用于用戶認(rèn)證的系統(tǒng)及方法
【專利說明】用于用戶認(rèn)證的系統(tǒng)及方法
[0001]介紹
[0002]本申請涉及當(dāng)用戶希望訪問遠(yuǎn)程服務(wù)時用于用戶認(rèn)證的系統(tǒng)或方法。
[0003]背景
[0004]在用戶希望訪問在線服務(wù)的私用部分時，很多在線服務(wù)需要用戶識別及認(rèn)證，例如訪問它的Facebook?空間或能夠閱讀它的消息。為了做到這點(diǎn)，所述服務(wù)的服務(wù)器需要用戶給出識別符和密碼。
[0005]使用由服務(wù)器所存儲的參考數(shù)據(jù)來驗(yàn)證這些數(shù)據(jù)，一方面用于檢查識別符在服務(wù)器中被很好地索引，并且另一方面檢查密碼對應(yīng)于參考密碼。一旦已經(jīng)完成這些驗(yàn)證，服務(wù)器授權(quán)所述用戶訪問服務(wù)。
現(xiàn)有技術(shù)
[0006]當(dāng)前的解決方案已經(jīng)考慮到在數(shù)據(jù)庫中存儲明文信息的風(fēng)險(xiǎn)，即使上述信息受到保護(hù)。這就是為什么第一種方案包括對識別符和密碼執(zhí)行諸如為SHA-1或MD5的哈希函數(shù)(單向函數(shù))，并且用這種形式存儲兩個信息:應(yīng)當(dāng)注意的是，這些哈希函數(shù)被視為是單向的，即，不可能使用哈希值計(jì)算原始值。
[0007]然而，已經(jīng)發(fā)現(xiàn)在竊取數(shù)據(jù)期間，通過連續(xù)嘗試使得一些專用工具(例如強(qiáng)力破解、字典破解)能夠發(fā)現(xiàn)明文的密碼。有待評價的更昂貴的加密函數(shù)的使用，例如標(biāo)準(zhǔn)NISTPBKDF2，已經(jīng)致使這些破解更不有效。
[0008]另一種方案是以加密形式在材料安全元件中存儲這些敏感數(shù)據(jù)。黑客的想象力和判斷力是無限的，并且甚至這樣的安全元件不能免遭竊取。
[0009]在這些不同的方案中，敏感數(shù)據(jù)被存儲在唯一位置，因此這將吸引懷著非法獲取關(guān)于用戶的私人信息的目的的黑客的注意力。
[0010]另一個問題是本發(fā)明提出解決關(guān)于更新密碼的安全性。的確，如果服務(wù)器希望用提供有更多安全性的新函數(shù)來修改哈希函數(shù)，則有必要警告每個用戶以用它的密碼識別本人，所述密碼因第一哈希函數(shù)而得到驗(yàn)證。然后，邀請用戶輸入將由第二哈希函數(shù)編碼并且接下來被存儲的新密碼。這種更新典型地由對適應(yīng)黑客及合法用戶的計(jì)算能力的需求促起。
[0011]文獻(xiàn)US 2007/0234408描述了一種在訪問目標(biāo)資源(第二要素)時認(rèn)證第一用戶(第一要素)的方法。根據(jù)實(shí)施例，認(rèn)證服務(wù)接收諸如為用戶名和密碼的第一組證書。在成功驗(yàn)證第一組證書后，目標(biāo)資源能夠識別請求者并訪問它的私人數(shù)據(jù)。認(rèn)證服務(wù)接下來請求關(guān)于從第一組證書得到的識別的第二組證書。
