CN1212716C - 因特网上不同应用系统间用户认证信息共享的方法 - Google Patents

Abstract

本发明涉及一种在因特网上不同应用系统间用户认证信息共享的方法。该方法包含登录认证服务器，用户相关信息数据库，用户认证令牌，登录认证服务器端认证令牌管理装置，应用系统端认证令牌验证和管理装置，用户端认证令牌管理装置。用户通过登录认证服务器的登录验证后，登录认证服务器端认证令牌管理装置产生用户认证令牌，并传送给用户终端系统，在用户登录应用系统时，通过用户端认证令牌管理装置，用户认证令牌被发送到应用系统，该应用系统使用认证令牌验证和管理装置验证用户认证令牌以确定用户身份是否合法。该方法使用户一次登录可以多次访问不同应用系统。

Description

因特网上不同应用系统间用户认证信息共享的方法

技术领域

本发明涉及一种在因特网上不同应用系统间用户认证信息共享的方法，具体来说，涉及在不同应用系统和登录认证服务器之间共享用户在登录认证服务器经过验证的身份信息。

技术背景

目前，用户在登录应用系统时，需要输入用户在应用系统注册的身份信息，如果用户要登录不同的应用系统，就需要多次输入自己的身份信息，并且需要用户在不同的应用系统注册新的帐号和密码，这造成用户在使用服务时不方便，且用户需要记住很多身份信息从而容易造成使用时出错。同样，为了验证用户身份，每个应用系统需要维护用户相关信息库，这造成同一用户身份信息在不同应用系统都须保留一份，导致信息重复；并且在商业上造成因特网应用服务商发展客户困难。

现有的一种解决措施是基于cookie技术的一次登录方法。在此方法中，用户通过www浏览器登录到登录认证服务器，登录认证服务器产生一个cookie，该cookie用一个秘密对称密钥加密，并被传送到用户浏览器中，用户在登录到应用系统时，浏览器把登录认证服务器产生的cookie发送到应用系统，应用系统用与登录认证服务器共享的秘密对称密钥解密cookie中的内容，然后把从cookie中获得的用户信息与用户信息数据库中存储的信息进行比较，如果一致则认为是合法的，否则认为非法。该一次登录系统的特点是：应用系统和登录认证服务器之间共享一个秘密对称密钥，它们之间要维护秘密密钥的定时更新和同步，同时它们需要共享用户信息数据。这种方法的缺点是，秘密密钥的更新和维护很复杂，并且秘密密钥需要在登录认证服务器和多个应用系统之间共享，带来一定安全上的隐患，而且为了共享用户信息，要求用户数据必须一致，带来操作上的极大复杂性。

与上述一次登录技术不同的是，本发明采用PKI公钥密码技术，不需要登录认证服务器和应用系统之间共享秘密对称密钥，登录认证服务器在用户成功登录后产生一个用户认证令牌，并用登录认证服务器自己的CA数字证书对应的私钥对用户认证令牌中的数据进行数字签名，并且该数字签名包含在用户认证令牌中，应用系统只需用登录认证服务器的CA数字证书就可以验证此用户认证令牌是否是登录认证服务器产生的，从而可以确定用户身份是否合法。由于登录认证服务器的CA数字证书是可以公开发布的，所以不存在使用安全上的隐患，并且登录认证服务器产生的认证令牌中可以包含用户的业务权限信息，不需要应用系统和登录认证服务器采用共享用户数据库的方法以完成用户身份的认证。

发明内容

本发明的目的在于提供一种因特网上不同应用系统间用户认证信息共享的方法，采用公钥密码技术中的数字证书机制，使用户在登录认证服务器登录认证一次后，在有效时间内访问不同应用系统时，不需要用户再次输入自己的身份信息，用户身份信息的确认由认证令牌验证和管理装置自动完成，减少用户的登录认证次数。同时，使应用系统不必关心用户身份信息的维护，用户身份信息的管理和维护由登录认证服务器统一完成，从而实现应用系统和登录认证服务器共享用户资源。

本发明是一种因特网上不同应用系统间用户认证信息共享的方法，该方法采用公钥密码技术和令牌技术，由应用系统用于用户身份验证，以确定是否允许用户使用该应用系统所提供的服务，该方法包含：

登录认证服务器；

用户相关信息数据库；

用户认证令牌；

登录认证服务器端认证令牌管理装置；

应用系统端认证令牌验证和管理装置；

用户终端认证令牌管理装置；

本发明的特征在于用户通过登录认证服务器进行身份验证，登录认证服务器使用公钥密码技术和用户相关信息数据库验证用户身份是否合法，用户通过登录认证服务器的登录验证后，登录认证服务器使用公钥密码技术和登录认证服务器端认证令牌管理装置产生用户认证令牌，用户认证令牌被自动返回给用户发起登录请求的用户终端，当用户登录应用系统时，用户认证令牌通过用户终端认证令牌管理装置被传送到应用系统，应用系统使用认证令牌验证和管理装置，验证该用户认证令牌以确定用户身份是否合法。

