用戶的確認(rèn)操作確定信息系統(tǒng)客戶端是否接收到了登錄助手所發(fā)送的信息，直到確定信息系統(tǒng)客戶端接收到了登錄助手所發(fā)送的信息，或者達(dá)到最大嘗試次數(shù)后(重復(fù)進(jìn)行發(fā)送信息-確認(rèn)是否接收到消息的最大操作次數(shù)，該次數(shù)可預(yù)先設(shè)定)，登錄助手要求信息系統(tǒng)拒絕當(dāng)前使用(與登錄助手關(guān)聯(lián)的)信息系統(tǒng)客戶端的用戶在信息系統(tǒng)進(jìn)行的登錄或身份鑒別操作；

所述信息系統(tǒng)是提供應(yīng)用功能的應(yīng)用系統(tǒng)或?qū)τ脩暨M(jìn)行在線身份鑒別的系統(tǒng)；所述信息系統(tǒng)客戶端是信息系統(tǒng)在用戶端計(jì)算機(jī)中的程序，也即客戶端程序(包括專用客戶端程序和通用客戶端程序，如瀏覽器)；

所述登錄助手是一個(gè)運(yùn)行在用戶的移動(dòng)終端中的、輔助用戶使用信息系統(tǒng)客戶端在信息系統(tǒng)完成登錄或身份鑒別操作的程序；

所述移動(dòng)終端是一個(gè)具有數(shù)據(jù)通信能力的便攜式電子裝置(如手機(jī)、平板電腦等)；

所述用戶身份憑證是證明用戶在信息系統(tǒng)中身份的電子信息，包括身份標(biāo)識(shí)(如帳戶名、數(shù)字證書等)及證明用戶是身份標(biāo)識(shí)擁有者的私密數(shù)據(jù)(如口令、私鑰、標(biāo)識(shí)私鑰等)；用戶在信息系統(tǒng)的身份憑證與用戶在信息系統(tǒng)的帳戶名存在對(duì)應(yīng)關(guān)系(如身份憑證中的身份標(biāo)識(shí)就是用戶在信息系統(tǒng)中的帳戶名，數(shù)字證書的主題名中包含帳戶名)。

登錄助手通過信息系統(tǒng)向信息系統(tǒng)客戶端發(fā)送信息，并通過用戶的確認(rèn)操作確定信息系統(tǒng)客戶端是否接收到了登錄助手所發(fā)送的信息的一種方案是：

登錄助手生成一個(gè)展示信息(如文字、圖片)或從預(yù)先生成的展示信息中選擇一個(gè)展示信息，然后一方面將展示信息提交到信息系統(tǒng)，另一方面將展示信息通過登錄助手的人機(jī)交互界面在移動(dòng)終端上顯示；

信息系統(tǒng)(根據(jù)用戶使用的信息系統(tǒng)客戶端與用戶使用的登錄助手之間的關(guān)聯(lián)關(guān)系)將接收到的展示信息返回(發(fā)送)到用戶使用的信息系統(tǒng)客戶端顯示；

用戶通過登錄助手的人機(jī)交互界面確認(rèn)信息系統(tǒng)客戶端上顯示的展示信息與移動(dòng)終端上顯示的展示信息是否一致，或者信息系統(tǒng)客戶端是否有展示信息；

若用戶確認(rèn)二者一致，則登錄助手確定信息系統(tǒng)客戶端接收到了登錄助手所發(fā)送的信息；若用戶確認(rèn)二者不一致，或者用戶確認(rèn)信息系統(tǒng)客戶端沒有顯示展現(xiàn)信息，則登錄助手確定信息系統(tǒng)客戶端沒有接收到登錄助手所發(fā)送的信息。

登錄助手通過信息系統(tǒng)向信息系統(tǒng)客戶端發(fā)送信息，并通過用戶的確認(rèn)操作確定信息系統(tǒng)客戶端是否接收到了登錄助手所發(fā)送的信息的另一種方案是：

