專(zhuān)利名稱：基于遠(yuǎn)程分布式組件的身份認(rèn)證的安全控制方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種身份認(rèn)證的安全控制的方法。具體地說(shuō)，是一種基于遠(yuǎn)程分布式組件的身份認(rèn)證的安全控制方法。屬于信息技術(shù)領(lǐng)域。
背景技術(shù)：
分布式組件對(duì)象模式是在目前應(yīng)用最廣的組件技術(shù)的基礎(chǔ)上發(fā)展而來(lái)的，利用了組件軟件技術(shù)的，將大而復(fù)雜的軟件應(yīng)用分成一系列的可先行實(shí)現(xiàn)、易于開(kāi)發(fā)、理解和調(diào)整的軟件單元，并在Internet上擴(kuò)展組件應(yīng)用。遠(yuǎn)程分布組件具有縮短開(kāi)發(fā)時(shí)間、降低集成費(fèi)用、開(kāi)發(fā)更具靈性和開(kāi)放跨平臺(tái)的優(yōu)勢(shì)，簡(jiǎn)化了企業(yè)應(yīng)用的開(kāi)發(fā)過(guò)程?；谶h(yuǎn)程分布式組件的身份認(rèn)證旨在構(gòu)架一個(gè)靈活、安全、可靠的身份認(rèn)證體系，它利用分布式組件對(duì)象的技術(shù)，在服務(wù)器上建立身份認(rèn)證的分布式可復(fù)用組件，為各類(lèi)應(yīng)用提供統(tǒng)一集中的身份認(rèn)證環(huán)境。
經(jīng)文獻(xiàn)檢索發(fā)現(xiàn)，美國(guó)Sun Microsystems公司的JAAS技術(shù)規(guī)范文檔說(shuō)明基于Java驗(yàn)證和授權(quán)服務(wù)定義對(duì)運(yùn)行程序的用戶的進(jìn)行驗(yàn)證的應(yīng)用訪問(wèn)接口，作為解決企業(yè)級(jí)應(yīng)用系統(tǒng)身份認(rèn)證問(wèn)題的一種技術(shù)，并沒(méi)有對(duì)身份認(rèn)證安全機(jī)制做太多的考慮。大量已投入使用的基于“用戶名+口令”的身份認(rèn)證方式的安全性非常弱，用戶名和口令易被竊取而導(dǎo)致?lián)p失；而且“用戶名+口令”的認(rèn)證方式用戶使用起來(lái)也非常不方便，用戶常常需要記住復(fù)雜的用戶名和口令。同時(shí)，應(yīng)用系統(tǒng)的中的數(shù)據(jù)信息在互聯(lián)網(wǎng)上以明文的形式傳送，極易被非法用戶竊聽(tīng)而造成重要信息的泄漏。

發(fā)明內(nèi)容
本發(fā)明的目的在于針對(duì)現(xiàn)有技術(shù)中的不足和缺陷，提供一種基于遠(yuǎn)程分布式組件的身份認(rèn)證的安全控制方法，使其利用CA(Certificate Authority)對(duì)用戶身份認(rèn)證的身份認(rèn)證的安全控制方法，解決企業(yè)級(jí)應(yīng)用系統(tǒng)身份認(rèn)證應(yīng)用沒(méi)有安全控制、用戶的身份沒(méi)有安全保護(hù)而帶來(lái)的安全問(wèn)題，進(jìn)而避免安全問(wèn)題所導(dǎo)致的應(yīng)用生命周期縮短，并控制為解決安全問(wèn)題而帶來(lái)的安全成本。
本發(fā)明是通過(guò)以下技術(shù)方案實(shí)現(xiàn)的，本發(fā)明利用現(xiàn)有的、經(jīng)過(guò)企業(yè)驗(yàn)證的遠(yuǎn)程分布式組件系統(tǒng)，結(jié)合CA應(yīng)用，建立使用企業(yè)級(jí)應(yīng)用系統(tǒng)的用戶的身份認(rèn)證的安全控制機(jī)制，用戶利用CA頒發(fā)的數(shù)字證書(shū)，向身份認(rèn)證服務(wù)器進(jìn)行身份認(rèn)證，并在身份認(rèn)證服務(wù)器得到的授權(quán)信息，得到使用應(yīng)用系統(tǒng)的許可。
