CN104158816A - 认证方法、装置和服务器 - Google Patents

Abstract

本发明涉及一种认证方法、装置和服务器，所述方法包括：服务器接收消息发布端发送的指令，所述指令用于指示所述服务器生成密钥对，以使所述消息发布端根据所述密钥对中的私钥生成数字签名；所述服务器接收消息发布端发送的第一消息，所述第一消息包括所述密钥对中的公钥、数字签名、报文和消息发布端IP；所述服务器根据所述消息发布端IP，将所述消息发布端IP与预设的白名单进行匹配；当匹配成功后，所述服务器根据所述公钥和数字签名，对所述报文进行验证，当验证成功后，对所述报文进行推送。

Description

认证方法、装置和服务器

技术领域

本发明涉及通信技术领域，尤其涉及消息推送系统的认证方法、装置和服务器。

背景技术

随着物联网技术的发展，人们更加迫切希望能够随时随地地从互联网获取信息和服务。然而越来越多的内容正不断地充斥着网络，人们已经很难通过简单的主动搜索来发现自己所感兴趣的资源。为了保证这些信息能够及时有效的被用户看到，相比于传统的拉取方式，消息推送方式更满足实际应用中的需要。对于分布式的消息推送系统应用来说，发布或者订阅的消息是否能够安全及时的到达，对通信双方都具有非常重要的作用。消息推送系统需要保证消息的完整性和可靠性，确保消息在传输过程中不丢失、不重复、不篡改。