登錄助手生成一個(gè)展示信息(如文字、圖片等)或從預(yù)先生成的展示信息中選擇一個(gè)展示信息，然后一方面將展示信息提交到信息系統(tǒng)，另一方面將包含登錄助手提交給信息系統(tǒng)的展示信息的一組展示信息通過登錄助手的人機(jī)交互界面在移動(dòng)終端上顯示；

信息系統(tǒng)(根據(jù)用戶使用的信息系統(tǒng)客戶端與用戶使用的登錄助手之間的關(guān)聯(lián)關(guān)系)將接收到的展示信息返回(發(fā)送)到用戶使用的信息系統(tǒng)客戶端顯示；

用戶在登錄助手的人機(jī)交互界面顯示的一組展示信息中選擇與信息系統(tǒng)客戶端顯示的展示信息一致的展示信息并確認(rèn)；

若用戶選擇并確認(rèn)的展示信息同登錄助手之前提交到信息系統(tǒng)的展示信息一致，則登錄助手確定信息系統(tǒng)客戶端接收到了登錄助手所發(fā)送的信息；若用戶選擇并確認(rèn)的展示信息同登錄助手之前提交到信息系統(tǒng)的展示信息不一致，或者用戶確認(rèn)無(wú)法在在登錄助手的人機(jī)交互界面顯示的一組展示信息中選擇與信息系統(tǒng)客戶端顯示的展示信息一致的展示信息，或者用戶確認(rèn)信息系統(tǒng)客戶端沒有顯示展示信息，則登錄助手確定信息系統(tǒng)客戶端沒有接收到登錄助手所發(fā)送的信息。登錄助手提示用戶在登錄助手的人機(jī)交互界面輸入信息，并將用戶輸入的信息通過信息系統(tǒng)向信息系統(tǒng)客戶端發(fā)送，登錄助手通過用戶的確認(rèn)操作確定信息系統(tǒng)客戶端是否接收到了登錄助手所發(fā)送的信息的一種方案如下：

登錄助手提示用戶在登錄助手的人機(jī)交互界面輸入信息并提示用戶查看、確認(rèn)信息系統(tǒng)客戶端是否顯示了用戶在移動(dòng)終端輸入的信息；

用戶通過登錄助手的人機(jī)交互界面在移動(dòng)終端隨機(jī)(隨便、任意)輸入信息；

登錄助手將用戶輸入的信息發(fā)送到信息系統(tǒng)；

信息系統(tǒng)(根據(jù)用戶使用的信息系統(tǒng)客戶端與用戶使用的登錄助手之間的關(guān)聯(lián)關(guān)系)將接收到的信息返回(發(fā)送)到用戶使用的信息系統(tǒng)客戶端顯示；

用戶查看信息系統(tǒng)客戶端是否顯示了用戶在移動(dòng)終端輸入的信息，并通過登錄助手的人機(jī)交互界面進(jìn)行確認(rèn)；

若用戶通過登錄助手的人機(jī)交互界面確認(rèn)信息系統(tǒng)客戶端顯示了用戶在移動(dòng)終端輸入的信息，則登錄助手確定信息系統(tǒng)客戶端接收到了登錄助手所發(fā)送的信息；若用戶通過登錄助手的人機(jī)交互界面確認(rèn)信息系統(tǒng)客戶端沒有顯示用戶在移動(dòng)終端輸入的信息，或者顯示的信息不正確，則登錄助手確定信息系統(tǒng)客戶端沒有接收到登錄助手所發(fā)送的信息。