所述的企業(yè)級(jí)應(yīng)用系統(tǒng)，為其提供安全的訪問(wèn)服務(wù)，包括(1)從用戶名+口令的登錄認(rèn)證方式升級(jí)到數(shù)字證書(shū)認(rèn)證方式；(2)利用分布式組件，使不同的應(yīng)用系統(tǒng)可使用統(tǒng)一的認(rèn)證方式，可實(shí)現(xiàn)單點(diǎn)登錄。
(3)對(duì)重要的信息進(jìn)行信息加密(RSA)傳輸和保存；(4)對(duì)不可抵賴信息進(jìn)行數(shù)字簽名；(5)對(duì)企業(yè)級(jí)應(yīng)用系統(tǒng)進(jìn)行保護(hù)，防止非法訪問(wèn)。
所述的使用企業(yè)級(jí)應(yīng)用系統(tǒng)，用戶在使用之前，必須得到企業(yè)級(jí)應(yīng)用系統(tǒng)的數(shù)字證書(shū)，用戶通過(guò)數(shù)字證書(shū)得到應(yīng)用系統(tǒng)的使用許可，許可包含用戶的身份信息及其得到的授權(quán)信息。
所述的向身份認(rèn)證服務(wù)器進(jìn)行身份認(rèn)證，是利用遠(yuǎn)程分布式組件技術(shù)，構(gòu)建安全認(rèn)證組件，并把它部署到應(yīng)用服務(wù)器，負(fù)責(zé)對(duì)用戶的身份認(rèn)證。
所述的向身份認(rèn)證服務(wù)器進(jìn)行身份認(rèn)證，需要構(gòu)建客戶端代理插件，負(fù)責(zé)讀取用戶證書(shū)，并與服務(wù)器上的安全認(rèn)證組件的安全身份認(rèn)證之間通訊。
所述的身份認(rèn)證，在用戶發(fā)布登陸請(qǐng)求，發(fā)出自己的公鑰證書(shū)時(shí)，服務(wù)器上的安全認(rèn)證組件產(chǎn)生一個(gè)隨機(jī)數(shù)據(jù)給客戶端代理插件，用戶用自己的私鑰對(duì)隨機(jī)數(shù)據(jù)進(jìn)行加密并將加密所得值返回給服務(wù)器，與服務(wù)器上的安全認(rèn)證組件驗(yàn)證用戶的公鑰證書(shū)，然后提取公鑰解密該加密值，最后比對(duì)原隨機(jī)數(shù)據(jù)，如果比對(duì)成功，通過(guò)用戶的身份認(rèn)證，分配應(yīng)用系統(tǒng)的使用許可。
所述的許可包含用戶的身份信息及其得到的授權(quán)信息。
本發(fā)明方法的主要技術(shù)點(diǎn)在于利用分布式組件技術(shù)，結(jié)合CA(CertificateAuthority)應(yīng)用，建立使用企業(yè)級(jí)應(yīng)用系統(tǒng)的用戶的身份認(rèn)證的安全控制機(jī)制，保證了身份認(rèn)證的安全性和不可抵賴性。從應(yīng)用的角度看，利用現(xiàn)有的、經(jīng)過(guò)企業(yè)驗(yàn)證的分布式組件技術(shù)，使不同的應(yīng)用系統(tǒng)可使用統(tǒng)一的認(rèn)證方式，可實(shí)現(xiàn)單點(diǎn)登錄。從安全的角度看，CA(Certificate Authority)應(yīng)用，增加了利用數(shù)字證書(shū)進(jìn)行的身份認(rèn)證，通過(guò)可靠的加密機(jī)制來(lái)實(shí)現(xiàn)身份認(rèn)證的安全性和不可抵賴性。