[0012]文獻(xiàn)US 2003/0131264描述了一種允許在非LDAP區(qū)域(用于輕量目錄訪問協(xié)議)內(nèi)訂戶漫游和密碼認(rèn)證的系統(tǒng)及方法。用戶在依次連接到區(qū)域LDAP RADIUS服務(wù)器的網(wǎng)絡(luò)接入服務(wù)器上簽名。密碼認(rèn)證通過哈希被發(fā)送的密碼并將它與LDAP數(shù)據(jù)庫中已經(jīng)被以與被發(fā)送的密碼相同的方式哈希的明文文本密碼相比較來發(fā)生。當(dāng)訂戶在非LDAP區(qū)域時，密碼經(jīng)由代理服務(wù)器傳送到連接到非LDAP服務(wù)器的區(qū)域RADIUS服務(wù)器。非LDAP服務(wù)器連接到SMS數(shù)據(jù)庫并且檢索與非LDFSAP用戶相關(guān)聯(lián)的明文文本密碼，根據(jù)與被發(fā)送的已被哈希的密碼相同的方法哈希它并且格式化密碼以用于區(qū)域RADIUS服務(wù)器中的比較。如果被哈希的密碼匹配，則允許訪問。
[0013]文獻(xiàn)US2004/0123159描述了一種在使用無線技術(shù)來遠(yuǎn)程提供網(wǎng)絡(luò)管理服務(wù)給被管理的實(shí)體時避免使用網(wǎng)頁服務(wù)器或一般安全性的方法、系統(tǒng)和裝置。替代地，不操作為網(wǎng)頁服務(wù)器的真實(shí)代理設(shè)備被用于預(yù)處理來自無線輸入設(shè)備(WID)的全部命令業(yè)務(wù)量。在WID與代理的受管理的實(shí)體之間進(jìn)行介入，實(shí)現(xiàn)了包括能夠跨互聯(lián)網(wǎng)和在防火墻后傳遞TELNET服務(wù)的多個帶寬和安全性優(yōu)點(diǎn)，該介入隔離受管理的實(shí)體和WID，通過使用新的消息協(xié)議進(jìn)行編碼來增強(qiáng)，進(jìn)一步通過基于多個預(yù)分享的密鑰和算法結(jié)合未發(fā)送的識別符和密碼的新的安全性模型來增強(qiáng)。

【發(fā)明內(nèi)容】

[0014]本發(fā)明有兩個目的，S卩，一方面，加強(qiáng)對密碼和用戶識別符保護(hù)的安全性；以及另一方面，允許無需用戶介入的安全性的更新。這些目的能夠被單獨(dú)或組合實(shí)現(xiàn)。
[0015]本發(fā)明提出一種用戶認(rèn)證方法，實(shí)現(xiàn)連接到公共網(wǎng)絡(luò)的第一服務(wù)器和連接到第一服務(wù)器但不連接到公共網(wǎng)絡(luò)的第二服務(wù)器，該方法包括注冊步驟，所述注冊步驟包括:
[0016]-由所述第一服務(wù)器接收參考識別符U和參考密碼P，
[0017]-將參考識別符U和參考密碼P發(fā)送到所述第二服務(wù)器，
[0018]-由第二服務(wù)器加載安全參數(shù)R，
[0019]-由第二服務(wù)器通過對參考識別符U、參考密碼P和安全參數(shù)R執(zhí)行單向函數(shù)Hash來計(jì)算第一密文H，
[0020]-通過使用非對稱加密方法以公鑰作為參數(shù)至少對參考識別符U和密碼P加密，并且存儲由第二服務(wù)器加密的數(shù)據(jù)，
[0021]-向第一服務(wù)器返回第一密文Η并由第一服務(wù)器存儲所述密文，
[0022]以及用戶驗(yàn)證步驟，包括:
[0023]-由第一服務(wù)器接收當(dāng)前識別符U'和當(dāng)前密碼Ρ，
[0024]-將當(dāng)前識別符U'和當(dāng)前密碼Ρ發(fā)送到第二服務(wù)器，
[0025]-由第二服務(wù)器對當(dāng)前識別符U'、當(dāng)前密碼Ρ和安全參數(shù)R執(zhí)行單向函數(shù)Hash來計(jì)算第二密文屮，
[0026]-向第一服務(wù)器返回第二密文H'并驗(yàn)證數(shù)據(jù)庫中是否包括第一密文，如果不包括，則生成錯誤消息。
[0027]本發(fā)明基于使用兩個服務(wù)器，每個服務(wù)器都不具有關(guān)于用戶的完整的數(shù)據(jù)。第一服務(wù)器包括第一數(shù)據(jù)庫并且第二服務(wù)器包括第二數(shù)據(jù)庫。