以上消息發(fā)送、確認(rèn)方案并不是全部的可能方案，實(shí)施者可根據(jù)需要設(shè)計(jì)其他的方案。

基于上述身份鑒別方法的身份鑒別系統(tǒng)如下。

基于上述身份鑒別方法的身份鑒別系統(tǒng)包括身份鑒別服務(wù)器、運(yùn)行在移動(dòng)終端中的登錄助手，其中，身份鑒別服務(wù)器是所述身份鑒別方法中對(duì)用戶進(jìn)行在線身份鑒別的系統(tǒng)；身份鑒別服務(wù)器面向應(yīng)用系統(tǒng)(即提供應(yīng)用功能的信息系統(tǒng))提供用戶身份鑒別功能；身份鑒別服務(wù)器的客戶端是利用所述身份鑒別服務(wù)器對(duì)用戶進(jìn)行身份鑒別的應(yīng)用系統(tǒng)的客戶端程序，即應(yīng)用系統(tǒng)客戶端就是身份鑒別服務(wù)器的客戶端，或者是一個(gè)在用戶計(jì)算機(jī)中被應(yīng)用系統(tǒng)客戶端調(diào)用、用于在身份鑒別服務(wù)器對(duì)用戶進(jìn)行身份鑒別的程序，對(duì)于前者，身份鑒別服務(wù)器的客戶端即對(duì)應(yīng)所述身份鑒別方法中的信息系統(tǒng)客戶端，對(duì)于后者，應(yīng)用系統(tǒng)客戶端和身份鑒別服務(wù)器的客戶端合并構(gòu)成了所述身份鑒別方法中的信息系統(tǒng)客戶端；若身份鑒別服務(wù)器的客戶端是一個(gè)被應(yīng)用系統(tǒng)客戶端調(diào)用、在身份鑒別服務(wù)器對(duì)用戶進(jìn)行身份鑒別的程序，則所述身份鑒別系統(tǒng)還包括身份鑒別服務(wù)器的客戶端(程序)；

當(dāng)一個(gè)用戶使用一個(gè)應(yīng)用系統(tǒng)客戶端在應(yīng)用系統(tǒng)進(jìn)行登錄時(shí)，用戶先使用應(yīng)用系統(tǒng)客戶端以及運(yùn)行在移動(dòng)終端中的所述登錄助手按所述身份鑒別方法在身份鑒別服務(wù)器完成身份鑒別操作；

當(dāng)用戶按所述身份鑒別方法在身份鑒別服務(wù)器完成身份鑒別操作后，身份鑒別服務(wù)器向用戶的應(yīng)用系統(tǒng)客戶端返回一個(gè)證明用戶身份的安全令牌；用戶的應(yīng)用系統(tǒng)客戶端利用返回的安全令牌在應(yīng)用系統(tǒng)完成登錄操作；

若應(yīng)用系統(tǒng)客戶端是通過調(diào)用身份鑒別服務(wù)器的客戶端(程序)在身份鑒別服務(wù)器完成對(duì)用戶的身份鑒別，則應(yīng)用系統(tǒng)客戶端通過身份鑒別服務(wù)器的客戶端(程序)提交用戶的帳戶名、獲得登錄助手發(fā)送的信息以及身份鑒別服務(wù)器返回的安全令牌。

從以上描述可以看到，基于本發(fā)明的方法及系統(tǒng)：用戶通過移動(dòng)終端及運(yùn)行在移動(dòng)終端中登錄助手，可以無(wú)需在信息系統(tǒng)客戶端使用身份憑證的情況下實(shí)現(xiàn)信息系統(tǒng)客戶端在信息系統(tǒng)的成功登錄或身份鑒別，同時(shí)，在登錄過程中用戶又無(wú)需掃描二維碼或者手工輸入用于在信息系統(tǒng)客戶端和登錄助手之間建立關(guān)聯(lián)的足夠長(zhǎng)的隨機(jī)字串，從而達(dá)到既保證安全，又簡(jiǎn)化用戶的操作的效果。對(duì)于登錄助手提示用戶在登錄助手的人機(jī)交互界面輸入信息，并將用戶輸入的信息通過信息系統(tǒng)向信息系統(tǒng)客戶端發(fā)送的方式，這時(shí)用戶可以隨機(jī)(隨便、任意)輸入信息，而且輸入的信息可以很短，短到一個(gè)字符都可以，因?yàn)檫@里登錄助手只需要確認(rèn)它是和用戶的信息系統(tǒng)客戶端建立了關(guān)聯(lián)，而不是和假冒者的信息系統(tǒng)客戶端建立了關(guān)聯(lián)，信息本身是什么、有多少無(wú)關(guān)緊要。本發(fā)明的另一個(gè)好處是一個(gè)用戶能方便地遠(yuǎn)程授權(quán)另一用戶使用自己的帳戶登錄應(yīng)用系統(tǒng)而不會(huì)泄露自己的身份憑證的私密信息。