與現(xiàn)有技術(shù)相比，本發(fā)明的優(yōu)點(diǎn)是(1)更安全和方便的身份認(rèn)證方式消除了“用戶名+口令”的傳統(tǒng)登錄方式帶來(lái)的系統(tǒng)安全性問(wèn)題，保證身份認(rèn)證的安全性和準(zhǔn)確性。(2)對(duì)關(guān)鍵信息加密傳輸和存儲(chǔ)使用本方法后，關(guān)鍵信息以密文的形式傳輸和存儲(chǔ)，即使是系統(tǒng)管理員，也看不到此部分信息，只有擁有對(duì)應(yīng)證書(shū)和私鑰的用戶才能看到此關(guān)鍵信息。(3)系統(tǒng)安裝和使用都很簡(jiǎn)單本軟件將數(shù)字證書(shū)這一“復(fù)雜”的工具隱藏在系統(tǒng)后臺(tái)，使用者不需要了解關(guān)于CA的任何知識(shí)就能方便的使用。在系統(tǒng)的安裝上，普通的管理員按照說(shuō)明書(shū)就能完成，極大的降低了技術(shù)門(mén)檻。(4)對(duì)已有的系統(tǒng)進(jìn)行安全升級(jí)極為簡(jiǎn)單使用本方法后，惟一改變就是將應(yīng)用系統(tǒng)的用戶名和口令換成公司企業(yè)級(jí)CA簽發(fā)的用戶證書(shū)。(5)可支持多種證書(shū)存儲(chǔ)介質(zhì)e-Key、USB棒、IC卡、磁盤(pán)。可以根據(jù)應(yīng)用系統(tǒng)情況酌情選擇。(6)使用的加密算法符合國(guó)家密碼委員會(huì)的規(guī)定，支持大的CA系統(tǒng)。
具體實(shí)施例方式
下面結(jié)合本發(fā)明在“數(shù)據(jù)交換系統(tǒng)”中的應(yīng)用，提供一個(gè)實(shí)施例對(duì)本發(fā)明進(jìn)行說(shuō)明。
首先對(duì)數(shù)據(jù)交換系統(tǒng)和應(yīng)用分別做簡(jiǎn)要說(shuō)明。
數(shù)據(jù)交換系統(tǒng)是為企業(yè)級(jí)應(yīng)用系統(tǒng)中各類(lèi)應(yīng)用系統(tǒng)的數(shù)據(jù)交換提供一個(gè)統(tǒng)一的、規(guī)范化的、遵循XML標(biāo)準(zhǔn)的應(yīng)用數(shù)據(jù)交換系統(tǒng)，為企業(yè)級(jí)應(yīng)用系統(tǒng)中各類(lèi)應(yīng)用系統(tǒng)提供信息共享和數(shù)據(jù)整合的手段。數(shù)據(jù)交換系統(tǒng)是一種完成交易轉(zhuǎn)接功能的交換中心應(yīng)用軟件，為一個(gè)或多個(gè)應(yīng)用系統(tǒng)提供相互間完全的、安全的數(shù)據(jù)交換服務(wù)。系統(tǒng)采用模塊化結(jié)構(gòu)設(shè)計(jì)，既能很容易的連接外部網(wǎng)絡(luò)，也能很容易地連接其它的應(yīng)用系統(tǒng)，并能方便地在系統(tǒng)中增加新設(shè)備，或增加新的應(yīng)用項(xiàng)目，在應(yīng)用時(shí)，數(shù)據(jù)交換系統(tǒng)將企業(yè)的各個(gè)應(yīng)用系統(tǒng)有機(jī)地連接在一起，實(shí)現(xiàn)數(shù)據(jù)格式轉(zhuǎn)換、數(shù)據(jù)傳輸路由選擇、存儲(chǔ)轉(zhuǎn)發(fā)處理、數(shù)據(jù)交換管理等功能。該系統(tǒng)采用J2EE技術(shù)實(shí)現(xiàn)，采用Weblogic作為消息服務(wù)器，采用MS SQL SERVER數(shù)據(jù)庫(kù)作為數(shù)據(jù)交換中心的數(shù)據(jù)庫(kù)服務(wù)器?？蛻舳瞬捎肑AVA SWING技術(shù)實(shí)現(xiàn)。