用户终端指用户为使用应用系统提供的服务所使用的终端软件，该终端软件使用用户终端认证令牌管理装置对令牌进行管理，该软件是www浏览器或是应用系统专用客户端软件。

应用系统指通过因特网提供服务的软件系统，该软件系统使用应用系统端认证令牌验证和管理装置实现对用户身份的认证，该软件系统是提供页面服务的WWW服务器，或是提供持续时间型服务的专用计算机应用软件系统，持续时间型服务应用系统是提供音视频多媒体服务或是网络游戏服务或是远程教育服务的专用计算机应用软件系统。

用户认证令牌包含用户认证信息和用户认证信息的数字签名，由登录认证服务器采用公钥密码技术的CA数字证书机制实现对用户认证信息的数字签名，用户认证信息包含用户身份标识、登录时间、令牌有效时长，或用户的业务权限信息。

应用系统端认证令牌验证和管理装置采用基于公钥密码技术的CA数字证书机制验证用户认证令牌中的数字签名是否有效，以确定用户认证令牌是否合法。

登录认证服务器端认证令牌管理装置采用基于公钥密码技术的CA数字证书机制对用户认证信息进行数字签名，和对用户认证令牌进行验证。

该方法中的应用系统端认证令牌验证和管理装置、登录认证服务器端认证令牌管理装置和用户终端认证令牌管理装置，是由C语言或C++语言或JAVA语言或脚本语言实现的应用程序软件。

因特网上基于公钥密码技术和令牌技术实现不同应用系统间用户认证信息共享的方法，可以满足用户“一站式”服务的要求，即用户一次登录认证服务器后，访问采用相同认证体系的应用系统时不需再次登录和认证。该方法使用户只需要记忆一种身份信息，就可以直接享用采用相同认证体系的不同因特网服务商提供的应用服务，减少用户登录出错机会，省略或减少繁琐的用户登录过程。

该方法可以使因特网服务商不必关心用户注册信息的维护工作，也不必关心用户发展工作，由登录认证服务器统一管理和维护用户信息，实现了不同应用系统和登录认证服务器间用户资源的共享。该方法采用基于公钥密码技术的CA数字证书机制保证认证信息的准确性和抗抵赖性，提高了认证的安全性。

附图说明

附图1说明用户登录到登录认证服务器的过程。

附图2说明用户登录应用系统的过程。

具体实施方式

共享用户登录信息的登录方法包含两个过程：

■用户登录到登录认证服务器的过程

■用户登录应用系统的过程

实施例1：

用户登录到登录认证服务器的过程如下：

1)用户发出登录到登录认证服务器的请求。

2)登录服务器端认证令牌管理装置自动到用户发起登录请求的终端读取用户认证令牌，读取结果分为两种情况：一是用户认证令牌不存在；二是用户认证令牌存在。

3)如果用户端用户认证令牌不存在，则要求用户在登录界面中填写其身份信息。

4)如果用户端用户认证令牌存在，则提取用户认证令牌，解析并验证该用户认证令牌的有效性，验证结果分为两种情况：一是验证通过；二是验证不通过。

5)如果验证通过则登录认证服务器进入服务状态。

6)如果验证不通过可能存在以下原因：一是用户认证令牌已经超过它的有效期限；二是用户认证令牌不符合登录认证服务器所规定的数据格式；三是用户认证令牌中包含的数据非法。只要满足上述原因之一，登录服务器端认证令牌管理装置要求用户在登录界面中填写其身份信息。

7)用户通过登录界面提交登录请求，登录认证服务器端认证令牌管理装置接收用户身份信息，并根据用户的身份信息从用户相关信息数据库中提取对应数据进行验证，验证结果分为两种情况：一是数据一致；二是数据不一致。

8)如果用户提交的身份信息与用户相关信息数据库中的不一致，可以提示用户重新输入；如果数据一致，则根据登录认证服务器的验证规则条件确定是否允许用户验证通过。

9)如果总是允许合法用户使用服务，则通过验证。

10)如果没有使用同一用户身份的用户在用户认证令牌有效期内使用服务，则通过验证；如果有相同用户身份的用户处于登录状态，则根据策略可以选择允许该用户验证通过和不允许该用户验证通过。