上述方法及系統(tǒng)也存在一個(gè)弱點(diǎn)，這就是易遭受拒絕服務(wù)攻擊：攻擊者惡意地、不斷地重復(fù)使用某個(gè)用戶的帳戶名嘗試使用信息系統(tǒng)客戶端在信息系統(tǒng)進(jìn)行登錄或身份鑒別操作，這將導(dǎo)致真正的用戶無(wú)法在信息系統(tǒng)進(jìn)行正常的登錄或身份鑒別操作。在內(nèi)網(wǎng)應(yīng)用環(huán)境下，這不是大問題(這種攻擊很容易發(fā)現(xiàn))，在外網(wǎng)環(huán)境下，對(duì)此弱點(diǎn)，可以采用如下應(yīng)對(duì)措施：

在用戶使用移動(dòng)終端中的登錄助手以及用戶在信息系統(tǒng)的身份憑證在信息系統(tǒng)進(jìn)行登錄或身份鑒別操作時(shí)，或者在信息系統(tǒng)完成登錄或身份鑒別操作后，登錄助手生成一個(gè)可顯示的隨機(jī)字串(可以是比較短的隨機(jī)字串，如4-6個(gè)字節(jié)的數(shù)字)，然后一方面將隨機(jī)字串發(fā)送給信息系統(tǒng)，一方面通過登錄助手的人機(jī)界面向用戶顯示；

用戶在通過信息系統(tǒng)客戶端向信息系統(tǒng)提交帳戶名之時(shí)或之前或之后，將登錄助手的人機(jī)界面顯示的隨機(jī)字串輸入到信息系統(tǒng)客戶端并提交到信息系統(tǒng)；

信息系統(tǒng)通過信息系統(tǒng)客戶端提交的帳戶名、隨機(jī)字串以及登錄助手使用的身份憑證、提交的隨機(jī)字串，將信息系統(tǒng)與用戶使用的信息系統(tǒng)客戶之間的會(huì)話同信息系統(tǒng)與用戶使用的登錄助手之間的會(huì)話相關(guān)聯(lián)(由此將用戶使用的信息系統(tǒng)客戶端同用戶使用的登錄助手關(guān)聯(lián))。

以上應(yīng)對(duì)措施雖然也要求用戶輸入信息系統(tǒng)客戶端與登錄助手之間建立連接的隨機(jī)字串，但由于這個(gè)字串可以比較短，而且由于信息系統(tǒng)為了防止惡意的重復(fù)提交登錄請(qǐng)求，通常也要求用戶在使用信息系統(tǒng)客戶端進(jìn)行登錄時(shí)要輸入并提交隨機(jī)確認(rèn)碼，而這里的隨機(jī)字串可以作為隨機(jī)確認(rèn)碼提交，因此種做法不會(huì)給用戶帶來(lái)過多的麻煩。