具體的實(shí)施過(guò)程如下(1)構(gòu)建企業(yè)級(jí)CA系統(tǒng)，負(fù)責(zé)給頒發(fā)和管理數(shù)字證書(shū)。公共數(shù)據(jù)交換中心的CA系統(tǒng)是業(yè)務(wù)系統(tǒng)使用許可庫(kù)，許可庫(kù)在數(shù)據(jù)交換中心的數(shù)據(jù)庫(kù)服務(wù)器上。業(yè)務(wù)系統(tǒng)使用許可庫(kù)包含業(yè)務(wù)系統(tǒng)的基本信息和數(shù)據(jù)交換中心為它生成的證書(shū)等信息。
(2)構(gòu)建安全認(rèn)證組件，并把它部署到應(yīng)用服務(wù)器，負(fù)責(zé)對(duì)業(yè)務(wù)系統(tǒng)的身份進(jìn)行認(rèn)證。
(3)構(gòu)建業(yè)務(wù)系統(tǒng)客戶端代理插件，負(fù)責(zé)讀取用戶證書(shū)，并與服務(wù)器上的安全認(rèn)證組件的安全身份認(rèn)證之間通訊。
(4)對(duì)客戶端認(rèn)證進(jìn)行一定的修改。
上述實(shí)施例保持了身份認(rèn)證的功能，增加了身份認(rèn)證的安全保證。從開(kāi)發(fā)量和應(yīng)用的體系結(jié)構(gòu)兩方面看，應(yīng)用的變動(dòng)都很小，因而開(kāi)發(fā)周期也很短。從應(yīng)用的角度看，利用現(xiàn)有的、經(jīng)過(guò)企業(yè)驗(yàn)證的分布式組件技術(shù)，使不同的應(yīng)用系統(tǒng)可使用統(tǒng)一的認(rèn)證方式，可實(shí)現(xiàn)單點(diǎn)登錄。從安全的角度看，CA(CertificateAuthority)應(yīng)用，增加了利用數(shù)字證書(shū)進(jìn)行的身份認(rèn)證，通過(guò)可靠的加密機(jī)制來(lái)實(shí)現(xiàn)身份認(rèn)證的安全性和不可抵賴性。
權(quán)利要求
1.一種基于遠(yuǎn)程分布式組件的身份認(rèn)證的安全控制的方法，其特征在于，利用現(xiàn)有的、經(jīng)過(guò)企業(yè)驗(yàn)證的遠(yuǎn)程分布式組件系統(tǒng)，結(jié)合CA應(yīng)用，建立使用企業(yè)級(jí)應(yīng)用系統(tǒng)的用戶的身份認(rèn)證的安全控制機(jī)制，用戶利用CA頒發(fā)的數(shù)字證書(shū)，向身份認(rèn)證服務(wù)器進(jìn)行身份認(rèn)證，并在身份認(rèn)證服務(wù)器得到的授權(quán)信息，得到使用應(yīng)用系統(tǒng)的許可。
2.根據(jù)權(quán)利要求1所述的在基于遠(yuǎn)程分布式組件的身份認(rèn)證的安全控制的方法，其特征是，所述的企業(yè)級(jí)應(yīng)用系統(tǒng)，為其提供安全的訪問(wèn)服務(wù)，包括(1)從用戶名+口令的登錄認(rèn)證方式升級(jí)到數(shù)字證書(shū)認(rèn)證方式；(2)利用分布式組件，使不同的應(yīng)用系統(tǒng)可使用統(tǒng)一的認(rèn)證方式，可實(shí)現(xiàn)單點(diǎn)登錄；(3)對(duì)重要的信息進(jìn)行信息加密(RSA)傳輸和保存；(4)對(duì)不可抵賴信息進(jìn)行數(shù)字簽名；(5)對(duì)企業(yè)級(jí)應(yīng)用系統(tǒng)進(jìn)行保護(hù)，防止非法訪問(wèn)。