然而，在现有的消息推送系统的设计中，由于计算机软件的非法复制，通信的泄密，数据安全受到威胁，但缺乏安全认证机制，造成了消息推送系统中的安全漏洞。

发明内容

本发明的目的是保证消息推送系统的安全性，避免个别用户非法连接侵入破坏数据，影响网络安全。

第一方面，本发明实施例提供了一种认证方法，所述方法包括：

服务器接收消息发布端发送的指令，所述指令用于指示所述服务器生成密钥对，以使所述消息发布端根据所述密钥对中的私钥生成数字签名；

所述服务器接收消息发布端发送的第一消息，所述第一消息包括所述密钥对中的公钥、数字签名、报文和消息发布端IP；

所述服务器根据所述消息发布端IP，将所述消息发布端IP与本地预设的白名单进行匹配；

当匹配成功后，所述服务器根据所述公钥和数字签名，对所述报文进行验证，当验证成功后，对所述报文进行推送。

优选地，所述服务器根据所述公钥和数字签名，对所述报文进行验证具体包括：

所述服务器采用哈希算法获取所述报文的报文摘要；

所述服务器采用公钥对所述报文的数字签名进行解密，获取到解密报文摘要；

当所述报文摘要和所述解密报文摘要相同时，验证成功。

优选地，所述哈希算法具体为MD2、MD4、MD5或SHA-1中的任意一种。

优选地，所述服务器是MQTT代理服务器。

第二方面，本发明实施例提供了一种认证装置，所述装置包括：第一接收单元，第二接收单元，第一匹配单元，第二匹配单元；

所述第一接收单元，用于服务器接收消息发布端发送的指令，所述指令用于指示所述服务器生成密钥对，以使所述消息发布端根据所述密钥对中的私钥生成数字签名；

所述第二接收单元，用于接收消息发布端发送的第一消息，所述第一消息包括所述密钥对中的公钥、数字签名、报文和消息发布端IP；

所述第一匹配单元，用于根据所述消息发布端IP，将所述消息发布端IP与本地预设的白名单进行匹配；

所述第二匹配单元，用于根据所述公钥和数字签名，对所述报文进行验证，当验证成功后，对所述报文进行推送。

优选地，所述第二匹配单元具体用于：

所述服务器采用哈希算法获取所述报文的报文摘要；

所述服务器采用公钥对所述报文的数字签名进行解密，获取到解密报文摘要；

当所述报文摘要和所述解密报文摘要相同时，验证成功。

优选地，所述哈希算法具体为MD2、MD4、MD5或SHA-1中的任意一种。

优选地，所述服务器是MQTT代理服务器。

第三方面，本发明实施例提供了一种服务器，所述服务器包括：

接收器，接收消息发布端发送的指令，所述指令用于指示处理器生成密钥对，以使所述消息发布端根据所述密钥对中的私钥生成数字签名；

所述接收器还用于，接收消息发布端发送的第一消息，所述第一消息包括所述密钥对中的公钥、数字签名、报文和消息发布端IP；

处理器，根据所述消息发布端IP，将所述消息发布端IP与存储器中预设的白名单进行匹配；

所述处理器还用于，当匹配成功后，根据所述公钥和数字签名，对所述报文进行验证。

发送器，当验证成功后，对所述报文进行推送。

优选地，所述处理器具体用于：

所述处理器采用哈希算法获取所述报文的报文摘要；

所述处理器采用公钥对所述报文的数字签名进行解密，获取到解密报文摘要；

当所述报文摘要和所述解密报文摘要相同时，验证成功。

通过应用本发明实施例提供的认证方法、装置和服务器，当匹配成功后，所述服务器根据公钥和数字签名，对报文进行验证，当成功后，将报文推送给消息订阅端，保证了消息发布端到消息订阅端的报文的安全性，完整性，可靠性和不可抵赖性，避免了报文在传输过程中遭到篡改或非法攻击，满足了企业级应用的安全需求，部署简单，节约成本，可扩展性强，同样能够应用到其它系统中。

附图说明

图1为本发明实施例一提供的基于MQTT发布/订阅机制消息推送系统架构图；

图2为本发明实施例一提供的认证方法流程图；

图3为本发明实施例一提供的基于主题的发布/订阅机制；

图4为本发明实施例二提供的认证装置示意图；

图5为本发明实施例三提供的服务器示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为便于对本发明实施例的理解，下面将结合附图以具体实施例做进一步的解释说明，实施例并不构成对本发明实施例的限定。

本申请实施例提供的认证方法、装置及服务器，适用于对消息推送进行安全认证的场景，尤其适用于对消息队列遥测传输(Message Queuing TelemetryTransport，MQTT)发布/订阅机制系统的安全认证的场景。

为了保证消息推送系统的安全性，避免个别用户非法连接侵入破坏数据，影响网络安全，本申请可以通过IP认证和数字签名机制，保证消息推送操作时的安全。

图1为本发明实施例一提供的基于MQTT发布/订阅机制消息推送系统架构图。

消息推送系统主要包括三大部分:消息发布端110,消息服务器120(在下文中也可以简称服务器)，消息订阅端130。消息发布端110相当于消息的生产者，应用程序每生产一条消息，并不直接交给消息接收者，而是交给服务器，由服务器120决定将消息发送给哪些接收端。消息订阅端130相当于消息的消费者，消息订阅端130向服务器120订阅消息或者取消订阅消息，消息订阅端130有自己的消息接收队列，并可以根据需要对消息进行解包、解压缩和解密处理。服务器120是整个消息推送系统的灵魂所在，对于接收到的消息进行相关处理，推送到相应的消息订阅端130。

下面以图2为例详细说明本发明实施例提供的认证方法，图2为本发明实施例一提供的认证方法流程图，在本发明实施例中实施主体为具有处理能力的设备：服务器或者装置，例如：MQTT代理服务器。如图2所示，该实施例具体包括以下步骤：

S210，服务器接收消息发布端发送的指令，所述指令用于指示所述服务器生成密钥对，以使所述消息发布端根据所述密钥对中的私钥生成数字签名。

消息发布端可以但不限于物联网平台中的网页服务器。服务器包括但不限于MQTT代理服务器。

服务器接收消息发布端发送的指令，该指令用于调用服务器中的数字签名认证模块，服务器根据所述指令，生成密钥对。其中，数字签名认证模块是服务器中的子程序，可以看成是相对独立的模块，当消息订阅端需要进行相应某个处理时，调用对应的模块(处理子程序)即可，例如需要生成密钥对时，调用数字签名认证模块。为了更详细地说明本发明的实施过程，在本发明实施例中涉及到的软件模块，都处于服务器中。

密钥对包括公钥和私钥，消息发布端采用哈希算法，将要发送的报文生生成报文摘要，采用私钥对报文摘要进行加密，加密后的摘要即为报文的数字签名。

哈希算法包括但不限于消息摘要算法(Message-Digest Algorithm2，MD2)、MD4、MD5或安全散列算法(Secure Hash Algorithm，SHA-1)。

S220，服务器接收消息发布端发送的第一消息，所述第一消息包括所述密钥对中的公钥、数字签名、报文和消息发布端IP。

消息发布端IP为网页服务器的IP地址。

报文为消息发布端所要发布的数据信息。

S230，根据消息发布端IP，将所述消息发布端IP与预设的白名单进行匹配。

服务器中预先设置有白名单，白名单即为服务器授权的消息发布端IP。服务器可以调用其IP验证模块，将消息发布端IP与白名单进行匹配，其中，IP验证模块和数字签名认证模块一样，为服务器中的处理子程序。