本發(fā)明與已公開的發(fā)明專利“一種面向信息系統(tǒng)的異步登錄方法”(專利申請(qǐng)?zhí)枺?01510393405.0)也存在不同，二者的差別不僅在登錄確認(rèn)信息(展示信息)的產(chǎn)生主體、傳送途徑不同，更重要的是對(duì)于發(fā)明201510393405.0而言，登錄確認(rèn)信息必須是隨機(jī)的而且有足夠的隨機(jī)性，即在用戶甲登錄信息系統(tǒng)時(shí)，攻擊者或其他用戶登錄信息系統(tǒng)獲得同樣登錄確認(rèn)信息的可能性非常低，否則，在用戶乙授權(quán)用戶甲登錄信息系統(tǒng)時(shí)(無(wú)論甲、乙是否同一個(gè)人，是否在同一個(gè)位置)，攻擊者假冒用戶甲或者其他用戶意外作為用戶甲獲得授權(quán)的可能性將大大增加；登錄確認(rèn)信息的隨機(jī)性要大，登錄確認(rèn)信息包含的文字或圖片不但要求是隨機(jī)的，而且必須足夠多，這給用戶進(jìn)行確認(rèn)也帶來(lái)不便，也易于出錯(cuò)；而對(duì)于本發(fā)明而言，展示信息(即登錄確認(rèn)信息)，可以是幾個(gè)固定的信息，且數(shù)量不必很多，甚至可以是兩個(gè)區(qū)分明顯的信息，因?yàn)楫?dāng)攻擊者嘗試假冒真正的用戶進(jìn)行登錄時(shí)，用戶的登錄助手發(fā)送的信息被發(fā)送到了攻擊者的信息系統(tǒng)客戶端，用戶自己的信息系統(tǒng)客戶端看不到登錄助手發(fā)送的信息，從而通過確認(rèn)未接收到信息來(lái)拒絕攻擊者的登錄企圖。

附圖說(shuō)明

圖1為本發(fā)明實(shí)施例1、2的示意圖。

圖2為本發(fā)明實(shí)施例3的示意圖。

圖3為本發(fā)明實(shí)施例4的示意圖。

圖4為本發(fā)明實(shí)施例5的示意圖。

圖5為本發(fā)明實(shí)施例6的示意圖。

具體實(shí)施方式

下面結(jié)合附圖和實(shí)施例對(duì)本發(fā)明作進(jìn)一步的描述。

實(shí)施例1、

本發(fā)明的實(shí)施例1(如圖1所示)是將本發(fā)明的身份鑒別方法直接用于應(yīng)用系統(tǒng)的登錄操作。在此實(shí)施例中，本實(shí)施例的應(yīng)用系統(tǒng)對(duì)應(yīng)本專利發(fā)明的身份鑒別方法中的信息系統(tǒng)，本實(shí)施例中的應(yīng)用系統(tǒng)的客戶端對(duì)應(yīng)本發(fā)明身份鑒別方法中的信息系統(tǒng)客戶端。當(dāng)用戶使用應(yīng)用系統(tǒng)客戶端在應(yīng)用系統(tǒng)登錄時(shí)，用戶通過應(yīng)用系統(tǒng)客戶端輸入并提交在應(yīng)用系統(tǒng)的帳戶名；同時(shí)，用戶使用移動(dòng)終端中的登錄助手及用戶的身份憑證(如帳戶名口令、帳戶名及標(biāo)識(shí)私鑰、數(shù)字證書及私鑰)登錄應(yīng)用系統(tǒng)；應(yīng)用系統(tǒng)通過帳戶名與身份憑證之間的對(duì)應(yīng)關(guān)系將用戶的應(yīng)用系統(tǒng)客戶端同用戶的登錄助手關(guān)聯(lián)；登錄助手將隨機(jī)生成的一串可顯示字符或預(yù)先生成的一段話通過應(yīng)用系統(tǒng)發(fā)送到用戶的應(yīng)用系統(tǒng)客戶端，并同時(shí)將發(fā)送的信息在登錄助手的人機(jī)交互界面顯示，并提示用戶確認(rèn)應(yīng)用系統(tǒng)客戶端顯示的信息與用戶在移動(dòng)終端上顯示的信息是否一致；若用戶確認(rèn)信息一致，則登錄助手通知信息系統(tǒng)允許用戶使用信息系統(tǒng)客戶端在應(yīng)用系統(tǒng)登錄；否則，登錄助手一方面要求應(yīng)用系統(tǒng)拒絕用戶通過信息系統(tǒng)客戶端的登錄操作，另一方面要求用戶重新使用應(yīng)用系統(tǒng)客戶端程序進(jìn)行登錄操作。用戶使用應(yīng)用系統(tǒng)客戶端程序重新進(jìn)行登錄操作時(shí)，應(yīng)用系統(tǒng)客戶端清空之前顯示的展示信息。若用戶確認(rèn)看到的信息不一致，有兩種可能：一是用戶看錯(cuò)了，二是另有他人使用當(dāng)前用戶的帳戶名在信息系統(tǒng)登錄，若是后者，應(yīng)用系統(tǒng)根據(jù)登錄助手的要求拒絕其他人的登錄企圖。若用戶確認(rèn)看不到信息，也有兩種可能：一是網(wǎng)絡(luò)出現(xiàn)了問題，二是另有他人使用當(dāng)前用戶的帳戶名在信息系統(tǒng)登錄，若是后者，應(yīng)用系統(tǒng)根據(jù)登錄助手的要求拒絕其他人的登錄企圖。若登錄助手是將預(yù)先生成的一段話通過應(yīng)用系統(tǒng)發(fā)送到用戶的應(yīng)用系統(tǒng)客戶端，則登錄助手可預(yù)先生成一組話，然后每次在這組話中選擇一段不同的話發(fā)送到應(yīng)用系統(tǒng)客戶端(可循環(huán)使用這組話中的不同話)。使用預(yù)選生成的一段話是不存在問題的，而且這組話中可僅包含兩段區(qū)別明顯的話，因?yàn)?，若不是用戶正在使用的?yīng)用客戶端與用戶的登錄助手在關(guān)聯(lián)，則用戶在應(yīng)用系統(tǒng)客戶是看不到登錄助手發(fā)送給它的信息的。