[0028]具體地，與公網(wǎng)通信的前端服務(wù)器(或第一服務(wù)器)不處理那些如果被盜對惡意第三方有用的敏感信息。
[0029]第一服務(wù)器在第一受保護(hù)的數(shù)據(jù)庫中存儲每個用戶的記錄，根據(jù)第一版本，該記錄僅包括第一密文H。
[0030]第二服務(wù)器在第二受保護(hù)的數(shù)據(jù)庫中存儲安全參數(shù)R和三重識別符、密碼和安全參數(shù)的加密。
[0031]應(yīng)當(dāng)注意的是，單向函數(shù)僅被第二服務(wù)器知曉，該函數(shù)能夠被僅由第二服務(wù)器知曉的密鑰初始化。
【附圖說明】
[0032]本發(fā)明因附圖而得到更好的理解，其中:
[0033]-圖1示出注冊的步驟，
[0034]-圖2示出驗(yàn)證的步驟。
【具體實(shí)施方式】
[0035]本發(fā)明的系統(tǒng)包括至少兩個服務(wù)器，第一服務(wù)器S1 (前端)可由一個或多個用戶訪問，第二服務(wù)器S2(后端)本地連接到第一服務(wù)器S1。第一服務(wù)器和第二服務(wù)器之間的連接受到保護(hù)，即，確保交換數(shù)據(jù)的機(jī)密性和完整性。這些服務(wù)器中的每一個具有存儲用于用戶認(rèn)證的數(shù)據(jù)的數(shù)據(jù)庫。
[0036]系統(tǒng)一旦被執(zhí)行，第二服務(wù)器就初始化將被存儲在所述服務(wù)器的第二受保護(hù)的數(shù)據(jù)庫中的安全參數(shù)R。應(yīng)當(dāng)注意的是，在第一服務(wù)器提供多于一個服務(wù)的情況下，該參數(shù)可以取決于請求的應(yīng)用。例如對于提供對私人賬戶或交易賬戶的管理訪問的銀行而言，為此情況。在該情況下，這些服務(wù)中的每一個可以對應(yīng)于不同的安全參數(shù)。
[0037]為了允許第二服務(wù)器選擇正確的參數(shù)，如果第二服務(wù)器控制多個服務(wù)，則從第一服務(wù)器向第二服務(wù)器發(fā)送的第一消息還將包括請求認(rèn)證的服務(wù)的類型。
[0038]注冊
[0039]第一步驟是在諸如圖1所示的系統(tǒng)中注冊用戶。在傳統(tǒng)的方式中，邀請?jiān)撚脩粼诘谝环?wù)器S1的接口中引入?yún)⒖甲R別符U和參考密碼P。這兩個信息被通過安全連接發(fā)送給第二服務(wù)器S2。第一服務(wù)器能夠添加諸如為服務(wù)類型和/或?yàn)樗岢龅姆?wù)而分配給該用戶的系統(tǒng)ID識別符的附加信息。參考識別符U為用戶知曉的參考識別符，而系統(tǒng)ID識別符是提供服務(wù)的系統(tǒng)的數(shù)字或字母數(shù)字序列。系統(tǒng)識別符對用戶來講是唯一的。
[0040]一旦第二服務(wù)器S2接收到這個信息，第二服務(wù)器S2就確定安全參數(shù)R并且對參考識別符U和密碼P執(zhí)行單向函數(shù)Hash。結(jié)果為密文!1 =他通(1]，？，1?)。這個結(jié)果Η被發(fā)送到第一服務(wù)器S1，第一服務(wù)器S1將它存儲在它的安全數(shù)據(jù)庫中。
[0041]第二服務(wù)器S2還使用非對稱加密方法采用所述服務(wù)器S2存儲的公鑰作為變量對參考識別符U和密碼Ρ加密，對應(yīng)的私鑰被以安全方式存儲在網(wǎng)絡(luò)外部(例如在物理的保險(xiǎn)柜內(nèi))?？蛇x地，被加密的單元能夠包括安全參數(shù)R，因而允許知曉哪個參數(shù)已經(jīng)被這個用戶