3.根據(jù)權(quán)利要求1或者2所述的在基于遠(yuǎn)程分布式組件的身份認(rèn)證的安全控制的方法，其特征是，所述的使用企業(yè)級(jí)應(yīng)用系統(tǒng)，用戶在使用之前，必須得到企業(yè)級(jí)應(yīng)用系統(tǒng)的數(shù)字證書(shū)，用戶通過(guò)數(shù)字證書(shū)得到應(yīng)用系統(tǒng)的使用許可，許可包含用戶的身份信息及其得到的授權(quán)信息。
4.根據(jù)權(quán)利要求1所述的在基于遠(yuǎn)程分布式組件的身份認(rèn)證的安全控制的方法，其特征是，所述的向身份認(rèn)證服務(wù)器進(jìn)行身份認(rèn)證，是利用遠(yuǎn)程分布式組件技術(shù)，構(gòu)建安全認(rèn)證組件，并把它部署到應(yīng)用服務(wù)器，負(fù)責(zé)對(duì)用戶的身份認(rèn)證。
5.根據(jù)權(quán)利要求1或者4所述的在基于遠(yuǎn)程分布式組件的身份認(rèn)證的安全控制的方法，其特征是，所述的向身份認(rèn)證服務(wù)器進(jìn)行身份認(rèn)證，需要構(gòu)建客戶端代理插件，負(fù)責(zé)讀取用戶證書(shū)，并與服務(wù)器上的安全認(rèn)證組件的安全身份認(rèn)證之間通訊。
6.根據(jù)權(quán)利要求5所述的在基于遠(yuǎn)程分布式組件的身份認(rèn)證的安全控制的方法，其特征是，所述的身份認(rèn)證，在用戶發(fā)布登陸請(qǐng)求，發(fā)出自己的公鑰證書(shū)時(shí)，服務(wù)器上的安全認(rèn)證組件產(chǎn)生一個(gè)隨機(jī)數(shù)據(jù)給客戶端代理插件，用戶用自己的私鑰對(duì)隨機(jī)數(shù)據(jù)進(jìn)行加密并將加密所得值返回給服務(wù)器，與服務(wù)器上的安全認(rèn)證組件驗(yàn)證用戶的公鑰證書(shū)，然后提取公鑰解密該加密值，最后比對(duì)原隨機(jī)數(shù)據(jù)，如果比對(duì)成功，通過(guò)用戶的身份認(rèn)證，分配應(yīng)用系統(tǒng)的使用許可。
7.根據(jù)權(quán)利要求1所述的在基于遠(yuǎn)程分布式組件的身份認(rèn)證的安全控制的方法，其特征是，所述的許可包含用戶的身份信息及其得到的授權(quán)信息。
全文摘要
一種基于遠(yuǎn)程分布式組件的身份認(rèn)證的安全控制的方法，屬于信息技術(shù)領(lǐng)域。利用現(xiàn)有的、經(jīng)過(guò)企業(yè)驗(yàn)證的遠(yuǎn)程分布式組件系統(tǒng)，結(jié)合CA應(yīng)用，建立使用企業(yè)級(jí)應(yīng)用系統(tǒng)的用戶的身份認(rèn)證的安全控制機(jī)制，用戶利用CA頒發(fā)的數(shù)字證書(shū)，向身份認(rèn)證服務(wù)器進(jìn)行身份認(rèn)證，并在身份認(rèn)證服務(wù)器得到的授權(quán)信息，得到使用應(yīng)用系統(tǒng)的許可。本發(fā)明方法解決因身份認(rèn)證應(yīng)用而帶來(lái)的安全問(wèn)題，進(jìn)而避免安全問(wèn)題所導(dǎo)致的應(yīng)用生命周期縮短，并控制為解決安全問(wèn)題而帶來(lái)的安全成本。
文檔編號(hào)H04L9/00GK1738241SQ20051002548
公開(kāi)日2006年2月22日 申請(qǐng)日期2005年4月28日 優(yōu)先權(quán)日2005年4月28日
發(fā)明者蔣興浩, 吳小寅, 黃燁, 樊帕璇, 徐曉春, 朱俊偉, 邱晨明 申請(qǐng)人:上海交通大學(xué), 上海市人民政府辦公信息處理中心