實(shí)施例2、

本實(shí)施例(如圖1所示)也是將本發(fā)明的身份鑒別方法直接用于應(yīng)用系統(tǒng)的登錄操作，與實(shí)施例1不同的是，本實(shí)施例中登錄助手發(fā)送給應(yīng)用系統(tǒng)客戶端的展示信息是一個(gè)圖片，登錄助手在移動(dòng)終端顯示的是包含發(fā)送給應(yīng)用系統(tǒng)客戶端的圖片的一組圖片。用戶在移動(dòng)終端顯示的一組圖片中選擇他在應(yīng)用系統(tǒng)客戶端看到的圖片，通過這種方式向登錄助手確認(rèn)他看到的展示信息，或者告知登錄助手未見到相符圖片或在信息系統(tǒng)客戶端未見到圖片。這里，登錄助手發(fā)送和顯示的圖片可以是來(lái)自預(yù)先生成的一組圖片(這組圖片可以僅包含兩個(gè)區(qū)別很多的圖片)。

實(shí)施例3、

本實(shí)施例(如圖2所示)也是將本發(fā)明的身份鑒別方法直接用于應(yīng)用系統(tǒng)的登錄操作，與實(shí)施例1和2不同的是，在本實(shí)施例中，登錄助手接收到信息系統(tǒng)發(fā)送的請(qǐng)求允許用戶登錄的請(qǐng)求后，提示用戶在登錄助手的人機(jī)交互界面隨機(jī)(隨便、任意)輸入信息，并將用戶輸入的信息通過信息系統(tǒng)向信息系統(tǒng)客戶端發(fā)送；用戶根據(jù)登錄助手的提示，查看在信息系統(tǒng)客戶端是否顯示了用戶在移動(dòng)終端輸入的信息，并將結(jié)果向登錄助手確認(rèn)，登錄助手據(jù)此確定信息系統(tǒng)客戶端是否接收到了其發(fā)送的信息。在這種方式中，用戶輸入的信息多少不重要，是什么不重要，用戶通常輸入幾個(gè)字符、數(shù)字即可，甚至輸入一個(gè)字符、數(shù)字即可。