当消息发布端IP与白名单匹配成功时，说明消息发布端合法，此时进入步骤S240。

当消息发布端IP与白名单匹配失败时，说明消息发布端非法，此时服务器向消息发布端返回错误提示。

S240，当匹配成功后，所述服务器根据所述公钥和数字签名，对所述报文进行验证，当验证成功后，对所述报文进行推送。

服务器调用其数字签名认证模块，对报文进行验证。

优选地，所述服务器根据所述公钥和数字签名，对所述报文进行验证具体包括：

所述服务器采用哈希算法获取所述报文的报文摘要；

所述服务器采用公钥对所述报文的数字签名进行解密，获取到解密报文摘要；

当所述报文摘要和所述解密报文摘要相同时，验证成功。此时，服务器将报文推送给消息订阅端，并向消息发布端返回成功提示。

当所述报文摘要和所述解密报文摘要不同时，验证失败。此时，服务器不向消息订阅端推送该报文，并向消息发布端返回错误提示。

其中，消息订阅端为终端，包括但不限于手机、平板电脑、笔记本电脑、台式电脑。

可以理解的是，服务器获取报文摘要时采用的哈希算法和消息发布端提取报文摘要时的哈希算法为同一算法。

进一步地，所述报文包括报文主题；

当验证成功后，消息服务器将所述报文主题与消息订阅端的主题进行匹配，并将报文主题所对应的报文推送给相应的消息订阅端。

具体地，如图3所示，图3为本发明实施例一提供的基于主题的发布/订阅机制。图3中，服务器可以将接收到的消息发布端发送的合法的报文进行排列，示例而非限定，服务器可以将报文按照报文主题排列，构成主题队列，比如，可以将报文分类为含有主题X，主题Y的报文等。消息订阅端连接到服务器，完成注册获得注册账号，订阅或者取消自己的主题。消息订阅端可以包括一个终端，也可以包括多个终端，所述一个或多个终端订阅不同或者相同主题的报文，服务器根据本地的报文主题和消息订阅端所订阅的报文的主题将报文推送到相应的终端，比如终端A和终端C订阅了主题X，服务器则将主题X的报文推送给终端A和终端C，终端B订阅了主题Y，服务器则将主题Y的报文推送给终端B。

采用本发明实施例提供的认证方法，服务器根据消息发布端IP，将消息发布端IP与预设的白名单进行匹配；当匹配成功后，服务器根据所述公钥和数字签名，对报文进行验证，当验证成功后，将报文推送给消息订阅端，保证了消息发布端到消息订阅端的报文的安全性，完整性，可靠性和不可抵赖性，避免了报文在传输过程中遭到篡改或非法攻击，满足了企业级应用的安全需求，部署简单，节约成本，可扩展性强，同样能够应用到其它系统中。

图4是本发明实施例二提供的认证装置示意图。如图4所示，本实施例中，包括：第一接收单元410，第二接收单元420，第一匹配单元430，第二匹配单元440；

所述第一接收单元410，用于服务器接收消息发布端发送的指令，所述指令用于指示所述服务器生成密钥对，以使所述消息发布端根据所述密钥对中的私钥生成数字签名；

所述第二接收单元420，用于接收消息发布端发送的第一消息，所述第一消息包括所述密钥对中的公钥、数字签名、报文和消息发布端IP；

所述第一匹配单元430，用于根据所述消息发布端IP，将所述消息发布端IP与预设的白名单进行匹配；

所述第二匹配单元440，用于根据所述公钥和数字签名，对所述报文进行验证，当验证成功后，对所述报文进行推送。

可选地，所述第二匹配单元440具体用于：

所述服务器采用哈希算法获取所述报文的报文摘要；

所述服务器采用公钥对所述报文的数字签名进行解密，获取到解密报文摘要；

当所述报文摘要和所述解密报文摘要相同时，验证成功。

可选地，所述哈希算法具体为MD2、MD4、MD5或SHA-1中的任意一种。

可选地，所述服务器是MQTT代理服务器。

采用本发明实施例提供的认证装置，服务器根据所述消息发布端IP，将所述消息发布端IP与预设的白名单进行匹配；当匹配成功后，所述服务器根据所述公钥和数字签名，对所述报文进行验证，当验证成功后，将所述报文推送给消息订阅端，保证了消息发布端到消息订阅端的报文的安全性，完整性，可靠性和不可抵赖性，避免了报文在传输过程中遭到篡改或非法攻击，满足了企业级应用的安全需求，部署简单，节约成本，可扩展性强，同样能够应用到其它系统中。

图5为本发明实施例三提供的服务器示意图。如图5所示，本实施例包括：接收器510，处理器520，存储器530，发送器540。其中接收器510，处理器520，存储器530和发送器540通过系统总线(图5中未示出)相连接。