11)用户通过身份验证后，登录认证服务器端认证令牌管理装置产生用户认证令牌，修改用户相关信息数据库中的用户登录状态。

12)用户认证令牌返回给用户登录终端，该用户认证令牌中包含的信息有用户身份标识、登录时间、令牌有效时长、还包含登录认证服务器使用数字证书生成的数字签名，也可以包含用户是否有权利使用应用系统服务的权限信息。

实施例2：

用户登录应用系统的过程如下：

1)用户发出使用应用系统提供的服务的请求。

2)应用系统端认证令牌验证和管理装置读取用户终端的用户认证令牌，读取结果分为两种情况：一是用户认证令牌不存在；二是用户认证令牌存在。

3)如果用户端用户认证令牌不存在，则调用登录认证服务器登录界面。

4)如果用户端用户认证令牌存在，则提取该用户认证令牌，解析并验证该用户认证令牌的有效性，验证结果分为两种情况：一是验证通过；二是验证不通过。

5)如果验证通过则进入应用系统的服务状态。

6)如果验证不通过可能存在以下原因：一是用户认证令牌已经超过它的有效期限；二是用户认证令牌不符合使用服务所规定的数据格式；三是用户认证令牌中包含的数据非法，只要满足上述原因之一，应用系统端认证令牌验证和管理装置调用登录认证服务器登录界面。

7)调用登录认证服务器登录界面的后续步骤为，与“用户登录到登录认证服务器的过程”中的7至12步骤相同。

8)(13)如果用户通过登录认证服务器的验证，用户认证令牌被传送到应用系统，应用系统端认证令牌验证和管理装置验证该用户认证令牌，如果验证通过则进入服务状态；如果验证不通过，则提示出错信息，显示选择界面，由用户决定是否重新登录。

本发明这样便实施了一种在不同应用系统和登录认证服务器之间共享用户认证信息的方法。总体来说，登录认证服务器产生一个用户认证令牌，该认证令牌中包含用户身份信息、部分管理信息和登录认证服务器的数字签名，应用系统通过获得该用户认证令牌，验证该令牌确实是登录认证服务器签发的，并且是合法的，从而验证用户身份的合法性，达到用户在登录认证服务器登录一次后，就可以登录采用相同认证体系的不同应用系统，使用户认证信息在不同应用系统和登录认证服务器之间共享。

Claims (5)

1.一种因特网上不同应用系统间用户认证信息共享的方法，该方法采用公钥密码技术和令牌技术，由应用系统用于用户身份验证，以确定是否允许用户使用该应用系统所提供的服务，该方法包含：

登录认证服务器；

用户相关信息数据库；

用户认证令牌；

登录认证服务器端认证令牌管理装置；

应用系统端认证令牌验证和管理装置；

用户终端认证令牌管理装置；

其特征在于，用户通过登录认证服务器进行身份验证，登录认证服务器使用公钥密码技术和用户相关信息数据库验证用户身份是否合法，用户通过登录认证服务器的登录验证后，登录认证服务器使用公钥密码技术和登录认证服务器端认证令牌管理装置产生用户认证令牌，用户认证令牌被自动返回给用户发起登录请求的用户终端，当用户登录应用系统时，用户认证令牌通过用户终端认证令牌管理装置被传送到应用系统，应用系统使用认证令牌验证和管理装置，验证该用户认证令牌以确定用户身份是否合法。

2.如权利要求1所述的方法，其特征在于，用户终端指用户为使用应用系统提供的服务所使用的终端软件，该终端软件使用用户终端认证令牌管理装置对令牌进行管理，该软件是www浏览器或是应用系统专用客户端软件。

3.如权利要求1所述的方法，其特征在于，应用系统指通过因特网提供服务的软件系统，该软件系统使用应用系统端认证令牌验证和管理装置实现对用户身份的认证，该软件系统是提供页面服务的WWW服务器，或是提供持续时间型服务的专用计算机应用软件系统，持续时间型服务应用系统是提供音视频多媒体服务或是网络游戏服务或是远程教育服务的专用计算机应用软件系统。

4.如权利要求1所述的方法，其特征在于，用户认证令牌包含用户认证信息和用户认证信息的数字签名，由登录认证服务器采用公钥密码技术的CA数字证书机制实现对用户认证信息的数字签名，用户认证信息包含用户身份标识、登录时间、令牌有效时长，或用户的业务权限信息。

5.如权利要求1所述的方法，其特征在于，应用系统端认证令牌验证和管理装置采用基于公钥密码技术的CA数字证书机制验证用户认证令牌中的数字签名是否有效，以确定用户认证令牌是否合法；登录认证服务器端认证令牌管理装置采用基于公钥密码技术的CA数字证书机制对用户认证信息进行数字签名，和对用户认证令牌进行验证。