實(shí)施例4、

在本實(shí)施例中(如圖3所示)，Web應(yīng)用系統(tǒng)利用本發(fā)明的身份鑒別系統(tǒng)進(jìn)行用戶登錄(logon)Web應(yīng)用系統(tǒng)時(shí)的身份鑒別，身份鑒別系統(tǒng)包括身份鑒別服務(wù)器和移動(dòng)終端中的登錄助手，此時(shí)，瀏覽器既是用戶訪問Web系統(tǒng)的客戶端程序(應(yīng)用系統(tǒng)客戶端)又是用戶在身份鑒別服務(wù)器進(jìn)行身份鑒別的客戶端程序(身份鑒別客戶端)。當(dāng)用戶使用瀏覽器訪問Web應(yīng)用系統(tǒng)時(shí)，Web應(yīng)用系統(tǒng)通過HTTP重定向?qū)⒂脩魹g覽器引導(dǎo)到身份鑒別服務(wù)器，用戶通過瀏覽器提交用戶在身份服務(wù)器中的帳戶名，同時(shí)使用移動(dòng)終端中的登錄助手及用戶在身份鑒別服務(wù)器的身份憑證在身份鑒別服務(wù)器完成身份鑒別，然后用戶向登錄助手確認(rèn)瀏覽器是否顯示有與登錄助手顯示的展示信息一致的展示信息，這里的展示信息可以是如實(shí)施例1中的可顯示字串，也可以是如實(shí)施例2中的圖片。如果用戶向登錄助手確認(rèn)瀏覽器顯示有與登錄助手顯示的展示信息一致的展示信息，則登錄助手向身份鑒別服務(wù)器確認(rèn)允許使用瀏覽器的用戶通過身份鑒別，身份鑒別服務(wù)器向?yàn)g覽器返回證明用戶身份(以及證明用戶具有訪問Web應(yīng)用系統(tǒng)的權(quán)限)的安全令牌，之后通過HTTP自動(dòng)POST方式或HTTP重定向方式，由瀏覽器將安全令牌(或獲取安全令牌的信息)提交到Web應(yīng)用系統(tǒng)；Web應(yīng)用系統(tǒng)驗(yàn)證了用戶的安全令牌的有效性后，允許用戶在Web應(yīng)用系統(tǒng)登錄。若安全令牌驗(yàn)證不通過，則Web應(yīng)用系統(tǒng)拒絕用戶使用瀏覽器在Web系統(tǒng)的登錄。

在這個(gè)實(shí)施例中，身份鑒別服務(wù)器與登錄助手的交互既可以用TCP連接，也可以用HTTP，身份鑒別服務(wù)器在后臺(tái)將其與用戶瀏覽器的會(huì)話和其與登錄助手的會(huì)話關(guān)聯(lián)。安全令牌可以是SAML斷言，WS-Federation安全令牌或自定義的安全令牌。

對(duì)于客戶端程序(瀏覽器、登錄助手)通過HTTP與身份鑒別服務(wù)器交互的情形，身份鑒別服務(wù)器通過HTTP反向推送技術(shù)主動(dòng)向客戶端程序發(fā)送消息，或者采用客戶端輪詢方式由客戶端程序從身份鑒別服務(wù)器獲取消息。