接收器510，接收消息发布端发送的指令，所述指令用于指示所述处理器生成密钥对，以使所述消息发布端根据所述密钥对中的私钥生成数字签名；

所述接收器510还用于，接收消息发布端发送的第一消息，所述第一消息包括所述密钥对中的公钥、数字签名、报文和消息发布端IP；

处理器520，根据所述消息发布端IP，将所述消息发布端IP与存储器530中预设的白名单进行匹配；

所述处理器520还用于，当匹配成功后，根据所述公钥和数字签名，对所述报文进行验证。

发送器540，当验证成功后，对所述报文进行推送。

可选地，所述处理器520具体用于：

所述处理器采用哈希算法获取所述报文的报文摘要；

所述处理器采用公钥对所述报文的数字签名进行解密，获取到解密报文摘要；

当所述报文摘要和所述解密报文摘要相同时，验证成功。

服务器可以采用和图3的方法，将报文推送给消息订阅端，此处不再赘述。

专业人员应该还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种认证方法，其特征在于，所述方法包括：

服务器接收消息发布端发送的指令，所述指令用于指示所述服务器生成密钥对，以使所述消息发布端根据所述密钥对中的私钥生成数字签名；

所述服务器接收消息发布端发送的第一消息，所述第一消息包括所述密钥对中的公钥、数字签名、报文和消息发布端IP；

所述服务器根据所述消息发布端IP，将所述消息发布端IP与本地预设的白名单进行匹配；

当匹配成功后，所述服务器根据所述公钥和数字签名，对所述报文进行验证，当验证成功后，对所述报文进行推送。

2.根据权利要求1所述的方法，其特征在于，所述服务器根据所述公钥和数字签名，对所述报文进行验证具体包括：

所述服务器采用哈希算法获取所述报文的报文摘要；

所述服务器采用公钥对所述报文的数字签名进行解密，获取到解密报文摘要；

当所述报文摘要和所述解密报文摘要相同时，验证成功。

3.根据权利要求1或2所述的方法，其特征在于，所述哈希算法具体为消息摘要算法MD2、MD4、MD5和安全散列算法SHA-1中的任意一种。

4.根据权利要求1所述的方法，其特征在于，所述服务器是消息队列遥测传输MQTT代理服务器。

5.一种认证装置，其特征在于，所述装置包括：第一接收单元，第二接收单元，第一匹配单元，第二匹配单元；

所述第一接收单元，用于服务器接收消息发布端发送的指令，所述指令用于指示所述服务器生成密钥对，以使所述消息发布端根据所述密钥对中的私钥生成数字签名；

所述第二接收单元，用于接收消息发布端发送的第一消息，所述第一消息包括所述密钥对中的公钥、数字签名、报文和消息发布端IP；

所述第一匹配单元，用于根据所述消息发布端IP，将所述消息发布端IP与本地预设的白名单进行匹配；

所述第二匹配单元，用于根据所述公钥和数字签名，对所述报文进行验证，当验证成功后，对所述报文进行推送。

6.根据权利要求5所述的装置，其特征在于，所述第二匹配单元具体用于：

所述服务器采用哈希算法获取所述报文的报文摘要；

所述服务器采用公钥对所述报文的数字签名进行解密，获取到解密报文摘要；

当所述报文摘要和所述解密报文摘要相同时，验证成功。

7.根据权利要求5或6所述的装置，其特征在于，所述哈希算法具体为MD2、MD4、MD5或SHA-1中的任意一种。

8.根据权利要求5所述的装置，其特征在于，所述服务器是MQTT代理服务器。

9.一种服务器，其特征在于，所述服务器包括：

接收器，接收消息发布端发送的指令，所述指令用于指示处理器生成密钥对，以使所述消息发布端根据所述密钥对中的私钥生成数字签名；

所述接收器还用于，接收消息发布端发送的第一消息，所述第一消息包括所述密钥对中的公钥、数字签名、报文和消息发布端IP；

处理器，根据所述消息发布端IP，将所述消息发布端IP与存储器中预设的白名单进行匹配；

所述处理器还用于，当匹配成功后，根据所述公钥和数字签名，对所述报文进行验证。

发送器，当验证成功后，对所述报文进行推送。

10.根据权利要求9所述的服务器，其特征在于，所述处理器具体用于：

所述处理器采用哈希算法获取所述报文的报文摘要；

所述处理器采用公钥对所述报文的数字签名进行解密，获取到解密报文摘要；

当所述报文摘要和所述解密报文摘要相同时，验证成功。