實(shí)施例5、

在本實(shí)施例中(如圖4所示)，使用專用客戶端的應(yīng)用系統(tǒng)利用本發(fā)明的身份鑒別系統(tǒng)進(jìn)行用戶登錄(logon)應(yīng)用系統(tǒng)時(shí)的身份鑒別；身份鑒別系統(tǒng)包括身份鑒別服務(wù)器及運(yùn)行在移動(dòng)終端中的登錄助手，同時(shí)，身份鑒別服務(wù)器提供有專門的客戶端程序(如動(dòng)態(tài)庫(kù))，即身份鑒別客戶端，用于客戶端與身份鑒別服務(wù)器的交互；此時(shí)，應(yīng)用系統(tǒng)的客戶端程序通過調(diào)用身份鑒別服務(wù)器的客戶端程序與身份鑒別服務(wù)進(jìn)行交互，如提交用戶在身份鑒別服務(wù)器的帳戶名，獲得登錄助手發(fā)送的展示信息，獲得身份鑒別服務(wù)器返回的安全令牌，然后將獲得安全令牌提交的應(yīng)用系統(tǒng)完成登錄操作。這里，用戶輸入帳戶名、顯示登錄助手發(fā)送的展示信息的客戶端人機(jī)交互界面可以由應(yīng)用系統(tǒng)客戶端的人機(jī)交互界面提供，也可以由身份鑒別服務(wù)器的客戶端程序(如動(dòng)態(tài)庫(kù))提供。當(dāng)用戶向登錄助手確認(rèn)在用戶計(jì)算機(jī)客戶端接收到了登錄助手發(fā)送的展示信息后，登錄助手向身份鑒別服務(wù)器確認(rèn)允許(調(diào)用身份鑒別客戶端)在身份鑒別服務(wù)器進(jìn)行應(yīng)用客戶端所對(duì)應(yīng)的用戶通過身份鑒別；身份鑒別服務(wù)器(通過身份鑒別服務(wù)器的客戶端)向應(yīng)用系統(tǒng)客戶端返回證明用戶身份(以及證明用戶具有訪問應(yīng)用系統(tǒng)的權(quán)限)的安全令牌，之后應(yīng)用系統(tǒng)客戶端將安全令牌提交到應(yīng)用系統(tǒng)請(qǐng)求登錄；應(yīng)用系統(tǒng)驗(yàn)證了安全令牌的有效性后，允許用戶使用信息系統(tǒng)客戶端在應(yīng)用系統(tǒng)登錄；若安全令牌驗(yàn)證無(wú)效，則拒絕用戶登錄。

實(shí)施例6、

本實(shí)施例(如圖5所示)的應(yīng)用場(chǎng)景與實(shí)施例4相同，與實(shí)施例4不同的是，在本實(shí)施例中，登錄助手接收到信息系統(tǒng)發(fā)送的請(qǐng)求允許用戶通過身份鑒別的請(qǐng)求后，提示用戶在登錄助手的人機(jī)交互界面隨機(jī)(隨便、任意)輸入信息，并將用戶輸入的信息通過信息系統(tǒng)向用戶瀏覽器發(fā)送；用戶根據(jù)登錄助手的提示，查看在瀏覽器上是否顯示了用戶在移動(dòng)終端輸入的信息，并將結(jié)果向登錄助手確認(rèn)，登錄助手據(jù)此確定信息系統(tǒng)客戶端也即用戶瀏覽器是否接收到了其發(fā)送的信息。

在以上實(shí)施中，信息系統(tǒng)(應(yīng)用系統(tǒng)、身份鑒別服務(wù)器)將其與信息系統(tǒng)客戶端(應(yīng)用系統(tǒng)客戶端或身份鑒別客戶端)、登錄助手之間的會(huì)話進(jìn)行關(guān)聯(lián)的方案有很多種，一種方式是：信息系統(tǒng)與信息系統(tǒng)客戶端、登錄助手之間的會(huì)話都有一個(gè)會(huì)話標(biāo)識(shí)，信息系統(tǒng)在內(nèi)存或數(shù)據(jù)庫(kù)中維護(hù)一張表，其中每一項(xiàng)存放的是被關(guān)聯(lián)的信息系統(tǒng)客戶端、登錄助手與信息系統(tǒng)之間會(huì)話的會(huì)話標(biāo)識(shí)(一對(duì)會(huì)話標(biāo)識(shí))。

其他未說(shuō)明的具體技術(shù)實(shí)施，對(duì)于相關(guān)領(lǐng)域的技術(shù)人員而言是眾所周知，不言自明的。